Quellen-Tabelle

Im Frühjahr 2015 wurde bekannt, dass der BND für die NSA jahrelang Überwachungsziele erfasste, die gegen deutsche und westeuropäische Interessen gerichtet waren. Der BND übernahm rund eine Million von der NSA gelieferte Selektoren weitgehend ungeprüft. Im Oktober 2015 bestätigte die Bundesregierung dem Bundestag, dass bis zu 40.000 dieser Selektoren gegen deutsche Ziele gerichtet waren, betroffen waren unter anderem Ministerien und Unternehmen wie EADS.

Nicht geklärt ist, wie viele der rund eine Million Selektoren tatsächlich zur aktiven Überwachung führten. Die Zahl von 40.000 wurde von einigen Abgeordneten als zu niedrig angezweifelt, spätere Schätzungen sprachen von bis zu 459.000 fragwürdigen Selektoren insgesamt. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss unter Berufung auf US-Geheimhaltungsinteressen lange vorenthalten.

Nach dem Volkszählungsurteil des Bundesverfassungsgerichts vom 15.12.1983 wurde die ursprünglich für 1983 geplante Volkszählung gestoppt und erst zum Stichtag 25.05.1987 in überarbeiteter Form durchgeführt. Für den Zensus 1987 wurden personenbezogene Angaben von den Fragebögen getrennt, um die Anonymität stärker zu schützen. Vor allem in Großstädten formierte sich eine breite Boykottbewegung gegen den Abgleich der Zählungsdaten mit den Melderegistern.

Die genaue Zahl der Boykottteilnehmer ist nicht zuverlässig belegt und lässt sich im Nachhinein nicht rekonstruieren. Neben dem offenen Boykott gab es einen heimlichen Boykott durch bewusst falsche Angaben, der sich statistisch nicht erfassen lässt. Unklar bleibt, in welchem Umfang die Protestbewegung tatsächlich Einfluss auf spätere Datenschutzgesetzgebung hatte.

Am 24.05.2008 wurde bekannt, dass die Deutsche Telekom in den Jahren 2005 und 2006 Telefonverbindungsdaten von mindestens 55 Personen abgleichen ließ, um undichte Stellen im Unternehmen zu identifizieren. Betroffen waren Aufsichtsräte, ein Vorstandsmitglied, Gewerkschaftsfunktionäre wie Ver.di-Chef Frank Bsirske sowie mehrere Journalisten, insgesamt rund 60 Personen. Die Staatsanwaltschaft Bonn ermittelte gegen acht Beschuldigte. Das Landgericht Bonn verurteilte den ehemaligen Sicherheitsverantwortlichen am 30.11.2010 zu dreieinhalb Jahren Haft wegen Betrugs, Untreue und Verletzung des Fernmeldegeheimnisses.

Unklar bleibt, in welchem Umfang neben Telefonverbindungsdaten auch Bankdaten ausgewertet wurden und ob Bewegungsprofile erstellt wurden, hierzu liegen nur Verdachtsmomente vor. Offen bleibt zudem, wer konkret die Anweisung zur Überwachung erteilt hat und wie weit die Kenntnis in der damaligen Unternehmensspitze reichte.

Die nordrhein-westfälische Landesdatenschutzbeauftragte leitete im April 2018 ein Prüfverfahren gegen die Deutsche-Post-Tochter Post Direkt ein wegen des Verdachts, im Bundestagswahlkampf 2017 Adressdaten an Parteien verkauft zu haben. Der Handel mit personalisierten Daten hätte mit einem Bußgeld bis zu 300.000 Euro geahndet werden können. CDU und FDP erklärten, nur anonymisierte Daten genutzt zu haben.

Nicht belegt ist, ob am Ende des Verfahrens tatsächlich ein Bußgeld verhängt wurde, ein öffentlich dokumentiertes Ergebnis ließ sich nicht finden. Nicht zu verwechseln mit dem später tatsächlich verhängten 18-Millionen-Euro-Bußgeld gegen die Österreichische Post, ein anderes Unternehmen in einem anderen Land.

IT-Sicherheitsforscher registrierten am Portal des Deutschen Apothekerverbands eine fiktive Apotheke mit gefälschten Dokumenten und erhielten binnen zwei Tagen Zugang. Mit diesem Zugang konnten sie gültige, vom CovPass Check als echt erkannte digitale Impfzertifikate ausstellen, obwohl keine Impfung vorlag. Die geforderte Telematik-ID wurde nicht verifiziert, die Zwei-Faktor-Authentifizierung war entfallen. Der DAV schaltete das Portal ab, rund 470 Apotheken ohne Verbandsmitgliedschaft konnten vorübergehend keine Zertifikate mehr ausstellen. Zu diesem Zeitpunkt waren bereits mehr als 25 Millionen Impfzertifikate über das Portal ausgestellt worden.

Nicht belegt ist, in welchem Umfang die Lücke vor der Veröffentlichung durch Dritte tatsächlich ausgenutzt wurde. Das Bundesgesundheitsministerium erklärte, keine Hinweise auf Missbrauch gefunden zu haben, eine unabhängige forensische Bestätigung liegt nicht vor. Der kolportierte Schwarzmarktpreis von rund 138 Euro pro Zertifikat ist nicht durch Strafverfolgungsdaten belegt.

Anfang Januar 2022 fragte die Mainzer Polizei Kontaktdaten aus der Luca App ab, um Zeugen zu einem Todesfall zu ermitteln, obwohl die App gesetzlich ausschließlich zur Kontaktnachverfolgung im Rahmen der Corona-Pandemie zugelassen war. Eine spätere ZDF-Recherche identifizierte bundesweit mehr als hundert vergleichbare Fälle. In mindestens fünf dieser Fälle war die Datenabfrage nach dem jeweiligen Infektionsschutzgesetz ausdrücklich verboten. Der Vorfall führte zu politischen Forderungen, die App zu löschen.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.

Der bayerische Landtag verabschiedete am 15.05.2018 eine Novelle des Polizeiaufgabengesetzes, die der Polizei bereits beim Verdacht einer drohenden Gefahr weitreichende Befugnisse einräumt, darunter Staatstrojaner, Body Cams, Drohnen und in Ausnahmefällen Sprengmittel. Gegen das Gesetz demonstrierten im Mai 2018 in München mehr als 40.000 Menschen. Am 06.10.2018 reichte die Gesellschaft für Freiheitsrechte gemeinsam mit dem noPAG-Bündnis eine Verfassungsbeschwerde für zehn Betroffene ein. Das Bundesverfassungsgericht verhandelte die Beschwerde am 07. und 08.07.2026.

Die genaue Teilnehmerzahl der Demonstration ist nicht amtlich dokumentiert, nur journalistisch geschätzt. Der Begriff der drohenden Gefahr wird von Kritikern als zu unbestimmt bezeichnet, seine verfassungsrechtliche Bewertung war zum Zeitpunkt der Beschwerdeeinreichung offen. Diese Quelle dokumentiert die Einreichung, nicht das inhaltliche Ergebnis der Verhandlung.

Bundesinnenministerin Nancy Faeser entschied, dass ihr Ressort keine gemeinsame Bundes-VeRA-Plattform auf Basis von Palantir Gotham einführt, womit das Vorhaben für BKA und Bundespolizei beendet ist. Die bayerische Landespolizei nutzt seit 2024 bereits ein auf Gotham basierendes System namens VeRA. Das Bundesverfassungsgericht erklärte im Februar 2023 die entsprechenden Rechtsgrundlagen in Hessen und Hamburg für verfassungswidrig. Die Bundesregierung setzt stattdessen auf das Programm Polizei 2020.

Nicht dokumentiert sind konkrete Kosten oder ein Zeitplan für Polizei 2020 als Alternative. Unklar bleibt, ob andere Bundesländer außer Bayern ähnliche Systeme einsetzen. Die technische Funktionsweise von Gotham ist öffentlich nicht im Detail belegt.

Der Bundesrechnungshof veröffentlichte am 13.10.2020 einen Bericht, wonach Zoll, Steuerbehörden und Deutsche Rentenversicherung bei der Bekämpfung von Schwarzarbeit nicht ausreichend elektronisch zusammenarbeiten, Informationen wurden teils per Speichermedium oder Papierform ausgetauscht. Die Zollbehörden dokumentierten für 2019 einen Schwarzarbeitsschaden von 750 Millionen Euro. Der Rechnungshof forderte eine gemeinsame Datenbank.

Nicht dokumentiert ist ein Einzelfall von rechtswidrigem Datenabgleich. Der Bericht kritisiert primär organisatorische Ineffizienz, nicht einen Datenschutzskandal im engeren Sinne. Offen bleibt, ob die geforderte gemeinsame Datenbank seither umgesetzt wurde.

Im April 2010 wurde bekannt, dass Google-Street-View-Fahrzeuge zwischen 2008 und 2010 in über 30 Ländern Daten aus offenen WLAN-Netzwerken mitschnitten. Google erklärte zunächst am 27.04.2010, keine Nutzdaten zu sammeln, musste dies aber am 14.05.2010 korrigieren und einräumen, dass tatsächlich Payload-Daten erfasst wurden. Die Staatsanwaltschaft Hamburg leitete Ermittlungen ein, im April 2013 verhängte die Hamburger Datenschutzbehörde ein Bußgeld von 145.000 Euro.

Nicht geklärt ist, in welchem Umfang die gesammelten Daten tatsächlich sensible Inhalte wie Passwörter enthielten und ob Google sie ausgewertet hat. Google bezeichnete die Sammlung als versehentlich, eine unabhängige Bestätigung liegt nicht vor. Es kam zu keiner strafrechtlichen Verurteilung, nur zum verwaltungsrechtlichen Bußgeld.

Der CCC veröffentlichte am 08.10.2011 den Bericht Analyse einer Regierungs-Malware, eine technische Zerlegung eines von DigiTask entwickelten Staatstrojaners. Die Software kommunizierte über TCP Port 443 mit einem hartcodierten Command-and-Control-Server. Der CCC dokumentierte Funktionen wie das Nachladen beliebigen weiteren Codes sowie Screenshot- und Mikrofonzugriff, die über die vom Bundesverfassungsgericht 2008 gezogenen engen Grenzen der Quellen-Telekommunikationsüberwachung hinausgingen.

Nicht belegt ist, in wie vielen Einsatzfällen bundesweit genau diese DigiTask-Version zum Einsatz kam. Umstritten blieb, ob die nachladbare Funktion tatsächlich für Funktionen jenseits der Quellen-TKÜ genutzt wurde oder nur technisch möglich war. Die genaue Herkunft der Samples wurde aus Quellenschutzgründen nicht vollständig offengelegt.

Die neue Telekommunikations-Überwachungsverordnung wurde Ende Mai 2017 vom Bundesrat verabschiedet und verpflichtete Provider ab 01.07.2017 zur Speicherung von Verbindungsdaten, zehn Wochen für Internet- und Telekommunikationsmetadaten, vier Wochen für Standortdaten. Die finale technische Richtlinie wurde erst Mitte Juni veröffentlicht, nur rund zwei Wochen vor der Umsetzung. Provider kritisierten den Umsetzungsaufwand von rund 600 Millionen Euro als unverhältnismäßig.

Die Zahl von 600 Millionen Euro stammt aus Branchenschätzungen, nicht von offizieller Seite bestätigt. Die rechtliche Tragfähigkeit angesichts der EuGH-Rechtsprechung war zum Zeitpunkt der Berichterstattung ungeklärt, das Bundesverfassungsgericht setzte die Speicherpflicht 2017 vorläufig aus.

Die Deutsche Bahn gibt bei der Fahrpreisnacherhebung, etwa nach Fahrten ohne gültigen Fahrschein, Kundendaten an die Arvato Infoscore GmbH weiter, eine Bertelsmann-Tochter. Arvato Infoscore berechnet daraus mittels nicht offengelegter Verfahren Bonitätswerte, die über Zahlungsarten, Mobilfunkverträge und Mietwohnungsvergabe mitentscheiden können, ohne dass Betroffene informiert werden. Das Unternehmen verwaltete zum damaligen Zeitpunkt über 40 Millionen Negativmerkmale zu 7,8 Millionen Verbrauchern.

Nicht belegt ist ein spezifischer Fall, in dem die Deutsche Bahn im Zusammenhang mit Sitzplatzreservierungen unmittelbar Bonitätsprüfungen durchführt. Die dokumentierte Praxis betrifft die Fahrpreisnacherhebung bei Schwarzfahren, nicht die reguläre Ticketbuchung. Der Bericht stammt aus 2016, aktuellere Zahlen liegen nicht vor.

Bitmarck, IT-Dienstleister für rund 80 der 96 gesetzlichen Krankenkassen, meldete am 19.01.2023 unbefugten Zugriff auf einen Teil seiner IT-Infrastruktur. Ein Angreifer nutzte gestohlene Zugangsdaten, um ohne Zwei-Faktor-Authentifizierung auf die Plattform Jira zuzugreifen. Nach Präzisierungen waren Daten von rund 300.000 Online-Kunden betroffen. Zentrale Systeme zur Verarbeitung von Gesundheitsdaten waren laut Bitmarck nicht betroffen.

Frühe Meldungen sprachen von bis zu 25 Millionen potenziell betroffenen Versicherten, Bitmarck präzisierte später auf rund 300.000 Online-Kundenkonten. Offen bleibt, wie viele Datensätze tatsächlich kopiert oder im Darknet weiterverkauft wurden.

Die Datenschutzkonferenz veröffentlichte am 16.08.2024 eine Orientierungshilfe zur Datenverarbeitung bei funkbasierten Zählern für Gebäudeeigentümer und Wohnungsunternehmen. Verbrauchsdaten dürfen ausschließlich zur Nebenkostenabrechnung und zu gesetzlich zugelassenen Zwecken erhoben werden. Eine Auswertung zur Erstellung von Nutzungs- oder Verhaltensprofilen ist ohne ausdrückliche Rechtsgrundlage unzulässig. Rechtsgrundlagen sind DSGVO, Messstellenbetriebsgesetz und Heizkostenverordnung.

Die Orientierungshilfe ist ein allgemeines Regelwerk, keine Feststellung eines konkreten Verstoßes. Es liegt kein dokumentierter Fall vor, in dem ein deutsches Wohnungsunternehmen wegen Auswertung von Smart-Meter-Daten bereits mit einem Bußgeld belegt wurde.

In der Nacht auf den 16.10.2021 wurde die Stadtverwaltung Witten Opfer eines Cyberangriffs, der rund 1.000 Computerarbeitsplätze sowie E-Mail und Telefon lahmlegte. Betroffen waren Bürgerberatung, Standesamt und Volkshochschule, während Notruf und Feuerwehr weiterliefen. Die Stadt zog zur Schadensbegrenzung die Netzstecker und schaltete Polizei und LKA ein. Die vollständige Wiederherstellung zog sich bis ins Frühjahr 2022 hin.

Nicht bestätigt wurde, ob es sich um einen klassischen Ransomware-Angriff mit Erpressung handelte. Die genaue Dauer der Wiederherstellung wird unterschiedlich angegeben, ein offizieller Abschlussbericht mit exaktem Enddatum liegt nicht vor.

Das Bundesverfassungsgericht wies mit Beschluss vom 01.11.2024 eine Verfassungsbeschwerde gegen eine Verurteilung ab, die auf in Frankreich erhobenen Encrochat-Daten beruhte. Das Gericht bestätigte die Rechtsprechung des BGH, wonach kein Beweisverwertungsverbot besteht, da die zugrunde liegende Europäische Ermittlungsanordnung rechtmäßig war. Der BGH hatte bereits am 02.03.2022 grundsätzlich entschieden.

Umstritten bleibt, wie die französische Überwachungsmaßnahme selbst rechtlich einzuordnen war, deutsche Gerichte prüfen nur die Rechtmäßigkeit der Übermittlung. Wie viele Verfahren insgesamt auf Encrochat-Daten gestützt wurden, ist nicht bundesweit einheitlich erfasst.

Der ehemalige Uber-Sicherheitschef Joe Sullivan war 2022 wegen Vertuschung eines Datenlecks aus dem Jahr 2016 verurteilt worden, weil er den Vorfall nicht der US-Handelsaufsicht FTC meldete und stattdessen Schweigegeld an die Angreifer zahlte. Das Berufungsgericht des Ninth Circuit bestätigte am 24.06.2025 die Verurteilung. Sullivan war zu drei Jahren Bewährung verurteilt worden, blieb aber während des Verfahrens ohne Haftstrafe.

Nicht Teil dieser Quelle ist der ursprüngliche Hack von 2016 selbst, der von den hier nicht identischen Angreifern der Lapsus\$-Attacke 2022 zu unterscheiden ist. Ob Sullivan weitere Rechtsmittel wie eine Revision vor dem Supreme Court einlegte, ist nicht dokumentiert.

Bei der Sitzung der EU-Innenminister am 12.06.2025 fand der Vorschlag zur verpflichtenden serverseitigen Chatkontrolle unter dänischer Ratspräsidentschaft erneut keine ausreichende Mehrheit unter den EU-Mitgliedstaaten. Deutschland positionierte sich gegen eine anlasslose Chatkontrolle. Der Vorschlag zur CSAM-Verordnung (Chatkontrolle) wurde damit zum wiederholten Mal vertagt, nachdem bereits 2023 und 2024 keine Einigung erzielt worden war.

Der endgültige Ausgang der Verhandlungen war zum Zeitpunkt dieser Quelle offen, spätere Ratspräsidentschaften könnten das Thema erneut aufgreifen. Die genaue Stimmenverteilung der einzelnen Mitgliedstaaten wurde nicht in allen Details veröffentlicht.

Die Bundesregierung machte am 03.05.2024 die russische Hackergruppe APT28, die dem Militärgeheimdienst GRU zugeordnet wird, für einen Cyberangriff auf die IT-Systeme der SPD-Bundesgeschäftsstelle im Jahr 2023 verantwortlich. Zusätzlich betroffen waren Unternehmen der Logistik-, Rüstungs- und Luft- und Raumfahrtbranche. Das Auswärtige Amt bestellte den russischen Botschafter ein, die EU verurteilte den Angriff gemeinsam mit mehreren Partnerstaaten.

Nicht öffentlich beziffert wurde der konkrete Umfang der abgeflossenen Daten bei der SPD oder den betroffenen Unternehmen. Die genaue Zahl und Namen aller betroffenen Rüstungsunternehmen wurden aus Sicherheitsgründen nicht vollständig veröffentlicht.

Am 08.10.2022 wurden gegen 2 Uhr nachts an zwei Orten, Herne und Berlin-Karow, Glasfaserkabel des Zugfunknetzes GSM-R der Deutschen Bahn durchtrennt. Beide redundant ausgelegten Stränge fielen aus. Der ICE-Verkehr zwischen Berlin, Hannover und Nordrhein-Westfalen sowie die Verbindung Berlin-Amsterdam waren für mehrere Stunden unterbrochen. Die Bundesanwaltschaft übernahm die Ermittlungen am 13.10.2022, das BKA wurde am 21.10.2022 eingeschaltet.

Nicht bewiesen ist, dass es sich um einen politisch motivierten Sabotageakt handelte. Die Staatsanwaltschaft Bochum identifizierte bis Juni 2024 zwei mutmaßliche Täter, die laut Berichten von Juli 2023 nach Kupferkabeln suchten und die Glasfaserkabel offenbar irrtümlich beschädigten. Ob ein politisches Motiv oder ein Diebstahlsversuch vorlag, blieb laut Ermittlungsstand unklar.

Beim Landratsamt Enzkreis in Pforzheim waren durch eine fehlerhafte Systemkonfiguration eines externen IT-Dienstleisters personenbezogene Daten aus Online-Führerscheinanträgen über eine nicht verlinkte, aber direkt aufrufbare Internetadresse zugänglich. Die Fehlkonfiguration bestand von Januar 2025 bis zur Entdeckung am 08.10.2025, betroffen waren Anträge zwischen 01.01.2024 und 08.10.2025. Die Zahl der betroffenen Personen liegt im oberen vierstelligen Bereich, der Server wurde umgehend abgeschaltet.

Nicht belegt ist die exakte Zahl tatsächlich abgerufener Datensätze, die Behörde spricht nur von einer potenziellen oberen vierstelligen Zahl. Welcher externe IT-Dienstleister die Fehlkonfiguration verursachte und ob eine Haftung geklärt ist, bleibt unklar.

Die IT-Sicherheitsexpertin Lilith Wittmann deckte im Juli 2024 mit ihrem Projekt festnetz.cool auf, dass die Deutsche Telekom eine offen zugängliche API für Festnetzanschlüsse betreibt. Allein mit einer IP-Adresse ließen sich Tarifdetails, Geschwindigkeit sowie eine dauerhafte Nutzerkennung abrufen. Die Telekom meldete den Vorfall am 15.07.2024 an die Bundesbeauftragte für den Datenschutz.

Die genaue Zahl betroffener Anschlüsse ist nicht belegt, Schätzungen schwanken zwischen wenigen Millionen und bis zu 25 Millionen ohne verifizierte Grundlage. Ob die Telekom die Daten aktiv zur Nutzerverfolgung einsetzte, ist unklar.

Am 18.05.2022 zwischen etwa 8:00 und 9:35 Uhr konnten Nutzer im Online-Portal der Bundesagentur für Arbeit teilweise auf persönliche Daten anderer Kunden zugreifen, darunter Schriftverkehr von Arbeitssuchenden. Ursache war ein technischer Fehler bei einem Sicherheitsupdate, bei dem Nutzerkonten falschen Datensätzen zugeordnet wurden. Die Bundesagentur deaktivierte die Anmeldefunktion um 9:35 Uhr und stellte sie um 10:05 Uhr wieder her.

Wie viele Personen tatsächlich betroffen waren, konnte die Bundesagentur nach eigener Aussage nachträglich nicht mehr ermitteln. Ob eine Meldung an die Datenschutzaufsichtsbehörde nach Artikel 33 DSGVO erfolgte, ist aus verfügbaren Berichten nicht dokumentiert.

Am 27.01.2024 verschafften sich Unbekannte Zugang zur IT-Infrastruktur der Bezirkskliniken Mittelfranken und verschlüsselten gezielt Daten. Betroffen waren acht Kliniken und zwei Wohnheime mit rund 1700 Betten, darunter das Klinikum am Europakanal Erlangen und das Bezirksklinikum Ansbach. Die Angreifer zogen personenbezogene Daten und interne Dokumente ab, alle Systeme wurden vom Netz genommen. Ein Krisenstab arbeitete mit Polizei, Staatsanwaltschaft und der bayerischen Datenschutzaufsicht zusammen. Bis Ende Februar 2024 wurde die IT schrittweise wieder aufgebaut.

Welche Tätergruppe hinter dem Angriff steckt, ist nicht dokumentiert. Ob eine Lösegeldforderung gestellt und gezahlt wurde, ist unbekannt. Der genaue Umfang der abgezogenen Daten wird nicht beziffert.