Quellen-Tabelle

Der AT&T-Techniker Mark Klein deckte 2006 auf, dass die NSA in einem geheimen Raum namens 641A in der AT&T-Vermittlungsstelle in San Francisco per Glasfaser-Beam-Splittern und einem Narus-Gerät den gesamten Internet-Backbone-Verkehr kopieren ließ, seit 2003 in Betrieb. Die von Klein vorgelegten internen AT&T-Dokumente bildeten die Grundlage der Klage Hepting v. AT&T, die die EFF am 31. Januar 2006 einreichte. Ein Bundesrichter wies im Juli 2006 den Antrag der Regierung ab, die Klage per Staatsgeheimnis-Privileg abzuweisen.

Offen blieb, wie viele weitere solcher Räume es bei anderen Telekommunikationsanbietern landesweit gab, da sich die Regierung durchgehend auf das Staatsgeheimnis-Privileg berief. Zu einer inhaltlichen gerichtlichen Klärung der Rechtmäßigkeit kam es nie: Der Kongress gewährte den Telekomfirmen 2008 rückwirkende Immunität, Hepting v. AT&T wurde 2011 abgewiesen.

Juniper Networks bestätigte am 17./18. Dezember 2015 in einer Sicherheitswarnung (JSA10713), dass unautorisierter Code in das Betriebssystem ScreenOS seiner NetScreen-Firewalls eingeschleust worden war. Der Code (CVE-2015-7755, CVE-2015-7756) ermöglichte sowohl einen Authentifizierungs-Bypass über SSH/Telnet als auch die passive Entschlüsselung von VPN-Verkehr durch eine manipulierte Konstante im Dual-EC-Zufallszahlengenerator. Nach Angaben von Juniper war der Code seit August 2012 in der Software vorhanden, betroffen waren die ScreenOS-Versionen 6.2.0r15 bis 6.2.0r18 und 6.3.0r12 bis 6.3.0r20.

Wer den Code eingeschleust hat, ist bis heute nicht offiziell geklärt; Sicherheitsforscher vermuten einen staatlichen Akteur, ohne dass Juniper oder US-Behörden einen Verantwortlichen öffentlich benannt haben. Unklar bleibt auch, in welchem Umfang der Zugang tatsächlich für Spionage genutzt wurde und welche konkreten Ziele betroffen waren.

Die belgische Datenschutzbehörde APD/GBA stellte am 2. Februar 2022 fest, dass IAB Europes Transparency and Consent Framework (TCF) für Cookie-Einwilligungen gegen die DSGVO verstößt. Sie verhängte ein Bußgeld von 250.000 Euro und stufte IAB Europe als Mitverantwortlichen für die Verarbeitung der TC-Strings ein, digitale Zeichenketten mit Nutzerpräferenzen, die als personenbezogene Daten gelten. Bemängelt wurden unter anderem eine fehlende Rechtsgrundlage, ein fehlender Datenschutzbeauftragter und eine zu unklare Nutzerinformation.

Offen blieb zum Zeitpunkt der Entscheidung, ob IAB Europe den geforderten Aktionsplan fristgerecht umsetzen würde, da das Unternehmen gegen die Entscheidung beim Brüsseler Marktenhof Berufung einlegte. Wie stark sich das Real-Time-Bidding-Ökosystem mit tausenden beteiligten Werbeunternehmen dadurch tatsächlich änderte, geht aus der Entscheidung selbst nicht hervor.

Aus dem Firmenregister der Bahamas gelangten 1,3 Millionen Dateien an Journalisten der Süddeutschen Zeitung, die sie mit dem ICIJ und internationalen Medienpartnern auswerteten. Die Dokumente listen Direktoren und teils Eigentümer von mehr als 175.000 bahamaischen Firmen, Trusts und Stiftungen aus den Jahren 1990 bis Anfang 2016, darunter die frühere EU-Kommissarin Neelie Kroes als nicht gemeldete Direktorin einer Offshore-Gesellschaft.

Die Quelle der geleakten Registerdaten wurde nie öffentlich identifiziert. Nicht abschließend dokumentiert ist, in wie vielen der 175.000 Fälle die Offshore-Struktur tatsächlich zu Steuerhinterziehung oder anderer Kriminalität genutzt wurde, da die bloße Eintragung im Register allein noch kein Fehlverhalten belegt.

Die niederländische Staatsanwaltschaft einigte sich am 19.04.2021 mit der Bank ABN AMRO außergerichtlich auf eine Zahlung von 480 Millionen Euro wegen struktureller Verstöße gegen das niederländische Geldwäschegesetz zwischen 2014 und 2020. Die Ermittlungen belegten, dass rund 5,5 Millionen Privatkunden fehlerhaft als risikoarm eingestuft wurden und das Transaktionsüberwachungssystem dauerhaft mehr Alarme erzeugte als die Bank bearbeiten konnte.

Offen blieb zum Zeitpunkt der Einigung, ob es zu einer strafrechtlichen Anklage gegen die drei namentlich als Verdächtige geführten früheren ABN-AMRO-Vorstandsmitglieder kommt. Die Bank räumte im Vergleich keine strafrechtliche Schuld ein.

Ross Ulbricht betrieb ab Januar 2011 unter dem Pseudonym Dread Pirate Roberts die per Tor verborgene Website Silk Road, über die Drogen und andere illegale Waren gegen Bitcoin gehandelt wurden. Am 1. Oktober 2013 wurde Ulbricht in San Francisco festgenommen, die Website wurde tags darauf abgeschaltet. Am 5. Februar 2015 sprach ihn eine Jury in allen sieben Anklagepunkten schuldig, am 29. Mai 2015 verurteilte das Gericht ihn zu lebenslanger Haft ohne Bewährungsmöglichkeit.

Ulbricht wurde vorgeworfen, mehrere Auftragsmorde in Auftrag gegeben zu haben, dafür aber nie separat angeklagt oder verurteilt, die Vorwürfe blieben strafrechtlich ungeklärt. Am 21. Januar 2025 begnadigte US-Präsident Donald Trump Ulbricht vollständig und unbedingt, er kam nach fast elf Jahren Haft frei.

Das US-Justizministerium teilte mit, dass FTX-Gründer Samuel Bankman-Fried am 28. März 2024 zu 25 Jahren Haft und drei Jahren Bewährungsaufsicht verurteilt wurde. Er wurde für schuldig befunden, Kundengelder der im November 2022 kollabierten Kryptobörse FTX in Milliardenhöhe veruntreut, FTX-Investoren um mehr als 1,7 Milliarden Dollar und Alameda-Kreditgeber um mehr als 1,3 Milliarden Dollar betrogen zu haben. Das Gericht ordnete zudem eine Vermögenseinziehung von rund 11 Milliarden Dollar an.

Offen blieb laut Presseberichten, in welchem Umfang die angeordnete Einziehungssumme tatsächlich von Bankman-Fried eingetrieben werden kann, da er nach Richterangaben nicht über entsprechende Vermögenswerte verfügt. Bankman-Fried kündigte Berufung gegen das Urteil an, deren Ausgang zum Zeitpunkt der Mitteilung nicht feststand.

Am 23.03.2022 wurden fünf von neun Validator-Schlüsseln der Ronin-Bridge des Spieleentwicklers Sky Mavis (Axie Infinity) kompromittiert, wodurch Angreifer 173.600 Ether und 25,5 Millionen USDC im Gesamtwert von rund 625 Millionen Dollar abziehen konnten. Der Zugriff erfolgte laut Sky Mavis über einen manipulierten Gas-freien RPC-Knoten, nachdem ein leitender Ingenieur zuvor mit einem gefälschten Jobangebot geködert worden war. Das FBI bestätigte am 14.04.2022 offiziell, dass die nordkoreanische Lazarus-Gruppe verantwortlich war.

Wie genau der gefälschte Job-Köder technisch zum Zugriff auf den RPC-Knoten führte, wurde von Sky Mavis nur in groben Zügen offengelegt. Nur ein Bruchteil der gestohlenen Gelder wurde je sichergestellt, eine strafrechtliche Verurteilung einzelner Täter liegt bis heute nicht vor, da sich die Verantwortlichen mutmaßlich in Nordkorea befinden.

Laut US-Bundesanwaltschaft SDNY verkaufte OneCoin ab 2014 in Bulgarien eine erfundene Kryptowährung ohne echte Blockchain über ein weltweites Multi-Level-Marketing-Netzwerk und erbeutete so über 4 Milliarden Dollar von rund 3,5 Millionen Anlegern. Mitgründer Karl Sebastian Greenwood wurde am 12.09.2023 zu 20 Jahren Haft und 300 Millionen Dollar Einziehung verurteilt. Gründerin Ruja Ignatova wurde 2017 angeklagt, verschwand im Oktober 2017 und steht seit Juni 2022 auf der FBI-Liste der zehn meistgesuchten Flüchtigen.

Ruja Ignatovas Aufenthaltsort ist bis heute unbekannt, sie gilt weiter als flüchtig. Ein 2022 aufgetauchter Polizeibericht legt nahe, sie sei 2018 ermordet worden, ihre Leiche wurde jedoch nie gefunden. Spätere Hinweise auf mögliche Sichtungen sind nicht bestätigt, sodass offen bleibt, ob sie noch lebt.

Die SEC klagte Bill Hwang und weitere Führungskräfte von Archegos Capital Management wegen eines betrügerischen Schemas an. Hwang kaufte ab März 2020 auf Kredit Total Return Swaps und täuschte Banken systematisch über die tatsächliche Risikokonzentration seines Fonds. Als die Kurse der Positionen im März 2021 fielen, konnte Archegos Nachschussforderungen nicht bedienen, was zu Verlusten von über 10 Milliarden US-Dollar bei Banken wie Credit Suisse, Nomura, UBS und Morgan Stanley führte. Im Juli 2024 wurde Hwang für schuldig befunden und im November 2024 zu 18 Jahren Haft verurteilt.

Offen bleibt, wie hoch die tatsächlichen Gesamtverluste aller betroffenen Banken letztlich waren, da einzelne Institute unterschiedliche Zahlen nannten. Nicht abschließend geklärt ist zudem, inwieweit die beteiligten Prime-Broker-Banken durch eigenes Risikomanagement-Versagen zur Höhe der Verluste beitrugen.

Die BaFin verhängte am 3. März 2021 ein Moratorium über die Bremer Greensill Bank AG, nachdem diese keine Nachweise für Forderungen aus ihrer Lieferkettenfinanzierung vorlegen konnte. Am 16. März 2021 stellte die BaFin einen Entschädigungsfall fest und beantragte die Insolvenz beim Amtsgericht Bremen, das das Verfahren noch am selben Tag eröffnete. Kundeneinlagen werden über die gesetzliche Einlagensicherung bis 100.000 Euro entschädigt.

Die genaue Schadenshöhe für deutsche Kommunen und Sparkassen, die laut Medienberichten dreistellige Millionenbeträge bei der Greensill Bank angelegt hatten, wird in den BaFin-Mitteilungen nicht beziffert. Individuelle strafrechtliche oder aufsichtsrechtliche Verantwortlichkeiten von Bankmanagern waren zum Zeitpunkt der Veröffentlichung nicht abschließend geklärt.

Am 1. August 2024 trat die EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689, in Kraft, nachdem sie am 12. Juli 2024 im Amtsblatt der EU veröffentlicht worden war. Die EU-Kommission bezeichnet sie offiziell als weltweit erstes umfassendes Rechtsrahmenwerk für KI. Die Pflichten gelten gestaffelt: Verbote bestimmter KI-Praktiken wie Social Scoring ab dem 2. Februar 2025, Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck ab dem 2. August 2025.

Offen bleibt, bis wann die Pflichten für Hochrisiko-KI-Systeme in Bereichen wie Bildung, Beschäftigung oder Migration vollständig greifen, da die Kommission über das separat verhandelte Digital-Omnibus-Paket Verschiebungen dieser Fristen vorschlägt. Wie streng die nationalen Marktüberwachungsbehörden die Vorgaben in der Praxis durchsetzen und mit welchen Bußgeldern, ist zum Erfassungszeitpunkt noch nicht erprobt.

Die italienische Datenschutzbehörde Garante ordnete am 30. März 2023 eine sofortige vorläufige Beschränkung der Datenverarbeitung durch ChatGPT in Italien an. Als Gründe nannte sie die fehlende Rechtsgrundlage für die massenhafte Sammlung und Speicherung personenbezogener Daten zum Training der Algorithmen, mangelhafte Nutzerinformation sowie das Fehlen einer Altersverifikation für Minderjährige. Ausgelöst wurde die Maßnahme auch durch ein Datenleck bei OpenAI vom 20. März 2023. Nachdem OpenAI bis zum 28. April 2023 Auflagen umsetzte, wurde der Dienst wieder freigeschaltet.

Offen bleibt, in welchem Umfang OpenAI die geforderten Maßnahmen tatsächlich dauerhaft und vollständig umsetzte, da spätere Verfahren des Garante weitere Verstöße feststellten. Nicht abschließend geklärt ist zudem, wie wirksam die eingeführte Altersverifikation in der Praxis tatsächlich Minderjährige schützt.

Die italienische Datenschutzbehörde Garante erließ am 2. Februar 2023 eine Dringlichkeitsanordnung gegen den US-Anbieter Luka Inc und untersagte die Verarbeitung personenbezogener Daten italienischer Nutzer durch den KI-Begleiter-Chatbot Replika. Grund waren fehlende Altersverifikation und Verstöße gegen Transparenzpflichten der DSGVO, da Replika Minderjährige nicht wirksam ausschließen konnte und diesen laut Tests auch sexuell konnotierte Antworten lieferte. Bei Nichtbefolgung drohte eine Strafe von bis zu 20 Millionen Euro.

Offen bleibt, wie viele italienische Minderjährige Replika tatsächlich nutzten und welchen konkreten Schaden sie erlitten. Die genaue Höhe der später verhängten Geldbuße gegen Luka Inc ist in den hier genutzten Quellen nicht abschließend beziffert.

Der BfDI Ulrich Kelber verhängte am 9. Dezember 2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH. Grund war ein Verstoß gegen Art. 32 DSGVO, da Anrufer an der Kundenhotline sich lediglich mit Name und Geburtsdatum ausweisen mussten und dadurch unbefugt an persönliche Kundendaten gelangen konnten. Auslöser war ein 2018 dokumentierter Fall, in dem eine Ex-Partnerin so die neue Telefonnummer eines Kunden erfragte.

1&1 legte gegen das Bußgeld Einspruch ein. Das Landgericht Bonn bestätigte 2020 zwar den Verstoß, reduzierte die Strafe aber auf 900.000 Euro, da es die Fahrlässigkeit als gering einstufte. Ob weitere Kunden konkret geschädigt wurden, ist nicht dokumentiert.

Die Staatsanwaltschaft Verden übergab dem BSI rund 21 Millionen sichergestellte Zugangsdaten, nach Bereinigung verblieben etwa 18 Millionen Datensätze, davon 3 Millionen deutschen Providern zuzuordnen. Die Deutsche Telekom bestätigte offiziell, dass rund 87.000 ihrer T-Online-Kunden betroffen waren und informierte diese per E-Mail über Schutzmaßnahmen. Laut BSI handelte es sich um gestohlene Benutzernamen und Passwörter, die vermutlich durch Schadsoftware auf Nutzergeräten abgegriffen wurden.

Die genaue Herkunft und der ursprüngliche Angriffsweg der gestohlenen Zugangsdaten bleiben laut BSI ungeklärt, ein Diebstahl direkt von Telekom-Servern wird aber ausgeschlossen. Nicht belegt ist, wie viele der informierten Kunden tatsächlich Opfer von Missbrauch wurden.

Am 12.07.2024 teilte die EU-Kommission X (vormals Twitter) vorläufige Feststellungen mit, wonach das Unternehmen gegen Artikel 25, 39 und 40 Absatz 12 des Digital Services Act verstößt. Beanstandet wurden irreführende Design-Praktiken beim bezahlten Blue Checkmark, mangelnde Transparenz im Werbe-Repository und unzureichender Datenzugang für unabhängige Forscher. Am 05.12.2025 verhängte die Kommission deswegen in ihrer ersten DSA-Bußgeldentscheidung eine Geldstrafe von 120 Millionen Euro gegen X.

Offen bleibt in den amtlichen Mitteilungen, ob und wie X gegen die Entscheidung vorgeht, etwa vor dem Gericht der EU. Die genauen technischen und organisatorischen Nachbesserungen, zu denen X verpflichtet wurde, sind in den Pressemitteilungen nur skizziert, nicht im Detail dokumentiert.

Am 6. Juli 2016 gab das britische Gesundheitsministerium bekannt, dass NHS England das umstrittene Programm care.data einstellt. Care.data sollte ab 2013 Patientendaten aus Hausarztpraxen in England zentral zusammenführen und für Forschung und Planung verfügbar machen, wurde aber wegen unzureichender Aufklärung der Patienten und Datenschutzbedenken nie vollständig umgesetzt. Die Einstellung folgte auf den Caldicott-Bericht der National Data Guardian sowie einen Bericht der Care Quality Commission.

Die offizielle Erklärung nennt keine konkreten Zahlen zu Kosten oder Opt-out-Quoten des Programms. Berichte anderer Medien beziffern die bereits entstandenen Kosten auf rund 8 Millionen Pfund und die Zahl der Opt-outs auf etwa 1,5 Millionen, dies stammt jedoch nicht aus der Primärquelle selbst.

Die Schweizer IT-Sicherheitsfirma modzero deckte 2018 gravierende Sicherheitslücken in der von 14 gesetzlichen und 2 privaten Krankenkassen unterstützten Gesundheits-App Vivy auf, die rund 13,5 Millionen Versicherte digital nutzen konnten. Namen, Fotos, E-Mail-Adressen, Geburtsdaten und Versichertennummern sowie Arztdaten waren durch Schwächen bei Verschlüsselung und Schlüsselverwaltung unzureichend geschützt. modzero informierte Vivy am 21.09.2018 und veröffentlichte den Bericht am 30.10.2018 nach Ablauf einer vereinbarten Frist.

Der Bericht dokumentiert nur die technische Machbarkeit der Angriffe, keine belegten Fälle von tatsächlichem Datenmissbrauch oder Datenabfluss an Dritte. Ob die von Vivy zugesicherten Gegenmaßnahmen alle Lücken vollständig schlossen, wurde von modzero nicht unabhängig nachgeprüft.

LinkedIn bestätigte am 6. Juni 2012 offiziell, dass ein Teil der zuvor auf einem russischen Hackerforum veröffentlichten Passwort-Hashes zu LinkedIn-Konten gehörte. Die rund 6,5 Millionen unsalted SHA-1-Hashes stammten aus einer Datenbank, betroffene Nutzer wurden zum Passwort-Reset aufgefordert und das Unternehmen führte danach Salting für die Passwortspeicherung ein.

Wie die Angreifer Zugriff auf die Datenbank erlangten, blieb in der offiziellen Mitteilung unbeschrieben. Die tatsächliche Gesamtzahl betroffener Konten war 2012 unklar und wurde erst 2016 auf rund 117 Millionen E-Mail-Passwort-Kombinationen nach oben korrigiert.

Under Armour bestätigte am 29. März 2018 offiziell ein Datenleck bei seiner Fitness-App MyFitnessPal, von dem rund 150 Millionen Nutzerkonten betroffen waren. Kompromittiert wurden Nutzernamen, E-Mail-Adressen und größtenteils mit bcrypt gehashte Passwörter. Der unbefugte Zugriff erfolgte laut Unternehmen Ende Februar 2018 und wurde am 25. März 2018 entdeckt, Zahlungsdaten und Sozialversicherungsnummern waren nach Unternehmensangaben nicht betroffen.

Nicht öffentlich dokumentiert sind die Identität der Angreifer und der genaue technische Einbruchsweg in die Systeme. Offen bleibt zudem, in welchem Umfang die gestohlenen Zugangsdaten später tatsächlich für Kontoübernahmen bei anderen Diensten missbraucht wurden.

Unbekannte Angreifer nutzten gestohlene Zugangs-Tokens von Slack-Mitarbeitern, um am 27. Dezember 2022 auf extern gehostete private GitHub-Repositories von Slack zuzugreifen und Code herunterzuladen. Slack bestätigte offiziell, dass die Tokens durch die Kompromittierung eines Drittanbieters entwendet wurden, und rotierte anschließend alle betroffenen Zugangsdaten.

Slack erklärte, dass keine Kundendaten, keine Zugangsmittel zu Kundendaten und nicht der primäre Produktionscode betroffen waren. Welcher Drittanbieter genau kompromittiert wurde und wie die Angreifer dort eindrangen, wurde von Slack nicht öffentlich benannt.

Anfang Oktober 2022 versendeten Angreifer Phishing-E-Mails an Dropbox-Mitarbeiter, die vorgaben, von der CI/CD-Plattform CircleCI zu stammen, und auf eine gefälschte CircleCI-Login-Seite verwiesen. Mitarbeiter gaben dort ihre Zugangsdaten ein, wodurch die Angreifer Zugriff auf ein GitHub-Konto eines Dropbox-Entwicklers erlangten. Über dieses Konto kopierten die Angreifer rund 130 interne Code-Repositories, Entwickler-API-Schlüssel sowie einige tausend Namen und E-Mail-Adressen von Mitarbeitern und Kunden. GitHub informierte Dropbox am 14.10.2022, woraufhin Dropbox den Zugriff sperrte.

Dropbox erklärte, dass Kerninhalte, Passwörter und Zahlungsinformationen von Nutzern nicht betroffen waren, ohne diese Aussage durch eine unabhängige Prüfung zu belegen. Die genaue Identität der Angreifer, die Gesamtzahl der betroffenen Personen sowie ein möglicher weiterer Missbrauch der gestohlenen API-Schlüssel gehen aus der Quelle nicht hervor.

Okta bestätigte offiziell, dass Angreifer zwischen Ende September und Anfang Oktober 2023 mit einem gestohlenen Zugangsdatensatz auf das Kundensupport-System zugriffen, getrennt von der produktiven Okta-Plattform. Die Täter konnten von Kunden hochgeladene Dateien einsehen, darunter HAR-Dateien mit Cookies und Session-Tokens, die zur Identitätsübernahme missbraucht werden können. BeyondTrust entdeckte den Angriff am 2. Oktober 2023 und meldete ihn an Okta.

Wie das ursprüngliche Zugangsdatum genau gestohlen wurde, bleibt laut Okta offen. Unklar sind zudem die genaue Gesamtzahl betroffener Kunden, die volle Dauer des unautorisierten Zugriffs und ob über HAR-Dateien hinaus weitere Kundendaten eingesehen wurden.

Der EuGH entschied im Fall Google LLC gegen die französische Datenschutzbehörde CNIL, dass ein Suchmaschinenbetreiber eine Auslistung nach dem Recht auf Vergessenwerden nicht weltweit auf allen Domain-Versionen durchführen muss, sondern nur auf den Versionen, die den EU-Mitgliedstaaten entsprechen. Vorausgegangen war ein Bußgeld von 100.000 Euro, das die CNIL 2016 gegen Google verhängt hatte. Der Suchmaschinenbetreiber muss aber wirksame Maßnahmen wie Geoblocking einsetzen, damit Nutzer in der EU die gelöschten Links nicht über Nicht-EU-Versionen der Suchmaschine umgehen können.

Aus der Pressemitteilung und dem Urteil selbst geht nicht hervor, wie wirksam die von Google eingesetzten Geoblocking-Maßnahmen in der Praxis tatsächlich sind. Offen bleibt zudem, ob und wie einzelne Mitgliedstaaten seither per nationalem Recht doch eine weltweite Auslistung angeordnet haben, da der EuGH dies ausdrücklich nicht ausschließt.