Quellen-Tabelle

Seit dem 01.01.2025 gilt in Deutschland schrittweise eine Pflicht zum Einbau intelligenter Stromzähler (Smart Meter) für Haushalte mit einem Jahresverbrauch über 6.000 kWh, Betreiber von PV-Anlagen über 7 Kilowatt installierter Leistung sowie Nutzer steuerbarer Verbrauchseinrichtungen wie Wallboxen oder Wärmepumpen. Aus den anfallenden Verbrauchsdaten lässt sich detailliert ablesen, wann eine Person zu Bett geht, wie sie ihre Mahlzeiten zubereitet, wie oft sie die Waschmaschine nutzt und wann sie außer Haus ist. Das Messstellenbetriebsgesetz (§§ 49–75 MsbG) regelt den datenschutzkonformen Betrieb im Detail; Deutschland gilt dabei europaweit als das Land mit den höchsten Sicherheitsanforderungen an intelligente Stromzähler.

Ob die hohen gesetzlichen Anforderungen in der praktischen Umsetzung durch alle Messstellenbetreiber tatsächlich lückenlos eingehalten werden, ist aus dieser Quelle nicht belegt.

KI-gestützte Emotionserkennung (Affective Computing) wird zunehmend eingesetzt, von der Überwachung von Callcenter-Mitarbeitern bis zur automatisierten Auswertung von Video-Bewerbungsgesprächen nach Mimik, Gestik und Sprache. Eine vielzitierte wissenschaftliche Überblicksstudie aus dem Jahr 2019 kam zu dem Ergebnis, es gebe keine verlässlichen wissenschaftlichen Belege dafür, dass sich der emotionale Zustand einer Person zuverlässig aus ihrem Gesichtsausdruck ablesen lässt; Kritiker verweisen zusätzlich auf das Risiko rassistischer und geschlechtsspezifischer Verzerrungen. Der EU AI Act verbietet seit seinem Inkrafttreten den Einsatz von Emotionserkennungssystemen ausdrücklich im Kontext von Arbeitsplatz und Bildungseinrichtungen.

Ausnahmen vom Verbot (etwa aus medizinischen oder Sicherheitsgründen) und deren genaue Reichweite sind aus dieser Quelle nicht im Detail benannt.

Der US-amerikanische Genetic Information Nondiscrimination Act (GINA) von 2008 schützt Bürger vor Diskriminierung aufgrund genetischer Informationen bei der Krankenversicherung (Titel I) und im Arbeitsverhältnis (Titel II). Eine zentrale Gesetzeslücke besteht jedoch bei Lebens-, Berufsunfähigkeits- und Pflegeversicherungen: GINA deckt diese Versicherungsarten ausdrücklich nicht ab, sodass Lebensversicherer genetische, persönliche oder familiäre Gesundheitsinformationen weiterhin zur Entscheidung über Versicherungsschutz oder Prämienhöhe heranziehen dürfen. Einige US-Bundesstaaten haben eigene, über GINA hinausgehende Gesetze erlassen, die genetische Diskriminierung auch bei diesen 'anderen Versicherungen' verbieten; auf Bundesebene bleibt diese Lücke jedoch bestehen.

Die Regelungslücke betrifft ausschließlich US-Recht; eine Übertragbarkeit der Situation auf Deutschland oder die EU wird in dieser Quelle nicht behauptet.

In der Altenpflege kommen zunehmend Sensorsysteme zum Einsatz, etwa kameralose Sturzradar-Systeme für Bad und Schlafzimmer oder Sensormatten unter der Matratze, die Aufstehen, Schlafqualität und Vitalzeichen erfassen und bei Bedarf Angehörige oder Pflegedienste alarmieren. Diese Systeme müssen mitunter große Datenmengen sammeln, um sich technisch weiterzuentwickeln, und dringen dadurch teils weit in den Privatbereich der Bewohner ein. Kritische Stimmen aus der Pflegewissenschaft warnen, der Einsatz von Robotern und permanenter Sensorik könne die Vereinsamung der Bewohner verstärken und werfe grundlegende Fragen auf: Wie wird verhindert, dass persönliche Daten an unbefugte Dritte weitergeleitet werden, und ob unter permanenter Überwachung überhaupt noch echte Privatsphäre entstehen kann.

Konkrete dokumentierte Fälle von Datenweitergabe an unbefugte Dritte aus solchen Pflegesystemen sind aus dieser Quelle nicht belegt; die Kritik betrifft strukturelle Risiken, nicht nachgewiesene Einzelvorfälle.

Die EU-Richtlinie 2024/1799 verpflichtet Hersteller von Smartphones, Tablets, Waschmaschinen und E-Bikes, ihre Geräte grundsätzlich reparierbar zu konstruieren; seit dem 31.07.2026 gilt das Recht auf Reparatur europaweit. Auch nach Ablauf der gesetzlichen Gewährleistung müssen Hersteller Reparaturen anbieten, sofern technisch machbar, zu angemessenen Kosten mit online einsehbaren Preisinformationen. Je nach Produktgruppe müssen Ersatzteile, Werkzeuge und Reparaturanleitungen zwischen sieben und zehn Jahren verfügbar bleiben. Eine Reparatur darf nicht ohne sachlichen Grund verweigert oder durch überhöhte Kosten unattraktiv gemacht werden; entscheidet sich ein Verbraucher bei einem Mangel innerhalb der Gewährleistungsfrist für eine Reparatur statt Ersatzlieferung, verlängert sich die Gewährleistung danach um weitere zwölf Monate.

Wie die neuen Vorgaben mit dem in einer anderen Quelle dokumentierten 'Parts Pairing' großer Hersteller zusammenwirken (softwareseitige Sperren gegen Drittteile trotz physischer Reparierbarkeit) ist aus dieser Quelle nicht behandelt.

Zehn Jahre nach den Enthüllungen des Whistleblowers Edward Snowden 2013 ziehen Beobachter eine gespaltene Bilanz: Eine direkte Folge ist, dass Internetverkehr heute deutlich stärker verschlüsselt wird, wie eine Bilanz der Internet Engineering Task Force bestätigt. Statt jedoch die durch Snowden offengelegten, entgrenzten Geheimdienstpraktiken einzuschränken und stärker zu kontrollieren, legalisierte der Gesetzgeber in den Folgejahren in mehreren Ländern genau diese Praktiken nachträglich und erweiterte die Befugnisse der Dienste. Bei einem Treffen im März 2023 forderten Vertreter der EU sowie US-amerikanischer Justiz- und Strafverfolgungsbehörden weiterhin, direkten Klartext-Zugang zu verschlüsselter Kommunikation technisch in Geräte einzubauen. Das am 02.07.2023 in Kraft getretene deutsche Hinweisgeberschutzgesetz setzt eine EU-Richtlinie um, die sich auf die Ereignisse von vor zehn Jahren zurückführen lässt.

Die Bilanz bleibt gemischt: Verschlüsselungsfortschritt einerseits, erweiterte und nachträglich legalisierte Geheimdienstbefugnisse andererseits; ein eindeutiges 'Snowden hat die Überwachung eingedämmt' lässt sich aus dieser Quelle nicht ableiten.

Laut einer Studie von ibi Research und der DIHK wurde 2025 mehr als die Hälfte der deutschen Handelsunternehmen nachweislich Opfer von Ladendiebstahl. Viele Händler setzen deshalb auf KI-gestützte Kamerasysteme, die verdächtiges Verhalten automatisch erkennen sollen. Echte biometrische Gesichtserkennung bleibt in Deutschland jedoch aufgrund strenger Datenschutzvorgaben stark eingeschränkt: Da es sich um besonders schutzwürdige Daten handelt, ist in der Regel eine ausdrückliche Einwilligung erforderlich, eine Anforderung, die im Einzelhandel mit anonymem Laufkundenpublikum strukturell nicht erfüllbar ist. Zusätzlich begrenzt die DSGVO die Speicherung von Videoaufnahmen auf 48 bis 72 Stunden, was viele KI-Auswertungsanwendungen faktisch wirkungslos macht. dm testete deshalb 2026 stattdessen offen sichtbare Kameraüberwachung an SB-Kassen; Rewe erklärte, im automatisierten Markt in Berlin explizit keine Gesichtserkennung einzusetzen.

Ob einzelne Händler die DSGVO-Vorgaben zur Gesichtserkennung in der Praxis dennoch umgehen, ist aus dieser Quelle nicht belegt; sie beschreibt die rechtliche Ausgangslage und den offiziellen Verzicht der genannten Unternehmen.

Seit 2017 werden alle deutschen Personalausweise und elektronischen Aufenthaltstitel standardmäßig mit aktivierter eID-Funktion ausgegeben, die über die AusweisApp und einen Kartenleser oder NFC-fähiges Smartphone genutzt werden kann, etwa für die elektronische Patientenakte, BAföG-Anträge oder Rentenauskünfte. Von den seit 2010 im Kartenformat ausgegebenen Personalausweisen an 51 Millionen Bürger aktivierte jedoch nur rund ein Drittel die eID-Funktion, tatsächlich genutzt haben sie bislang nur etwa 15 Prozent bzw. rund 2,5 Millionen Bürger. Der Bundesbeauftragte für den Datenschutz äußerte 'erhebliche datenschutzrechtliche Bedenken' gegenüber Plänen für zentrale Passfoto-Datenbanken, da eine solche doppelte Datenspeicherung parallel zu den Registern der Passbehörden das Missbrauchsrisiko massiv erhöhe. Kritiker verwiesen zudem darauf, dass der RFID-Chip, auf dem die eID-Daten gespeichert sind, laut Experteneinschätzung teils bereits aus mehreren Metern Entfernung drahtlos ausgelesen werden könne.

Ob der RFID-Chip in der Praxis tatsächlich unautorisiert aus der Ferne ausgelesen wurde, ist aus dieser Quelle nicht mit dokumentierten Vorfällen belegt; es handelt sich um eine theoretische Sicherheitskritik von Experten.

Die Amsterdamer Polizei nutzt die algorithmischen Systeme Top600 und Top400 (auch 'Veilig Alternatief' genannt) zur Identifizierung und Risikobewertung mutmaßlicher Täter und Wiederholungstäter bei Gewaltverbrechen. 2016 erweiterte Amsterdam Top600 um Top400, das auch junge 'High Potentials' erfasst, Minderjährige, die keine schweren Straftaten begangen haben, deren Verhalten aber als Belästigung der Stadt eingestuft wird. Untersuchungen zeigen eine deutliche Überrepräsentation niederländisch-marokkanischer Männer sowie Minderjähriger mit niedrigem sozioökonomischem Status, leichten bis grenzwertigen geistigen Behinderungen und aus segregierten Vierteln; alle im untersuchten Bezirk erfassten Top600-Jugendlichen gehörten ethnischen Minderheiten an, häufig abwertend als 'naffers' (Nordafrikaner) bezeichnet. Amnesty International bezeichnete die Niederlande als eines der Länder in vorderster Front des praktischen Predictive Policing und warf den Pilotprojekten Menschenrechtsverletzungen vor, darunter Verstöße gegen Privatsphäre, Unschuldsvermutung und Diskriminierungsverbot.

Ein zentraler Kritikpunkt der Quelle ist, dass diskriminierende Polizeipraxis (häufigere Festnahmen bestimmter Gruppen) in die Systeme einprogrammiert wird und diese Verzerrung dadurch verstärkt statt korrigiert; ob das System selbst ursprünglich diskriminierungsfrei konzipiert war, wird nicht behauptet.

Die 2008 auf dem IEEE Symposium on Security and Privacy veröffentlichte Studie 'Robust De-anonymization of Large Datasets' von Arvind Narayanan und Vitaly Shmatikov zeigte, dass sich der als anonymisiert veröffentlichte Netflix-Prize-Datensatz mit Filmbewertungen von 500.000 Abonnenten mit vergleichsweise wenig Hintergrundwissen über eine Person re-identifizieren lässt. Die Forscher verknüpften den Datensatz mit öffentlich verfügbaren Bewertungen auf der Internet Movie Database (IMDb) und konnten dadurch zahlreiche Netflix-Nutzer eindeutig identifizieren, obwohl im Ausgangsdatensatz keine Namen enthalten waren. Nach Veröffentlichung der Studie sagte Netflix seinen zweiten geplanten Prize-Wettbewerb ab.

Die Studie demonstriert eine methodische Schwachstelle der Anonymisierung, keinen dokumentierten Missbrauchsfall gegen konkrete re-identifizierte Personen.

Der 'Protecting Americans from Foreign Adversary Controlled Applications Act', am 24.04.2024 unterzeichnet, verlangte von ByteDance, sich bis zum 19.01.2025 von TikTok zu trennen, andernfalls drohte ein landesweites US-Verbot der App. Hintergrund waren Befürchtungen, chinesische Behörden könnten auf US-Nutzerdaten zugreifen oder die öffentliche Meinung beeinflussen; entgegen wiederholter Zusicherungen von ByteDance war es Berichten zufolge weiterhin möglich, auch von China aus auf Nutzerdaten zuzugreifen. Der US Supreme Court lehnte TikToks Beschwerde gegen das Gesetz am 17.01.2025 ab und bestätigte damit dessen Rechtmäßigkeit. In der resultierenden Lösung behält ByteDance einen Anteil von knapp 20 Prozent am neuen Gemeinschaftsunternehmen TikTok USDS; die Daten der US-Nutzer sollen wie geplant in Rechenzentren des US-Unternehmens Oracle gespeichert werden.

Ob der verbliebene ByteDance-Minderheitsanteil von knapp 20 Prozent tatsächlich jeden Datenzugriff durch chinesische Behörden ausschließt, ist aus dieser Quelle nicht unabhängig verifiziert.

Das Tracking-Tool Meta Pixel, Teil der Meta Business Tools, sammelt und wertet systematisch Nutzerdaten aus, ohne dass Betroffene sich dessen stets bewusst sind. Besonders kritisch ist der Einsatz auf Websites mit besonders sensiblen Kategorien nach Art. 9 DSGVO, etwa bei Gesundheitsportalen, Beratungsstellen sowie bei Anwaltskanzleien und Steuerberaterpraxen, deren Mandatsverhältnisse gesetzlich der Verschwiegenheitspflicht unterliegen. Mehrere Oberlandesgerichte (Jena, Dresden, Stuttgart) verurteilten Meta wegen datenschutzwidrigen Trackings; der Bundesgerichtshof stellte klar, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann. Verbraucherschutzkanzleien reichten daraufhin hunderte Klagen ein, mit möglichem Schadensersatz von bis zu 10.000 Euro pro Betroffenem. Für Verbraucher bleibt dabei oft unklar, welche Daten genau an Meta fließen, wie lange sie gespeichert werden und mit welchen anderen Informationen sie verknüpft werden.

Ob Meta Pixel konkret auf Websites von Kanzleien oder Steuerberatern in belegter Zahl tatsächlich zu einer Verletzung der anwaltlichen Verschwiegenheitspflicht führte, ist aus dieser Quelle nicht mit Einzelfällen dokumentiert, sondern als strukturelles Risiko beschrieben.

Seit 2012 setzt die britische Durham Constabulary das gemeinsam mit Statistikexperten der University of Cambridge entwickelte Harm Assessment Risk Tool (HART) ein, das vorhersagen soll, ob Verdächtige ein niedriges, mittleres oder hohes Risiko haben, innerhalb der nächsten zwei Jahre erneut straffällig zu werden. HART verarbeitet Vorstrafenhistorie, Alter, Postleitzahl und weitere Hintergrundmerkmale einer Person zu einer Risikoeinstufung. Die Polizei geriet in die Kritik, weil sie damit sozioökonomische Daten zur Rückfallrisikoprognose heranzieht; ethische Bedenken umfassen laut Fachliteratur unzureichende Evidenz, die zu ungerechtfertigten Maßnahmen führt, undurchsichtige Entscheidungsgrundlagen, verzerrte Datenbasis, die Diskriminierung begünstigt, und Auswirkungen auf Autonomie und informationelle Privatsphäre. Die benachbarte Polizei von Avon und Somerset kündigte 2019 an, binnen zwölf Monaten sämtliche Bereiche über mindestens 23 verschiedene Vorhersagemodelle zu steuern, darunter Algorithmen zum Einbruchsrisiko, Nichterscheinen vor Gericht, Vermisstenfällen und häuslicher Gewalt; Bristol City Council führte 2019 zusätzlich ein eigenes Modell zur Vorhersage von Kindeswohlgefährdung durch kriminelle Ausbeutung ein.

Ob und in welchem Umfang HART tatsächlich zu diskriminierenden Polizeimaßnahmen führte, ist aus dieser Quelle nicht mit konkreten Einzelfällen belegt, sondern als strukturelle ethische Kritik formuliert.

Eine MIT-Studie mit dem Titel 'The Cop In Your Neighbor's Doorbell' untersuchte die Nutzung von Amazon Rings Nachbarschafts-App 'Neighbors' in Los Angeles und stellte fest, dass Nutzer gefilmte Personen aktiv als kriminell und verdächtig einordnen, dass die ethnische Zusammensetzung eines Viertels die Häufigkeit solcher Meldungen deutlich beeinflusst, und dass die App insbesondere in überwiegend weißen Vierteln, die an nicht-weiße Gebiete grenzen, als eine Art 'Racial Gatekeeping'-Werkzeug fungieren kann. Bei einer Auswertung von über 100 Nutzerbeiträgen über zwei Monate im Raum New York City waren am häufigsten als 'verdächtig' gemeldete Personen People of Color; in mehreren dokumentierten Fällen ermutigten Kommentatoren Nutzer, wegen Gruppen junger Schwarzer Jungen die Polizei zu rufen, ohne dass irgendein Hinweis auf tatsächliches kriminelles Verhalten vorlag. Die Forscher erstellten zudem die erste umfassende landesweite Karte und Analyse der Nutzung smarter Türklingelkameras in den kontinentalen USA.

Die Studie beschreibt statistische Muster und dokumentierte Einzelfälle aus einer begrenzten Stichprobe; eine flächendeckende bundesweite Häufigkeitsstatistik rassistisch motivierter Meldungen wird daraus nicht abgeleitet.

Die 2015 von der französischen Regierungsagentur Etalab entwickelte Software PredVol wurde 2016 im Département Val d'Oise getestet, um das Risiko von Autodiebstählen vorherzusagen, und 2017/2018 wieder eingestellt, da sie nicht besser abschnitt als einfache menschliche Einschätzung. Die ab 2017 von der Gendarmerie entwickelte Nachfolgesoftware PAVED wurde ab 2018 in mehreren Departements erprobt, verhinderte laut Bericht zwar möglicherweise vereinzelte Autodiebstähle, blieb aber insgesamt in ihrer Vorhersagekraft enttäuschend und führte zu keiner erhöhten Zahl von Festnahmen auf frischer Tat; trotz ursprünglicher Pläne wurde PAVED nie flächendeckend innerhalb der Gendarmerie Nationale eingeführt. Kritiker von La Quadrature du Net bemängeln zusätzlich, dass Hersteller den Quellcode ihrer Software nicht offenlegen, wodurch sich nicht überprüfen lässt, wie die Algorithmen ihre Prognosen tatsächlich berechnen und gewichten, und fordern deshalb ein grundsätzliches Verbot von Predictive Policing in Frankreich.

Ob eine geringe Wirksamkeit oder primär Datenschutzbedenken den entscheidenden Grund für die faktische Nichteinführung von PAVED darstellten, lässt sich aus dieser Quelle nicht eindeutig trennen.

Aadhaar ist das weltweit größte biometrisch gestützte Digitalisierungsprojekt: Eine zwölfstellige Ausweisnummer verknüpft personenbezogene und biometrische Daten jedes indischen Bürgers, darunter Iris-Scans beider Augen und alle zehn Fingerabdrücke, in einer zentralen Datenbank. Das ursprünglich freiwillige Programm ist inzwischen faktisch verpflichtend: Ohne Aadhaar lässt sich in Indien kein Bankkonto eröffnen, keine Telefonnummer oder Kreditkarte beantragen, keine Sozialleistung beziehen, keine Steuererklärung abgeben und keine Ehe schließen. Seit Einführung des Regierungsprojekts wurden über 200 Datenlecks dokumentiert; Journalisten gelang es wiederholt, gegen Bezahlung Zugriff auf die massive Datenbank zu erhalten. Kritiker bezeichnen Aadhaar als totalitär, verfassungswidrig und freiheitseinschränkend, weil zu viele sensible personenbezogene Daten relativ ungeschützt zentral gespeichert werden; zusätzlich erhielten viele der ärmsten Inder ihre lebensnotwendigen Nahrungsmittelrationen nicht, weil Geschäfte Fingerabdrücke technisch nicht korrekt lesen konnten oder keine ausreichende Internetverbindung hatten.

Die genaue Gesamtzahl der durch fehlerhafte biometrische Erkennung von Sozialleistungen ausgeschlossenen Personen ist aus dieser Quelle nicht mit einer belastbaren Statistik beziffert, nur als wiederkehrendes strukturelles Problem beschrieben.

Das im westlichen Mediendiskurs verbreitete Bild eines umfassenden, hochtechnologisierten Sozialkredit-Systems, das sämtliche chinesische Bürger mit einem einheitlichen Punktekonto überwacht, entspricht laut differenzierten Analysen nicht der Realität; ein verpflichtendes, landesweites Bürgersystem existiert bislang nicht. Bis November 2022 war das Sozialkreditsystem ein Flickenteppich aus lokalen Pilotprojekten und nationalen Einzelmaßnahmen; im November 2022 veröffentlichte China einen Gesetzentwurf, der erstmals bisherige Experimente und Regelungen bündelte. Analysten warnen jedoch davor, das System deswegen zu verharmlosen: China verfügt über einen technologisch versierten Überwachungsstaat, der real existiert, sich jedoch anders darstellt als in reißerischer Berichterstattung häufig suggeriert wird.

Die Quelle bezieht bewusst eine Mittelposition zwischen 'Dystopie-Mythos' und 'Verharmlosung'; eine abschließende, einheitliche Bewertung des tatsächlichen Überwachungsumfangs liefert sie nicht.

Die deutschen Bundesländer verfolgen beim Einsatz von Microsoft 365 an Schulen stark unterschiedliche Ansätze, von der Ablehnung als 'Datenstaubsauger für Minderjährige' bis zur Einstufung als unverzichtbares Werkzeug für digitalen Unterricht. Nach Einschätzung der deutschen Datenschutzkonferenz (DSK) ist der Einsatz von Microsoft 365 kaum DSGVO-konform möglich; die österreichische Datenschutzbehörde (DSB) entschied, dass Microsoft 365 Education Schüler unrechtmäßig trackt und Daten ohne ausreichende Rechtsgrundlage verarbeitet. Selbst bei Speicherung auf deutschen Servern innerhalb des DSGVO-Anwendungsbereichs können Daten laut Kritikern in die USA abfließen, da US-Gesetze wie der Cloud Act und FISA US-Geheimdiensten grundsätzlichen Zugriff auf Server US-amerikanischer Unternehmen erlauben, unabhängig vom physischen Serverstandort. Baden-Württemberg kündigte nach Empfehlung des damaligen Landesdatenschutzbeauftragten Stefan Brink und Protesten von Bildungsverbänden an, Microsoft Office 365 aus seiner digitalen Lernplattform an allen Schulen des Landes zu entfernen; in vielen anderen Bundesländern wird Microsoft 365 Education dagegen weiterhin problemlos mit gezielt erworbenen Lizenzen für Lehrkräfte und Schüler eingesetzt.

Die uneinheitliche Praxis zwischen den Bundesländern zeigt, dass dieselbe DSGVO-Rechtslage in Deutschland je nach Landesbehörde unterschiedlich ausgelegt wird; eine bundesweit einheitliche verbindliche Entscheidung ist aus dieser Quelle nicht belegt.

Jobcenter gingen durch automatisierte Abfragen 82.000 Hinweisen auf möglichen Sozialleistungsbetrug nach und tauschten dabei insgesamt 9,1 Millionen Datenpakete zwischen den beteiligten Behörden aus; die Daten verschiedener Behörden werden viermal im Jahr abgeglichen. Kontoauszüge gelten als schärfstes kurzfristiges Kontrollinstrument der Jobcenter und dürfen bei einem Bürgergeld-Antrag zur Prüfung von Einkommen und Vermögen verlangt werden. Zum 01.07.2026 fällt die bisher schonende, gestaffelte Sanktionsregelung (10, 20 oder 30 Prozent Kürzung) weg. Im Jahr 2024 waren allerdings nur 0,6 Prozent bzw. rund 23.000 Menschen von Leistungsminderungen betroffen, die wegen Verweigerung der Aufnahme oder Fortführung einer Arbeit verhängt wurden, eine vergleichsweise geringe Zahl gemessen am Umfang der Datenerhebung und -kontrolle.

Die geringe tatsächliche Sanktionsquote von 0,6 Prozent im Verhältnis zum Umfang von 9,1 Millionen ausgetauschten Datenpaketen und 82.000 Betrugsprüfungen wirft die Frage auf, wie viele der Kontrollen tatsächlich zu belegtem Fehlverhalten führten; diese Verhältniszahl selbst liefert die Quelle jedoch nicht explizit als Kritik.

Seit dem 01.04.2005 können Finanzämter und andere Behörden über das automatisierte Kontenabrufverfahren auf Kontostammdaten inländischer Konten und Wertpapierdepots zugreifen, ohne dass die betroffene Bank davon Kenntnis erhält. Abgefragt werden Kontoinhaber-Name und Geburtsdatum, Konto- und Depotnummern sowie Errichtungs- und Auflösungsdaten, jedoch keine Kontostände oder Umsätze. Die Zahl der Kontenabrufe stieg von 692.166 im Jahr 2017 auf 1.140.580 im Jahr 2021, im Jahr 2022 wurden über 1,1 Millionen Abrufe registriert, davon rund 294.000 durch Finanzämter. Der Bundesbeauftragte für den Datenschutz weist seit Jahren darauf hin, dass die Zahl der von Finanzämtern initiierten Kontenabrufverfahren kontinuierlich zunimmt.

Die Statistik erfasst nur die Zahl der Abrufe, nicht deren Ergebnis; wie viele Abrufe tatsächlich zu Steuernachforderungen oder Ermittlungsverfahren führten, ist aus dieser Quelle nicht belegt.

Die ACLU trainierte Amazons Gesichtserkennungssoftware Rekognition mit 25.000 öffentlich zugänglichen Fahndungsfotos und glich sie anschließend mit Fotos von Mitgliedern des US-Kongresses ab. Der Algorithmus verwechselte fälschlicherweise 28 Kongressmitglieder mit Personen aus den Fahndungsfotos, wobei Fehltreffer bei Kongressabgeordneten mit dunklerer Hautfarbe überproportional häufig auftraten. Die ACLU kritisierte, Gesichtserkennungstechnologie verstärke die Überpolizierung Schwarzer und brauner Communities und habe bereits zu falschen Festnahmen und fehlerhaften Inhaftierungen mehrerer Schwarzer Männer geführt. Amazon kündigte im Juni 2020 ein einjähriges Moratorium für den Verkauf von Rekognition an Strafverfolgungsbehörden an und verlängerte dieses im Mai 2021 auf unbestimmte Zeit; die ACLU bewertete das befristete Moratorium ursprünglich als unzureichend und forderte ein vollständiges, dauerhaftes Verbot bis die Gefahren der Technologie vollständig adressiert seien.

Ob Amazon das unbefristete Moratorium seither tatsächlich lückenlos einhält oder Rekognition über andere Vertriebswege weiterhin an Polizeibehörden gelangt, ist aus dieser Quelle nicht belegt.

Das Pegasus-Projekt war eine Zusammenarbeit von über 80 Journalisten aus 17 Medienorganisationen in 10 Ländern, koordiniert von der Pariser Non-Profit-Organisation Forbidden Stories in Partnerschaft mit dem Amnesty International Security Lab. Die Recherche stützte sich auf einen Datensatz mit über 50.000 Telefonnummern, die seit 2016 als potenzielle Zielpersonen von Kunden der israelischen Überwachungsfirma NSO Group identifiziert worden sein sollen. Die Untersuchung identifizierte mindestens 180 Journalisten in 20 Ländern, die zwischen 2016 und Juni 2021 für eine mögliche Überwachung mit der Pegasus-Spyware ausgewählt wurden, unter anderem in Aserbaidschan, Ungarn, Indien und Marokko, Ländern mit verstärktem Vorgehen gegen unabhängige Medien. Das Amnesty International Security Lab führte forensische Analysen an den Telefonen von mehr als einem Dutzend dieser Journalisten durch und bestätigte bei insgesamt 67 untersuchten Telefonen erfolgreiche Infektionen über eine Sicherheitslücke in iPhones, trotz NSO Groups Behauptung, die Technologie sei ausschließlich für legitime Strafverfolgungszwecke bestimmt.

Die Liste von über 50.000 Telefonnummern zeigt potenzielle Zielauswahl durch NSO-Kunden, nicht zwingend erfolgreiche Infektionen; forensisch bestätigt wurden Infektionen nur bei den 67 tatsächlich untersuchten Geräten.

Eine Studie des Open Markets Institute charakterisierte Amazon als 'vor allem eine Überwachungsfirma' und deckte eine umfassende Überwachungskultur mit 'Kontrolle, Erniedrigung und unablässiger Angst' der Beschäftigten auf. Ehemalige Mitarbeiter berichteten von sogenannten 'Release Days', an denen mehrere befristete Beschäftigte gekündigt werden, wobei die Entscheidung auf den Ergebnissen eines internen Computersystems beruht; Mitarbeiter können jederzeit entlassen werden, wenn sie von Messwerten abweichen, deren Existenz ihnen nicht einmal bekannt ist. Die intensive Überwachung dient laut Studie nicht nur der Leistungskontrolle, sondern auch dazu, gewerkschaftliche Organisierung der Beschäftigten zu erschweren. Die Studienautoren fordern ein Verbot derart invasiver Überwachung und eine stärkere gesetzliche Unterstützung der Gewerkschaftsbildung durch den US-Kongress.

Konkrete Beispiele für die genauen, den Beschäftigten unbekannten Messwerte, die zur automatisierten Kündigung führen, nennt die Quelle nicht im Detail.

Am 15. Juli 2020 verschafften sich Angreifer durch einen telefonischen Spear-Phishing-Angriff auf Twitter-Mitarbeiter Zugangsdaten zu einem internen Support-Tool des Unternehmens. Mit diesem Zugriff nahmen sie laut Twitters eigener Stellungnahme insgesamt 130 Accounts ins Visier, tweeteten von 45 dieser Konten, griffen bei 36 Konten auf das Nachrichtenpostfach zu und luden bei 7 Konten die gespeicherten Twitter-Daten herunter. Betroffen waren unter anderem die Accounts von Barack Obama, Joe Biden, Bill Gates, Elon Musk, Jeff Bezos, Kanye West und Kim Kardashian West sowie die Firmenaccounts von Apple und Uber. Die gekaperten Accounts veröffentlichten Tweets mit dem Versprechen, eingesendete Bitcoin-Zahlungen verdoppelt zurückzusenden, zusammen mit einer Bitcoin-Wallet-Adresse. Nach Angaben des New York State Department of Financial Services erbeuteten die Täter dabei mehr als 118.000 US-Dollar in Bitcoin. Im Juli 2020 wurde der damals 17-jährige Graham Ivan Clark aus Florida als mutmaßlicher Kopf der Aktion festgenommen und im März 2021 zu drei Jahren Jugendhaft verurteilt. Zwei weitere Mitverdächtige, Mason Sheppard und Nima Fazeli, wurden ebenfalls strafrechtlich angeklagt. Twitter reagierte mit einer vorübergehenden Einschränkung der Tweet-Funktion für viele verifizierte Accounts und kündigte strengere interne Zugriffskontrollen sowie zusätzliche Mitarbeiterschulungen an.

Der offizielle Twitter-Blogbeitrag selbst nennt keine Schadenssumme und keine Namen von Verdächtigen; diese Angaben stammen aus separaten Ermittlungen von US-Justizbehörden und dem New York State Department of Financial Services. Ob neben den drei strafrechtlich verfolgten Personen weitere Beteiligte oder Hintermänner agierten, ist nicht abschließend geklärt.

Am 04.08.2022 stellte das US-Unternehmen Twilio Inc., ein Anbieter von Cloud-Kommunikationsdiensten, fest, dass Angreifer über eine SMS-Phishing-Kampagne (Smishing) Zugriff auf interne Systeme erlangt hatten. Ab Mitte Juli 2022 versendeten die Angreifer Textnachrichten an aktuelle und ehemalige Twilio-Mitarbeiter, die vorgaben, von der IT-Abteilung zu stammen und ein angeblich abgelaufenes Passwort zu betreffen. Die enthaltenen Links führten zu gefälschten Okta-Anmeldeseiten auf Domains wie twilio-sso.com und twilio-okta.net, auf denen Zugangsdaten abgegriffen wurden. Mit diesen Zugangsdaten verschafften sich die Angreifer Zugriff auf interne Twilio-Systeme und darüber auf Kundendaten. Laut dem am 27.10.2022 abgeschlossenen Untersuchungsbericht von Twilio waren 209 von insgesamt mehr als 270.000 Kunden betroffen. Zusätzlich griffen die Angreifer auf 93 Konten der zu Twilio gehörenden Zwei-Faktor-Authentifizierungs-App Authy zu, die rund 75 Millionen Nutzer zählt, und registrierten dort zusätzliche Geräte, um Einmalcodes für verknüpfte Konten generieren zu können. Twilio erklärte, es gebe keine Hinweise darauf, dass Konsolen-Zugangsdaten, Authentifizierungs-Token oder API-Schlüssel von Kunden kompromittiert wurden. Als Reaktion entzog Twilio kompromittierte Mitarbeiterzugänge, stattete alle Beschäftigten mit FIDO2-Hardware-Sicherheitsschlüsseln aus, verschärfte VPN-Kontrollen und führte verpflichtende Schulungen zu Social Engineering ein. Sicherheitsforscher ordneten den Angriff später der Gruppe Oktapus zu, die im gleichen Zeitraum mehr als 130 Organisationen per Smishing angriff.

Aus dieser Quelle nicht belegt sind mögliche behördliche Bußgelder oder Entschädigungszahlungen sowie das genaue Ausmaß der bei den einzelnen betroffenen Firmenkunden abgegriffenen Daten. Die Zuordnung des Angriffs zur Gruppe Oktapus stammt nicht aus dem Twilio-Bericht selbst, sondern aus unabhängigen Sicherheitsanalysen Dritter.