Quellen-Tabelle

Erben haben einen klaren gesetzlichen Auskunftsanspruch gegenüber Banken zu Konten und Depots des Erblassers, den weder vertragliche Klauseln noch das Bankgeheimnis ausschließen können.

Anwaltliche Urteilsbesprechung, keine amtliche Volltextquelle.

Ein generatives Modell zeigt, dass 99,98% der US-Bürger in jedem Datensatz mit 15 demografischen Merkmalen korrekt re-identifiziert werden könnten, selbst bei starker Unvollständigkeit.

Bezieht sich auf demografische Attribute allgemein, direkt auf medizinische Datensätze übertragbar.

Ende Mai 2023 wurde bekannt, dass der Schweizer Software-Dienstleister Xplain Opfer eines Ransomware-Angriffs der Gruppe Play wurde. Betroffen waren Betriebsdaten der Bundesverwaltung, darunter Armee, Bundesamt für Zoll und Grenzsicherheit sowie Fedpol. Weil Xplain kein Lösegeld zahlte, veröffentlichten die Angreifer das gestohlene Datenpaket am 14.06.2023 im Darknet. Laut Medienberichten waren darunter vertrauliche Dokumente des Nachrichtendienstes, Adressen von Bundesratsmitgliedern sowie Sicherheitsinformationen zu ausländischen Diplomaten und Botschaften.

Die genaue Zahl der betroffenen Personendatensätze schwankt je nach Quelle (bis zu 1,3 Mio. Datensätze bzw. bis zu 425.000 Auslandschweizer laut swissinfo). Eine offizielle, abschließende Gesamtzahl der Bundesstelle liegt hier nicht vor.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine Zero-Day-Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer aus, um bei zahlreichen Organisationen weltweit Daten abzuziehen. Stand 24.08.2023 waren laut Emsisoft 988 Opfer bekannt; bis zum 26.10.2023 waren 2.559 Organisationen mit insgesamt 66.369.148 betroffenen Personen bestätigt. Damit gilt der Angriff als einer der größten Massen-Datendiebstähle über eine einzelne Software-Schwachstelle.

Die Opferzahlen sind kumulative Zwischenstände aus laufender Berichterstattung, keine amtlich abschließend festgestellte Endsumme; sie können je nach Quelle und Erhebungsdatum leicht abweichen.

Zwischen April und Juni 2024 griff die Gruppe UNC5537 gezielt Kundenkonten des Cloud-Datenanbieters Snowflake an, bei rund 165 betroffenen Organisationen, darunter Ticketmaster/Live Nation, Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. Ursache war laut Untersuchungsbericht das Fehlen einer verpflichtenden Zwei-Faktor-Authentifizierung auf Kundenkonten, kombiniert mit über die Schadsoftware Lumma Stealer entwendeten Zugangsdaten. Ticketmaster allein meldete den Verlust von Daten von 500 Millionen Nutzern. Im Oktober/November 2024 wurde ein Verdächtiger festgenommen und Anklage gegen zwei Personen erhoben.

Die Zahl von 500 Millionen betroffenen Ticketmaster-Nutzern stammt aus Unternehmensangaben in Medienberichten, nicht aus einer unabhängigen forensischen Bestätigung dieser exakten Größenordnung.

Am 07.04.2024 bot ein Hacker unter dem Namen USDoD auf dem Kriminalmarktplatz Breached eine Datenbank mit angeblich 2,9 Milliarden Datensätzen zu US-Bürgern an (277,1 GB), darunter vollständige Namen, aktuelle und frühere Adressen, Sozialversicherungsnummern, Geburtsdaten und Telefonnummern. Der Datendiebstahl beim Data Broker National Public Data begann im Dezember 2023, der eigentliche Abfluss ab April 2024. Am 02.10.2024 meldete das Unternehmen Insolvenz an, mit geschätztem Vermögen von nur 25.000 bis 75.000 USD. Generalstaatsanwälte aus über 20 US-Bundesstaaten fordern Bußgelder, rund 20 Sammelklagen sowie FTC-Ermittlungen laufen parallel.

Die Zahl von 2,9 Milliarden Datensätzen stammt aus der Eigenangabe des Angreifers beim Verkaufsangebot, nicht aus einer unabhängigen forensischen Verifikation der exakten Datensatzmenge.

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.

Die Initiative 'Project Red Card' vertritt über 850 Profifußballer aus Premier League, National League, EFL und schottischer Premiership und fordert Entschädigung dafür, dass Wett- und Gaming-Unternehmen ihre Leistungsdaten (u. a. Lauf- und Positionsdaten) ohne ausreichende Rechtsgrundlage sammeln und verwerten. Die Global Sports Data and Technology Group verschickte vorprozessuale Aufforderungsschreiben an 17 Unternehmen, die mit Spielerdaten im Wett- und Gaming-Sektor handeln, mit der Begründung, die Datenverarbeitung verstoße gegen Datenschutzrecht.

Der Ausgang etwaiger Gerichtsverfahren und eine mögliche Entschädigungssumme sind aus dieser Quelle nicht belegt; es handelt sich um vorprozessuale Forderungen.

Am 05.02.2021 wurde gemeldet, ein Hacker habe sich per Fernzugriff in die Steuerung des Wasserwerks von Oldsmar, Florida, eingeklinkt und den Natriumhydroxid-Wert kurzzeitig von 100 auf 11.100 ppm erhöht, ein Vorfall, der weltweit als Beweis für die Verwundbarkeit kritischer Infrastruktur galt. Das FBI konnte in seiner Untersuchung jedoch keinen gezielten externen Cyberangriff bestätigen. Der damalige City Manager von Oldsmar erklärte später, es habe sich um ein 'Nichtereignis' gehandelt: Ein Mitarbeiter habe versehentlich die falschen Schaltflächen angeklickt und danach selbst seine Vorgesetzten informiert.

Der Fall zeigt, wie schnell ein Bedienfehler medial und politisch als Hackerangriff auf kritische Infrastruktur eingeordnet wird; eine abschließende behördliche Feststellung, was tatsächlich geschah, liegt aus dieser Quelle nicht vor.

Am 25.11.2023 griff die mit den iranischen Revolutionsgarden verbundene Gruppe CyberAv3ngers eine Pumpstation der Municipal Water Authority of Aliquippa in Pennsylvania an, indem sie über das Internet erreichbare, unzureichend gesicherte Unitronics-Industriesteuerungen (PLCs) kompromittierte und eine politische Botschaft gegen Israel auf den Displays anzeigte. Der Wasserversorger schaltete nach Entdeckung auf manuellen Betrieb um; laut Betreiber bestand zu keinem Zeitpunkt eine Gefährdung der Wasserversorgung. Bundesbehörden bestätigten, dass dieselbe Gruppe zusätzlich vier weitere Versorger und ein Aquarium angriff.

Die Behauptung, es habe zu keinem Zeitpunkt eine Gefährdung der Wasserqualität gegeben, stammt vom betroffenen Betreiber selbst, nicht von einer unabhängigen technischen Prüfung.

Zwischen Ende November 2018 und März 2019 wurde der finnische Psychotherapie-Anbieter Vastaamo gehackt; die Angreifer erbeuteten die Therapieakten von rund 33.000 Patienten. Nachdem CEO Ville Tapio am 28.09.2020 erstmals vom Täter kontaktiert wurde und Behörden informierte, forderte der Erpresser zunächst 40 Bitcoin (rund 450.000 Euro) vom Unternehmen. Mitte Oktober 2020 erhielten über 33.000 Patienten direkt Droh-E-Mails mit Forderungen von 200 bis 500 Euro in Bitcoin, verbunden mit der Drohung, ihre persönlichen Daten und Therapienotizen zu veröffentlichen, darunter Angaben zu psychischer Gesundheit, Missbrauch und Suizidgedanken. Der Fall löste die größte strafrechtliche Ermittlung in der finnischen Geschichte aus und führte zu Krisengesprächen der damaligen Regierung unter Ministerpräsidentin Sanna Marin. Vastaamo meldete Insolvenz an. Der später identifizierte Täter, der Finne Aleksanteri Kivimäki, wurde in Frankreich festgenommen, nach Finnland ausgeliefert und zu über sechs Jahren Haft verurteilt.

Wie viele der erpressten Patienten tatsächlich zahlten, ist aus dieser Quelle nicht beziffert.

Die von einem Berliner Start-up entwickelte Luca-App sollte Gesundheitsämtern die Kontaktnachverfolgung während der Corona-Pandemie erleichtern, geriet aber 2021 stark in die Kritik. Die Polizei Mainz griff im Rahmen von Ermittlungen zu einem Todesfall auf Besucherdaten eines Restaurants zu, die über Luca erfasst worden waren, obwohl das Infektionsschutzgesetz die Nutzung von Kontaktnachverfolgungsdaten für polizeiliche Zwecke ausdrücklich untersagt. Der baden-württembergische Datenschutzbeauftragte Stefan Brink bezeichnete dies als klaren Gesetzesverstoß. Kritiker verwiesen zudem darauf, dass Luca die Daten zentral speichert, im Gegensatz zur dezentral und transparent konzipierten, staatlichen Corona-Warn-App. Berlin kündigte an, die Nutzung von Luca ab Januar 2022 zu beenden.

Ob der beschriebene Polizeizugriff in Mainz strafrechtliche oder dienstrechtliche Konsequenzen für die beteiligten Beamten hatte, ist aus dieser Quelle nicht belegt.

Swisscom führte im August 2016 als vermutlich erstes Schweizer Unternehmen 'Voiceprint' ein: Ein im Callcenter gespeicherter Stimmabdruck erkennt Kunden bei künftigen Anrufen automatisch anhand der Stimme, ohne dass Sicherheitsfragen nötig sind. Auch die Postfinance und weitere Banken setzten vergleichbare Stimmerkennung zur Authentifizierung ein. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) betonte, dass solche Verfahren erhebliche Risiken für Grundrechte und Freiheiten bergen, da biometrische Merkmale dauerhaft und eindeutig mit einer Person verknüpft sind. Mitte April 2019 stellte Swisscom Voiceprint ein und löschte alle gespeicherten Stimmabdrücke, mutmaßlich als Reaktion auf die wachsende Kritik an den Datenschutzimplikationen der Technologie.

Der genaue Auslöser für die Einstellung durch Swisscom (behördlicher Druck, öffentliche Kritik oder interne Entscheidung) ist aus dieser Quelle nicht eindeutig belegt, nur als Vermutung formuliert.

In der Nacht vom 21. auf den 22.10.2022 verschafften sich Angreifer unbefugten Zugriff auf die IT-Systeme der Kreisverwaltung Rhein-Pfalz-Kreis in Rheinland-Pfalz. Alle rund 600 Computer der Verwaltung wurden lahmgelegt, Systeme und Daten verschlüsselt. Erste Ermittlungen deuteten auf die mutmaßlich aus Russland operierende Gruppe 'Vice Society' hin. Ab dem 11.11.2022 tauchten rund 20.000 Einzeldateien der Kreisverwaltung im Darknet auf. Bürger wurden aufgefordert, ihre Konten zu überprüfen, da die Verwaltung eine Veröffentlichung vertraulicher Daten von Bürgern und Beschäftigten nicht ausschließen konnte. Die Kommunikation mit der Verwaltung war zeitweise nur noch per Brief möglich, da Telefon- und E-Mail-Systeme ausfielen; rund 750 Laptops mussten neu aufgesetzt oder komplett neu beschafft werden.

Ob und in welchem Umfang tatsächlich Bürgerdaten unter den veröffentlichten Dateien waren, ist aus dieser Quelle nicht abschließend beziffert; die Verwaltung sprach von einer nicht auszuschließenden Möglichkeit.

Amnesty International dokumentierte, dass ein erheblicher Teil des für Batterien in Smartphones und Elektroautos benötigten Kobalts aus der Demokratischen Republik Kongo mit Kinderarbeit in Verbindung steht: Kinder arbeiten in einsturzgefährdeten Tunneln bis zu 12 Stunden täglich für ein bis zwei US-Dollar Tageslohn beim Abbau von Kobalterzen. 2019 wurde in den USA Klage gegen Apple, Alphabet (Google), Dell, Microsoft und Tesla eingereicht, weil diese Unternehmen Kobalt aus Minen bezögen, in denen Kinder tödlich verunglückt seien. Apple veröffentlichte als erstes Unternehmen der Branche die Namen seiner Kobaltlieferanten und gilt seither als Branchenführer im Bereich verantwortungsvoller Kobaltbeschaffung; bei einer breiteren Zulieferer-Überprüfung fand Apple bei zehn Zulieferern insgesamt 91 minderjährige Beschäftigte.

Der Ausgang der 2019 eingereichten Klage in den USA ist aus dieser Quelle nicht belegt.

Eine Studie der Duke University zeigte, dass der Datenbroker Acxiom als Teil seiner kommerziellen Dienstleistungen für Kreditkartenanbieter und Einzelhandelsbanken die Identifizierung und Lokalisierung von Militärangehörigen anbietet, die im Einsatz, aber von ihrer Basis abwesend sind. Ein Bericht des US-Direktors der nationalen Nachrichtendienste stellte fest, dass von zehn untersuchten großen Datenbrokern drei explizit damit werben, Daten zur Identifizierung von US-Militärpersonal liefern zu können. Weitere dokumentierte Zielgruppen-Segmente in Werbedaten basierten auf besuchten Orten, darunter Kirchen und andere sensible Örtlichkeiten; in einem prominenten Einzelfall wurden Standortdaten genutzt, um das Privatleben eines katholischen Priesters ohne dessen Wissen öffentlich offenzulegen.

Ob und wie oft die beworbene Militärpersonal-Identifizierung tatsächlich von Kunden der Datenbroker genutzt wurde, ist aus dieser Quelle nicht mit Einzelfällen belegt, nur als kommerzielles Angebot dokumentiert.

Roblox funktioniert nicht nur als Spiel, sondern als soziales Netzwerk, in dem Kinder gezielt von Erwachsenen angesprochen und manipuliert werden können. In einer Undercover-Recherche gaben sich ZDF-Reporter als minderjähriges Mädchen aus und traten Community-Gruppen auf der Plattform bei. Kurz nach dem Beitritt kontaktierte ein mutmaßlicher Cybergroomer das fiktive Profil und lockte es in einen privaten Chat auf einer externen Chat-Plattform, wo die Nachrichten schnell sexuellen und übergriffigen Charakter annahmen, verbunden mit Forderungen nach Fotos und Aufforderungen zur Geheimhaltung. Als Reaktion auf öffentlichen Druck deaktiviert Roblox verschlüsselte Chats, sobald Minderjährige beteiligt sind, um Inhalte besser überwachen zu können; Discord kündigte ähnliche Schutzmaßnahmen an, verschob deren Einführung jedoch nach Kritik.

Die Recherche zeigt einen dokumentierten Einzelfall unter kontrollierten Bedingungen; eine belastbare Häufigkeitsstatistik erfolgreicher Grooming-Versuche auf der Plattform insgesamt ist aus dieser Quelle nicht abgeleitet.

Chicago führte 2012 die 'Strategic Subjects List' ('Heat List') ein, die Personen mit hoher statistischer Wahrscheinlichkeit, eine Straftat zu begehen oder Opfer einer solchen zu werden, auf Basis historischer Faktoren wie Vorstrafen einen Zahlenwert von 0 bis über 500 zuwies. 2013 stufte der Algorithmus Hunderte junge Schwarze Männer als mutmaßliche Täter oder Opfer von Waffengewalt ein, obwohl viele von ihnen keinerlei Vorstrafen hatten; kritisiert wurde, dass die Eingabedaten (insbesondere Festnahmen) selbst bereits durch die diskretionären Entscheidungen von Polizeibeamten bei Streife und Ermittlung verzerrt waren. Die Liste erfasste unverhältnismäßig viele People of Color. Nach Untersuchungen, die dem Programm Ungenauigkeit, Wirkungslosigkeit und rassistische Verzerrung attestierten, stellte Chicago die Nutzung der Heat List im Januar 2020 endgültig ein.

Der genaue kausale Effekt der Liste auf tatsächliche Polizeimaßnahmen gegen gelistete Personen (z. B. verstärkte Kontrollen) ist aus dieser Quelle nicht mit Einzelfallzahlen belegt.

In der Ukraine wurden laut Berichten binnen drei Monaten über 22.000 Einsätze unbemannter Systeme registriert; KI-gestützte Objekterkennung unterstützt Drohnen zunehmend bei der Zielerfassung. Der israelische Journalist Yuval Abraham interviewte Soldaten, die ein KI-Zielsystem namens 'Lavender' nutzten; ein Zitat lautete: 'Früher hatten wir 70 Ziele im Jahr, jetzt haben wir 70 Ziele am Tag.' KI-Expertin Verena Jackson erklärte, eine ethisch geführte Kriegsführung mit autonomen Waffen sei kaum möglich; neu am Ukraine-Krieg sei das weitgehende Herausnehmen des menschlichen Entscheiders aus der Zielauswahl, ein Szenario, das Ethiker zuvor ein Jahrzehnt lang als theoretischen Worst Case diskutiert hatten und das nun ohne Regelwerk, Aufsicht oder Präzedenzfall operativer Standard geworden sei. Amnesty International, Access Now und über 200 weitere Organisationen forderten einen sofortigen Stopp des KI-Einsatzes in militärischen Tötungsketten.

Das 'Lavender'-System wird primär im Kontext des Gaza-Kriegs beschrieben, nicht spezifisch der Ukraine; die Quelle verknüpft beide Konflikte als Beispiele für denselben Trend zur KI-gestützten Zielerfassung, ohne dass Lavender selbst in der Ukraine nachgewiesen im Einsatz war.

Im August 2022 reichten unter anderem das Irish Council for Civil Liberties (ICCL), der Forschungsdirektor Mike Katz-Lacabe sowie die Informationswissenschaftlerin Jennifer Golbeck eine Sammelklage gegen Oracle beim US-Bezirksgericht für den Nordbezirk Kaliforniens ein. Die Klage wirft dem Softwarekonzern und seinen Ad-Tech-Tochterfirmen vor, ohne Zustimmung detaillierte Dossiers zu rund fünf Milliarden Menschen erstellt zu haben, was praktisch alle Internetnutzer weltweit abdecken würde, und diese Überwachungsdaten mit weiteren Daten aus Oracles eigenem Datenmarktplatz zu Profilen zu verknüpfen und zu verkaufen. Teile der Klagebegründung stützen sich auf eine 2016 gehaltene Präsentation von Oracle-Gründer und CTO Larry Ellison, in der er beschrieb, wie Daten gesammelt werden, damit Unternehmen das Kaufverhalten von Verbrauchern vorhersagen können.

Der Ausgang der Sammelklage ist aus dieser Quelle nicht belegt, da sie den Zeitpunkt der Klageeinreichung beschreibt.

Der US Supreme Court entschied im Fall Chatrie v. United States, dass der Zugriff auf Googles Standortverlauf (Location History) über einen Geofence Warrant eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellt und künftig einen richterlichen Durchsuchungsbefehl erfordert. In einem aufsehenerregenden früheren Fall aus Pennsylvania hatte die Polizei von Google Informationen zu allen Personen erhalten, die zuvor nach einer bestimmten Adresse gesucht hatten, die später zum Tatort eines Mordes wurde. Google selbst hatte seine Timeline-Funktion bereits 2023 auf geräteinterne Speicherung umgestellt und speichert Standortdaten seit Juli 2025 nicht mehr zentral auf eigenen Servern.

Die Wirkung des Urteils auf bereits laufende oder abgeschlossene Verfahren, in denen Standortdaten ohne Durchsuchungsbefehl erlangt wurden, ist aus dieser Quelle nicht behandelt.

In den Archiven des Bundesnachrichtendienstes (BND) in Pullach tauchten 2015 zuvor unbekannte Dateien mit insgesamt 459.000 sogenannten Selektoren auf, Suchbegriffen zur Filterung von Internet- und Telefonkommunikation, die der BND im Auftrag der NSA einsetzte. Die Suchbegriffe zielten auf europäische Institutionen, Personen und laut Berichten auch 'hochrangige politische Persönlichkeiten'. Oppositionsfraktionen reichten gemeinsam Klage beim Bundesverfassungsgericht ein, weil die Bundesregierung dem parlamentarischen Untersuchungsausschuss zur Spionageaffäre wichtige Beweismittel vorenthalte. Die Bundesregierung verweigerte dem Ausschuss unter Berufung auf Staatswohlgründe und geheime Vereinbarungen mit den USA über den Umgang mit Nachrichtendienstmaterial die Einsicht in die vollständige Liste.

Ob und in welchem Umfang der BND die von der NSA übermittelten Suchbegriffe tatsächlich systematisch prüfte, bevor er sie einsetzte, ist aus dieser Quelle nicht abschließend geklärt; genau das war Gegenstand der Untersuchung.

Im Jahr 2023 führten im Auftrag der EU-Grenzschutzagentur Frontex beauftragte Firmen 1.711 Überwachungsflüge im Mittelmeer durch, davon 243 mit unbemannten Drohnen. Seit 2022 kritisieren Seenotrettungsorganisationen wiederholt, dass mit Frontex-Drohnen von Malta aus gesammelte Informationen über Standorte von Migrantenbooten an die libysche Küstenwache weitergegeben werden, die daraufhin Boote abfängt und Menschen zurück nach Libyen bringt, wo sie erneut in Lagern misshandelt werden, aus denen sie sich zuvor freigekauft hatten. Bei der Bootskatastrophe von Messenia im Juni 2023, einem der schwersten Unglücke in der EU-Migrationsgeschichte mit rund 650 Toten, waren ebenfalls Drohnen im Einsatz. Frontex' technische Strategie für 2023–2027 sieht Investitionen von 400 Millionen Euro in Drohnen und weitere Überwachungstechnologie vor.

Eine direkte kausale Verantwortung von Frontex für einzelne Todesfälle wie bei Messenia wird in dieser Quelle nicht behauptet; kritisiert wird die Weitergabepraxis von Standortdaten an Libyen als strukturelles Problem.

Uber setzte über Jahre ein internes Softwaretool namens 'Greyball' ein, um Fahrer gezielt von potenziellen Bedrohungen fernzuhalten, darunter Ordnungsbehörden und Strafverfolger, die versuchten, Uber beim illegalen Betrieb in Städten zu erwischen, in denen der Dienst verboten oder eingeschränkt war. Das Tool identifizierte verdeckt ermittelnde Behördenmitarbeiter, die sich als Fahrgäste ausgaben, und zeigte ihnen eine gefälschte Version der App an, in der scheinbar ein Fahrzeug bestellt wurde, das jedoch nie erschien oder kurz darauf storniert wurde. Nach Enthüllung durch die New York Times im März 2017 leitete das US-Justizministerium eine strafrechtliche Untersuchung ein. Eine umfassende Untersuchung der Stadt Portland, Oregon, stellte fest, dass Uber die Software gezielt einsetzte, um 16 städtische Regulierungsbeamte bei ihrer Arbeit zu täuschen.

Der Ausgang der strafrechtlichen Untersuchung des US-Justizministeriums ist aus dieser Quelle nicht belegt.