Quellen-Tabelle

Twitter bestätigte 2018, dass die Firma Global Science Research des Cambridge-Psychologen Aleksandr Kogan 2015 für einen Tag Zugang zu einer Zufallsstichprobe öffentlicher Tweets erhielt. Kogans Firma hatte zuvor 2014 von Cambridge Analytica mehr als 800.000 US-Dollar für eine Facebook-Persönlichkeits-App erhalten, die Daten von bis zu 87 Millionen Nutzern sammelte. Twitter erklärte, nur öffentliche Tweets seien betroffen gewesen, keine privaten Nutzerdaten.

Nicht belegt ist, ob die Twitter-Daten tatsächlich mit den Facebook-Daten kombiniert oder für Wahlkampfzwecke genutzt wurden. Twitter und Kogan bestreiten diesen Zusammenhang. Ein konkreter Kaufpreis für den Datenzugang wurde nicht genannt.

Am 14.11.2022 einigte sich Google mit 40 US-Generalstaatsanwälten auf einen Vergleich über 391,5 Millionen US-Dollar wegen irreführender Standortverfolgung. Die Untersuchung ergab, dass Google zwischen 2014 und 2020 Nutzer im Unklaren ließ, dass das Deaktivieren des Standortverlaufs die Standorterfassung nicht vollständig stoppte, da über die separate Einstellung Web und App Aktivität weiter Daten gesammelt wurden. Die Behörden bezeichneten es als größten mehrstaatlichen Datenschutzvergleich der US-Geschichte.

Der Vergleich stellt keine gerichtliche Feststellung eines Rechtsverstoßes dar, Google bestreitet weiterhin Fehlverhalten. Offen bleibt, in welchem Umfang die Summe einzelnen Nutzern zugutekam, da sie an die Bundesstaaten floss, nicht als direkte Entschädigung an Verbraucher.

Die FCC beschloss am 25.11.2022 neue Regeln, die Überwachungskameras der chinesischen Hersteller Hikvision und Dahua sowie Geräte von Huawei, ZTE und Hytera von neuen Zulassungen ausschließen, gestützt auf den Secure Equipment Act of 2021. Ohne FCC-Zertifizierung dürfen betroffene Geräte nicht mehr importiert werden. Im April 2024 bestätigte ein US-Berufungsgericht das Verbot, nachdem die Hersteller dagegen geklagt hatten.

Nicht dokumentiert ist ein konkreter Einzelfall, in dem eine Kamera nachweislich Daten an chinesische Behörden übermittelt hat, die FCC-Begründung stützt sich auf eine allgemeine Sicherheitsbewertung. Offen bleibt, wie viele bereits installierte Altgeräte weiterhin in Betrieb sind, da das Verbot nur Neuzulassungen betrifft.

Nachdem die Scientology-Kirche am 16.01.2008 eine Urheberrechtsbeschwerde gegen ein Tom-Cruise-Video bei YouTube durchsetzte, veröffentlichte Anonymous am 21.01.2008 das Video Message to Scientology und startete Project Chanology. Am 10.02.2008 demonstrierten in über 50 Städten in 14 Ländern schätzungsweise 6.000 bis 8.300 maskierte Teilnehmer, was als erste große Überführung von Anonymous in realweltlichen Aktivismus gilt. Neben Protesten gehörten DDoS-Angriffe, schwarze Faxe und Prank Calls zu den Aktionsformen. Die per FOIA freigegebenen FBI-Akten zeigen, dass die Kirche gegenüber der Bundespolizei von einer terroristischen Organisation sprach.

Nicht dokumentiert ist eine zentrale Führungsstruktur von Anonymous, da die Bewegung dezentral organisiert war. Die genaue Teilnehmerzahl schwankt je nach Quelle zwischen rund 6.000 und mehr als 9.000. Unklar bleibt der tatsächliche wirtschaftliche Schaden der DDoS-Angriffe.

Im Oktober 2012 gab die South Carolina Department of Revenue bekannt, dass Angreifer bei Einbrüchen im August und September 2012 rund 3,6 Millionen Sozialversicherungsnummern sowie etwa 387.000 Kredit- und Debitkartennummern erbeuteten. Die Behörde entdeckte den Einbruch am 10.10.2012, die Sicherheitslücke wurde am 20.10.2012 geschlossen. Betroffen waren alle Personen, die seit 1998 eine Steuererklärung eingereicht hatten. Der Staat gab mehr als 20 Millionen US-Dollar für Reaktion und sechs Jahre kostenlose Kreditüberwachung aus.

Nicht dokumentiert ist die genaue Identität der Angreifer. Medienberichte sprachen von vermutetem ausländischem Ursprung, eine offizielle Zuordnung liegt nicht vor. Auch zehn Jahre später blieben zentrale Ermittlungsfragen offen, ein Abschlussbericht mit vollständiger Attribution wurde nicht veröffentlicht.

Das OPM gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff die Daten von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller einer Sicherheitsüberprüfung. Erbeutet wurden Sozialversicherungsnummern, Gesundheits-, Finanz- und Strafregisterdaten, 1,1 Millionen Datensätze enthielten zusätzlich Fingerabdrücke. Die Angreifer waren zwischen Juni 2014 und Januar 2015 im Netzwerk aktiv. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 zurück.

Nicht gerichtsfest bewiesen ist die Urheberschaft, US-Behörden verwiesen wiederholt auf chinesische Akteure, China bestreitet dies. Unklar bleibt, ob die gestohlenen Daten tatsächlich für Spionage genutzt wurden. Die Gesamtzahl der Betroffenen wurde im Verlauf mehrfach nach oben korrigiert.

Angreifer verschafften sich ab dem 02.12.2014 durch eine Phishing-Mail Zugriff auf die IT-Systeme von Anthem und blieben bis zum 27.01.2015 unentdeckt. Betroffen waren die Gesundheitsdaten von rund 78,8 Millionen Personen, der bis dahin größte bekannte Datendiebstahl im US-Gesundheitswesen. Am 15.10.2018 einigten sich Anthem und HHS OCR auf eine Zahlung von 16 Millionen US-Dollar, die bis dahin höchste HIPAA-Vergleichszahlung.

Nicht dokumentiert ist, welche konkrete Gruppe hinter dem Angriff stand, Medienberichte brachten den Fall mit chinesischen Akteuren in Verbindung, eine formelle Anklage erfolgte erst Jahre später. Unklar bleibt, in welchem Umfang die gestohlenen Daten tatsächlich missbraucht wurden.

Der EuGH erklärte am 08.04.2014 in den verbundenen Rechtssachen Digital Rights Ireland und Seitlinger die Richtlinie 2006/24/EG zur Vorratsdatenspeicherung für ungültig. Die Richtlinie hatte Anbieter verpflichtet, Verkehrs- und Standortdaten aller Nutzer für sechs Monate bis zwei Jahre zu speichern. Der Gerichtshof stellte fest, dass die anlasslose flächendeckende Speicherung einen schwerwiegenden Eingriff in die durch die EU-Grundrechtecharta geschützten Rechte darstellt und keine ausreichenden Garantien gegen Missbrauch vorsah.

Nicht belegt ist, in welchem Umfang die Vorratsdatenspeicherung vor 2014 tatsächlich zur Aufklärung von Straftaten beitrug. Offen blieb zunächst, welche nationalen Umsetzungsgesetze automatisch unwirksam wurden, da nationale Verfassungsgerichte dies separat entscheiden mussten.

Der bayerische Landtag verabschiedete am 15.05.2018 eine Novelle des Polizeiaufgabengesetzes, die der Polizei bereits beim Verdacht einer drohenden Gefahr weitreichende Befugnisse einräumt, darunter Staatstrojaner, Body Cams, Drohnen und in Ausnahmefällen Sprengmittel. Gegen das Gesetz demonstrierten im Mai 2018 in München mehr als 40.000 Menschen. Am 06.10.2018 reichte die Gesellschaft für Freiheitsrechte gemeinsam mit dem noPAG-Bündnis eine Verfassungsbeschwerde für zehn Betroffene ein. Das Bundesverfassungsgericht verhandelte die Beschwerde am 07. und 08.07.2026.

Die genaue Teilnehmerzahl der Demonstration ist nicht amtlich dokumentiert, nur journalistisch geschätzt. Der Begriff der drohenden Gefahr wird von Kritikern als zu unbestimmt bezeichnet, seine verfassungsrechtliche Bewertung war zum Zeitpunkt der Beschwerdeeinreichung offen. Diese Quelle dokumentiert die Einreichung, nicht das inhaltliche Ergebnis der Verhandlung.

Bundesinnenministerin Nancy Faeser entschied, dass ihr Ressort keine gemeinsame Bundes-VeRA-Plattform auf Basis von Palantir Gotham einführt, womit das Vorhaben für BKA und Bundespolizei beendet ist. Die bayerische Landespolizei nutzt seit 2024 bereits ein auf Gotham basierendes System namens VeRA. Das Bundesverfassungsgericht erklärte im Februar 2023 die entsprechenden Rechtsgrundlagen in Hessen und Hamburg für verfassungswidrig. Die Bundesregierung setzt stattdessen auf das Programm Polizei 2020.

Nicht dokumentiert sind konkrete Kosten oder ein Zeitplan für Polizei 2020 als Alternative. Unklar bleibt, ob andere Bundesländer außer Bayern ähnliche Systeme einsetzen. Die technische Funktionsweise von Gotham ist öffentlich nicht im Detail belegt.

Der Bundesrechnungshof veröffentlichte am 13.10.2020 einen Bericht, wonach Zoll, Steuerbehörden und Deutsche Rentenversicherung bei der Bekämpfung von Schwarzarbeit nicht ausreichend elektronisch zusammenarbeiten, Informationen wurden teils per Speichermedium oder Papierform ausgetauscht. Die Zollbehörden dokumentierten für 2019 einen Schwarzarbeitsschaden von 750 Millionen Euro. Der Rechnungshof forderte eine gemeinsame Datenbank.

Nicht dokumentiert ist ein Einzelfall von rechtswidrigem Datenabgleich. Der Bericht kritisiert primär organisatorische Ineffizienz, nicht einen Datenschutzskandal im engeren Sinne. Offen bleibt, ob die geforderte gemeinsame Datenbank seither umgesetzt wurde.

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Im April 2010 wurde bekannt, dass Google-Street-View-Fahrzeuge zwischen 2008 und 2010 in über 30 Ländern Daten aus offenen WLAN-Netzwerken mitschnitten. Google erklärte zunächst am 27.04.2010, keine Nutzdaten zu sammeln, musste dies aber am 14.05.2010 korrigieren und einräumen, dass tatsächlich Payload-Daten erfasst wurden. Die Staatsanwaltschaft Hamburg leitete Ermittlungen ein, im April 2013 verhängte die Hamburger Datenschutzbehörde ein Bußgeld von 145.000 Euro.

Nicht geklärt ist, in welchem Umfang die gesammelten Daten tatsächlich sensible Inhalte wie Passwörter enthielten und ob Google sie ausgewertet hat. Google bezeichnete die Sammlung als versehentlich, eine unabhängige Bestätigung liegt nicht vor. Es kam zu keiner strafrechtlichen Verurteilung, nur zum verwaltungsrechtlichen Bußgeld.

Der chinesische Journalist Shi Tao wurde im April 2005 zu zehn Jahren Haft wegen Verrats von Staatsgeheimnissen verurteilt, Grundlage war eine E-Mail über seinen Yahoo-Mail-Account, die eine Behördenanweisung zur Berichterstattung über den Tiananmen-Jahrestag zusammenfasste. Laut Gerichtsdokumenten stellte Yahoo Holdings Hong Kong den Behörden Kontodaten und IP-Adresse zur Verfügung. Shi Tao wurde 2013 vorzeitig entlassen. Yahoo-Mitgründer Jerry Yang entschuldigte sich 2007 vor dem US-Kongress.

Nicht dokumentiert ist, welche internen Genehmigungsprozesse der Datenherausgabe vorausgingen. Umstritten war das Ausmaß der Kenntnis der US-Muttergesellschaft über die konkrete Verwendung der Daten. Die Höhe der 2007 vereinbarten Entschädigung wurde nicht offengelegt.

Die Auswertung der geleakten Dokumente der Kanzlei Mossack Fonseca durch das ICIJ zeigt, dass mehrere hochrangige Fußballfunktionäre und Spieler Offshore-Firmen in Panama nutzten. Juan Pedro Damiani, Mitglied der FIFA-Ethikkommission, verwaltete Gesellschaften für mehrere später im FIFA-Korruptionsskandal angeklagte Funktionäre, darunter Cross Trading SA der Geschäftsleute Jinkis und Balney Enterprises Corp. des früheren UEFA-Präsidenten Michel Platini. Auch der Vater von Lionel Messi nutzte eine Offshore-Firma im Zusammenhang mit Steuervorwürfen.

Nicht belegt ist, dass die bloße Existenz einer Offshore-Firma automatisch eine Straftat darstellt. Die genaue Rolle von Juan Pedro Damiani ist nicht vollständig dokumentiert. Ob und in welchem Umfang alle genannten Personen strafrechtlich verurteilt wurden, unterscheidet sich je nach Fall.

Ein Lissabonner Gericht verurteilte den Hacker und Whistleblower Rui Pinto am 11.09.2023 zu vier Jahren Haft auf Bewährung wegen unbefugten Zugriffs auf IT-Systeme und Verletzung des Briefgeheimnisses. Pinto wurde 2019 in Ungarn festgenommen und nach Portugal ausgeliefert. Die ab Ende 2016 veröffentlichten Football-Leaks-Dokumente deckten mutmaßliche Steuervermeidung, unter anderem im Umfeld von Cristiano Ronaldo, sowie möglichen Betrug bei der UEFA auf und lösten Ermittlungen in mehreren Ländern aus.

Nicht abschließend geklärt ist, in welchem Umfang die dargestellten Steuerkonstruktionen tatsächlich illegal waren gegenüber legaler, aggressiver Steuervermeidung. Der genaue Gesamtumfang der geleakten Dokumente ist nicht unabhängig verifiziert. Der wirtschaftliche Gesamtschaden ist nicht belastbar beziffert.

Die Staatsanwaltschaft Köln ermittelt seit August 2017 wegen Cum-Ex-Geschäften gegen ehemalige und aktuelle Mitarbeiter sowie Vorstandsmitglieder der Deutschen Bank. Bei Cum-Ex-Geschäften wurden Aktien rund um den Dividendenstichtag verschoben, sodass Finanzämter einmal gezahlte Kapitalertragsteuer mehrfach erstatteten. Der Gesetzgeber beendete diese Praxis 2012. Die Deutsche Bank erklärte, an organisierten Cum-Ex-Märkten weder als Leerverkäuferin noch als Erwerberin beteiligt gewesen zu sein.

Die Staatsanwaltschaft Köln nennt keine konkreten Namen der beschuldigten Mitarbeiter. Die genaue Zahl der Beschuldigten sowie der Ausgang der Ermittlungen sind nicht abschließend dokumentiert. Die Deutsche Bank bestreitet eine direkte Beteiligung, was den Sachverhalt bis zu einem rechtskräftigen Abschluss als ungeklärt kennzeichnet.

Anfang 2001 geriet die landeseigene Bankgesellschaft Berlin durch riskante Immobiliengeschäfte an den Rand des Ruins, nachdem Tochtergesellschaften über 50 geschlossene Immobilienfonds mit Garantien an rund 50.000 Anleger verkauft hatten. Am 16.06.2001 wurde Regierender Bürgermeister Eberhard Diepgen per Misstrauensvotum gestürzt. Das Land Berlin rettete die Bank mit rund 2 Milliarden Euro Kapitalspritze, 2002 folgte eine Risikoabschirmung bis zu 21,6 Milliarden Euro bis 2032, endgültig aufgehoben erst am 29.08.2019.

Die genaue Zahl der Immobilienfonds schwankt je nach Quelle. Die Bezifferung des tatsächlichen Schadens für Berliner Steuerzahler bleibt umstritten. Die strafrechtliche Aufarbeitung endete nicht in allen Fällen mit rechtskräftigen Verurteilungen in der kolportierten Höhe.

Die IKB Deutsche Industriebank geriet im Juli 2007 durch ihre Zweckgesellschaft Rhineland Funding, die in US-Subprime-besicherte Wertpapiere investiert hatte, in eine existenzbedrohende Liquiditätskrise. Am 30.07.2007 übernahmen KfW und ein Bankenkonsortium unter BaFin-Vermittlung die Liquiditätsverpflichtungen. Im Verlauf 2008 erhöhte die KfW ihre Kapitalzufuhr um 2,3 Milliarden Euro und ihren Anteil auf 90,8 Prozent. Die Gesamtkosten der Rettung beliefen sich auf rund 9,6 Milliarden Euro, im Oktober 2008 verkaufte die KfW ihren Anteil an Lone Star für 137 Millionen Euro.

Nicht geklärt ist, in welchem Umfang Management und Aufsichtsrat die Risiken kannten oder hätten erkennen müssen. Die Gesamtkosten der Rettung werden zwischen rund 8 und knapp 10 Milliarden Euro unterschiedlich beziffert. Der Verkaufspreis an Lone Star deckte nur einen kleinen Bruchteil der Investitionen ab.

Am 20.03.2009 verabschiedete der Bundestag das Rettungsübernahmegesetz, das eine zeitlich begrenzte Enteignung eines systemrelevanten Kreditinstituts erlaubte, gerichtet gegen die Hypo Real Estate, deren dubliner Tochter Depfa Bank nach der Lehman-Pleite in eine Liquiditätskrise geraten war. Am 05.10.2009 wurde die HRE als erste Bank seit 1949 verstaatlicht, Aktionäre erhielten per Squeeze-out 1,30 Euro je Aktie. Zum 30.09.2010 hatte die HRE Garantien in Höhe von 123,98 Milliarden Euro sowie 7,7 Milliarden Euro direkte Kapitalhilfen vom SoFFin in Anspruch genommen.

Die tatsächliche Endsumme der Staatskosten ist nicht abschließend geklärt, die Bundesregierung bezifferte 2018 die Nettokosten auf rund 20,3 Milliarden Euro, eine von Kritikern als vorläufig bezeichnete Zahl. Umstritten bleibt der zeitliche Ablauf der Garantieübernahme, die möglicherweise Haftungsansprüche gegen den früheren Mehrheitseigentümer UniCredit verjähren ließ.

Die Grünwalder P&R Gruppe stoppte am 07.03.2018 die Auszahlungen an Anleger, am 24.07.2018 wurde das Insolvenzverfahren eröffnet. Rund 54.000 Anleger hatten etwa 3,5 Milliarden Euro in Schiffscontainer investiert. Von rund 1,6 Millionen verkauften Containern existierten nur etwa 618.000 tatsächlich, das Geschäftsmodell funktionierte laut Staatsanwaltschaft seit spätestens 2007 als Schneeballsystem. Gründer Heinz Roth wurde 2018 festgenommen, starb aber im Dezember 2019 vor einem Prozess.

Die genaue Schadenshöhe ist nicht gerichtlich geklärt, die Staatsanwaltschaft schätzte 1,5 bis 2 Milliarden Euro. Da Roth vor einem Strafprozess starb, kam es nie zu einem rechtskräftigen Urteil gegen ihn. Die individuellen Rückzahlungsquoten der Anleger bleiben offen.

Die Prokon Regenerative Energien GmbH stellte am 22.01.2014 Insolvenzantrag, nachdem sie rund 75.000 Anleger unter Druck gesetzt hatte, ihre Genussrechte nicht zu kündigen. Das Unternehmen hatte über nachrangige Genussrechte etwa 1,4 Milliarden Euro eingesammelt, ohne der BaFin-Aufsicht zu unterliegen. Das Geschäftsmodell beruhte auf hochverzinsten Genussrechten und wenig transparenten Investitionen, unter anderem in eine unrentable Biodieselproduktion.

Nicht geklärt ist, welcher Anteil der 1,4 Milliarden Euro tatsächlich verloren ging, da im Insolvenzverfahren ein Teil in eine Genossenschaft überführt wurde. Umstritten bleibt, inwieweit die damalige Aufsichtslücke ursächlich für das Schadensausmaß war.

Das Landgericht Dresden verurteilte am 09.07.2018 fünf ehemalige Manager der Infinus Gruppe wegen gewerbs- und bandenmäßigen Betrugs zu Freiheitsstrafen zwischen fünf Jahren vier Monaten und acht Jahren. Die Gruppe hatte Nachrangdarlehen mit überhöhten Renditeversprechen vertrieben, finanziert durch Gelder neu geworbener Anleger. Rund 22.000 Anleger investierten etwa 312 Millionen Euro, der festgestellte Nettoschaden lag bei rund 155 Millionen Euro. Das Gericht ordnete die Einziehung von über 51 Millionen Euro an.

Die genaue Schadenshöhe wird in Verfahrensdokumenten unterschiedlich beziffert, zwischen 155 und 415,6 Millionen Euro je nach Berechnungsgrundlage. Die aufsichtsrechtliche Rolle der BaFin vor 2012 ist nicht im Detail dokumentiert. Der Ausgang möglicher Revisionsverfahren ist nicht abschließend geklärt.

Die S&K Gruppe kaufte Immobilien unter Verkehrswert bei Zwangsversteigerungen und vertrieb sie über geschlossene Fonds am grauen Kapitalmarkt. Am 19.02.2013 durchsuchten rund 1.200 Ermittler 130 Objekte und nahmen die Geschäftsführer fest. Am 29.03.2017 verurteilte das Landgericht Frankfurt die Gründer Stephan Schäfer und Jonas Köller zu je acht Jahren und sechs Monaten Haft wegen schwerer Untreue. Die Gründer finanzierten mit Anlegergeldern einen Luxuslebensstil mit Sportwagen und Privatjets.

Die Zahl der geschädigten Anleger wird unterschiedlich beziffert, zwischen 6.000 mit 90 Millionen Euro Schaden und 11.000 mit mindestens 240 Millionen Euro. Die Urteile waren zum Zeitpunkt der Verkündung nicht in allen Punkten rechtskräftig, Revisionen waren möglich.

Am 08.02.2019 durchsuchte die Singapurer Polizei Büros von Wirecard-Entitäten, einen Tag nachdem die Financial Times über ein Round-Tripping-Schema berichtet hatte, bei dem Bargeld zwischen asiatischen Tochtergesellschaften verschoben wurde, um Bilanzen aufzublähen. Edo Kurniawan soll laut interner Präsentation Project Tiger Summary Anweisungen zu verdächtigen Transaktionen im Umfang von 37 Millionen Euro gegeben haben. Kurniawan verließ das Unternehmen am 01.04.2019 und gilt seither als flüchtig mit Interpol Red Notice. Im Juni 2023 wurden zwei Mitverdächtige in Singapur zu 21 beziehungsweise 10 Monaten Haft verurteilt.

Nicht belegt ist der Aufenthaltsort von Edo Kurniawan seit seiner Flucht. Die Höhe des veruntreuten Betrags wird unterschiedlich beziffert, teils 37 Millionen Euro, teils im Kontext der insgesamt fehlenden 1,9 Milliarden Euro auf den Philippinen. Kurniawans eigene strafrechtliche Verantwortung wurde bislang nicht gerichtlich festgestellt.