Quellen-Tabelle

Am 21.10.2016 wurde der US-amerikanische DNS-Dienstleister Dyn Ziel dreier aufeinanderfolgender DDoS-Angriffswellen zwischen etwa 11:10 und 22:10 Uhr UTC. Die Angriffe erfolgten über das Mirai-Botnet, das aus gekaperten Internet-of-Things-Geräten wie IP-Kameras, Routern und digitalen Videorekordern bestand, die über werkseitig voreingestellte Standardpasswörter infiziert worden waren. Dyn erklärte, Anfragen von zig Millionen IP-Adressen empfangen zu haben. Durch den Ausfall von Dyns DNS-Infrastruktur waren mehr als 100 Internetdienste in Nordamerika und Teilen Europas zeitweise nicht erreichbar, darunter Twitter, Netflix, Reddit, Spotify, Amazon, PayPal, GitHub und Airbnb. Die Gruppen New World Hackers und SpainSquad reklamierten die Verantwortung für sich und nannten als Motiv eine Vergeltung für die Einschränkung des Internetzugangs von Julian Assange. Das US-Heimatschutzministerium und das FBI leiteten Ermittlungen ein. Am 13.12.2017 bekannten sich mehrere junge Männer in den USA im Zusammenhang mit der Mirai-Schadsoftware schuldig, am 09.12.2020 folgte ein weiteres Schuldbekenntnis einer zum Tatzeitpunkt minderjährigen Person.

Die genaue Anzahl der am Angriff beteiligten Geräte sowie die exakte Spitzenbandbreite wurden von Dyn nie offiziell mit verbindlichen Zahlen bestätigt. Wer den Angriff auf Dyn konkret initiierte, ist bis heute nicht abschließend geklärt.

Ab dem 27.04.2007, unmittelbar nach der Verlegung des sowjetischen Bronzenen Soldaten von Tallinn vom Stadtzentrum an einen Militärfriedhof, wurde Estland rund drei Wochen lang Ziel koordinierter Distributed-Denial-of-Service-Angriffe. Betroffen waren die Webseiten des Parlaments Riigikogu, des Präsidialamts, mehrerer Ministerien, politischer Parteien, Banken sowie Zeitungen und Rundfunksender. Die Angriffe reichten von einfachen Ping-Fluten einzelner Nutzer bis zu gemieteten Botnetzen. Die estnische Polizei leitete am 02.05.2007 Ermittlungen ein. Am 24.01.2008 wurde der estnische Staatsbürger russischer Abstammung Dmitri Galushkevich als bislang einzige verurteilte Einzelperson zu einer Geldstrafe von 17.500 estnischen Kronen, umgerechnet rund 1.640 US-Dollar, verurteilt. Am 10.03.2009 bekannte sich Konstantin Goloskokow, ein Funktionär der russischen Jugendorganisation Nashi, öffentlich zur Mitverantwortung für einen Teil der Angriffe. Russland wies eine staatliche Beteiligung zurück und verweigerte estnischen Behörden Rechtshilfe. Als Folge der Angriffe gründete die NATO im Mai 2008 in Tallinn das Cooperative Cyber Defence Centre of Excellence.

Eine direkte Verantwortung der russischen Staatsführung für die Angriffe wurde weder von der NATO noch von der Europäischen Kommission abschließend nachgewiesen. Die einzige strafrechtliche Verurteilung betraf einen Einzeltäter mit vergleichsweise geringer Geldstrafe.

Am 19.07.2008 wurde die Website des georgischen Präsidenten Micheil Saakaschwili erstmals durch einen DDoS-Angriff für rund 24 Stunden lahmgelegt. Am 08.08.2008, dem Tag des Einmarschs russischer Truppen in Südossetien, begann eine deutlich umfangreichere zweite Welle koordinierter Cyberangriffe gegen georgische Ziele. Bis zum 10.08.2008 waren die meisten Websites der georgischen Regierung durch DDoS-Attacken nicht mehr erreichbar, betroffen waren unter anderem das Parlament, die Nationalbank sowie Banken und Telekommunikationsanbieter. Am 11.08.2008 wurde die Präsidentenwebsite zusätzlich defaced und mit Bildmontagen versehen, die Saakaschwili mit Adolf Hitler verglichen. Sicherheitsforscher identifizierten sechs verschiedene Botnetze sowie eine in russischer Sprache programmierte DDoS-Steuerungssoftware namens MachBot. Als mutmaßlicher Organisator gilt das Russian Business Network aus Sankt Petersburg, die russische Regierung bestritt jede Verantwortung. Die georgische Regierung wich während der Angriffe auf Google Blogger und Server in den USA aus, Estland bot zusätzliches Hosting an. Die Ereignisse gelten als der erste dokumentierte Fall koordinierter Cyberangriffe parallel zu einer konventionellen Militäroperation.

Eine gerichtsfeste Zuordnung der Angriffe zu russischen Behörden oder dem russischen Militär ist bis heute nicht belegt, strafrechtliche Konsequenzen sind nicht dokumentiert. Ebenso fehlt eine verifizierte Gesamtzahl der betroffenen Websites oder ein bezifferter wirtschaftlicher Schaden.

Die Sicherheitsforscher des CrySyS Lab der Budapester Technischen und Wirtschaftswissenschaftlichen Universität entdeckten die Schadsoftware Duqu am 01.09.2011. Der Sicherheitsanbieter Symantec bestätigte die Analyse und stellte umfangreiche Code-Übereinstimmungen mit dem Computerwurm Stuxnet fest, woraus geschlossen wurde, dass Duqu von denselben Autoren oder mit Zugriff auf den Stuxnet-Quellcode entwickelt wurde. Anders als Stuxnet sabotierte Duqu keine Industrieanlagen, sondern diente der Spionage: Es installierte Keylogger, Bildschirmrekorder und Netzwerk-Scanner. Die Infektion erfolgte über präparierte Word-Dokumente, die eine bis dahin unbekannte Sicherheitslücke im Win32k-TrueType-Schriftartenparser von Windows ausnutzten; Microsoft veröffentlichte den zugehörigen Sicherheitshinweis MS11-087 am 13.11.2011. Die Schadsoftware nutzte ein gestohlenes, gültiges Digitalzertifikat der taiwanesischen Firma C-Media zur Signierung ihrer Treiber; das Zertifikat wurde am 14.10.2011 widerrufen. Symantec bestätigte Infektionen bei mindestens sechs Organisationen in acht Ländern, darunter Frankreich, die Niederlande, die Schweiz, die Ukraine, Indien, der Sudan, Vietnam und mehrfach im Iran. Duqu war so programmiert, dass es sich nach 36 Tagen selbständig von infizierten Systemen löschte.

Aus dieser Quelle nicht belegt ist die genaue Urheberschaft beziehungsweise staatliche Zurechnung von Duqu; diese gilt als plausibel, wurde aber nie offiziell bewiesen. Ebenso bleibt die tatsächliche Gesamtzahl befallener Organisationen weltweit unklar.

Am 23.12.2015 griff die Hackergruppe Sandworm drei ukrainische Energieversorger an: Prykarpattyaoblenergo, Chernivtsioblenergo und Kyivoblenergo. Der Angriff begann Monate zuvor mit Spear-Phishing-E-Mails, die die Schadsoftware BlackEnergy 3 in den Firmennetzwerken platzierten. Die Angreifer erlangten darüber Zugriff auf die SCADA-Steuerungssysteme und schalteten bei Prykarpattyaoblenergo 30 Umspannwerke ab. Rund 230.000 Verbraucher waren zwischen einer und sechs Stunden ohne Strom. Zeitgleich setzten die Angreifer die Löschsoftware KillDisk ein, um Dateien unbrauchbar zu machen, und überlasteten mit einem Denial-of-Service-Angriff die Telefonzentrale, sodass betroffene Kunden Störungen nicht melden konnten. Die Netzbetreiber stellten die Versorgung teils durch manuelles Eingreifen der Mitarbeiter vor Ort wieder her. Der Vorfall gilt als der erste öffentlich bestätigte erfolgreiche Cyberangriff auf ein Stromnetz. US-Behörden und mehrere Sicherheitsfirmen ordneten die Operation der Gruppe Sandworm zu, die mit russischen Interessen im Ukraine-Konflikt in Verbindung gebracht wird.

Aus dieser Quelle ist keine formelle juristische Zurechnung zu einer bestimmten russischen Regierungsstelle oder Einzelperson belegt, ebenso wenig eine strafrechtliche Verurteilung oder eine bezifferte finanzielle Entschädigung der betroffenen Energieversorger.

Im Juni 2017 löste die Malware Triton, auch Trisis oder HatMan genannt, durch einen Programmierfehler unbeabsichtigt eine Notabschaltung in einer petrochemischen Anlage in Saudi-Arabien aus, was zunächst als mechanischer Defekt gewertet wurde. Am 04.08.2017 kam es zu einer zweiten Abschaltung, woraufhin die Betreiber Sicherheitsberater sowie die Firmen FireEye und Dragos hinzuzogen. Die Ermittler fanden Schadsoftware auf einer Ingenieurs-Workstation des Sicherheitssystems Triconex des Herstellers Schneider Electric. Triton war die erste bekannt gewordene Schadsoftware, die gezielt sicherheitsinstrumentierte Systeme angriff, welche Anlagen bei Gefahr automatisch in einen sicheren Zustand versetzen sollen. Durch einen Fehler im Schadcode lösten die Triconex-Controller vorzeitig eine Sicherheitsabschaltung aus, bevor die Angreifer ihr eigentliches Ziel erreichen konnten, wodurch Personenschäden ausblieben. Im Oktober 2018 ordnete FireEye die Angriffswerkzeuge dem russischen Zentralen Wissenschaftlichen Forschungsinstitut für Chemie und Mechanik in Moskau zu. Am 23.10.2020 verhängte das US-Finanzministerium Sanktionen gegen dieses Institut.

Der Name der betroffenen Anlage wird in Medienberichten oft mit Petro Rabigh in Verbindung gebracht, ist in dieser Quelle jedoch nicht namentlich bestätigt; ebenso bleibt die genaue Identität der ausführenden Angreifer ungeklärt.

Am 31.10.2005 veröffentlichte der Sicherheitsforscher Mark Russinovich auf seinem Blog eine technische Analyse eines Rootkits, das er auf seinem eigenen Windows-Rechner entdeckt und auf eine Musik-CD von Sony BMG zurückgeführt hatte. Sony BMG hatte auf rund 22 Millionen verkauften CDs zwei Kopierschutzprogramme installiert: das von der Firma First 4 Internet entwickelte XCP auf etwa 2 Millionen CDs mit 52 Titeln sowie MediaMax CD 3 auf rund 20 Millionen CDs mit etwa 50 Titeln. XCP versteckte sich mittels Rootkit-Technik vor dem Betriebssystem, ließ sich nicht regulär deinstallieren und schuf Sicherheitslücken, die von unabhängiger Schadsoftware ausgenutzt wurden. Sicherheitsfirmen schätzten, dass mehr als 500.000 Computernetzwerke in über 100 Ländern betroffen waren, darunter auch Netzwerke von US-Behörden und des Militärs. Am 21.11.2005 verklagte der texanische Generalstaatsanwalt Greg Abbott Sony BMG wegen Verstoßes gegen das texanische Anti-Spyware-Gesetz. Sony BMG kündigte am 15.11.2005 einen Rückruf der unverkauften CDs an. Im Dezember 2006 einigte sich der Konzern mit mehreren US-Bundesstaaten auf einen Vergleich, im Januar 2007 folgte eine Einigung mit der FTC, die Sony BMG zum Umtausch betroffener CDs sowie zur Erstattung von bis zu 150 US-Dollar für Reparaturkosten verpflichtete.

Aus dieser Quelle nicht belegt sind die genaue Gesamtzahl tatsächlich infizierter Einzelcomputer weltweit sowie strafrechtliche Konsequenzen für Sony BMG oder First 4 Internet, da alle bekannten Verfahren zivilrechtlich per Vergleich beigelegt wurden.

Die niederländische Zertifizierungsstelle DigiNotar wurde im Sommer 2011 kompromittiert; laut der vom niederländischen Innenministerium beauftragten Untersuchung von Fox-IT (Operation Black Tulip) verschafften sich die Angreifer bereits ab Mitte Juni 2011 Zugriff auf die internen Systeme. Am 10.07.2011 stellten sie ein betrügerisches Wildcard-Zertifikat für *.google.com aus, DigiNotar entdeckte den Einbruch erst am 19.07.2011. Insgesamt wurden mindestens 531 betrügerische SSL-Zertifikate ausgestellt, unter anderem für Google, Skype, Microsoft und Mozilla. Öffentlich bekannt wurde der Vorfall am 29./30.08.2011. Fox-IT ermittelte, dass der Angriff auf etwa 300.000 iranische Gmail-Nutzer zielte, die per Man-in-the-Middle-Angriff über das gefälschte Google-Zertifikat abgehört werden sollten; registriert wurden Verbindungsversuche von 298.140 eindeutigen IP-Adressen, davon rund 95 Prozent aus dem Iran. Am 03.09.2011 übernahm die niederländische Regierung die operative Kontrolle über DigiNotar. Die Muttergesellschaft VASCO Data Security International meldete am 20.09.2011 die Insolvenz des Unternehmens an.

Nicht abschließend belegt ist, wer genau hinter dem Angriff stand; ein iranischer Staatsakteur wird vermutet, ist aber nicht gerichtsfest nachgewiesen. Ebenso ist nicht dokumentiert, wie viele der 298.140 registrierten Verbindungsversuche tatsächlich zu einer erfolgreichen Überwachung führten.

Am 15.03.2011 wurde das Konto einer Registrierungsstelle des Zertifizierungsdiensts Comodo in Südeuropa kompromittiert, über das ein Angreifer neun betrügerische SSL-Zertifikate für sieben Domains beantragte. Betroffen waren login.live.com, mail.google.com, www.google.com, login.yahoo.com in drei Varianten, login.skype.com sowie addons.mozilla.org. Comodo entdeckte den Missbrauch am selben Tag und widerrief die Zertifikate innerhalb weniger Stunden über Sperrlisten und OCSP. Der Angriff wurde bis zu einer IP-Adresse in Teheran im Iran zurückverfolgt. Ein einzelner Hacker, der sich als Iraner bezeichnete, bekannte sich später öffentlich zu der Tat und bestritt eine Verbindung zur iranischen Regierung. Comodo äußerte hingegen den Verdacht eines staatlich gelenkten Angriffs zur Überwachung iranischer Oppositioneller. Mozilla, Google und Microsoft aktualisierten daraufhin ihre Browser mit fest einprogrammierten Sperrlisten für die Seriennummern der betroffenen Zertifikate.

Die genaue Identität des Angreifers und eine tatsächliche Beteiligung der iranischen Regierung sind nicht zweifelsfrei belegt, da sich die Zuordnung im Wesentlichen auf eine IP-Adresse und das spätere Bekenntnis eines anonymen Hackers stützt.

Marriott International entdeckte am 8. September 2018 eine Datenschutzverletzung im Reservierungssystem der 2016 übernommenen Kette Starwood, verursacht durch eine seit 2014 unentdeckte Schadsoftware. Das Unternehmen informierte die Öffentlichkeit erst am 30. November 2018, zunächst mit der Angabe von bis zu 500 Millionen betroffenen Gästen, die im Januar 2019 auf rund 383 Millionen eindeutige Datensätze korrigiert wurde. Ein Aktionär, das Firemen's Retirement System of St. Louis, reichte daraufhin vor dem Delaware Court of Chancery eine Aktionärsklage gegen Vorstand und führende Manager von Marriott ein. Die Klage warf dem Board vor, vor der Starwood-Übernahme 2016 keine ausreichende Sorgfaltsprüfung der IT-Sicherheit durchgeführt und den Datenverstoß verzögert offengelegt zu haben. Vice Chancellor Lori W. Will wies die Klage am 5. Oktober 2021 vollständig ab. Als Begründung nannte das Gericht die Verjährung der Ansprüche zur Sorgfaltsprüfung vor der Akquisition sowie das Fehlen einer Aufsichtspflichtverletzung nach dem Caremark-Maßstab, da der Vorstand jährliche Berichte zu Cyberrisiken erhalten hatte. Eine gesonderte Sammelklage von Anlegern wurde ebenfalls abgewiesen, was der Fourth Circuit 2022 bestätigte.

Aus den ausgewerteten Quellen nicht abschließend belegt ist, ob einzelne Vorstandsmitglieder in Nebenverfahren dennoch finanziell in Anspruch genommen wurden, da die Aktionärsklage vollständig ohne Vergleich oder Schadensersatzzahlung abgewiesen wurde.

Bloomberg Businessweek veröffentlichte am 04.10.2018 unter dem Titel The Big Hack einen Bericht, wonach chinesische Akteure winzige, bleistiftspitzengroße Spionagechips in Mainboards des US-Herstellers Supermicro eingeschleust haben sollen. Laut dem Bericht wurden die Chips bei Zulieferern in China auf die Platinen aufgebracht und sollen rund 30 US-Unternehmen und Behörden betroffen haben, darunter Apple, Amazon, Banken, Cloud-Anbieter sowie das Pentagon und die CIA. Apple soll die Manipulation durch ungewöhnlichen Netzwerkverkehr entdeckt haben und tauschte 2016 nach Bloomberg-Angaben etwa 7.000 betroffene Server aus. Ein tatsächlicher Datenabfluss wurde in dem Bericht nicht belegt. Apple, Amazon und Supermicro dementierten den Bericht unmittelbar und wiederholt, Supermicros Aktienkurs brach nach der Veröffentlichung um mehr als 45 Prozent ein. Auch US-Behörden wie das Heimatschutzministerium, das FBI und die NSA erklärten öffentlich, keine Kenntnis von einem solchen Vorfall zu haben. Eine von Supermicro beauftragte externe Untersuchungsfirma teilte am 11.12.2018 mit, keine Beweise für bösartige Hardware gefunden zu haben. Bloomberg hat den Bericht bis heute nicht zurückgezogen und bekräftigte die Vorwürfe 2021 in einem Folgeartikel.

Bis heute liegen keine unabhängig verifizierten physischen Beweise für die behaupteten Spionagechips vor, die Zahl von rund 30 betroffenen Unternehmen sowie die Existenz der Chips selbst stützen sich ausschließlich auf anonyme Quellen Bloombergs und wurden von allen namentlich genannten Firmen und mehreren US-Behörden bestritten.

Bei Protesten gegen einen Neonazi-Aufmarsch am 19. Februar 2011 in der Dresdner Südvorstadt ordnete das Amtsgericht Dresden eine Funkzellenabfrage an, durch die Hunderttausende Verkehrsdaten und Zehntausende Bestandsdaten von Demonstranten, Anwohnern, Journalisten und Anwälten erfasst wurden. Das Landgericht Dresden erklärte mit Beschluss vom 17.04.2013 die zugrunde liegende Anordnung des Amtsgerichts vom 25.02.2011 für rechtswidrig, weil sie nicht ausreichend begründet war und der strafprozessuale Bestimmtheitsgrundsatz verletzt wurde. Die erhobenen Daten mussten daraufhin gelöscht werden.

Offen bleibt die exakte Gesamtzahl der insgesamt betroffenen Personen, da mehrere separate Funkzellenabfragen zu unterschiedlichen Zeiten und Gebieten liefen und Quellen unterschiedliche Teilzahlen nennen. Das Landgericht prüfte nur formale Mängel der richterlichen Anordnung, keine inhaltliche Verhältnismäßigkeit der Maßnahme an sich. Nicht abschließend dokumentiert ist, ob die angeordnete Löschung der Daten bei allen beteiligten Behörden tatsächlich umgesetzt wurde.

Das BKA erwarb 2020 Lizenzen für die Spähsoftware Pegasus der israelischen NSO Group und bestätigte den Einsatz 2021 im Bundestag. Laut WDR und Tagesschau installierten Ermittler am 31. Oktober 2022 heimlich Staatstrojaner-Software auf dem Mobiltelefon von Heinrich XIII. Prinz Reuss im Ermittlungsverfahren gegen die mutmaßliche Reichsbürger-Terrorgruppe. Dabei wurden rund einen Monat lang Daten inklusive Telegram-Chats abgegriffen, die Gruppe wurde am 7. Dezember 2022 festgenommen.

Ob im Fall Reuss konkret die NSO-Software Pegasus oder eine andere Staatstrojaner-Variante zum Einsatz kam, hat das BKA nie bestätigt und lehnte eine Stellungnahme aus einsatztaktischen Gründen ab. Der Kaufvertrag mit NSO, die genauen Kosten und die vollständige rechtliche Grundlage der Maßnahme wurden trotz mehrerer Klagen von netzpolitik.org und einer Datenschutzbeschwerde der GFF bis heute nicht offengelegt.

FBI und CISA bestätigten in einer gemeinsamen Erklärung, dass die mutmaßlich chinesische Hackergruppe Salt Typhoon mehrere US-Telekommunikationsanbieter kompromittiert hat, darunter AT&T, Verizon und Lumen Technologies. Die Angreifer erlangten Zugriff auf Anrufmetadaten, auf gerichtlich angeordnete Abhörsysteme der Strafverfolgungsbehörden sowie auf private Kommunikation einzelner Regierungsvertreter und Politiker.

Genauer Umfang und Dauer des Angriffs blieben in der gemeinsamen Erklärung von FBI und CISA offen. Unklar blieb auch die tatsächliche Zahl der betroffenen Personen, Schätzungen reichten von rund 40 gezielten Zielen bis zu über tausend Betroffenen.

Der Microsoft-Entwickler Andres Freund entdeckte Ende März 2024 eine absichtlich eingebaute Hintertür in der Kompressionsbibliothek xz-Utils (liblzma), Versionen 5.6.0 und 5.6.1, weil ihm ungewöhnlich langsame SSH-Anmeldungen auffielen. Ein seit Jahren als vertrauenswürdiger Mitentwickler agierender Nutzer unter dem Pseudonym Jia Tan hatte den Schadcode eingeschleust, der laut CVE-2024-3094 (CVSS-Wert 10.0) eine Fernausführung von Code über OpenSSH ermöglichen sollte. Betroffen waren nur instabile Distributionsversionen und einzelne Paketquellen, stabile Debian-, Ubuntu- und Fedora-Releases blieben verschont.

Wer sich hinter dem Pseudonym Jia Tan tatsächlich verbirgt, ob Einzelperson, Gruppe oder staatlich gelenkter Akteur, ist öffentlich nicht bewiesen. Ebenso bleibt offen, ob die Hintertür vor ihrer zufälligen Entdeckung bereits aktiv ausgenutzt wurde und in welchem Umfang reale Systeme betroffen waren.

Live Nation meldete der US-Börsenaufsicht SEC, am 20. Mai 2024 unautorisierten Zugriff auf eine Cloud-Datenbank beim Anbieter Snowflake festgestellt zu haben, betroffen war vor allem die Tochter Ticketmaster. Die Gruppe ShinyHunters bot ab Ende Mai 2024 im Darknet-Forum BreachForums Datensätze von angeblich bis zu 560 Millionen Ticketmaster-Kunden für 500.000 US-Dollar zum Verkauf an, laut Berichten inklusive Namen, Adressen, E-Mail-Adressen, Telefonnummern und teilweise Zahlungsdaten.

Die Zahl von 560 Millionen betroffenen Datensätzen stammt allein von den Erpressern und wurde von Live Nation nie unabhängig bestätigt, das Unternehmen sprach in seiner SEC-Meldung nur allgemein von möglicherweise betroffenen Kundendaten. Offen bleibt, wie viele der zum Verkauf angebotenen Datensätze tatsächlich aktuell und echt sind und ob vollständige Zahlungskartennummern statt nur Hash-Werten erbeutet wurden.

Die Sicherheitsforscher Martin Tschirsich und Bianca Kastl demonstrierten auf dem 38C3 des Chaos Computer Club im Dezember 2024 mehrere Schwachstellen der elektronischen Patientenakte (ePA) 3.0. Sie bestellten telefonisch in 10 bis 20 Minuten elektronische Gesundheitskarten auf fremde Namen, nutzten eine SQL-Injection-Schwachstelle in einem Kartenausgabeportal aus und zeigten, dass Arztpraxen bei ePA 3.0 keine PIN mehr benötigen, sodass der bloße Kartenbesitz für den Zugriff reichte. Laut heise online hätte ein kompromittierter Praxiszugang Zugriff auf bis zu 1.500 Patientenakten erlaubt, in Kombination mit weiteren Lücken theoretisch auf die Akten aller rund 70 Millionen gesetzlich Versicherten.

Aus dem Artikel geht nicht hervor, ob die gezeigten Angriffswege tatsächlich gegen echte Patientenakten eingesetzt wurden oder rein demonstrativ blieben. Der Betreiber Gematik stufte mindestens ein Angriffsszenario als in der Praxis wenig wahrscheinlich ein, eine unabhängige Bestätigung dieser Einschätzung liegt in dieser Quelle nicht vor. Ob und wann alle beschriebenen Lücken vollständig geschlossen wurden, lässt sich aus diesem Artikel allein nicht feststellen.

Die österreichische Datenschutzbehörde (DSB) entschied in einem am 13.01.2022 veröffentlichten Teilbescheid zu einer noyb-Musterbeschwerde, dass der Einsatz von Google Analytics auf einer österreichischen Website gegen Art. 44 DSGVO verstößt. Die Behörde stufte die von Google eingesetzten technischen Zusatzmaßnahmen als unwirksam gegen den Zugriff US-Geheimdienste ein und berief sich dabei auf das Schrems-II-Urteil des EuGH von 2020. Es war die erste von insgesamt 101 Musterbeschwerden, die noyb 2020 EU-weit gegen Websites mit Google Analytics eingereicht hatte.

Der Bescheid war zum Zeitpunkt der Berichterstattung nicht rechtskräftig, ein Bußgeld gegen den Website-Betreiber wurde nicht verhängt. Offen blieb, wie die DSB gegen Google LLC als Datenempfänger weiter vorgeht und welche praktischen Konsequenzen sich daraus für andere Website-Betreiber in Österreich und der EU ergeben.

Der baden-württembergische Landesbeauftragte für Datenschutz Stefan Brink leitete im Dezember 2022 das weltweit erste Bußgeldverfahren gegen die Gesichtssuchmaschine PimEyes ein. Er wirft dem Unternehmen vor, mit seinem Geschäftsmodell gegen die DSGVO zu verstoßen, da Fotos ohne ausdrückliche Einwilligung der abgebildeten Personen zur biometrischen Identifizierung verarbeitet werden. Als mögliche Strafe stand eine Geldbuße von bis zu 20 Millionen Euro beziehungsweise 4 Prozent des Jahresumsatzes im Raum.

Ob und in welcher Höhe am Ende tatsächlich ein Bußgeld verhängt wurde, geht aus den verfügbaren Quellen nicht hervor. Offen bleibt auch, wie die Durchsetzung gegen das im Ausland ansässige Unternehmen rechtlich und praktisch gelingen sollte. Spätere Berichte zeigen zudem, dass eine parallele Beschwerde bei der Hamburger Datenschutzbehörde trotz festgestellter Rechtswidrigkeit jahrelang folgenlos blieb.

Die Investigativplattform 404 Media wertete im Mai 2025 Audit-Protokolle von Flock Safety aus und fand mehr als 4.000 landesweite Kennzeichen-Suchanfragen lokaler und bundesstaatlicher Polizeibehörden mit dem angegebenen Suchgrund ICE, ICE+ERO, ICE WARRANT oder illegal immigration. Flocks automatisiertes Kennzeichenerfassungsnetzwerk ist in mehr als 5.000 US-Gemeinden aktiv, ICE selbst hat keinen offiziellen Vertrag mit Flock. Alle ausgewerteten Suchanfragen mit dem Grund immigration erfolgten erst nach Trumps Amtsantritt im Januar 2025.

Nicht belegt ist, ob die einzelnen Polizeibehörden diese Suchen bewusst im Auftrag von ICE und im Rahmen geltender Gesetze durchführten oder ob es sich um unautorisierte Umgehungen lokaler Vorschriften handelte. Offen bleibt zudem, wie viele der über 4.000 Abfragen tatsächlich zu Festnahmen oder Abschiebungen führten.

The Guardian und das ICIJ-Konsortium mit mehr als 40 Medienpartnern veröffentlichten am 10. Juli 2022 die Uber Files, rund 124.000 interne Dokumente aus den Jahren 2013 bis 2017. Quelle des Leaks war der frühere Uber-Cheflobbyist für Europa, den Nahen Osten und Afrika, Mark MacGann. Belegt sind geheime Treffen mit Spitzenpolitikern in Dutzenden Ländern sowie ein technischer Kill-Switch, mit dem Uber-Mitarbeiter Behörden bei Razzien gezielt den Zugriff auf Firmendaten blockierten.

Die genaue Gesamtzahl der Dokumente und der betroffenen Länder wird in verschiedenen Berichten leicht unterschiedlich beziffert. Offen bleibt, ob und in welchem Umfang einzelne Manager oder beteiligte Amtsträger strafrechtliche Konsequenzen aus den Enthüllungen trugen. Uber räumte Fehler der früheren Führung vor 2017 ein, bestritt aber eine Fortsetzung dieser Praktiken unter dem seitdem neuen Management.

Am 6. Juli 2015 wurden rund 400 Gigabyte interne Daten der italienischen Überwachungssoftware-Firma Hacking Team veröffentlicht, nachdem Unbekannte den Twitter-Account des Unternehmens gekapert und in Hacked Team umbenannt hatten. Der Leak umfasste E-Mails, Quellcode der Spähsoftware Remote Control System, interne Handbücher sowie Rechnungen an Kunden im Gesamtwert von über 4 Millionen Euro. Als Kunden identifiziert wurden unter anderem Ägypten, Saudi-Arabien, Sudan, Äthiopien sowie deutsche Behörden wie BKA und Verfassungsschutz.

Wer hinter dem Angriff steckte, wurde nie offiziell festgestellt. Der Angreifer hinterließ lediglich den Hinweis Since we have nothing to hide, ohne sich zu identifizieren. Ob es sich um dieselbe Person handelte, die zuvor den Spyware-Hersteller FinFisher angriff, blieb reine Spekulation.

Die Münchner FinFisher-Firmengruppe meldete im Februar 2022 Insolvenz an und entließ alle 22 Mitarbeiter, nachdem die Staatsanwaltschaft München Ende 2021 einen Vermögensarrest gegen die Konten erlassen hatte. Grundlage war eine Strafanzeige von netzpolitik.org, der Gesellschaft für Freiheitsrechte, Reporter ohne Grenzen und dem ECCHR von Juli 2019 wegen mutmaßlich illegaler Exporte der Spähsoftware FinSpy ohne die seit 2015 erforderliche Genehmigung, unter anderem in die Türkei. Ende 2020 durchsuchte die Staatsanwaltschaft 15 Geschäftsräume und Privatwohnungen im Zuge der Ermittlungen.

Ob es tatsächlich zu einer Anklage oder Verurteilung kam, ist durch diese Quelle nicht belegt; der Abschluss der Ermittlungen war zum Berichtszeitpunkt nicht absehbar. Ebenfalls nicht dokumentiert sind eine Stellungnahme der Geschäftsführung zu den Vorwürfen sowie der genaue Umfang der Exporte in weitere genannte Länder wie Ägypten und Myanmar.

Durch eine Anfrage nach dem Public-Records-Recht deckte die EFF E-Mails auf, in denen die Polizei von Los Angeles (LAPD) im Sommer 2020 gezielt Ring-Nutzer um Videoaufnahmen von Black-Lives-Matter-Protesten bat. Eine Anfrage der eigens gebildeten Task Force Safe L.A. vom 1. Juni 2020 brachte innerhalb von zwei Stunden Filmmaterial. Die Anfragen liefen über das Polizei-Portal von Rings Neighbors-App, ohne dass ein richterlicher Beschluss vorlag.

Wegen umfangreicher Schwärzungen von Daten, Uhrzeiten und Tatvorwürfen in den herausgegebenen Dokumenten konnte die EFF nicht abschließend feststellen, wie viele Anfragen tatsächlich gezielt Proteste betrafen und wie viel Videomaterial die LAPD insgesamt erhielt. Auch die genaue rechtliche Begründung der Polizei für einzelne Anfragen bleibt offen.

Am 16. Februar 2024 wurden auf GitHub hunderte interne Dokumente der chinesischen Sicherheitsfirma I-Soon (auch bekannt als Anxun) veröffentlicht, darunter Verträge, Chatprotokolle, Zielkataloge und Produktbeschreibungen für Hacking-Werkzeuge. Die Dokumente zeigen eine Zusammenarbeit mit chinesischen Behörden wie dem Ministerium für öffentliche Sicherheit sowie Angriffe auf Regierungsstellen und Organisationen in mindestens 14 Ländern, darunter Indien, Malaysia, Taiwan und Hongkonger Demokratiegruppen. BBC, NHK und die Nachrichtenagentur AP bestätigten die Echtheit der Dokumente unter anderem durch Gespräche mit zwei I-Soon-Mitarbeitern.

Wer die Dokumente leakte und aus welchem Motiv, ist bis heute nicht geklärt. Das vollständige Ausmaß der gestohlenen Daten und die Identität der meisten konkreten Opfer wurden nicht offengelegt. Die chinesische Regierung bestritt eine Verwicklung, eine unabhängige gerichtliche oder behördliche Bestätigung außerhalb Chinas liegt nicht vor.