Quellen-Tabelle

Die Deutsche Bank einigte sich 2017 mit dem US-Justizministerium auf 3,1 Mrd. Dollar Strafe plus 4,1 Mrd. Dollar Verbraucherhilfe wegen des Verkaufs fehlerhaft besicherter Hypothekenpapiere vor der Finanzkrise.

Übersichtsquelle, keine Primärquelle. Die Kernzahlen dieses Einzelfalls sind aber auch in Primärquellen des DOJ öffentlich dokumentiert.

Der BGH entschied am 13.12.2022 zugunsten klagender Postbank-Aktionäre, dass die Deutsche Bank ihnen möglicherweise mehr als die 2010 gezahlten 25 Euro je Aktie hätte bieten müssen, weil sie schon ab Herbst 2008 faktisch die Kontrolle über die Postbank gehabt haben könnte.

Ein Grundsatzurteil zur Rechtsfrage, die konkrete Nachzahlungshöhe wurde in Folgeverfahren verhandelt.

Das Bundesaufsichtsamt für das Kreditwesen schloss die Kölner Herstatt Bank am 26.06.1974 wegen riskanter Devisenspekulationen, bei einem Eigenkapital von nur 44 Mio. D-Mark hatte sie Verluste von 470 Mio. D-Mark angehäuft.

Übersichtsquelle zu einem historischen, gut dokumentierten Fall. Der Begriff 'Herstatt-Risiko' und die Basel-Committee-Gründung als Folge sind in der Fachliteratur breit belegt.

Der österreichische VfGH erklärte am 11.12.2019 (G 72-74/2019, G 181-182/2019) den geplanten Bundestrojaner zur verdeckten Überwachung verschlüsselter Kommunikation (WhatsApp, Skype) sowie die flächendeckende Kfz-Kennzeichenerfassung für verfassungswidrig. Begründung: verdeckte Computerüberwachung ist ein schwerer Eingriff in das durch Art. 8 EMRK geschützte Recht auf Achtung des Privatlebens und nur in sehr engen Grenzen zulässig.

Das Erkenntnis betrifft die geplante Gesetzesgrundlage von 2018, nicht einen bereits erfolgten Einsatz. Ob und in welcher Form ein Bundestrojaner in Österreich seither eingesetzt wird, ist aus dieser Quelle nicht belegt.

Ende Mai 2023 wurde bekannt, dass der Schweizer Software-Dienstleister Xplain Opfer eines Ransomware-Angriffs der Gruppe Play wurde. Betroffen waren Betriebsdaten der Bundesverwaltung, darunter Armee, Bundesamt für Zoll und Grenzsicherheit sowie Fedpol. Weil Xplain kein Lösegeld zahlte, veröffentlichten die Angreifer das gestohlene Datenpaket am 14.06.2023 im Darknet. Laut Medienberichten waren darunter vertrauliche Dokumente des Nachrichtendienstes, Adressen von Bundesratsmitgliedern sowie Sicherheitsinformationen zu ausländischen Diplomaten und Botschaften.

Die genaue Zahl der betroffenen Personendatensätze schwankt je nach Quelle (bis zu 1,3 Mio. Datensätze bzw. bis zu 425.000 Auslandschweizer laut swissinfo). Eine offizielle, abschließende Gesamtzahl der Bundesstelle liegt hier nicht vor.

Equifax gab im September 2017 ein Datenleck bekannt, das personenbezogene Daten von 147 Millionen Menschen offenlegte: mindestens 147 Mio. Namen und Geburtsdaten, 145,5 Mio. Sozialversicherungsnummern sowie 209.000 Zahlungskartennummern samt Ablaufdatum. Die FTC stellte fest, dass Equifax grundlegende Sicherheitsmaßnahmen versäumt hatte, u. a. das Patchen bekannter Schwachstellen, die Netzwerksegmentierung und funktionierende Angriffserkennung auf Altsystemen. Im Vergleich mit FTC, CFPB und 50 US-Bundesstaaten/Territorien zahlte Equifax mindestens 575 Mio. USD, potenziell bis zu 700 Mio. USD, davon bis zu 425 Mio. USD als Entschädigung für Betroffene.

Der Vergleich betrifft US-Recht und US-Betroffene; Aussagen zu europäischen Equifax-Kunden oder einer DSGVO-Sanktion sind aus dieser Quelle nicht belegt.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine Zero-Day-Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer aus, um bei zahlreichen Organisationen weltweit Daten abzuziehen. Stand 24.08.2023 waren laut Emsisoft 988 Opfer bekannt; bis zum 26.10.2023 waren 2.559 Organisationen mit insgesamt 66.369.148 betroffenen Personen bestätigt. Damit gilt der Angriff als einer der größten Massen-Datendiebstähle über eine einzelne Software-Schwachstelle.

Die Opferzahlen sind kumulative Zwischenstände aus laufender Berichterstattung, keine amtlich abschließend festgestellte Endsumme; sie können je nach Quelle und Erhebungsdatum leicht abweichen.

Zwischen April und Juni 2024 griff die Gruppe UNC5537 gezielt Kundenkonten des Cloud-Datenanbieters Snowflake an, bei rund 165 betroffenen Organisationen, darunter Ticketmaster/Live Nation, Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. Ursache war laut Untersuchungsbericht das Fehlen einer verpflichtenden Zwei-Faktor-Authentifizierung auf Kundenkonten, kombiniert mit über die Schadsoftware Lumma Stealer entwendeten Zugangsdaten. Ticketmaster allein meldete den Verlust von Daten von 500 Millionen Nutzern. Im Oktober/November 2024 wurde ein Verdächtiger festgenommen und Anklage gegen zwei Personen erhoben.

Die Zahl von 500 Millionen betroffenen Ticketmaster-Nutzern stammt aus Unternehmensangaben in Medienberichten, nicht aus einer unabhängigen forensischen Bestätigung dieser exakten Größenordnung.

Am 07.04.2024 bot ein Hacker unter dem Namen USDoD auf dem Kriminalmarktplatz Breached eine Datenbank mit angeblich 2,9 Milliarden Datensätzen zu US-Bürgern an (277,1 GB), darunter vollständige Namen, aktuelle und frühere Adressen, Sozialversicherungsnummern, Geburtsdaten und Telefonnummern. Der Datendiebstahl beim Data Broker National Public Data begann im Dezember 2023, der eigentliche Abfluss ab April 2024. Am 02.10.2024 meldete das Unternehmen Insolvenz an, mit geschätztem Vermögen von nur 25.000 bis 75.000 USD. Generalstaatsanwälte aus über 20 US-Bundesstaaten fordern Bußgelder, rund 20 Sammelklagen sowie FTC-Ermittlungen laufen parallel.

Die Zahl von 2,9 Milliarden Datensätzen stammt aus der Eigenangabe des Angreifers beim Verkaufsangebot, nicht aus einer unabhängigen forensischen Verifikation der exakten Datensatzmenge.

Am 07.03.2021 lehnte die Schweizer Stimmbevölkerung mit knapp zwei Dritteln Nein-Stimmen ein E-ID-Gesetz ab, das eine private Firma mit der Ausgabe der elektronischen Identität beauftragt hätte. Das Parlament verabschiedete am 20.12.2024 ein neues E-ID-Gesetz, bei dem der Staat die technische Infrastruktur betreibt und auf Open-Source-Komponenten setzt. Über diese zweite Vorlage stimmte die Schweiz am 28.09.2025 erneut ab, nachdem ein Referendum mit 55.344 gültigen Unterschriften zustande gekommen war.

Das Ergebnis der Abstimmung vom 28.09.2025 selbst ist aus den vorliegenden Quellen nicht mit belastbarer Zahl belegt und wird hier bewusst nicht behauptet.

Das Produkt Draft One des Bodycam-Herstellers Axon nutzt eine angepasste ChatGPT-Variante, um aus dem Audio von Bodycam-Aufnahmen automatisch Entwürfe für Polizeiberichte zu erstellen, einsatzbereit binnen fünf Minuten nach Aufnahmeende. Die EFF kritisiert, dass es keine praktikable Möglichkeit gibt zu prüfen, welche Teile eines fertigen Berichts von der KI stammen und welche ein Beamter bearbeitet hat: Der KI-Entwurf verschwindet nach der Überarbeitung spurlos. Zudem entschied sich fast jede befragte Polizeibehörde gegen die Option, Draft One für bestimmte Deliktarten zu deaktivieren; eine Behörde nutzte die Software für über 900 Berichte, von Wohlfahrtschecks bis zu Entführungs- und Körperverletzungsfällen.

Belegt ist die fehlende Nachvollziehbarkeit der KI-Textanteile am fertigen Bericht. Ob dadurch bereits konkrete Fehlurteile oder Strafverfahren beeinflusst wurden, ist aus dieser Quelle nicht belegt.

Am 23.02.2009 durchsuchten Ermittler des britischen Information Commissioner's Office (ICO) die Räume der Consulting Association und fanden Akten zu 3.213 Bauarbeitern, die als illegale schwarze Liste dienten. Auf der über mehr als 30 Jahre von großen Baufirmen finanzierten Liste standen politische Aktivisten, Umweltschützer, Betriebsräte und Arbeitsschutzbeauftragte, die deshalb keine Anstellung mehr bekamen. Der Betreiber Ian Kerr wurde wegen Verstoßes gegen das Datenschutzgesetz zu 5.000 Pfund Geldstrafe verurteilt; 44 identifizierte Baufirmen erhielten Vollzugsschreiben des ICO.

Eine spätere Entschädigungsregelung für Betroffene wurde in Großbritannien eingerichtet; deren genauer Umfang und die ausgezahlten Summen sind aus dieser Quelle nicht belegt.

Der britische Online Safety Act erhielt im Oktober 2023 königliche Zustimmung und gibt der Regulierungsbehörde Ofcom Befugnisse, Maßnahmen gegen illegale Inhalte auf Messaging-Plattformen zu verlangen, faktisch bis hin zu client-seitigem Scannen verschlüsselter Nachrichten vor deren Verschlüsselung. Signal-Präsidentin Meredith Whittaker erklärte, Signal werde Großbritannien 'absolut, zu 100 Prozent' verlassen, statt seine Verschlüsselung zu schwächen. Die britische Regierung drängt Ofcom, im Rahmen des Gesetzes Verschlüsselungs-Backdoors zu untersuchen; ein entsprechender Bericht ist für April 2026 angekündigt.

Ob Signal den Rückzug aus Großbritannien tatsächlich vollzogen hat, ist aus dieser Quelle (Stand der Ankündigung 2023, Bericht erst für April 2026 angekündigt) nicht belegt.

Die auf der Black-Hat-Konferenz 2019 vorgestellte GDPArrrrr-Forschung testete, wie Unternehmen auf DSGVO-Auskunftsanfragen (Art. 15) reagieren, wenn sich ein Angreifer als eine andere Person ausgibt. Ergebnis: Die Identitätsprüfung der angefragten Unternehmen war stark uneinheitlich, teilweise genügte eine E-Mail vom vermeintlichen Konto oder bloße Login-Daten als Nachweis. Einige Organisationen verwechselten die Auskunftsanfrage sogar mit einer Löschanfrage und entfernten Konten ohne ordentliche Identitätsprüfung.

Die Studie zeigt eine strukturelle Schwachstelle in der Praxis der Auskunftsbearbeitung, keine flächendeckende, aktuelle Zahl erfolgreicher Identitätsdiebstähle über diesen Weg.

Laut einer Erhebung von noyb erhielten nur 16,5 Prozent der Anfragenden eine vollständige Antwort auf ihre Auskunftsanfrage nach Art. 15 DSGVO, fast 30 Prozent bekamen überhaupt keine Antwort. Damit erfüllten 83,5 Prozent der untersuchten Antworten nicht die gesetzlichen Vorgaben. noyb betont, das eigentliche Problem sei nicht der Missbrauch des Auskunftsrechts durch Betroffene, sondern die mangelhafte Erfüllung der Auskunftspflicht durch die Unternehmen selbst, und kritisiert deshalb den EU-Digital-Omnibus-Vorschlag, der das Auskunftsrecht einschränken will.

Die Stichprobengröße und Methodik der zitierten noyb-Erhebung ist aus dieser Sekundärquelle nicht im Detail belegt; die Prozentzahlen stammen aus noybs eigener Auswertung.

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Der EuGH entschied am 09.02.2023 (Rechtssache C-453/21), dass ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO vorliegen kann, wenn ein Datenschutzbeauftragter gleichzeitig weitere Aufgaben wahrnimmt, in denen er selbst über Zwecke und Mittel der Datenverarbeitung entscheidet. Im konkreten Fall ging es um einen Datenschutzbeauftragten, der zugleich freigestellter Betriebsratsvorsitzender war und nach Inkrafttreten der DSGVO 2018 von seiner Position als Datenschutzbeauftragter abberufen wurde. Ob ein solcher Konflikt vorliegt, muss laut EuGH im Einzelfall von den nationalen Gerichten geprüft werden.

Das Urteil stellt einen abstrakten Prüfmaßstab auf; es bewertet nicht, wie viele betriebliche Datenschutzbeauftragte in Deutschland tatsächlich in einem solchen Interessenkonflikt stehen.

FraUKe (Frankfurter Urteilskonfigurator Elektronisch) ist laut hessischem Justizministerium bundesweit das erste KI-gestützte Assistenzsystem, bei dem Künstliche Intelligenz Richterinnen und Richter aktiv bei der Urteilsfindung unterstützt, eingesetzt im Bereich der Fluggastrechte. Parallel entwickeln Nordrhein-Westfalen, Niedersachsen, Brandenburg und Hessen im Projekt MAKI (Massenverfahrens-Assistenz mittels Künstlicher Intelligenz) eine gemeinsame Grundlage für den KI-Einsatz bei Massenverfahren an Amtsgerichten; NRW und Bayern bauen zudem gemeinsam ein juristisches Sprachmodell (GSJ) auf.

Belegt ist der Einsatz bei Fluggastrechte-Massenverfahren. Wie weit die Letztentscheidung beim Menschen liegt und in welchem Umfang die KI-Textvorschläge unverändert übernommen werden, ist aus dieser Quelle nicht im Detail belegt.

Am 29.08.2017 ordnete die FDA einen freiwilligen Rückruf von 465.000 Herzschrittmachern des Herstellers Abbott (übernommen von St. Jude Medical) an, um eine Firmware-Sicherheitslücke zu schließen. Betroffen waren sechs Modellreihen (Accent, Accent MRI, Accent ST, Allure, Anthem, Assurity). Die Schwachstelle hätte es unbefugten Personen mit handelsüblicher Ausrüstung ermöglicht, aus der Nähe auf das implantierte Gerät zuzugreifen und dessen Programmierung zu verändern, mit möglichen Folgen wie beschleunigter Batterieentladung oder fehlerhafter Herzstimulation. Der Rückruf bestand aus einem Firmware-Update beim Arzt, kein Austausch des Geräts war nötig.

Die FDA meldete zum Zeitpunkt des Rückrufs keine bekannten Verletzungsfälle durch die Schwachstelle; ob es später tatsächlich zu einem Angriff über diese Lücke kam, ist aus dieser Quelle nicht belegt.

Seit Oktober 2025 laufen in deutschen Kliniken Pilotprojekte mit Microsofts KI-Dokumentationssystem Dragon Copilot, darunter Charité Berlin, Universitätsklinikum Mannheim, Kliniken Stuttgart, Region Hannover und BG Klinikum Halle. Das System hört als 'Ambient Scribe' mit Einwilligung der Beteiligten das Arzt-Patienten-Gespräch mit, erstellt automatisch strukturierte Dokumentation und Befunde, die anschließend von Ärzten geprüft und freigegeben werden. Es kombiniert die Spracherkennung von Dragon Medical One mit den Ambient-Listening-Fähigkeiten von Dragon Ambient eXperience Copilot und generativer KI und ist seit Kurzem deutschlandweit allgemein verfügbar.

Der Anbieter beschreibt die Verarbeitung als datenschutzkonform; eine unabhängige Prüfung der konkreten Datenspeicherung und -weitergabe an Microsoft-Server ist aus dieser Herstellerquelle nicht belegt.

Am 21.04.2022 verschafften sich Angreifer der Gruppe BlackCat über einen Arbeitsplatzrechner Zugang zu den IT-Systemen des Landes Kärnten; entdeckt wurde der Angriff erst am 24.05.2022 durch Auffälligkeiten im Netzwerk. Die Angreifer erbeuteten rund 250 GB Daten, darunter Passkopien, Corona-Testergebnisse, Bankkartendaten sowie Korrespondenz des Landeshauptmanns und mehrerer Landesräte; 5,6 GB davon wurden veröffentlicht. Rund 3.000 Rechner der Landesregierung, Bezirkshauptmannschaften und Gerichte mussten vom Netz genommen werden. Die Gruppe forderte 5 Millionen Euro Lösegeld in Bitcoin; das Land zahlte nicht. Der österreichische Rechnungshof stellte 2024 weiterhin Verbesserungsbedarf bei der IT-Sicherheit des Landes fest.

Der Rechnungshofbericht bewertet den Zustand der IT-Sicherheit nach dem Vorfall; ob die Ursprungslücke seither vollständig geschlossen wurde, ist aus dieser Quelle nicht abschließend belegt.

In Deutschland gibt es zwei etablierte Robinsonlisten (ichhabediewahl.de und robinsonliste.de), in die sich Verbraucher gegen unerwünschte Werbepost eintragen können. Unternehmen sind jedoch rechtlich nicht verpflichtet, ihre Adressbestände gegen diese Listen abzugleichen; der Abgleich ist freiwillig und kostenpflichtig. Größere Firmen, insbesondere Mitglieder des Deutschen Dialogmarketing Verbands, gleichen meist freiwillig ab, während kleinere oder ausländische Versender den Abgleich häufig aus Kosten- oder Organisationsgründen auslassen. Ein individueller Werbewiderspruch gegenüber einem Adresshändler muss dagegen unverzüglich befolgt werden; danach ist die weitere Nutzung der Daten für Werbezwecke untersagt.

Die Robinsonliste wirkt nur gegenüber den Unternehmen, die freiwillig abgleichen; sie ist kein rechtlich durchsetzbares generelles Werbeverbot.

Gouverneurin Tina Kotek unterzeichnete am 28.03.2024 mit SB 1596 das erste US-Gesetz, das die Praxis des 'Parts Pairing' verbietet: Hersteller wie Apple serialisieren Gerätekomponenten softwareseitig, sodass ein Gerät nur mit authentifizierten Originalteilen voll funktioniert. Das Gesetz verpflichtet Hersteller, Kunden die Nutzung neuer, gebrauchter oder Dritthersteller-Ersatzteile ohne Funktionseinschränkung zu ermöglichen, und gilt für alle neuen Elektronikgeräte ab 01.01.2025. Apple lobbyierte gegen das Verbot und argumentierte, Parts Pairing sei ein Sicherheitsmerkmal.

Das Gesetz gilt nur im US-Bundesstaat Oregon; eine EU-weite oder deutsche Entsprechung ist aus dieser Quelle nicht belegt.

Amazons Türklingelkamera-Anbieter Ring bestätigte 2022 gegenüber dem US-Senat, dass das Unternehmen Videoaufnahmen ohne Durchsuchungsbefehl und ohne Zustimmung der Gerätebesitzer an Polizeibehörden weitergeben kann, wenn nach eigener Einschätzung 'unmittelbare Gefahr für Leib oder Leben' vorliegt. Allein im Jahr 2022 geschah dies laut Unternehmensangabe bereits elfmal. Was als Notfall gilt, entscheidet Ring selbst, ohne gerichtliche Kontrolle. Reguläre Anfragen erfordern weiterhin einen gültigen Durchsuchungsbefehl; seit Februar 2024 hat Amazon zusätzlich das Werkzeug abgeschaltet, mit dem Polizei über die Neighbors-App direkt Nutzer um Aufnahmen bitten konnte.

Wie oft die Notfall-Ausnahme seit 2022 insgesamt genutzt wurde, ist aus dieser Quelle nicht mit aktueller Zahl belegt.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.