Quellen-Tabelle

Nach der Veröffentlichung der Ashley-Madison-Nutzerdaten im August 2015 durch die Gruppe The Impact Team setzte die Betreiberfirma Avid Life Media am 24.08.2015 eine Belohnung von 500.000 kanadischen Dollar für Hinweise zur Identifizierung der Täter aus. Mit der Ermittlung befasst waren der Toronto Police Service, die Royal Canadian Mounted Police, die Ontario Provincial Police sowie FBI und Department of Homeland Security. Ashley-Madison-CEO Noel Biderman äußerte öffentlich den Verdacht, hinter dem Hack stecke eine Person mit internem Zugang, ohne dass dieser Verdacht je zu einer Anklage führte. Laut einer Rückschau von Krebs on Security vom 26.07.2022 war trotz der Belohnung bis dahin niemand angeklagt worden, die Identität von The Impact Team blieb ungeklärt.

Ob die Belohnung jemals ausgezahlt wurde, ist nicht dokumentiert. Die These eines internen Täters stammt aus öffentlichen Äußerungen des CEO und wurde nie durch eine Anklage belegt. Unklar bleibt, ob eine Einzelperson oder eine Gruppe verantwortlich war. Die Behörden kommunizierten nach 2015 keine öffentlichen Zwischenstände mehr.

Die IT-Sicherheitsfirma CrowdStrike identifizierte im Auftrag des Democratic National Committee im Juni 2016 zwei getrennte Eindringlinge in die Netzwerke der Partei: die Gruppe Cozy Bear seit Sommer 2015 sowie die Gruppe Fancy Bear seit etwa März 2016. Erbeutete interne E-Mails wurden ab Juni 2016 über die Online-Persona Guccifer 2.0 verbreitet; WikiLeaks veröffentlichte am 22.07.2016 rund 19.000 DNC-E-Mails kurz vor dem Nominierungsparteitag der Demokraten. Im Juli 2018 erhob die US-Justiz Anklage gegen zwölf Offiziere des russischen Militärgeheimdienstes GRU wegen Verschwörung zu Computerbetrug.

Keiner der zwölf angeklagten GRU-Offiziere wurde je festgenommen oder vor einem US-Gericht verurteilt, da Russland keine Auslieferung eigener Staatsbürger vornimmt. Das FBI erhielt keinen direkten forensischen Zugriff auf die physischen DNC-Server, sondern stützte sich auf Analysen des Dienstleisters CrowdStrike. WikiLeaks bestritt wiederholt, dass die Daten von einem russischen Staatsakteur stammten.

Am 25.06.2013 reichte Max Schrems bei der irischen Datenschutzbehörde eine Beschwerde gegen Facebook Ireland Ltd ein, ausgelöst durch die PRISM-Enthüllungen. Er argumentierte, Facebook Irland dürfe Nutzerdaten nicht an Facebook USA übermitteln, da diese dort dem NSA-Zugriff ausgesetzt seien. Der Datenschutzkommissar wies die Beschwerde im Juli 2013 als mutwillig und schikanös zurück. Schrems focht dies vor dem irischen High Court an, der am 18.06.2014 entschied, die von Snowden aufgedeckte Überwachung wäre nach irischem Verfassungsrecht unzulässig, und die EU-rechtlichen Fragen dem EuGH vorlegte (Rechtssache C-362/14).

Das genaue Datum der behördlichen Zurückweisung im Juli 2013 wird in Quellen unterschiedlich angegeben. Die oft zitierten 22 Beschwerden von Schrems beziehen sich auf ein früheres, breiteres Beschwerdepaket von 2011/2012 zu anderen Themen und sind von dieser spezifischen PRISM-Beschwerde zu unterscheiden. Der eigentliche EuGH-Richterspruch von 2015 zu Safe Harbor ist bereits gesondert dokumentiert und nicht Gegenstand dieses Eintrags.

Der Kanadier Connor Riley Moucka bekannte sich am 05.08.2026 vor einem US-Bundesgericht in vier Anklagepunkten schuldig: Computerbetrug, Drahtbetrug, schwerer Identitätsdiebstahl und Verschwörung. Laut US-Justizministerium nutzten Moucka und Komplizen zwischen Februar und Oktober 2024 gestohlene Zugangsdaten, um Cloud-Konten von mindestens 165 Kunden eines US-Cloud-Anbieters zu kompromittieren, und erbeuteten Milliarden sensibler Datensätze. Die Täter erpressten Opfer mit Veröffentlichungsdrohungen und erhielten über 2,5 Millionen Dollar Lösegeld. Den Opferunternehmen entstand ein Schaden von mehr als 9,5 Millionen Dollar, betroffen waren Kundendaten von mindestens 100 Millionen Menschen. Moucka wurde am 30.10.2024 in Kanada festgenommen, im Juli 2025 in die USA ausgeliefert, das Urteil soll am 27.10.2026 fallen.

Die Pressemitteilung nennt den betroffenen Cloud-Anbieter nicht namentlich als Snowflake und keine einzelnen Opferfirmen. Die Zuordnung zu Ticketmaster/Live Nation, AT&T und Santander stammt aus Presseberichten, nicht aus der Mitteilung selbst. Das endgültige Strafmaß steht erst nach der Urteilsverkündung fest.

Am 24.04.2024 entdeckte Dropbox unautorisierten Zugriff auf die Produktionsumgebung von Dropbox Sign. Der Angreifer hatte bereits am 19./20.04.2024 ein Service-Konto im Backend-System kompromittiert und dessen Berechtigungen genutzt, um auf die Kundendatenbank zuzugreifen. Betroffen waren E-Mail-Adressen, Telefonnummern und gehashte Passwörter aller Nutzer sowie Authentifizierungsdaten wie API-Schlüssel und OAuth-Token. Dropbox informierte am 01.05.2024 öffentlich und rotierte alle API-Schlüssel und Token.

Dropbox nannte keine konkrete Gesamtzahl betroffener Konten. Ob Drittanwendungen mit gestohlenen Token missbraucht wurden, ist nicht bekannt. Die Angabe, Dokumenteninhalte seien nicht betroffen, stammt allein aus der unternehmenseigenen Untersuchung ohne unabhängige Bestätigung.

Am 07.03.2017 veröffentlichte Apache die kritische Sicherheitslücke CVE-2017-5638 im Web-Framework Apache Struts. Equifax patchte diese Schwachstelle auf einem Kundenbeschwerdeportal nicht, obwohl ein interner Scan sie hätte identifizieren sollen. Angreifer verschafften sich laut GAO-Bericht am 10.03.2017 erstmals Zugriff und exfiltrierten vom 13.05. bis 30.07.2017 über 76 Tage hinweg unbemerkt Daten mittels rund 9.000 Datenbankabfragen auf 51 verschiedene Datenbanken. Betroffen waren personenbezogene Daten von 147,9 Millionen US-Bürgern, darunter Sozialversicherungsnummern und Geburtsdaten. Ursachen waren unter anderem fehlerhafte Netzwerksegmentierung und ein abgelaufenes Sicherheitszertifikat, das die Überwachung des verschlüsselten Datenverkehrs verhinderte.

Nicht dokumentiert ist, warum der interne Equifax-Scan das betroffene Portal nicht erfasste, Equifax sprach von einem Kommunikationsversagen zwischen Teams, ohne dass dies unabhängig verifiziert wurde. Die Zahl der betroffenen Personen schwankt je nach Quelle zwischen 143 und 147,9 Millionen. Die Zuordnung der Angreifer zu chinesischen Militärangehörigen der PLA beruht auf einer Anklage, nicht auf einem Urteil, da mangels Auslieferung keine gerichtliche Verurteilung erfolgte.

Der deutsche Staatsbürger Khaled El Masri wurde am 31.12.2003 an der Grenze zwischen Serbien und Mazedonien festgenommen und 23 Tage verhört. Am 23.01.2004 wurde er an ein CIA-Team übergeben, das ihn misshandelte und in ein Gefängnis in Afghanistan brachte, wo er bis zu seiner Freilassung in Albanien am 28.05.2004 festgehalten wurde. Der EGMR stellte am 13.12.2012 fest, dass Mazedonien gegen die Europäische Menschenrechtskonvention verstoßen hat, unter anderem durch Folter im Rahmen des CIA-Renditionsprogramms, und verurteilte Mazedonien zu 60.000 Euro Entschädigung.

Nicht abschließend geklärt ist, welche einzelnen CIA-Mitarbeiter konkret verantwortlich waren, da in den USA keine strafrechtliche Verfolgung stattfand. Die Klage El Masri gegen Tenet wurde 2006 von US-Gerichten unter Berufung auf das Staatsgeheimnisprivileg abgewiesen. Die genaue Rolle Deutschlands blieb Gegenstand eines Bundestags-Untersuchungsausschusses und wurde nicht vollständig aufgeklärt.

Nach dem Volkszählungsurteil des Bundesverfassungsgerichts vom 15.12.1983 wurde die ursprünglich für 1983 geplante Volkszählung gestoppt und erst zum Stichtag 25.05.1987 in überarbeiteter Form durchgeführt. Für den Zensus 1987 wurden personenbezogene Angaben von den Fragebögen getrennt, um die Anonymität stärker zu schützen. Vor allem in Großstädten formierte sich eine breite Boykottbewegung gegen den Abgleich der Zählungsdaten mit den Melderegistern.

Die genaue Zahl der Boykottteilnehmer ist nicht zuverlässig belegt und lässt sich im Nachhinein nicht rekonstruieren. Neben dem offenen Boykott gab es einen heimlichen Boykott durch bewusst falsche Angaben, der sich statistisch nicht erfassen lässt. Unklar bleibt, in welchem Umfang die Protestbewegung tatsächlich Einfluss auf spätere Datenschutzgesetzgebung hatte.

Der EuGH entschied am 07.12.2023 im Verfahren C-634/21, dass die Erstellung eines Scores durch eine Auskunftei wie die Schufa als automatisierte Einzelfallentscheidung im Sinne von Artikel 22 DSGVO einzustufen ist, wenn Dritte wie Banken diesem Score eine maßgebliche Rolle beimessen. Eine solche automatisierte Entscheidung ist grundsätzlich verboten. Das Urteil erging im Vorlageverfahren des Verwaltungsgerichts Wiesbaden. Der EuGH stellte zugleich klar, dass die Löschfrist für Restschuldbefreiungen an die kürzere gesetzliche Frist des Insolvenzregisters anzupassen ist.

Nicht bewiesen beziehungsweise offen gelassen ist, ob die konkrete Score-Vergabe im Einzelfall tatsächlich eine verbotene automatisierte Entscheidung darstellt, diese Prüfung wurde an nationale Gerichte zurückverwiesen. Umstritten bleibt, wie stark der Einfluss des Scores sein muss, um als maßgeblich zu gelten. Die genaue Berechnungsmethode des Schufa-Scores bleibt Geschäftsgeheimnis.

Die ACLU reichte am 28.05.2020 Klage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act ein. Am 11.05.2022 wurde ein Vergleich geschlossen, der es Clearview dauerhaft untersagt, die Gesichtsdatenbank landesweit an die meisten privaten Unternehmen zu verkaufen. Für fünf Jahre erhalten staatliche und kommunale Polizeibehörden in Illinois keinen neuen Zugang. Bewohner erhielten ein Opt-out-Recht, Clearview zahlte 50.000 US-Dollar zur Bewerbung des Programms sowie 250.000 US-Dollar Anwaltskosten.

Der Vergleich ist kein Schuldeingeständnis, Clearview bestreitet weiterhin einen Verstoß. Es wurden keine direkten Zahlungen an einzelne Kläger geleistet. Der Vergleich betrifft nicht den Zugang von Bundesbehörden, sodass Clearview sein Geschäft mit Behörden anderer US-Bundesstaaten unverändert fortsetzen konnte.

Der EuGH erklärte am 08.04.2014 in den verbundenen Rechtssachen Digital Rights Ireland und Seitlinger die Richtlinie 2006/24/EG zur Vorratsdatenspeicherung für ungültig. Die Richtlinie hatte Anbieter verpflichtet, Verkehrs- und Standortdaten aller Nutzer für sechs Monate bis zwei Jahre zu speichern. Der Gerichtshof stellte fest, dass die anlasslose flächendeckende Speicherung einen schwerwiegenden Eingriff in die durch die EU-Grundrechtecharta geschützten Rechte darstellt und keine ausreichenden Garantien gegen Missbrauch vorsah.

Nicht belegt ist, in welchem Umfang die Vorratsdatenspeicherung vor 2014 tatsächlich zur Aufklärung von Straftaten beitrug. Offen blieb zunächst, welche nationalen Umsetzungsgesetze automatisch unwirksam wurden, da nationale Verfassungsgerichte dies separat entscheiden mussten.

Der bayerische Landtag verabschiedete am 15.05.2018 eine Novelle des Polizeiaufgabengesetzes, die der Polizei bereits beim Verdacht einer drohenden Gefahr weitreichende Befugnisse einräumt, darunter Staatstrojaner, Body Cams, Drohnen und in Ausnahmefällen Sprengmittel. Gegen das Gesetz demonstrierten im Mai 2018 in München mehr als 40.000 Menschen. Am 06.10.2018 reichte die Gesellschaft für Freiheitsrechte gemeinsam mit dem noPAG-Bündnis eine Verfassungsbeschwerde für zehn Betroffene ein. Das Bundesverfassungsgericht verhandelte die Beschwerde am 07. und 08.07.2026.

Die genaue Teilnehmerzahl der Demonstration ist nicht amtlich dokumentiert, nur journalistisch geschätzt. Der Begriff der drohenden Gefahr wird von Kritikern als zu unbestimmt bezeichnet, seine verfassungsrechtliche Bewertung war zum Zeitpunkt der Beschwerdeeinreichung offen. Diese Quelle dokumentiert die Einreichung, nicht das inhaltliche Ergebnis der Verhandlung.

Am 20.03.2009 verabschiedete der Bundestag das Rettungsübernahmegesetz, das eine zeitlich begrenzte Enteignung eines systemrelevanten Kreditinstituts erlaubte, gerichtet gegen die Hypo Real Estate, deren dubliner Tochter Depfa Bank nach der Lehman-Pleite in eine Liquiditätskrise geraten war. Am 05.10.2009 wurde die HRE als erste Bank seit 1949 verstaatlicht, Aktionäre erhielten per Squeeze-out 1,30 Euro je Aktie. Zum 30.09.2010 hatte die HRE Garantien in Höhe von 123,98 Milliarden Euro sowie 7,7 Milliarden Euro direkte Kapitalhilfen vom SoFFin in Anspruch genommen.

Die tatsächliche Endsumme der Staatskosten ist nicht abschließend geklärt, die Bundesregierung bezifferte 2018 die Nettokosten auf rund 20,3 Milliarden Euro, eine von Kritikern als vorläufig bezeichnete Zahl. Umstritten bleibt der zeitliche Ablauf der Garantieübernahme, die möglicherweise Haftungsansprüche gegen den früheren Mehrheitseigentümer UniCredit verjähren ließ.

Der CCC veröffentlichte am 08.10.2011 den Bericht Analyse einer Regierungs-Malware, eine technische Zerlegung eines von DigiTask entwickelten Staatstrojaners. Die Software kommunizierte über TCP Port 443 mit einem hartcodierten Command-and-Control-Server. Der CCC dokumentierte Funktionen wie das Nachladen beliebigen weiteren Codes sowie Screenshot- und Mikrofonzugriff, die über die vom Bundesverfassungsgericht 2008 gezogenen engen Grenzen der Quellen-Telekommunikationsüberwachung hinausgingen.

Nicht belegt ist, in wie vielen Einsatzfällen bundesweit genau diese DigiTask-Version zum Einsatz kam. Umstritten blieb, ob die nachladbare Funktion tatsächlich für Funktionen jenseits der Quellen-TKÜ genutzt wurde oder nur technisch möglich war. Die genaue Herkunft der Samples wurde aus Quellenschutzgründen nicht vollständig offengelegt.

Facebook startete im November 2007 das Werbeprogramm Beacon, das Kaufaktivitäten von Nutzern auf Partnerseiten ohne wirksame Zustimmung erfasste und an Facebook-Freunde weitergab. Nutzer reichten die Sammelklage Lane v. Facebook ein. Im September 2009 einigten sich die Parteien: Facebook stellte Beacon ein und zahlte 9,5 Millionen Dollar, davon rund 6,5 Millionen an die neu gegründete Stiftung Digital Trust Foundation. Das Berufungsgericht bestätigte den Vergleich am 20.09.2012 für rund 3,6 Millionen betroffene Nutzer.

Nicht dokumentiert ist, wie viele Nutzer konkret geschädigt wurden. Umstritten blieb die Angemessenheit des Vergleichs, da Klassenmitglieder keine direkte Geldzahlung erhielten, sondern das Geld an eine von Facebook mitgegründete Stiftung floss.

Am 03.11.2022 reichte die Joseph Saveri Law Firm im Namen mehrerer Softwareentwickler eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Die Klage wirft vor, KI-Systeme Codex und Copilot mit Milliarden Zeilen öffentlichem Code trainiert zu haben, ohne Lizenzbedingungen wie GNU GPL einzuhalten. Die Kläger bezifferten mögliche Schadensersatzansprüche theoretisch auf über 9 Milliarden US-Dollar. Der Richter wies 20 von 22 Klagepunkten ab, ließ aber Ansprüche wegen Lizenzverletzung zu.

Das Gericht stellte fest, dass die Kläger nicht nachweisen konnten, dass spezifischer Code aus spezifischen Trainingsdaten in spezifischen Copilot-Ausgaben erscheint. Die Summe von 9 Milliarden Dollar ist eine theoretische Maximalberechnung, kein zugesprochener Betrag. Der Ausgang war zum Recherchezeitpunkt nicht rechtskräftig.

Die Verordnung (EU) 2024/1183 wurde am 30.04.2024 veröffentlicht und trat am 20.05.2024 in Kraft. Artikel 45 verpflichtet Browser zur Anerkennung staatlich benannter Website-Authentifizierungszertifikate (QWACs). Mehr als 500 Sicherheitsforscher und Organisationen wie Mozilla und EFF unterzeichneten offene Briefe gegen eine befürchtete Schwächung der Browser-Sicherheitsarchitektur. Das Parlament nahm die finale Fassung im Februar 2024 mit abgeschwächten Formulierungen an.

Nicht geklärt ist, ob die finale Fassung die technischen Bedenken tatsächlich entkräftet hat. Umstritten bleibt, ob Browserhersteller weiterhin eigene Vertrauensentscheidungen treffen können. Die vollständigen Auswirkungen zeigen sich erst nach Ablauf der Übergangsfristen 2026/2027.

Forscher der ETH Zürich stellten auf dem USENIX Security Symposium 2023 eine Arbeit vor, die zeigte, dass sich bei kontaktlosen EMV-Transaktionen von Visa, Mastercard und Maestro die PIN-Abfrage durch Manipulation von Datenfeldern umgehen lässt. Transaktionen wurden im Labor über typischen kontaktlosen PIN-Limits erfolgreich durchgeführt. Mastercard bestätigte den Erhalt der Meldung und leitete Gegenmaßnahmen ein.

Ein konkreter, dokumentierter Fall eines ausgenutzten Girocard-NFC-Exploits in Deutschland ist durch die Quellen nicht belegt, die Forschung betrifft nachweislich internationale Systeme, nicht das eigenständige deutsche Girocard-Verfahren, das seit 2012 durchgängig auf Chip und PIN basiert.

Am 14.05.2021 legte ein Ransomware-Angriff mit der Schadsoftware Conti die zentralen IT-Systeme des irischen Gesundheitsdienstes HSE landesweit lahm. Ausgangspunkt war eine Phishing-E-Mail vom 16.03.2021, wodurch die Angreifer rund acht Wochen unbemerkt agieren konnten. Der 157-seitige PwC-Untersuchungsbericht dokumentiert veraltete Windows-7-Systeme. Die Wiederherstellung dauerte rund vier Monate, geschätzte Kosten belaufen sich auf etwa 100 Millionen US-Dollar.

Die exakte Höhe des Gesamtschadens ist nicht abschließend belegt, Schätzungen schwanken zwischen 80 und über 100 Millionen. Die Angreifer forderten Presseberichten zufolge rund 20 Millionen US-Dollar, die HSE zahlte nicht.

Der ehemalige Uber-Sicherheitschef Joe Sullivan war 2022 wegen Vertuschung eines Datenlecks aus dem Jahr 2016 verurteilt worden, weil er den Vorfall nicht der US-Handelsaufsicht FTC meldete und stattdessen Schweigegeld an die Angreifer zahlte. Das Berufungsgericht des Ninth Circuit bestätigte am 24.06.2025 die Verurteilung. Sullivan war zu drei Jahren Bewährung verurteilt worden, blieb aber während des Verfahrens ohne Haftstrafe.

Nicht Teil dieser Quelle ist der ursprüngliche Hack von 2016 selbst, der von den hier nicht identischen Angreifern der Lapsus\$-Attacke 2022 zu unterscheiden ist. Ob Sullivan weitere Rechtsmittel wie eine Revision vor dem Supreme Court einlegte, ist nicht dokumentiert.

Das Landgericht Frankfurt verurteilte Samsung auf Klage der Verbraucherzentrale NRW. Samsung muss Käufer eines internetfähigen Smart-TV vor dem Kauf darauf hinweisen, dass beim Anschluss ans Internet personenbezogene Daten wie die IP-Adresse ohne vorherige Einwilligung übertragen werden können. Das Gericht untersagte zudem zahlreiche intransparente Klauseln in Samsungs AGB und Datenschutzerklärung.

Ein vollständiges Verbot der Datenerhebung ohne Einwilligung wurde vom Gericht nicht durchgesetzt, sondern nur eine Informationspflicht. Offen blieb, ob die Weitergabe der Daten an HbbTV-Betreiber und Samsungs Konzernmutter rechtmäßig war, da diese nicht Beklagte waren.

Im Juli 2022 legte ein iranischer, staatlich unterstützter Angreifer (bekannt als "HomeLand Justice") mit einem destruktiven Wiper-Angriff zahlreiche Webseiten und Dienste der albanischen Regierung lahm; die Angreifer waren laut CISA/FBI bereits seit rund 14 Monaten (mindestens seit Mai 2021) unbemerkt im Netzwerk aktiv. Als Reaktion brach Albanien im September 2022 die diplomatischen Beziehungen zum Iran ab; im September 2022 kam es zu einem zweiten Angriff auf das Grenz- und Migrationssystem TIMS.

Die Advisory dokumentiert primär den Juli-2022-Angriff; Details zum zweiten Angriff und zur genauen Menge exfiltrierter Daten stützen sich teils auf Angaben der albanischen Regierung selbst, die nicht unabhängig verifizierbar sind.

Der staatliche malaysische Nahverkehrsbetreiber Prasarana Malaysia Berhad wurde Opfer eines Ransomware-Angriffs; die Gruppe RansomHub veroeffentlichte am 25. August 2024 gestohlene Daten im Darknet, Berichten zufolge rund 316 GB an Unternehmensdaten. Der malaysische Personal Data Protection Commissioner ordnete eine offizielle Data-Breach-Notification an.

Die offizielle Behoerdenmitteilung nennt keinen genauen Umfang oder Typ der betroffenen personenbezogenen Daten; die Zahl von 316 GB stammt aus Sekundaerquellen, nicht aus der offiziellen Erklaerung selbst.

Der Abschlussbericht des UN-Expertengremiums zu Libyen dokumentiert systematische Umgehung des Waffenembargos sowie Treibstoffschmuggel und illegale Rohölexporte, mit denen bewaffnete Gruppen und Netzwerke Sanktionen unterliefen. Beschrieben werden konkrete Schiffsrouten, involvierte Firmenkonstrukte und Finanzflüsse.

Der Bericht beruht auf Ermittlungen eines UN-Gremiums mit begrenztem Vor-Ort-Zugang; nicht alle Vorwürfe führten zu strafrechtlichen Verurteilungen, viele Netzwerke blieben trotz Benennung aktiv.

Am 24. September 2024 verhaengte das US-Finanzministerium (OFAC) Sanktionen gegen fuenf kolumbianische Staatsangehoerige, die als Fuehrungsfiguren des Clan del Golfo identifiziert wurden, einer der groessten Drogenhandelsorganisationen Kolumbiens und zentraler Akteur bei Menschenschmuggel durch den Darién-Dschungel. Parallel wurden zwei in Mexiko ansaessige Unternehmen des Sinaloa-Kartells sanktioniert.

Die Pressemitteilung dokumentiert die Sanktionsliste, liefert aber keine oeffentlich einsehbaren Ermittlungsakten oder Gerichtsurteile; ob der Zugriff auf Vermoegen wirksam ist, bleibt aus der Quelle allein nicht nachvollziehbar.