Quellen-Tabelle

Die Washington Post berichtete am 30.10.2013 auf Basis von Snowden-Dokumenten, dass NSA und der britische Geheimdienst GCHQ im gemeinsamen Programm MUSCULAR heimlich die internen Glasfaserverbindungen zwischen den Rechenzentren von Google und Yahoo weltweit anzapften. Laut einer internen NSA-Abrechnung vom 09.01.2013 wurden allein in 30 Tagen 181.280.466 neue Datensätze erfasst, deutlich mehr als über das bekanntere Programm PRISM. Google und Yahoo erklärten öffentlich, der NSA keinen Zugang zu ihren Rechenzentren gewährt zu haben, und begannen daraufhin ab November 2013 die Datenverbindungen zwischen ihren Rechenzentren zu verschlüsseln.

Offen bleibt, wie viele der abgegriffenen Datensätze tatsächlich US-Bürger betrafen und in welchem Umfang die Daten für konkrete Ermittlungen genutzt wurden. Die genaue technische Umsetzung des Zugriffspunkts sowie die Frage, ob dafür überhaupt eine richterliche Anordnung nötig gewesen wäre, sind bis heute nicht abschließend gerichtlich geklärt.

Ende 2019 verschafften sich Hacker per Credential Stuffing Zugriff auf Ring-Kameras in Kinderzimmern in den USA. Sie sprachen über die eingebaute Lautsprecherfunktion mit Kindern und beschimpften sie, dokumentiert unter anderem in einem Fall in DeSoto County, Mississippi im Dezember 2019 sowie in weiteren Fällen in Florida, Georgia und Tennessee. Ring erklärte, es gebe keine Hinweise auf eine Kompromittierung der eigenen Systeme, und führte die Zugriffe auf wiederverwendete Zugangsdaten der Nutzer zurück.

Offen bleibt, wie viele Ring-Konten insgesamt betroffen waren und ob einzelne Täter identifiziert oder strafrechtlich belangt wurden. Diese Frage wurde erst 2023 in einem Verfahren der US-Handelsaufsicht FTC gegen Amazon Ring rechtlich aufgearbeitet, das mit einer Zahlung von 5,6 Millionen Dollar an betroffene Kunden endete.

Im Januar 2019 erlangte ein unbekannter Angreifer Zugriff auf die Nest-Kamera einer Familie in Orinda, Kalifornien, mithilfe eines Passworts, das zuvor bei einem fremden Datenleck offengelegt und für das Nest-Konto wiederverwendet worden war. Über die Kamera wurde eine falsche Notfallwarnung vor einem nordkoreanischen Raketenangriff auf die USA abgespielt. Google bestätigte öffentlich, dass Nest selbst nicht kompromittiert wurde, sondern wiederverwendete Passwörter die Ursache waren.

Offen bleibt, aus welchem konkreten Datenleck das verwendete Passwort stammte und wer für den Angriff verantwortlich war. Google veröffentlichte zudem keine genaue Gesamtzahl aller im Rahmen dieser Angriffswelle betroffenen Nest-Konten.

Der Sicherheitsdienstleister RedHunt Labs entdeckte am 11.01.2024 ein seit dem 29.09.2023 in einem öffentlichen GitHub-Repository eines Mercedes-Benz-Mitarbeiters abgelegtes Zugriffstoken. Das Token gewährte unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server des Konzerns, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS, Datenbank-Verbindungszeichenketten und API-Schlüssel. Mercedes-Benz widerrief das Token am 24.01.2024 und bestätigte öffentlich, dass interner Quellcode durch menschliches Versagen frei zugänglich war.

Unklar bleibt, ob das rund vier Monate lang öffentlich einsehbare Token in dieser Zeit von Dritten gefunden oder missbraucht wurde. Mercedes-Benz erklärte, Kundendaten seien nach damaligem Kenntnisstand nicht betroffen, legte dazu aber keine überprüfbaren technischen Belege offen.

Apple reichte im November 2021 Klage gegen die NSO Group ein und warf ihr vor, Apple-Nutzer mit der Pegasus-Spyware über den FORCEDENTRY-Exploit ausgespäht zu haben. Am 12.09.2024 beantragte Apple die freiwillige Rücknahme der eigenen Klage. Als Begründung nannte Apple die Gefahr, dass eine Fortsetzung vertrauliche Bedrohungsanalyse-Daten offenlegen und damit anderen Spyware-Anbietern nützen könnte.

Ob und wie das Gericht über den Rücknahmeantrag abschließend entschied, ist nicht dokumentiert. Eine konkrete finanzielle Entschädigung oder ein Vergleich zwischen den Parteien ist nicht belegt, es handelt sich um eine einseitige Klagerücknahme, kein Urteil in der Sache.

Die New York Times berichtete am 01.06.2012 unter Berufung auf zahlreiche Regierungsvertreter über ein gemeinsames US-israelisches Cybersabotage-Programm gegen die iranische Urananreicherungsanlage Natanz mit dem Codenamen Olympic Games. Im Sommer 2010 entkam ein Teil der eingesetzten Schadsoftware durch einen Programmierfehler aus der Anlage und verbreitete sich weltweit im Internet, Sicherheitsforscher benannten den Wurm Stuxnet. Die letzte im Artikel beschriebene Angriffswelle legte vorübergehend fast 1.000 der rund 5.000 zu diesem Zeitpunkt in Natanz laufenden Zentrifugen lahm.

Der Bericht stützt sich auf anonyme Insider-Quellen, eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor. Wie viele Zentrifugen dauerhaft zerstört statt nur vorübergehend gestoppt wurden, bleibt unter Experten umstritten.

Ab dem 27.02.2022 veröffentlichte ein anonymer Account namens ContiLeaks über mehrere Tage Archive mit internen Chatnachrichten und Quellcode der Ransomware-Gruppe Conti. Die Daten stammten von einem ukrainischen Sicherheitsforscher, geleakt wurden 393 JSON-Dateien mit rund 60.000 internen Nachrichten aus dem Zeitraum Januar 2021 bis Februar 2022. Auslöser war eine öffentliche Erklärung der Conti-Gruppe, sich nach dem russischen Angriff auf die Ukraine auf die Seite Russlands zu stellen.

Die genaue Identität des Sicherheitsforschers hinter ContiLeaks wurde nie offiziell bestätigt. Wie lange der Zugriff auf die internen Systeme bereits vor der Veröffentlichung bestand, bleibt unklar.

Die Fitness-App Strava veröffentlichte im November 2017 eine globale Heatmap mit GPS-Aktivitätsdaten von über einer Milliarde Trainingseinheiten. Ende Januar 2018 machte der Student Nathan Ruser öffentlich, dass die Laufrouten von Soldaten in der Heatmap die Umrisse von US-Militärbasen in Syrien, Afghanistan und Somalia sichtbar machten. Strava erklärte, die Heatmap zeige eine anonymisierte Ansicht und kündigte eine Überprüfung der Privatsphäre-Einstellungen an.

Wie viele Militärstandorte konkret identifiziert wurden und ob daraus tatsächliche Sicherheitsvorfälle entstanden, ist nicht abschließend dokumentiert. In welchem Umfang einzelne Soldatenprofile re-identifiziert werden konnten, beruht auf Stichproben.

Der Alphabet-Ableger Sidewalk Labs gab am 07.05.2020 die Aufgabe seines Smart-City-Projekts Quayside in Toronto bekannt, offiziell wegen wirtschaftlicher Unsicherheit durch die Covid-19-Pandemie. Dem Rückzug ging ein mehrjähriger öffentlicher Streit um die geplante Sensor- und Datensammlung voraus. Bereits 2018 trat die frühere Datenschutzbeauftragte Ontarios, Ann Cavoukian, als Beraterin zurück, da ihr zufolge keine ausreichende Anonymisierung zugesichert wurde.

Ob die jahrelange öffentliche Kritik an der Datensammlung tatsächlich mitentscheidend für die Absage war, ist nicht offiziell bestätigt. Eine förmliche behördliche Untersuchung zu den Datenschutzvorwürfen ist nicht bekannt.

Am 06.05.2025 sprach eine Geschworenenjury am US-Bundesgericht WhatsApp und Meta gegen NSO Group Schadensersatz zu: 444.719 US-Dollar Kompensation und 167.254.000 US-Dollar Strafschadensersatz. Grundlage war die Ausnutzung einer WhatsApp-Schwachstelle 2019, über die NSO die Pegasus-Spyware auf rund 1.400 Geräten installierte. Vorausgegangen war ein Haftungsurteil von Richterin Phyllis Hamilton vom Dezember 2024.

NSO Group kündigte Rechtsmittel an. Spätere Medienberichte legen nahe, dass die Richterin den Strafschadensersatz nachträglich auf rund 4 Millionen US-Dollar reduzierte, dies stammt nicht aus der Primärquelle und sollte separat verifiziert werden.

Die Gruppe Scattered Spider verschaffte sich am 11.09.2023 per Social-Engineering-Anruf beim IT-Helpdesk Administratorzugriff auf die Okta- und Azure-Umgebung von MGM Resorts. Die Angreifer verschlüsselten mehr als 100 ESXi-Server mit BlackCat/ALPHV-Ransomware, wodurch Spielautomaten und Kreditkartenterminals tagelang ausfielen. Laut SEC-Mitteilung vom 05.10.2023 entstand ein geschätzter Verlust von rund 100 Millionen US-Dollar. Zusätzlich wurden persönliche Daten von Kunden mit MGM-Kontakt vor März 2019 entwendet.

Ob MGM tatsächlich kein Lösegeld zahlte, lässt sich nicht unabhängig verifizieren. Dieser Vorfall vom September 2023 ist getrennt vom früher dokumentierten MGM-Resorts-Datenleck 2019/2020 zu betrachten.

Mattel kündigte 2015 mit Hello Barbie eine internetfähige, sprachgesteuerte Puppe an, die per Mikrofon Kindergespräche aufzeichnet und über WLAN an Cloud-Server des Partners ToyTalk überträgt, wo sie ausgewertet werden. Die Organisation Campaign for a Commercial-Free Childhood kritisierte, sensible Daten über Kinder könnten für Marketingzwecke missbraucht werden. ToyTalk erklärte, gesammelte Daten würden nicht für Werbung genutzt.

Der Artikel dokumentiert nur die Ankündigung vor dem Marktstart im Herbst 2015. Spätere Sicherheitslücken und eine im Dezember 2015 eingereichte Sammelklage wegen COPPA-Verstößen sind nicht Gegenstand dieser Quelle.

Nachdem HBGary-Federal-Chef Aaron Barr angekündigt hatte, Anführer von Anonymous identifiziert zu haben, hackte die Gruppe Anfang Februar 2011 die Server der Sicherheitsfirma und veröffentlichte mehr als 70.000 interne E-Mails. Die Mails zeigten, dass HBGary Federal zusammen mit Palantir Technologies und Berico Technologies im Auftrag der Kanzlei Hunton & Williams eine Kampagne gegen WikiLeaks vorbereitet hatte, mit Desinformation und Druck auf Journalisten. Dieselbe Kanzlei hatte die drei Firmen zudem beauftragt, gewerkschaftsnahe Organisationen wie ThinkProgress und SEIU ins Visier zu nehmen. Aaron Barr trat nach der Veröffentlichung als CEO zurück.

Bank of America und die US Chamber of Commerce bestritten, die Vorschläge in Auftrag gegeben zu haben. Ob die geplanten Maßnahmen tatsächlich umgesetzt wurden, ist nicht abschließend geklärt. Eine strafrechtliche Verfolgung der Kanzlei oder Auftraggeber ist nicht dokumentiert.

Der Chaos Computer Club analysierte im Oktober 2011 eine als Quellen-TKÜ eingesetzte staatliche Späh-Software und deckte gravierende Sicherheitsmängel auf. Die Software konnte beliebigen Schadcode nachladen, Kommandos zwischen Steuerserver und Trojaner waren teils unverschlüsselt und Screenshots sowie Audiodaten nur unzureichend verschlüsselt. Zudem ermöglichte sie Zugriffe auf Mikrofon, Kamera, Tastatur und Dateisystem und ging damit weit über die gesetzlich erlaubte Telekommunikationsüberwachung hinaus. Betroffen waren laut Bericht unter anderem Bayern und Schleswig-Holstein, wo die Software als Bayerntrojaner beziehungsweise 0zapftis bekannt wurde.

Wie viele Personen insgesamt mit der Software überwacht wurden, geht aus dem Artikel nicht hervor. Offen bleibt, welche weiteren Landesbehörden die Software bereits eingesetzt hatten. Der Hersteller wird in diesem Artikel nicht genannt.

Die Washington Post berichtete am 21.12.2021 unter Berufung auf eine forensische Analyse des Citizen-Lab-Forschers Bill Marczak, dass eine Behörde der Vereinigten Arabischen Emirate im April 2018 versuchte, die Pegasus-Spyware der NSO Group auf ein Mobiltelefon von Hanan Elatr zu installieren, der Ehefrau des saudischen Journalisten Jamal Khashoggi. Fünf Monate später, am 02.10.2018, wurde Khashoggi im saudischen Konsulat in Istanbul ermordet. Ein früherer Citizen-Lab-Bericht hatte bereits festgestellt, dass auch das Telefon von Khashoggis Vertrautem Omar Abdulaziz mit Pegasus infiziert worden war.

Ob die Installation auf Elatrs Telefon tatsächlich erfolgreich war, ist nicht abschließend belegt, Citizen Lab dokumentierte nur den Zugriffsversuch. NSO Group bestritt, dass Pegasus zur Überwachung von Elatr eingesetzt worden sei. Ein rechtlich festgestellter Kausalzusammenhang zwischen dieser Überwachung und der Ermordung besteht nicht, dokumentiert ist nur die zeitliche Nähe.

Am 24.05.2022 veröffentlichte ein internationales Medienkonsortium von rund 14 Organisationen die Xinjiang Police Files: mehrere zehntausend gehackte interne Dokumente aus Polizeicomputersystemen in Xinjiang. Die Materialien waren dem China-Forscher Adrian Zenz von einer anonymen Quelle zugespielt worden. Der Datensatz enthält rund 5.000 Fahndungsfotos sowie interne Reden, darunter eine Rede des damaligen Parteisekretärs Chen Quanguo, in der er Wachpersonal anwies, bei Fluchtversuchen von Häftlingen notfalls scharf zu schießen. Chinas Außenministerium wies die Dokumente zurück.

Angaben zu Umfang und Zahlen schwanken je nach Quelle erheblich. Wie der anonyme Hacker technisch Zugang zu den Polizeisystemen erlangte, ist nicht dokumentiert. Ob Chen Quanguo die Schießbefehl-Passage persönlich formulierte, lässt sich nicht abschließend klären.

Project Maven wurde am 26.04.2017 per Memo des stellvertretenden US-Verteidigungsministers Robert Work gegründet, um per Computer Vision und maschinellem Lernen Drohnen- und Satellitenvideos automatisiert auf militärische Ziele auszuwerten. Ursprünglicher KI-Partner war Google, das den Vertrag nach internen Mitarbeiterprotesten 2018 nicht verlängerte. Ab 2019 übernahm Palantir Technologies die Rolle als zentraler KI-Anbieter und entwickelte das Maven Smart System. Nach einem fünfjährigen Vertrag über bis zu 480 Millionen US-Dollar im Mai 2024 erhöhte das Pentagon die Obergrenze im Mai 2025 um 795 Millionen auf rund 1,3 Milliarden US-Dollar bis 2029. Mehr als 20.000 aktive Anwender nutzten das System bereits in über 35 militärischen Software-Werkzeugen.

Wie viele der erkannten Objekte tatsächlich zu Angriffsentscheidungen führten, ist nicht belegt, das Pentagon veröffentlicht keine operativen Details. Der ursprüngliche Google-Vertragswert ist umstritten, öffentlich mit rund 9 Millionen Dollar beziffert, intern laut geleakten E-Mails mit Wachstumspotenzial auf bis zu 250 Millionen jährlich. Eine gerichtliche Feststellung einer Rechtsverletzung durch Maven selbst liegt bislang nicht vor.

Der spanische Manager Jose Ignacio Lopez de Arriortua wechselte im März 1993 abrupt von General Motors/Opel zu Volkswagen und nahm drei weitere GM-Manager mit. GM warf ihm vor, vertrauliche Unterlagen zu Werksplanung und Zulieferpreisen entwendet zu haben; deutsche Ermittler fanden bei einer Razzia vier Kisten mit GM-Dokumenten. Lopez trat 1996 zurück, drei Tage nach einer für GM günstigen US-Gerichtsentscheidung. Im Januar 1997 einigten sich beide Konzerne außergerichtlich: VW zahlte GM 100 Millionen Dollar und verpflichtete sich zu Einkäufen von mindestens einer Milliarde Dollar bei GM. Ein US-Bundesgericht erhob im Mai 2000 Anklage gegen Lopez und beantragte seine Auslieferung aus Spanien.

Ob und in welchem Umfang Lopez persönlich Dokumente entwendete, wurde nie gerichtlich abschließend geklärt, das deutsche Ermittlungsverfahren wurde 1998 eingestellt. Die US-Anklage führte mangels Auslieferung nie zu einer Hauptverhandlung. Nach einem schweren Autounfall 1998 stuften seine Anwälte ihn zudem als verhandlungsunfähig ein.

Am 22.09.2025 ließ ein Ermittlungsgericht in Barcelona eine Strafanzeige gegen frühere Spitzenbeamte des spanischen Geheimdienstes CNI und der Guardia Civil sowie Führungskräfte der Spyware-Hersteller NSO Group und Saito Tech zur Untersuchung zu. Die Anzeige stammt von fünf Betroffenen des 2022 von Citizen Lab aufgedeckten CatalanGate-Skandals, die mit Pegasus- und Candiru-Spyware ausgespäht worden waren. Das Gericht ermittelt wegen Entdeckung und Offenbarung von Computergeheimnissen. Zuvor hatte die Audiencia Nacional dieselbe Anzeige mangels Zuständigkeit abgewiesen.

Es handelt sich um die Zulassung einer Ermittlung, nicht um eine Anklage oder ein Urteil. Wer den Einsatz konkret anordnete, ist bislang nicht gerichtsfest geklärt. Die spanische Regierung hat als Verschlusssache eingestufte Unterlagen bislang nicht offengelegt.

Peiter Mudge Zatko war von November 2020 bis Januar 2022 Sicherheitschef bei Twitter, bevor ihn CEO Parag Agrawal entließ. Im Juli 2022 reichte er eine rund 200-seitige Beschwerde bei SEC, FTC und Justizministerium ein, die im August 2022 öffentlich wurde. Am 13.09.2022 sagte er vor dem Justizausschuss des US-Senats aus und warf der Twitter-Führung vor, Öffentlichkeit und Aufsichtsbehörden über Sicherheitsmängel getäuscht zu haben. Laut Zatko hatten Ingenieure weitreichenden, nicht nachvollziehbaren Zugriff auf Nutzerdaten, und mindestens ein Agent des chinesischen Ministeriums für Staatssicherheit sei bei Twitter beschäftigt gewesen.

Twitter wies die Vorwürfe als lückenhaft zurück. Für einen Großteil der Behauptungen blieb Zatko laut Medienberichten Belege schuldig. Ob ausländische Agenten tatsächlich auf Nutzerdaten zugriffen, ist nicht unabhängig bestätigt.

Im Frühjahr 2015 wurde bekannt, dass der BND für die NSA jahrelang Überwachungsziele erfasste, die gegen deutsche und westeuropäische Interessen gerichtet waren. Der BND übernahm rund eine Million von der NSA gelieferte Selektoren weitgehend ungeprüft. Im Oktober 2015 bestätigte die Bundesregierung dem Bundestag, dass bis zu 40.000 dieser Selektoren gegen deutsche Ziele gerichtet waren, betroffen waren unter anderem Ministerien und Unternehmen wie EADS.

Nicht geklärt ist, wie viele der rund eine Million Selektoren tatsächlich zur aktiven Überwachung führten. Die Zahl von 40.000 wurde von einigen Abgeordneten als zu niedrig angezweifelt, spätere Schätzungen sprachen von bis zu 459.000 fragwürdigen Selektoren insgesamt. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss unter Berufung auf US-Geheimhaltungsinteressen lange vorenthalten.

Am 24.05.2008 wurde bekannt, dass die Deutsche Telekom in den Jahren 2005 und 2006 Telefonverbindungsdaten von mindestens 55 Personen abgleichen ließ, um undichte Stellen im Unternehmen zu identifizieren. Betroffen waren Aufsichtsräte, ein Vorstandsmitglied, Gewerkschaftsfunktionäre wie Ver.di-Chef Frank Bsirske sowie mehrere Journalisten, insgesamt rund 60 Personen. Die Staatsanwaltschaft Bonn ermittelte gegen acht Beschuldigte. Das Landgericht Bonn verurteilte den ehemaligen Sicherheitsverantwortlichen am 30.11.2010 zu dreieinhalb Jahren Haft wegen Betrugs, Untreue und Verletzung des Fernmeldegeheimnisses.

Unklar bleibt, in welchem Umfang neben Telefonverbindungsdaten auch Bankdaten ausgewertet wurden und ob Bewegungsprofile erstellt wurden, hierzu liegen nur Verdachtsmomente vor. Offen bleibt zudem, wer konkret die Anweisung zur Überwachung erteilt hat und wie weit die Kenntnis in der damaligen Unternehmensspitze reichte.

Die nordrhein-westfälische Landesdatenschutzbeauftragte leitete im April 2018 ein Prüfverfahren gegen die Deutsche-Post-Tochter Post Direkt ein wegen des Verdachts, im Bundestagswahlkampf 2017 Adressdaten an Parteien verkauft zu haben. Der Handel mit personalisierten Daten hätte mit einem Bußgeld bis zu 300.000 Euro geahndet werden können. CDU und FDP erklärten, nur anonymisierte Daten genutzt zu haben.

Nicht belegt ist, ob am Ende des Verfahrens tatsächlich ein Bußgeld verhängt wurde, ein öffentlich dokumentiertes Ergebnis ließ sich nicht finden. Nicht zu verwechseln mit dem später tatsächlich verhängten 18-Millionen-Euro-Bußgeld gegen die Österreichische Post, ein anderes Unternehmen in einem anderen Land.

IT-Sicherheitsforscher registrierten am Portal des Deutschen Apothekerverbands eine fiktive Apotheke mit gefälschten Dokumenten und erhielten binnen zwei Tagen Zugang. Mit diesem Zugang konnten sie gültige, vom CovPass Check als echt erkannte digitale Impfzertifikate ausstellen, obwohl keine Impfung vorlag. Die geforderte Telematik-ID wurde nicht verifiziert, die Zwei-Faktor-Authentifizierung war entfallen. Der DAV schaltete das Portal ab, rund 470 Apotheken ohne Verbandsmitgliedschaft konnten vorübergehend keine Zertifikate mehr ausstellen. Zu diesem Zeitpunkt waren bereits mehr als 25 Millionen Impfzertifikate über das Portal ausgestellt worden.

Nicht belegt ist, in welchem Umfang die Lücke vor der Veröffentlichung durch Dritte tatsächlich ausgenutzt wurde. Das Bundesgesundheitsministerium erklärte, keine Hinweise auf Missbrauch gefunden zu haben, eine unabhängige forensische Bestätigung liegt nicht vor. Der kolportierte Schwarzmarktpreis von rund 138 Euro pro Zertifikat ist nicht durch Strafverfolgungsdaten belegt.

Anfang Januar 2022 fragte die Mainzer Polizei Kontaktdaten aus der Luca App ab, um Zeugen zu einem Todesfall zu ermitteln, obwohl die App gesetzlich ausschließlich zur Kontaktnachverfolgung im Rahmen der Corona-Pandemie zugelassen war. Eine spätere ZDF-Recherche identifizierte bundesweit mehr als hundert vergleichbare Fälle. In mindestens fünf dieser Fälle war die Datenabfrage nach dem jeweiligen Infektionsschutzgesetz ausdrücklich verboten. Der Vorfall führte zu politischen Forderungen, die App zu löschen.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.