Quellen-Tabelle

Australien verabschiedete am 6. Dezember 2018 den Telecommunications and Other Legislation Amendment (Assistance and Access) Act, der am 8. Dezember 2018 in Kraft trat. Das Gesetz verpflichtet Kommunikationsanbieter über drei Stufen zur Mithilfe bei der Entschlüsselung von Kommunikation, mit Bußgeldern bis zu 10 Millionen australischen Dollar bei Nichtbefolgung. Australien war damit das erste westliche Land mit einer solchen gesetzlichen Verpflichtung, wogegen Apple, Google, WhatsApp und weitere Unternehmen öffentlich protestierten.

Nicht öffentlich dokumentiert ist, in welchem Umfang die australische Regierung tatsächlich Technical Capability Notices erlassen hat, da diese vertraulich gehalten werden können. Offen bleibt zudem, ob einzelne Unternehmen tatsächlich systemische Schwachstellen einbauen mussten, was der Gesetzestext nominell ausschließt.

Die gemeinsame Untersuchung von vier kanadischen Datenschutzbehörden ergab, dass die Tim-Hortons-App den Standort von rund 1,6 Millionen Nutzern auch dann kontinuierlich alle paar Minuten erfasste, wenn die App geschlossen war. Die Daten wurden genutzt, um Wohn- und Arbeitsorte sowie Besuche bei Konkurrenzcafés abzuleiten, obwohl Tim Hortons die geplante ortsbasierte Werbung nie umsetzte. Tim Hortons stimmte zu, verbleibende Standortdaten zu löschen und ein Datenschutzprogramm einzuführen.

Die genaue Zahl der tatsächlich betroffenen Nutzer und der exakte Umfang der bereits erfolgten Datennutzung bleiben in der öffentlichen Zusammenfassung unklar. Offen bleibt zudem, ob und in welchem Umfang die gesammelten Standortdaten an Dritte weitergegeben wurden.

Am 02.04.2024 veröffentlichte das US-Heimatschutzministerium den Bericht des Cyber Safety Review Board zur Exchange-Online-Cyberspionage im Sommer 2023. Die mit China verbundene Gruppe Storm-0558 griff ab dem 15.05.2023 mit gefälschten Authentifizierungs-Tokens auf E-Mail-Postfächer von rund 25 Organisationen zu, darunter das US-Außenministerium. Die Angreifer nutzten einen gestohlenen Microsoft-Signaturschlüssel aus dem Jahr 2016. Der CSRB bewertete den Einbruch als vermeidbar.

Wie genau der Signaturschlüssel bei Microsoft entwendet wurde, blieb laut CSRB-Bericht ungeklärt. Microsofts eigene Erklärung, der Schlüssel sei über einen Absturzbericht abgeflossen, fand der CSRB durch keine Logs oder Beweise belegt.

Verizon meldete der Maine Attorney General am 07.02.2024 einen Vorfall vom 21.09.2023, bei dem ein eigener Mitarbeiter unbefugt auf eine Datei mit Personaldaten zugriff. Betroffen waren 63.206 aktuelle und ehemalige Mitarbeiter, deren Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern in der Datei enthalten waren. Verizon entdeckte den Vorfall am 12.12.2023 und stufte ihn als unbeabsichtigte interne Offenlegung ein.

Nicht belegt ist, ob und in welchem Umfang die Daten tatsächlich außerhalb von Verizon weiterverbreitet oder missbraucht wurden. Auch die Identität und Motivation des betroffenen Mitarbeiters wurden von Verizon nicht öffentlich benannt.

Die BfDI verhängte am 03.06.2025 gegen Vodafone Deutschland Bußgelder von insgesamt 45 Millionen Euro, das bis dahin höchste DSGVO-Bußgeld der Behörde. 15 Millionen Euro betrafen mangelhafte Kontrolle von Vertriebspartneragenturen, bei denen Mitarbeitende fingierte Verträge zulasten von Kunden abschlossen. 30 Millionen Euro betrafen Sicherheitslücken im Authentifizierungsprozess zwischen dem Portal MeinVodafone und der Kundenhotline, über die Unbefugte auf eSIM-Profile zugreifen konnten.

Offen bleibt, wie viele Kunden konkret von den Betrugsfällen oder dem unbefugten eSIM-Zugriff tatsächlich betroffen waren, da die Pressemitteilung keine genaue Fallzahl nennt. Nicht dokumentiert ist zudem, ob einzelne Kunden Schadensersatz erhielten.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei automatisiertem Bonitätsscoring einen Anspruch auf präzise und verständliche Erläuterung der konkret angewandten Verfahren haben. Ausgangspunkt war eine Beschwerde gegen die Auskunftei Dun & Bradstreet Austria (vormals Bisnode Austria), die einem Mobilfunkkunden per automatisierter Bewertung die Bonität abgesprochen hatte. Geschäftsgeheimnisse rechtfertigen laut Urteil keine pauschale Auskunftsverweigerung.

Das Urteil ist eine Vorabentscheidung zur DSGVO-Auslegung, kein Bußgeldbescheid. Ob die österreichische Datenschutzbehörde am Ende ein Bußgeld gegen die Auskunftei verhängte, geht aus dieser Quelle nicht hervor. Wie der ursprüngliche Fall nach Zurückverweisung konkret endete, bleibt offen.

Der EuGH entschied am 20.09.2022 in den verbundenen Rechtssachen C-793/19 (SpaceNet) und C-794/19 (Telekom Deutschland), dass Unionsrecht einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten entgegensteht, außer bei ernster Bedrohung der nationalen Sicherheit. Die Internetanbieter SpaceNet AG und Telekom Deutschland hatten die Speicherpflicht nach dem deutschen Telekommunikationsgesetz vor deutschen Gerichten angefochten. Das Bundesverwaltungsgericht hatte den Fall im September 2019 dem EuGH zur Vorabentscheidung vorgelegt.

Die tatsächliche Eilaussetzung der Vollzugspraxis erfolgte bereits 2017 durch das OVG Münster, während das Bundesverwaltungsgericht erst am 14.08.2023 endgültig über die Unionsrechtswidrigkeit der deutschen Regelung entschied. Offen blieb nach dem EuGH-Urteil zunächst, wie der deutsche Gesetzgeber die zulässigen Ausnahmen wie IP-Adressenspeicherung oder Quick-Freeze-Verfahren konkret umsetzt.

Der Bayerische Verfassungsgerichtshof erklärte am 14. Juni 2023 den erweiterten polizeilichen Präventivgewahrsam nach Art. 20 PAG mit einer Höchstdauer von bis zu zwei Monaten für vereinbar mit der Bayerischen Verfassung. Eine Popularklage gegen mehrere PAG-Vorschriften wurde vom Gericht teils als unzulässig, teils als unbegründet abgewiesen.

Ob der Gefahrenbegriff drohende Gefahr selbst für präventive Polizeimaßnahmen mit höherrangigem Recht vereinbar ist, prüfte das Gericht nicht abschließend, da die entsprechende Rüge als nicht ausreichend begründet eingestuft wurde. Ein separates Verfahren zu genau dieser Frage läuft seit 2026 vor dem Bundesverfassungsgericht.

Das Bundesverfassungsgericht verwarf am 8. Juni 2021 eine Verfassungsbeschwerde gegen § 54 Abs. 2 des baden-württembergischen Polizeigesetzes als unzulässig, das heimliche Überwachung durch Ausnutzung von IT-Sicherheitslücken erlaubt. Der Senat stellte grundsätzlich fest, dass der Staat eine grundrechtliche Schutzpflicht für die Sicherheit informationstechnischer Systeme trägt und Behörden bei Kenntnis unbekannter Schwachstellen den Nutzen einer Ausnutzung gegen das Risiko für Dritte abwägen müssen.

Nicht entschieden wurde, ob die konkrete Schutzpflicht im vorliegenden Fall tatsächlich verletzt wurde. Offen blieb auch, wie die Abwägungspflicht zwischen Offenlegung an Hersteller und behördlicher Nutzung von Sicherheitslücken in der Praxis konkret auszugestalten ist.

Laut SEC-Meldung von Coinbase bestachen Angreifer mehrere externe Support-Mitarbeiter, um Kundendaten aus internen Systemen zu stehlen. Betroffen waren rund 69.461 Nutzer, erbeutet wurden unter anderem Namen, Adressen, maskierte Sozialversicherungsnummern und Ausweisfotos. Am 11. Mai 2025 forderten die Täter 20 Millionen Dollar Lösegeld, Coinbase lehnte die Zahlung ab und setzte stattdessen eine Belohnung von 20 Millionen Dollar für Hinweise aus.

Offen bleibt die genaue Zahl und Identität aller bestochenen Support-Mitarbeiter sowie das vollständige Ausmaß der internen Dokumente, die abgeflossen sind. Nicht abschließend beziffert ist der tatsächliche finanzielle Gesamtschaden durch Betrugsfälle bei betroffenen Kunden.

Am 13. Juni 2025 stellte die kanadische Fluggesellschaft WestJet fest, dass sich ein unbefugter Dritter Zugriff auf interne Systeme verschafft hatte, wodurch App und Website zeitweise eingeschränkt waren. Betroffen waren Daten aus einigen Buchungen sowie begrenzte Mitarbeiterdaten, jedoch keine Zahlungskartendaten oder Passwörter. WestJet informierte FBI, das kanadische Cybersicherheitszentrum und die Datenschutzbehörde.

Die genaue Zahl der betroffenen Personen wird von WestJet selbst nicht offiziell genannt, Medienberichte sprechen von rund 1,2 Millionen betroffenen Kunden. Die Identität der Angreifer und der genaue Einbruchsvektor wurden nicht veröffentlicht.

Aflac bestätigte am 20. Juni 2025, dass Angreifer am 12. Juni 2025 per Social Engineering in US-Systeme eindrangen und dabei Sozialversicherungsnummern, Gesundheitsdaten und Schadensfallinformationen abgriffen. Sicherheitsforscher ordneten den Angriff der Gruppe Scattered Spider zu, die im gleichen Zeitraum weitere US-Versicherer attackierte. Laut einer Meldung vom Februar 2026 waren fast 13,9 Millionen Personen mit betroffenen Gesundheitsdaten registriert.

Die Zuordnung zur Gruppe Scattered Spider stammt von Sicherheitsforschern, nicht von einer offiziellen Bestätigung Aflacs. Offen bleibt, ob und in welchem Umfang die gestohlenen Daten tatsächlich für Betrug missbraucht wurden.

Google bestätigte im August 2025 einen Datendiebstahl aus einer eigenen Salesforce-Instanz durch die Gruppe ShinyHunters, von Google als UNC6040 und UNC6240 verfolgt. Die Angreifer riefen per Voice Phishing Mitarbeitende an, gaben sich als vertrauenswürdige Kollegen aus und brachten sie dazu, eine manipulierte Version der Salesforce-Data-Loader-App zu autorisieren. Betroffen waren vor allem Kontaktdaten kleiner und mittlerer Geschäftskunden wie Firmennamen, E-Mail-Adressen und Telefonnummern, zusätzlich waren OAuth-Tokens der Drift-Plattform kompromittiert.

Passwörter oder Finanzdaten waren nach Googles eigener Darstellung nicht betroffen, diese Einschätzung stammt jedoch vom betroffenen Unternehmen selbst. Die vollständige Liste der betroffenen Google-Geschäftskunden sowie die genaue Zahl der kompromittierten Datensätze wurde nicht veröffentlicht.

Fortinet veröffentlichte am 08.02.2024 einen Sicherheitshinweis zu CVE-2024-21762, einer kritischen Out-of-Bounds-Write-Schwachstelle in FortiOS SSL-VPN mit einem CVSS-Wert von 9,6. Die Lücke erlaubt nicht authentifizierten Angreifern per präparierter HTTP-Anfrage die Ausführung beliebigen Codes auf betroffenen Firewalls. Die US-Cybersicherheitsbehörde CISA nahm die Lücke bereits am 09.02.2024 in ihren Known-Exploited-Vulnerabilities-Katalog auf, da eine Ausnutzung in freier Wildbahn beobachtet wurde.

Wie viele Geräte weltweit tatsächlich erfolgreich kompromittiert wurden, ist nicht abschließend beziffert. Die Identität der ersten ausnutzenden Angreifergruppen blieb ungeklärt, im März 2024 bot ein Akteur auf einem Untergrundforum zusätzlich einen Exploit für die Lücke zum Verkauf an.

Sicherheitsforscher entdeckten ab dem 10.01.2024 die aktive Ausnutzung zweier Zero-Day-Schwachstellen in Ivanti Connect Secure und Policy Secure, CVE-2023-46805 (Authentifizierungsumgehung, CVSS 8,2) und CVE-2024-21887 (Command Injection, CVSS 9,1). In Kombination ermöglichten die Lücken unauthentifizierte Remotecodeausführung auf den Geräten, erste Ausnutzung wurde bereits auf den 03.12.2023 zurückdatiert. Betroffen waren alle unterstützten Versionen 9.x und 22.x, zum Zeitpunkt der Offenlegung waren über 15.000 Geräte weltweit erreichbar und rund 1.700 nachweislich kompromittiert.

Zum Zeitpunkt der ersten Offenlegung stand noch kein offizieller Patch zur Verfügung, Ivanti bot zunächst nur eine Mitigations-XML-Datei an. Die Identität der ursprünglichen Angreifergruppe hinter der Erstausnutzung wurde nicht abschließend öffentlich benannt.

Der Gerichtshof der Europäischen Union entschied am 04.07.2023 in der Rechtssache C-252/21, dass nationale Wettbewerbsbehörden bei der Prüfung eines Missbrauchs einer marktbeherrschenden Stellung inzident auch Verstöße gegen die Datenschutz-Grundverordnung feststellen dürfen. Das Oberlandesgericht Düsseldorf hatte dem EuGH die zugrunde liegenden Fragen am 24.03.2021 im Rahmen der Beschwerde von Meta gegen den Bundeskartellamt-Beschluss von 2019 zur Vorabentscheidung vorgelegt. Der EuGH stellte klar, dass sich Meta für die Zusammenführung von Nutzerdaten aus Facebook, Instagram, WhatsApp und Drittwebsites weder auf die Erforderlichkeit zur Vertragserfüllung noch auf ein berechtigtes Interesse an personalisierter Werbung ohne gesonderte Einwilligung stützen kann.

Das Urteil entscheidet nicht abschließend über die Rechtmäßigkeit des Bundeskartellamt-Beschlusses von 2019 selbst, diese Prüfung blieb dem Oberlandesgericht Düsseldorf im fortgesetzten Beschwerdeverfahren vorbehalten. Aus dem Urteilstext geht nicht hervor, wie die konkrete technische Umsetzung der Datentrennung bei Meta in der Praxis auszusehen hat.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei einer ausschließlich automatisierten Bonitätsbewertung nach Artikel 15 Absatz 1 Buchstabe h DSGVO Anspruch auf eine konkrete, nachvollziehbare Erklärung des angewandten Verfahrens haben. Die bloße Offenlegung des Algorithmus oder einer mathematischen Formel genügt laut Urteil nicht. Ein pauschaler Verweis auf Geschäftsgeheimnisse darf den Auskunftsanspruch nicht von vornherein ausschließen, strittige Informationen müssen im Streitfall der Aufsichtsbehörde oder einem Gericht zur Abwägung vorgelegt werden.

Das zugrunde liegende Verfahren betraf einen österreichischen Fall bei Dun und Bradstreet Austria, nicht die deutsche Schufa. Eine unmittelbare Übertragung der Maßstäbe auf deutsche Auskunfteien liegt nahe, ist aber nicht Gegenstand dieses Urteils.

Die italienische Datenschutzbehörde Garante verhängte am 15.01.2020 gegen den Telekommunikationskonzern TIM ein Bußgeld von 27.802.946 Euro. Grundlage waren mehrere hundert Beschwerden aus den Jahren 2017 bis Anfang 2019 über unerwünschte Werbeanrufe ohne gültige Einwilligung, Missachtung des Widerspruchsregisters sowie mangelhafte Einwilligungsverfahren in der App TIM Party. Die Behörde ordnete zusätzlich 20 Korrekturmaßnahmen an und bezeichnete die Sanktion als die bis dahin höchste in Italien verhängte Datenschutzstrafe.

Ob TIM gegen die Entscheidung Rechtsmittel eingelegt hat und ob die Bußgeldsumme später bestätigt oder reduziert wurde, geht aus der Pressemitteilung nicht hervor. Die genaue Zahl der tatsächlich betroffenen Personen wird nicht exakt beziffert.

Die Organisation noyb um Max Schrems reichte am 17.08.2020 101 Beschwerden bei Datenschutzbehörden in allen 30 EWR-Mitgliedstaaten ein, gerichtet gegen europäische Unternehmen, die Google Analytics oder Facebook Connect einsetzen und dadurch Daten in die USA übertragen. Grundlage war das Schrems-II-Urteil des EuGH vom Juli 2020, das den Privacy-Shield-Rahmen für ungültig erklärte. Bei Verstößen drohen laut noyb DSGVO-Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Wie die einzelnen Datenschutzbehörden in den 30 Ländern über die jeweiligen Beschwerden entschieden haben, geht aus der Pressemitteilung nicht hervor. Ob am Ende tatsächlich Bußgelder gegen die betroffenen Unternehmen verhängt wurden, ist nicht dokumentiert.

Im Februar 2021 reichten openDemocracy und die Rechtskampagne Foxglove eine Klage auf gerichtliche Überprüfung gegen die britische Regierung ein. Anlass war die im Dezember 2020 ohne öffentliche Ausschreibung erfolgte Verlängerung des ursprünglich zum symbolischen Preis von 1 Pfund vergebenen Notfallvertrags mit Palantir zum britischen COVID-19 Data Store, nun mit einem Volumen von 23 Millionen Pfund über zwei Jahre. Ende März 2021 sicherte die Regierung zu, Palantirs Rolle im NHS-Datenspeicher nicht ohne vorherige öffentliche Konsultation über die Pandemie hinaus auszuweiten.

Ob es in der Folge zu einer gerichtlichen Entscheidung über die Rechtmäßigkeit des ursprünglichen Vertrags kam, ist nicht belegt, da das Verfahren durch die Zusagen der Regierung beendet wurde. Ob die zugesagten Bürgerjurys tatsächlich stattfanden, bleibt offen.

Meta kündigte im Mai 2024 an, ab dem 26.06.2024 öffentliche Inhalte volljähriger Facebook- und Instagram-Nutzer aus der EU auf Grundlage eines berechtigten Interesses für das KI-Training zu verwenden. Die Organisation noyb reichte daraufhin Beschwerden in elf europäischen Ländern ein. Am 14.06.2024 teilte die irische Datenschutzbehörde DPC mit, dass Meta zugesagt habe, die geplante KI-Trainingsnutzung öffentlicher Inhalte erwachsener Nutzer in der EU vorerst auszusetzen.

Ob Metas Zusage rechtlich bindend war, geht aus der Pressemitteilung nicht hervor. Ob und wann Meta das KI-Training mit europäischen Nutzerdaten später wieder aufnahm, ist aus dieser Quelle nicht dokumentiert.

Der Erste Senat des Bundesverfassungsgerichts entschied am 24.01.2012, dass Sicherheitsbehörden Zugangssicherungscodes wie PIN und PUK nach § 113 Absatz 1 Satz 2 TKG nur abfragen dürfen, wenn die gesetzlichen Voraussetzungen für die Nutzung dieser Codes vorliegen. Die bestehende Fassung der Norm erklärte das Gericht insoweit für verfassungswidrig. Zugleich formulierte der Senat das sogenannte Doppeltürenmodell, wonach für Datenabruf und Datenübermittlung jeweils eigene, korrespondierende Rechtsgrundlagen nötig sind.

Wie oft Sicherheitsbehörden vor diesem Beschluss tatsächlich PIN, PUK oder andere Zugangssicherungscodes abgefragt haben, geht aus der Entscheidung nicht hervor. Die als Reaktion geschaffene Neufassung des § 113 TKG wurde acht Jahre später in einem separaten Verfahren am 27.05.2020 ihrerseits vom Bundesverfassungsgericht für verfassungswidrig erklärt, dieses spätere Urteil ist nicht Gegenstand dieser Quelle.

Die Berliner Datenschutzbeauftragte verhängte im August 2019 Bußgelder von insgesamt 195.407 Euro gegen die Delivery Hero Germany GmbH, zu der die Marken Lieferheld, Pizza.de und foodora gehörten. In zehn Fällen hatte das Unternehmen Konten ehemaliger Kunden trotz jahrelanger Inaktivität nicht gelöscht, in einem Fall seit 2008. Acht Kunden erhielten trotz Widerspruchs weiter Werbe-E-Mails, in fünf Fällen kam das Unternehmen Auskunftsersuchen nicht oder erst nach Einschreiten der Behörde nach. Der neue Eigentümer Takeaway.com akzeptierte die Bescheide ohne Rechtsmittel.

Die Pressemitteilung nennt kein exaktes Tagesdatum des Bußgeldbescheids innerhalb des Monats August 2019. Wie viele Kundenkonten insgesamt von dem Löschproblem betroffen waren, ist nicht erkennbar, da die genannten Fälle auf konkreten Beschwerden beruhen.

Die italienische Datenschutzbehörde Garante verhängte am 22.07.2021 ein Bußgeld von 2,5 Millionen Euro gegen den Lieferdienst Deliveroo Italy. Betroffen waren rund 8.000 Rider, deren Standort über die Arbeits-App alle 12 Sekunden erfasst und bis zu sechs Monate gespeichert wurde. Die Behörde bemängelte zudem intransparente Algorithmen zur Auftrags- und Schichtvergabe sowie eine unzureichende Datenschutz-Folgenabschätzung.

Ob Deliveroo gegen den Bescheid gerichtlich vorging, ist aus den verfügbaren Quellen nicht ersichtlich. Die betroffenen Rider galten in Italien nicht als klassische Angestellte, sondern als Plattform-Beschäftigte mit besonderem Status.

Die US-Kommunikationsbehörde FCC verhängte am 13.04.2012 ein Bußgeld von 25.000 US-Dollar gegen Google wegen Behinderung ihrer Ermittlung zur Sammlung von WLAN-Nutzdaten durch Street-View-Kamerafahrzeuge. Google verzögerte die Herausgabe von E-Mails und weigerte sich zunächst, beteiligte Mitarbeiter zu benennen. Die FCC verzichtete auf eine Sanktion für die eigentliche Datensammlung selbst, da sie keine einschlägige Präzedenz für unverschlüsselten WLAN-Verkehr nach dem Wiretap Act sah.

Wie die Software zur Erfassung der WLAN-Payload-Daten im Detail konzipiert wurde, bleibt unklar, da der zuständige Ingenieur die Aussage verweigerte. Die FCC traf keine rechtliche Feststellung, dass die ursprüngliche Datensammlung selbst gegen US-Recht verstieß.