Quellen-Tabelle

Seit dem Jahreswechsel 2022/2023 kam es bei Postbank und DSL Bank, beides Marken der Deutschen Bank, zu erheblichen Beeinträchtigungen infolge einer IT-Migration von rund vier Millionen Kundenverträgen. Betroffen waren Online-Banking, telefonische Erreichbarkeit sowie die Bearbeitung von Pfändungs- und Nachlassangelegenheiten. Die BaFin bestellte am 29.09.2023 einen Sonderbeauftragten zur Überwachung der Behebung der Serviceeinschränkungen. Besonders schwerwiegend waren laut BaFin die Auswirkungen auf Pfändungsschutzkonten.

Die eigentliche technische IT-Migration erfolgte erst zum Jahreswechsel 2022/2023, nicht 2018/2019 wie teils kolportiert, obwohl die rechtliche Fusion von Postbank und Deutsche-Bank-Privatkundensparte bereits 2018 stattfand. Offen bleiben die genaue Zahl betroffener Kunden und der Zeitpunkt, zu dem die BaFin die Serviceeinschränkungen als vollständig behoben ansah.

Die Generalstaatsanwaltschaft Frankfurt erhob am 20.08.2026 Anklage gegen vier ehemalige Commerzbank-Mitarbeiter wegen mutmaßlicher Cum-Ex-Geschäfte aus dem Jahr 2008, mit einem Steuerschaden von mehr als 20 Millionen Euro. Es ist die siebte Anklage der Frankfurter Generalstaatsanwaltschaft im Cum-Ex-Komplex, der derzeit zehn weitere Fallkomplexe mit 39 Beschuldigten untersucht. Bereits 2017 durchsuchten Ermittler die Commerzbank-Zentrale wegen des Verdachts der Steuerhinterziehung mit einem damaligen mutmaßlichen Schaden von rund 40 Millionen Euro.

Nicht dokumentiert ist, ob die Commerzbank als Institution selbst strafrechtlich belangt wird, die Anklage richtet sich ausschließlich gegen vier ehemalige Mitarbeiter persönlich. Unklar bleibt das Verhältnis zwischen dem 2017 genannten Schaden von rund 40 Millionen Euro und dem aktuellen Betrag von über 20 Millionen Euro. Der Ausgang des Gerichtsverfahrens ist offen, da bislang nur eine Anklage vorliegt.

Am 07.07.2020 verhängte die NYDFS gegen die Deutsche Bank eine Geldbuße von insgesamt 150 Millionen US-Dollar wegen Verstößen im Zusammenhang mit den Geschäftsbeziehungen zu Danske Banks Estland-Filiale, zu Jeffrey Epstein und zur FBME Bank, davon 75 Millionen US-Dollar auf die Beziehung zu Epstein. Die Bank hatte Epstein trotz Einstufung als Hochrisikokunde von August 2013 bis Dezember 2018 als Kunden geführt, ohne die verstärkte Sorgfaltsprüfung angemessen auf sein Risikoprofil zuzuschneiden. Der Beschluss dokumentiert zahlreiche verdächtige Überweisungen Epsteins an mutmaßliche Mitverschwörer.

Der Beschluss betrifft ausschließlich aufsichtsrechtliche Sorgfaltspflichtverletzungen, keine strafrechtliche Verantwortung von Deutsche-Bank-Mitarbeitern. Offen bleibt, welche konkreten internen Entscheidungsträger die Kundenbeziehung trotz bekannter Vorstrafe Epsteins genehmigten. Ob mit den transferierten Geldern tatsächlich weiterer Menschenhandel finanziert wurde, ist nicht abschließend gerichtlich festgestellt.

JPMorgan Chase erklärte sich am 12.06.2023 bereit, 290 Millionen Dollar zur Beilegung einer Sammelklage von rund 200 mutmaßlichen Opfern von Jeffrey Epstein zu zahlen. Die Kläger warfen der Bank vor, trotz interner Warnsignale über Jahre Konten für Epstein geführt und dessen Menschenhandel ermöglicht zu haben. Ein US-Bezirksrichter bestätigte den Vergleich im November 2023 endgültig. Zusätzlich zahlte JPMorgan im September 2023 75 Millionen Dollar an die US-Jungferninseln.

Nicht bewiesen ist, dass JPMorgan wissentlich am Menschenhandel Epsteins beteiligt war. Die Bank hat in keinem der Vergleiche ein Fehlverhalten eingeräumt. Offen bleibt, welche internen Mitarbeiter genau über Epsteins Aktivitäten informiert waren und ob es strafrechtliche Konsequenzen für einzelne Manager geben wird.

Die FTC gab im Oktober 2018 einem erweiterten Vergleich mit Uber statt, nachdem Uber eine im November 2016 erfolgte Datenpanne mehr als ein Jahr verschwiegen hatte, während die Behörde bereits eine Untersuchung führte. Betroffen waren mehr als 25 Millionen Namen und E-Mail-Adressen sowie 600.000 Führerscheinnummern US-amerikanischer Fahrer. Uber zahlte den Angreifern über sein Bug-Bounty-Programm 100.000 US-Dollar. Der finale Beschluss verpflichtet Uber zu einem 20-jährigen Datenschutzprogramm mit regelmäßigen unabhängigen Prüfungen.

Nicht Teil dieser FTC-Entscheidung ist der separate Strafprozess gegen den ehemaligen Uber-Sicherheitschef Joseph Sullivan, der 2022 gesondert mit einem Schuldspruch endete. Offen bleibt, in welchem Umfang die vorgeschriebenen Prüfungen seit 2018 tatsächlich durchgeführt und veröffentlicht wurden.

Im Juli 2019 wurde bekannt, dass die ehemalige AWS-Mitarbeiterin Paige Thompson durch Ausnutzung einer Server-Side-Request-Forgery-Schwachstelle in einer fehlkonfigurierten Firewall in die Cloud-Infrastruktur von Capital One eindrang. Betroffen waren Daten von mehr als 100 Millionen Kunden, darunter mehr als 100.000 Sozialversicherungsnummern. Thompson wurde am 20.06.2022 wegen Drahtbetrugs und fünffacher unbefugter Zugriffe schuldig gesprochen, aber von Identitätsdiebstahl freigesprochen. Capital One musste 80 Millionen US-Dollar Bußgeld sowie 190 Millionen US-Dollar für Vergleiche zahlen.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Am 24.05.2008 wurde bekannt, dass die Deutsche Telekom in den Jahren 2005 und 2006 Telefonverbindungsdaten von mindestens 55 Personen abgleichen ließ, um undichte Stellen im Unternehmen zu identifizieren. Betroffen waren Aufsichtsräte, ein Vorstandsmitglied, Gewerkschaftsfunktionäre wie Ver.di-Chef Frank Bsirske sowie mehrere Journalisten, insgesamt rund 60 Personen. Die Staatsanwaltschaft Bonn ermittelte gegen acht Beschuldigte. Das Landgericht Bonn verurteilte den ehemaligen Sicherheitsverantwortlichen am 30.11.2010 zu dreieinhalb Jahren Haft wegen Betrugs, Untreue und Verletzung des Fernmeldegeheimnisses.

Unklar bleibt, in welchem Umfang neben Telefonverbindungsdaten auch Bankdaten ausgewertet wurden und ob Bewegungsprofile erstellt wurden, hierzu liegen nur Verdachtsmomente vor. Offen bleibt zudem, wer konkret die Anweisung zur Überwachung erteilt hat und wie weit die Kenntnis in der damaligen Unternehmensspitze reichte.

Symantec begann am 13.07.2010 mit der Analyse der Schadsoftware W32.Stuxnet und veröffentlichte im Februar 2011 das vollständige Stuxnet-Dossier. Die Malware zielte gezielt auf Siemens-Step7-Industriesteuerungssysteme ab, wie sie in der iranischen Urananreicherungsanlage Natanz eingesetzt wurden. Da die Steuerungssysteme nicht mit dem Internet verbunden waren, verbreitete sich Stuxnet über infizierte USB-Wechseldatenträger. Laut Analysen des Institute for Science and International Security wurden Ende 2009 oder Anfang 2010 rund 1.000 IR-1-Zentrifugen in Natanz ausgetauscht, ein Ausfall über der normalen Ausfallrate.

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Citizen Lab wies im Oktober 2018 nach, dass das Smartphone des saudischen Dissidenten Omar Abdulaziz mit der Pegasus-Spyware der NSO Group infiziert war. Abdulaziz, ein enger Vertrauter des Journalisten Jamal Khashoggi, tauschte mit diesem WhatsApp-Nachrichten über gemeinsame Aktivismus-Pläne aus. Die Infektion wurde Monate vor Khashoggis Ermordung am 02.10.2018 im saudischen Konsulat in Istanbul festgestellt. Spätere forensische Analysen ergaben zudem Hinweise auf eine Kompromittierung des Telefons von Khashoggis Verlobter Hatice Cengiz.

Nicht abschließend dokumentiert ist, ob die abgefangenen Nachrichten tatsächlich direkt zur Planung der Ermordung durch saudische Agenten beitrugen, dieser Zusammenhang wird als plausibel dargestellt, aber nicht mit Beweisdokumenten der saudischen Seite belegt. NSO Group bestreitet eine direkte Verantwortung für den Missbrauch durch Kunden wie Saudi-Arabien.

Citizen Lab teilte dem griechischen Journalisten Thanasis Koukakis im März 2022 mit, dass sein Telefon vom 12.07. bis 24.09.2021 mit der Spyware Predator überwacht worden war, entwickelt von der nordmazedonischen Firma Cytrox. Im Juli 2022 wurde bekannt, dass auch Nikos Androulakis, Vorsitzender der Oppositionspartei PASOK-KINAL, im September 2021 mit demselben Infektionslink angegriffen wurde. Die griechische Regierung wies jede Beteiligung zurück.

Nicht dokumentiert ist, wer konkret hinter dem Einsatz von Predator steht. Offen ist, ob griechische Geheimdienststellen oder private Auftraggeber beteiligt waren. Bei Androulakis wurde zudem parallel eine legale Abhörmaßnahme bekannt, deren Verhältnis zum Predator-Einsatz bis heute nicht vollständig geklärt ist.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Firmen NSO Group und Candiru auf die Entity List. Grundlage war die Feststellung, dass beide Firmen Spyware entwickelten und an ausländische Regierungen lieferten, die damit gezielt Regierungsbeamte, Journalisten und Aktivisten überwachten. Die Aufnahme beschränkt den Export von US-Technologie an die betroffenen Firmen ohne behördliche Sondergenehmigung.

Nicht dokumentiert ist, welche konkreten Staaten die Spyware im Einzelfall einsetzten. Offen bleibt, wie wirksam die Eintragung die tatsächliche Verbreitung der Spyware einschränkte, da NSO Group außerhalb der USA operiert.

Digitalcourage reichte im Oktober 2022 Klage gegen die Deutsche Bahn beim Landgericht Frankfurt ein. Der Vorwurf: Die App DB Navigator übertrage personenbezogene Nutzerdaten an Drittanbieter wie Google und Adobe, auch bei eingeschränkten Cookie-Einstellungen. Am ersten Verhandlungstag am 19.05.2025 äußerte sich das Gericht kritisch gegenüber dem Argument der Bahn, die Tracker seien unverzichtbar.

Ein rechtskräftiges Urteil lag zum Recherchezeitpunkt nicht vor. Es handelt sich nicht um ein klassisches Datenleck, sondern um eine zivilrechtliche Auseinandersetzung über die Zulässigkeit von Datenübermittlungen. Die genaue Anzahl betroffener Nutzer ist nicht abschließend beziffert.

Am 27.05.2020 wurden wegen einer fehlerhaften Cache-Konfiguration im CDN der Klarna-App für rund 31 Minuten Kontodaten anderer Nutzer angezeigt. Betroffen waren laut Korrektur bis zu 9.500 Nutzer, ursprünglich war von bis zu 90.000 die Rede. Sichtbar waren Name, Postadresse, Kaufhistorie und Teile der Zahlungsmethoden. Klarna bezeichnete den Vorfall als selbst verursachten technischen Fehler, nicht als externen Angriff.

Klarna korrigierte die Zahl von bis zu 90.000 auf bis zu 9.500 Personen, ohne die Diskrepanz im Detail zu erklären. Unklar bleibt, ob tatsächlich vollständige Zahlungskartendaten sichtbar waren, da Klarna dies als nicht sensibel im Sinne der DSGVO einstufte, während Nutzer von sichtbaren Bankverbindungsdaten berichteten.

Die nordrhein-westfälische Landesdatenschutzbeauftragte leitete im April 2018 ein Prüfverfahren gegen die Deutsche-Post-Tochter Post Direkt ein wegen des Verdachts, im Bundestagswahlkampf 2017 Adressdaten an Parteien verkauft zu haben. Der Handel mit personalisierten Daten hätte mit einem Bußgeld bis zu 300.000 Euro geahndet werden können. CDU und FDP erklärten, nur anonymisierte Daten genutzt zu haben.

Nicht belegt ist, ob am Ende des Verfahrens tatsächlich ein Bußgeld verhängt wurde, ein öffentlich dokumentiertes Ergebnis ließ sich nicht finden. Nicht zu verwechseln mit dem später tatsächlich verhängten 18-Millionen-Euro-Bußgeld gegen die Österreichische Post, ein anderes Unternehmen in einem anderen Land.

Die niederländische Datenschutzbehörde verhängte am 11.12.2023 eine Geldbuße von 10 Millionen Euro gegen Uber wegen Verstößen gegen Artikel 12, 13 und 15 DSGVO, weil Uber Fahrer nicht ausreichend über Speicherdauer und Übermittlung ihrer Daten außerhalb Europas informierte. Zudem war das Verfahren zur Ausübung der Betroffenenrechte unzumutbar kompliziert. Auslöser war eine Beschwerde im Namen von rund 170 französischen Uber-Fahrern.

Diese Buße betraf primär mangelnde Transparenz, nicht die eigentliche Rechtmäßigkeit der Datenübermittlung in die USA. Die tatsächliche Strafe wegen unzureichend abgesicherter Datenübermittlung war eine separate, deutlich spätere Buße von 290 Millionen Euro im August 2024. Ob Uber gegen die 10-Millionen-Euro-Buße erfolgreich Einspruch erhoben hat, war zum Recherchezeitpunkt nicht geklärt.

Am 20.06.2024 nahm die belgische EU-Ratspräsidentschaft die geplante Abstimmung über die CSA-Verordnung, bekannt als Chatkontrolle, kurzfristig von der Tagesordnung, weil keine ausreichende Mehrheit zustande kam. Deutschland hatte am Vortag Ablehnung erklärt, Frankreich forderte Zusicherungen zum Schutz verschlüsselter Kommunikation. Es war bereits der zweite gescheiterte Anlauf nach Spanien im Dezember 2023.

Nicht dokumentiert ist das genaue Abstimmungsverhalten aller 27 Mitgliedstaaten, da die Abstimmung selbst nie stattfand. Offen bleibt, welche konkreten technischen Zusicherungen Frankreich forderte und ob diese je erfüllt wurden. Der grundsätzliche Kommissionsvorschlag bestand trotz der Absage fort.

Haaretz berichtete am 16.08.2022, dass Cellebrite Technologie zur Entsperrung von Mobiltelefonen an die ugandische Regierung unter Präsident Yoweri Museveni verkauft hat. Wenige Tage später bestätigte Uganda den Kauf. Bereits 2021 hatte Cellebrite angekündigt, Verkäufe an Russland und Belarus zu stoppen, nachdem Recherchen zeigten, dass die Technologie in Russland mehr als 26.000 Mal gegen Journalisten und Oppositionelle eingesetzt worden war.

Nicht dokumentiert ist, welche Exportlizenzen Israel für den Verkauf an Uganda erteilt hat. Offen bleibt, in welchem Umfang die Technologie tatsächlich gegen Oppositionelle in Uganda eingesetzt wurde. Die 2021 angekündigte Verkaufssperre für Russland wurde später durch Recherchen infrage gestellt.

Das Zollkriminalamt und die Staatsanwaltschaft München I durchsuchten vom 06. bis 08.10.2020 Geschäftsräume der Firmen FinFisher, FinFisher Labs und Elaman in München wegen Verdachts auf Verstoß gegen das Außenwirtschaftsgesetz. Hintergrund: Die Überwachungssoftware FinSpy soll im Sommer 2017 ohne deutsche Ausfuhrgenehmigung an die Türkei geliefert worden sein. Bereits im Juli 2019 hatten mehrere NGOs gemeinsam Strafanzeige gestellt.

Nicht belegt ist, ob es tatsächlich zu einer rechtswidrigen Ausfuhr kam und wer konkret verantwortlich war. Der Ausgang des Ermittlungsverfahrens war zum Berichtszeitpunkt offen, es liegt kein rechtskräftiges Urteil vor. Unklar bleibt der genaue Lieferweg der Software in die Türkei.

Am 27.06.2017 verbreitete sich die Schadsoftware NotPetya über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc und infizierte binnen Stunden Organisationen in mehr als 60 Ländern. CISA veröffentlichte die Warnung TA17-181A und beschrieb zwei Verbreitungswege: Diebstahl von Windows-Zugangsdaten mittels modifizierter Mimikatz-Version sowie Ausnutzung der SMBv1-Schwachstelle EternalBlue. Betroffen waren unter anderem Maersk und Merck. Die US-Regierung ordnete NotPetya später öffentlich dem russischen Militär zu.

Die kursierende Schadenssumme von über 10 Milliarden US-Dollar stammt aus späteren Einordnungen des Weißen Hauses, nicht aus einer verifizierten behördlichen Gesamtrechnung. Offen bleibt, ob NotPetya von Anfang an als reines Zerstörungswerkzeug ohne echte Entschlüsselungsoption konzipiert war. Die Attribution an Russland basiert auf Erklärungen westlicher Regierungen von 2018, nicht auf einem Beweis in dieser CISA-Warnung selbst.

Marcus Hutchins, bekannt als MalwareTech, hatte im Mai 2017 durch Registrierung einer Domain einen Kill Switch aktiviert und damit die Ausbreitung von WannaCry gestoppt. Im August 2017 wurde er in Las Vegas verhaftet und wegen Entwicklung und Verkaufs der Banking-Trojaner Kronos und UPAS Kit angeklagt. Am 19.04.2019 bekannte er sich schuldig, die Taten fanden zwischen Juli 2012 und September 2015 statt, vor seiner Zeit als Sicherheitsforscher. Am 26.07.2019 verurteilte das Gericht ihn zu bereits verbüßter Haft plus einem Jahr Bewährung.

Nicht öffentlich beziffert ist der konkrete finanzielle Schaden durch Kronos. Die Staatsanwaltschaft konnte nicht belegen, in welchem Umfang die Malware tatsächlich eingesetzt wurde, was die milde Strafe mitbeeinflusste. Offen bleibt das Ausmaß der Beteiligung eines mutmaßlichen Mitangeklagten.

Der EuGH entschied am 07.12.2023 im Verfahren C-634/21, dass die Erstellung eines Scores durch eine Auskunftei wie die Schufa als automatisierte Einzelfallentscheidung im Sinne von Artikel 22 DSGVO einzustufen ist, wenn Dritte wie Banken diesem Score eine maßgebliche Rolle beimessen. Eine solche automatisierte Entscheidung ist grundsätzlich verboten. Das Urteil erging im Vorlageverfahren des Verwaltungsgerichts Wiesbaden. Der EuGH stellte zugleich klar, dass die Löschfrist für Restschuldbefreiungen an die kürzere gesetzliche Frist des Insolvenzregisters anzupassen ist.

Nicht bewiesen beziehungsweise offen gelassen ist, ob die konkrete Score-Vergabe im Einzelfall tatsächlich eine verbotene automatisierte Entscheidung darstellt, diese Prüfung wurde an nationale Gerichte zurückverwiesen. Umstritten bleibt, wie stark der Einfluss des Scores sein muss, um als maßgeblich zu gelten. Die genaue Berechnungsmethode des Schufa-Scores bleibt Geschäftsgeheimnis.

Die ACLU reichte am 28.05.2020 Klage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act ein. Am 11.05.2022 wurde ein Vergleich geschlossen, der es Clearview dauerhaft untersagt, die Gesichtsdatenbank landesweit an die meisten privaten Unternehmen zu verkaufen. Für fünf Jahre erhalten staatliche und kommunale Polizeibehörden in Illinois keinen neuen Zugang. Bewohner erhielten ein Opt-out-Recht, Clearview zahlte 50.000 US-Dollar zur Bewerbung des Programms sowie 250.000 US-Dollar Anwaltskosten.

Der Vergleich ist kein Schuldeingeständnis, Clearview bestreitet weiterhin einen Verstoß. Es wurden keine direkten Zahlungen an einzelne Kläger geleistet. Der Vergleich betrifft nicht den Zugang von Bundesbehörden, sodass Clearview sein Geschäft mit Behörden anderer US-Bundesstaaten unverändert fortsetzen konnte.

IT-Sicherheitsforscher registrierten am Portal des Deutschen Apothekerverbands eine fiktive Apotheke mit gefälschten Dokumenten und erhielten binnen zwei Tagen Zugang. Mit diesem Zugang konnten sie gültige, vom CovPass Check als echt erkannte digitale Impfzertifikate ausstellen, obwohl keine Impfung vorlag. Die geforderte Telematik-ID wurde nicht verifiziert, die Zwei-Faktor-Authentifizierung war entfallen. Der DAV schaltete das Portal ab, rund 470 Apotheken ohne Verbandsmitgliedschaft konnten vorübergehend keine Zertifikate mehr ausstellen. Zu diesem Zeitpunkt waren bereits mehr als 25 Millionen Impfzertifikate über das Portal ausgestellt worden.

Nicht belegt ist, in welchem Umfang die Lücke vor der Veröffentlichung durch Dritte tatsächlich ausgenutzt wurde. Das Bundesgesundheitsministerium erklärte, keine Hinweise auf Missbrauch gefunden zu haben, eine unabhängige forensische Bestätigung liegt nicht vor. Der kolportierte Schwarzmarktpreis von rund 138 Euro pro Zertifikat ist nicht durch Strafverfolgungsdaten belegt.

Anfang Januar 2022 fragte die Mainzer Polizei Kontaktdaten aus der Luca App ab, um Zeugen zu einem Todesfall zu ermitteln, obwohl die App gesetzlich ausschließlich zur Kontaktnachverfolgung im Rahmen der Corona-Pandemie zugelassen war. Eine spätere ZDF-Recherche identifizierte bundesweit mehr als hundert vergleichbare Fälle. In mindestens fünf dieser Fälle war die Datenabfrage nach dem jeweiligen Infektionsschutzgesetz ausdrücklich verboten. Der Vorfall führte zu politischen Forderungen, die App zu löschen.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.

Die Studie We Chat, They Watch vom 07.05.2020 zeigt, dass Dateien und Bilder, die zwischen nicht in China registrierten WeChat-Konten ausgetauscht werden, auf politisch sensible Inhalte gescannt werden. Diese werden per Hash-Abgleich und Bild- sowie Texterkennung mit einer chinesischen Zensurdatenbank verglichen und genutzt, um das Zensursystem für in China registrierte Nutzer weiterzutrainieren. Sobald ein Bild als sensibel markiert wird, blockiert WeChat dessen Versand für alle Nutzer weltweit.

Nicht dokumentiert ist, in welchem Umfang Tencent diese Überwachung durchführt, da die Analyse serverseitig und intransparent erfolgt. Offen bleibt, ob die Daten an chinesische Behörden weitergegeben werden, die Studie liefert dafür keine direkten Beweise. Tencent bestritt Teile der Vorwürfe, ohne sich detailliert zu den technischen Befunden zu äußern.