Quellen-Tabelle

Das indische Parlament warnte 2025 vor hohen Fehlerquoten bei der biometrischen Authentifizierung, die legitime Empfänger von Sozialleistungen ausschließen — Fingerabdrücke älterer Menschen, landwirtschaftlicher Arbeiter und durch körperliche Arbeit abgenutzter Haut werden vom System nicht erkannt. Das Parlamentskomitee (PAC) stellte fest: Verifikationsfehler führen zu ungerechtfertigtem Ausschluss von Sozialprogramm-Empfängern — mit teils tödlichen Folgen.

Das ist das konkreteste Warnbeispiel weltweit dafür, was passiert, wenn ein Staat ein zentrales biometrisches Identitätssystem für den Zugang zu Grundversorgung verpflichtend macht: Technische Fehlerquoten treffen die Schwächsten am härtesten — Menschen, deren Fingerabdrücke durch harte körperliche Arbeit verändert sind, verlieren den Zugang zu Nahrungsmittelhilfen. Wichtig für Blackstone: Das ist keine hypothetische Sorge, sondern ein dokumentierter, vom eigenen Parlament untersuchter Fall.

Aadhaar ist mit rund 134 Crore (1,34 Milliarden) aktiven Aadhaar-Inhabern das weltweit größte biometrische Identitätssystem und hat mehr als 16.000 Crore (160 Milliarden) Authentifizierungs-Transaktionen abgewickelt. Die Regierung erklärte im Parlament, dass bis heute kein Datenleck aus der zentralen UIDAI-Datenbank selbst erfolgt sei.

Wichtig für Fairness: Die Regierung selbst bestreitet, dass die zentrale Datenbank je gehackt wurde — sie schiebt gemeldete Lecks auf Missbrauch an einzelnen Zugangspunkten. Für Blackstone-Artikel wichtig, beide Seiten zu zeigen: die Regierungsposition UND die zahlreichen dokumentierten Einzelfälle (siehe andere Quellen) — der Streit dreht sich auch darum, was als "Datenbank-Breach" zählt.

Die häufigste Art von Sicherheitsverletzung bei Aadhaar betrifft die Vertraulichkeit — meist wird eine Teilmenge der Aadhaar-Daten öffentlich gemacht. Verletzungen der Integrität kommen ebenfalls häufig vor und beeinträchtigen die Qualität der zentralen Datenbank, meist durch einzelne unehrliche Insider oder gehackte Einzelkonten.

Eine unabhängige technische Analyse (nicht Aktivisten, nicht Regierung) bestätigt: Die Schwachstellen liegen oft nicht in der zentralen Datenbank selbst, sondern bei einzelnen Zugangspunkten und Mitarbeitern mit Zugriffsrechten — das deckt sich mit der Verteidigung der Regierung, zeigt aber gleichzeitig: Genau solche "Rand"-Schwachstellen sind bei einem derart riesigen System (1,3 Milliarden Menschen) kaum vollständig zu vermeiden.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

X-Road stellt trotz dezentraler Datenspeicherung in über 360 Datenbanken einen "Single Point of Failure" für den gesamten E-Government-Datentransfer dar; die proprietäre, patentierte Blockchain-Komponente ohne Open-Source-Material kann verborgene Schwachstellen aufweisen — wie die Krise von 2017 zeigte, bei der fast alle Karten (800.000) betroffen waren.

Wichtige Differenzierung, auch für Estland als "Vorbild": Selbst das oft gelobte estnische System hatte 2017 einen Sicherheitsvorfall, der praktisch alle ausgegebenen ID-Karten betraf. Kein System ist perfekt — aber wichtig ist, WIE transparent und schnell ein Land mit so einem Vorfall umgeht. Für einen fairen Blackstone-Artikel sollte dieser Vorfall nicht verschwiegen werden, nur weil Estland sonst positiv dasteht.

Île-de-France bietet 550.000 Studierenden und Mitarbeitenden eine souveräne Cloud-Kollaborationsplattform; das österreichische Wirtschaftsministerium und das österreichische Bundesministerium nutzen Nextcloud für sichere, souveräne Zusammenarbeit. Im selben Rückblick verlinkt Nextcloud einen eigenen Blogbeitrag mit dem Titel "The proposed EU Chat Control law is a threat to our democracy."

Sehr konkreter Beleg für "digitale Souveränität" in der Praxis, nicht nur als Konzept: Eine einzelne französische Region setzt Nextcloud für über eine halbe Million Menschen ein. Bemerkenswert und direkt relevant für Blackstone: Nextcloud selbst positioniert sich öffentlich gegen die Chatkontrolle (Dossier A1) — das Unternehmen ist also nicht nur ein neutrales Tool, sondern selbst ein Akteur in der Debatte, die Blackstone dokumentiert.

Die ROCA-Schwachstelle betraf die RSA-Schlüsselerzeugung in Chips des Herstellers Infineon, der über den estnischen ID-Karten-Zulieferer Gemalto (TRÜB Baltic) auch Estland belieferte. Weltweit waren schätzungsweise mindestens eine Milliarde Chips betroffen, darunter alle estnischen ID-Karten, die seit Herbst 2014 ausgegeben wurden. Estland widerrief die betroffenen Zertifikate. Estlands 800.000 betroffene ID-Karten stellen dabei nur einen verschwindend geringen Anteil an ROCAs weltweiter Auswirkung von mindestens 1 Milliarde betroffenen Chips dar — die Infineon-Chips wurden auch in Führerscheinen, Reisepässen, Zugangskarten und anderswo eingesetzt.

Wichtige Präzisierung für Blackstones bereits vorhandenen Estland-Eintrag (aus Batch 25): Der Fehler lag nicht im estnischen System selbst, sondern in einem global verbreiteten Hardware-Chip eines einzelnen Zulieferers (Infineon) — Estland war eines von vielen betroffenen Systemen weltweit, nicht ein spezifisch estnisches Versagen. Das relativiert die Kritik am estnischen System etwas, zeigt aber gleichzeitig ein noch größeres Problem: Eine einzelne fehlerhafte Chip-Generation kann weltweit über eine Milliarde Ausweisdokumente gleichzeitig verwundbar machen.

Die Regierung Estlands entschloss sich, sämtliche der betroffenen 760.000 Zertifikate dauerhaft in ihren Systemen zurückzuziehen und zu blockieren. Der ROCA-Angriff macht es möglich, RSA-Schlüssel mit vertretbarem Aufwand aus einem teilweise bekannten öffentlichen Schlüssel herauszurechnen — theoretisch könnten damit private Schlüssel und Zertifikate einzelner Nutzer für kriminelle Zwecke erzeugt werden.

Verständliche technische Erklärung, warum der Angriff funktionierte: Ein mathematischer Fehler bei der Schlüsselerzeugung, bekannt seit 1996 (Coppersmith-Methode), wieder aktuell geworden durch eine fehlerhafte Implementierung bei Infineon. Wichtig: "theoretisch möglich" — Estland betonte, es gebe keine Hinweise auf tatsächlichen Missbrauch, blockierte aber trotzdem vorsorglich.

Die Studie basiert auf einer thematischen Analyse von 32 semi-strukturierten Interviews mit 41 estnischen Experten, die eng in die Lösung des ROCA-Falls 2017 eingebunden waren, und untersucht drei Bereiche: staatliche politische Aufgaben und Verantwortlichkeiten, die Rolle der IT-Industrie bei der eID-Bereitstellung, sowie Chancen und Pflichten für Endnutzer. Die Studie schlägt einen Paradigmenwechsel im eID-Management vor, der digitale Identität als Bürgerrecht und ihre Bereitstellung als staatliche Pflicht begreift.

Das ist die wissenschaftlich fundierteste verfügbare Aufarbeitung des Falls — nicht nur "was ist passiert", sondern eine tiefgehende Analyse, wer im System eigentlich verantwortlich ist, wenn ein Zulieferer-Fehler ein ganzes staatliches System gefährdet. Der vorgeschlagene Rahmen (digitale Identität als Bürgerrecht, ihre sichere Bereitstellung als Staatspflicht) ist eine gute konzeptionelle Grundlage für Blackstones eigene Position zur EUDI-Wallet.

Seit dem 1. Januar 2026 wird das Guthaben der chinesischen digitalen Zentralbankwährung e-CNY verzinst und tiefer ins Bankensystem integriert; über Smart Contracts lassen sich Zahlungen an Bedingungen knüpfen. Der Artikel weist darauf hin, dass die EU eigene Testläufe zu "staatlichem Scoring" durchgeführt hat, und mahnt: "Wer die chinesische Überwachung ernst nehmen will, muss die europäische ebenso ernst nehmen — sonst bleibt die Empörung Identitätspolitik mit außenpolitischer Lackierung."

Sehr wichtiger Fund für Blackstones Function-Creep-Argumentation beim digitalen Euro (C1): Chinas e-CNY zeigt konkret, wie programmierbares Geld in der Praxis funktioniert (Smart Contracts, die Zahlungen an Bedingungen knüpfen) — genau das Szenario, vor dem Kritiker beim digitalen Euro warnen, auch wenn die EZB (siehe Batch 4/28) betont, keine vergleichbare Programmierbarkeit zu planen. Der Hinweis auf EU-eigene Scoring-Testläufe ist ein noch zu verifizierender, aber wichtiger Rechercheansatz für ein künftiges Batch.

Rochel: "China darf nicht unser Maßstab dafür sein, was wir in westeuropäischen Gesellschaften wollen." Bereits 2020 entwarf eine Zukunftsstudie im Auftrag des deutschen Forschungsministeriums ein Szenario, wie sich in den 2030er-Jahren in Deutschland ein "Bonussystem" etablieren könnte. Die EU sieht in Social Scoring eine Gefahr für Privatsphäre, Gleichheit und ordentliche Verfahren, weil Menschen auf algorithmische Profile reduziert würden.

Sehr wichtiger, differenzierter Fund: Selbst ein Schweizer Forscher, der sich mit dem Thema beschäftigt, warnt davor, China unkritisch als Maßstab für die Debatte in Europa zu nehmen — eine Mahnung zu Präzision, die genau zu Blackstones Stil passt. Gleichzeitig zeigt der Fund, dass sogar ein *deutsches Bundesministerium* bereits 2020 ein Zukunftsszenario für ein eigenes "Bonussystem" durchgespielt hat — nicht als Plan, aber als ernsthafte Denkübung.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) startete im Oktober 2020 eine eigene Mastodon-Instanz, die auch anderen öffentlichen Stellen auf Bundesebene als datenschutzkonforme Alternative zu Twitter zur Verfügung steht.

Sehr nützlicher Fakt für Blackstones Glaubwürdigkeit: Die deutsche Datenschutzbehörde selbst nutzt und betreibt eine Mastodon-Instanz als offizielle Alternative — das ist keine Nischen-Empfehlung von Aktivisten, sondern bereits gelebte Praxis einer Bundesbehörde. Guter Beleg für den Masterplan-Abschnitt zu dezentralen Alternativen.

China erließ Richtlinie mit 23 Maßnahmen zur Ausweitung des Sozialkreditsystems auf Kommunen, Unternehmen, Individuen.

Ausweitung Sozialkreditsystem. Konkrete Auswirkungen auf Bürger nicht belegt.

Russland verpflichtet Telcos zur Erfassung von Adressen, Passdaten, Bankdaten, Geolokation; 85 Telcos bereits mit Bußgeldern belegt.

Erweiterte staatliche Überwachungspflicht für Provider in Russland.

UK investiert 4 Mio. Pfund in Predictive-Policing-Prototyp ab April 2026, landesweiter Rollout bis 2030 geplant.

UK testet Straftaten-Vorhersagesystem. Diskriminierungsschutz nicht belegt.

Iran nutzt Gesichtserkennung, Drohnen, Kamerasysteme; Kooperation mit russischem NtechLab und chinesischen Firmen berichtet.

Bericht selbst weist auf unabhängigen Bestätigungsbedarf einzelner Behauptungen hin.

TikTok-Rechenzentrum Norwegen aktiv, parallel 552 Mio. USD Strafe wegen früherer Datenübertragung nach China.

Vollständiger Ausschluss von China-Zugriff nicht belegt.

Berliner/Bundesdatenschutzbeauftragte veranlassten Entfernung der DeepSeek-App aus App-Stores wegen rechtswidriger China-Datenübermittlung.

Drittanbieter-Apps blieben verfügbar.

EU-Kommission verlangt Shein-Auskunft zu Nutzerdatenschutz und Empfehlungssystem im DSA-Rahmen.

Auskunftsanfrage, kein festgestellter Verstoß.

Hamburg installierte ab 01.09.2025 69 Hikvision-KI-Kameras, Amnesty wirft Hikvision Menschenrechtsverletzungen vor.

Datenabfluss nach China bei Hamburger Geräten nicht belegt.

Bundesbehörden nutzen laut Faeser-Antwort Hikvision/Dahua-Kameras an Flughäfen/Bahnhöfen, 'geringe Stückzahl'.

Konkrete Stückzahlen/Behörden nicht offengelegt.

Eine Aufsichtsbehörde stufte das grundsätzliche Erfassen unverpixelter Beifahrer auf Blitzerfotos als zulässig ein, beanstandete jedoch die unverpixelte Versendung an den Betroffenen.

Schildert einen konkreten Einzelfall, keine grundsätzliche Neubewertung der Rechtslage.

Fachmedium erläutert anhand des OLG-Frankfurt-Urteils, dass Geschwindigkeitsmessungen als hoheitliche Aufgabe nicht per Leiharbeit an private Firmen übertragen werden dürfen.

Richtet sich an kommunalpolitisches Fachpublikum, keine eigene juristische Tiefenanalyse.

Kontrollbrücken erfassen Kennzeichen und Fahrzeugbilder, löschen nicht mautpflichtige Daten aber sekundenschnell; Ermittlungsbehörden haben laut Gesetz keinen Zugriff auf Mautdaten.

Darstellung vom Mautbetreiber selbst, keine unabhängige Prüfung der Löschpraxis.

Jeder Drohnenbetreiber muss sich beim Luftfahrt-Bundesamt registrieren und die e-ID sichtbar auf der Drohne anbringen, dient der Identifizierbarkeit bei Regelverstößen.

Kommerzielles Fachportal statt Primärquelle des LBA.