Quellen-Tabelle

Am 06.12.2021 veröffentlichte das gemeinnützige Rechercheportal The Markup eine Untersuchung, wonach die Familien-Tracking-App Life360 die präzisen Standortdaten ihrer weltweit rund 33 Millionen Nutzer an etwa ein Dutzend Datenhändler verkaufte. Zu den Käufern zählten unter anderem die Unternehmen X-Mode, Cuebiq, SafeGraph und Arity, eine Tochtergesellschaft des Versicherungskonzerns Allstate. Life360 wird von Eltern genutzt, um den Aufenthaltsort ihrer Kinder zu verfolgen, verkaufte die dabei gesammelten Standortdaten jedoch gleichzeitig weiter. Im Jahr 2020 erzielte das Unternehmen durch den Verkauf von Standortdaten rund 16 Millionen US-Dollar, was fast 20 Prozent des Jahresumsatzes entsprach. Zusätzlich erhielt Life360 rund 6 Millionen US-Dollar durch eine gesonderte Vereinbarung mit Arity. Nach Veröffentlichung der Recherche kündigte Life360 am 27.01.2022 an, den Verkauf präziser Standortdaten an die meisten der bisherigen Datenhändler einzustellen. Life360 bestätigte, seit mindestens 2016 Standortdaten an Dritte verkauft zu haben. Im April 2022 berichtete The Markup, dass US-Regulierungsbehörden nach der Recherche Informationen zu den Datenpraktiken von Life360 angefordert hatten. Im Juni 2023 wurde gegen Life360 eine Klage wegen ungerechtfertigter Bereicherung eingereicht.

Nicht belegt ist, wie viele der 33 Millionen Nutzer konkret von den Datenverkäufen betroffen waren und welche einzelnen Endkunden die Datenhändler mit den Rohdaten beliefert haben; der Ausgang der 2023 eingereichten Klage sowie das Ergebnis der Regulierungsanfragen waren zum Zeitpunkt der Berichterstattung offen.

Am 19.12.2022 veröffentlichte MIT Technology Review eine Recherche zu einem Datenleck bei iRobot. Die Redaktion konnte 15 Bildschirmfotos einsehen, die von Testgeräten der Roomba J7 Serie zwischen Juni und November 2020 in den USA, Japan, Frankreich, Deutschland und Spanien aufgenommen worden waren. Eines der Bilder zeigte eine Frau auf der Toilette in ihrer eigenen Wohnung. iRobot hatte mehr als 2 Millionen Bilder aus diesen Testgeräten an das Datenannotationsunternehmen Scale AI weitergegeben, damit dessen Plattform Remotasks die Aufnahmen für das Training von Künstlicher Intelligenz kennzeichnete. Gig Worker in Venezuela, die für Remotasks tätig waren, teilten die Bilder entgegen ihrer Vertraulichkeitsvereinbarung in geschlossenen Gruppen auf Facebook, Discord und anderen Plattformen. iRobot erklärte, es habe die Zusammenarbeit mit dem betroffenen Dienstleister beendet und untersuche den Vorfall. Das Unternehmen gab an, die Testgeräte seien mit einem grünen Aufkleber gekennzeichnet gewesen, der auf laufende Videoaufnahmen hinwies. Die betroffenen Testpersonen hatten einer Datenerfassung zu Entwicklungszwecken zugestimmt, jedoch nicht damit gerechnet, dass Aufnahmen aus ihren Wohnungen im Internet öffentlich geteilt werden.

Aus der Quelle geht nicht hervor, wie viele Personen insgesamt von der Weiterverbreitung betroffen waren und welche konkreten Konsequenzen die beteiligten Gig Worker oder Scale AI trugen. Ob es zu behördlichen Ermittlungen oder Sanktionen gegen iRobot oder Scale AI kam, ist ebenfalls nicht belegt.

Die Nachrichtenseite The Verge veröffentlichte am 25.04.2019 einen Bericht von Colin Lecher über ein automatisiertes Leistungsüberwachungssystem im Amazon-Logistikzentrum BWI2 in Baltimore, Maryland. Grundlage waren interne Dokumente, die im Zuge einer Beschwerde beim National Labor Relations Board offengelegt wurden. Das System erfasst die Kennzahl Time Off Task, also Zeitspannen, in denen ein Mitarbeiter nicht aktiv scannt, verpackt oder Ware einlagert. Unterschreitet ein Beschäftigter die vorgegebene Produktivitätsrate, generiert das System automatisch Verwarnungen oder Kündigungen, ohne dass ein Vorgesetzter eingreifen muss. Laut den Dokumenten wurden zwischen August 2017 und September 2018 rund 300 Vollzeitkräfte am Standort BWI2 wegen Ineffizienz entlassen. Das Lager beschäftigte zu dieser Zeit etwa 2.500 Mitarbeiter, sodass die Kündigungen hochgerechnet mehr als 10 Prozent der Belegschaft pro Jahr betrafen. Amazon widersprach der Darstellung und erklärte, kein Mitarbeiter werde allein durch Software entlassen, da Vorgesetzte vor einer Kündigung eingebunden würden und Beschäftigte zuvor Coaching und Schulungen erhielten. Bußgelder, Vergleichszahlungen oder ein Gerichtsurteil im Zusammenhang mit diesem konkreten Bericht sind nicht bekannt.

Aus dem Bericht geht nicht hervor, wie oft Vorgesetzte automatisiert erzeugte Kündigungsvorschläge tatsächlich prüften oder aufhoben, und ob die geschilderte Praxis am Standort BWI2 in identischer Form auch in anderen Amazon-Lagern galt.

Der US-Hersteller von Smart-Home-Kameras Wyze Labs aus Seattle ließ die Daten von rund 2,4 Millionen Kunden ungeschützt im Internet zugänglich. Ursache war eine falsch konfigurierte Elasticsearch-Datenbank, die ein Mitarbeiter am 04.12.2019 für ein internes Analyseprojekt aus den Produktivservern kopierte und dabei ohne Zugriffsschutz beließ. Die Datenbank blieb bis zum 26.12.2019 offen einsehbar, also rund drei Wochen lang. Entdeckt wurde das Leck von der Sicherheitsfirma Twelve Security, die einen Bericht veröffentlichte, sowie zeitgleich durch die Nachfrage eines Reporters der Plattform IPVM bei Wyze. Offengelegt waren unter anderem E-Mail-Adressen von Kunden, Kamera-Spitznamen, WLAN-Netzwerknamen (SSID), Geräteinformationen sowie rund 24.000 Tokens für die Alexa-Integration. Bei einer kleinen Gruppe von Beta-Testern waren zudem Körperdaten wie Größe, Gewicht und Geschlecht betroffen. Passwörter und Zahlungsdaten waren nach Angaben von Wyze nicht in der Datenbank enthalten. Am 27.12.2019 entdeckte Wyze bei einer internen Sicherheitsüberprüfung eine zweite offen zugängliche Datenbank. Im Februar 2020 wurde beim US-Bezirksgericht für den Western District of Washington eine Sammelklage gegen Wyze Labs eingereicht.

Aus dieser Quelle nicht belegt sind die tatsächliche Zahl der von Dritten wirklich abgerufenen Datensätze sowie der Ausgang der 2020 eingereichten Sammelklage einschließlich einer möglichen Vergleichssumme oder Geldstrafe.

Am 10.01.2019 veröffentlichte das Onlinemagazin The Intercept eine Recherche von Sam Biddle, wonach Amazons Tochterfirma Ring Mitarbeitern in den USA und in der Ukraine weitreichenden, teils uneingeschränkten Zugriff auf private Kundenvideos ihrer Überwachungskameras gewährte. Laut der Enthüllung hatten Ring-Ingenieure in der Ukraine seit 2016 Zugang zu einem Amazon-S3-Cloud-Ordner, der praktisch jedes von einer Ring-Kamera je aufgenommene Video enthielt. In den USA konnten zudem Mitarbeiter und Führungskräfte auf Live-Feeds von Kundenkameras zugreifen, obwohl Ring dies in seinen Nutzungsbedingungen nicht offenlegte. Quellen berichteten dem Magazin, dass Mitarbeiter sich gegenseitig Aufnahmen aus Kameras von Kollegen zeigten. Ring erklärte, Mitarbeiter hätten keinen Zugriff auf Livestreams, und verschärfte im Februar 2019 die internen Regeln, sodass ein Videozugriff fortan die Zustimmung des jeweiligen Kunden voraussetzte. Die FTC bestätigte die Vorwürfe 2023 in einer eigenen Klage und dokumentierte, dass ein einzelner Mitarbeiter über Monate hinweg tausende Videos von mindestens 81 Nutzerinnen der Ring-Kamera Stick Up Cam eingesehen hatte. Ring einigte sich im Mai 2023 mit der FTC auf eine Zahlung von 5,8 Millionen US-Dollar, aus der die Behörde ab 2024 rund 117044 Rückerstattungen an betroffene Kunden auszahlte.

Die genaue Gesamtzahl der Kunden, deren private Videos über die Jahre unbefugt von Mitarbeitern oder Vertragspartnern eingesehen wurden, ist nicht abschließend beziffert. Der Intercept-Artikel selbst stützt sich auf anonyme Quellenangaben, während das volle Ausmaß des Zugriffs erst später durch die FTC teilweise dokumentiert wurde.

Am 02.12.2015 töteten Syed Rizwan Farook und Tashfeen Malik bei einem Attentat in San Bernardino, Kalifornien, 14 Menschen und verletzten 22 weitere. Ermittler sicherten ein dienstliches iPhone 5C von Farook, das mit einem vierstelligen Code und iOS-Verschlüsselung gesichert war. Am 16.02.2016 ordnete die US-Bundesrichterin Sheri Pym auf Basis des All Writs Act von 1789 an, Apple müsse dem FBI angemessene technische Unterstützung leisten, konkret eine spezielle Firmware-Version, die die automatische Löschfunktion und die Verzögerung bei Falscheingaben des Codes deaktiviert. Noch am selben Tag veröffentlichte Apple-CEO Tim Cook den offenen Brief A Message to Our Customers, in dem er die Anordnung als Aufforderung zum Bau einer Hintertür bezeichnete und vor einem Präzedenzfall für alle iPhone-Nutzer warnte. Apple legte am 25.02.2016 einen Antrag auf Aufhebung der Anordnung vor, FBI-Direktor James Comey und Apples Justiziar Bruce Sewell sagten am 01.03.2016 vor dem US-Kongress aus. Am 21.03.2016 beantragte das US-Justizministerium eine Verschiebung der Anhörung, weil ein Dritter eine mögliche Methode zum Entsperren des Telefons vorgestellt habe. Am 28.03.2016 zog das Justizministerium die Klage zurück und erklärte, das FBI habe erfolgreich auf die Daten des iPhones zugegriffen, ohne Apples Hilfe zu benötigen. FBI-Direktor Comey bezifferte die Kosten für die Entsperrmethode im April 2016 auf mehr als 1,3 Millionen US-Dollar.

Die Identität des Drittanbieters, der dem FBI beim Entsperren half, wurde nie offiziell bestätigt (kursierende Berichte nennen die israelische Firma Cellebrite), und die genaue Höhe der gezahlten Summe schwankt in Medienberichten zwischen unter 1 Million und über 1,3 Millionen US-Dollar. Ob die auf dem Telefon gefundenen Daten ermittlungsrelevant waren, ist aus dieser Quelle nicht abschließend belegt.

Am 24.11.2019 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit 17 Medienpartnern aus 14 Ländern und mehr als 75 Journalisten die sogenannten China Cables, geheime chinesische Regierungsdokumente aus dem Jahr 2017. Die Dokumente waren ICIJ über eine Kette exilierter Uiguren zugespielt worden und umfassen ein neunseitiges Betriebshandbuch vom November 2017, vier elfseitige Geheimdienstbulletins vom Juni 2017 sowie ein Gerichtsdokument von 2018. Das Betriebshandbuch, laut den Unterlagen abgezeichnet vom damaligen stellvertretenden Parteisekretär Xinjiangs Zhu Hailun, beschreibt erstmals detailliert den Betrieb der Internierungslager für Angehörige der uigurischen Minderheit in der Region Xinjiang. Die Bulletins belegen den Einsatz der Überwachungsplattform Integrated Joint Operations Platform (IJOP), die auf Basis von Big-Data-Analysen automatisch Personen als verdächtig einstuft. Laut einem der Bulletins generierte die IJOP-Software allein in einer Woche im Juni 2017 eine Liste von 24.412 als verdächtig markierten Personen, von denen 15.683 in derselben Woche interniert wurden. Menschenrechtsorganisationen und Forscher gehen von Hunderttausenden bis über einer Million Inhaftierten in den Lagern der Region aus. Die Echtheit der Dokumente wurde unter anderem von den China-Experten Adrian Zenz und James Mulvenon bestätigt. Die chinesische Botschaft in London bezeichnete die Dokumente als Fälschung und stellte die Einrichtungen als freiwillige Berufsbildungszentren dar.

Die genaue Gesamtzahl der Internierten in Xinjiang sowie die vollständige Befehlskette bis zur Zentralregierung in Peking sind aus den veröffentlichten Dokumenten allein nicht abschließend belegt, und Peking bestreitet die Echtheit der China Cables bis heute.

Cellebrite ist ein israelisches Unternehmen, das mit dem Universal Forensic Extraction Device (UFED) Software zur Entsperrung und Datenextraktion aus Smartphones herstellt. Am 12.01.2017 erbeuteten Hacker rund 900 GB interne Daten von Cellebrite-Servern, darunter Zugangsdaten zu Firmendatenbanken und Auswertungsdateien beschlagnahmter Telefone. Die erbeuteten Daten belegten Verkäufe der Entsperrtechnik an die Türkei, die Vereinigten Arabischen Emirate und Russland. Weitere Recherchen zeigten, dass Cellebrite-Produkte zwischen 2013 und 2019 auch an das belarussische Untersuchungskomitee geliefert wurden, das sie gegen die demokratische Opposition einsetzte. Laut Haaretz vom 16.09.2020 bot Cellebrite zudem Saudi-Arabien Entsperrdienste an, wofür ein Firmenvertreter im November 2019 nach Riad reiste. Im August 2020 berichtete MIT Technology Review, dass die Polizei Hongkongs Cellebrite-Geräte einsetzte, um Handys von während der Proteste 2019/2020 festgenommenen Demonstranten zu entsperren. Laut Gerichtsakten nutzte auch die myanmarische Polizei Cellebrite-Technik zur Auswertung der Telefone zweier 2018 verurteilter Reuters-Journalisten, die über den Rohingya-Genozid berichtet hatten. Am 07.10.2020 kündigte Cellebrite wegen geänderter US-Exportvorschriften an, keine Produkte mehr an Hongkong und China zu verkaufen.

Der genaue Umfang der weltweiten Cellebrite-Kundenliste sowie die tatsächliche Zahl betroffener Staaten und Einzelpersonen sind aus dieser Quelle nicht vollständig belegt. Unklar bleibt zudem, ob die angekündigten Lieferstopps an Russland, Belarus, Hongkong und China tatsächlich eingehalten wurden, da spätere Berichte weiterhin Nutzung der Technik in diesen Ländern nahelegen.

Die britische Gesundheitsbehörde NHSX testete ab dem 05.05.2020 auf der Isle of Wight eine Bluetooth-basierte Corona-Kontaktverfolgungs-App mit zentralisiertem Datenmodell, bei dem Kontaktdaten auf einem zentralen NHS-Server gespeichert wurden. Bis zum 11.05.2020 wurde die App rund 55.000 Mal heruntergeladen. Datenschutzexperten kritisierten das zentralisierte Modell wegen des Risikos einer Ausweitung der Datennutzung und forderten stattdessen ein dezentrales Modell nach Vorbild der von Apple und Google entwickelten Exposure-Notification-Schnittstelle. Tests zeigten zudem technische Probleme: Wegen Apples Beschränkungen für Bluetooth-Hintergrundprozesse erkannte die zentralisierte App nur etwa 4 Prozent der iPhones und rund 75 Prozent der Android-Geräte zuverlässig, während das Apple-Google-Modell 99 Prozent beider Gerätetypen erfasste. Am 18.06.2020 gab Gesundheitsminister Matt Hancock bekannt, dass die Regierung das zentralisierte Modell aufgibt und künftig mit Apple und Google an einer dezentralen Lösung arbeitet. Die neue, auf der Apple-Google-Schnittstelle basierende NHS-COVID-19-App wurde am 24.09.2020 in England und Wales veröffentlicht und am ersten Tag sechs Millionen Mal heruntergeladen. Eine 2023 veröffentlichte Studie schätzte, dass die App im ersten Betriebsjahr rund eine Million Infektionsfälle und etwa 9.600 Todesfälle verhindert habe. Die App wurde am 27.04.2023 endgültig abgeschaltet.

Aus dieser Quelle nicht belegt sind die genauen Entwicklungskosten der ursprünglichen zentralisierten App sowie die Details der internen Entscheidungsprozesse. Ebenfalls unklar bleibt, ob letztlich die technischen Bluetooth-Probleme mit iPhones oder die Datenschutzbedenken den Ausschlag für den Wechsel gaben.

Der Computerwurm Stuxnet wurde am 17.06.2010 von der belarussischen Sicherheitsfirma VirusBlokAda unter Sergey Ulasen entdeckt, nachdem ein iranischer Kunde wiederholte Computerabstürze gemeldet hatte. Die Schadsoftware zielte auf Siemens SIMATIC Step7 Software und S7-300 speicherprogrammierbare Steuerungen, mit denen die Frequenzumrichter der Gaszentrifugen in der iranischen Urananreicherungsanlage Natanz geregelt wurden. Stuxnet erhöhte die Rotationsgeschwindigkeit der Zentrifugen für 15 Minuten auf 1.410 Hertz und senkte sie anschließend für 50 Minuten stark ab, wodurch die Rotoren mechanisch beschädigt wurden. Nach Schätzungen des Institute for Science and International Security wurden zwischen November 2009 und Ende Januar 2010 rund 900 bis 1.000 der etwa 9.000 in Natanz installierten IR-1-Zentrifugen zerstört, etwa 10 Prozent des Bestands. Weltweit infizierte Stuxnet laut Symantec über 200.000 Computer, rund 59 Prozent der Infektionen entfielen auf Iran. Am 01.06.2012 berichtete die New York Times unter Berufung auf Regierungsvertreter, dass Stuxnet Teil der gemeinsamen US-israelischen Operation Olympic Games war, die unter Präsident George W. Bush begann und unter Barack Obama fortgesetzt wurde. Im Juni 2013 bestätigte der ehemalige NSA-Mitarbeiter Edward Snowden die gemeinsame Entwicklung durch die NSA und die israelische Einheit 8200.

Die genaue Zahl der tatsächlich zerstörten Zentrifugen bleibt eine Schätzung verschiedener Quellen zwischen rund 900 und 2.000, ebenso wie das exakte Ausmaß der dadurch verursachten Verzögerung des iranischen Atomprogramms. Eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor.

Am 20.06.2024 gab das US-Handelsministerium (Bureau of Industry and Security, BIS) eine Entscheidung bekannt, die Verkauf und Nutzung von Sicherheitssoftware der russischen Firma Kaspersky Lab in den USA verbietet. Es war die erste Anwendung der ICTS-Regulierung auf Grundlage der Executive Order 13873 zur Sicherung der Lieferkette für Informations- und Kommunikationstechnologie. Betroffen sind Kaspersky Lab Inc. in den USA sowie die russischen Muttergesellschaften AO Kaspersky Lab und OOO Kaspersky Group, die britische Kaspersky Labs Limited und verbundene Tochterunternehmen. Ab dem 20.07.2024 durfte Kaspersky in den USA keine neuen Verträge mehr abschließen oder Lizenzen verkaufen. Ab dem 29.09.2024 mussten Kaspersky und von ihm beauftragte Dritte Virensignatur- und Codebase-Updates sowie den Betrieb des Kaspersky Security Network für US-Kunden vollständig einstellen. Als Begründung nannte das BIS die Kontrolle der russischen Regierung über Kaspersky und weitreichende administrative Zugriffsrechte der Software auf Kundensysteme. Am 21.06.2024 verhängte das US-Finanzministerium zusätzlich Sanktionen gegen zwölf Führungskräfte von AO Kaspersky Lab. Nach eigenen Angaben hatte Kaspersky zu diesem Zeitpunkt weltweit mehr als 400 Millionen Nutzer und rund 270.000 Unternehmenskunden in über 200 Ländern. Kaspersky wies die Vorwürfe zurück und stellte seinen Geschäftsbetrieb in den USA zum 20.07.2024 ein.

Die Quelle belegt kein konkretes, öffentlich vorgelegtes Beweismittel für tatsächlichen Datenmissbrauch oder Spionage durch Kaspersky; das Verbot beruht auf einer Risikoeinschätzung des russischen Staatseinflusses, nicht auf einem dokumentierten Vorfall. Wie viele der über 400 Millionen Nutzer konkret in den USA betroffen waren, wird von der Quelle nicht beziffert.

Die Electronic Frontier Foundation (EFF) veröffentlichte am 31.10.2023 den Bericht Red Flag Machine zur Schülerüberwachungssoftware GoGuardian. Die Software überwacht nach EFF-Angaben rund 27 Millionen Schüler in etwa 11.500 Schulen in den USA. GoGuardian analysiert automatisiert Suchanfragen, besuchte Webseiten und Bildschirminhalte auf Schulcomputern und meldet vermeintlich bedenkliche Inhalte an Schulpersonal. Laut den EFF-Autoren Jason Kelley und Kate Prince erzeugt das System deutlich mehr Fehlalarme als korrekt erkannte schädliche Inhalte. Zu den fälschlich als gefährlich eingestuften Inhalten zählen Bewerbungsseiten von Universitäten, Beratungs- und Therapieangebote, Informationen zu Drogenmissbrauch, LGBTQ-Themen und sexueller Gesundheit sowie Nachrichtenseiten und Bildungsmaterial. EFF-Ermittlungsdirektor Dave Maass nannte als Beispiel, dass Schüler wegen des Aufrufs des offiziellen Fitnessratgebers der US Marine Corps markiert wurden. Grundlage des Berichts waren zahlreiche Anfragen nach dem Freedom of Information Act sowie die Auswertung tausender tatsächlicher GoGuardian-Warnmeldungen. Manche großen Schulbezirke erzeugen nach GoGuardian eigenen Angaben bis zu 50.000 Alarme pro Tag.

Aus dieser Quelle nicht belegt sind eine offizielle Stellungnahme von GoGuardian zu den Vorwürfen, eine behördliche Sanktion oder Geldstrafe sowie eine exakte bundesweite Gesamtzahl aller erzeugten Fehlalarme.

Im Dezember 2019 übernahmen unbekannte Angreifer in den USA mehrere internetverbundene Überwachungskameras des Amazon-Tochterunternehmens Ring und sprachen über deren eingebaute Lautsprecher mit Kindern und Erwachsenen in deren Schlafzimmern. Am 04.12.2019 sprach ein Unbekannter über die Kamera der Familie LeMay in Desoto County, Mississippi, mit der achtjährigen Alyssa, spielte Musik ab und gab sich als Santa Claus und bester Freund aus. Die Kamera war nach Angaben der Mutter Ashley LeMay erst vier Tage zuvor installiert worden. Zwischen dem 09. und 11.12.2019 wurden weitere Fälle aus Cape Coral in Florida, Grand Prairie in Texas und Brookhaven in Georgia bekannt. Ring erklärte öffentlich, es habe keinen eigenen Datenschutzverstoß gegeben, die Angreifer hätten stattdessen Zugangsdaten aus früheren, fremden Datenlecks per Credential Stuffing wiederverwendet. Die Familie LeMay hatte die optionale Zwei-Faktor-Authentifizierung für ihr Ring-Konto nicht aktiviert. Die US-Handelsaufsicht FTC stellte 2023 in einer Klage fest, dass Hacker über ähnliche Methoden bis 2020 auf Konten und Kamera-Feeds von mindestens 55.000 US-Kunden zugreifen konnten, darunter Kinder und ältere Menschen. Im Rahmen der Einigung zahlte Ring eine Entschädigungssumme von 5,6 Millionen US-Dollar, die die FTC ab 2024 per PayPal an mehr als 117.000 betroffene Kunden auszahlte.

Aus der Quelle nicht belegt ist, wie viele der im Dezember 2019 gemeldeten Einzelfälle sich tatsächlich auf Credential Stuffing zurückführen lassen, da Sicherheitsforscher Rings Darstellung anhand des Formats geleakter Daten anzweifelten. Ebenfalls nicht dokumentiert ist, ob die verantwortlichen Angreifer je identifiziert oder strafrechtlich verfolgt wurden.

Der Sicherheitsforscher Troy Hunt veröffentlichte am 27.02.2017 seine Analyse zum Datenleck des Spielzeugherstellers Spiral Toys, dessen Produktlinie CloudPets internetverbundene Plüschtiere mit Sprachnachrichtenfunktion zwischen Eltern und Kindern umfasste. Die zugrunde liegende MongoDB-Datenbank war bereits seit dem 25.12.2016 ohne jede Authentifizierung im offenen Internet erreichbar und wurde von der Suchmaschine Shodan erfasst. Sie enthielt 821.296 Nutzerdatensätze mit E-Mail-Adressen und bcrypt-gehashten Passwörtern sowie Namen, Geburtsdaten und Profilfotos von Kindern. Zusätzlich verwies die Datenbank auf 2.182.337 bei Amazon Web Services gespeicherte Sprachaufnahmen zwischen Eltern und Kindern, die ohne Zugriffsschutz abrufbar waren. Mehrere Sicherheitsforscher versuchten ab dem 30.12.2016 vergeblich, Spiral Toys sowie den Hosting-Anbieter Linode zu erreichen, der erst am 04.01.2017 reagierte. Zwischen dem 07.01. und 13.01.2017 griffen Unbekannte mehrfach auf die ungesicherte Datenbank zu, löschten Teile davon und hinterließen Erpressernachrichten mit Bitcoin-Zahlungsaufforderungen. CloudPets verlangte laut Hunts Untersuchung keinerlei Mindestanforderungen an Passwörter. Das Unternehmen informierte die betroffenen Familien nach Hunts Angaben trotz gesetzlicher Meldepflicht im Sitzstaat Kalifornien nicht über den Vorfall.

Aus dieser Quelle nicht belegt sind spätere behördliche Konsequenzen wie Bußgelder oder ein förmliches FTC-Verfahren gegen Spiral Toys sowie der genaue Umfang tatsächlich abgeflossener Daten, da die Reaktionszeiten einzelner Angreifer nicht vollständig rekonstruierbar sind.

Am 21.11.2023 vergab NHS England den Zuschlag für die Federated Data Platform (FDP) an ein von Palantir Technologies angeführtes Konsortium, dem auch Accenture, PwC, NECS und Carnall Farrar angehören. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Volumen von bis zu 330 Millionen Pfund, wobei die ursprüngliche Ausschreibung bei voller Verlängerung einen Maximalwert von bis zu 480 Millionen Pfund vorsah. Die FDP soll Patientendaten aus bis zu 240 NHS-Organisationen und 215 Krankenhaustrusts in England zusammenführen, um Wartelisten zu verwalten und die Versorgung zu koordinieren. Palantir setzte sich im Vergabeverfahren gegen Mitbewerber wie Oracle und IBM durch. Zuvor hatte Palantir bereits ohne offene Ausschreibung rund 60 Millionen Pfund von NHS-Stellen erhalten, darunter einen Pandemie-Vertrag ab 2020 zum symbolischen Preis von 1 Pfund. Der neue Vertrag enthält eine Ausstiegsklausel, deren erste Frist im Februar 2027 liegt. Menschenrechtsorganisationen wie Amnesty International UK protestierten gegen den Vertrag, unter anderem wegen Palantirs Geschäftsbeziehungen zu Geheimdiensten und zum israelischen Militär. Bis Ende 2024 nutzten laut Berichten weniger als ein Viertel der 215 englischen Krankenhaustrusts die Plattform aktiv. Im Juli 2026 räumte NHS England zudem ein, dass ein Datenschutzdokument unzutreffend angegeben hatte, wer Zugriff auf identifizierbare Patientendaten hat.

Aus dieser Quelle nicht belegt sind die genaue Zahl der von dem Offenlegungsfehler zu Palantirs Datenzugriff betroffenen Patientendatensätze sowie der endgültige Ausgang der für Februar 2027 vorgesehenen vertraglichen Ausstiegsoption.

Das Datenanalyseunternehmen Palantir Technologies stellte der Polizeibehörde von New Orleans ab dem 23.02.2012 kostenlos ein auf sozialer Netzwerkanalyse basierendes Programm zur vorausschauenden Kriminalitätsbekämpfung zur Verfügung. Die Vereinbarung wurde über die private Stiftung NOLA for Life von Bürgermeister Mitch Landrieu abgewickelt und dadurch am regulären städtischen Vergabeverfahren und an der Kontrolle durch den Stadtrat vorbeigeführt. Das System wertete Kriminalitätsakten, Bandenzugehörigkeiten, soziale Medien und persönliche Verbindungen aus, um Personen mit hohem Risiko für Gewaltbeteiligung zu identifizieren; rund 3.900 Personen wurden auf diese Weise erfasst. Von 308 Personen, die zwischen Oktober 2012 und März 2017 zu Call-in-Gesprächen eingeladen wurden, schlossen lediglich sieben eine Berufsausbildung ab. Journalist Ali Winston deckte das Programm am 27.02.2018 auf. Ratspräsident Jason Williams erklärte, vor der Veröffentlichung nichts von der Zusammenarbeit gewusst zu haben. Der Vertrag war seit 2012 dreimal verlängert worden. Rund zwei Wochen nach der Veröffentlichung erklärte das Büro von Bürgermeister Landrieu, den Palantir-Vertrag nicht zu verlängern, wodurch das Programm im März 2018 endete.

Unklar bleibt, ob der vorübergehende Rückgang der Gewaltkriminalität in New Orleans tatsächlich auf den Einsatz der Palantir-Software zurückzuführen war. Diese Quelle belegt keine quantifizierten Angaben zum separaten Einsatz von Palantir Gotham bei ICE.

Der unabhängige IT-Sicherheitsexperte Mike Kuketz veröffentlichte am 11.04.2022 eine technische Analyse der App DB Navigator der Deutschen Bahn. Mittels einer Intercepting-Proxy-Software untersuchte er den Netzwerkverkehr der App auf einem Android-10- und einem iOS-15.4.1-Gerät. Die Analyse ergab, dass die App Reisedaten wie Start- und Zielbahnhof, Reisedatum, Bahncard-Status, Gerätemodell und Mobilfunkanbieter an bis zu zehn externe Dienstleister übermittelt, darunter Google, Adobe, Optimizely, Tealium, Qualtrics und CrossEngage. Diese Datenweitergabe erfolgte laut Kuketz auch dann, wenn Nutzer in den Cookie-Einstellungen lediglich die Option nur erforderliche Cookies ausgewählt hatten. Kuketz dokumentierte damit mögliche Verstöße gegen Paragraf 25 TTDSG sowie gegen mehrere Artikel der DSGVO, unter anderem wegen Datenübermittlungen in Drittstaaten wie die USA. Im Herbst 2022 reichte der Verein Digitalcourage aus Bielefeld wegen dieser Praxis Klage gegen die Deutsche Bahn ein. Seit dem 19.05.2025 wird die Klage vor dem Landgericht Frankfurt am Main verhandelt. Ein Urteil stand zum Zeitpunkt der Recherche noch aus.

Aus dieser Quelle nicht belegt sind eine konkrete Zahl betroffener Nutzer sowie eine Bestätigung, dass die geschilderte Datenweitergabe auch in aktuellen App-Versionen noch in gleicher Form besteht.

Am 23.07.2020 wurde der US-amerikanische Wearable- und Navigationshersteller Garmin Opfer eines Cyberangriffs, der Teile seiner internen IT-Systeme verschlüsselte. Betroffen waren unter anderem der Cloud-Dienst Garmin Connect, die Flugplanungs-App flyGarmin, der Satellitenkommunikationsdienst inReach sowie der gesamte Kundensupport. Nutzer konnten mehrere Tage lang keine Trainings- und Gesundheitsdaten zwischen ihren Geräten und der Garmin-Cloud synchronisieren. Als Ursache identifizierten IT-Sicherheitsmedien die Ransomware WastedLocker, die der russischen Gruppe Evil Corp zugeschrieben wird. Berichten zufolge forderten die Angreifer ein Lösegeld von rund 10 Millionen US-Dollar in Kryptowährung. Garmin bestätigte den Cyberangriff erstmals öffentlich am 27.07.2020 und erklärte, es gebe keine Hinweise darauf, dass Kundendaten einschließlich Zahlungsinformationen aus Garmin Pay abgerufen worden seien. Die Wiederherstellung der Dienste zog sich bis Ende Juli 2020 hin. Die Garmin-Aktie verlor nach Bekanntwerden des Ausfalls zeitweise rund 4 Prozent an Wert.

Ob Garmin tatsächlich Lösegeld zahlte, in welcher genauen Höhe und ob die Zuordnung zur Ransomware WastedLocker und zur Gruppe Evil Corp zutrifft, hat Garmin selbst nie offiziell bestätigt; diese zentralen Details stützen sich auf anonyme Insider-Quellen und spätere Medienberichte.

Nach dem Amtsantritt von Präsident Rodrigo Duterte am 30.06.2016 bauten philippinische Polizei und lokale Behörden im Rahmen des landesweiten Kriegs gegen Drogen systematische Verdächtigenlisten auf. Die Listen wurden primär von Barangay Anti-Drug Abuse Councils erstellt, kommunalen Gremien, die mutmaßliche Drogennutzer und -händler identifizierten. Die gemeldeten Namen wurden danach von nationalen Polizei- und Geheimdienststellen validiert, wie Polizeichef Ronald dela Rosa gegenüber Reuters bestätigte. Laut dem am 08.10.2016 veröffentlichten Reuters-Bericht umfasste allein die Liste für Metro Manila 11.700 mutmaßliche Nutzer und Händler, die Provinz Bulacan meldete rund 17.000 Namen. Bis zur Veröffentlichung des Berichts waren seit dem 30.06.2016 mehr als 3.600 Menschen im Zuge der Kampagne getötet worden, darunter 1.377 bei Polizeieinsätzen erschossene Personen, von denen laut Reuters die meisten zuvor auf einer solchen Liste geführt worden waren. Karen Gomez Dumpit von der philippinischen Menschenrechtskommission warnte, das Listensystem schaffe ein Umfeld, in dem jemand mit persönlichem Groll und einer Waffe sein Ziel gezielt aufspüren könne.

Der Bericht nennt keine landesweite Gesamtzahl aller in den Watchlists erfassten Namen, sondern nur einzelne Regionalzahlen, und belegt nicht im Einzelfall, ob eine konkrete Tötung ursächlich auf den jeweiligen Listeneintrag zurückging.

Am 24. August 2017 trat in Deutschland das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens in Kraft, das mit den Paragrafen 100a und 100b der Strafprozessordnung erstmals eine ausdrückliche gesetzliche Grundlage für den Einsatz von Staatstrojanern schuf. Das Bundeskriminalamt entwickelte parallel eine eigene Überwachungssoftware namens RCIS, deren Entwicklung laut Bundesregierung bis 2020 rund 5,77 Millionen Euro kostete. Laut einer Antwort der Bundesregierung auf eine Kleine Anfrage von Bundestagsabgeordneten der Grünen, ausgewertet von heise online am 22. Februar 2021, wurde dieser Bundestrojaner zwischen 2017 und 2020 in keinem einzigen abgeschlossenen Ermittlungs- oder Gefahrenabwehrverfahren des BKA erfolgreich eingesetzt. Auch die kommerzielle Software FinSpy kam beim BKA nach diesen Angaben bislang nicht zum Einsatz. Für das Jahr 2019 wiesen offizielle Zahlen bundesweit lediglich 15 tatsächlich durchgeführte Staatstrojaner-Einsätze aus. Die Zahl der tatsächlich durchgeführten Maßnahmen stieg in den Folgejahren, etwa auf 22 im Jahr 2020 und 32 im Jahr 2021, überwiegend im Bereich der Drogenkriminalität.

Aus der Quelle nicht abschließend belegt ist, in welchem Umfang spätere Einsätze auf die BKA-Eigenentwicklung RCIS statt auf andere, teils von Landesbehörden genutzte Trojaner-Software entfielen.

Der Chaos Computer Club veröffentlichte am 08.10.2011 unter dem Titel 0zapftis eine technische Analyse einer von deutschen Ermittlungsbehörden eingesetzten Überwachungssoftware, dem sogenannten Staatstrojaner. Dem CCC waren mehrere Programmvarianten anonym zugespielt worden, die er disassemblierte und in einem öffentlichen Report dokumentierte. Die Analyse zeigte, dass die Software weit über die vom Bundesverfassungsgericht am 27.02.2008 erlaubte reine Quellentelekommunikationsüberwachung hinausging. Nachgewiesen wurden Funktionen zum Nachladen und ferngesteuerten Ausführen beliebiger weiterer Programme, zur Anfertigung von Bildschirmfotos aus Webbrowsern samt privater Notizen und E-Mails sowie Code für den Zugriff auf Mikrofon und Kamera des infizierten Rechners. Alle untersuchten Varianten nutzten denselben fest einprogrammierten kryptografischen Schlüssel und kommunizierten mit einem Kontrollserver in den USA, wodurch auch Dritte die infizierten Computer übernehmen konnten. Recherchen ordneten die Software der hessischen Firma DigiTask zu, als öffentliche Auftraggeber wurden unter anderem das bayerische Landeskriminalamt und die Zollverwaltung genannt. Ein späteres Gerichtsurteil stellte fest, dass das bayerische LKA einen Verdächtigen monatelang ohne ausreichende Rechtsgrundlage überwacht hatte.

Aus der CCC-Pressemitteilung geht nicht hervor, wie viele Personen insgesamt mit der Software überwacht wurden und auf welchem genauen Weg der CCC die Programmkopien erhielt; auch war nicht abschließend geklärt, welche weiteren Behörden außerhalb Bayerns die Software bereits eingesetzt hatten.

Das Bundesverfassungsgericht entschied am 03.03.2004 mit Urteil des Ersten Senats über Verfassungsbeschwerden gegen die akustische Wohnraumüberwachung, den sogenannten Großen Lauschangriff. Der Bundestag hatte die zugrunde liegende Grundgesetzänderung, Artikel 13 Absatz 3 bis 6 GG, am 16.01.1998 mit 452 Ja-Stimmen gegen 184 Nein-Stimmen beschlossen. Beschwerdeführer waren unter anderem die FDP-Politiker Burkhard Hirsch, Sabine Leutheusser-Schnarrenberger und Gerhart Baum, die im März 1999 Verfassungsbeschwerde eingelegt hatten. Das Gericht erklärte die Grundgesetzänderung selbst für vereinbar mit der Ewigkeitsklausel des Artikel 79 Absatz 3 GG, stufte aber zentrale Ausführungsvorschriften der Strafprozessordnung als verfassungswidrig ein wegen unzureichenden Schutzes des Kernbereichs privater Lebensgestaltung. Das Gericht verpflichtete den Gesetzgeber, bis zum 30.06.2005 eine verfassungsgemäße Neuregelung zu schaffen, was der Bundestag am 24.06.2005 umsetzte. Zentrale Begründung war, dass höchstpersönliche Gespräche, etwa mit engsten Familienangehörigen, absolut geschützt sind und von einer akustischen Überwachung ausgenommen bleiben müssen, da sonst die durch Artikel 1 GG geschützte Menschenwürde verletzt würde.

Aus der Quelle nicht belegt ist, wie viele konkrete Überwachungsmaßnahmen bundesweit bereits auf Grundlage der für nichtig erklärten Vorschriften durchgeführt wurden und in welchem Umfang dadurch gewonnene Beweise nachträglich unverwertbar wurden.

Am 15.03.2012 veröffentlichte der Journalist James Bamford im Magazin Wired einen Artikel über das Utah Data Center der NSA in Bluffdale, Utah, auf dem Gelände von Camp Williams der dortigen Nationalgarde. Der Baubeginn erfolgte am 06.01.2011, die Anlage kostete nach Bamfords Recherche rund 2 Milliarden US-Dollar und umfasste etwa eine Million Quadratfuß Gesamtfläche. Laut Artikel soll die Anlage sämtliche Formen von Kommunikation abfangen, entschlüsseln, analysieren und speichern können, darunter vollständige Inhalte privater E-Mails, Mobiltelefonate und Suchanfragen, die über Satelliten sowie unterseeische und unterirdische Glasfaserkabel geleitet werden. Bamford verband die Anlage mit dem nach den Anschlägen vom 11.09.2001 gestarteten Überwachungsprogramm Stellar Wind. Die NSA wies eine rechtswidrige Überwachung von US-Bürgern zurück. Die Fertigstellung, ursprünglich für September 2013 geplant, verzögerte sich durch wiederholte Stromausfälle um etwa ein Jahr bis Mai 2014.

Die tatsächliche Speicherkapazität der Anlage ist bis heute als Verschlusssache eingestuft; spätere Schätzungen auf Basis unklassifizierter Baupläne gehen von lediglich 3 bis 12 Exabyte aus, deutlich unter den in Bamfords Artikel diskutierten Yottabyte-Größenordnungen.

Am 3. Januar 2018 veröffentlichten Sicherheitsforscher zeitgleich die beiden Prozessor-Sicherheitslücken Meltdown und Spectre, nachdem betroffene Hersteller bereits am 28.07.2017 informiert worden waren. Meltdown wurde unabhängig voneinander von Forschern des Google Project Zero, der TU Graz und der Firma Cyberus Technology entdeckt. Meltdown betrifft praktisch alle Intel-x86-Prozessoren seit 1995 sowie ARM- und IBM-POWER-Prozessoren, AMD-Chips sind nicht betroffen. Spectre lässt sich dagegen auf Prozessoren von Intel, AMD und ARM ausnutzen und betrifft damit praktisch alle modernen Computer, Smartphones und Server weltweit. Beide Lücken missbrauchen die spekulative Befehlsausführung moderner CPUs, um über Cache-Seitenkanalangriffe eigentlich geschützten Speicherinhalt auszulesen. Als Gegenmaßnahme gegen Meltdown wurde die Kernel Page Table Isolation eingeführt, deren Einsatz je nach Workload zu Leistungseinbußen von bis zu 30 Prozent führen kann. Die koordinierte Offenlegung war ursprünglich für den 9. Januar 2018 geplant, wurde jedoch wegen zunehmender öffentlicher Spekulationen vorgezogen.

Aus dieser Quelle nicht belegt sind die genaue weltweite Anzahl betroffener Geräte in absoluten Zahlen sowie ob die Lücken vor der Offenlegung bereits für reale Angriffe mit Datenabfluss ausgenutzt wurden.

Am 14.04.2017 veröffentlichte die Hackergruppe Shadow Brokers eine Sammlung gestohlener Cyberwaffen der US-Geheimdienstbehörde NSA, darunter den Exploit EternalBlue. EternalBlue nutzt eine Schwachstelle im Server-Message-Block-Protokoll von Microsoft Windows aus und ermöglicht Angreifern, ohne Nutzerinteraktion Schadcode auf verwundbaren Systemen auszuführen. Die NSA hatte die Sicherheitslücke jahrelang geheim gehalten und für eigene Operationen genutzt, bevor sie Microsoft im Zuge des Diebstahls informierte. Microsoft veröffentlichte bereits am 14.03.2017, einen Monat vor der Shadow-Brokers-Veröffentlichung, den Sicherheitspatch MS17-010. Nach dem Ausbruch der Ransomware WannaCry am 12.05.2017 stellte Microsoft am 13.05.2017 zusätzlich Notfallpatches für veraltete Windows-Versionen bereit. WannaCry nutzte EternalBlue zur automatischen Verbreitung und infizierte nach verbreiteten Schätzungen mehr als 200.000 Computer in über 150 Ländern. Im Juni 2017 kam EternalBlue erneut bei der Schadsoftware NotPetya zum Einsatz. Die Identität der Shadow Brokers blieb bis heute ungeklärt.

Die genaue Urheberschaft der Shadow Brokers ist bis heute nicht zweifelsfrei geklärt, es gibt keine bestätigte Anklage oder Verurteilung im Zusammenhang mit dem Diebstahl selbst. Auch die exakte Zahl der durch WannaCry infizierten Systeme schwankt je nach Quelle zwischen rund 36.000 und über 200.000.