Quellen-Tabelle

Studie von 15 standortbasierten Dating-Apps: sechs geben per Trilateration nahezu exakte Standorte preis, mehrere legen sensible Daten wie Geburtsdatum oder Gesundheitsdaten unnötig offen.

Kanzlei-Zusammenfassung der akademischen Studie, keine Primärpublikation.

Der IT-Planungsrat beschließt eine Hybridstrategie zum Aufbau alternativer, insbesondere quelloffener IT-Lösungen für die Verwaltung.

Enthält keine verbindlichen Fristen zur Ablösung konkreter Microsoft- oder AWS-Dienste.

Ordnet WLAN-Tracking an stark frequentierten öffentlichen Orten datenschutzrechtlich ein und diskutiert, unter welchen Bedingungen MAC-Adressen als personenbezogene Daten gelten.

Genauer Veröffentlichungsmonat ließ sich nicht zweifelsfrei bestimmen, nur das Jahr ist gesichert.

Meldebehörden dürfen Namen und aktuelle Anschrift einer Person an jedermann herausgeben; für Werbe- und Adresshandelszwecke muss der Anfragende den Zweck angeben, damit Betroffene widersprechen können.

Reiner Gesetzestext nennt keine Bußgeldpraxis oder Vollzugsdefizite.

Untersucht Akzeptanz bei Polizeibeamten sowie erste Effekte von Bodycams auf Deeskalation und Eigensicherung.

Zwischenbericht eines Pilotprojekts mit begrenzter Fallzahl, keine abschließenden Wirkungsaussagen.

Mozillas Untersuchung von 25 Automarken ergab, dass alle durchfielen: 84 Prozent können Daten an Datenhändler weitergeben, 76 Prozent behalten sich den Verkauf vor, über 50 Prozent die Weitergabe an Behörden.

Wertet nur Datenschutzerklärungen aus, belegt nicht die tatsächliche Erhebung; Original-Mozilla-Seiten blockieren automatisierte Abrufe.

Alle 25 geprüften Automarken fielen durch; 84 Prozent behalten sich Weitergabe oder Verkauf vor, die Policies nennen Kategorien wie sexuelle Aktivität, Gesundheits- und Genetikdaten, Einwanderungsstatus, Ethnie, Gesichtsausdrücke und Gewicht.

Analysiert nur US-Datenschutzerklärungen, nicht die tatsächliche Datenerhebung; in der EU gelten andere Policies und die DSGVO.

China verlangt, dass wichtige Daten im Land bleiben, während die EU mit DSGVO und Data Act nur personenbezogene Daten abdeckt und industrielle Betriebsdaten ungeregelt lässt. Der EU fehlt zudem ein Prüfmechanismus für Lieferanten sicherheitskritischer Komponenten.

Regulierungsanalyse eines Think Tanks, keine behördliche Untersuchung eines konkreten Datenabflusses.

Fahrzeugdaten fließen bislang ausschließlich über Herstellerserver, weshalb Verbraucher weder Umfang noch Verwendung kontrollieren können; gefordert wird ein neutraler Datentreuhänder mit direktem Zugriff auf das Fahrzeug.

Politische Forderung, keine geltende Rechtslage.

Der unabhängige IT-Sicherheitsexperte Mike Kuketz veröffentlichte am 11.04.2022 eine technische Analyse der App DB Navigator der Deutschen Bahn. Mittels einer Intercepting-Proxy-Software untersuchte er den Netzwerkverkehr der App auf einem Android-10- und einem iOS-15.4.1-Gerät. Die Analyse ergab, dass die App Reisedaten wie Start- und Zielbahnhof, Reisedatum, Bahncard-Status, Gerätemodell und Mobilfunkanbieter an bis zu zehn externe Dienstleister übermittelt, darunter Google, Adobe, Optimizely, Tealium, Qualtrics und CrossEngage. Diese Datenweitergabe erfolgte laut Kuketz auch dann, wenn Nutzer in den Cookie-Einstellungen lediglich die Option nur erforderliche Cookies ausgewählt hatten. Kuketz dokumentierte damit mögliche Verstöße gegen Paragraf 25 TTDSG sowie gegen mehrere Artikel der DSGVO, unter anderem wegen Datenübermittlungen in Drittstaaten wie die USA. Im Herbst 2022 reichte der Verein Digitalcourage aus Bielefeld wegen dieser Praxis Klage gegen die Deutsche Bahn ein. Seit dem 19.05.2025 wird die Klage vor dem Landgericht Frankfurt am Main verhandelt. Ein Urteil stand zum Zeitpunkt der Recherche noch aus.

Aus dieser Quelle nicht belegt sind eine konkrete Zahl betroffener Nutzer sowie eine Bestätigung, dass die geschilderte Datenweitergabe auch in aktuellen App-Versionen noch in gleicher Form besteht.

Der GDPR Enforcement Tracker, eine von der internationalen Anwaltskanzlei CMS betriebene Datenbank, dokumentiert seit Inkrafttreten der Datenschutz-Grundverordnung am 25.05.2018 alle öffentlich bekannt gewordenen Bußgelder europäischer Datenschutzbehörden. Stand 19.08.2026 verzeichnet die Datenbank 3.206 Bußgeldverfahren aus 32 Ländern mit einer kumulierten Gesamtsumme von rund 6,31 Milliarden Euro. Irland führt die Rangliste nach Gesamtsumme deutlich an, unter anderem wegen der bisher höchsten Einzelstrafe von 1,2 Milliarden Euro gegen Meta Platforms Ireland Limited vom 12.05.2023. Nach Anzahl der Verfahren liegt Spanien mit 1.079 Fällen an der Spitze, gefolgt von Italien und Rumänien. Nach Branchen entfallen die höchsten Bußgeldsummen auf den Sektor Medien, Telekommunikation und Rundfunk. Die Datenbank wird fortlaufend aktualisiert, sodass sich Fallzahlen und Gesamtsumme täglich verändern können.

Die Datenbank erfasst nur öffentlich bekannt gewordene Bußgelder; informelle Verwarnungen, nicht-monetäre Anordnungen und unveröffentlichte Verfahren fehlen, und einzelne Großstrafen wie die Meta-Buße sind wegen laufender Rechtsmittel noch nicht rechtskräftig.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware Petya/NotPetya über ein kompromittiertes Update der ukrainischen Steuersoftware M.E.Doc weltweit auszubreiten und Windows-Systeme zu verschlüsseln. Am 28.06.2017 veröffentlichten die Kaspersky-Forscher Anton Ivanov und Orkhan Mamedov eine technische Analyse mit dem Titel ExPetr/Petya/NotPetya is a Wiper, Not Ransomware. Die Analyse zeigte, dass die auf dem Erpresserbildschirm angezeigte Installations-ID mit der Windows-Funktion CryptGenRandom erzeugt wird und somit aus rein zufälligen Daten besteht. Bei echter Ransomware enthält diese ID verschlüsselte Informationen, aus denen die Angreifer mittels ihres privaten Schlüssels den passenden Entschlüsselungsschlüssel ableiten können. Da die von NotPetya angezeigte ID keinen Bezug zum tatsächlichen Verschlüsselungsschlüssel hat, können die Angreifer selbst nach Zahlung des Lösegelds keine funktionierende Entschlüsselung liefern. Kaspersky folgerte daraus, dass die Software auf dauerhafte Datenzerstörung ausgelegt war. Diese Unterscheidung veränderte die öffentliche und politische Einordnung des Angriffs, der später von Geheimdiensten mehrerer Staaten dem russischen Militärgeheimdienst GRU zugeschrieben wurde.

Die Kaspersky-Analyse belegt die technische Unmöglichkeit der Entschlüsselung, macht aber keine Aussage zur Täterschaft oder zum genauen Gesamtschaden; die spätere Zuschreibung an den russischen GRU sowie die Schadenssumme von über 10 Milliarden US-Dollar stammen aus separaten, späteren Quellen.

Das Citizen Lab dokumentierte forensisch mindestens 65 Personen aus dem katalanischen Unabhängigkeitsumfeld, die zwischen 2017 und 2020 mit der Pegasus-Software von NSO Group oder mit Candiru-Spyware angegriffen oder infiziert wurden. Darunter waren der ehemalige Präsident Carles Puigdemont, weitere Politiker, Anwälte und Aktivisten. Amnesty Internationals Security Lab bestätigte die forensische Methodik unabhängig bei vier Betroffenen.

Citizen Lab spricht nur von starken Indizien für eine Verantwortung spanischer Behörden, nennt aber keine abschließende offizielle Zuschreibung an eine konkrete Stelle. Offen bleibt zudem, wie die abgegriffenen Daten tatsächlich verwendet wurden, und die reale Opferzahl könnte wegen eingeschränkter Android-Forensik höher liegen als die bestätigten Fälle.

Ein Athener Gericht verurteilte am 26. Februar 2026 vier Verantwortliche der Spyware-Firma Intellexa, darunter Firmengründer Tal Dilian, wegen unbefugten Zugriffs auf Kommunikationssysteme und Verletzung des Kommunikationsgeheimnisses mittels der Predator-Software. Der zugrunde liegende Skandal wurde 2022 bekannt, als der Journalist Thanasis Koukakis und der Oppositionspolitiker Nikos Androulakis als Überwachungsziele identifiziert wurden. Laut Gericht waren Dutzende Personen betroffen, darunter Journalisten, Politiker und Geschäftsleute; es handelt sich um die ersten Verurteilungen in diesem Fall.

Wer die Überwachung tatsächlich anordnete und wer sie politisch verantwortete, blieb strafrechtlich ungeklärt. Griechische Staatsanwälte entlasteten 2024 Regierungsstellen und staatliche Amtsträger, obwohl laut HRW dokumentierte Hinweise auf deren Beteiligung vorlagen. Die Verurteilten legten Berufung ein, die verhängten Haftstrafen sind bis zur endgültigen Entscheidung ausgesetzt.

Human Rights Watch hat zusammen mit der Berliner Sicherheitsfirma Cure53 eine Version der Polizei-App der Integrated Joint Operations Platform (IJOP) aus Xinjiang reverse engineered. Die App fordert Beamte auf, umfangreiche persönliche Daten der Bevölkerung zu erfassen, darunter Bewegungsprofile, Fahrzeug- und Telefondaten, Bankinformationen, Familienbeziehungen sowie die Nutzung von VPNs und Messenger-Apps. Als verdächtig eingestufte Personen werden von der App automatisch an die Behörden gemeldet.

Wie die zentrale IJOP-Plattform im Detail mit weiteren landesweiten Überwachungssystemen verknüpft ist und nach welchen genauen Kriterien die Verdachtsalgorithmen entscheiden, bleibt laut Human Rights Watch eine Black Box. Auch vollständige Angaben zu Speicherung, Weitergabe und Löschung der gesammelten Daten sowie der aktuelle technische Stand der App nach 2018 sind nicht öffentlich dokumentiert.

Der Programmierer und Aktivist Aaron Swartz wurde am 06.01.2011 von MIT-Polizei und US Secret Service festgenommen, nachdem er über das MIT-Netzwerk rund 4,8 Millionen Artikel aus der Datenbank JSTOR heruntergeladen hatte. Eine Grand Jury klagte ihn wegen Betrugs und mehrfachen Verstößen gegen den Computer Fraud and Abuse Act an, im September 2012 folgte eine erweiterte Anklage mit 13 Punkten und einer theoretischen Höchststrafe von bis zu 35 Jahren Haft. Der Untersuchungsbericht bestätigt, dass MIT selbst keine Strafverfolgung forderte, aber Netzwerkprotokolle an die Ermittler übergab, und dass Swartz sich am 11.01.2013 während des laufenden Verfahrens das Leben nahm, woraufhin die Anklage fallen gelassen wurde.

Der MIT-Bericht bewertet die eigene Rolle des Instituts kritisch, spricht aber keine abschließende juristische Schuldzuweisung aus. Ob eine andere Reaktion von MIT oder der Datenbankbetreiberin JSTOR den Ausgang verändert hätte, bleibt offen. Welche konkreten Pläne Swartz mit den heruntergeladenen Artikeln verfolgte, ist nicht abschließend dokumentiert.

Am 31. August 2025 wurde der britische Automobilhersteller Jaguar Land Rover Opfer eines Cyberangriffs, der ab 1. September zur Einstellung der Produktion in den Hauptwerken führte. Die Produktion stand rund fünf Wochen still, das unabhängige britische Cyber Monitoring Centre stufte den Vorfall als systemisches Ereignis mit einem geschätzten volkswirtschaftlichen Schaden von 1,9 Milliarden Pfund ein. Eine Gruppe namens Scattered Lapsus Hunters bekannte sich zu dem Angriff, die britische Regierung sicherte JLR eine Kreditgarantie zu.

Offen bleibt, ob die operative Technik (OT) der Fabriken kompromittiert wurde und ob ein Lösegeld gefordert oder gezahlt wurde. Die genaue technische Angriffsmethode und die endgültige Wiederherstellungsdauer waren zum Zeitpunkt der Einschätzung noch nicht abschließend geklärt.

Zwischen 8. und 18. August 2025 nutzte die als UNC6395 verfolgte Angreifergruppe gestohlene OAuth-Zugriffstoken der Chatbot-Integration Salesloft Drift, um systematisch Daten aus Salesforce-Instanzen von mehr als 700 Organisationen abzugreifen, darunter Cloudflare, Google, Palo Alto Networks und Zscaler. Die Angreifer suchten gezielt nach weiterverwertbaren Zugangsdaten wie AWS-Schlüsseln, Snowflake-Token und Passwörtern. Am 20. August 2025 widerriefen Salesloft und Salesforce alle Drift-OAuth-Token und entfernten die Anwendung aus dem Salesforce AppExchange.

Wie die OAuth-Token bei Salesloft ursprünglich entwendet wurden, ist öffentlich nicht im Detail dokumentiert. Eine vollständige Liste aller betroffenen Kunden sowie das genaue Ausmaß der bei einzelnen Organisationen abgeflossenen Daten wurden nicht vollständig veröffentlicht. Eine Zuordnung von UNC6395 zu einem bekannten Staat oder einer bereits bekannten Gruppierung liegt bislang nicht vor.

Am 26. Mai 2020 berichtete die Threat-Intelligence-Firma Cyble, dass ein Datensatz mit 47,5 Millionen Nutzerdatensätzen der Anrufer-Identifizierungs-App Truecaller aus Indien in einem Darknet-Forum für rund 1000 US-Dollar zum Verkauf angeboten wurde. Die Daten enthielten Telefonnummer, Mobilfunkanbieter, Name, Geschlecht, Stadt und E-Mail-Adresse. Truecaller bestritt eine Kompromittierung der eigenen Datenbank und erklärte, bereits im Mai 2019 von einem vergleichbaren Datensatz erfahren zu haben.

Ob die Daten tatsächlich aus einem direkten technischen Einbruch in Truecaller-Systeme stammen oder aus anderen Quellen zusammengetragen wurden, ist nicht abschließend geklärt. Truecaller bestreitet bis heute jede Sicherheitsverletzung der eigenen Datenbank.

Die US-Auskunftei Equifax gab im September 2017 ein Datenleck bekannt, von dem rund 147 Millionen Menschen betroffen waren, hauptsächlich in den USA. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie bei etwa 145,5 Millionen Personen Sozialversicherungsnummern und bei rund 209.000 Personen Kreditkartendaten. Ursache war eine bereits am 07.03.2017 von Apache veröffentlichte und gepatchte kritische Schwachstelle in der Software Apache Struts (CVE-2017-5638), die Equifax auf einem internen Portal nicht schloss, obwohl die eigene Sicherheitsabteilung eine Patch-Frist von 48 Stunden angeordnet hatte. Angreifer nutzten die Lücke ab dem 10.03.2017 aus und exfiltrierten zwischen Mai und Juli 2017 unentdeckt Daten. Im Juli 2019 einigte sich Equifax mit FTC, CFPB sowie 48 US-Bundesstaaten auf einen Vergleich von bis zu 700 Millionen US-Dollar.

Die genaue Identität der Angreifer ist nicht abschließend geklärt, das US-Justizministerium erhob 2020 Anklage gegen vier mutmaßliche Mitglieder der chinesischen Volksbefreiungsarmee, dies stammt aus einer separaten Ermittlung. Die Zahl von 147 Millionen Betroffenen ist eine später revidierte Schätzung, die ursprüngliche Meldung nannte 143 Millionen. Der Gesamtwert des Vergleichs von 700 Millionen Dollar ist ein Maximalbetrag, tatsächlich zahlte Equifax mindestens 575 Millionen Dollar garantiert.

Britische Polizei verhaftete Julian Assange am 11.04.2019 in der Botschaft Ecuadors in London, nachdem Präsident Lenín Moreno ihm den Asylschutz entzogen hatte. Die USA hatten die Anklage im Mai 2019 um 17 Punkte nach dem Espionage Act erweitert, bezogen auf die von WikiLeaks 2010/2011 veröffentlichten geheimen US-Dokumente, die Chelsea Manning zuvor weitergegeben hatte. Ein Londoner Gericht lehnte die Auslieferung 2021 zunächst ab, im Mai 2024 gewährte der High Court Assange erneut Berufungsrecht. Am 25.06.2024 bekannte sich Assange vor einem US-Bundesgericht auf Saipan in einem Anklagepunkt schuldig und wurde zu 62 Monaten Haft verurteilt, die durch bereits verbüßte Haftzeit in Großbritannien als abgegolten galten.

Ob und in welchem Ausmaß die veröffentlichten Dokumente tatsächlich Informanten gefährdeten, ist nicht belegt. Die theoretische Höchststrafe von bis zu 175 Jahren bezog sich auf alle ursprünglich 18 Anklagepunkte und wurde durch den Deal gegenstandslos. Ob die von den USA zugesagten Garantien eingehalten worden wären, wurde nie gerichtlich geprüft, da es nie zu einer Verhandlung in den USA kam.

Der frühere UBS-Private-Banker Bradley Birkenfeld informierte 2007 das US-Justizministerium darüber, wie UBS systematisch wohlhabende US-Bürger bei Steuerhinterziehung über Schweizer Geheimkonten unterstützte. Die Ermittlungen führten 2009 zu einer 780-Millionen-Dollar-Strafe für UBS. Birkenfeld selbst wurde 2008 angeklagt, da er seine eigene Rolle bei der Verschleierung von rund 200 Millionen Dollar für einen Klienten verschwiegen hatte, und verbüßte 40 Monate Haft. Am 11.09.2012 zahlte ihm die IRS eine Prämie von 104 Millionen Dollar, die bis dahin höchste Einzelauszahlung an einen Hinweisgeber.

Welcher Betrag exakt als Berechnungsgrundlage der 104-Millionen-Dollar-Prämie diente, geht aus verfügbaren Quellen nicht eindeutig hervor, manche nennen 26 Prozent von rund 400 Millionen Dollar, andere verweisen auf über 5 Milliarden Dollar Gesamtsteuernachzahlungen. Die genaue Zahl der offengelegten UBS-Kundennamen wird unterschiedlich beziffert.

Der Royal Free London NHS Foundation Trust übergab 2015 die Gesundheitsdaten von rund 1,6 Millionen Patienten an Google DeepMind, um die App Streams zur Erkennung von akutem Nierenversagen klinisch zu testen. Die ICO stellte am 03.07.2017 fest, dass der Trust gegen den Data Protection Act 1998 verstoßen hatte: Patienten seien nicht angemessen informiert worden und es habe keine ausreichende Rechtsgrundlage gegeben. Die ICO verhängte kein Bußgeld, verpflichtete den Trust jedoch, eine ordnungsgemäße Rechtsgrundlage zu schaffen und die Studie extern prüfen zu lassen.

In welchem Umfang DeepMind die Patientendaten für andere Zwecke nutzte, ist nicht abschließend geklärt, DeepMind bestritt eine Zweckentfremdung. Eine spätere Sammelklage von rund 1,6 Millionen Patienten wurde im Mai 2023 von einem britischen Gericht abgewiesen, da kein individueller Schaden nachgewiesen werden konnte.

Zwischen März und Juni 2020 schleusten mutmaßlich russische Angreifer Schadcode (Sunburst) in Software-Updates der Netzwerkmanagement-Plattform Orion des Herstellers SolarWinds ein. Rund 18.000 Organisationen luden die kompromittierte Version herunter, davon wurden nach Angaben der stellvertretenden nationalen Sicherheitsberaterin des Weißen Hauses etwa neun US-Bundesbehörden und rund 100 private Unternehmen tatsächlich weiter kompromittiert. CISA erließ am 13.12.2020 die Notfallanweisung ED 21-01. Im Oktober 2024 einigte sich die SEC mit vier vom Hack betroffenen Unternehmen auf Vergleichszahlungen wegen irreführender Offenlegungen.

Die oft zitierte Zahl von 18.000 betrifft nur den Download der manipulierten Software, die Zahl tatsächlich kompromittierter Ziele ist kleiner, aber nie vollständig verifiziert. Die Urheberschaft ist offiziell nicht gerichtsfest bewiesen, Russland bestreitet jede Beteiligung. Die zivilrechtliche Betrugsklage der SEC gegen SolarWinds selbst wurde 2024 in den meisten Punkten abgewiesen.

Am 19.07.2024 verteilte CrowdStrike ein fehlerhaftes Konfigurationsupdate für seine Falcon-Sensor-Software, das auf Windows-Systemen Systemabstürze verursachte. Nach Microsoft-Angaben waren rund 8,5 Millionen Windows-Geräte betroffen, darunter Check-in-Systeme von Fluggesellschaften, Krankenhaus-IT und Notrufzentralen. Delta Air Lines strich rund 7.000 Flüge und bezifferte den eigenen Schaden auf etwa 550 Millionen US-Dollar. Bis zum 25.07.2024 waren laut CrowdStrike 97 Prozent der betroffenen Systeme wieder online.

Die Zahl von 8,5 Millionen Geräten bezieht sich nur auf Systeme mit Microsoft-Telemetrie, die tatsächliche Gesamtzahl gilt als höher. Delta-CrowdStrike streiten sich in einem laufenden Rechtsstreit über die Verantwortung, die genannten Schadenssummen sind daher nicht unabhängig bestätigt.