Quellen-Tabelle

Am 20.06.2024 gab das US-Handelsministerium (Bureau of Industry and Security, BIS) eine Entscheidung bekannt, die Verkauf und Nutzung von Sicherheitssoftware der russischen Firma Kaspersky Lab in den USA verbietet. Es war die erste Anwendung der ICTS-Regulierung auf Grundlage der Executive Order 13873 zur Sicherung der Lieferkette für Informations- und Kommunikationstechnologie. Betroffen sind Kaspersky Lab Inc. in den USA sowie die russischen Muttergesellschaften AO Kaspersky Lab und OOO Kaspersky Group, die britische Kaspersky Labs Limited und verbundene Tochterunternehmen. Ab dem 20.07.2024 durfte Kaspersky in den USA keine neuen Verträge mehr abschließen oder Lizenzen verkaufen. Ab dem 29.09.2024 mussten Kaspersky und von ihm beauftragte Dritte Virensignatur- und Codebase-Updates sowie den Betrieb des Kaspersky Security Network für US-Kunden vollständig einstellen. Als Begründung nannte das BIS die Kontrolle der russischen Regierung über Kaspersky und weitreichende administrative Zugriffsrechte der Software auf Kundensysteme. Am 21.06.2024 verhängte das US-Finanzministerium zusätzlich Sanktionen gegen zwölf Führungskräfte von AO Kaspersky Lab. Nach eigenen Angaben hatte Kaspersky zu diesem Zeitpunkt weltweit mehr als 400 Millionen Nutzer und rund 270.000 Unternehmenskunden in über 200 Ländern. Kaspersky wies die Vorwürfe zurück und stellte seinen Geschäftsbetrieb in den USA zum 20.07.2024 ein.

Die Quelle belegt kein konkretes, öffentlich vorgelegtes Beweismittel für tatsächlichen Datenmissbrauch oder Spionage durch Kaspersky; das Verbot beruht auf einer Risikoeinschätzung des russischen Staatseinflusses, nicht auf einem dokumentierten Vorfall. Wie viele der über 400 Millionen Nutzer konkret in den USA betroffen waren, wird von der Quelle nicht beziffert.

Das Bundesverfassungsgericht entschied am 03.03.2004 mit Urteil des Ersten Senats über Verfassungsbeschwerden gegen die akustische Wohnraumüberwachung, den sogenannten Großen Lauschangriff. Der Bundestag hatte die zugrunde liegende Grundgesetzänderung, Artikel 13 Absatz 3 bis 6 GG, am 16.01.1998 mit 452 Ja-Stimmen gegen 184 Nein-Stimmen beschlossen. Beschwerdeführer waren unter anderem die FDP-Politiker Burkhard Hirsch, Sabine Leutheusser-Schnarrenberger und Gerhart Baum, die im März 1999 Verfassungsbeschwerde eingelegt hatten. Das Gericht erklärte die Grundgesetzänderung selbst für vereinbar mit der Ewigkeitsklausel des Artikel 79 Absatz 3 GG, stufte aber zentrale Ausführungsvorschriften der Strafprozessordnung als verfassungswidrig ein wegen unzureichenden Schutzes des Kernbereichs privater Lebensgestaltung. Das Gericht verpflichtete den Gesetzgeber, bis zum 30.06.2005 eine verfassungsgemäße Neuregelung zu schaffen, was der Bundestag am 24.06.2005 umsetzte. Zentrale Begründung war, dass höchstpersönliche Gespräche, etwa mit engsten Familienangehörigen, absolut geschützt sind und von einer akustischen Überwachung ausgenommen bleiben müssen, da sonst die durch Artikel 1 GG geschützte Menschenwürde verletzt würde.

Aus der Quelle nicht belegt ist, wie viele konkrete Überwachungsmaßnahmen bundesweit bereits auf Grundlage der für nichtig erklärten Vorschriften durchgeführt wurden und in welchem Umfang dadurch gewonnene Beweise nachträglich unverwertbar wurden.

Der PC-Hersteller Lenovo installierte zwischen dem 01.09.2014 und dem 28.02.2015 auf zahlreichen Consumer-Notebooks werksseitig die Adware VisualDiscovery des Unternehmens Superfish vor. Die Software blendete Werbung in Suchergebnisse und Webseiten ein und nutzte dafür ein selbstsigniertes Root-Zertifikat, das auf allen betroffenen Geräten denselben privaten Schlüssel verwendete. Dadurch konnte die Software auch verschlüsselte HTTPS-Verbindungen entschlüsseln, wodurch zugleich jeder Angreifer mit Kenntnis des Schlüssels sich als beliebige Website ausgeben und Man-in-the-Middle-Angriffe durchführen konnte. Am 19.02.2015 wurde das Sicherheitsproblem öffentlich bekannt, am 20.02.2015 warnte das US-Heimatschutzministerium offiziell vor der Software. Laut FTC hatte Superfish Lenovo durch die Vorinstallation Einnahmen von bis zu 250.000 US-Dollar eingebracht. Am 05.09.2017 einigte sich Lenovo mit der FTC und 32 US-Bundesstaaten auf einen Vergleich über 3,5 Millionen US-Dollar sowie ein 20-jähriges verpflichtendes Softwaresicherheitsprogramm. Im November 2018 einigte sich Lenovo zusätzlich in einer Sammelklage auf eine Zahlung von 7,3 Millionen US-Dollar an betroffene Kunden.

Die genaue Anzahl der betroffenen Laptops ist offiziell nicht beziffert, Quellen sprechen lediglich von Hunderttausenden Geräten. Ob die Schwachstelle vor ihrer öffentlichen Aufdeckung bereits von Dritten aktiv zum Abfangen von Daten ausgenutzt wurde, ist nicht belegt.

Am 25.06.2013 reichte Max Schrems bei der irischen Datenschutzbehörde eine Beschwerde gegen Facebook Ireland Ltd ein, ausgelöst durch die PRISM-Enthüllungen. Er argumentierte, Facebook Irland dürfe Nutzerdaten nicht an Facebook USA übermitteln, da diese dort dem NSA-Zugriff ausgesetzt seien. Der Datenschutzkommissar wies die Beschwerde im Juli 2013 als mutwillig und schikanös zurück. Schrems focht dies vor dem irischen High Court an, der am 18.06.2014 entschied, die von Snowden aufgedeckte Überwachung wäre nach irischem Verfassungsrecht unzulässig, und die EU-rechtlichen Fragen dem EuGH vorlegte (Rechtssache C-362/14).

Das genaue Datum der behördlichen Zurückweisung im Juli 2013 wird in Quellen unterschiedlich angegeben. Die oft zitierten 22 Beschwerden von Schrems beziehen sich auf ein früheres, breiteres Beschwerdepaket von 2011/2012 zu anderen Themen und sind von dieser spezifischen PRISM-Beschwerde zu unterscheiden. Der eigentliche EuGH-Richterspruch von 2015 zu Safe Harbor ist bereits gesondert dokumentiert und nicht Gegenstand dieses Eintrags.

Nach dem Volkszählungsurteil des Bundesverfassungsgerichts vom 15.12.1983 wurde die ursprünglich für 1983 geplante Volkszählung gestoppt und erst zum Stichtag 25.05.1987 in überarbeiteter Form durchgeführt. Für den Zensus 1987 wurden personenbezogene Angaben von den Fragebögen getrennt, um die Anonymität stärker zu schützen. Vor allem in Großstädten formierte sich eine breite Boykottbewegung gegen den Abgleich der Zählungsdaten mit den Melderegistern.

Die genaue Zahl der Boykottteilnehmer ist nicht zuverlässig belegt und lässt sich im Nachhinein nicht rekonstruieren. Neben dem offenen Boykott gab es einen heimlichen Boykott durch bewusst falsche Angaben, der sich statistisch nicht erfassen lässt. Unklar bleibt, in welchem Umfang die Protestbewegung tatsächlich Einfluss auf spätere Datenschutzgesetzgebung hatte.

Der bayerische Landtag verabschiedete am 15.05.2018 eine Novelle des Polizeiaufgabengesetzes, die der Polizei bereits beim Verdacht einer drohenden Gefahr weitreichende Befugnisse einräumt, darunter Staatstrojaner, Body Cams, Drohnen und in Ausnahmefällen Sprengmittel. Gegen das Gesetz demonstrierten im Mai 2018 in München mehr als 40.000 Menschen. Am 06.10.2018 reichte die Gesellschaft für Freiheitsrechte gemeinsam mit dem noPAG-Bündnis eine Verfassungsbeschwerde für zehn Betroffene ein. Das Bundesverfassungsgericht verhandelte die Beschwerde am 07. und 08.07.2026.

Die genaue Teilnehmerzahl der Demonstration ist nicht amtlich dokumentiert, nur journalistisch geschätzt. Der Begriff der drohenden Gefahr wird von Kritikern als zu unbestimmt bezeichnet, seine verfassungsrechtliche Bewertung war zum Zeitpunkt der Beschwerdeeinreichung offen. Diese Quelle dokumentiert die Einreichung, nicht das inhaltliche Ergebnis der Verhandlung.

Der CCC veröffentlichte am 08.10.2011 den Bericht Analyse einer Regierungs-Malware, eine technische Zerlegung eines von DigiTask entwickelten Staatstrojaners. Die Software kommunizierte über TCP Port 443 mit einem hartcodierten Command-and-Control-Server. Der CCC dokumentierte Funktionen wie das Nachladen beliebigen weiteren Codes sowie Screenshot- und Mikrofonzugriff, die über die vom Bundesverfassungsgericht 2008 gezogenen engen Grenzen der Quellen-Telekommunikationsüberwachung hinausgingen.

Nicht belegt ist, in wie vielen Einsatzfällen bundesweit genau diese DigiTask-Version zum Einsatz kam. Umstritten blieb, ob die nachladbare Funktion tatsächlich für Funktionen jenseits der Quellen-TKÜ genutzt wurde oder nur technisch möglich war. Die genaue Herkunft der Samples wurde aus Quellenschutzgründen nicht vollständig offengelegt.

Der ehemalige Uber-Sicherheitschef Joe Sullivan war 2022 wegen Vertuschung eines Datenlecks aus dem Jahr 2016 verurteilt worden, weil er den Vorfall nicht der US-Handelsaufsicht FTC meldete und stattdessen Schweigegeld an die Angreifer zahlte. Das Berufungsgericht des Ninth Circuit bestätigte am 24.06.2025 die Verurteilung. Sullivan war zu drei Jahren Bewährung verurteilt worden, blieb aber während des Verfahrens ohne Haftstrafe.

Nicht Teil dieser Quelle ist der ursprüngliche Hack von 2016 selbst, der von den hier nicht identischen Angreifern der Lapsus\$-Attacke 2022 zu unterscheiden ist. Ob Sullivan weitere Rechtsmittel wie eine Revision vor dem Supreme Court einlegte, ist nicht dokumentiert.

Zwischen 1999 und 2015 wurden hunderte britische Postmaster aufgrund fehlerhafter Buchhaltungsdaten der Horizon-IT-Software (Fujitsu) faelschlich wegen Diebstahls, Betrugs oder Falschbuchung verurteilt. Mit dem Post Office (Horizon System Offences) Act 2024 wurden die betroffenen Verurteilungen pauschal aufgehoben; Betroffene erhalten wahlweise eine feste Entschaedigungssumme von 600.000 Pfund ohne individuelle Pruefung.

Die genaue Zahl der letztlich ausgezahlten Faelle und Gesamtsummen aendert sich laufend, da mehrere parallele Entschaedigungsprogramme noch nicht abgeschlossen sind.

Die niederlaendische Datenschutzbehoerde verhaengte 2021 ein Bussgeld von 2,75 Millionen Euro gegen die Steuerbehoerde, weil beim Kinderbetreuungszuschuss (Toeslagenaffaire) jahrelang ein Risikoklassifizierungssystem betrieben wurde, das die doppelte Staatsangehoerigkeit als Risikofaktor nutzte. Etwa 26.000 Familien wurden faelschlich der Beihilfebetrug vorgeworfen; der Skandal fuehrte 2021 zum Ruecktritt der gesamten Regierung Rutte III.

Die genaue Zahl der betroffenen Familien und der finanzielle Gesamtschaden variieren je nach Quelle; die vollstaendige technische Funktionsweise des Algorithmus ist nur teilweise oeffentlich dokumentiert.