Quellen-Tabelle

Die Kommission legt einen Fahrplan vor, der sechs Bereiche umfasst: Vorratsdatenspeicherung, rechtmäßige Überwachung, digitale Forensik, Entschlüsselung, Standardisierung und KI-Lösungen für die Strafverfolgung; 2025 soll eine Folgenabschätzung zur Aktualisierung der Vorratsdatenspeicherungsregeln erfolgen.

Das ist der offizielle Fahrplan der Kommission, WIE sie an verschlüsselte Daten und gespeicherte Nutzerdaten herankommen will. Noch kein Gesetz — aber ein sehr konkreter, terminierter Plan mit Jahreszahlen.

Die Kommission wird 2026 eine Technology Roadmap zur Verschlüsselung vorlegen, die Lösungen für den rechtmäßigen Zugriff der Strafverfolgung auf verschlüsselte Daten identifizieren und bewerten soll; zusätzlich wird die Erforschung neuer Entschlüsselungskapazitäten unterstützt, um Europol ab 2030 mit Entschlüsselungstechnologie der nächsten Generation auszustatten.

Konkretes Datum: 2026 kommt der Fahrplan, ab 2030 soll die europäische Polizeibehörde bessere Werkzeuge haben, um Verschlüsselung zu knacken. Das ist kein "vielleicht irgendwann" — es gibt eine Timeline.

Am 26. Mai 2025 veröffentlichten 89 zivilgesellschaftliche Organisationen, Unternehmen und Cybersicherheitsexperten, darunter Mitglieder der Global Encryption Coalition, einen gemeinsamen Brief an die Europäische Kommission zu den Auswirkungen der ProtectEU-Strategie auf Ende-zu-Ende-Verschlüsselung. Auch die EFF (Electronic Frontier Foundation) gehörte zu den Unterzeichnern.

Eine breite, internationale Koalition — nicht nur "Privacy-Aktivisten", sondern auch Unternehmen und anerkannte Sicherheitsexperten — warnt gemeinsam vor diesem Plan. Das ist ein starkes Signal, dass die Kritik fachlich breit getragen wird.

Die EFF stellt klar: Es gibt keinen technischen "rechtmäßigen Zugriff" auf Ende-zu-Ende-verschlüsselte Nachrichten, der Sicherheit und Privatsphäre gleichzeitig erhält. Jeder Versuch, Verschlüsselung zu umgehen — etwa durch Client-Side-Scanning — schafft neue Schwachstellen und bedroht genau die Menschen, die Regierungen zu schützen behaupten.

Eine international anerkannte technische Organisation erklärt den Kernwiderspruch einfach: Man kann nicht "nur für die Polizei" eine Hintertür in Verschlüsselung einbauen — jede Hintertür ist auch für Kriminelle und fremde Geheimdienste offen. Das ist technisches Fachwissen, keine Meinung.

In allen bislang gesichteten offiziellen ProtectEU-/Going-Dark-Dokumenten (Roadmap, Kommissionsseite, HLG-Empfehlungen) taucht ein VPN-*Verbot* nicht als konkreter Programmpunkt auf — der Fokus liegt auf Vorratsdatenspeicherung, Entschlüsselung und rechtmäßigem Zugriff. Bestätigt die bisherige Einordnung aus dem Gefahrenplan: VPN-Diskussion findet in angrenzenden Papieren statt, aber kein Gesetzesvorhaben identifiziert.

Wichtige Ehrlichkeits-Note für Blackstone: Nach dieser Recherche gibt es weiterhin keinen Beleg für ein konkretes VPN-Verbotsvorhaben. Was real ist: ein sehr konkreter Plan, Verschlüsselung generell zu schwächen — das betrifft VPNs indirekt mit, ist aber etwas anderes als ein VPN-Verbot.

Es gibt zwei rechtlich unterschiedliche Einsatzszenarien: Quellen-TKÜ fängt Kommunikation (z.B. WhatsApp, Signal, Telegram) direkt auf dem Gerät ab, bevor sie verschlüsselt wird oder nachdem sie entschlüsselt wurde — Ziel ist das Mitlesen laufender Kommunikation. Die Online-Durchsuchung ist der tiefere Eingriff: Behörden dürfen theoretisch das gesamte System durchsuchen, auch alte Dateien und Festplatteninhalte, die lange vor der Installation gespeichert wurden.

Wichtige Grundlagenunterscheidung für Blackstones Artikel: "Staatstrojaner" ist ein Sammelbegriff für zwei rechtlich unterschiedlich schwerwiegende Maßnahmen — die laufende Kommunikation mitlesen (Quellen-TKÜ) ist etwas anderes als das gesamte Gerät samt Vergangenheit zu durchsuchen (Online-Durchsuchung, umgangssprachlich "großer Staatstrojaner"). Direkter Bezug zu A5 (Going Dark): Das ist die technische Umsetzung dessen, was dort als "Client-Side-Scanning"-Alternative diskutiert wird.

Der EuGH erlaubt Mitgliedstaaten, Internetanbietern eine allgemeine und unterschiedslose Speicherpflicht für IP-Adressen zur Bekämpfung von Straftaten aller Art aufzuerlegen, sofern eine strikte Trennung von IP-Adressen und sonstigen personenbezogenen Daten gewährleistet ist.

Der EuGH hat seine bisherige strengere Linie gelockert: IP-Adressen dürfen künftig auch bei kleineren Straftaten pauschal gespeichert werden. Belegt NICHT, dass Deutschland eine solche Speicherpflicht bereits gesetzlich umgesetzt hat.

Am 9.7.2026 stimmte das EU-Parlament über die Chatkontrolle ab: 314 von 276 Gegenstimmen erreichten nicht die nötige absolute Mehrheit; Parlament verabschiedete Position mit Ausnahme für E2E-Verschlüsselung.

Chatkontrolle nicht gestoppt, sondern mit Ausnahme für verschlüsselte Chats weiterverhandelt. Belegt NICHT eine finale Verabschiedung.

Das BSI empfiehlt S/MIME primär für Behörden/Unternehmen, OpenPGP eher privat, hebt automatisierten Schlüsselaustausch via WKD/WKS hervor.

Offizielle BSI-Empfehlung, kein gesetzlicher Zwang zur E-Mail-Verschlüsselung.

Signal führt mit PQXDH ein Upgrade ein, das klassischen Diffie-Hellman-Austausch mit Post-Quanten-Verfahren CRYSTALS-Kyber kombiniert, schützt gegen 'Harvest now, decrypt later'.

Signal war erster großer Messenger mit Post-Quanten-Schutz. Herstellereigene Ankündigung, keine unabhängige Prüfung.

Offizielles Ratsdokument im Gesetzgebungsverfahren zur Chatkontrolle-Verordnung, Teil laufender Trilog-Verhandlungen.

Technisches Verhandlungsdokument, dient als Beleg für Verfahrensstand, nicht für inhaltliche Details.

Apple stellte E2E-Verschlüsselung für iCloud-Backups für neue UK-Nutzer ein nach behördlicher Technical Capability Notice.

Apple verweigerte Hintertür, schaltete Funktion stattdessen ab. Wortlaut der Anordnung nicht öffentlich.

EU-Parlament verlängerte freiwillige Chatkontrolle 1.0 bis 2028; verpflichtendes Client-Side-Scanning weiter blockiert nach gescheitertem fünften Trilog.

Laufender Stand der Chatkontrolle-Verhandlungen Juli 2026.

Russland blockierte WhatsApp vollständig (~100 Mio. Nutzer), bewirbt unverschlüsselten Staats-Messenger 'Max' als Ersatz.

Vollständige WhatsApp-Sperre in Russland.

74 Behördenanfragen 2025 (60 aus Deutschland), rund ein Drittel abgelehnt, häufigster Grund unverschlüsselte Übermittlung.

Vergleichbare Berichte anderer Anbieter (z.B. Gmail) fehlen.

220 Behördenanfragen H2 2025, ca. 75% abgelehnt, nie NSL oder FISA-Anordnung erhalten.

Ob abgelehnte Anfragen später anderweitig durchgesetzt wurden, nicht belegt.

85 Behördenanfragen 2025, keine Bestandsdatenauskünfte herausgegeben, nur 2 Fälle TKÜ per Gerichtsbeschluss.

Posteo speichert grundsätzlich keine personenbezogenen Daten/IP-Adressen.

E-Mail-Anbieter ist kein 'digitaler Dienst' nach §21 TDDDG, unterliegt TKG, schuldet keine Bestandsdatenauskunft an Private.

Betrifft nur zivilrechtliche Anfragen, nicht Strafverfolgungsbehörden.

Behördenanfragen an Telegram in Frankreich von 4 (Q1 2024) auf 668 (Q1 2025) gestiegen, nach Durov-Verhaftung.

Dauerhaftigkeit der Kooperation nicht belegt.

Telegram zählt nur aktive Nutzer öffentlicher Gruppen, um unter DSA-Schwelle von 45 Mio. EU-Nutzern zu bleiben.

Tatsächliche Gesamtnutzerzahl nicht belegt.

Signal-Präsidentin Whittaker droht mit Marktrückzug aus Schweden bei geplantem Verschlüsselungs-Backdoor-Gesetz.

Ob Gesetz verabschiedet wurde, nicht belegt.

EU-Kommission plant Vorratsdatenspeicherung inkl. Messenger-Metadaten, 16 von 37 Staaten verlangen SIM-Registrierung.

Offizieller Gesetzesvorschlag stand noch aus.

WhatsApp sammelt unabschaltbare Metadaten, mind. 13 Meta-Bibliotheken, ~1.500 Ingenieure hatten Datenzugriff.

Chat-Inhalte bleiben laut Bericht verschlüsselt.

EU-Staaten favorisieren 6-12 Monate Speicherung von Messenger-Metadaten, Kommissionsvorschlag für Mitte 2026 erwartet.

Genauer Gesetzestext noch nicht vorliegend.

EU-Parlament verfehlt Mehrheit gegen freiwillige Chatkontrolle, E2E-verschlüsselte Dienste bleiben ausgenommen.

Verpflichtende Chatkontrolle 2.0 verhandelt weiter parallel.