Quellen-Tabelle

Die Vorratsdatenspeicherung hat laut dem Gutachten keinen messbaren Einfluss auf Aufklärungsquoten. Für den Untersuchungszeitraum 1987 bis 2010 kann der Wegfall der Vorratsdatenspeicherung nicht als Ursache für Bewegungen in der Aufklärungsquote herangezogen werden — dieser Befund gilt insbesondere für Computerkriminalität und Internetkriminalität.

Das ist die wohl wichtigste Einzelquelle im gesamten Themenfeld "Wirkt Überwachung überhaupt?": Das eigene Justizministerium hat eine 271-seitige wissenschaftliche Studie in Auftrag gegeben — und das Ergebnis war, dass die ständig behauptete "Schutzlücke" ohne Vorratsdatenspeicherung nicht nachweisbar ist. Das ist kein Aktivisten-Papier, sondern eine im Regierungsauftrag erstellte Studie.

Die Studie untersucht, wie der Traffic zu Wikipedia-Artikeln über privatsphäre-sensible Themen nach der öffentlichen Bekanntwerdung der NSA/PRISM-Überwachung im Juni 2013 zurückging — sie findet nicht nur einen statistisch signifikanten unmittelbaren Rückgang, sondern auch eine dauerhafte Veränderung im langfristigen Trend.

Das ist der wissenschaftliche Beleg für ein Kernargument von Blackstone: Überwachung verändert das Verhalten von Menschen, die nichts Illegales tun — sie lesen einfach weniger über bestimmte Themen aus Angst, verdächtig zu wirken. Das ist keine Vermutung, sondern mit echten Wikipedia-Zugriffszahlen belegt.

Das Signal-Protokoll ist ein kryptografisches Messaging-Protokoll, das Ende-zu-Ende-Verschlüsselung für Instant Messaging bereitstellt und in WhatsApp, Wire und Facebook Messenger verwendet wird — mit zusammen deutlich über einer Milliarde aktiver Nutzer.

Das ist der wissenschaftliche Beweis, dass Signals Verschlüsselung tatsächlich hält, was sie verspricht — nicht nur eine Marketing-Behauptung, sondern mathematisch von unabhängigen Kryptografie-Forschern nachgewiesen. Wichtig: Dasselbe Protokoll steckt auch in WhatsApp — der Unterschied liegt woanders (z. B. Metadaten, Backups), nicht in der Kern-Verschlüsselung selbst.

Die häufigste Art von Sicherheitsverletzung bei Aadhaar betrifft die Vertraulichkeit — meist wird eine Teilmenge der Aadhaar-Daten öffentlich gemacht. Verletzungen der Integrität kommen ebenfalls häufig vor und beeinträchtigen die Qualität der zentralen Datenbank, meist durch einzelne unehrliche Insider oder gehackte Einzelkonten.

Eine unabhängige technische Analyse (nicht Aktivisten, nicht Regierung) bestätigt: Die Schwachstellen liegen oft nicht in der zentralen Datenbank selbst, sondern bei einzelnen Zugangspunkten und Mitarbeitern mit Zugriffsrechten — das deckt sich mit der Verteidigung der Regierung, zeigt aber gleichzeitig: Genau solche "Rand"-Schwachstellen sind bei einem derart riesigen System (1,3 Milliarden Menschen) kaum vollständig zu vermeiden.

X-Road stellt trotz dezentraler Datenspeicherung in über 360 Datenbanken einen "Single Point of Failure" für den gesamten E-Government-Datentransfer dar; die proprietäre, patentierte Blockchain-Komponente ohne Open-Source-Material kann verborgene Schwachstellen aufweisen — wie die Krise von 2017 zeigte, bei der fast alle Karten (800.000) betroffen waren.

Wichtige Differenzierung, auch für Estland als "Vorbild": Selbst das oft gelobte estnische System hatte 2017 einen Sicherheitsvorfall, der praktisch alle ausgegebenen ID-Karten betraf. Kein System ist perfekt — aber wichtig ist, WIE transparent und schnell ein Land mit so einem Vorfall umgeht. Für einen fairen Blackstone-Artikel sollte dieser Vorfall nicht verschwiegen werden, nur weil Estland sonst positiv dasteht.

Selbst bei minimaler Konfiguration und im Ruhezustand teilen sowohl iOS als auch Google Android durchschnittlich alle 4,5 Minuten Daten mit Apple/Google; IMEI, Hardware-Seriennummer, SIM-Seriennummer und IMSI sowie die Handynummer werden übermittelt. Beide Systeme senden Telemetriedaten, obwohl der Nutzer dem explizit widersprochen hat. Google sammelt dabei fast zwei Größenordnungen mehr Daten als Apple beim Start (3,6 MB vs. 42 KB) — hochgerechnet auf alle Geräte in den USA entspricht das rund 1,3 TB Google-Datensammlung alle 12 Stunden gegenüber 5,8 GB bei Apple.

Das ist der wissenschaftliche Beleg für einen Satz, der sich hervorragend für Community-Content eignet: Dein Handy "telefoniert" im Schnitt alle 4,5 Minuten nach Hause — auch wenn es nur in der Tasche liegt und du alle Datenschutz-Einstellungen deaktiviert hast. Das gilt für iPhone UND Android gleichermaßen; keines der beiden großen Systeme ist grundsätzlich privater als das andere.

79% der untersuchten Websites (64 von 81) luden bereits Drittanbieter-Tracker, bevor Nutzer überhaupt mit dem Cookie-Banner interagierten — im Schnitt 3 aktive Tracker zu diesem Zeitpunkt, in Einzelfällen bis zu 13. Selbst wenn Nutzer aktiv "Alle ablehnen" klickten, blieben im Schnitt 4 Tracker weiterhin aktiv; nur 17% der Websites blockierten Tracking konsequent bis zur erteilten Zustimmung.

Das ist ein sehr konkreter, technisch belegter Grund, warum Cookie-Banner oft wirkungslos sind: Bei vier von fünf untersuchten Websites tracken Drittanbieter bereits, BEVOR man überhaupt geklickt hat — und selbst ein "Nein" wird oft nicht vollständig respektiert. Wichtiger Beleg für Blackstones Position, dass Cookie-Banner allein kein ausreichender Datenschutz sind und technische Zusatzmaßnahmen (Tracker-Blocker) nötig bleiben.

66% der befragten Softwarehersteller sind laut dem Report nach wie vor nicht mit der Verordnung vertraut — ein Anstieg gegenüber dem Vorjahr, nicht ein Rückgang.

Bemerkenswert kontraintuitiv: Statt sich der näher rückenden Frist anzupassen, ist die Unkenntnis über den CRA sogar noch gestiegen. Das ist ein starker Beleg für das Masterplan-Argument, dass Meldepflichten zwar auf dem Papier gut klingen, in der Praxis aber riesige Umsetzungslücken haben können.

Die Studie basiert auf einer thematischen Analyse von 32 semi-strukturierten Interviews mit 41 estnischen Experten, die eng in die Lösung des ROCA-Falls 2017 eingebunden waren, und untersucht drei Bereiche: staatliche politische Aufgaben und Verantwortlichkeiten, die Rolle der IT-Industrie bei der eID-Bereitstellung, sowie Chancen und Pflichten für Endnutzer. Die Studie schlägt einen Paradigmenwechsel im eID-Management vor, der digitale Identität als Bürgerrecht und ihre Bereitstellung als staatliche Pflicht begreift.

Das ist die wissenschaftlich fundierteste verfügbare Aufarbeitung des Falls — nicht nur "was ist passiert", sondern eine tiefgehende Analyse, wer im System eigentlich verantwortlich ist, wenn ein Zulieferer-Fehler ein ganzes staatliches System gefährdet. Der vorgeschlagene Rahmen (digitale Identität als Bürgerrecht, ihre sichere Bereitstellung als Staatspflicht) ist eine gute konzeptionelle Grundlage für Blackstones eigene Position zur EUDI-Wallet.

Eine umfassende kryptografische Analyse fand mehrere Angriffsvektoren gegen Threemas eigens entwickeltes ("bespoke") Protokoll; eine 2023 veröffentlichte öffentliche Kritik argumentierte, die App nutze ein selbst entwickeltes Protokoll entgegen bewährter Standards ("best-practice norms") — Threema entgegnete, der verwundbare Code stamme aus einem alten Protokoll. Eine fokussierte Analyse zeigte zudem praktische Integritätslücken (Timestamp- und Reihenfolge-Angriffe) sowie Backup-bezogene Seitenkanäle, die Schlüssel offenlegen können, sofern keine Gegenmaßnahmen ergriffen werden.

Wichtige Korrektur zur bisherigen Blackstone-Einordnung von Threema: Anders als Signal (dessen Protokoll extern, wissenschaftlich geprüft und offen ist, siehe F8/Batch 40) nutzt Threema ein selbst entwickeltes Protokoll, das von unabhängigen Kryptografie-Forschern kritisiert wurde. Threema selbst bestätigt teilweise die Kritik (verwundbarer Code aus altem Protokoll), weist eine generelle Unsicherheit aber zurück. Für Blackstones Ehrlichkeitsprinzip wichtig: Diese Nuance sollte im Masterplan-Kapitel zu Messengern ergänzt werden — Threema ist nicht per se unsicher, aber die Vertrauensbasis unterscheidet sich grundlegend von Signal (Community-geprüftes offenes Protokoll vs. Eigenentwicklung mit dokumentierten Schwachstellen).

Predictive-Policing-Software wie PRECOBS ist bei privatwirtschaftlichen Anbietern proprietär und wird als Betriebsgeheimnis behandelt — die Algorithmen bleiben selbst für die polizeilichen Anwender opak ("Black Box"). Es entstehen dynamische "kognitive Gefahrenzonen", in denen laut Forschung Racial Profiling begünstigt werden kann.

Wichtiger technischer Kritikpunkt: Selbst die Polizei selbst weiß teilweise nicht genau, wie die Software zu ihren Vorhersagen kommt — ein "Black Box"-Problem, das über die reine Datenschutzfrage hinausgeht und die demokratische Kontrollierbarkeit polizeilicher Entscheidungen betrifft. Das ergänzt die bereits in D3 (Palantir) dokumentierte Intransparenz-Kritik um eine weitere Facette.

Der Einsatz von Predictive Policing bei Wohnungseinbrüchen wurde inzwischen vielfach beendet oder pausiert — auch wegen mangelnder wissenschaftlicher Evidenz für die Wirksamkeit der Systeme. Parallel entstehen aber neue Formen prädiktiver Polizeiarbeit im Bereich der inneren Sicherheit, etwa bei Gefährderprognosen, Social-Media-Monitoring oder Data Mining zur Terrorismusabwehr.

Wichtiger Function-Creep-Beleg trotz Rückgangs beim ursprünglichen Anwendungsfall: Auch wenn die klassische Wohnungseinbruch-Vorhersage vielerorts zurückgefahren wurde, verschiebt sich die Technologie in neue, tendenziell eingriffsintensivere Bereiche (Gefährderprognosen, Terrorismusabwehr) — ein Muster, das dem bei A8 (Staatstrojaner: von Terror zu Alltagsdelikten) ähnelt, nur in umgekehrter Richtung (von harmlosem Delikt zu schwererem Bereich). Direkter Bezug zu D3 (Palantir), das genau in diesem Feld (Data Mining zur Gefahrenabwehr) verortet ist.

Ursprünglich 2004 als Teil einer Wahlrechtsreform eingeführt (Sorge vor unregulierter Online-Meinung bei Wahlen), wurde das System 2007 auf alle Websites mit über 100.000 täglichen Besuchern ausgeweitet. Das Gericht stellte 2012 fest: Die vorgelegten Beweise reichten nicht aus, um einen Rückgang von Hasskommentaren, Verleumdung und Beleidigungen im Internet als Folge des Systems zu belegen.

Wichtige historische Präzisierung: Das System wuchs über acht Jahre (2004→2007→2012-Ende) von einem engen Wahlrecht-Kontext zu einer allgemeinen Internetregel — ein Function-Creep-Muster in umgekehrter Zeitrichtung zu vielen anderen Blackstone-Dossiers (hier: Ausweitung, dann gerichtliche Rücknahme, nicht dauerhafte Verfestigung). Das Kern-Urteilsargument bleibt: kein belegter Wirksamkeitsnachweis.

Das KFN untersuchte 2018 in sechs großen NRW-Städten den Effekt der Videoüberwachung auf Kriminalitätsbelastung und Aufklärungsquote. Ergebnis: ein statistisch bedeutsamer, aber relativ geringer Effekt auf die Aufklärungsquote. Ein "wissenschaftlicher Nachweis eines allgemein kriminalitätsreduzierenden Effekts der Videoüberwachung" kann laut den Wissenschaftlern nicht erbracht werden — der Nutzen hänge stark von der jeweils betrachteten Deliktart ab. Gleichzeitig betonen "polizeiliche Praktiker" das wahrgenommene Potenzial der Technologie.

Sehr wichtiges, differenziertes Ergebnis — passt zum bereits etablierten F4-Muster: Weder "Videoüberwachung wirkt nicht" noch "Videoüberwachung löst alles" — die Wahrheit liegt dazwischen: geringer, aber messbarer Effekt bei der Aufklärung, kein Nachweis für allgemeine Kriminalitätsreduktion, starke Abhängigkeit von der Deliktart. Interessant: Ein Bruch zwischen wissenschaftlicher Zurückhaltung und dem gefühlten Potenzial bei der Polizei selbst — beide Perspektiven sollten in einem Blackstone-Artikel nebeneinander stehen.

Untersucht wurden sieben NRW-Städte (Düsseldorf, Mönchengladbach, Aachen, Essen, Dortmund, Duisburg, Köln). Ergebnis war uneinheitlich: In Aachen ging die Kriminalität im videoüberwachten Bereich um 9% zurück — im übrigen Stadtgebiet aber um 13%, also STÄRKER als im überwachten Bereich. In Dortmund kam es sogar zu einem Anstieg der Straßenkriminalität im videoüberwachten Bereich.

Besonders eindrückliches Detail: In Aachen sank die Kriminalität außerhalb der Kameras sogar stärker als innerhalb — ein Befund, der die reine "mehr Kameras = weniger Kriminalität"-These direkt infrage stellt. Der Anstieg in Dortmund zeigt zusätzlich: Es gibt keine Garantie, dass Kameras überhaupt in die gewünschte Richtung wirken. Diese konkreten Stadt-Einzelergebnisse sind viel überzeugender als eine abstrakte "Studien sind gemischt"-Aussage.

38% kennen Passkeys namentlich, nur 18% nutzen sie aktiv; 72% der Nutzenden haben hohes Vertrauen.

BSI-Umfrage zu Passkey-Bekanntheit/Nutzung. Keine Zahlen zu einzelnen Diensten.

Warnung vor Ausweitung polizeilicher DNA-Analyse; genetische Daten offenbaren auch Infos über Verwandte, nicht nachhaltig anonymisierbar.

DNA-Daten besonders heikel, betreffen auch Angehörige.

40 von 42 untersuchten Kita-Apps enthielten Tracking, 8 mit Sicherheitslücken zu privaten Kinderfotos.

Peer-reviewte Studie zeigt weitverbreitete Mängel bei Kita-Apps.

Nur Apple Watch bietet E2E-Verschlüsselung für Gesundheitsdaten unter 10 untersuchten Marken, nur Apple/Google veröffentlichen Transparenzberichte.

Behördenzugriff per Vorladung bei den meisten Wearables möglich.

FBI IC3: 982 SIM-Swap-Beschwerden 2024, 26 Mio. USD Verlust; UK-Fälle stiegen um 1055%, T-Mobile zu 33 Mio. USD Schadenersatz verurteilt.

SMS-2FA umgehbar durch SIM-Swapping, steigende Fallzahlen.

40% der Dashlane-Nutzer speichern mindestens einen Passkey, Google 352% mehr Passkey-Authentifizierungen.

Nur Dashlane-eigene Nutzerbasis, nicht Gesamtmarkt.

45% der Nicht-Nutzer haben nie von Passkeys gehört; Vertrauen in Hardware-Schlüssel stieg UK von 17% auf 37%.

Nur 9 Länder abgedeckt.

Jury verurteilte NSO zu 167 Mio. USD Strafschadensersatz (Mai 2025) wegen Pegasus-Hack von WhatsApp, Richter reduzierte auf 4 Mio. USD (Okt. 2025).

Umfang von NSOs Gesamtverkäufen nicht belegt.

DiGA-Freischaltung per Aktivierungscode über Kassen-App, Krankenkasse erfährt Nutzungsstart.

Exakte Nutzerzahlen/Detaildaten-Rückfluss nicht belegt.

BAG: Online-Recherche über Bewerber bei konkretem Anlass zulässig, aber Aufklärungspflicht nach Art.14 DSGVO, 1.000 Euro Schadenersatz bei Verstoß.

Praxis der Informationspflicht nicht belegt.