Quellen-Tabelle

Eine Evaluation der bisherigen freiwilligen Chatkontrolle ergab eine "Trefferquote" von lediglich etwa 7,7 Milliardstel aller gescannten Nachrichten — dies, obwohl das Europäische Parlament die Verlängerung zuvor zweimal abgelehnt hatte, bevor sie letztlich per Eilverfahren durchgesetzt wurde.

Das wäre, falls verifizierbar, die bislang wichtigste Einzelzahl im gesamten A1-Dossier: Eine Trefferquote von 7,7 Milliardstel würde bedeuten, dass von einer Milliarde gescannter Nachrichten im Schnitt nur etwa 7-8 tatsächlich relevant waren — eine extrem geringe Präzision im Verhältnis zur Menge der durchsuchten privaten Kommunikation. Wichtiger Vorbehalt: Diese Zahl stammt aus einem klar meinungsorientierten Medium (Tichys Einblick) ohne direkten Link zur Original-Evaluationsstudie. Bevor sie in einem Blackstone-Artikel prominent verwendet wird, MUSS die zugrundeliegende offizielle EU-Evaluation identifiziert und die Zahl dort direkt verifiziert werden — sonst bestünde das Risiko, eine möglicherweise verzerrte oder falsch wiedergegebene Zahl zu übernehmen. Dies widerspräche Blackstones Kernprinzip der Quellenpräzision.

Am 9. Juli stimmte das EU-Parlament über die Chatkontrolle ab, zwei Tage nachdem es mit 314 zu 276 Stimmen ein Eilverfahren dafür durchgewunken hatte. Wichtige Klarstellung: Die am meisten gefürchtete Frage — verpflichtendes Client-Side-Scanning — ist Stand jetzt NICHT Teil des aktuellen Entwurfs; der Rat hat diese Passage bereits im November 2025 aus seiner Position gestrichen. Schlagzeilen wie "Chatkontrolle killt Ende-zu-Ende-Verschlüsselung" geben den aktuellen Verhandlungsstand nicht korrekt wieder.

Sehr wichtige Einordnung für Blackstones Präzisionsanspruch: Die dramatischste, meistgefürchtete Variante (verpflichtendes Scannen auf dem Gerät) steht laut dieser Analyse aktuell NICHT zur Debatte — auch wenn das in vielen reißerischen Schlagzeilen anders klingt. Für A1 wichtig: Bei jeder Verwendung des Begriffs "Chatkontrolle" präzise zwischen der jetzt in Kraft getretenen freiwilligen Regelung und der weiterhin verhandelten, aber entschärften dauerhaften Verordnung unterscheiden.

Die Institutionen haben sich laut geleakten Verhandlungsprotokollen "vorläufig" darauf geeinigt, verschlüsselte Inhalte aus dem Gesetz auszunehmen — kein Client-Side-Scanning. Verbleibende Streitpunkte: Müssen Anbieter scannen oder dürfen sie nur? Und: Nur Inhalte Verdächtiger oder generell aller Nutzer?

Bestätigt und präzisiert die Entschärfung der Verschlüsselungsfrage aus der vorherigen Quelle mit einem konkreten Datum (Mai/Juni 2026). Die verbliebene Debatte ist trotzdem noch bedeutsam — der Unterschied zwischen "generell alle" und "nur Verdächtige" ist der Kern der Generalverdacht-Frage, die Blackstones Kritik weiterhin berechtigt trägt.

Der nächste politische Trilog ist für den 29. September 2026 vorgesehen — der Vorsitz ist zwischenzeitlich von Zypern auf Irland übergegangen. Deutschlands Position: nicht grundsätzlich gegen verpflichtende Chatkontrolle, "solange sie eine ergänzende Maßnahme zu freiwilligen Durchsuchungen darstellt" — der Umfang der freiwilligen Chatkontrolle solle "nicht eingeschränkt werden".

Wichtiges konkretes Datum für die Redaktionsplanung: 29. September 2026 ist der nächste bekannte Verhandlungstermin — sollte in den Blackstone-Redaktionskalender als Beobachtungspunkt aufgenommen werden. Zusätzlich wichtig: Deutschlands offizielle Verhandlungsposition ist differenzierter als oft dargestellt — nicht kategorische Ablehnung von verpflichtenden Elementen, sondern eine "Ergänzung statt Ersatz"-Position.

Die EU-Kommission ist gesetzlich verpflichtet, die Verhältnismäßigkeit der freiwilligen Massen-Scans zu untersuchen, veröffentlichte den fälligen Bericht aber erst mit vier Monaten Verspätung. Der Bericht selbst räumt eine "Unzulänglichkeit der Daten" ein, stuft die Massenüberwachung aber trotzdem als verhältnismäßig ein — die Berichte der Mitgliedstaaten würden weiterhin auf "unvollständigen und fragmentierten" Daten beruhen. Bereits 2023 war ein erster Versuch an denselben Datenproblemen gescheitert.

Das ist die Original-Primärquelle für die Trefferquoten-Zahl aus Batch 74 — ein echter, offizieller (wenn auch verspäteter) EU-Kommissionsbericht, nicht nur eine Meinungsmedium-Behauptung. Wichtige Nuance: Der Bericht selbst räumt Datenprobleme ein, kommt aber TROTZDEM zum Schluss "verhältnismäßig" — ein logischer Widerspruch, den auch die Kommission selbst nicht auflösen kann. Die Kommission wollte laut netzpolitik.org zudem keine weiteren Fragen dazu beantworten.

Insgesamt sei nur 0,000002735% der weltweit gescannten Nachrichten illegales Material, in der EU sogar nur 0,00000077% — die EU-Kommission räumt in dem Bericht selbst ein, dass sie auch nach mehreren Jahren keine Nachweise für die Verhältnismäßigkeit der Massenüberwachung hat.

Präzisere Version der "7,7 Milliardstel"-Zahl mit exaktem Dezimalwert und wichtigem Zusatz: In der EU ist die Quote sogar noch niedriger als weltweit (0,00000077% vs. 0,000002735%). Diese Version ist besser zitierfähig, da die exakten Zahlen genannt werden, statt einer gerundeten Umschreibung.

Breyer zitiert eine Aussage der damaligen EU-Innenkommissarin Ylva Johansson vor den EU-Innenministern: "Nur mit jedem vierten ausgeleiteten Privatfoto oder -video kann die Polizei überhaupt etwas anfangen, zu 75% gelangen durch die Chatkontrolle strafrechtlich völlig irrelevante private und intime Bilder und Videos in Hände von Mitarbeitern, bei denen sie nicht sicher sind."

Möglicherweise noch eindrücklicher als die 7,7-Milliardstel-Zahl: Wenn dieses Zitat korrekt ist, hätte die zuständige EU-Kommissarin selbst eingeräumt, dass drei von vier ausgeleiteten privaten Bildern für die Polizei irrelevant sind — private, intime Aufnahmen landen dann bei Content-Moderatoren, ohne dass Sicherheit über deren Umgang damit besteht. Wichtig: Dies ist ein Zitat, das von einem Kritiker (Breyer) wiedergegeben wird — für höchste Präzision sollte nach Möglichkeit die Original-Quelle des Johansson-Zitats (Protokoll der Innenminister-Sitzung) noch verifiziert werden, bevor es ohne Einschränkung übernommen wird.

Anders als vor dem Auslaufen der Ausnahmeregelung teilweise behauptet, sind die Meldungen von Verdachtsfällen an das BKA nicht eingebrochen. Das BKA erklärte gegenüber netzpolitik.org: "Ein konkreter Zusammenhang mit dem Wegfall der Interims-Verordnung kann bisher nicht festgestellt werden."

Wichtiger Kontrastpunkt zu Batch 73 (BKA-Präsident Münch warnte dort vor einer "Lücke bei Erkennung und Meldung"): Diese Quelle zeigt eine differenziertere, möglicherweise sogar leicht widersprüchliche Aussage derselben Behörde — konkret nachweisbar sei der befürchtete Einbruch bisher nicht. Für Blackstones Präzisionsanspruch wichtig: Beide BKA-Aussagen sollten nebeneinander dargestellt werden (allgemeine Warnung vor Lücke vs. konkret keine nachweisbare Auswirkung auf Meldezahlen) — das zeigt eine Behörde, die zwischen genereller Sorge und tatsächlich messbaren Daten unterscheidet, was für Blackstones Wirksamkeits-Debatte (F4) sehr wertvoll ist.

Für den Zeitraum zwischen dem Auslaufen der alten Regelung im April 2026 und der Wiederherstellung im Juli 2026 gilt: Anbieter, die weiterhin scannten, taten dies OHNE EU-rechtliche Ausnahmegenehmigung — für diesen Zeitraum bestehen fortbestehende Datenschutzrisiken, die durch die spätere Entscheidung NICHT rückwirkend geheilt werden. Für Ende-zu-Ende-verschlüsselte Dienste ändert die Entscheidung nichts — die Zwischenregelung schließt verschlüsselte Kommunikation nun sogar ausdrücklich aus.

Wichtiger juristischer Detailpunkt: Es gibt eine rechtliche "Grauzone-Periode" (April-Juli 2026), in der Anbieter, die weiterscannten, dies ohne gültige Rechtsgrundlage taten — mit potenziell fortbestehenden rechtlichen Konsequenzen. Für Blackstone relevant als Beispiel, wie unübersichtlich und rechtlich riskant solche Übergangsphasen für alle Beteiligten sein können — auch für die Anbieter selbst, nicht nur für Nutzer.

EU-Kommissarin Ylva Johansson musste in einer Runde der EU-Innenminister einräumen, dass die Quote der Falschmeldungen bei rund 75 Prozent liegen würde. Bei rund zehn Milliarden Nachrichten, die täglich in der EU verschickt werden, müssten schon bei einer Meldequote von nur 0,001 Prozent täglich 100.000 Nachrichten überprüft werden.

Der offene Verifikationspunkt aus Batch 75 ist damit erfüllt: Ein zweites, von Breyer und netzpolitik.org unabhängiges Fachmedium bestätigt dasselbe Zitat — die 75%-Falschmeldequote kann jetzt als belastbarer Fakt gelten, nicht nur als Kritiker-Wiedergabe. Zusätzlich eine sehr konkrete Verhältniszahl: Selbst bei einer winzigen Trefferquote von 0,001% wären täglich 100.000 Nachrichten zu prüfen — ein anschauliches Beispiel für die Skalierungsproblematik bei Massenüberwachung.

Die irische Polizei kommt nach eigenen Angaben zu einem noch ernüchternderen Ergebnis: Lediglich 9,7 Prozent aller NCMEC-Verdachtsmeldungen im Jahr 2020 seien für sie verwertbar gewesen — also 90,3% unbrauchbar. Bei der Schweizer Polizei waren im gleichen Zeitraum rund 80 Prozent der Meldungen irrelevant.

Sehr wichtiger Fund — diese Zahlen sind sogar noch dramatischer als die EU-Kommissions-eigenen Zahlen und stammen direkt von operativen Polizeibehörden zweier verschiedener Länder: Irland (90,3% unbrauchbar) und die Schweiz (80% irrelevant) bestätigen unabhängig voneinander ein sehr ähnliches Muster wie die EU-weiten Zahlen. Das ist ein außergewöhnlich gut abgesichertes Wirksamkeits-Argument für A1 — drei unabhängige Quellen (EU-Kommission, irische Polizei, Schweizer Polizei) kommen zu vergleichbaren Ergebnissen.

Der Artikel bezeichnet sich selbst als "Faktencheck" zu einem SPIEGEL-Interview mit Johansson und wirft ihr vor, "drei Mal die Unwahrheit" zu sagen und "mindestens sieben Mal irreführende Aussagen" zu verbreiten.

Wichtig zur Einordnung der Gesamtdebatte: Es gibt eine dokumentierte Geschichte wiederholter Kritik an der Kommunikation der zuständigen Kommissarin durch ein Fachmedium mit Faktencheck-Anspruch. Für Blackstone WICHTIG: Diese Quelle selbst ist erkennbar kritisch positioniert (netzpolitik.org vertritt klar eine Anti-Chatkontrolle-Linie) — der reine Fakt "es gab wiederholte Faktenchecks mit kritischem Ergebnis" ist verwendbar, die reißerische Formulierung "führt in die Irre" sollte aber nicht unreflektiert als Blackstones eigene Einschätzung übernommen werden.

Ylva Johansson war vom 1. Dezember 2019 bis 30. November 2024 EU-Kommissarin für Inneres, ihr folgte Magnus Brunner nach.

Wichtiger Personalwechsel-Fakt für die zeitliche Einordnung: Die zitierten Johansson-Aussagen (75%-Quote) stammen aus ihrer Amtszeit bis Ende 2024 — seit Dezember 2024 ist mit Magnus Brunner (bereits in Batch 27 als aktuell zuständig erwähnt) eine neue Person für das Dossier verantwortlich. Für Blackstone-Artikel wichtig, bei Zitaten das jeweilige Amtsdatum korrekt zuzuordnen, um keine veraltete Personalzuordnung zu verwenden.

Schrems: "Die unkontrollierte Verbreitung von Gesichtserkennungs-Tools wie PimEyes ist verheerend für die Privatsphäre: Stalking und Massenüberwachung von Millionen Menschen lassen sich binnen Sekunden durchführen. PimEyes hat Milliarden biometrischer Datenpunkte unschuldiger Menschen ohne deren Wissen gesammelt und macht diese Daten für jeden verfügbar." Die Hamburger Behörde selbst stuft die Praktiken als rechtswidrig ein, sieht sich aber laut noyb nicht in der Lage, wirksam durchzugreifen.

Bemerkenswerter Fall: Selbst die zuständige Aufsichtsbehörde hält PimEyes für rechtswidrig — trotzdem passiert seit Jahren nichts. Das ist kein Fall von unklarer Rechtslage, sondern von Durchsetzungsversagen bei eindeutig als illegal eingestufter Praxis. Wichtig für Blackstones Argumentation: Manchmal ist nicht das Gesetz das Problem, sondern die fehlende Durchsetzung — eine wichtige Nuance gegenüber Dossiers, die neue Gesetze kritisieren.

Laut noyb hat die Aufsichtsbehörde das Unternehmen zwar per Brief kontaktiert, weigert sich aber, weitere Maßnahmen zu ergreifen, weil der Firmensitz offenbar in Dubai liegt — obwohl sie die Praktiken von PimEyes selbst für illegal hält.

Konkreter Grund für die Untätigkeit: Die Behörde begründet ihre Passivität mit dem Auslandssitz des Unternehmens. Wichtig für Blackstones Präzision: Der CCC (Batch 78-Kontext) stellt dazu klar, dass die DSGVO nach dem Marktortprinzip trotzdem anwendbar wäre — der Sitz in Dubai wäre demnach keine wirkliche rechtliche Ausrede, sondern eher eine Bequemlichkeits-Begründung.

Ob PimEyes oder andere Anbieter in der EU, auf den Seychellen oder sonstwo niedergelassen sind, spielt keine Rolle — die DSGVO ist nach dem Marktortprinzip anwendbar. An den aktuellen Plänen der Bundesregierung zur biometrischen Massenüberwachung wird sichtbar, dass jahrelange behördliche Inaktivität gegenüber offensichtlich rechtswidrigen Anbietern nicht nur deren Weiterexistenz ermöglicht, sondern solche Praktiken so weit normalisiert, dass sie nun quasi Vorbild für ein grundrechtsfeindliches Gesetz werden sollen.

Sehr wichtige Verbindung zwischen D4 und D5: Der CCC argumentiert, dass die jahrelange Duldung von PimEyes durch die Behörden die gesellschaftliche Normalisierung biometrischer Gesichtserkennung vorangetrieben hat — und damit indirekt den Weg für die in D4 dokumentierte staatliche Gesichtserkennung (Frankfurt, Bundespolizeigesetz-Reform) bereitet haben könnte. Diese These ist eine Einordnung, keine bewiesene Kausalität — sollte im Blackstone-Artikel entsprechend als Interpretation gekennzeichnet werden, aber als plausibler thematischer Zusammenhang zwischen den beiden Dossiers erwähnt werden.

Bereits im Dezember 2022 eröffnete der Landesbeauftragte für Datenschutz Baden-Württemberg ein Bußgeldverfahren gegen PimEyes — parallel gab es bereits seit Mai 2021 Prüfverfahren in Hamburg. Über vier Jahre später (Stand dieser Recherche, 2026) ist noch immer keine wirksame Maßnahme umgesetzt.

Sehr wichtiger Zeitfakt: Es geht hier nicht um ein neues Problem — bereits 2021/2022 begannen zwei verschiedene deutsche Landesbehörden Verfahren gegen PimEyes. Über vier Jahre später läuft das Unternehmen weiterhin ungehindert. Das ist ein außergewöhnlich langer Zeitraum behördlicher Untätigkeit trotz erkannter Rechtswidrigkeit — ein sehr konkretes Beispiel für strukturelles Durchsetzungsversagen im deutschen/europäischen Datenschutzrecht.

Der EDPB-Jahresbericht 2025 verzeichnete insgesamt 1.145.760.374 Euro an DSGVO-Bußgeldern durch nationale Datenschutzbehörden europaweit in nur einem Jahr; Deutschlands kombinierte Behördenmaßnahmen ergaben 499 Bußgelder mit einer Gesamtsumme von 48.117.083 Euro.

Wichtiger Kontext zur Einordnung: DSGVO-Durchsetzung findet grundsätzlich statt — über eine Milliarde Euro Bußgelder EU-weit in einem Jahr ist keine kleine Zahl. Das relativiert den PimEyes-Fall: Es ist nicht so, dass Datenschutzbehörden generell untätig wären, sondern dass ausgerechnet bei diesem konkreten, besonders eingriffsintensiven Fall eine Lücke besteht — eine wichtige Differenzierung für einen fairen Blackstone-Artikel.

Bereits unter der Ampelregierung wurde das Vorhaben, biometrische Daten mit Internetdaten abzugleichen, aus der Zivilgesellschaft kritisiert — Innenminister Dobrindt und Justizministerin Hubig legen nun ein entsprechendes Sicherheitspaket vor.

Sehr wichtige Einordnung für Blackstones Präzision: Der Titel "PimEyes für Behörden" ist eine journalistische Zuspitzung, aber inhaltlich treffend — der Vorschlag würde Sicherheitsbehörden genau die Fähigkeit geben, die bei PimEyes (D5) als privatwirtschaftliche Praxis kritisiert wird. Wichtig: Das Grundvorhaben reicht bis in die Vorgängerregierung zurück — es ist keine reine "neue Regierung, neue Überwachung"-Geschichte, sondern eine Kontinuität über Koalitionswechsel hinweg.

Das Gesetzespaket soll BKA und Bundespolizei erlauben, Personen anhand biometrischer Daten in "öffentlich zugänglichen Daten aus dem Internet" zu suchen — nicht nur Verdächtige, sondern auch "Kontaktpersonen, Opfer und Zeugen". Auch das BAMF soll Fotos von Asylsuchenden mit Gesichter-Suchmaschinen im Internet abgleichen. dju-Co-Vorsitzender Hansen warnt zudem um das Redaktionsgeheimnis der Medien als Voraussetzung für demokratische Kontrolle.

Sehr wichtiger Fund, direkt vergleichbar mit der D3-Kritik (Palantir-Verfassungsbeschwerde): Auch hier sollen nicht nur Verdächtige, sondern ausdrücklich auch Opfer und Zeugen erfasst werden können — dasselbe Muster wie beim GFF-Vorwurf gegen Palantir in Bayern. Neuer, noch nicht dokumentierter Aspekt: Eine besondere Betroffenengruppe sind Asylsuchende, deren Fotos vom BAMF mit Internet-Gesichtssuchmaschinen abgeglichen werden sollen — eine Bevölkerungsgruppe mit typischerweise eingeschränkteren Möglichkeiten, sich rechtlich zu wehren.

Das Sicherheitspaket 2.0 wurde Ende April 2026 vom Bundeskabinett beschlossen und bündelt drei Gesetzentwürfe: automatisierte Datenanalyse, biometrischer Internetabgleich, und "Testen und Trainieren" von KI-Systemen — dafür werden BKA-Gesetz und Bundespolizeigesetz angepasst. Besonders brisant: präventive Quellen-TKÜ (Staatstrojaner) sowie biometrische Videoüberwachung, offiziell unter Ausschluss von Online-Durchsuchungen — was der Artikel als "reine Farce" bezeichnet.

Wichtigster struktureller Fund dieses Batches: Das Sicherheitspaket 2.0 ist der Dachbegriff, unter dem sich mehrere bereits einzeln dokumentierte Blackstone-Themen bündeln — A8 (Staatstrojaner/Quellen-TKÜ), D3 (automatisierte Datenanalyse à la Palantir), D4 (biometrische Videoüberwachung) und D5 (biometrischer Internetabgleich à la PimEyes) sind hier alle Teil EINES zusammenhängenden Gesetzespakets, nicht vier unabhängige Entwicklungen. Wichtig: Die reißerische "reine Farce"-Bewertung zur Ausnahme für Online-Durchsuchungen ist eine Meinung der Quelle und sollte nicht unreflektiert übernommen werden — der Fakt selbst (Ausschluss von Online-Durchsuchungen im Gesetzestext) ist aber verwendbar.

Die im Juli 2026 verabschiedete Bundespolizeigesetz-Novelle erlaubt KI-basierte Videotechnik zur Personensuche, biometrische Erkennungssysteme sowie Quellen-Telekommunikationsüberwachung für die Bundespolizei — ergänzt um mobile Sensoreinheiten und erweiterte Meldeauflagen. Die Reform folgt zeitlich auf sicherheitspolitische Ankündigungen beim NATO-Gipfel in Ankara, wo Bundeskanzler Merz am 9. Juli die Beschaffung von US-Tomahawk-Marschflugkörpern verkündete.

Wichtige Verbindung: Die in D4 bereits dokumentierte Bundespolizeigesetz-Reform (Batch 71) enthält laut dieser Quelle AUCH Quellen-TKÜ-Befugnisse für die Bundespolizei — bisher war A8 (Staatstrojaner) nur auf Landesebene/allgemeine Strafverfolgung bezogen dokumentiert. Das zeigt: Auch der Staatstrojaner-Bereich wird auf eine neue Bundesbehörde ausgeweitet. Der NATO-Kontext (Aufrüstung) verdeutlicht zudem, dass diese innenpolitischen Maßnahmen in eine breitere sicherheitspolitische Zeitenwende eingebettet sind.

Das Budget des Bundesinnenministeriums soll 2026 auf rund 15,4 Milliarden Euro steigen — über 1 Milliarde Euro mehr als im Vorjahr, mit weiteren rund 2,6 Milliarden Euro jährlich in den Folgejahren. Für Innere Sicherheit sind rund 7,6 Milliarden Euro vorgesehen (plus 778 Mio. Euro), die Bundespolizei erhält 113 Millionen Euro zusätzlich; fast 1.700 neue Stellen sind geplant.

Wichtige finanzielle Größenordnung für A9: Diese Zahlen zeigen, dass die in A8/D3/D4/D5/A9 dokumentierten Befugnis-Erweiterungen mit einer sehr realen, milliardenschweren Haushaltsausweitung einhergehen — nicht nur rechtliche, sondern auch massive finanzielle Verstärkung der Sicherheitsbehörden. Für Blackstones Artikel wichtig als Kontext: Diese Gesetze werden nicht im Vakuum beschlossen, sondern parallel zu einer der größten Sicherheitsbehörden-Haushaltssteigerungen der letzten Jahre.

127 zivilgesellschaftliche Organisationen, Gewerkschaften und Vertreter*innen des öffentlichen Interesses warnen: "Was als 'technische Vereinfachung' der EU-Digitalrechte dargestellt wird, ist in Wahrheit ein Versuch, Europas stärkste Schutzregeln gegen digitale Bedrohungen schrittweise und verdeckt abzubauen." Genannter Vorwurf: Dies geschehe "unter dem Radar, unter Verwendung von überstürzten und undurchsichtigen Verfahren, die darauf abzielen, eine demokratische Kontrolle zu umgehen."

Das ist der Original-Wortlaut des zentralen Protestbriefs, den Batch 58 nur über eine Sekundärquelle referenziert hatte — jetzt direkt verfügbar. Wichtig: Die Anzahl der Unterzeichner wuchs zwischen den verschiedenen Berichterstattungszeitpunkten (127 → später über 130) — normal bei einer offenen Unterschriftenliste, sollte im Artikel als "über 125" oder mit Datum angegeben werden, nicht als feste Zahl.

Die im Vorfeld geäußerten Befürchtungen haben sich laut ersten Analysen nach der offiziellen Vorstellung des Omnibus weitgehend bewahrheitet — die im Vorfeld befürchtete "Wunschliste" der großen Tech-Konzerne wurde demnach in wesentlichen Teilen tatsächlich übernommen.

Wichtiger Nachtrag zur zeitlichen Entwicklung: Die im November 2025 geäußerten Warnungen (127-Organisationen-Brief) waren zunächst Reaktionen auf einen geleakten Entwurf — dieser Artikel bestätigt aus Sicht der Kritiker, dass die finale, offizielle Fassung (19.11.2025 vorgestellt) die Befürchtungen weitgehend bestätigt statt entkräftet hat. Wichtig: Auch das ist eine Einschätzung von netzpolitik.org, keine neutrale Feststellung — sollte entsprechend attribuiert werden.