Quellen-Tabelle

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Firmen NSO Group und Candiru auf die Entity List. Grundlage war die Feststellung, dass beide Firmen Spyware entwickelten und an ausländische Regierungen lieferten, die damit gezielt Regierungsbeamte, Journalisten und Aktivisten überwachten. Die Aufnahme beschränkt den Export von US-Technologie an die betroffenen Firmen ohne behördliche Sondergenehmigung.

Nicht dokumentiert ist, welche konkreten Staaten die Spyware im Einzelfall einsetzten. Offen bleibt, wie wirksam die Eintragung die tatsächliche Verbreitung der Spyware einschränkte, da NSO Group außerhalb der USA operiert.

Digitalcourage reichte im Oktober 2022 Klage gegen die Deutsche Bahn beim Landgericht Frankfurt ein. Der Vorwurf: Die App DB Navigator übertrage personenbezogene Nutzerdaten an Drittanbieter wie Google und Adobe, auch bei eingeschränkten Cookie-Einstellungen. Am ersten Verhandlungstag am 19.05.2025 äußerte sich das Gericht kritisch gegenüber dem Argument der Bahn, die Tracker seien unverzichtbar.

Ein rechtskräftiges Urteil lag zum Recherchezeitpunkt nicht vor. Es handelt sich nicht um ein klassisches Datenleck, sondern um eine zivilrechtliche Auseinandersetzung über die Zulässigkeit von Datenübermittlungen. Die genaue Anzahl betroffener Nutzer ist nicht abschließend beziffert.

Die niederländische Datenschutzbehörde verhängte am 11.12.2023 eine Geldbuße von 10 Millionen Euro gegen Uber wegen Verstößen gegen Artikel 12, 13 und 15 DSGVO, weil Uber Fahrer nicht ausreichend über Speicherdauer und Übermittlung ihrer Daten außerhalb Europas informierte. Zudem war das Verfahren zur Ausübung der Betroffenenrechte unzumutbar kompliziert. Auslöser war eine Beschwerde im Namen von rund 170 französischen Uber-Fahrern.

Diese Buße betraf primär mangelnde Transparenz, nicht die eigentliche Rechtmäßigkeit der Datenübermittlung in die USA. Die tatsächliche Strafe wegen unzureichend abgesicherter Datenübermittlung war eine separate, deutlich spätere Buße von 290 Millionen Euro im August 2024. Ob Uber gegen die 10-Millionen-Euro-Buße erfolgreich Einspruch erhoben hat, war zum Recherchezeitpunkt nicht geklärt.

Am 27.06.2017 verbreitete sich die Schadsoftware NotPetya über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc und infizierte binnen Stunden Organisationen in mehr als 60 Ländern. CISA veröffentlichte die Warnung TA17-181A und beschrieb zwei Verbreitungswege: Diebstahl von Windows-Zugangsdaten mittels modifizierter Mimikatz-Version sowie Ausnutzung der SMBv1-Schwachstelle EternalBlue. Betroffen waren unter anderem Maersk und Merck. Die US-Regierung ordnete NotPetya später öffentlich dem russischen Militär zu.

Die kursierende Schadenssumme von über 10 Milliarden US-Dollar stammt aus späteren Einordnungen des Weißen Hauses, nicht aus einer verifizierten behördlichen Gesamtrechnung. Offen bleibt, ob NotPetya von Anfang an als reines Zerstörungswerkzeug ohne echte Entschlüsselungsoption konzipiert war. Die Attribution an Russland basiert auf Erklärungen westlicher Regierungen von 2018, nicht auf einem Beweis in dieser CISA-Warnung selbst.

Am 14.11.2022 einigte sich Google mit 40 US-Generalstaatsanwälten auf einen Vergleich über 391,5 Millionen US-Dollar wegen irreführender Standortverfolgung. Die Untersuchung ergab, dass Google zwischen 2014 und 2020 Nutzer im Unklaren ließ, dass das Deaktivieren des Standortverlaufs die Standorterfassung nicht vollständig stoppte, da über die separate Einstellung Web und App Aktivität weiter Daten gesammelt wurden. Die Behörden bezeichneten es als größten mehrstaatlichen Datenschutzvergleich der US-Geschichte.

Der Vergleich stellt keine gerichtliche Feststellung eines Rechtsverstoßes dar, Google bestreitet weiterhin Fehlverhalten. Offen bleibt, in welchem Umfang die Summe einzelnen Nutzern zugutekam, da sie an die Bundesstaaten floss, nicht als direkte Entschädigung an Verbraucher.

Die FCC beschloss am 25.11.2022 neue Regeln, die Überwachungskameras der chinesischen Hersteller Hikvision und Dahua sowie Geräte von Huawei, ZTE und Hytera von neuen Zulassungen ausschließen, gestützt auf den Secure Equipment Act of 2021. Ohne FCC-Zertifizierung dürfen betroffene Geräte nicht mehr importiert werden. Im April 2024 bestätigte ein US-Berufungsgericht das Verbot, nachdem die Hersteller dagegen geklagt hatten.

Nicht dokumentiert ist ein konkreter Einzelfall, in dem eine Kamera nachweislich Daten an chinesische Behörden übermittelt hat, die FCC-Begründung stützt sich auf eine allgemeine Sicherheitsbewertung. Offen bleibt, wie viele bereits installierte Altgeräte weiterhin in Betrieb sind, da das Verbot nur Neuzulassungen betrifft.

Das OPM gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff die Daten von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller einer Sicherheitsüberprüfung. Erbeutet wurden Sozialversicherungsnummern, Gesundheits-, Finanz- und Strafregisterdaten, 1,1 Millionen Datensätze enthielten zusätzlich Fingerabdrücke. Die Angreifer waren zwischen Juni 2014 und Januar 2015 im Netzwerk aktiv. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 zurück.

Nicht gerichtsfest bewiesen ist die Urheberschaft, US-Behörden verwiesen wiederholt auf chinesische Akteure, China bestreitet dies. Unklar bleibt, ob die gestohlenen Daten tatsächlich für Spionage genutzt wurden. Die Gesamtzahl der Betroffenen wurde im Verlauf mehrfach nach oben korrigiert.

Angreifer verschafften sich ab dem 02.12.2014 durch eine Phishing-Mail Zugriff auf die IT-Systeme von Anthem und blieben bis zum 27.01.2015 unentdeckt. Betroffen waren die Gesundheitsdaten von rund 78,8 Millionen Personen, der bis dahin größte bekannte Datendiebstahl im US-Gesundheitswesen. Am 15.10.2018 einigten sich Anthem und HHS OCR auf eine Zahlung von 16 Millionen US-Dollar, die bis dahin höchste HIPAA-Vergleichszahlung.

Nicht dokumentiert ist, welche konkrete Gruppe hinter dem Angriff stand, Medienberichte brachten den Fall mit chinesischen Akteuren in Verbindung, eine formelle Anklage erfolgte erst Jahre später. Unklar bleibt, in welchem Umfang die gestohlenen Daten tatsächlich missbraucht wurden.

Der Bundesrechnungshof veröffentlichte am 13.10.2020 einen Bericht, wonach Zoll, Steuerbehörden und Deutsche Rentenversicherung bei der Bekämpfung von Schwarzarbeit nicht ausreichend elektronisch zusammenarbeiten, Informationen wurden teils per Speichermedium oder Papierform ausgetauscht. Die Zollbehörden dokumentierten für 2019 einen Schwarzarbeitsschaden von 750 Millionen Euro. Der Rechnungshof forderte eine gemeinsame Datenbank.

Nicht dokumentiert ist ein Einzelfall von rechtswidrigem Datenabgleich. Der Bericht kritisiert primär organisatorische Ineffizienz, nicht einen Datenschutzskandal im engeren Sinne. Offen bleibt, ob die geforderte gemeinsame Datenbank seither umgesetzt wurde.

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Die Schweizer Bank Julius Baer gab in einem Deferred Prosecution Agreement zu, zwischen Februar 2013 und Mai 2015 Gelder aus Bestechungszahlungen im FIFA-Korruptionsskandal transferiert zu haben, und zahlte über 79 Millionen US-Dollar. Parallel stellte die FINMA fest, dass Julius Baer zwischen 2009 und Anfang 2018 systematisch gegen Sorgfaltspflichten verstoßen hatte, unter anderem im Zusammenhang mit PDVSA und FIFA. Fast alle 70 geprüften Geschäftsbeziehungen wiesen Unregelmäßigkeiten auf.

Nicht dokumentiert ist, welche konkreten Bankmitarbeiter individuell strafrechtlich verfolgt wurden. Die FINMA-Untersuchung war auf eine Stichprobe von rund 70 Geschäftsbeziehungen begrenzt, keine vollständige Durchleuchtung aller Kundenbeziehungen.

Nach der Veröffentlichung der Panama Papers ließ Nordea seine Luxemburger Einheit und Teile des Nordic Private Banking intern untersuchen: 137 Offshore-Strukturen mit rund 216 Millionen Euro verwaltetem Vermögen, Zeitraum 2010 bis 2016. Rund 60 Mitarbeiter prüften über 10.000 Dokumente. Nordea blockierte 68 Kundenakten, überwiegend aus der Zeit vor 2013, für vertiefte Prüfung.

Laut Nordeas eigener Untersuchung ist nicht bewiesen, dass Mitarbeiter aktiv Offshore-Strukturen initiierten. In wie vielen der 68 markierten Fälle tatsächlich Steuerhinterziehung festgestellt wurde, ist nicht veröffentlicht. Die spätere NYDFS-Buße von 2020 betraf einen separaten, späteren Komplex.

Societe Generale einigte sich im Juni 2018 mit DOJ, SEC und der französischen Finanzstaatsanwaltschaft auf Strafzahlungen wegen Bestechung libyscher Amtsträger. Zwischen 2004 und 2009 zahlte die Bank rund 90 Millionen US-Dollar an einen Vermittler mit Verbindungen zum Gaddafi-Regime, um Investmentgeschäfte im Volumen von rund 3,66 Milliarden US-Dollar zu erhalten. Die Gesamtstrafzahlungen für Libyen- und einen parallelen Libor-Fall summierten sich auf über 860 Millionen US-Dollar.

Nicht dokumentiert ist, welche konkreten libyschen Amtsträger die Bestechungsgelder tatsächlich erhielten. Die Aufteilung zwischen Libyen-Komplex und Libor-Fall wird in verschiedenen Quellen leicht unterschiedlich beziffert. Ob einzelne Bankmitarbeiter strafrechtlich individuell verfolgt wurden, bleibt offen.

Am 19.10.2021 einigte sich Credit Suisse mit US- und britischen Behörden auf Zahlungen von rund 475 Millionen US-Dollar wegen Betrugs im Zusammenhang mit zwei Anleiheemissionen für staatliche Unternehmen in Mosambik, bekannt als Tuna Bonds, mit denen mehr als 1 Milliarde US-Dollar aufgenommen wurden. Die Emissionsunterlagen verschwiegen laut SEC verdeckte Verschuldung, Bestechungszahlungen an mosambikanische Regierungsvertreter und Kickbacks an Credit-Suisse-Banker. Die britische FCA verhängte zusätzlich rund 200,66 Millionen US-Dollar.

Nicht geklärt ist, welcher Anteil der veruntreuten Gelder tatsächlich zurückverfolgt und mosambikanischen Bürgern zugutekam. Die Beteiligung einzelner mosambikanischer Regierungsmitglieder wurde teils erst später in getrennten Verfahren untersucht.

Am 09.10.2024 gaben 49 US-Bundesstaaten, der District of Columbia und die FTC parallele Vergleiche mit Marriott wegen des Starwood-Datenlecks bekannt. Marriott zahlt 52 Millionen Dollar und verpflichtet sich zu einem Informationssicherheitsprogramm mit Verschlüsselung und Multi-Faktor-Authentifizierung. Grundlage war das Datenleck mit Zugriff von Juli 2014 bis September 2018, wovon rund 131,5 Millionen amerikanische Kunden betroffen waren.

Nicht dokumentiert ist die exakte Aufteilung der 52 Millionen Dollar auf die Bundesstaaten. Offen bleibt, in welchem Umfang die vereinbarten Sicherheitsmaßnahmen bereits umgesetzt wurden. Zuvor separat verhängte Bußgelder europäischer Behörden sind nicht Teil dieses Vergleichs.

Die Bundesnetzagentur untersagte am 16.02.2017 Verkauf und Besitz der Puppe My Friend Cayla und stufte sie nach Paragraf 90 TKG als verbotene Sendeanlage ein. Die Puppe verband sich per unverschlüsselter Bluetooth-Verbindung mit einer App und konnte Gespräche aus Kinderzimmern übertragen. Ein Saarbrücker Jurastudent dokumentierte, dass jedes Bluetooth-fähige Gerät im Umkreis von rund zehn Metern unbefugt zugreifen konnte. Besitz kann mit bis zu zwei Jahren Freiheitsstrafe geahndet werden.

Nicht dokumentiert ist, wie viele Puppen tatsächlich verkauft wurden. Dokumentierte Missbrauchsfälle mit realem Abhörschaden sind nicht bekannt. Die rechtliche Einordnung als verbotene Sendeanlage war unter Juristen umstritten.

Die FTC erhob am 30.03.2011 Anklage gegen Google wegen täuschender Datenschutzpraktiken beim Start von Google Buzz im Februar 2010. Google hatte Gmail-Nutzer ohne ausreichende Zustimmung automatisch eingeschrieben und deren häufigste E-Mail-Kontakte öffentlich sichtbar gemacht. Google einigte sich mit der FTC auf ein umfassendes Datenschutzprogramm mit unabhängigen Audits für 20 Jahre, die endgültige Genehmigung erfolgte am 24.10.2011.

Nicht Teil dieses Vergleichs ist eine Geldstrafe, anders als später der Safari-Fall 2012 mit 22,5 Millionen US-Dollar. Wie viele Nutzer konkret betroffen waren, ist in der FTC-Mitteilung nicht genannt.

Am 29.08.2023 gaben FBI und DOJ den Abschluss der multinationalen Operation Duck Hunt gegen das Qakbot-Botnetz bekannt, an der Behörden aus sieben Ländern beteiligt waren. Qakbot hatte weltweit mehr als 700.000 Computer infiziert. Die Strafverfolgung verschaffte sich Zugriff auf die Infrastruktur und ließ auf infizierten Rechnern eine Deinstallationsdatei ausführen. Es wurden 52 Server beschlagnahmt und mehr als 8,6 Millionen US-Dollar in Kryptowährung sichergestellt.

Nicht dokumentiert ist, wer hinter der Qakbot-Infrastruktur stand, zum Zeitpunkt der Bekanntgabe wurden keine Festnahmen gemeldet. Sicherheitsforscher berichteten bereits Ende 2023 über neue Qakbot-Kampagnen, was zeigt, dass die technische Zerschlagung die Akteure nicht dauerhaft ausschaltete.

Am 05.04.2022 sicherten BKA und ZIT Frankfurt die in Deutschland befindliche Serverinfrastruktur des russischsprachigen Darknet-Marktplatzes Hydra Market und schalteten ihn ab, dabei wurden 543 Bitcoin im Gegenwert von rund 23 Millionen Euro beschlagnahmt. Hydra Market galt als weltweit umsatzstärkster illegaler Online-Marktplatz mit mindestens 1,23 Milliarden Euro Umsatz allein 2020, gehandelt wurden vor allem Betäubungsmittel. Den Ermittlungen seit August 2021 gingen internationale Kooperationen voraus.

Nicht dokumentiert ist die Identität der eigentlichen Hauptbetreiber, auch wenn US-Behörden parallel Anklage gegen einen mutmaßlichen russischen Staatsangehörigen erhoben. Unklar bleibt, in welchem Umfang der Handel durch die Abschaltung tatsächlich zurückging, da Nachfolgeplattformen bald entstanden.

Zwei Tage nach dem DarkSide-Ransomware-Angriff auf Colonial Pipeline unterzeichnete Präsident Biden am 12.05.2021 die Executive Order 14028 zur Verbesserung der nationalen Cybersicherheit, mit Vorgaben zu Multi-Faktor-Authentifizierung, Zero-Trust-Architektur und Software-Lieferkette für Bundesbehörden. Ergänzend erließ die TSA am 27.05.2021 eine Direktive, die Pipelinebetreiber erstmals zur Meldung von Cybervorfällen an die CISA verpflichtete.

Die Executive Order richtet sich primär an Bundesbehörden, keine direkte gesetzliche Pflicht für private Pipelinebetreiber, diese ergeben sich erst aus den TSA-Direktiven. Die technische Ursache des Erstzugriffs bei Colonial Pipeline, ein kompromittiertes VPN-Passwort ohne Zwei-Faktor-Authentifizierung, ist nicht unabhängig vollständig bestätigt.

Ein von der BVG beauftragter Dienstleister wurde Opfer eines Cyberangriffs, bei dem Kundendaten von rund 180.000 BVG-Kunden offengelegt wurden, darunter Namen und Vertragsnummern, Bankdaten waren nicht betroffen. Der Dienstleister informierte die BVG am 17.04.2025, die Meldung an die Datenschutzbehörde erfolgte erst am 30.04.2025 nach der gesetzlichen 72-Stunden-Frist. Die Berliner Datenschutzbeauftragte erließ am 04.05.2026 eine Verwarnung wegen unzureichender Kontrolle der Datenlöschung beim Dienstleister.

Nicht öffentlich dokumentiert ist, welcher Dienstleister betroffen war. Die Zahl von 180.000 Betroffenen stammt aus der Behördenmitteilung ohne unabhängige forensische Bestätigung. Eine separate Diskussion um ein Tracking-Ticketsystem der BVG ließ sich in verlässlichen Quellen nicht als eigenständiger Vorgang bestätigen.

Die Datenschutzkonferenz veröffentlichte am 16.08.2024 eine Orientierungshilfe zur Datenverarbeitung bei funkbasierten Zählern für Gebäudeeigentümer und Wohnungsunternehmen. Verbrauchsdaten dürfen ausschließlich zur Nebenkostenabrechnung und zu gesetzlich zugelassenen Zwecken erhoben werden. Eine Auswertung zur Erstellung von Nutzungs- oder Verhaltensprofilen ist ohne ausdrückliche Rechtsgrundlage unzulässig. Rechtsgrundlagen sind DSGVO, Messstellenbetriebsgesetz und Heizkostenverordnung.

Die Orientierungshilfe ist ein allgemeines Regelwerk, keine Feststellung eines konkreten Verstoßes. Es liegt kein dokumentierter Fall vor, in dem ein deutsches Wohnungsunternehmen wegen Auswertung von Smart-Meter-Daten bereits mit einem Bußgeld belegt wurde.

Am 27.11.2022 wurde die Universität Duisburg-Essen Opfer eines Ransomware-Angriffs, bei dem rund 1.200 virtuelle Server verschlüsselt wurden. Die Hochschule trennte ihre gesamte IT-Infrastruktur vom Netz und begann mit forensischer Aufarbeitung. Für etwa 40.000 Nutzer wurden die Passwörter zurückgesetzt, E-Mail und Telefonie konnten vor Weihnachten wiederhergestellt werden.

Nicht dokumentiert ist die exakte Höhe des finanziellen Schadens. Unklar bleibt, wie die Angreifer ursprünglich Zugang erlangten. Die spätere Zuordnung zur Gruppe Vice Society wird in dieser Quelle selbst nicht erwähnt.

Die Berliner Datenschutzbeauftragte verhängte am 30.10.2019 gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro. Das Landgericht Berlin stellte das Verfahren am 18.02.2021 zunächst ein, das Kammergericht legte die Sache dem EuGH vor. Nach der EuGH-Entscheidung von Dezember 2023 verwies das Kammergericht zurück. Das Landgericht Berlin verurteilte Deutsche Wohnen SE am 09.06.2026 zu einer deutlich reduzierten Geldbuße von 900.000 Euro.

Nicht geklärt ist, ob das Urteil rechtskräftig ist oder Rechtsmittel eingelegt wurden. Die genaue rechtliche Begründung für die drastische Reduzierung geht aus der kurzen Pressemitteilung nicht im Detail hervor.

Das Bundesverfassungsgericht wies mit Beschluss vom 01.11.2024 eine Verfassungsbeschwerde gegen eine Verurteilung ab, die auf in Frankreich erhobenen Encrochat-Daten beruhte. Das Gericht bestätigte die Rechtsprechung des BGH, wonach kein Beweisverwertungsverbot besteht, da die zugrunde liegende Europäische Ermittlungsanordnung rechtmäßig war. Der BGH hatte bereits am 02.03.2022 grundsätzlich entschieden.

Umstritten bleibt, wie die französische Überwachungsmaßnahme selbst rechtlich einzuordnen war, deutsche Gerichte prüfen nur die Rechtmäßigkeit der Übermittlung. Wie viele Verfahren insgesamt auf Encrochat-Daten gestützt wurden, ist nicht bundesweit einheitlich erfasst.