Quellen-Tabelle

Weltweit nutzen bereits 1,75 Milliarden Menschen aktiv VPNs. Die VPN-Nutzung in Deutschland ist zwischen 2020 und 2024 von 6,94% auf 21,36% gestiegen — eine Verdreifachung innerhalb von nur vier Jahren. Der globale VPN-Markt wird von 58,61 Milliarden Euro (2024) auf voraussichtlich 67,99 Milliarden Euro (2025) wachsen, mit einem erwarteten weiteren Wachstum von fast 14% pro Jahr.

Sehr starke Zahl für den Masterplan: VPN-Nutzung in Deutschland hat sich in nur vier Jahren verdreifacht — von einer Nischen-Technologie zu einem Mainstream-Werkzeug, das gut jeder Fünfte hierzulande nutzt. Zeigt, dass Blackstones Netzwerk-Kapitel (VPN-Empfehlungen) keine exotische Nische bedient, sondern einen bereits wachsenden Massenmarkt.

Firefox hielt 2010 auf dem Höhepunkt rund 33% Marktanteil, im April 2026 nur noch 2,26%. Backlinko schätzte im April 2026 rund 138 Millionen Firefox-Nutzer weltweit basierend auf StatCounter-Daten; Sci-Tech-Today zählte bis 22. Juni 2026 rund 203,4 Millionen monatlich aktive Nutzer anhand von Mozillas eigener Telemetrie-Messung — die Diskrepanz erklärt sich durch unterschiedliche Methoden.

Wichtige methodische Ehrlichkeit für Blackstone: Je nachdem, wie man zählt, kommt man auf 138 oder 203 Millionen Firefox-Nutzer — ein Unterschied von 65 Millionen allein durch die Messmethode. Genau wie bei Tor (Batch 18) sollte auch hier die Unsicherheit transparent benannt werden, statt eine einzelne Zahl als exakt darzustellen.

Firefox verlor Marktanteil von 5,88% (Mai 2025) auf 3,79% (Mai 2026) auf dem Desktop. Mehr als 80% der Firefox-Nutzer verwenden Google als primäre Suchmaschine; die Suchvereinbarung mit Google trägt rund 86% zu Mozillas Jahresumsatz bei — laut aktuellen Finanzberichten rund 585 Millionen Dollar aus dieser einen Partnerschaft.

Sehr wichtiger, oft übersehener Fakt für Blackstones Browser-Empfehlung: Der "unabhängige" Firefox-Browser finanziert sich zu 86% durch eine Vereinbarung mit Google — genau dem Konzern, vor dessen Datensammlung viele Firefox-Nutzer eigentlich flüchten wollen. Das ist keine Verschwörung, sondern offen bekannt, sollte aber im Masterplan transparent gemacht werden: Firefox ist zwar technisch unabhängig, wirtschaftlich aber stark von Google abhängig.

73 Börsen entfernten Privacy-Coins im Laufe des Jahres 2025 — ein Anstieg von 43% gegenüber 2023. OKX entfernte XMR-, ZEC- und DASH-Paare am 5. Januar 2024, Binance delistete XMR am 20. Februar 2024 weltweit, Kraken zog XMR im Juni 2024 aus Irland und Belgien zurück und im Oktober 2024 aus dem gesamten EWR. Trotzdem erreichte XMR im Januar 2026 mit rund 797 Dollar ein Allzeithoch — die Delisting-Welle "tötete Monero nicht, sie leitete es um".

Wichtige Nuance für den Masterplan: Die MiCA-getriebene Delisting-Welle hat Monero nicht verschwinden lassen, sondern den Handel von regulierten Börsen zu P2P-Netzwerken und Atomic-Swap-Tools verlagert — genau die Art von Ausweichverhalten, die Blackstones Prinzip "Regulierung schafft Umgehungsanreize" belegt. Gleichzeitig realistisch bleiben: Der Zugang ist komplizierter geworden, nicht mehr "einfach an der Börse kaufen".

MiCAR hat seit Dezember 2024 Privacy-Coins de-facto aus EU-Börsen verbannt: Bitpanda delistete Monero 2024, Bitvavo 2025, Binance EU im Februar 2024, Coinbase EU listete Monero nie. Kraken EU bleibt Stand Mai 2026 die letzte direkte EU-Option (in einigen Ländern, Status variiert). Grund: Die Travel Rule erfordert Identifikation aller Transaktionsbeteiligten ab 1.000 Euro — Monero verbirgt Sender und Empfänger aber absichtlich.

Sehr konkrete, DACH-spezifische Übersicht für den Masterplan — direkt anwendbar für Blackstones Zielgruppe. Wichtiger technischer Kern: Es ist kein reines "Privacy-Coins sind böse"-Verbot, sondern ein Konflikt zwischen der Travel-Rule-Pflicht (Nachverfolgbarkeit) und Moneros Grunddesign (bewusste Anonymität) — die beiden sind technisch nicht miteinander vereinbar.

Ab 2.000 Euro sind Händler gemäß Geldwäschegesetz verpflichtet, die Identität des Käufers festzustellen — diese Obergrenze gilt auch für Silber und andere Edelmetalle. Bis zum 31.12.2019 galt in Deutschland noch die alte Obergrenze von 9.999,99 Euro. In Österreich gilt weiterhin die großzügigere Grenze von 9.999,99 Euro, in der Schweiz kann man sogar bis 15.000 CHF anonym Gold kaufen.

Wichtige Bestätigung und Aktualisierung des bereits im Masterplan genannten Grenzwerts (1.999,99 €), zusätzlich mit historischem Kontext: Die Grenze wurde 2020 von fast 10.000 € auf 2.000 € gesenkt — ein Fünftel des vorherigen Werts. Wichtiger DACH-Vergleich für Blackstone: Österreich und die Schweiz haben deutlich großzügigere Grenzen — für Mitglieder, die in Grenznähe wohnen oder reisen, relevante Zusatzinformation.

Apple hat offiziell bestätigt, mehr als 2,5 Milliarden aktive Geräte im Einsatz zu haben — ein Rekordwert. Die aktiven Geräte umfassen iPhones, iPads, Macs, Apple Watches, Apple TVs, HomePods und weitere Produkte, die regelmäßig mit Apple-Servern verbunden sind. Vor einem Jahr waren es noch 2,35 Milliarden Geräte.

Direkte, offizielle Unternehmenszahl — die Größenordnung, die den GrapheneOS-Vergleich (Batch 38: ~400.000 Nutzer) erst richtig einordnet: Apples Ökosystem ist mehr als 6.000 Mal größer. Diese Relation zeigt anschaulich, wie klein die Alternative-OS-Bewegung im Vergleich zum Mainstream tatsächlich (noch) ist — wichtig für Blackstones Ehrlichkeit, keine übertriebene Reichweite der eigenen Empfehlungen zu suggerieren.

Laut Counterpoint Research ist inzwischen jedes vierte genutzte Smartphone weltweit ein iPhone. Apple und Samsung vereinen zusammen 44% aller aktiven Smartphone-Geräte weltweit auf sich.

Sehr einprägsame Zahl für Community-Content: Ein Viertel aller Smartphones weltweit ist ein iPhone — und zusammen mit Samsung kontrollieren zwei Konzerne fast die Hälfte des globalen Smartphone-Marktes. Diese Marktkonzentration ist relevant für Blackstones Argumentation zu Function Creep: Wenn zwei Unternehmen fast die Hälfte aller Geräte kontrollieren, betreffen deren Datenschutz-Entscheidungen (siehe F10: Trinity-College-Studie zur Telemetrie) einen enormen Anteil der Weltbevölkerung gleichzeitig.

Windows fiel im Juni 2026 weltweit auf 56,55% Desktop-Marktanteil — erstmals seit vielen Jahren unter die 60-Prozent-Marke. Linux erreichte im selben Monat 4,39% und damit laut Fachmedium Linuxiac eine seiner stärksten jüngsten Positionen. Die Methodik erfasst über Webseiten-Tracking-Codes gemessene Internetaktivität, nicht eine direkte Zählung aller weltweit installierten Systeme.

Historischer Meilenstein: Windows ist zum ersten Mal seit Jahren unter die 60%-Marke gefallen — ein überraschend schneller Rückgang. Wichtiger Methodik-Hinweis direkt mitgeliefert: StatCounter misst Web-Traffic, nicht installierte Geräte direkt — die Zahl ist eine gute Annäherung, aber keine exakte Zählung.

In Deutschland hält Windows nur noch rund 56% (Juni 2026), gegenüber rund 69% ein Jahr zuvor — ein sehr schneller Rückgang. macOS liegt bei rund 21%, Linux bei bemerkenswerten 6,24% — ein Wert, der laut Artikel zeigt, dass deutsche Nutzer zunehmend auf Open Source setzen. Der "unbekannt"-Anteil lag in Deutschland bei 13,05%, weltweit sogar bei 21,45%.

Sehr starke Zahl speziell für Deutschland: Windows verlor dort innerhalb eines Jahres rund 13 Prozentpunkte — ein außergewöhnlich schneller Wandel. Linux liegt in Deutschland (6,24%) sogar höher als im weltweiten Durchschnitt (4,39%) — passt zur bereits in früheren Recherchen erkennbaren überdurchschnittlichen Technikaffinität und Open-Source-Offenheit hierzulande.

Der Rechtsausschuss des Bundesrates empfiehlt eine generelle, anlassunabhängige Speicherung von IP-Adressen ALLER Kunden — verpflichtend für alle Internetdiensteanbieter. Neben Strafverfolgungs- und Polizeibehörden sollen auch Geheimdienste, Finanzbehörden und der Zoll auf die Daten zugreifen dürfen, ohne strenge Begrenzung der Verwendungszwecke — was der Deutsche Anwaltverein als europarechtswidrig einstuft. Zusätzlich sollen neue "Sicherungsanordnungen" künftig auch Standort- und Inhaltsdaten betreffen, nicht nur Metadaten.

Das ist eine erhebliche Verschärfung gegenüber dem bereits in Batch 29 dokumentierten Stand: Nicht nur Verfassungsschutz, sondern auch Geheimdienste, Finanzbehörden und Zoll sollen Zugriff bekommen — und sogar Inhaltsdaten (nicht nur Metadaten) sollen künftig von Sicherungsanordnungen erfasst werden können. Das ist ein Lehrbuchbeispiel für Function Creep noch VOR Verabschiedung des Gesetzes: Der ursprüngliche Entwurf war auf IP-Adressen für Strafverfolgung beschränkt, der Bundesrat will das massiv ausweiten, bevor das Gesetz überhaupt verabschiedet ist.

Der Nationale Normenkontrollrat stellt in seiner offiziellen Prüfung fest: Für Bürgerinnen und Bürger seien "keine Auswirkungen" vorgesehen, eine Evaluierung der Neuregelung sei nicht vorgesehen, und das zuständige Ressort habe keinen Nutzen des Vorhabens dargestellt.

Bemerkenswerter, sehr trockener Befund eines offiziellen Regierungs-Prüfgremiums: Das federführende Ministerium konnte dem eigenen Kontrollgremium keinen belegten Nutzen des Gesetzes darlegen — und es ist nicht einmal eine spätere Überprüfung geplant, ob die Maßnahme überhaupt wirkt. Das ist ein außergewöhnlich starker, amtlicher Beleg für Blackstones Kritik an unbelegter Wirksamkeit von Überwachungsmaßnahmen (Verweis F4) — hier nicht von Aktivisten, sondern vom eigenen Prüfgremium der Regierung festgestellt.

Hintergrund des erneuten gesetzgeberischen Anlaufs für eine Vorratsdatenspeicherung ist das Urteil des Europäischen Gerichtshofs vom 30.04.2024 (C-470/21), in welchem der EuGH seine lange bestehende restriktive Linie gelockert hatte.

Wichtige Ergänzung zur bereits dokumentierten EuGH-Urteilskette (Batch 5, F5): Nach vier Urteilen gegen Vorratsdatenspeicherung (2014-2022) hat der EuGH 2024 seine Linie erstmals gelockert — das ist die rechtliche Grundlage, auf die sich der aktuelle deutsche Gesetzentwurf stützt. Wichtig für die Ehrlichkeit des Dossiers: Die Rechtsprechung ist nicht statisch, sondern hat sich 2024 tatsächlich verändert — das rechtfertigt zwar nicht jede denkbare Ausweitung, zeigt aber, dass der neue Anlauf nicht einfach "gegen geltendes Recht" verstößt, sondern auf einer echten Rechtsprechungsänderung aufbaut.

Die BRAK fragt in ihrer Stellungnahme, warum eine Frist von vier Wochen nicht ebenso ausreichen könnte — "nicht ersichtlich", so die BRAK — und verweist dabei auf eine Aussage von BKA-Vizepräsidentin Martina Link aus einer Bundestagsanhörung im Oktober 2023, in der Link selbst die Frage aufwarf, wie lange Speicherfristen für die Zuordnung von IP-Adressen tatsächlich bemessen sein müssten.

Diese Quelle ergänzt und bestätigt den bereits in Batch 15 dokumentierten Befund (BKA-Positionspapier zu kürzeren Fristen): Auch die Bundesrechtsanwaltskammer verweist unabhängig auf dieselbe BKA-Aussage, dass kürzere Fristen praktisch ausreichen könnten — ein zweiter, unabhängiger Beleg für dasselbe Verhältnismäßigkeits-Argument.

Das Datenleck entstand, nachdem eine externe Dienstleisterfirma kompromittiert wurde, die Discord für Altersnachweis-Überprüfungen nutzte. Betroffene mussten im Rahmen eines "age-related appeal" Selfies mit Ausweis und Discord-Nutzernamen einreichen. Laut Discord waren mindestens 70.000 Nutzer betroffen, offengelegt wurden neben Ausweisfotos auch IP-Adressen, die Rückschlüsse auf den ungefähren Wohnort erlauben.

Wichtige Präzisierung: Es waren nicht "nur" Ausweisfotos betroffen, sondern zusätzlich IP-Adressen — also auch grobe Standortdaten. Das zeigt, wie stark Altersverifikations-Systeme verschiedene sensible Datenkategorien gleichzeitig bündeln, was das Schadenspotenzial bei einem Leck erhöht.

Discord bestätigte den Vorfall am 3. Oktober 2025 — Unbefugte hatten einen für den Kundendienst eingesetzten Drittanbieter kompromittiert. Im Rahmen eines mutmaßlichen Erpressungsversuchs behaupten die Angreifer, 1,5 Terabyte an Daten mit über 2 Millionen amtlichen Passfotos erbeutet zu haben — deutlich mehr als die von Discord bestätigten 70.000 Nutzer.

Wichtige Diskrepanz für Blackstones Ehrlichkeitsprinzip: Es gibt zwei sehr unterschiedliche Zahlen — Discords offiziell bestätigte 70.000 Betroffene versus die Angreifer-Behauptung von über 2 Millionen Passfotos. Bei Erpressungsfällen ist es normal, dass Angreifer die Zahlen übertreiben, um Druck zu erhöhen — im Artikel sollte klar zwischen "bestätigt" und "von Angreifern behauptet" unterschieden werden, nicht die höhere Zahl unkritisch übernehmen.

Discord erklärt offiziell: Die für die Altersverifikation eingesetzten spezialisierten Anbieter waren NICHT am Datenleck vom September 2025 beteiligt. Bei der Gesichtsschätzung wird das Video-Selfie direkt auf dem Gerät verarbeitet und nie gespeichert; Ausweisdokumente werden nur zur Altersermittlung verarbeitet und danach gelöscht — die Identität wird nie mit dem Discord-Konto verknüpft.

Wichtig für Fairness: Discord stellt offiziell klar, dass das *neue* Verifikationssystem NICHT derselbe Dienstleister ist, der beim Leck 2025 betroffen war — man hat also (zumindest laut eigener Aussage) reagiert und den Anbieter gewechselt bzw. das System überarbeitet. Diese Unternehmensposition sollte im Blackstone-Artikel neben der berechtigten Nutzer-Skepsis stehen, nicht unterschlagen werden — auch wenn "es war ein anderer Anbieter" das grundsätzliche Risiko (Drittanbieter-Abhängigkeit bei sensiblen Daten) nicht beseitigt.

Der EDPB und der EDPS drängen die Mitgesetzgeber eindringlich, die vorgeschlagenen Änderungen an der Definition personenbezogener Daten NICHT anzunehmen, da diese weit über eine gezielte oder technische Änderung der DSGVO hinausgehen. Die Änderungen würden zudem die Rechtsprechung des Europäischen Gerichtshofs (CJEU) nicht akkurat widerspiegeln und klar darüber hinausgehen.

Das ist ein bedeutender neuer Fund für Blackstone: Ein "Vereinfachungs"-Vorschlag der EU-Kommission versucht offenbar, die grundlegende Definition dessen zu ändern, was überhaupt als "personenbezogene Daten" zählt und damit unter DSGVO-Schutz fällt — die höchsten EU-Datenschutzbehörden warnen davor in ungewöhnlich deutlichen Worten. Das ist ein Lehrbuchbeispiel für "Deregulierung im Deckmantel der Vereinfachung" und verdient ein eigenes Blackstone-Dossier.

Der EDPB und der EDPS begrüßen ausdrücklich die vorgeschlagene neue Ausnahmeregelung zur Verarbeitung besonderer Datenkategorien für biometrische Authentifizierung, sofern die Verifikationsmittel unter alleiniger Kontrolle der betroffenen Person stehen. Sie unterstützen zudem die Vereinheitlichung des Begriffs "wissenschaftliche Forschung".

Wichtig für Blackstones Ausgewogenheit: Nicht der gesamte Digital Omnibus wird kritisiert — einzelne Vereinfachungen werden von den Datenschutzbehörden selbst begrüßt. Das zeigt: Die Kritik richtet sich präzise gegen einen spezifischen Punkt (Datendefinition), nicht pauschal gegen das ganze Vorhaben — genau die Art differenzierter Kritik, die zu Blackstones Stil passt.

EDPB und EDPS begrüßen ausdrücklich, dass Nutzer des digitalen Euro stets die Wahl haben werden, in digitalen Euro oder in Bargeld zu bezahlen. EDPS-Chef Wojciech Wiewiórowski betonte: Man unterstütze das Bekenntnis zu hohen Datenschutz-Standards beim Online-Digital-Euro und einem noch höheren Schutzniveau für die Offline-Nutzung — mit der Empfehlung, eine übermäßige Zentralisierung personenbezogener Daten bei der EZB oder den nationalen Zentralbanken zu vermeiden.

Das ist die Original-Primärquelle für die bereits in Batch 35 sekundär referenzierte EDPB-Kritik am digitalen Euro — jetzt direkt erfasst, nicht nur über eine Zusammenfassung. Zentrale Forderung: keine übermäßige Datenzentralisierung bei der EZB — passt zu Blackstones generellem Honeypot-Argument (F3).

Am 19. November 2025 veröffentlichte die Kommission den Entwurfsvorschlag "Digital Omnibus" — ein Paket zur Vereinfachung und Harmonisierung der EU-Digitalgesetzgebung. Der Entwurf schlägt Änderungen nicht nur am AI Act und Data Act vor, sondern insbesondere auch an der DSGVO selbst, u.a. bei Informationspflichten, Datenschutzverletzungen und Pseudonymisierung sowie neue Regeln zur Verarbeitung von Daten auf Endgeräten (insbesondere über Cookies).

Das ist der offizielle Ausgangspunkt: ein Kommissionsvorschlag vom November 2025, der unter dem Label "Vereinfachung" direkt in den Kern der DSGVO eingreift — nicht nur in Randbereiche.

Schrems: "Dies ist der größte Angriff auf die digitalen Rechte der Europäer seit Jahren. Wenn die Kommission erklärt, dass sie 'die höchsten Standards aufrechterhält', ist das schlichtweg falsch. Die Vorschläge der Kommission würden diese Standards untergraben." Die Änderungen hätten für durchschnittliche europäische KMUs im Grunde keinen wirklichen Nutzen, seien aber "ein Geschenk an Big Tech", da sie neue Schlupflöcher eröffneten, die große Tech-Konzerne ausnutzen könnten.

Sehr scharfe Kritik von einer der bekanntesten europäischen Datenschutz-Persönlichkeiten (Schrems erstritt u.a. das "Schrems II"-Urteil gegen internationale Datentransfers). Wichtig für Blackstones Kennzeichnung: Das ist eine NGO-Position, keine neutrale Feststellung — aber von jemandem mit erheblicher juristischer Fachautorität in diesem Bereich.

Die geplante Neudefinition personenbezogener Daten würde es Unternehmen erlauben, pseudonyme oder deduzierte Informationen als "nicht personenbezogen" zu deklarieren. KI-Training und Gerätezugriffe sollen künftig als "berechtigtes Interesse" gelten — damit könnten personenbezogene Daten ohne aktive Zustimmung verarbeitet werden.

Konkrete technische Erklärung, WAS genau sich ändern würde: Wenn ein Unternehmen Daten nur "vermuten" statt "wissen" kann (pseudonym/dedu­ziert), müsste es sie nicht mehr als besonders geschützte personenbezogene Daten behandeln — ein direkter Weg, DSGVO-Pflichten zu umgehen, ohne das Gesetz formal abzuschaffen.

Art. 4 DSGVO soll präzisiert werden: Informationen gelten nicht als personenbezogene Daten für eine bestimmte Einrichtung, wenn diese nicht über Mittel verfügt, mit denen die betroffene Person mit hinreichender Wahrscheinlichkeit identifiziert werden kann — diese Änderung stehe im Einklang mit der SRB-Entscheidung des EuGH von September 2025. Aus Wirtschaftssicht seien die meisten Vereinfachungsvorschläge eher positiv zu bewerten.

Wichtige Gegenposition für Ausgewogenheit: Die Kommission beruft sich nicht aus dem Nichts auf eine neue Definition, sondern auf ein tatsächliches EuGH-Urteil (SRB-Entscheidung, September 2025) — die Frage ist, ob die Umsetzung im Gesetzestext über das Urteil hinausgeht oder es nur korrekt abbildet. Und: Aus reiner Wirtschaftssicht (IHK) wird der Vorschlag mehrheitlich positiv bewertet — zeigt den Interessenkonflikt zwischen Wirtschaftsverbänden und Datenschutzorganisationen.

Der EuGH hat sich im Urteil vom 4. September 2025 (Az. C-413/23 P) mit Fragen zu "personenbezogenen Daten" und "Pseudonymisierung" befasst — Anlass war ein Rechtsstreit zwischen dem Europäischen Datenschutzbeauftragten (EDSB) und dem Einheitlichen Abwicklungsausschuss (SRB). Der EuGH stellte klar: Stellungnahmen, die persönliche Meinungen wiedergeben, sind Informationen "über diese Person", da sie als Ausdruck ihrer Gedanken zwangsläufig eng mit ihr verknüpft sind.

Das ist das eigentliche Ursprungsurteil, auf das sich die Kommission im Digital-Omnibus-Vorschlag beruft — jetzt direkt erfasst, nicht nur über Sekundärquellen. Wichtig: Eine deutsche Aufsichtsbehörde selbst bestätigt in Teilen sogar eine BREITE Auslegung von "personenbezogen" (Meinungsäußerungen zählen dazu) — was der Digital-Omnibus-Kritik teilweise widerspricht.