Quellen-Tabelle

Das Signal-Protokoll ist ein kryptografisches Messaging-Protokoll, das Ende-zu-Ende-Verschlüsselung für Instant Messaging bereitstellt und in WhatsApp, Wire und Facebook Messenger verwendet wird — mit zusammen deutlich über einer Milliarde aktiver Nutzer.

Das ist der wissenschaftliche Beweis, dass Signals Verschlüsselung tatsächlich hält, was sie verspricht — nicht nur eine Marketing-Behauptung, sondern mathematisch von unabhängigen Kryptografie-Forschern nachgewiesen. Wichtig: Dasselbe Protokoll steckt auch in WhatsApp — der Unterschied liegt woanders (z. B. Metadaten, Backups), nicht in der Kern-Verschlüsselung selbst.

Cure53 versuchte, jede mögliche Methode zu identifizieren, mit der die Anonymität oder Integrität des VPN-Verkehrs eines Nutzers kompromittiert werden könnte — es wurden keine solchen Probleme gefunden und keine Schwachstellen im Kernprodukt entdeckt. Mullvads System verfüge über eine Vielzahl von Härtungsmaßnahmen, was als "extrem positiv" bewertet wurde.

Ein unabhängiges, auf IT-Sicherheit spezialisiertes Unternehmen hat gezielt versucht, Mullvad zu "knacken" — und fand keine Wege, die versprochene Anonymität zu brechen. Das ist der Unterschied zwischen einem VPN-Anbieter, der nur "vertrau uns" sagt, und einem, der es extern überprüfen lässt.

Es wurden keine größeren Schwachstellen in Mullvads neuester unabhängiger Sicherheitsprüfung gefunden; dies ist Mullvads 18. Audit insgesamt seit 2017, was die Position als einer der transparentesten Anbieter der Branche weiter festigt. Unter den von CNET empfohlenen VPNs hat nur ExpressVPN mit 23 Audits seit 2018 noch mehr Prüfungen durchführen lassen.

Aktuellster Stand: 18 unabhängige Sicherheitsprüfungen in neun Jahren — das ist eine Größenordnung, die zeigt, dass Transparenz kein einmaliges Marketing-Ereignis ist, sondern fortlaufende Praxis. Gut geeignet, um Mullvad im Masterplan mit einer konkreten, beeindruckenden Zahl zu belegen.

ProtonVPN absolvierte im Juli 2025 zusätzlich ein SOC 2 Type II-Audit für operative Sicherheit; alle Auditberichte sind auf der ProtonVPN-Transparenzseite öffentlich einsehbar, ohne Anmeldung oder bezahltes Konto. Vier aufeinanderfolgende Jahre mit derselben Schlussfolgerung vom selben Prüfer, mit dem vollständigen Bericht statt einer Marketing-Zusammenfassung, schafft echtes Vertrauen.

Wichtiger Unterschied zu einmaligen Prüfungen: Proton lässt sich vom selben unabhängigen Prüfer über vier Jahre hinweg wiederholt kontrollieren — das zeigt, dass die "keine Logs"-Behauptung nicht nur zum Stichtag stimmt, sondern dauerhaft gelebte Praxis ist.

Cure53 veröffentlicht fortlaufend Audit- und Pentest-Reports zu einer Vielzahl von Privacy- und Security-Tools — darunter u. a. KeePassium (Passwortmanager), Obsidian (Notiz-App mit Sync/Verschlüsselung), Nym (VPN/Mixnet-Infrastruktur), ExpressVPN und verschiedene Krypto-Wallet-Anbieter.

Diese eine Seite ist eine Fundgrube für künftige Batches: Fast jedes im Masterplan empfohlene Tool-Kapitel (Passwortmanager, Notizen/Cloud, VPN, Wallets) hat hier einen öffentlich einsehbaren, unabhängigen Prüfbericht. Für Blackstone empfiehlt sich, diese Seite als laufende Quelle im Workflow zu verankern statt einmalig abzufragen.

Das indische Parlament warnte 2025 vor hohen Fehlerquoten bei der biometrischen Authentifizierung, die legitime Empfänger von Sozialleistungen ausschließen — Fingerabdrücke älterer Menschen, landwirtschaftlicher Arbeiter und durch körperliche Arbeit abgenutzter Haut werden vom System nicht erkannt. Das Parlamentskomitee (PAC) stellte fest: Verifikationsfehler führen zu ungerechtfertigtem Ausschluss von Sozialprogramm-Empfängern — mit teils tödlichen Folgen.

Das ist das konkreteste Warnbeispiel weltweit dafür, was passiert, wenn ein Staat ein zentrales biometrisches Identitätssystem für den Zugang zu Grundversorgung verpflichtend macht: Technische Fehlerquoten treffen die Schwächsten am härtesten — Menschen, deren Fingerabdrücke durch harte körperliche Arbeit verändert sind, verlieren den Zugang zu Nahrungsmittelhilfen. Wichtig für Blackstone: Das ist keine hypothetische Sorge, sondern ein dokumentierter, vom eigenen Parlament untersuchter Fall.

Aadhaar ist mit rund 134 Crore (1,34 Milliarden) aktiven Aadhaar-Inhabern das weltweit größte biometrische Identitätssystem und hat mehr als 16.000 Crore (160 Milliarden) Authentifizierungs-Transaktionen abgewickelt. Die Regierung erklärte im Parlament, dass bis heute kein Datenleck aus der zentralen UIDAI-Datenbank selbst erfolgt sei.

Wichtig für Fairness: Die Regierung selbst bestreitet, dass die zentrale Datenbank je gehackt wurde — sie schiebt gemeldete Lecks auf Missbrauch an einzelnen Zugangspunkten. Für Blackstone-Artikel wichtig, beide Seiten zu zeigen: die Regierungsposition UND die zahlreichen dokumentierten Einzelfälle (siehe andere Quellen) — der Streit dreht sich auch darum, was als "Datenbank-Breach" zählt.

Die häufigste Art von Sicherheitsverletzung bei Aadhaar betrifft die Vertraulichkeit — meist wird eine Teilmenge der Aadhaar-Daten öffentlich gemacht. Verletzungen der Integrität kommen ebenfalls häufig vor und beeinträchtigen die Qualität der zentralen Datenbank, meist durch einzelne unehrliche Insider oder gehackte Einzelkonten.

Eine unabhängige technische Analyse (nicht Aktivisten, nicht Regierung) bestätigt: Die Schwachstellen liegen oft nicht in der zentralen Datenbank selbst, sondern bei einzelnen Zugangspunkten und Mitarbeitern mit Zugriffsrechten — das deckt sich mit der Verteidigung der Regierung, zeigt aber gleichzeitig: Genau solche "Rand"-Schwachstellen sind bei einem derart riesigen System (1,3 Milliarden Menschen) kaum vollständig zu vermeiden.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

X-Road stellt trotz dezentraler Datenspeicherung in über 360 Datenbanken einen "Single Point of Failure" für den gesamten E-Government-Datentransfer dar; die proprietäre, patentierte Blockchain-Komponente ohne Open-Source-Material kann verborgene Schwachstellen aufweisen — wie die Krise von 2017 zeigte, bei der fast alle Karten (800.000) betroffen waren.

Wichtige Differenzierung, auch für Estland als "Vorbild": Selbst das oft gelobte estnische System hatte 2017 einen Sicherheitsvorfall, der praktisch alle ausgegebenen ID-Karten betraf. Kein System ist perfekt — aber wichtig ist, WIE transparent und schnell ein Land mit so einem Vorfall umgeht. Für einen fairen Blackstone-Artikel sollte dieser Vorfall nicht verschwiegen werden, nur weil Estland sonst positiv dasteht.

Selbst bei minimaler Konfiguration und im Ruhezustand teilen sowohl iOS als auch Google Android durchschnittlich alle 4,5 Minuten Daten mit Apple/Google; IMEI, Hardware-Seriennummer, SIM-Seriennummer und IMSI sowie die Handynummer werden übermittelt. Beide Systeme senden Telemetriedaten, obwohl der Nutzer dem explizit widersprochen hat. Google sammelt dabei fast zwei Größenordnungen mehr Daten als Apple beim Start (3,6 MB vs. 42 KB) — hochgerechnet auf alle Geräte in den USA entspricht das rund 1,3 TB Google-Datensammlung alle 12 Stunden gegenüber 5,8 GB bei Apple.

Das ist der wissenschaftliche Beleg für einen Satz, der sich hervorragend für Community-Content eignet: Dein Handy "telefoniert" im Schnitt alle 4,5 Minuten nach Hause — auch wenn es nur in der Tasche liegt und du alle Datenschutz-Einstellungen deaktiviert hast. Das gilt für iPhone UND Android gleichermaßen; keines der beiden großen Systeme ist grundsätzlich privater als das andere.

Selbst ein untätiges Mobiltelefon mit minimaler Nutzereingabe übertrug erhebliche Datenmengen an den OS-Entwickler und an Drittanbieter wie Google, Microsoft, LinkedIn und Facebook, deren System-Apps auf den meisten Geräten vorinstalliert sind. Eine bemerkenswerte Ausnahme von diesem Prozess war das Betriebssystem /e/OS.

Wichtiger Anschluss an den Masterplan: Genau das im Masterplan (Kapitel 3) empfohlene /e/OS wurde in dieser unabhängigen Studie als einzige nennenswerte Ausnahme von der massiven Telemetrie-Sammlung identifiziert — das ist ein starker, wissenschaftlich belegter Grund für die Empfehlung, nicht nur eine Ideologie-Entscheidung.

Eine Legiscope-2023-Schätzung berechnet rund 1.020 Cookie-Banner-Interaktionen pro EU-Internetnutzer und Jahr (basierend auf ca. 100 besuchten Websites pro Monat, von denen etwa 85% ein Consent-Banner zeigen) — hochgerechnet auf 404 Millionen EU-Internetnutzer ergibt das rund 412 Milliarden Interaktionen pro Jahr bzw. 575 Millionen Stunden europäischer Lebenszeit.

Einprägsamer Fakt für Community-Content: Der durchschnittliche EU-Bürger klickt über 1.000 Mal im Jahr auf ein Cookie-Banner — zusammengerechnet verbringen alle Europäer jährlich über eine halbe Milliarde Stunden allein mit diesen Klicks. Wichtig als Hinweis auf die eigene Unschärfe: Es handelt sich um eine Hochrechnung/Schätzung, keine Vollerhebung — sollte im Artikel entsprechend gekennzeichnet werden.

79% der untersuchten Websites (64 von 81) luden bereits Drittanbieter-Tracker, bevor Nutzer überhaupt mit dem Cookie-Banner interagierten — im Schnitt 3 aktive Tracker zu diesem Zeitpunkt, in Einzelfällen bis zu 13. Selbst wenn Nutzer aktiv "Alle ablehnen" klickten, blieben im Schnitt 4 Tracker weiterhin aktiv; nur 17% der Websites blockierten Tracking konsequent bis zur erteilten Zustimmung.

Das ist ein sehr konkreter, technisch belegter Grund, warum Cookie-Banner oft wirkungslos sind: Bei vier von fünf untersuchten Websites tracken Drittanbieter bereits, BEVOR man überhaupt geklickt hat — und selbst ein "Nein" wird oft nicht vollständig respektiert. Wichtiger Beleg für Blackstones Position, dass Cookie-Banner allein kein ausreichender Datenschutz sind und technische Zusatzmaßnahmen (Tracker-Blocker) nötig bleiben.

Nur 15% der 10.000 größten EU-Websites betreiben ein minimal DSGVO-konformes Cookie-Banner, obwohl 67% überhaupt ein Consent-Interface anzeigen (CHI-2025-Studie, 254.148 untersuchte Websites). Websites mit gleichwertigem Annehmen- und Ablehnen-Button stiegen zwar von 2,94% (2018) auf 30,66% (2024) im EWR — bleiben damit aber weiterhin eine Minderheit.

Nüchterner Fakt gegen Selbstzufriedenheit: Acht Jahre nach DSGVO-Einführung erfüllt nur eine kleine Minderheit der großen EU-Websites die eigentlich vorgeschriebenen Mindeststandards für Cookie-Banner. Zeigt, dass Regulierung allein ohne konsequente Durchsetzung nicht automatisch zu echtem Datenschutz in der Praxis führt.

Mitgliedstaaten sollen bis Ende 2026 mit dem Übergang zu quantenresistenter Kryptografie beginnen, kritische Infrastruktur muss die Umstellung spätestens bis 2030 abschließen.

Wichtig zur Abgrenzung: Das ist NICHT dasselbe wie die "Going Dark"-Verschlüsselungsschwächung — im Gegenteil, hier geht es darum, Verschlüsselung sogar noch widerstandsfähiger gegen künftige Quantencomputer zu machen. Zeigt die Doppelrolle der EU: gleichzeitig Verschlüsselung stärken (hier) und den Zugriff darauf erleichtern wollen (Encryption Roadmap) — ein innerer Widerspruch, der im Dossier erwähnenswert ist.

66% der befragten Softwarehersteller sind laut dem Report nach wie vor nicht mit der Verordnung vertraut — ein Anstieg gegenüber dem Vorjahr, nicht ein Rückgang.

Bemerkenswert kontraintuitiv: Statt sich der näher rückenden Frist anzupassen, ist die Unkenntnis über den CRA sogar noch gestiegen. Das ist ein starker Beleg für das Masterplan-Argument, dass Meldepflichten zwar auf dem Papier gut klingen, in der Praxis aber riesige Umsetzungslücken haben können.

Vier zentrale Lücken bei Unternehmen: unklar, wer die Meldung an ENISA/CSIRT tatsächlich einreicht; keine Vertretungsregelung für Krankheits-/Urlaubsfall der zuständigen Person; ungeklärt, wer befugt ist zu entscheiden, ob eine Schwachstelle als "aktiv ausgenutzt" gilt.

Sehr konkrete, fast schon banale Organisationslücken (Urlaubsvertretung!) zeigen, wie unvorbereitet viele Unternehmen auf eine Pflicht mit Millionen-Bußgeld-Risiko sind. Guter, greifbarer Beleg für einen Blackstone-Artikel zum Thema "Meldepflichten klingen gut, aber Umsetzung hinkt hinterher".

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.

Ab Ende 2031 sollen klassische Verfahren wie RSA oder ECC nur noch in Kombination mit Post-Quanten-Kryptografie eingesetzt werden. Für besonders kritische Anwendungen gilt die Frist bereits ab Ende 2030, digitale Signaturen bekommen bis Ende 2035 Zeit. Das BSI setzt auf einen hybriden Ansatz: Bewährte Verfahren werden nicht verboten, sondern mit quantensicheren Algorithmen kombiniert.

Konkrete, von der deutschen IT-Sicherheitsbehörde selbst gesetzte Fristen: Ab 2030/2031 muss zusätzlich zur normalen Verschlüsselung eine quantencomputer-sichere Methode verwendet werden. Wichtig für den Masterplan-Bereich Technik-Grundlagen: zeigt, dass "sichere Verschlüsselung" kein statischer Zustand ist, sondern sich technisch weiterentwickeln muss.

Das BSI hat zusammen mit Partnern aus 17 europäischen Staaten im November 2024 eine gemeinsame Erklärung zum Thema Post-Quanten-Kryptografie veröffentlicht, die von Wirtschaft, Betreibern kritischer Infrastruktur sowie öffentlicher Verwaltung den Übergang fordert; inzwischen haben Partner aus drei weiteren europäischen Staaten unterzeichnet.

Europaweite Koordination bei der Verschlüsselungs-*Stärkung* — zeigt den Umfang der Kooperation zwischen europäischen Sicherheitsbehörden bei diesem Thema, als Kontrast zur "Going Dark"-Verschlüsselungs-Schwächung im selben Politikfeld (siehe A5).

In einem gemeinsamen Statement mit Partnern aus 21 europäischen Staaten fordern Sicherheitsexperten Unternehmen und Behörden auf, PQC bis spätestens 2030 zu etablieren. Als Vergleichsbeispiel für heutige Quantencomputer-Leistung: Googles Quantenchip Willow führt laut Google-Angaben eine Benchmark-Berechnung in unter fünf Minuten durch, für die ein klassischer Supercomputer rund 10 Septillionen Jahre benötigen würde.

Der Willow-Vergleich ist ein einprägsamer, wenn auch auf eine sehr spezifische Benchmark-Aufgabe bezogener Fakt (nicht 1:1 auf "Verschlüsselung knacken" übertragbar, aber illustriert die Dimension des technologischen Sprungs) — gut geeignet für Community-Content, sollte aber mit der Einschränkung verwendet werden, dass diese Beschleunigung nicht automatisch bedeutet, dass Verschlüsselung schon heute gefährdet ist.

Aktuelle Schätzung für den "Q-Day" (Zeitpunkt, ab dem Quantencomputer kryptografisch relevant werden): 10–15 Jahre — nach unten korrigiert von zuvor 20 Jahren, aufgrund wichtiger technologischer Durchbrüche. Die BSI-Empfehlungen geben klare Fristen für die PQC-Migration: 2032 allgemein, 2030 für kritische Infrastruktur.

Wichtige Einordnung: Die Einschätzung, wann Quantencomputer eine echte Bedrohung für heutige Verschlüsselung werden, wurde selbst schon einmal nach vorne korrigiert (von 20 auf 10-15 Jahre) — das zeigt, wie dynamisch sich diese Einschätzung entwickelt und warum die BSI-Fristen eher vorsichtig-frühzeitig als übertrieben wirken.

Die registrierten Straftaten sind 2025 um 5,6% gegenüber dem Vorjahr zurückgegangen, auch unter Berücksichtigung der Cannabis-Teillegalisierung bleibt ein Rückgang von 4,7%. Die Aufklärungsquote bleibt mit 57,9% stabil auf dem Niveau der Vorjahre (2024: 58,0%).

Wichtige Basiszahl: Die allgemeine Kriminalität in Deutschland sinkt, die Aufklärungsquote bleibt seit Jahren stabil bei knapp 58% — unabhängig von den zwischenzeitlich diskutierten neuen Überwachungsinstrumenten. Guter Beleg für die Frage, ob mehr Überwachung überhaupt nötig wäre, um das aktuelle Sicherheitsniveau zu halten.

Die Zahl der Auslandstaten (207.888) übersteigt die Inlandstaten (126.034) inzwischen deutlich. Die Aufklärungsquote spiegelt dieses Ungleichgewicht: Inland 31,4%, Ausland nur 2,0%.

Das ist der wichtigste Einzelfund dieses Batches für Blackstones Argumentation: Zwei Drittel aller Cyberstraftaten gegen Deutschland kommen aus dem Ausland — dort liegt die Aufklärungsquote bei gerade einmal 2%. Das ist ein starkes Argument gegen die Wirksamkeit von Instrumenten wie Vorratsdatenspeicherung oder IP-Adressspeicherung (Dossier B3): Diese setzen an inländischen Anbietern an, während der Großteil der Bedrohung von dort ohnehin nicht erfasst werden kann.