Quellen-Tabelle

Am 05.06.2013 veröffentlichte The Guardian einen geheimen Gerichtsbeschluss des Foreign Intelligence Surveillance Court, erlassen am 25.04.2013 von Richter Roger Vinson, der Verizon Business Network Services zur täglichen elektronischen Übermittlung sämtlicher Anrufmetadaten an die NSA verpflichtete. Erfasst wurden Rufnummern, Anschlusskennungen, Standortdaten sowie Zeitpunkt und Dauer der Gespräche, jedoch nicht die Gesprächsinhalte selbst. Die Anordnung betraf sowohl Inlandsgespräche als auch Verbindungen zwischen den USA und dem Ausland und galt für drei Monate bis zum 19.07.2013. Rechtsgrundlage war Section 215 des USA PATRIOT Act. Quelle des Dokuments war der ehemalige NSA-Vertragsmitarbeiter Edward Snowden. Der Verizon-Beschluss war das erste von zahlreichen geheimen Dokumenten, die Snowden dem Journalisten Glenn Greenwald zuspielte und die in den folgenden Wochen das Ausmaß globaler NSA-Überwachungsprogramme wie PRISM offenlegten. Der Gerichtsbeschluss selbst trug den Vermerk, dass er bis zum Jahr 2038 geheim gehalten werden sollte.

Aus dem veröffentlichten Gerichtsbeschluss allein geht nicht hervor, wie viele Kunden oder Anrufe konkret erfasst wurden und in welchem Umfang die NSA die Daten praktisch auswertete.

Der Sicherheitsforscher Moxie Marlinspike gründete 2010 gemeinsam mit dem Robotik-Ingenieur Stuart Anderson die Firma Whisper Systems, die mit TextSecure und RedPhone verschlüsselte Kurznachrichten und Telefonate für Mobiltelefone entwickelte. Twitter übernahm Whisper Systems im November 2011 und veröffentlichte beide Anwendungen anschließend als Open-Source-Software. Am 21.01.2013 gründete Marlinspike die Organisation Open Whisper Systems, um die Weiterentwicklung von TextSecure und RedPhone fortzuführen. Ab 2013 entwickelten Trevor Perrin und Moxie Marlinspike gemeinsam ein neues kryptografisches Verfahren, das zunächst als Axolotl Ratchet bezeichnet wurde. Am 24.02.2014 veröffentlichte Open Whisper Systems TextSecure Version 2, die erstmals den Axolotl Ratchet einsetzte. Im Juli 2014 erschien mit Signal für iOS eine erste eigenständige App für verschlüsselte Telefonate. Am 02.11.2015 verschmolzen TextSecure und RedPhone auf Android zur einheitlichen App Signal. Im März 2016 benannte Open Whisper Systems das Verfahren offiziell in Signal Protokoll um. Forscher der Ruhr-Universität Bochum bestätigten im Oktober 2014 in einer unabhängigen Sicherheitsanalyse die grundsätzliche Sicherheit von TextSecure Version 3. WhatsApp integrierte das Signal Protokoll ab November 2014 und schloss die durchgängige Verschlüsselung für alle Nutzer am 05.04.2016 ab.

Aus dieser Quelle nicht belegt sind exakte Nutzerzahlen von TextSecure und Signal zum jeweiligen Zeitpunkt sowie Details zu internen Entscheidungsprozessen bei Open Whisper Systems.

Das Konzept des Onion Routing wurde ab 1995 von den Forschern Paul Syverson, Michael Reed und David Goldschlag am US Naval Research Laboratory (NRL) in Washington D.C. entwickelt, zunächst finanziert vom Office of Naval Research und ab 1997 zusätzlich von der Forschungsagentur DARPA. Ziel war der Schutz der Kommunikation von US-Geheimdienstmitarbeitern und Militärpersonal vor Verkehrsanalyse im Internet. In den frühen 2000er Jahren stießen die MIT-Absolventen Roger Dingledine und Nick Mathewson zum NRL-Projekt hinzu und entwickelten den Code zum heutigen Tor-Netzwerk weiter. Am 20.09.2002 wurde eine erste Alpha-Version veröffentlicht, im Oktober 2002 erfolgte das initiale Deployment mit Freigabe des Quellcodes unter einer freien Open-Source-Lizenz. Ende 2003 bestand das Netzwerk aus rund einem Dutzend freiwillig betriebenen Relay-Knoten. Ende 2004 reduzierte die US-Navy den Großteil ihrer Tor-Finanzierung, woraufhin die Electronic Frontier Foundation Dingledine und Mathewson von November 2004 bis Oktober 2005 mit 180.000 US-Dollar finanzierte. Im Jahr 2006 wurde The Tor Project Inc. als eigenständige gemeinnützige Organisation in den USA gegründet.

Aus dieser Quelle nicht im Detail belegt sind die genauen internen Gründe der US-Navy für die Kürzung der Finanzierung Ende 2004 sowie das exakte Ausmaß einer bis heute fortbestehenden indirekten Finanzierung von Tor durch US-Regierungsstellen.

Der US-amerikanische Programmierer Philip R. Zimmermann veröffentlichte am 05.06.1991 die Verschlüsselungssoftware PGP (Pretty Good Privacy) kostenlos im Usenet, von wo sie sich weltweit über das Internet verbreitete. Da starke Kryptografie in den USA damals nach dem Arms Export Control Act als Rüstungsgut auf der United States Munitions List galt, leitete der U.S. Customs Service im Februar 1993 strafrechtliche Ermittlungen gegen Zimmermann ein. Eine Grand Jury im Bezirk Nordkalifornien prüfte, ob die weltweite Verfügbarkeit von PGP über das Internet einen nicht genehmigten Waffenexport darstellte. Bei einer Verurteilung drohten Zimmermann bis zu fünf Jahre Haft sowie Geldstrafen von bis zu einer Million US-Dollar. Die Ermittlungen dauerten rund drei Jahre und führten nie zu einer Anklage. Am 11.01.1996 teilte Assistant U.S. Attorney William Keane mit, dass die Staatsanwaltschaft auf eine strafrechtliche Verfolgung verzichte. Zimmermann veröffentlichte diese Mitteilung am 12.01.1996 auf seiner Webseite. Die Behörden gaben keine öffentliche Begründung für die Einstellung der Ermittlungen ab. Der Fall gilt als eines der zentralen Ereignisse der sogenannten Kryptokriege der 1990er Jahre in den USA.

Aus dieser Quelle nicht belegt sind die internen Erwägungen der Staatsanwaltschaft für die Einstellung des Verfahrens sowie ob parallel auch gegen andere an der Verbreitung von PGP beteiligte Personen ermittelt wurde.

Am 11.02.2020 veröffentlichten die Washington Post, das ZDF und das Schweizer Fernsehen SRF gemeinsame Recherchen zur sogenannten Operation Rubikon. Demnach kauften der US-Geheimdienst CIA und der deutsche Bundesnachrichtendienst (BND) 1970 gemeinsam für 8,5 Millionen US-Dollar die Schweizer Verschlüsselungsfirma Crypto AG und kontrollierten sie bis 1993 heimlich, danach führte die CIA das Geschäft allein bis 2018 fort. Die Dienste bauten absichtlich geschwächte Algorithmen in die verkauften Chiffriergeräte ein und konnten so die Kommunikation von mehr als 120 Staaten mitlesen, darunter NATO- und EU-Mitglieder sowie der Vatikan. Laut den ausgewerteten internen Unterlagen stammten zeitweise rund 40 Prozent der von der NSA entschlüsselten Auslandskommunikation aus Crypto-AG-Geräten. Der BND stieg 1993 aus dem Geschäft aus, nachdem im März 1992 im Iran der Crypto-AG-Vertreter Hans Bühler wegen Spionageverdachts festgenommen worden war, und verkaufte seinen Anteil für 17 Millionen US-Dollar. Die CIA veräußerte ihre verbliebenen Vermögenswerte 2017/2018 für schätzungsweise 50 bis 70 Millionen US-Dollar. Die Geschäftsprüfungsdelegation des Schweizer Parlaments veröffentlichte ihren Abschlussbericht am 10.11.2020.

Die genaue Zahl der betroffenen Staaten schwankt je nach Quelle zwischen rund 120 und über 130, und ob einzelne beteiligte Länder informell informiert waren, ist nicht abschließend geklärt.

Am 21.10.2016 wurde der US-amerikanische DNS-Dienstleister Dyn Ziel dreier aufeinanderfolgender DDoS-Angriffswellen zwischen etwa 11:10 und 22:10 Uhr UTC. Die Angriffe erfolgten über das Mirai-Botnet, das aus gekaperten Internet-of-Things-Geräten wie IP-Kameras, Routern und digitalen Videorekordern bestand, die über werkseitig voreingestellte Standardpasswörter infiziert worden waren. Dyn erklärte, Anfragen von zig Millionen IP-Adressen empfangen zu haben. Durch den Ausfall von Dyns DNS-Infrastruktur waren mehr als 100 Internetdienste in Nordamerika und Teilen Europas zeitweise nicht erreichbar, darunter Twitter, Netflix, Reddit, Spotify, Amazon, PayPal, GitHub und Airbnb. Die Gruppen New World Hackers und SpainSquad reklamierten die Verantwortung für sich und nannten als Motiv eine Vergeltung für die Einschränkung des Internetzugangs von Julian Assange. Das US-Heimatschutzministerium und das FBI leiteten Ermittlungen ein. Am 13.12.2017 bekannten sich mehrere junge Männer in den USA im Zusammenhang mit der Mirai-Schadsoftware schuldig, am 09.12.2020 folgte ein weiteres Schuldbekenntnis einer zum Tatzeitpunkt minderjährigen Person.

Die genaue Anzahl der am Angriff beteiligten Geräte sowie die exakte Spitzenbandbreite wurden von Dyn nie offiziell mit verbindlichen Zahlen bestätigt. Wer den Angriff auf Dyn konkret initiierte, ist bis heute nicht abschließend geklärt.

Am 19.07.2008 wurde die Website des georgischen Präsidenten Micheil Saakaschwili erstmals durch einen DDoS-Angriff für rund 24 Stunden lahmgelegt. Am 08.08.2008, dem Tag des Einmarschs russischer Truppen in Südossetien, begann eine deutlich umfangreichere zweite Welle koordinierter Cyberangriffe gegen georgische Ziele. Bis zum 10.08.2008 waren die meisten Websites der georgischen Regierung durch DDoS-Attacken nicht mehr erreichbar, betroffen waren unter anderem das Parlament, die Nationalbank sowie Banken und Telekommunikationsanbieter. Am 11.08.2008 wurde die Präsidentenwebsite zusätzlich defaced und mit Bildmontagen versehen, die Saakaschwili mit Adolf Hitler verglichen. Sicherheitsforscher identifizierten sechs verschiedene Botnetze sowie eine in russischer Sprache programmierte DDoS-Steuerungssoftware namens MachBot. Als mutmaßlicher Organisator gilt das Russian Business Network aus Sankt Petersburg, die russische Regierung bestritt jede Verantwortung. Die georgische Regierung wich während der Angriffe auf Google Blogger und Server in den USA aus, Estland bot zusätzliches Hosting an. Die Ereignisse gelten als der erste dokumentierte Fall koordinierter Cyberangriffe parallel zu einer konventionellen Militäroperation.

Eine gerichtsfeste Zuordnung der Angriffe zu russischen Behörden oder dem russischen Militär ist bis heute nicht belegt, strafrechtliche Konsequenzen sind nicht dokumentiert. Ebenso fehlt eine verifizierte Gesamtzahl der betroffenen Websites oder ein bezifferter wirtschaftlicher Schaden.

Bei Protesten gegen einen Neonazi-Aufmarsch am 19. Februar 2011 in der Dresdner Südvorstadt ordnete das Amtsgericht Dresden eine Funkzellenabfrage an, durch die Hunderttausende Verkehrsdaten und Zehntausende Bestandsdaten von Demonstranten, Anwohnern, Journalisten und Anwälten erfasst wurden. Das Landgericht Dresden erklärte mit Beschluss vom 17.04.2013 die zugrunde liegende Anordnung des Amtsgerichts vom 25.02.2011 für rechtswidrig, weil sie nicht ausreichend begründet war und der strafprozessuale Bestimmtheitsgrundsatz verletzt wurde. Die erhobenen Daten mussten daraufhin gelöscht werden.

Offen bleibt die exakte Gesamtzahl der insgesamt betroffenen Personen, da mehrere separate Funkzellenabfragen zu unterschiedlichen Zeiten und Gebieten liefen und Quellen unterschiedliche Teilzahlen nennen. Das Landgericht prüfte nur formale Mängel der richterlichen Anordnung, keine inhaltliche Verhältnismäßigkeit der Maßnahme an sich. Nicht abschließend dokumentiert ist, ob die angeordnete Löschung der Daten bei allen beteiligten Behörden tatsächlich umgesetzt wurde.

Das BKA erwarb 2020 Lizenzen für die Spähsoftware Pegasus der israelischen NSO Group und bestätigte den Einsatz 2021 im Bundestag. Laut WDR und Tagesschau installierten Ermittler am 31. Oktober 2022 heimlich Staatstrojaner-Software auf dem Mobiltelefon von Heinrich XIII. Prinz Reuss im Ermittlungsverfahren gegen die mutmaßliche Reichsbürger-Terrorgruppe. Dabei wurden rund einen Monat lang Daten inklusive Telegram-Chats abgegriffen, die Gruppe wurde am 7. Dezember 2022 festgenommen.

Ob im Fall Reuss konkret die NSO-Software Pegasus oder eine andere Staatstrojaner-Variante zum Einsatz kam, hat das BKA nie bestätigt und lehnte eine Stellungnahme aus einsatztaktischen Gründen ab. Der Kaufvertrag mit NSO, die genauen Kosten und die vollständige rechtliche Grundlage der Maßnahme wurden trotz mehrerer Klagen von netzpolitik.org und einer Datenschutzbeschwerde der GFF bis heute nicht offengelegt.

FBI und CISA bestätigten in einer gemeinsamen Erklärung, dass die mutmaßlich chinesische Hackergruppe Salt Typhoon mehrere US-Telekommunikationsanbieter kompromittiert hat, darunter AT&T, Verizon und Lumen Technologies. Die Angreifer erlangten Zugriff auf Anrufmetadaten, auf gerichtlich angeordnete Abhörsysteme der Strafverfolgungsbehörden sowie auf private Kommunikation einzelner Regierungsvertreter und Politiker.

Genauer Umfang und Dauer des Angriffs blieben in der gemeinsamen Erklärung von FBI und CISA offen. Unklar blieb auch die tatsächliche Zahl der betroffenen Personen, Schätzungen reichten von rund 40 gezielten Zielen bis zu über tausend Betroffenen.

AT&T bestätigte am 12.07.2024 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC, dass Angreifer zwischen dem 14. und 25.04.2024 unbefugt auf einen AT&T-Arbeitsbereich bei einem Cloud-Anbieter zugriffen. Sie entwendeten Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 Millionen AT&T-Mobilfunkkunden aus dem Zeitraum Mai bis Oktober 2022 sowie vom 02.01.2023. Erfasst waren Telefonnummern, Kontakthäufigkeit, Gesprächsdauer und teils Mobilfunkmasten-Kennungen, laut AT&T aber keine Namen, Sozialversicherungsnummern oder Gesprächsinhalte.

Die SEC-Mitteilung selbst nennt nicht, wer hinter dem Angriff steckt oder ob die gestohlenen Daten inzwischen veröffentlicht wurden. Eine später von Journalisten berichtete Lösegeldzahlung von AT&T an die Gruppe ShinyHunters ist in der Pflichtmitteilung nicht erwähnt und stützt sich auf andere Quellen. Der genaue Zusammenhang mit dem umfassenderen Sicherheitsvorfall beim Cloud-Anbieter Snowflake bleibt in der AT&T-Mitteilung offen.

Französische und niederländische Ermittler infiltrierten und entschlüsselten ab April 2020 mit Unterstützung von Europol und Eurojust das verschlüsselte Kommunikationsnetz EncroChat, das vorrangig von organisierten Kriminellen genutzt wurde. Millionen Nachrichten wurden bis zum Abbruch der Überwachung am 13.06.2020 in Echtzeit mitgelesen. In den Niederlanden führte dies zu über 60 Festnahmen sowie Beschlagnahmungen von mehr als 10.000 kg Kokain, 1.500 kg Crystal Meth und rund 20 Millionen Euro Bargeld, weitere Festnahmen erfolgten unter anderem in Großbritannien, Schweden und Norwegen.

Die Pressemitteilung nennt für den Stichtag 02.07.2020 keine europaweite Gesamtzahl der Festnahmen und legt die genaue technische Methode der Entschlüsselung nicht offen. Offen bleibt zudem, wie viele der später vor Gericht verwendeten Beweise in einzelnen EU-Staaten rechtlich Bestand hatten, da dies je nach nationalem Recht unterschiedlich beurteilt wurde.

Das FBI und internationale Partnerbehörden aus 16 Ländern, darunter Europol und die australische AFP, betrieben ab 2018 verdeckt den Kryptohandy-Dienst Anom, der bei Kriminellen als abhörsicher galt. Rund 12.000 Geräte wurden an etwa 300 kriminelle Gruppen weltweit verkauft. Bei der Bekanntgabe am 8. Juni 2021 meldeten die Behörden über 800 Festnahmen, mehr als 27 Millionen mitgelesene Nachrichten sowie Sicherstellungen von mehreren Tonnen Drogen, Hunderten Schusswaffen und rund 48 Millionen US-Dollar in bar.

Nicht vollständig offengelegt ist, wie die technische Verschlüsselungshintertür im Detail funktionierte und welche genaue Rolle die ursprüngliche Vertrauensperson bei der Entwicklung von Anom spielte. Offen bleibt zudem, wie viele der weltweiten Anom-Nutzer am Ende tatsächlich in nationalen Strafverfahren rechtskräftig verurteilt wurden.

Die österreichische Datenschutzbehörde (DSB) entschied in einem am 13.01.2022 veröffentlichten Teilbescheid zu einer noyb-Musterbeschwerde, dass der Einsatz von Google Analytics auf einer österreichischen Website gegen Art. 44 DSGVO verstößt. Die Behörde stufte die von Google eingesetzten technischen Zusatzmaßnahmen als unwirksam gegen den Zugriff US-Geheimdienste ein und berief sich dabei auf das Schrems-II-Urteil des EuGH von 2020. Es war die erste von insgesamt 101 Musterbeschwerden, die noyb 2020 EU-weit gegen Websites mit Google Analytics eingereicht hatte.

Der Bescheid war zum Zeitpunkt der Berichterstattung nicht rechtskräftig, ein Bußgeld gegen den Website-Betreiber wurde nicht verhängt. Offen blieb, wie die DSB gegen Google LLC als Datenempfänger weiter vorgeht und welche praktischen Konsequenzen sich daraus für andere Website-Betreiber in Österreich und der EU ergeben.

Der Europäische Gerichtshof erklärte am 16. Juli 2020 im Fall C-311/18 (Data Protection Commissioner gegen Facebook Ireland und Maximillian Schrems) den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Grund war, dass US-Überwachungsgesetze keinen mit der EU vergleichbaren Schutz vor behördlichem Datenzugriff garantieren. Die Standardvertragsklauseln aus Beschluss 2010/87 blieben dagegen grundsätzlich gültig, sofern Unternehmen den Datenschutz im Zielland im Einzelfall prüfen.

Die Pressemitteilung des Gerichtshofs nennt keine Zahl der Unternehmen oder Nutzer, deren Datentransfers durch das Urteil unmittelbar betroffen waren. Offen bleibt auch, wie Unternehmen die geforderte Einzelfallprüfung der Standardvertragsklauseln in der Praxis konkret umsetzen sollten, das regelte erst spätere Aufsichtspraxis.

Der EuGH (Große Kammer) entschied am 06.10.2020 in den verbundenen Rechtssachen C-511/18, C-512/18 und C-520/18, dass EU-Recht einer nationalen Regelung entgegensteht, die Anbieter elektronischer Kommunikationsdienste zu einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten verpflichtet. Zulässig bleiben demnach nur zeitlich befristete, auf bestimmte Personen oder geografische Gebiete beschränkte Speicherungen bei schwerer Kriminalität oder konkreten Bedrohungen der nationalen Sicherheit, sowie eine allgemeine Speicherung von IP-Adressen zur Bekämpfung schwerer Straftaten unter strengen Voraussetzungen.

Nicht Gegenstand dieser Pressemitteilung sind die konkrete Umsetzung durch Frankreich und Belgien in der Folgezeit sowie technische Detailfragen der Speicherfristen. Offen blieb zudem, wie einzelne Mitgliedstaaten wie Deutschland ihre eigene Vorratsdatenspeicherungsregelung anpassen mussten; dies wurde erst in Folgeurteilen wie SpaceNet und Telekom Deutschland vom 20.09.2022 konkretisiert.

Ein Athener Gericht verurteilte am 26. Februar 2026 vier Verantwortliche der Spyware-Firma Intellexa, darunter Firmengründer Tal Dilian, wegen unbefugten Zugriffs auf Kommunikationssysteme und Verletzung des Kommunikationsgeheimnisses mittels der Predator-Software. Der zugrunde liegende Skandal wurde 2022 bekannt, als der Journalist Thanasis Koukakis und der Oppositionspolitiker Nikos Androulakis als Überwachungsziele identifiziert wurden. Laut Gericht waren Dutzende Personen betroffen, darunter Journalisten, Politiker und Geschäftsleute; es handelt sich um die ersten Verurteilungen in diesem Fall.

Wer die Überwachung tatsächlich anordnete und wer sie politisch verantwortete, blieb strafrechtlich ungeklärt. Griechische Staatsanwälte entlasteten 2024 Regierungsstellen und staatliche Amtsträger, obwohl laut HRW dokumentierte Hinweise auf deren Beteiligung vorlagen. Die Verurteilten legten Berufung ein, die verhängten Haftstrafen sind bis zur endgültigen Entscheidung ausgesetzt.

Die Europäische Kommission stellte am 10. Juli 2023 per Angemessenheitsbeschluss fest, dass die USA im Rahmen des Data Privacy Framework ein der EU vergleichbares Datenschutzniveau bieten. Grundlage ist eine US-Exekutivverordnung, die den Zugriff von Geheimdiensten auf Daten aus der EU auf das notwendige und verhältnismäßige Maß begrenzen soll, sowie ein neu geschaffenes Rechtsbehelfsgremium namens Data Protection Review Court. Auf dieser Basis dürfen EU-Unternehmen wieder personenbezogene Daten an selbstzertifizierte US-Unternehmen übermitteln.

Nicht belegt ist, ob der Data Protection Review Court in der Praxis wirksamen Rechtsschutz bietet, da Betroffene dort keine Akteneinsicht erhalten und Entscheidungen nicht öffentlich begründet werden. Die Datenschutzorganisation noyb um Max Schrems kündigte bereits vor Inkrafttreten eine gerichtliche Anfechtung an. Eine erste Klage vor dem Gericht der EU wurde 2024 abgewiesen, ob eine weitere Prüfung durch den EuGH das Abkommen kippt, war zum Zeitpunkt der Recherche noch offen.

Das Büro des Attorney General von Arizona einigte sich am 04.10.2022 mit Google auf eine Zahlung von 85 Millionen US-Dollar zur Beilegung einer im Mai 2020 eingereichten Klage. Die Klage warf Google vor, Standortdaten von Android-Nutzern über Funktionen wie Web & App-Aktivität weiter zu sammeln und für Werbung zu nutzen, selbst wenn Nutzer die Einstellung Standortverlauf deaktiviert hatten, und dafür irreführende Bedienoberflächen einzusetzen. Auslöser der Ermittlung war eine AP-Recherche vom August 2018.

Nicht belegt durch diese Quelle ist, wie viele einzelne Nutzer in Arizona konkret betroffen waren oder welchen genauen wirtschaftlichen Vorteil Google aus den weitergesammelten Daten zog. Offen bleibt außerdem das Verhältnis zum separaten Vergleich Googles mit 40 US-Bundesstaaten über 391,5 Millionen US-Dollar vom November 2022, der denselben Sachverhalt betraf.

Hacker erbeuteten 2016 Daten von 57 Millionen Uber-Nutzern und Fahrern, darunter rund 600.000 US-Führerscheinnummern. Uber-Sicherheitschef Joe Sullivan zahlte den Erpressern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm und ließ sie eine falsche Verschwiegenheitserklärung unterschreiben, die den Datenabfluss verneinte. Ein Bundesgericht in San Francisco verurteilte Sullivan am 5. Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat, im Mai 2023 folgten drei Jahre Bewährung, 50.000 Dollar Geldstrafe und 200 Stunden gemeinnützige Arbeit.

Ob weitere Uber-Führungskräfte, etwa der damalige CEO Travis Kalanick, von der Vertuschung wussten oder sie billigten, wurde strafrechtlich nicht verfolgt. Unklar bleibt zudem, ob die von den Hackern kopierten Daten tatsächlich vollständig gelöscht wurden, obwohl dies vertraglich zugesichert war.

Am 25.10.2018 verhängte die britische Datenschutzbehörde ICO gegen Facebook eine Geldbuße von 500.000 Pfund, die nach dem damals geltenden Data Protection Act 1998 höchstmögliche Strafe. Die ICO stellte fest, dass Facebook zwischen 2007 und 2014 App-Entwicklern ohne ausreichende Rechtsgrundlage Zugriff auf Nutzerdaten gewährte, wovon auch Facebook-Freunde von App-Nutzern betroffen waren. Betroffen waren schätzungsweise 87 Millionen Facebook-Nutzer weltweit, deren Daten über die App This Is Your Digital Life an Cambridge Analytica gelangten.

Aus den Quellen geht die genaue rechtliche Detailbegründung der ICO nicht vollständig hervor, ebenso bleibt offen, warum die parallele Prüfung der Hamburger Datenschutzaufsicht ohne eigene Sanktion eingestellt wurde. Ob die 500.000-Pfund-Strafe angesichts von 87 Millionen Betroffenen abschreckend wirkte, ist umstritten, da unter der seit 25.05.2018 geltenden DSGVO deutlich höhere Bußgelder möglich gewesen wären, die Tat aber davor lag.

WikiLeaks veröffentlichte ab dem 28. November 2010 zusammen mit Medien wie The Guardian, der New York Times und dem Spiegel rund 250.000 geheime Depeschen US-amerikanischer Botschaften, bekannt als Cablegate. Laut einer der Depeschen wies US-Außenministerin Hillary Clinton Diplomaten im Juli 2009 an, technische Daten zu UN-Kommunikationssystemen sowie biometrische und persönliche Informationen hochrangiger UN-Vertreter zu beschaffen, etwa Passwörter, Verschlüsselungscodes, Kreditkarten- und Vielfliegernummern. UN-Botschafterin Susan Rice wies die Vorwürfe zurück.

Ob die Anweisung zur Datensammlung tatsächlich umgesetzt wurde und wie viele UN-Vertreter konkret betroffen waren, geht aus der Quelle nicht hervor. Die Selbstdarstellung der UN-Seite als reine diplomatische Tätigkeit und die Spionagevorwürfe aus der Depesche stehen sich damit unbestätigt gegenüber.

Der AT&T-Techniker Mark Klein deckte 2006 auf, dass die NSA in einem geheimen Raum namens 641A in der AT&T-Vermittlungsstelle in San Francisco per Glasfaser-Beam-Splittern und einem Narus-Gerät den gesamten Internet-Backbone-Verkehr kopieren ließ, seit 2003 in Betrieb. Die von Klein vorgelegten internen AT&T-Dokumente bildeten die Grundlage der Klage Hepting v. AT&T, die die EFF am 31. Januar 2006 einreichte. Ein Bundesrichter wies im Juli 2006 den Antrag der Regierung ab, die Klage per Staatsgeheimnis-Privileg abzuweisen.

Offen blieb, wie viele weitere solcher Räume es bei anderen Telekommunikationsanbietern landesweit gab, da sich die Regierung durchgehend auf das Staatsgeheimnis-Privileg berief. Zu einer inhaltlichen gerichtlichen Klärung der Rechtmäßigkeit kam es nie: Der Kongress gewährte den Telekomfirmen 2008 rückwirkende Immunität, Hepting v. AT&T wurde 2011 abgewiesen.

Der verschlüsselte E-Mail-Dienst Lavabit wurde im Juni 2013 per Gerichtsbeschluss gezwungen, seine privaten SSL-Schlüssel an US-Behörden herauszugeben, um Metadaten des Nutzers Edward Snowden zu erfassen. Gründer Ladar Levison übergab die Schlüssel zunächst nur als unleserlichen 11-seitigen Ausdruck in 4-Punkt-Schrift, wurde mit 5000 Dollar Tagesstrafe belegt und schloss den Dienst mit rund 410.000 registrierten Nutzern im August 2013 vollständig, statt die Verschlüsselung aller Kunden zu kompromittieren.

Nicht abschließend gerichtlich geklärt wurde die grundsätzliche Frage, ob die Herausgabepflicht für private Master-Schlüssel überhaupt rechtmäßig war, da das Berufungsgericht 2014 nur die Verfahrensfehler von Levisons Einspruch prüfte. Unklar bleibt auch, welche Daten anderer Lavabit-Nutzer die Behörden durch den erzwungenen Schlüsselzugriff tatsächlich einsehen konnten.

Der von Bundestag und Bundesregierung eingesetzte Sonderermittler Kurt Graulich stellte im Oktober 2015 fest, dass der BND von der NSA gelieferte Selektoren zur Überwachung nutzte, von denen bis zu 40.000 von rund einer Million gegen westeuropäische und deutsche Ziele gerichtet waren. Darunter befanden sich knapp 70 Telefonnummern der Rüstungskonzerne EADS und Eurocopter. Der Bericht bestätigte Verstöße gegen das geheime Memorandum of Agreement von 2002 und gegen deutsches Recht.

Ob die NSA mit den EADS- und Eurocopter-Selektoren gezielt Wirtschaftsspionage betrieb oder nur militärische Aufklärung verfolgte, konnte der Bericht nicht abschließend klären. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss nie vorgelegt, da das Bundesverfassungsgericht 2016 entschied, dass die Bundesregierung sie zurückhalten darf.