Quellen-Tabelle

Die Kommission empfiehlt technisch robuste und diskriminierungsfreie Methoden zur Altersverifikation; als künftiger Standard wird insbesondere auf die EUid-Wallet und die "Blueprint"-Infrastruktur für gerätebasierte Altersüberprüfung verwiesen. Vor allem bei Glücksspiel oder Pornografie hält die Kommission Altersverifikation für erforderlich und angemessen.

Hier steht schwarz auf weiß die Verbindung, die in vielen Debatten nur behauptet wird: Die EU verweist bei Altersprüfung tatsächlich auf dieselbe digitale Ausweis-App (EUDI-Wallet, Dossier B1) — kein Gerücht, sondern offizielle Empfehlung. Trotzdem bleibt die Nutzung laut Gesetzestext freiwillig (siehe B1).

Ein Gebrauchtwagenkauf zwischen zwei Nachbarn bleibt auch nach dem 10. Juli 2027 vollständig legal in bar; beim Autohändler drei Straßen weiter wäre derselbe Betrag verboten. Die Regel wurde bereits 2024 beschlossen, aber erst im Sommer 2026 kursierte die Zahl neu durch Kommentarspalten — es handelt sich um verzögerte öffentliche Rezeption, keinen neuen Beschluss.

Ein Mainstream-Medium erklärt genau den Unterschied, der online oft verschwimmt: privat vs. gewerblich. Wichtig für Blackstone als Modell, WIE man sowas glaubwürdig einordnet — sachlich, mit konkretem Beispiel, ohne Alarmismus, aber auch ohne Verharmlosung.

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

55 Prozent aller Einkäufe liefen 2025 bargeldlos, 45 Prozent mit Schein und Münze — Schein und Münze bleiben trotzdem, vor allem weil die Mehrheit das so will.

Präzise Prozentzahlen zum Wendepunkt, gut zitierfähig für einen Blackstone-Artikel. Der Nachsatz ist wichtig: Der Rückgang ist Verhaltensänderung, keine Verdrängung von oben — die Menschen entscheiden sich zunehmend selbst für bargeldlos.

Ältere Menschen, Personen mit gesundheitlichen Einschränkungen, niedrigem Einkommen oder geringer digitaler Erfahrung nutzten häufiger Bargeld. Unabhängig von den persönlichen Vorlieben halten es 80 Prozent der Befragten für wichtig, dass weiterhin bar bezahlt werden kann.

Sehr starker Fakt für den Masterplan-Abschnitt zu Bargeld: 8 von 10 Menschen in Deutschland — nicht nur Bargeld-Nutzer selbst — finden es wichtig, dass die Option grundsätzlich bestehen bleibt. Das ist eine breite gesellschaftliche Mehrheit, kein Nischen-Anliegen von Privacy-Aktivisten.

280.000 neue Schadprogrammvarianten pro Tag und im Schnitt 119 neue Sicherheitslücken täglich; parallel beziffert der Digitalverband Bitkom den jährlichen Schaden durch Cyberangriffe für die deutsche Wirtschaft auf 202,4 Milliarden Euro.

Einprägsame Zahl für Community-Content: Fast eine Viertelmillion neuer Schadprogramme — pro Tag, nicht pro Jahr. Zeigt die Größenordnung der Bedrohung, gegen die z. B. auch zentrale Behörden-Datenbanken (etwa aus dem CRA-Meldesystem, Dossier D2) verteidigt werden müssten.

Das indische Parlament warnte 2025 vor hohen Fehlerquoten bei der biometrischen Authentifizierung, die legitime Empfänger von Sozialleistungen ausschließen — Fingerabdrücke älterer Menschen, landwirtschaftlicher Arbeiter und durch körperliche Arbeit abgenutzter Haut werden vom System nicht erkannt. Das Parlamentskomitee (PAC) stellte fest: Verifikationsfehler führen zu ungerechtfertigtem Ausschluss von Sozialprogramm-Empfängern — mit teils tödlichen Folgen.

Das ist das konkreteste Warnbeispiel weltweit dafür, was passiert, wenn ein Staat ein zentrales biometrisches Identitätssystem für den Zugang zu Grundversorgung verpflichtend macht: Technische Fehlerquoten treffen die Schwächsten am härtesten — Menschen, deren Fingerabdrücke durch harte körperliche Arbeit verändert sind, verlieren den Zugang zu Nahrungsmittelhilfen. Wichtig für Blackstone: Das ist keine hypothetische Sorge, sondern ein dokumentierter, vom eigenen Parlament untersuchter Fall.

Selbst ein untätiges Mobiltelefon mit minimaler Nutzereingabe übertrug erhebliche Datenmengen an den OS-Entwickler und an Drittanbieter wie Google, Microsoft, LinkedIn und Facebook, deren System-Apps auf den meisten Geräten vorinstalliert sind. Eine bemerkenswerte Ausnahme von diesem Prozess war das Betriebssystem /e/OS.

Wichtiger Anschluss an den Masterplan: Genau das im Masterplan (Kapitel 3) empfohlene /e/OS wurde in dieser unabhängigen Studie als einzige nennenswerte Ausnahme von der massiven Telemetrie-Sammlung identifiziert — das ist ein starker, wissenschaftlich belegter Grund für die Empfehlung, nicht nur eine Ideologie-Entscheidung.

Stand Juni 2026 hat die EU die dauerhafte CSA-Verordnung nicht beschlossen. Der Rat einigte sich am 26. November 2025 auf eine gemeinsame Position ohne verpflichtende Aufdeckungsanordnungen; das Parlament lehnte am 26. März 2026 eine Verlängerung der befristeten Übergangsregelung mit 228 zu 311 Stimmen ab.

Zusammenfassend und aktuell: Es gibt weiterhin kein beschlossenes Gesetz — aber die Lage hat sich verschärft, weil sogar die bisherige freiwillige Zwischenlösung ausgelaufen ist, ohne dass ein Nachfolger steht.

Am 11. Mai 2026 fand der vierte Trilog statt, ohne finale Einigung. Besonders weit liegen die Positionen bei der Aufdeckung auseinander: Der Rat fordert rein freiwillige Maßnahmen, das Parlament befürwortet als letztes Mittel verpflichtende Aufdeckungsanordnungen für Justizbehörden bei begründetem Verdacht.

Wichtige Korrektur eines verbreiteten Missverständnisses: Aktuell ist es das Parlament (nicht der Rat), das für eine — wenn auch eingeschränkte, richterlich kontrollierte — Aufdeckungsmöglichkeit eintritt, während der Rat nur freiwillige Maßnahmen will. Das dreht die öffentliche Wahrnehmung ("Rat will Überwachung, Parlament schützt") teilweise um und zeigt, wie wichtig es ist, bei jedem Update die aktuellen Fraktionspositionen zu prüfen statt alte Zuschreibungen fortzuschreiben.

Der fünfte Trilog zur CSA-Verordnung endete am 29. Juni 2026 ohne Einigung — das EU-Parlament verteidigte seine Linie gegen anlasslose Chat-Scans. Rat und EVP arbeiten bereits an einem formal neuen, inhaltlich identischen Anlauf im Eilverfahren.

Aktuellster Stand zum Erfassungszeitpunkt: Fünf gescheiterte Trilog-Runden. Bemerkenswert und wichtig für Blackstones Function-Creep-Argument: Wenn eine Verhandlungsseite nach einer Niederlage plant, denselben Inhalt über ein anderes Verfahren (Eilverfahren) noch einmal einzubringen, ist das ein sehr konkretes Beispiel für den Function-Creep-Mechanismus, den der Masterplan beschreibt — hier nicht als abstrakte Sorge, sondern als dokumentiertes Verhalten.

Der Rat verabschiedete sein Verhandlungsmandat unter dänischer Präsidentschaft am 19. Dezember 2025, das Parlament seine Position am 9. Juli 2026. Weitere Trilog-Runden sind nach der Sommerpause geplant, mit dem Ziel einer politischen Einigung vor Ende 2026 und einem operativen digitalen Euro bis 2029.

Der Trilog hat gerade erst richtig begonnen — vorher gab es zwar Vorschläge, aber keine formale Verhandlungsposition des Parlaments. Das ist ein deutlich weiter fortgeschrittener, aber immer noch offener Stand als bei der Ersterfassung.

Mit 416 zu 169 Stimmen bei 22 Enthaltungen hat das EU-Parlament seine Verhandlungsposition zum digitalen Euro beschlossen. Die Eckpunkte: Der digitale Euro soll Bargeld ergänzen, nicht ersetzen, online wie offline funktionieren; die Grundfunktionen bleiben für Verbraucher kostenlos. Noch offen: Obergrenzen (Holding Limits) und Datenschutz-Ausgestaltung.

Klare Bestätigung der bisherigen Blackstone-Einordnung (Bargeldergänzung, nicht -abschaffung) — jetzt mit einer sehr konkreten, breiten Mehrheit im Parlament untermauert. Die eigentlich spannenden Detailfragen (wie viel Geld darf man im digitalen Euro halten, wie genau funktioniert der Datenschutz) sind aber weiterhin ungeklärt.

Das EU-Parlament fordert eingebauten Datenschutz durch Privacy-by-Design und Privacy-by-Default; hierfür sollen modernste Technologien wie Zero-Knowledge-Proof für Transaktionen zum Einsatz kommen — auch die EZB soll die Identität der Nutzer nicht rückverfolgen können.

Bemerkenswert positiv für Blackstones Datenschutz-Perspektive: Das Parlament fordert nicht nur allgemein "Datenschutz", sondern eine sehr konkrete, kryptografisch anspruchsvolle Technologie (Zero-Knowledge-Proofs), mit der selbst die Zentralbank nicht nachvollziehen könnte, wer was bezahlt hat. Ob das am Ende auch im finalen Gesetzestext steht, ist die entscheidende Frage für ein späteres Update.

Das zuständige eIDAS-Committee traf am 18. Juni 2026 wichtige Entscheidungen zur EUDI-Wallet, nachdem eine vorherige Sitzung am 6. Mai an "fundamentalen Problemen" gescheitert war. Bei einem Streitthema ("relying parties") musste die Kommission nachgeben — zugunsten der Nutzer. Bei anderen Themen, darunter der verpflichtenden biometrischen Erfassung, konnte sich die Kommission größtenteils durchsetzen, was die Schutzrechte der Nutzer deutlich aushöhlt, obwohl der Gesetzestext diese explizit einfordert.

Wichtigstes Update im ganzen Projekt: Was im vorherigen Batch noch als Kommissions-*Versuch* dargestellt wurde, ist jetzt größtenteils *beschlossen* — die verpflichtende biometrische Gesichtserfassung kommt, trotz gegenteiliger Intention im ursprünglichen Gesetzestext. Nicht ganz einseitig: Bei einem anderen Streitpunkt (wer die Wallet-Anbieter kontrollieren darf) hat die Kommission nachgegeben.

Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien und Zypern wollen eine Vorreiterrolle einnehmen und preschen mit der Umsetzung bereits vor.

Bestätigt dieselbe Länderliste über eine seriösere, unabhängige Quelle — für Blackstone-Zitate diese oder eine ähnliche Quelle statt der oben genannten fragwürdigen Quelle verwenden.

Der Entwurf wurde gegenüber früheren Vorhaben deutlich eingeschränkt, lässt aber weiterhin rechtliche und praktische Fragen offen; die Dauer der Speicherfrist bleibt wesentlicher Streitpunkt. Der Entwurf versucht eine "schmale" IP-Vorratsdatenspeicherung, verwendet aber Formulierungen, die in der Praxis deutlich weitergehende Datenspeicherungen erforderlich machen könnten.

Wichtige juristische Einschätzung für Ausgewogenheit: Selbst Kritiker erkennen an, dass der aktuelle Entwurf enger gefasst ist als frühere Pläne — die Sorge liegt jetzt weniger im Prinzip als in der handwerklichen Präzision der Formulierungen, die in der Praxis mehr Daten erfassen könnten als offiziell beabsichtigt.

Am 17. Februar 2026 eröffnete die Kommission ein förmliches Verfahren gegen Shein unter dem DSA. Zudem wird im Rahmen des Aktionsplans gegen Cybermobbing angekündigt, dass die Kommission die DSA-Leitlinien zum Schutz Minderjähriger überarbeiten und neue Leitlinien zu Trusted Flaggern erlassen wird.

Wichtige Verbindung zu Dossier A3 und B2: Der Aktionsplan gegen Cybermobbing (siehe unten) bringt gleich mehrere Dossiers zusammen — DSA-Durchsetzung, Trusted-Flagger-Ausweitung und Jugendschutz sind nicht getrennte Baustellen, sondern werden politisch zusammen vorangetrieben.

Europas MiCA-Regime steht zur Überprüfung an, umgangssprachlich "MiCA 2.0" genannt, im Rahmen einer Konsultation, die etwa im September schließt. ESMA wird voraussichtlich zur zentralisierten Aufsichtsbehörde für den Kryptoregulierungsrahmen.

Neue Entwicklung, die noch nicht im Dossier stand: MiCA wird schon nach drei Jahren grundlegend überarbeitet — vor allem wegen der schnellen Entwicklung bei Stablecoins. Für den Masterplan-Bezug (Kapitel Finanzen) relevant: Es könnte sich an den regulatorischen Rahmenbedingungen für Krypto in absehbarer Zeit wieder etwas ändern.

Der Kinderschutzbund lehnt die Chatkontrolle mittlerweile ab, "weil sie tief in die Privatsphäre aller eingreifen würde – auch in die von Kindern"; laut dem Verband setze das Vorhaben an der falschen Stelle an, da Darstellungen sexualisierter Gewalt in der Regel nicht über private Messenger, sondern File-Hosting-Dienste ausgetauscht würden.

Wichtige Entwicklung gegenüber 2023: Die Position ist klarer geworden — inzwischen explizite Ablehnung, nicht nur Bedenken. Neues, sehr konkretes Sachargument dazu: Das Hauptproblem (Verbreitung von Missbrauchsmaterial) spielt sich laut Kinderschutzbund technisch woanders ab (File-Hosting) als dort, wo die Chatkontrolle ansetzt (private Messenger) — ein Effektivitäts-Einwand, nicht nur ein Grundrechte-Einwand.

Der European Data Protection Board wies bereits 2021 auf das Risiko hin und empfahl, dass jedes digitale-Euro-System anonyme oder pseudonyme Transaktionsoptionen enthalten sollte. Euro-denominierte Stablecoins erreichten im Januar 2026 eine Marktkapitalisierung von rund 450 Millionen Euro, gegenüber rund 50 Millionen Euro nur zwei Jahre zuvor — eine Verneunfachung ganz ohne staatliches Mandat oder Zentralbank-Rückendeckung.

Zwei wichtige Punkte: Erstens zeigt sich, dass der Datenschutz-Einwand nicht neu ist, sondern seit 2021 von der offiziellen EU-Datenschutzaufsicht selbst kommt. Zweitens ein interessanter Kontrastfakt: Private, unregulierte Euro-Stablecoins wachsen schon jetzt rasant — ein Hinweis darauf, dass der Markt eine digitale Euro-Alternative schon selbst entwickelt, unabhängig vom offiziellen Digitalen Euro.

Bitwarden: jährliche Audits durch mehrere Firmen. 1Password: SOC 2 Type II plus Penetrationstests. Proton Pass: vollständiger Cure53-Audit beim Launch 2023 (keine kritischen Funde, moderate Funde vor Launch behoben). NordPass: zwei Cure53-Audits plus SOC 2 Type 2 und ISO-27001-Zertifizierung. KeePassXC: community-geprüfte Open-Source-Software — kein beauftragter Third-Party-Audit, aber öffentlich einsehbarer Quellcode.

Sehr nützliche Vergleichsübersicht für den Masterplan: Zeigt auf einen Blick, welches Prüfniveau die im Masterplan genannten Passwortmanager (Bitwarden, Proton Pass, KeePassXC) jeweils haben. Wichtige Nuance: KeePassXC hat KEINEN beauftragten Audit — Sicherheit stützt sich dort auf öffentliche Code-Einsehbarkeit und Community-Prüfung, nicht auf einen bezahlten externen Bericht. Das ist ein relevanter Unterschied, den Blackstone transparent machen sollte.

Kagi mischt laut Dokumentation und Community-Diskussionen einen eigenen Index mit externen APIs — "privat" sollte daher eher als Grad-Frage denn als absoluter Zustand verstanden werden. Mojeek ist die einzige der drei mit einem langjährigen, wirklich unabhängigen eigenen Crawl, hat aber Nachteile bei Abdeckung und Reife der Ergebnisse. Qwant nutzt für einen Großteil seines Index Bing oder Hybrid-Metasuche.

Wichtige Nuance für Blackstones Ehrlichkeitsprinzip: Keine der gängigen "privaten" Suchmaschinen-Alternativen ist zu 100% unabhängig von den großen Anbietern — Kagi nutzt auch externe APIs, Qwant baut stark auf Bing auf. "Privat" ist eine Gradfrage, kein Alles-oder-Nichts-Zustand. Das sollte im Masterplan-Kapitel zu Browser/Suchmaschinen transparent gemacht werden, statt den Eindruck zu erwecken, diese Tools seien komplett unabhängig von Big Tech.

Eine Analyse zeigte: 66% der Datensätze im DentaQuest-Leck waren bereits aus früheren Lecks bekannt — ein Beleg für die hartnäckige Wiederverwertung gestohlener Daten. Branchenexperten warnen: Das größte Risiko nach solchen Lecks ist die Wiederverwendung von Passwörtern, da automatisierte Credential-Stuffing-Angriffe geleakte Zugangsdaten nutzen, um sich unbefugt Zugang zu tausenden anderen Websites zu verschaffen.

Sehr wichtiger praktischer Fakt für den Masterplan-Abschnitt zu Passwortmanagern (Kapitel 6): Zwei Drittel der Daten in einem einzelnen aktuellen Leck waren schon vorher bekannt — zeigt, wie sich ein einziges wiederverwendetes Passwort über viele Dienste hinweg auswirken kann. Starkes, konkretes Argument für einzigartige Passwörter pro Dienst (mit Passwortmanager).

Die Regierung Estlands entschloss sich, sämtliche der betroffenen 760.000 Zertifikate dauerhaft in ihren Systemen zurückzuziehen und zu blockieren. Der ROCA-Angriff macht es möglich, RSA-Schlüssel mit vertretbarem Aufwand aus einem teilweise bekannten öffentlichen Schlüssel herauszurechnen — theoretisch könnten damit private Schlüssel und Zertifikate einzelner Nutzer für kriminelle Zwecke erzeugt werden.

Verständliche technische Erklärung, warum der Angriff funktionierte: Ein mathematischer Fehler bei der Schlüsselerzeugung, bekannt seit 1996 (Coppersmith-Methode), wieder aktuell geworden durch eine fehlerhafte Implementierung bei Infineon. Wichtig: "theoretisch möglich" — Estland betonte, es gebe keine Hinweise auf tatsächlichen Missbrauch, blockierte aber trotzdem vorsorglich.