Quellen-Tabelle

Die niederländische Zertifizierungsstelle DigiNotar wurde im Sommer 2011 kompromittiert; laut der vom niederländischen Innenministerium beauftragten Untersuchung von Fox-IT (Operation Black Tulip) verschafften sich die Angreifer bereits ab Mitte Juni 2011 Zugriff auf die internen Systeme. Am 10.07.2011 stellten sie ein betrügerisches Wildcard-Zertifikat für *.google.com aus, DigiNotar entdeckte den Einbruch erst am 19.07.2011. Insgesamt wurden mindestens 531 betrügerische SSL-Zertifikate ausgestellt, unter anderem für Google, Skype, Microsoft und Mozilla. Öffentlich bekannt wurde der Vorfall am 29./30.08.2011. Fox-IT ermittelte, dass der Angriff auf etwa 300.000 iranische Gmail-Nutzer zielte, die per Man-in-the-Middle-Angriff über das gefälschte Google-Zertifikat abgehört werden sollten; registriert wurden Verbindungsversuche von 298.140 eindeutigen IP-Adressen, davon rund 95 Prozent aus dem Iran. Am 03.09.2011 übernahm die niederländische Regierung die operative Kontrolle über DigiNotar. Die Muttergesellschaft VASCO Data Security International meldete am 20.09.2011 die Insolvenz des Unternehmens an.

Nicht abschließend belegt ist, wer genau hinter dem Angriff stand; ein iranischer Staatsakteur wird vermutet, ist aber nicht gerichtsfest nachgewiesen. Ebenso ist nicht dokumentiert, wie viele der 298.140 registrierten Verbindungsversuche tatsächlich zu einer erfolgreichen Überwachung führten.

Am 15.03.2011 wurde das Konto einer Registrierungsstelle des Zertifizierungsdiensts Comodo in Südeuropa kompromittiert, über das ein Angreifer neun betrügerische SSL-Zertifikate für sieben Domains beantragte. Betroffen waren login.live.com, mail.google.com, www.google.com, login.yahoo.com in drei Varianten, login.skype.com sowie addons.mozilla.org. Comodo entdeckte den Missbrauch am selben Tag und widerrief die Zertifikate innerhalb weniger Stunden über Sperrlisten und OCSP. Der Angriff wurde bis zu einer IP-Adresse in Teheran im Iran zurückverfolgt. Ein einzelner Hacker, der sich als Iraner bezeichnete, bekannte sich später öffentlich zu der Tat und bestritt eine Verbindung zur iranischen Regierung. Comodo äußerte hingegen den Verdacht eines staatlich gelenkten Angriffs zur Überwachung iranischer Oppositioneller. Mozilla, Google und Microsoft aktualisierten daraufhin ihre Browser mit fest einprogrammierten Sperrlisten für die Seriennummern der betroffenen Zertifikate.

Die genaue Identität des Angreifers und eine tatsächliche Beteiligung der iranischen Regierung sind nicht zweifelsfrei belegt, da sich die Zuordnung im Wesentlichen auf eine IP-Adresse und das spätere Bekenntnis eines anonymen Hackers stützt.

Marriott International entdeckte am 8. September 2018 eine Datenschutzverletzung im Reservierungssystem der 2016 übernommenen Kette Starwood, verursacht durch eine seit 2014 unentdeckte Schadsoftware. Das Unternehmen informierte die Öffentlichkeit erst am 30. November 2018, zunächst mit der Angabe von bis zu 500 Millionen betroffenen Gästen, die im Januar 2019 auf rund 383 Millionen eindeutige Datensätze korrigiert wurde. Ein Aktionär, das Firemen's Retirement System of St. Louis, reichte daraufhin vor dem Delaware Court of Chancery eine Aktionärsklage gegen Vorstand und führende Manager von Marriott ein. Die Klage warf dem Board vor, vor der Starwood-Übernahme 2016 keine ausreichende Sorgfaltsprüfung der IT-Sicherheit durchgeführt und den Datenverstoß verzögert offengelegt zu haben. Vice Chancellor Lori W. Will wies die Klage am 5. Oktober 2021 vollständig ab. Als Begründung nannte das Gericht die Verjährung der Ansprüche zur Sorgfaltsprüfung vor der Akquisition sowie das Fehlen einer Aufsichtspflichtverletzung nach dem Caremark-Maßstab, da der Vorstand jährliche Berichte zu Cyberrisiken erhalten hatte. Eine gesonderte Sammelklage von Anlegern wurde ebenfalls abgewiesen, was der Fourth Circuit 2022 bestätigte.

Aus den ausgewerteten Quellen nicht abschließend belegt ist, ob einzelne Vorstandsmitglieder in Nebenverfahren dennoch finanziell in Anspruch genommen wurden, da die Aktionärsklage vollständig ohne Vergleich oder Schadensersatzzahlung abgewiesen wurde.

Bloomberg Businessweek veröffentlichte am 04.10.2018 unter dem Titel The Big Hack einen Bericht, wonach chinesische Akteure winzige, bleistiftspitzengroße Spionagechips in Mainboards des US-Herstellers Supermicro eingeschleust haben sollen. Laut dem Bericht wurden die Chips bei Zulieferern in China auf die Platinen aufgebracht und sollen rund 30 US-Unternehmen und Behörden betroffen haben, darunter Apple, Amazon, Banken, Cloud-Anbieter sowie das Pentagon und die CIA. Apple soll die Manipulation durch ungewöhnlichen Netzwerkverkehr entdeckt haben und tauschte 2016 nach Bloomberg-Angaben etwa 7.000 betroffene Server aus. Ein tatsächlicher Datenabfluss wurde in dem Bericht nicht belegt. Apple, Amazon und Supermicro dementierten den Bericht unmittelbar und wiederholt, Supermicros Aktienkurs brach nach der Veröffentlichung um mehr als 45 Prozent ein. Auch US-Behörden wie das Heimatschutzministerium, das FBI und die NSA erklärten öffentlich, keine Kenntnis von einem solchen Vorfall zu haben. Eine von Supermicro beauftragte externe Untersuchungsfirma teilte am 11.12.2018 mit, keine Beweise für bösartige Hardware gefunden zu haben. Bloomberg hat den Bericht bis heute nicht zurückgezogen und bekräftigte die Vorwürfe 2021 in einem Folgeartikel.

Bis heute liegen keine unabhängig verifizierten physischen Beweise für die behaupteten Spionagechips vor, die Zahl von rund 30 betroffenen Unternehmen sowie die Existenz der Chips selbst stützen sich ausschließlich auf anonyme Quellen Bloombergs und wurden von allen namentlich genannten Firmen und mehreren US-Behörden bestritten.

Der Bundestag beschloss am 20.05.2021 das Zweite Gesetz zur Änderung mautrechtlicher Vorschriften, mit dem erstmals eine Ausnahme von der bis dahin strikten Zweckbindung der Lkw-Mautdaten eingeführt wurde. Erfasste Kennzeichen und Positionsdaten aus der Mauterhebung dürfen seither auch zur Verfolgung von Kabotage-Verstößen genutzt werden. Der Bundesdatenschutzbeauftragte Ulrich Kelber kritisierte die Änderung öffentlich als Dammbruch und bezweifelte zudem die Eignung der Daten für diesen Zweck.

Nicht dokumentiert ist, in welchem Umfang die neue Ausnahme in der Praxis tatsächlich zur Kabotage-Verfolgung genutzt wurde. Die seit Jahren separat geführte politische Debatte um eine weitergehende Öffnung der Mautdaten für die Verfolgung schwerer Straftaten wie Mord ließ sich in den verfügbaren Quellen nicht als tatsächlich verabschiedete Gesetzesänderung von 2023/2024 bestätigen, sie blieb bislang Gegenstand von Forderungen einzelner Landesjustizminister.

Bei Protesten gegen einen Neonazi-Aufmarsch am 19. Februar 2011 in der Dresdner Südvorstadt ordnete das Amtsgericht Dresden eine Funkzellenabfrage an, durch die Hunderttausende Verkehrsdaten und Zehntausende Bestandsdaten von Demonstranten, Anwohnern, Journalisten und Anwälten erfasst wurden. Das Landgericht Dresden erklärte mit Beschluss vom 17.04.2013 die zugrunde liegende Anordnung des Amtsgerichts vom 25.02.2011 für rechtswidrig, weil sie nicht ausreichend begründet war und der strafprozessuale Bestimmtheitsgrundsatz verletzt wurde. Die erhobenen Daten mussten daraufhin gelöscht werden.

Offen bleibt die exakte Gesamtzahl der insgesamt betroffenen Personen, da mehrere separate Funkzellenabfragen zu unterschiedlichen Zeiten und Gebieten liefen und Quellen unterschiedliche Teilzahlen nennen. Das Landgericht prüfte nur formale Mängel der richterlichen Anordnung, keine inhaltliche Verhältnismäßigkeit der Maßnahme an sich. Nicht abschließend dokumentiert ist, ob die angeordnete Löschung der Daten bei allen beteiligten Behörden tatsächlich umgesetzt wurde.

Das BKA erwarb 2020 Lizenzen für die Spähsoftware Pegasus der israelischen NSO Group und bestätigte den Einsatz 2021 im Bundestag. Laut WDR und Tagesschau installierten Ermittler am 31. Oktober 2022 heimlich Staatstrojaner-Software auf dem Mobiltelefon von Heinrich XIII. Prinz Reuss im Ermittlungsverfahren gegen die mutmaßliche Reichsbürger-Terrorgruppe. Dabei wurden rund einen Monat lang Daten inklusive Telegram-Chats abgegriffen, die Gruppe wurde am 7. Dezember 2022 festgenommen.

Ob im Fall Reuss konkret die NSO-Software Pegasus oder eine andere Staatstrojaner-Variante zum Einsatz kam, hat das BKA nie bestätigt und lehnte eine Stellungnahme aus einsatztaktischen Gründen ab. Der Kaufvertrag mit NSO, die genauen Kosten und die vollständige rechtliche Grundlage der Maßnahme wurden trotz mehrerer Klagen von netzpolitik.org und einer Datenschutzbeschwerde der GFF bis heute nicht offengelegt.

FBI und CISA bestätigten in einer gemeinsamen Erklärung, dass die mutmaßlich chinesische Hackergruppe Salt Typhoon mehrere US-Telekommunikationsanbieter kompromittiert hat, darunter AT&T, Verizon und Lumen Technologies. Die Angreifer erlangten Zugriff auf Anrufmetadaten, auf gerichtlich angeordnete Abhörsysteme der Strafverfolgungsbehörden sowie auf private Kommunikation einzelner Regierungsvertreter und Politiker.

Genauer Umfang und Dauer des Angriffs blieben in der gemeinsamen Erklärung von FBI und CISA offen. Unklar blieb auch die tatsächliche Zahl der betroffenen Personen, Schätzungen reichten von rund 40 gezielten Zielen bis zu über tausend Betroffenen.

CISA, NSA und FBI bestätigten gemeinsam mit internationalen Partnern, dass die chinesische staatlich gesteuerte Gruppe Volt Typhoon seit mindestens 2021 in IT-Netzwerke kritischer US-Infrastruktur eingedrungen ist, darunter Kommunikation, Energie, Transport sowie Wasser und Abwasser. Die Gruppe nutzt fast ausschließlich bereits vorhandene Systemwerkzeuge und kompromittierte Router und VPN-Gateways von Herstellern wie Fortinet, Ivanti und Cisco, um sich als legitimer Administrationsverkehr zu tarnen. Laut Behörden diente der Zugriff der Vorbereitung auf mögliche disruptive Angriffe im Falle einer größeren Krise oder eines Konflikts mit den USA.

Offen bleibt, wie lange genau und in welchem Umfang Volt Typhoon in einzelnen konkreten Anlagen aktiv war, da die Behörden aus Sicherheitsgründen keine vollständige Liste betroffener Betreiber veröffentlichten. Nicht belegt ist, dass es tatsächlich zu einer Sabotage oder Störung von Stromnetz, Wasser- oder Transportsystemen kam. China bestreitet die Vorwürfe offiziell weiterhin, eine unabhängige gerichtliche Feststellung der Urheberschaft steht aus.

Der Microsoft-Entwickler Andres Freund entdeckte Ende März 2024 eine absichtlich eingebaute Hintertür in der Kompressionsbibliothek xz-Utils (liblzma), Versionen 5.6.0 und 5.6.1, weil ihm ungewöhnlich langsame SSH-Anmeldungen auffielen. Ein seit Jahren als vertrauenswürdiger Mitentwickler agierender Nutzer unter dem Pseudonym Jia Tan hatte den Schadcode eingeschleust, der laut CVE-2024-3094 (CVSS-Wert 10.0) eine Fernausführung von Code über OpenSSH ermöglichen sollte. Betroffen waren nur instabile Distributionsversionen und einzelne Paketquellen, stabile Debian-, Ubuntu- und Fedora-Releases blieben verschont.

Wer sich hinter dem Pseudonym Jia Tan tatsächlich verbirgt, ob Einzelperson, Gruppe oder staatlich gelenkter Akteur, ist öffentlich nicht bewiesen. Ebenso bleibt offen, ob die Hintertür vor ihrer zufälligen Entdeckung bereits aktiv ausgenutzt wurde und in welchem Umfang reale Systeme betroffen waren.

CrowdStrike verteilte am 19. Juli 2024 um 04:09 UTC ein fehlerhaftes Konfigurationsupdate für den Windows-Sensor seiner Falcon-Sicherheitssoftware, das durch einen Speicherzugriffsfehler massenhafte Systemabstürze mit Bluescreen auslöste. Betroffen waren Windows-Hosts mit Sensor-Version 7.11 oder neuer, die bis zur Rücknahme des Updates um 05:27 UTC online waren; Mac- und Linux-Systeme blieben verschont. Microsoft bezifferte die Zahl betroffener Windows-Geräte separat auf rund 8,5 Millionen, was weltweit Fluggesellschaften, Krankenhäuser und Banken lahmlegte.

CrowdStrikes eigener vorläufiger Bericht nennt selbst keine Gesamtzahl betroffener Geräte oder Unternehmen; die vielzitierte Zahl von 8,5 Millionen Geräten stammt von Microsoft, nicht von CrowdStrike. Der wirtschaftliche Gesamtschaden sowie mögliche Todesfälle im Zusammenhang mit ausgefallenen Krankenhaus- oder Notrufsystemen sind aus dieser Quelle nicht beziffert oder belegt.

Live Nation meldete der US-Börsenaufsicht SEC, am 20. Mai 2024 unautorisierten Zugriff auf eine Cloud-Datenbank beim Anbieter Snowflake festgestellt zu haben, betroffen war vor allem die Tochter Ticketmaster. Die Gruppe ShinyHunters bot ab Ende Mai 2024 im Darknet-Forum BreachForums Datensätze von angeblich bis zu 560 Millionen Ticketmaster-Kunden für 500.000 US-Dollar zum Verkauf an, laut Berichten inklusive Namen, Adressen, E-Mail-Adressen, Telefonnummern und teilweise Zahlungsdaten.

Die Zahl von 560 Millionen betroffenen Datensätzen stammt allein von den Erpressern und wurde von Live Nation nie unabhängig bestätigt, das Unternehmen sprach in seiner SEC-Meldung nur allgemein von möglicherweise betroffenen Kundendaten. Offen bleibt, wie viele der zum Verkauf angebotenen Datensätze tatsächlich aktuell und echt sind und ob vollständige Zahlungskartennummern statt nur Hash-Werten erbeutet wurden.

AT&T bestätigte am 12.07.2024 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC, dass Angreifer zwischen dem 14. und 25.04.2024 unbefugt auf einen AT&T-Arbeitsbereich bei einem Cloud-Anbieter zugriffen. Sie entwendeten Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 Millionen AT&T-Mobilfunkkunden aus dem Zeitraum Mai bis Oktober 2022 sowie vom 02.01.2023. Erfasst waren Telefonnummern, Kontakthäufigkeit, Gesprächsdauer und teils Mobilfunkmasten-Kennungen, laut AT&T aber keine Namen, Sozialversicherungsnummern oder Gesprächsinhalte.

Die SEC-Mitteilung selbst nennt nicht, wer hinter dem Angriff steckt oder ob die gestohlenen Daten inzwischen veröffentlicht wurden. Eine später von Journalisten berichtete Lösegeldzahlung von AT&T an die Gruppe ShinyHunters ist in der Pflichtmitteilung nicht erwähnt und stützt sich auf andere Quellen. Der genaue Zusammenhang mit dem umfassenderen Sicherheitsvorfall beim Cloud-Anbieter Snowflake bleibt in der AT&T-Mitteilung offen.

Die bayerische Datenschutzaufsicht BayLDA stellte nach einer seit April 2023 laufenden Untersuchung amtlich fest, dass die Worldcoin-Betreiberfirma Tools for Humanity Iris- und Gesichtsdaten teilweise ohne ausreichende Rechtsgrundlage verarbeitet hat. Die Behörde ordnete an, dass Nutzer ihre Iris-Daten uneingeschränkt löschen lassen können und Worldcoin künftig für bestimmte Verarbeitungsschritte eine ausdrückliche Einwilligung einholen muss. Die Entscheidung wurde im DSGVO-Kohärenzverfahren mit anderen europäischen Datenschutzbehörden abgestimmt.

Offen bleibt, ob und in welchem Umfang Worldcoin die angeordneten Löschungen der Iris-Daten tatsächlich vollständig umgesetzt hat. Das Unternehmen kündigte an, rechtlich gegen Teile der Entscheidung vorzugehen, sodass der endgültige juristische Ausgang zum Zeitpunkt der Veröffentlichung nicht feststand. Die BayLDA adressierte nur einzelne festgestellte Verstöße und traf keine abschließende Aussage zur generellen DSGVO-Konformität des gesamten Geschäftsmodells.

Sicherheitsforscher des CCC demonstrierten 2010, dass Angreifer per Schadsoftware auf dem PC die PIN-Eingabe am einfachen Basis-Lesegerät des neuen Personalausweises abfangen konnten, da dieses keine eigene Tastatur besitzt. Mit der abgefangenen PIN ließ sich der Ausweis fernsteuern und missbrauchen, solange er im Lesegerät verblieb. Das BSI bestätigte öffentlich die grundsätzliche technische Möglichkeit eines solchen Angriffs.

Offen blieb, wie realistisch der Angriff für durchschnittliche Kriminelle in der breiten Praxis war und wie viele Personen tatsächlich betroffen waren. Laut BSI blieben die eigentlichen persönlichen Daten verschlüsselt und für Angreifer nicht direkt einsehbar. Eine dokumentierte offizielle Stellungnahme des Bundesinnenministeriums zur Kritik des CCC liegt in den ausgewerteten Quellen nicht vor.

Die Sicherheitsforscher Martin Tschirsich und Bianca Kastl demonstrierten auf dem 38C3 des Chaos Computer Club im Dezember 2024 mehrere Schwachstellen der elektronischen Patientenakte (ePA) 3.0. Sie bestellten telefonisch in 10 bis 20 Minuten elektronische Gesundheitskarten auf fremde Namen, nutzten eine SQL-Injection-Schwachstelle in einem Kartenausgabeportal aus und zeigten, dass Arztpraxen bei ePA 3.0 keine PIN mehr benötigen, sodass der bloße Kartenbesitz für den Zugriff reichte. Laut heise online hätte ein kompromittierter Praxiszugang Zugriff auf bis zu 1.500 Patientenakten erlaubt, in Kombination mit weiteren Lücken theoretisch auf die Akten aller rund 70 Millionen gesetzlich Versicherten.

Aus dem Artikel geht nicht hervor, ob die gezeigten Angriffswege tatsächlich gegen echte Patientenakten eingesetzt wurden oder rein demonstrativ blieben. Der Betreiber Gematik stufte mindestens ein Angriffsszenario als in der Praxis wenig wahrscheinlich ein, eine unabhängige Bestätigung dieser Einschätzung liegt in dieser Quelle nicht vor. Ob und wann alle beschriebenen Lücken vollständig geschlossen wurden, lässt sich aus diesem Artikel allein nicht feststellen.

Französische und niederländische Ermittler infiltrierten und entschlüsselten ab April 2020 mit Unterstützung von Europol und Eurojust das verschlüsselte Kommunikationsnetz EncroChat, das vorrangig von organisierten Kriminellen genutzt wurde. Millionen Nachrichten wurden bis zum Abbruch der Überwachung am 13.06.2020 in Echtzeit mitgelesen. In den Niederlanden führte dies zu über 60 Festnahmen sowie Beschlagnahmungen von mehr als 10.000 kg Kokain, 1.500 kg Crystal Meth und rund 20 Millionen Euro Bargeld, weitere Festnahmen erfolgten unter anderem in Großbritannien, Schweden und Norwegen.

Die Pressemitteilung nennt für den Stichtag 02.07.2020 keine europaweite Gesamtzahl der Festnahmen und legt die genaue technische Methode der Entschlüsselung nicht offen. Offen bleibt zudem, wie viele der später vor Gericht verwendeten Beweise in einzelnen EU-Staaten rechtlich Bestand hatten, da dies je nach nationalem Recht unterschiedlich beurteilt wurde.

Belgische, französische und niederländische Ermittler entschlüsselten ab Februar 2021 mit Unterstützung von Europol und Eurojust den verschlüsselten Messengerdienst Sky ECC, der von organisierten Kriminellen genutzt wurde. Nach Eurojust-Angaben wurden rund 70.000 Nutzerkonten überwacht und täglich etwa 3 Millionen Nachrichten mitgelesen, was zur Aufdeckung von über hundert geplanten Großverbrechen führte. Am Aktionstag vom 9. März 2021 folgten zahlreiche Festnahmen und Durchsuchungen in Belgien und den Niederlanden.

Die genaue technische Methode der Entschlüsselung wurde von den Behörden nicht vollständig offengelegt. Die rechtliche Zulässigkeit der Beweismittel aus der Massenüberwachung wird in mehreren Staaten weiterhin vor Gericht angefochten, unter anderem in den USA. Die exakte Gesamtzahl aller im Rahmen der Operation weltweit entschlüsselten Nachrichten und Verurteilungen ist nicht abschließend dokumentiert.

Das FBI und internationale Partnerbehörden aus 16 Ländern, darunter Europol und die australische AFP, betrieben ab 2018 verdeckt den Kryptohandy-Dienst Anom, der bei Kriminellen als abhörsicher galt. Rund 12.000 Geräte wurden an etwa 300 kriminelle Gruppen weltweit verkauft. Bei der Bekanntgabe am 8. Juni 2021 meldeten die Behörden über 800 Festnahmen, mehr als 27 Millionen mitgelesene Nachrichten sowie Sicherstellungen von mehreren Tonnen Drogen, Hunderten Schusswaffen und rund 48 Millionen US-Dollar in bar.

Nicht vollständig offengelegt ist, wie die technische Verschlüsselungshintertür im Detail funktionierte und welche genaue Rolle die ursprüngliche Vertrauensperson bei der Entwicklung von Anom spielte. Offen bleibt zudem, wie viele der weltweiten Anom-Nutzer am Ende tatsächlich in nationalen Strafverfahren rechtskräftig verurteilt wurden.

Das LKA NRW hat mit SKALA (System zur Kriminalitätsauswertung und Lageantizipation) ein Predictive-Policing-System entwickelt, das raumbezogene Kriminalitätsdaten zu Wohnungseinbrüchen, Kfz-Delikten und Gewerbeobjekteinbrüchen auswertet. Nach einem mehrjährigen Pilotversuch in sechs Kreispolizeibehörden ist SKALA seit 2021 flächendeckend in allen Kreispolizeibehörden Nordrhein-Westfalens im Einsatz. Das LKA NRW informiert die Behörden wöchentlich über die vom System berechneten Risikogebiete.

Nicht belegt ist, in welchem Umfang SKALA tatsächlich zu weniger Einbrüchen geführt hat. Unabhängige Studien zu deutschen Predictive-Policing-Systemen attestieren allgemein einen fehlenden wissenschaftlichen Wirksamkeitsnachweis und kritisieren die mangelnde Transparenz der zugrunde liegenden Algorithmen. Offen bleibt zudem, ob die Risikoprognosen zu verstärkter Polizeikontrolle bestimmter Stadtteile und damit zu Verzerrungseffekten führen.

Die österreichische Datenschutzbehörde (DSB) entschied in einem am 13.01.2022 veröffentlichten Teilbescheid zu einer noyb-Musterbeschwerde, dass der Einsatz von Google Analytics auf einer österreichischen Website gegen Art. 44 DSGVO verstößt. Die Behörde stufte die von Google eingesetzten technischen Zusatzmaßnahmen als unwirksam gegen den Zugriff US-Geheimdienste ein und berief sich dabei auf das Schrems-II-Urteil des EuGH von 2020. Es war die erste von insgesamt 101 Musterbeschwerden, die noyb 2020 EU-weit gegen Websites mit Google Analytics eingereicht hatte.

Der Bescheid war zum Zeitpunkt der Berichterstattung nicht rechtskräftig, ein Bußgeld gegen den Website-Betreiber wurde nicht verhängt. Offen blieb, wie die DSB gegen Google LLC als Datenempfänger weiter vorgeht und welche praktischen Konsequenzen sich daraus für andere Website-Betreiber in Österreich und der EU ergeben.

Der Europäische Gerichtshof erklärte am 16. Juli 2020 im Fall C-311/18 (Data Protection Commissioner gegen Facebook Ireland und Maximillian Schrems) den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Grund war, dass US-Überwachungsgesetze keinen mit der EU vergleichbaren Schutz vor behördlichem Datenzugriff garantieren. Die Standardvertragsklauseln aus Beschluss 2010/87 blieben dagegen grundsätzlich gültig, sofern Unternehmen den Datenschutz im Zielland im Einzelfall prüfen.

Die Pressemitteilung des Gerichtshofs nennt keine Zahl der Unternehmen oder Nutzer, deren Datentransfers durch das Urteil unmittelbar betroffen waren. Offen bleibt auch, wie Unternehmen die geforderte Einzelfallprüfung der Standardvertragsklauseln in der Praxis konkret umsetzen sollten, das regelte erst spätere Aufsichtspraxis.

Das US-Finanzministerium (OFAC) sanktionierte am 8. August 2022 den Kryptowährungs-Mixer Tornado Cash und setzte 38 Ethereum- sowie 6 USDC-Wallet-Adressen auf die SDN-Liste. Laut OFAC wurden über den Dienst seit 2019 mehr als 7 Milliarden US-Dollar gewaschen, darunter über 455 Millionen US-Dollar durch die nordkoreanische Lazarus-Gruppe. Es war die erste OFAC-Sanktion gegen ein Software-Protokoll statt gegen eine Person oder Firma.

Ob OFAC dabei rechtmäßig handelte, war lange umstritten. Das Berufungsgericht des Fifth Circuit entschied im November 2024, dass die Smart Contracts kein sanktionierbares Eigentum seien, und OFAC hob die Sanktionen im März 2025 auf. Die strafrechtliche Verantwortung einzelner Entwickler wurde in separaten Gerichtsverfahren behandelt.

Am 4. und 5. April 2023 wurde der Darknet- und Clearweb-Marktplatz Genesis Market im Rahmen der international koordinierten Operation Cookie Monster abgeschaltet. Federführend waren FBI, Europol, Eurojust und die niederländische Polizei, unterstützt von Behörden aus 14 Ländern, mit mehr als 100 Festnahmen und über 200 Durchsuchungen bei Käufern der Plattform. Genesis Market verkaufte seit 2018 durch Malware gestohlene Zugangsdaten, Cookies und digitale Fingerabdrücke; zum Zeitpunkt der Abschaltung waren Daten von rund 460.000 infizierten Geräten im Angebot.

Genaue Opferzahlen und Schadenshöhe variieren stark je nach Quelle, andere Medienberichte nennen bis zu 1,5 Millionen Bot-Listings oder 2 Millionen betroffene Identitäten. Die Hauptbetreiber der Plattform wurden bislang nicht öffentlich namentlich identifiziert oder angeklagt. Der Ausgang der Verfahren gegen die festgenommenen Käufer ist nicht einzeln öffentlich nachvollziehbar.

Der EuGH (Große Kammer) entschied am 06.10.2020 in den verbundenen Rechtssachen C-511/18, C-512/18 und C-520/18, dass EU-Recht einer nationalen Regelung entgegensteht, die Anbieter elektronischer Kommunikationsdienste zu einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten verpflichtet. Zulässig bleiben demnach nur zeitlich befristete, auf bestimmte Personen oder geografische Gebiete beschränkte Speicherungen bei schwerer Kriminalität oder konkreten Bedrohungen der nationalen Sicherheit, sowie eine allgemeine Speicherung von IP-Adressen zur Bekämpfung schwerer Straftaten unter strengen Voraussetzungen.

Nicht Gegenstand dieser Pressemitteilung sind die konkrete Umsetzung durch Frankreich und Belgien in der Folgezeit sowie technische Detailfragen der Speicherfristen. Offen blieb zudem, wie einzelne Mitgliedstaaten wie Deutschland ihre eigene Vorratsdatenspeicherungsregelung anpassen mussten; dies wurde erst in Folgeurteilen wie SpaceNet und Telekom Deutschland vom 20.09.2022 konkretisiert.