Quellen-Tabelle

Französische und niederländische Ermittler infiltrierten und entschlüsselten ab April 2020 mit Unterstützung von Europol und Eurojust das verschlüsselte Kommunikationsnetz EncroChat, das vorrangig von organisierten Kriminellen genutzt wurde. Millionen Nachrichten wurden bis zum Abbruch der Überwachung am 13.06.2020 in Echtzeit mitgelesen. In den Niederlanden führte dies zu über 60 Festnahmen sowie Beschlagnahmungen von mehr als 10.000 kg Kokain, 1.500 kg Crystal Meth und rund 20 Millionen Euro Bargeld, weitere Festnahmen erfolgten unter anderem in Großbritannien, Schweden und Norwegen.

Die Pressemitteilung nennt für den Stichtag 02.07.2020 keine europaweite Gesamtzahl der Festnahmen und legt die genaue technische Methode der Entschlüsselung nicht offen. Offen bleibt zudem, wie viele der später vor Gericht verwendeten Beweise in einzelnen EU-Staaten rechtlich Bestand hatten, da dies je nach nationalem Recht unterschiedlich beurteilt wurde.

Belgische, französische und niederländische Ermittler entschlüsselten ab Februar 2021 mit Unterstützung von Europol und Eurojust den verschlüsselten Messengerdienst Sky ECC, der von organisierten Kriminellen genutzt wurde. Nach Eurojust-Angaben wurden rund 70.000 Nutzerkonten überwacht und täglich etwa 3 Millionen Nachrichten mitgelesen, was zur Aufdeckung von über hundert geplanten Großverbrechen führte. Am Aktionstag vom 9. März 2021 folgten zahlreiche Festnahmen und Durchsuchungen in Belgien und den Niederlanden.

Die genaue technische Methode der Entschlüsselung wurde von den Behörden nicht vollständig offengelegt. Die rechtliche Zulässigkeit der Beweismittel aus der Massenüberwachung wird in mehreren Staaten weiterhin vor Gericht angefochten, unter anderem in den USA. Die exakte Gesamtzahl aller im Rahmen der Operation weltweit entschlüsselten Nachrichten und Verurteilungen ist nicht abschließend dokumentiert.

Das FBI und internationale Partnerbehörden aus 16 Ländern, darunter Europol und die australische AFP, betrieben ab 2018 verdeckt den Kryptohandy-Dienst Anom, der bei Kriminellen als abhörsicher galt. Rund 12.000 Geräte wurden an etwa 300 kriminelle Gruppen weltweit verkauft. Bei der Bekanntgabe am 8. Juni 2021 meldeten die Behörden über 800 Festnahmen, mehr als 27 Millionen mitgelesene Nachrichten sowie Sicherstellungen von mehreren Tonnen Drogen, Hunderten Schusswaffen und rund 48 Millionen US-Dollar in bar.

Nicht vollständig offengelegt ist, wie die technische Verschlüsselungshintertür im Detail funktionierte und welche genaue Rolle die ursprüngliche Vertrauensperson bei der Entwicklung von Anom spielte. Offen bleibt zudem, wie viele der weltweiten Anom-Nutzer am Ende tatsächlich in nationalen Strafverfahren rechtskräftig verurteilt wurden.

Das LKA NRW hat mit SKALA (System zur Kriminalitätsauswertung und Lageantizipation) ein Predictive-Policing-System entwickelt, das raumbezogene Kriminalitätsdaten zu Wohnungseinbrüchen, Kfz-Delikten und Gewerbeobjekteinbrüchen auswertet. Nach einem mehrjährigen Pilotversuch in sechs Kreispolizeibehörden ist SKALA seit 2021 flächendeckend in allen Kreispolizeibehörden Nordrhein-Westfalens im Einsatz. Das LKA NRW informiert die Behörden wöchentlich über die vom System berechneten Risikogebiete.

Nicht belegt ist, in welchem Umfang SKALA tatsächlich zu weniger Einbrüchen geführt hat. Unabhängige Studien zu deutschen Predictive-Policing-Systemen attestieren allgemein einen fehlenden wissenschaftlichen Wirksamkeitsnachweis und kritisieren die mangelnde Transparenz der zugrunde liegenden Algorithmen. Offen bleibt zudem, ob die Risikoprognosen zu verstärkter Polizeikontrolle bestimmter Stadtteile und damit zu Verzerrungseffekten führen.

Der Europäische Gerichtshof erklärte am 16. Juli 2020 im Fall C-311/18 (Data Protection Commissioner gegen Facebook Ireland und Maximillian Schrems) den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Grund war, dass US-Überwachungsgesetze keinen mit der EU vergleichbaren Schutz vor behördlichem Datenzugriff garantieren. Die Standardvertragsklauseln aus Beschluss 2010/87 blieben dagegen grundsätzlich gültig, sofern Unternehmen den Datenschutz im Zielland im Einzelfall prüfen.

Die Pressemitteilung des Gerichtshofs nennt keine Zahl der Unternehmen oder Nutzer, deren Datentransfers durch das Urteil unmittelbar betroffen waren. Offen bleibt auch, wie Unternehmen die geforderte Einzelfallprüfung der Standardvertragsklauseln in der Praxis konkret umsetzen sollten, das regelte erst spätere Aufsichtspraxis.

Das US-Finanzministerium (OFAC) sanktionierte am 8. August 2022 den Kryptowährungs-Mixer Tornado Cash und setzte 38 Ethereum- sowie 6 USDC-Wallet-Adressen auf die SDN-Liste. Laut OFAC wurden über den Dienst seit 2019 mehr als 7 Milliarden US-Dollar gewaschen, darunter über 455 Millionen US-Dollar durch die nordkoreanische Lazarus-Gruppe. Es war die erste OFAC-Sanktion gegen ein Software-Protokoll statt gegen eine Person oder Firma.

Ob OFAC dabei rechtmäßig handelte, war lange umstritten. Das Berufungsgericht des Fifth Circuit entschied im November 2024, dass die Smart Contracts kein sanktionierbares Eigentum seien, und OFAC hob die Sanktionen im März 2025 auf. Die strafrechtliche Verantwortung einzelner Entwickler wurde in separaten Gerichtsverfahren behandelt.

Am 4. und 5. April 2023 wurde der Darknet- und Clearweb-Marktplatz Genesis Market im Rahmen der international koordinierten Operation Cookie Monster abgeschaltet. Federführend waren FBI, Europol, Eurojust und die niederländische Polizei, unterstützt von Behörden aus 14 Ländern, mit mehr als 100 Festnahmen und über 200 Durchsuchungen bei Käufern der Plattform. Genesis Market verkaufte seit 2018 durch Malware gestohlene Zugangsdaten, Cookies und digitale Fingerabdrücke; zum Zeitpunkt der Abschaltung waren Daten von rund 460.000 infizierten Geräten im Angebot.

Genaue Opferzahlen und Schadenshöhe variieren stark je nach Quelle, andere Medienberichte nennen bis zu 1,5 Millionen Bot-Listings oder 2 Millionen betroffene Identitäten. Die Hauptbetreiber der Plattform wurden bislang nicht öffentlich namentlich identifiziert oder angeklagt. Der Ausgang der Verfahren gegen die festgenommenen Käufer ist nicht einzeln öffentlich nachvollziehbar.

Der EuGH (Große Kammer) entschied am 06.10.2020 in den verbundenen Rechtssachen C-511/18, C-512/18 und C-520/18, dass EU-Recht einer nationalen Regelung entgegensteht, die Anbieter elektronischer Kommunikationsdienste zu einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten verpflichtet. Zulässig bleiben demnach nur zeitlich befristete, auf bestimmte Personen oder geografische Gebiete beschränkte Speicherungen bei schwerer Kriminalität oder konkreten Bedrohungen der nationalen Sicherheit, sowie eine allgemeine Speicherung von IP-Adressen zur Bekämpfung schwerer Straftaten unter strengen Voraussetzungen.

Nicht Gegenstand dieser Pressemitteilung sind die konkrete Umsetzung durch Frankreich und Belgien in der Folgezeit sowie technische Detailfragen der Speicherfristen. Offen blieb zudem, wie einzelne Mitgliedstaaten wie Deutschland ihre eigene Vorratsdatenspeicherungsregelung anpassen mussten; dies wurde erst in Folgeurteilen wie SpaceNet und Telekom Deutschland vom 20.09.2022 konkretisiert.

Die italienische Datenschutzbehörde Garante verhängte am 9. März 2022 ein Bußgeld von 20 Millionen Euro gegen das US-Unternehmen Clearview AI. Clearview AI hatte über 10 Milliarden Gesichtsbilder per Web Scraping gesammelt und daraus biometrische Profile erstellt, auch von Personen in Italien, ohne angemessene Rechtsgrundlage. Der Garante ordnete zusätzlich die Löschung der Daten italienischer Betroffener an, untersagte die weitere Datenerhebung und verpflichtete das Unternehmen zur Benennung eines EU-Vertreters.

Offen bleibt, ob und in welcher Höhe Clearview AI das Bußgeld tatsächlich gezahlt hat, da das Unternehmen keinen Sitz in der EU hat und die grenzüberschreitende Durchsetzbarkeit unklar ist. Nicht öffentlich dokumentiert ist der genaue Umfang der betroffenen italienischen Nutzerdaten sowie ob die angeordnete Löschung vollständig umgesetzt wurde.

Der US Supreme Court bestätigte am 17.01.2025 einstimmig per curiam den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA), der im April 2024 von Präsident Biden unterzeichnet wurde. Das Gesetz verpflichtet den chinesischen ByteDance-Konzern, TikTok bis zum 19.01.2025 zu verkaufen, andernfalls drohen US-Anbietern Verbote von Vertrieb, Hosting und Updates der App. Das Gericht stufte das Gesetz als inhaltsneutral ein und begründete es mit dem staatlichen Interesse, den Zugriff einer als feindlich eingestuften Auslandsmacht auf die Nutzerdaten von Millionen Amerikanern zu verhindern.

Offen blieb im Urteil, ob und in welchem Umfang China tatsächlich TikTok-Nutzerdaten abgegriffen hat; das Gericht stützte sich auf die abstrakte Gefahr durch die Kontrollmöglichkeit von ByteDance, nicht auf einen nachgewiesenen konkreten Datenmissbrauch. Ebenfalls nicht Teil der gerichtlichen Feststellung war der genaue weitere wirtschaftliche und politische Ausgang des Falls.

Die Europäische Kommission stellte am 10. Juli 2023 per Angemessenheitsbeschluss fest, dass die USA im Rahmen des Data Privacy Framework ein der EU vergleichbares Datenschutzniveau bieten. Grundlage ist eine US-Exekutivverordnung, die den Zugriff von Geheimdiensten auf Daten aus der EU auf das notwendige und verhältnismäßige Maß begrenzen soll, sowie ein neu geschaffenes Rechtsbehelfsgremium namens Data Protection Review Court. Auf dieser Basis dürfen EU-Unternehmen wieder personenbezogene Daten an selbstzertifizierte US-Unternehmen übermitteln.

Nicht belegt ist, ob der Data Protection Review Court in der Praxis wirksamen Rechtsschutz bietet, da Betroffene dort keine Akteneinsicht erhalten und Entscheidungen nicht öffentlich begründet werden. Die Datenschutzorganisation noyb um Max Schrems kündigte bereits vor Inkrafttreten eine gerichtliche Anfechtung an. Eine erste Klage vor dem Gericht der EU wurde 2024 abgewiesen, ob eine weitere Prüfung durch den EuGH das Abkommen kippt, war zum Zeitpunkt der Recherche noch offen.

Das Büro des Attorney General von Arizona einigte sich am 04.10.2022 mit Google auf eine Zahlung von 85 Millionen US-Dollar zur Beilegung einer im Mai 2020 eingereichten Klage. Die Klage warf Google vor, Standortdaten von Android-Nutzern über Funktionen wie Web & App-Aktivität weiter zu sammeln und für Werbung zu nutzen, selbst wenn Nutzer die Einstellung Standortverlauf deaktiviert hatten, und dafür irreführende Bedienoberflächen einzusetzen. Auslöser der Ermittlung war eine AP-Recherche vom August 2018.

Nicht belegt durch diese Quelle ist, wie viele einzelne Nutzer in Arizona konkret betroffen waren oder welchen genauen wirtschaftlichen Vorteil Google aus den weitergesammelten Daten zog. Offen bleibt außerdem das Verhältnis zum separaten Vergleich Googles mit 40 US-Bundesstaaten über 391,5 Millionen US-Dollar vom November 2022, der denselben Sachverhalt betraf.

Der Staatsrat der Volksrepublik China veröffentlichte am 14.06.2014 die Planungsübersicht zum Aufbau eines Sozialkreditsystems für den Zeitraum 2014 bis 2020. Das Dokument benennt vier Säulen: Integrität der Regierungsführung, Integrität im Handel, gesellschaftliche Integrität und Vertrauenswürdigkeit der Justiz. Es schreibt branchenweite Schwarze Listen, Marktausschlussmechanismen, ressortübergreifende gemeinsame Belohnungs- und Bestrafungsverfahren sowie einheitliche Kreditkodierungen für natürliche und juristische Personen vor.

Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.

Die US-Börsenaufsicht SEC stellte fest, dass Yahoos Sicherheitsteam bereits kurz nach dem Angriff im Dezember 2014 wusste, dass mutmaßlich russische Hacker Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, verschlüsselte Passwörter und Sicherheitsfragen von mindestens 108 Millionen Konten gestohlen hatten, vermutlich sogar aus der gesamten Nutzerdatenbank mit mehreren Milliarden Einträgen. Yahoo verschwieg den Vorfall fast zwei Jahre lang gegenüber Investoren in seinen Pflichtmitteilungen. Die Nachfolgegesellschaft Altaba Inc. zahlte dafür im April 2018 eine SEC-Strafe von 35 Millionen US-Dollar, die erste Sanktion dieser Art wegen unterlassener Offenlegung eines Datenlecks.

Die oft zitierte Zahl von insgesamt 3 Milliarden betroffenen Konten stammt aus einer separaten Unternehmensmitteilung von Yahoo bzw. Verizon aus dem Jahr 2017 und wird in dieser SEC-Anordnung selbst nicht beziffert. Die SEC-Order behandelt vor allem die Offenlegungspflichten gegenüber Anlegern, nicht aber das konkrete Ausmaß des Schadens für einzelne betroffene Nutzer oder die vollständige Identität der Angreifer.

Die britische Datenschutzbehörde ICO verhängte am 23. Mai 2022 ein Bußgeld von 7.552.800 Pfund gegen Clearview AI Inc. Laut ICO hatte das Unternehmen mehr als 20 Milliarden Gesichtsbilder aus dem Internet und sozialen Medien gesammelt, ohne Wissen oder Einwilligung der Betroffenen, und daraus eine durchsuchbare Gesichtserkennungsdatenbank für Kunden wie Polizeibehörden aufgebaut. Die ICO ordnete zusätzlich an, dass Clearview die Daten britischer Bürger löscht und keine weiteren Daten von UK-Bürgern mehr sammelt.

Das First-tier Tribunal hob das Bußgeld im Oktober 2023 auf, da es die Zuständigkeit der ICO für ein US-Unternehmen ohne UK-Geschäftstätigkeit bezweifelte. Im Oktober 2025 gab das Upper Tribunal der ICO in drei von vier Berufungspunkten recht, eine endgültige rechtskräftige Klärung des Falls steht aber weiterhin aus. Offen bleibt zudem, in welchem Umfang die ursprünglich angeordnete Löschung der Daten britischer Nutzer tatsächlich durchgesetzt wurde.

Die irische Datenschutzbehörde DPC reichte am 8. August 2024 erstmals unter Section 134 des Data Protection Act 2018 eine Eilklage beim High Court gegen X ein, weil öffentliche Posts von EU/EWR-Nutzern ohne ausreichende Rechtsgrundlage zum Training der KI Grok verwendet wurden. Twitter International Unlimited Company gab eine dauerhafte Verpflichtungserklärung ab, Daten aus dem Zeitraum 7. Mai bis 1. August 2024 zu löschen und nicht mehr zu verarbeiten, woraufhin das Verfahren am 4. September 2024 eingestellt wurde.

Weder die DPC noch das Gericht haben eine konkrete Zahl betroffener EU-Nutzer oder verarbeiteter Posts genannt. Offen bleibt zudem, ob und in welchem Umfang die bereits vor dem 7. Mai 2024 gesammelten Daten tatsächlich in das Grok-Modell eingeflossen sind, da es zu keiner inhaltlichen gerichtlichen Feststellung einer DSGVO-Verletzung kam, sondern nur zu einer außergerichtlichen Unterwerfungserklärung von X.

Die US-Bundesbehörde TSA hat am 13.01.2025 per finaler Regel festgelegt, dass ab dem 07.05.2025 an US-Flughafenkontrollen nur noch REAL-ID-konforme Führerscheine oder Ausweise beziehungsweise alternative Dokumente wie Reisepässe akzeptiert werden. Das REAL ID Act wurde bereits 2005 nach Empfehlungen der 9/11-Kommission verabschiedet und legt bundesweite Mindeststandards für die Ausstellung von Ausweisdokumenten fest.

Offen bleibt, ob Reisende ohne konformen Ausweis komplett von Flügen ausgeschlossen werden oder nur zusätzliche Kontrollen und Verzögerungen erfahren. Spätere Aussagen der Heimatschutzministerin deuteten auf Kulanz mit Zusatzprüfung hin. Die Pressemitteilung nennt keine verpflichtende biometrische Gesichtserkennung als Bestandteil der Kontrolle selbst, sondern nur höhere Dokumentensicherheitsstandards bei der Ausstellung durch die Bundesstaaten.

Dokumentiert ist, dass die TSA seit 2018 an inzwischen rund 25 bis knapp 30 US-Flughäfen Gesichtserkennung zur Identitätsprüfung testet (CAT-2-System des Anbieters Idemia) und eine Ausweitung auf bis zu 430 Flughäfen plant. Mehrere US-Senatoren brachten deshalb am 29.11.2023 den Traveler Privacy Protection Act (S. 3361) ein, der das Programm stoppen, die Löschung gespeicherter Gesichtsdaten erzwingen und eine künftige Nutzung an eine ausdrückliche Zustimmung des Kongresses binden soll. Die TSA bestätigt, dass die Teilnahme freiwillig ist und Reisende der Gesichtserkennung widersprechen können.

Offen bleibt, wie viele Reisende die Opt-out-Möglichkeit tatsächlich kennen oder nutzen, da Senator Merkley der TSA vorwarf, diese Option am Checkpoint nicht klar zu kommunizieren. Nicht abschließend belegt ist zudem, ob die von der NIST dokumentierten höheren Fehlerraten bei nicht-weißen Reisenden in der TSA-Praxis konkret zu Fehlidentifikationen geführt haben, und der Gesetzentwurf wurde im Kongress bislang nicht verabschiedet.

Am 2. Juli 2021 nutzte die Gruppe REvil eine Schwachstelle (CVE-2021-30116) in der Kaseya-VSA-Software aus, um über ein manipuliertes Update Ransomware an IT-Dienstleister und deren Kunden zu verteilen. CISA und FBI bestätigten den Vorfall offiziell und Kaseya selbst gab an, dass bis zu etwa 60 direkte Kunden und in der Folge bis zu 1500 nachgelagerte Unternehmen betroffen waren. REvil forderte öffentlich 70 Millionen US-Dollar Lösegeld, und Kaseya erhielt am 23. Juli 2021 von einer nicht näher benannten Quelle einen universellen Entschlüsselungscode, ohne nach eigenen Angaben zu zahlen.

Offen bleibt, wie genau der universelle Entschlüsselungscode zustande kam und ob im Hintergrund doch eine Zahlung floss, da Kaseya dies nur allgemein dementierte. Die genaue Gesamtzahl der tatsächlich verschlüsselten Endkunden weltweit wurde nie abschließend verifiziert. Auch die exakte Schadenssumme bei den betroffenen Unternehmen wurde nicht offiziell beziffert.

Capital One bestätigte am 29. Juli 2019 offiziell, dass am 22. und 23. März 2019 eine Außenstehende eine falsch konfigurierte Firewall einer Cloud-Infrastruktur ausnutzte und Daten von rund 100 Millionen US-Kunden sowie 6 Millionen kanadischen Kunden erlangte, darunter Namen, Adressen, Geburtsdaten, Kreditwerte sowie etwa 140.000 Sozialversicherungsnummern und 80.000 Bankverbindungen. Die vom FBI festgenommene Täterin, die ehemalige AWS-Mitarbeiterin Paige Thompson, wurde im Juni 2022 von einer Jury wegen Wire Fraud und unbefugten Zugriffs auf geschützte Computer für schuldig befunden.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Die britische Datenschutzbehörde ICO stellte fest, dass British Airways bei einem Cyberangriff im Juni bis September 2018 personenbezogene Daten von mehr als 400.000 Kunden nicht ausreichend gegen unbefugten Zugriff geschützt hatte, ein Verstoß gegen Art. 5(1)(f) und Art. 32 DSGVO. Die ICO verhängte deswegen am 16. Oktober 2020 ein Bußgeld von 20 Millionen Pfund gegen British Airways, nachdem der ursprünglich angekündigte Betrag von 183,39 Millionen Pfund im Verfahren deutlich reduziert worden war.

Offen bleibt in der öffentlichen ICO-Dokumentation, welche einzelnen technischen Schwachstellen die Angreifer konkret ausnutzten und wer die Täter waren. Ebenso nicht abschließend belegt ist, in welchem Umfang Kunden durch die Datenweitergabe tatsächlich finanziellen Schaden erlitten, etwa durch Kreditkartenmissbrauch.

Die britische Datenschutzbehörde ICO stellte fest, dass Angreifer ab Februar 2018 über ein auf der Zahlungsseite von Ticketmaster eingebundenes Chatbot-Skript eines Drittanbieters Schadcode der Magecart-Gruppe einschleusten und so Zahlungskartendaten von Kunden abgriffen. Betroffen waren bis zu 9,4 Millionen Kunden europaweit, davon 1,5 Millionen in Großbritannien. Die ICO verhängte am 13.11.2020 eine Geldbuße von 1,25 Millionen Pfund, nachdem Ticketmaster erst rund neun Wochen nach ersten Betrugsmeldungen von Banken reagierte.

Offen bzw. strittig blieb, wer die Verantwortung für die Sicherheitslücke im Chatbot-Code trug. Ticketmaster machte den Drittanbieter Inbenta verantwortlich, während Inbenta erklärte, Ticketmaster habe den Code entgegen den Vorgaben eingesetzt. Die genaue technische Angriffskette der Magecart-Täter sowie deren Identität wurden nicht öffentlich im Detail rekonstruiert.

Ein Angreifer kaufte das kompromittierte Passwort eines externen Uber-Vertragspartners im Darknet und erzwang per MFA-Fatigue-Angriff sowie einer als IT-Support getarnten WhatsApp-Nachricht die Freigabe eines Zwei-Faktor-Logins. Damit erlangte er Zugriff auf interne Systeme wie Slack, G-Suite, das Finanz-Tool und HackerOne-Berichte und postete eine Nachricht im firmenweiten Slack-Kanal. Uber bestätigte die Zuordnung zur Gruppe Lapsus$ sowie den Zugriff auf interne Kommunikation und Finanzdaten, erklärte aber, dass Produktivsysteme, Nutzerkonten, Kreditkarten- und Fahrtdaten sowie AWS-S3-Speicher nicht betroffen waren.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp E-Mail-Adressen, IP-Adressen und Antworten aus Gesundheitsfragebögen seiner Nutzer an Facebook, Snapchat, Criteo und Pinterest zu Werbezwecken weitergab, obwohl das Unternehmen in seiner Datenschutzerklärung Vertraulichkeit zugesichert hatte. Am 2. März 2023 wurde eine Einigung bekanntgegeben, die die FTC am 14. Juli 2023 endgültig bestätigte. BetterHelp muss 7,8 Millionen US-Dollar zur Rückerstattung an betroffene Nutzer zahlen und darf Nutzerdaten künftig nicht mehr für zielgerichtete Werbung an Dritte weitergeben.

Offen bleibt, wie viele Nutzer konkret betroffen waren und in welchem Umfang die weitergegebenen Daten von den Werbeplattformen tatsächlich für individuelle Zielgruppenansprache genutzt wurden. BetterHelp räumte im Rahmen der Einigung kein Fehlverhalten ein, ein gerichtliches Urteil zur Schuldfrage liegt nicht vor.

Die FTC einigte sich am 19.12.2023 mit der US-Drogeriekette Rite Aid darauf, dass diese für fünf Jahre keine Gesichtserkennung zur Ladenüberwachung einsetzen darf. Laut FTC-Beschwerde nutzte Rite Aid die Technik von 2012 bis 2020 in hunderten Filialen, wobei Mitarbeitende tausende Fehlalarme erhielten und Kunden fälschlich des Ladendiebstahls beschuldigt wurden. Die Fehlerquote war in Stadtteilen mit überwiegend Schwarzer, asiatischer und lateinamerikanischer Bevölkerung nachweislich höher als in mehrheitlich weißen Gegenden.

Offen bleibt die genaue Zahl der fälschlich beschuldigten Personen sowie individuelle Schadensersatzforderungen, da die Vereinbarung eine zivilrechtliche Einigung ohne Schuldeingeständnis ist. Rite Aid bestritt die Vorwürfe und verwies darauf, das System bereits Jahre vor der FTC-Untersuchung eingestellt zu haben.