Quellen-Tabelle

Deutsche Aufsichtsbehörde konkretisiert die MiCA-Anforderungen für Kryptowerte-Dienstleister; Übergangsregelungen erlauben bereits nach deutschem Recht zugelassenen Instituten die Fortführung ihrer Dienstleistungen unter bestimmten Bedingungen.

Die deutsche Finanzaufsicht hat einen eigenen Leitfaden veröffentlicht, wie Krypto-Firmen das EU-Gesetz konkret umsetzen müssen — wichtig für den Masterplan-Abschnitt zu deutschen vs. ausländischen Krypto-Anbietern.

Die Interoperabilitätspflicht aus Art. 6(7) verlangt von "Gatekeepern", Dritten Zugang zu denselben Betriebssystem-Hardware- und Software-Funktionen zu gewähren, die den eigenen Diensten des Gatekeepers zur Verfügung stehen — damit Dritte fair mit dem Gatekeeper konkurrieren können.

Das ist das Gesetz, das große Tech-Konzerne zwingt, ihre Systeme für andere Firmen zu öffnen — zum Beispiel Apps außerhalb des offiziellen App Stores zuzulassen. Ziel ist Wettbewerb, nicht in erster Linie Überwachung.

Die Europäische Kommission hat Apple am 5. September 2023 als Gatekeeper in Bezug auf iOS, App Store und Safari benannt, und am 29. April 2024 zusätzlich für iPadOS.

Formaler Fakt: Apple ist offiziell als eines der mächtigsten "Torwächter"-Unternehmen eingestuft — das ist die Voraussetzung dafür, dass die strengeren DMA-Pflichten überhaupt für Apple gelten.

Apple erklärt, der DMA verändere viele Teile der Nutzererfahrung in der EU — von App-Downloads und Zahlungen bis zur Zusammenarbeit zwischen Apple-Produkten — und listet "mehr Risiken beim App-Download und bei Zahlungen" als eine der Auswirkungen für EU-Nutzer.

Wichtig für Ausgewogenheit: Apple selbst warnt öffentlich, dass die erzwungene Öffnung (z. B. Sideloading) neue Sicherheitsrisiken für Nutzer schaffen könnte. Das ist die Gegenposition zur reinen "mehr Wettbewerb ist immer gut"-Sicht — beide Seiten gehören ins Dossier.

Der CRA ist seit dem 10. Dezember 2024 in Kraft; er ist eine EU-Verordnung und damit — anders als die NIS-2-Richtlinie — direkt in allen Mitgliedstaaten anwendbar, ohne dass es einer nationalen Umsetzung bedarf.

Das ist das neue EU-Gesetz für Cybersicherheit bei allen vernetzten Geräten und Software — von der smarten Heizung bis zum Betriebssystem. Es gilt automatisch in ganz Europa, ohne dass Deutschland es extra ins eigene Recht übersetzen muss.

Kern des EMFA ist die Garantie redaktioneller Unabhängigkeit der Medien und der Schutz journalistischer Arbeit vor staatlicher Einflussnahme; das Gesetz enthält verbindliche Regeln für Medienunternehmen, Online-Plattformen und Behörden.

Das ist NICHT das Gesetz, das öffentlich-rechtliche Sender bevorzugt zeigen lässt — es ist in erster Linie ein Schutzgesetz gegen politische Einmischung in Medien (Stichwort Ungarn, Polen). Die "Priorisierung"-Frage aus den ursprünglichen Notizen steckt in einem einzelnen Artikel (Art. 18), nicht im ganzen Gesetz — siehe nächste Quelle.

Nach Art. 18 EMFA haben anerkannte Medien das Recht, vor einer Entfernung ihrer Inhalte über die Gründe informiert zu werden und innerhalb von 24 Stunden zu reagieren; ihre Beschwerden werden prioritär behandelt. Art. 18 stellt eine klare Abweichung von Art. 17 DSA dar und schafft einen privilegierten Status für traditionelle Medien. Wichtig: Art. 18 gilt NICHT für systemische Risiken wie Desinformation — das Medienprivileg betrifft nicht die Moderation durch die Plattformen selbst in diesen Fällen.

Hier ist die präzise Wahrheit hinter der vereinfachten Behauptung: Medien werden nicht generell "bevorzugt angezeigt" — sie bekommen nur ein Vorwarn- und Widerspruchsrecht, BEVOR eine Plattform ihre Inhalte löscht. Das ist etwas anderes als erzwungene Sichtbarkeit. Wichtige Einschränkung: Bei Desinformation gilt dieser Schutz nicht.

Ein Positionspapier des BKA besagt: Gemessen an den wahrscheinlichsten Fallkonstellationen wäre eine Speicherverpflichtung von 2 bis 3 Wochen auch bei besonderen (terroristischen) Gefahrenlagen regelmäßig ausreichend; bei 14 Tagen Speicherdauer geht man von einer erfolgreichen Zuordnung von 84,5 % der angefragten IP-Adressen aus, was sich bei 21 Tagen auf 88,4 % steigern ließe.

Bemerkenswerter Fund: Die Polizeibehörde selbst (BKA) hält laut diesem Papier deutlich kürzere Speicherfristen (2–3 Wochen) für praktisch ausreichend — der Gesetzentwurf sieht aber drei Monate vor. Das ist ein starkes, unabhängig belegtes Argument gegen die Verhältnismäßigkeit der geplanten Frist, direkt aus einer Sicherheitsbehörde, nicht von Privacy-Aktivisten.

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

Der offene Brief von 371 Sicherheits- und Datenschutz-Wissenschaftlern aus 29 Ländern (Anmerkung: spätere Berichterstattung, siehe unten, nennt 419) fordert ein Moratorium, "bis der wissenschaftliche Konsens über Nutzen und Schaden von Altersprüfungstechnologien steht". Eine spätere Quelle (TechRadar, siehe vorheriges Batch) beziffert die Unterzeichnerzahl mit "419 Datenschutz- und Sicherheitswissenschaftler". Die Diskrepanz erklärt sich plausibel durch nachträgliche Unterzeichnungen — die Petition blieb offenbar offen.

Wichtige Präzisierung für Blackstone: Es gibt nicht eine feste Zahl "400+", sondern die Petition wuchs über Zeit (mindestens 371, später mindestens 419 Unterzeichner aus rund 29–32 Ländern je nach Erfassungszeitpunkt). Im Dossier sollte "über 400 Wissenschaftler aus rund 30 Ländern (Zahl wächst)" stehen statt einer falsch-präzisen Einzelzahl — das ist selbst die ehrlichste Darstellung.

Das Recht auf informationelle Selbstbestimmung, hergeleitet aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG, gewährt dem Einzelnen die Befugnis, selbst darüber zu bestimmen, ob und inwiefern persönliche Daten verwendet und preisgegeben werden. Beschränkungen sind nur im überwiegenden Allgemeininteresse und aufgrund einer verfassungsmäßigen gesetzlichen Grundlage zulässig.

Das ist die Geburtsurkunde des deutschen Datenschutzes: Ein Gericht hat schon 1983 entschieden, dass jeder selbst bestimmen darf, wer was über einen weiß — und dass der Staat das nur in engen Grenzen einschränken darf. Jede spätere Debatte über Chatkontrolle, Vorratsdatenspeicherung usw. steht im Schatten dieses einen Urteils.

Bewusster Querverweis statt Doppelerfassung — dieselbe Quelle dient sowohl als Dossier-Beleg (B3) als auch als rechtliches Fundament (F5). Zeigt: Die Datenbank sollte bei Überschneidungen auf bestehende IDs verweisen statt zu duplizieren.

Diese Quelle steht schon in der Datenbank (unter B3) — hier nur als Hinweis, dass sie auch als grundlegendes Rechtsprinzip zählt.

Das Tor-Netzwerk besteht aus über 6.500 freiwillig betriebenen Relays und mehr als 3.000.000 Nutzern; zusätzlich ermöglichen über 1.900 Bridges Zugang in Ländern, in denen Tor zensiert wird, für über 40.000 Nutzer. Daten stehen unter CC0 (gemeinfrei) zur freien Nutzung.

Das ist die offizielle, öffentlich einsehbare Nutzerstatistik von Tor direkt vom Betreiber selbst — nicht geschätzt von Dritten, sondern die Primärquelle. Ideal zum Beleg von Aussagen wie "Millionen Menschen nutzen bereits Anonymisierungs-Netzwerke".

Aufgrund der Anonymitäts-Eigenschaft von Tor werden keine identifizierenden Daten erhoben; stattdessen werden Anfragen an Verzeichnisserver gezählt und Nutzerzahlen indirekt geschätzt. Das Ergebnis ist eine durchschnittliche Zahl gleichzeitiger Nutzer — es kann nicht gesagt werden, wie viele unterschiedliche Einzelpersonen dahinterstehen.

Wichtig für korrekte, ehrliche Zitation: Tor selbst sagt offen, dass "3 Millionen Nutzer" eine Schätzung von gleichzeitigen Verbindungen ist, keine Zählung realer Personen. Blackstone sollte diese Einschränkung immer mitnennen, wenn die Zahl verwendet wird — genau der Ehrlichkeits-Standard aus Prinzip 0.

Die Vorratsdatenspeicherung hat laut dem Gutachten keinen messbaren Einfluss auf Aufklärungsquoten. Für den Untersuchungszeitraum 1987 bis 2010 kann der Wegfall der Vorratsdatenspeicherung nicht als Ursache für Bewegungen in der Aufklärungsquote herangezogen werden — dieser Befund gilt insbesondere für Computerkriminalität und Internetkriminalität.

Das ist die wohl wichtigste Einzelquelle im gesamten Themenfeld "Wirkt Überwachung überhaupt?": Das eigene Justizministerium hat eine 271-seitige wissenschaftliche Studie in Auftrag gegeben — und das Ergebnis war, dass die ständig behauptete "Schutzlücke" ohne Vorratsdatenspeicherung nicht nachweisbar ist. Das ist kein Aktivisten-Papier, sondern eine im Regierungsauftrag erstellte Studie.

Die Studie untersucht, wie der Traffic zu Wikipedia-Artikeln über privatsphäre-sensible Themen nach der öffentlichen Bekanntwerdung der NSA/PRISM-Überwachung im Juni 2013 zurückging — sie findet nicht nur einen statistisch signifikanten unmittelbaren Rückgang, sondern auch eine dauerhafte Veränderung im langfristigen Trend.

Das ist der wissenschaftliche Beleg für ein Kernargument von Blackstone: Überwachung verändert das Verhalten von Menschen, die nichts Illegales tun — sie lesen einfach weniger über bestimmte Themen aus Angst, verdächtig zu wirken. Das ist keine Vermutung, sondern mit echten Wikipedia-Zugriffszahlen belegt.

Erstmals werden über alle betrachteten Alltagszahlungen hinweg mehr Transaktionen bargeldlos als mit Bargeld abgewickelt; zugleich bleibt Bargeld produktbezogen das am häufigsten genutzte Zahlungsmittel an der Ladenkasse und spielt insbesondere bei Zahlungen zwischen Privatpersonen und bei Spenden eine zentrale Rolle.

Historischer Wendepunkt laut offizieller Bundesbank-Studie: 2025 wurde in Deutschland zum ersten Mal mehrheitlich bargeldlos bezahlt. Trotzdem bleibt Bargeld an der Ladenkasse selbst noch die Nummer eins — die Studie unterscheidet zwischen "alle Zahlungsarten zusammengezählt" und "Zahlungen im Geschäft".

55 Prozent aller Einkäufe liefen 2025 bargeldlos, 45 Prozent mit Schein und Münze — Schein und Münze bleiben trotzdem, vor allem weil die Mehrheit das so will.

Präzise Prozentzahlen zum Wendepunkt, gut zitierfähig für einen Blackstone-Artikel. Der Nachsatz ist wichtig: Der Rückgang ist Verhaltensänderung, keine Verdrängung von oben — die Menschen entscheiden sich zunehmend selbst für bargeldlos.

Ältere Menschen, Personen mit gesundheitlichen Einschränkungen, niedrigem Einkommen oder geringer digitaler Erfahrung nutzten häufiger Bargeld. Unabhängig von den persönlichen Vorlieben halten es 80 Prozent der Befragten für wichtig, dass weiterhin bar bezahlt werden kann.

Sehr starker Fakt für den Masterplan-Abschnitt zu Bargeld: 8 von 10 Menschen in Deutschland — nicht nur Bargeld-Nutzer selbst — finden es wichtig, dass die Option grundsätzlich bestehen bleibt. Das ist eine breite gesellschaftliche Mehrheit, kein Nischen-Anliegen von Privacy-Aktivisten.

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

280.000 neue Schadprogrammvarianten pro Tag und im Schnitt 119 neue Sicherheitslücken täglich; parallel beziffert der Digitalverband Bitkom den jährlichen Schaden durch Cyberangriffe für die deutsche Wirtschaft auf 202,4 Milliarden Euro.

Einprägsame Zahl für Community-Content: Fast eine Viertelmillion neuer Schadprogramme — pro Tag, nicht pro Jahr. Zeigt die Größenordnung der Bedrohung, gegen die z. B. auch zentrale Behörden-Datenbanken (etwa aus dem CRA-Meldesystem, Dossier D2) verteidigt werden müssten.

950 angezeigte Ransomware-Fälle im Berichtszeitraum, davon 72 Prozent mit zusätzlichem Datenleak; laut Bitkom-Wirtschaftsschutzstudie 2025 wurden 87 Prozent aller deutschen Unternehmen in den letzten zwölf Monaten Opfer eines Angriffs, Gesamtschaden 289,2 Milliarden Euro.

Konkrete Größenordnung: Fast 9 von 10 deutschen Unternehmen wurden binnen eines Jahres angegriffen — und bei drei von vier Ransomware-Fällen wurden zusätzlich Daten gestohlen und veröffentlicht. Das untermauert sehr konkret, warum "zentral gespeicherte Daten = Risiko" keine abstrakte Behauptung ist.

Im Gesamtjahr 2025 kommt Alphabet auf einen Umsatz von 402,8 Milliarden US-Dollar, ein Plus von 15 Prozent gegenüber dem Vorjahr; der Nettogewinn stieg um 32 Prozent auf 132,2 Milliarden US-Dollar. Von den 82,28 Milliarden Dollar Werbeumsatz im vierten Quartal wurden 74,4 Milliarden Dollar auf Google-eigenen Seiten generiert.

Größenordnung zum Einordnen: Ein einziger Konzern verdient über 400 Milliarden Dollar im Jahr, der überwiegende Teil davon mit Werbung — also mit dem Verkauf von Aufmerksamkeit, die auf Nutzerdaten basiert. Das ist die wirtschaftliche Grundlage, warum Datensammlung so profitabel und damit auch politisch schwer einzuhegen ist.

Basierend auf den Ansichten von 27.000 Europäern zeigen die Eurobarometer-Ergebnisse, dass 73% der Befragten von mindestens einem der sechs getesteten DSGVO-Rechte gehört haben; am bekanntesten sind das Auskunftsrecht (65%), das Recht auf Berichtigung (61%), das Widerspruchsrecht gegen Direktmarketing (59%) und das Recht auf Löschung (57%). Nur 20% der Befragten gaben an, dass sie die Nutzungsbedingungen zur Erhebung und Nutzung ihrer Daten online tatsächlich lesen, nur 13% lesen Datenschutzerklärungen vollständig.

Wichtiger, ehrlicher Fund für Blackstone: Die meisten Europäer kennen ihre Datenschutzrechte zumindest teilweise — aber fast niemand liest tatsächlich die Datenschutzerklärungen, die sie ständig akzeptieren. Das zeigt eine Lücke zwischen theoretischem Bewusstsein und echtem Schutz im Alltag — genau die Lücke, die Blackstones praktische Guides schließen könnten.

Das Signal-Protokoll ist ein kryptografisches Messaging-Protokoll, das Ende-zu-Ende-Verschlüsselung für Instant Messaging bereitstellt und in WhatsApp, Wire und Facebook Messenger verwendet wird — mit zusammen deutlich über einer Milliarde aktiver Nutzer.

Das ist der wissenschaftliche Beweis, dass Signals Verschlüsselung tatsächlich hält, was sie verspricht — nicht nur eine Marketing-Behauptung, sondern mathematisch von unabhängigen Kryptografie-Forschern nachgewiesen. Wichtig: Dasselbe Protokoll steckt auch in WhatsApp — der Unterschied liegt woanders (z. B. Metadaten, Backups), nicht in der Kern-Verschlüsselung selbst.