Quellen-Tabelle

Der Spiegel enthüllte am 23. und 27.10.2013 anhand von Snowden-Dokumenten, dass die NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört hat, möglicherweise seit 2002. Merkel telefonierte daraufhin mit Präsident Obama, der zusicherte, das Abhören werde nicht fortgesetzt. Der Vorfall führte zu diplomatischen Verstimmungen und zur Einsetzung des NSA-Untersuchungsausschusses ab März 2014. Die Bundesanwaltschaft stellte ihre 2014 eingeleiteten Ermittlungen im Juni 2015 mangels gerichtsverwertbarer Beweise ein.

Nicht abschließend geklärt ist, seit wann genau die Überwachung begann, das Datum 2002 stammt aus einem einzelnen NSA-Dokument. Die Bundesanwaltschaft konnte das Originaldokument nicht sichern, da es nur als Kopie vorlag, was die Verfahrenseinstellung 2015 mitbegründete. Ein geplantes No-Spy-Abkommen zwischen Deutschland und den USA kam nie zustande.

Der frühere CIA-Softwareentwickler Joshua Schulte wurde am 01.02.2024 zu 40 Jahren Haft verurteilt. Er hatte 2016 geheime Hacking-Tools und Cyberwaffen der CIA an WikiLeaks weitergegeben, die diese ab dem 07.03.2017 unter dem Namen Vault 7 veröffentlichte, laut CIA der größte Diebstahl geheimer Unterlagen in ihrer Geschichte mit rund 8.761 Dokumenten. Ein New Yorker Bundesgericht sprach Schulte im Juli 2022 in einem dritten Prozess schuldig, nachdem zwei vorherige Prozesse 2020 mit hängender Jury endeten. Zusätzlich wurde er wegen Besitzes kinderpornografischen Materials verurteilt.

Nicht öffentlich dokumentiert ist, welchen konkreten operativen Schaden die Vault-7-Veröffentlichung für laufende CIA-Operationen verursachte. Schulte bestritt die Tat durchgehend und bezeichnete sich als Opfer einer Verschwörung. Unklar bleibt, ob WikiLeaks vor der Veröffentlichung tatsächlich alle betroffenen Hersteller informierte, wie behauptet wurde.

Amazon kündigte am 24.01.2024 an, das Tool Request for Assistance in seiner App Neighbors einzustellen, über das Polizeibehörden seit 2021 öffentlich sichtbare Anfragen nach Ring-Kameravideos stellen konnten. Bis dahin hatten mehr als 2.000 US-Polizei- und Feuerwehrbehörden Zugang zu diesem System, über das Nutzer freiwillig Videomaterial ohne richterliche Anordnung teilen konnten. Polizeibehörden können Ring-Videomaterial weiterhin per Durchsuchungsbeschluss anfordern.

Nicht dokumentiert ist die Gesamtzahl aller jemals gestellten Anfragen. Unklar bleibt, in welchem Umfang Polizeibehörden Ring-Nutzer seit der Abschaltung weiterhin informell zur freiwilligen Herausgabe bewegen. Amazon stellt die Entscheidung nicht als Reaktion auf konkreten rechtlichen Druck dar.

Im Mai 2018 deckte ein Sicherheitsforscher auf, dass die Demo-Funktion von LocationSmart ohne Authentifizierung Echtzeit-Standortdaten von Kunden aller vier großen US-Mobilfunkanbieter preisgab. LocationSmart verkaufte Standortdaten an Drittanbieter, darunter Securus Technologies, das Strafverfolgungsbehörden Zugriff auf Echtzeit-Standortdaten gegen ein einfaches Ankreuzen einer rechtlichen Berechtigung bot, ohne diese zu prüfen. Als Reaktion kündigten alle vier Mobilfunkanbieter ihre Vereinbarungen mit LocationSmart.

Nicht dokumentiert ist, wie viele Personen tatsächlich unrechtmäßig geortet wurden und wie lange die Lücke bereits bestand. Das tatsächliche Ausmaß des Missbrauchs durch Strafverfolgungsbehörden blieb ungeklärt. Erst 2020, mehr als zwei Jahre später, verhängte die FCC Bußgelder gegen die Mobilfunkanbieter.

Citizen Lab wies im Oktober 2018 nach, dass das Smartphone des saudischen Dissidenten Omar Abdulaziz mit der Pegasus-Spyware der NSO Group infiziert war. Abdulaziz, ein enger Vertrauter des Journalisten Jamal Khashoggi, tauschte mit diesem WhatsApp-Nachrichten über gemeinsame Aktivismus-Pläne aus. Die Infektion wurde Monate vor Khashoggis Ermordung am 02.10.2018 im saudischen Konsulat in Istanbul festgestellt. Spätere forensische Analysen ergaben zudem Hinweise auf eine Kompromittierung des Telefons von Khashoggis Verlobter Hatice Cengiz.

Nicht abschließend dokumentiert ist, ob die abgefangenen Nachrichten tatsächlich direkt zur Planung der Ermordung durch saudische Agenten beitrugen, dieser Zusammenhang wird als plausibel dargestellt, aber nicht mit Beweisdokumenten der saudischen Seite belegt. NSO Group bestreitet eine direkte Verantwortung für den Missbrauch durch Kunden wie Saudi-Arabien.

Citizen Lab teilte dem griechischen Journalisten Thanasis Koukakis im März 2022 mit, dass sein Telefon vom 12.07. bis 24.09.2021 mit der Spyware Predator überwacht worden war, entwickelt von der nordmazedonischen Firma Cytrox. Im Juli 2022 wurde bekannt, dass auch Nikos Androulakis, Vorsitzender der Oppositionspartei PASOK-KINAL, im September 2021 mit demselben Infektionslink angegriffen wurde. Die griechische Regierung wies jede Beteiligung zurück.

Nicht dokumentiert ist, wer konkret hinter dem Einsatz von Predator steht. Offen ist, ob griechische Geheimdienststellen oder private Auftraggeber beteiligt waren. Bei Androulakis wurde zudem parallel eine legale Abhörmaßnahme bekannt, deren Verhältnis zum Predator-Einsatz bis heute nicht vollständig geklärt ist.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Firmen NSO Group und Candiru auf die Entity List. Grundlage war die Feststellung, dass beide Firmen Spyware entwickelten und an ausländische Regierungen lieferten, die damit gezielt Regierungsbeamte, Journalisten und Aktivisten überwachten. Die Aufnahme beschränkt den Export von US-Technologie an die betroffenen Firmen ohne behördliche Sondergenehmigung.

Nicht dokumentiert ist, welche konkreten Staaten die Spyware im Einzelfall einsetzten. Offen bleibt, wie wirksam die Eintragung die tatsächliche Verbreitung der Spyware einschränkte, da NSO Group außerhalb der USA operiert.

Am 20.06.2024 nahm die belgische EU-Ratspräsidentschaft die geplante Abstimmung über die CSA-Verordnung, bekannt als Chatkontrolle, kurzfristig von der Tagesordnung, weil keine ausreichende Mehrheit zustande kam. Deutschland hatte am Vortag Ablehnung erklärt, Frankreich forderte Zusicherungen zum Schutz verschlüsselter Kommunikation. Es war bereits der zweite gescheiterte Anlauf nach Spanien im Dezember 2023.

Nicht dokumentiert ist das genaue Abstimmungsverhalten aller 27 Mitgliedstaaten, da die Abstimmung selbst nie stattfand. Offen bleibt, welche konkreten technischen Zusicherungen Frankreich forderte und ob diese je erfüllt wurden. Der grundsätzliche Kommissionsvorschlag bestand trotz der Absage fort.

Haaretz berichtete am 16.08.2022, dass Cellebrite Technologie zur Entsperrung von Mobiltelefonen an die ugandische Regierung unter Präsident Yoweri Museveni verkauft hat. Wenige Tage später bestätigte Uganda den Kauf. Bereits 2021 hatte Cellebrite angekündigt, Verkäufe an Russland und Belarus zu stoppen, nachdem Recherchen zeigten, dass die Technologie in Russland mehr als 26.000 Mal gegen Journalisten und Oppositionelle eingesetzt worden war.

Nicht dokumentiert ist, welche Exportlizenzen Israel für den Verkauf an Uganda erteilt hat. Offen bleibt, in welchem Umfang die Technologie tatsächlich gegen Oppositionelle in Uganda eingesetzt wurde. Die 2021 angekündigte Verkaufssperre für Russland wurde später durch Recherchen infrage gestellt.

Das Zollkriminalamt und die Staatsanwaltschaft München I durchsuchten vom 06. bis 08.10.2020 Geschäftsräume der Firmen FinFisher, FinFisher Labs und Elaman in München wegen Verdachts auf Verstoß gegen das Außenwirtschaftsgesetz. Hintergrund: Die Überwachungssoftware FinSpy soll im Sommer 2017 ohne deutsche Ausfuhrgenehmigung an die Türkei geliefert worden sein. Bereits im Juli 2019 hatten mehrere NGOs gemeinsam Strafanzeige gestellt.

Nicht belegt ist, ob es tatsächlich zu einer rechtswidrigen Ausfuhr kam und wer konkret verantwortlich war. Der Ausgang des Ermittlungsverfahrens war zum Berichtszeitpunkt offen, es liegt kein rechtskräftiges Urteil vor. Unklar bleibt der genaue Lieferweg der Software in die Türkei.

Die Studie We Chat, They Watch vom 07.05.2020 zeigt, dass Dateien und Bilder, die zwischen nicht in China registrierten WeChat-Konten ausgetauscht werden, auf politisch sensible Inhalte gescannt werden. Diese werden per Hash-Abgleich und Bild- sowie Texterkennung mit einer chinesischen Zensurdatenbank verglichen und genutzt, um das Zensursystem für in China registrierte Nutzer weiterzutrainieren. Sobald ein Bild als sensibel markiert wird, blockiert WeChat dessen Versand für alle Nutzer weltweit.

Nicht dokumentiert ist, in welchem Umfang Tencent diese Überwachung durchführt, da die Analyse serverseitig und intransparent erfolgt. Offen bleibt, ob die Daten an chinesische Behörden weitergegeben werden, die Studie liefert dafür keine direkten Beweise. Tencent bestritt Teile der Vorwürfe, ohne sich detailliert zu den technischen Befunden zu äußern.

Die FCC beschloss am 25.11.2022 neue Regeln, die Überwachungskameras der chinesischen Hersteller Hikvision und Dahua sowie Geräte von Huawei, ZTE und Hytera von neuen Zulassungen ausschließen, gestützt auf den Secure Equipment Act of 2021. Ohne FCC-Zertifizierung dürfen betroffene Geräte nicht mehr importiert werden. Im April 2024 bestätigte ein US-Berufungsgericht das Verbot, nachdem die Hersteller dagegen geklagt hatten.

Nicht dokumentiert ist ein konkreter Einzelfall, in dem eine Kamera nachweislich Daten an chinesische Behörden übermittelt hat, die FCC-Begründung stützt sich auf eine allgemeine Sicherheitsbewertung. Offen bleibt, wie viele bereits installierte Altgeräte weiterhin in Betrieb sind, da das Verbot nur Neuzulassungen betrifft.

Nachdem die Scientology-Kirche am 16.01.2008 eine Urheberrechtsbeschwerde gegen ein Tom-Cruise-Video bei YouTube durchsetzte, veröffentlichte Anonymous am 21.01.2008 das Video Message to Scientology und startete Project Chanology. Am 10.02.2008 demonstrierten in über 50 Städten in 14 Ländern schätzungsweise 6.000 bis 8.300 maskierte Teilnehmer, was als erste große Überführung von Anonymous in realweltlichen Aktivismus gilt. Neben Protesten gehörten DDoS-Angriffe, schwarze Faxe und Prank Calls zu den Aktionsformen. Die per FOIA freigegebenen FBI-Akten zeigen, dass die Kirche gegenüber der Bundespolizei von einer terroristischen Organisation sprach.

Nicht dokumentiert ist eine zentrale Führungsstruktur von Anonymous, da die Bewegung dezentral organisiert war. Die genaue Teilnehmerzahl schwankt je nach Quelle zwischen rund 6.000 und mehr als 9.000. Unklar bleibt der tatsächliche wirtschaftliche Schaden der DDoS-Angriffe.

Der EuGH erklärte am 08.04.2014 in den verbundenen Rechtssachen Digital Rights Ireland und Seitlinger die Richtlinie 2006/24/EG zur Vorratsdatenspeicherung für ungültig. Die Richtlinie hatte Anbieter verpflichtet, Verkehrs- und Standortdaten aller Nutzer für sechs Monate bis zwei Jahre zu speichern. Der Gerichtshof stellte fest, dass die anlasslose flächendeckende Speicherung einen schwerwiegenden Eingriff in die durch die EU-Grundrechtecharta geschützten Rechte darstellt und keine ausreichenden Garantien gegen Missbrauch vorsah.

Nicht belegt ist, in welchem Umfang die Vorratsdatenspeicherung vor 2014 tatsächlich zur Aufklärung von Straftaten beitrug. Offen blieb zunächst, welche nationalen Umsetzungsgesetze automatisch unwirksam wurden, da nationale Verfassungsgerichte dies separat entscheiden mussten.

Der chinesische Journalist Shi Tao wurde im April 2005 zu zehn Jahren Haft wegen Verrats von Staatsgeheimnissen verurteilt, Grundlage war eine E-Mail über seinen Yahoo-Mail-Account, die eine Behördenanweisung zur Berichterstattung über den Tiananmen-Jahrestag zusammenfasste. Laut Gerichtsdokumenten stellte Yahoo Holdings Hong Kong den Behörden Kontodaten und IP-Adresse zur Verfügung. Shi Tao wurde 2013 vorzeitig entlassen. Yahoo-Mitgründer Jerry Yang entschuldigte sich 2007 vor dem US-Kongress.

Nicht dokumentiert ist, welche internen Genehmigungsprozesse der Datenherausgabe vorausgingen. Umstritten war das Ausmaß der Kenntnis der US-Muttergesellschaft über die konkrete Verwendung der Daten. Die Höhe der 2007 vereinbarten Entschädigung wurde nicht offengelegt.

Zwischen August 2004 und März 2005 wurden über das Netz von Vodafone Griechenland rund 100 Mobiltelefone hochrangiger Personen abgehört, darunter Ministerpräsident Kostas Karamanlis und mehrere Minister. Die Täter nutzten Rootkit-Software, die Codeblöcke in Ericsson-AXE-Vermittlungsstellen veränderte und die für legale Überwachung vorgesehene RES-Funktion missbrauchte. Die Abhörung wurde am 24.01.2005 entdeckt, die Software am 07.03.2005 entfernt. Am 09.03.2005 wurde der Netzwerkplanungschef von Vodafone Griechenland tot aufgefunden. Die Regulierungsbehörde verhängte im Dezember 2006 eine Geldstrafe von 76 Millionen Euro.

Nicht bewiesen ist, wer die Abhörung angeordnet hat. Die Täter wurden nie identifiziert. Der Tod des Netzwerkplanungschefs gilt offiziell als Suizid, wird aber weiterhin als ungeklärt angesehen. Spekulationen über eine Beteiligung der US-Botschaft sind nicht gerichtlich bestätigt.

Am 06.06.2013 veröffentlichte die Washington Post, gestützt auf von Edward Snowden weitergegebene Dokumente, Details zum NSA-Programm PRISM. Demnach griffen NSA und FBI direkt auf zentrale Server von neun großen US-Internetfirmen zu, darunter Microsoft, Google, Facebook und Apple, und extrahierten Chats, Fotos, E-Mails und Verbindungsprotokolle zur Verfolgung ausländischer Zielpersonen. Grundlage war eine 41-seitige interne NSA-Präsentation.

Nicht abschließend geklärt ist bis heute, in welcher technischen Form der Zugriff erfolgte. Die beteiligten Unternehmen bestritten übereinstimmend einen direkten unkontrollierten Serverzugriff und erklärten, nur auf rechtlich angeordnete Anfragen zu reagieren. Die ursprüngliche Formulierung direkter Serverzugriff wurde später relativiert.

Die Bundesnetzagentur untersagte am 16.02.2017 Verkauf und Besitz der Puppe My Friend Cayla und stufte sie nach Paragraf 90 TKG als verbotene Sendeanlage ein. Die Puppe verband sich per unverschlüsselter Bluetooth-Verbindung mit einer App und konnte Gespräche aus Kinderzimmern übertragen. Ein Saarbrücker Jurastudent dokumentierte, dass jedes Bluetooth-fähige Gerät im Umkreis von rund zehn Metern unbefugt zugreifen konnte. Besitz kann mit bis zu zwei Jahren Freiheitsstrafe geahndet werden.

Nicht dokumentiert ist, wie viele Puppen tatsächlich verkauft wurden. Dokumentierte Missbrauchsfälle mit realem Abhörschaden sind nicht bekannt. Die rechtliche Einordnung als verbotene Sendeanlage war unter Juristen umstritten.

Der New Yorker Uber-Manager Josh Mohrer nutzte im November 2014 das interne Tool God View, um den Standort der Journalistin Johana Bhuiyan ohne ihre Zustimmung zu verfolgen. Uber kündigte eine interne Untersuchung an und veröffentlichte danach erstmals eine offizielle Datenschutzrichtlinie. Im Januar 2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar wegen unzureichender Zugriffskontrollen und verspäteter Meldung eines Datenlecks von 2014.

Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.

Palantir Technologies wurde 2004 von Peter Thiel, Joe Lonsdale, Stephen Cohen und Nathan Gettings gegründet. Da klassische Risikokapitalgeber ablehnten, finanzierte In-Q-Tel, die Venture-Capital-Einheit der CIA, das Unternehmen mit über 2 Millionen US-Dollar. Von 2005 bis 2008 war die CIA Palantirs einziger Kunde und testete die Software in einer Alpha-Phase.

Nicht öffentlich dokumentiert ist die Aufteilung der übrigen Finanzierung von rund 30 Millionen US-Dollar. Die exakte Höhe der In-Q-Tel-Tranchen variiert je nach Quelle. Welche Datensätze die CIA in der Testphase einspeiste, ist nicht belegt.

Die US-Einwanderungsbehörde ICE vergab im April 2025 einen Vertrag im Wert von 30 Millionen US-Dollar an Palantir. Die Software ImmigrationOS erweitert das seit 2014 genutzte Fallmanagementsystem und soll Auswahl, Festnahme und Abschiebung von Migranten beschleunigen. Im Juli 2025 besetzten rund 100 Aktivisten die Palantir-Büros in Seattle. Palantir-Mitarbeiter hatten bereits 2019 einen offenen Brief mit über 200 Unterschriften gegen die ICE-Nutzung verfasst.

Nicht belegt ist, in wie vielen Fällen ImmigrationOS tatsächlich zu Festnahmen führte, die Software war laut Berichten erst als Prototyp geplant. Die Zahl betroffener Visa-Widerrufe schwankt zwischen 300 und 4.000 Fällen ohne verlässliche amtliche Gesamtzahl.

Am 05.10.2023 veröffentlichte das Medienkonsortium European Investigative Collaborations gemeinsam mit dem Security Lab von Amnesty International die Recherche Predator Files. Der Bericht dokumentiert, dass die Spyware Predator, hergestellt vom Intellexa-Konsortium um die Nexa-Gruppe aus Frankreich, in mindestens 25 Ländern verkauft wurde, darunter Oman, Katar, Kenia, die VAE, Vietnam, Sudan und Ägypten. Das Intellexa-Konsortium wurde 2018 vom ehemaligen israelischen Militäroffizier Tal Dilian mitgegründet.

Nicht abschließend dokumentiert ist, in welchem Umfang Predator in jedem der 25 Länder operativ eingesetzt wurde. Die Eigentümer- und Kontrollstruktur des Intellexa-Konsortiums bleibt teilweise intransparent, da mehrere ineinander verschachtelte Firmen in verschiedenen Staaten involviert sind.

Kenny Paterson, Matteo Scarlata und Kien Tuong Truong von der Applied Cryptography Group der ETH Zürich veröffentlichten eine kryptografische Sicherheitsanalyse des Schweizer Messengers Threema, vorgestellt auf dem USENIX Security Symposium 2023. Die Forscher beschrieben sieben Angriffe, die unter anderem das Wiederherstellen von langfristigen privaten Schlüsseln und das Umgehen der Authentifizierung ermöglichen konnten, eine Methode nutzte einen Seitenkanal über die Größe verschlüsselter Backups. Die Forscher informierten Threema im Oktober 2022, im November 2022 veröffentlichte Threema ein neues Protokoll namens Ibex, das die Probleme beheben soll.

Nicht dokumentiert ist, ob die Schwachstellen jemals praktisch ausgenutzt wurden. Threema erklärte, die Lücken hätten keine realen Auswirkungen gehabt, was von den ETH-Forschern als beschönigend kritisiert wurde. Die technische Wirksamkeit des neuen Ibex-Protokolls wurde nicht unabhängig extern nachgeprüft.

Die EU-Kommission stellte am 06.02.2026 vorläufig fest, dass TikTok mit suchtfördernden Designelementen wie endlosem Scrollen und Autoplay gegen den Digital Services Act verstößt. Das förmliche Verfahren war bereits im Februar 2024 eröffnet worden. Laut Kommission ignorierte TikTok Anzeichen für zwanghafte Nutzung bei Minderjährigen, bestehende Schutzmaßnahmen seien leicht zu umgehen.

Es handelt sich um eine vorläufige Feststellung, kein rechtskräftiges Bußgeld. Eine konkrete Bußgeldhöhe wurde nicht genannt, theoretisch wären nach DSA bis zu 6 Prozent des weltweiten Jahresumsatzes möglich, dies ist aber nicht bestätigt.

Die dänische EU-Ratspräsidentschaft legte im Herbst 2025 einen Kompromissvorschlag zur Chatkontrolle-Verordnung vor, der die verpflichtende Chatkontrolle strich. Anstelle verpflichtender Aufdeckungsanordnungen sollen Dienste freiwillig Risikominderungsmaßnahmen ergreifen, einschließlich optionaler Chatkontrolle. Die bisher nur vorübergehende Ausnahme von der Kommunikationsvertraulichkeit soll dauerhaft festgeschrieben werden.

Ob der Vorschlag im Rat eine qualifizierte Mehrheit finden würde, war zum Berichtszeitpunkt offen. Wie sich der Vorschlag zu einem im Frühjahr 2025 gescheiterten polnischen Vorschlag verhält, ist nicht abschließend geklärt.