Quellen-Tabelle

Die Zahl der Auslandstaten (207.888) übersteigt die Inlandstaten (126.034) inzwischen deutlich. Die Aufklärungsquote spiegelt dieses Ungleichgewicht: Inland 31,4%, Ausland nur 2,0%.

Das ist der wichtigste Einzelfund dieses Batches für Blackstones Argumentation: Zwei Drittel aller Cyberstraftaten gegen Deutschland kommen aus dem Ausland — dort liegt die Aufklärungsquote bei gerade einmal 2%. Das ist ein starkes Argument gegen die Wirksamkeit von Instrumenten wie Vorratsdatenspeicherung oder IP-Adressspeicherung (Dossier B3): Diese setzen an inländischen Anbietern an, während der Großteil der Bedrohung von dort ohnehin nicht erfasst werden kann.

2025 wurden rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon (207.888) aus dem Ausland oder von unbekannten Tatorten aus begangen. Das geschätzte Schadensvolumen für die deutsche Wirtschaft liegt bei 202,4 Milliarden Euro, rund 4,5% des Bruttoinlandsprodukts.

Offizielle BKA-Einschätzung zur Größenordnung — wichtig, um die Zahlen aus der vorherigen Quelle (Aufklärungsquoten) einzuordnen: Es geht hier um ein wirtschaftlich sehr bedeutendes Problem (4,5% des BIP), bei dem trotzdem der Großteil der Täter faktisch unerreichbar bleibt.

Laut einer vom GrapheneOS-Projekt selbst veröffentlichten Schätzung nähert sich die Zahl der GrapheneOS-Geräte 400.000 — basierend auf der Zahl der Geräte, die kürzliche GrapheneOS-Updates heruntergeladen haben. Manche Nutzer könnten mehrere Geräte betreiben, manche laden Updates extern herunter, aber es ist die beste verfügbare Schätzung.

Wichtige Wissenslücke aus dem ursprünglichen Arbeitsplan geschlossen: Es gibt doch eine Zahl, wenn auch nur eine Selbstschätzung des Projekts, keine unabhängig verifizierte Angabe. Rund 400.000 aktive Geräte — deutlich mehr als eine reine Nischen-Community, aber weit von Millionen entfernt. Für Blackstone-Artikel wichtig, die Herkunft der Zahl (Eigenschätzung) transparent zu machen.

GrapheneOS wurde ursprünglich im März 2016 veröffentlicht (als Nachfolger von CopperheadOS), wird als gemeinnützige Organisation seit dem 17. März 2023 offiziell geführt und ist vollständig Open Source unter MIT- und Apache-Lizenzen.

Nützliche Fakten zur Projektgeschichte und Rechtsform — wichtig für Vertrauenswürdigkeits-Argumentation im Masterplan: gemeinnützig organisiert, quelloffen, keine kommerziellen Gewinninteressen im Hintergrund.

Knapp neun Millionen Menschen in Deutschland ab 18 Jahren besitzen derzeit Kryptowährungen — 12,8% der volljährigen Bevölkerung. Weitere 4,9% haben früher besessen, sind aber ausgestiegen; 11,4% (rund 7,9 Millionen) können sich einen künftigen Kauf vorstellen. Unter aktiven Anlegern bleibt Bitcoin klarer Marktführer: 74,6% halten Bitcoin im Depot.

Sehr aktuelle, konkrete Zahl (Anfang August 2026): Etwa jeder achte erwachsene Deutsche besitzt Kryptowährungen — eine deutlich höhere Zahl als ältere Statistiken (die teils nur 4% Nutzung zeigten). Wichtig für den Masterplan-Bezug: Zeigt, dass Kryptowährungen längst kein Nischenphänomen mehr sind, sondern eine relevante Anlageklasse mit zweistelliger Beteiligungsquote — relevant für die MiCA-Regulierung (Dossier C4) und Blackstones Finanz-Kapitel.

Seit 2020 wird im Rahmen der Zahlungsverhaltensstudie nach dem Besitz von Krypto-Token gefragt. Der Anteil derjenigen, die Krypto-Token halten bzw. den Kauf geplant haben, ist gestiegen; die Verbreitung von Krypto nimmt weiterhin zu, bleibt jedoch auf einem niedrigen Niveau im Vergleich zu klassischen Zahlungsmitteln.

Wichtiger methodischer Unterschied zur vorherigen Quelle: Die Bundesbank fragt nach Krypto-*Besitz als Zahlungsmittel*-Kontext (niedrigere, aber seit 2020 kontinuierlich erhobene Zeitreihe), die BearingPoint-Studie fragt nach Krypto als *Geldanlage*. Beide Blickwinkel sind für unterschiedliche Blackstone-Kapitel relevant — Zahlungsmittel-Perspektive für Kapitel 2, Anlage-Perspektive eher am Rande.

Zentrale Prüffeststellung zu KeePassXC: Die Entwickler betreiben keine eigene Cloud, das Programm nutzt das offene KeePass-2-(kdbx)-Format. Bei mindestens einem anderen getesteten Passwortmanager fanden sich dagegen wesentliche Abweichungen von gängigen Empfehlungen — es würden technische Informationen an den Hersteller gesendet, die diesem Zugriff auf Passwortmanager-Inhalte erlauben könnten.

Das ist eine besonders wertvolle Quelle: eine eigene, vergleichende Testreihe der deutschen IT-Sicherheitsbehörde zu mehreren Passwortmanagern (mindestens KeePassXC, Firefox-Passwortmanager, mSecure, PassSecurium, SecureSafe u.a. laut Inhaltsverzeichnis). Nicht nur eine Einzelprüfung, sondern ein direkter, behördlich durchgeführter Vergleich — die bislang stärkste Einzelquelle für Blackstones Passwortmanager-Empfehlungen im Masterplan (Kapitel 6, Identität).

Bitwarden hat wiederholt Netzwerksicherheitsbewertungen und Penetrationstests durch Cure53 sowie separate Prüfungen durch Insight Risk Consulting durchlaufen lassen — darunter dedizierte Audits der Browser-Erweiterung, der Desktop-Anwendung, der mobilen Apps, des Web-Vaults und sogar der eigenen RustCrypto-Bibliothek. Zusätzlich wurde die Kernkryptografie von der Applied Cryptography Group der ETH Zürich unter der Annahme eines vollständig bösartigen Servers geprüft.

Bitwarden hat nicht nur einmal, sondern wiederholt und für praktisch jede einzelne Komponente (nicht nur "die App" pauschal) geprüft werden lassen — inklusive einer akademischen Kryptografie-Prüfung durch eine renommierte Universität unter einem besonders strengen Angriffsmodell. Das ist ein sehr hohes Transparenz-Niveau.

Direkt zugänglicher Original-Prüfbericht — als Beleg dafür, dass Bitwarden von Anfang an (2020) mit vollständig öffentlichem Quellcode und unabhängigen Prüfberichten gearbeitet hat, nicht erst nachträglich als Reaktion auf Kritik.

Für Zitierfähigkeit wichtig: der Original-Bericht selbst, nicht nur Zusammenfassungen darüber.

Threema für Private und die Business-Lösung Threema Work waren Mitte 2021 im Begriff, die Marke von zehn Millionen Nutzern zu knacken. Die kostenpflichtige App gewann in den ersten acht Jahren (bis Ende 2020) acht Millionen Nutzer, allein 2021 kamen bis dahin fast zwei Millionen hinzu. Das Gros der neuen Nutzer stammte aus Deutschland, rund ein Fünftel aus der Schweiz.

Das ist die letzte direkte Unternehmensangabe, die bei dieser Recherche gefunden wurde — von 2021. Seither keine neuere, ähnlich verlässliche direkte Aussage des Unternehmens gefunden. Für einen aktuellen Blackstone-Artikel unzureichend allein — als Ausgangspunkt/untere Grenze verwendbar ("mindestens 10 Millionen, Stand 2021"), mit klarer Datierung.

Alle Server von Threema befinden sich in der Schweiz. Clientseitig ist Threema quelloffen, wodurch eine unabhängige Überprüfung der Sicherheit möglich ist. Der letzte dokumentierte Sicherheitsaudit wurde im November 2020 von Cure53 durchgeführt, bei dem einige wenige unkritische Schwachstellen gefunden wurden. Der Autor warnt ausdrücklich: Der Blog werde oft mit der Aussage "Threema sei der sicherste Messenger" verlinkt — das sei ein verzerrtes Bild, das im Beitrag so nicht dargestellt werde.

Wichtiger Hinweis für Blackstones Ehrlichkeitsprinzip: Der Autor selbst warnt davor, seine eigene positive Einordnung zu einer Übertreibung ("der sicherste Messenger") zu verzerren. Genau die Art Selbstkorrektur, die Blackstone auch bei den eigenen Inhalten anstreben sollte — nicht "sicherster", sondern "gut geprüft, quelloffen, Schweizer Serverstandort".

Bestätigt methodisch den Wachstumsverlauf (400.000 Nutzer Anfang 2014 auf mehrere Millionen während der WhatsApp-Facebook-Übernahme), aktuellste Zahl (Juli 2025) liegt hinter einer Bezahlschranke und konnte hier nicht extrahiert werden.

Es gibt eine aktuellere Zahl (Stand Juli 2025), die aber kostenpflichtig ist — für ein künftiges Batch mit Statista-Zugang oder über eine frei zugängliche Zweitquelle nachrecherchieren.

Signal erreichte laut Foundation-Präsidentin Meredith Whittaker im April 2025 zwischen 70 und 100 Millionen monatlich aktive Nutzer. Kumulierte Downloads überschritten seit dem App-Debüt 2014 die Marke von 218 Millionen. Die Organisation hat seither kein aktuelleres Update zu den monatlich aktiven Nutzern veröffentlicht.

Deutlich verlässlicher als die Threema-Zahlen aus dem vorherigen Batch: eine direkte, aktuelle (2025) Aussage der Organisationsspitze selbst, nicht nur eine Schätzung Dritter. Wichtig: Die Bandbreite (70-100 Mio.) zeigt, dass selbst Signal selbst keine exakte Zahl nennt — auch bei einer seriösen Quelle bleibt eine gewisse Unschärfe normal.

Die Signal Technology Foundation ist eine steuerbefreite gemeinnützige Organisation (501(c)(3), Status seit Februar 2019), mit Sitz in Mountain View, Kalifornien, meldete 2024 Einnahmen von 29.413.537 US-Dollar (davon 21.843.492 Dollar aus Spenden) — ein Rückgang gegenüber 35.750.994 Dollar im Jahr 2023. Signal arbeitet ohne Werbetreibende und ohne externe Investoren.

Wichtiger Fakt für die Vertrauenswürdigkeits-Argumentation im Masterplan: Signals Finanzen sind über öffentliche US-Steuerunterlagen nachprüfbar — kein Geheimnis, sondern Behördendokument. Kein Werbegeschäft, keine Investoren, die Kontrolle über das Unternehmen beanspruchen könnten.

WhatsApp-Nutzer, die das Signal-Protokoll verwenden, seit dem 5. April 2016: mehr als eine Milliarde monatlich aktive Nutzer.

Wichtiger Kontrast-Fakt fürs Masterplan-Kapitel Kommunikation: Das zugrundeliegende Verschlüsselungs-Protokoll von Signal wird über WhatsApp von weit mehr Menschen genutzt (>1 Milliarde) als die Signal-App selbst (70-100 Millionen) — bestätigt die bereits in F8 dokumentierte wissenschaftliche Analyse des Protokolls. Wichtig für die Differenzierung "Protokoll ist bei beiden gleich sicher, der Unterschied liegt woanders" (Metadaten, Backups, Geschäftsmodell).

Île-de-France bietet 550.000 Studierenden und Mitarbeitenden eine souveräne Cloud-Kollaborationsplattform; das österreichische Wirtschaftsministerium und das österreichische Bundesministerium nutzen Nextcloud für sichere, souveräne Zusammenarbeit. Im selben Rückblick verlinkt Nextcloud einen eigenen Blogbeitrag mit dem Titel "The proposed EU Chat Control law is a threat to our democracy."

Sehr konkreter Beleg für "digitale Souveränität" in der Praxis, nicht nur als Konzept: Eine einzelne französische Region setzt Nextcloud für über eine halbe Million Menschen ein. Bemerkenswert und direkt relevant für Blackstone: Nextcloud selbst positioniert sich öffentlich gegen die Chatkontrolle (Dossier A1) — das Unternehmen ist also nicht nur ein neutrales Tool, sondern selbst ein Akteur in der Debatte, die Blackstone dokumentiert.

Kagi wuchs von rund 2.600 zahlenden Kunden in den ersten drei Monaten nach dem öffentlichen Start (Juni 2022) auf über 50.000 Mitglieder bis Juni 2025, darunter mehr als 5.000 Familien und knapp 200 Teams. Bis Ende 2025 stieg die Abonnentenzahl auf rund 62.921 — bei nahezu einer Million täglichen Suchanfragen Mitte 2025, ganz ohne klassisches Marketing.

Kagi ist das seltene Beispiel für ein erfolgreiches Bezahl-statt-Werbe-Geschäftsmodell im Suchmaschinenmarkt: Nutzer zahlen 5-25 Dollar im Monat, damit ihre Daten NICHT verkauft werden. Über 60.000 Menschen zahlen das inzwischen — kleine Zahl im Vergleich zu Google, aber ein funktionierender Beweis, dass das Modell trägt.

Jede in Have I Been Pwned aufgenommene Datenpanne erscheint auf dieser Seite. Zum Erfassungszeitpunkt sind 1.025 kompromittierte Websites gelistet.

Das ist die Original-Quelle selbst — direkt zählbar, live, keine Sekundärinterpretation nötig. Für Blackstone-Artikel: Bei jeder Verwendung die aktuelle Zahl direkt von dieser Seite neu abrufen, da sie sich fast täglich ändert.

Über 17,6 Milliarden Datensätze aus 1.001 Datenlecks sind in der HIBP-Datenbank erfasst. Troy Hunt beklagt einen negativen Trend: eine immer längere Verzögerung bei der Offenlegung solcher Vorfälle. Beim Carnival-Datenleck etwa dauerte es 43 Tage von der Kenntnisnahme bis zur öffentlichen Information — Daten waren zu diesem Zeitpunkt bereits in Hacker-Foren gepostet.

Zwei einprägsame Fakten: Die schiere Größenordnung (17,6 Milliarden einzelne Datensätze — mehr als doppelt so viele wie es Menschen auf der Erde gibt) und ein wichtiges strukturelles Problem: Unternehmen brauchen oft wochenlang, um Datenlecks öffentlich zu machen — in dieser Zeit sind die Daten längst im Umlauf. Guter Beleg für "warum man nicht abwarten sollte, bis man offiziell informiert wird" (→ eigene Prüfung via HIBP empfehlen).

Einer der untersuchten Datenhändler allein verfügt über Informationen zu mehr als 1,4 Milliarden Verbrauchertransaktionen und 700 Milliarden Datenelementen; ein anderer fügt seiner Datenbank monatlich mehr als 3 Milliarden neue Datenpunkte hinzu. Datenhändler sammeln Verbraucherdaten aus umfangreichen Online- und Offline-Quellen — meist ohne Wissen der Betroffenen —, darunter Kaufdaten, Social-Media-Aktivität, Garantieregistrierungen, Zeitschriften-Abos sowie religiöse und politische Zugehörigkeiten.

Das ist einer der eindrücklichsten Einzelfakten der ganzen Recherche: EIN EINZIGES Unternehmen sammelt monatlich 3 Milliarden neue Datenpunkte — und das bereits vor über zehn Jahren festgestellt, die Größenordnung dürfte seither eher gewachsen sein. Besonders alarmierend: Auch sensible Kategorien wie religiöse und politische Zugehörigkeit werden erfasst — Daten, die in Deutschland/der EU als besonders schützenswert gelten (DSGVO Art. 9).

Die ROCA-Schwachstelle betraf die RSA-Schlüsselerzeugung in Chips des Herstellers Infineon, der über den estnischen ID-Karten-Zulieferer Gemalto (TRÜB Baltic) auch Estland belieferte. Weltweit waren schätzungsweise mindestens eine Milliarde Chips betroffen, darunter alle estnischen ID-Karten, die seit Herbst 2014 ausgegeben wurden. Estland widerrief die betroffenen Zertifikate. Estlands 800.000 betroffene ID-Karten stellen dabei nur einen verschwindend geringen Anteil an ROCAs weltweiter Auswirkung von mindestens 1 Milliarde betroffenen Chips dar — die Infineon-Chips wurden auch in Führerscheinen, Reisepässen, Zugangskarten und anderswo eingesetzt.

Wichtige Präzisierung für Blackstones bereits vorhandenen Estland-Eintrag (aus Batch 25): Der Fehler lag nicht im estnischen System selbst, sondern in einem global verbreiteten Hardware-Chip eines einzelnen Zulieferers (Infineon) — Estland war eines von vielen betroffenen Systemen weltweit, nicht ein spezifisch estnisches Versagen. Das relativiert die Kritik am estnischen System etwas, zeigt aber gleichzeitig ein noch größeres Problem: Eine einzelne fehlerhafte Chip-Generation kann weltweit über eine Milliarde Ausweisdokumente gleichzeitig verwundbar machen.

Nur rund ein Fünftel (19%) der deutschen Internetnutzer hält die eigenen Daten online für sehr oder eher sicher; 77% halten sie für eher oder sehr unsicher. Am vertrauenswürdigsten im Umgang mit persönlichen Daten erscheinen IT-Anbieter aus Deutschland, denen fast zwei Drittel (65%) sehr stark oder stark vertrauen — deutlich mehr als ausländischen Anbietern.

Wichtige, direkt für Blackstones "warum deutsche/europäische Alternativen" relevante Zahl: Deutsche Nutzer vertrauen einheimischen IT-Anbietern deutlich mehr als ausländischen — das stützt den Masterplan-Ansatz, wo möglich europäische statt US-amerikanische Tools zu empfehlen, mit einer echten Präferenz in der Bevölkerung, nicht nur als Nischenmeinung.

Bei 19% der befragten Unternehmen trat in den vergangenen zwölf Monaten ein Datenschutzverstoß auf, bei weiteren 6% kam es zu mehreren Verstößen. Von den betroffenen Unternehmen berichten 51% über Bußgelder als Folge, 18% verloren dadurch Kunden. Kein einziges befragtes Unternehmen gab an, dass aus seiner Sicht kein Nachbesserungsbedarf bei der DSGVO bestehe.

Wichtige Gegenperspektive zur reinen Bürger-Sicht: Aus Unternehmenssicht ist Datenschutz mit echten, spürbaren Konsequenzen verbunden (jedes vierte befragte Unternehmen hatte einen Verstoß, davon über die Hälfte mit Bußgeld). Nützlich für Blackstone, um zu zeigen: Datenschutzrecht ist keine zahnlose Regelung, sondern hat in der Praxis Wirkung — auch wenn gleichzeitig Kritik an der Handhabung besteht (siehe nächste Quelle).

86% der befragten Tech-Start-up-Gründer sehen KI als bestimmenden Technologietrend 2026 — bemerkenswert folgen aber gleich drei Themen aus dem Bereich digitale Souveränität nahezu gleichauf auf den Plätzen zwei bis vier.

Interessantes Signal aus der Gründerszene: Digitale Souveränität ist längst nicht mehr nur ein Anliegen von Aktivisten oder Behörden, sondern wird auch von jungen deutschen Tech-Unternehmern selbst als eines der wichtigsten Zukunftsthemen gesehen — passt zu Blackstones These, dass hier ein wachsender, auch wirtschaftlich relevanter Markt entsteht.

Proton hat kürzlich die Marke von 70 Millionen Nutzerkonten überschritten — ein Beleg für das breite Interesse an privatsphäre-orientierter Technologie, die besser für Nutzer und Gesellschaft ist.

Wichtige Gesamtzahl für das gesamte Proton-Ökosystem (Mail, VPN, Drive, Pass zusammen, nicht nur VPN einzeln) — 70 Millionen Konten ist eine sehr überzeugende Größenordnung für den Masterplan. Wichtiger Hinweis: Das genaue Datum dieser Zahl ist bei der Recherche nicht eindeutig zu klären gewesen — vor Verwendung im Artikel direkt auf proton.me nachprüfen, um nicht versehentlich eine veraltete Zahl als aktuell darzustellen.