Quellen-Tabelle

Das Sicherheitspaket 2.0 wurde Ende April 2026 vom Bundeskabinett beschlossen und bündelt drei Gesetzentwürfe: automatisierte Datenanalyse, biometrischer Internetabgleich, und "Testen und Trainieren" von KI-Systemen — dafür werden BKA-Gesetz und Bundespolizeigesetz angepasst. Besonders brisant: präventive Quellen-TKÜ (Staatstrojaner) sowie biometrische Videoüberwachung, offiziell unter Ausschluss von Online-Durchsuchungen — was der Artikel als "reine Farce" bezeichnet.

Wichtigster struktureller Fund dieses Batches: Das Sicherheitspaket 2.0 ist der Dachbegriff, unter dem sich mehrere bereits einzeln dokumentierte Blackstone-Themen bündeln — A8 (Staatstrojaner/Quellen-TKÜ), D3 (automatisierte Datenanalyse à la Palantir), D4 (biometrische Videoüberwachung) und D5 (biometrischer Internetabgleich à la PimEyes) sind hier alle Teil EINES zusammenhängenden Gesetzespakets, nicht vier unabhängige Entwicklungen. Wichtig: Die reißerische "reine Farce"-Bewertung zur Ausnahme für Online-Durchsuchungen ist eine Meinung der Quelle und sollte nicht unreflektiert übernommen werden — der Fakt selbst (Ausschluss von Online-Durchsuchungen im Gesetzestext) ist aber verwendbar.

Neu aufgebaute Predator-Spyware-Infrastruktur mit 81 Domains/82 IPs, aktiv in mind. 11 Ländern trotz Enthüllungen 2023.

Trotz Aufdeckung baute Spyware-Anbieter Netzwerk neu auf. Belegt NICHT deutsche Betroffenheit.

NSO Groups Transparenzbericht 2025 lässt Angaben zu abgelehnten Kunden aus; Kritiker halten Bericht für unbelegte Fassade.

NSO versucht mit inhaltsarmem Bericht US-Marktzugang. Belegt NICHT tatsächlichen Umfang aktueller Pegasus-Einsätze.

IMEI kann bei jeder Mobilfunkverbindung miterfasst werden und zur Geräteverfolgung dienen, da sie im Gegensatz zur IP nicht per VPN maskierbar ist.

IMEI kann Geräte eindeutig identifizieren. Belegt NICHT aktuelle anlasslose IMEI-Speicherung in Deutschland.

FTC untersagte 2024 X-Mode Social, InMarket, Gravy Analytics, Mobilewalla den Verkauf präziser Standortdaten (u.a. zu Kliniken).

FTC-Verbote gegen Standortdatenhändler. Situation in Deutschland/EU nicht belegt.

Nur 15-30% der iOS-Nutzer erteilen ATT-Erlaubnis; Apple schloss mit iOS 26 Fingerprinting-Umgehungen, Frankreich verhängte 150 Mio. Euro Bußgeld gegen Apple wegen ATT-Umsetzung.

Belegt NICHT, ob alle Umgehungsmethoden inzwischen unterbunden sind.

Studie zu 40 Kindersicherungs-Apps: 17 von 20 App-Store-fremden Apps verbargen sich vor Nutzern, 3 übertrugen Daten unverschlüsselt.

Kindersicherungs-Apps oft technisch unsicher, teils aus Stalkerware-Umfeld.

Gesichtserkennung gegen Protestierende in mind. 78 Ländern, ~600 Festnahmen Russland seit 2021, ~8.000 Kameras Serbien.

Weltweiter Einsatz von Gesichtserkennung gegen Demonstranten.

Firma First Wap verlagert Überwachungstech-Betrieb nach Indonesien, um EU-Exportkontrollen zu umgehen.

Genaue Kundenliste nicht belegt.

Gesetzentwurf zu straf-/zivilrechtlichem Schutz vor digitaler Gewalt, Verbändeanhörung bis 22.05.2026.

Genauer Gesetzestext/Inkrafttreten noch offen.

On-Chain-Daten belegen, dass aus dem 2022er LastPass-Breach gestohlene Passwort-Tresore bis mind. Oktober 2025 genutzt wurden, über 35 Mio. USD Krypto-Diebstahl.

Attribution zu russischen Akteuren stützt sich auf Indizien, nicht auf letztgültige forensische Identifikation.

Sammelklage wirft Life360 vor, präzise Standortdaten von Familien ohne wirksame Einwilligung an Datenhändler verkauft zu haben.

Beschreibt laufende US-Klage, kein abgeschlossenes Urteil.

Securitum bestätigte im fünften Jahresaudit, dass Proton-VPN-Server keine Browsing-Aktivitäten oder nutzeridentifizierbaren Metadaten protokollieren.

Audit prüft nur die vorgefundene Konfiguration, nicht dauerhafte Einhaltung.

Datatilsynet verhängte 6,5 Mio. Euro Bußgeld gegen Grindr für Weitergabe personenbezogener Daten ohne Einwilligung an Werbepartner.

Bußgeldhöhe wurde später gerichtlich angepasst.

CCC überlistete Iris-Scanner des Galaxy S8 mit ausgedrucktem Infrarotfoto und Kontaktlinse.

Demonstration eines einzelnen Geräts unter Laborbedingungen.

FTC verhängte gegen Epic Games (Fortnite) Rekordstrafe von 520 Mio. USD wegen COPPA-Verstößen und Dark Patterns.

Kanzlei-Analyse mit Eigeninteresse.

§§ 202a/202c StGB unterscheiden nicht zwischen kriminellen Hackern und ethischen Sicherheitsforschern.

Journalistischer Bericht, Reformstand kann sich geändert haben.

Fall Lilith Wittmann/CDU-connect-App 2021: Trotz ordnungsgemäßer Meldung stellte CDU Strafantrag nach § 202a StGB.

Fachblog eines Datenschutz-Dienstleisters.

Sicherheitsforscher veröffentlichte Tool, das per DLL-Injection entschlüsselte Recall-Screenshots ohne Admin-Rechte ausliest.

Einzelfallbericht über Proof-of-Concept-Tool.

Bei jeder Kontrolle des personalisierten Deutschlandtickets werden Uhrzeit und Haltestelle zentral gespeichert, De-Anonymisierung möglich.

Journalistischer Meinungsartikel mit Kritikhaltung.

EuGH entschied in drei Vorabentscheidungen, dass StreamOn und Vodafone Pass wegen Drosselung gegen EU-Netzneutralitätsverordnung verstoßen.

Journalistische Zusammenfassung, kein Urteilsvolltext.

Bei sideloaded Kinderschutz-Apps wurden 9 von 20 als potenzielle Stalkerware eingestuft, drei übertrugen sensible Daten unverschlüsselt.

Kleine Stichprobe primär auf Android-Sideloading fokussiert.

Bei 285 jungen Erwachsenen korrelierte Life360-Nutzung positiv mit elterlicher Verbundenheit, Selbstwertgefühl war negativ mit elternseitig initiiertem Kontakt assoziiert.

Retrospektive Befragung, keine Längsschnittdaten aus der eigentlichen Tracking-Phase.