Quellen-Tabelle

Die Europäische Kommission stellte am 10. Juli 2023 per Angemessenheitsbeschluss fest, dass die USA im Rahmen des Data Privacy Framework ein der EU vergleichbares Datenschutzniveau bieten. Grundlage ist eine US-Exekutivverordnung, die den Zugriff von Geheimdiensten auf Daten aus der EU auf das notwendige und verhältnismäßige Maß begrenzen soll, sowie ein neu geschaffenes Rechtsbehelfsgremium namens Data Protection Review Court. Auf dieser Basis dürfen EU-Unternehmen wieder personenbezogene Daten an selbstzertifizierte US-Unternehmen übermitteln.

Nicht belegt ist, ob der Data Protection Review Court in der Praxis wirksamen Rechtsschutz bietet, da Betroffene dort keine Akteneinsicht erhalten und Entscheidungen nicht öffentlich begründet werden. Die Datenschutzorganisation noyb um Max Schrems kündigte bereits vor Inkrafttreten eine gerichtliche Anfechtung an. Eine erste Klage vor dem Gericht der EU wurde 2024 abgewiesen, ob eine weitere Prüfung durch den EuGH das Abkommen kippt, war zum Zeitpunkt der Recherche noch offen.

Das Büro des Attorney General von Arizona einigte sich am 04.10.2022 mit Google auf eine Zahlung von 85 Millionen US-Dollar zur Beilegung einer im Mai 2020 eingereichten Klage. Die Klage warf Google vor, Standortdaten von Android-Nutzern über Funktionen wie Web & App-Aktivität weiter zu sammeln und für Werbung zu nutzen, selbst wenn Nutzer die Einstellung Standortverlauf deaktiviert hatten, und dafür irreführende Bedienoberflächen einzusetzen. Auslöser der Ermittlung war eine AP-Recherche vom August 2018.

Nicht belegt durch diese Quelle ist, wie viele einzelne Nutzer in Arizona konkret betroffen waren oder welchen genauen wirtschaftlichen Vorteil Google aus den weitergesammelten Daten zog. Offen bleibt außerdem das Verhältnis zum separaten Vergleich Googles mit 40 US-Bundesstaaten über 391,5 Millionen US-Dollar vom November 2022, der denselben Sachverhalt betraf.

Hacker erbeuteten 2016 Daten von 57 Millionen Uber-Nutzern und Fahrern, darunter rund 600.000 US-Führerscheinnummern. Uber-Sicherheitschef Joe Sullivan zahlte den Erpressern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm und ließ sie eine falsche Verschwiegenheitserklärung unterschreiben, die den Datenabfluss verneinte. Ein Bundesgericht in San Francisco verurteilte Sullivan am 5. Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat, im Mai 2023 folgten drei Jahre Bewährung, 50.000 Dollar Geldstrafe und 200 Stunden gemeinnützige Arbeit.

Ob weitere Uber-Führungskräfte, etwa der damalige CEO Travis Kalanick, von der Vertuschung wussten oder sie billigten, wurde strafrechtlich nicht verfolgt. Unklar bleibt zudem, ob die von den Hackern kopierten Daten tatsächlich vollständig gelöscht wurden, obwohl dies vertraglich zugesichert war.

Am 25.10.2018 verhängte die britische Datenschutzbehörde ICO gegen Facebook eine Geldbuße von 500.000 Pfund, die nach dem damals geltenden Data Protection Act 1998 höchstmögliche Strafe. Die ICO stellte fest, dass Facebook zwischen 2007 und 2014 App-Entwicklern ohne ausreichende Rechtsgrundlage Zugriff auf Nutzerdaten gewährte, wovon auch Facebook-Freunde von App-Nutzern betroffen waren. Betroffen waren schätzungsweise 87 Millionen Facebook-Nutzer weltweit, deren Daten über die App This Is Your Digital Life an Cambridge Analytica gelangten.

Aus den Quellen geht die genaue rechtliche Detailbegründung der ICO nicht vollständig hervor, ebenso bleibt offen, warum die parallele Prüfung der Hamburger Datenschutzaufsicht ohne eigene Sanktion eingestellt wurde. Ob die 500.000-Pfund-Strafe angesichts von 87 Millionen Betroffenen abschreckend wirkte, ist umstritten, da unter der seit 25.05.2018 geltenden DSGVO deutlich höhere Bußgelder möglich gewesen wären, die Tat aber davor lag.

WikiLeaks veröffentlichte ab dem 28. November 2010 zusammen mit Medien wie The Guardian, der New York Times und dem Spiegel rund 250.000 geheime Depeschen US-amerikanischer Botschaften, bekannt als Cablegate. Laut einer der Depeschen wies US-Außenministerin Hillary Clinton Diplomaten im Juli 2009 an, technische Daten zu UN-Kommunikationssystemen sowie biometrische und persönliche Informationen hochrangiger UN-Vertreter zu beschaffen, etwa Passwörter, Verschlüsselungscodes, Kreditkarten- und Vielfliegernummern. UN-Botschafterin Susan Rice wies die Vorwürfe zurück.

Ob die Anweisung zur Datensammlung tatsächlich umgesetzt wurde und wie viele UN-Vertreter konkret betroffen waren, geht aus der Quelle nicht hervor. Die Selbstdarstellung der UN-Seite als reine diplomatische Tätigkeit und die Spionagevorwürfe aus der Depesche stehen sich damit unbestätigt gegenüber.

Der AT&T-Techniker Mark Klein deckte 2006 auf, dass die NSA in einem geheimen Raum namens 641A in der AT&T-Vermittlungsstelle in San Francisco per Glasfaser-Beam-Splittern und einem Narus-Gerät den gesamten Internet-Backbone-Verkehr kopieren ließ, seit 2003 in Betrieb. Die von Klein vorgelegten internen AT&T-Dokumente bildeten die Grundlage der Klage Hepting v. AT&T, die die EFF am 31. Januar 2006 einreichte. Ein Bundesrichter wies im Juli 2006 den Antrag der Regierung ab, die Klage per Staatsgeheimnis-Privileg abzuweisen.

Offen blieb, wie viele weitere solcher Räume es bei anderen Telekommunikationsanbietern landesweit gab, da sich die Regierung durchgehend auf das Staatsgeheimnis-Privileg berief. Zu einer inhaltlichen gerichtlichen Klärung der Rechtmäßigkeit kam es nie: Der Kongress gewährte den Telekomfirmen 2008 rückwirkende Immunität, Hepting v. AT&T wurde 2011 abgewiesen.

Der verschlüsselte E-Mail-Dienst Lavabit wurde im Juni 2013 per Gerichtsbeschluss gezwungen, seine privaten SSL-Schlüssel an US-Behörden herauszugeben, um Metadaten des Nutzers Edward Snowden zu erfassen. Gründer Ladar Levison übergab die Schlüssel zunächst nur als unleserlichen 11-seitigen Ausdruck in 4-Punkt-Schrift, wurde mit 5000 Dollar Tagesstrafe belegt und schloss den Dienst mit rund 410.000 registrierten Nutzern im August 2013 vollständig, statt die Verschlüsselung aller Kunden zu kompromittieren.

Nicht abschließend gerichtlich geklärt wurde die grundsätzliche Frage, ob die Herausgabepflicht für private Master-Schlüssel überhaupt rechtmäßig war, da das Berufungsgericht 2014 nur die Verfahrensfehler von Levisons Einspruch prüfte. Unklar bleibt auch, welche Daten anderer Lavabit-Nutzer die Behörden durch den erzwungenen Schlüsselzugriff tatsächlich einsehen konnten.

Der von Bundestag und Bundesregierung eingesetzte Sonderermittler Kurt Graulich stellte im Oktober 2015 fest, dass der BND von der NSA gelieferte Selektoren zur Überwachung nutzte, von denen bis zu 40.000 von rund einer Million gegen westeuropäische und deutsche Ziele gerichtet waren. Darunter befanden sich knapp 70 Telefonnummern der Rüstungskonzerne EADS und Eurocopter. Der Bericht bestätigte Verstöße gegen das geheime Memorandum of Agreement von 2002 und gegen deutsches Recht.

Ob die NSA mit den EADS- und Eurocopter-Selektoren gezielt Wirtschaftsspionage betrieb oder nur militärische Aufklärung verfolgte, konnte der Bericht nicht abschließend klären. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss nie vorgelegt, da das Bundesverfassungsgericht 2016 entschied, dass die Bundesregierung sie zurückhalten darf.

Der britische Geheimdienst GCHQ drang laut Snowden-Dokumenten und übereinstimmender Recherche von The Intercept, Spiegel und heise online zwischen 2010 und 2011 in das Netz des belgischen Telekomanbieters Belgacom ein und installierte die hochentwickelte Spionagesoftware Regin. Die Angreifer kompromittierten gezielt Systemadministratoren über gefälschte LinkedIn-Seiten und blieben bis zur Entdeckung im Sommer 2012 rund zwei Jahre unbemerkt im Netz. Betroffen waren mindestens 120 Systeme sowie die Tochterfirma BICS, ein internationaler Mobilfunk-Roaming-Knoten.

Die britische Regierung und der GCHQ haben eine Beteiligung nie offiziell bestätigt oder dementiert. Die belgische Strafermittlung mit dem Codenamen Trinity wurde laut The Intercept 2018 ohne Anklage eingestellt. Der genaue Umfang der abgeflossenen Daten und ob die Systembereinigung bei Belgacom je vollständig gelang, bleiben offen.

Der Sicherheitsforscher Trevor Eckhart deckte im November 2011 auf, dass die Diagnosesoftware Carrier IQ auf über 140 Millionen Smartphones, vor allem HTC-Android-Geräten in den USA, installiert war und dort als verstecktes Rootkit Tastatureingaben, Standort und Appnutzung protokollierte, ohne dass Nutzer sie deaktivieren konnten. US-Senator Al Franken und Kongressabgeordneter Edward Markey forderten eine Untersuchung durch FTC und FCC, und mindestens acht Sammelklagen wurden gegen Carrier IQ, HTC, Samsung und Mobilfunkanbieter eingereicht.

Ob Carrier IQ tatsächlich Tastatureingaben im Klartext als Inhalt protokollierte, blieb umstritten. Das Unternehmen bestritt dies und bezeichnete die geloggten Daten als codiert bzw. als Softwarefehler. Ob die angekündigten FTC- oder FCC-Ermittlungen zu förmlichen Anklagen oder Bußgeldern führten und wie die Sammelklagen ausgingen, ist aus den verfügbaren Quellen nicht ersichtlich.

Snowden-Dokumente belegten das geheime NSA-Programm Bullrun, veröffentlicht am 05.09.2013 gemeinsam von ProPublica, New York Times und Guardian. Die NSA kooperierte mit US-Technikfirmen für Hintertüren und schwächte gezielt einen internationalen NIST-Verschlüsselungsstandard von 2006. Zusätzlich betrieb die NSA Datenbanken mit erbeuteten Verschlüsselungsschlüsseln und arbeitete mit Telekommunikationsanbietern an überwachungsfreundlicher Netzinfrastruktur.

Welche Firmen konkret an den Hintertüren mitwirkten, blieb in den veröffentlichten Dokumenten größtenteils geschwärzt. Die genauen Methoden zur Schlüsselbeschaffung wurden nicht offengelegt. Unklar blieb auch, welcher Anteil der weltweit genutzten Verschlüsselung dadurch tatsächlich kompromittiert wurde.

Die belgische Datenschutzbehörde APD/GBA stellte am 2. Februar 2022 fest, dass IAB Europes Transparency and Consent Framework (TCF) für Cookie-Einwilligungen gegen die DSGVO verstößt. Sie verhängte ein Bußgeld von 250.000 Euro und stufte IAB Europe als Mitverantwortlichen für die Verarbeitung der TC-Strings ein, digitale Zeichenketten mit Nutzerpräferenzen, die als personenbezogene Daten gelten. Bemängelt wurden unter anderem eine fehlende Rechtsgrundlage, ein fehlender Datenschutzbeauftragter und eine zu unklare Nutzerinformation.

Offen blieb zum Zeitpunkt der Entscheidung, ob IAB Europe den geforderten Aktionsplan fristgerecht umsetzen würde, da das Unternehmen gegen die Entscheidung beim Brüsseler Marktenhof Berufung einlegte. Wie stark sich das Real-Time-Bidding-Ökosystem mit tausenden beteiligten Werbeunternehmen dadurch tatsächlich änderte, geht aus der Entscheidung selbst nicht hervor.

Samsung Electronics verbot im Mai 2023 firmenweit die Nutzung von ChatGPT, Google Bard und ähnlichen KI-Chatbots auf Firmengeräten und im internen Netzwerk. Auslöser waren mindestens drei Vorfälle in der Halbleitersparte binnen rund drei Wochen, bei denen Mitarbeiter fehlerhaften Fertigungs-Quellcode, Testcode zur Chip-Fehleranalyse und ein internes Meeting-Protokoll in ChatGPT eingaben. Samsung drohte bei Verstößen disziplinarische Maßnahmen bis zur Kündigung an.

Nicht öffentlich bekannt sind die Namen der beteiligten Mitarbeiter und der genaue Umfang des tatsächlich abgeflossenen Codes. Unklar bleibt auch, ob die eingegebenen Daten in spätere ChatGPT-Antworten an andere Nutzer einflossen oder von OpenAI zum Modelltraining verwendet wurden.

Am 12.07.2024 teilte die EU-Kommission X (vormals Twitter) vorläufige Feststellungen mit, wonach das Unternehmen gegen Artikel 25, 39 und 40 Absatz 12 des Digital Services Act verstößt. Beanstandet wurden irreführende Design-Praktiken beim bezahlten Blue Checkmark, mangelnde Transparenz im Werbe-Repository und unzureichender Datenzugang für unabhängige Forscher. Am 05.12.2025 verhängte die Kommission deswegen in ihrer ersten DSA-Bußgeldentscheidung eine Geldstrafe von 120 Millionen Euro gegen X.

Offen bleibt in den amtlichen Mitteilungen, ob und wie X gegen die Entscheidung vorgeht, etwa vor dem Gericht der EU. Die genauen technischen und organisatorischen Nachbesserungen, zu denen X verpflichtet wurde, sind in den Pressemitteilungen nur skizziert, nicht im Detail dokumentiert.

Reddit bestätigte, dass Angreifer am 5. Februar 2023 mittels einer gezielten Phishing-Kampagne die Zugangsdaten eines Mitarbeiters erbeuteten, indem sie eine gefälschte Version des internen Reddit-Intranetportals nutzten. Dadurch erhielten die Angreifer Zugriff auf interne Dokumente, Quellcode sowie einige interne Dashboards und Geschäftssysteme. Der betroffene Mitarbeiter meldete den Vorfall selbst, woraufhin Reddit ihn öffentlich machte.

Nicht öffentlich dokumentiert ist, welche konkreten Quellcode-Bestandteile oder internen Dokumente im Detail abgeflossen sind. Die Identität und Zuordnung der Angreifer zu einer bekannten Gruppe wurde von Reddit nicht bestätigt.

Am 15. Oktober 2022 brach ein Brand im Batterieraum des SK-C&C-Rechenzentrums in Pangyo bei Seoul aus, wodurch die Stromversorgung ausfiel und alle dort gehosteten Server offline gingen. Betroffen waren zahlreiche Kakao-Dienste wie der Messenger KakaoTalk, Kakao T, Kakao Map, Kakao Bank sowie das Portal Daum, wobei zentrale Chatfunktionen erst nach über zehn Stunden wieder liefen. Kakao-Co-CEO Nam-goong Whon trat infolge der öffentlichen Kritik zurück, und der Vorfall führte in Südkorea zur Verabschiedung von Gesetzesänderungen für georedundante Backups.

Die genaue technische Ursache des Brandausbruchs im Batterieraum wurde in den gesichteten Berichten nicht abschließend geklärt. Angaben zur exakten Gesamtdauer bis zur vollständigen Wiederherstellung aller Einzeldienste schwanken zwischen den Quellen.

Die britische Regulierungsbehörde Ofcom hat die Plattform 4chan am 19. März 2026 unter dem UK Online Safety Act mit insgesamt 520.000 Pfund belegt. Davon entfielen 450.000 Pfund auf fehlende Altersverifikation zum Schutz von Kindern vor Pornografie, 50.000 Pfund auf eine unterlassene Risikobewertung illegaler Inhalte und 20.000 Pfund auf unzureichende Nutzungsbedingungen. Ofcom setzte eine Nachbesserungsfrist bis 2. April 2026, danach drohen weitere Tagesstrafen.

Nicht belegt ist, ob 4chan die geforderten Altersprüfungen und Risikobewertungen bis zur gesetzten Frist tatsächlich umgesetzt hat, da das Unternehmen eine Zahlung öffentlich verweigerte und in den USA rechtlich gegen Ofcoms Zuständigkeit vorging.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 4. November 2024 ein Bußgeld von 21,6 Milliarden Won (rund 15,6 Millionen US-Dollar) gegen Meta. Meta hatte zwischen Juli 2018 und März 2022 ohne Einwilligung sensible Daten von rund 980.000 südkoreanischen Facebook-Nutzern zu Religion, politischer Meinung, sexueller Orientierung und Status als nordkoreanische Flüchtlinge gesammelt und an rund 4.000 Werbetreibende weitergegeben.

Offen bleibt, ob einzelne Nutzer durch die Datenweitergabe konkret zu Schaden kamen oder ob Werbetreibende die sensiblen Kategorien gezielt diskriminierend einsetzten. Es war bereits die zweite große PIPC-Strafe gegen Meta nach einem Bußgeld von 30,8 Milliarden Won im Jahr 2022.

Die französische Datenschutzbehörde CNIL stellte am 10. Februar 2022 fest, dass der Einsatz von Google Analytics gegen Art. 44 DSGVO verstößt, weil die Datenübermittlung an Google in die USA nicht ausreichend vor dem Zugriff US-amerikanischer Geheimdienste geschützt ist. Die CNIL erteilte einem französischen Website-Betreiber eine förmliche Mahnung und gab ihm einen Monat Zeit, entweder auf Google Analytics zu verzichten oder ein Tool ohne Datentransfer in die USA zu nutzen. Grundlage waren 101 Musterbeschwerden der Organisation noyb sowie das Schrems-II-Urteil des EuGH.

Der Name des betroffenen Website-Betreibers wurde nicht veröffentlicht, ein Bußgeld wurde in diesem Verfahren nicht verhängt. Offen bleibt, ob der Betreiber die Frist einhielt, spätere Berichte zufolge erteilte die CNIL im April 2022 mindestens drei weiteren Betreibern ähnliche Anordnungen.

Australien verabschiedete am 6. Dezember 2018 den Telecommunications and Other Legislation Amendment (Assistance and Access) Act, der am 8. Dezember 2018 in Kraft trat. Das Gesetz verpflichtet Kommunikationsanbieter über drei Stufen zur Mithilfe bei der Entschlüsselung von Kommunikation, mit Bußgeldern bis zu 10 Millionen australischen Dollar bei Nichtbefolgung. Australien war damit das erste westliche Land mit einer solchen gesetzlichen Verpflichtung, wogegen Apple, Google, WhatsApp und weitere Unternehmen öffentlich protestierten.

Nicht öffentlich dokumentiert ist, in welchem Umfang die australische Regierung tatsächlich Technical Capability Notices erlassen hat, da diese vertraulich gehalten werden können. Offen bleibt zudem, ob einzelne Unternehmen tatsächlich systemische Schwachstellen einbauen mussten, was der Gesetzestext nominell ausschließt.

Der EuGH entschied am 20.09.2022 in den verbundenen Rechtssachen C-793/19 (SpaceNet) und C-794/19 (Telekom Deutschland), dass Unionsrecht einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten entgegensteht, außer bei ernster Bedrohung der nationalen Sicherheit. Die Internetanbieter SpaceNet AG und Telekom Deutschland hatten die Speicherpflicht nach dem deutschen Telekommunikationsgesetz vor deutschen Gerichten angefochten. Das Bundesverwaltungsgericht hatte den Fall im September 2019 dem EuGH zur Vorabentscheidung vorgelegt.

Die tatsächliche Eilaussetzung der Vollzugspraxis erfolgte bereits 2017 durch das OVG Münster, während das Bundesverwaltungsgericht erst am 14.08.2023 endgültig über die Unionsrechtswidrigkeit der deutschen Regelung entschied. Offen blieb nach dem EuGH-Urteil zunächst, wie der deutsche Gesetzgeber die zulässigen Ausnahmen wie IP-Adressenspeicherung oder Quick-Freeze-Verfahren konkret umsetzt.

Die Organisation noyb um Max Schrems reichte am 17.08.2020 101 Beschwerden bei Datenschutzbehörden in allen 30 EWR-Mitgliedstaaten ein, gerichtet gegen europäische Unternehmen, die Google Analytics oder Facebook Connect einsetzen und dadurch Daten in die USA übertragen. Grundlage war das Schrems-II-Urteil des EuGH vom Juli 2020, das den Privacy-Shield-Rahmen für ungültig erklärte. Bei Verstößen drohen laut noyb DSGVO-Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Wie die einzelnen Datenschutzbehörden in den 30 Ländern über die jeweiligen Beschwerden entschieden haben, geht aus der Pressemitteilung nicht hervor. Ob am Ende tatsächlich Bußgelder gegen die betroffenen Unternehmen verhängt wurden, ist nicht dokumentiert.

Am 17. und 18.11.2024 wurden in der Ostsee zwei Unterseekabel beschädigt, das Datenkabel C-Lion1 zwischen Finnland und Deutschland sowie die Verbindung BCS East-West zwischen Schweden und Litauen. Ermittler richteten den Verdacht auf den chinesischen Frachter Yi Peng 3, der laut Recherchen zur Tatzeit die betroffenen Streckenabschnitte passierte und dabei seinen Anker über den Meeresgrund geschleift haben soll. Am 20.12.2024 bestiegen Vertreter aus Deutschland, Schweden, Finnland und Dänemark das Schiff zur Inspektion.

Nicht bewiesen ist, ob die Kabelbeschädigung vorsätzlich erfolgte oder ein Unfall war. China bestreitet jede Verantwortung, westliche Ermittler gehen von einem möglichen Sabotageakt aus, dies aber ausdrücklich unbelegt. Die Ergebnisse der Schiffsinspektion wurden nicht veröffentlicht.

Meta kündigte im Mai 2024 an, ab dem 26.06.2024 öffentliche Inhalte volljähriger Facebook- und Instagram-Nutzer aus der EU auf Grundlage eines berechtigten Interesses für das KI-Training zu verwenden. Die Organisation noyb reichte daraufhin Beschwerden in elf europäischen Ländern ein. Am 14.06.2024 teilte die irische Datenschutzbehörde DPC mit, dass Meta zugesagt habe, die geplante KI-Trainingsnutzung öffentlicher Inhalte erwachsener Nutzer in der EU vorerst auszusetzen.

Ob Metas Zusage rechtlich bindend war, geht aus der Pressemitteilung nicht hervor. Ob und wann Meta das KI-Training mit europäischen Nutzerdaten später wieder aufnahm, ist aus dieser Quelle nicht dokumentiert.

Die US-Kommunikationsbehörde FCC verhängte am 13.04.2012 ein Bußgeld von 25.000 US-Dollar gegen Google wegen Behinderung ihrer Ermittlung zur Sammlung von WLAN-Nutzdaten durch Street-View-Kamerafahrzeuge. Google verzögerte die Herausgabe von E-Mails und weigerte sich zunächst, beteiligte Mitarbeiter zu benennen. Die FCC verzichtete auf eine Sanktion für die eigentliche Datensammlung selbst, da sie keine einschlägige Präzedenz für unverschlüsselten WLAN-Verkehr nach dem Wiretap Act sah.

Wie die Software zur Erfassung der WLAN-Payload-Daten im Detail konzipiert wurde, bleibt unklar, da der zuständige Ingenieur die Aussage verweigerte. Die FCC traf keine rechtliche Feststellung, dass die ursprüngliche Datensammlung selbst gegen US-Recht verstieß.