Quellen-Tabelle

Hintergrund des erneuten gesetzgeberischen Anlaufs für eine Vorratsdatenspeicherung ist das Urteil des Europäischen Gerichtshofs vom 30.04.2024 (C-470/21), in welchem der EuGH seine lange bestehende restriktive Linie gelockert hatte.

Wichtige Ergänzung zur bereits dokumentierten EuGH-Urteilskette (Batch 5, F5): Nach vier Urteilen gegen Vorratsdatenspeicherung (2014-2022) hat der EuGH 2024 seine Linie erstmals gelockert — das ist die rechtliche Grundlage, auf die sich der aktuelle deutsche Gesetzentwurf stützt. Wichtig für die Ehrlichkeit des Dossiers: Die Rechtsprechung ist nicht statisch, sondern hat sich 2024 tatsächlich verändert — das rechtfertigt zwar nicht jede denkbare Ausweitung, zeigt aber, dass der neue Anlauf nicht einfach "gegen geltendes Recht" verstößt, sondern auf einer echten Rechtsprechungsänderung aufbaut.

Die BRAK fragt in ihrer Stellungnahme, warum eine Frist von vier Wochen nicht ebenso ausreichen könnte — "nicht ersichtlich", so die BRAK — und verweist dabei auf eine Aussage von BKA-Vizepräsidentin Martina Link aus einer Bundestagsanhörung im Oktober 2023, in der Link selbst die Frage aufwarf, wie lange Speicherfristen für die Zuordnung von IP-Adressen tatsächlich bemessen sein müssten.

Diese Quelle ergänzt und bestätigt den bereits in Batch 15 dokumentierten Befund (BKA-Positionspapier zu kürzeren Fristen): Auch die Bundesrechtsanwaltskammer verweist unabhängig auf dieselbe BKA-Aussage, dass kürzere Fristen praktisch ausreichen könnten — ein zweiter, unabhängiger Beleg für dasselbe Verhältnismäßigkeits-Argument.

Das Datenleck entstand, nachdem eine externe Dienstleisterfirma kompromittiert wurde, die Discord für Altersnachweis-Überprüfungen nutzte. Betroffene mussten im Rahmen eines "age-related appeal" Selfies mit Ausweis und Discord-Nutzernamen einreichen. Laut Discord waren mindestens 70.000 Nutzer betroffen, offengelegt wurden neben Ausweisfotos auch IP-Adressen, die Rückschlüsse auf den ungefähren Wohnort erlauben.

Wichtige Präzisierung: Es waren nicht "nur" Ausweisfotos betroffen, sondern zusätzlich IP-Adressen — also auch grobe Standortdaten. Das zeigt, wie stark Altersverifikations-Systeme verschiedene sensible Datenkategorien gleichzeitig bündeln, was das Schadenspotenzial bei einem Leck erhöht.

Discord bestätigte den Vorfall am 3. Oktober 2025 — Unbefugte hatten einen für den Kundendienst eingesetzten Drittanbieter kompromittiert. Im Rahmen eines mutmaßlichen Erpressungsversuchs behaupten die Angreifer, 1,5 Terabyte an Daten mit über 2 Millionen amtlichen Passfotos erbeutet zu haben — deutlich mehr als die von Discord bestätigten 70.000 Nutzer.

Wichtige Diskrepanz für Blackstones Ehrlichkeitsprinzip: Es gibt zwei sehr unterschiedliche Zahlen — Discords offiziell bestätigte 70.000 Betroffene versus die Angreifer-Behauptung von über 2 Millionen Passfotos. Bei Erpressungsfällen ist es normal, dass Angreifer die Zahlen übertreiben, um Druck zu erhöhen — im Artikel sollte klar zwischen "bestätigt" und "von Angreifern behauptet" unterschieden werden, nicht die höhere Zahl unkritisch übernehmen.

Discord erklärt offiziell: Die für die Altersverifikation eingesetzten spezialisierten Anbieter waren NICHT am Datenleck vom September 2025 beteiligt. Bei der Gesichtsschätzung wird das Video-Selfie direkt auf dem Gerät verarbeitet und nie gespeichert; Ausweisdokumente werden nur zur Altersermittlung verarbeitet und danach gelöscht — die Identität wird nie mit dem Discord-Konto verknüpft.

Wichtig für Fairness: Discord stellt offiziell klar, dass das *neue* Verifikationssystem NICHT derselbe Dienstleister ist, der beim Leck 2025 betroffen war — man hat also (zumindest laut eigener Aussage) reagiert und den Anbieter gewechselt bzw. das System überarbeitet. Diese Unternehmensposition sollte im Blackstone-Artikel neben der berechtigten Nutzer-Skepsis stehen, nicht unterschlagen werden — auch wenn "es war ein anderer Anbieter" das grundsätzliche Risiko (Drittanbieter-Abhängigkeit bei sensiblen Daten) nicht beseitigt.

38% kennen Passkeys namentlich, nur 18% nutzen sie aktiv; 72% der Nutzenden haben hohes Vertrauen.

BSI-Umfrage zu Passkey-Bekanntheit/Nutzung. Keine Zahlen zu einzelnen Diensten.

KJM lässt Autoident-Verfahren (automatischer Foto-Ausweis-Abgleich per ML) als Ersatz für Video-Identifizierung zur Altersverifikation zu.

Zulassung eines automatisierten Altersverifikationsverfahrens 2019. Belegt nicht spätere Verbreitung/Fehlerquoten.

Seit 10.12.2025 müssen 10 Plattformen Nutzer unter 16 aktiv ausschließen, Selbstauskunft reicht nicht, Bußgeld bis 49,5 Mio. AUD.

Australien erstes Land mit striktem Unter-16-Ausschluss. Wirksamkeit der Prüfung nicht belegt.

Anteil wirksamer Alterschecks bei Kindern stieg von 25% (Jul 2025) auf 43% (Jan 2026); 69 Mio. Alterschecks im 2. Halbjahr 2025.

UK-Regulierer misst Fortschritt der Altersverifikationspflicht.

Mind. 9 US-Bundesstaaten führten 2025 Altersverifikationspflichten ein; Floridas Gesetz löste 1150%-Anstieg der VPN-Nachfrage aus.

EFF-Kritik: Gesetze treiben Nutzer zu unregulierten Auslandsseiten.

Nach Free Speech Coalition v. Paxton senkte der Supreme Court den Prüfmaßstab für Altersverifikation von strict auf intermediate scrutiny.

US-Urteil senkt Grundrechtsschutz bei Altersprüfung.

US-Report: Arbeitgeber setzen Bossware ohne Transparenz/Widerspruchsmöglichkeiten ein.

Keine Nutzungszahlen für Deutschland.

Ab 02.08.2026 gelten KI-Bewerbertools als Hochrisiko-KI, Verstöße bis 15 Mio. Euro oder 3% Jahresumsatz.

Neue EU-Pflichten für KI-Recruiting-Tools.

Finance Director autorisierte 499.000 USD Zahlung während Zoom-Call, bei dem alle Führungskräfte KI-Deepfakes waren.

Konkreter Deepfake-Betrugsfall. Details zur Software/Aufdeckung nicht belegt.

2% aller entdeckten gefälschten Dokumente 2025 mit generativer KI erstellt; KI-Fake-IDs für ca. 15 USD in 30 Minuten produzierbar.

KI macht Dokumentenfälschung billiger. Herstellerstudie, nicht unabhängig verifiziert.

8.065 biometrische Injection-Angriffsversuche bei einem Finanzinstitut Jan-Aug 2025; Deepfake-Erstellung ab 10-50 USD als Dienstleistung.

Zahl bezieht sich nur auf ein Institut, nicht die Gesamtbranche.

BVerwG untersagt PKV-Analyse von Abrechnungsdaten ohne Einwilligung für Vorsorgeprogramm-Auswahl.

Krankenversicherer dürfen nicht heimlich Diagnosen für Bonusprogramme auswerten.

Warnung vor Ausweitung polizeilicher DNA-Analyse; genetische Daten offenbaren auch Infos über Verwandte, nicht nachhaltig anonymisierbar.

DNA-Daten besonders heikel, betreffen auch Angehörige.

FDZ Gesundheit erschließt seit Oktober 2025 Abrechnungsdaten von ca. 73 Mio. gesetzlich Versicherten für Forschung.

Zentrale Forschungsdatenstelle für fast alle GKV-Versicherten. Widerspruchsmöglichkeit nicht im Detail erklärt.

Mehrere Online-Gentest-Anbieter verstoßen laut GeN gegen DSGVO/Gendiagnostikgesetz, Kundendaten teils an Pharmafirmen weiterverkauft.

Warnung vor kommerziellen DNA-Tests ohne ärztliche Beratung.

OLG: biometrische Proctoring-Überwachung verstößt gegen Art. 9 DSGVO, keine wirksame Einwilligung möglich.

Gericht erklärt Gesichtsüberwachung bei Online-Klausuren für rechtswidrig.

40 von 42 untersuchten Kita-Apps enthielten Tracking, 8 mit Sicherheitslücken zu privaten Kinderfotos.

Peer-reviewte Studie zeigt weitverbreitete Mängel bei Kita-Apps.

Berlin gab ca. 4,8 Mio. Melderegisterdatensätze an Parteien, München ca. 340.000 für 34.000 Euro (§50 BMG).

Vor Wahlen geben Kommunen Namen/Adressen an Parteien.

BVerwG verpflichtet Stadt Bonn zu Auskunftssperren für zwei BaFin-Mitarbeiter, berufsbedingte Bedrohungslage genügt.

Stärkt Melderegister-Schutz für bedrohte Berufsgruppen.

FBI IC3: 982 SIM-Swap-Beschwerden 2024, 26 Mio. USD Verlust; UK-Fälle stiegen um 1055%, T-Mobile zu 33 Mio. USD Schadenersatz verurteilt.

SMS-2FA umgehbar durch SIM-Swapping, steigende Fallzahlen.