Quellen-Tabelle

Das Bundeskriminalamt stellte im Projekt EGES (Ertüchtigung des Gesichtserkennungssystems im BKA) bis 2019 rund 5 Millionen Fotos von etwa 3 Millionen Personen aus der zentralen INPOL-Datenbank bereit, um damit kommerzielle Gesichtserkennungssoftware zu testen. Die Tests führte das Fraunhofer-Institut für Graphische Datenverarbeitung durch, ergänzt um Bilder von 147 freiwilligen Testpersonen. Der Bundesbeauftragte für den Datenschutz bewertete die vom BKA angeführte Rechtsgrundlage als unzureichend und die Berufung auf den Forschungsparagrafen des BKA-Gesetzes als problematisch.

Ob die getesteten Softwareprodukte oder Hersteller anschließend tatsächlich beschafft und im Wirkbetrieb eingesetzt wurden, ist aus dieser Quelle nicht belegt. Trotz monatelanger Verhandlungen kam laut Bericht keine Einigung zwischen BKA und Datenschutzbeauftragtem über die Rechtmäßigkeit zustande, das Verfahren blieb offen.

Mutmaßlich staatliche Hacker schleusten die Schadsoftware Sunburst in reguläre Updates der Netzwerkmanagement-Software Orion von SolarWinds ein. Die betroffenen Versionen wurden zwischen März und Juni 2020 an rund 18.000 Kunden verteilt, darunter US-Ministerien, das Pentagon, das Außenministerium sowie zahlreiche Fortune-500-Unternehmen. Die Sicherheitsfirma FireEye deckte den Angriff auf und dokumentierte die Kampagne unter dem Namen UNC2452.

Wie die Angreifer genau in das interne Netzwerk von SolarWinds eindrangen und den Quellcode manipulierten, ist öffentlich nicht abschließend geklärt. Offen bleibt auch, ob ein einfaches Software-Update zur vollständigen Bereinigung betroffener Systeme ausreicht. Das genaue Ausmaß der Datenabflüsse bei den einzelnen betroffenen Behörden und Unternehmen ist nicht vollständig öffentlich dokumentiert.

Der weltgrößte Fleischverarbeiter JBS wurde am 30./31. Mai 2021 Opfer eines Ransomware-Angriffs, der die Produktion an Standorten in den USA, Kanada und Australien für mehrere Tage lahmlegte. JBS USA bestätigte am 9. Juni 2021, den Angreifern rund 11 Millionen US-Dollar gezahlt zu haben, um mögliche Risiken für Kunden und einen Datenabfluss zu vermeiden. Das FBI attribuierte den Angriff der russischsprachigen Gruppe REvil (Sodinokibi).

Nicht abschließend belegt ist, in welcher Zahlungsform das Lösegeld genau übermittelt wurde und ob tatsächlich Daten exfiltriert wurden. Offen bleibt zudem der genaue technische Einstiegsvektor der Angreifer sowie ob und in welchem Umfang Mitglieder der REvil-Gruppe strafrechtlich belangt wurden.

Rockstar Games bestätigte am 19.09.2022 offiziell einen Netzwerkeinbruch, bei dem ein Unbekannter vertrauliche Daten herunterlud, darunter frühe Entwicklungsaufnahmen zum nächsten Grand Theft Auto. Ein Nutzer hatte zuvor rund 90 Videoclips im Forum GTAForums veröffentlicht und erklärt, sich per Social Engineering Zugang zum Slack-Konto eines Rockstar-Mitarbeiters verschafft zu haben. Der Täter wurde später mit der Gruppe Lapsus$ in Verbindung gebracht; ein Gericht in London stellte 2023 fest, dass der britische Teenager Arion Kurtaj dafür verantwortlich war.

Ob GTA 6 zum Leckzeitpunkt offiziell in Entwicklung war, hatte Rockstar zuvor nicht öffentlich bestätigt. Der genaue Umfang der entwendeten Daten, etwa ob wie vom Hacker behauptet auch Quellcode betroffen war, ist aus Rockstars eigener Stellungnahme nicht abschließend belegt.

Die US-Handelsaufsicht FTC einigte sich am 19. Dezember 2022 mit Epic Games, dem Hersteller von Fortnite, auf Zahlungen von insgesamt 520 Millionen US-Dollar. Davon entfielen 275 Millionen Dollar auf ein Bußgeld wegen Verstößen gegen das Kinderschutzgesetz COPPA, da Fortnite Daten von Kindern unter 13 Jahren ohne überprüfbare Elterneinwilligung sammelte und Text- sowie Sprachchat standardmäßig aktiviert waren. Weitere 245 Millionen Dollar musste Epic als Rückerstattung an Nutzer zahlen, die durch irreführende Bedienelemente zu ungewollten Käufen verleitet wurden.

Aus der Quelle geht nicht hervor, wie viele der betroffenen Kinder und Jugendlichen die zugesagten Rückerstattungen tatsächlich erhalten haben. Epic Games räumte im Vergleich kein rechtswidriges Verhalten ein, sondern einigte sich ohne Schuldeingeständnis mit der Behörde.

Am 24.09.2014 wurde die von Stephane Chazelas entdeckte Sicherheitslücke Shellshock in der Unix-Shell Bash öffentlich bekannt und als CVE-2014-6271 registriert, vom NIST mit dem höchsten Schweregrad CVSS 10 von 10 eingestuft. Die Lücke betraf fast alle Linux-Distributionen und Mac OS und erlaubte durch fehlerhafte Verarbeitung von Funktionsdefinitionen in Umgebungsvariablen die Ausführung von Schadcode aus der Ferne, besonders gefährlich für Webserver mit CGI-Skripten und OpenSSH-Zugriffe. Ubuntu, Red Hat, Debian, Fedora und openSUSE veröffentlichten Patches, wobei der erste Patch weitere Schwachstellen wie CVE-2014-7169 offenließ.

Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.

Am 20. Februar 2022 veröffentlichten die Süddeutsche Zeitung und das OCCRP mit einem Netzwerk von mehr als 150 Journalisten aus über 50 Medien die Recherche Suisse Secrets zu einem anonym zugespielten Datensatz mit Informationen zu mehr als 18.000 Konten der Credit Suisse. Die Konten waren zwischen den 1940er Jahren und der jüngeren Vergangenheit eröffnet worden und hielten laut Auswertung Vermögen von zusammen über 100 Milliarden Franken, darunter Konten mutmaßlicher Autokraten, sanktionierter Personen und krimineller Akteure. Credit Suisse wies die Vorwürfe öffentlich zurück.

Wer die Daten zuspielte und deren genaue Motivation blieben unbekannt, da die Person anonym blieb. Nicht öffentlich dokumentiert ist, für wie viele der 18.000 Konten tatsächlich Fehlverhalten im juristischen Sinne nachgewiesen wurde, da Credit Suisse die Vorwürfe größtenteils bestritt. Offen blieb auch der genaue rechtliche Umgang der Schweizer Behörden mit der undichten Stelle.

Im Dezember 2017 entdeckten deutsche Sicherheitsbehörden Schadsoftware im Regierungsnetz IVBB, das Kanzleramt, Ministerien und Sicherheitsbehörden verbindet. Zunächst wurde die russische Gruppe APT28 verdächtigt, spätere Ermittlungen deuteten stattdessen auf die seit 2005 aktive Gruppe Snake (auch Turla oder Uroburos genannt) hin, die weltweit Regierungsstellen angreift. Laut Ermittlern erbeuteten die Angreifer eine einstellige Anzahl von Dokumenten aus dem Referat für Russland und Osteuropa des Auswärtigen Amts.

Wie lange die Angreifer tatsächlich Zugriff hatten, wird unterschiedlich geschätzt und reicht bis zu einem Jahr, eine belastbare Zahl fehlt. Der genaue Inhalt der entwendeten Dokumente wurde nie öffentlich gemacht und eine gerichtsfeste Zuordnung zu einem russischen Staatsauftrag gab es nicht.

Angreifer drangen über einen gehackten Webserver der Bundesakademie für öffentliche Verwaltung in das Regierungsnetz IVBB ein und kompromittierten mit einem dort platzierten Trojaner 17 Rechner im Auswärtigen Amt. Ein ausländischer Geheimdienst hatte die Bundesregierung am 19. Dezember 2017 gewarnt, das BSI fand die Kompromittierung Anfang Januar 2018, öffentlich bekannt wurde der Vorfall am 28. Februar 2018. Die Bundesregierung ordnete den Angriff der Gruppe Snake/Turla zu.

Wie genau die Angreifer letztlich Administratorrechte im Auswärtigen Amt erlangten, blieb offen. Der genaue Umfang der abgeflossenen Daten wurde nie vollständig öffentlich gemacht, laut Presseberichten sollen unter anderem sechs Dokumente mit Russland-, Ukraine- und Belarus-Bezug betroffen gewesen sein. Eine gerichtsfeste, offizielle Zuordnung zu einem staatlichen Auftraggeber erfolgte nicht.

Im Februar 2016 erbeuteten Angreifer über gefälschte SWIFT-Zahlungsanweisungen 81 Millionen US-Dollar vom Konto der Bangladesh Bank bei der Federal Reserve Bank of New York. Die Täter nutzten zuvor per Spear-Phishing gestohlene SWIFT-Zugangsdaten und Schadsoftware, die den Transaktionsdrucker der Bank lahmlegte, um die Betrugsversuche zu verschleiern. Das Geld floss über Konten auf den Philippinen weiter in Casinos in Macau; 2018 klagten US-Behörden den Nordkoreaner Park Jin Hyok als Teil der Lazarus Group an.

Wer die endgültigen Nutznießer der über Macau gewaschenen Gelder waren, ist nicht abschließend dokumentiert, da die philippinischen Ermittlungen ins Stocken gerieten. Park Jin Hyok wurde nie festgenommen oder gerichtlich verurteilt. Von den insgesamt versuchten 951 Millionen US-Dollar wurde der größte Teil durch Zufall und Rechtschreibfehler in den Überweisungsaufträgen verhindert, und nur ein kleiner Teil der bereits ausgezahlten 81 Millionen US-Dollar konnte später zurückgeholt werden.

Bei einem im Oktober 2016 über eine Local-File-Inclusion-Lücke ausgeführten Hack von FriendFinder Networks (AdultFriendFinder, Penthouse.com, Cams.com, Stripshow.com, iCams.com) wurden rund 412 Millionen Nutzerkonten kompromittiert. Der Sicherheitsdienst LeakedSource stellte den vollen Umfang am 13. November 2016 öffentlich fest. 99 Prozent der Passwörter waren im Klartext oder nur schwach mit SHA1 gehasht gespeichert und ließen sich knacken, betroffen waren auch Daten von Millionen bereits gelöschter Konten.

Offen bleibt, warum FriendFinder Networks weiterhin Kundendaten von Penthouse.com vorhielt, obwohl die Seite bereits im Februar 2016 verkauft worden war. Auch die genaue Bedeutung der als gelöscht markierten Konten sowie ob und wie vollständig alle betroffenen Nutzer benachrichtigt wurden, ist den Berichten zufolge unklar geblieben.

Am 9. August 2023 veröffentlichte der Google-Sicherheitsforscher Daniel Moghimi die Schwachstelle Downfall (CVE-2022-40982) in Intel-Prozessoren der 6. bis 11. Generation sowie Xeon-Scalable-Chips der 1. bis 4. Generation. Der Gather-Befehl zur beschleunigten Speicherabfrage leckt bei spekulativer Ausführung Inhalte von Vektorregistern und kann so Passwörter und kryptografische Schlüssel anderer Prozesse offenlegen, teils auch aus durch Intel SGX geschützten Bereichen. Moghimi meldete den Fehler bereits am 24. August 2022 vertraulich an Intel, das daraufhin ein Microcode-Update bereitstellte.

Aus der Quelle nicht belegt ist eine reale Ausnutzung der Lücke außerhalb kontrollierter Testumgebungen vor der Offenlegung. Moghimi zeigte nur Machbarkeitsnachweise wie das Auslesen von AES-Schlüsseln aus OpenSSL, ein Angriff über den Webbrowser blieb theoretisch. Die genaue weltweite Zahl betroffener Geräte bleibt offen, andere Quellen schätzen sie auf 1,5 bis 2 Milliarden Systeme.

Das Berufungsgericht von New Jersey bestätigte am 1. Mai 2023, dass die Kriegsausschlussklausel in Mercks Sachversicherungspolicen den NotPetya-Cyberangriff von 2017 nicht abdeckt. Die Richter urteilten, dass eine feindselige oder kriegerische Handlung eine militärische Komponente voraussetzt und die Zurechnung zu russischen staatlichen Akteuren allein dafür nicht genügt. Merck konnte damit rund 700 Millionen US-Dollar von den verbliebenen acht Versicherern einfordern, als Teil eines Gesamtschadens von 1,4 Milliarden US-Dollar aus dem NotPetya-Angriff.

Wie viel Merck am Ende tatsächlich ausgezahlt wurde, blieb offen, da sich beide Seiten im Januar 2024 auf einen vertraulichen Vergleich einigten. Ob künftige, präziser formulierte Kriegsausschlussklauseln vor Gericht Bestand hätten, ist durch dieses Urteil nicht geklärt. Eine strafrechtliche Verantwortlichkeit einzelner russischer Akteure für NotPetya war nicht Gegenstand dieses zivilrechtlichen Versicherungsstreits.

Das US-Justizministerium klagte am 10.02.2020 vier Mitglieder der chinesischen Volksbefreiungsarmee wegen des Equifax-Hacks von 2017 an. Laut Anklage nutzten die Hacker die ungepatchte Apache-Struts-Sicherheitslücke im Streitbeilegungsportal von Equifax aus, verschleierten ihre Herkunft über rund 34 Server in fast 20 Ländern und erbeuteten Namen, Geburtsdaten und Sozialversicherungsnummern von knapp 150 Millionen US-Bürgern sowie Führerscheinnummern von mindestens 10 Millionen Betroffenen.

Da die USA kein Auslieferungsabkommen mit China haben, befinden sich die vier Angeklagten weiterhin auf freiem Fuß in China und wurden bislang nicht vor Gericht gestellt. Ob sie im direkten staatlichen Auftrag handelten oder wozu die gestohlenen Daten letztlich verwendet wurden, ist dadurch gerichtlich nie geprüft worden.

Yahoo bzw. die Verizon-Tochter Oath bestätigte im Oktober 2017, dass ein im August 2013 verübter Hackerangriff sämtliche zu diesem Zeitpunkt bestehenden 3 Milliarden Yahoo-Nutzerkonten betraf. Erst im Dezember 2016 war der Vorfall mit geschätzten 1 Milliarde betroffenen Konten bekannt geworden, die neue Zahl kam erst während forensischer Untersuchungen im Rahmen der Verizon-Übernahme zustande. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten sowie MD5-gehashte Passwörter und teils unverschlüsselte Sicherheitsfragen, jedoch keine Klartext-Passwörter oder Zahlungsdaten.

Wer genau hinter dem Angriff steckt, ist nicht abschließend öffentlich geklärt, auch wenn spätere US-Anklagen mutmaßlich staatlich unterstützte Akteure aus Russland benannten. Offen bleibt zudem, warum die volle Größenordnung von 3 Milliarden Konten erst 2017 erkannt wurde und ob frühere Angaben bewusst zu niedrig kommuniziert wurden.

Am 25.10.2018 verhängte die britische Datenschutzbehörde ICO gegen Facebook eine Geldbuße von 500.000 Pfund, die nach dem damals geltenden Data Protection Act 1998 höchstmögliche Strafe. Die ICO stellte fest, dass Facebook zwischen 2007 und 2014 App-Entwicklern ohne ausreichende Rechtsgrundlage Zugriff auf Nutzerdaten gewährte, wovon auch Facebook-Freunde von App-Nutzern betroffen waren. Betroffen waren schätzungsweise 87 Millionen Facebook-Nutzer weltweit, deren Daten über die App This Is Your Digital Life an Cambridge Analytica gelangten.

Aus den Quellen geht die genaue rechtliche Detailbegründung der ICO nicht vollständig hervor, ebenso bleibt offen, warum die parallele Prüfung der Hamburger Datenschutzaufsicht ohne eigene Sanktion eingestellt wurde. Ob die 500.000-Pfund-Strafe angesichts von 87 Millionen Betroffenen abschreckend wirkte, ist umstritten, da unter der seit 25.05.2018 geltenden DSGVO deutlich höhere Bußgelder möglich gewesen wären, die Tat aber davor lag.

Am 1. Juli 2026 begann in Malta der Geschworenenprozess gegen den Geschäftsmann Yorgen Fenech, dem vorgeworfen wird, die Ermordung der Investigativjournalistin Daphne Caruana Galizia am 16. Oktober 2017 durch eine ferngezündete Autobombe in Auftrag gegeben zu haben. Laut ICIJ hatte Caruana Galizia zum Zeitpunkt ihres Todes an Geschichten gearbeitet, die auf den Enthüllungen der Panama Papers aufbauten, unter anderem zur Offshore-Firma 17 Black. Die ausführenden Attentäter wurden bereits zu langjährigen Haftstrafen verurteilt.

Der Prozess gegen Fenech war zum Zeitpunkt der Berichterstattung noch nicht abgeschlossen, ein Urteil über seine Mitschuld stand noch aus und er bestreitet die Vorwürfe. Nicht abschließend juristisch geklärt ist, ob und wie weit die 2021 von einer öffentlichen Untersuchungskommission festgestellte staatliche Mitverantwortung auch strafrechtliche Konsequenzen für weitere Personen im politischen Umfeld nach sich zieht.

Am 15. August 2012 legte die Schadsoftware Shamoon rund 30.000 von etwa 40.000 Windows-Arbeitsplatzrechnern beim saudischen Ölkonzern Saudi Aramco lahm. Die Malware überschrieb Dateien und den Master Boot Record und machte die Rechner unbrauchbar. Aramco bestätigte den Vorfall offiziell und erklärte, die isolierten Förder- und Produktionssysteme seien nicht betroffen gewesen, das interne Netzwerk sei bis zum 25. August wiederhergestellt worden.

Eine bis dahin unbekannte Gruppe namens Cutting Sword of Justice bekannte sich zu der Tat, eine belastbare technische Zurechnung zu ihr gelang nie. Spätere Vermutungen anonymer US-Regierungsvertreter, der Iran stecke als Vergeltung für Stuxnet dahinter, blieben unbelegte Einschätzungen ohne veröffentlichte Beweise.

Am 13. Mai 2017 bestätigte die Deutsche Bahn, dass die weltweit grassierende WannaCry-Ransomware ihre Systeme infiziert hatte. Betroffen waren Anzeigetafeln an mehreren Bahnhöfen darunter der Frankfurter Hauptbahnhof, einzelne Fahrkartenautomaten sowie die für die Bundespolizei betriebene Videoüberwachung an Bahnhöfen. Das Bundesinnenministerium bestätigte den Ausfall der Kameras, betonte aber, dass die Systeme der Bundespolizei selbst nicht betroffen waren und der Zug- und Bahnverkehr ohne Einschränkungen weiterlief.

Offen bleibt, wie viele Bahnhöfe und Anzeigetafeln genau betroffen waren, öffentliche Berichte sprechen nur von mehreren Standorten ohne genaue Zahl. Nicht dokumentiert ist der exakte Infektionsweg innerhalb der Bahn-IT und ob zum Zeitpunkt des Angriffs fällige Windows-Sicherheitsupdates auf den betroffenen Systemen fehlten.

WikiLeaks veröffentlichte am 7. März 2017 unter dem Namen Vault 7 die erste Tranche interner CIA-Dokumente, insgesamt 8761 Dateien aus einem internen Confluence-Wiki der Engineering Development Group aus den Jahren 2013 bis 2016. Die Unterlagen beschreiben Hacking-Werkzeuge der CIA gegen Smart-TVs (Projekt Weeping Angel gegen Samsung-Geräte), VoIP-Telefonanlagen und SCADA-Industriesysteme. Ein Teil der beteiligten Programmierer arbeitete laut den Dokumenten am Standort Center for Cyber Intelligence Europe in Frankfurt am Main.

Eine offizielle Stellungnahme der CIA zur Echtheit der Dokumente lag zum Zeitpunkt der Veröffentlichung nicht vor. Berichte, wonach die CIA damit auch die Verschlüsselung von Signal und WhatsApp umgangen habe, bezeichnete heise als irreführend. Wer die Dokumente tatsächlich an WikiLeaks weitergegeben hatte, war zu diesem Zeitpunkt öffentlich nicht bekannt.

WikiLeaks veröffentlichte ab dem 28. November 2010 zusammen mit Medien wie The Guardian, der New York Times und dem Spiegel rund 250.000 geheime Depeschen US-amerikanischer Botschaften, bekannt als Cablegate. Laut einer der Depeschen wies US-Außenministerin Hillary Clinton Diplomaten im Juli 2009 an, technische Daten zu UN-Kommunikationssystemen sowie biometrische und persönliche Informationen hochrangiger UN-Vertreter zu beschaffen, etwa Passwörter, Verschlüsselungscodes, Kreditkarten- und Vielfliegernummern. UN-Botschafterin Susan Rice wies die Vorwürfe zurück.

Ob die Anweisung zur Datensammlung tatsächlich umgesetzt wurde und wie viele UN-Vertreter konkret betroffen waren, geht aus der Quelle nicht hervor. Die Selbstdarstellung der UN-Seite als reine diplomatische Tätigkeit und die Spionagevorwürfe aus der Depesche stehen sich damit unbestätigt gegenüber.

Die frühere US-Armeeanalystin Chelsea Manning wurde 2013 von einem Militärgericht verurteilt, weil sie rund 750.000 geheime Militär- und Diplomatendokumente sowie ein Hubschrauber-Angriffsvideo aus Bagdad an WikiLeaks weitergegeben hatte. Sie erhielt 35 Jahre Haft, die höchste je in den USA für eine Geheimnisweitergabe an Medien verhängte Strafe, wurde jedoch vom schwersten Vorwurf der Feindbegünstigung freigesprochen. Präsident Barack Obama wandelte die Strafe im Januar 2017 um, sodass Manning am 17. Mai 2017 nach knapp sieben Jahren Haft entlassen wurde.

Offen bleibt, in welchem konkreten Ausmaß die Leaks tatsächlich Informanten oder Militäroperationen gefährdeten, die US-Regierung behauptete dies, Menschenrechtsorganisationen bestritten belastbare Beweise dafür. Nicht abschließend juristisch aufgearbeitet sind die von UN-Sonderberichterstattern kritisierten Haftbedingungen Mannings, darunter monatelange Einzelhaft.

Der verschlüsselte E-Mail-Dienst Lavabit wurde im Juni 2013 per Gerichtsbeschluss gezwungen, seine privaten SSL-Schlüssel an US-Behörden herauszugeben, um Metadaten des Nutzers Edward Snowden zu erfassen. Gründer Ladar Levison übergab die Schlüssel zunächst nur als unleserlichen 11-seitigen Ausdruck in 4-Punkt-Schrift, wurde mit 5000 Dollar Tagesstrafe belegt und schloss den Dienst mit rund 410.000 registrierten Nutzern im August 2013 vollständig, statt die Verschlüsselung aller Kunden zu kompromittieren.

Nicht abschließend gerichtlich geklärt wurde die grundsätzliche Frage, ob die Herausgabepflicht für private Master-Schlüssel überhaupt rechtmäßig war, da das Berufungsgericht 2014 nur die Verfahrensfehler von Levisons Einspruch prüfte. Unklar bleibt auch, welche Daten anderer Lavabit-Nutzer die Behörden durch den erzwungenen Schlüsselzugriff tatsächlich einsehen konnten.

Der von Bundestag und Bundesregierung eingesetzte Sonderermittler Kurt Graulich stellte im Oktober 2015 fest, dass der BND von der NSA gelieferte Selektoren zur Überwachung nutzte, von denen bis zu 40.000 von rund einer Million gegen westeuropäische und deutsche Ziele gerichtet waren. Darunter befanden sich knapp 70 Telefonnummern der Rüstungskonzerne EADS und Eurocopter. Der Bericht bestätigte Verstöße gegen das geheime Memorandum of Agreement von 2002 und gegen deutsches Recht.

Ob die NSA mit den EADS- und Eurocopter-Selektoren gezielt Wirtschaftsspionage betrieb oder nur militärische Aufklärung verfolgte, konnte der Bericht nicht abschließend klären. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss nie vorgelegt, da das Bundesverfassungsgericht 2016 entschied, dass die Bundesregierung sie zurückhalten darf.

Der britische Geheimdienst GCHQ betrieb mit technischer Unterstützung der NSA das Programm Optic Nerve, das zwischen 2008 und mindestens 2012 automatisch alle fünf Minuten Standbilder aus Yahoo-Messenger-Webcam-Chats abgriff und in einer durchsuchbaren Datenbank speicherte. Allein in einem Sechsmonatszeitraum wurden Bilder von rund 1,8 Millionen Yahoo-Nutzerkonten weltweit erfasst, unabhängig davon, ob die Betroffenen Zielpersonen der Geheimdienste waren.

Nicht öffentlich belegt ist, wie viele der gespeicherten Bilder tatsächlich für Gesichtserkennungsexperimente oder konkrete Ermittlungen genutzt wurden und was mit dem Datenbestand langfristig geschah. Offen bleibt zudem, in welchem Umfang die NSA selbst auf die gesammelten Bilder zugriff und ob das Programm nach 2012 fortgeführt wurde.