Quellen-Tabelle

Injection-Angriffe extrahieren aus zehn getesteten Passwortmanagern gespeicherte Passwörter, URLs und Nutzernamen aus dem geschützten Speicher.

Angriffe setzen bereits Geräteinteraktion voraus, teils von Herstellern entschärft.

Bei 1,5 Mio. Mobilfunknutzern genügen vier räumlich-zeitliche Datenpunkte, um 95% eindeutig zu identifizieren.

Basiert auf einem einzelnen, nicht namentlich genannten Mobilfunk-Datensatz.

Vier räumlich-zeitliche Punkte reichen, um 90% von 1,1 Mio. Kreditkartennutzern eindeutig zu reidentifizieren.

Methodik in Fachartikeln kontrovers diskutiert.

Anonymisierte Netflix-Prize-Daten können durch Abgleich mit IMDb-Bewertungen re-identifiziert werden.

Bezieht sich auf einen mittlerweile eingestellten Datensatz.

CCC-Forscher überwand sechs Video-Ident-Verfahren durch Rekombination von Ausweisdokumenten, potenzieller Zugriff auf ePA und E-Rezepte von Millionen Versicherten.

Angriff aus 2022, seither Gegenmaßnahmen einzelner Anbieter.

BSI/Fraunhofer-Verfahren zur Deepfake-Erkennung erreicht 85-91% Genauigkeit anhand 120.000 Trainingsbildern aus 18 Bildgeneratoren.

Fachmedienbericht, keine begutachtete Originalpublikation.

BSI stuft SMS-TAN und TOTP als phishing-anfällig ein, empfiehlt device-bound Passkeys (FIDO2) als phishing-resistente Alternative.

Kein explizites Veröffentlichungsdatum.

BSI erläutert, wie Passkeys durch kryptografische Bindung an Diensteadresse Phishing technisch verhindern.

Kein präzises Veröffentlichungsdatum.

Deutschland startete Januar 2026 offizielle Sandbox-Testumgebung für staatliche EUDI-Wallet, öffentlicher Rollout Anfang 2027 geplant.

Offizieller Zeitplan ohne unabhängige Datenschutzbewertung.

Analysiert Datenschutzrisiken der EU-Digital-Identity-Wallet unter eIDAS 2.0, Gefahr der Überidentifikation durch Diensteanbieter.

Bezieht sich auf Trilog-Verhandlungsstand 2023.

Stingray-Geräte zwingen Mobiltelefone durch Vortäuschen echter Sendemasten zur Übermittlung von Standort-/Identifikationsdaten, erfassen auch unbeteiligte Personen.

Advocacy-Seite, bezieht sich primär auf US-Rechtslage.

CCC überlistete Iris-Scanner des Galaxy S8 mit ausgedrucktem Infrarotfoto und Kontaktlinse.

Demonstration eines einzelnen Geräts unter Laborbedingungen.

BrutePrint umgeht über Zero-Day-Schwachstellen Versuchsbegrenzung und entsperrt Smartphones per Brute-Force, teils unter einer Stunde.

Erfordert physischen Zugriff und Spezialhardware.

Voice-Authentifizierungssysteme nach nur sechs Versuchen zu 99% umgehbar, bei Amazon Connect Erfolgsquote in 30 Sek. über 40%.

Erfolgsquoten teils unter Laborbedingungen.

Italienische Behörde verhängte 5 Mio. Euro Strafe gegen Luka Inc. (Replika) wegen fehlender Rechtsgrundlage und mangelnder Altersverifikation.

EDPB fasst nur Entscheidung zusammen.

Verordnung schreibt EU-weit Mindeststandards für Personalausweise vor, verpflichtet zur Speicherung von Gesichtsbild und Fingerabdrücken auf dem Chip.

Keine technische Sicherheitsbewertung der Chip-Implementierung.

Sicherheitsforscher fanden Schwachstelle im Governikus-Autent-SDK, mit der Angreifer sich online als beliebige Personen ausgeben konnten.

Betraf Server-Software, nicht direkt den RFID-Chip selbst.

FBI warnt vor nordkoreanischen IT-Arbeitern mit gefälschten Identitäten und KI-Gesichtstausch bei Videointerviews in US-Firmen.

Umfang betroffener Unternehmen nicht quantifiziert.

Chainalysis Reactor verknüpft On-Chain-Aktivität über hunderte Clustering-Heuristiken mit über 134.000 realen Entitäten.

Herstellerdarstellung, Genauigkeit nicht extern verifizierbar.

Hausdurchsuchung wegen X-Post über Habeck als unverhältnismäßiger Grundrechtseingriff kritisiert.

Pointierter Kommentar aus grundrechtskritischer Perspektive.

OpenAI führt Eltern-Teen-Konten für ChatGPT ein mit Ruhezeiten, Inhaltsfiltern und Krisenwarnungen.

Herstellerdarstellung, keine unabhängige Wirksamkeitsprüfung.

ChatGPT, Claude, Gemini und Meta AI erkennen psychische Erkrankungen bei Jugendlichen systematisch nicht oder reagieren unangemessen.

Pressemitteilung einer Interessenorganisation.

Bestochene ausgelagerte Support-Mitarbeiter gaben KYC-Daten von Coinbase-Kunden an Kriminelle weiter, die 20 Mio. USD Lösegeld forderten.

Basiert auf Unternehmensangaben.

69.461 Nutzer betroffen laut behördlichen Meldungen, Coinbase rechnet mit 180-400 Mio. USD Kosten.

Basiert auf Coinbase-Pflichtmeldungen.

Google bietet ein Werkzeug, mit dem Nutzer festlegen können, dass nach definierter Inaktivitätsfrist Vertrauenspersonen benachrichtigt und mit ausgewählten Kontodaten versorgt werden.

Muss aktiv vom Nutzer eingerichtet werden, sonst meist kein Zugriff für Angehörige ohne gerichtliche Anordnung.