Quellen-Tabelle

Das Produkt Draft One des Bodycam-Herstellers Axon nutzt eine angepasste ChatGPT-Variante, um aus dem Audio von Bodycam-Aufnahmen automatisch Entwürfe für Polizeiberichte zu erstellen, einsatzbereit binnen fünf Minuten nach Aufnahmeende. Die EFF kritisiert, dass es keine praktikable Möglichkeit gibt zu prüfen, welche Teile eines fertigen Berichts von der KI stammen und welche ein Beamter bearbeitet hat: Der KI-Entwurf verschwindet nach der Überarbeitung spurlos. Zudem entschied sich fast jede befragte Polizeibehörde gegen die Option, Draft One für bestimmte Deliktarten zu deaktivieren; eine Behörde nutzte die Software für über 900 Berichte, von Wohlfahrtschecks bis zu Entführungs- und Körperverletzungsfällen.

Belegt ist die fehlende Nachvollziehbarkeit der KI-Textanteile am fertigen Bericht. Ob dadurch bereits konkrete Fehlurteile oder Strafverfahren beeinflusst wurden, ist aus dieser Quelle nicht belegt.

Am 23.02.2009 durchsuchten Ermittler des britischen Information Commissioner's Office (ICO) die Räume der Consulting Association und fanden Akten zu 3.213 Bauarbeitern, die als illegale schwarze Liste dienten. Auf der über mehr als 30 Jahre von großen Baufirmen finanzierten Liste standen politische Aktivisten, Umweltschützer, Betriebsräte und Arbeitsschutzbeauftragte, die deshalb keine Anstellung mehr bekamen. Der Betreiber Ian Kerr wurde wegen Verstoßes gegen das Datenschutzgesetz zu 5.000 Pfund Geldstrafe verurteilt; 44 identifizierte Baufirmen erhielten Vollzugsschreiben des ICO.

Eine spätere Entschädigungsregelung für Betroffene wurde in Großbritannien eingerichtet; deren genauer Umfang und die ausgezahlten Summen sind aus dieser Quelle nicht belegt.

Der britische Online Safety Act erhielt im Oktober 2023 königliche Zustimmung und gibt der Regulierungsbehörde Ofcom Befugnisse, Maßnahmen gegen illegale Inhalte auf Messaging-Plattformen zu verlangen, faktisch bis hin zu client-seitigem Scannen verschlüsselter Nachrichten vor deren Verschlüsselung. Signal-Präsidentin Meredith Whittaker erklärte, Signal werde Großbritannien 'absolut, zu 100 Prozent' verlassen, statt seine Verschlüsselung zu schwächen. Die britische Regierung drängt Ofcom, im Rahmen des Gesetzes Verschlüsselungs-Backdoors zu untersuchen; ein entsprechender Bericht ist für April 2026 angekündigt.

Ob Signal den Rückzug aus Großbritannien tatsächlich vollzogen hat, ist aus dieser Quelle (Stand der Ankündigung 2023, Bericht erst für April 2026 angekündigt) nicht belegt.

Die auf der Black-Hat-Konferenz 2019 vorgestellte GDPArrrrr-Forschung testete, wie Unternehmen auf DSGVO-Auskunftsanfragen (Art. 15) reagieren, wenn sich ein Angreifer als eine andere Person ausgibt. Ergebnis: Die Identitätsprüfung der angefragten Unternehmen war stark uneinheitlich, teilweise genügte eine E-Mail vom vermeintlichen Konto oder bloße Login-Daten als Nachweis. Einige Organisationen verwechselten die Auskunftsanfrage sogar mit einer Löschanfrage und entfernten Konten ohne ordentliche Identitätsprüfung.

Die Studie zeigt eine strukturelle Schwachstelle in der Praxis der Auskunftsbearbeitung, keine flächendeckende, aktuelle Zahl erfolgreicher Identitätsdiebstähle über diesen Weg.

Laut einer Erhebung von noyb erhielten nur 16,5 Prozent der Anfragenden eine vollständige Antwort auf ihre Auskunftsanfrage nach Art. 15 DSGVO, fast 30 Prozent bekamen überhaupt keine Antwort. Damit erfüllten 83,5 Prozent der untersuchten Antworten nicht die gesetzlichen Vorgaben. noyb betont, das eigentliche Problem sei nicht der Missbrauch des Auskunftsrechts durch Betroffene, sondern die mangelhafte Erfüllung der Auskunftspflicht durch die Unternehmen selbst, und kritisiert deshalb den EU-Digital-Omnibus-Vorschlag, der das Auskunftsrecht einschränken will.

Die Stichprobengröße und Methodik der zitierten noyb-Erhebung ist aus dieser Sekundärquelle nicht im Detail belegt; die Prozentzahlen stammen aus noybs eigener Auswertung.

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Der EuGH entschied am 09.02.2023 (Rechtssache C-453/21), dass ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO vorliegen kann, wenn ein Datenschutzbeauftragter gleichzeitig weitere Aufgaben wahrnimmt, in denen er selbst über Zwecke und Mittel der Datenverarbeitung entscheidet. Im konkreten Fall ging es um einen Datenschutzbeauftragten, der zugleich freigestellter Betriebsratsvorsitzender war und nach Inkrafttreten der DSGVO 2018 von seiner Position als Datenschutzbeauftragter abberufen wurde. Ob ein solcher Konflikt vorliegt, muss laut EuGH im Einzelfall von den nationalen Gerichten geprüft werden.

Das Urteil stellt einen abstrakten Prüfmaßstab auf; es bewertet nicht, wie viele betriebliche Datenschutzbeauftragte in Deutschland tatsächlich in einem solchen Interessenkonflikt stehen.

FraUKe (Frankfurter Urteilskonfigurator Elektronisch) ist laut hessischem Justizministerium bundesweit das erste KI-gestützte Assistenzsystem, bei dem Künstliche Intelligenz Richterinnen und Richter aktiv bei der Urteilsfindung unterstützt, eingesetzt im Bereich der Fluggastrechte. Parallel entwickeln Nordrhein-Westfalen, Niedersachsen, Brandenburg und Hessen im Projekt MAKI (Massenverfahrens-Assistenz mittels Künstlicher Intelligenz) eine gemeinsame Grundlage für den KI-Einsatz bei Massenverfahren an Amtsgerichten; NRW und Bayern bauen zudem gemeinsam ein juristisches Sprachmodell (GSJ) auf.

Belegt ist der Einsatz bei Fluggastrechte-Massenverfahren. Wie weit die Letztentscheidung beim Menschen liegt und in welchem Umfang die KI-Textvorschläge unverändert übernommen werden, ist aus dieser Quelle nicht im Detail belegt.

Am 29.08.2017 ordnete die FDA einen freiwilligen Rückruf von 465.000 Herzschrittmachern des Herstellers Abbott (übernommen von St. Jude Medical) an, um eine Firmware-Sicherheitslücke zu schließen. Betroffen waren sechs Modellreihen (Accent, Accent MRI, Accent ST, Allure, Anthem, Assurity). Die Schwachstelle hätte es unbefugten Personen mit handelsüblicher Ausrüstung ermöglicht, aus der Nähe auf das implantierte Gerät zuzugreifen und dessen Programmierung zu verändern, mit möglichen Folgen wie beschleunigter Batterieentladung oder fehlerhafter Herzstimulation. Der Rückruf bestand aus einem Firmware-Update beim Arzt, kein Austausch des Geräts war nötig.

Die FDA meldete zum Zeitpunkt des Rückrufs keine bekannten Verletzungsfälle durch die Schwachstelle; ob es später tatsächlich zu einem Angriff über diese Lücke kam, ist aus dieser Quelle nicht belegt.

Seit Oktober 2025 laufen in deutschen Kliniken Pilotprojekte mit Microsofts KI-Dokumentationssystem Dragon Copilot, darunter Charité Berlin, Universitätsklinikum Mannheim, Kliniken Stuttgart, Region Hannover und BG Klinikum Halle. Das System hört als 'Ambient Scribe' mit Einwilligung der Beteiligten das Arzt-Patienten-Gespräch mit, erstellt automatisch strukturierte Dokumentation und Befunde, die anschließend von Ärzten geprüft und freigegeben werden. Es kombiniert die Spracherkennung von Dragon Medical One mit den Ambient-Listening-Fähigkeiten von Dragon Ambient eXperience Copilot und generativer KI und ist seit Kurzem deutschlandweit allgemein verfügbar.

Der Anbieter beschreibt die Verarbeitung als datenschutzkonform; eine unabhängige Prüfung der konkreten Datenspeicherung und -weitergabe an Microsoft-Server ist aus dieser Herstellerquelle nicht belegt.

Am 21.04.2022 verschafften sich Angreifer der Gruppe BlackCat über einen Arbeitsplatzrechner Zugang zu den IT-Systemen des Landes Kärnten; entdeckt wurde der Angriff erst am 24.05.2022 durch Auffälligkeiten im Netzwerk. Die Angreifer erbeuteten rund 250 GB Daten, darunter Passkopien, Corona-Testergebnisse, Bankkartendaten sowie Korrespondenz des Landeshauptmanns und mehrerer Landesräte; 5,6 GB davon wurden veröffentlicht. Rund 3.000 Rechner der Landesregierung, Bezirkshauptmannschaften und Gerichte mussten vom Netz genommen werden. Die Gruppe forderte 5 Millionen Euro Lösegeld in Bitcoin; das Land zahlte nicht. Der österreichische Rechnungshof stellte 2024 weiterhin Verbesserungsbedarf bei der IT-Sicherheit des Landes fest.

Der Rechnungshofbericht bewertet den Zustand der IT-Sicherheit nach dem Vorfall; ob die Ursprungslücke seither vollständig geschlossen wurde, ist aus dieser Quelle nicht abschließend belegt.

In Deutschland gibt es zwei etablierte Robinsonlisten (ichhabediewahl.de und robinsonliste.de), in die sich Verbraucher gegen unerwünschte Werbepost eintragen können. Unternehmen sind jedoch rechtlich nicht verpflichtet, ihre Adressbestände gegen diese Listen abzugleichen; der Abgleich ist freiwillig und kostenpflichtig. Größere Firmen, insbesondere Mitglieder des Deutschen Dialogmarketing Verbands, gleichen meist freiwillig ab, während kleinere oder ausländische Versender den Abgleich häufig aus Kosten- oder Organisationsgründen auslassen. Ein individueller Werbewiderspruch gegenüber einem Adresshändler muss dagegen unverzüglich befolgt werden; danach ist die weitere Nutzung der Daten für Werbezwecke untersagt.

Die Robinsonliste wirkt nur gegenüber den Unternehmen, die freiwillig abgleichen; sie ist kein rechtlich durchsetzbares generelles Werbeverbot.

Gouverneurin Tina Kotek unterzeichnete am 28.03.2024 mit SB 1596 das erste US-Gesetz, das die Praxis des 'Parts Pairing' verbietet: Hersteller wie Apple serialisieren Gerätekomponenten softwareseitig, sodass ein Gerät nur mit authentifizierten Originalteilen voll funktioniert. Das Gesetz verpflichtet Hersteller, Kunden die Nutzung neuer, gebrauchter oder Dritthersteller-Ersatzteile ohne Funktionseinschränkung zu ermöglichen, und gilt für alle neuen Elektronikgeräte ab 01.01.2025. Apple lobbyierte gegen das Verbot und argumentierte, Parts Pairing sei ein Sicherheitsmerkmal.

Das Gesetz gilt nur im US-Bundesstaat Oregon; eine EU-weite oder deutsche Entsprechung ist aus dieser Quelle nicht belegt.

Amazons Türklingelkamera-Anbieter Ring bestätigte 2022 gegenüber dem US-Senat, dass das Unternehmen Videoaufnahmen ohne Durchsuchungsbefehl und ohne Zustimmung der Gerätebesitzer an Polizeibehörden weitergeben kann, wenn nach eigener Einschätzung 'unmittelbare Gefahr für Leib oder Leben' vorliegt. Allein im Jahr 2022 geschah dies laut Unternehmensangabe bereits elfmal. Was als Notfall gilt, entscheidet Ring selbst, ohne gerichtliche Kontrolle. Reguläre Anfragen erfordern weiterhin einen gültigen Durchsuchungsbefehl; seit Februar 2024 hat Amazon zusätzlich das Werkzeug abgeschaltet, mit dem Polizei über die Neighbors-App direkt Nutzer um Aufnahmen bitten konnte.

Wie oft die Notfall-Ausnahme seit 2022 insgesamt genutzt wurde, ist aus dieser Quelle nicht mit aktueller Zahl belegt.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.

Wahlberechtigte können das Wählerverzeichnis in Deutschland üblicherweise vom 20. bis zum 16. Tag vor der Wahl einsehen, allerdings nur die eigenen Daten uneingeschränkt. Die Einsicht in die Daten anderer Personen ist nur zulässig, wenn ein möglicher Fehler im Wählerverzeichnis plausibel dargelegt wird. Aus Datenschutzgründen geht die Praxis zunehmend dazu über, statt vollständiger Listen nur gezielte Einzelabfragen zuzulassen. Für Personen mit eingetragener Auskunftssperre nach § 51 Bundesmeldegesetz gilt das Einsichtsrecht Dritter gar nicht erst.

Die genaue Ausgestaltung der Einsichtsregeln kann je nach Bundesland und Kommune leicht variieren; eine bundesweit einheitliche Verwaltungspraxis ist aus dieser Quelle nicht belegt.

Die Initiative 'Project Red Card' vertritt über 850 Profifußballer aus Premier League, National League, EFL und schottischer Premiership und fordert Entschädigung dafür, dass Wett- und Gaming-Unternehmen ihre Leistungsdaten (u. a. Lauf- und Positionsdaten) ohne ausreichende Rechtsgrundlage sammeln und verwerten. Die Global Sports Data and Technology Group verschickte vorprozessuale Aufforderungsschreiben an 17 Unternehmen, die mit Spielerdaten im Wett- und Gaming-Sektor handeln, mit der Begründung, die Datenverarbeitung verstoße gegen Datenschutzrecht.

Der Ausgang etwaiger Gerichtsverfahren und eine mögliche Entschädigungssumme sind aus dieser Quelle nicht belegt; es handelt sich um vorprozessuale Forderungen.

Am 05.02.2021 wurde gemeldet, ein Hacker habe sich per Fernzugriff in die Steuerung des Wasserwerks von Oldsmar, Florida, eingeklinkt und den Natriumhydroxid-Wert kurzzeitig von 100 auf 11.100 ppm erhöht, ein Vorfall, der weltweit als Beweis für die Verwundbarkeit kritischer Infrastruktur galt. Das FBI konnte in seiner Untersuchung jedoch keinen gezielten externen Cyberangriff bestätigen. Der damalige City Manager von Oldsmar erklärte später, es habe sich um ein 'Nichtereignis' gehandelt: Ein Mitarbeiter habe versehentlich die falschen Schaltflächen angeklickt und danach selbst seine Vorgesetzten informiert.

Der Fall zeigt, wie schnell ein Bedienfehler medial und politisch als Hackerangriff auf kritische Infrastruktur eingeordnet wird; eine abschließende behördliche Feststellung, was tatsächlich geschah, liegt aus dieser Quelle nicht vor.

Am 25.11.2023 griff die mit den iranischen Revolutionsgarden verbundene Gruppe CyberAv3ngers eine Pumpstation der Municipal Water Authority of Aliquippa in Pennsylvania an, indem sie über das Internet erreichbare, unzureichend gesicherte Unitronics-Industriesteuerungen (PLCs) kompromittierte und eine politische Botschaft gegen Israel auf den Displays anzeigte. Der Wasserversorger schaltete nach Entdeckung auf manuellen Betrieb um; laut Betreiber bestand zu keinem Zeitpunkt eine Gefährdung der Wasserversorgung. Bundesbehörden bestätigten, dass dieselbe Gruppe zusätzlich vier weitere Versorger und ein Aquarium angriff.

Die Behauptung, es habe zu keinem Zeitpunkt eine Gefährdung der Wasserqualität gegeben, stammt vom betroffenen Betreiber selbst, nicht von einer unabhängigen technischen Prüfung.

Mit der Verordnung (EU) 2024/1358 wurde die EU-Datenbank Eurodac von einem reinen Fingerabdruck-Abgleichsystem zu einem vollständigen Asyl- und Migrationsmanagementsystem ausgebaut. Zu den Erweiterungen zählen die zusätzliche Speicherung von Gesichtsbildern neben Fingerabdrücken, eine Ausweitung der erfassten Personenkategorien sowie verstärkte Vorkehrungen zur Datenspeicherung. Die modernisierte Datenbank soll ab Mitte 2026 in Betrieb gehen.

Der genaue Umfang der neu erfassten Personenkategorien und die tatsächliche Nutzung der Gesichtsbilddaten durch nationale Behörden nach Inbetriebnahme sind aus dieser Rechtsakt-Zusammenfassung nicht im Detail belegt.

Im April 2019 bestätigte Amazon einen Bloomberg-Bericht, wonach weltweit Mitarbeiter einzelne Sprachaufnahmen von Alexa-Geräten anhören und transkribieren, um die Spracherkennung zu verbessern, unter anderem an Standorten in Boston, Costa Rica, Indien und Rumänien. Zwei Mitarbeiter in Bukarest gaben an, bis zu 1.000 Aufnahmen pro Schicht abzuhören. Amazon erklärte, man werte 'eine extrem kleine Zahl an Interaktionen einer zufälligen Kundengruppe' aus. Bloomberg fand jedoch heraus, dass ein Screenshot einer solchen Transkriptionsaufgabe eine Kontonummer, den Vornamen des Kunden und die Geräteseriennummer enthielt. Nutzer konnten bis zur Veröffentlichung nicht erkennen, dass ihre Alexa-Gespräche von Menschen mitgehört wurden.

Wie viele der abgehörten Aufnahmen tatsächlich versehentliche Aktivierungen ('false wake words') betrafen, bei denen private Gespräche ohne Sprachbefehl aufgezeichnet wurden, ist aus dieser Quelle nicht separat beziffert.

Nach deutschem Recht ist der Einsatz von Spionagesoftware zur heimlichen Überwachung von Personen nach § 238 StGB strafbar. Dennoch wird sogenannte Stalkerware wie mSpy oder FlexiSpy mehr oder weniger offen zur Partnerüberwachung vermarktet, was von App-Stores weder erlaubt noch geduldet wird, aber ein florierendes Geschäft bleibt. Laut Kaspersky-Erhebung führt Deutschland europaweit bei digitalem Stalking: Fast jede dritte Person hat digitales Stalking erlebt, jede zehnte gibt zu, in irgendeiner Form Stalkerware genutzt zu haben, 9 Prozent räumen offen ein, das Smartphone des Partners manipuliert zu haben. Deutsche Cybersicherheitsexperten kritisieren, dass sich die zentralen Cybercrime-Ermittlungsstellen der Bundesländer zu wenig mit dem Thema befassen.

Die Prozentangaben stammen aus einer Befragung (Selbstauskunft), nicht aus behördlicher Kriminalstatistik; die tatsächliche Zahl strafrechtlich verfolgter Fälle ist aus dieser Quelle nicht belegt.

Ein Geofence Warrant (auch Reverse Location Warrant) ist ein gerichtlicher Beschluss, mit dem US-Ermittlungsbehörden von Google alle Mobilgeräte abfragen können, die sich zu einem bestimmten Zeitpunkt in einem festgelegten geografischen Gebiet befanden, ohne vorab eine konkrete verdächtige Person zu benennen. Solche Anfragen wurden erstmals 2016 genutzt und griffen auf Googles zentrale Standortdatenbank 'Sensorvault' zu. 2023 kündigte Google an, die Standortdaten künftig primär lokal auf den Geräten der Nutzer statt zentral auf eigenen Servern zu speichern, wodurch der Konzern faktisch keinen Zugriff mehr auf sammelbare Standortverläufe für solche Sammelanfragen hat.

Die Ankündigung betrifft die Praxis bei Google; ob andere Anbieter mit zentraler Standortspeicherung ähnliche Anfragen weiterhin bedienen, ist aus dieser Quelle nicht belegt.

Das Stanford Internet Observatory fand im offenen KI-Trainingsdatensatz LAION-5B, verwaltet von der in Deutschland ansässigen Non-Profit-Organisation LAION, mindestens 1.008 Bilder mutmaßlichen Kindesmissbrauchs; der Datensatz könnte darüber hinaus tausende weitere solcher Fälle enthalten. Human Rights Watch fand darüber hinaus in einer eigenen Untersuchung 170 Fotos brasilianischer Kinder aus zehn Bundesstaaten in dem Datensatz, teils aus dem gesamten Kindheitsverlauf und mit intimen Momenten wie Geburten, die ohne Wissen der Betroffenen für KI-Training verwendet wurden. LAION entfernte den betroffenen Datensatz vorübergehend und kündigte eine Bereinigung vor erneuter Veröffentlichung an.

Ob und in welchem Umfang bereits veröffentlichte KI-Bildmodelle mit dem unbereinigten Datensatz trainiert wurden und welche Folgen das für einzelne Betroffene hatte, ist aus dieser Quelle nicht abschließend belegt.

Im September 2020 verschlüsselte ein Ransomware-Angriff über eine Citrix-VPN-Schwachstelle (CVE-2019-19781) rund 30 Server des Universitätsklinikums Düsseldorf. In der Folge setzte die Klinik ihre Notaufnahme aus, sodass Rettungswagen umgeleitet wurden. Zwei Nächte später starb eine Patientin mit lebensbedrohlichem Zustand, die wegen der ausgesetzten Notaufnahme rund eine Stunde später in einem weiter entfernten Krankenhaus behandelt wurde. Nach eingehender Untersuchung mit medizinischen Gutachtern und Obduktion stellte die Staatsanwaltschaft fest, der Gesundheitszustand der Patientin sei zum Zeitpunkt der Abholung bereits so schwerwiegend gewesen, dass sie unabhängig vom Krankenhausort verstorben wäre; die Erkrankung sei alleinige Todesursache gewesen, unabhängig vom Cyberangriff.

Der Fall wird oft als 'erster tödlicher Hackerangriff' zitiert; die Staatsanwaltschaft stellte jedoch gerade keinen ursächlichen Zusammenhang zwischen Angriff und Tod fest. Beide Lesarten kursieren in der Berichterstattung, hier wird bewusst die Ermittlungsfeststellung wiedergegeben.