Quellen-Tabelle

Im November 2014 wurde Sony Pictures Entertainment Opfer eines Cyberangriffs, zu dem sich eine Gruppe namens Guardians of Peace bekannte. Die Angreifer löschten Daten auf tausenden Firmenrechnern und stahlen interne E-Mails, Mitarbeiterdaten sowie mehrere unveröffentlichte Kinofilme. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, der im Kontext der Sony-Komödie The Interview stand.

Das FBI legte keine detaillierten technischen Beweise offen, sondern verwies allgemein auf Ähnlichkeiten zu früherer nordkoreanischer Schadsoftware. Mehrere unabhängige Sicherheitsforscher äußerten damals Zweifel an der offiziellen Zuschreibung.

Ab dem 27.02.2022 veröffentlichte ein anonymer Account namens ContiLeaks über mehrere Tage Archive mit internen Chatnachrichten und Quellcode der Ransomware-Gruppe Conti. Die Daten stammten von einem ukrainischen Sicherheitsforscher, geleakt wurden 393 JSON-Dateien mit rund 60.000 internen Nachrichten aus dem Zeitraum Januar 2021 bis Februar 2022. Auslöser war eine öffentliche Erklärung der Conti-Gruppe, sich nach dem russischen Angriff auf die Ukraine auf die Seite Russlands zu stellen.

Die genaue Identität des Sicherheitsforschers hinter ContiLeaks wurde nie offiziell bestätigt. Wie lange der Zugriff auf die internen Systeme bereits vor der Veröffentlichung bestand, bleibt unklar.

Der EuGH entschied am 13.05.2014 in der Rechtssache C-131/12, dass Suchmaschinenbetreiber als für die Datenverarbeitung Verantwortliche gelten. Betroffene können von Google die Entfernung von Links zu personenbezogenen Daten verlangen, wenn diese nicht mehr relevant oder unangemessen sind, auch wenn die zugrunde liegende Veröffentlichung rechtmäßig bleibt. Auslöser war eine Anzeige aus 1998 über eine Zwangsversteigerung des Klägers Mario Costeja Gonzalez.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Der EuGH erklärte am 06.10.2015 in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission von 2000 für ungültig. Grundlage war eine Beschwerde von Max Schrems gegen die irische Datenschutzbehörde, weil Facebook Ireland Nutzerdaten in die USA übermittelte, wo sie nach den Snowden-Enthüllungen dem Zugriff von US-Geheimdiensten ausgesetzt waren. Der EuGH stellte klar, dass nationale Datenschutzbehörden die Angemessenheit von Datentransfers eigenständig prüfen dürfen.

Wie ein Nachfolgeregime konkret ausgestaltet werden würde, war zum Urteilszeitpunkt offen, die Nachfolgevereinbarung Privacy Shield trat erst 2016 in Kraft. Das spätere Schrems-II-Urteil von 2020 ist nicht Gegenstand dieser Quelle.

Das Bundesverfassungsgericht entschied am 20.04.2016 über Verfassungsbeschwerden gegen BKA-Befugnisse zur Terrorismusabwehr. Die Ermächtigung zu heimlichen Überwachungsmaßnahmen wie Online-Durchsuchung und Wohnraumüberwachung ist grundsätzlich mit dem Grundgesetz vereinbar. Mehrere konkrete Vorschriften erfüllten jedoch nicht die Verhältnismäßigkeitsanforderungen und wurden für teilweise verfassungswidrig erklärt, der Gesetzgeber musste bis 30.06.2018 nachbessern.

Wer konkret die Beschwerdeführer waren, geht aus der Pressemitteilung nicht hervor. Die genaue gesetzgeberische Umsetzung der Neuregelung bis 2018 ist nicht Gegenstand dieser Quelle.

Das Auswärtige Amt teilte am 28.05.2020 mit, dass der russische Staatsangehörige Dmitrij Badin verdächtig sei, als Mitglied der Gruppe APT28 für den Cyberangriff auf den Deutschen Bundestag im April und Mai 2015 verantwortlich zu sein. Der Ermittlungsrichter des BGH erließ am 29.04.2020 einen Haftbefehl gegen Badin, dem geheimdienstliche Agententätigkeit vorgeworfen wird. Es gibt Hinweise, dass Badin zum Zeitpunkt des Angriffs dem russischen Militärgeheimdienst GRU angehörte.

Die Mitteilung ist eine politische Zuschreibung der Bundesregierung und kein rechtskräftiges Gerichtsurteil. Badin wurde nie festgenommen oder ausgeliefert, da Russland eigene Staatsangehörige grundsätzlich nicht ausliefert.

Am 27.01.2021 gaben die Generalstaatsanwaltschaft Frankfurt am Main und das BKA bekannt, dass die Infrastruktur der Schadsoftware Emotet in einer international koordinierten Aktion übernommen und zerschlagen wurde. Das BKA beschlagnahmte 17 Server in Deutschland, weitere in den Niederlanden, Litauen und der Ukraine. Beteiligt waren Behörden aus acht Ländern, koordiniert durch Europol und Eurojust. Der in Deutschland verursachte Schaden wird mit mindestens 14,5 Millionen Euro beziffert, betroffen waren unter anderem das Klinikum Fürth und das Kammergericht Berlin.

Die Identität der mutmaßlichen Betreiber und Drahtzieher hinter Emotet ist nicht dokumentiert, es wurde keine konkrete Festnahme einer Kernperson in Deutschland vermeldet. Die Schadenssumme bezieht sich nur auf bekannt gewordene Fälle in Deutschland.

Der EuGH (Große Kammer) erklärte am 08.04.2014 in den verbundenen Rechtssachen C-293/12 und C-594/12 die Richtlinie 2006/24/EG über die Vorratsspeicherung von Telekommunikationsdaten für ungültig. Klägerin war unter anderem Digital Rights Ireland Ltd. Der EuGH sah einen schwerwiegenden Eingriff in die Grundrechte auf Achtung des Privatlebens und Datenschutz, da die Richtlinie unterschiedslos alle Personen erfasste, keine objektiven Kriterien für den Datenzugriff vorsah und keine ausreichenden Sicherheitsgarantien enthielt.

Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.

Die Große Kammer des EGMR entschied am 04.12.2008, dass die zeitlich unbegrenzte Aufbewahrung von Fingerabdrücken, Zellproben und DNA-Profilen nicht verurteilter Personen gegen Artikel 8 EMRK verstößt. Kläger waren ein freigesprochener Jugendlicher und Michael Marper, gegen den ein Verfahren eingestellt worden war. Die South Yorkshire Police hatte ihre Daten trotz fehlender Verurteilung unbegrenzt gespeichert. Das Gericht urteilte einstimmig, die pauschale Speicherungspraxis sei unverhältnismäßig.

Der EGMR sprach keine finanzielle Entschädigung zu, die Feststellung der Konventionsverletzung selbst galt als ausreichende Genugtuung. Wie schnell das Vereinigte Königreich das Urteil praktisch umsetzte, bleibt offen.

Der EGMR erklärte am 29.06.2006 die Beschwerde der Journalistin Gabriele Weber und des Uruguayers Cesar Richard Saravia gegen Deutschland für unzulässig. Die Beschwerde richtete sich gegen die strategische Telekommunikationsüberwachung des BND nach dem G10-Gesetz. Der Gerichtshof stellte fest, dass die deutschen Regelungen ausreichende gesetzliche Schutzmechanismen enthalten, unter anderem durch die Kontrolle der G10-Kommission, und mit Artikel 8 EMRK vereinbar sind.

Es handelt sich um eine Unzulässigkeitsentscheidung ohne Feststellung einer Konventionsverletzung, keine Verurteilung Deutschlands. Ob und in welchem Umfang die Kommunikation der Beschwerdeführer tatsächlich erfasst wurde, ist nicht dokumentiert.

Am 07.05.2015 entschied das US Court of Appeals for the Second Circuit im Fall ACLU gegen Clapper einstimmig, dass das massenhafte Sammeln von Telefonverbindungsdaten durch die NSA nicht von Section 215 PATRIOT Act gedeckt ist. Das Gericht wies die Position der Regierung zurück, nur das geheime FISA-Gericht dürfe die Rechtmäßigkeit prüfen, und stellte fest, dass die ACLU klagebefugt ist.

Das Gericht entschied nur auf einfachgesetzlicher Ebene, nicht zur verfassungsrechtlichen Frage. Kurz nach dem Urteil lief Section 215 am 01.06.2015 aus und wurde durch den USA Freedom Act ersetzt.

Die Fitness-App Strava veröffentlichte im November 2017 eine globale Heatmap mit GPS-Aktivitätsdaten von über einer Milliarde Trainingseinheiten. Ende Januar 2018 machte der Student Nathan Ruser öffentlich, dass die Laufrouten von Soldaten in der Heatmap die Umrisse von US-Militärbasen in Syrien, Afghanistan und Somalia sichtbar machten. Strava erklärte, die Heatmap zeige eine anonymisierte Ansicht und kündigte eine Überprüfung der Privatsphäre-Einstellungen an.

Wie viele Militärstandorte konkret identifiziert wurden und ob daraus tatsächliche Sicherheitsvorfälle entstanden, ist nicht abschließend dokumentiert. In welchem Umfang einzelne Soldatenprofile re-identifiziert werden konnten, beruht auf Stichproben.

Der Alphabet-Ableger Sidewalk Labs gab am 07.05.2020 die Aufgabe seines Smart-City-Projekts Quayside in Toronto bekannt, offiziell wegen wirtschaftlicher Unsicherheit durch die Covid-19-Pandemie. Dem Rückzug ging ein mehrjähriger öffentlicher Streit um die geplante Sensor- und Datensammlung voraus. Bereits 2018 trat die frühere Datenschutzbeauftragte Ontarios, Ann Cavoukian, als Beraterin zurück, da ihr zufolge keine ausreichende Anonymisierung zugesichert wurde.

Ob die jahrelange öffentliche Kritik an der Datensammlung tatsächlich mitentscheidend für die Absage war, ist nicht offiziell bestätigt. Eine förmliche behördliche Untersuchung zu den Datenschutzvorwürfen ist nicht bekannt.

Amnesty International dokumentierte im Dezember 2024, dass serbische Polizei und der Sicherheitsdienst BIA das Cellebrite-Tool UFED nutzten, um Handys von Journalisten und Aktivisten zu entsperren, und anschließend die Spyware NoviSpy installierten. Die Cellebrite-Geräte stammten aus einer 2019 über UNOPS abgewickelten norwegischen Entwicklungshilfe. Nach dem Bericht stellte Cellebrite im Februar 2025 die Nutzung durch die betroffenen serbischen Kunden ein.

Wie viele weitere Personen in Serbien überwacht wurden, ist offen. Ob Cellebrite von der konkreten Verwendung zur Spyware-Installation wusste, ist nicht belegt, das Unternehmen lieferte die Entsperrtechnik, nicht NoviSpy.

Am 06.05.2025 sprach eine Geschworenenjury am US-Bundesgericht WhatsApp und Meta gegen NSO Group Schadensersatz zu: 444.719 US-Dollar Kompensation und 167.254.000 US-Dollar Strafschadensersatz. Grundlage war die Ausnutzung einer WhatsApp-Schwachstelle 2019, über die NSO die Pegasus-Spyware auf rund 1.400 Geräten installierte. Vorausgegangen war ein Haftungsurteil von Richterin Phyllis Hamilton vom Dezember 2024.

NSO Group kündigte Rechtsmittel an. Spätere Medienberichte legen nahe, dass die Richterin den Strafschadensersatz nachträglich auf rund 4 Millionen US-Dollar reduzierte, dies stammt nicht aus der Primärquelle und sollte separat verifiziert werden.

DOJ und FBI gaben am 26.01.2023 bekannt, seit Ende Juli 2022 monatelang verdeckt in die Infrastruktur der Ransomware-Gruppe Hive eingedrungen zu sein und fortlaufend Entschlüsselungscodes gesammelt zu haben. Diese wurden an über 300 aktuell angegriffene sowie mehr als 1000 frühere Opfer verteilt und verhinderten Lösegeldforderungen von rund 130 Millionen US-Dollar. Gemeinsam mit deutschen und niederländischen Behörden sowie Europol beschlagnahmten die Ermittler anschließend Hives Server.

Diese Operation wurde von beteiligten Behörden als Operation Dawnbreaker bezeichnet, nicht Operation Duck Hunt (das war die spätere, separate Qakbot-Zerschlagung im August 2023). Ob und wie viele Hive-Mitglieder identifiziert wurden, ist nicht dokumentiert.

Die CNIL verhängte am 31.12.2021 ein Bußgeld von insgesamt 150 Millionen Euro gegen Google (90 Mio Google LLC, 60 Mio Google Ireland), weil Nutzer auf google.fr und youtube.com Cookies mit einem Klick akzeptieren konnten, die Ablehnung aber mehrere Klicks erforderte. Die Behörde ordnete an, die Cookie-Ablehnung binnen drei Monaten so einfach wie die Annahme zu gestalten.

Ob Google innerhalb der Dreimonatsfrist vollständig compliant wurde, bleibt offen, die CNIL kam 2023 mit einer weiteren Entscheidung auf die Umsetzung zurück. Dieser Fall betrifft ausschließlich die Cookie-Bannergestaltung und ist getrennt vom späteren Google-Analytics-Verfahren zu betrachten.

Die Gruppe Scattered Spider verschaffte sich am 11.09.2023 per Social-Engineering-Anruf beim IT-Helpdesk Administratorzugriff auf die Okta- und Azure-Umgebung von MGM Resorts. Die Angreifer verschlüsselten mehr als 100 ESXi-Server mit BlackCat/ALPHV-Ransomware, wodurch Spielautomaten und Kreditkartenterminals tagelang ausfielen. Laut SEC-Mitteilung vom 05.10.2023 entstand ein geschätzter Verlust von rund 100 Millionen US-Dollar. Zusätzlich wurden persönliche Daten von Kunden mit MGM-Kontakt vor März 2019 entwendet.

Ob MGM tatsächlich kein Lösegeld zahlte, lässt sich nicht unabhängig verifizieren. Dieser Vorfall vom September 2023 ist getrennt vom früher dokumentierten MGM-Resorts-Datenleck 2019/2020 zu betrachten.

Der BGH entschied am 18.11.2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren über Ansprüche aus dem Facebook-Scraping-Vorfall von 2021, bei dem Daten von rund 533 Millionen Nutzern offengelegt wurden. Der BGH bestätigte, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden nach Art. 82 DSGVO begründen kann, ohne konkreten Missbrauch nachweisen zu müssen. Der Vorsitzende Richter nannte für den bloßen Kontrollverlust eine Größenordnung von etwa 100 Euro und verwies die Sache zurück an das OLG Köln.

Der Betrag von rund 100 Euro ist eine richterliche Orientierungsgröße, keine feste Summe für alle Fälle. Wie sich die Entscheidung auf tausende weitere anhängige Parallelverfahren auswirkt, ist nicht abschließend geklärt, da diese jeweils neu bewertet werden müssen.

Seit dem 02.02.2025 gelten die Verbote aus Artikel 5 der EU-KI-Verordnung. Darunter fällt der Einsatz biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden, der grundsätzlich untersagt ist. Ausnahmen bestehen nur eng begrenzt, etwa bei der Suche nach vermissten Kindern. Verstöße können mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Nicht vom Verbot erfasst ist die nachträgliche biometrische Fernidentifizierung, wofür bereits ein begründeter Tatverdacht genügt, was Bürgerrechtsorganisationen als Schlupfloch kritisieren. Belastbare Zahlen zu tatsächlichen Anwendungsfällen liegen nicht vor.

NHS England vergab im November 2023 den Vertrag für die landesweite Federated Data Platform an ein von Palantir Technologies UK geführtes Konsortium mit Accenture, PwC und weiteren Partnern. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Investitionsvolumen von bis zu 330 Millionen Pfund. Die Plattform soll Daten aus bis zu 240 NHS-Organisationen zusammenführen, um Wartelisten zu verkürzen.

Wie hoch der tatsächlich ausgezahlte Betrag im Vergleich zum Maximalvolumen ausfällt, ist offen. Dieser Eintrag betrifft ausdrücklich den 2023 abgeschlossenen Langzeitvertrag, nicht den früheren Notfallvertrag von 2020 zum COVID-19 Data Store.

Mattel kündigte 2015 mit Hello Barbie eine internetfähige, sprachgesteuerte Puppe an, die per Mikrofon Kindergespräche aufzeichnet und über WLAN an Cloud-Server des Partners ToyTalk überträgt, wo sie ausgewertet werden. Die Organisation Campaign for a Commercial-Free Childhood kritisierte, sensible Daten über Kinder könnten für Marketingzwecke missbraucht werden. ToyTalk erklärte, gesammelte Daten würden nicht für Werbung genutzt.

Der Artikel dokumentiert nur die Ankündigung vor dem Marktstart im Herbst 2015. Spätere Sicherheitslücken und eine im Dezember 2015 eingereichte Sammelklage wegen COPPA-Verstößen sind nicht Gegenstand dieser Quelle.

Der Erste Senat des Bundesverfassungsgerichts entschied am 06.11.2019 in zwei zeitgleich verkündeten Beschlüssen über den Prüfungsmaßstab für Verfassungsbeschwerden. In Recht auf Vergessen I (1 BvR 16/13, Klage gegen ein Online-Pressearchiv wegen jahrzehntealter Mordberichterstattung) bekräftigte das Gericht, dass es innerstaatliches Recht mit unionsrechtlichem Gestaltungsspielraum primär an den Grundrechten des Grundgesetzes prüft. In Recht auf Vergessen II (1 BvR 276/17, Streit einer Geschäftsführerin mit Google um einen Suchmaschinenlink zu einem TV-Beitrag) legte das Gericht erstmals fest, dass es bei unionsrechtlich vollständig vereinheitlichtem Recht stattdessen die Charta der Grundrechte der EU als Prüfungsmaßstab heranzieht.

Diese Quelle ist die Pressemitteilung Nr. 84/2019 zu Recht auf Vergessen II. Nach welchen trennscharfen Kriterien im Einzelfall zwischen gestaltungsoffenem und vollständig vereinheitlichtem Unionsrecht abzugrenzen ist, bleibt offen. Wie viele spätere Verfassungsbeschwerden sich seither ausdrücklich auf die EU-Grundrechtecharta stützen, ist nicht beziffert.

Nachdem HBGary-Federal-Chef Aaron Barr angekündigt hatte, Anführer von Anonymous identifiziert zu haben, hackte die Gruppe Anfang Februar 2011 die Server der Sicherheitsfirma und veröffentlichte mehr als 70.000 interne E-Mails. Die Mails zeigten, dass HBGary Federal zusammen mit Palantir Technologies und Berico Technologies im Auftrag der Kanzlei Hunton & Williams eine Kampagne gegen WikiLeaks vorbereitet hatte, mit Desinformation und Druck auf Journalisten. Dieselbe Kanzlei hatte die drei Firmen zudem beauftragt, gewerkschaftsnahe Organisationen wie ThinkProgress und SEIU ins Visier zu nehmen. Aaron Barr trat nach der Veröffentlichung als CEO zurück.

Bank of America und die US Chamber of Commerce bestritten, die Vorschläge in Auftrag gegeben zu haben. Ob die geplanten Maßnahmen tatsächlich umgesetzt wurden, ist nicht abschließend geklärt. Eine strafrechtliche Verfolgung der Kanzlei oder Auftraggeber ist nicht dokumentiert.

Der Chaos Computer Club analysierte im Oktober 2011 eine als Quellen-TKÜ eingesetzte staatliche Späh-Software und deckte gravierende Sicherheitsmängel auf. Die Software konnte beliebigen Schadcode nachladen, Kommandos zwischen Steuerserver und Trojaner waren teils unverschlüsselt und Screenshots sowie Audiodaten nur unzureichend verschlüsselt. Zudem ermöglichte sie Zugriffe auf Mikrofon, Kamera, Tastatur und Dateisystem und ging damit weit über die gesetzlich erlaubte Telekommunikationsüberwachung hinaus. Betroffen waren laut Bericht unter anderem Bayern und Schleswig-Holstein, wo die Software als Bayerntrojaner beziehungsweise 0zapftis bekannt wurde.

Wie viele Personen insgesamt mit der Software überwacht wurden, geht aus dem Artikel nicht hervor. Offen bleibt, welche weiteren Landesbehörden die Software bereits eingesetzt hatten. Der Hersteller wird in diesem Artikel nicht genannt.