Quellen-Tabelle

The Intercept veröffentlichte am 19.02.2015 auf Basis von Snowden-Dokumenten eine Recherche über den sogenannten Great SIM Heist. Ein 2010 gegründetes gemeinsames Team von NSA und GCHQ soll Systeme des niederländischen SIM-Kartenherstellers Gemalto gehackt haben, der jährlich rund zwei Milliarden SIM-Karten fertigt. Über das NSA-Suchsystem XKeyscore verschafften sich die Dienste Zugriff auf private E-Mail-Konten von Gemalto-Ingenieuren und erbeuteten darüber geheime SIM-Verschlüsselungsschlüssel, allein für Somalia wurden bis Juni 2010 rund 300.000 Schlüssel dokumentiert. Gemalto erklärte nach eigener Untersuchung, ein Angriff sei wahrscheinlich, ein massenhafter Diebstahl der Schlüssel selbst lasse sich jedoch nicht belegen.

Gemalto und The Intercept widersprechen sich bis heute im Kernpunkt, ob tatsächlich in großem Stil Schlüssel entwendet wurden. Die genaue Gesamtzahl der weltweit entwendeten SIM-Schlüssel sowie das Ausmaß ihrer Nutzung für konkrete Abhörmaßnahmen sind aus den Dokumenten nicht ersichtlich.

Am 21.10.2016 wurde die DNS-Infrastruktur des US-Anbieters Dyn durch eine mehrwellige DDoS-Attacke gestört, wodurch Twitter, Spotify, Reddit, SoundCloud und weitere Websites auf der US-Ostküste zeitweise nicht erreichbar waren. Die Sicherheitsfirma Flashpoint identifizierte Hinweise auf ein Mirai-basiertes Botnetz aus gekaperten IoT-Geräten wie Sicherheitskameras und Routern als Angriffsquelle. Der Mirai-Quellcode war im September 2016 öffentlich veröffentlicht worden, kurz zuvor hatte dasselbe Botnetz bereits KrebsOnSecurity mit rund 620 Gbit/s angegriffen.

Dieser zeitnahe Bericht nennt weder die genaue Zahl der beteiligten Geräte noch eine exakte Spitzenbandbreite oder gesicherte Täterschaft. Die spätere strafrechtliche Aufarbeitung mit den Schuldbekenntnissen der Mirai-Miturheber im Dezember 2017 ist nicht Gegenstand dieser Quelle.

Das Berufungsgericht des Ninth Circuit bestätigte am 13.03.2025 die Verurteilung des ehemaligen Uber-Sicherheitschefs Joseph Sullivan. Eine Bundesjury hatte Sullivan im Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat verurteilt, weil er ein Ende 2016 entdecktes Datenleck mit Daten von rund 57 Millionen Uber-Nutzern vertuscht hatte. Er hatte den Hackern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm gezahlt und sie eine falsche Verschwiegenheitserklärung unterschreiben lassen.

Ob weitere Uber-Führungskräfte von der Vertuschung wussten, wurde strafrechtlich nie untersucht. Ob die kopierten Nutzerdaten tatsächlich vollständig gelöscht wurden, wie es die Verschwiegenheitserklärung vorsah, ist unklar.

Am 12.12.2024 fand im Rat der EU erneut keine ausreichende Mehrheit für die geplante Chatkontrolle-Verordnung zustande. Deutschland enthielt sich bei der Abstimmung, ebenso Belgien, Luxemburg, Polen, Tschechien, Slowenien, Estland, Finnland, Österreich und die Niederlande, zusammen eine Sperrminorität von mehr als 35 Prozent der EU-Bevölkerung. Damit scheiterte auch die ungarische Ratspräsidentschaft mit ihrem Kompromissvorschlag, nachdem zuvor bereits die belgische Präsidentschaft im Juni 2024 an derselben Hürde gescheitert war.

Eine ursprünglich vermutete Ratsabstimmung im September 2024 mit deutscher Enthaltung ließ sich nicht verifizieren, im September fanden nur Arbeitsgruppentreffen statt. Die hier dokumentierte Abstimmung fand nachweislich erst am 12.12.2024 statt.

Nach der Übernahme von Twitter durch Elon Musk im Oktober 2022 gewährte dieser ab Dezember 2022 ausgewählten Journalisten Zugang zu internen Firmendokumenten. Die Auszüge betreffen unter anderem die Sperrung des Hunter-Biden-Laptop-Berichts im Oktober 2020 und die Sperrung von Donald Trumps Account im Januar 2021. Laut den Dokumenten tauschte der frühere Twitter-Sicherheitschef Yoel Roth zwischen Januar 2020 und November 2022 mehr als 150 E-Mails mit dem FBI aus.

Ob die dokumentierten Kontakte zwischen Twitter und Behörden tatsächlich konkrete Moderationsentscheidungen erzwungen haben, bleibt offen. Mehrere Medien kritisierten die Veröffentlichungen als lückenhaft und gezielt ausgewählt.

Die Große Kammer des EGMR entschied am 25.05.2021 im Fall Big Brother Watch u.a. gegen das Vereinigte Königreich, dass die britische Regelung zur Massenerfassung von Kommunikation (Bulk Interception nach RIPA) sowie die Regeln zur Herausgabe von Kommunikationsdaten gegen Artikel 8 und Artikel 10 EMRK verstießen, da ausreichende gesetzliche Kontrollmechanismen fehlten. Mit 12 zu 5 Stimmen entschied das Gericht, dass der Austausch von Geheimdienstinformationen mit ausländischen Regierungen keinen Konventionsverstoß darstellte. Der Fall geht auf die Snowden-Enthüllungen 2013 über GCHQ zurück.

Das Urteil erklärt Massenüberwachung nicht grundsätzlich für konventionswidrig, sondern formuliert acht Mindestkriterien. Wie das seit 2016 geltende Investigatory Powers Act an diesen Kriterien zu messen ist, bleibt offen, da sich das Urteil noch auf die alte Rechtslage (RIPA) bezog.

Der EGMR entschied am 06.09.1978 im Fall Klass u.a. gegen Deutschland über das deutsche G10-Gesetz von 1968 zur geheimen Überwachung von Post und Telekommunikation. Fünf deutsche Juristen hatten die Regelung angefochten, ohne dass eine konkrete Überwachung ihrer eigenen Person nachgewiesen war. Das Gericht stellte fest, dass keine Verletzung von Artikel 8 oder 13 EMRK vorlag, da das G10-Gesetz mit der G10-Kommission ausreichende Kontrollmechanismen vorsehe. Es war das erste EGMR-Urteil zur grundsätzlichen Vereinbarkeit geheimer Überwachungsgesetze mit der Menschenrechtskonvention.

Das Urteil erklärte nicht pauschal jede Form geheimer Überwachung für konventionskonform, sondern nur die damalige Fassung des G10-Gesetzes. Ob die Beschwerdeführer selbst tatsächlich abgehört wurden, blieb offen.

Die Große Kammer des EGMR urteilte am 04.12.2015 einstimmig, dass das russische Überwachungssystem SORM gegen Artikel 8 EMRK verstößt. Russische Mobilfunkanbieter sind verpflichtet, Technik zu installieren, die Sicherheitsbehörden direkten Zugriff auf die Telekommunikation aller Nutzer ermöglicht, ohne wirksame vorherige richterliche Kontrolle. Der Gerichtshof ließ die Beschwerde bereits wegen der abstrakten Möglichkeit der Erfassung als Mobilfunknutzer zu, ohne dass eine konkrete eigene Überwachung nachgewiesen werden musste.

Ob Roman Zakharov selbst tatsächlich überwacht wurde, ist nicht belegt, die Beschwerde richtete sich abstrakt gegen die Rechtslage. Russland erkennt seit dem Ausschluss aus dem Europarat 2022 keine Bindung an EGMR-Entscheidungen mehr an.

Der Investigatory Powers Act 2016 erhielt am 29.11.2016 die königliche Zustimmung und ist im Vereinigten Königreich als Snoopers Charter bekannt. Section 87 ermächtigt den Innenminister, retention notices an Telekommunikationsanbieter zu richten. Eine solche Anordnung darf die Speicherung von Daten nicht für mehr als 12 Monate vorschreiben, betroffene Anbieter müssen insbesondere Internet Connection Records speichern.

Wie viele Anbieter tatsächlich eine retention notice erhielten, geht aus dem Gesetzestext nicht hervor, Inhalt und Empfänger solcher Anordnungen sind vertraulich. Das High-Court-Urteil von 2018 im Verfahren Liberty gegen die Regierung ist nicht Teil dieser Quelle.

Die NSA sammelte auf Grundlage von Section 215 des USA PATRIOT Act ab Mai 2006 per geheimer FISA-Gerichtsanordnung täglich Telefonverbindungsdaten von Millionen Amerikanern. Das unabhängige Privacy and Civil Liberties Oversight Board stellte in seinem Bericht vom 23.01.2014 mit 3 zu 2 Stimmen fest, dass das Programm keine tragfähige gesetzliche Grundlage hatte, und empfahl die Beendigung der Massenerfassung.

Der Bericht ist die Bewertung eines unabhängigen Aufsichtsgremiums, keine Gerichtsentscheidung. Zwei Boardmitglieder vertraten die Gegenposition, das Programm sei rechtmäßig gewesen.

Der US-Senat verabschiedete in der Nacht zum 20.04.2024 mit 60 zu 34 Stimmen den Reforming Intelligence and Securing America Act (RISAA). Präsident Biden unterzeichnete das Gesetz noch am selben Tag, nur Stunden nachdem die Befugnis nach Section 702 FISA technisch ausgelaufen war. RISAA verlängert Section 702, das die warrantlose Überwachung von Kommunikation nicht-amerikanischer Personen im Ausland erlaubt, um zwei Jahre bis zum 20.04.2026.

Wie die enthaltenen Reformen zu FBI-Abfragen in der Praxis kontrolliert werden, geht aus der Pressemitteilung nicht hervor. Wie viele US-Personen durch die erweiterte Definition betroffen sein könnten, wird nicht beziffert.

Der US Supreme Court entschied am 26.02.2013 mit 5 zu 4 Stimmen im Fall Clapper gegen Amnesty International USA. Kläger waren Menschenrechtsorganisationen und Anwälte, die Section 702 des FISA Amendments Act wegen befürchteter Überwachung anfochten. Das Gericht urteilte, die Kläger besäßen keine Klagebefugnis, da ein drohender Schaden zu spekulativ sei.

Ob die Kläger tatsächlich Ziel einer Überwachung waren, prüfte das Gericht mangels Klagebefugnis nicht inhaltlich. Spätere Snowden-Enthüllungen ab 2013 zeigten, dass die befürchtete Überwachung tatsächlich stattfand, was das Urteil selbst nicht mehr beeinflusste.

Am 14.09.2021 veröffentlichte das Wall Street Journal interne Facebook-Dokumente als Auftakt der Serie The Facebook Files. Eine interne Präsentation hielt fest, dass Instagram bei einem von drei Teenager-Mädchen bestehende Körperbildprobleme verschlimmert, laut einer internen Erhebung von März 2020 gaben 32 Prozent der befragten Mädchen an, Instagram verstärke negative Gefühle zum eigenen Körper. Quelle der Dokumente war die ehemalige Facebook-Produktmanagerin Frances Haugen, die sich zwei Wochen später als Whistleblowerin zu erkennen gab.

Der Artikel nannte Haugen als Quelle noch nicht namentlich, ihre Identität wurde erst am 03.10.2021 öffentlich bekannt. Ob die Ergebnisse einen ursächlichen oder nur korrelativen Zusammenhang belegen, bleibt offen.

Der CLOUD Act wurde am 23.03.2018 von Präsident Trump unterzeichnet. Er verpflichtet US-Technologieunternehmen, gespeicherte Nutzerdaten auf richterliche Anordnung herauszugeben, unabhängig davon, ob die Server in den USA oder im Ausland stehen. Anlass war der Rechtsstreit USA gegen Microsoft. Microsoft, Apple, Google und Facebook unterstützten die Ausarbeitung des Gesetzes, das zugleich bilaterale Abkommen für den Datenzugriff ermöglicht.

Wie oft US-Behörden seit 2018 tatsächlich per CLOUD-Act-Anordnung auf im Ausland gespeicherte Daten zugegriffen haben, ist nicht dokumentiert. Der Konflikt mit der DSGVO ist bislang nicht abschließend gerichtlich geklärt.

Im Dezember 2013 verlangte ein US-Bundesrichter von Microsoft die Herausgabe von E-Mail-Inhalten, die in einem Rechenzentrum in Dublin gespeichert waren. Microsoft focht dies an, am 14.07.2016 entschied das Berufungsgericht des Zweiten Bezirks zugunsten von Microsoft. Am 17.04.2018 erklärte der Supreme Court den Fall für gegenstandslos, nachdem der CLOUD Act eine neue gesetzliche Grundlage geschaffen hatte und das Justizministerium einen neuen Durchsuchungsbeschluss erwirkte.

Da der Supreme Court den Fall wegen Gegenstandslosigkeit nicht in der Sache entschied, bleibt offen, wie er über die extraterritoriale Reichweite von US-Durchsuchungsbeschlüssen geurteilt hätte.

Die Europäische Kommission verabschiedete am 12.07.2016 den Angemessenheitsbeschluss 2016/1250 zum EU-US Privacy Shield, dem Nachfolgeabkommen für das im Oktober 2015 vom EuGH im Schrems-I-Urteil gekippte Safe-Harbor-Abkommen. US-Unternehmen mussten sich beim US-Handelsministerium selbst zertifizieren. Neu war ein Ombudsperson-Mechanismus im US-Außenministerium für Beschwerden von EU-Bürgern über Zugriffe US-amerikanischer Nachrichtendienste. Die Artikel-29-Datenschutzgruppe bemängelte im April 2016, anlasslose Massenüberwachung bleibe weiterhin zulässig. Der EuGH erklärte das Privacy Shield am 16.07.2020 im Schrems-II-Urteil für ungültig.

Die genaue Zahl der 2016 bereits zertifizierten Unternehmen ist nicht dokumentiert. Wie wirksam der Ombudsperson-Mechanismus in der Praxis funktionierte, ist offen, da die Kommission dessen Unabhängigkeit anders bewertete als die Artikel-29-Gruppe und das Europäische Parlament.

Das US-Geheimgericht Foreign Intelligence Surveillance Court urteilte am 03.10.2011 unter Richter John D. Bates, dass Teile der NSA-Internetüberwachung nach Section 702 des FISA Amendments Act gegen den vierten Verfassungszusatz verstießen. Betroffen war das Upstream-Programm, mit dem die NSA über Telekommunikationsanbieter Daten direkt aus den Glasfaserleitungen des Internet-Backbones abgriff, als Ergänzung zum Programm PRISM. Laut dem am 21.08.2013 nach ACLU-Klagen freigegebenen Urteil sammelte die NSA über mehrere Jahre bis zu 56.000 rein innerhalb der USA geführte Kommunikationen pro Jahr, obwohl das Gesetz dies verbietet. Bates warf der Regierung vor, dem Gericht bereits zum dritten Mal in weniger als drei Jahren den tatsächlichen Umfang ihrer Datensammlung falsch dargestellt zu haben.

Wie viele der rund 56.000 betroffenen Kommunikationen tatsächlich reine Inlandskommunikation ohne Auslandsbezug enthielten, ist nicht belegt. Das veröffentlichte Urteil ist stark geschwärzt, technische Details zu Upstream sind öffentlich nicht vollständig nachvollziehbar. Eine offizielle Gesamtzahl aller über Upstream und PRISM erfassten Kommunikationen wurde bis heute nicht veröffentlicht.

Britische Polizei verhaftete Julian Assange am 11.04.2019 in der Botschaft Ecuadors in London, nachdem Präsident Lenín Moreno ihm den Asylschutz entzogen hatte. Die USA hatten die Anklage im Mai 2019 um 17 Punkte nach dem Espionage Act erweitert, bezogen auf die von WikiLeaks 2010/2011 veröffentlichten geheimen US-Dokumente, die Chelsea Manning zuvor weitergegeben hatte. Ein Londoner Gericht lehnte die Auslieferung 2021 zunächst ab, im Mai 2024 gewährte der High Court Assange erneut Berufungsrecht. Am 25.06.2024 bekannte sich Assange vor einem US-Bundesgericht auf Saipan in einem Anklagepunkt schuldig und wurde zu 62 Monaten Haft verurteilt, die durch bereits verbüßte Haftzeit in Großbritannien als abgegolten galten.

Ob und in welchem Ausmaß die veröffentlichten Dokumente tatsächlich Informanten gefährdeten, ist nicht belegt. Die theoretische Höchststrafe von bis zu 175 Jahren bezog sich auf alle ursprünglich 18 Anklagepunkte und wurde durch den Deal gegenstandslos. Ob die von den USA zugesagten Garantien eingehalten worden wären, wurde nie gerichtlich geprüft, da es nie zu einer Verhandlung in den USA kam.

Am 28.07.2022 veröffentlichten der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte ihre gemeinsame Stellungnahme zum EU-Verordnungsvorschlag gegen Kindesmissbrauchsdarstellungen im Netz, im öffentlichen Diskurs als Chatkontrolle bekannt. Beide Behörden warnten, der Vorschlag könne zu einer de facto allgemeinen und anlasslosen automatisierten Durchsuchung praktisch aller elektronischen Kommunikation in der EU führen. Sie forderten eine gesetzliche Klarstellung, dass die Verordnung nicht als Verbot von Ende-zu-Ende-Verschlüsselung ausgelegt werden dürfe, sowie die Streichung der Scan-Pflichten für Grooming und unbekanntes Material.

Konkrete Fehlerraten der geplanten Scan-Technologien werden in der Stellungnahme nicht beziffert. Die Stellungnahme ist rechtlich nicht bindend und floss nur beratend in die weiteren Verhandlungen ein. In welchem Umfang einzelne Kritikpunkte in spätere Kompromissentwürfe übernommen wurden, ist hier nicht dokumentiert.

Der polnische Senatsausschuss erklärte am 07.09.2023 den 2017 erfolgten Kauf der NSO-Spyware Pegasus durch die polnische Regierung für rechtswidrig, finanziert aus einem Justizfonds für Kriminalitätsopfer. Der Ausschuss stellte fest, dass Pegasus gegen mindestens zwölf Personen eingesetzt wurde, darunter die Oppositionspolitiker Krzysztof Brejza, Roman Giertych und Michał Kołodziejczak. Brejza, 2019 Leiter der Wahlkampagne der oppositionellen Bürgerkoalition, wurde laut Ausschuss mindestens 33 Mal gehackt. Der Ausschuss leitete Strafanzeigen gegen mehrere damalige Amtsträger ein.

Der Senatsausschuss besitzt keine gerichtliche Entscheidungsgewalt, seine Feststellungen sind eine politische Bewertung ohne Rechtskraft. Die damalige PiS-Regierung bestritt den gezielten Einsatz. Ob die angekündigten Strafanzeigen zu Anklagen führten, ist aus dieser Quelle nicht ersichtlich.

Der anonyme Whistleblower hinter dem Mossack-Fonseca-Leak nennt sich selbst John Doe und ist bis heute nicht identifiziert. Am 06.05.2016 veröffentlichte er über die Süddeutsche Zeitung und das ICIJ ein rund 1.800 Wörter langes Manifest. Als Motiv nennt er weltweite Einkommensungleichheit sowie massive Korruption durch die Offshore-Kanzlei Mossack Fonseca. Er bestreitet jede Zusammenarbeit mit einer Regierung oder einem Geheimdienst und fordert stärkeren rechtlichen Schutz für Whistleblower.

Die tatsächliche Identität von John Doe ist bis heute unbekannt, auch den beteiligten Journalisten. Wie er Zugriff auf die internen Systeme von Mossack Fonseca erlangte, bleibt offen. Die Selbstauskunft, nie für eine Regierung gearbeitet zu haben, wurde nicht unabhängig überprüft.

Am 25.12.2024 wurden in der Ostsee das Untersee-Stromkabel Estlink 2 sowie mehrere Telekommunikationskabel beschädigt. Finnische Behörden brachten den unter der Flagge der Cookinseln fahrenden Öltanker Eagle S auf, dessen Anker rund 90 Kilometer über den Meeresgrund geschleift hatte. Im August 2025 erhob die finnische Staatsanwaltschaft Anklage gegen den georgischen Kapitän und zwei weitere Offiziere. Am 03.10.2025 stellte das Bezirksgericht Helsinki das Verfahren ein, da die mutmaßliche Tat außerhalb finnischer Hoheitsgewässer stattfand und laut Seerechtsübereinkommen der Flaggenstaat zuständig sei.

Ob die Kabelbeschädigung vorsätzliche Sabotage oder ein Unfall war, wurde durch das Urteil nicht geklärt, das Gericht entschied nur über die Zuständigkeit. Eine Weisung russischer Stellen an die Besatzung ist nicht belegt. Die Einordnung der Eagle S als Teil der russischen Schattenflotte ist keine gerichtlich festgestellte Tatsache.

Das US-Justizministerium reichte am 02.08.2024 im Auftrag der FTC Klage gegen TikTok, ByteDance und verbundene Unternehmen ein. Die Klage wirft TikTok vor, seit mindestens 2019 wissentlich Millionen Kindern unter 13 Jahren die Nutzung der Plattform ermöglicht und dabei ohne elterliche Einwilligung nach COPPA Daten gesammelt zu haben, sowie gegen eine bestehende FTC-Vergleichsvereinbarung von 2019 verstoßen zu haben. Am 21.08.2026 einigten sich TikTok, ByteDance und das Justizministerium auf einen Vergleich über 400 Millionen US-Dollar.

Wie viele Kinderkonten unter 13 Jahren tatsächlich betroffen waren, ist nicht öffentlich beziffert. Die theoretisch mögliche Höchststrafe wurde nie ausgeurteilt, da der Fall durch einen deutlich niedrigeren Vergleich endete. TikTok und ByteDance mussten kein Fehlverhalten eingestehen.

Die Deutsche Telekom AG ließ 2005/2006 durch ihre Konzernsicherheitsabteilung heimlich Telefonverbindungsdaten von Aufsichtsratsmitgliedern, Journalisten und weiteren Personen erheben und von einer Detektei auswerten, um die Quelle vertraulicher Presseinformationen zu ermitteln. Öffentlich bekannt wurde die Affäre 2008. Das Landgericht Bonn verurteilte den zuständigen Ex-Leiter der Konzernsicherheit am 30.11.2010 zu drei Jahren und sechs Monaten Haft, der BGH bestätigte das Urteil am 10.10.2012 als rechtskräftig. Nach Medienberichten waren rund 60 Personen betroffen, darunter mehrere Vorstands- und Aufsichtsratsmitglieder.

Die genaue Zahl der Betroffenen schwankt zwischen 55 und rund 60 Personen, eine vollständige Opferliste wurde nie veröffentlicht. Die früheren Spitzenmanager Kai-Uwe Ricke und Klaus Zumwinkel wurden strafrechtlich nicht verurteilt, einigten sich aber zivilrechtlich auf Schadensersatz.

Anfang Februar 2023 verschafften sich Cyberkriminelle per Phishing Zugang zu den E-Mail-Postfächern von acht Mitarbeitenden des Bayerischen Rundfunks über gefälschte Login-Masken mit BR-Logo. Sie erhielten dadurch Einblick in Kontakte und E-Mail-Verkehr. Der Sender sperrte die Angreifer rasch aus und informierte Datenschutzaufsicht sowie Betroffene gemäß Art. 34 DSGVO. Eine forensische Analyse fand keine Schadsoftware, ein Datenabfluss konnte aber nicht ausgeschlossen werden.

Welche konkreten Daten die Angreifer tatsächlich kopierten, ist nicht öffentlich dokumentiert. Die Identität der Täter wurde nicht aufgeklärt. Ob die bayerische Datenschutzaufsicht ein förmliches Verfahren einleitete, ist nicht bekannt.