Quellen-Tabelle

Das Bundesverfassungsgericht entschied am 20.04.2016 über Verfassungsbeschwerden gegen BKA-Befugnisse zur Terrorismusabwehr. Die Ermächtigung zu heimlichen Überwachungsmaßnahmen wie Online-Durchsuchung und Wohnraumüberwachung ist grundsätzlich mit dem Grundgesetz vereinbar. Mehrere konkrete Vorschriften erfüllten jedoch nicht die Verhältnismäßigkeitsanforderungen und wurden für teilweise verfassungswidrig erklärt, der Gesetzgeber musste bis 30.06.2018 nachbessern.

Wer konkret die Beschwerdeführer waren, geht aus der Pressemitteilung nicht hervor. Die genaue gesetzgeberische Umsetzung der Neuregelung bis 2018 ist nicht Gegenstand dieser Quelle.

Das Auswärtige Amt teilte am 28.05.2020 mit, dass der russische Staatsangehörige Dmitrij Badin verdächtig sei, als Mitglied der Gruppe APT28 für den Cyberangriff auf den Deutschen Bundestag im April und Mai 2015 verantwortlich zu sein. Der Ermittlungsrichter des BGH erließ am 29.04.2020 einen Haftbefehl gegen Badin, dem geheimdienstliche Agententätigkeit vorgeworfen wird. Es gibt Hinweise, dass Badin zum Zeitpunkt des Angriffs dem russischen Militärgeheimdienst GRU angehörte.

Die Mitteilung ist eine politische Zuschreibung der Bundesregierung und kein rechtskräftiges Gerichtsurteil. Badin wurde nie festgenommen oder ausgeliefert, da Russland eigene Staatsangehörige grundsätzlich nicht ausliefert.

Am 27.01.2021 gaben die Generalstaatsanwaltschaft Frankfurt am Main und das BKA bekannt, dass die Infrastruktur der Schadsoftware Emotet in einer international koordinierten Aktion übernommen und zerschlagen wurde. Das BKA beschlagnahmte 17 Server in Deutschland, weitere in den Niederlanden, Litauen und der Ukraine. Beteiligt waren Behörden aus acht Ländern, koordiniert durch Europol und Eurojust. Der in Deutschland verursachte Schaden wird mit mindestens 14,5 Millionen Euro beziffert, betroffen waren unter anderem das Klinikum Fürth und das Kammergericht Berlin.

Die Identität der mutmaßlichen Betreiber und Drahtzieher hinter Emotet ist nicht dokumentiert, es wurde keine konkrete Festnahme einer Kernperson in Deutschland vermeldet. Die Schadenssumme bezieht sich nur auf bekannt gewordene Fälle in Deutschland.

Der EuGH (Große Kammer) erklärte am 08.04.2014 in den verbundenen Rechtssachen C-293/12 und C-594/12 die Richtlinie 2006/24/EG über die Vorratsspeicherung von Telekommunikationsdaten für ungültig. Klägerin war unter anderem Digital Rights Ireland Ltd. Der EuGH sah einen schwerwiegenden Eingriff in die Grundrechte auf Achtung des Privatlebens und Datenschutz, da die Richtlinie unterschiedslos alle Personen erfasste, keine objektiven Kriterien für den Datenzugriff vorsah und keine ausreichenden Sicherheitsgarantien enthielt.

Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.

Die Große Kammer des EGMR entschied am 04.12.2008, dass die zeitlich unbegrenzte Aufbewahrung von Fingerabdrücken, Zellproben und DNA-Profilen nicht verurteilter Personen gegen Artikel 8 EMRK verstößt. Kläger waren ein freigesprochener Jugendlicher und Michael Marper, gegen den ein Verfahren eingestellt worden war. Die South Yorkshire Police hatte ihre Daten trotz fehlender Verurteilung unbegrenzt gespeichert. Das Gericht urteilte einstimmig, die pauschale Speicherungspraxis sei unverhältnismäßig.

Der EGMR sprach keine finanzielle Entschädigung zu, die Feststellung der Konventionsverletzung selbst galt als ausreichende Genugtuung. Wie schnell das Vereinigte Königreich das Urteil praktisch umsetzte, bleibt offen.

Der EGMR erklärte am 29.06.2006 die Beschwerde der Journalistin Gabriele Weber und des Uruguayers Cesar Richard Saravia gegen Deutschland für unzulässig. Die Beschwerde richtete sich gegen die strategische Telekommunikationsüberwachung des BND nach dem G10-Gesetz. Der Gerichtshof stellte fest, dass die deutschen Regelungen ausreichende gesetzliche Schutzmechanismen enthalten, unter anderem durch die Kontrolle der G10-Kommission, und mit Artikel 8 EMRK vereinbar sind.

Es handelt sich um eine Unzulässigkeitsentscheidung ohne Feststellung einer Konventionsverletzung, keine Verurteilung Deutschlands. Ob und in welchem Umfang die Kommunikation der Beschwerdeführer tatsächlich erfasst wurde, ist nicht dokumentiert.

Am 07.05.2015 entschied das US Court of Appeals for the Second Circuit im Fall ACLU gegen Clapper einstimmig, dass das massenhafte Sammeln von Telefonverbindungsdaten durch die NSA nicht von Section 215 PATRIOT Act gedeckt ist. Das Gericht wies die Position der Regierung zurück, nur das geheime FISA-Gericht dürfe die Rechtmäßigkeit prüfen, und stellte fest, dass die ACLU klagebefugt ist.

Das Gericht entschied nur auf einfachgesetzlicher Ebene, nicht zur verfassungsrechtlichen Frage. Kurz nach dem Urteil lief Section 215 am 01.06.2015 aus und wurde durch den USA Freedom Act ersetzt.

DOJ und FBI gaben am 26.01.2023 bekannt, seit Ende Juli 2022 monatelang verdeckt in die Infrastruktur der Ransomware-Gruppe Hive eingedrungen zu sein und fortlaufend Entschlüsselungscodes gesammelt zu haben. Diese wurden an über 300 aktuell angegriffene sowie mehr als 1000 frühere Opfer verteilt und verhinderten Lösegeldforderungen von rund 130 Millionen US-Dollar. Gemeinsam mit deutschen und niederländischen Behörden sowie Europol beschlagnahmten die Ermittler anschließend Hives Server.

Diese Operation wurde von beteiligten Behörden als Operation Dawnbreaker bezeichnet, nicht Operation Duck Hunt (das war die spätere, separate Qakbot-Zerschlagung im August 2023). Ob und wie viele Hive-Mitglieder identifiziert wurden, ist nicht dokumentiert.

Die CNIL verhängte am 31.12.2021 ein Bußgeld von insgesamt 150 Millionen Euro gegen Google (90 Mio Google LLC, 60 Mio Google Ireland), weil Nutzer auf google.fr und youtube.com Cookies mit einem Klick akzeptieren konnten, die Ablehnung aber mehrere Klicks erforderte. Die Behörde ordnete an, die Cookie-Ablehnung binnen drei Monaten so einfach wie die Annahme zu gestalten.

Ob Google innerhalb der Dreimonatsfrist vollständig compliant wurde, bleibt offen, die CNIL kam 2023 mit einer weiteren Entscheidung auf die Umsetzung zurück. Dieser Fall betrifft ausschließlich die Cookie-Bannergestaltung und ist getrennt vom späteren Google-Analytics-Verfahren zu betrachten.

Der BGH entschied am 18.11.2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren über Ansprüche aus dem Facebook-Scraping-Vorfall von 2021, bei dem Daten von rund 533 Millionen Nutzern offengelegt wurden. Der BGH bestätigte, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden nach Art. 82 DSGVO begründen kann, ohne konkreten Missbrauch nachweisen zu müssen. Der Vorsitzende Richter nannte für den bloßen Kontrollverlust eine Größenordnung von etwa 100 Euro und verwies die Sache zurück an das OLG Köln.

Der Betrag von rund 100 Euro ist eine richterliche Orientierungsgröße, keine feste Summe für alle Fälle. Wie sich die Entscheidung auf tausende weitere anhängige Parallelverfahren auswirkt, ist nicht abschließend geklärt, da diese jeweils neu bewertet werden müssen.

NHS England vergab im November 2023 den Vertrag für die landesweite Federated Data Platform an ein von Palantir Technologies UK geführtes Konsortium mit Accenture, PwC und weiteren Partnern. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Investitionsvolumen von bis zu 330 Millionen Pfund. Die Plattform soll Daten aus bis zu 240 NHS-Organisationen zusammenführen, um Wartelisten zu verkürzen.

Wie hoch der tatsächlich ausgezahlte Betrag im Vergleich zum Maximalvolumen ausfällt, ist offen. Dieser Eintrag betrifft ausdrücklich den 2023 abgeschlossenen Langzeitvertrag, nicht den früheren Notfallvertrag von 2020 zum COVID-19 Data Store.

Der Erste Senat des Bundesverfassungsgerichts entschied am 06.11.2019 in zwei zeitgleich verkündeten Beschlüssen über den Prüfungsmaßstab für Verfassungsbeschwerden. In Recht auf Vergessen I (1 BvR 16/13, Klage gegen ein Online-Pressearchiv wegen jahrzehntealter Mordberichterstattung) bekräftigte das Gericht, dass es innerstaatliches Recht mit unionsrechtlichem Gestaltungsspielraum primär an den Grundrechten des Grundgesetzes prüft. In Recht auf Vergessen II (1 BvR 276/17, Streit einer Geschäftsführerin mit Google um einen Suchmaschinenlink zu einem TV-Beitrag) legte das Gericht erstmals fest, dass es bei unionsrechtlich vollständig vereinheitlichtem Recht stattdessen die Charta der Grundrechte der EU als Prüfungsmaßstab heranzieht.

Diese Quelle ist die Pressemitteilung Nr. 84/2019 zu Recht auf Vergessen II. Nach welchen trennscharfen Kriterien im Einzelfall zwischen gestaltungsoffenem und vollständig vereinheitlichtem Unionsrecht abzugrenzen ist, bleibt offen. Wie viele spätere Verfassungsbeschwerden sich seither ausdrücklich auf die EU-Grundrechtecharta stützen, ist nicht beziffert.

Am 14.06.2013 erhob das US-Justizministerium beim Bundesgericht im Eastern District of Virginia Anklage gegen Edward Snowden wegen Spionage und Diebstahls von Regierungseigentum. Nachdem Hongkong einem US-Festnahmeersuchen nicht nachkam, verließ Snowden die Stadt am 23.06.2013 Richtung Moskau. Im Transitbereich des Flughafens Scheremetjewo festsitzend, gewährte Russland ihm am 01.08.2013 vorübergehendes Asyl. Russland gewährte ihm 2020 eine unbefristete Aufenthaltserlaubnis und verlieh ihm am 26.09.2022 per Präsidialdekret die russische Staatsbürgerschaft. Die strafrechtliche Anklage in den USA besteht unverändert fort, eine Auslieferung hat Russland stets abgelehnt.

Die strafrechtliche Schuldfrage ist nicht durch ein Gerichtsverfahren geklärt, da es nie zu einem Prozess in den USA kam. Ob Snowden neben der russischen weiterhin die US-Staatsbürgerschaft besitzt, wird unterschiedlich bewertet. Vermutungen über Kontakte zu russischen Geheimdiensten sind unbewiesen und von Snowden bestritten.

WikiLeaks veröffentlichte ab dem 07.03.2017 unter dem Namen Vault 7 den ersten Teil Year Zero mit 8.761 Dokumenten aus einem isolierten Netzwerk der CIA-Abteilung Center for Cyber Intelligence. Bis November 2017 folgten insgesamt 26 weitere Teilveröffentlichungen. Die Unterlagen beschreiben CIA-Werkzeuge zum Eindringen in iPhones, Android-Geräte, Windows, Mac OS X, Linux-Rechner und Router sowie das Programm Weeping Angel, mit dem sich Samsung-Smart-TVs in versteckte Mikrofone verwandeln ließen. Ein Bundesgericht in Manhattan verurteilte den als Quelle identifizierten ehemaligen CIA-Softwareentwickler Joshua Schulte am 01.02.2024 zu 40 Jahren Haft.

Wie viele der beschriebenen Werkzeuge tatsächlich gegen reale Ziele eingesetzt wurden, ist nicht belegt. Schulte bestritt die Tat während des gesamten Verfahrens, im ersten Prozess 2020 konnte sich die Jury nicht einigen, erst ein zweiter Prozess endete 2022 mit einem Schuldspruch.

Amazons Tochterunternehmen Ring kündigte im Oktober 2025 eine technische Integration mit dem Überwachungsunternehmen Flock Safety an, die es Polizeibehörden ermöglicht hätte, gezielt Videomaterial von Ring-Nutzern anzufordern. Nach wochenlanger öffentlicher Kritik, unter anderem wegen Sorgen um einen möglichen Zugriff der Einwanderungsbehörde ICE auf die Flock-Infrastruktur, sagten beide Unternehmen die Integration am 12.02.2026 ab. Laut gemeinsamer Mitteilung ging die Integration nie live, es wurden keine Kundenvideos übermittelt. Das unabhängig fortbestehende, freiwillige Community-Requests-Programm erlaubt Ring-Nutzern weiterhin, Aufnahmen direkt mit lokaler Polizei zu teilen.

Wie viele Polizeibehörden die Flock-Integration im Vorfeld bereits getestet hatten, ist nicht belegt. Wie viele Videos über das Community-Requests-Programm insgesamt an Polizeibehörden gehen, veröffentlicht Ring nicht systematisch. Ob ICE über kooperierende Polizeibehörden künftig indirekten Zugriff auf Flock-Daten erhalten könnte, ist nicht ausgeschlossen.

Präsident Biden unterzeichnete am 27.03.2023 die Executive Order 14093, die US-Bundesbehörden den operativen Einsatz kommerzieller Spionagesoftware untersagt, wenn diese ein erhebliches Risiko für die nationale Sicherheit darstellt oder von ausländischen Regierungen zur gezielten Überwachung von Aktivisten, Journalisten oder Dissidenten missbraucht wurde. Die Anordnung erging rund eineinhalb Jahre nach Aufnahme der NSO Group in die Entity List des US-Handelsministeriums und reagierte explizit auf den dokumentierten Missbrauch von Pegasus.

Die Anordnung nennt keine einzelne Firma namentlich, sondern formuliert allgemeine Risikokriterien. Kritiker wie die Electronic Frontier Foundation bemängelten fehlende externe Kontrollmechanismen. Wie viele Behörden welche Spyware-Produkte vor und nach dem Erlass nutzten, wurde nicht vollständig öffentlich gemacht.

Der BGH entschied am 13.03.2025, dass Ermittlungsbehörden den Finger eines Beschuldigten gegen dessen Willen auf den Fingerabdrucksensor eines Smartphones legen dürfen, um es zu entsperren, gestützt auf § 81b Abs. 1 StPO in Verbindung mit §§ 94 ff. StPO. Anlass war ein wegen Herstellens kinderpornografischer Inhalte verurteilter Erzieher, dessen Handy die Polizei zwangsweise entsperrte und dabei über 2.000 weitere Dateien fand. Der BGH stufte das erzwungene Auflegen des Fingers als duldungspflichtige Maßnahme ein und lehnte ein Beweisverwertungsverbot ab.

Nicht Gegenstand der Entscheidung war die erzwungene Entsperrung per Gesichtserkennung, Passwort oder PIN, dafür gilt weiterhin ein Mitwirkungsverbot. Wie oft Behörden seit dem Beschluss auf dieser Grundlage vorgegangen sind, ist nicht dokumentiert.

Als Reaktion auf das bereits dokumentierte BVerfG-Urteil von 2016 verabschiedete der Bundestag am 27.04.2017 das Gesetz zur Neustrukturierung des BKA-Gesetzes, in Kraft seit 25.05.2018. Gegen die neuen Befugnisse zur Datenerhebung bei Kontaktpersonen reichten 2019 mehrere Betroffene mit Unterstützung der Gesellschaft für Freiheitsrechte Verfassungsbeschwerde ein. Am 01.10.2024 erklärte das BVerfG (Az. 1 BvR 1160/19) die Vorschriften zur Kontaktpersonenüberwachung sowie zur Datenspeicherung im polizeilichen Informationsverbund teilweise für unvereinbar mit dem Grundrecht auf informationelle Selbstbestimmung. Der Gesetzgeber musste die Vorschriften bis 31.07.2025 neu regeln.

Wer die Beschwerdeführer konkret sind, wird nur nach Beruf oder Gruppenzugehörigkeit benannt. Ob der Gesetzgeber die Neuregelung fristgerecht umsetzte, ist nicht Gegenstand dieser Quelle.

Am 18.04.2022 bestätigte das US-Berufungsgericht für den Neunten Bezirk im Verfahren hiQ Labs gegen LinkedIn erneut eine einstweilige Verfügung zugunsten von hiQ Labs. Das Analyseunternehmen hatte per Bot öffentlich einsehbare LinkedIn-Profildaten ausgelesen, woraufhin LinkedIn technische Sperren einsetzte. Das Gericht entschied, automatisiertes Auslesen frei zugänglicher, nicht login-geschützter Inhalte verstoße aller Wahrscheinlichkeit nach nicht gegen den Computer Fraud and Abuse Act. Nach sechsjährigem Rechtsstreit einigten sich beide Seiten im Dezember 2022 auf einen Vergleich über 500.000 US-Dollar zulasten von hiQ.

Das Urteil betraf nur die vorläufige Verfügung, keine endgültige Entscheidung in der Hauptsache. Der Supreme Court äußerte sich nie inhaltlich zum Scraping. Die Reichweite der Entscheidung ist begrenzt auf Daten ohne jede technische Zugangsschranke.

Die mit China in Verbindung gebrachte Gruppe Salt Typhoon drang 2024 in Netzwerke mehrerer großer US-Telekommunikationsanbieter ein, laut Medienberichten unter anderem AT&T, Verizon und Lumen Technologies. FBI und CISA bestätigten am 25.10.2024 den unautorisierten Zugriff, in einer aktualisierten Erklärung vom 13.11.2024 stellten sie fest, dass die Angreifer Anrufdaten gestohlen und Informationen aus gerichtlich angeordneten Überwachungsmaßnahmen (CALEA-Abhörschnittstellen) kopiert hatten.

FBI und CISA nennen keine genaue Opferzahl oder vollständige Firmenliste. Häufig zitierte Zahlen wie rund 150 Zielpersonen stammen aus Medienberichten, nicht aus den offiziellen Mitteilungen. Der Name Salt Typhoon stammt aus privater Bedrohungsanalyse, nicht aus Regierungsdokumenten.

Am 01.06.2017 beschloss der Bundestag einstimmig die Aufhebung von Paragraf 103 StGB, der Strafbarkeit der Beleidigung ausländischer Staatsoberhäupter. Auslöser war die Strafanzeige des türkischen Präsidenten Recep Tayyip Erdogan gegen Jan Böhmermann wegen dessen Schmähgedicht vom März 2016, für dessen Verfolgung die Bundesregierung im April 2016 die Ermächtigung nach Paragraf 104a StGB erteilt hatte. Die Streichung trat zum Januar 2018 in Kraft, mit der Begründung, die allgemeinen Beleidigungsvorschriften seien ausreichend.

Nicht dokumentiert im Bundestagsartikel ist der Ausgang des Strafverfahrens gegen Böhmermann. Die Staatsanwaltschaft Mainz stellte das Ermittlungsverfahren im Oktober 2016 mangels Tatverdachts ein, dies stammt aus anderen Quellen. Zivilrechtliche Verfahren zwischen Böhmermann und Erdogan sind nicht Gegenstand dieser Quelle.

Der Bundesrechnungshof veröffentlichte am 13.10.2020 einen Bericht, wonach Zoll, Steuerbehörden und Deutsche Rentenversicherung bei der Bekämpfung von Schwarzarbeit nicht ausreichend elektronisch zusammenarbeiten, Informationen wurden teils per Speichermedium oder Papierform ausgetauscht. Die Zollbehörden dokumentierten für 2019 einen Schwarzarbeitsschaden von 750 Millionen Euro. Der Rechnungshof forderte eine gemeinsame Datenbank.

Nicht dokumentiert ist ein Einzelfall von rechtswidrigem Datenabgleich. Der Bericht kritisiert primär organisatorische Ineffizienz, nicht einen Datenschutzskandal im engeren Sinne. Offen bleibt, ob die geforderte gemeinsame Datenbank seither umgesetzt wurde.

Die Datenschutzkonferenz veröffentlichte am 16.08.2024 eine Orientierungshilfe zur Datenverarbeitung bei funkbasierten Zählern für Gebäudeeigentümer und Wohnungsunternehmen. Verbrauchsdaten dürfen ausschließlich zur Nebenkostenabrechnung und zu gesetzlich zugelassenen Zwecken erhoben werden. Eine Auswertung zur Erstellung von Nutzungs- oder Verhaltensprofilen ist ohne ausdrückliche Rechtsgrundlage unzulässig. Rechtsgrundlagen sind DSGVO, Messstellenbetriebsgesetz und Heizkostenverordnung.

Die Orientierungshilfe ist ein allgemeines Regelwerk, keine Feststellung eines konkreten Verstoßes. Es liegt kein dokumentierter Fall vor, in dem ein deutsches Wohnungsunternehmen wegen Auswertung von Smart-Meter-Daten bereits mit einem Bußgeld belegt wurde.

Das Bundesverfassungsgericht wies mit Beschluss vom 01.11.2024 eine Verfassungsbeschwerde gegen eine Verurteilung ab, die auf in Frankreich erhobenen Encrochat-Daten beruhte. Das Gericht bestätigte die Rechtsprechung des BGH, wonach kein Beweisverwertungsverbot besteht, da die zugrunde liegende Europäische Ermittlungsanordnung rechtmäßig war. Der BGH hatte bereits am 02.03.2022 grundsätzlich entschieden.

Umstritten bleibt, wie die französische Überwachungsmaßnahme selbst rechtlich einzuordnen war, deutsche Gerichte prüfen nur die Rechtmäßigkeit der Übermittlung. Wie viele Verfahren insgesamt auf Encrochat-Daten gestützt wurden, ist nicht bundesweit einheitlich erfasst.

Bei der Sitzung der EU-Innenminister am 12.06.2025 fand der Vorschlag zur verpflichtenden serverseitigen Chatkontrolle unter dänischer Ratspräsidentschaft erneut keine ausreichende Mehrheit unter den EU-Mitgliedstaaten. Deutschland positionierte sich gegen eine anlasslose Chatkontrolle. Der Vorschlag zur CSAM-Verordnung (Chatkontrolle) wurde damit zum wiederholten Mal vertagt, nachdem bereits 2023 und 2024 keine Einigung erzielt worden war.

Der endgültige Ausgang der Verhandlungen war zum Zeitpunkt dieser Quelle offen, spätere Ratspräsidentschaften könnten das Thema erneut aufgreifen. Die genaue Stimmenverteilung der einzelnen Mitgliedstaaten wurde nicht in allen Details veröffentlicht.