Quellen-Tabelle

Am 20.06.2024 nahm die belgische EU-Ratspräsidentschaft die geplante Abstimmung über die CSA-Verordnung, bekannt als Chatkontrolle, kurzfristig von der Tagesordnung, weil keine ausreichende Mehrheit zustande kam. Deutschland hatte am Vortag Ablehnung erklärt, Frankreich forderte Zusicherungen zum Schutz verschlüsselter Kommunikation. Es war bereits der zweite gescheiterte Anlauf nach Spanien im Dezember 2023.

Nicht dokumentiert ist das genaue Abstimmungsverhalten aller 27 Mitgliedstaaten, da die Abstimmung selbst nie stattfand. Offen bleibt, welche konkreten technischen Zusicherungen Frankreich forderte und ob diese je erfüllt wurden. Der grundsätzliche Kommissionsvorschlag bestand trotz der Absage fort.

Haaretz berichtete am 16.08.2022, dass Cellebrite Technologie zur Entsperrung von Mobiltelefonen an die ugandische Regierung unter Präsident Yoweri Museveni verkauft hat. Wenige Tage später bestätigte Uganda den Kauf. Bereits 2021 hatte Cellebrite angekündigt, Verkäufe an Russland und Belarus zu stoppen, nachdem Recherchen zeigten, dass die Technologie in Russland mehr als 26.000 Mal gegen Journalisten und Oppositionelle eingesetzt worden war.

Nicht dokumentiert ist, welche Exportlizenzen Israel für den Verkauf an Uganda erteilt hat. Offen bleibt, in welchem Umfang die Technologie tatsächlich gegen Oppositionelle in Uganda eingesetzt wurde. Die 2021 angekündigte Verkaufssperre für Russland wurde später durch Recherchen infrage gestellt.

Das Zollkriminalamt und die Staatsanwaltschaft München I durchsuchten vom 06. bis 08.10.2020 Geschäftsräume der Firmen FinFisher, FinFisher Labs und Elaman in München wegen Verdachts auf Verstoß gegen das Außenwirtschaftsgesetz. Hintergrund: Die Überwachungssoftware FinSpy soll im Sommer 2017 ohne deutsche Ausfuhrgenehmigung an die Türkei geliefert worden sein. Bereits im Juli 2019 hatten mehrere NGOs gemeinsam Strafanzeige gestellt.

Nicht belegt ist, ob es tatsächlich zu einer rechtswidrigen Ausfuhr kam und wer konkret verantwortlich war. Der Ausgang des Ermittlungsverfahrens war zum Berichtszeitpunkt offen, es liegt kein rechtskräftiges Urteil vor. Unklar bleibt der genaue Lieferweg der Software in die Türkei.

Am 27.06.2017 verbreitete sich die Schadsoftware NotPetya über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc und infizierte binnen Stunden Organisationen in mehr als 60 Ländern. CISA veröffentlichte die Warnung TA17-181A und beschrieb zwei Verbreitungswege: Diebstahl von Windows-Zugangsdaten mittels modifizierter Mimikatz-Version sowie Ausnutzung der SMBv1-Schwachstelle EternalBlue. Betroffen waren unter anderem Maersk und Merck. Die US-Regierung ordnete NotPetya später öffentlich dem russischen Militär zu.

Die kursierende Schadenssumme von über 10 Milliarden US-Dollar stammt aus späteren Einordnungen des Weißen Hauses, nicht aus einer verifizierten behördlichen Gesamtrechnung. Offen bleibt, ob NotPetya von Anfang an als reines Zerstörungswerkzeug ohne echte Entschlüsselungsoption konzipiert war. Die Attribution an Russland basiert auf Erklärungen westlicher Regierungen von 2018, nicht auf einem Beweis in dieser CISA-Warnung selbst.

Marcus Hutchins, bekannt als MalwareTech, hatte im Mai 2017 durch Registrierung einer Domain einen Kill Switch aktiviert und damit die Ausbreitung von WannaCry gestoppt. Im August 2017 wurde er in Las Vegas verhaftet und wegen Entwicklung und Verkaufs der Banking-Trojaner Kronos und UPAS Kit angeklagt. Am 19.04.2019 bekannte er sich schuldig, die Taten fanden zwischen Juli 2012 und September 2015 statt, vor seiner Zeit als Sicherheitsforscher. Am 26.07.2019 verurteilte das Gericht ihn zu bereits verbüßter Haft plus einem Jahr Bewährung.

Nicht öffentlich beziffert ist der konkrete finanzielle Schaden durch Kronos. Die Staatsanwaltschaft konnte nicht belegen, in welchem Umfang die Malware tatsächlich eingesetzt wurde, was die milde Strafe mitbeeinflusste. Offen bleibt das Ausmaß der Beteiligung eines mutmaßlichen Mitangeklagten.

Der EuGH entschied am 07.12.2023 im Verfahren C-634/21, dass die Erstellung eines Scores durch eine Auskunftei wie die Schufa als automatisierte Einzelfallentscheidung im Sinne von Artikel 22 DSGVO einzustufen ist, wenn Dritte wie Banken diesem Score eine maßgebliche Rolle beimessen. Eine solche automatisierte Entscheidung ist grundsätzlich verboten. Das Urteil erging im Vorlageverfahren des Verwaltungsgerichts Wiesbaden. Der EuGH stellte zugleich klar, dass die Löschfrist für Restschuldbefreiungen an die kürzere gesetzliche Frist des Insolvenzregisters anzupassen ist.

Nicht bewiesen beziehungsweise offen gelassen ist, ob die konkrete Score-Vergabe im Einzelfall tatsächlich eine verbotene automatisierte Entscheidung darstellt, diese Prüfung wurde an nationale Gerichte zurückverwiesen. Umstritten bleibt, wie stark der Einfluss des Scores sein muss, um als maßgeblich zu gelten. Die genaue Berechnungsmethode des Schufa-Scores bleibt Geschäftsgeheimnis.

Die ACLU reichte am 28.05.2020 Klage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act ein. Am 11.05.2022 wurde ein Vergleich geschlossen, der es Clearview dauerhaft untersagt, die Gesichtsdatenbank landesweit an die meisten privaten Unternehmen zu verkaufen. Für fünf Jahre erhalten staatliche und kommunale Polizeibehörden in Illinois keinen neuen Zugang. Bewohner erhielten ein Opt-out-Recht, Clearview zahlte 50.000 US-Dollar zur Bewerbung des Programms sowie 250.000 US-Dollar Anwaltskosten.

Der Vergleich ist kein Schuldeingeständnis, Clearview bestreitet weiterhin einen Verstoß. Es wurden keine direkten Zahlungen an einzelne Kläger geleistet. Der Vergleich betrifft nicht den Zugang von Bundesbehörden, sodass Clearview sein Geschäft mit Behörden anderer US-Bundesstaaten unverändert fortsetzen konnte.

IT-Sicherheitsforscher registrierten am Portal des Deutschen Apothekerverbands eine fiktive Apotheke mit gefälschten Dokumenten und erhielten binnen zwei Tagen Zugang. Mit diesem Zugang konnten sie gültige, vom CovPass Check als echt erkannte digitale Impfzertifikate ausstellen, obwohl keine Impfung vorlag. Die geforderte Telematik-ID wurde nicht verifiziert, die Zwei-Faktor-Authentifizierung war entfallen. Der DAV schaltete das Portal ab, rund 470 Apotheken ohne Verbandsmitgliedschaft konnten vorübergehend keine Zertifikate mehr ausstellen. Zu diesem Zeitpunkt waren bereits mehr als 25 Millionen Impfzertifikate über das Portal ausgestellt worden.

Nicht belegt ist, in welchem Umfang die Lücke vor der Veröffentlichung durch Dritte tatsächlich ausgenutzt wurde. Das Bundesgesundheitsministerium erklärte, keine Hinweise auf Missbrauch gefunden zu haben, eine unabhängige forensische Bestätigung liegt nicht vor. Der kolportierte Schwarzmarktpreis von rund 138 Euro pro Zertifikat ist nicht durch Strafverfolgungsdaten belegt.

Anfang Januar 2022 fragte die Mainzer Polizei Kontaktdaten aus der Luca App ab, um Zeugen zu einem Todesfall zu ermitteln, obwohl die App gesetzlich ausschließlich zur Kontaktnachverfolgung im Rahmen der Corona-Pandemie zugelassen war. Eine spätere ZDF-Recherche identifizierte bundesweit mehr als hundert vergleichbare Fälle. In mindestens fünf dieser Fälle war die Datenabfrage nach dem jeweiligen Infektionsschutzgesetz ausdrücklich verboten. Der Vorfall führte zu politischen Forderungen, die App zu löschen.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.

Die Studie We Chat, They Watch vom 07.05.2020 zeigt, dass Dateien und Bilder, die zwischen nicht in China registrierten WeChat-Konten ausgetauscht werden, auf politisch sensible Inhalte gescannt werden. Diese werden per Hash-Abgleich und Bild- sowie Texterkennung mit einer chinesischen Zensurdatenbank verglichen und genutzt, um das Zensursystem für in China registrierte Nutzer weiterzutrainieren. Sobald ein Bild als sensibel markiert wird, blockiert WeChat dessen Versand für alle Nutzer weltweit.

Nicht dokumentiert ist, in welchem Umfang Tencent diese Überwachung durchführt, da die Analyse serverseitig und intransparent erfolgt. Offen bleibt, ob die Daten an chinesische Behörden weitergegeben werden, die Studie liefert dafür keine direkten Beweise. Tencent bestritt Teile der Vorwürfe, ohne sich detailliert zu den technischen Befunden zu äußern.

Twitter bestätigte 2018, dass die Firma Global Science Research des Cambridge-Psychologen Aleksandr Kogan 2015 für einen Tag Zugang zu einer Zufallsstichprobe öffentlicher Tweets erhielt. Kogans Firma hatte zuvor 2014 von Cambridge Analytica mehr als 800.000 US-Dollar für eine Facebook-Persönlichkeits-App erhalten, die Daten von bis zu 87 Millionen Nutzern sammelte. Twitter erklärte, nur öffentliche Tweets seien betroffen gewesen, keine privaten Nutzerdaten.

Nicht belegt ist, ob die Twitter-Daten tatsächlich mit den Facebook-Daten kombiniert oder für Wahlkampfzwecke genutzt wurden. Twitter und Kogan bestreiten diesen Zusammenhang. Ein konkreter Kaufpreis für den Datenzugang wurde nicht genannt.

Am 14.11.2022 einigte sich Google mit 40 US-Generalstaatsanwälten auf einen Vergleich über 391,5 Millionen US-Dollar wegen irreführender Standortverfolgung. Die Untersuchung ergab, dass Google zwischen 2014 und 2020 Nutzer im Unklaren ließ, dass das Deaktivieren des Standortverlaufs die Standorterfassung nicht vollständig stoppte, da über die separate Einstellung Web und App Aktivität weiter Daten gesammelt wurden. Die Behörden bezeichneten es als größten mehrstaatlichen Datenschutzvergleich der US-Geschichte.

Der Vergleich stellt keine gerichtliche Feststellung eines Rechtsverstoßes dar, Google bestreitet weiterhin Fehlverhalten. Offen bleibt, in welchem Umfang die Summe einzelnen Nutzern zugutekam, da sie an die Bundesstaaten floss, nicht als direkte Entschädigung an Verbraucher.

Die FCC beschloss am 25.11.2022 neue Regeln, die Überwachungskameras der chinesischen Hersteller Hikvision und Dahua sowie Geräte von Huawei, ZTE und Hytera von neuen Zulassungen ausschließen, gestützt auf den Secure Equipment Act of 2021. Ohne FCC-Zertifizierung dürfen betroffene Geräte nicht mehr importiert werden. Im April 2024 bestätigte ein US-Berufungsgericht das Verbot, nachdem die Hersteller dagegen geklagt hatten.

Nicht dokumentiert ist ein konkreter Einzelfall, in dem eine Kamera nachweislich Daten an chinesische Behörden übermittelt hat, die FCC-Begründung stützt sich auf eine allgemeine Sicherheitsbewertung. Offen bleibt, wie viele bereits installierte Altgeräte weiterhin in Betrieb sind, da das Verbot nur Neuzulassungen betrifft.

Nachdem die Scientology-Kirche am 16.01.2008 eine Urheberrechtsbeschwerde gegen ein Tom-Cruise-Video bei YouTube durchsetzte, veröffentlichte Anonymous am 21.01.2008 das Video Message to Scientology und startete Project Chanology. Am 10.02.2008 demonstrierten in über 50 Städten in 14 Ländern schätzungsweise 6.000 bis 8.300 maskierte Teilnehmer, was als erste große Überführung von Anonymous in realweltlichen Aktivismus gilt. Neben Protesten gehörten DDoS-Angriffe, schwarze Faxe und Prank Calls zu den Aktionsformen. Die per FOIA freigegebenen FBI-Akten zeigen, dass die Kirche gegenüber der Bundespolizei von einer terroristischen Organisation sprach.

Nicht dokumentiert ist eine zentrale Führungsstruktur von Anonymous, da die Bewegung dezentral organisiert war. Die genaue Teilnehmerzahl schwankt je nach Quelle zwischen rund 6.000 und mehr als 9.000. Unklar bleibt der tatsächliche wirtschaftliche Schaden der DDoS-Angriffe.

Im Oktober 2012 gab die South Carolina Department of Revenue bekannt, dass Angreifer bei Einbrüchen im August und September 2012 rund 3,6 Millionen Sozialversicherungsnummern sowie etwa 387.000 Kredit- und Debitkartennummern erbeuteten. Die Behörde entdeckte den Einbruch am 10.10.2012, die Sicherheitslücke wurde am 20.10.2012 geschlossen. Betroffen waren alle Personen, die seit 1998 eine Steuererklärung eingereicht hatten. Der Staat gab mehr als 20 Millionen US-Dollar für Reaktion und sechs Jahre kostenlose Kreditüberwachung aus.

Nicht dokumentiert ist die genaue Identität der Angreifer. Medienberichte sprachen von vermutetem ausländischem Ursprung, eine offizielle Zuordnung liegt nicht vor. Auch zehn Jahre später blieben zentrale Ermittlungsfragen offen, ein Abschlussbericht mit vollständiger Attribution wurde nicht veröffentlicht.

Das OPM gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff die Daten von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller einer Sicherheitsüberprüfung. Erbeutet wurden Sozialversicherungsnummern, Gesundheits-, Finanz- und Strafregisterdaten, 1,1 Millionen Datensätze enthielten zusätzlich Fingerabdrücke. Die Angreifer waren zwischen Juni 2014 und Januar 2015 im Netzwerk aktiv. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 zurück.

Nicht gerichtsfest bewiesen ist die Urheberschaft, US-Behörden verwiesen wiederholt auf chinesische Akteure, China bestreitet dies. Unklar bleibt, ob die gestohlenen Daten tatsächlich für Spionage genutzt wurden. Die Gesamtzahl der Betroffenen wurde im Verlauf mehrfach nach oben korrigiert.

Angreifer verschafften sich ab dem 02.12.2014 durch eine Phishing-Mail Zugriff auf die IT-Systeme von Anthem und blieben bis zum 27.01.2015 unentdeckt. Betroffen waren die Gesundheitsdaten von rund 78,8 Millionen Personen, der bis dahin größte bekannte Datendiebstahl im US-Gesundheitswesen. Am 15.10.2018 einigten sich Anthem und HHS OCR auf eine Zahlung von 16 Millionen US-Dollar, die bis dahin höchste HIPAA-Vergleichszahlung.

Nicht dokumentiert ist, welche konkrete Gruppe hinter dem Angriff stand, Medienberichte brachten den Fall mit chinesischen Akteuren in Verbindung, eine formelle Anklage erfolgte erst Jahre später. Unklar bleibt, in welchem Umfang die gestohlenen Daten tatsächlich missbraucht wurden.

Der EuGH erklärte am 08.04.2014 in den verbundenen Rechtssachen Digital Rights Ireland und Seitlinger die Richtlinie 2006/24/EG zur Vorratsdatenspeicherung für ungültig. Die Richtlinie hatte Anbieter verpflichtet, Verkehrs- und Standortdaten aller Nutzer für sechs Monate bis zwei Jahre zu speichern. Der Gerichtshof stellte fest, dass die anlasslose flächendeckende Speicherung einen schwerwiegenden Eingriff in die durch die EU-Grundrechtecharta geschützten Rechte darstellt und keine ausreichenden Garantien gegen Missbrauch vorsah.

Nicht belegt ist, in welchem Umfang die Vorratsdatenspeicherung vor 2014 tatsächlich zur Aufklärung von Straftaten beitrug. Offen blieb zunächst, welche nationalen Umsetzungsgesetze automatisch unwirksam wurden, da nationale Verfassungsgerichte dies separat entscheiden mussten.

Der bayerische Landtag verabschiedete am 15.05.2018 eine Novelle des Polizeiaufgabengesetzes, die der Polizei bereits beim Verdacht einer drohenden Gefahr weitreichende Befugnisse einräumt, darunter Staatstrojaner, Body Cams, Drohnen und in Ausnahmefällen Sprengmittel. Gegen das Gesetz demonstrierten im Mai 2018 in München mehr als 40.000 Menschen. Am 06.10.2018 reichte die Gesellschaft für Freiheitsrechte gemeinsam mit dem noPAG-Bündnis eine Verfassungsbeschwerde für zehn Betroffene ein. Das Bundesverfassungsgericht verhandelte die Beschwerde am 07. und 08.07.2026.

Die genaue Teilnehmerzahl der Demonstration ist nicht amtlich dokumentiert, nur journalistisch geschätzt. Der Begriff der drohenden Gefahr wird von Kritikern als zu unbestimmt bezeichnet, seine verfassungsrechtliche Bewertung war zum Zeitpunkt der Beschwerdeeinreichung offen. Diese Quelle dokumentiert die Einreichung, nicht das inhaltliche Ergebnis der Verhandlung.

Bundesinnenministerin Nancy Faeser entschied, dass ihr Ressort keine gemeinsame Bundes-VeRA-Plattform auf Basis von Palantir Gotham einführt, womit das Vorhaben für BKA und Bundespolizei beendet ist. Die bayerische Landespolizei nutzt seit 2024 bereits ein auf Gotham basierendes System namens VeRA. Das Bundesverfassungsgericht erklärte im Februar 2023 die entsprechenden Rechtsgrundlagen in Hessen und Hamburg für verfassungswidrig. Die Bundesregierung setzt stattdessen auf das Programm Polizei 2020.

Nicht dokumentiert sind konkrete Kosten oder ein Zeitplan für Polizei 2020 als Alternative. Unklar bleibt, ob andere Bundesländer außer Bayern ähnliche Systeme einsetzen. Die technische Funktionsweise von Gotham ist öffentlich nicht im Detail belegt.

Der Bundesrechnungshof veröffentlichte am 13.10.2020 einen Bericht, wonach Zoll, Steuerbehörden und Deutsche Rentenversicherung bei der Bekämpfung von Schwarzarbeit nicht ausreichend elektronisch zusammenarbeiten, Informationen wurden teils per Speichermedium oder Papierform ausgetauscht. Die Zollbehörden dokumentierten für 2019 einen Schwarzarbeitsschaden von 750 Millionen Euro. Der Rechnungshof forderte eine gemeinsame Datenbank.

Nicht dokumentiert ist ein Einzelfall von rechtswidrigem Datenabgleich. Der Bericht kritisiert primär organisatorische Ineffizienz, nicht einen Datenschutzskandal im engeren Sinne. Offen bleibt, ob die geforderte gemeinsame Datenbank seither umgesetzt wurde.

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Im April 2010 wurde bekannt, dass Google-Street-View-Fahrzeuge zwischen 2008 und 2010 in über 30 Ländern Daten aus offenen WLAN-Netzwerken mitschnitten. Google erklärte zunächst am 27.04.2010, keine Nutzdaten zu sammeln, musste dies aber am 14.05.2010 korrigieren und einräumen, dass tatsächlich Payload-Daten erfasst wurden. Die Staatsanwaltschaft Hamburg leitete Ermittlungen ein, im April 2013 verhängte die Hamburger Datenschutzbehörde ein Bußgeld von 145.000 Euro.

Nicht geklärt ist, in welchem Umfang die gesammelten Daten tatsächlich sensible Inhalte wie Passwörter enthielten und ob Google sie ausgewertet hat. Google bezeichnete die Sammlung als versehentlich, eine unabhängige Bestätigung liegt nicht vor. Es kam zu keiner strafrechtlichen Verurteilung, nur zum verwaltungsrechtlichen Bußgeld.

Der chinesische Journalist Shi Tao wurde im April 2005 zu zehn Jahren Haft wegen Verrats von Staatsgeheimnissen verurteilt, Grundlage war eine E-Mail über seinen Yahoo-Mail-Account, die eine Behördenanweisung zur Berichterstattung über den Tiananmen-Jahrestag zusammenfasste. Laut Gerichtsdokumenten stellte Yahoo Holdings Hong Kong den Behörden Kontodaten und IP-Adresse zur Verfügung. Shi Tao wurde 2013 vorzeitig entlassen. Yahoo-Mitgründer Jerry Yang entschuldigte sich 2007 vor dem US-Kongress.

Nicht dokumentiert ist, welche internen Genehmigungsprozesse der Datenherausgabe vorausgingen. Umstritten war das Ausmaß der Kenntnis der US-Muttergesellschaft über die konkrete Verwendung der Daten. Die Höhe der 2007 vereinbarten Entschädigung wurde nicht offengelegt.

Die Auswertung der geleakten Dokumente der Kanzlei Mossack Fonseca durch das ICIJ zeigt, dass mehrere hochrangige Fußballfunktionäre und Spieler Offshore-Firmen in Panama nutzten. Juan Pedro Damiani, Mitglied der FIFA-Ethikkommission, verwaltete Gesellschaften für mehrere später im FIFA-Korruptionsskandal angeklagte Funktionäre, darunter Cross Trading SA der Geschäftsleute Jinkis und Balney Enterprises Corp. des früheren UEFA-Präsidenten Michel Platini. Auch der Vater von Lionel Messi nutzte eine Offshore-Firma im Zusammenhang mit Steuervorwürfen.

Nicht belegt ist, dass die bloße Existenz einer Offshore-Firma automatisch eine Straftat darstellt. Die genaue Rolle von Juan Pedro Damiani ist nicht vollständig dokumentiert. Ob und in welchem Umfang alle genannten Personen strafrechtlich verurteilt wurden, unterscheidet sich je nach Fall.