Quellen-Tabelle

Der US-Telekommunikationskonzern AT&T bestätigte am 12.07.2024, dass Angreifer zwischen dem 14.04.2024 und dem 25.04.2024 unbefugt auf seinen Arbeitsbereich beim Cloud-Anbieter Snowflake zugegriffen und Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 bis 110 Millionen Mobilfunkkunden von AT&T sowie Kunden angeschlossener Mobilfunkanbieter entwendet haben. Betroffen waren Verbindungsdaten aus dem Zeitraum vom 01.05.2022 bis zum 31.10.2022 sowie für einen kleineren Teil der Kunden vom 02.01.2023, darunter Telefonnummern, Häufigkeit und Dauer der Kontakte sowie teilweise Kennungen von Mobilfunkmasten zur Standortnäherung. Nicht betroffen waren laut AT&T die Inhalte von Anrufen und Kurznachrichten sowie Namen, Sozialversicherungsnummern oder Geburtsdaten. Wie heise online berichtete, zahlte AT&T Mitte Mai 2024 umgerechnet rund 370.000 US-Dollar in Bitcoin an einen Hacker der Gruppe ShinyHunters, der über einen Mittelsmann verhandelte, damit die gestohlenen Daten gelöscht wurden; als Nachweis erhielt AT&T ein Video der Löschung. Ursprünglich hatte der Angreifer eine Million Dollar gefordert. Als ursprünglicher Datendieb gilt der US-Bürger John Erin Binns, der zu dieser Zeit in der Türkei lebte und bereits mit dem T-Mobile-Hack von 2021 in Verbindung gebracht worden war. Der Zugriffspunkt bei Snowflake wurde nach Angaben von AT&T inzwischen abgesichert, betroffene Kunden wurden informiert.

Die Zahlung von rund 370.000 US-Dollar stützt sich auf Aussagen eines an der Übergabe beteiligten Mittelsmanns gegenüber Journalisten sowie auf ein vorgelegtes Bitcoin-Transaktionsprotokoll; AT&T selbst hat die Zahlung öffentlich nicht bestätigt, und ob wirklich alle Kopien der Daten gelöscht wurden, bleibt laut Mittelsmann unsicher. Die oft im Zusammenhang genannte Zahl von 73 Millionen betroffenen Kunden bezieht sich auf ein separates, im März 2024 bekanntgewordenes Datenleck aus rund 2019 und nicht auf die hier beschriebenen Anruf- und SMS-Metadaten von rund 109 bis 110 Millionen Kunden.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und die New York Times Berichte, wonach die Datenanalysefirma Cambridge Analytica unrechtmäßig auf persönliche Daten von bis zu 87 Millionen Facebook-Nutzern zugegriffen hatte. Grundlage war die 2014 vom Cambridge-Forscher Aleksandr Kogan über seine Firma Global Science Research entwickelte App This Is Your Digital Life, die rund 270.000 Nutzer für eine Persönlichkeitsstudie installierten. Über die damalige Facebook-Plattformschnittstelle sammelte die App zugleich ohne deren Zustimmung Daten der Facebook-Freunde dieser Nutzer, wodurch die Gesamtzahl betroffener Profile auf bis zu 87 Millionen anstieg, davon rund 70,6 Millionen in den USA und schätzungsweise 310.000 in Deutschland. Kogan gab die Daten unter Verstoß gegen Facebooks Richtlinien an Cambridge Analytica weiter, das sie unter anderem für zielgerichtete politische Wahlwerbung im US-Präsidentschaftswahlkampf 2016 von Donald Trump einsetzte. Am 04.04.2018 bestätigte Facebook offiziell die Zahl von bis zu 87 Millionen betroffenen Nutzern. Am 10. und 11.04.2018 sagte Facebook-Chef Mark Zuckerberg vor dem US-Kongress aus. Cambridge Analytica meldete am 02.05.2018 Insolvenz an und stellte den Geschäftsbetrieb ein. Am 24.07.2019 verhängte die FTC gegen Facebook eine Geldstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen eine Datenschutzvereinbarung von 2012, die höchste bis dahin von der FTC gegen ein Unternehmen verhängte Strafe.

Aus der FTC-Pressemitteilung geht nicht hervor, in welchem konkreten Umfang die über Cambridge Analytica gewonnenen Daten tatsächlich Wahlentscheidungen im US-Wahlkampf 2016 oder beim Brexit-Referendum beeinflusst haben, dieser kausale Zusammenhang gilt als nicht belegt. Die individuelle strafrechtliche Verantwortlichkeit einzelner Cambridge-Analytica-Verantwortlicher blieb teilweise ungeklärt, da das Unternehmen vor Abschluss mehrerer Verfahren Insolvenz anmeldete.

Am 18.10.2017 wurde die malaysische Technologie-Website Lowyat.net auf mehrere Datenbanken aufmerksam, die in Untergrundforen zum Kauf angeboten wurden. Die malaysische Regulierungsbehörde MCMC bestätigte, dass Registrierungsdatensätze von 46,2 Millionen Mobilfunk-Anschlüssen betroffen waren, mehr als die damalige Einwohnerzahl Malaysias von rund 31 Millionen. Die Daten stammten von mindestens 12 Mobilfunkanbietern und virtuellen Netzbetreibern, darunter Celcom, Maxis, DiGi, Altel, U Mobile und XOX, sowie zusätzlich vom Malaysian Medical Council, der Malaysian Medical Association, der Malaysian Dental Association und der Jobbörse Jobstreet.com. Erbeutet wurden unter anderem Namen, Wohn- und Rechnungsadressen, MyKad-Ausweisnummern, SIM-Kartennummern, IMSI- und IMEI-Kennungen sowie Handset-Modelle. Nach Angaben der Ermittler deuteten die Zeitstempel der Daten auf einen Diebstahl zwischen 2014 und 2015 hin, laut BleepingComputer wurden die Daten spätestens im Juli 2014 entwendet. Die Datensätze wurden im Untergrund unter anderem für rund 1 Bitcoin angeboten, was zum damaligen Kurs etwa 6.500 US-Dollar entsprach. Am 16.11.2017 gab die malaysische Polizei bekannt, dass als mögliche Täter Mitarbeiter einer Firma verdächtigt werden, die mit der Datenübertragung für die MCMC befasst war. Die Website SayaKenaHack.com, über die Betroffene prüfen konnten, ob ihre Daten enthalten waren, wurde von den Behörden gesperrt. Bis zur Berichterstattung Mitte November 2017 waren keine Festnahmen erfolgt.

Aus den Quellen nicht belegt sind die genaue Identität der Täter, ein abgeschlossener Ermittlungsabschluss mit Anklage oder Verurteilung sowie eine offiziell verhängte Bußgeldhöhe gegen beteiligte Unternehmen oder Behörden.

Am 13. und 14. September 2021 veröffentlichte das Wall Street Journal die Artikelserie The Facebook Files auf Basis interner Firmendokumente, die ihm die ehemalige Facebook-Produktmanagerin Frances Haugen zugespielt hatte. Haugen arbeitete von Juni 2019 bis Mai 2021 im Civic-Integrity-Team von Facebook und kopierte beim Ausscheiden Zehntausende interne Unterlagen. Eine Präsentationsfolie aus internen Studien von 2019 hielt fest, dass Facebook bei einem von drei Teenager-Mädchen Körperbildprobleme durch Instagram verschlimmert. Laut einer internen Erhebung vom März 2020 gaben 32 Prozent der befragten Teenager-Mädchen an, dass Instagram negative Gefühle zum eigenen Körper noch verstärkte. Unter Jugendlichen mit Suizidgedanken führten 13 Prozent der britischen und 6 Prozent der amerikanischen befragten Nutzer diese Gedanken auf Instagram zurück. Am 3. Oktober 2021 gab sich Haugen in einem Interview der CBS-Sendung 60 Minutes öffentlich als Whistleblowerin zu erkennen. Am 5. Oktober 2021 sagte sie vor dem Handelsausschuss des US-Senats aus. Am 22. Oktober 2021 veröffentlichte ein Konsortium von 17 US-Nachrichtenredaktionen weitere interne Dokumente unter dem Namen Facebook Papers. Facebook stellte daraufhin die Entwicklung einer eigenen Instagram-Version für Kinder unter 13 Jahren ein und benannte den Mutterkonzern am 28. Oktober 2021 in Meta um.

Die genaue Gesamtzahl der von Haugen kopierten Dokumente wird nur mit Zehntausenden beziffert, eine exakte Seiten- oder Dokumentenzahl ist aus dieser Quelle nicht belegt. Ob die SEC-Beschwerden zu einem förmlichen Verfahren oder zu Sanktionen gegen Meta geführt haben, geht aus dieser Quelle nicht hervor.

Am 06.06.2013 veröffentlichten The Guardian und die Washington Post erste Berichte über das geheime NSA-Programm PRISM, basierend auf Dokumenten des NSA-Vertragsmitarbeiters Edward Snowden, der zuvor für Booz Allen Hamilton tätig war. Snowden wurde am 09.06.2013 öffentlich als Quelle genannt und floh anschließend über Hongkong nach Russland. PRISM ermöglichte der NSA seit 2007 Zugriff auf Nutzerdaten von neun US-Internetkonzernen, beginnend mit Microsoft (2007), gefolgt von Yahoo (2008), Google, Facebook und Paltalk (2009), YouTube (2010), AOL und Skype (2011) sowie Apple (2012). Erfasst wurden unter anderem E-Mails, Chatprotokolle, Fotos, Videos, Videoanrufe und Verbindungsdaten. Rechtsgrundlage war Section 702 des Foreign Intelligence Surveillance Act (FISA) von 2008, der im Dezember 2012 unter Präsident Obama verlängert wurde. Laut den geleakten Unterlagen standen im April 2013 rund 117675 Zielpersonen unter aktiver Beobachtung durch die NSA. Bereits am 05.06.2013 hatte der Guardian zusätzlich eine geheime Gerichtsanordnung veröffentlicht, wonach die NSA Telefonverbindungsdaten von mehr als 120 Millionen Verizon-Kunden in den USA erhielt. Die Enthüllungen lösten weltweite Debatten über Massenüberwachung aus und führten unter anderem zu einem spürbaren Anstieg der Nutzerzahlen datenschutzfreundlicher Suchmaschinen wie DuckDuckGo.

Aus dieser Quelle nicht abschließend geklärt ist, ob die NSA tatsächlich direkten technischen Zugriff auf die Server der Unternehmen hatte, wie die ursprüngliche Berichterstattung nahelegte, oder ob Daten über separate, von den Firmen kontrollierte Übergabesysteme flossen, was die betroffenen Konzerne bestritten. Auch das exakte Gesamtvolumen der über PRISM erfassten Kommunikationsdaten bleibt unbelegt.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2022 gegen Meta Platforms Ireland Limited als Betreiberin von Instagram ein Bußgeld in Höhe von 405 Millionen Euro. Die Entscheidung wurde am 15.09.2022 öffentlich bekannt gegeben und war zu diesem Zeitpunkt die höchste von der DPC verhängte Strafe. Grundlage war eine am 21.09.2020 eingeleitete Untersuchung, ausgelöst durch Hinweise des US-Datenwissenschaftlers David Stier. Die DPC stellte fest, dass Instagram bei der Nutzung von Business-Konten E-Mail-Adressen und Telefonnummern minderjähriger Nutzer öffentlich sichtbar machte und persönliche Konten von Kindern standardmäßig auf öffentlich statt privat einstellte. Die Behörde sah darin Verstöße gegen mehrere Artikel der DSGVO. Der ursprüngliche Entscheidungsentwurf der DPC von Dezember 2021 stieß auf Einwände von sechs anderen europäischen Datenschutzbehörden, weshalb der Fall gemäß Artikel 65 DSGVO an den Europäischen Datenschutzausschuss (EDPB) verwiesen wurde. Der EDPB traf am 28.07.2022 eine bindende Entscheidung und verlangte die zusätzliche Feststellung eines Verstoßes gegen Artikel 6(1), wofür allein 20 Millionen Euro der Gesamtstrafe vorgesehen wurden. Es handelte sich um die dritte Strafe gegen ein Meta-Unternehmen nach 225 Millionen Euro gegen WhatsApp im September 2021 und 17 Millionen Euro gegen Facebook im März 2022.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Kinder konkret von der öffentlichen Anzeige ihrer Kontaktdaten betroffen waren, und der Ausgang eines möglichen Rechtsmittelverfahrens von Meta gegen die Entscheidung ist darin nicht dokumentiert.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2021 gegen WhatsApp Ireland Limited eine Geldbuße von 225 Millionen Euro. Grundlage war eine Untersuchung, die die DPC am 10.12.2018 von Amts wegen eingeleitet hatte. Gegenstand war die Frage, ob WhatsApp seinen Transparenzpflichten nach der Datenschutz-Grundverordnung nachkam, insbesondere bei der Information von Nutzern und Nicht-Nutzern über die Verarbeitung und Weitergabe von Daten an andere Facebook-Unternehmen. Die DPC stellte Verstöße gegen die Artikel 12, 13 und 14 sowie gegen den Transparenzgrundsatz aus Artikel 5 Absatz 1 Buchstabe a DSGVO fest. Der ursprüngliche Bußgeldvorschlag der DPC vom Dezember 2020 hatte lediglich 30 bis 50 Millionen Euro betragen. Acht betroffene Aufsichtsbehörden aus anderen EU-Staaten erhoben Einspruch gegen diesen Entwurf. Der Europäische Datenschutzausschuss entschied daraufhin am 28.07.2021 im verbindlichen Streitbeilegungsverfahren, dass die Buße deutlich höher ausfallen muss. Neben der Geldstrafe erteilte die DPC WhatsApp einen Verweis und ordnete konkrete Maßnahmen zur Herstellung der Rechtskonformität an.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Nutzer konkret von den Transparenzmängeln betroffen waren, und ein möglicher Ausgang eines gerichtlichen Einspruchs von WhatsApp gegen die Entscheidung wird darin nicht dokumentiert.

Die irische Datenschutzbehörde (Data Protection Commission, DPC) verhängte am 15.09.2023 ein Bußgeld von 345 Millionen Euro gegen TikTok Technology Limited, die europäische Tochtergesellschaft mit Sitz in Dublin. Die Entscheidung basiert auf einer Untersuchung des Zeitraums vom 31.07.2020 bis 31.12.2020 und betrifft den Umgang mit den Daten minderjähriger Nutzer im Alter von 13 bis 17 Jahren. Die DPC stellte fest, dass Nutzerkonten von Teenagern standardmäßig auf öffentlich eingestellt waren und die Funktion Family Pairing es Erwachsenen ermöglichte, für Teenager-Konten Direktnachrichten zu aktivieren, ohne dass eine familiäre Beziehung überprüft wurde. Zudem bemängelte die Behörde irreführende Voreinstellungen in zwei Pop-up-Hinweisen bei der Registrierung und beim Hochladen von Videos, sogenannte Dark Patterns. Die Entscheidung stellte Verstöße gegen mehrere Artikel der DSGVO fest. Der Verstoß gegen Artikel 5(1)(a) wurde nach einem verbindlichen Beschluss des Europäischen Datenschutzausschusses ergänzt, nachdem eine deutsche Aufsichtsbehörde Einwände zu den Dark Patterns erhoben hatte. Neben dem Bußgeld erteilte die DPC eine Rüge und ordnete an, dass TikTok die betroffenen Verarbeitungspraktiken innerhalb von drei Monaten in Einklang mit der DSGVO bringt.

Diese Entscheidung und Quelle beziehen sich ausschließlich auf die 2023 verhängte Kinderdaten-Buße; Datentransfers nach China wurden von der DPC erst in einem separaten Verfahren im Mai 2025 mit einem zusätzlichen Bußgeld von 530 Millionen Euro geahndet. Der Ausgang eines möglichen Rechtsmittelverfahrens von TikTok gegen die 345-Millionen-Euro-Entscheidung ist aus dieser Quelle nicht ersichtlich.

Die Wirtschaftsprüfungsgesellschaft Deloitte wurde nach Medienberichten spätestens im Oktober oder November 2016 Opfer eines Cyberangriffs auf ihr globales E-Mail-System, den das Unternehmen erst im März 2017 entdeckte. Die Angreifer verschafften sich Zugang über ein Administratorkonto, das nicht durch Zwei-Faktor-Authentifizierung geschützt war, und erhielten damit privilegierten Zugriff auf das komplette, bei Microsoft Azure gehostete E-Mail-System der Firma. Betroffen waren die E-Mail-Konten von rund 244.000 Deloitte-Mitarbeitern weltweit, wobei die Angreifer laut Berichten potenziell auf bis zu fünf Millionen E-Mails zugreifen konnten. Zu den kompromittierten Daten zählten Nutzernamen, Passwörter, IP-Adressen, Architekturdiagramme sowie teils Gesundheitsinformationen aus E-Mail-Anhängen. Die britische Zeitung The Guardian machte den Vorfall am 25.09.2017 öffentlich, nachdem Deloitte den Angriff zuvor nicht publik gemacht hatte. Deloitte erklärte, es seien nur sehr wenige Kunden betroffen gewesen, und bestätigte, sechs Kunden offiziell über eine Beeinträchtigung ihrer Daten informiert zu haben. Zu den laut Presseberichten möglicherweise betroffenen Organisationen zählten mehrere US-Bundesbehörden sowie internationale Konzerne aus den Bereichen Banken, Pharma und Medien.

Die genaue Gesamtzahl der tatsächlich betroffenen Kunden sowie der Umfang des tatsächlich abgeflossenen Datenvolumens sind nicht abschließend belegt, da Deloitte offiziell nur sechs Kunden als betroffen bestätigte, während Medienberichte einen deutlich größeren Kreis potenziell betroffener Organisationen nennen.

Am 06.08.2020 unterzeichnete US-Präsident Donald Trump die Executive Order 13943, die US-Personen Transaktionen mit dem chinesischen Konzern Tencent Holdings Ltd. im Zusammenhang mit der Messaging-App WeChat untersagte. Die Anordnung begründete das Verbot damit, dass WeChat mit weltweit über einer Milliarde Nutzern automatisch große Mengen an Nutzerdaten erfasse und dies der Kommunistischen Partei Chinas Zugriff auf persönliche und geschäftliche Informationen von Amerikanern ermöglichen könne. Als Beleg führte die Anordnung an, dass ein Forscher im März 2019 eine chinesische Datenbank mit Milliarden von WeChat-Nachrichten von Nutzern aus China, den USA, Taiwan, Südkorea und Australien entdeckt habe. Das US-Handelsministerium benannte am 18.09.2020 konkrete verbotene Transaktionen mit Wirkung zum 20.09.2020. Am 20.09.2020 blockierte US-Bundesrichterin Laurel Beeler in San Francisco das Verbot per einstweiliger Verfügung, nachdem eine Nutzervereinigung und sechs WeChat-Nutzer wegen möglicher Verletzung des ersten Verfassungszusatzes geklagt hatten. Beeler erklärte, die Regierung habe legitime Sicherheitsbedenken gegenüber China dargelegt, aber kaum Beweise dafür vorgelegt, dass ein vollständiges App-Verbot diese Bedenken adressiere. Vorangegangene Forschung des Citizen Lab der University of Toronto vom Mai 2020 hatte zuvor gezeigt, dass auch Dokumente und Bilder zwischen außerhalb Chinas registrierten WeChat-Konten inhaltlich überwacht wurden. Am 09.06.2021 hob US-Präsident Joe Biden die Executive Order 13943 wieder auf.

Die Executive Order stützt sich bei der zentralen Datenbank-Behauptung auf einen Presseberichte-Verweis statt auf eigene Beweisführung, und eine direkte, systematische Weitergabe von WeChat-Nutzerdaten an chinesische Behörden wurde in keinem der folgenden US-Gerichtsverfahren abschließend belegt. Auch das Citizen Lab stellte 2020 ausdrücklich klar, keine Beweise dafür zu haben, dass die beobachtete Überwachung direkt von der chinesischen Regierung angeordnet wurde.

Am 24.04.2024 unterzeichnete US-Präsident Joe Biden den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA, H.R. 7521) als Teil des Hilfspakets H.R. 8038. Das Repräsentantenhaus hatte die eigenständige Fassung H.R. 7521 bereits am 13.03.2024 mit 352 zu 65 Stimmen verabschiedet, eingebracht am 05.03.2024 vom Abgeordneten Mike Gallagher. Nach Aufnahme in das Paket H.R. 8038 stimmte das Repräsentantenhaus am 20.04.2024 mit 360 zu 58 Stimmen zu, der Senat folgte am 23.04.2024 mit 79 zu 18 Stimmen. Das Gesetz verpflichtet den chinesischen Mutterkonzern ByteDance Ltd. dazu, seine Video-App TikTok innerhalb von 270 Tagen an einen Käufer außerhalb als foreign adversary eingestufter Staaten zu veräußern, mit einer möglichen einmaligen Fristverlängerung um 90 Tage durch den Präsidenten. Ohne einen solchen Verkauf sieht das Gesetz ein Verbot der Bereitstellung von TikTok über App-Stores und Webhosting-Dienste in den USA vor. Die Frist lief damit regulär bis zum 19.01.2025. Als Begründung nannte der Kongress nationale Sicherheitsbedenken wegen möglichen Zugriffs der chinesischen Regierung auf Nutzerdaten von nach TikTok-Angaben rund 170 Millionen US-Nutzern. ByteDance und TikTok kündigten an, gegen das Gesetz gerichtlich vorzugehen.

Aus der Quelle nicht belegt sind der spätere tatsächliche Verfahrensausgang nach Fristablauf sowie eine unabhängig verifizierte, offizielle Nutzerzahl für TikTok in den USA, da die 170-Millionen-Angabe von TikTok selbst stammt.

Am 12.09.2018 reichten Dr. Johnny Ryan, Jim Killock (Open Rights Group) und Michael Veale (University College London) förmliche Datenschutzbeschwerden gegen das Real Time Bidding System (RTB) der Online-Werbeindustrie bei der irischen Datenschutzbehörde (Data Protection Commission, DPC) und dem britischen Information Commissioner's Office (ICO) ein. Die Beschwerde richtete sich gegen Google und das vom Interactive Advertising Bureau mitentwickelte RTB-System, bei dem persönliche Nutzerdaten in Echtzeit-Werbeauktionen an tausende Firmen versteigert werden. Am 22.05.2019 eröffnete die irische DPC eine förmliche Untersuchung gegen Google Ireland Limited wegen dessen Ad-Exchange-Datenverarbeitung. Die ICCL, die die Kampagne weiterführte, beziffert das Ausmaß auf rund 178 Billionen RTB-Datenübertragungen pro Jahr in den USA und Europa, mit durchschnittlich 747 täglichen Übertragungen pro US-Person und 376 pro europäischer Person, bei einem geschätzten Branchenwert von über 117 Milliarden US-Dollar. Zu den übertragenen Daten zählen laut ICCL unter anderem Standortangaben sowie Rückschlüsse auf sexuelle Orientierung, Gesundheitszustand, religiöse Überzeugung und politische Ansichten. Die ICCL bezeichnet RTB explizit als das größte je registrierte Datenleck. Im Januar 2020 kündigte das britische ICO an, zunächst keine unmittelbaren Durchsetzungsmaßnahmen zu ergreifen. Da die irische DPC ihre Untersuchung über Jahre nicht abschloss, verklagte die ICCL die Behörde wegen Untätigkeit vor dem irischen High Court.

Die Zahl von 178 Billionen jährlichen RTB-Datenübertragungen sowie der Branchenwert von 117 Milliarden US-Dollar stammen von der ICCL selbst und sind nicht unabhängig verifiziert. Ob RTB im rechtlichen Sinne tatsächlich ein Datenleck darstellt oder lediglich eine rechtswidrige Datenverarbeitung, war Gegenstand eines langjährigen, zum Zeitpunkt der Recherche noch nicht abschließend entschiedenen Gerichtsverfahrens.

Am 14.07.2020 kündigte der britische Digitalminister Oliver Dowden an, den chinesischen Netzwerkausrüster Huawei aus den 5G-Mobilfunknetzen des Vereinigten Königreichs auszuschließen. Telekommunikationsbetreiber dürfen ab dem 31.12.2020 keine neue Huawei-5G-Ausrüstung mehr kaufen, bereits verbaute Huawei-Technik muss bis Ende 2027 vollständig aus den Netzen entfernt werden. Auslöser war eine Neubewertung durch das National Cyber Security Centre, nachdem die USA am 15.05.2020 ihre Exportregeln gegen Huawei verschärft hatten. Die Entscheidung revidierte einen Beschluss vom Januar 2020, der Huawei noch mit einer Obergrenze von 35 Prozent in nicht sicherheitskritischen Netzteilen erlaubt hatte. Die britische Regierung bezifferte die wirtschaftlichen Folgen des Kurswechsels auf zusätzliche Kosten von bis zu 2 Milliarden Pfund sowie eine Verzögerung des 5G-Ausbaus um 2 bis 3 Jahre. Grundlage der Sicherheitsbedenken war der Verdacht, Huawei-Ausrüstung könne für chinesische Spionage genutzt werden oder unterliege dem Einfluss der chinesischen Regierung. Ähnliche Ausschlüsse folgten in weiteren Ländern, etwa Schweden 2020 und Deutschland mit einer Entscheidung im September 2023 zur Entfernung kritischer Huawei- und ZTE-Komponenten aus den Kernnetzen bis 2026.

Aus dieser Quelle nicht belegt sind konkrete technische Nachweise für Spionagefunktionen in Huawei-Geräten; die Entscheidung stützte sich auf eine veränderte Risikobewertung infolge der US-Sanktionen, nicht auf eine veröffentlichte technische Sicherheitslücke. Ebenso unbelegt bleibt das genaue Ausmaß einer möglichen Einflussnahme der chinesischen Regierung auf Huawei, was das Unternehmen selbst bestreitet.

Am 04.10.2016 berichtete die Nachrichtenagentur Reuters unter Berufung auf mehrere ehemalige Mitarbeiter, dass der Internetkonzern Yahoo im Jahr 2015 heimlich eine Spezialsoftware entwickelt hatte, um alle eingehenden E-Mails seiner Kundinnen und Kunden zu durchsuchen. Der Auftrag ging laut Reuters auf eine geheime Anordnung der US-Regierung zurück, die entweder von der NSA oder dem FBI stammte. Die Software durchsuchte den eingehenden Mailverkehr von mehreren hundert Millionen Yahoo-Mail-Konten in Echtzeit nach einer bestimmten, nicht öffentlich bekannten Zeichenfolge. Nach Einschätzung von Überwachungsexperten war dies der erste bekannt gewordene Fall, in dem ein US-Internetunternehmen den gesamten eingehenden E-Mail-Verkehr in Echtzeit durchsuchte. Yahoos damalige Geschäftsführerin Marissa Mayer und Justiziar Ron Bell wiesen die zuständigen E-Mail-Ingenieure an, das Programm ohne Wissen des übrigen Sicherheitsteams zu bauen. Der damalige Chief Information Security Officer Alex Stamos entdeckte das Programm im Mai 2015 und verließ Yahoo im Juni 2015. Yahoo reagierte mit der Erklärung, man sei ein gesetzestreues Unternehmen, äußerte sich aber nicht näher zu Details.

Unklar bleibt, welche konkrete Zeichenfolge die Geheimdienste tatsächlich suchten, welche Behörde die Anordnung im Detail erteilte und ob beziehungsweise welche Daten Yahoo an Behörden übergab. Yahoo bestritt Teile der Reuters-Darstellung öffentlich, ohne eigene Fakten oder Zahlen zu nennen, sodass der Sachverhalt bis heute nicht offiziell bestätigt ist.

Optus, der zweitgrößte Telekommunikationsanbieter Australiens, entdeckte am 20.09.2022 einen unbefugten Zugriff auf seine Kundendatenbank und informierte die Öffentlichkeit am 22.09.2022. Ursache war eine seit 2019 bestehende, ungesicherte und über das Internet erreichbare API-Schnittstelle, die keine Authentifizierung verlangte und dadurch den vollständigen Abruf von Kundendatensätzen ermöglichte. Betroffen waren bis zu 9,8 Millionen aktuelle und ehemalige Kunden, etwa ein Drittel der australischen Bevölkerung. Offengelegt wurden Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen, bei rund 2,1 Millionen Kunden zusätzlich Ausweisdaten wie Reisepass-, Führerschein- oder Medicare-Nummer. Am 24.09.2022 forderte ein Angreifer 1,5 Millionen australische Dollar in Monero, zog die Erpressung jedoch innerhalb weniger Stunden zurück. Optus stellte 140 Millionen australische Dollar für Folgekosten zurück und bot betroffenen Kunden kostenlose Kreditüberwachung an. Am 08.08.2025 reichte die OAIC beim Federal Court of Australia eine Zivilklage gegen Singtel Optus ein, mit einer möglichen Strafe von bis zu 2,22 Millionen australische Dollar pro Verstoß.

Der Ausgang der im August 2025 eingereichten Zivilklage vor dem Federal Court of Australia war zum Zeitpunkt der Berichterstattung noch offen.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 15.03.2022 gegen Meta Platforms Ireland Limited, vormals Facebook Ireland Limited, eine Geldbuße von 17 Millionen Euro. Grundlage war eine Untersuchung von zwölf Datenschutzverletzungen, die Facebook der DPC zwischen dem 07.06.2018 und dem 04.12.2018 gemeldet hatte. Die DPC stellte fest, dass Meta gegen Artikel 5(2) und Artikel 24(1) DSGVO verstoßen hatte, weil das Unternehmen keine geeigneten technischen und organisatorischen Maßnahmen vorhalten konnte, um die tatsächlich umgesetzten Sicherheitsmaßnahmen zum Schutz der Nutzerdaten nachzuweisen. Zu den zwölf gemeldeten Vorfällen zählte unter anderem eine im September 2018 bekannt gewordene Sicherheitslücke im View-As-Feature, durch die Zugriffstoken von bis zu 30 Millionen Facebook-Konten kompromittiert wurden, wobei die zugrunde liegende Schwachstelle laut Unternehmensangaben bereits seit Juli 2017 bestand. Die Entscheidung erging im Kooperationsverfahren nach Artikel 60 DSGVO gemeinsam mit den übrigen europäischen Aufsichtsbehörden, von denen zwei zunächst Einwände gegen den Entscheidungsentwurf der DPC erhoben hatten.

Aus der DPC-Pressemitteilung geht nicht hervor, wie sich die Bußgeldhöhe von 17 Millionen Euro rechnerisch auf die zwölf Einzelverstöße verteilt, und es bleibt offen, ob und mit welchem Ergebnis Meta gegen die Entscheidung Rechtsmittel eingelegt hat.

Am 31.07.2013 veröffentlichte The Guardian, gestützt auf von Edward Snowden bereitgestellte Dokumente, einen Bericht über das NSA-Programm XKeyscore. Grundlage war eine als geheim eingestufte NSA-Schulungspräsentation aus dem Jahr 2008 mit 48 Folien. Laut den Unterlagen ermöglichte XKeyscore NSA-Analysten eine Volltextsuche in E-Mails, Online-Chats und Browserverläufen von Internetnutzern weltweit, ohne vorherige richterliche Genehmigung. Das System stützte sich auf ein Netzwerk von rund 700 Servern an etwa 150 Standorten in etwa 41 Ländern. Erfasste Inhalte wurden für drei bis fünf Tage und Metadaten für bis zu 30 Tage auf den Servern vorgehalten, bevor Analysten relevante Treffer in Langzeitdatenbanken speicherten. Journalist Glenn Greenwald berichtete, Analysten benötigten für eine Suche lediglich eine grobe Begründung über ein Dropdown-Menü, jedoch keine gerichtliche Anordnung. Die NSA erklärte, der Zugriff unterliege technischen und prozeduralen Kontrollen sowie der Aufsicht durch Kongress, Justizministerium und Gerichte.

Aus dem Artikel geht nicht hervor, in welchem konkreten Umfang XKeyscore tatsächlich auf Daten von US-Bürgern angewendet wurde, und die genaue Zahl weltweit betroffener Nutzer ist nicht unabhängig verifizierbar.

Das Bundesverfassungsgericht erklärte am 02.03.2010 mit Urteil des Ersten Senats die Regelungen zur Vorratsdatenspeicherung in den §§ 113a und 113b Telekommunikationsgesetz sowie § 100g Strafprozessordnung für nichtig. Die Vorschriften waren durch das Gesetz zur Neuregelung der Telekommunikationsüberwachung vom 21.12.2007 eingeführt worden und setzten die EU-Richtlinie 2006/24/EG um. Sie verpflichteten Telekommunikationsanbieter, sämtliche Verkehrsdaten aus Telefonie, Fax, SMS, E-Mail und Internetnutzung sechs Monate lang anlasslos zu speichern. Gegen das Gesetz hatten 34.939 Bürgerinnen und Bürger eine vom Arbeitskreis Vorratsdatenspeicherung koordinierte Sammelverfassungsbeschwerde eingereicht, die größte in der Geschichte der Bundesrepublik. Das Gericht sah in der anlasslosen Speicherung praktisch aller Verkehrsdaten einen besonders schweren Eingriff in das Fernmeldegeheimnis nach Art. 10 Abs. 1 Grundgesetz, da sich daraus aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen ließen. Als Mängel benannte der Senat unzureichende Datensicherheit, eine zu weite Zweckbindung, fehlende Transparenzpflichten und unzureichenden Rechtsschutz. Das Gericht ordnete die unverzügliche Löschung aller bereits gespeicherten Daten an.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Am 21.06.2013 veröffentlichte The Guardian auf Basis von Dokumenten des ehemaligen NSA-Mitarbeiters Edward Snowden Details zum Programm Tempora des britischen Geheimdienstes GCHQ. Tempora wurde ab 2008 getestet und war seit Ende 2011 im Wirkbetrieb. Der Geheimdienst hatte Abhörsonden an mehr als 200 transatlantischen Glasfaserkabeln angebracht, über die ein Großteil des internationalen Telefon- und Internetverkehrs zwischen Europa und Nordamerika läuft. Jede Sonde konnte anfangs bis zu 10 Gigabit Daten pro Sekunde erfassen, laut Guardian ließen sich damit täglich bis zu 600 Millionen Kommunikationsvorgänge auswerten. Inhaltsdaten wie Telefonate und E-Mails wurden bis zu drei Tage, Metadaten bis zu 30 Tage gespeichert und durchsuchbar gehalten. Ein zentraler Anlandepunkt der abgehörten Kabel lag im britischen Bude in Cornwall. Nach den Dokumenten hatten im Mai 2012 rund 300 GCHQ- und 250 NSA-Analysten Zugriff auf die gesammelten Daten. Im September 2018 stufte der Europäische Gerichtshof für Menschenrechte das britische Massenüberwachungsprogramm als rechtswidrig ein.

Die genaue Zahl von 600 Millionen täglich erfassten Kommunikationsvorgängen sowie Details zur rechtlichen Grundlage stammen aus als geheim eingestuften Dokumenten und wurden von GCHQ nie offiziell bestätigt oder dementiert.

Am 6. Oktober 2015 erklärte der Gerichtshof der Europäischen Union in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission vom 26. Juli 2000 für ungültig. Kläger war der österreichische Staatsbürger Maximillian Schrems, dessen Daten von der irischen Facebook-Tochtergesellschaft auf Server in den USA übertragen wurden. Schrems hatte 2013 nach den Enthüllungen Edward Snowdens über die Überwachungspraktiken der NSA bei der irischen Datenschutzbehörde Beschwerde eingelegt. Der EuGH stellte fest, dass US-Unternehmen im Rahmen des Safe-Harbor-Systems verpflichtet waren, dessen Schutzregeln zurückzustellen, sobald nationale Sicherheit entgegenstand, und dass US-Behörden selbst nicht an das System gebunden waren. Eine Regelung, die Behörden generalisierten Zugriff auf den Inhalt elektronischer Kommunikation erlaube, verletze den Wesensgehalt des Rechts auf Achtung des Privatlebens. Als Nachfolgeregelung handelte die EU-Kommission das EU-US Privacy Shield aus, das der EuGH am 16. Juli 2020 im Verfahren Schrems II ebenfalls für ungültig erklärte.

Die Pressemitteilung nennt keine Zahl der von der Ungültigkeitserklärung betroffenen Unternehmen oder Nutzer und lässt offen, wie die irische Datenschutzbehörde die Beschwerde von Schrems im Anschluss konkret entschied.

Der Investigatory Powers Act 2016, im Vereinigten Königreich als Snoopers Charter bekannt, erhielt am 29.11.2016 die königliche Zustimmung und trat ab dem 30.12.2016 stufenweise in Kraft. Das Gesetz verpflichtet Kommunikationsdienstleister, Internet Connection Records aller Nutzer für zwölf Monate zu speichern. Polizei, Geheimdienste und benannte Regierungsbehörden können diese Daten für gezielte Ermittlungen abrufen. Zusätzlich legalisiert das Gesetz Massenbefugnisse: die massenhafte Interception von Kommunikation, den Massenzugriff auf Kommunikationsdaten und das Hacken von Geräten. Am 27.04.2018 entschied der High Court in London im Verfahren Liberty gegen die Regierung, dass Teil 4 des Gesetzes zur Vorratsdatenspeicherung gegen EU-Recht verstößt, da er keine ausreichenden Schutzvorkehrungen wie eine vorherige unabhängige Genehmigung vorsah. Am 31.10.2018 traten die Data Retention and Acquisition Regulations 2018 in Kraft, die den Zugriff auf schwere Straftaten beschränken und eine vorherige Prüfung durch einen Judicial Commissioner vorschreiben.

Aus dieser Quelle nicht belegt sind die genaue Zahl der tatsächlich gespeicherten Internet Connection Records und der behördlichen Abfragen sowie Details zu einzelnen vertraulichen Technical Capability Notices.

Section 215 des USA PATRIOT Act erlaubte der NSA seit 2006 die massenhafte, anlasslose Sammlung von Telefonverbindungsdaten von Millionen US-Bürgern. Das Programm wurde im Juni 2013 durch von Edward Snowden veröffentlichte Dokumente öffentlich bekannt. Am 07.05.2015 entschied das Berufungsgericht des zweiten Bundesgerichtsbezirks im Fall ACLU v. Clapper, dass Section 215 die massenhafte Sammlung von Telefondaten rechtlich nicht gedeckt habe. Die gesetzliche Grundlage von Section 215 lief am 01.06.2015 aus. Am 02.06.2015 verabschiedete der US-Senat mit 67 zu 32 Stimmen den USA Freedom Act, den Präsident Barack Obama noch am selben Tag unterzeichnete. Das Gesetz untersagte künftig die anlasslose Massensammlung von Telefonmetadaten durch die NSA, sah dafür aber eine Übergangsfrist von 180 Tagen vor. Nach Ablauf dieser Frist stellte die NSA die Massensammlung am 29.11.2015 endgültig ein. Seitdem benötigt die Regierung für gezielte Abfragen einen Beschluss des FISC mit einem konkreten Suchbegriff.

Aus dieser Quelle nicht belegt sind die genaue Zahl der betroffenen Telefonanschlüsse; ebenso bleibt offen, in welchem Umfang die NSA über andere Rechtsgrundlagen wie Section 702 FISA weiterhin Kommunikationsdaten erhob.

Der Deutsche Bundestag setzte am 20. März 2014 den 1. Untersuchungsausschuss der 18. Wahlperiode ein, um Ausmaß und Hintergründe der Überwachung durch die Five-Eyes-Geheimdienste in Deutschland sowie die Rolle der deutschen Nachrichtendienste aufzuklären. Anlass waren die 2013 von Edward Snowden veröffentlichten Dokumente, die unter anderem das Abhören des Mobiltelefons von Bundeskanzlerin Angela Merkel durch die NSA belegten. Der Ausschuss tagte zwischen April 2014 und Juni 2017 in 134 Sitzungen, davon 66 öffentlich. Zentrales Ergebnis war die Aufdeckung der Operation Eikonal, einer gemeinsamen Kooperation von BND und NSA am Internetknoten DE-CIX in Frankfurt von 2004 bis 2008, bei der monatlich hunderte Millionen Metadaten erfasst wurden. Der BND identifizierte im Spätsommer 2013 in Bad Aibling rund 40.000 NSA-Selektoren, die auf europäische Regierungen und Unternehmen zielten und gegen deutsches Recht verstießen. Das Bundesverfassungsgericht entschied am 13. Oktober 2016, dass die Bundesregierung dem Ausschuss die vollständige NSA-Selektorenliste nicht vorlegen muss. Am 28. Juni 2017 übergab Ausschussvorsitzender Patrick Sensburg den 1.800 Seiten umfassenden Abschlussbericht an Bundestagspräsident Norbert Lammert.

Die genaue Gesamtzahl der unrechtmäßig erfassten Selektoren wird in verschiedenen Quellen uneinheitlich zwischen rund 40.000 und 459.000 angegeben, und ob einzelne Verantwortliche in BND oder Kanzleramt vorsätzlich handelten, blieb umstritten.

Am 24.10.2013 wurde bekannt, dass der US-Geheimdienst NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört haben soll. Grundlage war eine Recherche des Magazins Der Spiegel anhand von Dokumenten aus dem Fundus des Whistleblowers Edward Snowden. Demnach führte die zuständige NSA-Abteilung S2C32 Merkel bereits seit 2002 unter dem Decknamen GE Chancellor Merkel als Aufklärungsziel. Betroffen war ein von Merkel für CDU-interne Kommunikation genutztes Mobiltelefon, nicht ihr offizielles Diensthandy. Als Operationsbasis der NSA diente laut Bericht die US-Botschaft am Pariser Platz in Berlin. Noch am 24.10.2013 bestellte das Auswärtige Amt erstmals in der Geschichte der Bundesrepublik den US-Botschafter John B. Emerson ein. Merkel beschwerte sich telefonisch bei US-Präsident Barack Obama. Generalbundesanwalt Harald Range leitete 2014 ein Ermittlungsverfahren wegen des Verdachts geheimdienstlicher Agententätigkeit ein, stellte es aber am 12.06.2015 mangels gerichtsfest beweisbarer Fakten wieder ein.

Aus dieser Quelle nicht abschließend belegt ist, ob und wie lange Merkels Handy tatsächlich technisch abgehört wurde, da der Generalbundesanwalt das zugrunde liegende NSA-Dokument nie im Original erhalten konnte.

Am 05.03.1946 unterzeichneten Colonel Patrick Marr-Johnson für das britische London Signals Intelligence Board und Lieutenant General Hoyt Vandenberg für das US State-Army-Navy Communication Intelligence Board das UKUSA-Abkommen zur Zusammenarbeit bei der Signalaufklärung. Vorläufer war das am 17.05.1943 geschlossene BRUSA-Abkommen zwischen dem US-Kriegsministerium und der britischen Government Code and Cypher School. Das UKUSA-Abkommen regelte den Austausch von Ergebnissen aus Funkverkehrserfassung, Kryptoanalyse und Entschlüsselung zwischen den Nachrichtendiensten beider Staaten, später NSA und GCHQ. 1948 trat Kanada dem Abkommen bei, 1956 folgten Australien und Neuseeland, wodurch die als Five Eyes bekannte Allianz aus fünf Staaten entstand. Die Existenz des Abkommens blieb jahrzehntelang geheim und wurde erstmals 2005 öffentlich bestätigt. Der vollständige Text wurde am 25.06.2010 von den Regierungen Großbritanniens und der USA offiziell freigegeben.

Aus dieser Übersichtsquelle nicht belegt sind die genauen operativen Umfangszahlen der heutigen Datenerfassung; einzelne Sekundärquellen nennen für die formale Ratifizierung teils abweichend das Jahr 1947 statt 1946.