Quellen-Tabelle

Der britische Geheimdienst GCHQ drang laut Snowden-Dokumenten und übereinstimmender Recherche von The Intercept, Spiegel und heise online zwischen 2010 und 2011 in das Netz des belgischen Telekomanbieters Belgacom ein und installierte die hochentwickelte Spionagesoftware Regin. Die Angreifer kompromittierten gezielt Systemadministratoren über gefälschte LinkedIn-Seiten und blieben bis zur Entdeckung im Sommer 2012 rund zwei Jahre unbemerkt im Netz. Betroffen waren mindestens 120 Systeme sowie die Tochterfirma BICS, ein internationaler Mobilfunk-Roaming-Knoten.

Die britische Regierung und der GCHQ haben eine Beteiligung nie offiziell bestätigt oder dementiert. Die belgische Strafermittlung mit dem Codenamen Trinity wurde laut The Intercept 2018 ohne Anklage eingestellt. Der genaue Umfang der abgeflossenen Daten und ob die Systembereinigung bei Belgacom je vollständig gelang, bleiben offen.

Der Sicherheitsforscher Trevor Eckhart deckte im November 2011 auf, dass die Diagnosesoftware Carrier IQ auf über 140 Millionen Smartphones, vor allem HTC-Android-Geräten in den USA, installiert war und dort als verstecktes Rootkit Tastatureingaben, Standort und Appnutzung protokollierte, ohne dass Nutzer sie deaktivieren konnten. US-Senator Al Franken und Kongressabgeordneter Edward Markey forderten eine Untersuchung durch FTC und FCC, und mindestens acht Sammelklagen wurden gegen Carrier IQ, HTC, Samsung und Mobilfunkanbieter eingereicht.

Ob Carrier IQ tatsächlich Tastatureingaben im Klartext als Inhalt protokollierte, blieb umstritten. Das Unternehmen bestritt dies und bezeichnete die geloggten Daten als codiert bzw. als Softwarefehler. Ob die angekündigten FTC- oder FCC-Ermittlungen zu förmlichen Anklagen oder Bußgeldern führten und wie die Sammelklagen ausgingen, ist aus den verfügbaren Quellen nicht ersichtlich.

Snowden-Dokumente belegten das geheime NSA-Programm Bullrun, veröffentlicht am 05.09.2013 gemeinsam von ProPublica, New York Times und Guardian. Die NSA kooperierte mit US-Technikfirmen für Hintertüren und schwächte gezielt einen internationalen NIST-Verschlüsselungsstandard von 2006. Zusätzlich betrieb die NSA Datenbanken mit erbeuteten Verschlüsselungsschlüsseln und arbeitete mit Telekommunikationsanbietern an überwachungsfreundlicher Netzinfrastruktur.

Welche Firmen konkret an den Hintertüren mitwirkten, blieb in den veröffentlichten Dokumenten größtenteils geschwärzt. Die genauen Methoden zur Schlüsselbeschaffung wurden nicht offengelegt. Unklar blieb auch, welcher Anteil der weltweit genutzten Verschlüsselung dadurch tatsächlich kompromittiert wurde.

Die belgische Datenschutzbehörde APD/GBA stellte am 2. Februar 2022 fest, dass IAB Europes Transparency and Consent Framework (TCF) für Cookie-Einwilligungen gegen die DSGVO verstößt. Sie verhängte ein Bußgeld von 250.000 Euro und stufte IAB Europe als Mitverantwortlichen für die Verarbeitung der TC-Strings ein, digitale Zeichenketten mit Nutzerpräferenzen, die als personenbezogene Daten gelten. Bemängelt wurden unter anderem eine fehlende Rechtsgrundlage, ein fehlender Datenschutzbeauftragter und eine zu unklare Nutzerinformation.

Offen blieb zum Zeitpunkt der Entscheidung, ob IAB Europe den geforderten Aktionsplan fristgerecht umsetzen würde, da das Unternehmen gegen die Entscheidung beim Brüsseler Marktenhof Berufung einlegte. Wie stark sich das Real-Time-Bidding-Ökosystem mit tausenden beteiligten Werbeunternehmen dadurch tatsächlich änderte, geht aus der Entscheidung selbst nicht hervor.

Samsung Electronics verbot im Mai 2023 firmenweit die Nutzung von ChatGPT, Google Bard und ähnlichen KI-Chatbots auf Firmengeräten und im internen Netzwerk. Auslöser waren mindestens drei Vorfälle in der Halbleitersparte binnen rund drei Wochen, bei denen Mitarbeiter fehlerhaften Fertigungs-Quellcode, Testcode zur Chip-Fehleranalyse und ein internes Meeting-Protokoll in ChatGPT eingaben. Samsung drohte bei Verstößen disziplinarische Maßnahmen bis zur Kündigung an.

Nicht öffentlich bekannt sind die Namen der beteiligten Mitarbeiter und der genaue Umfang des tatsächlich abgeflossenen Codes. Unklar bleibt auch, ob die eingegebenen Daten in spätere ChatGPT-Antworten an andere Nutzer einflossen oder von OpenAI zum Modelltraining verwendet wurden.

Am 12.07.2024 teilte die EU-Kommission X (vormals Twitter) vorläufige Feststellungen mit, wonach das Unternehmen gegen Artikel 25, 39 und 40 Absatz 12 des Digital Services Act verstößt. Beanstandet wurden irreführende Design-Praktiken beim bezahlten Blue Checkmark, mangelnde Transparenz im Werbe-Repository und unzureichender Datenzugang für unabhängige Forscher. Am 05.12.2025 verhängte die Kommission deswegen in ihrer ersten DSA-Bußgeldentscheidung eine Geldstrafe von 120 Millionen Euro gegen X.

Offen bleibt in den amtlichen Mitteilungen, ob und wie X gegen die Entscheidung vorgeht, etwa vor dem Gericht der EU. Die genauen technischen und organisatorischen Nachbesserungen, zu denen X verpflichtet wurde, sind in den Pressemitteilungen nur skizziert, nicht im Detail dokumentiert.

Reddit bestätigte, dass Angreifer am 5. Februar 2023 mittels einer gezielten Phishing-Kampagne die Zugangsdaten eines Mitarbeiters erbeuteten, indem sie eine gefälschte Version des internen Reddit-Intranetportals nutzten. Dadurch erhielten die Angreifer Zugriff auf interne Dokumente, Quellcode sowie einige interne Dashboards und Geschäftssysteme. Der betroffene Mitarbeiter meldete den Vorfall selbst, woraufhin Reddit ihn öffentlich machte.

Nicht öffentlich dokumentiert ist, welche konkreten Quellcode-Bestandteile oder internen Dokumente im Detail abgeflossen sind. Die Identität und Zuordnung der Angreifer zu einer bekannten Gruppe wurde von Reddit nicht bestätigt.

Am 15. Oktober 2022 brach ein Brand im Batterieraum des SK-C&C-Rechenzentrums in Pangyo bei Seoul aus, wodurch die Stromversorgung ausfiel und alle dort gehosteten Server offline gingen. Betroffen waren zahlreiche Kakao-Dienste wie der Messenger KakaoTalk, Kakao T, Kakao Map, Kakao Bank sowie das Portal Daum, wobei zentrale Chatfunktionen erst nach über zehn Stunden wieder liefen. Kakao-Co-CEO Nam-goong Whon trat infolge der öffentlichen Kritik zurück, und der Vorfall führte in Südkorea zur Verabschiedung von Gesetzesänderungen für georedundante Backups.

Die genaue technische Ursache des Brandausbruchs im Batterieraum wurde in den gesichteten Berichten nicht abschließend geklärt. Angaben zur exakten Gesamtdauer bis zur vollständigen Wiederherstellung aller Einzeldienste schwanken zwischen den Quellen.

Die britische Regulierungsbehörde Ofcom hat die Plattform 4chan am 19. März 2026 unter dem UK Online Safety Act mit insgesamt 520.000 Pfund belegt. Davon entfielen 450.000 Pfund auf fehlende Altersverifikation zum Schutz von Kindern vor Pornografie, 50.000 Pfund auf eine unterlassene Risikobewertung illegaler Inhalte und 20.000 Pfund auf unzureichende Nutzungsbedingungen. Ofcom setzte eine Nachbesserungsfrist bis 2. April 2026, danach drohen weitere Tagesstrafen.

Nicht belegt ist, ob 4chan die geforderten Altersprüfungen und Risikobewertungen bis zur gesetzten Frist tatsächlich umgesetzt hat, da das Unternehmen eine Zahlung öffentlich verweigerte und in den USA rechtlich gegen Ofcoms Zuständigkeit vorging.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 4. November 2024 ein Bußgeld von 21,6 Milliarden Won (rund 15,6 Millionen US-Dollar) gegen Meta. Meta hatte zwischen Juli 2018 und März 2022 ohne Einwilligung sensible Daten von rund 980.000 südkoreanischen Facebook-Nutzern zu Religion, politischer Meinung, sexueller Orientierung und Status als nordkoreanische Flüchtlinge gesammelt und an rund 4.000 Werbetreibende weitergegeben.

Offen bleibt, ob einzelne Nutzer durch die Datenweitergabe konkret zu Schaden kamen oder ob Werbetreibende die sensiblen Kategorien gezielt diskriminierend einsetzten. Es war bereits die zweite große PIPC-Strafe gegen Meta nach einem Bußgeld von 30,8 Milliarden Won im Jahr 2022.

Die französische Datenschutzbehörde CNIL stellte am 10. Februar 2022 fest, dass der Einsatz von Google Analytics gegen Art. 44 DSGVO verstößt, weil die Datenübermittlung an Google in die USA nicht ausreichend vor dem Zugriff US-amerikanischer Geheimdienste geschützt ist. Die CNIL erteilte einem französischen Website-Betreiber eine förmliche Mahnung und gab ihm einen Monat Zeit, entweder auf Google Analytics zu verzichten oder ein Tool ohne Datentransfer in die USA zu nutzen. Grundlage waren 101 Musterbeschwerden der Organisation noyb sowie das Schrems-II-Urteil des EuGH.

Der Name des betroffenen Website-Betreibers wurde nicht veröffentlicht, ein Bußgeld wurde in diesem Verfahren nicht verhängt. Offen bleibt, ob der Betreiber die Frist einhielt, spätere Berichte zufolge erteilte die CNIL im April 2022 mindestens drei weiteren Betreibern ähnliche Anordnungen.

Australien verabschiedete am 6. Dezember 2018 den Telecommunications and Other Legislation Amendment (Assistance and Access) Act, der am 8. Dezember 2018 in Kraft trat. Das Gesetz verpflichtet Kommunikationsanbieter über drei Stufen zur Mithilfe bei der Entschlüsselung von Kommunikation, mit Bußgeldern bis zu 10 Millionen australischen Dollar bei Nichtbefolgung. Australien war damit das erste westliche Land mit einer solchen gesetzlichen Verpflichtung, wogegen Apple, Google, WhatsApp und weitere Unternehmen öffentlich protestierten.

Nicht öffentlich dokumentiert ist, in welchem Umfang die australische Regierung tatsächlich Technical Capability Notices erlassen hat, da diese vertraulich gehalten werden können. Offen bleibt zudem, ob einzelne Unternehmen tatsächlich systemische Schwachstellen einbauen mussten, was der Gesetzestext nominell ausschließt.

Der EuGH entschied am 20.09.2022 in den verbundenen Rechtssachen C-793/19 (SpaceNet) und C-794/19 (Telekom Deutschland), dass Unionsrecht einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten entgegensteht, außer bei ernster Bedrohung der nationalen Sicherheit. Die Internetanbieter SpaceNet AG und Telekom Deutschland hatten die Speicherpflicht nach dem deutschen Telekommunikationsgesetz vor deutschen Gerichten angefochten. Das Bundesverwaltungsgericht hatte den Fall im September 2019 dem EuGH zur Vorabentscheidung vorgelegt.

Die tatsächliche Eilaussetzung der Vollzugspraxis erfolgte bereits 2017 durch das OVG Münster, während das Bundesverwaltungsgericht erst am 14.08.2023 endgültig über die Unionsrechtswidrigkeit der deutschen Regelung entschied. Offen blieb nach dem EuGH-Urteil zunächst, wie der deutsche Gesetzgeber die zulässigen Ausnahmen wie IP-Adressenspeicherung oder Quick-Freeze-Verfahren konkret umsetzt.

Die Organisation noyb um Max Schrems reichte am 17.08.2020 101 Beschwerden bei Datenschutzbehörden in allen 30 EWR-Mitgliedstaaten ein, gerichtet gegen europäische Unternehmen, die Google Analytics oder Facebook Connect einsetzen und dadurch Daten in die USA übertragen. Grundlage war das Schrems-II-Urteil des EuGH vom Juli 2020, das den Privacy-Shield-Rahmen für ungültig erklärte. Bei Verstößen drohen laut noyb DSGVO-Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Wie die einzelnen Datenschutzbehörden in den 30 Ländern über die jeweiligen Beschwerden entschieden haben, geht aus der Pressemitteilung nicht hervor. Ob am Ende tatsächlich Bußgelder gegen die betroffenen Unternehmen verhängt wurden, ist nicht dokumentiert.

Am 17. und 18.11.2024 wurden in der Ostsee zwei Unterseekabel beschädigt, das Datenkabel C-Lion1 zwischen Finnland und Deutschland sowie die Verbindung BCS East-West zwischen Schweden und Litauen. Ermittler richteten den Verdacht auf den chinesischen Frachter Yi Peng 3, der laut Recherchen zur Tatzeit die betroffenen Streckenabschnitte passierte und dabei seinen Anker über den Meeresgrund geschleift haben soll. Am 20.12.2024 bestiegen Vertreter aus Deutschland, Schweden, Finnland und Dänemark das Schiff zur Inspektion.

Nicht bewiesen ist, ob die Kabelbeschädigung vorsätzlich erfolgte oder ein Unfall war. China bestreitet jede Verantwortung, westliche Ermittler gehen von einem möglichen Sabotageakt aus, dies aber ausdrücklich unbelegt. Die Ergebnisse der Schiffsinspektion wurden nicht veröffentlicht.

Meta kündigte im Mai 2024 an, ab dem 26.06.2024 öffentliche Inhalte volljähriger Facebook- und Instagram-Nutzer aus der EU auf Grundlage eines berechtigten Interesses für das KI-Training zu verwenden. Die Organisation noyb reichte daraufhin Beschwerden in elf europäischen Ländern ein. Am 14.06.2024 teilte die irische Datenschutzbehörde DPC mit, dass Meta zugesagt habe, die geplante KI-Trainingsnutzung öffentlicher Inhalte erwachsener Nutzer in der EU vorerst auszusetzen.

Ob Metas Zusage rechtlich bindend war, geht aus der Pressemitteilung nicht hervor. Ob und wann Meta das KI-Training mit europäischen Nutzerdaten später wieder aufnahm, ist aus dieser Quelle nicht dokumentiert.

Die US-Kommunikationsbehörde FCC verhängte am 13.04.2012 ein Bußgeld von 25.000 US-Dollar gegen Google wegen Behinderung ihrer Ermittlung zur Sammlung von WLAN-Nutzdaten durch Street-View-Kamerafahrzeuge. Google verzögerte die Herausgabe von E-Mails und weigerte sich zunächst, beteiligte Mitarbeiter zu benennen. Die FCC verzichtete auf eine Sanktion für die eigentliche Datensammlung selbst, da sie keine einschlägige Präzedenz für unverschlüsselten WLAN-Verkehr nach dem Wiretap Act sah.

Wie die Software zur Erfassung der WLAN-Payload-Daten im Detail konzipiert wurde, bleibt unklar, da der zuständige Ingenieur die Aussage verweigerte. Die FCC traf keine rechtliche Feststellung, dass die ursprüngliche Datensammlung selbst gegen US-Recht verstieß.

The Intercept veröffentlichte am 19.02.2015 auf Basis von Snowden-Dokumenten eine Recherche über den sogenannten Great SIM Heist. Ein 2010 gegründetes gemeinsames Team von NSA und GCHQ soll Systeme des niederländischen SIM-Kartenherstellers Gemalto gehackt haben, der jährlich rund zwei Milliarden SIM-Karten fertigt. Über das NSA-Suchsystem XKeyscore verschafften sich die Dienste Zugriff auf private E-Mail-Konten von Gemalto-Ingenieuren und erbeuteten darüber geheime SIM-Verschlüsselungsschlüssel, allein für Somalia wurden bis Juni 2010 rund 300.000 Schlüssel dokumentiert. Gemalto erklärte nach eigener Untersuchung, ein Angriff sei wahrscheinlich, ein massenhafter Diebstahl der Schlüssel selbst lasse sich jedoch nicht belegen.

Gemalto und The Intercept widersprechen sich bis heute im Kernpunkt, ob tatsächlich in großem Stil Schlüssel entwendet wurden. Die genaue Gesamtzahl der weltweit entwendeten SIM-Schlüssel sowie das Ausmaß ihrer Nutzung für konkrete Abhörmaßnahmen sind aus den Dokumenten nicht ersichtlich.

Am 21.10.2016 wurde die DNS-Infrastruktur des US-Anbieters Dyn durch eine mehrwellige DDoS-Attacke gestört, wodurch Twitter, Spotify, Reddit, SoundCloud und weitere Websites auf der US-Ostküste zeitweise nicht erreichbar waren. Die Sicherheitsfirma Flashpoint identifizierte Hinweise auf ein Mirai-basiertes Botnetz aus gekaperten IoT-Geräten wie Sicherheitskameras und Routern als Angriffsquelle. Der Mirai-Quellcode war im September 2016 öffentlich veröffentlicht worden, kurz zuvor hatte dasselbe Botnetz bereits KrebsOnSecurity mit rund 620 Gbit/s angegriffen.

Dieser zeitnahe Bericht nennt weder die genaue Zahl der beteiligten Geräte noch eine exakte Spitzenbandbreite oder gesicherte Täterschaft. Die spätere strafrechtliche Aufarbeitung mit den Schuldbekenntnissen der Mirai-Miturheber im Dezember 2017 ist nicht Gegenstand dieser Quelle.

Das Berufungsgericht des Ninth Circuit bestätigte am 13.03.2025 die Verurteilung des ehemaligen Uber-Sicherheitschefs Joseph Sullivan. Eine Bundesjury hatte Sullivan im Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat verurteilt, weil er ein Ende 2016 entdecktes Datenleck mit Daten von rund 57 Millionen Uber-Nutzern vertuscht hatte. Er hatte den Hackern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm gezahlt und sie eine falsche Verschwiegenheitserklärung unterschreiben lassen.

Ob weitere Uber-Führungskräfte von der Vertuschung wussten, wurde strafrechtlich nie untersucht. Ob die kopierten Nutzerdaten tatsächlich vollständig gelöscht wurden, wie es die Verschwiegenheitserklärung vorsah, ist unklar.

Am 12.12.2024 fand im Rat der EU erneut keine ausreichende Mehrheit für die geplante Chatkontrolle-Verordnung zustande. Deutschland enthielt sich bei der Abstimmung, ebenso Belgien, Luxemburg, Polen, Tschechien, Slowenien, Estland, Finnland, Österreich und die Niederlande, zusammen eine Sperrminorität von mehr als 35 Prozent der EU-Bevölkerung. Damit scheiterte auch die ungarische Ratspräsidentschaft mit ihrem Kompromissvorschlag, nachdem zuvor bereits die belgische Präsidentschaft im Juni 2024 an derselben Hürde gescheitert war.

Eine ursprünglich vermutete Ratsabstimmung im September 2024 mit deutscher Enthaltung ließ sich nicht verifizieren, im September fanden nur Arbeitsgruppentreffen statt. Die hier dokumentierte Abstimmung fand nachweislich erst am 12.12.2024 statt.

Nach der Übernahme von Twitter durch Elon Musk im Oktober 2022 gewährte dieser ab Dezember 2022 ausgewählten Journalisten Zugang zu internen Firmendokumenten. Die Auszüge betreffen unter anderem die Sperrung des Hunter-Biden-Laptop-Berichts im Oktober 2020 und die Sperrung von Donald Trumps Account im Januar 2021. Laut den Dokumenten tauschte der frühere Twitter-Sicherheitschef Yoel Roth zwischen Januar 2020 und November 2022 mehr als 150 E-Mails mit dem FBI aus.

Ob die dokumentierten Kontakte zwischen Twitter und Behörden tatsächlich konkrete Moderationsentscheidungen erzwungen haben, bleibt offen. Mehrere Medien kritisierten die Veröffentlichungen als lückenhaft und gezielt ausgewählt.

Die Große Kammer des EGMR entschied am 25.05.2021 im Fall Big Brother Watch u.a. gegen das Vereinigte Königreich, dass die britische Regelung zur Massenerfassung von Kommunikation (Bulk Interception nach RIPA) sowie die Regeln zur Herausgabe von Kommunikationsdaten gegen Artikel 8 und Artikel 10 EMRK verstießen, da ausreichende gesetzliche Kontrollmechanismen fehlten. Mit 12 zu 5 Stimmen entschied das Gericht, dass der Austausch von Geheimdienstinformationen mit ausländischen Regierungen keinen Konventionsverstoß darstellte. Der Fall geht auf die Snowden-Enthüllungen 2013 über GCHQ zurück.

Das Urteil erklärt Massenüberwachung nicht grundsätzlich für konventionswidrig, sondern formuliert acht Mindestkriterien. Wie das seit 2016 geltende Investigatory Powers Act an diesen Kriterien zu messen ist, bleibt offen, da sich das Urteil noch auf die alte Rechtslage (RIPA) bezog.

Der EGMR entschied am 06.09.1978 im Fall Klass u.a. gegen Deutschland über das deutsche G10-Gesetz von 1968 zur geheimen Überwachung von Post und Telekommunikation. Fünf deutsche Juristen hatten die Regelung angefochten, ohne dass eine konkrete Überwachung ihrer eigenen Person nachgewiesen war. Das Gericht stellte fest, dass keine Verletzung von Artikel 8 oder 13 EMRK vorlag, da das G10-Gesetz mit der G10-Kommission ausreichende Kontrollmechanismen vorsehe. Es war das erste EGMR-Urteil zur grundsätzlichen Vereinbarkeit geheimer Überwachungsgesetze mit der Menschenrechtskonvention.

Das Urteil erklärte nicht pauschal jede Form geheimer Überwachung für konventionskonform, sondern nur die damalige Fassung des G10-Gesetzes. Ob die Beschwerdeführer selbst tatsächlich abgehört wurden, blieb offen.

Die Große Kammer des EGMR urteilte am 04.12.2015 einstimmig, dass das russische Überwachungssystem SORM gegen Artikel 8 EMRK verstößt. Russische Mobilfunkanbieter sind verpflichtet, Technik zu installieren, die Sicherheitsbehörden direkten Zugriff auf die Telekommunikation aller Nutzer ermöglicht, ohne wirksame vorherige richterliche Kontrolle. Der Gerichtshof ließ die Beschwerde bereits wegen der abstrakten Möglichkeit der Erfassung als Mobilfunknutzer zu, ohne dass eine konkrete eigene Überwachung nachgewiesen werden musste.

Ob Roman Zakharov selbst tatsächlich überwacht wurde, ist nicht belegt, die Beschwerde richtete sich abstrakt gegen die Rechtslage. Russland erkennt seit dem Ausschluss aus dem Europarat 2022 keine Bindung an EGMR-Entscheidungen mehr an.