Quellen-Tabelle

Die Vorratsdatenspeicherung hat laut dem Gutachten keinen messbaren Einfluss auf Aufklärungsquoten. Für den Untersuchungszeitraum 1987 bis 2010 kann der Wegfall der Vorratsdatenspeicherung nicht als Ursache für Bewegungen in der Aufklärungsquote herangezogen werden — dieser Befund gilt insbesondere für Computerkriminalität und Internetkriminalität.

Das ist die wohl wichtigste Einzelquelle im gesamten Themenfeld "Wirkt Überwachung überhaupt?": Das eigene Justizministerium hat eine 271-seitige wissenschaftliche Studie in Auftrag gegeben — und das Ergebnis war, dass die ständig behauptete "Schutzlücke" ohne Vorratsdatenspeicherung nicht nachweisbar ist. Das ist kein Aktivisten-Papier, sondern eine im Regierungsauftrag erstellte Studie.

Die Studie untersucht, wie der Traffic zu Wikipedia-Artikeln über privatsphäre-sensible Themen nach der öffentlichen Bekanntwerdung der NSA/PRISM-Überwachung im Juni 2013 zurückging — sie findet nicht nur einen statistisch signifikanten unmittelbaren Rückgang, sondern auch eine dauerhafte Veränderung im langfristigen Trend.

Das ist der wissenschaftliche Beleg für ein Kernargument von Blackstone: Überwachung verändert das Verhalten von Menschen, die nichts Illegales tun — sie lesen einfach weniger über bestimmte Themen aus Angst, verdächtig zu wirken. Das ist keine Vermutung, sondern mit echten Wikipedia-Zugriffszahlen belegt.

Das Signal-Protokoll ist ein kryptografisches Messaging-Protokoll, das Ende-zu-Ende-Verschlüsselung für Instant Messaging bereitstellt und in WhatsApp, Wire und Facebook Messenger verwendet wird — mit zusammen deutlich über einer Milliarde aktiver Nutzer.

Das ist der wissenschaftliche Beweis, dass Signals Verschlüsselung tatsächlich hält, was sie verspricht — nicht nur eine Marketing-Behauptung, sondern mathematisch von unabhängigen Kryptografie-Forschern nachgewiesen. Wichtig: Dasselbe Protokoll steckt auch in WhatsApp — der Unterschied liegt woanders (z. B. Metadaten, Backups), nicht in der Kern-Verschlüsselung selbst.

Die häufigste Art von Sicherheitsverletzung bei Aadhaar betrifft die Vertraulichkeit — meist wird eine Teilmenge der Aadhaar-Daten öffentlich gemacht. Verletzungen der Integrität kommen ebenfalls häufig vor und beeinträchtigen die Qualität der zentralen Datenbank, meist durch einzelne unehrliche Insider oder gehackte Einzelkonten.

Eine unabhängige technische Analyse (nicht Aktivisten, nicht Regierung) bestätigt: Die Schwachstellen liegen oft nicht in der zentralen Datenbank selbst, sondern bei einzelnen Zugangspunkten und Mitarbeitern mit Zugriffsrechten — das deckt sich mit der Verteidigung der Regierung, zeigt aber gleichzeitig: Genau solche "Rand"-Schwachstellen sind bei einem derart riesigen System (1,3 Milliarden Menschen) kaum vollständig zu vermeiden.

X-Road stellt trotz dezentraler Datenspeicherung in über 360 Datenbanken einen "Single Point of Failure" für den gesamten E-Government-Datentransfer dar; die proprietäre, patentierte Blockchain-Komponente ohne Open-Source-Material kann verborgene Schwachstellen aufweisen — wie die Krise von 2017 zeigte, bei der fast alle Karten (800.000) betroffen waren.

Wichtige Differenzierung, auch für Estland als "Vorbild": Selbst das oft gelobte estnische System hatte 2017 einen Sicherheitsvorfall, der praktisch alle ausgegebenen ID-Karten betraf. Kein System ist perfekt — aber wichtig ist, WIE transparent und schnell ein Land mit so einem Vorfall umgeht. Für einen fairen Blackstone-Artikel sollte dieser Vorfall nicht verschwiegen werden, nur weil Estland sonst positiv dasteht.

Selbst bei minimaler Konfiguration und im Ruhezustand teilen sowohl iOS als auch Google Android durchschnittlich alle 4,5 Minuten Daten mit Apple/Google; IMEI, Hardware-Seriennummer, SIM-Seriennummer und IMSI sowie die Handynummer werden übermittelt. Beide Systeme senden Telemetriedaten, obwohl der Nutzer dem explizit widersprochen hat. Google sammelt dabei fast zwei Größenordnungen mehr Daten als Apple beim Start (3,6 MB vs. 42 KB) — hochgerechnet auf alle Geräte in den USA entspricht das rund 1,3 TB Google-Datensammlung alle 12 Stunden gegenüber 5,8 GB bei Apple.

Das ist der wissenschaftliche Beleg für einen Satz, der sich hervorragend für Community-Content eignet: Dein Handy "telefoniert" im Schnitt alle 4,5 Minuten nach Hause — auch wenn es nur in der Tasche liegt und du alle Datenschutz-Einstellungen deaktiviert hast. Das gilt für iPhone UND Android gleichermaßen; keines der beiden großen Systeme ist grundsätzlich privater als das andere.

Eine Legiscope-2023-Schätzung berechnet rund 1.020 Cookie-Banner-Interaktionen pro EU-Internetnutzer und Jahr (basierend auf ca. 100 besuchten Websites pro Monat, von denen etwa 85% ein Consent-Banner zeigen) — hochgerechnet auf 404 Millionen EU-Internetnutzer ergibt das rund 412 Milliarden Interaktionen pro Jahr bzw. 575 Millionen Stunden europäischer Lebenszeit.

Einprägsamer Fakt für Community-Content: Der durchschnittliche EU-Bürger klickt über 1.000 Mal im Jahr auf ein Cookie-Banner — zusammengerechnet verbringen alle Europäer jährlich über eine halbe Milliarde Stunden allein mit diesen Klicks. Wichtig als Hinweis auf die eigene Unschärfe: Es handelt sich um eine Hochrechnung/Schätzung, keine Vollerhebung — sollte im Artikel entsprechend gekennzeichnet werden.

79% der untersuchten Websites (64 von 81) luden bereits Drittanbieter-Tracker, bevor Nutzer überhaupt mit dem Cookie-Banner interagierten — im Schnitt 3 aktive Tracker zu diesem Zeitpunkt, in Einzelfällen bis zu 13. Selbst wenn Nutzer aktiv "Alle ablehnen" klickten, blieben im Schnitt 4 Tracker weiterhin aktiv; nur 17% der Websites blockierten Tracking konsequent bis zur erteilten Zustimmung.

Das ist ein sehr konkreter, technisch belegter Grund, warum Cookie-Banner oft wirkungslos sind: Bei vier von fünf untersuchten Websites tracken Drittanbieter bereits, BEVOR man überhaupt geklickt hat — und selbst ein "Nein" wird oft nicht vollständig respektiert. Wichtiger Beleg für Blackstones Position, dass Cookie-Banner allein kein ausreichender Datenschutz sind und technische Zusatzmaßnahmen (Tracker-Blocker) nötig bleiben.

66% der befragten Softwarehersteller sind laut dem Report nach wie vor nicht mit der Verordnung vertraut — ein Anstieg gegenüber dem Vorjahr, nicht ein Rückgang.

Bemerkenswert kontraintuitiv: Statt sich der näher rückenden Frist anzupassen, ist die Unkenntnis über den CRA sogar noch gestiegen. Das ist ein starker Beleg für das Masterplan-Argument, dass Meldepflichten zwar auf dem Papier gut klingen, in der Praxis aber riesige Umsetzungslücken haben können.

Die Studie basiert auf einer thematischen Analyse von 32 semi-strukturierten Interviews mit 41 estnischen Experten, die eng in die Lösung des ROCA-Falls 2017 eingebunden waren, und untersucht drei Bereiche: staatliche politische Aufgaben und Verantwortlichkeiten, die Rolle der IT-Industrie bei der eID-Bereitstellung, sowie Chancen und Pflichten für Endnutzer. Die Studie schlägt einen Paradigmenwechsel im eID-Management vor, der digitale Identität als Bürgerrecht und ihre Bereitstellung als staatliche Pflicht begreift.

Das ist die wissenschaftlich fundierteste verfügbare Aufarbeitung des Falls — nicht nur "was ist passiert", sondern eine tiefgehende Analyse, wer im System eigentlich verantwortlich ist, wenn ein Zulieferer-Fehler ein ganzes staatliches System gefährdet. Der vorgeschlagene Rahmen (digitale Identität als Bürgerrecht, ihre sichere Bereitstellung als Staatspflicht) ist eine gute konzeptionelle Grundlage für Blackstones eigene Position zur EUDI-Wallet.

Eine umfassende kryptografische Analyse fand mehrere Angriffsvektoren gegen Threemas eigens entwickeltes ("bespoke") Protokoll; eine 2023 veröffentlichte öffentliche Kritik argumentierte, die App nutze ein selbst entwickeltes Protokoll entgegen bewährter Standards ("best-practice norms") — Threema entgegnete, der verwundbare Code stamme aus einem alten Protokoll. Eine fokussierte Analyse zeigte zudem praktische Integritätslücken (Timestamp- und Reihenfolge-Angriffe) sowie Backup-bezogene Seitenkanäle, die Schlüssel offenlegen können, sofern keine Gegenmaßnahmen ergriffen werden.

Wichtige Korrektur zur bisherigen Blackstone-Einordnung von Threema: Anders als Signal (dessen Protokoll extern, wissenschaftlich geprüft und offen ist, siehe F8/Batch 40) nutzt Threema ein selbst entwickeltes Protokoll, das von unabhängigen Kryptografie-Forschern kritisiert wurde. Threema selbst bestätigt teilweise die Kritik (verwundbarer Code aus altem Protokoll), weist eine generelle Unsicherheit aber zurück. Für Blackstones Ehrlichkeitsprinzip wichtig: Diese Nuance sollte im Masterplan-Kapitel zu Messengern ergänzt werden — Threema ist nicht per se unsicher, aber die Vertrauensbasis unterscheidet sich grundlegend von Signal (Community-geprüftes offenes Protokoll vs. Eigenentwicklung mit dokumentierten Schwachstellen).

US-Behörden haben über CLOUD Act/FISA 702 Zugriff auf Daten in EU-Rechenzentren, wenn eine US-Muttergesellschaft Kontrolle hat - Serverstandort ist rechtlich irrelevant.

Amtliches Gutachten belegt: US-Konzerne mit EU-Servern unterliegen weiter US-Zugriffsrecht. Belegt NICHT Häufigkeit tatsächlicher Zugriffe.

78% der US-Arbeitgeber nutzen Überwachungssoftware, 63% französische Unternehmen (500+ MA), ein Drittel UK-Unternehmen im Homeoffice.

Umfrage-Aggregator, keine Primärstudie, keine Deutschland-Zahlen.

Canvas-Fingerprinting bei ca. 12,7% der Top-20.000-Websites, Clustering von Fingerprinting-Anbietern möglich.

Zuverlässigkeit für Einzelidentifikation nicht belegt.

Systematisierung des Forschungsstands zu Web-Tracking-Techniken inkl. Fingerprinting.

Noch Preprint, keine finale Konferenzfassung.

25 Angriffe auf Passwort-Recovery bei Bitwarden/LastPass/Dashlane/1Password gefunden, über 60 Mio. Nutzer betroffen.

Reale Ausnutzung nicht belegt, Hersteller haben Gegenmaßnahmen umgesetzt.

Föderiertes-Lernen-Framework für Kliniken ohne zentrale Rohdatenfreigabe, 87,45% AUPRC bei Mortalitätsvorhersage.

Realer klinischer Einsatz außerhalb der Studie nicht belegt.

Landesdatenschutzbehörden kritisieren geplante Verlagerung der KI-Marktaufsicht über Hochrisiko-Systeme von Datenschutzbehörden zur Bundesnetzagentur.

Endgültiger Gesetzestext nicht belegt.

Gastgeber ohne afroamerikanisch wirkende Profilfotos erzielen ~12% höhere Preise, deutet auf Diskriminierung im Reputationssystem hin.

Nachweis über Sekundärquellen, nicht direktes Auslesen des Volltexts.

Google erhielt 2022 ~147.000 Löschanfragen (96% aller Anfragen), Delisting-Quote ~56%, Frankreich und Deutschland führen Länderstatistik an.

Zahlen basieren auf Daten aus 2022, nicht aktuelleren Werten.

60% der 18-27-Jährigen mit digitaler Gewalterfahrung haben bereits Cyberflashing erfahren, Befragung über 3.000 Personen.

Von Interessenorganisation mitfinanziert.

Zuboff beschreibt Überwachungskapitalismus als Marktform, die menschliche Erfahrung als Rohmaterial für Vorhersageprodukte beansprucht, keine technologische Notwendigkeit sondern bewusste Unternehmensentscheidung.

Deutschsprachige Kernthese der Autorin selbst, keine unabhängige Auseinandersetzung.

Gängige Canvas-Fingerprinting-Abwehrtechniken (18 Browser-Erweiterungen, Brave Farbling) können durch statistische Analyse ausgehebelt werden.

Deckt vor allem randomisierungsbasierte Mechanismen ab.

Metaanalyse von 76 Studien: durchschnittlich ~13% Kriminalitätsreduktion durch CCTV, stark unterschiedlich je nach Umfeld.

Effekt beruht überwiegend auf Parkplatz-Studien, begrenzte Übertragbarkeit.

Deutsche Wirkungsevaluation an NRW-Kriminalitätsschwerpunkten: Kriminalität geht durch verstärkte Videoüberwachung nicht entscheidend zurück.

Nur untersuchte NRW-Standorte, nicht auf andere Länder übertragbar.