Quellen-Tabelle

EDPB und EDPS kommen zum Schluss, dass der Vorschlag dazu führen würde, dass der Eingriff in die Vertraulichkeit der Kommunikation faktisch zur Regel statt zur Ausnahme würde. Offizielle Datenschutz-Aufsicht der EU selbst — stärkste institutionelle Kritik-Quelle, kein "Schwurbel".

Die offiziellen EU-Datenschutz-Wächter selbst sagen: Wenn das Gesetz so kommt, wird Nachrichten-Mitlesen zum Normalfall statt zur Ausnahme. Das ist keine Verschwörungstheorie, das steht in einem offiziellen EU-Dokument.

Die vorgeschlagene Verordnung soll sicherstellen, dass der digitale Euro, falls er ausgegeben wird, die Euro-Banknoten ergänzt, aber nicht ersetzt. Offizielle Position der ausgebenden Institution selbst — wichtig für Zitate, da EZB oft nur indirekt über Medien zitiert wird.

Die Zentralbank sagt selbst schriftlich: Der digitale Euro soll dazukommen, nicht Bargeld wegnehmen. Das ist keine Marketing-Aussage einer Boulevardseite, sondern eine offizielle rechtliche Stellungnahme.

Stand mit ***I-Bericht vom 25. Juni 2026 — zeigt, dass der Digitale-Euro-Vorschlag im Juni 2026 einen Ausschussbericht im Parlament (1. Lesung) erhalten hat. Für exaktes Datum/Bericht bei nächster Nutzung erneut auf OEIL gegenprüfen.

Diese Seite zeigt: Das Gesetz ist im Sommer 2026 einen Schritt weitergekommen, aber immer noch nicht fertig beschlossen.

Die Leitlinien sollen Koordinatoren für digitale Dienste und zuständige nationale Behörden bei Anwendung und Auslegung von Art. 28 unterstützen; aus Annahme der Maßnahmen kann aber nicht automatisch auf Einhaltung geschlossen werden, und nur der EuGH kann Art. 28 verbindlich auslegen.

Das ist der offizielle EU-Leitfaden, wie Plattformen Minderjährige schützen sollen. Wichtig: "Leitlinie" heißt nicht "Gesetz" — sie ist eine Empfehlung, keine Pflicht, aber Behörden orientieren sich in der Praxis daran.

Eine allgemeine gesetzliche Altersgrenze für den Zugang zu Online-Plattformen existiert in Deutschland derzeit nicht; bei Verstoß gegen die Pflicht zu Vorsorgemaßnahmen nach Art. 28 DSA drohen Bußgelder bis zu fünf Millionen Euro; eine Pflicht zur Nutzung bestimmter Verifikationssysteme gibt es in Deutschland nach dieser Analyse aktuell nicht.

Wichtige Präzisierung für Deutschland: Es gibt noch kein Gesetz, das ein bestimmtes Alters-Check-System vorschreibt. Firmen müssen sich schützend kümmern (sonst Bußgeld), aber WIE, ist noch offen. "Ausweispflicht fürs Internet" ist für DE aktuell nicht korrekt — Stand dieses Gutachtens.

Bargeld bleibt gesetzliches Zahlungsmittel; nur Barzahlungen über 10.000 Euro im gewerblichen Verkehr werden untersagt, Zahlungen zwischen Privatpersonen sind nicht betroffen. Beim anonymen Barkauf von Edelmetallen liegt die Schwelle in Deutschland bei 1.999,99 Euro.

Wichtigste Präzisierung gegen Übertreibungen: Die Grenze gilt nur beim Kauf im Geschäft/Gewerbe, NICHT zwischen Privatpersonen (Gebrauchtwagenkauf vom Nachbarn bleibt bar möglich). Und: "Bargeld wird verboten" stimmt nicht — nur hohe gewerbliche Beträge.

Die AMLA nahm am 01.07.2025 in Frankfurt am Main ihre Tätigkeit auf; sie koordiniert nationale Aufsichtsbehörden und erhält umfassende Aufsichts- und Ermittlungsbefugnisse.

Die neue EU-Geldwäsche-Behörde existiert bereits real und arbeitet seit Sommer 2025 — das ist keine Zukunftsmusik mehr, sondern läuft schon.

Die Kommission hat 2024 schriftlich festgehalten, dass die Schaffung eines Registers auf EU-Ebene nicht Teil ihres AML-Pakets war und auch im finalen Kompromiss nicht beibehalten wurde.

Das ist der wichtigste Einzelbeleg für dieses Dossier: Die Kommission selbst hat schriftlich und offiziell an das Parlament bestätigt, dass das Vermögensregister NICHT beschlossen wurde und auch nicht Teil des verabschiedeten Pakets war. Wer "kommt 2027" behauptet, widerspricht einer offiziellen Kommissionsantwort.

Zertifiziert wurden Bundesverband Onlinehandel e.V. (Schwerpunkt gewerblicher Rechtsschutz), HateAid gGmbH (Schwerpunkt digitale Gewalt) und Verbraucherzentrale Bundesverband e.V.; zugelassene Trusted Flagger sind verpflichtet, einmal jährlich einen Tätigkeitsbericht zu veröffentlichen. Erster Trusted Flagger überhaupt war laut Wikipedia-Zusammenfassung die Meldestelle Respect! der Jugendstiftung Baden-Württemberg, anerkannt am 1. Oktober 2024.

Das sind die konkreten, namentlich bekannten Organisationen, die in Deutschland aktuell diesen Status haben — keine anonyme Behörde, sondern vier namentlich bekannte, überprüfbare Stellen mit Berichtspflicht.

Trusted Flagger werden von privaten oder juristischen Personen des Privatrechts wahrgenommen; durch die sogenannte Beleihung würden sie eigentlich zu Amtsträgern — allerdings ordnet das Gutachten die Übertragung an Trusted Flagger explizit NICHT als hoheitliche oder schlicht-hoheitliche Aufgabe ein, weshalb sie rechtlich keine "Beliehenen" sind.

Wichtige juristische Feinheit: Private Organisationen bekommen hier eine Sonderrolle vom Staat übertragen — das Gutachten des Bundestags selbst sagt aber: Rechtlich sind sie trotzdem keine Behörden-Vertreter. Wer "der Staat lässt private Zensoren agieren" sagt, verkürzt eine differenziertere Rechtslage.

Die Kommission legt einen Fahrplan vor, der sechs Bereiche umfasst: Vorratsdatenspeicherung, rechtmäßige Überwachung, digitale Forensik, Entschlüsselung, Standardisierung und KI-Lösungen für die Strafverfolgung; 2025 soll eine Folgenabschätzung zur Aktualisierung der Vorratsdatenspeicherungsregeln erfolgen.

Das ist der offizielle Fahrplan der Kommission, WIE sie an verschlüsselte Daten und gespeicherte Nutzerdaten herankommen will. Noch kein Gesetz — aber ein sehr konkreter, terminierter Plan mit Jahreszahlen.

Die Kommission wird 2026 eine Technology Roadmap zur Verschlüsselung vorlegen, die Lösungen für den rechtmäßigen Zugriff der Strafverfolgung auf verschlüsselte Daten identifizieren und bewerten soll; zusätzlich wird die Erforschung neuer Entschlüsselungskapazitäten unterstützt, um Europol ab 2030 mit Entschlüsselungstechnologie der nächsten Generation auszustatten.

Konkretes Datum: 2026 kommt der Fahrplan, ab 2030 soll die europäische Polizeibehörde bessere Werkzeuge haben, um Verschlüsselung zu knacken. Das ist kein "vielleicht irgendwann" — es gibt eine Timeline.

Deutsche Aufsichtsbehörde konkretisiert die MiCA-Anforderungen für Kryptowerte-Dienstleister; Übergangsregelungen erlauben bereits nach deutschem Recht zugelassenen Instituten die Fortführung ihrer Dienstleistungen unter bestimmten Bedingungen.

Die deutsche Finanzaufsicht hat einen eigenen Leitfaden veröffentlicht, wie Krypto-Firmen das EU-Gesetz konkret umsetzen müssen — wichtig für den Masterplan-Abschnitt zu deutschen vs. ausländischen Krypto-Anbietern.

Die Europäische Kommission hat Apple am 5. September 2023 als Gatekeeper in Bezug auf iOS, App Store und Safari benannt, und am 29. April 2024 zusätzlich für iPadOS.

Formaler Fakt: Apple ist offiziell als eines der mächtigsten "Torwächter"-Unternehmen eingestuft — das ist die Voraussetzung dafür, dass die strengeren DMA-Pflichten überhaupt für Apple gelten.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Anbieter sollen künftig verpflichtet sein, die IP-Adressen ihrer Kunden für drei Monate vorsorglich zu speichern; IP-Adressen sind oft der einzige Ansatzpunkt, um Täter bei internetbezogener Kriminalität zu identifizieren.

Das ist der konkrete deutsche Gesetzentwurf, der trotz der EuGH-Urteilskette (Dossier B3) versucht, eine neue Speicherpflicht einzuführen — diesmal beschränkt auf IP-Adressen, drei Monate, statt aller Kommunikationsdaten. Kabinett hat zugestimmt, Bundestag/Bundesrat müssen noch entscheiden.

Das Tor-Netzwerk besteht aus über 6.500 freiwillig betriebenen Relays und mehr als 3.000.000 Nutzern; zusätzlich ermöglichen über 1.900 Bridges Zugang in Ländern, in denen Tor zensiert wird, für über 40.000 Nutzer. Daten stehen unter CC0 (gemeinfrei) zur freien Nutzung.

Das ist die offizielle, öffentlich einsehbare Nutzerstatistik von Tor direkt vom Betreiber selbst — nicht geschätzt von Dritten, sondern die Primärquelle. Ideal zum Beleg von Aussagen wie "Millionen Menschen nutzen bereits Anonymisierungs-Netzwerke".

Aufgrund der Anonymitäts-Eigenschaft von Tor werden keine identifizierenden Daten erhoben; stattdessen werden Anfragen an Verzeichnisserver gezählt und Nutzerzahlen indirekt geschätzt. Das Ergebnis ist eine durchschnittliche Zahl gleichzeitiger Nutzer — es kann nicht gesagt werden, wie viele unterschiedliche Einzelpersonen dahinterstehen.

Wichtig für korrekte, ehrliche Zitation: Tor selbst sagt offen, dass "3 Millionen Nutzer" eine Schätzung von gleichzeitigen Verbindungen ist, keine Zählung realer Personen. Blackstone sollte diese Einschränkung immer mitnennen, wenn die Zahl verwendet wird — genau der Ehrlichkeits-Standard aus Prinzip 0.

Erstmals werden über alle betrachteten Alltagszahlungen hinweg mehr Transaktionen bargeldlos als mit Bargeld abgewickelt; zugleich bleibt Bargeld produktbezogen das am häufigsten genutzte Zahlungsmittel an der Ladenkasse und spielt insbesondere bei Zahlungen zwischen Privatpersonen und bei Spenden eine zentrale Rolle.

Historischer Wendepunkt laut offizieller Bundesbank-Studie: 2025 wurde in Deutschland zum ersten Mal mehrheitlich bargeldlos bezahlt. Trotzdem bleibt Bargeld an der Ladenkasse selbst noch die Nummer eins — die Studie unterscheidet zwischen "alle Zahlungsarten zusammengezählt" und "Zahlungen im Geschäft".

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

950 angezeigte Ransomware-Fälle im Berichtszeitraum, davon 72 Prozent mit zusätzlichem Datenleak; laut Bitkom-Wirtschaftsschutzstudie 2025 wurden 87 Prozent aller deutschen Unternehmen in den letzten zwölf Monaten Opfer eines Angriffs, Gesamtschaden 289,2 Milliarden Euro.

Konkrete Größenordnung: Fast 9 von 10 deutschen Unternehmen wurden binnen eines Jahres angegriffen — und bei drei von vier Ransomware-Fällen wurden zusätzlich Daten gestohlen und veröffentlicht. Das untermauert sehr konkret, warum "zentral gespeicherte Daten = Risiko" keine abstrakte Behauptung ist.

Im Gesamtjahr 2025 kommt Alphabet auf einen Umsatz von 402,8 Milliarden US-Dollar, ein Plus von 15 Prozent gegenüber dem Vorjahr; der Nettogewinn stieg um 32 Prozent auf 132,2 Milliarden US-Dollar. Von den 82,28 Milliarden Dollar Werbeumsatz im vierten Quartal wurden 74,4 Milliarden Dollar auf Google-eigenen Seiten generiert.

Größenordnung zum Einordnen: Ein einziger Konzern verdient über 400 Milliarden Dollar im Jahr, der überwiegende Teil davon mit Werbung — also mit dem Verkauf von Aufmerksamkeit, die auf Nutzerdaten basiert. Das ist die wirtschaftliche Grundlage, warum Datensammlung so profitabel und damit auch politisch schwer einzuhegen ist.

Basierend auf den Ansichten von 27.000 Europäern zeigen die Eurobarometer-Ergebnisse, dass 73% der Befragten von mindestens einem der sechs getesteten DSGVO-Rechte gehört haben; am bekanntesten sind das Auskunftsrecht (65%), das Recht auf Berichtigung (61%), das Widerspruchsrecht gegen Direktmarketing (59%) und das Recht auf Löschung (57%). Nur 20% der Befragten gaben an, dass sie die Nutzungsbedingungen zur Erhebung und Nutzung ihrer Daten online tatsächlich lesen, nur 13% lesen Datenschutzerklärungen vollständig.

Wichtiger, ehrlicher Fund für Blackstone: Die meisten Europäer kennen ihre Datenschutzrechte zumindest teilweise — aber fast niemand liest tatsächlich die Datenschutzerklärungen, die sie ständig akzeptieren. Das zeigt eine Lücke zwischen theoretischem Bewusstsein und echtem Schutz im Alltag — genau die Lücke, die Blackstones praktische Guides schließen könnten.

Cure53 versuchte, jede mögliche Methode zu identifizieren, mit der die Anonymität oder Integrität des VPN-Verkehrs eines Nutzers kompromittiert werden könnte — es wurden keine solchen Probleme gefunden und keine Schwachstellen im Kernprodukt entdeckt. Mullvads System verfüge über eine Vielzahl von Härtungsmaßnahmen, was als "extrem positiv" bewertet wurde.

Ein unabhängiges, auf IT-Sicherheit spezialisiertes Unternehmen hat gezielt versucht, Mullvad zu "knacken" — und fand keine Wege, die versprochene Anonymität zu brechen. Das ist der Unterschied zwischen einem VPN-Anbieter, der nur "vertrau uns" sagt, und einem, der es extern überprüfen lässt.

Es wurden keine größeren Schwachstellen in Mullvads neuester unabhängiger Sicherheitsprüfung gefunden; dies ist Mullvads 18. Audit insgesamt seit 2017, was die Position als einer der transparentesten Anbieter der Branche weiter festigt. Unter den von CNET empfohlenen VPNs hat nur ExpressVPN mit 23 Audits seit 2018 noch mehr Prüfungen durchführen lassen.

Aktuellster Stand: 18 unabhängige Sicherheitsprüfungen in neun Jahren — das ist eine Größenordnung, die zeigt, dass Transparenz kein einmaliges Marketing-Ereignis ist, sondern fortlaufende Praxis. Gut geeignet, um Mullvad im Masterplan mit einer konkreten, beeindruckenden Zahl zu belegen.