Quellen-Tabelle

Der Schutz ist nicht schrankenlos — das stellte das BVerfG bereits 1983 selbst fest; ungeachtet der technologischen Entwicklung haben die damals aufgestellten Grundsätze nichts an Aktualität verloren.

Wichtige Ehrlichkeits-Note: Selbst das Urteil selbst sagt, dass der Datenschutz nicht absolut ist — es gibt immer eine Abwägung. Das passt zu Blackstones Prinzip, nicht zu behaupten, jede Datenerhebung sei per se verboten.

Das Tor-Relay-Netzwerk ist auf etwa 8.000–9.000 Relays angewachsen, davon 1.500–2.000 Exit-Relays, mit einer aggregierten Bandbreite von rund 800 Gbit/s; der Snowflake-Bridge-Dienst trägt täglich zehntausende Nutzer, mit dem stärksten Verkehr aus Russland und dem Iran während Zensur-Spitzen. Der Tor-Browser bleibt "essenzielle Privacy-Infrastruktur" mit stabilen Nutzerzahlen über Jahre hinweg.

Interessanter Zusatzfakt für Community-Content: Die stärkste Tor-Nutzung kommt aus Ländern mit Internetzensur (Russland, Iran) — zeigt, wofür das Werkzeug in der Praxis am dringendsten gebraucht wird, nicht nur theoretisch in Europa.

Die angebliche Notwendigkeit der Speicherung von 300 bis 500 Millionen Datensätzen pro Tag kann laut der Untersuchung nicht durch kriminologische Statistiken belegt werden. Wichtiger Kontext: Das Gutachten wurde dem CCC zugespielt und veröffentlicht — es war ursprünglich nicht für die breite Öffentlichkeit bestimmt.

Zusatzinfo zur Einordnung: Das Gutachten kam nicht von sich aus an die Öffentlichkeit, sondern wurde vom CCC veröffentlicht, nachdem es zugespielt wurde. Für Blackstone wichtig zu wissen, aber die Kernaussage der Studie selbst bleibt davon unberührt — die Fakten in BSDC-S-FND-2011-077 sind die Originalquelle, hier nur der Veröffentlichungskontext.

Penney selbst formulierte es so: "If people are spooked or deterred from learning about important policy matters like terrorism and national security, this is a real threat to proper democratic debate." Auch eine 2015er-Studie zu Google-Suchverhalten fand: Nutzer vermieden nach den Snowden-Enthüllungen Suchbegriffe, von denen sie annahmen, dass sie Ärger mit US-Behörden bringen könnten.

Ein zweiter, unabhängiger Beleg (Google-Suchverhalten-Studie) bestätigt denselben Effekt wie die Wikipedia-Studie — das ist kein Einzelfund, sondern ein wiederholt gemessenes Muster. Gut geeignet als leicht verständliches Zitat für einen Blackstone-Artikel.

55 Prozent aller Einkäufe liefen 2025 bargeldlos, 45 Prozent mit Schein und Münze — Schein und Münze bleiben trotzdem, vor allem weil die Mehrheit das so will.

Präzise Prozentzahlen zum Wendepunkt, gut zitierfähig für einen Blackstone-Artikel. Der Nachsatz ist wichtig: Der Rückgang ist Verhaltensänderung, keine Verdrängung von oben — die Menschen entscheiden sich zunehmend selbst für bargeldlos.

Ältere Menschen, Personen mit gesundheitlichen Einschränkungen, niedrigem Einkommen oder geringer digitaler Erfahrung nutzten häufiger Bargeld. Unabhängig von den persönlichen Vorlieben halten es 80 Prozent der Befragten für wichtig, dass weiterhin bar bezahlt werden kann.

Sehr starker Fakt für den Masterplan-Abschnitt zu Bargeld: 8 von 10 Menschen in Deutschland — nicht nur Bargeld-Nutzer selbst — finden es wichtig, dass die Option grundsätzlich bestehen bleibt. Das ist eine breite gesellschaftliche Mehrheit, kein Nischen-Anliegen von Privacy-Aktivisten.

280.000 neue Schadprogrammvarianten pro Tag und im Schnitt 119 neue Sicherheitslücken täglich; parallel beziffert der Digitalverband Bitkom den jährlichen Schaden durch Cyberangriffe für die deutsche Wirtschaft auf 202,4 Milliarden Euro.

Einprägsame Zahl für Community-Content: Fast eine Viertelmillion neuer Schadprogramme — pro Tag, nicht pro Jahr. Zeigt die Größenordnung der Bedrohung, gegen die z. B. auch zentrale Behörden-Datenbanken (etwa aus dem CRA-Meldesystem, Dossier D2) verteidigt werden müssten.

Das indische Parlament warnte 2025 vor hohen Fehlerquoten bei der biometrischen Authentifizierung, die legitime Empfänger von Sozialleistungen ausschließen — Fingerabdrücke älterer Menschen, landwirtschaftlicher Arbeiter und durch körperliche Arbeit abgenutzter Haut werden vom System nicht erkannt. Das Parlamentskomitee (PAC) stellte fest: Verifikationsfehler führen zu ungerechtfertigtem Ausschluss von Sozialprogramm-Empfängern — mit teils tödlichen Folgen.

Das ist das konkreteste Warnbeispiel weltweit dafür, was passiert, wenn ein Staat ein zentrales biometrisches Identitätssystem für den Zugang zu Grundversorgung verpflichtend macht: Technische Fehlerquoten treffen die Schwächsten am härtesten — Menschen, deren Fingerabdrücke durch harte körperliche Arbeit verändert sind, verlieren den Zugang zu Nahrungsmittelhilfen. Wichtig für Blackstone: Das ist keine hypothetische Sorge, sondern ein dokumentierter, vom eigenen Parlament untersuchter Fall.

Selbst ein untätiges Mobiltelefon mit minimaler Nutzereingabe übertrug erhebliche Datenmengen an den OS-Entwickler und an Drittanbieter wie Google, Microsoft, LinkedIn und Facebook, deren System-Apps auf den meisten Geräten vorinstalliert sind. Eine bemerkenswerte Ausnahme von diesem Prozess war das Betriebssystem /e/OS.

Wichtiger Anschluss an den Masterplan: Genau das im Masterplan (Kapitel 3) empfohlene /e/OS wurde in dieser unabhängigen Studie als einzige nennenswerte Ausnahme von der massiven Telemetrie-Sammlung identifiziert — das ist ein starker, wissenschaftlich belegter Grund für die Empfehlung, nicht nur eine Ideologie-Entscheidung.

Nur 15% der 10.000 größten EU-Websites betreiben ein minimal DSGVO-konformes Cookie-Banner, obwohl 67% überhaupt ein Consent-Interface anzeigen (CHI-2025-Studie, 254.148 untersuchte Websites). Websites mit gleichwertigem Annehmen- und Ablehnen-Button stiegen zwar von 2,94% (2018) auf 30,66% (2024) im EWR — bleiben damit aber weiterhin eine Minderheit.

Nüchterner Fakt gegen Selbstzufriedenheit: Acht Jahre nach DSGVO-Einführung erfüllt nur eine kleine Minderheit der großen EU-Websites die eigentlich vorgeschriebenen Mindeststandards für Cookie-Banner. Zeigt, dass Regulierung allein ohne konsequente Durchsetzung nicht automatisch zu echtem Datenschutz in der Praxis führt.

Vier zentrale Lücken bei Unternehmen: unklar, wer die Meldung an ENISA/CSIRT tatsächlich einreicht; keine Vertretungsregelung für Krankheits-/Urlaubsfall der zuständigen Person; ungeklärt, wer befugt ist zu entscheiden, ob eine Schwachstelle als "aktiv ausgenutzt" gilt.

Sehr konkrete, fast schon banale Organisationslücken (Urlaubsvertretung!) zeigen, wie unvorbereitet viele Unternehmen auf eine Pflicht mit Millionen-Bußgeld-Risiko sind. Guter, greifbarer Beleg für einen Blackstone-Artikel zum Thema "Meldepflichten klingen gut, aber Umsetzung hinkt hinterher".

In einem gemeinsamen Statement mit Partnern aus 21 europäischen Staaten fordern Sicherheitsexperten Unternehmen und Behörden auf, PQC bis spätestens 2030 zu etablieren. Als Vergleichsbeispiel für heutige Quantencomputer-Leistung: Googles Quantenchip Willow führt laut Google-Angaben eine Benchmark-Berechnung in unter fünf Minuten durch, für die ein klassischer Supercomputer rund 10 Septillionen Jahre benötigen würde.

Der Willow-Vergleich ist ein einprägsamer, wenn auch auf eine sehr spezifische Benchmark-Aufgabe bezogener Fakt (nicht 1:1 auf "Verschlüsselung knacken" übertragbar, aber illustriert die Dimension des technologischen Sprungs) — gut geeignet für Community-Content, sollte aber mit der Einschränkung verwendet werden, dass diese Beschleunigung nicht automatisch bedeutet, dass Verschlüsselung schon heute gefährdet ist.

Die durchschnittliche Ransomware-Lösegeldzahlung stieg auf rund 456.300 US-Dollar (Vorjahr: 276.615 US-Dollar) — gleichzeitig sank der Anteil der Unternehmen, die tatsächlich zahlen. Viele Vorfälle werden gar nicht erst angezeigt, aus Angst vor Reputationsschäden oder weil Unternehmen einen Angriff erst nach Wochen entdecken.

Wichtige Doppelbotschaft: Einerseits zahlen immer weniger Unternehmen (Zeichen wachsender Widerstandsfähigkeit), andererseits steigt die Lösegeldsumme bei denen, die doch zahlen, deutlich. Und: Die offizielle Statistik erfasst nur einen Teil der Realität, da viele Vorfälle aus Scham oder mangelnder Entdeckung gar nicht gemeldet werden — passt zum Dunkelfeld-Thema aus F3.

Edward Snowden nannte GrapheneOS im September 2019 seine eigene Wahl für Smartphone-Sicherheit. Die Nutzerzahl liegt Stand April 2026 bei rund 400.000 — eine kleine Zahl in absoluten Werten, die aber die Natur des Projekts gut beschreibt: eine gehärtete Neufassung des Android Open Source Project, gepflegt von einer kanadischen Non-Profit-Stiftung, an der sich kommerzielle forensische Werkzeuge die Zähne ausbeißen.

Die Snowden-Verbindung ist ein einprägsamer Fakt für Community-Content (bekannter Name, der das Projekt schon vor Jahren empfahl) — gleichzeitig bestätigt diese unabhängige Quelle dieselbe ~400.000-Zahl, was die GrapheneOS-Eigenschätzung zusätzlich stützt.

Fast 20% der Männer halten digitale Coins, während nur 7,2% der Frauen in Kryptowährungen investiert sind — ein besonders ausgeprägter Geschlechterunterschied im Vergleich zu anderen Finanzmärkten.

Interessanter Zusatzfakt für Community-Content: Die Kluft zwischen Männern und Frauen ist bei Krypto-Investments größer als bei klassischeren Geldanlagen — nicht direkt Blackstone-Kernthema, aber ein Aspekt, der in einem breiteren Artikel zum Thema "wer nutzt eigentlich Krypto" erwähnenswert wäre.

Bitwarden: jährliche Audits durch mehrere Firmen. 1Password: SOC 2 Type II plus Penetrationstests. Proton Pass: vollständiger Cure53-Audit beim Launch 2023 (keine kritischen Funde, moderate Funde vor Launch behoben). NordPass: zwei Cure53-Audits plus SOC 2 Type 2 und ISO-27001-Zertifizierung. KeePassXC: community-geprüfte Open-Source-Software — kein beauftragter Third-Party-Audit, aber öffentlich einsehbarer Quellcode.

Sehr nützliche Vergleichsübersicht für den Masterplan: Zeigt auf einen Blick, welches Prüfniveau die im Masterplan genannten Passwortmanager (Bitwarden, Proton Pass, KeePassXC) jeweils haben. Wichtige Nuance: KeePassXC hat KEINEN beauftragten Audit — Sicherheit stützt sich dort auf öffentliche Code-Einsehbarkeit und Community-Prüfung, nicht auf einen bezahlten externen Bericht. Das ist ein relevanter Unterschied, den Blackstone transparent machen sollte.

Laut dem Jahresbericht 2025 der Signal Foundation liegen schätzungsweise rund 40% der monatlich aktiven Nutzer in der EU, weitere 30% in Nordamerika, die restlichen 30% verteilen sich auf den asiatisch-pazifischen Raum und den Rest der Welt.

Wichtige Regionaleinordnung: Signal ist besonders in der EU stark vertreten (40% der Nutzerschaft) — passt zu Blackstones europäischem Fokus und zeigt, dass die App in genau der Region, für die der Masterplan geschrieben ist, bereits eine relevante Nutzerbasis hat.

Ab etwa 5.000 aktiven Nutzern stößt On-Premise-Hosting regelmäßig an Grenzen — das Problem liegt weniger an der Hardware als an der Datenbankoptimierung. In einem Praxisbeispiel aus der Automobilzuliefererbranche sprang die Nutzerzahl nach einer Übernahme von 1.200 auf 3.800, die interne IT kämpfte wochenlang mit Timeouts.

Wichtige praktische Einschränkung für Blackstones Masterplan-Empfehlung "Nextcloud auf eigenem NAS/Server": Für Privatpersonen und kleine Gruppen (die typische Blackstone-Zielgruppe) völlig unproblematisch — aber die Grenzen des Selbsthostings sollten nicht verschwiegen werden, falls größere Communities oder Organisationen sich daran orientieren. Achtung: Quelle ist ein Hosting-Anbieter mit kommerziellem Interesse an Managed-Hosting — Einschätzung könnte tendenziös in Richtung "lieber Managed-Service kaufen" sein, entsprechend vorsichtig zitieren.

Kagi wuchs von 50.000 auf 65.564 Abonnenten seit Mitte 2025 — eine kleine Zahl, die aber etwas Wichtiges beweist: Menschen sind bereit, für eine Suche zu zahlen, die für sie statt für Werbetreibende funktioniert.

Guter, knapper Beleg für die Grundthese hinter Kagi und ähnlichen Bezahl-Tools im Masterplan: Es gibt einen — wenn auch kleinen — Markt für "ich zahle Geld statt mit meinen Daten zu bezahlen". Nützlich als Beleg dafür, dass Blackstones Empfehlungen nicht nur idealistisch, sondern auch praktisch von echten Menschen genutzt werden.

Kagi mischt laut Dokumentation und Community-Diskussionen einen eigenen Index mit externen APIs — "privat" sollte daher eher als Grad-Frage denn als absoluter Zustand verstanden werden. Mojeek ist die einzige der drei mit einem langjährigen, wirklich unabhängigen eigenen Crawl, hat aber Nachteile bei Abdeckung und Reife der Ergebnisse. Qwant nutzt für einen Großteil seines Index Bing oder Hybrid-Metasuche.

Wichtige Nuance für Blackstones Ehrlichkeitsprinzip: Keine der gängigen "privaten" Suchmaschinen-Alternativen ist zu 100% unabhängig von den großen Anbietern — Kagi nutzt auch externe APIs, Qwant baut stark auf Bing auf. "Privat" ist eine Gradfrage, kein Alles-oder-Nichts-Zustand. Das sollte im Masterplan-Kapitel zu Browser/Suchmaschinen transparent gemacht werden, statt den Eindruck zu erwecken, diese Tools seien komplett unabhängig von Big Tech.

Eine Analyse zeigte: 66% der Datensätze im DentaQuest-Leck waren bereits aus früheren Lecks bekannt — ein Beleg für die hartnäckige Wiederverwertung gestohlener Daten. Branchenexperten warnen: Das größte Risiko nach solchen Lecks ist die Wiederverwendung von Passwörtern, da automatisierte Credential-Stuffing-Angriffe geleakte Zugangsdaten nutzen, um sich unbefugt Zugang zu tausenden anderen Websites zu verschaffen.

Sehr wichtiger praktischer Fakt für den Masterplan-Abschnitt zu Passwortmanagern (Kapitel 6): Zwei Drittel der Daten in einem einzelnen aktuellen Leck waren schon vorher bekannt — zeigt, wie sich ein einziges wiederverwendetes Passwort über viele Dienste hinweg auswirken kann. Starkes, konkretes Argument für einzigartige Passwörter pro Dienst (mit Passwortmanager).

Neben Have I Been Pwned wird empfohlen, parallel ein weiteres kostenloses Angebot zu nutzen: den Identity Leak Checker des Hasso-Plattner-Instituts (HPI), der auf einer eigenen Datenbank geleakter Identitätsdaten basiert.

Praktischer Zusatztipp: Es gibt eine deutsche, unabhängige Alternative/Ergänzung zu HIBP vom Hasso-Plattner-Institut — beide Dienste abzugleichen erhöht die Trefferquote, da die Datenbanken sich nicht zu 100% überschneiden.

Die US-Datenhändlerbranche generiert jährlich über 200 Milliarden Dollar durch den Verkauf von Verbraucherdaten, mit einer weiteren Schätzung von rund 305 Milliarden Dollar für 2023. Die FTC identifizierte 2014 über 100 Datenhändler in den USA — Kalifornien allein hatte 2023 bereits 148 registrierte Broker, EPIC zählt weltweit rund 4.000 Firmen, die Verbraucherprofile erstellen.

Größenordnung der gesamten Branche: 200+ Milliarden Dollar Jahresumsatz allein in den USA — vergleichbar mit der Größe einzelner Landeshaushalte. Die Zahl der Firmen (von ~100 auf über 4.000 weltweit) zeigt zudem ein branchenweites Wachstum, keinen Einzelfall.

Die Regierung Estlands entschloss sich, sämtliche der betroffenen 760.000 Zertifikate dauerhaft in ihren Systemen zurückzuziehen und zu blockieren. Der ROCA-Angriff macht es möglich, RSA-Schlüssel mit vertretbarem Aufwand aus einem teilweise bekannten öffentlichen Schlüssel herauszurechnen — theoretisch könnten damit private Schlüssel und Zertifikate einzelner Nutzer für kriminelle Zwecke erzeugt werden.

Verständliche technische Erklärung, warum der Angriff funktionierte: Ein mathematischer Fehler bei der Schlüsselerzeugung, bekannt seit 1996 (Coppersmith-Methode), wieder aktuell geworden durch eine fehlerhafte Implementierung bei Infineon. Wichtig: "theoretisch möglich" — Estland betonte, es gebe keine Hinweise auf tatsächlichen Missbrauch, blockierte aber trotzdem vorsorglich.

Der estnische Premierminister Jüri Ratas brach eine Polenreise ab, um sich dem Problem persönlich zu widmen. Der zuständige Wirtschaftsminister betonte gleichzeitig Gelassenheit: "Das Problem ist schwerwiegend und man sollte es ernst nehmen, aber es ist nicht schwerwiegend genug, um deswegen die Karten einzuziehen." Trotz des Vorfalls erklärte der Premierminister, die Sicherheitslücke werde den Digitalisierungskurs des Landes nicht stoppen.

Interessanter politischer Kontrast: Sehr hochrangige, sichtbare Reaktion (Premierminister unterbricht Auslandsreise) bei gleichzeitig bewusst kommunizierter Gelassenheit, um das übergeordnete Digitalisierungsprojekt nicht zu gefährden. Zeigt eine politische Abwägung zwischen Krisenmanagement und Vertrauenserhalt in die eigene Digitalstrategie — relevant für die Frage, wie transparent Staaten mit solchen Vorfällen umgehen (sollten).