Quellen-Tabelle

Die Bundespolizei führte 2026 bereits mehrfach (u. a. 29.-31. Mai, weiteres Wochenende im März) bundesweite Schwerpunkteinsätze zur Bekämpfung von Gewaltkriminalität an jeweils 50 Bahnhöfen gleichzeitig durch.

Zeigt eine zusätzliche, bereits bestehende Kontrollpraxis (koordinierte bundesweite Einsätze) neben der Video-/Gesichtserkennungstechnik — relevant als Kontext, wie viel bereits an personeller Polizeipräsenz an Bahnhöfen stattfindet, unabhängig von der Technik-Debatte.

Das Bundesinnenministerium hatte auf Wunsch von CDU/CSU und FDP bereits im April 2012 eine Formulierungshilfe vorgelegt, in der erstmals die "Widerspruchslösung" festgeschrieben war — Meldeämter dürfen personenbezogene Daten grundsätzlich herausgeben, SELBST WENN Bürger dem widersprochen hatten (nach dem ursprünglichen Regierungsentwurf). Eine Protokollierung der erteilten Auskünfte war nicht vorgesehen und wird "folglich auch nicht durchgeführt".

Sehr wichtiger Function-Creep-Beleg: Der ursprünglich geplante Entwurf hätte sogar einen bereits erklärten Widerspruch von Bürgern ignorieren können — das wurde erst durch öffentlichen Druck (siehe DSGVO-Vorläufer-Debatte) nachträglich korrigiert. Zusätzlich fehlt bis heute eine Protokollierung, wer wann welche Meldedaten abgefragt hat — Bürger können also nicht nachvollziehen, wer ihre Adresse warum bekommen hat.

Eine Datenübermittlung für Zwecke der Werbung oder des Adresshandels ist grundsätzlich ausgeschlossen, außer der gewerbliche Zweck wird bei der Anfrage ausdrücklich angegeben. Auf das Widerspruchsrecht muss die Gemeinde mindestens einmal jährlich per ortsüblicher Bekanntmachung hinweisen — häufig also nur in einem lokalen Mitteilungsblatt, das kaum jemand liest.

Wichtige aktuelle Rechtslage: Die Grundregel ist inzwischen restriktiver als 2012 — Adresshandel ist grundsätzlich ausgeschlossen. ABER: Die Informationspflicht der Kommunen ist minimal (einmal jährlich in einem oft unbeachteten Mitteilungsblatt) — ein klassisches Beispiel für formal korrekte, aber praktisch wirkungslose Transparenz.

Bürger können schriftlich beim zuständigen Einwohnermeldeamt Widerspruch gegen die Datenweitergabe einlegen — das Amt trägt dann eine Übermittlungssperre ein. Für besonders gefährdete Personen (z. B. Staatsanwälte, die nicht von Straftätern gefunden werden wollen) gibt es zusätzlich die Möglichkeit einer Auskunftssperre. Einen kostenlosen Musterbrief bietet der Bundesverband der Verbraucherzentralen.

Sehr praktischer Baustein für einen Blackstone-Community-Guide: Es gibt einen fertigen, kostenlosen Musterbrief für den Widerspruch — eine der einfachsten und konkretesten "Sofort-Maßnahmen", die Blackstone seinen Mitgliedern empfehlen könnte, mit sehr geringem Aufwand und hoher Wirkung.

3 Monate IP-Speicherung, Quick-Freeze-Verfahren, Funkzellenabfrage künftig bei Straftaten 'erheblicher Bedeutung'.

Offizielle Ankündigung des Kabinettsbeschlusses. Kein finaler Gesetzestext.

Art. 5 AI Act verbietet seit 02.02.2025 Echtzeit-Fernidentifizierung im öffentlichen Raum, mit eng gefassten Ausnahmen.

EU-Verbot mit begrenzten Ausnahmefällen. Erklärt nur EU-Recht, nicht konkrete Landesumsetzung.

Iran nutzt Gesichtserkennung, Drohnen, Kamerasysteme; Kooperation mit russischem NtechLab und chinesischen Firmen berichtet.

Bericht selbst weist auf unabhängigen Bestätigungsbedarf einzelner Behauptungen hin.

40,53% von 491 IoT-Herstellern bieten Kontaktweg für Schwachstellenmeldungen (2024: 35,59%).

Weniger als Hälfte der IoT-Hersteller hat offiziellen Meldeweg für Sicherheitslücken.

Bayerisches Unternehmen übermittelte 2019-2021 gehashte E-Mail-Adressen ohne Einwilligung an US-Unternehmen.

Unternehmensname von Behörde nicht veröffentlicht.

31.031 Stalkerware-Betroffene weltweit 2023, Deutschland europaweit mit 577 Betroffenen an erster Stelle.

Nur Kasperskys eigene Erkennungsdaten, kein vollständiges Bild.

CISA warnt vor großflächiger npm-Kompromittierung, weit verbreitete Pakete mit über 1 Mrd. wöchentlicher Downloads infiziert.

Behördliche Kurzwarnung ohne forensische Tiefenanalyse.

Selbstverbreitender Schadcode Shai-Hulud kompromittierte über 25.000 Repositories und ~350 npm-Konten.

Herstellerbericht, Zahlen können sich ändern.

BVerfG bemängelte fehlende Speicherzwecke und Löschfristen in § 18 BKAG, Datei verliert bis 31.07.2025 Rechtsgrundlage.

Kanzleibeitrag mit eigener rechtlicher Bewertung.

Eine Aufsichtsbehörde stufte das grundsätzliche Erfassen unverpixelter Beifahrer auf Blitzerfotos als zulässig ein, beanstandete jedoch die unverpixelte Versendung an den Betroffenen.

Schildert einen konkreten Einzelfall, keine grundsätzliche Neubewertung der Rechtslage.

Gesetzentwurf zur automatisierten Kennzeichenlesung (§ 163g StPO) erfasst trotz Löschauflagen bei Nichttreffern viele unbeteiligte Fahrzeughalter.

Kanzlei-Fachanalyse zu einem damaligen Gesetzentwurf, keine amtliche Quelle.

Über ungeschützte JSONP-Schnittstellen im ICE-WLAN der Deutschen Bahn konnten Webseiten GPS-Koordinaten des Zuges sowie MAC- und IP-Adressen der Nutzer auslesen.

Die Sicherheitslücke wurde nach Bekanntwerden per Software-Update geschlossen.

Berichtet über eine vom CCC entdeckte Sicherheitslücke im ICE-WLAN, durch die GPS-Position und Geräte-MAC-Adressen abgreifbar waren.

Die Deutsche Bahn kündigte noch am selben Tag ein Software-Update an.

Datenverkehr in öffentlichen Hotspots wird meist unverschlüsselt übertragen und kann von Dritten mitgelesen oder manipuliert werden.

Mehrere Jahre alt, grundsätzliche technische Risiken bestehen aber weiterhin.

Man-in-the-Middle-Angriffe, Router-Hijacking und Malware-Verteilung sind Hauptrisiken offener Flughafen-WLANs; empfiehlt VPN-Nutzung sowie mobile Hotspots als Alternative.

Blog eines Passwortmanager-Anbieters mit werblichem Charakter für eigene Produkte.

Das BKA erläutert die rechtlichen Grundlagen und den technischen Zweck von Quellen-TKÜ und Online-Durchsuchung.

Offizielle Selbstdarstellung ohne Angaben zu Einsatzzahlen.

Das Risiko der Re-Identifizierung bei Gesundheitsdaten kann nie völlig ausgeschlossen werden; empfiehlt Kombination mehrerer Anonymisierungstechniken statt alleiniger Pseudonymisierung.

Genaues Veröffentlichungsdatum nicht ausgewiesen.

Kalifornien erzielte einen Vergleich über 12,75 Millionen US-Dollar mit General Motors, weil GM zwischen 2020 und 2024 Geolokations- und Fahrverhaltensdaten hunderttausender Kalifornier ohne Wissen und Einwilligung an Verisk und LexisNexis verkaufte. Es ist die bislang höchste CCPA-Strafe.

Vergleich ohne Schuldanerkenntnis, die genaue Zahl Betroffener wird nicht beziffert.

Ring (Amazon) zahlte 2023 5,8 Mio. Dollar, weil laut FTC vor Juli 2017 jeder Mitarbeiter und jeder ukrainische Vertragspartner uneingeschränkten Zugriff auf sämtliche Kundenvideos hatte.

Belegt den FTC-Vergleich vom 31.05.2023. Der uneingeschränkte Zugriff betraf die Zeit vor Juli 2017, danach galten laut FTC engere, aber laut Klage weiterhin unzureichende Kontrollen.

Amnesty International dokumentierte im Dezember 2024, dass serbische Polizei und der Sicherheitsdienst BIA das Cellebrite-Tool UFED nutzten, um Handys von Journalisten und Aktivisten zu entsperren, und anschließend die Spyware NoviSpy installierten. Die Cellebrite-Geräte stammten aus einer 2019 über UNOPS abgewickelten norwegischen Entwicklungshilfe. Nach dem Bericht stellte Cellebrite im Februar 2025 die Nutzung durch die betroffenen serbischen Kunden ein.

Wie viele weitere Personen in Serbien überwacht wurden, ist offen. Ob Cellebrite von der konkreten Verwendung zur Spyware-Installation wusste, ist nicht belegt, das Unternehmen lieferte die Entsperrtechnik, nicht NoviSpy.

Seit dem 02.02.2025 gelten die Verbote aus Artikel 5 der EU-KI-Verordnung. Darunter fällt der Einsatz biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden, der grundsätzlich untersagt ist. Ausnahmen bestehen nur eng begrenzt, etwa bei der Suche nach vermissten Kindern. Verstöße können mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Nicht vom Verbot erfasst ist die nachträgliche biometrische Fernidentifizierung, wofür bereits ein begründeter Tatverdacht genügt, was Bürgerrechtsorganisationen als Schlupfloch kritisieren. Belastbare Zahlen zu tatsächlichen Anwendungsfällen liegen nicht vor.