Quellen-Tabelle

Die Europäische Kommission verhängte am 14.11.2024 gegen Meta eine Kartellstrafe von 797,72 Millionen Euro wegen automatischer Kopplung des Kleinanzeigendienstes Facebook Marketplace an das soziale Netzwerk sowie unfairer Geschäftsbedingungen für konkurrierende Anzeigenanbieter. Alle Facebook-Nutzer erhalten laut Kommission automatisch Zugang zu Marketplace, was Meta einen erheblichen Vertriebsvorteil verschaffe.

Der genaue Berechnungsweg der Bußgeldhöhe ist nicht im Detail dokumentiert. Meta kündigte Rechtsmittel vor dem Gericht der EU an, der Ausgang stand zum Recherchezeitpunkt noch aus.

Die schwedische Datenschutzbehörde IMY verhängte am 29.03.2022 gegen Klarna Bank AB ein Bußgeld von 7,5 Millionen schwedischen Kronen, umgerechnet rund 671.000 Euro. Geprüft wurde der Zeitraum Frühjahr 2020, Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige Angaben zu Empfängern personenbezogener Daten, darunter Auskunfteien.

Der spätere gerichtliche Verlauf, darunter eine zwischenzeitliche Herabsetzung und Wiederanhebung auf 7,5 Millionen Kronen durch das Kammarrätten im März 2024, ist in dieser Pressemitteilung selbst noch nicht abgebildet. Dieser Fall betrifft eine administrative Bußgeldentscheidung wegen Informationspflichten und ist getrennt vom separaten App-Datenpannen-Vorfall von Klarna 2021 zu betrachten.

Die CNIL verhängte am 31.12.2021 ein Bußgeld von insgesamt 150 Millionen Euro gegen Google (90 Mio Google LLC, 60 Mio Google Ireland), weil Nutzer auf google.fr und youtube.com Cookies mit einem Klick akzeptieren konnten, die Ablehnung aber mehrere Klicks erforderte. Die Behörde ordnete an, die Cookie-Ablehnung binnen drei Monaten so einfach wie die Annahme zu gestalten.

Ob Google innerhalb der Dreimonatsfrist vollständig compliant wurde, bleibt offen, die CNIL kam 2023 mit einer weiteren Entscheidung auf die Umsetzung zurück. Dieser Fall betrifft ausschließlich die Cookie-Bannergestaltung und ist getrennt vom späteren Google-Analytics-Verfahren zu betrachten.

Die Europäische Kommission verhängte am 04.03.2024 eine Geldbuße von 1,84 Milliarden Euro gegen Apple wegen Missbrauchs seiner marktbeherrschenden Stellung beim Vertrieb von Musik-Streaming-Apps über den App Store. Grundlage war eine Beschwerde von Spotify aus 2019. Apple habe Anti-Steering-Klauseln auferlegt, die es Diensten untersagten, iOS-Nutzer über günstigere Abo-Optionen außerhalb des App Store zu informieren.

Apple kündigte an, gegen die Entscheidung vor Gericht vorzugehen, der Ausgang des Rechtsmittelverfahrens war zum Recherchezeitpunkt offen. Der endgültige Zahlungsstatus der Buße ist nicht dokumentiert.

Die IT-Sicherheit der Nordex Group stellte am 31.03.2022 fest, dass das Unternehmen Ziel eines Cybersicherheitsvorfalls war. Als Vorsichtsmaßnahme wurden IT-Systeme mehrerer Geschäftsbereiche an verschiedenen Standorten abgeschaltet und der Fernzugriff auf vertraglich betreute Windturbinen deaktiviert. Die Turbinen liefen nach ersten Erkenntnissen unbeeinträchtigt weiter.

Die genaue Zahl der betroffenen Standorte und das Ausmaß des Datenabflusses sind nicht offiziell spezifiziert. Die Ransomware-Gruppe Conti reklamierte den Angriff laut Medienberichten für sich, dies wurde von Nordex nicht explizit bestätigt.

Der EuGH entschied am 04.05.2023 in der Rechtssache C-300/21, dass ein bloßer DSGVO-Verstoß allein noch keinen Anspruch auf Schadensersatz nach Artikel 82 begründet. Der Anspruch setzt drei kumulative Voraussetzungen voraus: einen Verstoß, einen dadurch entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Der EuGH stellte klar, dass ein immaterieller Schaden keine bestimmte Erheblichkeitsschwelle überschreiten muss. Anlass war die Klage eines Österreichers, dem die Post AG per Algorithmus ohne Einwilligung eine Parteiaffinität zugeschrieben hatte.

Der EuGH entscheidet in Vorabentscheidungsverfahren nicht über den konkreten Streitfall, das blieb dem Obersten Gerichtshof Österreichs überlassen. Nach welchen Kriterien die Höhe eines immateriellen Schadens zu bemessen ist, ließ der EuGH offen und verwies auf die Mitgliedstaaten.

Der BGH entschied am 18.11.2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren über Ansprüche aus dem Facebook-Scraping-Vorfall von 2021, bei dem Daten von rund 533 Millionen Nutzern offengelegt wurden. Der BGH bestätigte, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden nach Art. 82 DSGVO begründen kann, ohne konkreten Missbrauch nachweisen zu müssen. Der Vorsitzende Richter nannte für den bloßen Kontrollverlust eine Größenordnung von etwa 100 Euro und verwies die Sache zurück an das OLG Köln.

Der Betrag von rund 100 Euro ist eine richterliche Orientierungsgröße, keine feste Summe für alle Fälle. Wie sich die Entscheidung auf tausende weitere anhängige Parallelverfahren auswirkt, ist nicht abschließend geklärt, da diese jeweils neu bewertet werden müssen.

NHS England vergab im November 2023 den Vertrag für die landesweite Federated Data Platform an ein von Palantir Technologies UK geführtes Konsortium mit Accenture, PwC und weiteren Partnern. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Investitionsvolumen von bis zu 330 Millionen Pfund. Die Plattform soll Daten aus bis zu 240 NHS-Organisationen zusammenführen, um Wartelisten zu verkürzen.

Wie hoch der tatsächlich ausgezahlte Betrag im Vergleich zum Maximalvolumen ausfällt, ist offen. Dieser Eintrag betrifft ausdrücklich den 2023 abgeschlossenen Langzeitvertrag, nicht den früheren Notfallvertrag von 2020 zum COVID-19 Data Store.

Im Dezember 2013 verlangte ein US-Bundesrichter von Microsoft die Herausgabe von E-Mail-Inhalten, die in einem Rechenzentrum in Dublin gespeichert waren. Microsoft focht dies an, am 14.07.2016 entschied das Berufungsgericht des Zweiten Bezirks zugunsten von Microsoft. Am 17.04.2018 erklärte der Supreme Court den Fall für gegenstandslos, nachdem der CLOUD Act eine neue gesetzliche Grundlage geschaffen hatte und das Justizministerium einen neuen Durchsuchungsbeschluss erwirkte.

Da der Supreme Court den Fall wegen Gegenstandslosigkeit nicht in der Sache entschied, bleibt offen, wie er über die extraterritoriale Reichweite von US-Durchsuchungsbeschlüssen geurteilt hätte.

Google zahlte 2012 eine Rekordstrafe von 22,5 Millionen US-Dollar an die FTC wegen Umgehung der Cookie-Blockade im Safari-Browser trotz gegenteiliger Zusicherungen. Die FTC wertete dies als Verstoß gegen eine frühere Vergleichsvereinbarung von Oktober 2011 im Google-Buzz-Fall. Die Kommission stimmte am 09.08.2012 mit 4 zu 1 Stimmen für die Einigung.

Der Vergleich enthielt kein Schuldeingeständnis von Google. Wie viele Safari-Nutzer konkret betroffen waren, geht aus der Pressemitteilung nicht hervor.

Die FTC gab am 15.08.2017 einen Vergleich mit Uber bekannt. Die Behörde warf Uber vor, Nutzer getäuscht zu haben, indem das Unternehmen behauptete, den internen Mitarbeiterzugriff auf Standortdaten streng zu kontrollieren. Konkret nannte die FTC das interne Tool God View, mit dem Mitarbeiter Echtzeit-Standorte von Fahrern und Kunden einsehen konnten. Uber verpflichtete sich zu einem umfassenden Datenschutzprogramm und unabhängigen Audits über 20 Jahre.

Der Vergleich von 2017 sah keine Geldstrafe vor. Die FTC erweiterte diesen Vergleich 2018, nachdem bekannt wurde, dass Uber einen Datenschutzvorfall aus 2016 während des laufenden Verfahrens verschwiegen hatte, dieser spätere Vergleich ist nicht Gegenstand dieser Quelle.

Der California Consumer Privacy Act trat am 01.01.2020 in Kraft. Das Gesetz gewährt Verbrauchern in Kalifornien ein Auskunftsrecht, ein Löschrecht und ein Widerspruchsrecht gegen den Verkauf ihrer personenbezogenen Daten. Es gilt für Unternehmen mit mehr als 25 Millionen US-Dollar Jahresumsatz oder mit Kauf/Verkauf der Daten von mindestens 50.000 Verbrauchern.

Wie viele Beschwerden oder Bußgelder es im ersten Jahr nach Inkrafttreten gab, wird hier nicht beziffert. Die spätere Verschärfung durch die California Privacy Rights Act ab 2023 ist nicht Gegenstand dieser Quelle.

Die Verordnung (EU) 2024/1183 vom 11.04.2024 ändert die bisherige eIDAS-Verordnung und schafft den Rechtsrahmen für die European Digital Identity Wallet. Sie trat am 20.05.2024 in Kraft und verpflichtet alle EU-Mitgliedstaaten, bis Ende 2026 mindestens eine EUDI-Wallet bereitzustellen. Ab 2027 müssen öffentliche Stellen und bestimmte private Unternehmen die Wallet zur Identifizierung akzeptieren.

Viele Detailregelungen werden erst durch spätere Durchführungsrechtsakte festgelegt. Der umstrittene Artikel 45 zur Web-Browser-Vertrauensliste ist gesondert dokumentiert und nicht Gegenstand dieser Quelle.

Am 09.10.2024 gab eine Koalition von Generalstaatsanwälten zahlreicher US-Bundesstaaten einen Vergleich mit Marriott wegen der Starwood-Datenpannen bekannt. Marriott zahlt insgesamt 52 Millionen US-Dollar. Der Vergleich betrifft den Starwood-Datenbruch von 2014 bis 2018 mit rund 131,5 Millionen betroffenen US-Datensätzen sowie eine weitere Kompromittierung 2018 bis 2020. Marriott verpflichtet sich zu einem CISO, Verschlüsselung und Mehrfaktor-Authentifizierung.

Die genaue Zahl der beteiligten Jurisdiktionen wird unterschiedlich angegeben. Der Vergleich ist rechtlich eigenständig und nicht mit der ICO-Buße von 2020 oder dem separaten FTC-Vergleich zu verwechseln.

Der Erste Senat des Bundesverfassungsgerichts entschied am 06.11.2019 in zwei zeitgleich verkündeten Beschlüssen über den Prüfungsmaßstab für Verfassungsbeschwerden. In Recht auf Vergessen I (1 BvR 16/13, Klage gegen ein Online-Pressearchiv wegen jahrzehntealter Mordberichterstattung) bekräftigte das Gericht, dass es innerstaatliches Recht mit unionsrechtlichem Gestaltungsspielraum primär an den Grundrechten des Grundgesetzes prüft. In Recht auf Vergessen II (1 BvR 276/17, Streit einer Geschäftsführerin mit Google um einen Suchmaschinenlink zu einem TV-Beitrag) legte das Gericht erstmals fest, dass es bei unionsrechtlich vollständig vereinheitlichtem Recht stattdessen die Charta der Grundrechte der EU als Prüfungsmaßstab heranzieht.

Diese Quelle ist die Pressemitteilung Nr. 84/2019 zu Recht auf Vergessen II. Nach welchen trennscharfen Kriterien im Einzelfall zwischen gestaltungsoffenem und vollständig vereinheitlichtem Unionsrecht abzugrenzen ist, bleibt offen. Wie viele spätere Verfassungsbeschwerden sich seither ausdrücklich auf die EU-Grundrechtecharta stützen, ist nicht beziffert.

Nachdem PayPal im Dezember 2010 wegen der Veröffentlichung von US-Depeschen durch WikiLeaks das Spendenkonto der Plattform gesperrt hatte, führte das Kollektiv Anonymous unter dem Namen Operation Payback DDoS-Angriffe gegen die PayPal-Server durch. Die Angriffe dauerten laut Anklage vom 6. bis 10. Dezember 2010. Am 19.07.2011 gab das US-Justizministerium die Festnahme von 14 mutmaßlichen Beteiligten sowie mehr als 35 Durchsuchungen bekannt, begleitet von weiteren Festnahmen in Großbritannien und den Niederlanden.

Die Pressemitteilung bezieht sich ausschließlich auf die Anklage im Zusammenhang mit PayPal. Angriffe gegen Visa, Mastercard und weitere Zahlungsdienstleister sind hier nicht mit einer Anklage belegt. Eine Anklage stellt rechtlich nur eine Vorwurfserhebung dar, es gilt die Unschuldsvermutung. Der individuelle Tatbeitrag der Beschuldigten wird nicht beziffert.

Kanzleramtschef Helge Braun und Bundesgesundheitsminister Jens Spahn erklärten am 26.04.2020 gemeinsam, dass die geplante deutsche Corona-Tracing-App künftig auf eine konsequent dezentrale Softwarearchitektur setzen werde. Damit vollzog die Bundesregierung eine Kehrtwende weg vom zuvor favorisierten zentralen Speicheransatz des PEPP-PT-Konsortiums. Vorausgegangen waren wochenlange öffentliche Auseinandersetzungen, ein offener Brief des Chaos Computer Club an Braun und Spahn sowie der Umstand, dass Apple und Google ihre Schnittstellen nur für dezentrale Protokolle freigaben. Auf dieser Grundlage entwickelten SAP und die Deutsche Telekom anschließend die Corona-Warn-App, die im Juni 2020 veröffentlicht wurde.

Wie die internen Abwägungen im Kanzleramt und Gesundheitsministerium vor dem Kurswechsel im Detail abliefen, geht aus der Pressemitteilung nicht hervor. Welche Rolle informelle Gespräche mit Apple und Google spielten, ist nicht dokumentiert. Die spätere technische Umsetzung der App ist nicht Gegenstand dieser Quelle.

Am 08.02.2022 verhaftete das FBI in Manhattan das Ehepaar Ilya Lichtenstein und Heather Morgan und beschlagnahmte rund 94.636 Bitcoin, die aus dem Bitfinex-Hack von 2016 stammten, zu diesem Zeitpunkt etwa 3,6 Milliarden US-Dollar wert. Laut Anklage hatte Lichtenstein 2016 mittels fortgeschrittener Hacking-Techniken das Netzwerk der Kryptobörse Bitfinex kompromittiert und über 2.000 betrügerische Transaktionen ausgelöst, durch die insgesamt 119.754 Bitcoin abflossen. Im August 2023 bekannten sich beide schuldig, im November 2024 wurde Lichtenstein zu fünf Jahren, Morgan zu 18 Monaten Haft verurteilt.

Wie genau Lichtenstein technisch in das Bitfinex-Netzwerk eindrang, bleibt unklar, die Anklageschrift nennt nur allgemein fortgeschrittene Hacking-Tools. Der beschlagnahmte Anteil deckte nicht die gesamte Beute ab. Ob und in welchem Umfang die beschlagnahmten Bitcoin vollständig an Bitfinex zurückgehen, war Anfang 2025 noch Gegenstand eines Gerichtsverfahrens.

Die Europäische Kommission verabschiedete am 12.07.2016 den Angemessenheitsbeschluss 2016/1250 zum EU-US Privacy Shield, dem Nachfolgeabkommen für das im Oktober 2015 vom EuGH im Schrems-I-Urteil gekippte Safe-Harbor-Abkommen. US-Unternehmen mussten sich beim US-Handelsministerium selbst zertifizieren. Neu war ein Ombudsperson-Mechanismus im US-Außenministerium für Beschwerden von EU-Bürgern über Zugriffe US-amerikanischer Nachrichtendienste. Die Artikel-29-Datenschutzgruppe bemängelte im April 2016, anlasslose Massenüberwachung bleibe weiterhin zulässig. Der EuGH erklärte das Privacy Shield am 16.07.2020 im Schrems-II-Urteil für ungültig.

Die genaue Zahl der 2016 bereits zertifizierten Unternehmen ist nicht dokumentiert. Wie wirksam der Ombudsperson-Mechanismus in der Praxis funktionierte, ist offen, da die Kommission dessen Unabhängigkeit anders bewertete als die Artikel-29-Gruppe und das Europäische Parlament.

Das US-Geheimgericht Foreign Intelligence Surveillance Court urteilte am 03.10.2011 unter Richter John D. Bates, dass Teile der NSA-Internetüberwachung nach Section 702 des FISA Amendments Act gegen den vierten Verfassungszusatz verstießen. Betroffen war das Upstream-Programm, mit dem die NSA über Telekommunikationsanbieter Daten direkt aus den Glasfaserleitungen des Internet-Backbones abgriff, als Ergänzung zum Programm PRISM. Laut dem am 21.08.2013 nach ACLU-Klagen freigegebenen Urteil sammelte die NSA über mehrere Jahre bis zu 56.000 rein innerhalb der USA geführte Kommunikationen pro Jahr, obwohl das Gesetz dies verbietet. Bates warf der Regierung vor, dem Gericht bereits zum dritten Mal in weniger als drei Jahren den tatsächlichen Umfang ihrer Datensammlung falsch dargestellt zu haben.

Wie viele der rund 56.000 betroffenen Kommunikationen tatsächlich reine Inlandskommunikation ohne Auslandsbezug enthielten, ist nicht belegt. Das veröffentlichte Urteil ist stark geschwärzt, technische Details zu Upstream sind öffentlich nicht vollständig nachvollziehbar. Eine offizielle Gesamtzahl aller über Upstream und PRISM erfassten Kommunikationen wurde bis heute nicht veröffentlicht.

Am 14.06.2013 erhob das US-Justizministerium beim Bundesgericht im Eastern District of Virginia Anklage gegen Edward Snowden wegen Spionage und Diebstahls von Regierungseigentum. Nachdem Hongkong einem US-Festnahmeersuchen nicht nachkam, verließ Snowden die Stadt am 23.06.2013 Richtung Moskau. Im Transitbereich des Flughafens Scheremetjewo festsitzend, gewährte Russland ihm am 01.08.2013 vorübergehendes Asyl. Russland gewährte ihm 2020 eine unbefristete Aufenthaltserlaubnis und verlieh ihm am 26.09.2022 per Präsidialdekret die russische Staatsbürgerschaft. Die strafrechtliche Anklage in den USA besteht unverändert fort, eine Auslieferung hat Russland stets abgelehnt.

Die strafrechtliche Schuldfrage ist nicht durch ein Gerichtsverfahren geklärt, da es nie zu einem Prozess in den USA kam. Ob Snowden neben der russischen weiterhin die US-Staatsbürgerschaft besitzt, wird unterschiedlich bewertet. Vermutungen über Kontakte zu russischen Geheimdiensten sind unbewiesen und von Snowden bestritten.

Am 27.06.2017 legte die Schadsoftware NotPetya die globale IT-Infrastruktur der Reederei Maersk lahm. Ausgangspunkt war ein einzelner Rechner im Maersk-Büro in Odessa mit einem manipulierten Update der ukrainischen Buchhaltungssoftware M.E.Doc. Maersk musste binnen zehn Tagen rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu aufsetzen, das Frachtvolumen brach zeitweise um rund 20 Prozent ein. Maersk bezifferte die finanziellen Folgen im Quartalsbericht auf 200 bis 300 Millionen US-Dollar. Großbritannien und die USA machten später den russischen Militärgeheimdienst GRU verantwortlich.

Die genaue Schadenssumme bei Maersk ist nicht abschließend beziffert, das Unternehmen nannte nur eine Bandbreite ohne detaillierte Kostenaufschlüsselung. Der oft zitierte globale Gesamtschaden von rund 10 Milliarden US-Dollar betrifft alle betroffenen Unternehmen zusammen, nicht allein Maersk. Die Zuschreibung an Russland beruht auf politischen Erklärungen, nicht auf einem Gerichtsurteil.

Am 14.10.2014 veröffentlichten Google-Sicherheitsforscher die Schwachstelle POODLE (Padding Oracle On Downgraded Legacy Encryption), registriert als CVE-2014-3566. Die Lücke betrifft das veraltete Verschlüsselungsprotokoll SSL 3.0. Ein Angreifer in Man-in-the-Middle-Position kann Clients zu einem Downgrade auf SSL 3.0 zwingen und benötigt im Schnitt rund 256 Anfragen, um ein Byte verschlüsselter Daten wie Authentifizierungs-Cookies auszulesen. Als Gegenmaßnahme empfahlen die Entdecker sowie CISA am 17.10.2014 die vollständige Deaktivierung von SSL 3.0. In den Folgemonaten deaktivierten Chrome, Firefox und weitere Anbieter die SSL-3.0-Unterstützung standardmäßig.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Am 28.02.2018 zwischen 17:21 und 17:30 UTC traf ein volumetrischer DDoS-Angriff GitHub.com mit einer Spitze von 1,35 Terabit pro Sekunde, dem damals größten dokumentierten DDoS-Angriff. Die Angreifer nutzten Memcached-Reflection: UDP-Anfragen mit gefälschter Absenderadresse an offen erreichbare Memcached-Server wurden um bis zu Faktor 51.000 verstärkt und an GitHub umgeleitet. GitHub.com war von 17:21 bis 17:26 UTC durchgehend nicht erreichbar. GitHub leitete den Verkehr per BGP-Umleitung an Akamai/Prolexic um, wodurch der Angriff eingedämmt wurde.

Wer hinter dem Angriff steckte, wurde nie veröffentlicht, es gab keine strafrechtlichen Ermittlungsergebnisse. Die genaue Zahl der missbrauchten Memcached-Server variiert je nach Quelle. Die exakte Dauer der Beeinträchtigung wird in Sekundärquellen unterschiedlich mit 5 bis 9 Minuten angegeben.

Am 21.10.2016 traf ein massiver DDoS-Angriff den DNS-Anbieter Dyn in drei Wellen zwischen etwa 11:10 und 22:10 UTC. Die Angreifer nutzten das Mirai-Botnet aus gekaperten IoT-Geräten wie Überwachungskameras und DVRs mit werkseitigen Standardpasswörtern. In der Folge waren zeitweise über 70 große Webdienste in Nordamerika und Europa nicht erreichbar, darunter Twitter, Netflix, Reddit, Amazon und PayPal. Die drei Entwickler des Mirai-Quellcodes bekannten sich im Dezember 2017 vor einem US-Bundesgericht schuldig, für den Dyn-Angriff selbst wurden sie jedoch nicht angeklagt.

Eine offizielle, gerichtsfeste Zuordnung der Täter für den konkreten Dyn-Angriff steht bis heute aus. Mehrere Gruppen reklamierten den Angriff für sich, Sicherheitsforscher hielten diese Bekennerclaims für nicht belegt. Die genaue Zahl beteiligter Geräte ist umstritten, eine bestätigte Zahl wurde nie veröffentlicht.