Quellen-Tabelle

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.

Allein im Jahr 2021 wurden weltweit 85 Millionen Bilder und Videos mit Darstellungen von sexuellem Kindesmissbrauch gemeldet, bei hoher Dunkelziffer; laut Internet Watch Foundation stieg die Zahl bestätigter Fälle 2021 gegenüber dem Vorjahr um 64%.

Das ist die Zahlenbasis, auf der die gesamte Verordnung aufbaut — wichtig für Blackstones Ehrlichkeitsprinzip: Das zugrundeliegende Problem ist real und riesig, das rechtfertigt die Kritik an der gewählten Lösung nicht automatisch, macht aber verständlich, warum die Verordnung überhaupt vorgeschlagen wurde. Ohne diese Zahl wirkt jede Kritik an der Chatkontrolle unvollständig.

Joachim Türk vom Kinderschutzbund betonte 2023, die Verordnung habe bei aller Kritik auch gute Seiten — er unterstütze etwa die Einrichtung einer europäischen Behörde. Fatal wäre es, wenn das Dunkelfeld sexualisierter Gewalt gegen Kinder mangels Scans nicht weiter bearbeitet würde. Gleichzeitig betonte er: Auch Kinder hätten ein Recht auf vertrauliche Kommunikation — "Diese Überzeugung macht es uns unmöglich, die anlasslose Chatkontrolle als Option zu akzeptieren."

Das ist die differenzierteste, fairste Stimme im ganzen Dossier: Eine Kinderschutzorganisation, die das Grundanliegen ernst nimmt (Dunkelfeld bekämpfen, neue EU-Behörde begrüßen) und TROTZDEM die anlasslose Variante ablehnt — weil auch Kinder ein Recht auf Privatsphäre haben. Zeigt: Es ist keine einfache Zwei-Lager-Debatte "Kinderschutz vs. Privatsphäre", sondern Kinderschutz-Experten selbst sehen beide Werte als vereinbar mit Kritik an der konkreten Umsetzung.

Der Kinderschutzbund lehnt die Chatkontrolle mittlerweile ab, "weil sie tief in die Privatsphäre aller eingreifen würde – auch in die von Kindern"; laut dem Verband setze das Vorhaben an der falschen Stelle an, da Darstellungen sexualisierter Gewalt in der Regel nicht über private Messenger, sondern File-Hosting-Dienste ausgetauscht würden.

Wichtige Entwicklung gegenüber 2023: Die Position ist klarer geworden — inzwischen explizite Ablehnung, nicht nur Bedenken. Neues, sehr konkretes Sachargument dazu: Das Hauptproblem (Verbreitung von Missbrauchsmaterial) spielt sich laut Kinderschutzbund technisch woanders ab (File-Hosting) als dort, wo die Chatkontrolle ansetzt (private Messenger) — ein Effektivitäts-Einwand, nicht nur ein Grundrechte-Einwand.

Das Ziel, die Online-Verbreitung des sexuellen Kindesmissbrauchs zu stoppen, ist überaus wichtig und grundsätzlich zu unterstützen — jedoch schießt der EU-Gesetzgeber mit seinem Vorschlag deutlich über das verfolgte Ziel hinaus, da die Chatkontrolle kaum Schutz für Kinder biete, aber Europas Einstieg in eine anlasslose und flächendeckende Überwachung der privaten Kommunikation wäre.

Die deutsche Datenschutzbehörde selbst formuliert hier das Grundmuster der differenzierten Kritik: Ziel richtig, Mittel unverhältnismäßig. Wichtig als Formulierungsvorlage für Blackstones eigene Position — nicht "Kinderschutz ist vorgeschoben", sondern "das Ziel ist legitim, das Werkzeug ist trotzdem falsch".

Interoperabilität ist ein Grundprinzip des Spezifikationsprozesses, die aktuell entwickelten Standards können die nötige Standardisierung leisten. Die derzeitige Spezifikation bleibt jedoch sowohl bei Sicherheit als auch beim Schutz der Privatsphäre hinter ihrem Potenzial zurück — sie benötigt eine grundlegende Überarbeitung, bevor alle gewünschten Eigenschaften erreicht sind. Keine Haftungslücken konnten zu diesem Zeitpunkt identifiziert werden.

Das Original-Gutachten selbst, nicht nur Presseberichte darüber — wichtig für Zitierfähigkeit. Ausgewogen: Weder "alles sicher" noch "alles Überwachung", sondern technisch präzise: gute Grundprinzipien, mangelhafte aktuelle Umsetzung, überarbeitungsfähig.

Findorff betonte, eine digitale Wallet könne durchaus Vorteile bringen — etwa bei Wohnungsbewerbungen, wo Interessenten heute oft ungeschwärzte Ausweiskopien verschicken müssten; eine datensparsame Lösung könne das deutlich verbessern. Die derzeit geplante Wallet erfülle diese Erwartungen aber noch nicht: Zentrales Problem sei das Fehlen einer standardisierten Pseudonymisierung, obwohl die eIDAS-Verordnung ein Recht darauf vorsehe.

Sehr konkretes, alltagsnahes Beispiel (Wohnungsbewerbung mit geschwärzten Daten statt komplettem Ausweis) macht greifbar, warum die Wallet-Idee an sich sinnvoll wäre — die Kritik richtet sich gezielt gegen die aktuelle technische Umsetzung, nicht gegen das Konzept.

Die EZB peilt eine mögliche Erstausgabe des digitalen Euro im Jahr 2029 an, unter der Annahme, dass die europäischen Gesetzgeber die Verordnung im Laufe von 2026 verabschieden. Eine Pilotphase mit ersten Transaktionen könnte bereits ab Mitte 2027 beginnen. Die Auswahl der Anbieter für die Service-Plattform (DESP) wurde als wichtiger Meilenstein erreicht.

Offizielle Selbstauskunft der Zentralbank zum aktuellsten Fahrplan-Stand — die Vorbereitungsphase (November 2023 bis Oktober 2025) ist formal abgeschlossen, jetzt beginnt die konkrete technische Umsetzung parallel zum politischen Prozess.

Auf Anfrage der Mitgesetzgeber analysierte die EZB die finanzstabilitätsbezogenen Effekte hypothetischer Haltegrenzen zwischen 500€ und 3.000€ pro Person, sowohl im Normalbetrieb als auch in extremen Flucht-in-Sicherheit-Szenarien. Die EZB betont, dies sei eine technische Antwort, nicht die eigene Positionierung zu einer angemessenen Höhe. Banken im Euroraum müssten laut EZB-Schätzung 4,0 bis 5,8 Milliarden Euro über vier Jahre investieren, um Systeme anzubinden.

Konkrete Zahlen für die "wie viel Geld darf ich im digitalen Euro halten"-Frage, die in Dossier C1 bisher nur als "offener Punkt" stand: Die Bandbreite liegt zwischen 500 und 3.000 Euro pro Person — und selbst die Umstellung für Banken kostet mehrere Milliarden. Wichtig: Die EZB positioniert sich bewusst nicht selbst zur genauen Zahl, das ist Sache der Gesetzgeber.

Der European Data Protection Board wies bereits 2021 auf das Risiko hin und empfahl, dass jedes digitale-Euro-System anonyme oder pseudonyme Transaktionsoptionen enthalten sollte. Euro-denominierte Stablecoins erreichten im Januar 2026 eine Marktkapitalisierung von rund 450 Millionen Euro, gegenüber rund 50 Millionen Euro nur zwei Jahre zuvor — eine Verneunfachung ganz ohne staatliches Mandat oder Zentralbank-Rückendeckung.

Zwei wichtige Punkte: Erstens zeigt sich, dass der Datenschutz-Einwand nicht neu ist, sondern seit 2021 von der offiziellen EU-Datenschutzaufsicht selbst kommt. Zweitens ein interessanter Kontrastfakt: Private, unregulierte Euro-Stablecoins wachsen schon jetzt rasant — ein Hinweis darauf, dass der Markt eine digitale Euro-Alternative schon selbst entwickelt, unabhängig vom offiziellen Digitalen Euro.

Ab Ende 2031 sollen klassische Verfahren wie RSA oder ECC nur noch in Kombination mit Post-Quanten-Kryptografie eingesetzt werden. Für besonders kritische Anwendungen gilt die Frist bereits ab Ende 2030, digitale Signaturen bekommen bis Ende 2035 Zeit. Das BSI setzt auf einen hybriden Ansatz: Bewährte Verfahren werden nicht verboten, sondern mit quantensicheren Algorithmen kombiniert.

Konkrete, von der deutschen IT-Sicherheitsbehörde selbst gesetzte Fristen: Ab 2030/2031 muss zusätzlich zur normalen Verschlüsselung eine quantencomputer-sichere Methode verwendet werden. Wichtig für den Masterplan-Bereich Technik-Grundlagen: zeigt, dass "sichere Verschlüsselung" kein statischer Zustand ist, sondern sich technisch weiterentwickeln muss.

Das BSI hat zusammen mit Partnern aus 17 europäischen Staaten im November 2024 eine gemeinsame Erklärung zum Thema Post-Quanten-Kryptografie veröffentlicht, die von Wirtschaft, Betreibern kritischer Infrastruktur sowie öffentlicher Verwaltung den Übergang fordert; inzwischen haben Partner aus drei weiteren europäischen Staaten unterzeichnet.

Europaweite Koordination bei der Verschlüsselungs-*Stärkung* — zeigt den Umfang der Kooperation zwischen europäischen Sicherheitsbehörden bei diesem Thema, als Kontrast zur "Going Dark"-Verschlüsselungs-Schwächung im selben Politikfeld (siehe A5).

Aktuelle Schätzung für den "Q-Day" (Zeitpunkt, ab dem Quantencomputer kryptografisch relevant werden): 10–15 Jahre — nach unten korrigiert von zuvor 20 Jahren, aufgrund wichtiger technologischer Durchbrüche. Die BSI-Empfehlungen geben klare Fristen für die PQC-Migration: 2032 allgemein, 2030 für kritische Infrastruktur.

Wichtige Einordnung: Die Einschätzung, wann Quantencomputer eine echte Bedrohung für heutige Verschlüsselung werden, wurde selbst schon einmal nach vorne korrigiert (von 20 auf 10-15 Jahre) — das zeigt, wie dynamisch sich diese Einschätzung entwickelt und warum die BSI-Fristen eher vorsichtig-frühzeitig als übertrieben wirken.

Die registrierten Straftaten sind 2025 um 5,6% gegenüber dem Vorjahr zurückgegangen, auch unter Berücksichtigung der Cannabis-Teillegalisierung bleibt ein Rückgang von 4,7%. Die Aufklärungsquote bleibt mit 57,9% stabil auf dem Niveau der Vorjahre (2024: 58,0%).

Wichtige Basiszahl: Die allgemeine Kriminalität in Deutschland sinkt, die Aufklärungsquote bleibt seit Jahren stabil bei knapp 58% — unabhängig von den zwischenzeitlich diskutierten neuen Überwachungsinstrumenten. Guter Beleg für die Frage, ob mehr Überwachung überhaupt nötig wäre, um das aktuelle Sicherheitsniveau zu halten.

Die Zahl der Auslandstaten (207.888) übersteigt die Inlandstaten (126.034) inzwischen deutlich. Die Aufklärungsquote spiegelt dieses Ungleichgewicht: Inland 31,4%, Ausland nur 2,0%.

Das ist der wichtigste Einzelfund dieses Batches für Blackstones Argumentation: Zwei Drittel aller Cyberstraftaten gegen Deutschland kommen aus dem Ausland — dort liegt die Aufklärungsquote bei gerade einmal 2%. Das ist ein starkes Argument gegen die Wirksamkeit von Instrumenten wie Vorratsdatenspeicherung oder IP-Adressspeicherung (Dossier B3): Diese setzen an inländischen Anbietern an, während der Großteil der Bedrohung von dort ohnehin nicht erfasst werden kann.

2025 wurden rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon (207.888) aus dem Ausland oder von unbekannten Tatorten aus begangen. Das geschätzte Schadensvolumen für die deutsche Wirtschaft liegt bei 202,4 Milliarden Euro, rund 4,5% des Bruttoinlandsprodukts.

Offizielle BKA-Einschätzung zur Größenordnung — wichtig, um die Zahlen aus der vorherigen Quelle (Aufklärungsquoten) einzuordnen: Es geht hier um ein wirtschaftlich sehr bedeutendes Problem (4,5% des BIP), bei dem trotzdem der Großteil der Täter faktisch unerreichbar bleibt.

Laut einer vom GrapheneOS-Projekt selbst veröffentlichten Schätzung nähert sich die Zahl der GrapheneOS-Geräte 400.000 — basierend auf der Zahl der Geräte, die kürzliche GrapheneOS-Updates heruntergeladen haben. Manche Nutzer könnten mehrere Geräte betreiben, manche laden Updates extern herunter, aber es ist die beste verfügbare Schätzung.

Wichtige Wissenslücke aus dem ursprünglichen Arbeitsplan geschlossen: Es gibt doch eine Zahl, wenn auch nur eine Selbstschätzung des Projekts, keine unabhängig verifizierte Angabe. Rund 400.000 aktive Geräte — deutlich mehr als eine reine Nischen-Community, aber weit von Millionen entfernt. Für Blackstone-Artikel wichtig, die Herkunft der Zahl (Eigenschätzung) transparent zu machen.

Knapp neun Millionen Menschen in Deutschland ab 18 Jahren besitzen derzeit Kryptowährungen — 12,8% der volljährigen Bevölkerung. Weitere 4,9% haben früher besessen, sind aber ausgestiegen; 11,4% (rund 7,9 Millionen) können sich einen künftigen Kauf vorstellen. Unter aktiven Anlegern bleibt Bitcoin klarer Marktführer: 74,6% halten Bitcoin im Depot.

Sehr aktuelle, konkrete Zahl (Anfang August 2026): Etwa jeder achte erwachsene Deutsche besitzt Kryptowährungen — eine deutlich höhere Zahl als ältere Statistiken (die teils nur 4% Nutzung zeigten). Wichtig für den Masterplan-Bezug: Zeigt, dass Kryptowährungen längst kein Nischenphänomen mehr sind, sondern eine relevante Anlageklasse mit zweistelliger Beteiligungsquote — relevant für die MiCA-Regulierung (Dossier C4) und Blackstones Finanz-Kapitel.

Seit 2020 wird im Rahmen der Zahlungsverhaltensstudie nach dem Besitz von Krypto-Token gefragt. Der Anteil derjenigen, die Krypto-Token halten bzw. den Kauf geplant haben, ist gestiegen; die Verbreitung von Krypto nimmt weiterhin zu, bleibt jedoch auf einem niedrigen Niveau im Vergleich zu klassischen Zahlungsmitteln.

Wichtiger methodischer Unterschied zur vorherigen Quelle: Die Bundesbank fragt nach Krypto-*Besitz als Zahlungsmittel*-Kontext (niedrigere, aber seit 2020 kontinuierlich erhobene Zeitreihe), die BearingPoint-Studie fragt nach Krypto als *Geldanlage*. Beide Blickwinkel sind für unterschiedliche Blackstone-Kapitel relevant — Zahlungsmittel-Perspektive für Kapitel 2, Anlage-Perspektive eher am Rande.

Zentrale Prüffeststellung zu KeePassXC: Die Entwickler betreiben keine eigene Cloud, das Programm nutzt das offene KeePass-2-(kdbx)-Format. Bei mindestens einem anderen getesteten Passwortmanager fanden sich dagegen wesentliche Abweichungen von gängigen Empfehlungen — es würden technische Informationen an den Hersteller gesendet, die diesem Zugriff auf Passwortmanager-Inhalte erlauben könnten.

Das ist eine besonders wertvolle Quelle: eine eigene, vergleichende Testreihe der deutschen IT-Sicherheitsbehörde zu mehreren Passwortmanagern (mindestens KeePassXC, Firefox-Passwortmanager, mSecure, PassSecurium, SecureSafe u.a. laut Inhaltsverzeichnis). Nicht nur eine Einzelprüfung, sondern ein direkter, behördlich durchgeführter Vergleich — die bislang stärkste Einzelquelle für Blackstones Passwortmanager-Empfehlungen im Masterplan (Kapitel 6, Identität).

Bitwarden hat wiederholt Netzwerksicherheitsbewertungen und Penetrationstests durch Cure53 sowie separate Prüfungen durch Insight Risk Consulting durchlaufen lassen — darunter dedizierte Audits der Browser-Erweiterung, der Desktop-Anwendung, der mobilen Apps, des Web-Vaults und sogar der eigenen RustCrypto-Bibliothek. Zusätzlich wurde die Kernkryptografie von der Applied Cryptography Group der ETH Zürich unter der Annahme eines vollständig bösartigen Servers geprüft.

Bitwarden hat nicht nur einmal, sondern wiederholt und für praktisch jede einzelne Komponente (nicht nur "die App" pauschal) geprüft werden lassen — inklusive einer akademischen Kryptografie-Prüfung durch eine renommierte Universität unter einem besonders strengen Angriffsmodell. Das ist ein sehr hohes Transparenz-Niveau.

Bitwarden: jährliche Audits durch mehrere Firmen. 1Password: SOC 2 Type II plus Penetrationstests. Proton Pass: vollständiger Cure53-Audit beim Launch 2023 (keine kritischen Funde, moderate Funde vor Launch behoben). NordPass: zwei Cure53-Audits plus SOC 2 Type 2 und ISO-27001-Zertifizierung. KeePassXC: community-geprüfte Open-Source-Software — kein beauftragter Third-Party-Audit, aber öffentlich einsehbarer Quellcode.

Sehr nützliche Vergleichsübersicht für den Masterplan: Zeigt auf einen Blick, welches Prüfniveau die im Masterplan genannten Passwortmanager (Bitwarden, Proton Pass, KeePassXC) jeweils haben. Wichtige Nuance: KeePassXC hat KEINEN beauftragten Audit — Sicherheit stützt sich dort auf öffentliche Code-Einsehbarkeit und Community-Prüfung, nicht auf einen bezahlten externen Bericht. Das ist ein relevanter Unterschied, den Blackstone transparent machen sollte.

Alle Server von Threema befinden sich in der Schweiz. Clientseitig ist Threema quelloffen, wodurch eine unabhängige Überprüfung der Sicherheit möglich ist. Der letzte dokumentierte Sicherheitsaudit wurde im November 2020 von Cure53 durchgeführt, bei dem einige wenige unkritische Schwachstellen gefunden wurden. Der Autor warnt ausdrücklich: Der Blog werde oft mit der Aussage "Threema sei der sicherste Messenger" verlinkt — das sei ein verzerrtes Bild, das im Beitrag so nicht dargestellt werde.

Wichtiger Hinweis für Blackstones Ehrlichkeitsprinzip: Der Autor selbst warnt davor, seine eigene positive Einordnung zu einer Übertreibung ("der sicherste Messenger") zu verzerren. Genau die Art Selbstkorrektur, die Blackstone auch bei den eigenen Inhalten anstreben sollte — nicht "sicherster", sondern "gut geprüft, quelloffen, Schweizer Serverstandort".

Signal erreichte laut Foundation-Präsidentin Meredith Whittaker im April 2025 zwischen 70 und 100 Millionen monatlich aktive Nutzer. Kumulierte Downloads überschritten seit dem App-Debüt 2014 die Marke von 218 Millionen. Die Organisation hat seither kein aktuelleres Update zu den monatlich aktiven Nutzern veröffentlicht.

Deutlich verlässlicher als die Threema-Zahlen aus dem vorherigen Batch: eine direkte, aktuelle (2025) Aussage der Organisationsspitze selbst, nicht nur eine Schätzung Dritter. Wichtig: Die Bandbreite (70-100 Mio.) zeigt, dass selbst Signal selbst keine exakte Zahl nennt — auch bei einer seriösen Quelle bleibt eine gewisse Unschärfe normal.

Die Signal Technology Foundation ist eine steuerbefreite gemeinnützige Organisation (501(c)(3), Status seit Februar 2019), mit Sitz in Mountain View, Kalifornien, meldete 2024 Einnahmen von 29.413.537 US-Dollar (davon 21.843.492 Dollar aus Spenden) — ein Rückgang gegenüber 35.750.994 Dollar im Jahr 2023. Signal arbeitet ohne Werbetreibende und ohne externe Investoren.

Wichtiger Fakt für die Vertrauenswürdigkeits-Argumentation im Masterplan: Signals Finanzen sind über öffentliche US-Steuerunterlagen nachprüfbar — kein Geheimnis, sondern Behördendokument. Kein Werbegeschäft, keine Investoren, die Kontrolle über das Unternehmen beanspruchen könnten.