Quellen-Tabelle

Das Bundesverfassungsgericht erklärte am 02.03.2010 mit Urteil des Ersten Senats die Regelungen zur Vorratsdatenspeicherung in den §§ 113a und 113b Telekommunikationsgesetz sowie § 100g Strafprozessordnung für nichtig. Die Vorschriften waren durch das Gesetz zur Neuregelung der Telekommunikationsüberwachung vom 21.12.2007 eingeführt worden und setzten die EU-Richtlinie 2006/24/EG um. Sie verpflichteten Telekommunikationsanbieter, sämtliche Verkehrsdaten aus Telefonie, Fax, SMS, E-Mail und Internetnutzung sechs Monate lang anlasslos zu speichern. Gegen das Gesetz hatten 34.939 Bürgerinnen und Bürger eine vom Arbeitskreis Vorratsdatenspeicherung koordinierte Sammelverfassungsbeschwerde eingereicht, die größte in der Geschichte der Bundesrepublik. Das Gericht sah in der anlasslosen Speicherung praktisch aller Verkehrsdaten einen besonders schweren Eingriff in das Fernmeldegeheimnis nach Art. 10 Abs. 1 Grundgesetz, da sich daraus aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen ließen. Als Mängel benannte der Senat unzureichende Datensicherheit, eine zu weite Zweckbindung, fehlende Transparenzpflichten und unzureichenden Rechtsschutz. Das Gericht ordnete die unverzügliche Löschung aller bereits gespeicherten Daten an.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Am 21.06.2013 veröffentlichte The Guardian auf Basis von Dokumenten des ehemaligen NSA-Mitarbeiters Edward Snowden Details zum Programm Tempora des britischen Geheimdienstes GCHQ. Tempora wurde ab 2008 getestet und war seit Ende 2011 im Wirkbetrieb. Der Geheimdienst hatte Abhörsonden an mehr als 200 transatlantischen Glasfaserkabeln angebracht, über die ein Großteil des internationalen Telefon- und Internetverkehrs zwischen Europa und Nordamerika läuft. Jede Sonde konnte anfangs bis zu 10 Gigabit Daten pro Sekunde erfassen, laut Guardian ließen sich damit täglich bis zu 600 Millionen Kommunikationsvorgänge auswerten. Inhaltsdaten wie Telefonate und E-Mails wurden bis zu drei Tage, Metadaten bis zu 30 Tage gespeichert und durchsuchbar gehalten. Ein zentraler Anlandepunkt der abgehörten Kabel lag im britischen Bude in Cornwall. Nach den Dokumenten hatten im Mai 2012 rund 300 GCHQ- und 250 NSA-Analysten Zugriff auf die gesammelten Daten. Im September 2018 stufte der Europäische Gerichtshof für Menschenrechte das britische Massenüberwachungsprogramm als rechtswidrig ein.

Die genaue Zahl von 600 Millionen täglich erfassten Kommunikationsvorgängen sowie Details zur rechtlichen Grundlage stammen aus als geheim eingestuften Dokumenten und wurden von GCHQ nie offiziell bestätigt oder dementiert.

Am 6. Oktober 2015 erklärte der Gerichtshof der Europäischen Union in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission vom 26. Juli 2000 für ungültig. Kläger war der österreichische Staatsbürger Maximillian Schrems, dessen Daten von der irischen Facebook-Tochtergesellschaft auf Server in den USA übertragen wurden. Schrems hatte 2013 nach den Enthüllungen Edward Snowdens über die Überwachungspraktiken der NSA bei der irischen Datenschutzbehörde Beschwerde eingelegt. Der EuGH stellte fest, dass US-Unternehmen im Rahmen des Safe-Harbor-Systems verpflichtet waren, dessen Schutzregeln zurückzustellen, sobald nationale Sicherheit entgegenstand, und dass US-Behörden selbst nicht an das System gebunden waren. Eine Regelung, die Behörden generalisierten Zugriff auf den Inhalt elektronischer Kommunikation erlaube, verletze den Wesensgehalt des Rechts auf Achtung des Privatlebens. Als Nachfolgeregelung handelte die EU-Kommission das EU-US Privacy Shield aus, das der EuGH am 16. Juli 2020 im Verfahren Schrems II ebenfalls für ungültig erklärte.

Die Pressemitteilung nennt keine Zahl der von der Ungültigkeitserklärung betroffenen Unternehmen oder Nutzer und lässt offen, wie die irische Datenschutzbehörde die Beschwerde von Schrems im Anschluss konkret entschied.

Der Investigatory Powers Act 2016, im Vereinigten Königreich als Snoopers Charter bekannt, erhielt am 29.11.2016 die königliche Zustimmung und trat ab dem 30.12.2016 stufenweise in Kraft. Das Gesetz verpflichtet Kommunikationsdienstleister, Internet Connection Records aller Nutzer für zwölf Monate zu speichern. Polizei, Geheimdienste und benannte Regierungsbehörden können diese Daten für gezielte Ermittlungen abrufen. Zusätzlich legalisiert das Gesetz Massenbefugnisse: die massenhafte Interception von Kommunikation, den Massenzugriff auf Kommunikationsdaten und das Hacken von Geräten. Am 27.04.2018 entschied der High Court in London im Verfahren Liberty gegen die Regierung, dass Teil 4 des Gesetzes zur Vorratsdatenspeicherung gegen EU-Recht verstößt, da er keine ausreichenden Schutzvorkehrungen wie eine vorherige unabhängige Genehmigung vorsah. Am 31.10.2018 traten die Data Retention and Acquisition Regulations 2018 in Kraft, die den Zugriff auf schwere Straftaten beschränken und eine vorherige Prüfung durch einen Judicial Commissioner vorschreiben.

Aus dieser Quelle nicht belegt sind die genaue Zahl der tatsächlich gespeicherten Internet Connection Records und der behördlichen Abfragen sowie Details zu einzelnen vertraulichen Technical Capability Notices.

Section 215 des USA PATRIOT Act erlaubte der NSA seit 2006 die massenhafte, anlasslose Sammlung von Telefonverbindungsdaten von Millionen US-Bürgern. Das Programm wurde im Juni 2013 durch von Edward Snowden veröffentlichte Dokumente öffentlich bekannt. Am 07.05.2015 entschied das Berufungsgericht des zweiten Bundesgerichtsbezirks im Fall ACLU v. Clapper, dass Section 215 die massenhafte Sammlung von Telefondaten rechtlich nicht gedeckt habe. Die gesetzliche Grundlage von Section 215 lief am 01.06.2015 aus. Am 02.06.2015 verabschiedete der US-Senat mit 67 zu 32 Stimmen den USA Freedom Act, den Präsident Barack Obama noch am selben Tag unterzeichnete. Das Gesetz untersagte künftig die anlasslose Massensammlung von Telefonmetadaten durch die NSA, sah dafür aber eine Übergangsfrist von 180 Tagen vor. Nach Ablauf dieser Frist stellte die NSA die Massensammlung am 29.11.2015 endgültig ein. Seitdem benötigt die Regierung für gezielte Abfragen einen Beschluss des FISC mit einem konkreten Suchbegriff.

Aus dieser Quelle nicht belegt sind die genaue Zahl der betroffenen Telefonanschlüsse; ebenso bleibt offen, in welchem Umfang die NSA über andere Rechtsgrundlagen wie Section 702 FISA weiterhin Kommunikationsdaten erhob.

Der Deutsche Bundestag setzte am 20. März 2014 den 1. Untersuchungsausschuss der 18. Wahlperiode ein, um Ausmaß und Hintergründe der Überwachung durch die Five-Eyes-Geheimdienste in Deutschland sowie die Rolle der deutschen Nachrichtendienste aufzuklären. Anlass waren die 2013 von Edward Snowden veröffentlichten Dokumente, die unter anderem das Abhören des Mobiltelefons von Bundeskanzlerin Angela Merkel durch die NSA belegten. Der Ausschuss tagte zwischen April 2014 und Juni 2017 in 134 Sitzungen, davon 66 öffentlich. Zentrales Ergebnis war die Aufdeckung der Operation Eikonal, einer gemeinsamen Kooperation von BND und NSA am Internetknoten DE-CIX in Frankfurt von 2004 bis 2008, bei der monatlich hunderte Millionen Metadaten erfasst wurden. Der BND identifizierte im Spätsommer 2013 in Bad Aibling rund 40.000 NSA-Selektoren, die auf europäische Regierungen und Unternehmen zielten und gegen deutsches Recht verstießen. Das Bundesverfassungsgericht entschied am 13. Oktober 2016, dass die Bundesregierung dem Ausschuss die vollständige NSA-Selektorenliste nicht vorlegen muss. Am 28. Juni 2017 übergab Ausschussvorsitzender Patrick Sensburg den 1.800 Seiten umfassenden Abschlussbericht an Bundestagspräsident Norbert Lammert.

Die genaue Gesamtzahl der unrechtmäßig erfassten Selektoren wird in verschiedenen Quellen uneinheitlich zwischen rund 40.000 und 459.000 angegeben, und ob einzelne Verantwortliche in BND oder Kanzleramt vorsätzlich handelten, blieb umstritten.

Am 24.10.2013 wurde bekannt, dass der US-Geheimdienst NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört haben soll. Grundlage war eine Recherche des Magazins Der Spiegel anhand von Dokumenten aus dem Fundus des Whistleblowers Edward Snowden. Demnach führte die zuständige NSA-Abteilung S2C32 Merkel bereits seit 2002 unter dem Decknamen GE Chancellor Merkel als Aufklärungsziel. Betroffen war ein von Merkel für CDU-interne Kommunikation genutztes Mobiltelefon, nicht ihr offizielles Diensthandy. Als Operationsbasis der NSA diente laut Bericht die US-Botschaft am Pariser Platz in Berlin. Noch am 24.10.2013 bestellte das Auswärtige Amt erstmals in der Geschichte der Bundesrepublik den US-Botschafter John B. Emerson ein. Merkel beschwerte sich telefonisch bei US-Präsident Barack Obama. Generalbundesanwalt Harald Range leitete 2014 ein Ermittlungsverfahren wegen des Verdachts geheimdienstlicher Agententätigkeit ein, stellte es aber am 12.06.2015 mangels gerichtsfest beweisbarer Fakten wieder ein.

Aus dieser Quelle nicht abschließend belegt ist, ob und wie lange Merkels Handy tatsächlich technisch abgehört wurde, da der Generalbundesanwalt das zugrunde liegende NSA-Dokument nie im Original erhalten konnte.

Am 05.03.1946 unterzeichneten Colonel Patrick Marr-Johnson für das britische London Signals Intelligence Board und Lieutenant General Hoyt Vandenberg für das US State-Army-Navy Communication Intelligence Board das UKUSA-Abkommen zur Zusammenarbeit bei der Signalaufklärung. Vorläufer war das am 17.05.1943 geschlossene BRUSA-Abkommen zwischen dem US-Kriegsministerium und der britischen Government Code and Cypher School. Das UKUSA-Abkommen regelte den Austausch von Ergebnissen aus Funkverkehrserfassung, Kryptoanalyse und Entschlüsselung zwischen den Nachrichtendiensten beider Staaten, später NSA und GCHQ. 1948 trat Kanada dem Abkommen bei, 1956 folgten Australien und Neuseeland, wodurch die als Five Eyes bekannte Allianz aus fünf Staaten entstand. Die Existenz des Abkommens blieb jahrzehntelang geheim und wurde erstmals 2005 öffentlich bestätigt. Der vollständige Text wurde am 25.06.2010 von den Regierungen Großbritanniens und der USA offiziell freigegeben.

Aus dieser Übersichtsquelle nicht belegt sind die genauen operativen Umfangszahlen der heutigen Datenerfassung; einzelne Sekundärquellen nennen für die formale Ratifizierung teils abweichend das Jahr 1947 statt 1946.

Am 05.06.2013 veröffentlichte The Guardian einen geheimen Gerichtsbeschluss des Foreign Intelligence Surveillance Court, erlassen am 25.04.2013 von Richter Roger Vinson, der Verizon Business Network Services zur täglichen elektronischen Übermittlung sämtlicher Anrufmetadaten an die NSA verpflichtete. Erfasst wurden Rufnummern, Anschlusskennungen, Standortdaten sowie Zeitpunkt und Dauer der Gespräche, jedoch nicht die Gesprächsinhalte selbst. Die Anordnung betraf sowohl Inlandsgespräche als auch Verbindungen zwischen den USA und dem Ausland und galt für drei Monate bis zum 19.07.2013. Rechtsgrundlage war Section 215 des USA PATRIOT Act. Quelle des Dokuments war der ehemalige NSA-Vertragsmitarbeiter Edward Snowden. Der Verizon-Beschluss war das erste von zahlreichen geheimen Dokumenten, die Snowden dem Journalisten Glenn Greenwald zuspielte und die in den folgenden Wochen das Ausmaß globaler NSA-Überwachungsprogramme wie PRISM offenlegten. Der Gerichtsbeschluss selbst trug den Vermerk, dass er bis zum Jahr 2038 geheim gehalten werden sollte.

Aus dem veröffentlichten Gerichtsbeschluss allein geht nicht hervor, wie viele Kunden oder Anrufe konkret erfasst wurden und in welchem Umfang die NSA die Daten praktisch auswertete.

Der Sicherheitsforscher Moxie Marlinspike gründete 2010 gemeinsam mit dem Robotik-Ingenieur Stuart Anderson die Firma Whisper Systems, die mit TextSecure und RedPhone verschlüsselte Kurznachrichten und Telefonate für Mobiltelefone entwickelte. Twitter übernahm Whisper Systems im November 2011 und veröffentlichte beide Anwendungen anschließend als Open-Source-Software. Am 21.01.2013 gründete Marlinspike die Organisation Open Whisper Systems, um die Weiterentwicklung von TextSecure und RedPhone fortzuführen. Ab 2013 entwickelten Trevor Perrin und Moxie Marlinspike gemeinsam ein neues kryptografisches Verfahren, das zunächst als Axolotl Ratchet bezeichnet wurde. Am 24.02.2014 veröffentlichte Open Whisper Systems TextSecure Version 2, die erstmals den Axolotl Ratchet einsetzte. Im Juli 2014 erschien mit Signal für iOS eine erste eigenständige App für verschlüsselte Telefonate. Am 02.11.2015 verschmolzen TextSecure und RedPhone auf Android zur einheitlichen App Signal. Im März 2016 benannte Open Whisper Systems das Verfahren offiziell in Signal Protokoll um. Forscher der Ruhr-Universität Bochum bestätigten im Oktober 2014 in einer unabhängigen Sicherheitsanalyse die grundsätzliche Sicherheit von TextSecure Version 3. WhatsApp integrierte das Signal Protokoll ab November 2014 und schloss die durchgängige Verschlüsselung für alle Nutzer am 05.04.2016 ab.

Aus dieser Quelle nicht belegt sind exakte Nutzerzahlen von TextSecure und Signal zum jeweiligen Zeitpunkt sowie Details zu internen Entscheidungsprozessen bei Open Whisper Systems.

Das Konzept des Onion Routing wurde ab 1995 von den Forschern Paul Syverson, Michael Reed und David Goldschlag am US Naval Research Laboratory (NRL) in Washington D.C. entwickelt, zunächst finanziert vom Office of Naval Research und ab 1997 zusätzlich von der Forschungsagentur DARPA. Ziel war der Schutz der Kommunikation von US-Geheimdienstmitarbeitern und Militärpersonal vor Verkehrsanalyse im Internet. In den frühen 2000er Jahren stießen die MIT-Absolventen Roger Dingledine und Nick Mathewson zum NRL-Projekt hinzu und entwickelten den Code zum heutigen Tor-Netzwerk weiter. Am 20.09.2002 wurde eine erste Alpha-Version veröffentlicht, im Oktober 2002 erfolgte das initiale Deployment mit Freigabe des Quellcodes unter einer freien Open-Source-Lizenz. Ende 2003 bestand das Netzwerk aus rund einem Dutzend freiwillig betriebenen Relay-Knoten. Ende 2004 reduzierte die US-Navy den Großteil ihrer Tor-Finanzierung, woraufhin die Electronic Frontier Foundation Dingledine und Mathewson von November 2004 bis Oktober 2005 mit 180.000 US-Dollar finanzierte. Im Jahr 2006 wurde The Tor Project Inc. als eigenständige gemeinnützige Organisation in den USA gegründet.

Aus dieser Quelle nicht im Detail belegt sind die genauen internen Gründe der US-Navy für die Kürzung der Finanzierung Ende 2004 sowie das exakte Ausmaß einer bis heute fortbestehenden indirekten Finanzierung von Tor durch US-Regierungsstellen.

Der US-amerikanische Programmierer Philip R. Zimmermann veröffentlichte am 05.06.1991 die Verschlüsselungssoftware PGP (Pretty Good Privacy) kostenlos im Usenet, von wo sie sich weltweit über das Internet verbreitete. Da starke Kryptografie in den USA damals nach dem Arms Export Control Act als Rüstungsgut auf der United States Munitions List galt, leitete der U.S. Customs Service im Februar 1993 strafrechtliche Ermittlungen gegen Zimmermann ein. Eine Grand Jury im Bezirk Nordkalifornien prüfte, ob die weltweite Verfügbarkeit von PGP über das Internet einen nicht genehmigten Waffenexport darstellte. Bei einer Verurteilung drohten Zimmermann bis zu fünf Jahre Haft sowie Geldstrafen von bis zu einer Million US-Dollar. Die Ermittlungen dauerten rund drei Jahre und führten nie zu einer Anklage. Am 11.01.1996 teilte Assistant U.S. Attorney William Keane mit, dass die Staatsanwaltschaft auf eine strafrechtliche Verfolgung verzichte. Zimmermann veröffentlichte diese Mitteilung am 12.01.1996 auf seiner Webseite. Die Behörden gaben keine öffentliche Begründung für die Einstellung der Ermittlungen ab. Der Fall gilt als eines der zentralen Ereignisse der sogenannten Kryptokriege der 1990er Jahre in den USA.

Aus dieser Quelle nicht belegt sind die internen Erwägungen der Staatsanwaltschaft für die Einstellung des Verfahrens sowie ob parallel auch gegen andere an der Verbreitung von PGP beteiligte Personen ermittelt wurde.

Am 11.02.2020 veröffentlichten die Washington Post, das ZDF und das Schweizer Fernsehen SRF gemeinsame Recherchen zur sogenannten Operation Rubikon. Demnach kauften der US-Geheimdienst CIA und der deutsche Bundesnachrichtendienst (BND) 1970 gemeinsam für 8,5 Millionen US-Dollar die Schweizer Verschlüsselungsfirma Crypto AG und kontrollierten sie bis 1993 heimlich, danach führte die CIA das Geschäft allein bis 2018 fort. Die Dienste bauten absichtlich geschwächte Algorithmen in die verkauften Chiffriergeräte ein und konnten so die Kommunikation von mehr als 120 Staaten mitlesen, darunter NATO- und EU-Mitglieder sowie der Vatikan. Laut den ausgewerteten internen Unterlagen stammten zeitweise rund 40 Prozent der von der NSA entschlüsselten Auslandskommunikation aus Crypto-AG-Geräten. Der BND stieg 1993 aus dem Geschäft aus, nachdem im März 1992 im Iran der Crypto-AG-Vertreter Hans Bühler wegen Spionageverdachts festgenommen worden war, und verkaufte seinen Anteil für 17 Millionen US-Dollar. Die CIA veräußerte ihre verbliebenen Vermögenswerte 2017/2018 für schätzungsweise 50 bis 70 Millionen US-Dollar. Die Geschäftsprüfungsdelegation des Schweizer Parlaments veröffentlichte ihren Abschlussbericht am 10.11.2020.

Die genaue Zahl der betroffenen Staaten schwankt je nach Quelle zwischen rund 120 und über 130, und ob einzelne beteiligte Länder informell informiert waren, ist nicht abschließend geklärt.

Am 21.10.2016 wurde der US-amerikanische DNS-Dienstleister Dyn Ziel dreier aufeinanderfolgender DDoS-Angriffswellen zwischen etwa 11:10 und 22:10 Uhr UTC. Die Angriffe erfolgten über das Mirai-Botnet, das aus gekaperten Internet-of-Things-Geräten wie IP-Kameras, Routern und digitalen Videorekordern bestand, die über werkseitig voreingestellte Standardpasswörter infiziert worden waren. Dyn erklärte, Anfragen von zig Millionen IP-Adressen empfangen zu haben. Durch den Ausfall von Dyns DNS-Infrastruktur waren mehr als 100 Internetdienste in Nordamerika und Teilen Europas zeitweise nicht erreichbar, darunter Twitter, Netflix, Reddit, Spotify, Amazon, PayPal, GitHub und Airbnb. Die Gruppen New World Hackers und SpainSquad reklamierten die Verantwortung für sich und nannten als Motiv eine Vergeltung für die Einschränkung des Internetzugangs von Julian Assange. Das US-Heimatschutzministerium und das FBI leiteten Ermittlungen ein. Am 13.12.2017 bekannten sich mehrere junge Männer in den USA im Zusammenhang mit der Mirai-Schadsoftware schuldig, am 09.12.2020 folgte ein weiteres Schuldbekenntnis einer zum Tatzeitpunkt minderjährigen Person.

Die genaue Anzahl der am Angriff beteiligten Geräte sowie die exakte Spitzenbandbreite wurden von Dyn nie offiziell mit verbindlichen Zahlen bestätigt. Wer den Angriff auf Dyn konkret initiierte, ist bis heute nicht abschließend geklärt.

Am 19.07.2008 wurde die Website des georgischen Präsidenten Micheil Saakaschwili erstmals durch einen DDoS-Angriff für rund 24 Stunden lahmgelegt. Am 08.08.2008, dem Tag des Einmarschs russischer Truppen in Südossetien, begann eine deutlich umfangreichere zweite Welle koordinierter Cyberangriffe gegen georgische Ziele. Bis zum 10.08.2008 waren die meisten Websites der georgischen Regierung durch DDoS-Attacken nicht mehr erreichbar, betroffen waren unter anderem das Parlament, die Nationalbank sowie Banken und Telekommunikationsanbieter. Am 11.08.2008 wurde die Präsidentenwebsite zusätzlich defaced und mit Bildmontagen versehen, die Saakaschwili mit Adolf Hitler verglichen. Sicherheitsforscher identifizierten sechs verschiedene Botnetze sowie eine in russischer Sprache programmierte DDoS-Steuerungssoftware namens MachBot. Als mutmaßlicher Organisator gilt das Russian Business Network aus Sankt Petersburg, die russische Regierung bestritt jede Verantwortung. Die georgische Regierung wich während der Angriffe auf Google Blogger und Server in den USA aus, Estland bot zusätzliches Hosting an. Die Ereignisse gelten als der erste dokumentierte Fall koordinierter Cyberangriffe parallel zu einer konventionellen Militäroperation.

Eine gerichtsfeste Zuordnung der Angriffe zu russischen Behörden oder dem russischen Militär ist bis heute nicht belegt, strafrechtliche Konsequenzen sind nicht dokumentiert. Ebenso fehlt eine verifizierte Gesamtzahl der betroffenen Websites oder ein bezifferter wirtschaftlicher Schaden.

Bei Protesten gegen einen Neonazi-Aufmarsch am 19. Februar 2011 in der Dresdner Südvorstadt ordnete das Amtsgericht Dresden eine Funkzellenabfrage an, durch die Hunderttausende Verkehrsdaten und Zehntausende Bestandsdaten von Demonstranten, Anwohnern, Journalisten und Anwälten erfasst wurden. Das Landgericht Dresden erklärte mit Beschluss vom 17.04.2013 die zugrunde liegende Anordnung des Amtsgerichts vom 25.02.2011 für rechtswidrig, weil sie nicht ausreichend begründet war und der strafprozessuale Bestimmtheitsgrundsatz verletzt wurde. Die erhobenen Daten mussten daraufhin gelöscht werden.

Offen bleibt die exakte Gesamtzahl der insgesamt betroffenen Personen, da mehrere separate Funkzellenabfragen zu unterschiedlichen Zeiten und Gebieten liefen und Quellen unterschiedliche Teilzahlen nennen. Das Landgericht prüfte nur formale Mängel der richterlichen Anordnung, keine inhaltliche Verhältnismäßigkeit der Maßnahme an sich. Nicht abschließend dokumentiert ist, ob die angeordnete Löschung der Daten bei allen beteiligten Behörden tatsächlich umgesetzt wurde.

Das BKA erwarb 2020 Lizenzen für die Spähsoftware Pegasus der israelischen NSO Group und bestätigte den Einsatz 2021 im Bundestag. Laut WDR und Tagesschau installierten Ermittler am 31. Oktober 2022 heimlich Staatstrojaner-Software auf dem Mobiltelefon von Heinrich XIII. Prinz Reuss im Ermittlungsverfahren gegen die mutmaßliche Reichsbürger-Terrorgruppe. Dabei wurden rund einen Monat lang Daten inklusive Telegram-Chats abgegriffen, die Gruppe wurde am 7. Dezember 2022 festgenommen.

Ob im Fall Reuss konkret die NSO-Software Pegasus oder eine andere Staatstrojaner-Variante zum Einsatz kam, hat das BKA nie bestätigt und lehnte eine Stellungnahme aus einsatztaktischen Gründen ab. Der Kaufvertrag mit NSO, die genauen Kosten und die vollständige rechtliche Grundlage der Maßnahme wurden trotz mehrerer Klagen von netzpolitik.org und einer Datenschutzbeschwerde der GFF bis heute nicht offengelegt.

FBI und CISA bestätigten in einer gemeinsamen Erklärung, dass die mutmaßlich chinesische Hackergruppe Salt Typhoon mehrere US-Telekommunikationsanbieter kompromittiert hat, darunter AT&T, Verizon und Lumen Technologies. Die Angreifer erlangten Zugriff auf Anrufmetadaten, auf gerichtlich angeordnete Abhörsysteme der Strafverfolgungsbehörden sowie auf private Kommunikation einzelner Regierungsvertreter und Politiker.

Genauer Umfang und Dauer des Angriffs blieben in der gemeinsamen Erklärung von FBI und CISA offen. Unklar blieb auch die tatsächliche Zahl der betroffenen Personen, Schätzungen reichten von rund 40 gezielten Zielen bis zu über tausend Betroffenen.

AT&T bestätigte am 12.07.2024 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC, dass Angreifer zwischen dem 14. und 25.04.2024 unbefugt auf einen AT&T-Arbeitsbereich bei einem Cloud-Anbieter zugriffen. Sie entwendeten Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 Millionen AT&T-Mobilfunkkunden aus dem Zeitraum Mai bis Oktober 2022 sowie vom 02.01.2023. Erfasst waren Telefonnummern, Kontakthäufigkeit, Gesprächsdauer und teils Mobilfunkmasten-Kennungen, laut AT&T aber keine Namen, Sozialversicherungsnummern oder Gesprächsinhalte.

Die SEC-Mitteilung selbst nennt nicht, wer hinter dem Angriff steckt oder ob die gestohlenen Daten inzwischen veröffentlicht wurden. Eine später von Journalisten berichtete Lösegeldzahlung von AT&T an die Gruppe ShinyHunters ist in der Pflichtmitteilung nicht erwähnt und stützt sich auf andere Quellen. Der genaue Zusammenhang mit dem umfassenderen Sicherheitsvorfall beim Cloud-Anbieter Snowflake bleibt in der AT&T-Mitteilung offen.

Französische und niederländische Ermittler infiltrierten und entschlüsselten ab April 2020 mit Unterstützung von Europol und Eurojust das verschlüsselte Kommunikationsnetz EncroChat, das vorrangig von organisierten Kriminellen genutzt wurde. Millionen Nachrichten wurden bis zum Abbruch der Überwachung am 13.06.2020 in Echtzeit mitgelesen. In den Niederlanden führte dies zu über 60 Festnahmen sowie Beschlagnahmungen von mehr als 10.000 kg Kokain, 1.500 kg Crystal Meth und rund 20 Millionen Euro Bargeld, weitere Festnahmen erfolgten unter anderem in Großbritannien, Schweden und Norwegen.

Die Pressemitteilung nennt für den Stichtag 02.07.2020 keine europaweite Gesamtzahl der Festnahmen und legt die genaue technische Methode der Entschlüsselung nicht offen. Offen bleibt zudem, wie viele der später vor Gericht verwendeten Beweise in einzelnen EU-Staaten rechtlich Bestand hatten, da dies je nach nationalem Recht unterschiedlich beurteilt wurde.

Das FBI und internationale Partnerbehörden aus 16 Ländern, darunter Europol und die australische AFP, betrieben ab 2018 verdeckt den Kryptohandy-Dienst Anom, der bei Kriminellen als abhörsicher galt. Rund 12.000 Geräte wurden an etwa 300 kriminelle Gruppen weltweit verkauft. Bei der Bekanntgabe am 8. Juni 2021 meldeten die Behörden über 800 Festnahmen, mehr als 27 Millionen mitgelesene Nachrichten sowie Sicherstellungen von mehreren Tonnen Drogen, Hunderten Schusswaffen und rund 48 Millionen US-Dollar in bar.

Nicht vollständig offengelegt ist, wie die technische Verschlüsselungshintertür im Detail funktionierte und welche genaue Rolle die ursprüngliche Vertrauensperson bei der Entwicklung von Anom spielte. Offen bleibt zudem, wie viele der weltweiten Anom-Nutzer am Ende tatsächlich in nationalen Strafverfahren rechtskräftig verurteilt wurden.

Die österreichische Datenschutzbehörde (DSB) entschied in einem am 13.01.2022 veröffentlichten Teilbescheid zu einer noyb-Musterbeschwerde, dass der Einsatz von Google Analytics auf einer österreichischen Website gegen Art. 44 DSGVO verstößt. Die Behörde stufte die von Google eingesetzten technischen Zusatzmaßnahmen als unwirksam gegen den Zugriff US-Geheimdienste ein und berief sich dabei auf das Schrems-II-Urteil des EuGH von 2020. Es war die erste von insgesamt 101 Musterbeschwerden, die noyb 2020 EU-weit gegen Websites mit Google Analytics eingereicht hatte.

Der Bescheid war zum Zeitpunkt der Berichterstattung nicht rechtskräftig, ein Bußgeld gegen den Website-Betreiber wurde nicht verhängt. Offen blieb, wie die DSB gegen Google LLC als Datenempfänger weiter vorgeht und welche praktischen Konsequenzen sich daraus für andere Website-Betreiber in Österreich und der EU ergeben.

Der Europäische Gerichtshof erklärte am 16. Juli 2020 im Fall C-311/18 (Data Protection Commissioner gegen Facebook Ireland und Maximillian Schrems) den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Grund war, dass US-Überwachungsgesetze keinen mit der EU vergleichbaren Schutz vor behördlichem Datenzugriff garantieren. Die Standardvertragsklauseln aus Beschluss 2010/87 blieben dagegen grundsätzlich gültig, sofern Unternehmen den Datenschutz im Zielland im Einzelfall prüfen.

Die Pressemitteilung des Gerichtshofs nennt keine Zahl der Unternehmen oder Nutzer, deren Datentransfers durch das Urteil unmittelbar betroffen waren. Offen bleibt auch, wie Unternehmen die geforderte Einzelfallprüfung der Standardvertragsklauseln in der Praxis konkret umsetzen sollten, das regelte erst spätere Aufsichtspraxis.

Der EuGH (Große Kammer) entschied am 06.10.2020 in den verbundenen Rechtssachen C-511/18, C-512/18 und C-520/18, dass EU-Recht einer nationalen Regelung entgegensteht, die Anbieter elektronischer Kommunikationsdienste zu einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten verpflichtet. Zulässig bleiben demnach nur zeitlich befristete, auf bestimmte Personen oder geografische Gebiete beschränkte Speicherungen bei schwerer Kriminalität oder konkreten Bedrohungen der nationalen Sicherheit, sowie eine allgemeine Speicherung von IP-Adressen zur Bekämpfung schwerer Straftaten unter strengen Voraussetzungen.

Nicht Gegenstand dieser Pressemitteilung sind die konkrete Umsetzung durch Frankreich und Belgien in der Folgezeit sowie technische Detailfragen der Speicherfristen. Offen blieb zudem, wie einzelne Mitgliedstaaten wie Deutschland ihre eigene Vorratsdatenspeicherungsregelung anpassen mussten; dies wurde erst in Folgeurteilen wie SpaceNet und Telekom Deutschland vom 20.09.2022 konkretisiert.

Ein Athener Gericht verurteilte am 26. Februar 2026 vier Verantwortliche der Spyware-Firma Intellexa, darunter Firmengründer Tal Dilian, wegen unbefugten Zugriffs auf Kommunikationssysteme und Verletzung des Kommunikationsgeheimnisses mittels der Predator-Software. Der zugrunde liegende Skandal wurde 2022 bekannt, als der Journalist Thanasis Koukakis und der Oppositionspolitiker Nikos Androulakis als Überwachungsziele identifiziert wurden. Laut Gericht waren Dutzende Personen betroffen, darunter Journalisten, Politiker und Geschäftsleute; es handelt sich um die ersten Verurteilungen in diesem Fall.

Wer die Überwachung tatsächlich anordnete und wer sie politisch verantwortete, blieb strafrechtlich ungeklärt. Griechische Staatsanwälte entlasteten 2024 Regierungsstellen und staatliche Amtsträger, obwohl laut HRW dokumentierte Hinweise auf deren Beteiligung vorlagen. Die Verurteilten legten Berufung ein, die verhängten Haftstrafen sind bis zur endgültigen Entscheidung ausgesetzt.