Quellen-Tabelle

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.

Die Initiative 'Project Red Card' vertritt über 850 Profifußballer aus Premier League, National League, EFL und schottischer Premiership und fordert Entschädigung dafür, dass Wett- und Gaming-Unternehmen ihre Leistungsdaten (u. a. Lauf- und Positionsdaten) ohne ausreichende Rechtsgrundlage sammeln und verwerten. Die Global Sports Data and Technology Group verschickte vorprozessuale Aufforderungsschreiben an 17 Unternehmen, die mit Spielerdaten im Wett- und Gaming-Sektor handeln, mit der Begründung, die Datenverarbeitung verstoße gegen Datenschutzrecht.

Der Ausgang etwaiger Gerichtsverfahren und eine mögliche Entschädigungssumme sind aus dieser Quelle nicht belegt; es handelt sich um vorprozessuale Forderungen.

Am 05.02.2021 wurde gemeldet, ein Hacker habe sich per Fernzugriff in die Steuerung des Wasserwerks von Oldsmar, Florida, eingeklinkt und den Natriumhydroxid-Wert kurzzeitig von 100 auf 11.100 ppm erhöht, ein Vorfall, der weltweit als Beweis für die Verwundbarkeit kritischer Infrastruktur galt. Das FBI konnte in seiner Untersuchung jedoch keinen gezielten externen Cyberangriff bestätigen. Der damalige City Manager von Oldsmar erklärte später, es habe sich um ein 'Nichtereignis' gehandelt: Ein Mitarbeiter habe versehentlich die falschen Schaltflächen angeklickt und danach selbst seine Vorgesetzten informiert.

Der Fall zeigt, wie schnell ein Bedienfehler medial und politisch als Hackerangriff auf kritische Infrastruktur eingeordnet wird; eine abschließende behördliche Feststellung, was tatsächlich geschah, liegt aus dieser Quelle nicht vor.

Am 25.11.2023 griff die mit den iranischen Revolutionsgarden verbundene Gruppe CyberAv3ngers eine Pumpstation der Municipal Water Authority of Aliquippa in Pennsylvania an, indem sie über das Internet erreichbare, unzureichend gesicherte Unitronics-Industriesteuerungen (PLCs) kompromittierte und eine politische Botschaft gegen Israel auf den Displays anzeigte. Der Wasserversorger schaltete nach Entdeckung auf manuellen Betrieb um; laut Betreiber bestand zu keinem Zeitpunkt eine Gefährdung der Wasserversorgung. Bundesbehörden bestätigten, dass dieselbe Gruppe zusätzlich vier weitere Versorger und ein Aquarium angriff.

Die Behauptung, es habe zu keinem Zeitpunkt eine Gefährdung der Wasserqualität gegeben, stammt vom betroffenen Betreiber selbst, nicht von einer unabhängigen technischen Prüfung.

Im April 2019 bestätigte Amazon einen Bloomberg-Bericht, wonach weltweit Mitarbeiter einzelne Sprachaufnahmen von Alexa-Geräten anhören und transkribieren, um die Spracherkennung zu verbessern, unter anderem an Standorten in Boston, Costa Rica, Indien und Rumänien. Zwei Mitarbeiter in Bukarest gaben an, bis zu 1.000 Aufnahmen pro Schicht abzuhören. Amazon erklärte, man werte 'eine extrem kleine Zahl an Interaktionen einer zufälligen Kundengruppe' aus. Bloomberg fand jedoch heraus, dass ein Screenshot einer solchen Transkriptionsaufgabe eine Kontonummer, den Vornamen des Kunden und die Geräteseriennummer enthielt. Nutzer konnten bis zur Veröffentlichung nicht erkennen, dass ihre Alexa-Gespräche von Menschen mitgehört wurden.

Wie viele der abgehörten Aufnahmen tatsächlich versehentliche Aktivierungen ('false wake words') betrafen, bei denen private Gespräche ohne Sprachbefehl aufgezeichnet wurden, ist aus dieser Quelle nicht separat beziffert.

Nach deutschem Recht ist der Einsatz von Spionagesoftware zur heimlichen Überwachung von Personen nach § 238 StGB strafbar. Dennoch wird sogenannte Stalkerware wie mSpy oder FlexiSpy mehr oder weniger offen zur Partnerüberwachung vermarktet, was von App-Stores weder erlaubt noch geduldet wird, aber ein florierendes Geschäft bleibt. Laut Kaspersky-Erhebung führt Deutschland europaweit bei digitalem Stalking: Fast jede dritte Person hat digitales Stalking erlebt, jede zehnte gibt zu, in irgendeiner Form Stalkerware genutzt zu haben, 9 Prozent räumen offen ein, das Smartphone des Partners manipuliert zu haben. Deutsche Cybersicherheitsexperten kritisieren, dass sich die zentralen Cybercrime-Ermittlungsstellen der Bundesländer zu wenig mit dem Thema befassen.

Die Prozentangaben stammen aus einer Befragung (Selbstauskunft), nicht aus behördlicher Kriminalstatistik; die tatsächliche Zahl strafrechtlich verfolgter Fälle ist aus dieser Quelle nicht belegt.

Ein Geofence Warrant (auch Reverse Location Warrant) ist ein gerichtlicher Beschluss, mit dem US-Ermittlungsbehörden von Google alle Mobilgeräte abfragen können, die sich zu einem bestimmten Zeitpunkt in einem festgelegten geografischen Gebiet befanden, ohne vorab eine konkrete verdächtige Person zu benennen. Solche Anfragen wurden erstmals 2016 genutzt und griffen auf Googles zentrale Standortdatenbank 'Sensorvault' zu. 2023 kündigte Google an, die Standortdaten künftig primär lokal auf den Geräten der Nutzer statt zentral auf eigenen Servern zu speichern, wodurch der Konzern faktisch keinen Zugriff mehr auf sammelbare Standortverläufe für solche Sammelanfragen hat.

Die Ankündigung betrifft die Praxis bei Google; ob andere Anbieter mit zentraler Standortspeicherung ähnliche Anfragen weiterhin bedienen, ist aus dieser Quelle nicht belegt.

Journalisten von netzpolitik.org und dem Bayerischen Rundfunk erwarben im Juli 2024 über den deutschen Datenmarktplatz 'Datarade' von einem US-Datenhändler einen Datensatz mit 3,6 Milliarden Standortdatenpunkten allein für Deutschland; ein weiterer Datensatz aus demselben Monat enthielt 380 Millionen Standortdatenpunkte aus 137 Ländern, verknüpft mit rund 40.000 verschiedenen Apps. Die Standortdaten stammen als Werbe-IDs aus Smartphone-Apps, die sie sammeln und zum Zweck personalisierter Werbung weiterverkaufen. Vier identifizierte Werbe-SDKs (InMobi, BidMachine, Verve HyBid, Huawei Petal Ads) sammeln heimlich Standortdaten auf Android-Geräten, indem sie Berechtigungen der Host-App erben und die Sandbox-Trennung des Betriebssystems über WLAN- und Mobilfunk-Triangulation umgehen, ohne separate Nutzereinwilligung für die Weitergabe an Werbenetzwerke einzuholen.

Ob und wie oft diese konkreten Datensätze tatsächlich zur Re-Identifizierung einzelner Personen genutzt wurden, ist aus dieser journalistischen Untersuchung nicht mit Einzelfällen belegt.

Der DNA-Testanbieter 23andMe meldete am 23.03.2025 Insolvenz nach Chapter 11 an, was potenziell den Verkauf von Gendaten von über 15 Millionen Nutzern zur Folge hatte. Das Pharmaunternehmen Regeneron Pharmaceuticals gewann zunächst die gerichtlich überwachte Auktion am 16.05.2025 mit einem Gebot von 256 Millionen US-Dollar. In einer überraschenden Wendung genehmigte ein Insolvenzrichter jedoch stattdessen den Verkauf des Unternehmens samt Gendaten an eine gemeinnützige Organisation unter Leitung von Mitgründerin Anne Wojcicki, als Reaktion auf verbreitete Datenschutzbedenken gegen die ursprünglich geplante Übertragung an einen Dritten wie Regeneron.

Ob und wie sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel an die Stiftung tatsächlich änderten, ist aus dieser Quelle nicht im Detail belegt.

Zwischen Ende November 2018 und März 2019 wurde der finnische Psychotherapie-Anbieter Vastaamo gehackt; die Angreifer erbeuteten die Therapieakten von rund 33.000 Patienten. Nachdem CEO Ville Tapio am 28.09.2020 erstmals vom Täter kontaktiert wurde und Behörden informierte, forderte der Erpresser zunächst 40 Bitcoin (rund 450.000 Euro) vom Unternehmen. Mitte Oktober 2020 erhielten über 33.000 Patienten direkt Droh-E-Mails mit Forderungen von 200 bis 500 Euro in Bitcoin, verbunden mit der Drohung, ihre persönlichen Daten und Therapienotizen zu veröffentlichen, darunter Angaben zu psychischer Gesundheit, Missbrauch und Suizidgedanken. Der Fall löste die größte strafrechtliche Ermittlung in der finnischen Geschichte aus und führte zu Krisengesprächen der damaligen Regierung unter Ministerpräsidentin Sanna Marin. Vastaamo meldete Insolvenz an. Der später identifizierte Täter, der Finne Aleksanteri Kivimäki, wurde in Frankreich festgenommen, nach Finnland ausgeliefert und zu über sechs Jahren Haft verurteilt.

Wie viele der erpressten Patienten tatsächlich zahlten, ist aus dieser Quelle nicht beziffert.

Die von einem Berliner Start-up entwickelte Luca-App sollte Gesundheitsämtern die Kontaktnachverfolgung während der Corona-Pandemie erleichtern, geriet aber 2021 stark in die Kritik. Die Polizei Mainz griff im Rahmen von Ermittlungen zu einem Todesfall auf Besucherdaten eines Restaurants zu, die über Luca erfasst worden waren, obwohl das Infektionsschutzgesetz die Nutzung von Kontaktnachverfolgungsdaten für polizeiliche Zwecke ausdrücklich untersagt. Der baden-württembergische Datenschutzbeauftragte Stefan Brink bezeichnete dies als klaren Gesetzesverstoß. Kritiker verwiesen zudem darauf, dass Luca die Daten zentral speichert, im Gegensatz zur dezentral und transparent konzipierten, staatlichen Corona-Warn-App. Berlin kündigte an, die Nutzung von Luca ab Januar 2022 zu beenden.

Ob der beschriebene Polizeizugriff in Mainz strafrechtliche oder dienstrechtliche Konsequenzen für die beteiligten Beamten hatte, ist aus dieser Quelle nicht belegt.

Im Januar 2018 entdeckte der australische Forscher Nathan Ruser beim Durchsuchen der neuen 'Global Heatmap' des Fitness-Trackers Strava, dass Jogging-Routen mitten in der syrischen Wüste aufleuchteten, exakt an den Standorten von US- und alliierten Militärbasen. Die Heatmap fasste eine Milliarde Strava-Aktivitäten und drei Billionen GPS-Datenpunkte zusammen, aufgezeichnet zwischen 2015 und September 2017. Journalisten bestätigten, dass die Tracker-Daten unbeabsichtigt Umrisse ausländischer Basen im Irak, in Afghanistan und Syrien sowie Versorgungsrouten und Patrouillenwege preisgaben. Das US-Militär kündigte an, seine Regeln zur Nutzung von Fitness-Trackern und Apps durch Soldaten zu überprüfen; Strava sagte zu, seine Datenschutzeinstellungen zu überarbeiten.

Ob die offengelegten Standortmuster in der Folge tatsächlich für Angriffe auf die betroffenen Basen genutzt wurden, ist aus dieser Quelle nicht belegt.

Mit Amazon One können Kunden an der Kasse bezahlen, indem sie ihre Handfläche über einen Scanner halten, der die biometrischen Daten mit gespeicherten Handscans abgleicht und den Betrag vom verknüpften Amazon-Konto abbucht. Bis Ende 2023 plante Amazon, über 500 Whole-Foods-Filialen in den USA mit der Technik auszustatten, nachdem sie bereits in 200 Whole-Foods-Filialen und 200 weiteren Einzelhandelsstandorten im Einsatz war. Ein seit 2021 geltendes New Yorker Landesgesetz verpflichtet Unternehmen, mit gut sichtbaren Schildern auf die Erfassung biometrischer Daten hinzuweisen. Amazon sieht sich einer Sammelklage ausgesetzt, weil solche Hinweisschilder in den kassenlosen Amazon-Go-Filialen angeblich nicht ausreichend sichtbar angebracht waren.

Der Ausgang der Sammelklage ist aus dieser Quelle nicht belegt. Amazon selbst betont, dass nur Kunden erfasst werden, die sich aktiv für Amazon One registrieren.

Ende Januar 2022 deckte Politico auf, dass die gemeinnützige Krisenchat-Organisation Crisis Text Line (CTL) Daten aus vertraulichen Krisengesprächen mit Loris.ai teilte, einer gewinnorientierten Firmenausgründung der CTL-Mitgründerin Nancy Lublin, die damit Kundenservice-Software und Chatbots für schwierige Gespräche entwickelte, ohne Einwilligung der Hilfesuchenden. Nach öffentlichem Druck, unter anderem von einem Mitglied der US-Kommunikationsbehörde FCC und Vorstandsmitgliedern von CTL, beendete die Organisation die Datenpartnerschaft am 31.01.2022 sofort und forderte Loris.ai zur Löschung aller bereits erhaltenen Daten auf. Laut CTL hatte Loris.ai jedoch bereits seit Anfang 2020 keinen aktiven Zugriff mehr auf die Daten gehabt.

Ob Loris.ai die Löschung der Daten tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht unabhängig verifiziert, sondern beruht auf der Selbstauskunft der Beteiligten.

Eine gemeinsame Recherche von The Markup und STAT News fand im Juni 2022 heraus, dass ein Drittel der 100 größten US-Krankenhäuser das Tracking-Tool Meta Pixel einsetzte, das bei jeder Terminbuchung Daten an Meta übermittelt, darunter Angaben zu Krankheitsbildern, verschriebenen Medikamenten und Terminen. Bei 33 der getesteten Krankenhäuser sendete der Meta-Pixel-Tracker bei jedem Klick auf 'Termin vereinbaren' ein Datenpaket an Facebook; bei sieben Gesundheitssystemen war der Tracker sogar innerhalb passwortgeschützter Patientenportale installiert. Fünf Monate nach der Veröffentlichung sahen sich große Klinikkonzerne wie UPMC, Advocate Aurora und Duke Health mit daraus resultierenden Klagen konfrontiert.

Ob und in welchem Umfang Meta die erhaltenen Gesundheitsdaten tatsächlich für Werbezwecke gegen einzelne Patienten nutzte, ist aus dieser Untersuchung nicht abschließend belegt; sie weist primär den Datenfluss selbst nach.

Swisscom führte im August 2016 als vermutlich erstes Schweizer Unternehmen 'Voiceprint' ein: Ein im Callcenter gespeicherter Stimmabdruck erkennt Kunden bei künftigen Anrufen automatisch anhand der Stimme, ohne dass Sicherheitsfragen nötig sind. Auch die Postfinance und weitere Banken setzten vergleichbare Stimmerkennung zur Authentifizierung ein. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) betonte, dass solche Verfahren erhebliche Risiken für Grundrechte und Freiheiten bergen, da biometrische Merkmale dauerhaft und eindeutig mit einer Person verknüpft sind. Mitte April 2019 stellte Swisscom Voiceprint ein und löschte alle gespeicherten Stimmabdrücke, mutmaßlich als Reaktion auf die wachsende Kritik an den Datenschutzimplikationen der Technologie.

Der genaue Auslöser für die Einstellung durch Swisscom (behördlicher Druck, öffentliche Kritik oder interne Entscheidung) ist aus dieser Quelle nicht eindeutig belegt, nur als Vermutung formuliert.

Im April 2018 wurde der sogenannte 'Golden State Killer' Joseph James DeAngelo mithilfe genetischer Genealogie identifiziert: Ermittler luden eine an einem Tatort von 1980 gesicherte DNA-Probe bei GEDmatch hoch, einer kostenlosen Plattform, auf der Nutzer ihre bei kommerziellen Anbietern wie 23andMe oder Ancestry erstellten DNA-Profile hochladen können, um entfernte Verwandte zu finden. Anders als 23andMe und Ancestry, die für Strafverfolgungsanfragen einen förmlichen Durchsuchungsbefehl oder Gerichtsbeschluss verlangen, benötigten die Behörden für den Zugriff auf die GEDmatch-Datenbank keinen Gerichtsbeschluss. Über Ururgroßeltern und Cousins dritten Grades rekonstruierten Genealogen einen Stammbaum, der zum Verdächtigen führte. Eine spätere wissenschaftliche Analyse zeigte, dass diese Methode etwa 60 Prozent der weißen US-Bevölkerung über verwandtschaftliche Treffer identifizierbar macht, selbst wenn die Person selbst nie einen DNA-Test gemacht hat.

Die 60-Prozent-Schätzung bezieht sich auf die weiße US-Bevölkerung und stammt aus einer wissenschaftlichen Modellrechnung, nicht aus einer Vollerhebung; Übertragbarkeit auf andere Bevölkerungsgruppen oder Länder ist aus dieser Quelle nicht belegt.

In der Nacht vom 21. auf den 22.10.2022 verschafften sich Angreifer unbefugten Zugriff auf die IT-Systeme der Kreisverwaltung Rhein-Pfalz-Kreis in Rheinland-Pfalz. Alle rund 600 Computer der Verwaltung wurden lahmgelegt, Systeme und Daten verschlüsselt. Erste Ermittlungen deuteten auf die mutmaßlich aus Russland operierende Gruppe 'Vice Society' hin. Ab dem 11.11.2022 tauchten rund 20.000 Einzeldateien der Kreisverwaltung im Darknet auf. Bürger wurden aufgefordert, ihre Konten zu überprüfen, da die Verwaltung eine Veröffentlichung vertraulicher Daten von Bürgern und Beschäftigten nicht ausschließen konnte. Die Kommunikation mit der Verwaltung war zeitweise nur noch per Brief möglich, da Telefon- und E-Mail-Systeme ausfielen; rund 750 Laptops mussten neu aufgesetzt oder komplett neu beschafft werden.

Ob und in welchem Umfang tatsächlich Bürgerdaten unter den veröffentlichten Dateien waren, ist aus dieser Quelle nicht abschließend beziffert; die Verwaltung sprach von einer nicht auszuschließenden Möglichkeit.

Laut Recherchen teilten Tesla-Beschäftigte zwischen 2019 und 2022 in internen Chats Kameraaufnahmen aus Fahrzeugen, um sich über die gefilmten Personen lustig zu machen, teils in eindeutig privaten oder heiklen Situationen, darunter eine Aufnahme einer nackten Person sowie Unfälle und riskante Fahrmanöver. Laut Teslas Datenschutzerklärung seien Kameraaufnahmen anonymisiert und nicht einem bestimmten Fahrzeug zuordenbar; sieben ehemalige Mitarbeiter gaben gegenüber Reuters jedoch an, dass die verwendete interne Software den Standort der Videos anzeigte, was Rückschlüsse auf die Fahrzeughalter ermöglichte. Deutsche Datenschützer kritisierten zusätzlich, dass neuere Tesla-Modelle mit Innenraumkameras und Umgebungsaufnahmen aus dem öffentlichen Straßenraum arbeiten, deren Daten unter Umständen in die USA übertragen werden.

Der Umfang, wie viele Kunden tatsächlich betroffen waren und ob Tesla die interne Weitergabe technisch inzwischen unterbunden hat, ist aus dieser Quelle nicht belegt.

Amnesty International dokumentierte, dass ein erheblicher Teil des für Batterien in Smartphones und Elektroautos benötigten Kobalts aus der Demokratischen Republik Kongo mit Kinderarbeit in Verbindung steht: Kinder arbeiten in einsturzgefährdeten Tunneln bis zu 12 Stunden täglich für ein bis zwei US-Dollar Tageslohn beim Abbau von Kobalterzen. 2019 wurde in den USA Klage gegen Apple, Alphabet (Google), Dell, Microsoft und Tesla eingereicht, weil diese Unternehmen Kobalt aus Minen bezögen, in denen Kinder tödlich verunglückt seien. Apple veröffentlichte als erstes Unternehmen der Branche die Namen seiner Kobaltlieferanten und gilt seither als Branchenführer im Bereich verantwortungsvoller Kobaltbeschaffung; bei einer breiteren Zulieferer-Überprüfung fand Apple bei zehn Zulieferern insgesamt 91 minderjährige Beschäftigte.

Der Ausgang der 2019 eingereichten Klage in den USA ist aus dieser Quelle nicht belegt.

Anfang Oktober 2025 räumte die Schufa-Tochterfirma Bonify (Forteil GmbH) einen schwerwiegenden Sicherheitsvorfall ein. Betroffen waren Ausweisdokumente, Adressdaten sowie Fotos und Videoaufnahmen aus dem Video-Ident-Verfahren, das zur Identitätsprüfung bei der Registrierung eingesetzt wird. Zusätzlich wurden laut Bericht sensible Angaben wie Risikobewertungen zu Spielsucht betroffen. Nach deutschem Datenschutzrecht müssen Unternehmen Ausweiskopien unmittelbar nach abgeschlossener Identifizierung löschen; eine automatisierte Speicherung von Ausweisdaten ist grundsätzlich nur für die elektronische Identitätsfeststellung zulässig und ansonsten untersagt.

Die genaue Zahl der betroffenen Personen und ob Bonify die datenschutzrechtlichen Löschpflichten für Ausweiskopien im konkreten Fall eingehalten hatte, ist aus dieser Quelle nicht belegt.

Das Ausländerzentralregister (AZR) ist mit 35,3 Millionen personenbezogenen Datensätzen (Stand 31.12.2025) eines der größten automatisierten Register der deutschen Verwaltung. Datenschutzbehörden kritisieren seit Jahren, dass sich das AZR von einem Register für rein ausländerrechtliche Zwecke zu einer umfassenden behördenübergreifenden Informationsinfrastruktur entwickelt hat; das zugrunde liegende Gesetz wurde seit Inkrafttreten 40-mal geändert, stets mit erweiterten Zugriffsrechten für Behörden, ohne dass Betroffene mehr Rechte erhielten. Am 09.07.2026 beschloss der Bundestag das Gesetz zur 'Weiterentwicklung der Digitalisierung in der Migrationsverwaltung' (MDWG), der Bundesrat stimmte am Folgetag zu. Danach soll das Register bestimmte Daten künftig automatisiert unmittelbar nach der Speicherung an festgelegte Empfängerbehörden übermitteln. Bereits 2019 warnte die Datenschutzkonferenz von Bund und Ländern, die dauerhaft vergebene AZR-Nummer könne sich zu einem bereichsübergreifenden Personenkennzeichen entwickeln, das Daten aus verschiedenen Lebensbereichen leichter verknüpfbar macht.

Die konkrete Liste der künftig automatisch empfangsberechtigten Behörden sowie eine erste Praxisauswertung nach Inkrafttreten des MDWG sind aus dieser Quelle nicht belegt, da das Gesetz zum Zeitpunkt der Quelle gerade erst beschlossen wurde.

Im Januar 2024 überwies ein Mitarbeiter des britischen Ingenieurbüros Arup in Hongkong 25,6 Millionen US-Dollar an Betrüger, nachdem er glaubte, in einem Video-Anruf mit seinem Finanzvorstand und mehreren Kollegen zu sprechen. Sämtliche Teilnehmer der Videokonferenz außer ihm selbst waren KI-generierte Deepfakes. Laut Versicherer Allianz Trade verursachten Deepfake-gestützte CEO-Fraud-Angriffe 2025 Schäden, die 81 Prozent über dem Vorjahresniveau lagen; die Rate des Deepfake-Betrugs in Deutschland stieg im Jahresvergleich um über 1.000 Prozent. In einem weiteren dokumentierten Fall erstellten Betrüger ein Deepfake-Video des Unternehmers Reinhold Würth, das über soziale Medien für betrügerische Geldanlagen warb; die Würth-Gruppe bestätigte die Fälschung öffentlich und leitete rechtliche Schritte ein.

Die Steigerungsrate von über 1.000 Prozent bezieht sich auf gemeldete Fälle, nicht auf eine unabhängig verifizierte Gesamtschadenssumme für Deutschland.

Eine Studie der Duke University zeigte, dass der Datenbroker Acxiom als Teil seiner kommerziellen Dienstleistungen für Kreditkartenanbieter und Einzelhandelsbanken die Identifizierung und Lokalisierung von Militärangehörigen anbietet, die im Einsatz, aber von ihrer Basis abwesend sind. Ein Bericht des US-Direktors der nationalen Nachrichtendienste stellte fest, dass von zehn untersuchten großen Datenbrokern drei explizit damit werben, Daten zur Identifizierung von US-Militärpersonal liefern zu können. Weitere dokumentierte Zielgruppen-Segmente in Werbedaten basierten auf besuchten Orten, darunter Kirchen und andere sensible Örtlichkeiten; in einem prominenten Einzelfall wurden Standortdaten genutzt, um das Privatleben eines katholischen Priesters ohne dessen Wissen öffentlich offenzulegen.

Ob und wie oft die beworbene Militärpersonal-Identifizierung tatsächlich von Kunden der Datenbroker genutzt wurde, ist aus dieser Quelle nicht mit Einzelfällen belegt, nur als kommerzielles Angebot dokumentiert.