Quellen-Tabelle

Zentrale Prüffeststellung zu KeePassXC: Die Entwickler betreiben keine eigene Cloud, das Programm nutzt das offene KeePass-2-(kdbx)-Format. Bei mindestens einem anderen getesteten Passwortmanager fanden sich dagegen wesentliche Abweichungen von gängigen Empfehlungen — es würden technische Informationen an den Hersteller gesendet, die diesem Zugriff auf Passwortmanager-Inhalte erlauben könnten.

Das ist eine besonders wertvolle Quelle: eine eigene, vergleichende Testreihe der deutschen IT-Sicherheitsbehörde zu mehreren Passwortmanagern (mindestens KeePassXC, Firefox-Passwortmanager, mSecure, PassSecurium, SecureSafe u.a. laut Inhaltsverzeichnis). Nicht nur eine Einzelprüfung, sondern ein direkter, behördlich durchgeführter Vergleich — die bislang stärkste Einzelquelle für Blackstones Passwortmanager-Empfehlungen im Masterplan (Kapitel 6, Identität).

Bitwarden hat wiederholt Netzwerksicherheitsbewertungen und Penetrationstests durch Cure53 sowie separate Prüfungen durch Insight Risk Consulting durchlaufen lassen — darunter dedizierte Audits der Browser-Erweiterung, der Desktop-Anwendung, der mobilen Apps, des Web-Vaults und sogar der eigenen RustCrypto-Bibliothek. Zusätzlich wurde die Kernkryptografie von der Applied Cryptography Group der ETH Zürich unter der Annahme eines vollständig bösartigen Servers geprüft.

Bitwarden hat nicht nur einmal, sondern wiederholt und für praktisch jede einzelne Komponente (nicht nur "die App" pauschal) geprüft werden lassen — inklusive einer akademischen Kryptografie-Prüfung durch eine renommierte Universität unter einem besonders strengen Angriffsmodell. Das ist ein sehr hohes Transparenz-Niveau.

Alle Server von Threema befinden sich in der Schweiz. Clientseitig ist Threema quelloffen, wodurch eine unabhängige Überprüfung der Sicherheit möglich ist. Der letzte dokumentierte Sicherheitsaudit wurde im November 2020 von Cure53 durchgeführt, bei dem einige wenige unkritische Schwachstellen gefunden wurden. Der Autor warnt ausdrücklich: Der Blog werde oft mit der Aussage "Threema sei der sicherste Messenger" verlinkt — das sei ein verzerrtes Bild, das im Beitrag so nicht dargestellt werde.

Wichtiger Hinweis für Blackstones Ehrlichkeitsprinzip: Der Autor selbst warnt davor, seine eigene positive Einordnung zu einer Übertreibung ("der sicherste Messenger") zu verzerren. Genau die Art Selbstkorrektur, die Blackstone auch bei den eigenen Inhalten anstreben sollte — nicht "sicherster", sondern "gut geprüft, quelloffen, Schweizer Serverstandort".

Signal erreichte laut Foundation-Präsidentin Meredith Whittaker im April 2025 zwischen 70 und 100 Millionen monatlich aktive Nutzer. Kumulierte Downloads überschritten seit dem App-Debüt 2014 die Marke von 218 Millionen. Die Organisation hat seither kein aktuelleres Update zu den monatlich aktiven Nutzern veröffentlicht.

Deutlich verlässlicher als die Threema-Zahlen aus dem vorherigen Batch: eine direkte, aktuelle (2025) Aussage der Organisationsspitze selbst, nicht nur eine Schätzung Dritter. Wichtig: Die Bandbreite (70-100 Mio.) zeigt, dass selbst Signal selbst keine exakte Zahl nennt — auch bei einer seriösen Quelle bleibt eine gewisse Unschärfe normal.

Die Signal Technology Foundation ist eine steuerbefreite gemeinnützige Organisation (501(c)(3), Status seit Februar 2019), mit Sitz in Mountain View, Kalifornien, meldete 2024 Einnahmen von 29.413.537 US-Dollar (davon 21.843.492 Dollar aus Spenden) — ein Rückgang gegenüber 35.750.994 Dollar im Jahr 2023. Signal arbeitet ohne Werbetreibende und ohne externe Investoren.

Wichtiger Fakt für die Vertrauenswürdigkeits-Argumentation im Masterplan: Signals Finanzen sind über öffentliche US-Steuerunterlagen nachprüfbar — kein Geheimnis, sondern Behördendokument. Kein Werbegeschäft, keine Investoren, die Kontrolle über das Unternehmen beanspruchen könnten.

WhatsApp-Nutzer, die das Signal-Protokoll verwenden, seit dem 5. April 2016: mehr als eine Milliarde monatlich aktive Nutzer.

Wichtiger Kontrast-Fakt fürs Masterplan-Kapitel Kommunikation: Das zugrundeliegende Verschlüsselungs-Protokoll von Signal wird über WhatsApp von weit mehr Menschen genutzt (>1 Milliarde) als die Signal-App selbst (70-100 Millionen) — bestätigt die bereits in F8 dokumentierte wissenschaftliche Analyse des Protokolls. Wichtig für die Differenzierung "Protokoll ist bei beiden gleich sicher, der Unterschied liegt woanders" (Metadaten, Backups, Geschäftsmodell).

Île-de-France bietet 550.000 Studierenden und Mitarbeitenden eine souveräne Cloud-Kollaborationsplattform; das österreichische Wirtschaftsministerium und das österreichische Bundesministerium nutzen Nextcloud für sichere, souveräne Zusammenarbeit. Im selben Rückblick verlinkt Nextcloud einen eigenen Blogbeitrag mit dem Titel "The proposed EU Chat Control law is a threat to our democracy."

Sehr konkreter Beleg für "digitale Souveränität" in der Praxis, nicht nur als Konzept: Eine einzelne französische Region setzt Nextcloud für über eine halbe Million Menschen ein. Bemerkenswert und direkt relevant für Blackstone: Nextcloud selbst positioniert sich öffentlich gegen die Chatkontrolle (Dossier A1) — das Unternehmen ist also nicht nur ein neutrales Tool, sondern selbst ein Akteur in der Debatte, die Blackstone dokumentiert.

Kagi wuchs von rund 2.600 zahlenden Kunden in den ersten drei Monaten nach dem öffentlichen Start (Juni 2022) auf über 50.000 Mitglieder bis Juni 2025, darunter mehr als 5.000 Familien und knapp 200 Teams. Bis Ende 2025 stieg die Abonnentenzahl auf rund 62.921 — bei nahezu einer Million täglichen Suchanfragen Mitte 2025, ganz ohne klassisches Marketing.

Kagi ist das seltene Beispiel für ein erfolgreiches Bezahl-statt-Werbe-Geschäftsmodell im Suchmaschinenmarkt: Nutzer zahlen 5-25 Dollar im Monat, damit ihre Daten NICHT verkauft werden. Über 60.000 Menschen zahlen das inzwischen — kleine Zahl im Vergleich zu Google, aber ein funktionierender Beweis, dass das Modell trägt.

Jede in Have I Been Pwned aufgenommene Datenpanne erscheint auf dieser Seite. Zum Erfassungszeitpunkt sind 1.025 kompromittierte Websites gelistet.

Das ist die Original-Quelle selbst — direkt zählbar, live, keine Sekundärinterpretation nötig. Für Blackstone-Artikel: Bei jeder Verwendung die aktuelle Zahl direkt von dieser Seite neu abrufen, da sie sich fast täglich ändert.

Über 17,6 Milliarden Datensätze aus 1.001 Datenlecks sind in der HIBP-Datenbank erfasst. Troy Hunt beklagt einen negativen Trend: eine immer längere Verzögerung bei der Offenlegung solcher Vorfälle. Beim Carnival-Datenleck etwa dauerte es 43 Tage von der Kenntnisnahme bis zur öffentlichen Information — Daten waren zu diesem Zeitpunkt bereits in Hacker-Foren gepostet.

Zwei einprägsame Fakten: Die schiere Größenordnung (17,6 Milliarden einzelne Datensätze — mehr als doppelt so viele wie es Menschen auf der Erde gibt) und ein wichtiges strukturelles Problem: Unternehmen brauchen oft wochenlang, um Datenlecks öffentlich zu machen — in dieser Zeit sind die Daten längst im Umlauf. Guter Beleg für "warum man nicht abwarten sollte, bis man offiziell informiert wird" (→ eigene Prüfung via HIBP empfehlen).

Einer der untersuchten Datenhändler allein verfügt über Informationen zu mehr als 1,4 Milliarden Verbrauchertransaktionen und 700 Milliarden Datenelementen; ein anderer fügt seiner Datenbank monatlich mehr als 3 Milliarden neue Datenpunkte hinzu. Datenhändler sammeln Verbraucherdaten aus umfangreichen Online- und Offline-Quellen — meist ohne Wissen der Betroffenen —, darunter Kaufdaten, Social-Media-Aktivität, Garantieregistrierungen, Zeitschriften-Abos sowie religiöse und politische Zugehörigkeiten.

Das ist einer der eindrücklichsten Einzelfakten der ganzen Recherche: EIN EINZIGES Unternehmen sammelt monatlich 3 Milliarden neue Datenpunkte — und das bereits vor über zehn Jahren festgestellt, die Größenordnung dürfte seither eher gewachsen sein. Besonders alarmierend: Auch sensible Kategorien wie religiöse und politische Zugehörigkeit werden erfasst — Daten, die in Deutschland/der EU als besonders schützenswert gelten (DSGVO Art. 9).

Die ROCA-Schwachstelle betraf die RSA-Schlüsselerzeugung in Chips des Herstellers Infineon, der über den estnischen ID-Karten-Zulieferer Gemalto (TRÜB Baltic) auch Estland belieferte. Weltweit waren schätzungsweise mindestens eine Milliarde Chips betroffen, darunter alle estnischen ID-Karten, die seit Herbst 2014 ausgegeben wurden. Estland widerrief die betroffenen Zertifikate. Estlands 800.000 betroffene ID-Karten stellen dabei nur einen verschwindend geringen Anteil an ROCAs weltweiter Auswirkung von mindestens 1 Milliarde betroffenen Chips dar — die Infineon-Chips wurden auch in Führerscheinen, Reisepässen, Zugangskarten und anderswo eingesetzt.

Wichtige Präzisierung für Blackstones bereits vorhandenen Estland-Eintrag (aus Batch 25): Der Fehler lag nicht im estnischen System selbst, sondern in einem global verbreiteten Hardware-Chip eines einzelnen Zulieferers (Infineon) — Estland war eines von vielen betroffenen Systemen weltweit, nicht ein spezifisch estnisches Versagen. Das relativiert die Kritik am estnischen System etwas, zeigt aber gleichzeitig ein noch größeres Problem: Eine einzelne fehlerhafte Chip-Generation kann weltweit über eine Milliarde Ausweisdokumente gleichzeitig verwundbar machen.

Nur rund ein Fünftel (19%) der deutschen Internetnutzer hält die eigenen Daten online für sehr oder eher sicher; 77% halten sie für eher oder sehr unsicher. Am vertrauenswürdigsten im Umgang mit persönlichen Daten erscheinen IT-Anbieter aus Deutschland, denen fast zwei Drittel (65%) sehr stark oder stark vertrauen — deutlich mehr als ausländischen Anbietern.

Wichtige, direkt für Blackstones "warum deutsche/europäische Alternativen" relevante Zahl: Deutsche Nutzer vertrauen einheimischen IT-Anbietern deutlich mehr als ausländischen — das stützt den Masterplan-Ansatz, wo möglich europäische statt US-amerikanische Tools zu empfehlen, mit einer echten Präferenz in der Bevölkerung, nicht nur als Nischenmeinung.

Bei 19% der befragten Unternehmen trat in den vergangenen zwölf Monaten ein Datenschutzverstoß auf, bei weiteren 6% kam es zu mehreren Verstößen. Von den betroffenen Unternehmen berichten 51% über Bußgelder als Folge, 18% verloren dadurch Kunden. Kein einziges befragtes Unternehmen gab an, dass aus seiner Sicht kein Nachbesserungsbedarf bei der DSGVO bestehe.

Wichtige Gegenperspektive zur reinen Bürger-Sicht: Aus Unternehmenssicht ist Datenschutz mit echten, spürbaren Konsequenzen verbunden (jedes vierte befragte Unternehmen hatte einen Verstoß, davon über die Hälfte mit Bußgeld). Nützlich für Blackstone, um zu zeigen: Datenschutzrecht ist keine zahnlose Regelung, sondern hat in der Praxis Wirkung — auch wenn gleichzeitig Kritik an der Handhabung besteht (siehe nächste Quelle).

Proton hat kürzlich die Marke von 70 Millionen Nutzerkonten überschritten — ein Beleg für das breite Interesse an privatsphäre-orientierter Technologie, die besser für Nutzer und Gesellschaft ist.

Wichtige Gesamtzahl für das gesamte Proton-Ökosystem (Mail, VPN, Drive, Pass zusammen, nicht nur VPN einzeln) — 70 Millionen Konten ist eine sehr überzeugende Größenordnung für den Masterplan. Wichtiger Hinweis: Das genaue Datum dieser Zahl ist bei der Recherche nicht eindeutig zu klären gewesen — vor Verwendung im Artikel direkt auf proton.me nachprüfen, um nicht versehentlich eine veraltete Zahl als aktuell darzustellen.

Proton VPN unterstützt inzwischen neben Bargeld und Bitcoin auch Zahlungen via Monero, Litecoin, Ethereum und weitere Kryptowährungen über Partner. Die Daten von 2025 zeigen: Immer wenn Zensur zunimmt — von Internet-Shutdowns bis App-Sperren — wenden sich Menschen in beispiellosem Umfang VPNs zu, um ihre Stimme und den Zugang zu unzensierten Informationen zu schützen.

Wichtiger praktischer Fakt fürs Masterplan-Kapitel Finanzen/Zahlungsmethoden: Proton VPN akzeptiert mittlerweile sehr viele anonyme Zahlungswege — passt zu Blackstones Betonung von Zahlungs-Privatsphäre. Der Zensur-Zusammenhang ist zudem ein starker, konkreter Beleg dafür, wofür VPNs im Ernstfall tatsächlich gebraucht werden.

Apple hat offiziell bestätigt, mehr als 2,5 Milliarden aktive Geräte im Einsatz zu haben — ein Rekordwert. Die aktiven Geräte umfassen iPhones, iPads, Macs, Apple Watches, Apple TVs, HomePods und weitere Produkte, die regelmäßig mit Apple-Servern verbunden sind. Vor einem Jahr waren es noch 2,35 Milliarden Geräte.

Direkte, offizielle Unternehmenszahl — die Größenordnung, die den GrapheneOS-Vergleich (Batch 38: ~400.000 Nutzer) erst richtig einordnet: Apples Ökosystem ist mehr als 6.000 Mal größer. Diese Relation zeigt anschaulich, wie klein die Alternative-OS-Bewegung im Vergleich zum Mainstream tatsächlich (noch) ist — wichtig für Blackstones Ehrlichkeit, keine übertriebene Reichweite der eigenen Empfehlungen zu suggerieren.

Laut Counterpoint Research ist inzwischen jedes vierte genutzte Smartphone weltweit ein iPhone. Apple und Samsung vereinen zusammen 44% aller aktiven Smartphone-Geräte weltweit auf sich.

Sehr einprägsame Zahl für Community-Content: Ein Viertel aller Smartphones weltweit ist ein iPhone — und zusammen mit Samsung kontrollieren zwei Konzerne fast die Hälfte des globalen Smartphone-Marktes. Diese Marktkonzentration ist relevant für Blackstones Argumentation zu Function Creep: Wenn zwei Unternehmen fast die Hälfte aller Geräte kontrollieren, betreffen deren Datenschutz-Entscheidungen (siehe F10: Trinity-College-Studie zur Telemetrie) einen enormen Anteil der Weltbevölkerung gleichzeitig.

Windows fiel im Juni 2026 weltweit auf 56,55% Desktop-Marktanteil — erstmals seit vielen Jahren unter die 60-Prozent-Marke. Linux erreichte im selben Monat 4,39% und damit laut Fachmedium Linuxiac eine seiner stärksten jüngsten Positionen. Die Methodik erfasst über Webseiten-Tracking-Codes gemessene Internetaktivität, nicht eine direkte Zählung aller weltweit installierten Systeme.

Historischer Meilenstein: Windows ist zum ersten Mal seit Jahren unter die 60%-Marke gefallen — ein überraschend schneller Rückgang. Wichtiger Methodik-Hinweis direkt mitgeliefert: StatCounter misst Web-Traffic, nicht installierte Geräte direkt — die Zahl ist eine gute Annäherung, aber keine exakte Zählung.

Der Nationale Normenkontrollrat stellt in seiner offiziellen Prüfung fest: Für Bürgerinnen und Bürger seien "keine Auswirkungen" vorgesehen, eine Evaluierung der Neuregelung sei nicht vorgesehen, und das zuständige Ressort habe keinen Nutzen des Vorhabens dargestellt.

Bemerkenswerter, sehr trockener Befund eines offiziellen Regierungs-Prüfgremiums: Das federführende Ministerium konnte dem eigenen Kontrollgremium keinen belegten Nutzen des Gesetzes darlegen — und es ist nicht einmal eine spätere Überprüfung geplant, ob die Maßnahme überhaupt wirkt. Das ist ein außergewöhnlich starker, amtlicher Beleg für Blackstones Kritik an unbelegter Wirksamkeit von Überwachungsmaßnahmen (Verweis F4) — hier nicht von Aktivisten, sondern vom eigenen Prüfgremium der Regierung festgestellt.

Hintergrund des erneuten gesetzgeberischen Anlaufs für eine Vorratsdatenspeicherung ist das Urteil des Europäischen Gerichtshofs vom 30.04.2024 (C-470/21), in welchem der EuGH seine lange bestehende restriktive Linie gelockert hatte.

Wichtige Ergänzung zur bereits dokumentierten EuGH-Urteilskette (Batch 5, F5): Nach vier Urteilen gegen Vorratsdatenspeicherung (2014-2022) hat der EuGH 2024 seine Linie erstmals gelockert — das ist die rechtliche Grundlage, auf die sich der aktuelle deutsche Gesetzentwurf stützt. Wichtig für die Ehrlichkeit des Dossiers: Die Rechtsprechung ist nicht statisch, sondern hat sich 2024 tatsächlich verändert — das rechtfertigt zwar nicht jede denkbare Ausweitung, zeigt aber, dass der neue Anlauf nicht einfach "gegen geltendes Recht" verstößt, sondern auf einer echten Rechtsprechungsänderung aufbaut.

Die BRAK fragt in ihrer Stellungnahme, warum eine Frist von vier Wochen nicht ebenso ausreichen könnte — "nicht ersichtlich", so die BRAK — und verweist dabei auf eine Aussage von BKA-Vizepräsidentin Martina Link aus einer Bundestagsanhörung im Oktober 2023, in der Link selbst die Frage aufwarf, wie lange Speicherfristen für die Zuordnung von IP-Adressen tatsächlich bemessen sein müssten.

Diese Quelle ergänzt und bestätigt den bereits in Batch 15 dokumentierten Befund (BKA-Positionspapier zu kürzeren Fristen): Auch die Bundesrechtsanwaltskammer verweist unabhängig auf dieselbe BKA-Aussage, dass kürzere Fristen praktisch ausreichen könnten — ein zweiter, unabhängiger Beleg für dasselbe Verhältnismäßigkeits-Argument.

Discord erklärt offiziell: Die für die Altersverifikation eingesetzten spezialisierten Anbieter waren NICHT am Datenleck vom September 2025 beteiligt. Bei der Gesichtsschätzung wird das Video-Selfie direkt auf dem Gerät verarbeitet und nie gespeichert; Ausweisdokumente werden nur zur Altersermittlung verarbeitet und danach gelöscht — die Identität wird nie mit dem Discord-Konto verknüpft.

Wichtig für Fairness: Discord stellt offiziell klar, dass das *neue* Verifikationssystem NICHT derselbe Dienstleister ist, der beim Leck 2025 betroffen war — man hat also (zumindest laut eigener Aussage) reagiert und den Anbieter gewechselt bzw. das System überarbeitet. Diese Unternehmensposition sollte im Blackstone-Artikel neben der berechtigten Nutzer-Skepsis stehen, nicht unterschlagen werden — auch wenn "es war ein anderer Anbieter" das grundsätzliche Risiko (Drittanbieter-Abhängigkeit bei sensiblen Daten) nicht beseitigt.

Der EDPB und der EDPS drängen die Mitgesetzgeber eindringlich, die vorgeschlagenen Änderungen an der Definition personenbezogener Daten NICHT anzunehmen, da diese weit über eine gezielte oder technische Änderung der DSGVO hinausgehen. Die Änderungen würden zudem die Rechtsprechung des Europäischen Gerichtshofs (CJEU) nicht akkurat widerspiegeln und klar darüber hinausgehen.

Das ist ein bedeutender neuer Fund für Blackstone: Ein "Vereinfachungs"-Vorschlag der EU-Kommission versucht offenbar, die grundlegende Definition dessen zu ändern, was überhaupt als "personenbezogene Daten" zählt und damit unter DSGVO-Schutz fällt — die höchsten EU-Datenschutzbehörden warnen davor in ungewöhnlich deutlichen Worten. Das ist ein Lehrbuchbeispiel für "Deregulierung im Deckmantel der Vereinfachung" und verdient ein eigenes Blackstone-Dossier.

Der EDPB und der EDPS begrüßen ausdrücklich die vorgeschlagene neue Ausnahmeregelung zur Verarbeitung besonderer Datenkategorien für biometrische Authentifizierung, sofern die Verifikationsmittel unter alleiniger Kontrolle der betroffenen Person stehen. Sie unterstützen zudem die Vereinheitlichung des Begriffs "wissenschaftliche Forschung".

Wichtig für Blackstones Ausgewogenheit: Nicht der gesamte Digital Omnibus wird kritisiert — einzelne Vereinfachungen werden von den Datenschutzbehörden selbst begrüßt. Das zeigt: Die Kritik richtet sich präzise gegen einen spezifischen Punkt (Datendefinition), nicht pauschal gegen das ganze Vorhaben — genau die Art differenzierter Kritik, die zu Blackstones Stil passt.