Quellen-Tabelle

Ein internes Werbedokument der SCL Group, Muttergesellschaft von Cambridge Analytica, wurde am 29.03.2018 vom Whistleblower Christopher Wylie an einen Ausschuss des britischen Unterhauses übergeben. Darin beschreibt SCL die eigene Arbeit für die nigerianische Regierung bei der Wahl 2007, unter anderem organisierte Antiwahl-Kundgebungen zur Wählerabschreckung in Oppositionshochburgen. Internationale Wahlbeobachter bewerteten die Wahl 2007 als eine der schlechtesten je beobachteten.

Nicht dokumentiert ist, in welchem Umfang die von SCL beschriebenen Taktiken tatsächlich zum Wahlausgang 2007 beitrugen. Das zentrale Beweisstück ist eine unternehmenseigene Werbebroschüre, die die eigene Wirksamkeit möglicherweise überzeichnet. Eine unabhängige Verifikation durch Dritte liegt nicht vor.

Die NYDFS verhängte am 07.07.2020 eine Strafe von 150 Millionen US-Dollar gegen die Deutsche Bank wegen Compliance-Versäumnissen im Zusammenhang mit drei ehemaligen Kunden, darunter die estnische Niederlassung der Danske Bank. Die Deutsche Bank stufte Danske Estonia zwar mit höchster Risikokategorie ein, ergriff aber trotz interner Hinweise keine ausreichenden Maßnahmen, um zu verhindern, dass Milliarden Dollar verdächtiger Transaktionen über ihre New Yorker Konten flossen.

Die exakte Summe der über die Deutsche Bank abgewickelten verdächtigen Transaktionen wird in der NYDFS-Mitteilung nicht beziffert. Offen bleibt, in welchem Umfang einzelne Mitarbeiter vorsätzlich handelten oder es sich um systemische Kontrolldefizite handelte, da die Konsequenz eine zivilrechtliche Aufsichtsstrafe ohne strafrechtliche Anklage war.

Volkswagen erklärte sich am 28.06.2016 bereit, bis zu 14,7 Milliarden US-Dollar zu zahlen, um Vorwürfe wegen manipulierter Abgastests bei rund 500.000 Dieselfahrzeugen beizulegen. VW hatte eine Software eingebaut, die den Prüfstandstest erkannte und nur dann die volle Abgasreinigung aktivierte. Im Januar 2017 bekannte sich VW zusätzlich in einem Strafverfahren schuldig und zahlte weitere 4,3 Milliarden Dollar. Der ehemalige VW-Manager Oliver Schmidt wurde am 06.12.2017 zu sieben Jahren Haft verurteilt.

Nicht öffentlich dokumentiert ist, wer innerhalb der VW-Konzernspitze in Wolfsburg wann genau von der Manipulation wusste, die eigentliche Konzernführung wurde strafrechtlich nicht zur Verantwortung gezogen. Die Gesamtzahl weltweit betroffener Fahrzeuge von rund 11 Millionen stammt aus VW-eigenen Angaben, nicht unabhängig verifiziert.

Im Oktober 2020 wurde die finnische Psychotherapie-Praxiskette Vastaamo gehackt, wobei vertrauliche Behandlungsnotizen von rund 30.000 Patienten entwendet wurden. Der Täter, später als Julius Kivimäki identifiziert, forderte zunächst rund 400.000 bis 450.000 Euro von Vastaamo. Als das Unternehmen nicht zahlte, verschickte er individuelle Erpressungs-E-Mails an tausende Patienten mit Forderungen von jeweils rund 200 Euro und veröffentlichte einen Teil der Daten dennoch. Kivimäki wurde im April 2024 zu sechs Jahren und drei Monaten Haft verurteilt.

Die Zahl der tatsächlich betroffenen Patienten schwankt zwischen rund 22.000 und über 30.000 und ist nicht abschließend amtlich bestätigt. Unklar bleibt, wie viele Patienten tatsächlich Lösegeld zahlten. Der von Medien berichtete Zusammenhang mit mindestens einem Suizid ist medial kolportiert, aber nicht gerichtlich als Kausalzusammenhang festgestellt worden.

Die belgische Bank Crelan, Tochtergesellschaft der Crédit-Agricole-Gruppe, verlor durch einen Business-Email-Compromise-Betrug rund 70 Millionen Euro. Täter gaben sich per E-Mail als Geschäftsführung aus und wiesen einen Mitarbeiter der Finanzabteilung an, eine Zahlung an ein von ihnen kontrolliertes Konto zu veranlassen. Der Betrug wurde durch interne Revision aufgedeckt, nachdem das Geld bereits überwiesen worden war.

Nicht dokumentiert ist, welche Personen konkret hinter dem Betrug standen und ob Täter je identifiziert oder verurteilt wurden. Die genaue technische Vorgehensweise ist in den verfügbaren Quellen nicht abschließend geklärt. Die Schadenssumme wird uneinheitlich zwischen 70 Millionen Euro und rund 75,8 Millionen US-Dollar angegeben.

Eine europäische Tochtergesellschaft von Toyota Boshoku verlor am 14.08.2019 durch einen Business-Email-Compromise-Angriff rund 4 Milliarden Yen, umgerechnet etwa 37,47 Millionen US-Dollar. Ein Mitarbeiter wurde per gefälschter E-Mail-Anweisung dazu gebracht, eine vermeintliche Lieferantenrechnung an ein von den Tätern kontrolliertes Konto zu überweisen. Toyota Boshoku bestätigte den Vorfall, leitete eine Untersuchung ein und schaltete lokale Behörden ein.

Nicht öffentlich dokumentiert sind der genaue technische Ablauf des Angriffs sowie der Name der konkret betroffenen europäischen Tochtergesellschaft. Unklar bleibt, wie viel des Geldes letztlich zurückgeholt werden konnte und ob täterseitig jemand identifiziert wurde.

Die japanische Bitcoin-Börse Mt. Gox stoppte im Februar 2014 alle Kundenabhebungen und meldete am 28.02.2014 in Tokio Insolvenz an, nachdem 850.000 Bitcoin von Kunden aus ihren Wallets verschwunden waren, damals rund 473 Millionen US-Dollar wert. 2021 genehmigte das Bezirksgericht Tokio einen Plan zur zivilen Rehabilitation für rund 24.000 Gläubiger. Die tatsächlichen Auszahlungen begannen am 05.07.2024, wobei viele Gläubiger wegen des gestiegenen Bitcoin-Kurses in US-Dollar mehr erhielten als sie 2014 verloren hatten.

Nicht abschließend geklärt ist, wie genau die 850.000 Bitcoin verschwanden, es kursieren mehrere Erklärungen von Hackerangriff bis technischem Missmanagement. Von den ursprünglich verlorenen Coins wurden später etwa 200.000 wiedergefunden, der Verbleib des Rests bleibt ungeklärt. Der ursprünglich für Oktober 2024 angesetzte Abschluss der Rückzahlungen wurde mehrfach verschoben, zuletzt auf Oktober 2026.

Am 21.11.2023 bekannte sich Binance Holdings Limited vor einem US-Bundesgericht in drei Anklagepunkten schuldig, darunter Verstoß gegen den Bank Secrecy Act. Das Unternehmen einigte sich auf Zahlungen von über 4,3 Milliarden US-Dollar. Gründer und CEO Changpeng Zhao bekannte sich ebenfalls persönlich schuldig und trat zurück. Laut DOJ ermöglichte Binance über fünf Jahre Transaktionen von Nutzern aus sanktionierten Ländern mit Verbindungen zu Hamas und dem Islamischen Staat, Gesamtvolumen fast eine Milliarde US-Dollar.

Der exakte Gesamtbetrag der finanziellen Belastung ist nicht abschließend geklärt, da neben der DOJ-Zahlung zusätzliche Summen an FinCEN und OFAC vereinbart wurden. Die Zahl von fast einer Milliarde Dollar an Transaktionen mit Bezug zu sanktionierten Akteuren stammt aus der DOJ-Darstellung, nicht aus einem unabhängigen Gerichtsurteil.

Am 15.06.2002 sprach eine Jury in Houston die Wirtschaftsprüfungsgesellschaft Arthur Andersen der Behinderung der Justiz schuldig, weil Mitarbeiter im Herbst 2001 systematisch Dokumente zur Enron-Prüfung vernichtet hatten. Enron hatte durch Zweckgesellschaften Verluste außerhalb der Bilanz verborgen und meldete am 02.12.2001 Insolvenz an, damals die größte Unternehmensinsolvenz der US-Geschichte. Infolge der Verurteilung durfte Andersen ab dem 31.08.2002 nicht mehr vor der SEC praktizieren und stellte den Geschäftsbetrieb ein, rund 85.000 Arbeitsplätze weltweit waren betroffen.

Der Oberste Gerichtshof hob das Urteil gegen Arthur Andersen 2005 wegen fehlerhafter Jury-Anweisungen wieder auf, ohne dass es zu einer erneuten Verfolgung kam, da die Firma bereits nicht mehr existierte. Unklar bleibt, in welchem Umfang einzelne Andersen-Partner außerhalb von Houston von der Aktenvernichtung wussten.

Am 18.02.2019 erließ die BaFin ein Verbot von Netto-Leerverkaufspositionen in Wirecard-Aktien bis zum 18.04.2019. Die Maßnahme folgte auf Financial-Times-Berichte vom 30.01.2019 über mögliche Bilanzmanipulationen bei einer Wirecard-Tochter in Singapur. Die Münchner Staatsanwaltschaft ermittelte zudem wegen Marktmanipulation gegen die FT-Journalisten und gegen Leerverkaufshändler. Sechzehn Monate später meldete Wirecard Insolvenz an, nachdem 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht auffindbar waren.

Die gegen die FT-Journalisten eingeleiteten Ermittlungen wurden später eingestellt, ohne dass eine Straftat nachgewiesen wurde. Umstritten und Gegenstand eines späteren Bundestags-Untersuchungsausschusses blieb, ob die BaFin durch Verbot und Anzeigen berechtigte Kritik unterdrückte. Feste Schadensersatzsummen gegenüber der BaFin wurden von deutschen Gerichten in mehreren Verfahren abgelehnt.

Seit dem Jahreswechsel 2022/2023 kam es bei Postbank und DSL Bank, beides Marken der Deutschen Bank, zu erheblichen Beeinträchtigungen infolge einer IT-Migration von rund vier Millionen Kundenverträgen. Betroffen waren Online-Banking, telefonische Erreichbarkeit sowie die Bearbeitung von Pfändungs- und Nachlassangelegenheiten. Die BaFin bestellte am 29.09.2023 einen Sonderbeauftragten zur Überwachung der Behebung der Serviceeinschränkungen. Besonders schwerwiegend waren laut BaFin die Auswirkungen auf Pfändungsschutzkonten.

Die eigentliche technische IT-Migration erfolgte erst zum Jahreswechsel 2022/2023, nicht 2018/2019 wie teils kolportiert, obwohl die rechtliche Fusion von Postbank und Deutsche-Bank-Privatkundensparte bereits 2018 stattfand. Offen bleiben die genaue Zahl betroffener Kunden und der Zeitpunkt, zu dem die BaFin die Serviceeinschränkungen als vollständig behoben ansah.

Die Generalstaatsanwaltschaft Frankfurt erhob am 20.08.2026 Anklage gegen vier ehemalige Commerzbank-Mitarbeiter wegen mutmaßlicher Cum-Ex-Geschäfte aus dem Jahr 2008, mit einem Steuerschaden von mehr als 20 Millionen Euro. Es ist die siebte Anklage der Frankfurter Generalstaatsanwaltschaft im Cum-Ex-Komplex, der derzeit zehn weitere Fallkomplexe mit 39 Beschuldigten untersucht. Bereits 2017 durchsuchten Ermittler die Commerzbank-Zentrale wegen des Verdachts der Steuerhinterziehung mit einem damaligen mutmaßlichen Schaden von rund 40 Millionen Euro.

Nicht dokumentiert ist, ob die Commerzbank als Institution selbst strafrechtlich belangt wird, die Anklage richtet sich ausschließlich gegen vier ehemalige Mitarbeiter persönlich. Unklar bleibt das Verhältnis zwischen dem 2017 genannten Schaden von rund 40 Millionen Euro und dem aktuellen Betrag von über 20 Millionen Euro. Der Ausgang des Gerichtsverfahrens ist offen, da bislang nur eine Anklage vorliegt.

Am 07.07.2020 verhängte die NYDFS gegen die Deutsche Bank eine Geldbuße von insgesamt 150 Millionen US-Dollar wegen Verstößen im Zusammenhang mit den Geschäftsbeziehungen zu Danske Banks Estland-Filiale, zu Jeffrey Epstein und zur FBME Bank, davon 75 Millionen US-Dollar auf die Beziehung zu Epstein. Die Bank hatte Epstein trotz Einstufung als Hochrisikokunde von August 2013 bis Dezember 2018 als Kunden geführt, ohne die verstärkte Sorgfaltsprüfung angemessen auf sein Risikoprofil zuzuschneiden. Der Beschluss dokumentiert zahlreiche verdächtige Überweisungen Epsteins an mutmaßliche Mitverschwörer.

Der Beschluss betrifft ausschließlich aufsichtsrechtliche Sorgfaltspflichtverletzungen, keine strafrechtliche Verantwortung von Deutsche-Bank-Mitarbeitern. Offen bleibt, welche konkreten internen Entscheidungsträger die Kundenbeziehung trotz bekannter Vorstrafe Epsteins genehmigten. Ob mit den transferierten Geldern tatsächlich weiterer Menschenhandel finanziert wurde, ist nicht abschließend gerichtlich festgestellt.

JPMorgan Chase erklärte sich am 12.06.2023 bereit, 290 Millionen Dollar zur Beilegung einer Sammelklage von rund 200 mutmaßlichen Opfern von Jeffrey Epstein zu zahlen. Die Kläger warfen der Bank vor, trotz interner Warnsignale über Jahre Konten für Epstein geführt und dessen Menschenhandel ermöglicht zu haben. Ein US-Bezirksrichter bestätigte den Vergleich im November 2023 endgültig. Zusätzlich zahlte JPMorgan im September 2023 75 Millionen Dollar an die US-Jungferninseln.

Nicht bewiesen ist, dass JPMorgan wissentlich am Menschenhandel Epsteins beteiligt war. Die Bank hat in keinem der Vergleiche ein Fehlverhalten eingeräumt. Offen bleibt, welche internen Mitarbeiter genau über Epsteins Aktivitäten informiert waren und ob es strafrechtliche Konsequenzen für einzelne Manager geben wird.

Die FTC gab im Oktober 2018 einem erweiterten Vergleich mit Uber statt, nachdem Uber eine im November 2016 erfolgte Datenpanne mehr als ein Jahr verschwiegen hatte, während die Behörde bereits eine Untersuchung führte. Betroffen waren mehr als 25 Millionen Namen und E-Mail-Adressen sowie 600.000 Führerscheinnummern US-amerikanischer Fahrer. Uber zahlte den Angreifern über sein Bug-Bounty-Programm 100.000 US-Dollar. Der finale Beschluss verpflichtet Uber zu einem 20-jährigen Datenschutzprogramm mit regelmäßigen unabhängigen Prüfungen.

Nicht Teil dieser FTC-Entscheidung ist der separate Strafprozess gegen den ehemaligen Uber-Sicherheitschef Joseph Sullivan, der 2022 gesondert mit einem Schuldspruch endete. Offen bleibt, in welchem Umfang die vorgeschriebenen Prüfungen seit 2018 tatsächlich durchgeführt und veröffentlicht wurden.

Im Juli 2019 wurde bekannt, dass die ehemalige AWS-Mitarbeiterin Paige Thompson durch Ausnutzung einer Server-Side-Request-Forgery-Schwachstelle in einer fehlkonfigurierten Firewall in die Cloud-Infrastruktur von Capital One eindrang. Betroffen waren Daten von mehr als 100 Millionen Kunden, darunter mehr als 100.000 Sozialversicherungsnummern. Thompson wurde am 20.06.2022 wegen Drahtbetrugs und fünffacher unbefugter Zugriffe schuldig gesprochen, aber von Identitätsdiebstahl freigesprochen. Capital One musste 80 Millionen US-Dollar Bußgeld sowie 190 Millionen US-Dollar für Vergleiche zahlen.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Am 24.05.2008 wurde bekannt, dass die Deutsche Telekom in den Jahren 2005 und 2006 Telefonverbindungsdaten von mindestens 55 Personen abgleichen ließ, um undichte Stellen im Unternehmen zu identifizieren. Betroffen waren Aufsichtsräte, ein Vorstandsmitglied, Gewerkschaftsfunktionäre wie Ver.di-Chef Frank Bsirske sowie mehrere Journalisten, insgesamt rund 60 Personen. Die Staatsanwaltschaft Bonn ermittelte gegen acht Beschuldigte. Das Landgericht Bonn verurteilte den ehemaligen Sicherheitsverantwortlichen am 30.11.2010 zu dreieinhalb Jahren Haft wegen Betrugs, Untreue und Verletzung des Fernmeldegeheimnisses.

Unklar bleibt, in welchem Umfang neben Telefonverbindungsdaten auch Bankdaten ausgewertet wurden und ob Bewegungsprofile erstellt wurden, hierzu liegen nur Verdachtsmomente vor. Offen bleibt zudem, wer konkret die Anweisung zur Überwachung erteilt hat und wie weit die Kenntnis in der damaligen Unternehmensspitze reichte.

Symantec begann am 13.07.2010 mit der Analyse der Schadsoftware W32.Stuxnet und veröffentlichte im Februar 2011 das vollständige Stuxnet-Dossier. Die Malware zielte gezielt auf Siemens-Step7-Industriesteuerungssysteme ab, wie sie in der iranischen Urananreicherungsanlage Natanz eingesetzt wurden. Da die Steuerungssysteme nicht mit dem Internet verbunden waren, verbreitete sich Stuxnet über infizierte USB-Wechseldatenträger. Laut Analysen des Institute for Science and International Security wurden Ende 2009 oder Anfang 2010 rund 1.000 IR-1-Zentrifugen in Natanz ausgetauscht, ein Ausfall über der normalen Ausfallrate.

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Citizen Lab wies im Oktober 2018 nach, dass das Smartphone des saudischen Dissidenten Omar Abdulaziz mit der Pegasus-Spyware der NSO Group infiziert war. Abdulaziz, ein enger Vertrauter des Journalisten Jamal Khashoggi, tauschte mit diesem WhatsApp-Nachrichten über gemeinsame Aktivismus-Pläne aus. Die Infektion wurde Monate vor Khashoggis Ermordung am 02.10.2018 im saudischen Konsulat in Istanbul festgestellt. Spätere forensische Analysen ergaben zudem Hinweise auf eine Kompromittierung des Telefons von Khashoggis Verlobter Hatice Cengiz.

Nicht abschließend dokumentiert ist, ob die abgefangenen Nachrichten tatsächlich direkt zur Planung der Ermordung durch saudische Agenten beitrugen, dieser Zusammenhang wird als plausibel dargestellt, aber nicht mit Beweisdokumenten der saudischen Seite belegt. NSO Group bestreitet eine direkte Verantwortung für den Missbrauch durch Kunden wie Saudi-Arabien.

Citizen Lab teilte dem griechischen Journalisten Thanasis Koukakis im März 2022 mit, dass sein Telefon vom 12.07. bis 24.09.2021 mit der Spyware Predator überwacht worden war, entwickelt von der nordmazedonischen Firma Cytrox. Im Juli 2022 wurde bekannt, dass auch Nikos Androulakis, Vorsitzender der Oppositionspartei PASOK-KINAL, im September 2021 mit demselben Infektionslink angegriffen wurde. Die griechische Regierung wies jede Beteiligung zurück.

Nicht dokumentiert ist, wer konkret hinter dem Einsatz von Predator steht. Offen ist, ob griechische Geheimdienststellen oder private Auftraggeber beteiligt waren. Bei Androulakis wurde zudem parallel eine legale Abhörmaßnahme bekannt, deren Verhältnis zum Predator-Einsatz bis heute nicht vollständig geklärt ist.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Firmen NSO Group und Candiru auf die Entity List. Grundlage war die Feststellung, dass beide Firmen Spyware entwickelten und an ausländische Regierungen lieferten, die damit gezielt Regierungsbeamte, Journalisten und Aktivisten überwachten. Die Aufnahme beschränkt den Export von US-Technologie an die betroffenen Firmen ohne behördliche Sondergenehmigung.

Nicht dokumentiert ist, welche konkreten Staaten die Spyware im Einzelfall einsetzten. Offen bleibt, wie wirksam die Eintragung die tatsächliche Verbreitung der Spyware einschränkte, da NSO Group außerhalb der USA operiert.

Digitalcourage reichte im Oktober 2022 Klage gegen die Deutsche Bahn beim Landgericht Frankfurt ein. Der Vorwurf: Die App DB Navigator übertrage personenbezogene Nutzerdaten an Drittanbieter wie Google und Adobe, auch bei eingeschränkten Cookie-Einstellungen. Am ersten Verhandlungstag am 19.05.2025 äußerte sich das Gericht kritisch gegenüber dem Argument der Bahn, die Tracker seien unverzichtbar.

Ein rechtskräftiges Urteil lag zum Recherchezeitpunkt nicht vor. Es handelt sich nicht um ein klassisches Datenleck, sondern um eine zivilrechtliche Auseinandersetzung über die Zulässigkeit von Datenübermittlungen. Die genaue Anzahl betroffener Nutzer ist nicht abschließend beziffert.

Am 27.05.2020 wurden wegen einer fehlerhaften Cache-Konfiguration im CDN der Klarna-App für rund 31 Minuten Kontodaten anderer Nutzer angezeigt. Betroffen waren laut Korrektur bis zu 9.500 Nutzer, ursprünglich war von bis zu 90.000 die Rede. Sichtbar waren Name, Postadresse, Kaufhistorie und Teile der Zahlungsmethoden. Klarna bezeichnete den Vorfall als selbst verursachten technischen Fehler, nicht als externen Angriff.

Klarna korrigierte die Zahl von bis zu 90.000 auf bis zu 9.500 Personen, ohne die Diskrepanz im Detail zu erklären. Unklar bleibt, ob tatsächlich vollständige Zahlungskartendaten sichtbar waren, da Klarna dies als nicht sensibel im Sinne der DSGVO einstufte, während Nutzer von sichtbaren Bankverbindungsdaten berichteten.

Die nordrhein-westfälische Landesdatenschutzbeauftragte leitete im April 2018 ein Prüfverfahren gegen die Deutsche-Post-Tochter Post Direkt ein wegen des Verdachts, im Bundestagswahlkampf 2017 Adressdaten an Parteien verkauft zu haben. Der Handel mit personalisierten Daten hätte mit einem Bußgeld bis zu 300.000 Euro geahndet werden können. CDU und FDP erklärten, nur anonymisierte Daten genutzt zu haben.

Nicht belegt ist, ob am Ende des Verfahrens tatsächlich ein Bußgeld verhängt wurde, ein öffentlich dokumentiertes Ergebnis ließ sich nicht finden. Nicht zu verwechseln mit dem später tatsächlich verhängten 18-Millionen-Euro-Bußgeld gegen die Österreichische Post, ein anderes Unternehmen in einem anderen Land.

Die niederländische Datenschutzbehörde verhängte am 11.12.2023 eine Geldbuße von 10 Millionen Euro gegen Uber wegen Verstößen gegen Artikel 12, 13 und 15 DSGVO, weil Uber Fahrer nicht ausreichend über Speicherdauer und Übermittlung ihrer Daten außerhalb Europas informierte. Zudem war das Verfahren zur Ausübung der Betroffenenrechte unzumutbar kompliziert. Auslöser war eine Beschwerde im Namen von rund 170 französischen Uber-Fahrern.

Diese Buße betraf primär mangelnde Transparenz, nicht die eigentliche Rechtmäßigkeit der Datenübermittlung in die USA. Die tatsächliche Strafe wegen unzureichend abgesicherter Datenübermittlung war eine separate, deutlich spätere Buße von 290 Millionen Euro im August 2024. Ob Uber gegen die 10-Millionen-Euro-Buße erfolgreich Einspruch erhoben hat, war zum Recherchezeitpunkt nicht geklärt.