Quellen-Tabelle

ProtonVPN absolvierte im Juli 2025 zusätzlich ein SOC 2 Type II-Audit für operative Sicherheit; alle Auditberichte sind auf der ProtonVPN-Transparenzseite öffentlich einsehbar, ohne Anmeldung oder bezahltes Konto. Vier aufeinanderfolgende Jahre mit derselben Schlussfolgerung vom selben Prüfer, mit dem vollständigen Bericht statt einer Marketing-Zusammenfassung, schafft echtes Vertrauen.

Wichtiger Unterschied zu einmaligen Prüfungen: Proton lässt sich vom selben unabhängigen Prüfer über vier Jahre hinweg wiederholt kontrollieren — das zeigt, dass die "keine Logs"-Behauptung nicht nur zum Stichtag stimmt, sondern dauerhaft gelebte Praxis ist.

Cure53 veröffentlicht fortlaufend Audit- und Pentest-Reports zu einer Vielzahl von Privacy- und Security-Tools — darunter u. a. KeePassium (Passwortmanager), Obsidian (Notiz-App mit Sync/Verschlüsselung), Nym (VPN/Mixnet-Infrastruktur), ExpressVPN und verschiedene Krypto-Wallet-Anbieter.

Diese eine Seite ist eine Fundgrube für künftige Batches: Fast jedes im Masterplan empfohlene Tool-Kapitel (Passwortmanager, Notizen/Cloud, VPN, Wallets) hat hier einen öffentlich einsehbaren, unabhängigen Prüfbericht. Für Blackstone empfiehlt sich, diese Seite als laufende Quelle im Workflow zu verankern statt einmalig abzufragen.

Aadhaar ist mit rund 134 Crore (1,34 Milliarden) aktiven Aadhaar-Inhabern das weltweit größte biometrische Identitätssystem und hat mehr als 16.000 Crore (160 Milliarden) Authentifizierungs-Transaktionen abgewickelt. Die Regierung erklärte im Parlament, dass bis heute kein Datenleck aus der zentralen UIDAI-Datenbank selbst erfolgt sei.

Wichtig für Fairness: Die Regierung selbst bestreitet, dass die zentrale Datenbank je gehackt wurde — sie schiebt gemeldete Lecks auf Missbrauch an einzelnen Zugangspunkten. Für Blackstone-Artikel wichtig, beide Seiten zu zeigen: die Regierungsposition UND die zahlreichen dokumentierten Einzelfälle (siehe andere Quellen) — der Streit dreht sich auch darum, was als "Datenbank-Breach" zählt.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat eine Empfehlung angenommen, die EU-Länder auffordert, den Rollout der EU-Altersverifikations-App zu beschleunigen, mit dem Ziel, sie bis Ende 2026 verfügbar zu machen. EU-Länder können sie als eigenständige App oder integriert in die EUDI-Wallets anbieten.

Wichtige Rechtsform-Feinheit: Das ist eine "Empfehlung" (Recommendation), kein verbindlicher Rechtsakt — die Kommission kann Länder drängen, aber nicht zwingen. Trotzdem hoher politischer Druck mit konkretem Datum (Ende 2026).

Der Bundestag befasste sich am 24. Juni 2026 mit der IP-Adressspeicherung (Drucksachen 21/6581, 21/7154); die Vorlage wurde an die Ausschüsse überwiesen, Federführung beim Ausschuss für Recht und Verbraucherschutz. Der Bundesrat begrüßt den Entwurf als "wesentlichen Beitrag zur inneren Sicherheit" und plädiert zusätzlich dafür, den Datenzugriff auch für Landes-Gefahrenabwehrbehörden sowie die Verfassungsschutzbehörden der Länder zu öffnen.

Wichtige Verschärfung gegenüber dem ursprünglichen Entwurf: Der Bundesrat will den Kreis der zugriffsberechtigten Behörden noch erweitern — über Strafverfolgung hinaus auch auf Verfassungsschutz. Das ist ein sehr konkretes, aktuelles Beispiel für Function Creep bereits im laufenden Gesetzgebungsverfahren, nicht erst nach Verabschiedung.

Das erste formelle DSA-Verfahren wurde im Dezember 2023 gegen X eröffnet; im Dezember 2025 folgte eine Geldbuße in Höhe von 120 Millionen Euro wegen Transparenzpflicht-Verstößen. Für Meta wurden im April 2024 formelle Verfahren zu Facebook und Instagram eingeleitet; bei Shein und Temu setzte die Kommission zunächst auf formelle Auskunftsverlangen.

Der DSA ist nicht mehr nur Theorie: Die erste konkrete Millionenstrafe (120 Mio. €) ist bereits verhängt. Für Blackstone wichtig, weil das zeigt, dass die im Dossier beschriebenen Overblocking-Anreize jetzt mit echtem finanziellem Druck unterlegt sind — Plattformen haben ein reales Bußgeldrisiko vor Augen, nicht nur ein theoretisches.

Über 70 Trusted Flagger mit unterschiedlicher Fachexpertise wurden bereits EU-weit benannt, darunter die Bank of Ireland (spezialisiert auf Finanzbetrug), Someturva (Online-Belästigung, u. a. nicht-einvernehmliche Verbreitung intimer Inhalte) und Child Focus (Kindesmissbrauchsmaterial). Der Leitlinienentwurf präzisiert die Kriterien und das Verfahren, nach dem Digital Services Coordinators diesen Status verleihen.

Wichtige Größenordnung, die vorher fehlte: Es sind nicht nur die vier deutschen Organisationen, sondern über 70 EU-weit — mit sehr unterschiedlichen, teils spezialisierten Themenfeldern. Das zeigt: Das System ist inzwischen deutlich ausgebaut, nicht mehr im Anfangsstadium.

Nach Sammlung des Feedbacks plant die Kommission, die Leitlinien in der zweiten Jahreshälfte 2026 zu verabschieden.

Konkretes Datum für die Blackstone-Redaktion: Die finalen Trusted-Flagger-Leitlinien kommen voraussichtlich noch dieses Jahr — ein guter Anlass für einen Update-Artikel, sobald sie veröffentlicht sind.

Eine Gruppe technischer Sachverständiger führte im Rahmen der DMA-Evaluierung eine gründliche technische Analyse der Interoperabilität durch — sowohl horizontal (Verbindung zwischen Nutzern verschiedener sozialer Netzwerke) als auch vertikal (Drittanbieter-Zusatzdienste). Die Kommission zieht insgesamt eine positive Bilanz und sieht mehr Auswahl für europäische Verbraucher.

Das ist der offizielle Zwischenbericht der Kommission nach zwei Jahren DMA — Primärquelle für die Selbsteinschätzung der Behörde. Wichtig: horizontale Interoperabilität zwischen verschiedenen sozialen Netzwerken wird technisch sogar als grundsätzlich möglich eingeschätzt — das wäre ein großer Schritt (z. B. Nachrichten zwischen verschiedenen Messenger-Apps austauschen können).

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.

Joachim Türk vom Kinderschutzbund betonte 2023, die Verordnung habe bei aller Kritik auch gute Seiten — er unterstütze etwa die Einrichtung einer europäischen Behörde. Fatal wäre es, wenn das Dunkelfeld sexualisierter Gewalt gegen Kinder mangels Scans nicht weiter bearbeitet würde. Gleichzeitig betonte er: Auch Kinder hätten ein Recht auf vertrauliche Kommunikation — "Diese Überzeugung macht es uns unmöglich, die anlasslose Chatkontrolle als Option zu akzeptieren."

Das ist die differenzierteste, fairste Stimme im ganzen Dossier: Eine Kinderschutzorganisation, die das Grundanliegen ernst nimmt (Dunkelfeld bekämpfen, neue EU-Behörde begrüßen) und TROTZDEM die anlasslose Variante ablehnt — weil auch Kinder ein Recht auf Privatsphäre haben. Zeigt: Es ist keine einfache Zwei-Lager-Debatte "Kinderschutz vs. Privatsphäre", sondern Kinderschutz-Experten selbst sehen beide Werte als vereinbar mit Kritik an der konkreten Umsetzung.

Das Ziel, die Online-Verbreitung des sexuellen Kindesmissbrauchs zu stoppen, ist überaus wichtig und grundsätzlich zu unterstützen — jedoch schießt der EU-Gesetzgeber mit seinem Vorschlag deutlich über das verfolgte Ziel hinaus, da die Chatkontrolle kaum Schutz für Kinder biete, aber Europas Einstieg in eine anlasslose und flächendeckende Überwachung der privaten Kommunikation wäre.

Die deutsche Datenschutzbehörde selbst formuliert hier das Grundmuster der differenzierten Kritik: Ziel richtig, Mittel unverhältnismäßig. Wichtig als Formulierungsvorlage für Blackstones eigene Position — nicht "Kinderschutz ist vorgeschoben", sondern "das Ziel ist legitim, das Werkzeug ist trotzdem falsch".

Die EZB peilt eine mögliche Erstausgabe des digitalen Euro im Jahr 2029 an, unter der Annahme, dass die europäischen Gesetzgeber die Verordnung im Laufe von 2026 verabschieden. Eine Pilotphase mit ersten Transaktionen könnte bereits ab Mitte 2027 beginnen. Die Auswahl der Anbieter für die Service-Plattform (DESP) wurde als wichtiger Meilenstein erreicht.

Offizielle Selbstauskunft der Zentralbank zum aktuellsten Fahrplan-Stand — die Vorbereitungsphase (November 2023 bis Oktober 2025) ist formal abgeschlossen, jetzt beginnt die konkrete technische Umsetzung parallel zum politischen Prozess.

Auf Anfrage der Mitgesetzgeber analysierte die EZB die finanzstabilitätsbezogenen Effekte hypothetischer Haltegrenzen zwischen 500€ und 3.000€ pro Person, sowohl im Normalbetrieb als auch in extremen Flucht-in-Sicherheit-Szenarien. Die EZB betont, dies sei eine technische Antwort, nicht die eigene Positionierung zu einer angemessenen Höhe. Banken im Euroraum müssten laut EZB-Schätzung 4,0 bis 5,8 Milliarden Euro über vier Jahre investieren, um Systeme anzubinden.

Konkrete Zahlen für die "wie viel Geld darf ich im digitalen Euro halten"-Frage, die in Dossier C1 bisher nur als "offener Punkt" stand: Die Bandbreite liegt zwischen 500 und 3.000 Euro pro Person — und selbst die Umstellung für Banken kostet mehrere Milliarden. Wichtig: Die EZB positioniert sich bewusst nicht selbst zur genauen Zahl, das ist Sache der Gesetzgeber.

Ab Ende 2031 sollen klassische Verfahren wie RSA oder ECC nur noch in Kombination mit Post-Quanten-Kryptografie eingesetzt werden. Für besonders kritische Anwendungen gilt die Frist bereits ab Ende 2030, digitale Signaturen bekommen bis Ende 2035 Zeit. Das BSI setzt auf einen hybriden Ansatz: Bewährte Verfahren werden nicht verboten, sondern mit quantensicheren Algorithmen kombiniert.

Konkrete, von der deutschen IT-Sicherheitsbehörde selbst gesetzte Fristen: Ab 2030/2031 muss zusätzlich zur normalen Verschlüsselung eine quantencomputer-sichere Methode verwendet werden. Wichtig für den Masterplan-Bereich Technik-Grundlagen: zeigt, dass "sichere Verschlüsselung" kein statischer Zustand ist, sondern sich technisch weiterentwickeln muss.

Das BSI hat zusammen mit Partnern aus 17 europäischen Staaten im November 2024 eine gemeinsame Erklärung zum Thema Post-Quanten-Kryptografie veröffentlicht, die von Wirtschaft, Betreibern kritischer Infrastruktur sowie öffentlicher Verwaltung den Übergang fordert; inzwischen haben Partner aus drei weiteren europäischen Staaten unterzeichnet.

Europaweite Koordination bei der Verschlüsselungs-*Stärkung* — zeigt den Umfang der Kooperation zwischen europäischen Sicherheitsbehörden bei diesem Thema, als Kontrast zur "Going Dark"-Verschlüsselungs-Schwächung im selben Politikfeld (siehe A5).

Aktuelle Schätzung für den "Q-Day" (Zeitpunkt, ab dem Quantencomputer kryptografisch relevant werden): 10–15 Jahre — nach unten korrigiert von zuvor 20 Jahren, aufgrund wichtiger technologischer Durchbrüche. Die BSI-Empfehlungen geben klare Fristen für die PQC-Migration: 2032 allgemein, 2030 für kritische Infrastruktur.

Wichtige Einordnung: Die Einschätzung, wann Quantencomputer eine echte Bedrohung für heutige Verschlüsselung werden, wurde selbst schon einmal nach vorne korrigiert (von 20 auf 10-15 Jahre) — das zeigt, wie dynamisch sich diese Einschätzung entwickelt und warum die BSI-Fristen eher vorsichtig-frühzeitig als übertrieben wirken.

Die registrierten Straftaten sind 2025 um 5,6% gegenüber dem Vorjahr zurückgegangen, auch unter Berücksichtigung der Cannabis-Teillegalisierung bleibt ein Rückgang von 4,7%. Die Aufklärungsquote bleibt mit 57,9% stabil auf dem Niveau der Vorjahre (2024: 58,0%).

Wichtige Basiszahl: Die allgemeine Kriminalität in Deutschland sinkt, die Aufklärungsquote bleibt seit Jahren stabil bei knapp 58% — unabhängig von den zwischenzeitlich diskutierten neuen Überwachungsinstrumenten. Guter Beleg für die Frage, ob mehr Überwachung überhaupt nötig wäre, um das aktuelle Sicherheitsniveau zu halten.

Die Zahl der Auslandstaten (207.888) übersteigt die Inlandstaten (126.034) inzwischen deutlich. Die Aufklärungsquote spiegelt dieses Ungleichgewicht: Inland 31,4%, Ausland nur 2,0%.

Das ist der wichtigste Einzelfund dieses Batches für Blackstones Argumentation: Zwei Drittel aller Cyberstraftaten gegen Deutschland kommen aus dem Ausland — dort liegt die Aufklärungsquote bei gerade einmal 2%. Das ist ein starkes Argument gegen die Wirksamkeit von Instrumenten wie Vorratsdatenspeicherung oder IP-Adressspeicherung (Dossier B3): Diese setzen an inländischen Anbietern an, während der Großteil der Bedrohung von dort ohnehin nicht erfasst werden kann.

2025 wurden rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon (207.888) aus dem Ausland oder von unbekannten Tatorten aus begangen. Das geschätzte Schadensvolumen für die deutsche Wirtschaft liegt bei 202,4 Milliarden Euro, rund 4,5% des Bruttoinlandsprodukts.

Offizielle BKA-Einschätzung zur Größenordnung — wichtig, um die Zahlen aus der vorherigen Quelle (Aufklärungsquoten) einzuordnen: Es geht hier um ein wirtschaftlich sehr bedeutendes Problem (4,5% des BIP), bei dem trotzdem der Großteil der Täter faktisch unerreichbar bleibt.

Laut einer vom GrapheneOS-Projekt selbst veröffentlichten Schätzung nähert sich die Zahl der GrapheneOS-Geräte 400.000 — basierend auf der Zahl der Geräte, die kürzliche GrapheneOS-Updates heruntergeladen haben. Manche Nutzer könnten mehrere Geräte betreiben, manche laden Updates extern herunter, aber es ist die beste verfügbare Schätzung.

Wichtige Wissenslücke aus dem ursprünglichen Arbeitsplan geschlossen: Es gibt doch eine Zahl, wenn auch nur eine Selbstschätzung des Projekts, keine unabhängig verifizierte Angabe. Rund 400.000 aktive Geräte — deutlich mehr als eine reine Nischen-Community, aber weit von Millionen entfernt. Für Blackstone-Artikel wichtig, die Herkunft der Zahl (Eigenschätzung) transparent zu machen.

Knapp neun Millionen Menschen in Deutschland ab 18 Jahren besitzen derzeit Kryptowährungen — 12,8% der volljährigen Bevölkerung. Weitere 4,9% haben früher besessen, sind aber ausgestiegen; 11,4% (rund 7,9 Millionen) können sich einen künftigen Kauf vorstellen. Unter aktiven Anlegern bleibt Bitcoin klarer Marktführer: 74,6% halten Bitcoin im Depot.

Sehr aktuelle, konkrete Zahl (Anfang August 2026): Etwa jeder achte erwachsene Deutsche besitzt Kryptowährungen — eine deutlich höhere Zahl als ältere Statistiken (die teils nur 4% Nutzung zeigten). Wichtig für den Masterplan-Bezug: Zeigt, dass Kryptowährungen längst kein Nischenphänomen mehr sind, sondern eine relevante Anlageklasse mit zweistelliger Beteiligungsquote — relevant für die MiCA-Regulierung (Dossier C4) und Blackstones Finanz-Kapitel.

Seit 2020 wird im Rahmen der Zahlungsverhaltensstudie nach dem Besitz von Krypto-Token gefragt. Der Anteil derjenigen, die Krypto-Token halten bzw. den Kauf geplant haben, ist gestiegen; die Verbreitung von Krypto nimmt weiterhin zu, bleibt jedoch auf einem niedrigen Niveau im Vergleich zu klassischen Zahlungsmitteln.

Wichtiger methodischer Unterschied zur vorherigen Quelle: Die Bundesbank fragt nach Krypto-*Besitz als Zahlungsmittel*-Kontext (niedrigere, aber seit 2020 kontinuierlich erhobene Zeitreihe), die BearingPoint-Studie fragt nach Krypto als *Geldanlage*. Beide Blickwinkel sind für unterschiedliche Blackstone-Kapitel relevant — Zahlungsmittel-Perspektive für Kapitel 2, Anlage-Perspektive eher am Rande.