Quellen-Tabelle

Der Untersuchungsausschuss PEGA des Europäischen Parlaments prüfte rund ein Jahr lang den Einsatz von Pegasus-Spähsoftware in der EU und unternahm Erkundungsmissionen nach Israel, Polen, Griechenland, Zypern, Ungarn und Spanien. Am 15.06.2023 nahm das Europaparlament die Abschlussempfehlung mit 411 zu 97 Stimmen an. Der Bericht warf mehreren Mitgliedstaaten vor, sich mit Verweis auf nationale Sicherheit der EU-Kontrolle zu entziehen, und forderte unabhängige gerichtliche Genehmigungspflichten sowie ein EU-Tech-Lab zur forensischen Untersuchung von Spähsoftwarevorwürfen.

Wie viele Menschen in der EU tatsächlich mit Pegasus infiziert wurden, ist nicht belegt. Der Ausschuss hatte keine eigenen Ermittlungsbefugnisse und war auf Kooperation der Mitgliedstaaten angewiesen, die meist verweigert oder nur eingeschränkt gewährt wurde. Die Empfehlung ist rechtlich nicht bindend, ein EU-weites Spyware-Gesetz existiert bislang nicht.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI, das ohne Rechtsgrundlage rund 20 Milliarden Fotos von Webseiten gesammelt und daraus eine Gesichtserkennungs-Suchmaschine betrieben hatte. Die CNIL stellte Verstöße gegen die DSGVO fest: Verarbeitung sensibler biometrischer Daten ohne Rechtsgrundlage sowie mangelnde Umsetzung der Betroffenenrechte. Bereits im November 2021 hatte die CNIL Clearview AI aufgefordert, die Datenerhebung einzustellen. Da das Unternehmen die Anordnung weiterhin nicht befolgte, verhängte die CNIL im Mai 2023 zusätzlich ein Zwangsgeld von 5,2 Millionen Euro.

Ob Clearview AI die Bußgelder tatsächlich gezahlt hat, ist nicht belegt. Das Unternehmen hat in Frankreich keine Niederlassung und keine bekannten Vermögenswerte, weshalb die Vollstreckung fraglich bleibt. Diese Quelle behandelt ausschließlich das französische Verfahren, parallele Verfahren in anderen Ländern sind eigenständige Vorgänge.

Die ICO verhängte am 16.10.2020 gegen British Airways ein Bußgeld von 20 Millionen Pfund wegen des Datenlecks von 2018, bei dem Nutzer auf eine gefälschte Website umgeleitet wurden und Angreifer persönliche und Zahlungsdaten von rund 430.000 Kunden abgriffen. Die ICO hatte im Juli 2019 zunächst 183,39 Millionen Pfund angekündigt. Die finale Summe entspricht nur rund 11 Prozent des ursprünglichen Betrags, inklusive einer Reduktion von 4 Millionen Pfund wegen der Corona-Pandemie.

Die genaue Berechnungsformel für die Reduzierung veröffentlichte die ICO nicht. Ob BA das Bußgeld vollständig gezahlt hat, ist nicht abschließend ersichtlich. Eine separate zivilrechtliche Sammelklage Betroffener ist nicht Gegenstand dieses Verfahrens.

Am 16.01.2025 äußerte sich die LDI NRW zu Vorwürfen gegen den Wetterdienst WetterOnline, ausgelöst durch die Recherche Databroker Files: Ein Testdatensatz vom 02.07.2024 enthielt 380 Millionen Standortdatenpunkte, darunter rund 34.875 geortete deutsche Android-Geräte mit der App WetterOnline an einem Tag. Als Quelle identifizierten die Rechercheure den Datenhändler Datastream Group. Laut netzpolitik.org vom 07.04.2026 leitete die LDI NRW inzwischen ein Bußgeldverfahren gegen WetterOnline ein, weil das Unternehmen über Jahre Standortdaten ohne wirksame Einwilligung erhoben und weitergegeben habe.

Die konkrete Bußgeldhöhe steht nicht fest, das Verfahren war Anfang April 2026 noch offen. WetterOnline bestreitet, GPS-Daten verkauft zu haben. Die Zahl von rund 34.875 georteten Geräten stammt aus einem einzigen Testdatensatz und lässt keine Gesamtaussage über die Jahre zu.

Der belgische Kontrollausschuss für die Nachrichten- und Sicherheitsdienste veröffentlichte am 17.10.2022 seinen Abschlussbericht zur Pegasus-Affäre. Als bestätigte belgische Ziele nennt der Bericht den Journalisten Peter Verlinden und seine Ehefrau, deren Infektion der Militärgeheimdienst ADIV im September 2021 feststellte, sowie die Aktivistin Maliha El Mahjoub. Auf der 2021 geleakten Pegasus-Project-Liste tauchten zudem Telefonnummern der Politiker Charles und Louis Michel auf. Der Ausschuss sprach vier Empfehlungen aus, darunter eine nationale Taskforce für digitale Sicherheit.

Ob die belgischen Dienste VSSE oder ADIV selbst Pegasus einsetzten, ist aus dem veröffentlichten Bericht nicht ersichtlich, der entsprechende Abschnitt wurde als geheim eingestuft. Wer die Infektion bei Verlinden veranlasste, ist nicht abschließend bewiesen, der ADIV vermutet Ruanda, das dies bestreitet. Für die Nummern auf der Pegasus-Liste ist nicht belegt, ob tatsächlich eine Infektion stattfand.

Anfang August 2023 wurde die US-Klinikkette Prospect Medical Holdings Ziel eines Ransomware-Angriffs der Gruppe Rhysida. Krankenhäuser in fünf US-Bundesstaaten mussten ihre IT vom Netz nehmen, mehrere Notaufnahmen schlossen zeitweise und leiteten Patienten um. Prospect Medical meldete später eine Datenpanne mit 1.309.096 betroffenen Personen, deren Namen, Sozialversicherungsnummern und Gesundheitsdaten kompromittiert wurden.

Rhysidas Behauptung, rund 1 Terabyte Daten erbeutet zu haben, stammt allein von den Angreifern. Ob Prospect Medical Lösegeld zahlte, ist nicht bestätigt. Ob die Ausfälle zu konkreten Patientenschäden führten, ist nicht belegt.