Quellen-Tabelle

Das Oberlandesgericht Köln wies am 23.05.2025 einen Eilantrag der Verbraucherzentrale NRW gegen Meta Platforms Ireland ab, mit dem die Nutzung öffentlicher Facebook- und Instagram-Inhalte europäischer Nutzer zum Training des KI-Modells LLaMA gestoppt werden sollte. Das Gericht sah weder einen Verstoß gegen die DSGVO noch gegen den Digital Markets Act, da Meta sich auf ein berechtigtes Interesse stützen könne. Meta durfte die Datenverarbeitung deshalb ab dem 27.05.2025 wie geplant beginnen.

Der Beschluss erging nur im Eilverfahren; ein Hauptsacheverfahren zur endgültigen datenschutzrechtlichen Bewertung war zum Zeitpunkt der Quelle noch nicht abgeschlossen. Auch ein separates Dringlichkeitsverfahren des Hamburgischen Datenschutzbeauftragten lief parallel.

Ein Nutzer mit dem Pseudonym FreeSpeechEnthusiast veröffentlichte ab Anfang Januar 2023 über mehrere Wochen hinweg Teile des internen Twitter-Quellcodes und interner Tools auf GitHub. Twitter forderte am 24. März 2023 per DMCA-Meldung die Entfernung, GitHub löschte den Code noch am selben Tag. Twitter beantragte anschließend gerichtlich bei GitHub die Herausgabe von Nutzerdaten der Hochlader und Downloader.

Die tatsächliche Identität von FreeSpeechEnthusiast wurde nie öffentlich bekannt, ebenso wenig ob ein Insider oder Ex-Mitarbeiter verantwortlich war. Der genaue Umfang des zugänglichen Codes und ob sensible Nutzerdaten oder Sicherheitslücken konkret ausgenutzt wurden, blieb ungeklärt.

Am 25. Januar 2023 wurde auf einem Hackerforum ein 44,7 GB großes Datenpaket mit internem Yandex-Quellcode als Torrent veröffentlicht, das Code zu mehr als 13 Diensten enthielt, darunter Suche, Karten, Taxi, Mail und Cloud. Yandex bestätigte den Vorfall offiziell und erklärte, das Unternehmen sei nicht gehackt worden, sondern ein ehemaliger Mitarbeiter habe Fragmente eines internen Repositorys veröffentlicht.

Nicht öffentlich belegt ist, ob der geleakte Code der aktuell produktiv genutzten Version entspricht. Yandex erklärte, er unterscheide sich vom aktuellen Stand, während ein Sicherheitsforscher rund 90 Prozent Übereinstimmung schätzte. Offen bleiben zudem die genaue Identität des ehemaligen Mitarbeiters und ein etwaiges politisches Motiv.

Die EU-Kommission verhängte am 23. April 2025 gegen Apple ein Bußgeld von 500 Millionen Euro, weil das Unternehmen gegen die Anti-Steering-Pflichten des Digital Markets Act verstoßen hat. Apple erlaubte App-Entwicklern demnach nicht ausreichend, Nutzer im App Store auf günstigere Kaufoptionen außerhalb der Plattform hinzuweisen. Es handelt sich um die erste Bußgeldentscheidung der Kommission unter dem DMA, parallel wurde Meta mit 200 Millionen Euro belegt. Apple legte im Juli 2025 Rechtsmittel gegen die Entscheidung ein.

Offen ist der Ausgang von Apples Berufung vor dem Gericht der EU, das Verfahren war zum Zeitpunkt der Recherche noch nicht entschieden. Nicht dokumentiert sind interne Abwägungen bei Apple zur Preisgestaltung der App-Store-Gebühren.

Mehr als 300 Sicherheitsforscher sowie Organisationen wie Mozilla, die EFF, Cloudflare und die Linux Foundation warnten in offenen Briefen vor Artikel 45 der eIDAS-2.0-Verordnung. Die Vorschrift verpflichtet Webbrowser, von EU-Staaten benannte Zertifizierungsstellen für qualifizierte Website-Zertifikate (QWAC) anzuerkennen, ohne dass Browser diese bei Sicherheitsproblemen eigenständig entfernen können. Die Verordnung (EU) 2024/1183 trat am 20.05.2024 in Kraft, Artikel 45 blieb im finalen Text inhaltlich unverändert.

Ob die Klarstellung in Erwägungsgrund 32 die von Forschern befürchteten Risiken wie erzwungene Man-in-the-Middle-Zertifikate durch Mitgliedstaaten tatsächlich verhindert, war zum Zeitpunkt der Quelle nicht abschließend geklärt. Ein dokumentierter Fall, in dem ein EU-Staat ein QWAC bereits missbraucht hat, liegt nicht vor.

Am 08.11.2023 legte die Ransomware-Gruppe LockBit die IT-Systeme von ICBC Financial Services lahm, der US-Tochter der chinesischen Großbank ICBC. Die Angreifer nutzten eine Citrix-NetScaler-Schwachstelle aus, blockierten E-Mail-Zugänge und die Anbindung an die Clearingstelle DTCC, sodass zahlreiche Trades mit US-Staatsanleihen nicht fristgerecht abgewickelt werden konnten. Am 20.02.2024 bestätigte das US-Finanzministerium mit Sanktionen gegen zwei mutmaßliche LockBit-Mitglieder offiziell den Zusammenhang mit dem Angriff.

Ob und in welcher Höhe ICBC tatsächlich ein Lösegeld zahlte, ist offiziell nicht bestätigt, LockBit behauptete lediglich eine erfolgte Zahlung. Das genaue Ausmaß der Marktstörung bleibt umstritten, Analysen nennen einen Anstieg gescheiterter Trades auf rund 60 Milliarden US-Dollar.

Der Sicherheitsdienstleister RedHunt Labs entdeckte am 11.01.2024 ein seit dem 29.09.2023 in einem öffentlichen GitHub-Repository eines Mercedes-Benz-Mitarbeiters abgelegtes Zugriffstoken. Das Token gewährte unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server des Konzerns, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS, Datenbank-Verbindungszeichenketten und API-Schlüssel. Mercedes-Benz widerrief das Token am 24.01.2024 und bestätigte öffentlich, dass interner Quellcode durch menschliches Versagen frei zugänglich war.

Unklar bleibt, ob das rund vier Monate lang öffentlich einsehbare Token in dieser Zeit von Dritten gefunden oder missbraucht wurde. Mercedes-Benz erklärte, Kundendaten seien nach damaligem Kenntnisstand nicht betroffen, legte dazu aber keine überprüfbaren technischen Belege offen.

Western Digital bestätigte, dass am 26. März 2023 ein unbefugter Dritter in Firmensysteme eindrang, woraufhin der My-Cloud-Dienst und der Online-Shop tagelang abgeschaltet wurden. Das Unternehmen bestätigte, dass eine Kopie der Online-Shop-Datenbank mit Kundennamen, Adressen, E-Mail-Adressen und Teilen von Kreditkartennummern entwendet wurde. Die Ransomware-Gruppe ALPHV/BlackCat reklamierte den Angriff für sich und behauptete, rund 10 Terabyte an Daten erbeutet zu haben.

Der von den Angreifern behauptete Umfang von rund 10 Terabyte gestohlener Daten ist nicht unabhängig verifiziert, ebenso wenig eine tatsächliche Lösegeldzahlung. Western Digital bestätigte offiziell nur den Diebstahl der Online-Shop-Kundendatenbank.

Am 3. November 2022 reichten anonyme Programmierer beim US-Bezirksgericht in Nordkalifornien eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Sie werfen den Firmen vor, den KI-Assistenten Copilot mit Milliarden Zeilen öffentlichem Code trainiert und dabei Lizenzpflichten wie Namensnennung aus Open-Source-Lizenzen wie GPL und MIT verletzt zu haben. Am 22. Januar 2024 wies der zuständige Richter 20 von 22 Klagepunkten ab, ließ aber die Vertragsbruchklage und Teile der DMCA-Klage zu.

Ob Copilot tatsächlich urheberrechtlich geschützten Code unzulässig reproduziert und ob sich die Firmen erfolgreich auf Fair Use berufen können, ist gerichtlich bisher nicht entschieden. Das Verfahren läuft weiter, ein Endurteil oder Vergleich steht noch aus.

Der US Supreme Court entschied am 22. Juni 2018 mit 5 zu 4 Stimmen, dass der Zugriff von Ermittlungsbehörden auf historische Handystandortdaten (Cell Site Location Information) eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und daher grundsätzlich einen richterlichen Durchsuchungsbefehl erfordert. Grundlage war der Fall Timothy Carpenter, dessen Bewegungsprofil über 127 Tage mit rund 12.898 Standortpunkten ohne Durchsuchungsbefehl beim Mobilfunkanbieter angefordert worden war. Die Mehrheitsmeinung lehnte eine Anwendung der bisherigen Third Party Doctrine auf diese Datenkategorie ab.

Offen bleibt, wie die Regel auf andere Formen der Standort- oder Metadatenerhebung anzuwenden ist, etwa Echtzeit-Tracking, Kameranetzwerke oder Datensammlungen unter sieben Tagen. Das Urteil äußert sich ausdrücklich nicht zu Notfallsituationen, nationaler Sicherheit oder Echtzeitüberwachung.

Der US Supreme Court entschied am 25. Juni 2014 einstimmig im Fall Riley v. California (573 U.S. 373), dass die Polizei bei einer Festnahme grundsätzlich einen Durchsuchungsbefehl braucht, um die digitalen Inhalte eines beschlagnahmten Mobiltelefons zu durchsuchen. Auslöser war der Fall des Angeklagten David Riley, dessen Handy nach seiner Festnahme 2009 ohne Durchsuchungsbefehl ausgewertet wurde, wobei gefundene Daten ihn mit einer Schießerei und Gangaktivität in Verbindung brachten. Das Gericht stellte klar, dass die bisherige Ausnahme für Durchsuchungen bei Festnahmen wegen der riesigen Datenmenge auf modernen Smartphones nicht automatisch gilt.

Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.

Der US Supreme Court entschied am 23. Januar 2012 einstimmig im Fall United States v. Jones, dass das heimliche Anbringen eines GPS-Senders an einem Fahrzeug durch die Polizei und die anschließende Standortüberwachung eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellen. Ermittler hatten den Sender außerhalb der im Durchsuchungsbefehl erlaubten Frist angebracht und die Fahrzeugbewegungen 28 Tage lang aufgezeichnet, was über 2000 Seiten Standortdaten ergab.

Offen blieb im Mehrheitsvotum, ob auch eine rein elektronische Standortverfolgung ohne physisches Anbringen eines Geräts künftig einen Durchsuchungsbefehl erfordert. Nur die Sondervoten thematisierten Grenzen für die Dauer verdachtsunabhängiger Langzeitüberwachung, ohne dass die Mehrheit dazu eine verbindliche Regel aufstellte.

Der Court of Appeal entschied am 11. August 2020 im Fall R (Bridges) gegen Chief Constable of South Wales Police, dass der Einsatz automatisierter Gesichtserkennung (AFR Locate) durch die South Wales Police zwischen 2017 und 2019 rechtswidrig war. Das Gericht stellte einen Verstoß gegen Artikel 8 EMRK fest, weil die Rechtsgrundlage zu viel Ermessen bei Ort und Auswahl der Überwachten ließ. Zusätzlich fehlte eine ordnungsgemäße Datenschutz-Folgenabschätzung.

Offen blieb, ob der eingesetzte Algorithmus tatsächlich rassistisch oder geschlechtsspezifisch verzerrte Ergebnisse lieferte. Das Gericht bemängelte nur das Fehlen einer entsprechenden Prüfung, nicht einen nachgewiesenen Bias. Das Urteil erklärte Gesichtserkennung durch die Polizei nicht grundsätzlich für unzulässig.

Truist Bank bestätigte im Juni 2024 einen Cyberangriff, der bereits im Oktober 2023 stattgefunden hatte. Der Hacker Sp1d3r bot im Darknet Daten von rund 65.000 Truist-Mitarbeitern sowie Kundendaten wie Kontonummern und Transaktionsdetails zum Kauf an, zusammen mit dem Quellcode des telefonischen Überweisungssystems. Die Bank begann erst ab Mai 2024 mit der Benachrichtigung betroffener Kunden, rund sieben Monate nach dem eigentlichen Vorfall.

Wie viele Kunden neben den 65.000 Mitarbeitern konkret betroffen waren, wurde nicht abschließend beziffert. Ob die im Darknet angebotenen Daten tatsächlich verkauft oder für Betrug missbraucht wurden, ist nicht belegt.

Die US-Bank Evolve Bank & Trust bestätigte einen Ransomware-Angriff der Gruppe LockBit zwischen Februar und Mai 2024, ausgelöst durch einen Mitarbeiter, der auf einen schädlichen Link klickte. Die Täter erbeuteten Namen, Sozialversicherungsnummern, Kontodaten und Kontaktinformationen von Kunden der Bank sowie von Kunden ihrer Fintech-Partner. Nach der Weigerung, Lösegeld zu zahlen, veröffentlichte LockBit die Daten.

Die Angaben zur Gesamtzahl der Betroffenen schwanken je nach Quelle zwischen 7,6 Millionen und rund 18 Millionen Personen. Ein Vergleich über rund 11,85 Millionen US-Dollar wurde im Dezember 2025 gerichtlich final bestätigt. Nicht öffentlich dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für Identitätsdiebstahl missbraucht wurden.

LexisNexis Risk Solutions bestätigte, dass ein Unbekannter am 25.12.2024 über ein kompromittiertes Konto auf GitHub Zugriff auf Softwareartefakte und personenbezogene Daten von 364.333 Menschen erlangte. Betroffen waren Namen, Kontaktdaten, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten; LNRS entdeckte den Vorfall erst am 01.04.2025 und informierte die Betroffenen ab dem 24./28.05.2025.

Die Identität des Angreifers sowie der genaue Weg, wie das GitHub-Konto kompromittiert wurde, blieben ungeklärt. Offen blieb zudem, ob und in welchem Umfang die entwendeten Daten tatsächlich für Identitätsdiebstahl oder Betrug missbraucht wurden.

Santander bestätigte am 14. Mai 2024 offiziell den unbefugten Zugriff auf eine bei einem Drittanbieter gehostete Datenbank, die Teil der breiteren Snowflake-Angriffswelle war. Betroffen waren Kundendaten aus Spanien, Chile und Uruguay sowie Daten aller aktuellen und einiger ehemaliger Mitarbeiter der Gruppe weltweit. Laut Santander enthielt die Datenbank keine Transaktionsdaten und keine Zugangsdaten wie Online-Banking-Passwörter.

Die genaue Zahl der betroffenen Kunden und Mitarbeiter sowie der vollständige Umfang der gestohlenen Datenfelder wurden von Santander nicht abschließend beziffert, Medienschätzungen reichten bis zu rund 30 Millionen Kundendatensätzen. Offen blieb zudem, ob und in welcher Höhe Regulierungsbehörden Bußgelder verhängten.

Advance Auto Parts meldete im Juli 2024 einen Datendiebstahl aus seiner Snowflake-Cloud-Umgebung, der zwischen dem 14. April und 24. Mai 2024 stattfand. Betroffen waren die persönlichen Daten von rund 2,3 Millionen aktuellen und ehemaligen Bewerbern und Mitarbeitern, darunter Namen, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten. Der Angriff war Teil einer größeren Kampagne gegen über 160 Snowflake-Kunden, darunter Ticketmaster und Santander.

Unklar bleibt die Bewertung einer zusätzlich kursierenden Hacker-Behauptung, wonach eine Datenbank mit 380 Millionen Kundendatensätzen existiere. Das Unternehmen erklärte lediglich, die Angaben zu prüfen. Auch die genaue Identität der Angreifer wurde nie abschließend gerichtsfest geklärt.

Am 15. Oktober 2022 brach ein Brand im Batterieraum des SK-C&C-Rechenzentrums in Pangyo bei Seoul aus, wodurch die Stromversorgung ausfiel und alle dort gehosteten Server offline gingen. Betroffen waren zahlreiche Kakao-Dienste wie der Messenger KakaoTalk, Kakao T, Kakao Map, Kakao Bank sowie das Portal Daum, wobei zentrale Chatfunktionen erst nach über zehn Stunden wieder liefen. Kakao-Co-CEO Nam-goong Whon trat infolge der öffentlichen Kritik zurück, und der Vorfall führte in Südkorea zur Verabschiedung von Gesetzesänderungen für georedundante Backups.

Die genaue technische Ursache des Brandausbruchs im Batterieraum wurde in den gesichteten Berichten nicht abschließend geklärt. Angaben zur exakten Gesamtdauer bis zur vollständigen Wiederherstellung aller Einzeldienste schwanken zwischen den Quellen.

Nach Recherchen der Zeitung Estadão lagen monatelang Zugangsdaten zur zentralen Gesundheitsdatenbank SUS Base64-codiert im öffentlich einsehbaren Quellcode der Website des brasilianischen Gesundheitsministeriums. Dadurch waren persönliche und medizinische Daten von rund 243 Millionen Menschen, darunter auch Verstorbene, frei zugänglich, inklusive Namen, Adressen, Telefonnummern und Gesundheitsdaten.

Aus den Berichten geht nicht hervor, ob und in welchem Umfang Dritte die offenliegenden Zugangsdaten tatsächlich zum Abruf der Datenbank genutzt haben. Auch bleibt unklar, ob eine Behörde ein Bußgeld verhängte oder wer konkret für die fehlerhafte Programmierung verantwortlich gemacht wurde.

Am 22.09.2017 teilte Transport for London mit, dass die Betriebslizenz von Uber London Limited nach Ablauf nicht verlängert wird, weil das Unternehmen nicht als geeignet gilt. TfL nannte vier Gründe: den Umgang mit der Meldung schwerer Straftaten von Fahrern, die Art der Beschaffung ärztlicher Bescheinigungen und Führungszeugnisse sowie den Einsatz der Software Greyball, mit der Behördenmitarbeitern der volle App-Zugriff verwehrt werden konnte.

TfL bezifferte keine konkrete Zahl betroffener Fahrer oder Fahrgäste und stützte die Entscheidung auf Unternehmensverhalten, nicht auf einen einzelnen nachgewiesenen Datenschutzvorfall. Am 26.06.2018 erteilte das Westminster Magistrates' Court Uber unter Auflagen eine befristete neue Lizenz, sodass der ursprüngliche Entzug nicht dauerhaft wirksam wurde.

Der US Supreme Court entschied am 11. Juni 2001 mit 5 zu 4 Stimmen im Fall Kyllo gegen USA, dass der Einsatz einer Wärmebildkamera durch Bundesagenten am Wohnhaus eines Verdächtigen ohne Durchsuchungsbefehl eine unzulässige Durchsuchung im Sinne des vierten Verfassungszusatzes darstellte. Das Wärmebild diente als Grundlage für einen späteren Durchsuchungsbefehl, bei dem eine Marihuana-Plantage im Haus gefunden wurde. Die Mehrheitsmeinung stellte den Grundsatz auf, dass der Einsatz nicht allgemein verbreiteter Technologie zur Erfassung von Details eines Privathauses einen Durchsuchungsbefehl erfordert.

Nicht Gegenstand des Urteils war, ob die Polizei auch ohne die Wärmebilddaten ausreichenden Tatverdacht gehabt hätte. Offen blieb zudem, wie der Maßstab der nicht allgemein verbreiteten Technologie bei künftigen technischen Entwicklungen anzuwenden ist.

Am 26. Mai 2020 berichtete die Threat-Intelligence-Firma Cyble, dass ein Datensatz mit 47,5 Millionen Nutzerdatensätzen der Anrufer-Identifizierungs-App Truecaller aus Indien in einem Darknet-Forum für rund 1000 US-Dollar zum Verkauf angeboten wurde. Die Daten enthielten Telefonnummer, Mobilfunkanbieter, Name, Geschlecht, Stadt und E-Mail-Adresse. Truecaller bestritt eine Kompromittierung der eigenen Datenbank und erklärte, bereits im Mai 2019 von einem vergleichbaren Datensatz erfahren zu haben.

Ob die Daten tatsächlich aus einem direkten technischen Einbruch in Truecaller-Systeme stammen oder aus anderen Quellen zusammengetragen wurden, ist nicht abschließend geklärt. Truecaller bestreitet bis heute jede Sicherheitsverletzung der eigenen Datenbank.

Im Verfahren In re Facebook Biometric Information Privacy Litigation genehmigte das Gericht am 26.02.2021 einen Vergleich über 650 Millionen US-Dollar. Grundlage war der Vorwurf, Facebooks Funktion Tag Suggestions habe per Gesichtserkennung biometrische Gesichtsdaten von Nutzern in Illinois gespeichert, ohne die vom Illinois Biometric Information Privacy Act (BIPA) vorgeschriebene schriftliche Einwilligung einzuholen. Rund 1,6 Millionen Facebook-Nutzer aus Illinois waren anspruchsberechtigt und erhielten mindestens 345 US-Dollar pro Person, es handelte sich um den bis dahin höchsten Vergleichsbetrag in einem Datenschutzverfahren in den USA.

Aus den Quellen geht nicht hervor, dass Facebook im Vergleich ein Fehlverhalten eingeräumt hat, das Unternehmen bestritt die Vorwürfe weiterhin. Nicht abschließend belegt ist, wie viele der 1,6 Millionen Berechtigten tatsächlich einen Antrag stellten, Berichten zufolge lag die Abrufquote bei etwa 22 Prozent.

Im Juni 2024 einigte sich Clearview AI mit den Klägern der Sammelklage In re Clearview AI Consumer Privacy Litigation auf einen Vergleich, wonach die Klassenmitglieder statt einer Geldzahlung einen Anteil von 23 Prozent an Clearview AI erhalten sollten, damals mit rund 51,75 Millionen US-Dollar bewertet. Die zuständige US-Bezirksrichterin bestätigte den Vergleich am 20.03.2025 endgültig. Am 13.07.2026 hob das US-Berufungsgericht für den Siebten Bezirk die Genehmigung wieder auf, weil für die bundesweite Klasse kein eigener Klassenvertreter mitgewirkt hatte.

Offen bleibt, ob und wann ein neuer Vergleich mit separater Vertretung der bundesweiten Klasse zustande kommt und welchen tatsächlichen Geldwert die Klassenmitglieder am Ende erhalten, da der Wert weiterhin an einen ungewissen Börsengang oder Verkauf von Clearview AI gebunden wäre.