Quellen-Tabelle

E-Rezept-Verordnungen stiegen von rund 18 Millionen (Ende 2023) auf über 540 Millionen (2024) und über 340 Millionen allein bis Ende Juli 2025 — ein "Durchbruch". Trotzdem greifen weiterhin rund 50% der Praxen parallel zur analogen Alternative, u.a. weil das E-Rezept in Haus- und Heimversorgung bisher nicht nutzbar ist. Ziel des Gesundheitsministeriums: 80% ePA-Nutzung bis 2026.

Wichtige, differenzierte Erfolgsmessung: Das E-Rezept (ein verwandtes, aber separates System zur ePA) zeigt enormes Wachstum, aber selbst dort nutzt noch die Hälfte der Praxen parallel die alte Papierform — ein Hinweis darauf, dass Digitalisierungsprojekte im deutschen Gesundheitswesen trotz beeindruckender Wachstumszahlen oft holprig in der Praxis verlaufen. Das 80%-Ziel für die ePA bis 2026 ist ambitioniert — ob es erreicht wird, wäre ein guter Punkt für die Radar-Pflege.

Langfristig sollen sämtliche Gesundheitsinformationen aller rund 74 Millionen gesetzlich Versicherten in der ePA zusammenfließen. Kastl und Tschirsich fordern drei Dinge für vertrauenswürdige digitale Infrastruktur: unabhängige externe Sicherheitsbewertung, offene und transparente Risikokommunikation, und die ePA als offenen Entwicklungsprozess über ihren gesamten Lebenszyklus zu verstehen. Ihr Fazit: "Ein großes Stück dieses Vertrauens ist heute verloren gegangen."

Wichtigste Ergänzung zum offenen Punkt aus Batch 83: Die Kritik ist nicht nur "es gibt Lücken", sondern ein grundsätzlicher Vorwurf am Entwicklungsprozess selbst — zu wenig externe Prüfung, zu wenig Transparenz. Diese drei Forderungen (externe Prüfung, Transparenz, offener Prozess) sind eine gute, konstruktive Handlungsvorlage für Blackstones eigene "Gegenmaßnahmen"-Sektion im Dossier.

Der damalige Bundesdatenschutzbeauftragte Ulrich Kelber äußerte sich zu den herabgestuften Sicherheitsstandards beim Zugriff auf die "ePA für alle": "Das wird sich noch als Fehler in der Vertrauensbildung herausstellen."

Sehr wichtiger Fund: Nicht nur der CCC, sondern die damals amtierende deutsche Bundesdatenschutzbehörde selbst kritisierte offiziell, dass die Sicherheitsstandards beim ePA-Zugriff abgesenkt wurden — eine Warnung, die sich im April 2025 laut späteren Quellen (Batch 83, 39C3-Bericht) teilweise bewahrheitete. Das ist ein Muster, das der Datenbank bereits mehrfach begegnet ist (vgl. NRW-Landesdatenschutzbeauftragte bei D3, BKA-Präsident bei A1): Amtliche Vorwarnungen, die sich später als berechtigt erweisen.

"Ende April 2025 wurde die ePA für alle dann auch wirklich für alle deutschlandweit bereitgestellt — allerdings traten am gleichen Tag die scheinbar sicher gelösten Sicherheitslücken im Zugangsmanagement wieder zu Tage und wurden alsbald wieder nur provisorisch abgedichtet."

Sehr konkreter zeitlicher Beleg: Am Tag des bundesweiten Starts selbst (nicht Wochen später) traten dieselben Sicherheitslücken erneut auf, die bereits ein Jahr zuvor (38C3) demonstriert worden waren — und wurden nur "provisorisch" behoben. Das ist ein außergewöhnlich präziser, terminlich verifizierbarer Beleg für unzureichende Nachbesserung zwischen den beiden Kongressen.

Die Angriffsvarianten sind laut Tschirsich mindestens seit 2012 bekannt. Das komplette Prozedere war mit einem Aufwand von etwa einer Stunde verbunden und ermöglichte je nach Art der Identität Zugriff auf eine einzelne ePA oder auf alle Akten einer Praxis. Wichtige methodische Selbstkritik der Forscher: "Wir haben lediglich Dinge geprüft, die uns als Erstes untergekommen sind" — keine umfassende Sicherheitsanalyse, und alle Szenarien aus der Außentäterperspektive (Innentäter-Szenarien wären zusätzlich denkbar).

Zwei sehr wichtige Präzisierungen für Blackstones Sorgfaltspflicht: Erstens sind die grundlegenden Schwachstellen-Kategorien seit 13 Jahren bekannt (2012) — das ist kein neues, sondern ein chronisches, nie vollständig gelöstes Problem. Zweitens — und das ist besonders wichtig — betonen die Forscher selbst ausdrücklich, dass sie KEINE umfassende Sicherheitsanalyse durchgeführt haben, sondern nur naheliegende Probleme prüften. Das bedeutet: Die tatsächliche Angriffsfläche könnte größer sein als bekannt — aber Blackstone sollte diese Unsicherheit auch nicht überzeichnen, sondern die eigene Zurückhaltung der Forscher genauso übernehmen.

Die Gematik (Betreiberorganisation der Telematikinfrastruktur) dankt dem CCC ausdrücklich für den Hinweis, hält das vom Hackerclub skizzierte Angriffsszenario aber für unrealistisch.

Wichtig für Ausgewogenheit: Die zuständige Betreiberorganisation widerspricht der CCC-Einschätzung nicht komplett feindselig (sie bedankt sich sogar für den Hinweis), stuft das konkrete Szenario aber als praktisch unrealistisch ein. Diese Position sollte im Blackstone-Dossier neben der CCC-Kritik stehen — auch wenn die spätere Wiederkehr derselben Lücken beim bundesweiten Start (siehe oben) die Gematik-Einschätzung nachträglich infrage stellt.

Bundeskanzler Friedrich Merz forderte am politischen Aschermittwoch der CDU: "Ich möchte wissen, wer sich da zu Wort meldet." Der Artikel selbst ordnet dies polemisch als "Ich verkrafte keine Kritik aus dem Internet" ein — betont aber auch, dass Opferschutz und Bekämpfung von Hass legitime Ziele seien.

Wichtiger Ausgangspunkt für A10: Die aktuelle Debatte geht direkt auf eine konkrete Aussage des amtierenden Bundeskanzlers zurück — kein abstraktes Verwaltungsvorhaben, sondern eine öffentliche politische Forderung. Wichtig für Blackstones Neutralität: Die süffisante "Ich verkrafte keine Kritik"-Interpretation ist eine Zuspitzung der Autorin, nicht Merz' eigene Aussage — im Artikel sollte das originale Zitat von der journalistischen Interpretation getrennt werden.

Facebook verlangte früher von Nutzern die Verwendung echter Namen; deutsche Datenschützer argumentierten, dies verstoße gegen nationales Datenschutzrecht, da Nutzer ein Recht auf Anonymität hätten. Das Oberverwaltungsgericht Hamburg entschied 2018, dass die Klarnamenpflicht von Facebook unzulässig ist.

Wichtige rechtliche Vorgeschichte: Es gibt bereits ein rechtskräftiges deutsches Gerichtsurteil, das eine private Klarnamenpflicht (durch Facebook) für unzulässig erklärt hat — das Recht auf Anonymität ist damit nicht nur eine politische Position, sondern bereits gerichtlich bestätigtes Recht. Eine heutige gesetzliche Klarnamenpflicht müsste sich also gegen diese bestehende Rechtsprechung durchsetzen, nicht auf einer rechtlichen Leerstelle aufbauen.

Eine Klarnamenpflicht ist bislang vor allem als Unterdrückungsinstrument autoritärer Länder wie China bekannt. Südkorea führte ein solches System 2007 ein und schaffte es bereits 2012 wieder ab — nach nur fünf Jahren.

Wichtiger internationaler Vergleichsfall, sehr konkret und überprüfbar: Südkorea ist ein seltenes Beispiel eines demokratischen Landes, das eine Klarnamenpflicht tatsächlich einführte UND nach wenigen Jahren wieder abschaffte — ideal für Blackstones Argumentation, da es ein "real getestetes, dann verworfenes" Beispiel liefert, nicht nur Theorie. Für ein vollständiges Dossier sollte in einem künftigen Batch der genaue Abschaffungsgrund (vermutlich Wirksamkeits- oder Verfassungsprobleme) noch recherchiert werden.

Anna Lührmann (Grüne) kritisierte im Bundestag: Eine Altersverifikation würde die Anonymität im Netz faktisch abschaffen und zu einer massiven Anhäufung privater Daten bei Plattformbetreibern führen. Bemerkenswert: Auch ein AfD-Vertreter (Rupp) betonte, mit seiner Partei werde es "keine Klarnamenpflicht" geben und bezeichnete ein Social-Media-Verbot für unter 14-Jährige als "unsäglich" — schlug stattdessen einen technischen Altersverifikations-Schlüssel für Eltern vor.

Bemerkenswerter Fund für Blackstones Neutralitätsprinzip: Bei diesem Thema gibt es eine parteiübergreifende Ablehnung, die von Grünen bis AfD reicht — wenn auch aus unterschiedlichen Motiven (die im Bundestagsprotokoll dokumentierte Vermutung, es gehe darum, den "Erfolg alternativer Medien" zu schwächen, ist eine Einschätzung des AfD-Vertreters selbst, keine neutrale Feststellung, und sollte entsprechend gekennzeichnet werden). Wichtig für Blackstone: Anders als bei vielen anderen Dossiers ist Anonymität im Netz hier kein Lagerthema zwischen "progressiv" und "konservativ", sondern wird von sehr unterschiedlichen politischen Seiten verteidigt.

Das SPD-Impulspapier von Februar 2026 sieht ein vollständiges Social-Media-Verbot für unter 14-Jährige vor und eine eingeschränkte Jugendversion für 14- bis 16-Jährige. Vorbild ist Australien: Seit dem 10. Dezember 2025 dürfen unter 16-Jährige dort keine eigenen Konten mehr bei großen Plattformen führen — betroffen sind rund 4,7 Millionen junge Menschen, erste Erfahrungen zeigen aber bereits verbreitete Umgehung über VPN.

Wichtige Verbindung zu B2 (Altersverifikation) und dem Masterplan (VPN-Kapitel): Die Klarnamen-Debatte ist eng mit der Altersverifikations-Debatte (B2) verwoben — beide zielen strukturell auf dieselbe Frage: Wie anonym darf das Internet bleiben? Sehr interessant für Blackstones eigene VPN-Empfehlungen: Das australische Vorbild zeigt in der Praxis bereits, dass technisch versierte Jugendliche solche Verbote über VPN umgehen — ein Beleg dafür, dass Verbote allein oft nicht die erhoffte Wirkung erzielen, sondern eher zu Ausweichverhalten führen (Muster ähnlich der Monero-Delisting-Erfahrung aus C4/Batch 51).

Das Verfassungsgericht entschied einstimmig (8 von 8 Richtern): "Um die Meinungsfreiheit vorsorglich einzuschränken, muss ein klarer Effekt für das Gemeinwohl vorliegen. Nach Einführung des Systems ging die Menge illegaler Postings nicht signifikant zurück — stattdessen wichen Nutzer auf ausländische Websites aus, was zu einer Umkehr-Diskriminierung zwischen inländischen und ausländischen Diensteanbietern führte."

Das ist die exakte Original-Urteilsbegründung, verifiziert an der Primärquelle: Das höchste südkoreanische Gericht stellte fest, dass die Klarnamenpflicht ihr erklärtes Ziel (weniger illegale/schädliche Postings) NICHT nachweisbar erreichte — stattdessen wichen Nutzer einfach auf ausländische Plattformen aus, was einheimische Anbieter gegenüber ausländischen benachteiligte. Das ist strukturell identisch mit dem bereits in F4 dokumentierten Muster (MPI-Studie, BKA-Positionspapier): Eine einschneidende Überwachungsmaßnahme ohne nachweisbare Wirksamkeit wurde gerichtlich gekippt.

Ursprünglich 2004 als Teil einer Wahlrechtsreform eingeführt (Sorge vor unregulierter Online-Meinung bei Wahlen), wurde das System 2007 auf alle Websites mit über 100.000 täglichen Besuchern ausgeweitet. Das Gericht stellte 2012 fest: Die vorgelegten Beweise reichten nicht aus, um einen Rückgang von Hasskommentaren, Verleumdung und Beleidigungen im Internet als Folge des Systems zu belegen.

Wichtige historische Präzisierung: Das System wuchs über acht Jahre (2004→2007→2012-Ende) von einem engen Wahlrecht-Kontext zu einer allgemeinen Internetregel — ein Function-Creep-Muster in umgekehrter Zeitrichtung zu vielen anderen Blackstone-Dossiers (hier: Ausweitung, dann gerichtliche Rücknahme, nicht dauerhafte Verfestigung). Das Kern-Urteilsargument bleibt: kein belegter Wirksamkeitsnachweis.

Als Folge der Klarnamenpflicht wurden südkoreanische Websites zu bevorzugten Zielen für Hacking-Angriffe aus dem In- und Ausland. Im prominentesten Fall wurden bei SK Communications' Sozialnetzwerk Cyworld personenbezogene Daten von über 35 Millionen Koreanern geleakt — mehr als die Hälfte der gesamten Landesbevölkerung.

Sehr starker, konkreter Honeypot-Beleg — passt exakt zu Blackstones bereits etabliertem F3-Argument: Die Klarnamenpflicht zwang Plattformen, echte Identitätsdaten aller Nutzer zentral zu speichern — genau diese Datenbank wurde gehackt und betraf über die Hälfte der südkoreanischen Bevölkerung. Das ist einer der eindrücklichsten internationalen Belege im gesamten Projekt dafür, dass zentrale Identitätsspeicher selbst zum Sicherheitsrisiko werden — nicht nur eine theoretische Sorge, sondern ein Fall mit realen 35 Millionen Betroffenen.

Deutschlands § 13 VI Telemediengesetz von 1997 (heute § 19 II TTDSG) erlaubt es nicht, Menschen zu einem Klarnamen zu zwingen, wenn dieser für den jeweiligen Internetdienst nicht notwendig ist. Am 27. Januar 2022 entschied der Bundesgerichtshof — Deutschlands höchstes Zivilgericht — dass Facebooks Pseudonymverbot für Nutzer, die sich vor Inkrafttreten der DSGVO (Mai 2018) registriert hatten, rechtswidrig ist.

Wichtige Ergänzung zum bereits dokumentierten OVG-Hamburg-Fall (Batch 85): Es gibt nicht nur ein, sondern zwei unabhängige deutsche Gerichtsentscheidungen (OVG Hamburg 2018, BGH 2022) gegen Klarnamenpflichten von Facebook — und eine seit 1997 bestehende gesetzliche Grundlage (heute TTDSG), die Anonymität explizit schützt. Deutschland hat damit eine besonders lange und gefestigte Rechtstradition zugunsten von Online-Anonymität, die eine heutige Klarnamenpflicht-Forderung vor eine hohe rechtliche Hürde stellen würde.

Die Funkzellenabfrage ermöglicht es Strafverfolgungsbehörden, nachträglich von Mobilfunkanbietern zu erfahren, welche Geräte sich zu einem bestimmten Zeitpunkt in einer abgegrenzten Funkzelle eingebucht hatten — erfasst werden ausschließlich Verbindungs- und Standortmetadaten, keine Gesprächsinhalte. Die Maßnahme wirkt "häufig streubreit", da zwangsläufig auch viele unbeteiligte Personen erfasst werden.

Grundlegende technische Erklärung: Die Maßnahme erfasst per Design nicht nur Verdächtige, sondern jeden, der zufällig zur falschen Zeit am falschen Ort ein eingeschaltetes Handy dabei hatte — ein strukturell ähnliches "Generalverdacht"-Problem wie bei A1 (Chatkontrolle) oder D3 (Palantir), hier aber bereits seit Jahren etabliertes Ermittlungsinstrument statt neuem Gesetzesvorhaben.

Im Saarland wurden binnen eines Jahres (September 2013 bis August 2014) in 175 Verfahren insgesamt 7.459.326 Datensätze erhoben — bei rund 991.000 Einwohnern ergibt das 7,5 Datensätze pro Einwohner und Jahr. Die Kosten beliefen sich auf insgesamt 34.342 Euro, eine einzelne Abfrage kostete im Schnitt knapp 200 Euro.

Das ist eine der einprägsamsten und konkretesten Einzelstatistiken im gesamten Blackstone-Projekt: Jeder Bürger im Saarland war statistisch gesehen im Schnitt 7,5 Mal pro Jahr Teil einer Funkzellenabfrage — unabhängig davon, ob er je mit einer Straftat zu tun hatte. Der günstige Preis pro Abfrage (im Schnitt 200 €) erklärt zusätzlich, warum das Instrument trotz seiner Streubreite so häufig genutzt wird — eine niedrige Kosten-Hürde begünstigt den routinemäßigen statt sparsamen Einsatz.

2017 gab es in Berlin 474 Abfragen mit 59 Millionen einzelnen Datensätzen, in 2.222 Fällen wurden Inhaberdaten von Handynummern ermittelt. Die umfangreichste Einzelabfrage erstreckte sich über 60 Stunden und umfasste über 300.000 Nummern. Die gesetzliche Grundlage (StPO) sieht die Maßnahme eigentlich nur bei schweren Straftaten mit hoher Bedeutung vor — trotzdem sei sie "alltägliches Ermittlungsinstrument, das routinemäßig eingesetzt wird".

Wichtiger Kontrast zwischen Gesetzestext und Praxis — dasselbe Muster wie bei A8 (Staatstrojaner: für Terror gedacht, gegen Drogendelikte genutzt): Die gesetzliche Hürde ("schwere Straftaten") wird formal eingehalten, aber die tatsächliche Nutzungshäufigkeit zeigt eine Normalisierung eines eigentlich als Ausnahme gedachten Instruments. 300.000 erfasste Nummern in einer einzigen Abfrage verdeutlicht zusätzlich die enorme Streubreite einzelner Maßnahmen.

Bei Ermittlungen gegen Julian Hessenthaler (bekannt durch die "Ibiza-Videos", die eine österreichische Regierungskrise auslösten) wurde laut einer CORRECTIV-Recherche offenbar auch die Kanzlei seines Berliner Anwalts Johannes Eisenberg durch eine Funkzellenabfrage miterfasst.

Sehr konkretes, politisch bedeutsames Einzelbeispiel: Wenn bei Ermittlungen gegen eine Person auch die Anwaltskanzlei erfasst wird, tangiert das den besonders geschützten Anwalts-Mandanten-Verkehr — ein Grundrechtsproblem, das über die reine "unbeteiligte Passanten"-Kritik hinausgeht und die Verteidigungsrechte einer politisch prominenten Figur berührt. Guter, einprägsamer Einzelfall für einen Blackstone-Artikel.

Im Jahr 2025 wurden rund 35,11 Millionen Ersuchen über das Automatisierte Auskunftsverfahren bei der Bundesnetzagentur beantwortet — ein neues Allzeithoch. Staatliche Stellen wie Polizei, Geheimdienste und Zoll erhielten damit im Schnitt fast jede Sekunde einen Datensatz mit Name, Anschrift und weiteren Bestandsdaten. Diese nummernbasierten Ersuchen haben sich innerhalb von fünf Jahren verdoppelt.

Eine der einprägsamsten Zahlen im gesamten Projekt: "Öfter als jede Sekunde" ist ein extrem griffiges Bild für Community-Content — und die Verdopplung innerhalb von nur fünf Jahren zeigt einen sehr steilen, ungebremsten Wachstumstrend, kein Plateau. Wichtig für die technische Präzision: Es handelt sich um Bestandsdaten (Name, Adresse zu einer Nummer), nicht um Kommunikationsinhalte — trotzdem eine gewaltige Overwachungs-Infrastruktur allein für diese vergleichsweise "kleine" Datenkategorie.

Das BKA nutzte sein Gesichtserkennungssystem 2025 mit insgesamt rund 343.856 Suchanfragen — mehr als doppelt so oft wie im Vorjahr. Landeskriminalämter allein generierten 2024 noch rund 121.000 Anfragen, 2025 aber über 313.500. Die Bundespolizei griff zusätzlich rund 30.000 Mal auf die zentrale Fotodatenbank zu — ein Anstieg von etwa 50%.

Sehr wichtiger, hochaktueller Fund mit direktem Bezug zu D4 (Gesichtserkennung): Während D4 bisher vor allem den Frankfurt-Einzelfall und die neue Bundespolizeigesetz-Reform dokumentiert, zeigt dieser Fund die bereits *bestehende* bundesweite Nutzung der zentralen BKA-Fotodatenbank — mit einer Verdopplung allein von 2024 auf 2025. Das ist ein noch nicht in D4 erfasster, aber sehr wichtiger quantitativer Beleg für die tatsächliche Ausbreitung von Gesichtserkennung in Deutschland, unabhängig von der geplanten Reform.

Seit 2013 hatten Bürgerrechtler auf das Urteil gewartet: Das Bundesverfassungsgericht entschied, der Gesetzgeber müsse klarer definieren, welche Behörde bei welchen Anlässen welche Daten abfragen dürfe und wie diese genutzt werden dürften. Die Kläger werteten das Urteil als Teilerfolg, hätten sich aber mehr gewünscht.

Wichtige Ergänzung zur bereits in F5/B3 dokumentierten BVerfG-Rechtsprechungslinie zu Überwachungsmaßnahmen: Auch bei der Bestandsdatenauskunft gab es bereits eine verfassungsgerichtliche Klarstellung — mit dem für Blackstones Muster charakteristischen Ergebnis "Teilerfolg, aber nicht das, was sich Kläger erhofft hatten". Trotz dieser Klarstellung zeigt die aktuelle 35-Millionen-Zahl (siehe oben), dass das grundlegende Nutzungsvolumen davon unberührt weiter gewachsen ist.

Betrachtet man die Kamerazahl im Verhältnis zur Einwohnerzahl, liegt Bremen mit 10,49 Kameras pro 100.000 Menschen an der Spitze, Bayern liegt im Mittelfeld bei 1,06 Kameras, das ländlich geprägte Brandenburg mit 0,31 Kameras pro 100.000 Einwohnern im unteren Bereich — ein Unterschied um mehr als das 30-fache zwischen Bremen und Brandenburg.

Sehr aussagekräftige Zahl für Blackstone: Die Kameradichte unterscheidet sich zwischen deutschen Bundesländern um mehr als das 30-fache — das zeigt, dass es keine bundesweit einheitliche "Notwendigkeit" für ein bestimmtes Überwachungsniveau gibt, sondern sehr unterschiedliche politische Entscheidungen in den einzelnen Ländern. Wichtige methodische Einschränkung der Erhebung selbst: Nur dauerhaft installierte Kameras auf Straßen/Plätzen wurden gezählt — Bahnhöfe, Flughäfen, Autobahnen und Objektschutz-Kameras (Synagogen etc.) sind NICHT enthalten, die tatsächliche Gesamtzahl liegt also deutlich höher.

Die Bundesbeauftragte für Datenschutz und Informationsfreiheit bewertet die Ausweitung der Videoüberwachung kritisch — nach ihrer Einschätzung stellt sie einen tiefen Eingriff in Grundrechte dar.

Wichtige amtliche Kritik-Quelle, passend zum bereits mehrfach in der Datenbank dokumentierten Muster (BfDI-Kritik bei A1, C5) — die deutsche Datenschutzbehörde positioniert sich auch bei diesem, eher "klassischen" Überwachungsthema kritisch, nicht nur bei neuen digitalen Instrumenten.

Faeser: "Die moderne Videotechnik ist jetzt an allen großen Bahnhöfen in Deutschland im Einsatz. Die Bundespolizei kann heute drei Mal mehr Straftaten mit Videotechnik aufklären als noch 2019." Insgesamt sind rund 11.000 Kameras an Bahnhöfen im Einsatz.

Wichtig für Blackstones Wirksamkeits-Prüfung (F4): Diese "3x mehr Aufklärung"-Behauptung stammt direkt von der zuständigen Ministerin — anders als bei vielen anderen Blackstone-Dossiers (Chatkontrolle, Vorratsdatenspeicherung) gibt es hier eine konkrete, öffentlich kommunizierte Erfolgszahl. Für ein vollständiges D7-Dossier sollte diese Zahl in einem künftigen Batch unabhängig verifiziert werden (z. B. über die zugrundeliegende Bundespolizei-Kriminalstatistik) — sie könnte tatsächlich eines der stärksten PRO-Argumente in der gesamten Blackstone-Datenbank sein, wenn sie sich bestätigt, oder ein Beispiel für unbelegte Erfolgsbehauptungen, falls nicht.