Quellen-Tabelle

38% kennen Passkeys namentlich, nur 18% nutzen sie aktiv; 72% der Nutzenden haben hohes Vertrauen.

BSI-Umfrage zu Passkey-Bekanntheit/Nutzung. Keine Zahlen zu einzelnen Diensten.

35% der Erwachsenen haben eID-Funktion aktiviert; Spanne von 53,6% (Berlin) bis 22,4% (Saarland).

Repräsentative Umfrage, keine amtliche Vollerhebung, sagt nichts über Nutzungshäufigkeit.

Warnung vor Ausweitung polizeilicher DNA-Analyse; genetische Daten offenbaren auch Infos über Verwandte, nicht nachhaltig anonymisierbar.

DNA-Daten besonders heikel, betreffen auch Angehörige.

40 von 42 untersuchten Kita-Apps enthielten Tracking, 8 mit Sicherheitslücken zu privaten Kinderfotos.

Peer-reviewte Studie zeigt weitverbreitete Mängel bei Kita-Apps.

FBI IC3: 982 SIM-Swap-Beschwerden 2024, 26 Mio. USD Verlust; UK-Fälle stiegen um 1055%, T-Mobile zu 33 Mio. USD Schadenersatz verurteilt.

SMS-2FA umgehbar durch SIM-Swapping, steigende Fallzahlen.

40% der Dashlane-Nutzer speichern mindestens einen Passkey, Google 352% mehr Passkey-Authentifizierungen.

Nur Dashlane-eigene Nutzerbasis, nicht Gesamtmarkt.

45% der Nicht-Nutzer haben nie von Passkeys gehört; Vertrauen in Hardware-Schlüssel stieg UK von 17% auf 37%.

Nur 9 Länder abgedeckt.

DiGA-Freischaltung per Aktivierungscode über Kassen-App, Krankenkasse erfährt Nutzungsstart.

Exakte Nutzerzahlen/Detaildaten-Rückfluss nicht belegt.

BAG: Online-Recherche über Bewerber bei konkretem Anlass zulässig, aber Aufklärungspflicht nach Art.14 DSGVO, 1.000 Euro Schadenersatz bei Verstoß.

Praxis der Informationspflicht nicht belegt.

Wolt/Bolt/Lieferando/Uber je 0 von 10 Punkten im Fairwork-Ranking 2026, nur Flink mit 7 Punkten.

EU-Plattformarbeits-Richtlinie muss bis 02.12.2026 umgesetzt werden, Wirkung offen.

Injection-Angriffe extrahieren aus zehn getesteten Passwortmanagern gespeicherte Passwörter, URLs und Nutzernamen aus dem geschützten Speicher.

Angriffe setzen bereits Geräteinteraktion voraus, teils von Herstellern entschärft.

Bei 1,5 Mio. Mobilfunknutzern genügen vier räumlich-zeitliche Datenpunkte, um 95% eindeutig zu identifizieren.

Basiert auf einem einzelnen, nicht namentlich genannten Mobilfunk-Datensatz.

Vier räumlich-zeitliche Punkte reichen, um 90% von 1,1 Mio. Kreditkartennutzern eindeutig zu reidentifizieren.

Methodik in Fachartikeln kontrovers diskutiert.

Anonymisierte Netflix-Prize-Daten können durch Abgleich mit IMDb-Bewertungen re-identifiziert werden.

Bezieht sich auf einen mittlerweile eingestellten Datensatz.

ChatGPT, Claude, Gemini und Meta AI erkennen psychische Erkrankungen bei Jugendlichen systematisch nicht oder reagieren unangemessen.

Pressemitteilung einer Interessenorganisation.

Fahrzeugdaten fließen bislang ausschließlich über Herstellerserver, weshalb Verbraucher weder Umfang noch Verwendung kontrollieren können; gefordert wird ein neutraler Datentreuhänder mit direktem Zugriff auf das Fahrzeug.

Politische Forderung, keine geltende Rechtslage.

Das Citizen Lab dokumentierte forensisch mindestens 65 Personen aus dem katalanischen Unabhängigkeitsumfeld, die zwischen 2017 und 2020 mit der Pegasus-Software von NSO Group oder mit Candiru-Spyware angegriffen oder infiziert wurden. Darunter waren der ehemalige Präsident Carles Puigdemont, weitere Politiker, Anwälte und Aktivisten. Amnesty Internationals Security Lab bestätigte die forensische Methodik unabhängig bei vier Betroffenen.

Citizen Lab spricht nur von starken Indizien für eine Verantwortung spanischer Behörden, nennt aber keine abschließende offizielle Zuschreibung an eine konkrete Stelle. Offen bleibt zudem, wie die abgegriffenen Daten tatsächlich verwendet wurden, und die reale Opferzahl könnte wegen eingeschränkter Android-Forensik höher liegen als die bestätigten Fälle.

Human Rights Watch hat zusammen mit der Berliner Sicherheitsfirma Cure53 eine Version der Polizei-App der Integrated Joint Operations Platform (IJOP) aus Xinjiang reverse engineered. Die App fordert Beamte auf, umfangreiche persönliche Daten der Bevölkerung zu erfassen, darunter Bewegungsprofile, Fahrzeug- und Telefondaten, Bankinformationen, Familienbeziehungen sowie die Nutzung von VPNs und Messenger-Apps. Als verdächtig eingestufte Personen werden von der App automatisch an die Behörden gemeldet.

Wie die zentrale IJOP-Plattform im Detail mit weiteren landesweiten Überwachungssystemen verknüpft ist und nach welchen genauen Kriterien die Verdachtsalgorithmen entscheiden, bleibt laut Human Rights Watch eine Black Box. Auch vollständige Angaben zu Speicherung, Weitergabe und Löschung der gesammelten Daten sowie der aktuelle technische Stand der App nach 2018 sind nicht öffentlich dokumentiert.

Am 26. Mai 2020 berichtete die Threat-Intelligence-Firma Cyble, dass ein Datensatz mit 47,5 Millionen Nutzerdatensätzen der Anrufer-Identifizierungs-App Truecaller aus Indien in einem Darknet-Forum für rund 1000 US-Dollar zum Verkauf angeboten wurde. Die Daten enthielten Telefonnummer, Mobilfunkanbieter, Name, Geschlecht, Stadt und E-Mail-Adresse. Truecaller bestritt eine Kompromittierung der eigenen Datenbank und erklärte, bereits im Mai 2019 von einem vergleichbaren Datensatz erfahren zu haben.

Ob die Daten tatsächlich aus einem direkten technischen Einbruch in Truecaller-Systeme stammen oder aus anderen Quellen zusammengetragen wurden, ist nicht abschließend geklärt. Truecaller bestreitet bis heute jede Sicherheitsverletzung der eigenen Datenbank.

Zwischen März und Juni 2020 schleusten mutmaßlich russische Angreifer Schadcode (Sunburst) in Software-Updates der Netzwerkmanagement-Plattform Orion des Herstellers SolarWinds ein. Rund 18.000 Organisationen luden die kompromittierte Version herunter, davon wurden nach Angaben der stellvertretenden nationalen Sicherheitsberaterin des Weißen Hauses etwa neun US-Bundesbehörden und rund 100 private Unternehmen tatsächlich weiter kompromittiert. CISA erließ am 13.12.2020 die Notfallanweisung ED 21-01. Im Oktober 2024 einigte sich die SEC mit vier vom Hack betroffenen Unternehmen auf Vergleichszahlungen wegen irreführender Offenlegungen.

Die oft zitierte Zahl von 18.000 betrifft nur den Download der manipulierten Software, die Zahl tatsächlich kompromittierter Ziele ist kleiner, aber nie vollständig verifiziert. Die Urheberschaft ist offiziell nicht gerichtsfest bewiesen, Russland bestreitet jede Beteiligung. Die zivilrechtliche Betrugsklage der SEC gegen SolarWinds selbst wurde 2024 in den meisten Punkten abgewiesen.

Am 19.07.2024 verteilte CrowdStrike ein fehlerhaftes Konfigurationsupdate für seine Falcon-Sensor-Software, das auf Windows-Systemen Systemabstürze verursachte. Nach Microsoft-Angaben waren rund 8,5 Millionen Windows-Geräte betroffen, darunter Check-in-Systeme von Fluggesellschaften, Krankenhaus-IT und Notrufzentralen. Delta Air Lines strich rund 7.000 Flüge und bezifferte den eigenen Schaden auf etwa 550 Millionen US-Dollar. Bis zum 25.07.2024 waren laut CrowdStrike 97 Prozent der betroffenen Systeme wieder online.

Die Zahl von 8,5 Millionen Geräten bezieht sich nur auf Systeme mit Microsoft-Telemetrie, die tatsächliche Gesamtzahl gilt als höher. Delta-CrowdStrike streiten sich in einem laufenden Rechtsstreit über die Verantwortung, die genannten Schadenssummen sind daher nicht unabhängig bestätigt.

Human Rights Watch dokumentierte, dass das UNHCR bei der Registrierung Hunderttausender Rohingya-Fluechtlinge in Bangladesch (Cox's Bazar) biometrische Daten erhob und diese im Rahmen eines Abkommens mit der bangladeschischen Regierung an Myanmar weitergab, um ein Verifizierungsverfahren fuer eine moegliche Rueckfuehrung zu unterstuetzen. Betroffene gaben laut HRW-Interviews an, nicht wirklich informiert eingewilligt zu haben.

Die genaue Zahl der tatsaechlich uebermittelten Datensaetze sowie deren konkrete Verwendung durch myanmarische Behoerden sind nicht abschliessend belegt; eine unabhaengige technische Pruefung der Datenflüsse liegt nicht vor.

Amnesty International dokumentierte das katarische Kafala-System, in dem Arbeitgeber Reisepaesse und Ausreisegenehmigungen von Wanderarbeitern kontrollierten, was faktisch Zwangsarbeit und lueckenlose behoerdliche wie arbeitgeberseitige Ueberwachung von Aufenthalt und Bewegung der Beschaeftigten ermoeglichte. Betroffen waren hunderttausende migrantische Bauarbeiter im Zusammenhang mit dem Bau der Fussball-WM-2022-Infrastruktur.

Der Bericht belegt systematische Kontrolle durch Passentzug, jedoch nicht den Einsatz digitaler Ueberwachungstechnologie im engeren technischen Sinn; die genaue Zahl der Betroffenen ist Schaetzung, keine amtliche Statistik.

Im Vorfeld und waehrend der nigerianischen Praesidentschaftswahl am 25. Februar 2023 dokumentierten BBC Africa Eye und Code for Africa koordinierte Desinformationskampagnen auf Twitter/X, Facebook und TikTok, die gefaelschte Videos, manipulierte Wahlbetrugs-Vorwuerfe und ethnisch aufgeladene Falschbehauptungen ueber die Kandidaten Bola Tinubu, Atiku Abubakar und Peter Obi verbreiteten. Tausende Fake-Accounts und bezahlte Influencer-Netzwerke wurden identifiziert.

Die genaue Urheberschaft einzelner Desinformationsnetzwerke ist nur teilweise belegt und stuetzt sich groesstenteils auf Analysen von Code for Africa, nicht auf gerichtsfeste Beweise; der tatsaechliche Einfluss auf das Wahlergebnis laesst sich nicht quantifizieren.