Quellen-Tabelle

Die Angriffsvarianten sind laut Tschirsich mindestens seit 2012 bekannt. Das komplette Prozedere war mit einem Aufwand von etwa einer Stunde verbunden und ermöglichte je nach Art der Identität Zugriff auf eine einzelne ePA oder auf alle Akten einer Praxis. Wichtige methodische Selbstkritik der Forscher: "Wir haben lediglich Dinge geprüft, die uns als Erstes untergekommen sind" — keine umfassende Sicherheitsanalyse, und alle Szenarien aus der Außentäterperspektive (Innentäter-Szenarien wären zusätzlich denkbar).

Zwei sehr wichtige Präzisierungen für Blackstones Sorgfaltspflicht: Erstens sind die grundlegenden Schwachstellen-Kategorien seit 13 Jahren bekannt (2012) — das ist kein neues, sondern ein chronisches, nie vollständig gelöstes Problem. Zweitens — und das ist besonders wichtig — betonen die Forscher selbst ausdrücklich, dass sie KEINE umfassende Sicherheitsanalyse durchgeführt haben, sondern nur naheliegende Probleme prüften. Das bedeutet: Die tatsächliche Angriffsfläche könnte größer sein als bekannt — aber Blackstone sollte diese Unsicherheit auch nicht überzeichnen, sondern die eigene Zurückhaltung der Forscher genauso übernehmen.

Ungeschützter Elasticsearch-Cluster mit ~367.000 internen Nextcloud-Datensätzen entdeckt, darunter Zugangsdaten. Geschlossen ab 27.05.2026.

Auch Nextcloud selbst hatte ein Datenleck - EU-Herkunft allein garantiert keine Sicherheit. Betraf interne Geschäftsdaten, nicht Kunden.

Proton Drive verschlüsselt Ende-zu-Ende (Zero-Knowledge), hostet in der Schweiz außerhalb EU/US-Jurisdiktion.

Produkttest, keine unabhängige Sicherheitsprüfung oder juristische Analyse der Schweizer Herausgabepflichten.

BVerwG untersagt PKV-Analyse von Abrechnungsdaten ohne Einwilligung für Vorsorgeprogramm-Auswahl.

Krankenversicherer dürfen nicht heimlich Diagnosen für Bonusprogramme auswerten.

16 europäische Länder als 'hohes Risiko' bei US-Verteidigungs-Cloud-Abhängigkeit eingestuft, Österreich einziges Land mit Open-Source-Unabhängigkeit.

Kein realer Kill-Switch-Fall im Verteidigungsbereich belegt, nur strukturelles Risiko.

US-Hyperscaler kontrollieren ~70% des europäischen Cloud-Marktes, EU-Anbieter nur ~15%, neue Initiativen DNA/EURO-3C/CAIDA.

Trotz EU-Initiativen dominieren US-Konzerne weiterhin.

Schrems kritisiert Schwächung der DPF-Aufsichtsgremien in USA, bereitet mögliche 'Schrems III'-Klage vor.

Klage zum Zeitpunkt des Artikels erst angekündigt, nicht eingereicht.

BGH verhandelt über intransparente Kopplung von Überschussanteilen an fristgerechte Gesundheitsdaten-Übermittlung bei Generali Vitality.

Konkretes Endurteil nicht belegt, nur Verhandlungstermin.

Lücke im Google-Wiederherstellungsformular ermöglichte Brute-Force-Ermittlung von Telefonnummern, geschlossen bis 06.06.2025.

Aktive Ausnutzung vor Meldung nicht belegt.

Delos-Co-CEO räumt ein: Souveränität nur 'mit Verfallsdatum', Betrieb bei Microsoft-Ausfall nur wenige Monate möglich.

Häufigkeit realer US-Zugriffe nicht belegt.

BW-Innenministerium: Drittstaatenzugriffe trotz BSI-Zertifizierung 'in einer Grauzone nicht ausgeschlossen'.

Tatsächlicher Zugriffsfall nicht belegt.

Deutsche Verwaltungscloud seit April 2025 produktiv, SAP/OpenAI kooperieren für generative KI auf Delos Cloud.

Priorisierungspflicht/Kosten nicht konkret belegt.

Privacy International/Mozilla: populäre Zyklus-Apps verkaufen Daten an Werbetreibende, Flo-Klage zu Google/Meta-Weitergabe 2016-2019.

Aktueller Rechtsstand der Flo-Klage nicht belegt.