Quellen-Tabelle

Das eigentlich als Musterbeispiel für Datensparsamkeit gedachte digitale Wallet-System werde durch aktuelle Durchführungsbestimmungen der Kommission genau in diesem Kernprinzip unterlaufen: Firmen könnten mehr Daten anfragen als nötig, warnt epicenter.works.

Ein etabliertes deutsches IT-Fachmedium (kein Aktivisten-Blog) bestätigt unabhängig dieselbe Kritik: Die Wallet sollte sparsam mit Daten umgehen, aber die aktuellen Umsetzungsregeln höhlen genau das aus. Zweitbeleg, wichtig weil aus anderer redaktioneller Quelle als netzpolitik.org.

Die Kommission empfiehlt technisch robuste und diskriminierungsfreie Methoden zur Altersverifikation; als künftiger Standard wird insbesondere auf die EUid-Wallet und die "Blueprint"-Infrastruktur für gerätebasierte Altersüberprüfung verwiesen. Vor allem bei Glücksspiel oder Pornografie hält die Kommission Altersverifikation für erforderlich und angemessen.

Hier steht schwarz auf weiß die Verbindung, die in vielen Debatten nur behauptet wird: Die EU verweist bei Altersprüfung tatsächlich auf dieselbe digitale Ausweis-App (EUDI-Wallet, Dossier B1) — kein Gerücht, sondern offizielle Empfehlung. Trotzdem bleibt die Nutzung laut Gesetzestext freiwillig (siehe B1).

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

Nach der ersten Umgehung durch Paul Moore wurde das System erneut von ihm mit einer einfachen Chrome-Erweiterung umgangen; die App ist aktuell in fünf Ländern (u. a. Frankreich) im Test, hauptsächlich für Erwachseneninhalte/Glücksspiel — von der Leyen kündigte zusätzlich an, dieselbe Infrastruktur künftig für ein Mindestalter von rund 13 Jahren bei sozialen Netzwerken nutzen zu wollen.

Wichtige Aktualisierung: Es blieb nicht bei einem einmaligen Fehler — dieselbe Schwachstellen-Kategorie wurde erneut mit simplen Mitteln umgangen. Zusätzlich zeigt sich hier konkretes Function-Creep-Potenzial: Was für Porno-/Glücksspielseiten gedacht war, soll laut Ankündigung auf soziale Netzwerke ausgeweitet werden.

Das zuständige eIDAS-Committee traf am 18. Juni 2026 wichtige Entscheidungen zur EUDI-Wallet, nachdem eine vorherige Sitzung am 6. Mai an "fundamentalen Problemen" gescheitert war. Bei einem Streitthema ("relying parties") musste die Kommission nachgeben — zugunsten der Nutzer. Bei anderen Themen, darunter der verpflichtenden biometrischen Erfassung, konnte sich die Kommission größtenteils durchsetzen, was die Schutzrechte der Nutzer deutlich aushöhlt, obwohl der Gesetzestext diese explizit einfordert.

Wichtigstes Update im ganzen Projekt: Was im vorherigen Batch noch als Kommissions-*Versuch* dargestellt wurde, ist jetzt größtenteils *beschlossen* — die verpflichtende biometrische Gesichtserfassung kommt, trotz gegenteiliger Intention im ursprünglichen Gesetzestext. Nicht ganz einseitig: Bei einem anderen Streitpunkt (wer die Wallet-Anbieter kontrollieren darf) hat die Kommission nachgegeben.

Frankreich, Italien, Spanien, Irland, Dänemark, Griechenland und Zypern bilden die erste Welle und haben mit der Integration der App in ihre nationalen Digital-Identity-Wallets begonnen.

Diese sieben Länder sind konkret die ersten mit der App — für den Blackstone-Artikel empfiehlt sich, diese Länderliste über eine zweite, unabhängige Quelle zu verifizieren, bevor sie zitiert wird (Quellenherkunft hier unklar/fragwürdig, Fakt selbst aber plausibel und mit anderer Quelle unten bestätigt).

Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien und Zypern wollen eine Vorreiterrolle einnehmen und preschen mit der Umsetzung bereits vor.

Bestätigt dieselbe Länderliste über eine seriösere, unabhängige Quelle — für Blackstone-Zitate diese oder eine ähnliche Quelle statt der oben genannten fragwürdigen Quelle verwenden.

Nach massiver Kritik aus der Community hat Discord die weltweite Einführung der Altersverifikation auf die zweite Hälfte 2026 verschoben und plant zusätzliche Verifizierungsoptionen statt ausschließlich staatlicher Ausweisdokumente oder Gesichtsscans — nachdem im Oktober zuvor eine Datenpanne die Ausweisdaten von rund 70.000 Nutzern offengelegt hatte.

Wichtiger Praxis-Beleg außerhalb der EU-Gesetzgebung: Sogar eine private Plattform (Discord) mit eigenem Altersverifikations-System hatte eine konkrete Datenpanne mit 70.000 betroffenen Ausweisdaten. Guter zusätzlicher Beleg für das generelle Risiko von Altersverifikations-Systemen, unabhängig davon, ob staatlich oder privat betrieben.

Der Entwurf wurde gegenüber früheren Vorhaben deutlich eingeschränkt, lässt aber weiterhin rechtliche und praktische Fragen offen; die Dauer der Speicherfrist bleibt wesentlicher Streitpunkt. Der Entwurf versucht eine "schmale" IP-Vorratsdatenspeicherung, verwendet aber Formulierungen, die in der Praxis deutlich weitergehende Datenspeicherungen erforderlich machen könnten.

Wichtige juristische Einschätzung für Ausgewogenheit: Selbst Kritiker erkennen an, dass der aktuelle Entwurf enger gefasst ist als frühere Pläne — die Sorge liegt jetzt weniger im Prinzip als in der handwerklichen Präzision der Formulierungen, die in der Praxis mehr Daten erfassen könnten als offiziell beabsichtigt.

Bestätigt und ordnet dieselbe vzbv-Kritik ein — aktuelle Kommissionsvorschläge zur Wallet widersprächen laut vzbv den Verbraucherinteressen.

Zweitquelle für dieselbe Kritik aus einem seriösen, auf EU-Politik spezialisierten Fachmedium — nützlich zur Absicherung, dass die vzbv-Position korrekt wiedergegeben wird.

Der Rechtsausschuss des Bundesrates empfiehlt eine generelle, anlassunabhängige Speicherung von IP-Adressen ALLER Kunden — verpflichtend für alle Internetdiensteanbieter. Neben Strafverfolgungs- und Polizeibehörden sollen auch Geheimdienste, Finanzbehörden und der Zoll auf die Daten zugreifen dürfen, ohne strenge Begrenzung der Verwendungszwecke — was der Deutsche Anwaltverein als europarechtswidrig einstuft. Zusätzlich sollen neue "Sicherungsanordnungen" künftig auch Standort- und Inhaltsdaten betreffen, nicht nur Metadaten.

Das ist eine erhebliche Verschärfung gegenüber dem bereits in Batch 29 dokumentierten Stand: Nicht nur Verfassungsschutz, sondern auch Geheimdienste, Finanzbehörden und Zoll sollen Zugriff bekommen — und sogar Inhaltsdaten (nicht nur Metadaten) sollen künftig von Sicherungsanordnungen erfasst werden können. Das ist ein Lehrbuchbeispiel für Function Creep noch VOR Verabschiedung des Gesetzes: Der ursprüngliche Entwurf war auf IP-Adressen für Strafverfolgung beschränkt, der Bundesrat will das massiv ausweiten, bevor das Gesetz überhaupt verabschiedet ist.

Das Datenleck entstand, nachdem eine externe Dienstleisterfirma kompromittiert wurde, die Discord für Altersnachweis-Überprüfungen nutzte. Betroffene mussten im Rahmen eines "age-related appeal" Selfies mit Ausweis und Discord-Nutzernamen einreichen. Laut Discord waren mindestens 70.000 Nutzer betroffen, offengelegt wurden neben Ausweisfotos auch IP-Adressen, die Rückschlüsse auf den ungefähren Wohnort erlauben.

Wichtige Präzisierung: Es waren nicht "nur" Ausweisfotos betroffen, sondern zusätzlich IP-Adressen — also auch grobe Standortdaten. Das zeigt, wie stark Altersverifikations-Systeme verschiedene sensible Datenkategorien gleichzeitig bündeln, was das Schadenspotenzial bei einem Leck erhöht.

Discord bestätigte den Vorfall am 3. Oktober 2025 — Unbefugte hatten einen für den Kundendienst eingesetzten Drittanbieter kompromittiert. Im Rahmen eines mutmaßlichen Erpressungsversuchs behaupten die Angreifer, 1,5 Terabyte an Daten mit über 2 Millionen amtlichen Passfotos erbeutet zu haben — deutlich mehr als die von Discord bestätigten 70.000 Nutzer.

Wichtige Diskrepanz für Blackstones Ehrlichkeitsprinzip: Es gibt zwei sehr unterschiedliche Zahlen — Discords offiziell bestätigte 70.000 Betroffene versus die Angreifer-Behauptung von über 2 Millionen Passfotos. Bei Erpressungsfällen ist es normal, dass Angreifer die Zahlen übertreiben, um Druck zu erhöhen — im Artikel sollte klar zwischen "bestätigt" und "von Angreifern behauptet" unterschieden werden, nicht die höhere Zahl unkritisch übernehmen.

Discord hat Anfang Januar 2026 vertraulich einen Börsengang beantragt — die Sicherheits-Offensive kommt zeitlich passend, um potenzielle Haftungsrisiken vor dem IPO zu reduzieren, da Investoren Plattformen mit strengeren Jugendschutz-Regeln bevorzugen (weniger rechtliche Risiken, weniger Skandale). Discord nutzt zudem ein intransparentes "Altersvorhersage-Modell" im Hintergrund — wie es genau funktioniert, verrät das Unternehmen nicht.

Interessanter wirtschaftlicher Kontext, der über die reine Datenschutzfrage hinausgeht: Die verschärfte Altersverifikation fällt zeitlich mit einem geplanten Börsengang zusammen — ein Zusammenhang, den man weder überbewerten noch ignorieren sollte. Zusätzlich problematisch für Transparenz: Ein "Alterserkennungs-Modell" arbeitet im Hintergrund nach unbekannten Kriterien — Nutzer wissen nicht, warum sie als Erwachsene oder Minderjährige eingestuft werden.

Deutsche EUDI-Wallet startet 02.01.2027 kostenlos/freiwillig; Deutschland setzt auf kritisierte 'Signed Credentials'-Architektur.

FAQ erklärt Funktionsweise und Kritik der digitalen Brieftasche. Keine Zahlen zu tatsächlicher Nutzung.

BVerwG untersagt PKV-Analyse von Abrechnungsdaten ohne Einwilligung für Vorsorgeprogramm-Auswahl.

Krankenversicherer dürfen nicht heimlich Diagnosen für Bonusprogramme auswerten.

6 von 10 getesteten Smart-Spielzeugen mit Auth-Lücken, 4 von 10 unverschlüsselte lokale Speicherung.

Keine realen Angriffsfälle bei diesen Geräten belegt.

Kinderdaten-Sammelklage gegen Roblox ins Schiedsverfahren verwiesen wegen AGB-Klausel.

Vorwürfe inhaltlich nicht öffentlich verhandelt.

BGH verhandelt über intransparente Kopplung von Überschussanteilen an fristgerechte Gesundheitsdaten-Übermittlung bei Generali Vitality.

Konkretes Endurteil nicht belegt, nur Verhandlungstermin.

Gericht: Algorithmus-Kontosperrung ohne echte menschliche Prüfung ist rechtswidrige automatisierte Entscheidung nach Art.22 DSGVO.

Übertragbarkeit auf deutsche Lieferando-Fälle nicht belegt.

Privacy International/Mozilla: populäre Zyklus-Apps verkaufen Daten an Werbetreibende, Flo-Klage zu Google/Meta-Weitergabe 2016-2019.

Aktueller Rechtsstand der Flo-Klage nicht belegt.

DSGVO schützt nur lebende Personen, Angehörige können sich nicht auf Datenschutzrechte Verstorbener berufen.

Zivilrechtliche Klagen wegen postmortaler Persönlichkeitsrechte bleiben unberührt.

On-Chain-Daten belegen, dass aus dem 2022er LastPass-Breach gestohlene Passwort-Tresore bis mind. Oktober 2025 genutzt wurden, über 35 Mio. USD Krypto-Diebstahl.

Attribution zu russischen Akteuren stützt sich auf Indizien, nicht auf letztgültige forensische Identifikation.

Analysiert Datenschutzrisiken der EU-Digital-Identity-Wallet unter eIDAS 2.0, Gefahr der Überidentifikation durch Diensteanbieter.

Bezieht sich auf Trilog-Verhandlungsstand 2023.

CCC überlistete Iris-Scanner des Galaxy S8 mit ausgedrucktem Infrarotfoto und Kontaktlinse.

Demonstration eines einzelnen Geräts unter Laborbedingungen.