Quellen-Tabelle

Am 21.06.2013 veröffentlichte The Guardian auf Basis von Dokumenten des ehemaligen NSA-Mitarbeiters Edward Snowden Details zum Programm Tempora des britischen Geheimdienstes GCHQ. Tempora wurde ab 2008 getestet und war seit Ende 2011 im Wirkbetrieb. Der Geheimdienst hatte Abhörsonden an mehr als 200 transatlantischen Glasfaserkabeln angebracht, über die ein Großteil des internationalen Telefon- und Internetverkehrs zwischen Europa und Nordamerika läuft. Jede Sonde konnte anfangs bis zu 10 Gigabit Daten pro Sekunde erfassen, laut Guardian ließen sich damit täglich bis zu 600 Millionen Kommunikationsvorgänge auswerten. Inhaltsdaten wie Telefonate und E-Mails wurden bis zu drei Tage, Metadaten bis zu 30 Tage gespeichert und durchsuchbar gehalten. Ein zentraler Anlandepunkt der abgehörten Kabel lag im britischen Bude in Cornwall. Nach den Dokumenten hatten im Mai 2012 rund 300 GCHQ- und 250 NSA-Analysten Zugriff auf die gesammelten Daten. Im September 2018 stufte der Europäische Gerichtshof für Menschenrechte das britische Massenüberwachungsprogramm als rechtswidrig ein.

Die genaue Zahl von 600 Millionen täglich erfassten Kommunikationsvorgängen sowie Details zur rechtlichen Grundlage stammen aus als geheim eingestuften Dokumenten und wurden von GCHQ nie offiziell bestätigt oder dementiert.

Das Bundeskartellamt untersagte Facebook mit Beschluss vom 06.02.2019, Nutzerdaten aus verschiedenen Quellen ohne gesonderte freiwillige Einwilligung der Nutzenden zusammenzuführen. Betroffen war die Verknüpfung von Daten aus den konzerneigenen Diensten Facebook, Instagram und WhatsApp sowie von Daten, die auf Drittanbieter-Websites außerhalb von Facebook erhoben wurden, etwa über Like-Buttons. Bis zur Entscheidung war die Nutzung des Facebook-Kontos an die Zustimmung zu dieser weitreichenden Datensammlung gekoppelt; eine echte Wahlmöglichkeit hatten Nutzende nicht. Das Amt stützte die Entscheidung auf den Vorwurf des Missbrauchs einer marktbeherrschenden Stellung, gestützt auf einen Marktanteil von Facebook beim sozialen Netzwerk in Deutschland von rund 95 Prozent bezogen auf tägliche Nutzerzahlen. Facebook erhielt Umsetzungsfristen von vier bis zwölf Monaten und legte gegen den Beschluss Beschwerde beim Oberlandesgericht Düsseldorf ein, das die Vollziehung zunächst per Eilentscheidung aussetzte, bevor der Bundesgerichtshof 2020 die kartellrechtliche Einschätzung des Bundeskartellamts vorläufig bestätigte.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und Abschluss des jahrelangen gerichtlichen Rechtsstreits in allen Details sowie der exakte technische Umsetzungsstand der Datentrennung bei Meta zum jeweiligen Zeitpunkt.

Am 13.05.2014 entschied die Große Kammer des EuGH im Verfahren C-131/12, Google Spain SL und Google Inc. gegen die spanische Datenschutzbehörde AEPD und Mario Costeja Gonzalez. Auslöser war eine 1998 in der Zeitung La Vanguardia veröffentlichte Bekanntmachung über eine Zwangsversteigerung von Costejas Grundstück, die bei einer Google-Suche nach seinem Namen weiterhin erschien, obwohl das Verfahren längst abgeschlossen war. Costeja beantragte 2010 bei der AEPD, Google zur Löschung des Links aus den Suchergebnissen zu verpflichten. Der EuGH stellte fest, dass das Betreiben einer Suchmaschine als Verarbeitung personenbezogener Daten gilt und der Suchmaschinenbetreiber dafür als Verantwortlicher haftet. Betroffene Personen können demnach von Suchmaschinenbetreibern verlangen, Links zu rechtmäßig veröffentlichten, aber veralteten oder für sie nicht mehr relevanten Informationen zu entfernen, ohne dass die Ursprungsseite selbst gelöscht werden muss. Google richtete am 29.05.2014 ein Online-Formular für Löschanträge ein und erhielt in den ersten drei Monaten durchschnittlich rund 1.500 Anträge pro Tag. Bis 2018 gingen bei Google über 650.000 solcher Anträge zu rund 2,4 Millionen Links ein.

Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.

Am 27. Mai 2021 kam es beim schwedischen Zahlungsdienstleister Klarna zu einer Datenschutzpanne, bei der Nutzer der Klarna-App für kurze Zeit Konto- und Bestelldaten fremder Kunden einsehen konnten. Ursache war nach Angaben von Klarna ein menschlicher Bedienungsfehler bei einem Softwareupdate, das versehentlich in das Live-System eingespielt wurde. Der fehlerhafte Zustand bestand nach Unternehmensangaben etwa eine halbe Stunde. Sichtbar waren unter anderem Namen, Adressen, Telefonnummern, verifizierte E-Mail-Adressen, Bestellfotos sowie teilweise maskierte Karten- und Kontonummern. Vollständige Bank- oder Kartendaten sowie Steuernummern waren laut Klarna nicht einsehbar. Medien berichteten zunächst von rund 90.000 Betroffenen, Klarna korrigierte die Zahl später auf etwa 9.500 Nutzer von damals rund 90 Millionen aktiven Kunden weltweit. Klarna nahm die App unmittelbar vom Netz. Das Unternehmen erklärte, es habe sich nicht um einen externen Angriff gehandelt, informierte die zuständigen Behörden und kündigte eine Überprüfung interner Prozesse an. Der Vorfall betraf auch deutsche Nutzer.

Unklar bleibt, ob dieser konkrete Vorfall zu einem eigenen DSGVO-Bußgeld führte; die 2022 von der schwedischen Datenschutzbehörde IMY verhängte Strafe gegen Klarna betraf unzureichende Datenschutzerklärungen und nicht diese Datenpanne.

Das Bundesverfassungsgericht entschied am 03.03.2004 mit Urteil des Ersten Senats über Verfassungsbeschwerden gegen die akustische Wohnraumüberwachung, den sogenannten Großen Lauschangriff. Der Bundestag hatte die zugrunde liegende Grundgesetzänderung, Artikel 13 Absatz 3 bis 6 GG, am 16.01.1998 mit 452 Ja-Stimmen gegen 184 Nein-Stimmen beschlossen. Beschwerdeführer waren unter anderem die FDP-Politiker Burkhard Hirsch, Sabine Leutheusser-Schnarrenberger und Gerhart Baum, die im März 1999 Verfassungsbeschwerde eingelegt hatten. Das Gericht erklärte die Grundgesetzänderung selbst für vereinbar mit der Ewigkeitsklausel des Artikel 79 Absatz 3 GG, stufte aber zentrale Ausführungsvorschriften der Strafprozessordnung als verfassungswidrig ein wegen unzureichenden Schutzes des Kernbereichs privater Lebensgestaltung. Das Gericht verpflichtete den Gesetzgeber, bis zum 30.06.2005 eine verfassungsgemäße Neuregelung zu schaffen, was der Bundestag am 24.06.2005 umsetzte. Zentrale Begründung war, dass höchstpersönliche Gespräche, etwa mit engsten Familienangehörigen, absolut geschützt sind und von einer akustischen Überwachung ausgenommen bleiben müssen, da sonst die durch Artikel 1 GG geschützte Menschenwürde verletzt würde.

Aus der Quelle nicht belegt ist, wie viele konkrete Überwachungsmaßnahmen bundesweit bereits auf Grundlage der für nichtig erklärten Vorschriften durchgeführt wurden und in welchem Umfang dadurch gewonnene Beweise nachträglich unverwertbar wurden.

Am 6. Oktober 2015 erklärte der Gerichtshof der Europäischen Union in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission vom 26. Juli 2000 für ungültig. Kläger war der österreichische Staatsbürger Maximillian Schrems, dessen Daten von der irischen Facebook-Tochtergesellschaft auf Server in den USA übertragen wurden. Schrems hatte 2013 nach den Enthüllungen Edward Snowdens über die Überwachungspraktiken der NSA bei der irischen Datenschutzbehörde Beschwerde eingelegt. Der EuGH stellte fest, dass US-Unternehmen im Rahmen des Safe-Harbor-Systems verpflichtet waren, dessen Schutzregeln zurückzustellen, sobald nationale Sicherheit entgegenstand, und dass US-Behörden selbst nicht an das System gebunden waren. Eine Regelung, die Behörden generalisierten Zugriff auf den Inhalt elektronischer Kommunikation erlaube, verletze den Wesensgehalt des Rechts auf Achtung des Privatlebens. Als Nachfolgeregelung handelte die EU-Kommission das EU-US Privacy Shield aus, das der EuGH am 16. Juli 2020 im Verfahren Schrems II ebenfalls für ungültig erklärte.

Die Pressemitteilung nennt keine Zahl der von der Ungültigkeitserklärung betroffenen Unternehmen oder Nutzer und lässt offen, wie die irische Datenschutzbehörde die Beschwerde von Schrems im Anschluss konkret entschied.

Der Investigatory Powers Act 2016, im Vereinigten Königreich als Snoopers Charter bekannt, erhielt am 29.11.2016 die königliche Zustimmung und trat ab dem 30.12.2016 stufenweise in Kraft. Das Gesetz verpflichtet Kommunikationsdienstleister, Internet Connection Records aller Nutzer für zwölf Monate zu speichern. Polizei, Geheimdienste und benannte Regierungsbehörden können diese Daten für gezielte Ermittlungen abrufen. Zusätzlich legalisiert das Gesetz Massenbefugnisse: die massenhafte Interception von Kommunikation, den Massenzugriff auf Kommunikationsdaten und das Hacken von Geräten. Am 27.04.2018 entschied der High Court in London im Verfahren Liberty gegen die Regierung, dass Teil 4 des Gesetzes zur Vorratsdatenspeicherung gegen EU-Recht verstößt, da er keine ausreichenden Schutzvorkehrungen wie eine vorherige unabhängige Genehmigung vorsah. Am 31.10.2018 traten die Data Retention and Acquisition Regulations 2018 in Kraft, die den Zugriff auf schwere Straftaten beschränken und eine vorherige Prüfung durch einen Judicial Commissioner vorschreiben.

Aus dieser Quelle nicht belegt sind die genaue Zahl der tatsächlich gespeicherten Internet Connection Records und der behördlichen Abfragen sowie Details zu einzelnen vertraulichen Technical Capability Notices.

Section 215 des USA PATRIOT Act erlaubte der NSA seit 2006 die massenhafte, anlasslose Sammlung von Telefonverbindungsdaten von Millionen US-Bürgern. Das Programm wurde im Juni 2013 durch von Edward Snowden veröffentlichte Dokumente öffentlich bekannt. Am 07.05.2015 entschied das Berufungsgericht des zweiten Bundesgerichtsbezirks im Fall ACLU v. Clapper, dass Section 215 die massenhafte Sammlung von Telefondaten rechtlich nicht gedeckt habe. Die gesetzliche Grundlage von Section 215 lief am 01.06.2015 aus. Am 02.06.2015 verabschiedete der US-Senat mit 67 zu 32 Stimmen den USA Freedom Act, den Präsident Barack Obama noch am selben Tag unterzeichnete. Das Gesetz untersagte künftig die anlasslose Massensammlung von Telefonmetadaten durch die NSA, sah dafür aber eine Übergangsfrist von 180 Tagen vor. Nach Ablauf dieser Frist stellte die NSA die Massensammlung am 29.11.2015 endgültig ein. Seitdem benötigt die Regierung für gezielte Abfragen einen Beschluss des FISC mit einem konkreten Suchbegriff.

Aus dieser Quelle nicht belegt sind die genaue Zahl der betroffenen Telefonanschlüsse; ebenso bleibt offen, in welchem Umfang die NSA über andere Rechtsgrundlagen wie Section 702 FISA weiterhin Kommunikationsdaten erhob.

Am 20. September 2019 wurde das Berliner Kammergericht, eines der größten Oberlandesgerichte Deutschlands mit rund 150 Richterinnen und Richtern, Ziel eines Cyberangriffs mit den Schadprogrammen Emotet und Trickbot. Die Trojaner drangen über eine präparierte E-Mail in das ungesegmentierte Gerichtsnetzwerk ein und stahlen über mehrere Tage systematisch Zugangsdaten. Eine Verschlüsselung im Sinne klassischer Ransomware blieb aus, weil die Internetverbindung des Gerichts unterbrochen wurde, ein Datendiebstahl wurde jedoch bestätigt. Das Cyber Emergency Response Team von T-Systems empfahl einen kompletten Neuaufbau der Windows-Domäne und der gesamten IT-Infrastruktur. Neun Monate nach dem Angriff, im Juli 2020, war die Mehrheit der rund 150 Richterinnen und Richter weiterhin in ihrer Arbeit stark eingeschränkt. Neu verteilte Computer konnten mangels VPN-Zugang zunächst nur als Schreibmaschinen genutzt werden. Für die Beschaffung neuer Geräte und den Aufbau sicherer Zugänge wurden mehrere Millionen Euro veranschlagt, im Berliner Nachtragshaushalt waren insgesamt über 10 Millionen Euro für die IT-Wiederherstellung der Justiz eingeplant.

Der genaue Infektionsweg der ersten Schadsoftware-Mail konnte laut Berichten nicht abschließend rekonstruiert werden, und ob tatsächlich sensible Verfahrensdaten abgeflossen sind, blieb ungeklärt.

In der Nacht zum 10. September 2020 wurden rund 30 Server des Universitätsklinikums Düsseldorf durch eine Ransomware verschlüsselt, die über eine seit Dezember 2019 bekannte, ungepatchte Sicherheitslücke in einer Citrix-Anwendung ins Kliniknetzwerk gelangt war. Wegen des IT-Ausfalls musste die Notaufnahme vorübergehend geschlossen werden. In der Nacht zum 11. September 2020 wurde deshalb eine 78-jährige Patientin mit einem lebensbedrohlichen Aneurysma per Rettungswagen in eine rund 32 Kilometer entfernte Klinik in Wuppertal umgeleitet, wodurch sich ihre Behandlung um etwa eine Stunde verzögerte. Die Frau starb kurz darauf. Die Staatsanwaltschaft Köln leitete Ermittlungen wegen fahrlässiger Tötung gegen die unbekannten Angreifer ein, der weltweit erste dokumentierte Verdachtsfall eines Todes durch einen Ransomware-Angriff. Nachdem die Polizei den Erpressern mitgeteilt hatte, dass sie statt der eigentlich als Ziel vorgesehenen Heinrich-Heine-Universität die Uniklinik getroffen hatten, zogen die Täter ihre Lösegeldforderung zurück und übermittelten kostenlos einen Entschlüsselungsschlüssel. Am 17. November 2020 stellte die Staatsanwaltschaft Köln die Ermittlungen wegen des Todesfalls ein, da eine Obduktion ergeben hatte, dass die Patientin wahrscheinlich auch ohne die Verzögerung gestorben wäre.

Aus dieser Quelle nicht belegt ist die genaue Identität der Angreifer sowie ob ihr tatsächlicher Standort in Russland zweifelsfrei feststeht. Offen bleibt zudem, ob weitere Patienten durch die tagelange Einschränkung der Notaufnahme gesundheitliche Nachteile erlitten.

Das britische Department of Health and Social Care (DHSC) veröffentlichte am 11.10.2018 einen Bericht mit einer offiziellen Kostenschätzung des WannaCry-Ransomware-Angriffs auf den National Health Service. Der Angriff selbst ereignete sich vom 12. bis 18.05.2017 und legte den Betrieb in rund einem Drittel der Krankenhaus-Trusts sowie in etwa 8 Prozent der Hausarztpraxen teilweise lahm. Als Folge wurden mehr als 19.000 Termine abgesagt. Das DHSC beziffert die Gesamtkosten auf 92 Millionen Pfund, davon rund 19 Millionen Pfund für entgangene Versorgungsleistung während der Angriffswoche und rund 73 Millionen Pfund für zusätzliche IT-Unterstützung zur Wiederherstellung von Daten und Systemen, wovon 72 Millionen Pfund erst in der Nachbereitungsphase bis Juni/Juli 2017 anfielen. Grundlage der Schätzung ist die Annahme, dass in der betroffenen Woche etwa 1 Prozent der NHS-Versorgungsleistung ausfiel. Das DHSC betont im Bericht ausdrücklich, dass zum Zeitpunkt des Angriffs keine systematische Datenerhebung zu den tatsächlichen Wiederherstellungskosten stattfand. Im selben Bericht kündigte das DHSC zusätzliche Investitionen von über 150 Millionen Pfund für die Jahre 2018/19 bis 2020/21 zur Verbesserung der Cybersicherheit im Gesundheitswesen an.

Die genauen Wiederherstellungskosten einzelner Trusts wurden laut DHSC nie systematisch erhoben, weshalb die 92 Millionen Pfund selbst vom Ministerium ausdrücklich nur als grobe Näherung ohne belastbare Fehlermarge bezeichnet werden.

Der Deutsche Bundestag setzte am 20. März 2014 den 1. Untersuchungsausschuss der 18. Wahlperiode ein, um Ausmaß und Hintergründe der Überwachung durch die Five-Eyes-Geheimdienste in Deutschland sowie die Rolle der deutschen Nachrichtendienste aufzuklären. Anlass waren die 2013 von Edward Snowden veröffentlichten Dokumente, die unter anderem das Abhören des Mobiltelefons von Bundeskanzlerin Angela Merkel durch die NSA belegten. Der Ausschuss tagte zwischen April 2014 und Juni 2017 in 134 Sitzungen, davon 66 öffentlich. Zentrales Ergebnis war die Aufdeckung der Operation Eikonal, einer gemeinsamen Kooperation von BND und NSA am Internetknoten DE-CIX in Frankfurt von 2004 bis 2008, bei der monatlich hunderte Millionen Metadaten erfasst wurden. Der BND identifizierte im Spätsommer 2013 in Bad Aibling rund 40.000 NSA-Selektoren, die auf europäische Regierungen und Unternehmen zielten und gegen deutsches Recht verstießen. Das Bundesverfassungsgericht entschied am 13. Oktober 2016, dass die Bundesregierung dem Ausschuss die vollständige NSA-Selektorenliste nicht vorlegen muss. Am 28. Juni 2017 übergab Ausschussvorsitzender Patrick Sensburg den 1.800 Seiten umfassenden Abschlussbericht an Bundestagspräsident Norbert Lammert.

Die genaue Gesamtzahl der unrechtmäßig erfassten Selektoren wird in verschiedenen Quellen uneinheitlich zwischen rund 40.000 und 459.000 angegeben, und ob einzelne Verantwortliche in BND oder Kanzleramt vorsätzlich handelten, blieb umstritten.

Am 24.10.2013 wurde bekannt, dass der US-Geheimdienst NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört haben soll. Grundlage war eine Recherche des Magazins Der Spiegel anhand von Dokumenten aus dem Fundus des Whistleblowers Edward Snowden. Demnach führte die zuständige NSA-Abteilung S2C32 Merkel bereits seit 2002 unter dem Decknamen GE Chancellor Merkel als Aufklärungsziel. Betroffen war ein von Merkel für CDU-interne Kommunikation genutztes Mobiltelefon, nicht ihr offizielles Diensthandy. Als Operationsbasis der NSA diente laut Bericht die US-Botschaft am Pariser Platz in Berlin. Noch am 24.10.2013 bestellte das Auswärtige Amt erstmals in der Geschichte der Bundesrepublik den US-Botschafter John B. Emerson ein. Merkel beschwerte sich telefonisch bei US-Präsident Barack Obama. Generalbundesanwalt Harald Range leitete 2014 ein Ermittlungsverfahren wegen des Verdachts geheimdienstlicher Agententätigkeit ein, stellte es aber am 12.06.2015 mangels gerichtsfest beweisbarer Fakten wieder ein.

Aus dieser Quelle nicht abschließend belegt ist, ob und wie lange Merkels Handy tatsächlich technisch abgehört wurde, da der Generalbundesanwalt das zugrunde liegende NSA-Dokument nie im Original erhalten konnte.

Am 05.03.1946 unterzeichneten Colonel Patrick Marr-Johnson für das britische London Signals Intelligence Board und Lieutenant General Hoyt Vandenberg für das US State-Army-Navy Communication Intelligence Board das UKUSA-Abkommen zur Zusammenarbeit bei der Signalaufklärung. Vorläufer war das am 17.05.1943 geschlossene BRUSA-Abkommen zwischen dem US-Kriegsministerium und der britischen Government Code and Cypher School. Das UKUSA-Abkommen regelte den Austausch von Ergebnissen aus Funkverkehrserfassung, Kryptoanalyse und Entschlüsselung zwischen den Nachrichtendiensten beider Staaten, später NSA und GCHQ. 1948 trat Kanada dem Abkommen bei, 1956 folgten Australien und Neuseeland, wodurch die als Five Eyes bekannte Allianz aus fünf Staaten entstand. Die Existenz des Abkommens blieb jahrzehntelang geheim und wurde erstmals 2005 öffentlich bestätigt. Der vollständige Text wurde am 25.06.2010 von den Regierungen Großbritanniens und der USA offiziell freigegeben.

Aus dieser Übersichtsquelle nicht belegt sind die genauen operativen Umfangszahlen der heutigen Datenerfassung; einzelne Sekundärquellen nennen für die formale Ratifizierung teils abweichend das Jahr 1947 statt 1946.

Am 15.03.2012 veröffentlichte der Journalist James Bamford im Magazin Wired einen Artikel über das Utah Data Center der NSA in Bluffdale, Utah, auf dem Gelände von Camp Williams der dortigen Nationalgarde. Der Baubeginn erfolgte am 06.01.2011, die Anlage kostete nach Bamfords Recherche rund 2 Milliarden US-Dollar und umfasste etwa eine Million Quadratfuß Gesamtfläche. Laut Artikel soll die Anlage sämtliche Formen von Kommunikation abfangen, entschlüsseln, analysieren und speichern können, darunter vollständige Inhalte privater E-Mails, Mobiltelefonate und Suchanfragen, die über Satelliten sowie unterseeische und unterirdische Glasfaserkabel geleitet werden. Bamford verband die Anlage mit dem nach den Anschlägen vom 11.09.2001 gestarteten Überwachungsprogramm Stellar Wind. Die NSA wies eine rechtswidrige Überwachung von US-Bürgern zurück. Die Fertigstellung, ursprünglich für September 2013 geplant, verzögerte sich durch wiederholte Stromausfälle um etwa ein Jahr bis Mai 2014.

Die tatsächliche Speicherkapazität der Anlage ist bis heute als Verschlusssache eingestuft; spätere Schätzungen auf Basis unklassifizierter Baupläne gehen von lediglich 3 bis 12 Exabyte aus, deutlich unter den in Bamfords Artikel diskutierten Yottabyte-Größenordnungen.

Am 05.06.2013 veröffentlichte The Guardian einen geheimen Gerichtsbeschluss des Foreign Intelligence Surveillance Court, erlassen am 25.04.2013 von Richter Roger Vinson, der Verizon Business Network Services zur täglichen elektronischen Übermittlung sämtlicher Anrufmetadaten an die NSA verpflichtete. Erfasst wurden Rufnummern, Anschlusskennungen, Standortdaten sowie Zeitpunkt und Dauer der Gespräche, jedoch nicht die Gesprächsinhalte selbst. Die Anordnung betraf sowohl Inlandsgespräche als auch Verbindungen zwischen den USA und dem Ausland und galt für drei Monate bis zum 19.07.2013. Rechtsgrundlage war Section 215 des USA PATRIOT Act. Quelle des Dokuments war der ehemalige NSA-Vertragsmitarbeiter Edward Snowden. Der Verizon-Beschluss war das erste von zahlreichen geheimen Dokumenten, die Snowden dem Journalisten Glenn Greenwald zuspielte und die in den folgenden Wochen das Ausmaß globaler NSA-Überwachungsprogramme wie PRISM offenlegten. Der Gerichtsbeschluss selbst trug den Vermerk, dass er bis zum Jahr 2038 geheim gehalten werden sollte.

Aus dem veröffentlichten Gerichtsbeschluss allein geht nicht hervor, wie viele Kunden oder Anrufe konkret erfasst wurden und in welchem Umfang die NSA die Daten praktisch auswertete.

Am 08.06.2013 veröffentlichte The Guardian auf Basis von durch Edward Snowden geleakten Dokumenten Berichte über das interne NSA-Tool Boundless Informant, ein Big-Data-Analyse- und Visualisierungswerkzeug, mit dem die NSA weltweit gesammelte Metadaten aus Telefon- und Internetverkehr länderweise kartiert und quantifiziert. Laut den Dokumenten sammelte die NSA in einem 30-Tage-Zeitraum bis März 2013 weltweit rund 97 Milliarden Internet-Datensätze und 125 Milliarden Telefon-Metadatensätze. Die meisten Datensätze im März 2013 stammten aus dem Iran mit über 14 Milliarden, gefolgt von Pakistan mit 13,5 Milliarden und Jordanien mit 12,7 Milliarden. Aus den USA selbst wurden im gleichen Zeitraum fast 3 Milliarden Datensätze erfasst. Für Deutschland wiesen die Unterlagen rund 552 Millionen erfasste Telefon- und Internet-Metadatensätze im Zeitraum vom 10.12.2012 bis 08.01.2013 aus. NSA-Direktor Keith Alexander bezeichnete daraus abgeleitete Vorwürfe einer Massenüberwachung eigener Bürger als völlig falsch.

Aus dieser Quelle nicht abschließend belegt ist, ob und in welchem Umfang die als deutsche Metadaten interpretierten 552 Millionen Datensätze tatsächlich innerdeutsche Kommunikation betrafen oder auf gemeinsamer Erhebung mit dem BND beruhten.

Am 19.09.2018 gab John Hancock Insurance, ein US-Lebensversicherer im Besitz des kanadischen Mutterkonzerns Manulife Financial, bekannt, dass ab sofort alle neuen Lebensversicherungspolicen in den USA automatisch und ohne Aufpreis das Vitality-Programm enthalten. Vitality ist eine gemeinsam mit der Vitality Group entwickelte Verhaltensplattform, die Bewegungs-, Ernährungs- und Achtsamkeitsdaten von Kunden erfasst. Kunden können die Daten in der kostenlosen Basisstufe Vitality GO per App eintragen oder in der Zusatzstufe Vitality PLUS für 2 US-Dollar im Monat einen Fitbit-Tracker kostenlos erhalten oder eine Apple Watch Series 3 GPS für 25 US-Dollar plus Steuer erwerben. Wer die übertragenen Bewegungsdaten und Fitnessziele erreicht, erhält Prämienrabatte von bis zu 15 Prozent auf die jährliche Versicherungsprämie sowie Einkaufsgutscheine bei Einzelhändlern. Das Unternehmen bezeichnete sich als ersten US-Lebensversicherer, der ein verhaltensbasiertes Wellness-Modell flächendeckend in alle Policen integriert. Zur Begründung verwies John Hancock auf weltweite Vitality-Daten, wonach Programmteilnehmer 13 bis 21 Jahre länger leben und 30 Prozent geringere Krankenhauskosten verursachen als traditionell Versicherte. Bereits seit 2015 hatte John Hancock eine interaktive Police mit Fitness-Tracking angeboten, ab September 2018 wurde dieses Modell zum Standard für das gesamte Neugeschäft.

Aus der unternehmenseigenen Pressemitteilung geht nicht hervor, wie die erhobenen Bewegungs- und Gesundheitsdaten technisch verarbeitet und mit Dritten geteilt werden, und es bleibt offen, wie viele Bestandskunden ihre älteren Policen freiwillig auf Vitality umgestellt haben.

Der Sicherheitsforscher Moxie Marlinspike gründete 2010 gemeinsam mit dem Robotik-Ingenieur Stuart Anderson die Firma Whisper Systems, die mit TextSecure und RedPhone verschlüsselte Kurznachrichten und Telefonate für Mobiltelefone entwickelte. Twitter übernahm Whisper Systems im November 2011 und veröffentlichte beide Anwendungen anschließend als Open-Source-Software. Am 21.01.2013 gründete Marlinspike die Organisation Open Whisper Systems, um die Weiterentwicklung von TextSecure und RedPhone fortzuführen. Ab 2013 entwickelten Trevor Perrin und Moxie Marlinspike gemeinsam ein neues kryptografisches Verfahren, das zunächst als Axolotl Ratchet bezeichnet wurde. Am 24.02.2014 veröffentlichte Open Whisper Systems TextSecure Version 2, die erstmals den Axolotl Ratchet einsetzte. Im Juli 2014 erschien mit Signal für iOS eine erste eigenständige App für verschlüsselte Telefonate. Am 02.11.2015 verschmolzen TextSecure und RedPhone auf Android zur einheitlichen App Signal. Im März 2016 benannte Open Whisper Systems das Verfahren offiziell in Signal Protokoll um. Forscher der Ruhr-Universität Bochum bestätigten im Oktober 2014 in einer unabhängigen Sicherheitsanalyse die grundsätzliche Sicherheit von TextSecure Version 3. WhatsApp integrierte das Signal Protokoll ab November 2014 und schloss die durchgängige Verschlüsselung für alle Nutzer am 05.04.2016 ab.

Aus dieser Quelle nicht belegt sind exakte Nutzerzahlen von TextSecure und Signal zum jeweiligen Zeitpunkt sowie Details zu internen Entscheidungsprozessen bei Open Whisper Systems.

Das Konzept des Onion Routing wurde ab 1995 von den Forschern Paul Syverson, Michael Reed und David Goldschlag am US Naval Research Laboratory (NRL) in Washington D.C. entwickelt, zunächst finanziert vom Office of Naval Research und ab 1997 zusätzlich von der Forschungsagentur DARPA. Ziel war der Schutz der Kommunikation von US-Geheimdienstmitarbeitern und Militärpersonal vor Verkehrsanalyse im Internet. In den frühen 2000er Jahren stießen die MIT-Absolventen Roger Dingledine und Nick Mathewson zum NRL-Projekt hinzu und entwickelten den Code zum heutigen Tor-Netzwerk weiter. Am 20.09.2002 wurde eine erste Alpha-Version veröffentlicht, im Oktober 2002 erfolgte das initiale Deployment mit Freigabe des Quellcodes unter einer freien Open-Source-Lizenz. Ende 2003 bestand das Netzwerk aus rund einem Dutzend freiwillig betriebenen Relay-Knoten. Ende 2004 reduzierte die US-Navy den Großteil ihrer Tor-Finanzierung, woraufhin die Electronic Frontier Foundation Dingledine und Mathewson von November 2004 bis Oktober 2005 mit 180.000 US-Dollar finanzierte. Im Jahr 2006 wurde The Tor Project Inc. als eigenständige gemeinnützige Organisation in den USA gegründet.

Aus dieser Quelle nicht im Detail belegt sind die genauen internen Gründe der US-Navy für die Kürzung der Finanzierung Ende 2004 sowie das exakte Ausmaß einer bis heute fortbestehenden indirekten Finanzierung von Tor durch US-Regierungsstellen.

Der US-amerikanische Programmierer Philip R. Zimmermann veröffentlichte am 05.06.1991 die Verschlüsselungssoftware PGP (Pretty Good Privacy) kostenlos im Usenet, von wo sie sich weltweit über das Internet verbreitete. Da starke Kryptografie in den USA damals nach dem Arms Export Control Act als Rüstungsgut auf der United States Munitions List galt, leitete der U.S. Customs Service im Februar 1993 strafrechtliche Ermittlungen gegen Zimmermann ein. Eine Grand Jury im Bezirk Nordkalifornien prüfte, ob die weltweite Verfügbarkeit von PGP über das Internet einen nicht genehmigten Waffenexport darstellte. Bei einer Verurteilung drohten Zimmermann bis zu fünf Jahre Haft sowie Geldstrafen von bis zu einer Million US-Dollar. Die Ermittlungen dauerten rund drei Jahre und führten nie zu einer Anklage. Am 11.01.1996 teilte Assistant U.S. Attorney William Keane mit, dass die Staatsanwaltschaft auf eine strafrechtliche Verfolgung verzichte. Zimmermann veröffentlichte diese Mitteilung am 12.01.1996 auf seiner Webseite. Die Behörden gaben keine öffentliche Begründung für die Einstellung der Ermittlungen ab. Der Fall gilt als eines der zentralen Ereignisse der sogenannten Kryptokriege der 1990er Jahre in den USA.

Aus dieser Quelle nicht belegt sind die internen Erwägungen der Staatsanwaltschaft für die Einstellung des Verfahrens sowie ob parallel auch gegen andere an der Verbreitung von PGP beteiligte Personen ermittelt wurde.

Am 11.02.2020 veröffentlichten die Washington Post, das ZDF und das Schweizer Fernsehen SRF gemeinsame Recherchen zur sogenannten Operation Rubikon. Demnach kauften der US-Geheimdienst CIA und der deutsche Bundesnachrichtendienst (BND) 1970 gemeinsam für 8,5 Millionen US-Dollar die Schweizer Verschlüsselungsfirma Crypto AG und kontrollierten sie bis 1993 heimlich, danach führte die CIA das Geschäft allein bis 2018 fort. Die Dienste bauten absichtlich geschwächte Algorithmen in die verkauften Chiffriergeräte ein und konnten so die Kommunikation von mehr als 120 Staaten mitlesen, darunter NATO- und EU-Mitglieder sowie der Vatikan. Laut den ausgewerteten internen Unterlagen stammten zeitweise rund 40 Prozent der von der NSA entschlüsselten Auslandskommunikation aus Crypto-AG-Geräten. Der BND stieg 1993 aus dem Geschäft aus, nachdem im März 1992 im Iran der Crypto-AG-Vertreter Hans Bühler wegen Spionageverdachts festgenommen worden war, und verkaufte seinen Anteil für 17 Millionen US-Dollar. Die CIA veräußerte ihre verbliebenen Vermögenswerte 2017/2018 für schätzungsweise 50 bis 70 Millionen US-Dollar. Die Geschäftsprüfungsdelegation des Schweizer Parlaments veröffentlichte ihren Abschlussbericht am 10.11.2020.

Die genaue Zahl der betroffenen Staaten schwankt je nach Quelle zwischen rund 120 und über 130, und ob einzelne beteiligte Länder informell informiert waren, ist nicht abschließend geklärt.

Am 07.04.2014 wurde die Sicherheitslücke Heartbleed in der Kryptografie-Bibliothek OpenSSL öffentlich bekannt gegeben und als CVE-2014-0160 registriert. Die Schwachstelle wurde unabhängig voneinander von Neel Mehta vom Google-Sicherheitsteam sowie von Codenomicon-Forschern entdeckt. Ursache war ein fehlerhaft implementierter Heartbeat-Mechanismus, den der Entwickler Robin Seggelmann am 31.12.2011 in den OpenSSL-Quellcode einfügte; der fehlerhafte Code gelangte mit der Version OpenSSL 1.0.1 am 14.03.2012 in den produktiven Einsatz. Der Fehler erlaubte es Angreifern, spurlos pro Anfrage bis zu 64 Kilobyte Arbeitsspeicher eines Servers auszulesen, darunter private Schlüssel und Passwörter. Unmittelbar mit der verwundbaren OpenSSL-Version betrieben wurden schätzungsweise rund 500.000 der weltweiten SSL-gesicherten Webserver. Zeitgleich mit der Offenlegung am 07.04.2014 veröffentlichten die OpenSSL-Entwickler die reparierte Version 1.0.1g. Die kanadische Steuerbehörde Canada Revenue Agency meldete den Diebstahl von rund 900 Sozialversicherungsnummern über die Lücke. Der IT-Branchendienst eWeek schätzte den weltweiten wirtschaftlichen Schaden auf etwa 500 Millionen US-Dollar.

Wie viele Angriffe vor der öffentlichen Offenlegung tatsächlich stattfanden, bleibt unbekannt, da ein Datenabgriff über Heartbleed keine Spuren in Server-Logs hinterlässt. Die genannte Schadenssumme ist eine grobe Branchenschätzung ohne belastbare Gesamterhebung.

Am 3. Januar 2018 veröffentlichten Sicherheitsforscher zeitgleich die beiden Prozessor-Sicherheitslücken Meltdown und Spectre, nachdem betroffene Hersteller bereits am 28.07.2017 informiert worden waren. Meltdown wurde unabhängig voneinander von Forschern des Google Project Zero, der TU Graz und der Firma Cyberus Technology entdeckt. Meltdown betrifft praktisch alle Intel-x86-Prozessoren seit 1995 sowie ARM- und IBM-POWER-Prozessoren, AMD-Chips sind nicht betroffen. Spectre lässt sich dagegen auf Prozessoren von Intel, AMD und ARM ausnutzen und betrifft damit praktisch alle modernen Computer, Smartphones und Server weltweit. Beide Lücken missbrauchen die spekulative Befehlsausführung moderner CPUs, um über Cache-Seitenkanalangriffe eigentlich geschützten Speicherinhalt auszulesen. Als Gegenmaßnahme gegen Meltdown wurde die Kernel Page Table Isolation eingeführt, deren Einsatz je nach Workload zu Leistungseinbußen von bis zu 30 Prozent führen kann. Die koordinierte Offenlegung war ursprünglich für den 9. Januar 2018 geplant, wurde jedoch wegen zunehmender öffentlicher Spekulationen vorgezogen.

Aus dieser Quelle nicht belegt sind die genaue weltweite Anzahl betroffener Geräte in absoluten Zahlen sowie ob die Lücken vor der Offenlegung bereits für reale Angriffe mit Datenabfluss ausgenutzt wurden.

Am 14.04.2017 veröffentlichte die Hackergruppe Shadow Brokers eine Sammlung gestohlener Cyberwaffen der US-Geheimdienstbehörde NSA, darunter den Exploit EternalBlue. EternalBlue nutzt eine Schwachstelle im Server-Message-Block-Protokoll von Microsoft Windows aus und ermöglicht Angreifern, ohne Nutzerinteraktion Schadcode auf verwundbaren Systemen auszuführen. Die NSA hatte die Sicherheitslücke jahrelang geheim gehalten und für eigene Operationen genutzt, bevor sie Microsoft im Zuge des Diebstahls informierte. Microsoft veröffentlichte bereits am 14.03.2017, einen Monat vor der Shadow-Brokers-Veröffentlichung, den Sicherheitspatch MS17-010. Nach dem Ausbruch der Ransomware WannaCry am 12.05.2017 stellte Microsoft am 13.05.2017 zusätzlich Notfallpatches für veraltete Windows-Versionen bereit. WannaCry nutzte EternalBlue zur automatischen Verbreitung und infizierte nach verbreiteten Schätzungen mehr als 200.000 Computer in über 150 Ländern. Im Juni 2017 kam EternalBlue erneut bei der Schadsoftware NotPetya zum Einsatz. Die Identität der Shadow Brokers blieb bis heute ungeklärt.

Die genaue Urheberschaft der Shadow Brokers ist bis heute nicht zweifelsfrei geklärt, es gibt keine bestätigte Anklage oder Verurteilung im Zusammenhang mit dem Diebstahl selbst. Auch die exakte Zahl der durch WannaCry infizierten Systeme schwankt je nach Quelle zwischen rund 36.000 und über 200.000.