Quellen-Tabelle

Die Große Kammer des EGMR entschied am 25.05.2021 im Fall Big Brother Watch u.a. gegen das Vereinigte Königreich, dass die britische Regelung zur Massenerfassung von Kommunikation (Bulk Interception nach RIPA) sowie die Regeln zur Herausgabe von Kommunikationsdaten gegen Artikel 8 und Artikel 10 EMRK verstießen, da ausreichende gesetzliche Kontrollmechanismen fehlten. Mit 12 zu 5 Stimmen entschied das Gericht, dass der Austausch von Geheimdienstinformationen mit ausländischen Regierungen keinen Konventionsverstoß darstellte. Der Fall geht auf die Snowden-Enthüllungen 2013 über GCHQ zurück.

Das Urteil erklärt Massenüberwachung nicht grundsätzlich für konventionswidrig, sondern formuliert acht Mindestkriterien. Wie das seit 2016 geltende Investigatory Powers Act an diesen Kriterien zu messen ist, bleibt offen, da sich das Urteil noch auf die alte Rechtslage (RIPA) bezog.

Der EGMR entschied am 06.09.1978 im Fall Klass u.a. gegen Deutschland über das deutsche G10-Gesetz von 1968 zur geheimen Überwachung von Post und Telekommunikation. Fünf deutsche Juristen hatten die Regelung angefochten, ohne dass eine konkrete Überwachung ihrer eigenen Person nachgewiesen war. Das Gericht stellte fest, dass keine Verletzung von Artikel 8 oder 13 EMRK vorlag, da das G10-Gesetz mit der G10-Kommission ausreichende Kontrollmechanismen vorsehe. Es war das erste EGMR-Urteil zur grundsätzlichen Vereinbarkeit geheimer Überwachungsgesetze mit der Menschenrechtskonvention.

Das Urteil erklärte nicht pauschal jede Form geheimer Überwachung für konventionskonform, sondern nur die damalige Fassung des G10-Gesetzes. Ob die Beschwerdeführer selbst tatsächlich abgehört wurden, blieb offen.

Die Große Kammer des EGMR urteilte am 04.12.2015 einstimmig, dass das russische Überwachungssystem SORM gegen Artikel 8 EMRK verstößt. Russische Mobilfunkanbieter sind verpflichtet, Technik zu installieren, die Sicherheitsbehörden direkten Zugriff auf die Telekommunikation aller Nutzer ermöglicht, ohne wirksame vorherige richterliche Kontrolle. Der Gerichtshof ließ die Beschwerde bereits wegen der abstrakten Möglichkeit der Erfassung als Mobilfunknutzer zu, ohne dass eine konkrete eigene Überwachung nachgewiesen werden musste.

Ob Roman Zakharov selbst tatsächlich überwacht wurde, ist nicht belegt, die Beschwerde richtete sich abstrakt gegen die Rechtslage. Russland erkennt seit dem Ausschluss aus dem Europarat 2022 keine Bindung an EGMR-Entscheidungen mehr an.

Der Investigatory Powers Act 2016 erhielt am 29.11.2016 die königliche Zustimmung und ist im Vereinigten Königreich als Snoopers Charter bekannt. Section 87 ermächtigt den Innenminister, retention notices an Telekommunikationsanbieter zu richten. Eine solche Anordnung darf die Speicherung von Daten nicht für mehr als 12 Monate vorschreiben, betroffene Anbieter müssen insbesondere Internet Connection Records speichern.

Wie viele Anbieter tatsächlich eine retention notice erhielten, geht aus dem Gesetzestext nicht hervor, Inhalt und Empfänger solcher Anordnungen sind vertraulich. Das High-Court-Urteil von 2018 im Verfahren Liberty gegen die Regierung ist nicht Teil dieser Quelle.

Der US-Senat verabschiedete in der Nacht zum 20.04.2024 mit 60 zu 34 Stimmen den Reforming Intelligence and Securing America Act (RISAA). Präsident Biden unterzeichnete das Gesetz noch am selben Tag, nur Stunden nachdem die Befugnis nach Section 702 FISA technisch ausgelaufen war. RISAA verlängert Section 702, das die warrantlose Überwachung von Kommunikation nicht-amerikanischer Personen im Ausland erlaubt, um zwei Jahre bis zum 20.04.2026.

Wie die enthaltenen Reformen zu FBI-Abfragen in der Praxis kontrolliert werden, geht aus der Pressemitteilung nicht hervor. Wie viele US-Personen durch die erweiterte Definition betroffen sein könnten, wird nicht beziffert.

Der US Supreme Court entschied am 26.02.2013 mit 5 zu 4 Stimmen im Fall Clapper gegen Amnesty International USA. Kläger waren Menschenrechtsorganisationen und Anwälte, die Section 702 des FISA Amendments Act wegen befürchteter Überwachung anfochten. Das Gericht urteilte, die Kläger besäßen keine Klagebefugnis, da ein drohender Schaden zu spekulativ sei.

Ob die Kläger tatsächlich Ziel einer Überwachung waren, prüfte das Gericht mangels Klagebefugnis nicht inhaltlich. Spätere Snowden-Enthüllungen ab 2013 zeigten, dass die befürchtete Überwachung tatsächlich stattfand, was das Urteil selbst nicht mehr beeinflusste.

Im Dezember 2013 verlangte ein US-Bundesrichter von Microsoft die Herausgabe von E-Mail-Inhalten, die in einem Rechenzentrum in Dublin gespeichert waren. Microsoft focht dies an, am 14.07.2016 entschied das Berufungsgericht des Zweiten Bezirks zugunsten von Microsoft. Am 17.04.2018 erklärte der Supreme Court den Fall für gegenstandslos, nachdem der CLOUD Act eine neue gesetzliche Grundlage geschaffen hatte und das Justizministerium einen neuen Durchsuchungsbeschluss erwirkte.

Da der Supreme Court den Fall wegen Gegenstandslosigkeit nicht in der Sache entschied, bleibt offen, wie er über die extraterritoriale Reichweite von US-Durchsuchungsbeschlüssen geurteilt hätte.

Die Europäische Kommission verabschiedete am 12.07.2016 den Angemessenheitsbeschluss 2016/1250 zum EU-US Privacy Shield, dem Nachfolgeabkommen für das im Oktober 2015 vom EuGH im Schrems-I-Urteil gekippte Safe-Harbor-Abkommen. US-Unternehmen mussten sich beim US-Handelsministerium selbst zertifizieren. Neu war ein Ombudsperson-Mechanismus im US-Außenministerium für Beschwerden von EU-Bürgern über Zugriffe US-amerikanischer Nachrichtendienste. Die Artikel-29-Datenschutzgruppe bemängelte im April 2016, anlasslose Massenüberwachung bleibe weiterhin zulässig. Der EuGH erklärte das Privacy Shield am 16.07.2020 im Schrems-II-Urteil für ungültig.

Die genaue Zahl der 2016 bereits zertifizierten Unternehmen ist nicht dokumentiert. Wie wirksam der Ombudsperson-Mechanismus in der Praxis funktionierte, ist offen, da die Kommission dessen Unabhängigkeit anders bewertete als die Artikel-29-Gruppe und das Europäische Parlament.

Das US-Geheimgericht Foreign Intelligence Surveillance Court urteilte am 03.10.2011 unter Richter John D. Bates, dass Teile der NSA-Internetüberwachung nach Section 702 des FISA Amendments Act gegen den vierten Verfassungszusatz verstießen. Betroffen war das Upstream-Programm, mit dem die NSA über Telekommunikationsanbieter Daten direkt aus den Glasfaserleitungen des Internet-Backbones abgriff, als Ergänzung zum Programm PRISM. Laut dem am 21.08.2013 nach ACLU-Klagen freigegebenen Urteil sammelte die NSA über mehrere Jahre bis zu 56.000 rein innerhalb der USA geführte Kommunikationen pro Jahr, obwohl das Gesetz dies verbietet. Bates warf der Regierung vor, dem Gericht bereits zum dritten Mal in weniger als drei Jahren den tatsächlichen Umfang ihrer Datensammlung falsch dargestellt zu haben.

Wie viele der rund 56.000 betroffenen Kommunikationen tatsächlich reine Inlandskommunikation ohne Auslandsbezug enthielten, ist nicht belegt. Das veröffentlichte Urteil ist stark geschwärzt, technische Details zu Upstream sind öffentlich nicht vollständig nachvollziehbar. Eine offizielle Gesamtzahl aller über Upstream und PRISM erfassten Kommunikationen wurde bis heute nicht veröffentlicht.

Das US-Justizministerium reichte am 02.08.2024 im Auftrag der FTC Klage gegen TikTok, ByteDance und verbundene Unternehmen ein. Die Klage wirft TikTok vor, seit mindestens 2019 wissentlich Millionen Kindern unter 13 Jahren die Nutzung der Plattform ermöglicht und dabei ohne elterliche Einwilligung nach COPPA Daten gesammelt zu haben, sowie gegen eine bestehende FTC-Vergleichsvereinbarung von 2019 verstoßen zu haben. Am 21.08.2026 einigten sich TikTok, ByteDance und das Justizministerium auf einen Vergleich über 400 Millionen US-Dollar.

Wie viele Kinderkonten unter 13 Jahren tatsächlich betroffen waren, ist nicht öffentlich beziffert. Die theoretisch mögliche Höchststrafe wurde nie ausgeurteilt, da der Fall durch einen deutlich niedrigeren Vergleich endete. TikTok und ByteDance mussten kein Fehlverhalten eingestehen.

Die Deutsche Telekom AG ließ 2005/2006 durch ihre Konzernsicherheitsabteilung heimlich Telefonverbindungsdaten von Aufsichtsratsmitgliedern, Journalisten und weiteren Personen erheben und von einer Detektei auswerten, um die Quelle vertraulicher Presseinformationen zu ermitteln. Öffentlich bekannt wurde die Affäre 2008. Das Landgericht Bonn verurteilte den zuständigen Ex-Leiter der Konzernsicherheit am 30.11.2010 zu drei Jahren und sechs Monaten Haft, der BGH bestätigte das Urteil am 10.10.2012 als rechtskräftig. Nach Medienberichten waren rund 60 Personen betroffen, darunter mehrere Vorstands- und Aufsichtsratsmitglieder.

Die genaue Zahl der Betroffenen schwankt zwischen 55 und rund 60 Personen, eine vollständige Opferliste wurde nie veröffentlicht. Die früheren Spitzenmanager Kai-Uwe Ricke und Klaus Zumwinkel wurden strafrechtlich nicht verurteilt, einigten sich aber zivilrechtlich auf Schadensersatz.

AT&T teilte am 12.07.2024 mit, dass Unbekannte zwischen dem 14. und 25.04.2024 unbefugt auf eine Arbeitsumgebung beim Cloud-Anbieter Snowflake zugriffen und Anruf- und SMS-Verbindungsdaten herunterluden. Betroffen waren praktisch alle rund 110 Millionen AT&T-Mobilfunkkunden für Zeiträume 2022/2023, erbeutet wurden kontaktierte Rufnummern, Verbindungsdauer und teils grobe Standortangaben. Laut AT&T waren Inhalte, Sozialversicherungsnummern und Geburtsdaten nicht betroffen. Presseberichten zufolge zahlte AT&T am 17.05.2024 rund 370.000 Dollar in Bitcoin für die Löschung der Daten. Der Vorfall gehörte zur selben Snowflake-Angriffswelle wie Ticketmaster und Banco Santander.

AT&T bestätigte die kolportierte Zahlung nicht offiziell, sie stammt aus Presseberichten über einen Vermittler. Die Nennung von Snowflake als betroffenem Anbieter stammt aus unabhängiger Berichterstattung, nicht aus der AT&T-Mitteilung selbst. Diese Datenleck ist von einem separaten, früheren AT&T-Vorfall (Dark-Web-Datensatz aus alten 2019er Daten) zu unterscheiden.

Der US Supreme Court entschied am 29.06.2026 in der Sache Trump v. Slaughter mit sechs zu drei Stimmen, dass der Präsident FTC-Mitglieder auch ohne gesetzlich verlangten wichtigen Grund entlassen darf, und kippte damit den fast 90 Jahre alten Präzedenzfall Humphrey's Executor. noyb erklärte, die FTC gelte dadurch nicht mehr als unabhängige Aufsichtsbehörde im Sinne des EU-Rechts, und verwies darauf, dass sich der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 an 259 Stellen auf die FTC-Unabhängigkeit stütze. noyb forderte die EU-Kommission zum geordneten Widerruf auf und kündigte andernfalls eine EuGH-Klage an.

Ob die EU-Kommission dem Widerrufswunsch folgt, war zum Recherchezeitpunkt offen. Die Zahl von 259 FTC-Nennungen stammt aus noybs eigener Auswertung, nicht von einer EU-Institution bestätigt. Praktische Folgen für die zertifizierten US-Unternehmen sind unklar.

Am 25.06.2024 bekannte sich Julian Assange vor einem US-Bundesgericht in Saipan schuldig, mit Chelsea Manning zur unrechtmäßigen Beschaffung und Veröffentlichung geheimer Verteidigungsdokumente verschworen zu haben. Nach Jahren in der ecuadorianischen Botschaft, Festnahme 2019 und Haft im Gefängnis Belmarsh wurde ihm eine Haftstrafe von 62 Monaten zugemessen, die der bereits verbüßten Zeit entsprach, sodass er ohne weitere Haft freikam und nach Australien zurückkehrte.

Nicht dokumentiert ist, welche konkreten Verhandlungen zwischen Assanges Verteidigung, der australischen Regierung und dem US-Justizministerium im Vorfeld stattfanden. Die genaue Zahl der durch die Veröffentlichungen 2010/2011 gefährdeten Personen ist nicht abschließend verifiziert. Es kam durch den Deal nicht zu einem abschließenden britischen Gerichtsurteil in der Sache.

Der frühere CIA-Softwareentwickler Joshua Schulte wurde am 01.02.2024 zu 40 Jahren Haft verurteilt. Er hatte 2016 geheime Hacking-Tools und Cyberwaffen der CIA an WikiLeaks weitergegeben, die diese ab dem 07.03.2017 unter dem Namen Vault 7 veröffentlichte, laut CIA der größte Diebstahl geheimer Unterlagen in ihrer Geschichte mit rund 8.761 Dokumenten. Ein New Yorker Bundesgericht sprach Schulte im Juli 2022 in einem dritten Prozess schuldig, nachdem zwei vorherige Prozesse 2020 mit hängender Jury endeten. Zusätzlich wurde er wegen Besitzes kinderpornografischen Materials verurteilt.

Nicht öffentlich dokumentiert ist, welchen konkreten operativen Schaden die Vault-7-Veröffentlichung für laufende CIA-Operationen verursachte. Schulte bestritt die Tat durchgehend und bezeichnete sich als Opfer einer Verschwörung. Unklar bleibt, ob WikiLeaks vor der Veröffentlichung tatsächlich alle betroffenen Hersteller informierte, wie behauptet wurde.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Firmen NSO Group und Candiru auf die Entity List. Grundlage war die Feststellung, dass beide Firmen Spyware entwickelten und an ausländische Regierungen lieferten, die damit gezielt Regierungsbeamte, Journalisten und Aktivisten überwachten. Die Aufnahme beschränkt den Export von US-Technologie an die betroffenen Firmen ohne behördliche Sondergenehmigung.

Nicht dokumentiert ist, welche konkreten Staaten die Spyware im Einzelfall einsetzten. Offen bleibt, wie wirksam die Eintragung die tatsächliche Verbreitung der Spyware einschränkte, da NSO Group außerhalb der USA operiert.

Die FCC beschloss am 25.11.2022 neue Regeln, die Überwachungskameras der chinesischen Hersteller Hikvision und Dahua sowie Geräte von Huawei, ZTE und Hytera von neuen Zulassungen ausschließen, gestützt auf den Secure Equipment Act of 2021. Ohne FCC-Zertifizierung dürfen betroffene Geräte nicht mehr importiert werden. Im April 2024 bestätigte ein US-Berufungsgericht das Verbot, nachdem die Hersteller dagegen geklagt hatten.

Nicht dokumentiert ist ein konkreter Einzelfall, in dem eine Kamera nachweislich Daten an chinesische Behörden übermittelt hat, die FCC-Begründung stützt sich auf eine allgemeine Sicherheitsbewertung. Offen bleibt, wie viele bereits installierte Altgeräte weiterhin in Betrieb sind, da das Verbot nur Neuzulassungen betrifft.

Die Bundesnetzagentur untersagte am 16.02.2017 Verkauf und Besitz der Puppe My Friend Cayla und stufte sie nach Paragraf 90 TKG als verbotene Sendeanlage ein. Die Puppe verband sich per unverschlüsselter Bluetooth-Verbindung mit einer App und konnte Gespräche aus Kinderzimmern übertragen. Ein Saarbrücker Jurastudent dokumentierte, dass jedes Bluetooth-fähige Gerät im Umkreis von rund zehn Metern unbefugt zugreifen konnte. Besitz kann mit bis zu zwei Jahren Freiheitsstrafe geahndet werden.

Nicht dokumentiert ist, wie viele Puppen tatsächlich verkauft wurden. Dokumentierte Missbrauchsfälle mit realem Abhörschaden sind nicht bekannt. Die rechtliche Einordnung als verbotene Sendeanlage war unter Juristen umstritten.

Am 05.10.2023 veröffentlichte das Medienkonsortium European Investigative Collaborations gemeinsam mit dem Security Lab von Amnesty International die Recherche Predator Files. Der Bericht dokumentiert, dass die Spyware Predator, hergestellt vom Intellexa-Konsortium um die Nexa-Gruppe aus Frankreich, in mindestens 25 Ländern verkauft wurde, darunter Oman, Katar, Kenia, die VAE, Vietnam, Sudan und Ägypten. Das Intellexa-Konsortium wurde 2018 vom ehemaligen israelischen Militäroffizier Tal Dilian mitgegründet.

Nicht abschließend dokumentiert ist, in welchem Umfang Predator in jedem der 25 Länder operativ eingesetzt wurde. Die Eigentümer- und Kontrollstruktur des Intellexa-Konsortiums bleibt teilweise intransparent, da mehrere ineinander verschachtelte Firmen in verschiedenen Staaten involviert sind.

Kenny Paterson, Matteo Scarlata und Kien Tuong Truong von der Applied Cryptography Group der ETH Zürich veröffentlichten eine kryptografische Sicherheitsanalyse des Schweizer Messengers Threema, vorgestellt auf dem USENIX Security Symposium 2023. Die Forscher beschrieben sieben Angriffe, die unter anderem das Wiederherstellen von langfristigen privaten Schlüsseln und das Umgehen der Authentifizierung ermöglichen konnten, eine Methode nutzte einen Seitenkanal über die Größe verschlüsselter Backups. Die Forscher informierten Threema im Oktober 2022, im November 2022 veröffentlichte Threema ein neues Protokoll namens Ibex, das die Probleme beheben soll.

Nicht dokumentiert ist, ob die Schwachstellen jemals praktisch ausgenutzt wurden. Threema erklärte, die Lücken hätten keine realen Auswirkungen gehabt, was von den ETH-Forschern als beschönigend kritisiert wurde. Die technische Wirksamkeit des neuen Ibex-Protokolls wurde nicht unabhängig extern nachgeprüft.

Die EU-Kommission stellte am 06.02.2026 vorläufig fest, dass TikTok mit suchtfördernden Designelementen wie endlosem Scrollen und Autoplay gegen den Digital Services Act verstößt. Das förmliche Verfahren war bereits im Februar 2024 eröffnet worden. Laut Kommission ignorierte TikTok Anzeichen für zwanghafte Nutzung bei Minderjährigen, bestehende Schutzmaßnahmen seien leicht zu umgehen.

Es handelt sich um eine vorläufige Feststellung, kein rechtskräftiges Bußgeld. Eine konkrete Bußgeldhöhe wurde nicht genannt, theoretisch wären nach DSA bis zu 6 Prozent des weltweiten Jahresumsatzes möglich, dies ist aber nicht bestätigt.

Im Oktober 2024 verschaffte sich ein Angreifer unbefugten Zugriff auf IT-Systeme der Gesundheitsbehörde Health New Zealand Te Whatu Ora in der Central Region. Kompromittiert wurden Personaldaten aktueller und ehemaliger Mitarbeitender von 2020 bis 2024, darunter medizinische Beurteilungen. Die Polizei nahm strafrechtliche Ermittlungen auf.

Die genaue Zahl betroffener Personen ist nicht dokumentiert. Die Identität des Angreifers ist offiziell nicht bestätigt, ein Gerichtsverfahren steht noch aus.

Apple benachrichtigte die ecuadorianische Politikanalystin und Antikorruptions-Aktivistin Gabriela Panchana am 13.08.2026 direkt darüber, dass ihr iPhone Ziel eines staatlich anmutenden, gezielten Spyware-Angriffs gewesen sei. Ihr Anwalt erstattete daraufhin Strafanzeige und forderte eine Untersuchung staatlicher Geheimdienstverträge.

Zum Zeitpunkt der Berichterstattung lag kein bestätigtes forensisches Ergebnis vor, welcher konkrete Spyware-Hersteller tatsächlich verantwortlich ist; die Einordnung beruht auf der Angriffsmethodik der Apple-Benachrichtigung, nicht auf einer forensischen Bestätigung durch Citizen Lab.

Die spanische Regierung entließ im August 2022 Paz Esteban, Direktorin des Auslandsgeheimdienstes CNI, als politische Konsequenz aus der Pegasus-Affäre, nachdem auch die Mobiltelefone von Ministerpräsident Pedro Sánchez und Verteidigungsministerin Margarita Robles infiziert worden waren. Die CNI hatte zuvor eingeräumt, in 18 der katalanischen Fälle mit richterlicher Genehmigung selbst überwacht zu haben.

Die genaue Rolle des CNI bei allen 65 dokumentierten Pegasus-Fällen ist bis heute nicht vollständig aufgeklärt; zur Urheberschaft der Infektionen von Sánchez und Robles gibt es keine offizielle abschließende Zuschreibung.