Quellen-Tabelle

Die Bundesnetzagentur untersagte am 16.02.2017 Verkauf und Besitz der Puppe My Friend Cayla und stufte sie nach Paragraf 90 TKG als verbotene Sendeanlage ein. Die Puppe verband sich per unverschlüsselter Bluetooth-Verbindung mit einer App und konnte Gespräche aus Kinderzimmern übertragen. Ein Saarbrücker Jurastudent dokumentierte, dass jedes Bluetooth-fähige Gerät im Umkreis von rund zehn Metern unbefugt zugreifen konnte. Besitz kann mit bis zu zwei Jahren Freiheitsstrafe geahndet werden.

Nicht dokumentiert ist, wie viele Puppen tatsächlich verkauft wurden. Dokumentierte Missbrauchsfälle mit realem Abhörschaden sind nicht bekannt. Die rechtliche Einordnung als verbotene Sendeanlage war unter Juristen umstritten.

Der New Yorker Uber-Manager Josh Mohrer nutzte im November 2014 das interne Tool God View, um den Standort der Journalistin Johana Bhuiyan ohne ihre Zustimmung zu verfolgen. Uber kündigte eine interne Untersuchung an und veröffentlichte danach erstmals eine offizielle Datenschutzrichtlinie. Im Januar 2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar wegen unzureichender Zugriffskontrollen und verspäteter Meldung eines Datenlecks von 2014.

Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.

Palantir Technologies wurde 2004 von Peter Thiel, Joe Lonsdale, Stephen Cohen und Nathan Gettings gegründet. Da klassische Risikokapitalgeber ablehnten, finanzierte In-Q-Tel, die Venture-Capital-Einheit der CIA, das Unternehmen mit über 2 Millionen US-Dollar. Von 2005 bis 2008 war die CIA Palantirs einziger Kunde und testete die Software in einer Alpha-Phase.

Nicht öffentlich dokumentiert ist die Aufteilung der übrigen Finanzierung von rund 30 Millionen US-Dollar. Die exakte Höhe der In-Q-Tel-Tranchen variiert je nach Quelle. Welche Datensätze die CIA in der Testphase einspeiste, ist nicht belegt.

Die US-Einwanderungsbehörde ICE vergab im April 2025 einen Vertrag im Wert von 30 Millionen US-Dollar an Palantir. Die Software ImmigrationOS erweitert das seit 2014 genutzte Fallmanagementsystem und soll Auswahl, Festnahme und Abschiebung von Migranten beschleunigen. Im Juli 2025 besetzten rund 100 Aktivisten die Palantir-Büros in Seattle. Palantir-Mitarbeiter hatten bereits 2019 einen offenen Brief mit über 200 Unterschriften gegen die ICE-Nutzung verfasst.

Nicht belegt ist, in wie vielen Fällen ImmigrationOS tatsächlich zu Festnahmen führte, die Software war laut Berichten erst als Prototyp geplant. Die Zahl betroffener Visa-Widerrufe schwankt zwischen 300 und 4.000 Fällen ohne verlässliche amtliche Gesamtzahl.

Am 05.10.2023 veröffentlichte das Medienkonsortium European Investigative Collaborations gemeinsam mit dem Security Lab von Amnesty International die Recherche Predator Files. Der Bericht dokumentiert, dass die Spyware Predator, hergestellt vom Intellexa-Konsortium um die Nexa-Gruppe aus Frankreich, in mindestens 25 Ländern verkauft wurde, darunter Oman, Katar, Kenia, die VAE, Vietnam, Sudan und Ägypten. Das Intellexa-Konsortium wurde 2018 vom ehemaligen israelischen Militäroffizier Tal Dilian mitgegründet.

Nicht abschließend dokumentiert ist, in welchem Umfang Predator in jedem der 25 Länder operativ eingesetzt wurde. Die Eigentümer- und Kontrollstruktur des Intellexa-Konsortiums bleibt teilweise intransparent, da mehrere ineinander verschachtelte Firmen in verschiedenen Staaten involviert sind.

Kenny Paterson, Matteo Scarlata und Kien Tuong Truong von der Applied Cryptography Group der ETH Zürich veröffentlichten eine kryptografische Sicherheitsanalyse des Schweizer Messengers Threema, vorgestellt auf dem USENIX Security Symposium 2023. Die Forscher beschrieben sieben Angriffe, die unter anderem das Wiederherstellen von langfristigen privaten Schlüsseln und das Umgehen der Authentifizierung ermöglichen konnten, eine Methode nutzte einen Seitenkanal über die Größe verschlüsselter Backups. Die Forscher informierten Threema im Oktober 2022, im November 2022 veröffentlichte Threema ein neues Protokoll namens Ibex, das die Probleme beheben soll.

Nicht dokumentiert ist, ob die Schwachstellen jemals praktisch ausgenutzt wurden. Threema erklärte, die Lücken hätten keine realen Auswirkungen gehabt, was von den ETH-Forschern als beschönigend kritisiert wurde. Die technische Wirksamkeit des neuen Ibex-Protokolls wurde nicht unabhängig extern nachgeprüft.

Die EU-Kommission stellte am 06.02.2026 vorläufig fest, dass TikTok mit suchtfördernden Designelementen wie endlosem Scrollen und Autoplay gegen den Digital Services Act verstößt. Das förmliche Verfahren war bereits im Februar 2024 eröffnet worden. Laut Kommission ignorierte TikTok Anzeichen für zwanghafte Nutzung bei Minderjährigen, bestehende Schutzmaßnahmen seien leicht zu umgehen.

Es handelt sich um eine vorläufige Feststellung, kein rechtskräftiges Bußgeld. Eine konkrete Bußgeldhöhe wurde nicht genannt, theoretisch wären nach DSA bis zu 6 Prozent des weltweiten Jahresumsatzes möglich, dies ist aber nicht bestätigt.

Die dänische EU-Ratspräsidentschaft legte im Herbst 2025 einen Kompromissvorschlag zur Chatkontrolle-Verordnung vor, der die verpflichtende Chatkontrolle strich. Anstelle verpflichtender Aufdeckungsanordnungen sollen Dienste freiwillig Risikominderungsmaßnahmen ergreifen, einschließlich optionaler Chatkontrolle. Die bisher nur vorübergehende Ausnahme von der Kommunikationsvertraulichkeit soll dauerhaft festgeschrieben werden.

Ob der Vorschlag im Rat eine qualifizierte Mehrheit finden würde, war zum Berichtszeitpunkt offen. Wie sich der Vorschlag zu einem im Frühjahr 2025 gescheiterten polnischen Vorschlag verhält, ist nicht abschließend geklärt.

Am 26.09.2024 wurde bekannt, dass Unbekannte in ein System der niederländischen Nationalpolizei eingedrungen waren und dienstliche Kontaktdaten von rund 63.000 Polizeibeschäftigten erbeuteten. Die Polizei stufte es als sehr wahrscheinlich ein, dass ein staatlich unterstützter Akteur hinter dem Angriff stand.

Der genaue technische Angriffsweg ist nicht dokumentiert. Die Zuschreibung an einen staatlichen Akteur wurde nur als sehr wahrscheinlich bezeichnet, nicht zweifelsfrei nachgewiesen.

Am 31.05.2024 wurde im Nachrichtendienst der staatlichen polnischen Nachrichtenagentur PAP zweimal eine gefälschte Eilmeldung über eine Teilmobilmachung von 200.000 Bürgern veröffentlicht. Der Inlandsgeheimdienst ABW erklärte, es handle sich mutmaßlich um einen russischen Cyberangriff über ein infiziertes Mitarbeitergerät. Premierminister Tusk bezeichnete den Vorfall als Teil einer russischen Destabilisierungsstrategie.

Die konkrete Urheberschaft ist nicht offiziell bestätigt, polnische Behörden sprachen nur von einem wahrscheinlichen russischen Angriff. Der genaue technische Ablauf wurde nicht veröffentlicht.

Im Oktober 2024 verschaffte sich ein Angreifer unbefugten Zugriff auf IT-Systeme der Gesundheitsbehörde Health New Zealand Te Whatu Ora in der Central Region. Kompromittiert wurden Personaldaten aktueller und ehemaliger Mitarbeitender von 2020 bis 2024, darunter medizinische Beurteilungen. Die Polizei nahm strafrechtliche Ermittlungen auf.

Die genaue Zahl betroffener Personen ist nicht dokumentiert. Die Identität des Angreifers ist offiziell nicht bestätigt, ein Gerichtsverfahren steht noch aus.

Ab dem 19./20.08.2024 wurden lettische Regierungswebsites durch DDoS-Angriffe gestört, darunter die zentrale Plattform TVP und die Website des Ministerkabinetts. Die pro-russische Gruppe NoName057(16) sowie eine Gruppe namens Anonymous Guys bekannten sich dazu und begründeten dies mit lettischer Militärhilfe für die Ukraine. CERT.LV bestätigte, dass die Angriffe nach einem neuen Ukraine-Hilfspaket erwartbar gewesen seien.

Konkrete Zahlen zum Datenvolumen oder zur Botnetz-Größe fehlen. Die Urheberschaft stützt sich ausschließlich auf Telegram-Bekenntnisse der Gruppen, keine unabhängige forensische Zuordnung liegt vor.

Im Oktober 2023 identifizierte Amnesty International im Rahmen der Predator-Files-Recherche technische Infrastruktur der Spyware Predator in Kasachstan, neben Angola, Ägypten, der Mongolei, Indonesien, Madagaskar, Sudan und Vietnam. Für Kasachstan wurden lediglich technische Infrastrukturspuren festgestellt, keine konkrete aktive Überwachungskampagne.

Wer in Kasachstan Ziel der Überwachung war und ob Geräte tatsächlich infiziert wurden, ist nicht dokumentiert. Die kasachische Regierung äußerte sich nicht zu den Vorwürfen.

Die Organisation Unwanted Witness veröffentlichte am 11.08.2025 einen Bericht über Überwachung in Ostafrika mit Fokus auf Uganda. Journalist Canary Mugume erhielt im Mai 2025 eine Apple-Bedrohungsbenachrichtigung wegen möglicher Spyware-Infektion. Der Bericht verweist zudem auf das 126-Millionen-Dollar-Huawei-Safe-City-Projekt in Kampala und verpflichtende biometrische SIM-Registrierung.

Welcher Spyware-Anbieter verantwortlich war, ist nicht bewiesen, Apples Benachrichtigungen liefern keine forensische Attribution. Eine systematische unabhängige Geräteuntersuchung liegt nicht vor.

Ab Februar 2023 verhafteten tunesische Behörden im Rahmen des Verfahrens gegen die Opposition wegen angeblicher Verschwörung Politiker, Journalisten und Aktivisten. Behörden beschlagnahmten Mobiltelefone und werteten private Nachrichten auf WhatsApp, Telegram und Signal aus, die zur Begründung der Untersuchungshaft herangezogen wurden.

Mit welcher technischen Methode Zugriff auf verschlüsselte Messenger erlangt wurde, ist nicht dokumentiert. Die tunesische Regierung wies die Vorwürfe politischer Verfolgung zurück.

Am 05.10.2023 veröffentlichte das EIC gemeinsam mit dem Amnesty International Security Lab die Recherche Predator Files. Sie identifizierte mindestens 25 Staaten als Käufer oder Nutzer von Intellexa-Produkten, darunter Katar, Oman, die VAE, Kenia, Singapur, Pakistan, Jordanien und Vietnam. Die Intellexa Group wurde 2018 vom ehemaligen israelischen Armeeoffizier Tal Dilian gegründet.

Ob der katarische Staat die Predator-Spyware tatsächlich gegen konkrete Ziele einsetzte, ist nicht belegt. Die Quellen weisen Katar als Kunden aus, dokumentieren aber keine bestätigten Einzelfälle von Überwachung.

Eine gemeinsame Untersuchung von Access Now, Citizen Lab, Human Rights Watch und Amnesty International deckte auf, dass zwischen 2019 und September 2023 mindestens 35 Personen in Jordanien mit Pegasus infiziert oder angegriffen wurden, darunter 14 forensisch bestätigte Medienschaffende und acht Menschenrechtsanwälte.

Wer die Überwachung konkret anordnete, ist nicht belegt, die jordanische Regierung wird nur vermutet. Die Ermittler gehen von einer hohen Dunkelziffer über die 35 bestätigten Fälle hinaus aus.

Taiwans National Security Bureau dokumentierte für 2024 rund 2,16 Millionen Verbreitungen von Desinformationsinhalten chinesischen Ursprungs, ein Anstieg von 60 Prozent gegenüber 2023. Der Bericht identifizierte 28.216 inauthentische Accounts, davon 77,85 Prozent auf Facebook, sowie KI-gestützte Deepfake-Videos taiwanesischer Politiker.

Die Zahlen stammen ausschließlich vom taiwanesischen Geheimdienst, einer Konfliktpartei mit China, unabhängige Verifikation liegt nicht vor. Die Zurechnung zu staatlichen chinesischen Stellen wird behauptet, aber nicht forensisch belegt.

Der Bericht "Buying Spying" von Access Now dokumentiert den globalen Handel mit kommerzieller Ueberwachungstechnologie und identifiziert Bolivien unter den Staaten, die Mobilfunk-Abhoer- und Ortungssysteme (u.a. IMSI-Catcher- und Interception-Technologie israelischer Anbieter wie Ability/Rayzone) beschafft haben. Die Recherche stuetzt sich auf Exportunterlagen, Firmenregister und Beschaffungsdokumente und ordnet Bolivien in ein Netzwerk aus mindestens 15 Laendern ein, die aehnliche Systeme ohne ausreichende rechtliche Kontrolle einsetzen.

Der Bericht liefert keine Einzelfallbeweise fuer konkrete Ueberwachungsopfer in Bolivien, sondern stuetzt sich auf Beschaffungs- und Exportdaten sowie Firmenverflechtungen; welche bolivianische Behoerde die Systeme in welchem Umfang tatsaechlich einsetzt, bleibt unklar.

Im Rahmen des internationalen "Pegasus-Projekts" enthüllte das ungarische Investigativmedium Direkt36 gemeinsam mit Forbidden Stories und Amnesty International, dass die NSO-Group-Spyware Pegasus in Ungarn gegen mindestens zehn Journalisten, Medieneigentümer und deren Umfeld eingesetzt wurde, darunter der Direkt36-Reporter Szabolcs Panyi und der Fotograf Dániel Németh. Eine forensische Analyse von Amnesty International bestätigte erfolgreiche Pegasus-Infektionen auf mehreren Mobiltelefonen; die Nummern tauchten in einer Liste von über 50.000 potenziellen Zielen auf. Die ungarische Regierung räumte spaeter ein, dass Behörden legal Spyware-Verträge mit NSO Group unterhielten.

Belegt ist die technische Infektion einzelner Geräte per forensischer Analyse sowie der Verkauf/Einsatz von Pegasus in Ungarn; nicht abschließend geklärt ist, welche konkrete ungarische Behörde im Einzelfall die Überwachungsanordnung veranlasste, da keine unabhängige gerichtliche Untersuchung stattfand.

Laut einer WSJ-Recherche halfen Huawei-Techniker den sambischen Behörden dabei, Telefone und Facebook-Konten oppositioneller Blogger des Portals Zambian Watchdog zu überwachen und deren Verschlüsselung zu umgehen, was 2017 zur Festnahme zweier Blogger führte. Die Techniker arbeiteten direkt mit Regierungsbeamten der Cyber-Kriminalitätseinheit zusammen.

Die Recherche stützt sich auf anonyme Aussagen von Insidern; Huawei bestritt öffentlich jede Beteiligung. Der genaue Umfang der Beteiligung einzelner Huawei-Mitarbeiter bleibt unklar.

Citizen Lab dokumentierte gemeinsam mit Access Now, dass zwischen Juli 2020 und November 2021 mindestens 35 Geraete von Journalisten und Mitarbeitern zivilgesellschaftlicher Organisationen in El Salvador mit der NSO-Group-Software Pegasus infiziert wurden, darunter 22 Mitarbeiter des Onlinemediums El Faro. Die Regierung von Praesident Nayib Bukele uebernahm keine offizielle Verantwortung.

Citizen Lab nennt keinen direkten technischen Beweis, der die Bukele-Regierung als Auftraggeber zweifelsfrei identifiziert; die Zuordnung stuetzt sich auf Indizien, nicht auf forensisch nachgewiesene Kaeuferidentitaet.

Citizen Lab dokumentierte, dass mindestens neun bahrainische Aktivisten zwischen Juni 2020 und Februar 2021 mit der Pegasus-Spyware von NSO Group infiziert wurden. Die Angriffe erfolgten über Zero-Click-Exploits (KISMET, FORCEDENTRY) gegen iPhones, teils waehrend die Betroffenen bereits Asyl in Grossbritannien hatten.

Die Zuordnung des Betreiber-Clusters zu staatlichen Stellen Bahrains stützt sich auf forensische Indizien, nicht auf ein gerichtliches Eingeständnis; nicht belegt ist, wer innerhalb der Regierung konkret die Überwachung anordnete.

Im Rahmen des internationalen "Pegasus Project" wiesen forensische Analysen von Amnesty Internationals Security Lab nach, dass die Rufnummer des Mediapart-Chefredakteurs Edwy Plenel sowie weiterer franzoesischer Journalisten auf einer Liste von potenziellen NSO-Group-Zielen stand, die mit dem marokkanischen Nachrichtendienst in Verbindung gebracht wurde. Eine forensische Untersuchung des Telefons von Plenel bestaetigte Spuren einer Pegasus-Infektion im Jahr 2019.

Die technische Forensik belegt eine Infektion des Geraets, der eindeutige Nachweis einer direkten staatlichen Anordnung durch marokkanische Behoerden ist jedoch nicht oeffentlich dokumentiert; Marokko bestreitet die Vorwuerfe.

Citizen Lab dokumentierte gemeinsam mit den thailändischen Organisationen iLaw und DigitalReach mindestens 30 Fälle von Aktivisten, Anwälten und Unterstützern der Demokratiebewegung, deren Smartphones zwischen Oktober 2020 und November 2021 mit der NSO-Group-Spyware Pegasus infiziert wurden. Die Infektionen fielen zeitlich mit den landesweiten pro-demokratischen Protesten gegen Premierminister Prayuth Chan-o-cha zusammen.

Der Bericht benennt keinen konkreten staatlichen Auftraggeber; er stützt sich auf forensische Indizien für Pegasus-Infektionen und den Umstand, dass Thailand nachweislich Zugang zu Pegasus hatte, ohne dies einer bestimmten Behörde formal zuzuordnen.