Quellen-Tabelle

Der erleichterte Einsatz von Staatstrojanern missachtete laut GFF frühere Vorgaben des Bundesverfassungsgerichts — die Gesetzesänderung verletze das "IT-Grundrecht" (Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme), das das BVerfG 2008 in einem eigenen Urteil entwickelt hatte.

Wichtiger rechtlicher Anknüpfungspunkt: Es gibt bereits seit 2008 ein eigenständiges, vom BVerfG entwickeltes Grundrecht speziell für die Integrität von Computersystemen — nicht erst seit den aktuellen Diskussionen. Die GFF hat als sachkundige Dritte an einem Verfahren mitgewirkt, das diese Grundrechte gegen die erleichterten Staatstrojaner-Regeln in Stellung bringt. Für Blackstone wichtig: Es gibt eine seit fast 20 Jahren bestehende, spezifische verfassungsrechtliche Grundlage für dieses Thema, die als Ausgangspunkt für ein Dossier dienen sollte.

Laufend aktualisierte Übersicht zu Klagen gegen Söldner-Spyware-Anbieter (NSO, Cytrox, Gamma, Paragon) in mehreren Ländern.

Öffentliche Liste bekannter Spyware-Klagen. Liefert kein abschließendes Urteil über Erfolg der Klagen.

Zwei BIRN-Journalistinnen am 14.02.2025 per Viber mit Pegasus-Spyware angegriffen, dritter dokumentierter Fall gegen serbische Zivilgesellschaft binnen zwei Jahren.

Angriffsversuch belegt, exakte staatliche Anordnungskette nicht zweifelsfrei.

Zero-Day-Broker Zerodium deaktivierte Januar 2025 seine Website, Status 'Defunct'.

Weiterarbeit im Verborgenen nicht belegt.

Seit TMG-Novelle 2017 (2024 ins DDG überführt) keine Registrierungspflicht für offene WLANs in Deutschland.

Rechtslage in anderen Ländern nicht abgedeckt.

Erster FIDO Passkey Index (9 große Anbieter): 93% Konten passkey-fähig, aber nur 36% aktiviert, 26% aller Logins über Passkeys.

Kleine, selbst ausgewählte Stichprobe, nicht repräsentativ fürs gesamte Web.

GoGuardian markiert bei 27 Mio. Schülern häufig harmlose Inhalte fälschlich als riskant, ermöglicht Webcam-/Bildschirmzugriff ohne echte Einwilligung.

Zahlen stammen von interessengeleiteter Organisation (EFF).

BSI kappte per Sinkholing Verbindung von bis zu 30.000 mit BadBox infizierten IoT-Geräten, die bereits mit vorinstallierter Schadsoftware ausgeliefert wurden.

Zahlen beziehen sich nur auf bekannte Fälle in Deutschland.

BKA und internationale Partner schalteten Botnetze Aisuru und Kimwolf ab, die Millionen kompromittierter Router/Webcams für DDoS missbrauchten.

Wie schnell Nachfolge-Botnetze entstehen, bleibt offen.

FBI/DOJ löschten KV-Botnet-Malware von veralteten SOHO-Routern, die von Volt Typhoon zur Verschleierung von Angriffen auf US-Infrastruktur genutzt wurden.

Nur akute Schadsoftware entfernt, zugrunde liegende Schwachstellen blieben bestehen.

EPRS-Papier beschreibt Anstieg der VPN-Nutzung zur Umgehung von Altersverifikationssystemen als mögliche Regulierungslücke.

Unverbindliches Arbeitspapier, keine beschlossene Position.

BSI stuft SMS-TAN und TOTP als phishing-anfällig ein, empfiehlt device-bound Passkeys (FIDO2) als phishing-resistente Alternative.

Kein explizites Veröffentlichungsdatum.

BSI erläutert, wie Passkeys durch kryptografische Bindung an Diensteadresse Phishing technisch verhindern.

Kein präzises Veröffentlichungsdatum.

CLOUD Act verpflichtet US-Cloud-Anbieter zur Herausgabe von Nutzerdaten an US-Behörden unabhängig vom Serverstandort, Spannungsverhältnis mit DSGVO.

Sekundärquelle, keine juristische Primärquelle.

Dating-Apps geben sensible Daten wie Standort und sexuelle Orientierung ohne transparente Einwilligung an Werbefirmen weiter.

Blogbeitrag einer Verbraucherschutzorganisation, keine unabhängige Verifikation der Rohdaten.

Bundesnetzagentur legt zulässige Identifizierungsverfahren für Prepaid-SIM-Legitimationspflicht fest.

Rein regulatorisches Verfahrensdokument, keine Wirksamkeitsbewertung.

Kein empirischer Nachweis für Zusammenhang zwischen SIM-Registrierungspflicht und Kriminalitätsreduktion, schafft aber Ausschlusseffekte für Menschen ohne Ausweisdokumente.

Positionspapier des Mobilfunkindustrieverbands mit eigenem Interesse.

Weltweite Ausbreitung verpflichtender SIM-Registrierung seit 2002 (2021: ~157 Staaten), untergräbt anonyme Kommunikation.

Advocacy-Organisation mit Anti-Überwachungs-Position.

Justizministerin plant neuen Straftatbestand § 201b StGB gegen Herstellung sexualisierter/ehrverletzender Deepfakes, nicht nur Verbreitung.

Gesetz war zum Zeitpunkt der Recherche noch nicht verabschiedet.

EU-Richtlinie kriminalisiert erstmals EU-weit nicht-einvernehmliche Verbreitung sexualisierter Deepfakes und Cyberflashing als Mindeststandard.

Umsetzungsfrist läuft erst bis Juni 2027.

Bayerisches Landesamt für Datenschutzaufsicht verpflichtet Worldcoin zu DSGVO-konformem Löschverfahren für Iris-Scans.

Rechtlicher Ausgang zum Zeitpunkt der Veröffentlichung offen.

§ 51 BMG erlaubt zweijährige Auskunftssperre im Melderegister bei Gefahr für Leben/Gesundheit/Freiheit, auch bei Stalking.

Reiner Gesetzestext ohne Wirksamkeitsangaben.

HateAid erklärt, wie Online-Drohungen durch einfache Melderegisterauskunft (7-15 Euro) real werden können und wie Auskunftssperre beantragt wird.

Praxisorientierter NGO-Ratgeber ohne Statistiken.

Louisianas Generalstaatsanwältin verklagte Roblox wegen fehlender Altersverifikation, 40% der 82 Mio. täglichen Nutzer unter 12 Jahre.

Klagevorwürfe, keine gerichtliche Feststellung.

BKA deanonymisierte im Boystown-Verfahren Verdächtige durch Timing-Korrelationsanalyse eigener Tor-Knoten kombiniert mit Bestandsdatenabfragen.

Beruht auf Panorama/STRG_F-Recherchen, keine vollständige Drittverifikation.