Quellen-Tabelle

Die Verordnung (EU) 2024/1183 vom 11.04.2024 ändert die bisherige eIDAS-Verordnung und schafft den Rechtsrahmen für die European Digital Identity Wallet. Sie trat am 20.05.2024 in Kraft und verpflichtet alle EU-Mitgliedstaaten, bis Ende 2026 mindestens eine EUDI-Wallet bereitzustellen. Ab 2027 müssen öffentliche Stellen und bestimmte private Unternehmen die Wallet zur Identifizierung akzeptieren.

Viele Detailregelungen werden erst durch spätere Durchführungsrechtsakte festgelegt. Der umstrittene Artikel 45 zur Web-Browser-Vertrauensliste ist gesondert dokumentiert und nicht Gegenstand dieser Quelle.

Am 09.10.2024 gab eine Koalition von Generalstaatsanwälten zahlreicher US-Bundesstaaten einen Vergleich mit Marriott wegen der Starwood-Datenpannen bekannt. Marriott zahlt insgesamt 52 Millionen US-Dollar. Der Vergleich betrifft den Starwood-Datenbruch von 2014 bis 2018 mit rund 131,5 Millionen betroffenen US-Datensätzen sowie eine weitere Kompromittierung 2018 bis 2020. Marriott verpflichtet sich zu einem CISO, Verschlüsselung und Mehrfaktor-Authentifizierung.

Die genaue Zahl der beteiligten Jurisdiktionen wird unterschiedlich angegeben. Der Vergleich ist rechtlich eigenständig und nicht mit der ICO-Buße von 2020 oder dem separaten FTC-Vergleich zu verwechseln.

Der Erste Senat des Bundesverfassungsgerichts entschied am 06.11.2019 in zwei zeitgleich verkündeten Beschlüssen über den Prüfungsmaßstab für Verfassungsbeschwerden. In Recht auf Vergessen I (1 BvR 16/13, Klage gegen ein Online-Pressearchiv wegen jahrzehntealter Mordberichterstattung) bekräftigte das Gericht, dass es innerstaatliches Recht mit unionsrechtlichem Gestaltungsspielraum primär an den Grundrechten des Grundgesetzes prüft. In Recht auf Vergessen II (1 BvR 276/17, Streit einer Geschäftsführerin mit Google um einen Suchmaschinenlink zu einem TV-Beitrag) legte das Gericht erstmals fest, dass es bei unionsrechtlich vollständig vereinheitlichtem Recht stattdessen die Charta der Grundrechte der EU als Prüfungsmaßstab heranzieht.

Diese Quelle ist die Pressemitteilung Nr. 84/2019 zu Recht auf Vergessen II. Nach welchen trennscharfen Kriterien im Einzelfall zwischen gestaltungsoffenem und vollständig vereinheitlichtem Unionsrecht abzugrenzen ist, bleibt offen. Wie viele spätere Verfassungsbeschwerden sich seither ausdrücklich auf die EU-Grundrechtecharta stützen, ist nicht beziffert.

Nachdem PayPal im Dezember 2010 wegen der Veröffentlichung von US-Depeschen durch WikiLeaks das Spendenkonto der Plattform gesperrt hatte, führte das Kollektiv Anonymous unter dem Namen Operation Payback DDoS-Angriffe gegen die PayPal-Server durch. Die Angriffe dauerten laut Anklage vom 6. bis 10. Dezember 2010. Am 19.07.2011 gab das US-Justizministerium die Festnahme von 14 mutmaßlichen Beteiligten sowie mehr als 35 Durchsuchungen bekannt, begleitet von weiteren Festnahmen in Großbritannien und den Niederlanden.

Die Pressemitteilung bezieht sich ausschließlich auf die Anklage im Zusammenhang mit PayPal. Angriffe gegen Visa, Mastercard und weitere Zahlungsdienstleister sind hier nicht mit einer Anklage belegt. Eine Anklage stellt rechtlich nur eine Vorwurfserhebung dar, es gilt die Unschuldsvermutung. Der individuelle Tatbeitrag der Beschuldigten wird nicht beziffert.

Kanzleramtschef Helge Braun und Bundesgesundheitsminister Jens Spahn erklärten am 26.04.2020 gemeinsam, dass die geplante deutsche Corona-Tracing-App künftig auf eine konsequent dezentrale Softwarearchitektur setzen werde. Damit vollzog die Bundesregierung eine Kehrtwende weg vom zuvor favorisierten zentralen Speicheransatz des PEPP-PT-Konsortiums. Vorausgegangen waren wochenlange öffentliche Auseinandersetzungen, ein offener Brief des Chaos Computer Club an Braun und Spahn sowie der Umstand, dass Apple und Google ihre Schnittstellen nur für dezentrale Protokolle freigaben. Auf dieser Grundlage entwickelten SAP und die Deutsche Telekom anschließend die Corona-Warn-App, die im Juni 2020 veröffentlicht wurde.

Wie die internen Abwägungen im Kanzleramt und Gesundheitsministerium vor dem Kurswechsel im Detail abliefen, geht aus der Pressemitteilung nicht hervor. Welche Rolle informelle Gespräche mit Apple und Google spielten, ist nicht dokumentiert. Die spätere technische Umsetzung der App ist nicht Gegenstand dieser Quelle.

Am 08.02.2022 verhaftete das FBI in Manhattan das Ehepaar Ilya Lichtenstein und Heather Morgan und beschlagnahmte rund 94.636 Bitcoin, die aus dem Bitfinex-Hack von 2016 stammten, zu diesem Zeitpunkt etwa 3,6 Milliarden US-Dollar wert. Laut Anklage hatte Lichtenstein 2016 mittels fortgeschrittener Hacking-Techniken das Netzwerk der Kryptobörse Bitfinex kompromittiert und über 2.000 betrügerische Transaktionen ausgelöst, durch die insgesamt 119.754 Bitcoin abflossen. Im August 2023 bekannten sich beide schuldig, im November 2024 wurde Lichtenstein zu fünf Jahren, Morgan zu 18 Monaten Haft verurteilt.

Wie genau Lichtenstein technisch in das Bitfinex-Netzwerk eindrang, bleibt unklar, die Anklageschrift nennt nur allgemein fortgeschrittene Hacking-Tools. Der beschlagnahmte Anteil deckte nicht die gesamte Beute ab. Ob und in welchem Umfang die beschlagnahmten Bitcoin vollständig an Bitfinex zurückgehen, war Anfang 2025 noch Gegenstand eines Gerichtsverfahrens.

Die Europäische Kommission verabschiedete am 12.07.2016 den Angemessenheitsbeschluss 2016/1250 zum EU-US Privacy Shield, dem Nachfolgeabkommen für das im Oktober 2015 vom EuGH im Schrems-I-Urteil gekippte Safe-Harbor-Abkommen. US-Unternehmen mussten sich beim US-Handelsministerium selbst zertifizieren. Neu war ein Ombudsperson-Mechanismus im US-Außenministerium für Beschwerden von EU-Bürgern über Zugriffe US-amerikanischer Nachrichtendienste. Die Artikel-29-Datenschutzgruppe bemängelte im April 2016, anlasslose Massenüberwachung bleibe weiterhin zulässig. Der EuGH erklärte das Privacy Shield am 16.07.2020 im Schrems-II-Urteil für ungültig.

Die genaue Zahl der 2016 bereits zertifizierten Unternehmen ist nicht dokumentiert. Wie wirksam der Ombudsperson-Mechanismus in der Praxis funktionierte, ist offen, da die Kommission dessen Unabhängigkeit anders bewertete als die Artikel-29-Gruppe und das Europäische Parlament.

Das US-Geheimgericht Foreign Intelligence Surveillance Court urteilte am 03.10.2011 unter Richter John D. Bates, dass Teile der NSA-Internetüberwachung nach Section 702 des FISA Amendments Act gegen den vierten Verfassungszusatz verstießen. Betroffen war das Upstream-Programm, mit dem die NSA über Telekommunikationsanbieter Daten direkt aus den Glasfaserleitungen des Internet-Backbones abgriff, als Ergänzung zum Programm PRISM. Laut dem am 21.08.2013 nach ACLU-Klagen freigegebenen Urteil sammelte die NSA über mehrere Jahre bis zu 56.000 rein innerhalb der USA geführte Kommunikationen pro Jahr, obwohl das Gesetz dies verbietet. Bates warf der Regierung vor, dem Gericht bereits zum dritten Mal in weniger als drei Jahren den tatsächlichen Umfang ihrer Datensammlung falsch dargestellt zu haben.

Wie viele der rund 56.000 betroffenen Kommunikationen tatsächlich reine Inlandskommunikation ohne Auslandsbezug enthielten, ist nicht belegt. Das veröffentlichte Urteil ist stark geschwärzt, technische Details zu Upstream sind öffentlich nicht vollständig nachvollziehbar. Eine offizielle Gesamtzahl aller über Upstream und PRISM erfassten Kommunikationen wurde bis heute nicht veröffentlicht.

Am 14.06.2013 erhob das US-Justizministerium beim Bundesgericht im Eastern District of Virginia Anklage gegen Edward Snowden wegen Spionage und Diebstahls von Regierungseigentum. Nachdem Hongkong einem US-Festnahmeersuchen nicht nachkam, verließ Snowden die Stadt am 23.06.2013 Richtung Moskau. Im Transitbereich des Flughafens Scheremetjewo festsitzend, gewährte Russland ihm am 01.08.2013 vorübergehendes Asyl. Russland gewährte ihm 2020 eine unbefristete Aufenthaltserlaubnis und verlieh ihm am 26.09.2022 per Präsidialdekret die russische Staatsbürgerschaft. Die strafrechtliche Anklage in den USA besteht unverändert fort, eine Auslieferung hat Russland stets abgelehnt.

Die strafrechtliche Schuldfrage ist nicht durch ein Gerichtsverfahren geklärt, da es nie zu einem Prozess in den USA kam. Ob Snowden neben der russischen weiterhin die US-Staatsbürgerschaft besitzt, wird unterschiedlich bewertet. Vermutungen über Kontakte zu russischen Geheimdiensten sind unbewiesen und von Snowden bestritten.

Am 27.06.2017 legte die Schadsoftware NotPetya die globale IT-Infrastruktur der Reederei Maersk lahm. Ausgangspunkt war ein einzelner Rechner im Maersk-Büro in Odessa mit einem manipulierten Update der ukrainischen Buchhaltungssoftware M.E.Doc. Maersk musste binnen zehn Tagen rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu aufsetzen, das Frachtvolumen brach zeitweise um rund 20 Prozent ein. Maersk bezifferte die finanziellen Folgen im Quartalsbericht auf 200 bis 300 Millionen US-Dollar. Großbritannien und die USA machten später den russischen Militärgeheimdienst GRU verantwortlich.

Die genaue Schadenssumme bei Maersk ist nicht abschließend beziffert, das Unternehmen nannte nur eine Bandbreite ohne detaillierte Kostenaufschlüsselung. Der oft zitierte globale Gesamtschaden von rund 10 Milliarden US-Dollar betrifft alle betroffenen Unternehmen zusammen, nicht allein Maersk. Die Zuschreibung an Russland beruht auf politischen Erklärungen, nicht auf einem Gerichtsurteil.

Am 14.10.2014 veröffentlichten Google-Sicherheitsforscher die Schwachstelle POODLE (Padding Oracle On Downgraded Legacy Encryption), registriert als CVE-2014-3566. Die Lücke betrifft das veraltete Verschlüsselungsprotokoll SSL 3.0. Ein Angreifer in Man-in-the-Middle-Position kann Clients zu einem Downgrade auf SSL 3.0 zwingen und benötigt im Schnitt rund 256 Anfragen, um ein Byte verschlüsselter Daten wie Authentifizierungs-Cookies auszulesen. Als Gegenmaßnahme empfahlen die Entdecker sowie CISA am 17.10.2014 die vollständige Deaktivierung von SSL 3.0. In den Folgemonaten deaktivierten Chrome, Firefox und weitere Anbieter die SSL-3.0-Unterstützung standardmäßig.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Am 28.02.2018 zwischen 17:21 und 17:30 UTC traf ein volumetrischer DDoS-Angriff GitHub.com mit einer Spitze von 1,35 Terabit pro Sekunde, dem damals größten dokumentierten DDoS-Angriff. Die Angreifer nutzten Memcached-Reflection: UDP-Anfragen mit gefälschter Absenderadresse an offen erreichbare Memcached-Server wurden um bis zu Faktor 51.000 verstärkt und an GitHub umgeleitet. GitHub.com war von 17:21 bis 17:26 UTC durchgehend nicht erreichbar. GitHub leitete den Verkehr per BGP-Umleitung an Akamai/Prolexic um, wodurch der Angriff eingedämmt wurde.

Wer hinter dem Angriff steckte, wurde nie veröffentlicht, es gab keine strafrechtlichen Ermittlungsergebnisse. Die genaue Zahl der missbrauchten Memcached-Server variiert je nach Quelle. Die exakte Dauer der Beeinträchtigung wird in Sekundärquellen unterschiedlich mit 5 bis 9 Minuten angegeben.

Am 21.10.2016 traf ein massiver DDoS-Angriff den DNS-Anbieter Dyn in drei Wellen zwischen etwa 11:10 und 22:10 UTC. Die Angreifer nutzten das Mirai-Botnet aus gekaperten IoT-Geräten wie Überwachungskameras und DVRs mit werkseitigen Standardpasswörtern. In der Folge waren zeitweise über 70 große Webdienste in Nordamerika und Europa nicht erreichbar, darunter Twitter, Netflix, Reddit, Amazon und PayPal. Die drei Entwickler des Mirai-Quellcodes bekannten sich im Dezember 2017 vor einem US-Bundesgericht schuldig, für den Dyn-Angriff selbst wurden sie jedoch nicht angeklagt.

Eine offizielle, gerichtsfeste Zuordnung der Täter für den konkreten Dyn-Angriff steht bis heute aus. Mehrere Gruppen reklamierten den Angriff für sich, Sicherheitsforscher hielten diese Bekennerclaims für nicht belegt. Die genaue Zahl beteiligter Geräte ist umstritten, eine bestätigte Zahl wurde nie veröffentlicht.

WikiLeaks veröffentlichte ab dem 07.03.2017 unter dem Namen Vault 7 den ersten Teil Year Zero mit 8.761 Dokumenten aus einem isolierten Netzwerk der CIA-Abteilung Center for Cyber Intelligence. Bis November 2017 folgten insgesamt 26 weitere Teilveröffentlichungen. Die Unterlagen beschreiben CIA-Werkzeuge zum Eindringen in iPhones, Android-Geräte, Windows, Mac OS X, Linux-Rechner und Router sowie das Programm Weeping Angel, mit dem sich Samsung-Smart-TVs in versteckte Mikrofone verwandeln ließen. Ein Bundesgericht in Manhattan verurteilte den als Quelle identifizierten ehemaligen CIA-Softwareentwickler Joshua Schulte am 01.02.2024 zu 40 Jahren Haft.

Wie viele der beschriebenen Werkzeuge tatsächlich gegen reale Ziele eingesetzt wurden, ist nicht belegt. Schulte bestritt die Tat während des gesamten Verfahrens, im ersten Prozess 2020 konnte sich die Jury nicht einigen, erst ein zweiter Prozess endete 2022 mit einem Schuldspruch.

Elizabeth Holmes gründete 2003 die Bluttest-Firma Theranos und behauptete, mit einem tragbaren Gerät zahlreiche Labortests aus wenigen Tropfen Fingerblut durchführen zu können. Der Wall-Street-Journal-Reporter John Carreyrou deckte am 15.10.2015 auf, dass die Technologie nicht funktionierte und Theranos die meisten Tests heimlich auf Geräten anderer Hersteller durchführte. Die SEC klagte Holmes im März 2018 wegen massivem Betrug an. Ein Bundesgericht verurteilte Holmes am 03.01.2022 wegen Anlagebetrugs, Richter Edward Davila verhängte am 18.11.2022 eine Haftstrafe von 135 Monaten.

Die genaue Höhe des Anlegerschadens ist nicht einheitlich beziffert, die strafrechtliche Anklage stützte sich auf rund 140 Millionen Dollar, während die SEC von über 700 Millionen Dollar eingesammelten Investorengeldern spricht. Holmes bestritt im Prozess vorsätzlichen Betrug und legte Berufung ein.

Celsius-Network-Gründer Alexander Mashinsky wurde am 08.05.2025 zu 12 Jahren Haft und einer Vermögenseinziehung von rund 48,4 Millionen Dollar verurteilt. Er hatte sich im Dezember 2024 wegen Betrugs im Zusammenhang mit Warentermingeschäften und Kursmanipulation des Tokens CEL schuldig bekannt. Die Kryptoverleihplattform Celsius Network fror im Juni 2022 sämtliche Kundenauszahlungen ein und meldete am 13.07.2022 Insolvenz an, mit damals rund 5,5 Milliarden Dollar Verbindlichkeiten. Nach Angaben des Richters hatte Mashinsky mehr als 45 Millionen Dollar eingenommen.

Die genaue Gesamthöhe des Kundenschadens ist nicht einheitlich beziffert, Berichte nennen zwischen rund 4,7 und 5,5 Milliarden Dollar. Fünf der ursprünglich sieben Anklagepunkte gegen Mashinsky wurden im Rahmen der Absprache fallengelassen.

Der britische Banker Howard Wilkinson leitete von 2007 bis 2014 die Handelseinheit Danske Markets in der Baltikum-Region der Danske Bank. Ab 2013 meldete er intern insgesamt vier Warnungen über verdächtige Zahlungen estnischer Nichtansässiger, ohne dass die Bank Konsequenzen zog. Nach seinem Ausscheiden 2014 unterzeichnete er eine Verschwiegenheitsvereinbarung, ging aber dennoch an Ermittler und die Öffentlichkeit. Am 21.11.2018 sagte er vor dem Sonderausschuss TAX3 des Europäischen Parlaments aus. Für sein Engagement erhielt er 2020 den Allard Prize for International Integrity.

Ob Wilkinsons Meldungen bei korrekter Bearbeitung den vollen Umfang der später bekannten rund 200 Milliarden Euro an verdächtigen Zahlungen hätten verhindern können, ist nicht belegt. Ob Danske Bank aktiv versuchte, seine Hinweise zu unterdrücken, beruht primär auf seiner eigenen Aussage.

Am 21.09.2016 veröffentlichte das ICIJ zusammen mit der Süddeutschen Zeitung die Bahamas Leaks, basierend auf 1,3 Millionen internen Dateien aus dem Handelsregister der Bahamas mit Angaben zu 175.888 Gesellschaften und Trusts. Unter den erstmals genannten Direktoren war Neelie Kroes, ehemalige EU-Wettbewerbskommissarin, als Direktorin der Gesellschaft Mint Holdings Ltd. Kroes räumte diese Rolle ein, erklärte aber, sie habe sie nicht angeben müssen, da die Firma nie operativ geworden sei. Auch der frühere katarische Premierminister Hamad bin Jassim bin Jaber Al Thani tauchte in den Daten auf.

Nicht belegt ist, ob Kroes oder andere genannte Personen tatsächlich Steuern hinterzogen oder gegen Gesetze verstießen. Eine Offshore-Firma und eine Direktorenrolle sind für sich genommen nicht illegal. Die genaue Herkunft des Datenlecks wurde vom ICIJ nicht offengelegt.

Rudolf Elmer war ab 1994 Chefbuchhalter und ab 1999 operativer Leiter der Julius Baer Bank & Trust Company Ltd. auf den Kaimaninseln. Nach seiner Kündigung 2002 leitete er Kundendaten an Steuerbehörden, die Zeitschrift Cash und ab 2008 an WikiLeaks weiter, wo Daten zu rund 2000 Konten veröffentlicht wurden. Das Obergericht Zürich sprach ihn 2016 vollständig vom Vorwurf der Bankgeheimnisverletzung frei. Am 10.10.2018 bestätigte das Bundesgericht diesen Freispruch: Als Angestellter der auf den Kaimaninseln ansässigen Tochtergesellschaft habe Elmer nicht dem Schweizer Bankkundengeheimnis unterstanden.

Nicht Gegenstand des Urteils war, ob die von Elmer erhobenen Vorwürfe der Steuerhinterziehung gegen Julius-Baer-Kunden zutrafen. Die genaue Zahl der veröffentlichten Konten wird in Presseberichten uneinheitlich mit rund 1900 bis 2000 angegeben.

Der Bundesgerichtshof bestätigte am 20.09.2023 das Urteil des Landgerichts Bonn gegen den Steueranwalt Hanno Berger als Ideengeber und Strategieberater der Cum-Ex-Geschäfte des Bankhauses M.M. Warburg zwischen 2007 und 2011. Berger wurde wegen besonders schwerer Steuerhinterziehung zu acht Jahren Haft verurteilt, zusätzlich wurden rund 13,6 Millionen Euro seines Taterlöses eingezogen. Laut BGH erlangten die Beteiligten dadurch mehr als 275 Millionen Euro zu Unrecht erstattete, nie einbehaltene Kapitalertragsteuer. Das Urteil wurde damit rechtskräftig.

Der Gesamtschaden der Cum-Ex-Praktiken für den deutschen Staat ist nicht Teil dieser Entscheidung. Schätzungen schwanken von rund 10 bis fast 36 Milliarden Euro allein für Deutschland. Berger wurde in einem separaten zweiten Cum-Ex-Prozess vom Landgericht Wiesbaden zu weiteren acht Jahren und drei Monaten verurteilt, vom BGH erst 2024 bestätigt.

Die US-Finanzaufsichtsbehörde FinCEN stufte die lettische ABLV Bank am 13.02.2018 als Institution primärer Geldwäschebesorgnis ein. FinCEN warf der Bank vor, Geldwäsche institutionalisiert zu haben, den Diebstahl von über 1 Milliarde Dollar aus moldawischen Banken erleichtert und Transaktionen für mit Nordkoreas Waffenprogramm verbundene Akteure abgewickelt zu haben. Nach massiven Einlagenabzügen stufte die EZB ABLV am 23.02.2018 als ausfallend ein, die Aktionäre beschlossen am 26.02.2018 die freiwillige Liquidation. 2022 erhob die lettische Staatsanwaltschaft gegen acht ehemalige ABLV-Führungskräfte Anklage wegen Geldwäsche von rund 2,1 Milliarden Euro.

Der von FinCEN erhobene Bestechungsvorwurf gegen ABLV-Führungskräfte ist nicht gerichtlich bestätigt, die lettische Antikorruptionsbehörde KNAB fand später keine Beweise dafür. Der genaue Umfang der mit Nordkoreas Raketenprogramm verbundenen Transaktionen wurde nicht im Detail beziffert. Die 2022 erhobene Anklage war zum Zeitpunkt der Recherche ohne rechtskräftiges Urteil.

Die APAS stellte am 31.03.2023 fest, dass Ernst & Young (EY) bei den Prüfungen der Wirecard-Jahresabschlüsse 2016 bis 2018 gegen Berufspflichten verstoßen hat. Gegen fünf Wirtschaftsprüfer verhängte die APAS Geldbußen zwischen 23.000 und 300.000 Euro, gegen EY eine Geldbuße von 500.000 Euro sowie ein zweijähriges Verbot neuer Prüfungsmandate bei Unternehmen von öffentlichem Interesse. Parallel fordern geschädigte Anleger vor dem Landgericht München I Schadensersatz von EY, unter anderem eine Klage von mehr als 700 Millionen Euro. Das Bayerische Oberste Landesgericht entschied am 28.02.2025, dass die von EY erteilten Bestätigungsvermerke keine Kapitalmarktinformation im Sinne des KapMuG darstellen.

Ob und in welcher Höhe EY den geschädigten Anlegern zivilrechtlich haftet, ist nicht abschließend geklärt. Die Entscheidung vom 28.02.2025 hat den gebündelten Schadensersatzforderungen nur die prozessuale Grundlage im Musterverfahren entzogen, betroffene Anleger müssen seither einzeln klagen. Die tatsächliche Gesamtschadenshöhe ist umstritten.

Die ehemalige NSA-Vertragsangestellte Reality Winner druckte im Mai 2017 bei ihrem Arbeitgeber Pluribus International auf dem Militärstützpunkt Fort Gordon ein als geheim eingestuftes NSA-Dokument aus und schickte es anonym an das Onlinemedium The Intercept. Das Dokument beschrieb einen Cyberangriff des russischen Militärgeheimdienstes GRU auf einen Wahlsoftware-Anbieter in Florida sowie mehrere lokale Wahlbehörden kurz vor der Präsidentschaftswahl 2016. Das FBI verhaftete Winner am 03.06.2017. Sie bekannte sich am 26.06.2018 in einem Anklagepunkt nach dem Espionage Act schuldig und wurde am 23.08.2018 zu 63 Monaten Haft verurteilt, laut US-Justizministerium die längste je verhängte Strafe für die Weitergabe von Regierungsinformationen an Medien. Sie kam am 14.06.2021 vorzeitig frei.

Nicht offiziell bestätigt ist, auf welchem genauen Weg das FBI Winner als Quelle identifizierte. Vielfach berichtet wird eine Rolle gelber Mikropunkte im Druckerausdruck, eine offizielle behördliche Bestätigung dieser Rekonstruktion liegt jedoch nicht vor. Ob die Veröffentlichung tatsächlich laufende Ermittlungen gefährdete, wurde nie vor Gericht geprüft.

Amazons Tochterunternehmen Ring kündigte im Oktober 2025 eine technische Integration mit dem Überwachungsunternehmen Flock Safety an, die es Polizeibehörden ermöglicht hätte, gezielt Videomaterial von Ring-Nutzern anzufordern. Nach wochenlanger öffentlicher Kritik, unter anderem wegen Sorgen um einen möglichen Zugriff der Einwanderungsbehörde ICE auf die Flock-Infrastruktur, sagten beide Unternehmen die Integration am 12.02.2026 ab. Laut gemeinsamer Mitteilung ging die Integration nie live, es wurden keine Kundenvideos übermittelt. Das unabhängig fortbestehende, freiwillige Community-Requests-Programm erlaubt Ring-Nutzern weiterhin, Aufnahmen direkt mit lokaler Polizei zu teilen.

Wie viele Polizeibehörden die Flock-Integration im Vorfeld bereits getestet hatten, ist nicht belegt. Wie viele Videos über das Community-Requests-Programm insgesamt an Polizeibehörden gehen, veröffentlicht Ring nicht systematisch. Ob ICE über kooperierende Polizeibehörden künftig indirekten Zugriff auf Flock-Daten erhalten könnte, ist nicht ausgeschlossen.

Präsident Biden unterzeichnete am 27.03.2023 die Executive Order 14093, die US-Bundesbehörden den operativen Einsatz kommerzieller Spionagesoftware untersagt, wenn diese ein erhebliches Risiko für die nationale Sicherheit darstellt oder von ausländischen Regierungen zur gezielten Überwachung von Aktivisten, Journalisten oder Dissidenten missbraucht wurde. Die Anordnung erging rund eineinhalb Jahre nach Aufnahme der NSO Group in die Entity List des US-Handelsministeriums und reagierte explizit auf den dokumentierten Missbrauch von Pegasus.

Die Anordnung nennt keine einzelne Firma namentlich, sondern formuliert allgemeine Risikokriterien. Kritiker wie die Electronic Frontier Foundation bemängelten fehlende externe Kontrollmechanismen. Wie viele Behörden welche Spyware-Produkte vor und nach dem Erlass nutzten, wurde nicht vollständig öffentlich gemacht.