Quellen-Tabelle

WhatsApp sammelt unabschaltbare Metadaten, mind. 13 Meta-Bibliotheken, ~1.500 Ingenieure hatten Datenzugriff.

Chat-Inhalte bleiben laut Bericht verschlüsselt.

EU-Staaten favorisieren 6-12 Monate Speicherung von Messenger-Metadaten, Kommissionsvorschlag für Mitte 2026 erwartet.

Genauer Gesetzestext noch nicht vorliegend.

EU-Parlament verfehlt Mehrheit gegen freiwillige Chatkontrolle, E2E-verschlüsselte Dienste bleiben ausgenommen.

Verpflichtende Chatkontrolle 2.0 verhandelt weiter parallel.

Review fand 3 mittelschwere, 1 leichten Befund, keine kritischen Schwachstellen, SHA3-256 nachgerüstet.

Mobile Schlüsselverwaltung nicht vollständig geprüft.

Zwei hochschwere Föderationsprotokoll-Schwachstellen (CVE-2025-49090) behoben durch Spec 1.16.

Aktive Ausnutzung vor Fix nicht belegt.

MGM Security Partners fand nur 3 Schwachstellen niedrigen Schweregrads bei Synapse/Element-Code.

Nur statische Code-Analyse, keine vollständige kryptografische Protokollanalyse.

Session kündigt Perfect Forward Secrecy und Post-Quanten-Verschlüsselung (ML-KEM) an.

Protokoll zum Meldungszeitpunkt noch nicht finalisiert.

313 Internetabschaltungen in 52 Ländern 2025, Myanmar mit 95 Abschaltungen führend, erstmals Satelliteninternet 14x gekappt.

Zahlen beruhen auf Meldungen, nicht lückenloser amtlicher Erhebung.

Psiphon versorgte während Iran-Abschaltung Juni 2025 zeitweise über 1,5 Mio. gleichzeitige Nutzer.

Herstellereigene Zahl, keine unabhängige Prüfung.

Presse und einschlägig recherchierende NGOs können weiterhin ein berechtigtes Interesse am Zugang zum Transparenzregister geltend machen, trotz EuGH-Urteil vom November 2022.

Positionspapier eines Datenschutz-Fachverbands, keine gerichtliche oder amtliche Quelle.

Die Publizitätspflicht des Handelsregisters ist nach Art. 23 DSGVO datenschutzrechtlich privilegiert, da funktionierende öffentliche Register für die Sicherheit des Rechtsverkehrs notwendig sind.

Kammer-Ratgebertext aus Unternehmersicht, kein konkretes Veröffentlichungsdatum auffindbar.

Untersucht, welche Daten Smart-TVs im Hintergrund senden, und erläutert Möglichkeiten, ACR-Werbetracking in den Geräteeinstellungen zu deaktivieren.

Verbraucherorientierter Ratgeberartikel ohne eigene technische Netzwerkmessung.

Die Scoober-App speichert rund 40 personalisierte Datensätze pro Lieferung inklusive sekundengenauer Standortdaten über mehrere Jahre; dem Mutterkonzern drohte laut Artikel ein Bußgeld von bis zu 96 Mio. Euro.

Beitrag eines kommerziellen Datenschutzberatungsanbieters ohne genaues Veröffentlichungsdatum.

Die Behördenseite listet Tätigkeitsberichte, die u.a. die als rechtswidrig eingestufte GPS-Überwachung von Lieferando-Fahrern thematisieren.

Übersichtsseite, der konkrete Lieferando-Fall müsste im Jahresbericht nachgeschlagen werden.

Jeder Drohnenbetreiber muss sich beim Luftfahrt-Bundesamt registrieren und die e-ID sichtbar auf der Drohne anbringen, dient der Identifizierbarkeit bei Regelverstößen.

Kommerzielles Fachportal statt Primärquelle des LBA.

Analysiert, warum sich die Schufa jahrelang weigerte, die genaue Gewichtung der Scoring-Faktoren offenzulegen, unter Bezug auf frühere BGH-Rechtsprechung von 2014.

Juristische Einordnung eines Fachblogs, keine amtliche Quelle.

Prüft Amazons Löschoptionen für Alexa-Sprachaufzeichnungen, stellt fest, dass die Löschung im Test unzuverlässig funktionierte.

Fachblog mit eigenem Praxistest, keine wissenschaftliche Prüfung.

Der britische Online Safety Act erhielt im Oktober 2023 königliche Zustimmung und gibt der Regulierungsbehörde Ofcom Befugnisse, Maßnahmen gegen illegale Inhalte auf Messaging-Plattformen zu verlangen, faktisch bis hin zu client-seitigem Scannen verschlüsselter Nachrichten vor deren Verschlüsselung. Signal-Präsidentin Meredith Whittaker erklärte, Signal werde Großbritannien 'absolut, zu 100 Prozent' verlassen, statt seine Verschlüsselung zu schwächen. Die britische Regierung drängt Ofcom, im Rahmen des Gesetzes Verschlüsselungs-Backdoors zu untersuchen; ein entsprechender Bericht ist für April 2026 angekündigt.

Ob Signal den Rückzug aus Großbritannien tatsächlich vollzogen hat, ist aus dieser Quelle (Stand der Ankündigung 2023, Bericht erst für April 2026 angekündigt) nicht belegt.

Auch bei Ende-zu-Ende-verschlüsselten Messengern wie WhatsApp gilt die Verschlüsselung nur für den Nachrichteninhalt, nicht für Metadaten wie Sender, Empfänger, Zeitpunkt, Datum und Nachrichtengröße, aus denen sich ablesen lässt, wer mit wem wann kommuniziert; der Meta-Konzern speichert diese Metadaten zentral auf eigenen Servern. Michael Hayden, sowohl ehemaliger NSA-Direktor (1999–2005) als auch CIA-Direktor (2006–2009), erklärte im April 2014 bei einer öffentlichen Debatte an der Johns Hopkins University wörtlich: 'We kill people based on metadata' ('Wir töten Menschen basierend auf Metadaten'), um die geheimdienstliche Relevanz von Metadaten trotz Inhaltsverschlüsselung zu unterstreichen.

Das Zitat bezieht sich auf US-Drohnenoperationen im Kontext von NSA-Metadatenauswertung allgemein, nicht speziell auf WhatsApp-Metadaten; die Übertragbarkeit auf zivile Messenger-Nutzung wird in dieser Quelle als Beispiel, nicht als belegter Einzelfall dargestellt.

Von 2013 bis 2016 erhielt Open Whisper Systems, der Vorläufer des heutigen Signal-Messengers, rund 2,955 Millionen US-Dollar vom Open Technology Fund (OTF). Der OTF ist ein Unterprojekt von Radio Free Asia, das wiederum zur U.S. Agency for Global Media (USAGM) gehört, einer mit rund einer Milliarde US-Dollar jährlich vom US-Kongress finanzierten Bundesbehörde. Die Signal Foundation hat bislang zu keinem Zeitpunkt Finanzberichte veröffentlicht oder die Identität ihrer Spender offengelegt; für 2024 meldete die Stiftung dennoch Einnahmen von 29.413.537 US-Dollar und Ausgaben von 38.019.696 US-Dollar.

Eine staatliche Anschubfinanzierung eines Open-Source-Projekts ist keine Aussage über eine bestehende Kontrolle des Quellcodes oder der Verschlüsselung durch die US-Regierung; der quelloffene Code von Signal wird unabhängig von Kryptographen geprüft. Die genannte Finanzierungssumme betrifft eine frühe Entwicklungsphase, nicht den heutigen Betrieb.

Jeder Scan der Payback-Karte oder jede Zahlung mit der Payback-App speichert neue Informationen zu Alter, Geschlecht, Standort und Einkaufsverhalten, einschließlich der Frage, wo Kunden am meisten Geld ausgeben. Name, Adresse und Geburtsdatum dürfen zu Werbezwecken an Partnerunternehmen weitergegeben werden, solange der Kunde nicht widerspricht; Partnerunternehmen können anhand der übermittelten Kundennummer das Kaufverhalten von Werbeempfängern mit dem von Nicht-Empfängern vergleichen, um den Werbeerfolg zu kontrollieren. Payback positioniert sich damit als erste Online-Marketingplattform in Deutschland, die gezielte Kundenwerbung auf Basis von Offline-Einkäufen anbietet. Eine KPMG-Umfrage ermittelte, dass die Sorge vor Nachverfolgung des eigenen Kaufverhaltens der wichtigste Grund war, weshalb Verbraucher auf Kundenkartenprogramme verzichten.

Wie viele Kunden dem beschriebenen Widerspruchsrecht tatsächlich aktiv widersprechen und wie hoch der Anteil der weitergegebenen Profile am Gesamtbestand ist, ist aus dieser Quelle nicht beziffert.

Bei der Bundestagswahl 2021 setzten alle im Bundestag vertretenen Parteien politisches Microtargeting auf Facebook ein, um Wählergruppen gezielt mit personalisierter Wahlwerbung anzusprechen, darunter CDU, SPD, Bündnis 90/Die Grünen, AfD und Die Linke. Die Parteien investierten in den letzten drei Monaten vor der Wahl zusammen mehr als 6,9 Millionen Euro in Werbeanzeigen auf Meta-Plattformen, überwiegend Facebook. Die Datenschutzorganisation noyb reichte am 21.03.2023 Beschwerde gegen sechs deutsche Parteien ein, weil politische Meinungen nach DSGVO als besonders schutzwürdige Datenkategorie gelten und die praktizierte Zielgruppenansprache damit gegen geltendes Datenschutzrecht verstoße. Kritiker warnen zusätzlich, widersprüchliche, zielgruppenspezifisch zugeschnittene Wahlversprechen könnten gesellschaftliche Polarisierung verstärken, weil unterschiedliche Wählergruppen einander widersprechende politische Zusagen erhalten.

Der Ausgang der noyb-Beschwerde und ob die betroffenen Parteien ihre Microtargeting-Praxis seither änderten, ist aus dieser Quelle nicht belegt.

Das Pegasus-Projekt war eine Zusammenarbeit von über 80 Journalisten aus 17 Medienorganisationen in 10 Ländern, koordiniert von der Pariser Non-Profit-Organisation Forbidden Stories in Partnerschaft mit dem Amnesty International Security Lab. Die Recherche stützte sich auf einen Datensatz mit über 50.000 Telefonnummern, die seit 2016 als potenzielle Zielpersonen von Kunden der israelischen Überwachungsfirma NSO Group identifiziert worden sein sollen. Die Untersuchung identifizierte mindestens 180 Journalisten in 20 Ländern, die zwischen 2016 und Juni 2021 für eine mögliche Überwachung mit der Pegasus-Spyware ausgewählt wurden, unter anderem in Aserbaidschan, Ungarn, Indien und Marokko, Ländern mit verstärktem Vorgehen gegen unabhängige Medien. Das Amnesty International Security Lab führte forensische Analysen an den Telefonen von mehr als einem Dutzend dieser Journalisten durch und bestätigte bei insgesamt 67 untersuchten Telefonen erfolgreiche Infektionen über eine Sicherheitslücke in iPhones, trotz NSO Groups Behauptung, die Technologie sei ausschließlich für legitime Strafverfolgungszwecke bestimmt.

Die Liste von über 50.000 Telefonnummern zeigt potenzielle Zielauswahl durch NSO-Kunden, nicht zwingend erfolgreiche Infektionen; forensisch bestätigt wurden Infektionen nur bei den 67 tatsächlich untersuchten Geräten.

Die mit China verbundene Hackergruppe Salt Typhoon verschaffte sich seit mindestens 2019, mit dokumentierter Aktivität ab 2022, dauerhaften Zugang zu US-Telekommunikationsnetzen, indem sie Router und Switches großer Anbieter wie AT&T, Verizon und Lumen kompromittierte. Die Angreifer drangen dabei auch in Systeme ein, die Strafverfolgungsbehörden für die gerichtlich angeordnete Erfassung von Kundendaten nutzen, und erlangten dadurch potenziell Zugriff auf sensible Informationen wie die Identität chinesischer Zielpersonen US-amerikanischer Überwachungsmaßnahmen sowie allgemeine Anruf- und SMS-Metadaten von über einer Million Amerikanern. Zwischen Dezember 2024 und Januar 2025 führte die Gruppe eine Kampagne gegen ungepatchte Cisco-Edge-Geräte durch und versuchte, über 1.000 solcher Geräte weltweit zu kompromittieren, unter Ausnutzung der Schwachstellen CVE-2023-20198 und CVE-2023-20273. Trotz US-Sanktionen kompromittierte die Gruppe 2025 fünf weitere Telekommunikationsanbieter weltweit, darunter zwei in den USA.

Die genaue Zahl der tatsächlich erfolgreich mitgelesenen Überwachungsziele (nicht nur Metadaten) ist aus dieser Quelle nicht beziffert.

Am 15. Juli 2020 verschafften sich Angreifer durch einen telefonischen Spear-Phishing-Angriff auf Twitter-Mitarbeiter Zugangsdaten zu einem internen Support-Tool des Unternehmens. Mit diesem Zugriff nahmen sie laut Twitters eigener Stellungnahme insgesamt 130 Accounts ins Visier, tweeteten von 45 dieser Konten, griffen bei 36 Konten auf das Nachrichtenpostfach zu und luden bei 7 Konten die gespeicherten Twitter-Daten herunter. Betroffen waren unter anderem die Accounts von Barack Obama, Joe Biden, Bill Gates, Elon Musk, Jeff Bezos, Kanye West und Kim Kardashian West sowie die Firmenaccounts von Apple und Uber. Die gekaperten Accounts veröffentlichten Tweets mit dem Versprechen, eingesendete Bitcoin-Zahlungen verdoppelt zurückzusenden, zusammen mit einer Bitcoin-Wallet-Adresse. Nach Angaben des New York State Department of Financial Services erbeuteten die Täter dabei mehr als 118.000 US-Dollar in Bitcoin. Im Juli 2020 wurde der damals 17-jährige Graham Ivan Clark aus Florida als mutmaßlicher Kopf der Aktion festgenommen und im März 2021 zu drei Jahren Jugendhaft verurteilt. Zwei weitere Mitverdächtige, Mason Sheppard und Nima Fazeli, wurden ebenfalls strafrechtlich angeklagt. Twitter reagierte mit einer vorübergehenden Einschränkung der Tweet-Funktion für viele verifizierte Accounts und kündigte strengere interne Zugriffskontrollen sowie zusätzliche Mitarbeiterschulungen an.

Der offizielle Twitter-Blogbeitrag selbst nennt keine Schadenssumme und keine Namen von Verdächtigen; diese Angaben stammen aus separaten Ermittlungen von US-Justizbehörden und dem New York State Department of Financial Services. Ob neben den drei strafrechtlich verfolgten Personen weitere Beteiligte oder Hintermänner agierten, ist nicht abschließend geklärt.