Quellen-Tabelle

127 zivilgesellschaftliche Organisationen, Gewerkschaften und Vertreter*innen des öffentlichen Interesses warnen: "Was als 'technische Vereinfachung' der EU-Digitalrechte dargestellt wird, ist in Wahrheit ein Versuch, Europas stärkste Schutzregeln gegen digitale Bedrohungen schrittweise und verdeckt abzubauen." Genannter Vorwurf: Dies geschehe "unter dem Radar, unter Verwendung von überstürzten und undurchsichtigen Verfahren, die darauf abzielen, eine demokratische Kontrolle zu umgehen."

Das ist der Original-Wortlaut des zentralen Protestbriefs, den Batch 58 nur über eine Sekundärquelle referenziert hatte — jetzt direkt verfügbar. Wichtig: Die Anzahl der Unterzeichner wuchs zwischen den verschiedenen Berichterstattungszeitpunkten (127 → später über 130) — normal bei einer offenen Unterschriftenliste, sollte im Artikel als "über 125" oder mit Datum angegeben werden, nicht als feste Zahl.

Die im Vorfeld geäußerten Befürchtungen haben sich laut ersten Analysen nach der offiziellen Vorstellung des Omnibus weitgehend bewahrheitet — die im Vorfeld befürchtete "Wunschliste" der großen Tech-Konzerne wurde demnach in wesentlichen Teilen tatsächlich übernommen.

Wichtiger Nachtrag zur zeitlichen Entwicklung: Die im November 2025 geäußerten Warnungen (127-Organisationen-Brief) waren zunächst Reaktionen auf einen geleakten Entwurf — dieser Artikel bestätigt aus Sicht der Kritiker, dass die finale, offizielle Fassung (19.11.2025 vorgestellt) die Befürchtungen weitgehend bestätigt statt entkräftet hat. Wichtig: Auch das ist eine Einschätzung von netzpolitik.org, keine neutrale Feststellung — sollte entsprechend attribuiert werden.

Deutsche Industrieverbände wie Bitkom, BDI und ZVEI begrüßen die Bemühungen um Bürokratieabbau und fordern teilweise noch weitergehende Erleichterungen. Die vorgeschlagenen Änderungen sollen zudem das Ende der Cookie-Banner einläuten, indem Einwilligungen künftig über Browser oder Betriebssysteme standardisiert verwaltet werden könnten.

Wichtiger, bisher nicht dokumentierter Aspekt: Der Digital Omnibus enthält offenbar auch einen Vorschlag, das in F10 (Batch 26) bereits dokumentierte "1.020 Cookie-Klicks pro Jahr"-Problem strukturell zu lösen — durch zentrale Einwilligungsverwaltung auf Browser-/Betriebssystem-Ebene statt Einzelbanner pro Website. Das wäre eine der wenigen Digital-Omnibus-Änderungen, die Blackstones eigenen Kritikpunkten (Cookie-Banner-Übermaß) tatsächlich entgegenkäme — wichtig für eine ausgewogene Darstellung: Nicht alles am Digital Omnibus ist aus Privacy-Sicht schlecht. Zusätzlich bestätigt hier erneut die bereits in Batch 22-23 dokumentierte Bitkom-Position (Regulierung als Innovationsbremse).

Auch wenn ein paar Regeln weniger unter die Räder kommen als ursprünglich befürchtet, ist der digitale Omnibus laut dieser Einschätzung tatsächlich auf Crash-Kurs mit digitalen Grundrechten — allerdings weniger drastisch als der ursprünglich geleakte Entwurf befürchten ließ.

Wichtige Nuance: Die finale Fassung war offenbar etwas weniger einschneidend als der ursprünglich geleakte Entwurf — ein Hinweis darauf, dass der öffentliche Protest (127-Organisationen-Brief, Parlaments-Widerstand) zumindest teilweise Wirkung gezeigt haben könnte, auch wenn die Grundrichtung nach dieser Einschätzung bestehen bleibt. Diese Differenzierung (schlimmer befürchtet als tatsächlich gekommen, aber immer noch problematisch) ist wichtig für Blackstones Präzisionsanspruch.

Seit dem 15. Januar 2025 gilt nach § 342 Abs. 1 SGB V ein Opt-out-Modell: Versicherten wird eine ePA automatisch eingerichtet, wenn sie nicht innerhalb von sechs Wochen nach Information widersprechen. Die bundesweite Einführung erfolgte am 29. April 2025. Grundlage sind SGB V, das Digital-Gesetz (DigiG) und das Gesundheitsdatennutzungsgesetz (GDNG) — letzteres regelt insbesondere die Nutzung von Gesundheitsdaten für Forschung.

Zentraler Systemwechsel: Bis Januar 2025 mussten Versicherte aktiv zustimmen (Opt-in), seither gilt automatische Einrichtung mit Widerspruchsmöglichkeit (Opt-out) — ein Muster, das strukturell dem bei anderen Blackstone-Dossiers dokumentierten "Standard verschiebt sich zu mehr Datenerfassung" ähnelt. Wichtig: Sechs Wochen Widerspruchsfrist ist eine kurze Zeitspanne, in der viele Menschen die Information möglicherweise übersehen könnten.

Die Umstellung auf ein Opt-out-Modell ab 2025 bedeutet, dass Patienten aktiv widersprechen müssen, wenn sie keine ePA wünschen — dies könnte laut CCC-Kritik zu unbeabsichtigter Teilnahme führen. Der CCC deckte auf seinem Jahreskongress zusätzlich weitere Sicherheitslücken auf.

Der CCC hat bei diesem Thema nicht nur eine politische Position, sondern auch tatsächlich technische Sicherheitslücken im System selbst gefunden — das ist eine stärkere Kritik-Kategorie als reine Verfahrenskritik (Opt-out vs. Opt-in), da sie auf konkrete technische Mängel verweist. Für ein vollständiges C5-Dossier sollte in einem künftigen Batch der genaue Inhalt der CCC-Sicherheitslücken-Präsentation vom 39C3 nachrecherchiert werden.

E-Rezept-Verordnungen stiegen von rund 18 Millionen (Ende 2023) auf über 540 Millionen (2024) und über 340 Millionen allein bis Ende Juli 2025 — ein "Durchbruch". Trotzdem greifen weiterhin rund 50% der Praxen parallel zur analogen Alternative, u.a. weil das E-Rezept in Haus- und Heimversorgung bisher nicht nutzbar ist. Ziel des Gesundheitsministeriums: 80% ePA-Nutzung bis 2026.

Wichtige, differenzierte Erfolgsmessung: Das E-Rezept (ein verwandtes, aber separates System zur ePA) zeigt enormes Wachstum, aber selbst dort nutzt noch die Hälfte der Praxen parallel die alte Papierform — ein Hinweis darauf, dass Digitalisierungsprojekte im deutschen Gesundheitswesen trotz beeindruckender Wachstumszahlen oft holprig in der Praxis verlaufen. Das 80%-Ziel für die ePA bis 2026 ist ambitioniert — ob es erreicht wird, wäre ein guter Punkt für die Radar-Pflege.

Langfristig sollen sämtliche Gesundheitsinformationen aller rund 74 Millionen gesetzlich Versicherten in der ePA zusammenfließen. Kastl und Tschirsich fordern drei Dinge für vertrauenswürdige digitale Infrastruktur: unabhängige externe Sicherheitsbewertung, offene und transparente Risikokommunikation, und die ePA als offenen Entwicklungsprozess über ihren gesamten Lebenszyklus zu verstehen. Ihr Fazit: "Ein großes Stück dieses Vertrauens ist heute verloren gegangen."

Wichtigste Ergänzung zum offenen Punkt aus Batch 83: Die Kritik ist nicht nur "es gibt Lücken", sondern ein grundsätzlicher Vorwurf am Entwicklungsprozess selbst — zu wenig externe Prüfung, zu wenig Transparenz. Diese drei Forderungen (externe Prüfung, Transparenz, offener Prozess) sind eine gute, konstruktive Handlungsvorlage für Blackstones eigene "Gegenmaßnahmen"-Sektion im Dossier.

Der damalige Bundesdatenschutzbeauftragte Ulrich Kelber äußerte sich zu den herabgestuften Sicherheitsstandards beim Zugriff auf die "ePA für alle": "Das wird sich noch als Fehler in der Vertrauensbildung herausstellen."

Sehr wichtiger Fund: Nicht nur der CCC, sondern die damals amtierende deutsche Bundesdatenschutzbehörde selbst kritisierte offiziell, dass die Sicherheitsstandards beim ePA-Zugriff abgesenkt wurden — eine Warnung, die sich im April 2025 laut späteren Quellen (Batch 83, 39C3-Bericht) teilweise bewahrheitete. Das ist ein Muster, das der Datenbank bereits mehrfach begegnet ist (vgl. NRW-Landesdatenschutzbeauftragte bei D3, BKA-Präsident bei A1): Amtliche Vorwarnungen, die sich später als berechtigt erweisen.

"Ende April 2025 wurde die ePA für alle dann auch wirklich für alle deutschlandweit bereitgestellt — allerdings traten am gleichen Tag die scheinbar sicher gelösten Sicherheitslücken im Zugangsmanagement wieder zu Tage und wurden alsbald wieder nur provisorisch abgedichtet."

Sehr konkreter zeitlicher Beleg: Am Tag des bundesweiten Starts selbst (nicht Wochen später) traten dieselben Sicherheitslücken erneut auf, die bereits ein Jahr zuvor (38C3) demonstriert worden waren — und wurden nur "provisorisch" behoben. Das ist ein außergewöhnlich präziser, terminlich verifizierbarer Beleg für unzureichende Nachbesserung zwischen den beiden Kongressen.

Die Angriffsvarianten sind laut Tschirsich mindestens seit 2012 bekannt. Das komplette Prozedere war mit einem Aufwand von etwa einer Stunde verbunden und ermöglichte je nach Art der Identität Zugriff auf eine einzelne ePA oder auf alle Akten einer Praxis. Wichtige methodische Selbstkritik der Forscher: "Wir haben lediglich Dinge geprüft, die uns als Erstes untergekommen sind" — keine umfassende Sicherheitsanalyse, und alle Szenarien aus der Außentäterperspektive (Innentäter-Szenarien wären zusätzlich denkbar).

Zwei sehr wichtige Präzisierungen für Blackstones Sorgfaltspflicht: Erstens sind die grundlegenden Schwachstellen-Kategorien seit 13 Jahren bekannt (2012) — das ist kein neues, sondern ein chronisches, nie vollständig gelöstes Problem. Zweitens — und das ist besonders wichtig — betonen die Forscher selbst ausdrücklich, dass sie KEINE umfassende Sicherheitsanalyse durchgeführt haben, sondern nur naheliegende Probleme prüften. Das bedeutet: Die tatsächliche Angriffsfläche könnte größer sein als bekannt — aber Blackstone sollte diese Unsicherheit auch nicht überzeichnen, sondern die eigene Zurückhaltung der Forscher genauso übernehmen.

Die Gematik (Betreiberorganisation der Telematikinfrastruktur) dankt dem CCC ausdrücklich für den Hinweis, hält das vom Hackerclub skizzierte Angriffsszenario aber für unrealistisch.

Wichtig für Ausgewogenheit: Die zuständige Betreiberorganisation widerspricht der CCC-Einschätzung nicht komplett feindselig (sie bedankt sich sogar für den Hinweis), stuft das konkrete Szenario aber als praktisch unrealistisch ein. Diese Position sollte im Blackstone-Dossier neben der CCC-Kritik stehen — auch wenn die spätere Wiederkehr derselben Lücken beim bundesweiten Start (siehe oben) die Gematik-Einschätzung nachträglich infrage stellt.

Bundeskanzler Friedrich Merz forderte am politischen Aschermittwoch der CDU: "Ich möchte wissen, wer sich da zu Wort meldet." Der Artikel selbst ordnet dies polemisch als "Ich verkrafte keine Kritik aus dem Internet" ein — betont aber auch, dass Opferschutz und Bekämpfung von Hass legitime Ziele seien.

Wichtiger Ausgangspunkt für A10: Die aktuelle Debatte geht direkt auf eine konkrete Aussage des amtierenden Bundeskanzlers zurück — kein abstraktes Verwaltungsvorhaben, sondern eine öffentliche politische Forderung. Wichtig für Blackstones Neutralität: Die süffisante "Ich verkrafte keine Kritik"-Interpretation ist eine Zuspitzung der Autorin, nicht Merz' eigene Aussage — im Artikel sollte das originale Zitat von der journalistischen Interpretation getrennt werden.

Facebook verlangte früher von Nutzern die Verwendung echter Namen; deutsche Datenschützer argumentierten, dies verstoße gegen nationales Datenschutzrecht, da Nutzer ein Recht auf Anonymität hätten. Das Oberverwaltungsgericht Hamburg entschied 2018, dass die Klarnamenpflicht von Facebook unzulässig ist.

Wichtige rechtliche Vorgeschichte: Es gibt bereits ein rechtskräftiges deutsches Gerichtsurteil, das eine private Klarnamenpflicht (durch Facebook) für unzulässig erklärt hat — das Recht auf Anonymität ist damit nicht nur eine politische Position, sondern bereits gerichtlich bestätigtes Recht. Eine heutige gesetzliche Klarnamenpflicht müsste sich also gegen diese bestehende Rechtsprechung durchsetzen, nicht auf einer rechtlichen Leerstelle aufbauen.

Eine Klarnamenpflicht ist bislang vor allem als Unterdrückungsinstrument autoritärer Länder wie China bekannt. Südkorea führte ein solches System 2007 ein und schaffte es bereits 2012 wieder ab — nach nur fünf Jahren.

Wichtiger internationaler Vergleichsfall, sehr konkret und überprüfbar: Südkorea ist ein seltenes Beispiel eines demokratischen Landes, das eine Klarnamenpflicht tatsächlich einführte UND nach wenigen Jahren wieder abschaffte — ideal für Blackstones Argumentation, da es ein "real getestetes, dann verworfenes" Beispiel liefert, nicht nur Theorie. Für ein vollständiges Dossier sollte in einem künftigen Batch der genaue Abschaffungsgrund (vermutlich Wirksamkeits- oder Verfassungsprobleme) noch recherchiert werden.

Anna Lührmann (Grüne) kritisierte im Bundestag: Eine Altersverifikation würde die Anonymität im Netz faktisch abschaffen und zu einer massiven Anhäufung privater Daten bei Plattformbetreibern führen. Bemerkenswert: Auch ein AfD-Vertreter (Rupp) betonte, mit seiner Partei werde es "keine Klarnamenpflicht" geben und bezeichnete ein Social-Media-Verbot für unter 14-Jährige als "unsäglich" — schlug stattdessen einen technischen Altersverifikations-Schlüssel für Eltern vor.

Bemerkenswerter Fund für Blackstones Neutralitätsprinzip: Bei diesem Thema gibt es eine parteiübergreifende Ablehnung, die von Grünen bis AfD reicht — wenn auch aus unterschiedlichen Motiven (die im Bundestagsprotokoll dokumentierte Vermutung, es gehe darum, den "Erfolg alternativer Medien" zu schwächen, ist eine Einschätzung des AfD-Vertreters selbst, keine neutrale Feststellung, und sollte entsprechend gekennzeichnet werden). Wichtig für Blackstone: Anders als bei vielen anderen Dossiers ist Anonymität im Netz hier kein Lagerthema zwischen "progressiv" und "konservativ", sondern wird von sehr unterschiedlichen politischen Seiten verteidigt.

Das SPD-Impulspapier von Februar 2026 sieht ein vollständiges Social-Media-Verbot für unter 14-Jährige vor und eine eingeschränkte Jugendversion für 14- bis 16-Jährige. Vorbild ist Australien: Seit dem 10. Dezember 2025 dürfen unter 16-Jährige dort keine eigenen Konten mehr bei großen Plattformen führen — betroffen sind rund 4,7 Millionen junge Menschen, erste Erfahrungen zeigen aber bereits verbreitete Umgehung über VPN.

Wichtige Verbindung zu B2 (Altersverifikation) und dem Masterplan (VPN-Kapitel): Die Klarnamen-Debatte ist eng mit der Altersverifikations-Debatte (B2) verwoben — beide zielen strukturell auf dieselbe Frage: Wie anonym darf das Internet bleiben? Sehr interessant für Blackstones eigene VPN-Empfehlungen: Das australische Vorbild zeigt in der Praxis bereits, dass technisch versierte Jugendliche solche Verbote über VPN umgehen — ein Beleg dafür, dass Verbote allein oft nicht die erhoffte Wirkung erzielen, sondern eher zu Ausweichverhalten führen (Muster ähnlich der Monero-Delisting-Erfahrung aus C4/Batch 51).

Das Verfassungsgericht entschied einstimmig (8 von 8 Richtern): "Um die Meinungsfreiheit vorsorglich einzuschränken, muss ein klarer Effekt für das Gemeinwohl vorliegen. Nach Einführung des Systems ging die Menge illegaler Postings nicht signifikant zurück — stattdessen wichen Nutzer auf ausländische Websites aus, was zu einer Umkehr-Diskriminierung zwischen inländischen und ausländischen Diensteanbietern führte."

Das ist die exakte Original-Urteilsbegründung, verifiziert an der Primärquelle: Das höchste südkoreanische Gericht stellte fest, dass die Klarnamenpflicht ihr erklärtes Ziel (weniger illegale/schädliche Postings) NICHT nachweisbar erreichte — stattdessen wichen Nutzer einfach auf ausländische Plattformen aus, was einheimische Anbieter gegenüber ausländischen benachteiligte. Das ist strukturell identisch mit dem bereits in F4 dokumentierten Muster (MPI-Studie, BKA-Positionspapier): Eine einschneidende Überwachungsmaßnahme ohne nachweisbare Wirksamkeit wurde gerichtlich gekippt.

Ursprünglich 2004 als Teil einer Wahlrechtsreform eingeführt (Sorge vor unregulierter Online-Meinung bei Wahlen), wurde das System 2007 auf alle Websites mit über 100.000 täglichen Besuchern ausgeweitet. Das Gericht stellte 2012 fest: Die vorgelegten Beweise reichten nicht aus, um einen Rückgang von Hasskommentaren, Verleumdung und Beleidigungen im Internet als Folge des Systems zu belegen.

Wichtige historische Präzisierung: Das System wuchs über acht Jahre (2004→2007→2012-Ende) von einem engen Wahlrecht-Kontext zu einer allgemeinen Internetregel — ein Function-Creep-Muster in umgekehrter Zeitrichtung zu vielen anderen Blackstone-Dossiers (hier: Ausweitung, dann gerichtliche Rücknahme, nicht dauerhafte Verfestigung). Das Kern-Urteilsargument bleibt: kein belegter Wirksamkeitsnachweis.

Als Folge der Klarnamenpflicht wurden südkoreanische Websites zu bevorzugten Zielen für Hacking-Angriffe aus dem In- und Ausland. Im prominentesten Fall wurden bei SK Communications' Sozialnetzwerk Cyworld personenbezogene Daten von über 35 Millionen Koreanern geleakt — mehr als die Hälfte der gesamten Landesbevölkerung.

Sehr starker, konkreter Honeypot-Beleg — passt exakt zu Blackstones bereits etabliertem F3-Argument: Die Klarnamenpflicht zwang Plattformen, echte Identitätsdaten aller Nutzer zentral zu speichern — genau diese Datenbank wurde gehackt und betraf über die Hälfte der südkoreanischen Bevölkerung. Das ist einer der eindrücklichsten internationalen Belege im gesamten Projekt dafür, dass zentrale Identitätsspeicher selbst zum Sicherheitsrisiko werden — nicht nur eine theoretische Sorge, sondern ein Fall mit realen 35 Millionen Betroffenen.

Deutschlands § 13 VI Telemediengesetz von 1997 (heute § 19 II TTDSG) erlaubt es nicht, Menschen zu einem Klarnamen zu zwingen, wenn dieser für den jeweiligen Internetdienst nicht notwendig ist. Am 27. Januar 2022 entschied der Bundesgerichtshof — Deutschlands höchstes Zivilgericht — dass Facebooks Pseudonymverbot für Nutzer, die sich vor Inkrafttreten der DSGVO (Mai 2018) registriert hatten, rechtswidrig ist.

Wichtige Ergänzung zum bereits dokumentierten OVG-Hamburg-Fall (Batch 85): Es gibt nicht nur ein, sondern zwei unabhängige deutsche Gerichtsentscheidungen (OVG Hamburg 2018, BGH 2022) gegen Klarnamenpflichten von Facebook — und eine seit 1997 bestehende gesetzliche Grundlage (heute TTDSG), die Anonymität explizit schützt. Deutschland hat damit eine besonders lange und gefestigte Rechtstradition zugunsten von Online-Anonymität, die eine heutige Klarnamenpflicht-Forderung vor eine hohe rechtliche Hürde stellen würde.

Die Funkzellenabfrage ermöglicht es Strafverfolgungsbehörden, nachträglich von Mobilfunkanbietern zu erfahren, welche Geräte sich zu einem bestimmten Zeitpunkt in einer abgegrenzten Funkzelle eingebucht hatten — erfasst werden ausschließlich Verbindungs- und Standortmetadaten, keine Gesprächsinhalte. Die Maßnahme wirkt "häufig streubreit", da zwangsläufig auch viele unbeteiligte Personen erfasst werden.

Grundlegende technische Erklärung: Die Maßnahme erfasst per Design nicht nur Verdächtige, sondern jeden, der zufällig zur falschen Zeit am falschen Ort ein eingeschaltetes Handy dabei hatte — ein strukturell ähnliches "Generalverdacht"-Problem wie bei A1 (Chatkontrolle) oder D3 (Palantir), hier aber bereits seit Jahren etabliertes Ermittlungsinstrument statt neuem Gesetzesvorhaben.

Im Saarland wurden binnen eines Jahres (September 2013 bis August 2014) in 175 Verfahren insgesamt 7.459.326 Datensätze erhoben — bei rund 991.000 Einwohnern ergibt das 7,5 Datensätze pro Einwohner und Jahr. Die Kosten beliefen sich auf insgesamt 34.342 Euro, eine einzelne Abfrage kostete im Schnitt knapp 200 Euro.

Das ist eine der einprägsamsten und konkretesten Einzelstatistiken im gesamten Blackstone-Projekt: Jeder Bürger im Saarland war statistisch gesehen im Schnitt 7,5 Mal pro Jahr Teil einer Funkzellenabfrage — unabhängig davon, ob er je mit einer Straftat zu tun hatte. Der günstige Preis pro Abfrage (im Schnitt 200 €) erklärt zusätzlich, warum das Instrument trotz seiner Streubreite so häufig genutzt wird — eine niedrige Kosten-Hürde begünstigt den routinemäßigen statt sparsamen Einsatz.

2017 gab es in Berlin 474 Abfragen mit 59 Millionen einzelnen Datensätzen, in 2.222 Fällen wurden Inhaberdaten von Handynummern ermittelt. Die umfangreichste Einzelabfrage erstreckte sich über 60 Stunden und umfasste über 300.000 Nummern. Die gesetzliche Grundlage (StPO) sieht die Maßnahme eigentlich nur bei schweren Straftaten mit hoher Bedeutung vor — trotzdem sei sie "alltägliches Ermittlungsinstrument, das routinemäßig eingesetzt wird".

Wichtiger Kontrast zwischen Gesetzestext und Praxis — dasselbe Muster wie bei A8 (Staatstrojaner: für Terror gedacht, gegen Drogendelikte genutzt): Die gesetzliche Hürde ("schwere Straftaten") wird formal eingehalten, aber die tatsächliche Nutzungshäufigkeit zeigt eine Normalisierung eines eigentlich als Ausnahme gedachten Instruments. 300.000 erfasste Nummern in einer einzigen Abfrage verdeutlicht zusätzlich die enorme Streubreite einzelner Maßnahmen.

Bei Ermittlungen gegen Julian Hessenthaler (bekannt durch die "Ibiza-Videos", die eine österreichische Regierungskrise auslösten) wurde laut einer CORRECTIV-Recherche offenbar auch die Kanzlei seines Berliner Anwalts Johannes Eisenberg durch eine Funkzellenabfrage miterfasst.

Sehr konkretes, politisch bedeutsames Einzelbeispiel: Wenn bei Ermittlungen gegen eine Person auch die Anwaltskanzlei erfasst wird, tangiert das den besonders geschützten Anwalts-Mandanten-Verkehr — ein Grundrechtsproblem, das über die reine "unbeteiligte Passanten"-Kritik hinausgeht und die Verteidigungsrechte einer politisch prominenten Figur berührt. Guter, einprägsamer Einzelfall für einen Blackstone-Artikel.