Quellen-Tabelle

Am 18.10.2022 durchsuchten Staatsanwaltschaft, Polizei und Steuerfahnder die Zentrale der Deutschen Bank in Frankfurt am Main im Zusammenhang mit Cum-Ex-Geschäften und verwandten Steuerhinterziehungsmodellen. Die federführende Staatsanwaltschaft Köln vollstreckte Durchsuchungsbeschlüsse gegen das Bankinstitut, weitere Konzerngesellschaften sowie eine Wirtschaftsprüfungsgesellschaft. Zusätzlich wurden die Privatwohnungen von zehn Beschuldigten durchsucht. An dem Einsatz waren insgesamt 114 Ermittler beteiligt, darunter mehrere Polizeidienststellen aus Nordrhein-Westfalen, Steuerfahnder aus Nordrhein-Westfalen, Hessen und Bayern, das Bundeszentralamt für Steuern sowie EDV-Sachverständige. Ziel der Maßnahme war insbesondere das Auffinden relevanter interner Kommunikation in Form von E-Mails und sonstiger schriftlicher Korrespondenz der Deutschen Bank. Die Ermittlungen gegen die Deutsche Bank wegen Cum-Ex-Geschäften laufen bereits seit dem Jahr 2017.

Aus dieser Quelle ist nicht belegt, welcher konkrete Steuerschaden der Deutschen Bank in diesem Verfahren vorgeworfen wird, welche Ergebnisse die Auswertung der beschlagnahmten E-Mails erbrachte und wie das seit 2017 laufende Verfahren strafrechtlich ausgegangen ist; auch die Identität der zehn Beschuldigten bleibt offen.

Am 19.07.2015 gab die Hackergruppe The Impact Team bekannt, in die Systeme der kanadischen Seitensprung-Plattform Ashley Madison und der Schwesterseite Established Men eingedrungen zu sein, betrieben vom Unternehmen Avid Life Media mit CEO Noel Biderman. Die Gruppe forderte die dauerhafte Abschaltung beider Portale und drohte andernfalls mit der Veröffentlichung aller Nutzerdaten. Nachdem das Unternehmen der Forderung nicht nachkam, veröffentlichte The Impact Team am 18.08.2015 ein rund 9,7 Gigabyte großes Datenpaket im Tor-Netzwerk, dem am 20.08.2015 ein zweites, größeres Datenpaket folgte. Betroffen waren nach verbreiteten Angaben rund 32 Millionen Nutzerkonten (die US-Handelsaufsicht FTC nannte später 36 Millionen), darunter Namen, Adressen, Telefonnummern, sieben Jahre zurückreichende Kreditkartentransaktionsdaten sowie teils sexuelle Präferenzen; Passwörter waren per bcrypt gehasht. Unter den Adressen fanden sich mehr als 15.000 E-Mail-Konten von US-Regierungs- und Militärangehörigen. Die Toronto Police Service bestätigte im August 2015 zwei bislang unbestätigte Suizide, die mit dem Datenleck in Verbindung gebracht wurden. CEO Noel Biderman trat am 28.08.2015 zurück. Im Dezember 2016 einigte sich das Unternehmen mit der FTC auf eine Zahlung von 1,657 Millionen US-Dollar; im Juli 2017 folgte ein Sammelklage-Vergleich über 11,2 Millionen US-Dollar.

Die genaue Zahl betroffener Konten schwankt je nach Quelle zwischen 32 und 36 Millionen, und die von mehreren Medien berichteten Suizide im Zusammenhang mit dem Leak wurden von der Polizei nie offiziell als direkte Folge des Hacks bestätigt. Die Identität der Angreifer hinter The Impact Team wurde nie aufgeklärt.

Die US-Börsenaufsicht SEC erhob am 14.03.2018 Anklage gegen Jun Ying, ehemaliger Chief Information Officer der Equifax-Geschäftseinheit Equifax US Information Solutions, wegen Insiderhandels. Equifax hatte am 07.09.2017 bekanntgegeben, dass bei einem Cyberangriff persönliche Daten von rund 147 Millionen US-Kunden entwendet wurden, verursacht durch eine ungepatchte Sicherheitslücke in der Software Apache Struts. Ying, der als nächster globaler CIO von Equifax vorgesehen war, erhielt vertrauliche interne Informationen und kam bereits am 25.08.2017, vor der öffentlichen Bekanntgabe, zu dem Schluss, dass Equifax gehackt worden war. Er übte daraufhin sämtliche Aktienoptionen aus und verkaufte 6.815 Aktien für rund 950.000 US-Dollar, wodurch er einen Verlust von mehr als 117.000 US-Dollar vermied. Parallel zur zivilrechtlichen SEC-Klage erhob die US-Staatsanwaltschaft für den Northern District of Georgia strafrechtliche Anklage gegen Ying. Vorausgegangen waren im Oktober 2017 Anhörungen von Ex-CEO Richard Smith vor mehreren Kongressausschüssen, der bereits am 26.09.2017 unter Verzicht auf seinen Jahresbonus zurückgetreten war. Ying wurde am 07.03.2019 schuldig gesprochen und zu vier Monaten Haft, einem Jahr Bewährung, einer Geldstrafe von 55.000 US-Dollar sowie einer Rückzahlung von 117.117,61 US-Dollar verurteilt.

Der genaue Zeitpunkt der Haftstrafe schwankt in Sekundärquellen zwischen März und Juni 2019. Ob weitere Equifax-Führungskräfte, die kurz nach Entdeckung des Angriffs ebenfalls Aktien verkauften, tatsächlich kein Wissen über die Sicherheitsverletzung hatten, ist nicht unabhängig verifiziert.

Am 05.09.2017 bestätigte die estnische Behörde RIA eine Sicherheitslücke in der estnischen elektronischen Identitätskarte, die rund 750.000 seit Oktober 2014 ausgegebene Chipkarten betraf, darunter auch Karten von E-Residency-Nutzern. Ursache war die ROCA-Schwachstelle in der RSA-Schlüsselerzeugung von Kryptochips des Herstellers Infineon, die in den vom Kartenhersteller Gemalto produzierten estnischen ID-Karten verbaut waren. Die Lücke erlaubte theoretisch die Berechnung des privaten RSA-Schlüssels aus dem öffentlichen Schlüssel und damit die Fälschung digitaler Identitäten. Laut RIA gab es zum Zeitpunkt der Bekanntgabe keine Hinweise auf tatsächlichen Missbrauch. Am 03.11.2017 setzte die estnische Regierung die betroffenen Zertifikate aus; Karteninhaber konnten sie bis zum 31.03.2018 erneuern, nicht erneuerte Zertifikate wurden zum 01.04.2018 widerrufen. Die ROCA-Schwachstelle betraf weltweit schätzungsweise über eine Milliarde Krypto-Chips. Im Februar 2021 einigten sich die estnische Grenzschutzbehörde und der Kartenhersteller Gemalto, inzwischen Teil von Thales, auf eine Zahlung von 2,2 Millionen Euro Entschädigung, nachdem der estnische Staat zunächst 152 Millionen Euro Schadensersatz gefordert hatte.

Aus der Quelle geht nicht hervor, ob es je zu einem konkreten Missbrauchsfall kam oder wer die Schwachstelle ursprünglich entdeckte; die Angaben zur Zertifikatssperrung sowie zum Gemalto-Vergleich 2021 stammen aus späteren, ergänzenden Quellen.

Die Journalistin Rachna Khaira berichtete am 04.01.2018 in der indischen Zeitung The Tribune, dass sie über einen anonymen Verkäufer auf WhatsApp gegen Zahlung von 500 Rupien, umgerechnet rund 6 Euro, per Paytm binnen zehn Minuten Zugangsdaten zu einem Portal der Unique Identification Authority of India (UIDAI) erhielt. Über dieses Portal ließen sich zu jeder der mehr als 1,1 Milliarden vergebenen Aadhaar-Nummern Name, Adresse, Postleitzahl, Foto, Telefonnummer und E-Mail-Adresse abrufen. Gegen weitere 300 Rupien bot derselbe Verkäufer zusätzlich eine Software an, mit der sich Aadhaar-Ausweise beliebiger Personen ausdrucken ließen. Laut Recherche der Tribune hatten mehr als 100.000 staatlich beauftragte Village-Level-Enterprise-Operatoren unrechtmäßigen Zugriff auf das Portal erlangt und diesen zum Weiterverkauf genutzt. Die UIDAI wies einen Leak oder eine Datenpanne der Aadhaar-Datenbank offiziell zurück und sprach von Fehlberichterstattung. Ein UIDAI-Mitarbeiter erstattete daraufhin Strafanzeige gegen die Reporterin Khaira wegen angeblich unbefugten Zugriffs auf die Datenbank. Die Delhi Police stellte dieses Verfahren gegen Khaira später mangels Beweisen ein.

Nicht belegt ist, dass über das genutzte Portal tatsächlich biometrische Daten wie Fingerabdrücke abrufbar waren, bestätigt wurden nur demografische Daten. Die Zahl von 1,1 Milliarden bezieht sich auf die theoretisch erreichbare Gesamtmenge, nicht auf nachgewiesene tatsächlich abgerufene Einzeldatensätze, zudem blieben die Hintermänner unidentifiziert.

Nach dem Amtsantritt von Präsident Rodrigo Duterte am 30.06.2016 bauten philippinische Polizei und lokale Behörden im Rahmen des landesweiten Kriegs gegen Drogen systematische Verdächtigenlisten auf. Die Listen wurden primär von Barangay Anti-Drug Abuse Councils erstellt, kommunalen Gremien, die mutmaßliche Drogennutzer und -händler identifizierten. Die gemeldeten Namen wurden danach von nationalen Polizei- und Geheimdienststellen validiert, wie Polizeichef Ronald dela Rosa gegenüber Reuters bestätigte. Laut dem am 08.10.2016 veröffentlichten Reuters-Bericht umfasste allein die Liste für Metro Manila 11.700 mutmaßliche Nutzer und Händler, die Provinz Bulacan meldete rund 17.000 Namen. Bis zur Veröffentlichung des Berichts waren seit dem 30.06.2016 mehr als 3.600 Menschen im Zuge der Kampagne getötet worden, darunter 1.377 bei Polizeieinsätzen erschossene Personen, von denen laut Reuters die meisten zuvor auf einer solchen Liste geführt worden waren. Karen Gomez Dumpit von der philippinischen Menschenrechtskommission warnte, das Listensystem schaffe ein Umfeld, in dem jemand mit persönlichem Groll und einer Waffe sein Ziel gezielt aufspüren könne.

Der Bericht nennt keine landesweite Gesamtzahl aller in den Watchlists erfassten Namen, sondern nur einzelne Regionalzahlen, und belegt nicht im Einzelfall, ob eine konkrete Tötung ursächlich auf den jeweiligen Listeneintrag zurückging.

Am 31.07.2013 veröffentlichte The Guardian, gestützt auf von Edward Snowden bereitgestellte Dokumente, einen Bericht über das NSA-Programm XKeyscore. Grundlage war eine als geheim eingestufte NSA-Schulungspräsentation aus dem Jahr 2008 mit 48 Folien. Laut den Unterlagen ermöglichte XKeyscore NSA-Analysten eine Volltextsuche in E-Mails, Online-Chats und Browserverläufen von Internetnutzern weltweit, ohne vorherige richterliche Genehmigung. Das System stützte sich auf ein Netzwerk von rund 700 Servern an etwa 150 Standorten in etwa 41 Ländern. Erfasste Inhalte wurden für drei bis fünf Tage und Metadaten für bis zu 30 Tage auf den Servern vorgehalten, bevor Analysten relevante Treffer in Langzeitdatenbanken speicherten. Journalist Glenn Greenwald berichtete, Analysten benötigten für eine Suche lediglich eine grobe Begründung über ein Dropdown-Menü, jedoch keine gerichtliche Anordnung. Die NSA erklärte, der Zugriff unterliege technischen und prozeduralen Kontrollen sowie der Aufsicht durch Kongress, Justizministerium und Gerichte.

Aus dem Artikel geht nicht hervor, in welchem konkreten Umfang XKeyscore tatsächlich auf Daten von US-Bürgern angewendet wurde, und die genaue Zahl weltweit betroffener Nutzer ist nicht unabhängig verifizierbar.

Am 24. August 2017 trat in Deutschland das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens in Kraft, das mit den Paragrafen 100a und 100b der Strafprozessordnung erstmals eine ausdrückliche gesetzliche Grundlage für den Einsatz von Staatstrojanern schuf. Das Bundeskriminalamt entwickelte parallel eine eigene Überwachungssoftware namens RCIS, deren Entwicklung laut Bundesregierung bis 2020 rund 5,77 Millionen Euro kostete. Laut einer Antwort der Bundesregierung auf eine Kleine Anfrage von Bundestagsabgeordneten der Grünen, ausgewertet von heise online am 22. Februar 2021, wurde dieser Bundestrojaner zwischen 2017 und 2020 in keinem einzigen abgeschlossenen Ermittlungs- oder Gefahrenabwehrverfahren des BKA erfolgreich eingesetzt. Auch die kommerzielle Software FinSpy kam beim BKA nach diesen Angaben bislang nicht zum Einsatz. Für das Jahr 2019 wiesen offizielle Zahlen bundesweit lediglich 15 tatsächlich durchgeführte Staatstrojaner-Einsätze aus. Die Zahl der tatsächlich durchgeführten Maßnahmen stieg in den Folgejahren, etwa auf 22 im Jahr 2020 und 32 im Jahr 2021, überwiegend im Bereich der Drogenkriminalität.

Aus der Quelle nicht abschließend belegt ist, in welchem Umfang spätere Einsätze auf die BKA-Eigenentwicklung RCIS statt auf andere, teils von Landesbehörden genutzte Trojaner-Software entfielen.

Das Bundesverfassungsgericht erklärte am 02.03.2010 mit Urteil des Ersten Senats die Regelungen zur Vorratsdatenspeicherung in den §§ 113a und 113b Telekommunikationsgesetz sowie § 100g Strafprozessordnung für nichtig. Die Vorschriften waren durch das Gesetz zur Neuregelung der Telekommunikationsüberwachung vom 21.12.2007 eingeführt worden und setzten die EU-Richtlinie 2006/24/EG um. Sie verpflichteten Telekommunikationsanbieter, sämtliche Verkehrsdaten aus Telefonie, Fax, SMS, E-Mail und Internetnutzung sechs Monate lang anlasslos zu speichern. Gegen das Gesetz hatten 34.939 Bürgerinnen und Bürger eine vom Arbeitskreis Vorratsdatenspeicherung koordinierte Sammelverfassungsbeschwerde eingereicht, die größte in der Geschichte der Bundesrepublik. Das Gericht sah in der anlasslosen Speicherung praktisch aller Verkehrsdaten einen besonders schweren Eingriff in das Fernmeldegeheimnis nach Art. 10 Abs. 1 Grundgesetz, da sich daraus aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen ließen. Als Mängel benannte der Senat unzureichende Datensicherheit, eine zu weite Zweckbindung, fehlende Transparenzpflichten und unzureichenden Rechtsschutz. Das Gericht ordnete die unverzügliche Löschung aller bereits gespeicherten Daten an.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Der Chaos Computer Club veröffentlichte am 08.10.2011 unter dem Titel 0zapftis eine technische Analyse einer von deutschen Ermittlungsbehörden eingesetzten Überwachungssoftware, dem sogenannten Staatstrojaner. Dem CCC waren mehrere Programmvarianten anonym zugespielt worden, die er disassemblierte und in einem öffentlichen Report dokumentierte. Die Analyse zeigte, dass die Software weit über die vom Bundesverfassungsgericht am 27.02.2008 erlaubte reine Quellentelekommunikationsüberwachung hinausging. Nachgewiesen wurden Funktionen zum Nachladen und ferngesteuerten Ausführen beliebiger weiterer Programme, zur Anfertigung von Bildschirmfotos aus Webbrowsern samt privater Notizen und E-Mails sowie Code für den Zugriff auf Mikrofon und Kamera des infizierten Rechners. Alle untersuchten Varianten nutzten denselben fest einprogrammierten kryptografischen Schlüssel und kommunizierten mit einem Kontrollserver in den USA, wodurch auch Dritte die infizierten Computer übernehmen konnten. Recherchen ordneten die Software der hessischen Firma DigiTask zu, als öffentliche Auftraggeber wurden unter anderem das bayerische Landeskriminalamt und die Zollverwaltung genannt. Ein späteres Gerichtsurteil stellte fest, dass das bayerische LKA einen Verdächtigen monatelang ohne ausreichende Rechtsgrundlage überwacht hatte.

Aus der CCC-Pressemitteilung geht nicht hervor, wie viele Personen insgesamt mit der Software überwacht wurden und auf welchem genauen Weg der CCC die Programmkopien erhielt; auch war nicht abschließend geklärt, welche weiteren Behörden außerhalb Bayerns die Software bereits eingesetzt hatten.

Am 21.06.2013 veröffentlichte The Guardian auf Basis von Dokumenten des ehemaligen NSA-Mitarbeiters Edward Snowden Details zum Programm Tempora des britischen Geheimdienstes GCHQ. Tempora wurde ab 2008 getestet und war seit Ende 2011 im Wirkbetrieb. Der Geheimdienst hatte Abhörsonden an mehr als 200 transatlantischen Glasfaserkabeln angebracht, über die ein Großteil des internationalen Telefon- und Internetverkehrs zwischen Europa und Nordamerika läuft. Jede Sonde konnte anfangs bis zu 10 Gigabit Daten pro Sekunde erfassen, laut Guardian ließen sich damit täglich bis zu 600 Millionen Kommunikationsvorgänge auswerten. Inhaltsdaten wie Telefonate und E-Mails wurden bis zu drei Tage, Metadaten bis zu 30 Tage gespeichert und durchsuchbar gehalten. Ein zentraler Anlandepunkt der abgehörten Kabel lag im britischen Bude in Cornwall. Nach den Dokumenten hatten im Mai 2012 rund 300 GCHQ- und 250 NSA-Analysten Zugriff auf die gesammelten Daten. Im September 2018 stufte der Europäische Gerichtshof für Menschenrechte das britische Massenüberwachungsprogramm als rechtswidrig ein.

Die genaue Zahl von 600 Millionen täglich erfassten Kommunikationsvorgängen sowie Details zur rechtlichen Grundlage stammen aus als geheim eingestuften Dokumenten und wurden von GCHQ nie offiziell bestätigt oder dementiert.

Das Bundeskartellamt untersagte Facebook mit Beschluss vom 06.02.2019, Nutzerdaten aus verschiedenen Quellen ohne gesonderte freiwillige Einwilligung der Nutzenden zusammenzuführen. Betroffen war die Verknüpfung von Daten aus den konzerneigenen Diensten Facebook, Instagram und WhatsApp sowie von Daten, die auf Drittanbieter-Websites außerhalb von Facebook erhoben wurden, etwa über Like-Buttons. Bis zur Entscheidung war die Nutzung des Facebook-Kontos an die Zustimmung zu dieser weitreichenden Datensammlung gekoppelt; eine echte Wahlmöglichkeit hatten Nutzende nicht. Das Amt stützte die Entscheidung auf den Vorwurf des Missbrauchs einer marktbeherrschenden Stellung, gestützt auf einen Marktanteil von Facebook beim sozialen Netzwerk in Deutschland von rund 95 Prozent bezogen auf tägliche Nutzerzahlen. Facebook erhielt Umsetzungsfristen von vier bis zwölf Monaten und legte gegen den Beschluss Beschwerde beim Oberlandesgericht Düsseldorf ein, das die Vollziehung zunächst per Eilentscheidung aussetzte, bevor der Bundesgerichtshof 2020 die kartellrechtliche Einschätzung des Bundeskartellamts vorläufig bestätigte.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und Abschluss des jahrelangen gerichtlichen Rechtsstreits in allen Details sowie der exakte technische Umsetzungsstand der Datentrennung bei Meta zum jeweiligen Zeitpunkt.

Am 13.05.2014 entschied die Große Kammer des EuGH im Verfahren C-131/12, Google Spain SL und Google Inc. gegen die spanische Datenschutzbehörde AEPD und Mario Costeja Gonzalez. Auslöser war eine 1998 in der Zeitung La Vanguardia veröffentlichte Bekanntmachung über eine Zwangsversteigerung von Costejas Grundstück, die bei einer Google-Suche nach seinem Namen weiterhin erschien, obwohl das Verfahren längst abgeschlossen war. Costeja beantragte 2010 bei der AEPD, Google zur Löschung des Links aus den Suchergebnissen zu verpflichten. Der EuGH stellte fest, dass das Betreiben einer Suchmaschine als Verarbeitung personenbezogener Daten gilt und der Suchmaschinenbetreiber dafür als Verantwortlicher haftet. Betroffene Personen können demnach von Suchmaschinenbetreibern verlangen, Links zu rechtmäßig veröffentlichten, aber veralteten oder für sie nicht mehr relevanten Informationen zu entfernen, ohne dass die Ursprungsseite selbst gelöscht werden muss. Google richtete am 29.05.2014 ein Online-Formular für Löschanträge ein und erhielt in den ersten drei Monaten durchschnittlich rund 1.500 Anträge pro Tag. Bis 2018 gingen bei Google über 650.000 solcher Anträge zu rund 2,4 Millionen Links ein.

Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.

Am 27. Mai 2021 kam es beim schwedischen Zahlungsdienstleister Klarna zu einer Datenschutzpanne, bei der Nutzer der Klarna-App für kurze Zeit Konto- und Bestelldaten fremder Kunden einsehen konnten. Ursache war nach Angaben von Klarna ein menschlicher Bedienungsfehler bei einem Softwareupdate, das versehentlich in das Live-System eingespielt wurde. Der fehlerhafte Zustand bestand nach Unternehmensangaben etwa eine halbe Stunde. Sichtbar waren unter anderem Namen, Adressen, Telefonnummern, verifizierte E-Mail-Adressen, Bestellfotos sowie teilweise maskierte Karten- und Kontonummern. Vollständige Bank- oder Kartendaten sowie Steuernummern waren laut Klarna nicht einsehbar. Medien berichteten zunächst von rund 90.000 Betroffenen, Klarna korrigierte die Zahl später auf etwa 9.500 Nutzer von damals rund 90 Millionen aktiven Kunden weltweit. Klarna nahm die App unmittelbar vom Netz. Das Unternehmen erklärte, es habe sich nicht um einen externen Angriff gehandelt, informierte die zuständigen Behörden und kündigte eine Überprüfung interner Prozesse an. Der Vorfall betraf auch deutsche Nutzer.

Unklar bleibt, ob dieser konkrete Vorfall zu einem eigenen DSGVO-Bußgeld führte; die 2022 von der schwedischen Datenschutzbehörde IMY verhängte Strafe gegen Klarna betraf unzureichende Datenschutzerklärungen und nicht diese Datenpanne.

Das Bundesverfassungsgericht entschied am 03.03.2004 mit Urteil des Ersten Senats über Verfassungsbeschwerden gegen die akustische Wohnraumüberwachung, den sogenannten Großen Lauschangriff. Der Bundestag hatte die zugrunde liegende Grundgesetzänderung, Artikel 13 Absatz 3 bis 6 GG, am 16.01.1998 mit 452 Ja-Stimmen gegen 184 Nein-Stimmen beschlossen. Beschwerdeführer waren unter anderem die FDP-Politiker Burkhard Hirsch, Sabine Leutheusser-Schnarrenberger und Gerhart Baum, die im März 1999 Verfassungsbeschwerde eingelegt hatten. Das Gericht erklärte die Grundgesetzänderung selbst für vereinbar mit der Ewigkeitsklausel des Artikel 79 Absatz 3 GG, stufte aber zentrale Ausführungsvorschriften der Strafprozessordnung als verfassungswidrig ein wegen unzureichenden Schutzes des Kernbereichs privater Lebensgestaltung. Das Gericht verpflichtete den Gesetzgeber, bis zum 30.06.2005 eine verfassungsgemäße Neuregelung zu schaffen, was der Bundestag am 24.06.2005 umsetzte. Zentrale Begründung war, dass höchstpersönliche Gespräche, etwa mit engsten Familienangehörigen, absolut geschützt sind und von einer akustischen Überwachung ausgenommen bleiben müssen, da sonst die durch Artikel 1 GG geschützte Menschenwürde verletzt würde.

Aus der Quelle nicht belegt ist, wie viele konkrete Überwachungsmaßnahmen bundesweit bereits auf Grundlage der für nichtig erklärten Vorschriften durchgeführt wurden und in welchem Umfang dadurch gewonnene Beweise nachträglich unverwertbar wurden.

Am 6. Oktober 2015 erklärte der Gerichtshof der Europäischen Union in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission vom 26. Juli 2000 für ungültig. Kläger war der österreichische Staatsbürger Maximillian Schrems, dessen Daten von der irischen Facebook-Tochtergesellschaft auf Server in den USA übertragen wurden. Schrems hatte 2013 nach den Enthüllungen Edward Snowdens über die Überwachungspraktiken der NSA bei der irischen Datenschutzbehörde Beschwerde eingelegt. Der EuGH stellte fest, dass US-Unternehmen im Rahmen des Safe-Harbor-Systems verpflichtet waren, dessen Schutzregeln zurückzustellen, sobald nationale Sicherheit entgegenstand, und dass US-Behörden selbst nicht an das System gebunden waren. Eine Regelung, die Behörden generalisierten Zugriff auf den Inhalt elektronischer Kommunikation erlaube, verletze den Wesensgehalt des Rechts auf Achtung des Privatlebens. Als Nachfolgeregelung handelte die EU-Kommission das EU-US Privacy Shield aus, das der EuGH am 16. Juli 2020 im Verfahren Schrems II ebenfalls für ungültig erklärte.

Die Pressemitteilung nennt keine Zahl der von der Ungültigkeitserklärung betroffenen Unternehmen oder Nutzer und lässt offen, wie die irische Datenschutzbehörde die Beschwerde von Schrems im Anschluss konkret entschied.

Der Investigatory Powers Act 2016, im Vereinigten Königreich als Snoopers Charter bekannt, erhielt am 29.11.2016 die königliche Zustimmung und trat ab dem 30.12.2016 stufenweise in Kraft. Das Gesetz verpflichtet Kommunikationsdienstleister, Internet Connection Records aller Nutzer für zwölf Monate zu speichern. Polizei, Geheimdienste und benannte Regierungsbehörden können diese Daten für gezielte Ermittlungen abrufen. Zusätzlich legalisiert das Gesetz Massenbefugnisse: die massenhafte Interception von Kommunikation, den Massenzugriff auf Kommunikationsdaten und das Hacken von Geräten. Am 27.04.2018 entschied der High Court in London im Verfahren Liberty gegen die Regierung, dass Teil 4 des Gesetzes zur Vorratsdatenspeicherung gegen EU-Recht verstößt, da er keine ausreichenden Schutzvorkehrungen wie eine vorherige unabhängige Genehmigung vorsah. Am 31.10.2018 traten die Data Retention and Acquisition Regulations 2018 in Kraft, die den Zugriff auf schwere Straftaten beschränken und eine vorherige Prüfung durch einen Judicial Commissioner vorschreiben.

Aus dieser Quelle nicht belegt sind die genaue Zahl der tatsächlich gespeicherten Internet Connection Records und der behördlichen Abfragen sowie Details zu einzelnen vertraulichen Technical Capability Notices.

Section 215 des USA PATRIOT Act erlaubte der NSA seit 2006 die massenhafte, anlasslose Sammlung von Telefonverbindungsdaten von Millionen US-Bürgern. Das Programm wurde im Juni 2013 durch von Edward Snowden veröffentlichte Dokumente öffentlich bekannt. Am 07.05.2015 entschied das Berufungsgericht des zweiten Bundesgerichtsbezirks im Fall ACLU v. Clapper, dass Section 215 die massenhafte Sammlung von Telefondaten rechtlich nicht gedeckt habe. Die gesetzliche Grundlage von Section 215 lief am 01.06.2015 aus. Am 02.06.2015 verabschiedete der US-Senat mit 67 zu 32 Stimmen den USA Freedom Act, den Präsident Barack Obama noch am selben Tag unterzeichnete. Das Gesetz untersagte künftig die anlasslose Massensammlung von Telefonmetadaten durch die NSA, sah dafür aber eine Übergangsfrist von 180 Tagen vor. Nach Ablauf dieser Frist stellte die NSA die Massensammlung am 29.11.2015 endgültig ein. Seitdem benötigt die Regierung für gezielte Abfragen einen Beschluss des FISC mit einem konkreten Suchbegriff.

Aus dieser Quelle nicht belegt sind die genaue Zahl der betroffenen Telefonanschlüsse; ebenso bleibt offen, in welchem Umfang die NSA über andere Rechtsgrundlagen wie Section 702 FISA weiterhin Kommunikationsdaten erhob.

Am 20. September 2019 wurde das Berliner Kammergericht, eines der größten Oberlandesgerichte Deutschlands mit rund 150 Richterinnen und Richtern, Ziel eines Cyberangriffs mit den Schadprogrammen Emotet und Trickbot. Die Trojaner drangen über eine präparierte E-Mail in das ungesegmentierte Gerichtsnetzwerk ein und stahlen über mehrere Tage systematisch Zugangsdaten. Eine Verschlüsselung im Sinne klassischer Ransomware blieb aus, weil die Internetverbindung des Gerichts unterbrochen wurde, ein Datendiebstahl wurde jedoch bestätigt. Das Cyber Emergency Response Team von T-Systems empfahl einen kompletten Neuaufbau der Windows-Domäne und der gesamten IT-Infrastruktur. Neun Monate nach dem Angriff, im Juli 2020, war die Mehrheit der rund 150 Richterinnen und Richter weiterhin in ihrer Arbeit stark eingeschränkt. Neu verteilte Computer konnten mangels VPN-Zugang zunächst nur als Schreibmaschinen genutzt werden. Für die Beschaffung neuer Geräte und den Aufbau sicherer Zugänge wurden mehrere Millionen Euro veranschlagt, im Berliner Nachtragshaushalt waren insgesamt über 10 Millionen Euro für die IT-Wiederherstellung der Justiz eingeplant.

Der genaue Infektionsweg der ersten Schadsoftware-Mail konnte laut Berichten nicht abschließend rekonstruiert werden, und ob tatsächlich sensible Verfahrensdaten abgeflossen sind, blieb ungeklärt.

In der Nacht zum 10. September 2020 wurden rund 30 Server des Universitätsklinikums Düsseldorf durch eine Ransomware verschlüsselt, die über eine seit Dezember 2019 bekannte, ungepatchte Sicherheitslücke in einer Citrix-Anwendung ins Kliniknetzwerk gelangt war. Wegen des IT-Ausfalls musste die Notaufnahme vorübergehend geschlossen werden. In der Nacht zum 11. September 2020 wurde deshalb eine 78-jährige Patientin mit einem lebensbedrohlichen Aneurysma per Rettungswagen in eine rund 32 Kilometer entfernte Klinik in Wuppertal umgeleitet, wodurch sich ihre Behandlung um etwa eine Stunde verzögerte. Die Frau starb kurz darauf. Die Staatsanwaltschaft Köln leitete Ermittlungen wegen fahrlässiger Tötung gegen die unbekannten Angreifer ein, der weltweit erste dokumentierte Verdachtsfall eines Todes durch einen Ransomware-Angriff. Nachdem die Polizei den Erpressern mitgeteilt hatte, dass sie statt der eigentlich als Ziel vorgesehenen Heinrich-Heine-Universität die Uniklinik getroffen hatten, zogen die Täter ihre Lösegeldforderung zurück und übermittelten kostenlos einen Entschlüsselungsschlüssel. Am 17. November 2020 stellte die Staatsanwaltschaft Köln die Ermittlungen wegen des Todesfalls ein, da eine Obduktion ergeben hatte, dass die Patientin wahrscheinlich auch ohne die Verzögerung gestorben wäre.

Aus dieser Quelle nicht belegt ist die genaue Identität der Angreifer sowie ob ihr tatsächlicher Standort in Russland zweifelsfrei feststeht. Offen bleibt zudem, ob weitere Patienten durch die tagelange Einschränkung der Notaufnahme gesundheitliche Nachteile erlitten.

Das britische Department of Health and Social Care (DHSC) veröffentlichte am 11.10.2018 einen Bericht mit einer offiziellen Kostenschätzung des WannaCry-Ransomware-Angriffs auf den National Health Service. Der Angriff selbst ereignete sich vom 12. bis 18.05.2017 und legte den Betrieb in rund einem Drittel der Krankenhaus-Trusts sowie in etwa 8 Prozent der Hausarztpraxen teilweise lahm. Als Folge wurden mehr als 19.000 Termine abgesagt. Das DHSC beziffert die Gesamtkosten auf 92 Millionen Pfund, davon rund 19 Millionen Pfund für entgangene Versorgungsleistung während der Angriffswoche und rund 73 Millionen Pfund für zusätzliche IT-Unterstützung zur Wiederherstellung von Daten und Systemen, wovon 72 Millionen Pfund erst in der Nachbereitungsphase bis Juni/Juli 2017 anfielen. Grundlage der Schätzung ist die Annahme, dass in der betroffenen Woche etwa 1 Prozent der NHS-Versorgungsleistung ausfiel. Das DHSC betont im Bericht ausdrücklich, dass zum Zeitpunkt des Angriffs keine systematische Datenerhebung zu den tatsächlichen Wiederherstellungskosten stattfand. Im selben Bericht kündigte das DHSC zusätzliche Investitionen von über 150 Millionen Pfund für die Jahre 2018/19 bis 2020/21 zur Verbesserung der Cybersicherheit im Gesundheitswesen an.

Die genauen Wiederherstellungskosten einzelner Trusts wurden laut DHSC nie systematisch erhoben, weshalb die 92 Millionen Pfund selbst vom Ministerium ausdrücklich nur als grobe Näherung ohne belastbare Fehlermarge bezeichnet werden.

Der Deutsche Bundestag setzte am 20. März 2014 den 1. Untersuchungsausschuss der 18. Wahlperiode ein, um Ausmaß und Hintergründe der Überwachung durch die Five-Eyes-Geheimdienste in Deutschland sowie die Rolle der deutschen Nachrichtendienste aufzuklären. Anlass waren die 2013 von Edward Snowden veröffentlichten Dokumente, die unter anderem das Abhören des Mobiltelefons von Bundeskanzlerin Angela Merkel durch die NSA belegten. Der Ausschuss tagte zwischen April 2014 und Juni 2017 in 134 Sitzungen, davon 66 öffentlich. Zentrales Ergebnis war die Aufdeckung der Operation Eikonal, einer gemeinsamen Kooperation von BND und NSA am Internetknoten DE-CIX in Frankfurt von 2004 bis 2008, bei der monatlich hunderte Millionen Metadaten erfasst wurden. Der BND identifizierte im Spätsommer 2013 in Bad Aibling rund 40.000 NSA-Selektoren, die auf europäische Regierungen und Unternehmen zielten und gegen deutsches Recht verstießen. Das Bundesverfassungsgericht entschied am 13. Oktober 2016, dass die Bundesregierung dem Ausschuss die vollständige NSA-Selektorenliste nicht vorlegen muss. Am 28. Juni 2017 übergab Ausschussvorsitzender Patrick Sensburg den 1.800 Seiten umfassenden Abschlussbericht an Bundestagspräsident Norbert Lammert.

Die genaue Gesamtzahl der unrechtmäßig erfassten Selektoren wird in verschiedenen Quellen uneinheitlich zwischen rund 40.000 und 459.000 angegeben, und ob einzelne Verantwortliche in BND oder Kanzleramt vorsätzlich handelten, blieb umstritten.

Am 24.10.2013 wurde bekannt, dass der US-Geheimdienst NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört haben soll. Grundlage war eine Recherche des Magazins Der Spiegel anhand von Dokumenten aus dem Fundus des Whistleblowers Edward Snowden. Demnach führte die zuständige NSA-Abteilung S2C32 Merkel bereits seit 2002 unter dem Decknamen GE Chancellor Merkel als Aufklärungsziel. Betroffen war ein von Merkel für CDU-interne Kommunikation genutztes Mobiltelefon, nicht ihr offizielles Diensthandy. Als Operationsbasis der NSA diente laut Bericht die US-Botschaft am Pariser Platz in Berlin. Noch am 24.10.2013 bestellte das Auswärtige Amt erstmals in der Geschichte der Bundesrepublik den US-Botschafter John B. Emerson ein. Merkel beschwerte sich telefonisch bei US-Präsident Barack Obama. Generalbundesanwalt Harald Range leitete 2014 ein Ermittlungsverfahren wegen des Verdachts geheimdienstlicher Agententätigkeit ein, stellte es aber am 12.06.2015 mangels gerichtsfest beweisbarer Fakten wieder ein.

Aus dieser Quelle nicht abschließend belegt ist, ob und wie lange Merkels Handy tatsächlich technisch abgehört wurde, da der Generalbundesanwalt das zugrunde liegende NSA-Dokument nie im Original erhalten konnte.

Am 05.03.1946 unterzeichneten Colonel Patrick Marr-Johnson für das britische London Signals Intelligence Board und Lieutenant General Hoyt Vandenberg für das US State-Army-Navy Communication Intelligence Board das UKUSA-Abkommen zur Zusammenarbeit bei der Signalaufklärung. Vorläufer war das am 17.05.1943 geschlossene BRUSA-Abkommen zwischen dem US-Kriegsministerium und der britischen Government Code and Cypher School. Das UKUSA-Abkommen regelte den Austausch von Ergebnissen aus Funkverkehrserfassung, Kryptoanalyse und Entschlüsselung zwischen den Nachrichtendiensten beider Staaten, später NSA und GCHQ. 1948 trat Kanada dem Abkommen bei, 1956 folgten Australien und Neuseeland, wodurch die als Five Eyes bekannte Allianz aus fünf Staaten entstand. Die Existenz des Abkommens blieb jahrzehntelang geheim und wurde erstmals 2005 öffentlich bestätigt. Der vollständige Text wurde am 25.06.2010 von den Regierungen Großbritanniens und der USA offiziell freigegeben.

Aus dieser Übersichtsquelle nicht belegt sind die genauen operativen Umfangszahlen der heutigen Datenerfassung; einzelne Sekundärquellen nennen für die formale Ratifizierung teils abweichend das Jahr 1947 statt 1946.

Am 15.03.2012 veröffentlichte der Journalist James Bamford im Magazin Wired einen Artikel über das Utah Data Center der NSA in Bluffdale, Utah, auf dem Gelände von Camp Williams der dortigen Nationalgarde. Der Baubeginn erfolgte am 06.01.2011, die Anlage kostete nach Bamfords Recherche rund 2 Milliarden US-Dollar und umfasste etwa eine Million Quadratfuß Gesamtfläche. Laut Artikel soll die Anlage sämtliche Formen von Kommunikation abfangen, entschlüsseln, analysieren und speichern können, darunter vollständige Inhalte privater E-Mails, Mobiltelefonate und Suchanfragen, die über Satelliten sowie unterseeische und unterirdische Glasfaserkabel geleitet werden. Bamford verband die Anlage mit dem nach den Anschlägen vom 11.09.2001 gestarteten Überwachungsprogramm Stellar Wind. Die NSA wies eine rechtswidrige Überwachung von US-Bürgern zurück. Die Fertigstellung, ursprünglich für September 2013 geplant, verzögerte sich durch wiederholte Stromausfälle um etwa ein Jahr bis Mai 2014.

Die tatsächliche Speicherkapazität der Anlage ist bis heute als Verschlusssache eingestuft; spätere Schätzungen auf Basis unklassifizierter Baupläne gehen von lediglich 3 bis 12 Exabyte aus, deutlich unter den in Bamfords Artikel diskutierten Yottabyte-Größenordnungen.