Quellen-Tabelle

Durch eine Anfrage nach dem Public-Records-Recht deckte die EFF E-Mails auf, in denen die Polizei von Los Angeles (LAPD) im Sommer 2020 gezielt Ring-Nutzer um Videoaufnahmen von Black-Lives-Matter-Protesten bat. Eine Anfrage der eigens gebildeten Task Force Safe L.A. vom 1. Juni 2020 brachte innerhalb von zwei Stunden Filmmaterial. Die Anfragen liefen über das Polizei-Portal von Rings Neighbors-App, ohne dass ein richterlicher Beschluss vorlag.

Wegen umfangreicher Schwärzungen von Daten, Uhrzeiten und Tatvorwürfen in den herausgegebenen Dokumenten konnte die EFF nicht abschließend feststellen, wie viele Anfragen tatsächlich gezielt Proteste betrafen und wie viel Videomaterial die LAPD insgesamt erhielt. Auch die genaue rechtliche Begründung der Polizei für einzelne Anfragen bleibt offen.

Das Büro des Attorney General von Arizona einigte sich am 04.10.2022 mit Google auf eine Zahlung von 85 Millionen US-Dollar zur Beilegung einer im Mai 2020 eingereichten Klage. Die Klage warf Google vor, Standortdaten von Android-Nutzern über Funktionen wie Web & App-Aktivität weiter zu sammeln und für Werbung zu nutzen, selbst wenn Nutzer die Einstellung Standortverlauf deaktiviert hatten, und dafür irreführende Bedienoberflächen einzusetzen. Auslöser der Ermittlung war eine AP-Recherche vom August 2018.

Nicht belegt durch diese Quelle ist, wie viele einzelne Nutzer in Arizona konkret betroffen waren oder welchen genauen wirtschaftlichen Vorteil Google aus den weitergesammelten Daten zog. Offen bleibt außerdem das Verhältnis zum separaten Vergleich Googles mit 40 US-Bundesstaaten über 391,5 Millionen US-Dollar vom November 2022, der denselben Sachverhalt betraf.

Der Staatsrat der Volksrepublik China veröffentlichte am 14.06.2014 die Planungsübersicht zum Aufbau eines Sozialkreditsystems für den Zeitraum 2014 bis 2020. Das Dokument benennt vier Säulen: Integrität der Regierungsführung, Integrität im Handel, gesellschaftliche Integrität und Vertrauenswürdigkeit der Justiz. Es schreibt branchenweite Schwarze Listen, Marktausschlussmechanismen, ressortübergreifende gemeinsame Belohnungs- und Bestrafungsverfahren sowie einheitliche Kreditkodierungen für natürliche und juristische Personen vor.

Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.

Human Rights Watch hat zusammen mit der Berliner Sicherheitsfirma Cure53 eine Version der Polizei-App der Integrated Joint Operations Platform (IJOP) aus Xinjiang reverse engineered. Die App fordert Beamte auf, umfangreiche persönliche Daten der Bevölkerung zu erfassen, darunter Bewegungsprofile, Fahrzeug- und Telefondaten, Bankinformationen, Familienbeziehungen sowie die Nutzung von VPNs und Messenger-Apps. Als verdächtig eingestufte Personen werden von der App automatisch an die Behörden gemeldet.

Wie die zentrale IJOP-Plattform im Detail mit weiteren landesweiten Überwachungssystemen verknüpft ist und nach welchen genauen Kriterien die Verdachtsalgorithmen entscheiden, bleibt laut Human Rights Watch eine Black Box. Auch vollständige Angaben zu Speicherung, Weitergabe und Löschung der gesammelten Daten sowie der aktuelle technische Stand der App nach 2018 sind nicht öffentlich dokumentiert.

Am 16. Februar 2024 wurden auf GitHub hunderte interne Dokumente der chinesischen Sicherheitsfirma I-Soon (auch bekannt als Anxun) veröffentlicht, darunter Verträge, Chatprotokolle, Zielkataloge und Produktbeschreibungen für Hacking-Werkzeuge. Die Dokumente zeigen eine Zusammenarbeit mit chinesischen Behörden wie dem Ministerium für öffentliche Sicherheit sowie Angriffe auf Regierungsstellen und Organisationen in mindestens 14 Ländern, darunter Indien, Malaysia, Taiwan und Hongkonger Demokratiegruppen. BBC, NHK und die Nachrichtenagentur AP bestätigten die Echtheit der Dokumente unter anderem durch Gespräche mit zwei I-Soon-Mitarbeitern.

Wer die Dokumente leakte und aus welchem Motiv, ist bis heute nicht geklärt. Das vollständige Ausmaß der gestohlenen Daten und die Identität der meisten konkreten Opfer wurden nicht offengelegt. Die chinesische Regierung bestritt eine Verwicklung, eine unabhängige gerichtliche oder behördliche Bestätigung außerhalb Chinas liegt nicht vor.

Der Chaos Computer Club deckte Ende 2024 zusammen mit dem SPIEGEL auf, dass Bewegungs- und Standortdaten von rund 800.000 Elektrofahrzeugen der VW-Konzernmarken VW, Audi, Skoda und Seat/Cupra über Monate ungeschützt in einer Amazon-Cloud der VW-Softwaretochter Cariad zugänglich waren. Für etwa 460.000 Fahrzeuge waren die Standortdaten so präzise, teils bis auf 10 Zentimeter genau, dass sich Bewegungsprofile und Lebensgewohnheiten der Halter ableiten ließen. Cariad bestätigte die Panne als Fehlkonfiguration und schloss die Sicherheitslücke nach der Meldung durch den CCC innerhalb weniger Stunden.

Nicht dokumentiert ist, ob tatsächlich Dritte außer dem CCC auf die Daten zugegriffen haben. VW erklärte lediglich, es gebe dafür keine Anhaltspunkte, was sich nicht unabhängig verifizieren lässt. Offen bleibt zudem, seit wann genau die Daten ungeschützt online standen und wie die ursprüngliche anonyme Hinweisgeberquelle die Lücke fand.

Die US-Börsenaufsicht SEC stellte fest, dass Yahoos Sicherheitsteam bereits kurz nach dem Angriff im Dezember 2014 wusste, dass mutmaßlich russische Hacker Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, verschlüsselte Passwörter und Sicherheitsfragen von mindestens 108 Millionen Konten gestohlen hatten, vermutlich sogar aus der gesamten Nutzerdatenbank mit mehreren Milliarden Einträgen. Yahoo verschwieg den Vorfall fast zwei Jahre lang gegenüber Investoren in seinen Pflichtmitteilungen. Die Nachfolgegesellschaft Altaba Inc. zahlte dafür im April 2018 eine SEC-Strafe von 35 Millionen US-Dollar, die erste Sanktion dieser Art wegen unterlassener Offenlegung eines Datenlecks.

Die oft zitierte Zahl von insgesamt 3 Milliarden betroffenen Konten stammt aus einer separaten Unternehmensmitteilung von Yahoo bzw. Verizon aus dem Jahr 2017 und wird in dieser SEC-Anordnung selbst nicht beziffert. Die SEC-Order behandelt vor allem die Offenlegungspflichten gegenüber Anlegern, nicht aber das konkrete Ausmaß des Schadens für einzelne betroffene Nutzer oder die vollständige Identität der Angreifer.

Ende Juni 2021 bot ein Nutzer mit dem Pseudonym TomLiner in einem Darknet-Forum einen Datensatz mit persönlichen Daten von rund 700 Millionen LinkedIn-Accounts zum Kauf an, was mehr als 90 Prozent aller LinkedIn-Nutzer entspricht. Ein von heise Security geprüftes Sample enthielt vollständige Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen, Standortdaten sowie LinkedIn-Profilinformationen. LinkedIn bestätigte, dass keine Passwörter betroffen waren, und erklärte, es handle sich um durch Scraping öffentlich einsehbarer Profildaten kombiniert mit Daten aus anderen Quellen, nicht um einen internen Einbruch in seine Systeme.

Nicht belegt ist, wie der Verkäufer eigentlich nicht öffentliche Daten wie Telefonnummern und private E-Mail-Adressen erlangte, wenn LinkedIn zugleich behauptet, es handle sich nur um öffentlich einsehbare Informationen. Offen bleibt auch, ob tatsächlich alle 700 Millionen Datensätze echt sind, da nur eine Stichprobe von rund einer Million Einträgen verifiziert wurde. Die wahre Identität von TomLiner ist bis heute nicht bekannt.

Am 4. Januar 2023 wurden im Hackerforum Breached E-Mail-Adressen und Profildaten von angeblich über 200 Millionen Twitter-Konten veröffentlicht, laut Have I Been Pwned rund 211,5 Millionen einzigartige Adressen. BleepingComputer und Sicherheitsforscher bestätigten die Echtheit vieler Adressen im Datensatz. Als ursprüngliche Quelle gilt eine Twitter-API-Schwachstelle, die von Juni 2021 bis Januar 2022 aktiv war und die Zuordnung von E-Mail-Adressen oder Telefonnummern zu Twitter-Konten erlaubte.

Twitter bestritt öffentlich, dass der 200-Millionen-Datensatz aus einer Kompromittierung eigener Systeme oder der bekannten API-Schwachstelle stamme, und erklärte, es handle sich um bereits anderweitig öffentlich verfügbare Daten. Eine unabhängige, abschließende Klärung der genauen Herkunft und der tatsächlichen Zahl einzigartig betroffener Nutzer steht bis heute aus.

Die britische Datenschutzbehörde ICO verhängte am 23. Mai 2022 ein Bußgeld von 7.552.800 Pfund gegen Clearview AI Inc. Laut ICO hatte das Unternehmen mehr als 20 Milliarden Gesichtsbilder aus dem Internet und sozialen Medien gesammelt, ohne Wissen oder Einwilligung der Betroffenen, und daraus eine durchsuchbare Gesichtserkennungsdatenbank für Kunden wie Polizeibehörden aufgebaut. Die ICO ordnete zusätzlich an, dass Clearview die Daten britischer Bürger löscht und keine weiteren Daten von UK-Bürgern mehr sammelt.

Das First-tier Tribunal hob das Bußgeld im Oktober 2023 auf, da es die Zuständigkeit der ICO für ein US-Unternehmen ohne UK-Geschäftstätigkeit bezweifelte. Im Oktober 2025 gab das Upper Tribunal der ICO in drei von vier Berufungspunkten recht, eine endgültige rechtskräftige Klärung des Falls steht aber weiterhin aus. Offen bleibt zudem, in welchem Umfang die ursprünglich angeordnete Löschung der Daten britischer Nutzer tatsächlich durchgesetzt wurde.

Die US-Einwanderungsbehörde ICE beauftragte Palantir Technologies im April 2025 mit einem rund 30 Millionen US-Dollar schweren Vertrag zum Aufbau des Systems ImmigrationOS, das Identifizierung, Priorisierung, Festnahme und Abschiebung ausreisepflichtiger Personen effizienter gestalten soll. Das System bündelt Daten aus Behörden, kommerziellen Datenhändlern für Standortdaten sowie den Analysewerkzeugen Webloc und Tangles des Zulieferers Penlink. Im Januar 2026 vergab ICE den Anschlussvertrag zur Weiterentwicklung des zugrunde liegenden Fallmanagementsystems ICM exklusiv an Palantir.

Ob die von der ICE-Rechtsabteilung vertretene Position, wonach für den Zugriff auf gekaufte Standortdaten kein richterlicher Beschluss nötig sei, vor Gericht Bestand hätte, ist rechtlich umstritten und aus dieser Quelle nicht abschließend geklärt. Ob vergleichbare Penlink-Werkzeuge auch in Deutschland eingesetzt werden, ließ die Bundesregierung unter Verweis auf die nationale Sicherheit offen.

Das Bundeskriminalamt stellte im Projekt EGES (Ertüchtigung des Gesichtserkennungssystems im BKA) bis 2019 rund 5 Millionen Fotos von etwa 3 Millionen Personen aus der zentralen INPOL-Datenbank bereit, um damit kommerzielle Gesichtserkennungssoftware zu testen. Die Tests führte das Fraunhofer-Institut für Graphische Datenverarbeitung durch, ergänzt um Bilder von 147 freiwilligen Testpersonen. Der Bundesbeauftragte für den Datenschutz bewertete die vom BKA angeführte Rechtsgrundlage als unzureichend und die Berufung auf den Forschungsparagrafen des BKA-Gesetzes als problematisch.

Ob die getesteten Softwareprodukte oder Hersteller anschließend tatsächlich beschafft und im Wirkbetrieb eingesetzt wurden, ist aus dieser Quelle nicht belegt. Trotz monatelanger Verhandlungen kam laut Bericht keine Einigung zwischen BKA und Datenschutzbeauftragtem über die Rechtmäßigkeit zustande, das Verfahren blieb offen.

Die irische Datenschutzbehörde DPC reichte am 8. August 2024 erstmals unter Section 134 des Data Protection Act 2018 eine Eilklage beim High Court gegen X ein, weil öffentliche Posts von EU/EWR-Nutzern ohne ausreichende Rechtsgrundlage zum Training der KI Grok verwendet wurden. Twitter International Unlimited Company gab eine dauerhafte Verpflichtungserklärung ab, Daten aus dem Zeitraum 7. Mai bis 1. August 2024 zu löschen und nicht mehr zu verarbeiten, woraufhin das Verfahren am 4. September 2024 eingestellt wurde.

Weder die DPC noch das Gericht haben eine konkrete Zahl betroffener EU-Nutzer oder verarbeiteter Posts genannt. Offen bleibt zudem, ob und in welchem Umfang die bereits vor dem 7. Mai 2024 gesammelten Daten tatsächlich in das Grok-Modell eingeflossen sind, da es zu keiner inhaltlichen gerichtlichen Feststellung einer DSGVO-Verletzung kam, sondern nur zu einer außergerichtlichen Unterwerfungserklärung von X.

Die US-Bundesbehörde TSA hat am 13.01.2025 per finaler Regel festgelegt, dass ab dem 07.05.2025 an US-Flughafenkontrollen nur noch REAL-ID-konforme Führerscheine oder Ausweise beziehungsweise alternative Dokumente wie Reisepässe akzeptiert werden. Das REAL ID Act wurde bereits 2005 nach Empfehlungen der 9/11-Kommission verabschiedet und legt bundesweite Mindeststandards für die Ausstellung von Ausweisdokumenten fest.

Offen bleibt, ob Reisende ohne konformen Ausweis komplett von Flügen ausgeschlossen werden oder nur zusätzliche Kontrollen und Verzögerungen erfahren. Spätere Aussagen der Heimatschutzministerin deuteten auf Kulanz mit Zusatzprüfung hin. Die Pressemitteilung nennt keine verpflichtende biometrische Gesichtserkennung als Bestandteil der Kontrolle selbst, sondern nur höhere Dokumentensicherheitsstandards bei der Ausstellung durch die Bundesstaaten.

Dokumentiert ist, dass die TSA seit 2018 an inzwischen rund 25 bis knapp 30 US-Flughäfen Gesichtserkennung zur Identitätsprüfung testet (CAT-2-System des Anbieters Idemia) und eine Ausweitung auf bis zu 430 Flughäfen plant. Mehrere US-Senatoren brachten deshalb am 29.11.2023 den Traveler Privacy Protection Act (S. 3361) ein, der das Programm stoppen, die Löschung gespeicherter Gesichtsdaten erzwingen und eine künftige Nutzung an eine ausdrückliche Zustimmung des Kongresses binden soll. Die TSA bestätigt, dass die Teilnahme freiwillig ist und Reisende der Gesichtserkennung widersprechen können.

Offen bleibt, wie viele Reisende die Opt-out-Möglichkeit tatsächlich kennen oder nutzen, da Senator Merkley der TSA vorwarf, diese Option am Checkpoint nicht klar zu kommunizieren. Nicht abschließend belegt ist zudem, ob die von der NIST dokumentierten höheren Fehlerraten bei nicht-weißen Reisenden in der TSA-Praxis konkret zu Fehlidentifikationen geführt haben, und der Gesetzentwurf wurde im Kongress bislang nicht verabschiedet.

Mutmaßlich staatliche Hacker schleusten die Schadsoftware Sunburst in reguläre Updates der Netzwerkmanagement-Software Orion von SolarWinds ein. Die betroffenen Versionen wurden zwischen März und Juni 2020 an rund 18.000 Kunden verteilt, darunter US-Ministerien, das Pentagon, das Außenministerium sowie zahlreiche Fortune-500-Unternehmen. Die Sicherheitsfirma FireEye deckte den Angriff auf und dokumentierte die Kampagne unter dem Namen UNC2452.

Wie die Angreifer genau in das interne Netzwerk von SolarWinds eindrangen und den Quellcode manipulierten, ist öffentlich nicht abschließend geklärt. Offen bleibt auch, ob ein einfaches Software-Update zur vollständigen Bereinigung betroffener Systeme ausreicht. Das genaue Ausmaß der Datenabflüsse bei den einzelnen betroffenen Behörden und Unternehmen ist nicht vollständig öffentlich dokumentiert.

Am 2. Juli 2021 nutzte die Gruppe REvil eine Schwachstelle (CVE-2021-30116) in der Kaseya-VSA-Software aus, um über ein manipuliertes Update Ransomware an IT-Dienstleister und deren Kunden zu verteilen. CISA und FBI bestätigten den Vorfall offiziell und Kaseya selbst gab an, dass bis zu etwa 60 direkte Kunden und in der Folge bis zu 1500 nachgelagerte Unternehmen betroffen waren. REvil forderte öffentlich 70 Millionen US-Dollar Lösegeld, und Kaseya erhielt am 23. Juli 2021 von einer nicht näher benannten Quelle einen universellen Entschlüsselungscode, ohne nach eigenen Angaben zu zahlen.

Offen bleibt, wie genau der universelle Entschlüsselungscode zustande kam und ob im Hintergrund doch eine Zahlung floss, da Kaseya dies nur allgemein dementierte. Die genaue Gesamtzahl der tatsächlich verschlüsselten Endkunden weltweit wurde nie abschließend verifiziert. Auch die exakte Schadenssumme bei den betroffenen Unternehmen wurde nicht offiziell beziffert.

Der weltgrößte Fleischverarbeiter JBS wurde am 30./31. Mai 2021 Opfer eines Ransomware-Angriffs, der die Produktion an Standorten in den USA, Kanada und Australien für mehrere Tage lahmlegte. JBS USA bestätigte am 9. Juni 2021, den Angreifern rund 11 Millionen US-Dollar gezahlt zu haben, um mögliche Risiken für Kunden und einen Datenabfluss zu vermeiden. Das FBI attribuierte den Angriff der russischsprachigen Gruppe REvil (Sodinokibi).

Nicht abschließend belegt ist, in welcher Zahlungsform das Lösegeld genau übermittelt wurde und ob tatsächlich Daten exfiltriert wurden. Offen bleibt zudem der genaue technische Einstiegsvektor der Angreifer sowie ob und in welchem Umfang Mitglieder der REvil-Gruppe strafrechtlich belangt wurden.

Capital One bestätigte am 29. Juli 2019 offiziell, dass am 22. und 23. März 2019 eine Außenstehende eine falsch konfigurierte Firewall einer Cloud-Infrastruktur ausnutzte und Daten von rund 100 Millionen US-Kunden sowie 6 Millionen kanadischen Kunden erlangte, darunter Namen, Adressen, Geburtsdaten, Kreditwerte sowie etwa 140.000 Sozialversicherungsnummern und 80.000 Bankverbindungen. Die vom FBI festgenommene Täterin, die ehemalige AWS-Mitarbeiterin Paige Thompson, wurde im Juni 2022 von einer Jury wegen Wire Fraud und unbefugten Zugriffs auf geschützte Computer für schuldig befunden.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Die britische Datenschutzbehörde ICO stellte fest, dass British Airways bei einem Cyberangriff im Juni bis September 2018 personenbezogene Daten von mehr als 400.000 Kunden nicht ausreichend gegen unbefugten Zugriff geschützt hatte, ein Verstoß gegen Art. 5(1)(f) und Art. 32 DSGVO. Die ICO verhängte deswegen am 16. Oktober 2020 ein Bußgeld von 20 Millionen Pfund gegen British Airways, nachdem der ursprünglich angekündigte Betrag von 183,39 Millionen Pfund im Verfahren deutlich reduziert worden war.

Offen bleibt in der öffentlichen ICO-Dokumentation, welche einzelnen technischen Schwachstellen die Angreifer konkret ausnutzten und wer die Täter waren. Ebenso nicht abschließend belegt ist, in welchem Umfang Kunden durch die Datenweitergabe tatsächlich finanziellen Schaden erlitten, etwa durch Kreditkartenmissbrauch.

Die britische Datenschutzbehörde ICO stellte fest, dass Angreifer ab Februar 2018 über ein auf der Zahlungsseite von Ticketmaster eingebundenes Chatbot-Skript eines Drittanbieters Schadcode der Magecart-Gruppe einschleusten und so Zahlungskartendaten von Kunden abgriffen. Betroffen waren bis zu 9,4 Millionen Kunden europaweit, davon 1,5 Millionen in Großbritannien. Die ICO verhängte am 13.11.2020 eine Geldbuße von 1,25 Millionen Pfund, nachdem Ticketmaster erst rund neun Wochen nach ersten Betrugsmeldungen von Banken reagierte.

Offen bzw. strittig blieb, wer die Verantwortung für die Sicherheitslücke im Chatbot-Code trug. Ticketmaster machte den Drittanbieter Inbenta verantwortlich, während Inbenta erklärte, Ticketmaster habe den Code entgegen den Vorgaben eingesetzt. Die genaue technische Angriffskette der Magecart-Täter sowie deren Identität wurden nicht öffentlich im Detail rekonstruiert.

Ein Angreifer kaufte das kompromittierte Passwort eines externen Uber-Vertragspartners im Darknet und erzwang per MFA-Fatigue-Angriff sowie einer als IT-Support getarnten WhatsApp-Nachricht die Freigabe eines Zwei-Faktor-Logins. Damit erlangte er Zugriff auf interne Systeme wie Slack, G-Suite, das Finanz-Tool und HackerOne-Berichte und postete eine Nachricht im firmenweiten Slack-Kanal. Uber bestätigte die Zuordnung zur Gruppe Lapsus$ sowie den Zugriff auf interne Kommunikation und Finanzdaten, erklärte aber, dass Produktivsysteme, Nutzerkonten, Kreditkarten- und Fahrtdaten sowie AWS-S3-Speicher nicht betroffen waren.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Rockstar Games bestätigte am 19.09.2022 offiziell einen Netzwerkeinbruch, bei dem ein Unbekannter vertrauliche Daten herunterlud, darunter frühe Entwicklungsaufnahmen zum nächsten Grand Theft Auto. Ein Nutzer hatte zuvor rund 90 Videoclips im Forum GTAForums veröffentlicht und erklärt, sich per Social Engineering Zugang zum Slack-Konto eines Rockstar-Mitarbeiters verschafft zu haben. Der Täter wurde später mit der Gruppe Lapsus$ in Verbindung gebracht; ein Gericht in London stellte 2023 fest, dass der britische Teenager Arion Kurtaj dafür verantwortlich war.

Ob GTA 6 zum Leckzeitpunkt offiziell in Entwicklung war, hatte Rockstar zuvor nicht öffentlich bestätigt. Der genaue Umfang der entwendeten Daten, etwa ob wie vom Hacker behauptet auch Quellcode betroffen war, ist aus Rockstars eigener Stellungnahme nicht abschließend belegt.

Die US-Handelsaufsicht FTC einigte sich am 19. Dezember 2022 mit Epic Games, dem Hersteller von Fortnite, auf Zahlungen von insgesamt 520 Millionen US-Dollar. Davon entfielen 275 Millionen Dollar auf ein Bußgeld wegen Verstößen gegen das Kinderschutzgesetz COPPA, da Fortnite Daten von Kindern unter 13 Jahren ohne überprüfbare Elterneinwilligung sammelte und Text- sowie Sprachchat standardmäßig aktiviert waren. Weitere 245 Millionen Dollar musste Epic als Rückerstattung an Nutzer zahlen, die durch irreführende Bedienelemente zu ungewollten Käufen verleitet wurden.

Aus der Quelle geht nicht hervor, wie viele der betroffenen Kinder und Jugendlichen die zugesagten Rückerstattungen tatsächlich erhalten haben. Epic Games räumte im Vergleich kein rechtswidriges Verhalten ein, sondern einigte sich ohne Schuldeingeständnis mit der Behörde.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp E-Mail-Adressen, IP-Adressen und Antworten aus Gesundheitsfragebögen seiner Nutzer an Facebook, Snapchat, Criteo und Pinterest zu Werbezwecken weitergab, obwohl das Unternehmen in seiner Datenschutzerklärung Vertraulichkeit zugesichert hatte. Am 2. März 2023 wurde eine Einigung bekanntgegeben, die die FTC am 14. Juli 2023 endgültig bestätigte. BetterHelp muss 7,8 Millionen US-Dollar zur Rückerstattung an betroffene Nutzer zahlen und darf Nutzerdaten künftig nicht mehr für zielgerichtete Werbung an Dritte weitergeben.

Offen bleibt, wie viele Nutzer konkret betroffen waren und in welchem Umfang die weitergegebenen Daten von den Werbeplattformen tatsächlich für individuelle Zielgruppenansprache genutzt wurden. BetterHelp räumte im Rahmen der Einigung kein Fehlverhalten ein, ein gerichtliches Urteil zur Schuldfrage liegt nicht vor.