Quellen-Tabelle

Der ICCL-Report bezeichnet Real-Time Bidding als größten je erfassten Datenschutzverstoß mit rund 178 Billionen Broadcasts pro Jahr in den USA und Europa; EU-Nutzer werden durchschnittlich 376 Mal täglich offengelegt.

Zahlen stammen von einer Interessenvertretung mit Datenschutz-Agenda, nicht unabhängig geprüft.

NIST stuft SMS-basierte Einmalpasswörter offiziell als restricted authenticator ein und verlangt verpflichtende Alternativen und Schutzmaßnahmen gegen SIM-Swapping.

Sekundärquelle, fasst die NIST-Richtlinie zusammen.

Nach Standardaktivierung von Passkeys stiegen die Authentifizierungen bei Google um 352% und bei Microsoft um 120%.

Zahlen aus proprietären Dashlane-Nutzungsdaten, nicht unabhängig verifizierbar.

Amazons Ring-Kameras ermöglichen über Polizeipartnerschaften ohne Durchsuchungsbefehl Zugriff auf private Aufnahmen.

Positionspapier einer Bürgerrechtsorganisation, keine neutrale wissenschaftliche Studie.

Ring beendet das Tool Request for Assistance, über das Polizeibehörden direkt bei Nutzern Videoaufnahmen anfragen konnten.

Spätere Kooperationen relativierten die Kehrtwende wieder.

Nissan ist die am schlechtesten bewertete Marke: Die Datenschutzerklärung nennt sexuelle Aktivität, Gesundheitsdiagnosen und genetische Informationen als erhebbare Kategorien und behält sich vor, abgeleitete Profile an Datenhändler und Behörden weiterzugeben.

Formulierungen aus einer breit gefassten US-Datenschutzerklärung, kein Beleg für tatsächliche Erhebung.

Die chinesischen Bestimmungen zur Kfz-Datensicherheit definieren als wichtige Daten unter anderem Bewegungsdaten von Militär- und Regierungsfahrzeugen sowie per Fahrzeugkamera erfasste Gesichter und Kennzeichen. Solche Daten müssen in China gespeichert bleiben.

Beschreibt die Rechtslage innerhalb Chinas, sagt nichts über tatsächliche Übertragungen aus europäischen Fahrzeugen.

Die finale US-Regel verbietet Import und Verkauf von Fahrzeug-Konnektivitätssystemen mit Bezug zu China oder Russland sowie den Verkauf vernetzter Fahrzeuge durch Hersteller unter chinesischer Kontrolle. Software-Verbote greifen ab Modelljahr 2027, Hardware-Verbote ab Modelljahr 2030.

Begründet sich mit abstrakten Risiken, nennt keinen nachgewiesenen konkreten Missbrauchsfall.

Am 23.02.2009 durchsuchten Ermittler des britischen Information Commissioner's Office (ICO) die Räume der Consulting Association und fanden Akten zu 3.213 Bauarbeitern, die als illegale schwarze Liste dienten. Auf der über mehr als 30 Jahre von großen Baufirmen finanzierten Liste standen politische Aktivisten, Umweltschützer, Betriebsräte und Arbeitsschutzbeauftragte, die deshalb keine Anstellung mehr bekamen. Der Betreiber Ian Kerr wurde wegen Verstoßes gegen das Datenschutzgesetz zu 5.000 Pfund Geldstrafe verurteilt; 44 identifizierte Baufirmen erhielten Vollzugsschreiben des ICO.

Eine spätere Entschädigungsregelung für Betroffene wurde in Großbritannien eingerichtet; deren genauer Umfang und die ausgezahlten Summen sind aus dieser Quelle nicht belegt.

FraUKe (Frankfurter Urteilskonfigurator Elektronisch) ist laut hessischem Justizministerium bundesweit das erste KI-gestützte Assistenzsystem, bei dem Künstliche Intelligenz Richterinnen und Richter aktiv bei der Urteilsfindung unterstützt, eingesetzt im Bereich der Fluggastrechte. Parallel entwickeln Nordrhein-Westfalen, Niedersachsen, Brandenburg und Hessen im Projekt MAKI (Massenverfahrens-Assistenz mittels Künstlicher Intelligenz) eine gemeinsame Grundlage für den KI-Einsatz bei Massenverfahren an Amtsgerichten; NRW und Bayern bauen zudem gemeinsam ein juristisches Sprachmodell (GSJ) auf.

Belegt ist der Einsatz bei Fluggastrechte-Massenverfahren. Wie weit die Letztentscheidung beim Menschen liegt und in welchem Umfang die KI-Textvorschläge unverändert übernommen werden, ist aus dieser Quelle nicht im Detail belegt.

In Deutschland gibt es zwei etablierte Robinsonlisten (ichhabediewahl.de und robinsonliste.de), in die sich Verbraucher gegen unerwünschte Werbepost eintragen können. Unternehmen sind jedoch rechtlich nicht verpflichtet, ihre Adressbestände gegen diese Listen abzugleichen; der Abgleich ist freiwillig und kostenpflichtig. Größere Firmen, insbesondere Mitglieder des Deutschen Dialogmarketing Verbands, gleichen meist freiwillig ab, während kleinere oder ausländische Versender den Abgleich häufig aus Kosten- oder Organisationsgründen auslassen. Ein individueller Werbewiderspruch gegenüber einem Adresshändler muss dagegen unverzüglich befolgt werden; danach ist die weitere Nutzung der Daten für Werbezwecke untersagt.

Die Robinsonliste wirkt nur gegenüber den Unternehmen, die freiwillig abgleichen; sie ist kein rechtlich durchsetzbares generelles Werbeverbot.

Wahlberechtigte können das Wählerverzeichnis in Deutschland üblicherweise vom 20. bis zum 16. Tag vor der Wahl einsehen, allerdings nur die eigenen Daten uneingeschränkt. Die Einsicht in die Daten anderer Personen ist nur zulässig, wenn ein möglicher Fehler im Wählerverzeichnis plausibel dargelegt wird. Aus Datenschutzgründen geht die Praxis zunehmend dazu über, statt vollständiger Listen nur gezielte Einzelabfragen zuzulassen. Für Personen mit eingetragener Auskunftssperre nach § 51 Bundesmeldegesetz gilt das Einsichtsrecht Dritter gar nicht erst.

Die genaue Ausgestaltung der Einsichtsregeln kann je nach Bundesland und Kommune leicht variieren; eine bundesweit einheitliche Verwaltungspraxis ist aus dieser Quelle nicht belegt.

Die Gesichtserkennungsfirma Clearview AI wurde 2022 von den Datenschutzbehörden Italiens (Februar), Frankreichs und Griechenlands (Juli) jeweils mit einem Bußgeld von 20 Millionen Euro belegt, der jeweiligen gesetzlichen Höchststrafe. Die Behörden stellten fest, dass Clearview biometrische Daten ohne Rechtsgrundlage verarbeitete, da weder eine Einwilligung der abgebildeten Personen noch ein berechtigtes Interesse vorlag. Gerichte wiesen Clearviews Argument zurück, als US-Unternehmen nicht an die DSGVO gebunden zu sein, da das Unternehmen Daten von Personen in Europa sammelte. Griechenland untersagte zusätzlich jede weitere Erhebung oder Verarbeitung von Daten griechischer Staatsbürger und ordnete deren Löschung an.

Ob Clearview die verhängten Bußgelder tatsächlich gezahlt hat, ist aus dieser Quelle nicht belegt; das Unternehmen operiert primär in den USA außerhalb direkter EU-Vollstreckungsmöglichkeiten.

Wer sich vor Bedrohung, Beleidigung oder unrechtmäßiger Nachstellung (Stalking) schützen will, kann nach § 51 Abs. 1 Bundesmeldegesetz eine Auskunftssperre im Melderegister formlos beantragen und muss dabei die Gründe glaubhaft machen. Eine zentrale Einschränkung: Die Auskunftssperre verhindert ausschließlich Melderegisterauskünfte an private Dritte; Behörden und andere öffentliche Stellen erhalten die erforderlichen Datenübermittlungen weiterhin uneingeschränkt. Die Sperre gilt zudem stets nur befristet auf zwei Jahre, und selbst innerhalb der Sperrfrist kann eine Auskunft erteilt werden, wenn eine Anfrage den konkreten Schutzzweck nicht berührt. Nach Eintragung einer Auskunftssperre muss die Meldebehörde die betroffene Person über jede eingehende Auskunftsanfrage informieren; Daten können zusätzlich bei anderen öffentlichen Stellen wie Finanzamt, Jugendamt und Gerichten gespeichert bleiben, wo eigene, separate Sperrmöglichkeiten bestehen.

Wie oft Behörden trotz aktiver Auskunftssperre versehentlich Daten an Dritte weitergeben, ist aus dieser Quelle nicht mit Fallzahlen belegt; die beschriebenen Grenzen sind rechtlich-strukturelle Lücken, keine dokumentierten Einzelvorfälle.

Am 21.02.2024 wurde ein Ransomware-Angriff auf Change Healthcare entdeckt, einen der größten Abrechnungsdienstleister im US-Gesundheitssystem, nachdem Angreifer der mit BlackCat/ALPHV verbundenen Gruppe neun Tage lang unbemerkt im Netzwerk operiert hatten. Zugang erhielten sie über ein Citrix-Fernzugriffsportal ohne Multi-Faktor-Authentifizierung. Die Muttergesellschaft UnitedHealth zahlte über ihre Tochter Optum ein Lösegeld von 22 Millionen US-Dollar. Nach anfänglichen Schätzungen von 100 Millionen Betroffenen korrigierte UnitedHealth die Zahl später auf 190 Millionen betroffene Amerikaner, fast die Hälfte der US-Bevölkerung, deren persönliche und Gesundheitsdaten gestohlen wurden. Der Angriff verursachte monatelange Ausfälle im US-Gesundheitssystem; UnitedHealth gab 2024 insgesamt 3,1 Milliarden US-Dollar für die Bewältigung der Attacke aus.

UnitedHealth verzögerte laut Medienberichten die Benachrichtigung Betroffener über mehrere Monate; die genauen Gründe für die Verzögerung sind aus dieser Quelle nicht abschließend geklärt.

Marriott meldete am 30.11.2018, dass Angreifer bereits seit 2014 unentdeckten Zugriff auf das Reservierungssystem der 2016 übernommenen Hotelkette Starwood hatten. Betroffen waren bis zu 500 Millionen Gästeeinträge; bei 327 Millionen davon umfassten die gestohlenen Daten eine Kombination aus Name, Postanschrift, Telefonnummer, E-Mail-Adresse, Passnummer, SPG-Kontoinformationen, Geburtsdatum, Geschlecht sowie An- und Abreisedatum. Betroffen waren Gäste der Starwood-Marken W Hotels, St. Regis, Sheraton, Westin, Element, Aloft, The Luxury Collection, Tribute Portfolio, Le Méridien, Four Points by Sheraton und Design Hotels.

Der Angriff blieb laut Quelle vier Jahre lang unentdeckt; ob dies auf mangelnde Sicherheitsüberwachung bei Starwood vor der Marriott-Übernahme zurückzuführen ist, wird in dieser Quelle nicht abschließend geklärt.

Im Mai 2024 reichte das US-Justizministerium gemeinsam mit den Generalstaatsanwälten von 29 Bundesstaaten und dem District of Columbia vor dem Bundesgericht im Südbezirk von New York eine zivilrechtliche Kartellklage gegen Live Nation Entertainment und Ticketmaster ein. Der Klage zufolge nutzt der Konzern seine Monopolstellung im Bereich Primärticketverkauf, Konzertpromotion und Veranstaltungsstättenmanagement, um Wettbewerb zu unterdrücken, wobei Live Nation nach eigenen Angaben rund 80 Prozent Marktanteil bei großen US-Konzertveranstaltungsorten kontrolliert. Die Klage fordert unter anderem die Abspaltung von Ticketmaster vom Konzern, die Aufhebung bestimmter Ticketing-Verträge sowie ein Verbot wettbewerbswidriger Praktiken. Im August 2024 erweiterten die Kläger die Klage um zehn weitere Bundesstaaten.

Der Ausgang des Verfahrens (Urteil, Vergleich oder Abweisung) ist aus dieser Quelle zum Zeitpunkt der Klageeinreichung noch offen und nicht belegt.

Zusätzlich zum 2019 von der US-amerikanischen FTC verhängten Bußgeld von 508,1 Millionen US-Dollar gegen die Muttergesellschaft belegte die britische Finanzaufsicht Financial Conduct Authority (FCA) 2023 die britische Tochtergesellschaft Equifax Ltd. mit einem eigenen Bußgeld von 11 Millionen Pfund. Vom ursprünglichen Equifax-Datenleck 2017 waren auch 13,8 Millionen Briten betroffen. Die FCA stellte fest, dass Equifax seine britischen Kunden weder transparent noch wahrheitsgemäß über den Vorfall informierte: Das Unternehmen sprach zunächst lediglich von einem Cyber-Sicherheitsvorfall in den USA, obwohl es zu diesem Zeitpunkt bereits vom Diebstahl britischer Kundendaten wusste.

Der zeitliche Abstand zwischen Kenntnis des Datenlecks und der öffentlichen Kommunikation ist aus dieser Quelle nicht mit exakten Daten beziffert.

Das akustische Schussdetektionssystem ShotSpotter war in rund 90 US-Städten im Einsatz und sollte per KI-gestützter Triangulation Schüsse erkennen und Polizei zum Ort schicken. Das MacArthur Justice Center stellte fest, dass die Polizei bei 89 Prozent der ShotSpotter-Einsätze in Chicago keinerlei waffenbezogenen Vorfall feststellte und in 85 Prozent der Fälle kein Polizeibericht erstellt wurde. Ein Bericht des Chicagoer Generalinspekteurs zeigte, dass ShotSpotter über 17 Monate (2020–2021) mehr als 50.000 Alarme auslöste, die in weniger als 10 Prozent der Fälle zu tatsächlichen Beweisen für waffenbezogene Straftaten führten. Studien belegten zudem, dass fehlerhafte Alarme zu bewaffneten Polizeieinsätzen an Orten führten, an denen keine Bedrohung bestand, wodurch unschuldige Anwohner unter Verdacht gerieten und die Überpolizierung von Vierteln mit überwiegend nicht-weißer Bevölkerung sowie verfassungswidrige Stop-and-Frisk-Kontrollen zunahmen. Mehrere Städte kündigten daraufhin an, ihre ShotSpotter-Verträge bis September 2024 zu beenden.

Nicht alle Städte, die ShotSpotter nutzten, kündigten die Verträge; die Quelle beschreibt einen Trend zur Vertragskündigung, keine flächendeckende Abschaffung.

PredPol entstand als gemeinsames Projekt der Los Angeles Police Department (LAPD) und des UCLA-Professors Jeff Brantingham, mit einem patentierten Algorithmus, der ursprünglich auf einem Modell zur Vorhersage von Erdbeben-Nachbeben basiert. Im März 2019 kam eine interne Prüfung der LAPD zu dem Ergebnis, es gebe unzureichende Daten, um festzustellen, ob die PredPol-Software tatsächlich zur Kriminalitätsreduzierung beitrug. Im April 2020 beendete die LAPD als einer der ältesten PredPol-Kunden das Programm, offiziell aus Kostengründen im Zusammenhang mit der Pandemie; Bürgerrechtler argumentierten jedoch, ihre Proteste hätten die Polizei zur Aufgabe des Programms bewogen, nicht die Pandemie. Im Dezember 2021 zeigte ein Bericht von Gizmodo und The Markup, dass PredPol rassistische Verzerrungen verstärkte, indem es überproportional auf mehrheitlich Latino- und Schwarze Nachbarschaften zielte. Bereits 2018 hatte das Smithsonian Magazine festgestellt, dass keine unabhängige, veröffentlichte Forschung die von PredPol behauptete Treffergenauigkeit der Software je bestätigt hatte.

Der offizielle Kündigungsgrund (Kosten wegen Pandemie) und der von Aktivisten behauptete tatsächliche Grund (Proteste) widersprechen sich; welcher davon ausschlaggebend war, ist aus dieser Quelle nicht abschließend geklärt.

Nach einem Ransomware-Angriff zahlte das Kansas Heart Hospital im US-amerikanischen Wichita das geforderte Lösegeld, um seine verschlüsselten Dateien zurückzuerhalten. Die Angreifer entschlüsselten die Daten jedoch nicht vollständig und forderten stattdessen eine weitere Lösegeldzahlung. Das Krankenhaus erklärte daraufhin, kein weiteres Lösegeld zu zahlen; nach eigenen Angaben sei die Patientenversorgung durch den Vorfall nicht gefährdet worden. In derselben Region wurden weitere medizinische Einrichtungen Opfer ähnlicher Angriffe: Die Wichita Urology Group meldete im Dezember desselben Jahres einen Datenschutzvorfall mit potenziell über 5.000 Betroffenen, bereits die zweite derartige Verletzung innerhalb eines Jahres bei derselben Praxis; Kansas Joint and Spine Specialists meldete im Juni einen weiteren Cybersicherheitsvorfall mit möglichen Auswirkungen auf Patienten und Beschäftigte.

Der Fall widerlegt exemplarisch die verbreitete Annahme, eine Lösegeldzahlung garantiere die vollständige Wiederherstellung der Daten; ob und wie das Krankenhaus die Daten letztlich doch noch erhielt, ist aus dieser Quelle nicht belegt.

In der als 'Operation Cookie Monster' bezeichneten Aktion beschlagnahmten FBI und internationale Strafverfolgungsbehörden aus 17 Ländern am 05.04.2023 den seit 2018 aktiven Darknet-Marktplatz Genesis Market. Dort wurden 'digitale Identitäten' in Form von Browser-Fingerabdrücken gehandelt, die Käufern Zugriff auf Cookies, gespeicherte Logins und Autofill-Formulardaten von mit Schadsoftware infizierten Geräten verschafften und damit Anti-Betrugs-Erkennungssysteme vieler Websites umgingen. Genesis Market bot Zugang zu Daten von über 1,5 Millionen kompromittierten Computern weltweit mit insgesamt über 80 Millionen Zugangsdaten. Die internationale Operation führte zu rund 120 Festnahmen und 200 Durchsuchungen weltweit.

Wie viele der ursprünglich über 80 Millionen gehandelten Zugangsdaten zum Zeitpunkt der Beschlagnahmung noch aktiv nutzbar waren, ist aus dieser Quelle nicht beziffert.

Das australische Regierungsprogramm Robodebt verglich automatisiert zweimonatliche Sozialleistungsdaten von Centrelink mit jährlichen Einkommensdaten der australischen Steuerbehörde, um vermeintliche Überzahlungen an Sozialleistungsempfänger zu identifizieren. Der zugrunde liegende methodische Fehler bestand darin, ein Jahreseinkommen gleichmäßig auf Monate herunterzurechnen, was für die tatsächliche zweimonatliche Einkommenssituation ungenau war. Über eine halbe Million Australier waren von dem fehlerhaften Programm betroffen, das Betroffenen Briefe mit angeblichen Schulden von teils Tausenden Dollar zustellte. Eine Regierungsuntersuchung stellte fest, dass Robodebt vulnerable Menschen weiter in Schulden trieb und mehrere Suizide verursachte. Die australische Regierung sagte zusätzlich zu bereits geleisteten Rückzahlungen eine weitere Entschädigung von 475 Millionen australischen Dollar zu; die gesamten Rückzahlungs- und Entschädigungskosten der Regierung belaufen sich damit auf 2,4 Milliarden australische Dollar.

Die genaue Zahl der durch Robodebt verursachten Suizide wird von der Regierungsuntersuchung nicht als exakte Zahl benannt, sondern als ursächlicher Faktor unter mehreren beschrieben.

Google kündigte im November 2019 die Übernahme des Wearable-Herstellers Fitbit im Wert von 2,1 Milliarden US-Dollar an, um sein stagnierendes Wearable-Geschäft anzukurbeln. Kritiker warnten, Google erhielte damit Zugriff auf die Gesundheitsdaten von Millionen Fitbit-Nutzern, die für personalisierte Werbung genutzt werden könnten. Die EU-Wettbewerbshüter genehmigten die Übernahme im Dezember 2020 nur unter der Bedingung, dass Google die Fitnessdaten der Nutzer nicht für Werbeprofile verwendet und Fitbit-Daten technisch nicht mit anderen Google-Diensten wie Google Maps oder YouTube verknüpft. Google musste diese Auflagen für mindestens zehn Jahre einhalten, überwacht durch einen Treuhänder mit weitreichenden Kontrollbefugnissen.

Ob Google die zehnjährigen Auflagen in der Praxis lückenlos einhält, kann aus dieser Quelle zum Zeitpunkt der Genehmigung naturgemäß nicht rückblickend beurteilt werden.

Im September 2022 meldete der australische Telekommunikationsanbieter Optus einen Cyberangriff, bei dem Daten von fast 10 Millionen aktuellen und ehemaligen Kunden zugänglich wurden. Betroffen waren Namen, Geburtsdaten, Wohnadressen, Telefonnummern, E-Mail-Adressen sowie amtliche Ausweisdaten wie Reisepassnummern, Führerscheinnummern und Medicare-Kartennummern. Nach Angaben eines Insiders bei Optus und der australischen Regierung war menschliches Versagen bei einer offenen, nicht durch Authentifizierung geschützten Datenbank-Schnittstelle (API) die Ursache, während Optus selbst den Vorfall öffentlich als komplexen Angriff darstellte. Ein Angreifer unter dem Namen 'optusdata' bekannte sich zu dem Hack und forderte zunächst eine Million US-Dollar Lösegeld, um die Daten nicht im Netz zu verkaufen. Der australische Datenschutzbeauftragte (Australian Information Commissioner) leitete daraufhin ein zivilrechtliches Verfahren gegen Optus ein.

Die widersprüchlichen Darstellungen von Optus (komplexer Angriff) und Insidern/Regierung (einfaches menschliches Versagen bei ungesicherter API) lassen sich aus dieser Quelle nicht abschließend auflösen.