Quellen-Tabelle

Das Citizen Lab dokumentierte forensisch mindestens 65 Personen aus dem katalanischen Unabhängigkeitsumfeld, die zwischen 2017 und 2020 mit der Pegasus-Software von NSO Group oder mit Candiru-Spyware angegriffen oder infiziert wurden. Darunter waren der ehemalige Präsident Carles Puigdemont, weitere Politiker, Anwälte und Aktivisten. Amnesty Internationals Security Lab bestätigte die forensische Methodik unabhängig bei vier Betroffenen.

Citizen Lab spricht nur von starken Indizien für eine Verantwortung spanischer Behörden, nennt aber keine abschließende offizielle Zuschreibung an eine konkrete Stelle. Offen bleibt zudem, wie die abgegriffenen Daten tatsächlich verwendet wurden, und die reale Opferzahl könnte wegen eingeschränkter Android-Forensik höher liegen als die bestätigten Fälle.

Ein Athener Gericht verurteilte am 26. Februar 2026 vier Verantwortliche der Spyware-Firma Intellexa, darunter Firmengründer Tal Dilian, wegen unbefugten Zugriffs auf Kommunikationssysteme und Verletzung des Kommunikationsgeheimnisses mittels der Predator-Software. Der zugrunde liegende Skandal wurde 2022 bekannt, als der Journalist Thanasis Koukakis und der Oppositionspolitiker Nikos Androulakis als Überwachungsziele identifiziert wurden. Laut Gericht waren Dutzende Personen betroffen, darunter Journalisten, Politiker und Geschäftsleute; es handelt sich um die ersten Verurteilungen in diesem Fall.

Wer die Überwachung tatsächlich anordnete und wer sie politisch verantwortete, blieb strafrechtlich ungeklärt. Griechische Staatsanwälte entlasteten 2024 Regierungsstellen und staatliche Amtsträger, obwohl laut HRW dokumentierte Hinweise auf deren Beteiligung vorlagen. Die Verurteilten legten Berufung ein, die verhängten Haftstrafen sind bis zur endgültigen Entscheidung ausgesetzt.

Der baden-württembergische Landesbeauftragte für Datenschutz Stefan Brink leitete im Dezember 2022 das weltweit erste Bußgeldverfahren gegen die Gesichtssuchmaschine PimEyes ein. Er wirft dem Unternehmen vor, mit seinem Geschäftsmodell gegen die DSGVO zu verstoßen, da Fotos ohne ausdrückliche Einwilligung der abgebildeten Personen zur biometrischen Identifizierung verarbeitet werden. Als mögliche Strafe stand eine Geldbuße von bis zu 20 Millionen Euro beziehungsweise 4 Prozent des Jahresumsatzes im Raum.

Ob und in welcher Höhe am Ende tatsächlich ein Bußgeld verhängt wurde, geht aus den verfügbaren Quellen nicht hervor. Offen bleibt auch, wie die Durchsetzung gegen das im Ausland ansässige Unternehmen rechtlich und praktisch gelingen sollte. Spätere Berichte zeigen zudem, dass eine parallele Beschwerde bei der Hamburger Datenschutzbehörde trotz festgestellter Rechtswidrigkeit jahrelang folgenlos blieb.

Die Investigativplattform 404 Media wertete im Mai 2025 Audit-Protokolle von Flock Safety aus und fand mehr als 4.000 landesweite Kennzeichen-Suchanfragen lokaler und bundesstaatlicher Polizeibehörden mit dem angegebenen Suchgrund ICE, ICE+ERO, ICE WARRANT oder illegal immigration. Flocks automatisiertes Kennzeichenerfassungsnetzwerk ist in mehr als 5.000 US-Gemeinden aktiv, ICE selbst hat keinen offiziellen Vertrag mit Flock. Alle ausgewerteten Suchanfragen mit dem Grund immigration erfolgten erst nach Trumps Amtsantritt im Januar 2025.

Nicht belegt ist, ob die einzelnen Polizeibehörden diese Suchen bewusst im Auftrag von ICE und im Rahmen geltender Gesetze durchführten oder ob es sich um unautorisierte Umgehungen lokaler Vorschriften handelte. Offen bleibt zudem, wie viele der über 4.000 Abfragen tatsächlich zu Festnahmen oder Abschiebungen führten.

Die italienische Datenschutzbehörde Garante verhängte am 9. März 2022 ein Bußgeld von 20 Millionen Euro gegen das US-Unternehmen Clearview AI. Clearview AI hatte über 10 Milliarden Gesichtsbilder per Web Scraping gesammelt und daraus biometrische Profile erstellt, auch von Personen in Italien, ohne angemessene Rechtsgrundlage. Der Garante ordnete zusätzlich die Löschung der Daten italienischer Betroffener an, untersagte die weitere Datenerhebung und verpflichtete das Unternehmen zur Benennung eines EU-Vertreters.

Offen bleibt, ob und in welcher Höhe Clearview AI das Bußgeld tatsächlich gezahlt hat, da das Unternehmen keinen Sitz in der EU hat und die grenzüberschreitende Durchsetzbarkeit unklar ist. Nicht öffentlich dokumentiert ist der genaue Umfang der betroffenen italienischen Nutzerdaten sowie ob die angeordnete Löschung vollständig umgesetzt wurde.

Der US Supreme Court bestätigte am 17.01.2025 einstimmig per curiam den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA), der im April 2024 von Präsident Biden unterzeichnet wurde. Das Gesetz verpflichtet den chinesischen ByteDance-Konzern, TikTok bis zum 19.01.2025 zu verkaufen, andernfalls drohen US-Anbietern Verbote von Vertrieb, Hosting und Updates der App. Das Gericht stufte das Gesetz als inhaltsneutral ein und begründete es mit dem staatlichen Interesse, den Zugriff einer als feindlich eingestuften Auslandsmacht auf die Nutzerdaten von Millionen Amerikanern zu verhindern.

Offen blieb im Urteil, ob und in welchem Umfang China tatsächlich TikTok-Nutzerdaten abgegriffen hat; das Gericht stützte sich auf die abstrakte Gefahr durch die Kontrollmöglichkeit von ByteDance, nicht auf einen nachgewiesenen konkreten Datenmissbrauch. Ebenfalls nicht Teil der gerichtlichen Feststellung war der genaue weitere wirtschaftliche und politische Ausgang des Falls.

Die Europäische Kommission stellte am 10. Juli 2023 per Angemessenheitsbeschluss fest, dass die USA im Rahmen des Data Privacy Framework ein der EU vergleichbares Datenschutzniveau bieten. Grundlage ist eine US-Exekutivverordnung, die den Zugriff von Geheimdiensten auf Daten aus der EU auf das notwendige und verhältnismäßige Maß begrenzen soll, sowie ein neu geschaffenes Rechtsbehelfsgremium namens Data Protection Review Court. Auf dieser Basis dürfen EU-Unternehmen wieder personenbezogene Daten an selbstzertifizierte US-Unternehmen übermitteln.

Nicht belegt ist, ob der Data Protection Review Court in der Praxis wirksamen Rechtsschutz bietet, da Betroffene dort keine Akteneinsicht erhalten und Entscheidungen nicht öffentlich begründet werden. Die Datenschutzorganisation noyb um Max Schrems kündigte bereits vor Inkrafttreten eine gerichtliche Anfechtung an. Eine erste Klage vor dem Gericht der EU wurde 2024 abgewiesen, ob eine weitere Prüfung durch den EuGH das Abkommen kippt, war zum Zeitpunkt der Recherche noch offen.

The Guardian und das ICIJ-Konsortium mit mehr als 40 Medienpartnern veröffentlichten am 10. Juli 2022 die Uber Files, rund 124.000 interne Dokumente aus den Jahren 2013 bis 2017. Quelle des Leaks war der frühere Uber-Cheflobbyist für Europa, den Nahen Osten und Afrika, Mark MacGann. Belegt sind geheime Treffen mit Spitzenpolitikern in Dutzenden Ländern sowie ein technischer Kill-Switch, mit dem Uber-Mitarbeiter Behörden bei Razzien gezielt den Zugriff auf Firmendaten blockierten.

Die genaue Gesamtzahl der Dokumente und der betroffenen Länder wird in verschiedenen Berichten leicht unterschiedlich beziffert. Offen bleibt, ob und in welchem Umfang einzelne Manager oder beteiligte Amtsträger strafrechtliche Konsequenzen aus den Enthüllungen trugen. Uber räumte Fehler der früheren Führung vor 2017 ein, bestritt aber eine Fortsetzung dieser Praktiken unter dem seitdem neuen Management.

Am 6. Juli 2015 wurden rund 400 Gigabyte interne Daten der italienischen Überwachungssoftware-Firma Hacking Team veröffentlicht, nachdem Unbekannte den Twitter-Account des Unternehmens gekapert und in Hacked Team umbenannt hatten. Der Leak umfasste E-Mails, Quellcode der Spähsoftware Remote Control System, interne Handbücher sowie Rechnungen an Kunden im Gesamtwert von über 4 Millionen Euro. Als Kunden identifiziert wurden unter anderem Ägypten, Saudi-Arabien, Sudan, Äthiopien sowie deutsche Behörden wie BKA und Verfassungsschutz.

Wer hinter dem Angriff steckte, wurde nie offiziell festgestellt. Der Angreifer hinterließ lediglich den Hinweis Since we have nothing to hide, ohne sich zu identifizieren. Ob es sich um dieselbe Person handelte, die zuvor den Spyware-Hersteller FinFisher angriff, blieb reine Spekulation.

Die Münchner FinFisher-Firmengruppe meldete im Februar 2022 Insolvenz an und entließ alle 22 Mitarbeiter, nachdem die Staatsanwaltschaft München Ende 2021 einen Vermögensarrest gegen die Konten erlassen hatte. Grundlage war eine Strafanzeige von netzpolitik.org, der Gesellschaft für Freiheitsrechte, Reporter ohne Grenzen und dem ECCHR von Juli 2019 wegen mutmaßlich illegaler Exporte der Spähsoftware FinSpy ohne die seit 2015 erforderliche Genehmigung, unter anderem in die Türkei. Ende 2020 durchsuchte die Staatsanwaltschaft 15 Geschäftsräume und Privatwohnungen im Zuge der Ermittlungen.

Ob es tatsächlich zu einer Anklage oder Verurteilung kam, ist durch diese Quelle nicht belegt; der Abschluss der Ermittlungen war zum Berichtszeitpunkt nicht absehbar. Ebenfalls nicht dokumentiert sind eine Stellungnahme der Geschäftsführung zu den Vorwürfen sowie der genaue Umfang der Exporte in weitere genannte Länder wie Ägypten und Myanmar.

Durch eine Anfrage nach dem Public-Records-Recht deckte die EFF E-Mails auf, in denen die Polizei von Los Angeles (LAPD) im Sommer 2020 gezielt Ring-Nutzer um Videoaufnahmen von Black-Lives-Matter-Protesten bat. Eine Anfrage der eigens gebildeten Task Force Safe L.A. vom 1. Juni 2020 brachte innerhalb von zwei Stunden Filmmaterial. Die Anfragen liefen über das Polizei-Portal von Rings Neighbors-App, ohne dass ein richterlicher Beschluss vorlag.

Wegen umfangreicher Schwärzungen von Daten, Uhrzeiten und Tatvorwürfen in den herausgegebenen Dokumenten konnte die EFF nicht abschließend feststellen, wie viele Anfragen tatsächlich gezielt Proteste betrafen und wie viel Videomaterial die LAPD insgesamt erhielt. Auch die genaue rechtliche Begründung der Polizei für einzelne Anfragen bleibt offen.

Das Büro des Attorney General von Arizona einigte sich am 04.10.2022 mit Google auf eine Zahlung von 85 Millionen US-Dollar zur Beilegung einer im Mai 2020 eingereichten Klage. Die Klage warf Google vor, Standortdaten von Android-Nutzern über Funktionen wie Web & App-Aktivität weiter zu sammeln und für Werbung zu nutzen, selbst wenn Nutzer die Einstellung Standortverlauf deaktiviert hatten, und dafür irreführende Bedienoberflächen einzusetzen. Auslöser der Ermittlung war eine AP-Recherche vom August 2018.

Nicht belegt durch diese Quelle ist, wie viele einzelne Nutzer in Arizona konkret betroffen waren oder welchen genauen wirtschaftlichen Vorteil Google aus den weitergesammelten Daten zog. Offen bleibt außerdem das Verhältnis zum separaten Vergleich Googles mit 40 US-Bundesstaaten über 391,5 Millionen US-Dollar vom November 2022, der denselben Sachverhalt betraf.

Der Staatsrat der Volksrepublik China veröffentlichte am 14.06.2014 die Planungsübersicht zum Aufbau eines Sozialkreditsystems für den Zeitraum 2014 bis 2020. Das Dokument benennt vier Säulen: Integrität der Regierungsführung, Integrität im Handel, gesellschaftliche Integrität und Vertrauenswürdigkeit der Justiz. Es schreibt branchenweite Schwarze Listen, Marktausschlussmechanismen, ressortübergreifende gemeinsame Belohnungs- und Bestrafungsverfahren sowie einheitliche Kreditkodierungen für natürliche und juristische Personen vor.

Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.

Human Rights Watch hat zusammen mit der Berliner Sicherheitsfirma Cure53 eine Version der Polizei-App der Integrated Joint Operations Platform (IJOP) aus Xinjiang reverse engineered. Die App fordert Beamte auf, umfangreiche persönliche Daten der Bevölkerung zu erfassen, darunter Bewegungsprofile, Fahrzeug- und Telefondaten, Bankinformationen, Familienbeziehungen sowie die Nutzung von VPNs und Messenger-Apps. Als verdächtig eingestufte Personen werden von der App automatisch an die Behörden gemeldet.

Wie die zentrale IJOP-Plattform im Detail mit weiteren landesweiten Überwachungssystemen verknüpft ist und nach welchen genauen Kriterien die Verdachtsalgorithmen entscheiden, bleibt laut Human Rights Watch eine Black Box. Auch vollständige Angaben zu Speicherung, Weitergabe und Löschung der gesammelten Daten sowie der aktuelle technische Stand der App nach 2018 sind nicht öffentlich dokumentiert.

Am 16. Februar 2024 wurden auf GitHub hunderte interne Dokumente der chinesischen Sicherheitsfirma I-Soon (auch bekannt als Anxun) veröffentlicht, darunter Verträge, Chatprotokolle, Zielkataloge und Produktbeschreibungen für Hacking-Werkzeuge. Die Dokumente zeigen eine Zusammenarbeit mit chinesischen Behörden wie dem Ministerium für öffentliche Sicherheit sowie Angriffe auf Regierungsstellen und Organisationen in mindestens 14 Ländern, darunter Indien, Malaysia, Taiwan und Hongkonger Demokratiegruppen. BBC, NHK und die Nachrichtenagentur AP bestätigten die Echtheit der Dokumente unter anderem durch Gespräche mit zwei I-Soon-Mitarbeitern.

Wer die Dokumente leakte und aus welchem Motiv, ist bis heute nicht geklärt. Das vollständige Ausmaß der gestohlenen Daten und die Identität der meisten konkreten Opfer wurden nicht offengelegt. Die chinesische Regierung bestritt eine Verwicklung, eine unabhängige gerichtliche oder behördliche Bestätigung außerhalb Chinas liegt nicht vor.

Der Chaos Computer Club deckte Ende 2024 zusammen mit dem SPIEGEL auf, dass Bewegungs- und Standortdaten von rund 800.000 Elektrofahrzeugen der VW-Konzernmarken VW, Audi, Skoda und Seat/Cupra über Monate ungeschützt in einer Amazon-Cloud der VW-Softwaretochter Cariad zugänglich waren. Für etwa 460.000 Fahrzeuge waren die Standortdaten so präzise, teils bis auf 10 Zentimeter genau, dass sich Bewegungsprofile und Lebensgewohnheiten der Halter ableiten ließen. Cariad bestätigte die Panne als Fehlkonfiguration und schloss die Sicherheitslücke nach der Meldung durch den CCC innerhalb weniger Stunden.

Nicht dokumentiert ist, ob tatsächlich Dritte außer dem CCC auf die Daten zugegriffen haben. VW erklärte lediglich, es gebe dafür keine Anhaltspunkte, was sich nicht unabhängig verifizieren lässt. Offen bleibt zudem, seit wann genau die Daten ungeschützt online standen und wie die ursprüngliche anonyme Hinweisgeberquelle die Lücke fand.

Die US-Börsenaufsicht SEC stellte fest, dass Yahoos Sicherheitsteam bereits kurz nach dem Angriff im Dezember 2014 wusste, dass mutmaßlich russische Hacker Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, verschlüsselte Passwörter und Sicherheitsfragen von mindestens 108 Millionen Konten gestohlen hatten, vermutlich sogar aus der gesamten Nutzerdatenbank mit mehreren Milliarden Einträgen. Yahoo verschwieg den Vorfall fast zwei Jahre lang gegenüber Investoren in seinen Pflichtmitteilungen. Die Nachfolgegesellschaft Altaba Inc. zahlte dafür im April 2018 eine SEC-Strafe von 35 Millionen US-Dollar, die erste Sanktion dieser Art wegen unterlassener Offenlegung eines Datenlecks.

Die oft zitierte Zahl von insgesamt 3 Milliarden betroffenen Konten stammt aus einer separaten Unternehmensmitteilung von Yahoo bzw. Verizon aus dem Jahr 2017 und wird in dieser SEC-Anordnung selbst nicht beziffert. Die SEC-Order behandelt vor allem die Offenlegungspflichten gegenüber Anlegern, nicht aber das konkrete Ausmaß des Schadens für einzelne betroffene Nutzer oder die vollständige Identität der Angreifer.

Ende Juni 2021 bot ein Nutzer mit dem Pseudonym TomLiner in einem Darknet-Forum einen Datensatz mit persönlichen Daten von rund 700 Millionen LinkedIn-Accounts zum Kauf an, was mehr als 90 Prozent aller LinkedIn-Nutzer entspricht. Ein von heise Security geprüftes Sample enthielt vollständige Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen, Standortdaten sowie LinkedIn-Profilinformationen. LinkedIn bestätigte, dass keine Passwörter betroffen waren, und erklärte, es handle sich um durch Scraping öffentlich einsehbarer Profildaten kombiniert mit Daten aus anderen Quellen, nicht um einen internen Einbruch in seine Systeme.

Nicht belegt ist, wie der Verkäufer eigentlich nicht öffentliche Daten wie Telefonnummern und private E-Mail-Adressen erlangte, wenn LinkedIn zugleich behauptet, es handle sich nur um öffentlich einsehbare Informationen. Offen bleibt auch, ob tatsächlich alle 700 Millionen Datensätze echt sind, da nur eine Stichprobe von rund einer Million Einträgen verifiziert wurde. Die wahre Identität von TomLiner ist bis heute nicht bekannt.

Am 4. Januar 2023 wurden im Hackerforum Breached E-Mail-Adressen und Profildaten von angeblich über 200 Millionen Twitter-Konten veröffentlicht, laut Have I Been Pwned rund 211,5 Millionen einzigartige Adressen. BleepingComputer und Sicherheitsforscher bestätigten die Echtheit vieler Adressen im Datensatz. Als ursprüngliche Quelle gilt eine Twitter-API-Schwachstelle, die von Juni 2021 bis Januar 2022 aktiv war und die Zuordnung von E-Mail-Adressen oder Telefonnummern zu Twitter-Konten erlaubte.

Twitter bestritt öffentlich, dass der 200-Millionen-Datensatz aus einer Kompromittierung eigener Systeme oder der bekannten API-Schwachstelle stamme, und erklärte, es handle sich um bereits anderweitig öffentlich verfügbare Daten. Eine unabhängige, abschließende Klärung der genauen Herkunft und der tatsächlichen Zahl einzigartig betroffener Nutzer steht bis heute aus.

Die britische Datenschutzbehörde ICO verhängte am 23. Mai 2022 ein Bußgeld von 7.552.800 Pfund gegen Clearview AI Inc. Laut ICO hatte das Unternehmen mehr als 20 Milliarden Gesichtsbilder aus dem Internet und sozialen Medien gesammelt, ohne Wissen oder Einwilligung der Betroffenen, und daraus eine durchsuchbare Gesichtserkennungsdatenbank für Kunden wie Polizeibehörden aufgebaut. Die ICO ordnete zusätzlich an, dass Clearview die Daten britischer Bürger löscht und keine weiteren Daten von UK-Bürgern mehr sammelt.

Das First-tier Tribunal hob das Bußgeld im Oktober 2023 auf, da es die Zuständigkeit der ICO für ein US-Unternehmen ohne UK-Geschäftstätigkeit bezweifelte. Im Oktober 2025 gab das Upper Tribunal der ICO in drei von vier Berufungspunkten recht, eine endgültige rechtskräftige Klärung des Falls steht aber weiterhin aus. Offen bleibt zudem, in welchem Umfang die ursprünglich angeordnete Löschung der Daten britischer Nutzer tatsächlich durchgesetzt wurde.

Die US-Einwanderungsbehörde ICE beauftragte Palantir Technologies im April 2025 mit einem rund 30 Millionen US-Dollar schweren Vertrag zum Aufbau des Systems ImmigrationOS, das Identifizierung, Priorisierung, Festnahme und Abschiebung ausreisepflichtiger Personen effizienter gestalten soll. Das System bündelt Daten aus Behörden, kommerziellen Datenhändlern für Standortdaten sowie den Analysewerkzeugen Webloc und Tangles des Zulieferers Penlink. Im Januar 2026 vergab ICE den Anschlussvertrag zur Weiterentwicklung des zugrunde liegenden Fallmanagementsystems ICM exklusiv an Palantir.

Ob die von der ICE-Rechtsabteilung vertretene Position, wonach für den Zugriff auf gekaufte Standortdaten kein richterlicher Beschluss nötig sei, vor Gericht Bestand hätte, ist rechtlich umstritten und aus dieser Quelle nicht abschließend geklärt. Ob vergleichbare Penlink-Werkzeuge auch in Deutschland eingesetzt werden, ließ die Bundesregierung unter Verweis auf die nationale Sicherheit offen.

Das Bundeskriminalamt stellte im Projekt EGES (Ertüchtigung des Gesichtserkennungssystems im BKA) bis 2019 rund 5 Millionen Fotos von etwa 3 Millionen Personen aus der zentralen INPOL-Datenbank bereit, um damit kommerzielle Gesichtserkennungssoftware zu testen. Die Tests führte das Fraunhofer-Institut für Graphische Datenverarbeitung durch, ergänzt um Bilder von 147 freiwilligen Testpersonen. Der Bundesbeauftragte für den Datenschutz bewertete die vom BKA angeführte Rechtsgrundlage als unzureichend und die Berufung auf den Forschungsparagrafen des BKA-Gesetzes als problematisch.

Ob die getesteten Softwareprodukte oder Hersteller anschließend tatsächlich beschafft und im Wirkbetrieb eingesetzt wurden, ist aus dieser Quelle nicht belegt. Trotz monatelanger Verhandlungen kam laut Bericht keine Einigung zwischen BKA und Datenschutzbeauftragtem über die Rechtmäßigkeit zustande, das Verfahren blieb offen.

Die irische Datenschutzbehörde DPC reichte am 8. August 2024 erstmals unter Section 134 des Data Protection Act 2018 eine Eilklage beim High Court gegen X ein, weil öffentliche Posts von EU/EWR-Nutzern ohne ausreichende Rechtsgrundlage zum Training der KI Grok verwendet wurden. Twitter International Unlimited Company gab eine dauerhafte Verpflichtungserklärung ab, Daten aus dem Zeitraum 7. Mai bis 1. August 2024 zu löschen und nicht mehr zu verarbeiten, woraufhin das Verfahren am 4. September 2024 eingestellt wurde.

Weder die DPC noch das Gericht haben eine konkrete Zahl betroffener EU-Nutzer oder verarbeiteter Posts genannt. Offen bleibt zudem, ob und in welchem Umfang die bereits vor dem 7. Mai 2024 gesammelten Daten tatsächlich in das Grok-Modell eingeflossen sind, da es zu keiner inhaltlichen gerichtlichen Feststellung einer DSGVO-Verletzung kam, sondern nur zu einer außergerichtlichen Unterwerfungserklärung von X.

Die US-Bundesbehörde TSA hat am 13.01.2025 per finaler Regel festgelegt, dass ab dem 07.05.2025 an US-Flughafenkontrollen nur noch REAL-ID-konforme Führerscheine oder Ausweise beziehungsweise alternative Dokumente wie Reisepässe akzeptiert werden. Das REAL ID Act wurde bereits 2005 nach Empfehlungen der 9/11-Kommission verabschiedet und legt bundesweite Mindeststandards für die Ausstellung von Ausweisdokumenten fest.

Offen bleibt, ob Reisende ohne konformen Ausweis komplett von Flügen ausgeschlossen werden oder nur zusätzliche Kontrollen und Verzögerungen erfahren. Spätere Aussagen der Heimatschutzministerin deuteten auf Kulanz mit Zusatzprüfung hin. Die Pressemitteilung nennt keine verpflichtende biometrische Gesichtserkennung als Bestandteil der Kontrolle selbst, sondern nur höhere Dokumentensicherheitsstandards bei der Ausstellung durch die Bundesstaaten.

Dokumentiert ist, dass die TSA seit 2018 an inzwischen rund 25 bis knapp 30 US-Flughäfen Gesichtserkennung zur Identitätsprüfung testet (CAT-2-System des Anbieters Idemia) und eine Ausweitung auf bis zu 430 Flughäfen plant. Mehrere US-Senatoren brachten deshalb am 29.11.2023 den Traveler Privacy Protection Act (S. 3361) ein, der das Programm stoppen, die Löschung gespeicherter Gesichtsdaten erzwingen und eine künftige Nutzung an eine ausdrückliche Zustimmung des Kongresses binden soll. Die TSA bestätigt, dass die Teilnahme freiwillig ist und Reisende der Gesichtserkennung widersprechen können.

Offen bleibt, wie viele Reisende die Opt-out-Möglichkeit tatsächlich kennen oder nutzen, da Senator Merkley der TSA vorwarf, diese Option am Checkpoint nicht klar zu kommunizieren. Nicht abschließend belegt ist zudem, ob die von der NIST dokumentierten höheren Fehlerraten bei nicht-weißen Reisenden in der TSA-Praxis konkret zu Fehlidentifikationen geführt haben, und der Gesetzentwurf wurde im Kongress bislang nicht verabschiedet.