Quellen-Tabelle

5 Mio. Euro Bußgeld gegen Replika-Betreiber Luka Inc. wegen fehlender Rechtsgrundlage und Altersverifikation.

Zusätzliche Untersuchung zu KI-Trainingsmethoden eingeleitet, Ausgang offen.

ChatGPT stellte Norweger fälschlich als Kindermörder dar, noyb-Beschwerde bei Datatilsynet wegen Art.5(1)(d) DSGVO.

Entscheidung der norwegischen Behörde zum Zeitpunkt der Quelle noch offen.

Behördenanfragen an Telegram in Frankreich von 4 (Q1 2024) auf 668 (Q1 2025) gestiegen, nach Durov-Verhaftung.

Dauerhaftigkeit der Kooperation nicht belegt.

ARD/ZDF-Altersprüfung prüft MRZ-Ausweisdaten rein clientseitig, erfundene aber gültige Daten umgehen Sperre.

Ob Schwachstelle inzwischen behoben, nicht belegt.

Spotify nutzt Streamingverlauf für Werbung, gibt pseudonymisierte Hörverhaltensdaten vertraglich an Rechteinhaber weiter.

Konkrete Empfänger-Firmen nicht genannt.

EU-Kommission plant Vorratsdatenspeicherung inkl. Messenger-Metadaten, 16 von 37 Staaten verlangen SIM-Registrierung.

Offizieller Gesetzesvorschlag stand noch aus.

WhatsApp sammelt unabschaltbare Metadaten, mind. 13 Meta-Bibliotheken, ~1.500 Ingenieure hatten Datenzugriff.

Chat-Inhalte bleiben laut Bericht verschlüsselt.

EU-Staaten favorisieren 6-12 Monate Speicherung von Messenger-Metadaten, Kommissionsvorschlag für Mitte 2026 erwartet.

Genauer Gesetzestext noch nicht vorliegend.

EU-Parlament verfehlt Mehrheit gegen freiwillige Chatkontrolle, E2E-verschlüsselte Dienste bleiben ausgenommen.

Verpflichtende Chatkontrolle 2.0 verhandelt weiter parallel.

Review fand 3 mittelschwere, 1 leichten Befund, keine kritischen Schwachstellen, SHA3-256 nachgerüstet.

Mobile Schlüsselverwaltung nicht vollständig geprüft.

Zwei hochschwere Föderationsprotokoll-Schwachstellen (CVE-2025-49090) behoben durch Spec 1.16.

Aktive Ausnutzung vor Fix nicht belegt.

MGM Security Partners fand nur 3 Schwachstellen niedrigen Schweregrads bei Synapse/Element-Code.

Nur statische Code-Analyse, keine vollständige kryptografische Protokollanalyse.

Session kündigt Perfect Forward Secrecy und Post-Quanten-Verschlüsselung (ML-KEM) an.

Protokoll zum Meldungszeitpunkt noch nicht finalisiert.

UID2 wandelt First-Party-Daten wie E-Mail in gehashte Identifikatoren für Targeting ohne Third-Party-Cookies.

Keine Reichweitenzahlen genannt.

Telekom, 1&1, O2 bestätigen keine nennenswerten SIM-Swapping-Aktivitäten gegen deutsche Kunden nach Phishing-Wellen Frühjahr 2024.

Selbstauskünfte der Anbieter, keine unabhängige Statistik.

Amazon-Mitarbeitende werten weltweit Alexa-Sprachaufnahmen manuell aus, mit Zugriff auf Standort-/Adressdaten.

Basiert auf anonymen Insider-Aussagen, nicht repräsentativ verallgemeinerbar.

BBC-Journalistin überwand mit KI-geklonter eigener Stimme Voice-ID-Prüfung bei Santander und Halifax.

Journalistischer Selbstversuch mit nur zwei Banken.

T-Mobile musste nach SIM-Swap-Angriff 2020 (Diebstahl von ~38 Mio. USD Krypto) 33 Mio. USD Entschädigung zahlen.

Stützt sich auf privates Schiedsverfahren.

43 US-Generalstaatsanwälte einigten sich auf 18-Mio.-USD-Zahlung von 23andMe wegen unzureichender Sicherheitsmaßnahmen beim Datenleck 2023.

Behördliche Pressemitteilung mit erfolgsorientierter Darstellung.

CBP durchsuchte im FJ 2025 landesweit 55.318 elektronische Geräte, Anstieg von 17,6% gegenüber 2024.

Presseauswertung offizieller CBP-Statistiken.

Die Berliner Datenschutzbehörde verhängte gegen Delivery Hero (Lieferheld, pizza.de, Foodora) ein Bußgeld von 195.000 Euro, weil das Unternehmen Auskunfts-, Lösch- und Widerspruchsrechte von Kunden missachtete.

Journalistischer Bericht über einen einzelnen Bußgeldbescheid, keine Primärquelle der Aufsichtsbehörde selbst.

Lieferando erfasst über die App Scoober rund 39 Datenpunkte pro Lieferung und überträgt Standortdaten der Fahrer alle 15-20 Sekunden; der LfDI Baden-Württemberg stufte dies als rechtswidrig ein.

Fachanwaltsblog-Beitrag, keine offizielle Behördenentscheidung mit Aktenzeichen.

Amazon rüstet Lieferfahrzeuge mit KI-gestützten Kameras (Netradyne Driver-i) aus, die kontinuierlich filmen und Fahrereignisse dokumentieren; Fahrer müssen der biometrischen Datenspeicherung schriftlich zustimmen.

Bericht auf Basis eines internen Schulungsvideos, keine unabhängige aufsichtsbehördliche Prüfung in Deutschland.

Auch bei Ende-zu-Ende-verschlüsselten Messengern wie WhatsApp gilt die Verschlüsselung nur für den Nachrichteninhalt, nicht für Metadaten wie Sender, Empfänger, Zeitpunkt, Datum und Nachrichtengröße, aus denen sich ablesen lässt, wer mit wem wann kommuniziert; der Meta-Konzern speichert diese Metadaten zentral auf eigenen Servern. Michael Hayden, sowohl ehemaliger NSA-Direktor (1999–2005) als auch CIA-Direktor (2006–2009), erklärte im April 2014 bei einer öffentlichen Debatte an der Johns Hopkins University wörtlich: 'We kill people based on metadata' ('Wir töten Menschen basierend auf Metadaten'), um die geheimdienstliche Relevanz von Metadaten trotz Inhaltsverschlüsselung zu unterstreichen.

Das Zitat bezieht sich auf US-Drohnenoperationen im Kontext von NSA-Metadatenauswertung allgemein, nicht speziell auf WhatsApp-Metadaten; die Übertragbarkeit auf zivile Messenger-Nutzung wird in dieser Quelle als Beispiel, nicht als belegter Einzelfall dargestellt.

Von 2013 bis 2016 erhielt Open Whisper Systems, der Vorläufer des heutigen Signal-Messengers, rund 2,955 Millionen US-Dollar vom Open Technology Fund (OTF). Der OTF ist ein Unterprojekt von Radio Free Asia, das wiederum zur U.S. Agency for Global Media (USAGM) gehört, einer mit rund einer Milliarde US-Dollar jährlich vom US-Kongress finanzierten Bundesbehörde. Die Signal Foundation hat bislang zu keinem Zeitpunkt Finanzberichte veröffentlicht oder die Identität ihrer Spender offengelegt; für 2024 meldete die Stiftung dennoch Einnahmen von 29.413.537 US-Dollar und Ausgaben von 38.019.696 US-Dollar.

Eine staatliche Anschubfinanzierung eines Open-Source-Projekts ist keine Aussage über eine bestehende Kontrolle des Quellcodes oder der Verschlüsselung durch die US-Regierung; der quelloffene Code von Signal wird unabhängig von Kryptographen geprüft. Die genannte Finanzierungssumme betrifft eine frühe Entwicklungsphase, nicht den heutigen Betrieb.