Quellen-Tabelle

T-Mobile US meldete der SEC am 19.01.2023, dass ein Angreifer seit rund dem 25.11.2022 unautorisiert Daten über eine einzelne API abgriff. Das Unternehmen entdeckte die Aktivität am 05.01.2023 und stoppte den Zugriff nach eigenen Angaben innerhalb eines Tages. Betroffen waren Kontodaten von schätzungsweise 37 Millionen Kunden, darunter Name, Adresse, E-Mail und Geburtsdatum, jedoch keine Sozialversicherungsnummern oder Zahlungskartendaten.

Die genaue Identität des Angreifers ist offen, T-Mobile spricht lediglich von einem bad actor. Die Zahl von 37 Millionen betroffenen Konten basiert auf einer vorläufigen Untersuchung, die T-Mobile selbst als preliminary bezeichnete.

Eine von Danske Bank beauftragte externe Untersuchung stellte fest, dass zwischen 2007 und 2015 rund 200 Milliarden Euro an Zahlungen von Nicht-Residenten-Kunden durch die estnische Filiale der Bank abgewickelt wurden. Für die Untersuchung wurden rund 15.000 Kunden und 9,5 Millionen Zahlungen geprüft. Der am 19.09.2018 veröffentlichte Bericht dokumentierte schwerwiegende Mängel in Governance und Kontrollsystemen. Danske Bank kündigte an, geschätzte Bruttoerträge von 1,5 Milliarden Dänischen Kronen gemeinnützigen Zwecken zuzuführen.

Welcher genaue Anteil der 200 Milliarden Euro tatsächlich aus krimineller Herkunft stammte, bleibt offen, da nicht jede Nicht-Residenten-Transaktion automatisch Geldwäsche bedeutet. Individuelle strafrechtliche Verantwortlichkeiten waren zum Zeitpunkt der Veröffentlichung noch Gegenstand laufender Ermittlungen in mehreren Ländern.

Der EuGH entschied am 13.05.2014 in der Rechtssache C-131/12, dass Suchmaschinenbetreiber als für die Datenverarbeitung Verantwortliche gelten. Betroffene können von Google die Entfernung von Links zu personenbezogenen Daten verlangen, wenn diese nicht mehr relevant oder unangemessen sind, auch wenn die zugrunde liegende Veröffentlichung rechtmäßig bleibt. Auslöser war eine Anzeige aus 1998 über eine Zwangsversteigerung des Klägers Mario Costeja Gonzalez.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Der EuGH erklärte am 06.10.2015 in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission von 2000 für ungültig. Grundlage war eine Beschwerde von Max Schrems gegen die irische Datenschutzbehörde, weil Facebook Ireland Nutzerdaten in die USA übermittelte, wo sie nach den Snowden-Enthüllungen dem Zugriff von US-Geheimdiensten ausgesetzt waren. Der EuGH stellte klar, dass nationale Datenschutzbehörden die Angemessenheit von Datentransfers eigenständig prüfen dürfen.

Wie ein Nachfolgeregime konkret ausgestaltet werden würde, war zum Urteilszeitpunkt offen, die Nachfolgevereinbarung Privacy Shield trat erst 2016 in Kraft. Das spätere Schrems-II-Urteil von 2020 ist nicht Gegenstand dieser Quelle.

Das Bundesverfassungsgericht entschied am 24.04.2013, dass die gemeinsame Antiterrordatei von Polizeibehörden und Nachrichtendiensten in ihrer Grundstruktur mit dem Grundgesetz vereinbar ist. Mehrere Einzelregelungen, darunter zu Unterstützern und der Inverssuche, wurden für verfassungswidrig erklärt. Der Gesetzgeber musste die beanstandeten Vorschriften bis 31.12.2014 neu regeln.

Wie viele Personen konkret in der Antiterrordatei erfasst waren, ist nicht dokumentiert. Wie oft die Datei zu tatsächlichen Ermittlungserfolgen beigetragen hat, geht aus der Quelle nicht hervor.

Das Bundesverfassungsgericht entschied am 20.04.2016 über Verfassungsbeschwerden gegen BKA-Befugnisse zur Terrorismusabwehr. Die Ermächtigung zu heimlichen Überwachungsmaßnahmen wie Online-Durchsuchung und Wohnraumüberwachung ist grundsätzlich mit dem Grundgesetz vereinbar. Mehrere konkrete Vorschriften erfüllten jedoch nicht die Verhältnismäßigkeitsanforderungen und wurden für teilweise verfassungswidrig erklärt, der Gesetzgeber musste bis 30.06.2018 nachbessern.

Wer konkret die Beschwerdeführer waren, geht aus der Pressemitteilung nicht hervor. Die genaue gesetzgeberische Umsetzung der Neuregelung bis 2018 ist nicht Gegenstand dieser Quelle.

Das Auswärtige Amt teilte am 28.05.2020 mit, dass der russische Staatsangehörige Dmitrij Badin verdächtig sei, als Mitglied der Gruppe APT28 für den Cyberangriff auf den Deutschen Bundestag im April und Mai 2015 verantwortlich zu sein. Der Ermittlungsrichter des BGH erließ am 29.04.2020 einen Haftbefehl gegen Badin, dem geheimdienstliche Agententätigkeit vorgeworfen wird. Es gibt Hinweise, dass Badin zum Zeitpunkt des Angriffs dem russischen Militärgeheimdienst GRU angehörte.

Die Mitteilung ist eine politische Zuschreibung der Bundesregierung und kein rechtskräftiges Gerichtsurteil. Badin wurde nie festgenommen oder ausgeliefert, da Russland eigene Staatsangehörige grundsätzlich nicht ausliefert.

Am 27.01.2021 gaben die Generalstaatsanwaltschaft Frankfurt am Main und das BKA bekannt, dass die Infrastruktur der Schadsoftware Emotet in einer international koordinierten Aktion übernommen und zerschlagen wurde. Das BKA beschlagnahmte 17 Server in Deutschland, weitere in den Niederlanden, Litauen und der Ukraine. Beteiligt waren Behörden aus acht Ländern, koordiniert durch Europol und Eurojust. Der in Deutschland verursachte Schaden wird mit mindestens 14,5 Millionen Euro beziffert, betroffen waren unter anderem das Klinikum Fürth und das Kammergericht Berlin.

Die Identität der mutmaßlichen Betreiber und Drahtzieher hinter Emotet ist nicht dokumentiert, es wurde keine konkrete Festnahme einer Kernperson in Deutschland vermeldet. Die Schadenssumme bezieht sich nur auf bekannt gewordene Fälle in Deutschland.

Der EuGH (Große Kammer) erklärte am 08.04.2014 in den verbundenen Rechtssachen C-293/12 und C-594/12 die Richtlinie 2006/24/EG über die Vorratsspeicherung von Telekommunikationsdaten für ungültig. Klägerin war unter anderem Digital Rights Ireland Ltd. Der EuGH sah einen schwerwiegenden Eingriff in die Grundrechte auf Achtung des Privatlebens und Datenschutz, da die Richtlinie unterschiedslos alle Personen erfasste, keine objektiven Kriterien für den Datenzugriff vorsah und keine ausreichenden Sicherheitsgarantien enthielt.

Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.

Die Große Kammer des EGMR entschied am 04.12.2008, dass die zeitlich unbegrenzte Aufbewahrung von Fingerabdrücken, Zellproben und DNA-Profilen nicht verurteilter Personen gegen Artikel 8 EMRK verstößt. Kläger waren ein freigesprochener Jugendlicher und Michael Marper, gegen den ein Verfahren eingestellt worden war. Die South Yorkshire Police hatte ihre Daten trotz fehlender Verurteilung unbegrenzt gespeichert. Das Gericht urteilte einstimmig, die pauschale Speicherungspraxis sei unverhältnismäßig.

Der EGMR sprach keine finanzielle Entschädigung zu, die Feststellung der Konventionsverletzung selbst galt als ausreichende Genugtuung. Wie schnell das Vereinigte Königreich das Urteil praktisch umsetzte, bleibt offen.

Die Große Kammer des EGMR entschied am 25.05.2021 im Fall Big Brother Watch u.a. gegen das Vereinigte Königreich, dass die britische Regelung zur Massenerfassung von Kommunikation (Bulk Interception nach RIPA) sowie die Regeln zur Herausgabe von Kommunikationsdaten gegen Artikel 8 und Artikel 10 EMRK verstießen, da ausreichende gesetzliche Kontrollmechanismen fehlten. Mit 12 zu 5 Stimmen entschied das Gericht, dass der Austausch von Geheimdienstinformationen mit ausländischen Regierungen keinen Konventionsverstoß darstellte. Der Fall geht auf die Snowden-Enthüllungen 2013 über GCHQ zurück.

Das Urteil erklärt Massenüberwachung nicht grundsätzlich für konventionswidrig, sondern formuliert acht Mindestkriterien. Wie das seit 2016 geltende Investigatory Powers Act an diesen Kriterien zu messen ist, bleibt offen, da sich das Urteil noch auf die alte Rechtslage (RIPA) bezog.

Der EGMR entschied am 06.09.1978 im Fall Klass u.a. gegen Deutschland über das deutsche G10-Gesetz von 1968 zur geheimen Überwachung von Post und Telekommunikation. Fünf deutsche Juristen hatten die Regelung angefochten, ohne dass eine konkrete Überwachung ihrer eigenen Person nachgewiesen war. Das Gericht stellte fest, dass keine Verletzung von Artikel 8 oder 13 EMRK vorlag, da das G10-Gesetz mit der G10-Kommission ausreichende Kontrollmechanismen vorsehe. Es war das erste EGMR-Urteil zur grundsätzlichen Vereinbarkeit geheimer Überwachungsgesetze mit der Menschenrechtskonvention.

Das Urteil erklärte nicht pauschal jede Form geheimer Überwachung für konventionskonform, sondern nur die damalige Fassung des G10-Gesetzes. Ob die Beschwerdeführer selbst tatsächlich abgehört wurden, blieb offen.

Die Große Kammer des EGMR urteilte am 04.12.2015 einstimmig, dass das russische Überwachungssystem SORM gegen Artikel 8 EMRK verstößt. Russische Mobilfunkanbieter sind verpflichtet, Technik zu installieren, die Sicherheitsbehörden direkten Zugriff auf die Telekommunikation aller Nutzer ermöglicht, ohne wirksame vorherige richterliche Kontrolle. Der Gerichtshof ließ die Beschwerde bereits wegen der abstrakten Möglichkeit der Erfassung als Mobilfunknutzer zu, ohne dass eine konkrete eigene Überwachung nachgewiesen werden musste.

Ob Roman Zakharov selbst tatsächlich überwacht wurde, ist nicht belegt, die Beschwerde richtete sich abstrakt gegen die Rechtslage. Russland erkennt seit dem Ausschluss aus dem Europarat 2022 keine Bindung an EGMR-Entscheidungen mehr an.

Der EGMR erklärte am 29.06.2006 die Beschwerde der Journalistin Gabriele Weber und des Uruguayers Cesar Richard Saravia gegen Deutschland für unzulässig. Die Beschwerde richtete sich gegen die strategische Telekommunikationsüberwachung des BND nach dem G10-Gesetz. Der Gerichtshof stellte fest, dass die deutschen Regelungen ausreichende gesetzliche Schutzmechanismen enthalten, unter anderem durch die Kontrolle der G10-Kommission, und mit Artikel 8 EMRK vereinbar sind.

Es handelt sich um eine Unzulässigkeitsentscheidung ohne Feststellung einer Konventionsverletzung, keine Verurteilung Deutschlands. Ob und in welchem Umfang die Kommunikation der Beschwerdeführer tatsächlich erfasst wurde, ist nicht dokumentiert.

Der Investigatory Powers Act 2016 erhielt am 29.11.2016 die königliche Zustimmung und ist im Vereinigten Königreich als Snoopers Charter bekannt. Section 87 ermächtigt den Innenminister, retention notices an Telekommunikationsanbieter zu richten. Eine solche Anordnung darf die Speicherung von Daten nicht für mehr als 12 Monate vorschreiben, betroffene Anbieter müssen insbesondere Internet Connection Records speichern.

Wie viele Anbieter tatsächlich eine retention notice erhielten, geht aus dem Gesetzestext nicht hervor, Inhalt und Empfänger solcher Anordnungen sind vertraulich. Das High-Court-Urteil von 2018 im Verfahren Liberty gegen die Regierung ist nicht Teil dieser Quelle.

Der US-Senat verabschiedete in der Nacht zum 20.04.2024 mit 60 zu 34 Stimmen den Reforming Intelligence and Securing America Act (RISAA). Präsident Biden unterzeichnete das Gesetz noch am selben Tag, nur Stunden nachdem die Befugnis nach Section 702 FISA technisch ausgelaufen war. RISAA verlängert Section 702, das die warrantlose Überwachung von Kommunikation nicht-amerikanischer Personen im Ausland erlaubt, um zwei Jahre bis zum 20.04.2026.

Wie die enthaltenen Reformen zu FBI-Abfragen in der Praxis kontrolliert werden, geht aus der Pressemitteilung nicht hervor. Wie viele US-Personen durch die erweiterte Definition betroffen sein könnten, wird nicht beziffert.

Der US Supreme Court entschied am 26.02.2013 mit 5 zu 4 Stimmen im Fall Clapper gegen Amnesty International USA. Kläger waren Menschenrechtsorganisationen und Anwälte, die Section 702 des FISA Amendments Act wegen befürchteter Überwachung anfochten. Das Gericht urteilte, die Kläger besäßen keine Klagebefugnis, da ein drohender Schaden zu spekulativ sei.

Ob die Kläger tatsächlich Ziel einer Überwachung waren, prüfte das Gericht mangels Klagebefugnis nicht inhaltlich. Spätere Snowden-Enthüllungen ab 2013 zeigten, dass die befürchtete Überwachung tatsächlich stattfand, was das Urteil selbst nicht mehr beeinflusste.

Am 07.05.2015 entschied das US Court of Appeals for the Second Circuit im Fall ACLU gegen Clapper einstimmig, dass das massenhafte Sammeln von Telefonverbindungsdaten durch die NSA nicht von Section 215 PATRIOT Act gedeckt ist. Das Gericht wies die Position der Regierung zurück, nur das geheime FISA-Gericht dürfe die Rechtmäßigkeit prüfen, und stellte fest, dass die ACLU klagebefugt ist.

Das Gericht entschied nur auf einfachgesetzlicher Ebene, nicht zur verfassungsrechtlichen Frage. Kurz nach dem Urteil lief Section 215 am 01.06.2015 aus und wurde durch den USA Freedom Act ersetzt.

Die SEC erhob am 11.12.2008 Klage gegen Bernard L. Madoff wegen Wertpapierbetrugs. Madoff hatte eingeräumt, sein Geschäft sei im Kern ein Ponzi-Schema, mit einem geschätzten Schaden von mindestens 50 Milliarden US-Dollar. Die gefälschten Kontoauszüge wiesen Guthaben von rund 65 Milliarden US-Dollar aus. Madoff bekannte sich am 12.03.2009 schuldig und wurde am 29.06.2009 zu 150 Jahren Haft verurteilt.

Wie lange das Schema exakt lief, ist nicht abschließend geklärt, Schätzungen reichen von den 1970er bis in die frühen 1990er Jahre. Der tatsächliche Nettoverlust der Anleger lag laut Insolvenzverwalter deutlich niedriger bei geschätzt 17 bis 20 Milliarden US-Dollar eingezahltem Kapital.

Enron Corp. teilte der SEC am 08.11.2001 mit, dass die Jahresabschlüsse für 1997 bis 2000 falsch waren und korrigiert werden müssen. Grund war die fehlerhafte Nichtkonsolidierung der Zweckgesellschaften Chewco Investments, JEDI und einer LJM1-Tochtergesellschaft, die vom Finanzvorstand Andrew Fastow mitgegründet wurden. Durch die Korrektur sank das Eigenkapital um 1,2 Milliarden US-Dollar. Enron meldete am 02.12.2001 Insolvenz an, damals die größte Unternehmenspleite der US-Geschichte.

Das Dokument ist Enrons eigene Pflichtmitteilung, kein Gerichtsurteil. Die vollständige Aufarbeitung der Zweckgesellschaften erfolgte erst in späteren Straf- und Zivilverfahren gegen Kenneth Lay, Jeffrey Skilling und Andrew Fastow.

Die SEC verklagte WorldCom am 26.06.2002 wegen Bilanzbetrugs von mehr als 3,8 Milliarden US-Dollar. WorldCom hatte laufende Betriebskosten fälschlich als Investitionen aktiviert, um Gewinne vorzutäuschen. Spätere Nachprüfungen erhöhten die Gesamtsumme auf rund 11 Milliarden US-Dollar. Am 21.07.2002 meldete WorldCom Insolvenz an, damals die größte Unternehmensinsolvenz der US-Geschichte.

Die zitierte SEC-Klage dokumentiert nur die zu diesem Zeitpunkt bekannten 3,8 Milliarden US-Dollar. Die spätere Verurteilung von Ex-CEO Bernard Ebbers zu 25 Jahren Haft 2005 erfolgte in einem separaten, späteren Verfahren.

Die SEC verklagte Parmalat Finanziaria am 30.12.2003 wegen Wertpapierbetrugs. Der italienische Lebensmittelkonzern bot von August bis November 2003 US-Investoren Anleihen im Volumen von 100 Millionen Dollar an und stellte dabei Vermögenswerte falsch dar. Parmalat räumte am 19.12.2003 ein, dass Vermögenswerte im Jahresabschluss 2002 um mindestens 3,95 Milliarden Euro zu hoch ausgewiesen waren, unter anderem durch ein angeblich bei der Bank of America gehaltenes, tatsächlich nicht existierendes Guthaben der Cayman-Tochter Bonlat.

Die häufig zitierte Zahl von rund 14 Milliarden Euro Bilanzloch stammt aus späteren Ermittlerberichten, nicht aus dieser SEC-Klage selbst. Die strafrechtlichen Konsequenzen für Calisto Tanzi und weitere Verantwortliche in Italien sind nicht Gegenstand dieser Quelle.

Der Illinois Biometric Information Privacy Act wurde vom Repräsentantenhaus mit 113 zu 0 und vom Senat mit 42 zu 0 Stimmen verabschiedet. Gouverneur Rod Blagojevich unterzeichnete das Gesetz am 03.10.2008. Es war das erste US-Bundesstaatsgesetz, das private Unternehmen zu schriftlicher Zustimmung vor Erhebung biometrischer Identifikatoren verpflichtet und gewährt Betroffenen ein privates Klagerecht mit Schadenersatz von 1000 bis 5000 US-Dollar je Verstoß.

Die genaue Zahl und das Gesamtvolumen der seit 2008 auf BIPA gestützten Sammelklagen ist nicht zentral erfasst. Das Gesetz gilt ausdrücklich nur für private Unternehmen, nicht für staatliche Behörden.

Zwischen dem 20. und 27.03.2016 wurde die Webseite der philippinischen Wahlkommission COMELEC gehackt, Angreifer luden mehrere Wählerdatenbanken herunter. Laut der Entscheidung der National Privacy Commission vom 28.12.2016 enthielten diese Namen, Geburtsdaten, Passnummern und biometrische Beschreibungen. Die Sicherheitsfirma Trend Micro bezifferte die Zahl der betroffenen Wähler auf rund 55 Millionen, die Kommission stellte fest, dass COMELEC gegen den Data Privacy Act verstieß.

Ob die geleakten Daten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. COMELEC bestritt öffentlich, dass biometrische Daten kompromittiert wurden, was im Widerspruch zur Trend-Micro-Analyse steht.

Im August 2017 entdeckten Forscher die ROCA-Schwachstelle in RSA-Schlüsseln von Infineon-Chips in estnischen eID-Karten seit Oktober 2014. Rund 750.000 bis 800.000 Karten waren betroffen. Am 25.10.2017 veröffentlichte Estland ein Software-Update, ab dem 03.11.2017 wurden die Zertifikate von rund 760.000 Karten suspendiert, mit einer Frist zur Fernerneuerung bis 31.03.2018.

Ob die Schwachstelle vor ihrer Offenlegung tatsächlich ausgenutzt wurde, ist nicht dokumentiert. Estnische Vertreter erklärten, es seien keine Fälle von Identitätsmissbrauch bekannt, ein vollständiger forensischer Nachweis liegt aber nicht vor.