Quellen-Tabelle

Der Bundesdatenschutzbeauftragte sieht bei den EU-Vorgaben zur Innenraumüberwachung keinen Verstoß: Rohdaten sind unmittelbar nach der Verarbeitung zu löschen, biometrische Gesichtserkennung ist verboten, die Verarbeitung erfolgt lokal im Fahrzeug.

Die Entwarnung gilt nur für das gesetzlich vorgeschriebene ADDW, nicht für zusätzliche Kamerafunktionen der Hersteller.

Zwei Tage nach dem Reuters-Bericht reichte ein Tesla-Besitzer eine Sammelklage beim US-Bundesgericht ein, weil Beschäftigte intime Kameraaufnahmen intern geteilt haben sollen.

Dokumentiert nur die Klageerhebung, kein Urteil.

Texas verklagte GM im August 2024 wegen unrechtmäßigen Weiterverkaufs von Fahrdaten von rund 1,8 Millionen Texanern an LexisNexis und Verisk. Erfasst wurden Geschwindigkeit, Standorte, Bremsstärke, Nachtfahrten und scharfe Kurven für individuelle Driving Scores.

Klagevorwürfe des Generalstaatsanwalts, kein rechtskräftiges Urteil.

Die FTC schloss ihr Verfahren gegen GM und OnStar Anfang 2026 ab: GM erhob über OnStar Smart Driver präzise Standort- und Fahrverhaltensdaten aus Millionen Fahrzeugen. Die 20-jährige Verfügung enthält ein fünfjähriges Weitergabeverbot an Datenbroker.

Kanzlei-Zusammenfassung, kein Primärdokument der FTC.

Die FTC finalisierte ihre Verfügung am 14.01.2026; erhoben wurden laufend präzise Standortdaten sowie Fahrereignisse wie Gurtnutzung, hartes Bremsen und Geschwindigkeiten über 80 Meilen pro Stunde. Die Verfügung gilt 20 Jahre und verlangt Löschung gespeicherter Daten binnen 180 Tagen.

Kanzlei-Analyse, keine Angaben zur Gesamtzahl betroffener Verbraucher.

Kalifornien erzielte einen Vergleich über 12,75 Millionen US-Dollar mit General Motors, weil GM zwischen 2020 und 2024 Geolokations- und Fahrverhaltensdaten hunderttausender Kalifornier ohne Wissen und Einwilligung an Verisk und LexisNexis verkaufte. Es ist die bislang höchste CCPA-Strafe.

Vergleich ohne Schuldanerkenntnis, die genaue Zahl Betroffener wird nicht beziffert.

Über 200 Hersteller von Elektroautos in China – darunter NIO, Tesla, VW, BMW und Daimler – übermitteln mindestens 61 Datenpunkte in Echtzeit an staatlich gestützte Überwachungsplattformen. Die nationale Plattform erfasste 2018 Daten von mehr als 1,1 Millionen Fahrzeugen.

Betrifft ausschließlich in China zugelassene Fahrzeuge, nicht in Europa verkaufte chinesische Autos.

E-Autos mit chinesischer Technik dürfen am Militärnachrichten-Standort RAF Wyton nur noch mindestens zwei Meilen von Schlüsselgebäuden entfernt parken; begründet wird dies mit Navigations- und Sensordaten sowie möglichen Fernupdates.

Das britische Verteidigungsministerium bestreitet zentral angeordnete Verbote, ein landesweites Verbot ist nicht belegt.

Im Infotainmentsystem DiLink 3.0 von BYD-Fahrzeugen ist die Verschlüsselung periodisch gespeicherter System-Logs fehlerhaft implementiert; die Logs enthalten personenbezogene Daten und Standortdaten, was Fahrzeug-Tracking ermöglicht.

Setzt physischen Zugriff aufs Fahrzeug voraus und belegt ausdrücklich KEINE Übertragung dieser Daten an chinesische Server.

Ring (Amazon) zahlte 2023 5,8 Mio. Dollar, weil laut FTC vor Juli 2017 jeder Mitarbeiter und jeder ukrainische Vertragspartner uneingeschränkten Zugriff auf sämtliche Kundenvideos hatte.

Belegt den FTC-Vergleich vom 31.05.2023. Der uneingeschränkte Zugriff betraf die Zeit vor Juli 2017, danach galten laut FTC engere, aber laut Klage weiterhin unzureichende Kontrollen.

Laut FTC-Klage beobachtete ein Ring-Mitarbeiter 2017 über drei Monate unbemerkt Kamera-Aufnahmen von mindestens 81 Nutzerinnen, ein weiterer Mitarbeiter griff 2018 auf die privaten Kameraaufnahmen einer Kollegin zu.

Belegt die von der FTC dokumentierten und öffentlich gewordenen Einzelfälle. Betrifft nachgewiesene Einzeltäter, keine Aussage über das Ausmaß unentdeckter Fälle.

2019 gab ein belgischer Google-Vertragspartner über 1.000 Google-Assistant-Sprachaufnahmen an den Sender VRT NWS weiter, rund 153 davon wurden ausgelöst, ohne dass ein Aktivierungswort gesagt wurde.

Belegt den 2019 bekannt gewordenen Leak. Betrifft eine Stichprobe niederländischsprachiger Aufnahmen aus Belgien und den Niederlanden, keine Aussage über das globale Ausmaß.

Ein Whistleblower berichtete 2019, Apple-Vertragspartner würden regelmäßig Siri-Aufnahmen mit vertraulichen medizinischen Gesprächen, Geschäftsgesprächen und intimen Momenten abhören. Apple bestätigte, unter 1 Prozent der täglichen Anfragen menschlich auszuwerten.

Belegt Whistleblower-Bericht und Apples eigene Bestätigung der Prüfquote. Apple setzte das Programm im August 2019 nach der Berichterstattung vorübergehend aus.

Der österreichische VfGH erklärte am 11.12.2019 (G 72-74/2019, G 181-182/2019) den geplanten Bundestrojaner zur verdeckten Überwachung verschlüsselter Kommunikation (WhatsApp, Skype) sowie die flächendeckende Kfz-Kennzeichenerfassung für verfassungswidrig. Begründung: verdeckte Computerüberwachung ist ein schwerer Eingriff in das durch Art. 8 EMRK geschützte Recht auf Achtung des Privatlebens und nur in sehr engen Grenzen zulässig.

Das Erkenntnis betrifft die geplante Gesetzesgrundlage von 2018, nicht einen bereits erfolgten Einsatz. Ob und in welcher Form ein Bundestrojaner in Österreich seither eingesetzt wird, ist aus dieser Quelle nicht belegt.

Das Produkt Draft One des Bodycam-Herstellers Axon nutzt eine angepasste ChatGPT-Variante, um aus dem Audio von Bodycam-Aufnahmen automatisch Entwürfe für Polizeiberichte zu erstellen, einsatzbereit binnen fünf Minuten nach Aufnahmeende. Die EFF kritisiert, dass es keine praktikable Möglichkeit gibt zu prüfen, welche Teile eines fertigen Berichts von der KI stammen und welche ein Beamter bearbeitet hat: Der KI-Entwurf verschwindet nach der Überarbeitung spurlos. Zudem entschied sich fast jede befragte Polizeibehörde gegen die Option, Draft One für bestimmte Deliktarten zu deaktivieren; eine Behörde nutzte die Software für über 900 Berichte, von Wohlfahrtschecks bis zu Entführungs- und Körperverletzungsfällen.

Belegt ist die fehlende Nachvollziehbarkeit der KI-Textanteile am fertigen Bericht. Ob dadurch bereits konkrete Fehlurteile oder Strafverfahren beeinflusst wurden, ist aus dieser Quelle nicht belegt.

Am 29.08.2017 ordnete die FDA einen freiwilligen Rückruf von 465.000 Herzschrittmachern des Herstellers Abbott (übernommen von St. Jude Medical) an, um eine Firmware-Sicherheitslücke zu schließen. Betroffen waren sechs Modellreihen (Accent, Accent MRI, Accent ST, Allure, Anthem, Assurity). Die Schwachstelle hätte es unbefugten Personen mit handelsüblicher Ausrüstung ermöglicht, aus der Nähe auf das implantierte Gerät zuzugreifen und dessen Programmierung zu verändern, mit möglichen Folgen wie beschleunigter Batterieentladung oder fehlerhafter Herzstimulation. Der Rückruf bestand aus einem Firmware-Update beim Arzt, kein Austausch des Geräts war nötig.

Die FDA meldete zum Zeitpunkt des Rückrufs keine bekannten Verletzungsfälle durch die Schwachstelle; ob es später tatsächlich zu einem Angriff über diese Lücke kam, ist aus dieser Quelle nicht belegt.

Seit Oktober 2025 laufen in deutschen Kliniken Pilotprojekte mit Microsofts KI-Dokumentationssystem Dragon Copilot, darunter Charité Berlin, Universitätsklinikum Mannheim, Kliniken Stuttgart, Region Hannover und BG Klinikum Halle. Das System hört als 'Ambient Scribe' mit Einwilligung der Beteiligten das Arzt-Patienten-Gespräch mit, erstellt automatisch strukturierte Dokumentation und Befunde, die anschließend von Ärzten geprüft und freigegeben werden. Es kombiniert die Spracherkennung von Dragon Medical One mit den Ambient-Listening-Fähigkeiten von Dragon Ambient eXperience Copilot und generativer KI und ist seit Kurzem deutschlandweit allgemein verfügbar.

Der Anbieter beschreibt die Verarbeitung als datenschutzkonform; eine unabhängige Prüfung der konkreten Datenspeicherung und -weitergabe an Microsoft-Server ist aus dieser Herstellerquelle nicht belegt.

Am 21.04.2022 verschafften sich Angreifer der Gruppe BlackCat über einen Arbeitsplatzrechner Zugang zu den IT-Systemen des Landes Kärnten; entdeckt wurde der Angriff erst am 24.05.2022 durch Auffälligkeiten im Netzwerk. Die Angreifer erbeuteten rund 250 GB Daten, darunter Passkopien, Corona-Testergebnisse, Bankkartendaten sowie Korrespondenz des Landeshauptmanns und mehrerer Landesräte; 5,6 GB davon wurden veröffentlicht. Rund 3.000 Rechner der Landesregierung, Bezirkshauptmannschaften und Gerichte mussten vom Netz genommen werden. Die Gruppe forderte 5 Millionen Euro Lösegeld in Bitcoin; das Land zahlte nicht. Der österreichische Rechnungshof stellte 2024 weiterhin Verbesserungsbedarf bei der IT-Sicherheit des Landes fest.

Der Rechnungshofbericht bewertet den Zustand der IT-Sicherheit nach dem Vorfall; ob die Ursprungslücke seither vollständig geschlossen wurde, ist aus dieser Quelle nicht abschließend belegt.

Gouverneurin Tina Kotek unterzeichnete am 28.03.2024 mit SB 1596 das erste US-Gesetz, das die Praxis des 'Parts Pairing' verbietet: Hersteller wie Apple serialisieren Gerätekomponenten softwareseitig, sodass ein Gerät nur mit authentifizierten Originalteilen voll funktioniert. Das Gesetz verpflichtet Hersteller, Kunden die Nutzung neuer, gebrauchter oder Dritthersteller-Ersatzteile ohne Funktionseinschränkung zu ermöglichen, und gilt für alle neuen Elektronikgeräte ab 01.01.2025. Apple lobbyierte gegen das Verbot und argumentierte, Parts Pairing sei ein Sicherheitsmerkmal.

Das Gesetz gilt nur im US-Bundesstaat Oregon; eine EU-weite oder deutsche Entsprechung ist aus dieser Quelle nicht belegt.

Amazons Türklingelkamera-Anbieter Ring bestätigte 2022 gegenüber dem US-Senat, dass das Unternehmen Videoaufnahmen ohne Durchsuchungsbefehl und ohne Zustimmung der Gerätebesitzer an Polizeibehörden weitergeben kann, wenn nach eigener Einschätzung 'unmittelbare Gefahr für Leib oder Leben' vorliegt. Allein im Jahr 2022 geschah dies laut Unternehmensangabe bereits elfmal. Was als Notfall gilt, entscheidet Ring selbst, ohne gerichtliche Kontrolle. Reguläre Anfragen erfordern weiterhin einen gültigen Durchsuchungsbefehl; seit Februar 2024 hat Amazon zusätzlich das Werkzeug abgeschaltet, mit dem Polizei über die Neighbors-App direkt Nutzer um Aufnahmen bitten konnte.

Wie oft die Notfall-Ausnahme seit 2022 insgesamt genutzt wurde, ist aus dieser Quelle nicht mit aktueller Zahl belegt.

Im April 2019 bestätigte Amazon einen Bloomberg-Bericht, wonach weltweit Mitarbeiter einzelne Sprachaufnahmen von Alexa-Geräten anhören und transkribieren, um die Spracherkennung zu verbessern, unter anderem an Standorten in Boston, Costa Rica, Indien und Rumänien. Zwei Mitarbeiter in Bukarest gaben an, bis zu 1.000 Aufnahmen pro Schicht abzuhören. Amazon erklärte, man werte 'eine extrem kleine Zahl an Interaktionen einer zufälligen Kundengruppe' aus. Bloomberg fand jedoch heraus, dass ein Screenshot einer solchen Transkriptionsaufgabe eine Kontonummer, den Vornamen des Kunden und die Geräteseriennummer enthielt. Nutzer konnten bis zur Veröffentlichung nicht erkennen, dass ihre Alexa-Gespräche von Menschen mitgehört wurden.

Wie viele der abgehörten Aufnahmen tatsächlich versehentliche Aktivierungen ('false wake words') betrafen, bei denen private Gespräche ohne Sprachbefehl aufgezeichnet wurden, ist aus dieser Quelle nicht separat beziffert.

Nach deutschem Recht ist der Einsatz von Spionagesoftware zur heimlichen Überwachung von Personen nach § 238 StGB strafbar. Dennoch wird sogenannte Stalkerware wie mSpy oder FlexiSpy mehr oder weniger offen zur Partnerüberwachung vermarktet, was von App-Stores weder erlaubt noch geduldet wird, aber ein florierendes Geschäft bleibt. Laut Kaspersky-Erhebung führt Deutschland europaweit bei digitalem Stalking: Fast jede dritte Person hat digitales Stalking erlebt, jede zehnte gibt zu, in irgendeiner Form Stalkerware genutzt zu haben, 9 Prozent räumen offen ein, das Smartphone des Partners manipuliert zu haben. Deutsche Cybersicherheitsexperten kritisieren, dass sich die zentralen Cybercrime-Ermittlungsstellen der Bundesländer zu wenig mit dem Thema befassen.

Die Prozentangaben stammen aus einer Befragung (Selbstauskunft), nicht aus behördlicher Kriminalstatistik; die tatsächliche Zahl strafrechtlich verfolgter Fälle ist aus dieser Quelle nicht belegt.

Ein Geofence Warrant (auch Reverse Location Warrant) ist ein gerichtlicher Beschluss, mit dem US-Ermittlungsbehörden von Google alle Mobilgeräte abfragen können, die sich zu einem bestimmten Zeitpunkt in einem festgelegten geografischen Gebiet befanden, ohne vorab eine konkrete verdächtige Person zu benennen. Solche Anfragen wurden erstmals 2016 genutzt und griffen auf Googles zentrale Standortdatenbank 'Sensorvault' zu. 2023 kündigte Google an, die Standortdaten künftig primär lokal auf den Geräten der Nutzer statt zentral auf eigenen Servern zu speichern, wodurch der Konzern faktisch keinen Zugriff mehr auf sammelbare Standortverläufe für solche Sammelanfragen hat.

Die Ankündigung betrifft die Praxis bei Google; ob andere Anbieter mit zentraler Standortspeicherung ähnliche Anfragen weiterhin bedienen, ist aus dieser Quelle nicht belegt.

Im September 2020 verschlüsselte ein Ransomware-Angriff über eine Citrix-VPN-Schwachstelle (CVE-2019-19781) rund 30 Server des Universitätsklinikums Düsseldorf. In der Folge setzte die Klinik ihre Notaufnahme aus, sodass Rettungswagen umgeleitet wurden. Zwei Nächte später starb eine Patientin mit lebensbedrohlichem Zustand, die wegen der ausgesetzten Notaufnahme rund eine Stunde später in einem weiter entfernten Krankenhaus behandelt wurde. Nach eingehender Untersuchung mit medizinischen Gutachtern und Obduktion stellte die Staatsanwaltschaft fest, der Gesundheitszustand der Patientin sei zum Zeitpunkt der Abholung bereits so schwerwiegend gewesen, dass sie unabhängig vom Krankenhausort verstorben wäre; die Erkrankung sei alleinige Todesursache gewesen, unabhängig vom Cyberangriff.

Der Fall wird oft als 'erster tödlicher Hackerangriff' zitiert; die Staatsanwaltschaft stellte jedoch gerade keinen ursächlichen Zusammenhang zwischen Angriff und Tod fest. Beide Lesarten kursieren in der Berichterstattung, hier wird bewusst die Ermittlungsfeststellung wiedergegeben.

Journalisten von netzpolitik.org und dem Bayerischen Rundfunk erwarben im Juli 2024 über den deutschen Datenmarktplatz 'Datarade' von einem US-Datenhändler einen Datensatz mit 3,6 Milliarden Standortdatenpunkten allein für Deutschland; ein weiterer Datensatz aus demselben Monat enthielt 380 Millionen Standortdatenpunkte aus 137 Ländern, verknüpft mit rund 40.000 verschiedenen Apps. Die Standortdaten stammen als Werbe-IDs aus Smartphone-Apps, die sie sammeln und zum Zweck personalisierter Werbung weiterverkaufen. Vier identifizierte Werbe-SDKs (InMobi, BidMachine, Verve HyBid, Huawei Petal Ads) sammeln heimlich Standortdaten auf Android-Geräten, indem sie Berechtigungen der Host-App erben und die Sandbox-Trennung des Betriebssystems über WLAN- und Mobilfunk-Triangulation umgehen, ohne separate Nutzereinwilligung für die Weitergabe an Werbenetzwerke einzuholen.

Ob und wie oft diese konkreten Datensätze tatsächlich zur Re-Identifizierung einzelner Personen genutzt wurden, ist aus dieser journalistischen Untersuchung nicht mit Einzelfällen belegt.