Quellen-Tabelle

CrowdStrike verteilte am 19. Juli 2024 um 04:09 UTC ein fehlerhaftes Konfigurationsupdate für den Windows-Sensor seiner Falcon-Sicherheitssoftware, das durch einen Speicherzugriffsfehler massenhafte Systemabstürze mit Bluescreen auslöste. Betroffen waren Windows-Hosts mit Sensor-Version 7.11 oder neuer, die bis zur Rücknahme des Updates um 05:27 UTC online waren; Mac- und Linux-Systeme blieben verschont. Microsoft bezifferte die Zahl betroffener Windows-Geräte separat auf rund 8,5 Millionen, was weltweit Fluggesellschaften, Krankenhäuser und Banken lahmlegte.

CrowdStrikes eigener vorläufiger Bericht nennt selbst keine Gesamtzahl betroffener Geräte oder Unternehmen; die vielzitierte Zahl von 8,5 Millionen Geräten stammt von Microsoft, nicht von CrowdStrike. Der wirtschaftliche Gesamtschaden sowie mögliche Todesfälle im Zusammenhang mit ausgefallenen Krankenhaus- oder Notrufsystemen sind aus dieser Quelle nicht beziffert oder belegt.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp E-Mail-Adressen, IP-Adressen und Antworten aus Gesundheitsfragebögen seiner Nutzer an Facebook, Snapchat, Criteo und Pinterest zu Werbezwecken weitergab, obwohl das Unternehmen in seiner Datenschutzerklärung Vertraulichkeit zugesichert hatte. Am 2. März 2023 wurde eine Einigung bekanntgegeben, die die FTC am 14. Juli 2023 endgültig bestätigte. BetterHelp muss 7,8 Millionen US-Dollar zur Rückerstattung an betroffene Nutzer zahlen und darf Nutzerdaten künftig nicht mehr für zielgerichtete Werbung an Dritte weitergeben.

Offen bleibt, wie viele Nutzer konkret betroffen waren und in welchem Umfang die weitergegebenen Daten von den Werbeplattformen tatsächlich für individuelle Zielgruppenansprache genutzt wurden. BetterHelp räumte im Rahmen der Einigung kein Fehlverhalten ein, ein gerichtliches Urteil zur Schuldfrage liegt nicht vor.

Im April 2022 entdeckten CERT-UA und ESET einen geplanten Cyberangriff der Gruppe Sandworm auf einen ukrainischen Energieversorger mit der Schadsoftware Industroyer2, die auf Umspannwerke mit dem Protokoll IEC-104 zielte. Die Ausführung war für den 08.04.2022 um 16:10 UTC geplant, wurde aber vor Eintritt eines tatsächlichen Stromausfalls gestoppt. Zusätzlich setzten die Angreifer die Löschsoftware CaddyWiper sowie weitere Wiper-Varianten ein; ESET ordnete den Angriff mit hoher Zuversicht der Gruppe Sandworm zu.

Aus dieser Quelle nicht bekannt ist, wie die Angreifer ursprünglich in das Netzwerk des Energieversorgers eindrangen und wie sie von der IT-Umgebung ins industrielle Steuerungssystem gelangten. Der Name des betroffenen Unternehmens und die genaue Zahl der potenziell betroffenen Kunden werden in der Quelle nicht genannt, ebenso fehlt eine formelle juristische Zurechnung zu Russland.

CERT/CC dokumentierte am 4. Januar 2018 die Hardware-Sicherheitslücken Meltdown (CVE-2017-5754) und Spectre (CVE-2017-5753, CVE-2017-5715), die spekulative Ausführung in Prozessoren ausnutzen, um geschützte Speicherinhalte auszulesen. Entdeckt wurden sie unabhängig voneinander von Googles Project Zero, der TU Graz, dem Forscher Paul Kocher und weiteren Teams. Betroffen waren praktisch alle modernen CPUs von Intel, AMD, ARM und weiteren Herstellern, teils seit Mitte der 1990er Jahre gebaut.

Offen blieb bei Bekanntgabe, wie stark die nötigen Software-Patches die Systemleistung dauerhaft beeinträchtigen würden und ob konkrete Nutzer je tatsächlich Opfer eines Datendiebstahls über diese Lücken wurden. Öffentlich belegte Angriffsfälle blieben die Ausnahme. Auch das vollständige Ausmaß weiterer Varianten der zugrunde liegenden Architekturschwäche war 2018 noch nicht absehbar.

Juniper Networks bestätigte am 17./18. Dezember 2015 in einer Sicherheitswarnung (JSA10713), dass unautorisierter Code in das Betriebssystem ScreenOS seiner NetScreen-Firewalls eingeschleust worden war. Der Code (CVE-2015-7755, CVE-2015-7756) ermöglichte sowohl einen Authentifizierungs-Bypass über SSH/Telnet als auch die passive Entschlüsselung von VPN-Verkehr durch eine manipulierte Konstante im Dual-EC-Zufallszahlengenerator. Nach Angaben von Juniper war der Code seit August 2012 in der Software vorhanden, betroffen waren die ScreenOS-Versionen 6.2.0r15 bis 6.2.0r18 und 6.3.0r12 bis 6.3.0r20.

Wer den Code eingeschleust hat, ist bis heute nicht offiziell geklärt; Sicherheitsforscher vermuten einen staatlichen Akteur, ohne dass Juniper oder US-Behörden einen Verantwortlichen öffentlich benannt haben. Unklar bleibt auch, in welchem Umfang der Zugang tatsächlich für Spionage genutzt wurde und welche konkreten Ziele betroffen waren.

Der EuGH entschied im Verfahren C-210/16, dass Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich sind, auch wenn sie selbst keinen Zugriff auf personenbezogene Rohdaten haben. Die Wirtschaftsakademie Schleswig-Holstein nutzte für ihre Fanpage die Facebook-Funktion Insights, die auf Cookies mit bis zu zwei Jahre gültigen Nutzercodes basiert. Die Datenschutzaufsichtsbehörde des Sitzlandes des Fanpage-Betreibers darf daher sowohl gegen den Betreiber als auch gegen die dortige Facebook-Niederlassung vorgehen.

Offen blieb im Urteil, wie die konkrete Verteilung der Verantwortlichkeiten und Pflichten zwischen Facebook und den einzelnen Fanpage-Betreibern im Detail auszugestalten ist. Nicht Gegenstand der Entscheidung war zudem, in welchem Umfang einzelne Fanpage-Betreiber tatsächlich Einfluss auf die konkreten Verarbeitungszwecke und -mittel bei Facebook nehmen konnten.

Das Bundesverfassungsgericht entschied mit Beschluss vom 4. April 2006 (1 BvR 518/02), dass die nach dem 11. September 2001 bundesweit angeordnete präventive Rasterfahndung gegen mutmaßliche Schläfer teilweise verfassungswidrig war. Eine solche Rasterfahndung greift in das Recht auf informationelle Selbstbestimmung ein und ist nur zulässig, wenn eine konkrete Gefahr für hochrangige Rechtsgüter vorliegt. Eine bloß allgemeine, durch die Anschläge vom 11. September ausgelöste Bedrohungslage genügt dafür nicht.

Offen bleibt in der Entscheidung, ob und wie konkret eine Gefahr im Einzelfall künftig belegt werden muss, damit eine Rasterfahndung rechtmäßig angeordnet werden kann. Nicht dokumentiert ist, wie viele der zuvor bundesweit erfassten rund 32.000 bis 40.000 Personendatensätze aus der Rasterfahndung 2001/2002 nach dem Urteil tatsächlich gelöscht wurden.

Der EuGH entschied am 21.12.2016 in den verbundenen Rechtssachen C-203/15 (Tele2 Sverige) und C-698/15 (gegen Tom Watson u.a.), dass eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten aller Nutzer elektronischer Kommunikationsdienste gegen EU-Recht verstößt. Zulässig bleibt nur eine gezielte, auf das absolut Notwendige begrenzte Speicherung zur Bekämpfung schwerer Kriminalität, wobei der Datenzugriff einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Stelle unterliegen muss.

Offen blieb im Urteil selbst, wie die Grenze zwischen unzulässiger generischer und erlaubter gezielter Speicherung in der Praxis exakt zu ziehen ist. Diese Konkretisierung erfolgte erst in späteren Verfahren vor nationalen Gerichten und weiteren EuGH-Entscheidungen.

Ein US-Bundesgericht in Nordkalifornien stellte im Januar 2025 per Summary Judgment fest, dass NSO Group 2019 eine Schwachstelle in WhatsApp ausnutzte, um Pegasus-Spyware auf rund 1.400 Geräten von Journalisten, Menschenrechtlern, Diplomaten und Dissidenten zu installieren. Damit verstieß NSO gegen US-Hacking-Gesetze und WhatsApps Nutzungsbedingungen. Am 6. Mai 2025 sprach eine Jury WhatsApp/Meta rund 444.000 US-Dollar Schadenersatz und zunächst 167 Millionen US-Dollar Strafschadenersatz zu.

Die Richterin reduzierte den Strafschadenersatz später auf rund 4 Millionen US-Dollar und verhängte stattdessen eine dauerhafte Unterlassungsverfügung gegen NSO. Ob NSO die Beträge tatsächlich zahlt oder erfolgreich Rechtsmittel einlegt, war zum Zeitpunkt dieser Quelle offen.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Spyware-Hersteller NSO Group und Candiru sowie zwei weitere Firmen auf die Entity List. Begründet wurde dies damit, dass NSO Group und Candiru Spionagesoftware an ausländische Regierungen lieferten, mit der gezielt Regierungsbeamte, Journalisten, Aktivisten und Botschaftsmitarbeiter überwacht wurden. Die Listung verpflichtet US-Firmen, für Exporte oder Technologietransfers an diese Unternehmen eine Lizenz zu beantragen.

Nicht Teil dieser Maßnahme war ein strafrechtliches Verbot des Geschäftsbetriebs von NSO Group und Candiru selbst, da die Entity List nur den Export von US-Technologie einschränkt. Aus der Quelle nicht ersichtlich sind die konkreten wirtschaftlichen Folgen der Listung für NSO Group.

Das Oberlandesgericht Köln wies am 23.05.2025 einen Eilantrag der Verbraucherzentrale NRW gegen Meta Platforms Ireland ab, mit dem die Nutzung öffentlicher Facebook- und Instagram-Inhalte europäischer Nutzer zum Training des KI-Modells LLaMA gestoppt werden sollte. Das Gericht sah weder einen Verstoß gegen die DSGVO noch gegen den Digital Markets Act, da Meta sich auf ein berechtigtes Interesse stützen könne. Meta durfte die Datenverarbeitung deshalb ab dem 27.05.2025 wie geplant beginnen.

Der Beschluss erging nur im Eilverfahren; ein Hauptsacheverfahren zur endgültigen datenschutzrechtlichen Bewertung war zum Zeitpunkt der Quelle noch nicht abgeschlossen. Auch ein separates Dringlichkeitsverfahren des Hamburgischen Datenschutzbeauftragten lief parallel.

Am 3. November 2022 reichten anonyme Programmierer beim US-Bezirksgericht in Nordkalifornien eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Sie werfen den Firmen vor, den KI-Assistenten Copilot mit Milliarden Zeilen öffentlichem Code trainiert und dabei Lizenzpflichten wie Namensnennung aus Open-Source-Lizenzen wie GPL und MIT verletzt zu haben. Am 22. Januar 2024 wies der zuständige Richter 20 von 22 Klagepunkten ab, ließ aber die Vertragsbruchklage und Teile der DMCA-Klage zu.

Ob Copilot tatsächlich urheberrechtlich geschützten Code unzulässig reproduziert und ob sich die Firmen erfolgreich auf Fair Use berufen können, ist gerichtlich bisher nicht entschieden. Das Verfahren läuft weiter, ein Endurteil oder Vergleich steht noch aus.

Der US Supreme Court entschied am 22. Juni 2018 mit 5 zu 4 Stimmen, dass der Zugriff von Ermittlungsbehörden auf historische Handystandortdaten (Cell Site Location Information) eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und daher grundsätzlich einen richterlichen Durchsuchungsbefehl erfordert. Grundlage war der Fall Timothy Carpenter, dessen Bewegungsprofil über 127 Tage mit rund 12.898 Standortpunkten ohne Durchsuchungsbefehl beim Mobilfunkanbieter angefordert worden war. Die Mehrheitsmeinung lehnte eine Anwendung der bisherigen Third Party Doctrine auf diese Datenkategorie ab.

Offen bleibt, wie die Regel auf andere Formen der Standort- oder Metadatenerhebung anzuwenden ist, etwa Echtzeit-Tracking, Kameranetzwerke oder Datensammlungen unter sieben Tagen. Das Urteil äußert sich ausdrücklich nicht zu Notfallsituationen, nationaler Sicherheit oder Echtzeitüberwachung.

Der US Supreme Court entschied am 25. Juni 2014 einstimmig im Fall Riley v. California (573 U.S. 373), dass die Polizei bei einer Festnahme grundsätzlich einen Durchsuchungsbefehl braucht, um die digitalen Inhalte eines beschlagnahmten Mobiltelefons zu durchsuchen. Auslöser war der Fall des Angeklagten David Riley, dessen Handy nach seiner Festnahme 2009 ohne Durchsuchungsbefehl ausgewertet wurde, wobei gefundene Daten ihn mit einer Schießerei und Gangaktivität in Verbindung brachten. Das Gericht stellte klar, dass die bisherige Ausnahme für Durchsuchungen bei Festnahmen wegen der riesigen Datenmenge auf modernen Smartphones nicht automatisch gilt.

Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.

Der US Supreme Court entschied am 23. Januar 2012 einstimmig im Fall United States v. Jones, dass das heimliche Anbringen eines GPS-Senders an einem Fahrzeug durch die Polizei und die anschließende Standortüberwachung eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellen. Ermittler hatten den Sender außerhalb der im Durchsuchungsbefehl erlaubten Frist angebracht und die Fahrzeugbewegungen 28 Tage lang aufgezeichnet, was über 2000 Seiten Standortdaten ergab.

Offen blieb im Mehrheitsvotum, ob auch eine rein elektronische Standortverfolgung ohne physisches Anbringen eines Geräts künftig einen Durchsuchungsbefehl erfordert. Nur die Sondervoten thematisierten Grenzen für die Dauer verdachtsunabhängiger Langzeitüberwachung, ohne dass die Mehrheit dazu eine verbindliche Regel aufstellte.

Der Court of Appeal entschied am 11. August 2020 im Fall R (Bridges) gegen Chief Constable of South Wales Police, dass der Einsatz automatisierter Gesichtserkennung (AFR Locate) durch die South Wales Police zwischen 2017 und 2019 rechtswidrig war. Das Gericht stellte einen Verstoß gegen Artikel 8 EMRK fest, weil die Rechtsgrundlage zu viel Ermessen bei Ort und Auswahl der Überwachten ließ. Zusätzlich fehlte eine ordnungsgemäße Datenschutz-Folgenabschätzung.

Offen blieb, ob der eingesetzte Algorithmus tatsächlich rassistisch oder geschlechtsspezifisch verzerrte Ergebnisse lieferte. Das Gericht bemängelte nur das Fehlen einer entsprechenden Prüfung, nicht einen nachgewiesenen Bias. Das Urteil erklärte Gesichtserkennung durch die Polizei nicht grundsätzlich für unzulässig.

Der US Supreme Court entschied am 11. Juni 2001 mit 5 zu 4 Stimmen im Fall Kyllo gegen USA, dass der Einsatz einer Wärmebildkamera durch Bundesagenten am Wohnhaus eines Verdächtigen ohne Durchsuchungsbefehl eine unzulässige Durchsuchung im Sinne des vierten Verfassungszusatzes darstellte. Das Wärmebild diente als Grundlage für einen späteren Durchsuchungsbefehl, bei dem eine Marihuana-Plantage im Haus gefunden wurde. Die Mehrheitsmeinung stellte den Grundsatz auf, dass der Einsatz nicht allgemein verbreiteter Technologie zur Erfassung von Details eines Privathauses einen Durchsuchungsbefehl erfordert.

Nicht Gegenstand des Urteils war, ob die Polizei auch ohne die Wärmebilddaten ausreichenden Tatverdacht gehabt hätte. Offen blieb zudem, wie der Maßstab der nicht allgemein verbreiteten Technologie bei künftigen technischen Entwicklungen anzuwenden ist.

Der Bayerische Verfassungsgerichtshof erklärte am 14. Juni 2023 den erweiterten polizeilichen Präventivgewahrsam nach Art. 20 PAG mit einer Höchstdauer von bis zu zwei Monaten für vereinbar mit der Bayerischen Verfassung. Eine Popularklage gegen mehrere PAG-Vorschriften wurde vom Gericht teils als unzulässig, teils als unbegründet abgewiesen.

Ob der Gefahrenbegriff drohende Gefahr selbst für präventive Polizeimaßnahmen mit höherrangigem Recht vereinbar ist, prüfte das Gericht nicht abschließend, da die entsprechende Rüge als nicht ausreichend begründet eingestuft wurde. Ein separates Verfahren zu genau dieser Frage läuft seit 2026 vor dem Bundesverfassungsgericht.

Das Bundesverfassungsgericht verwarf am 8. Juni 2021 eine Verfassungsbeschwerde gegen § 54 Abs. 2 des baden-württembergischen Polizeigesetzes als unzulässig, das heimliche Überwachung durch Ausnutzung von IT-Sicherheitslücken erlaubt. Der Senat stellte grundsätzlich fest, dass der Staat eine grundrechtliche Schutzpflicht für die Sicherheit informationstechnischer Systeme trägt und Behörden bei Kenntnis unbekannter Schwachstellen den Nutzen einer Ausnutzung gegen das Risiko für Dritte abwägen müssen.

Nicht entschieden wurde, ob die konkrete Schutzpflicht im vorliegenden Fall tatsächlich verletzt wurde. Offen blieb auch, wie die Abwägungspflicht zwischen Offenlegung an Hersteller und behördlicher Nutzung von Sicherheitslücken in der Praxis konkret auszugestalten ist.

Im Februar 2021 reichten openDemocracy und die Rechtskampagne Foxglove eine Klage auf gerichtliche Überprüfung gegen die britische Regierung ein. Anlass war die im Dezember 2020 ohne öffentliche Ausschreibung erfolgte Verlängerung des ursprünglich zum symbolischen Preis von 1 Pfund vergebenen Notfallvertrags mit Palantir zum britischen COVID-19 Data Store, nun mit einem Volumen von 23 Millionen Pfund über zwei Jahre. Ende März 2021 sicherte die Regierung zu, Palantirs Rolle im NHS-Datenspeicher nicht ohne vorherige öffentliche Konsultation über die Pandemie hinaus auszuweiten.

Ob es in der Folge zu einer gerichtlichen Entscheidung über die Rechtmäßigkeit des ursprünglichen Vertrags kam, ist nicht belegt, da das Verfahren durch die Zusagen der Regierung beendet wurde. Ob die zugesagten Bürgerjurys tatsächlich stattfanden, bleibt offen.

Kaspersky Lab teilte am 10.06.2015 mit, im eigenen Firmennetzwerk eine hochentwickelte Spionage-Malware namens Duqu 2.0 entdeckt zu haben. Die Schadsoftware residierte ausschließlich im Arbeitsspeicher und nutzte bis zu drei Zero-Day-Schwachstellen sowie gestohlene digitale Zertifikate des Foxconn-Konzerns. Nach Kaspersky-Angaben wurden auch Hotels und Veranstaltungsorte der P5+1-Verhandlungen über das iranische Atomprogramm in Österreich und der Schweiz infiziert. Kaspersky ordnete den Angriff derselben Gruppe zu, die bereits 2011 die verwandte Schadsoftware Duqu entwickelt hatte, die Code-Ähnlichkeiten mit Stuxnet aufweist.

Eine offizielle Bestätigung, dass eine bestimmte Regierung oder Militäreinheit hinter Duqu 2.0 steht, liegt bis heute nicht vor. Kaspersky bezifferte weder die genaue Zahl der weltweit betroffenen Organisationen noch das exakte Ausmaß der aus dem eigenen Netzwerk abgeflossenen Daten abschließend.

Der Landesbeauftragte für Datenschutz Baden-Württemberg verhängte am 25.06.2020 ein Bußgeld von 1.240.000 Euro gegen die AOK Baden-Württemberg wegen eines Verstoßes gegen Art. 32 DSGVO im Zusammenhang mit Gewinnspielen zwischen 2015 und 2019. Die technischen und organisatorischen Maßnahmen der AOK stellten nicht sicher, dass nur Daten von Teilnehmern mit wirksamer Einwilligung zu Werbezwecken genutzt wurden. Dadurch wurden personenbezogene Daten von mehr als 500 Gewinnspielteilnehmern ohne gültige Einwilligung für Werbung verwendet.

Die genaue Gesamtzahl aller Gewinnspielteilnehmer ist nicht öffentlich beziffert, die Behörde nennt nur die Mindestzahl von über 500 Betroffenen ohne wirksame Einwilligung. Versichertendaten im engeren Sinn waren laut Aufsichtsbehörde nicht betroffen, dies stützt sich allein auf deren eigene Angabe.

Im November 2014 wurde Sony Pictures Entertainment Opfer eines Cyberangriffs, zu dem sich eine Gruppe namens Guardians of Peace bekannte. Die Angreifer löschten Daten auf tausenden Firmenrechnern und stahlen interne E-Mails, Mitarbeiterdaten sowie mehrere unveröffentlichte Kinofilme. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, der im Kontext der Sony-Komödie The Interview stand.

Das FBI legte keine detaillierten technischen Beweise offen, sondern verwies allgemein auf Ähnlichkeiten zu früherer nordkoreanischer Schadsoftware. Mehrere unabhängige Sicherheitsforscher äußerten damals Zweifel an der offiziellen Zuschreibung.

Der EuGH entschied am 13.05.2014 in der Rechtssache C-131/12, dass Suchmaschinenbetreiber als für die Datenverarbeitung Verantwortliche gelten. Betroffene können von Google die Entfernung von Links zu personenbezogenen Daten verlangen, wenn diese nicht mehr relevant oder unangemessen sind, auch wenn die zugrunde liegende Veröffentlichung rechtmäßig bleibt. Auslöser war eine Anzeige aus 1998 über eine Zwangsversteigerung des Klägers Mario Costeja Gonzalez.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Der EuGH erklärte am 06.10.2015 in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission von 2000 für ungültig. Grundlage war eine Beschwerde von Max Schrems gegen die irische Datenschutzbehörde, weil Facebook Ireland Nutzerdaten in die USA übermittelte, wo sie nach den Snowden-Enthüllungen dem Zugriff von US-Geheimdiensten ausgesetzt waren. Der EuGH stellte klar, dass nationale Datenschutzbehörden die Angemessenheit von Datentransfers eigenständig prüfen dürfen.

Wie ein Nachfolgeregime konkret ausgestaltet werden würde, war zum Urteilszeitpunkt offen, die Nachfolgevereinbarung Privacy Shield trat erst 2016 in Kraft. Das spätere Schrems-II-Urteil von 2020 ist nicht Gegenstand dieser Quelle.