Quellen-Tabelle

Stand mit ***I-Bericht vom 25. Juni 2026 — zeigt, dass der Digitale-Euro-Vorschlag im Juni 2026 einen Ausschussbericht im Parlament (1. Lesung) erhalten hat. Für exaktes Datum/Bericht bei nächster Nutzung erneut auf OEIL gegenprüfen.

Diese Seite zeigt: Das Gesetz ist im Sommer 2026 einen Schritt weitergekommen, aber immer noch nicht fertig beschlossen.

Verweist auf laufendes Gesetzgebungsverfahren des Bundesjustizministeriums zur Einführung einer IP-Adressspeicherung — trotz der oben dokumentierten EuGH-Linie. Für nächstes Batch: exakten Gesetzentwurf beim BMJ/Bundestag DIP direkt identifizieren.

Trotz vier Gerichtsurteilen gegen anlasslose Speicherung gibt es in Deutschland aktuell einen neuen Anlauf, zumindest IP-Adressen zu speichern. Das zeigt: Das Thema ist nicht erledigt, nur weil Gerichte mehrfach Nein gesagt haben — es kommt in neuer Form wieder.

Die Kommission wird 2026 eine Technology Roadmap zur Verschlüsselung vorlegen, die Lösungen für den rechtmäßigen Zugriff der Strafverfolgung auf verschlüsselte Daten identifizieren und bewerten soll; zusätzlich wird die Erforschung neuer Entschlüsselungskapazitäten unterstützt, um Europol ab 2030 mit Entschlüsselungstechnologie der nächsten Generation auszustatten.

Konkretes Datum: 2026 kommt der Fahrplan, ab 2030 soll die europäische Polizeibehörde bessere Werkzeuge haben, um Verschlüsselung zu knacken. Das ist kein "vielleicht irgendwann" — es gibt eine Timeline.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Die einheitliche Meldeplattform der ENISA befindet sich noch im Aufbau; ENISA übernimmt die Weiterleitung der Meldungen an die national zuständigen CSIRTs und informiert das CSIRT-Netzwerk, um Doppelmeldungen zu vermeiden.

Konkret entsteht hier eine einzige, zentrale EU-Datenbank für gemeldete Sicherheitslücken bei Millionen vernetzter Geräte — das ist die Infrastruktur, die im Masterplan-Kapitel "Honeypot-Risiko" thematisiert werden sollte, sobald die Plattform live ist.

Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten können Bußgelder bis zur Höhe von 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden; als deutsche Umsetzung liegt seit dem 1. Mai 2026 ein Regierungsentwurf zum "Gesetz zur Durchführung der Verordnung (EU) 2024/2847" vor.

Auch wenn der CRA als EU-Verordnung direkt gilt, braucht es trotzdem noch ein deutsches Begleitgesetz (z. B. für Zuständigkeiten und Bußgeldhöhen) — das ist gerade erst im Entwurfsstadium.

Anbieter sollen künftig verpflichtet sein, die IP-Adressen ihrer Kunden für drei Monate vorsorglich zu speichern; IP-Adressen sind oft der einzige Ansatzpunkt, um Täter bei internetbezogener Kriminalität zu identifizieren.

Das ist der konkrete deutsche Gesetzentwurf, der trotz der EuGH-Urteilskette (Dossier B3) versucht, eine neue Speicherpflicht einzuführen — diesmal beschränkt auf IP-Adressen, drei Monate, statt aller Kommunikationsdaten. Kabinett hat zugestimmt, Bundestag/Bundesrat müssen noch entscheiden.

Der Bundestag befasste sich am 24. Juni 2026 mit der IP-Adressspeicherung (Drucksachen 21/6581, 21/7154); die Vorlage wurde an die Ausschüsse überwiesen, Federführung beim Ausschuss für Recht und Verbraucherschutz. Der Bundesrat begrüßt den Entwurf als "wesentlichen Beitrag zur inneren Sicherheit" und plädiert zusätzlich dafür, den Datenzugriff auch für Landes-Gefahrenabwehrbehörden sowie die Verfassungsschutzbehörden der Länder zu öffnen.

Wichtige Verschärfung gegenüber dem ursprünglichen Entwurf: Der Bundesrat will den Kreis der zugriffsberechtigten Behörden noch erweitern — über Strafverfolgung hinaus auch auf Verfassungsschutz. Das ist ein sehr konkretes, aktuelles Beispiel für Function Creep bereits im laufenden Gesetzgebungsverfahren, nicht erst nach Verabschiedung.

Nach Sammlung des Feedbacks plant die Kommission, die Leitlinien in der zweiten Jahreshälfte 2026 zu verabschieden.

Konkretes Datum für die Blackstone-Redaktion: Die finalen Trusted-Flagger-Leitlinien kommen voraussichtlich noch dieses Jahr — ein guter Anlass für einen Update-Artikel, sobald sie veröffentlicht sind.

Einige Mitgliedstaaten haben während des Gesetzgebungsverfahrens die Kompetenz der EU für Teile des EMFA angezweifelt; Ungarn hat sogar eine Nichtigkeitsklage beim EuGH erhoben (Rs. C-486/24). Allgemein wird aufgrund der weiten Kompetenzauslegung des EuGH aber nicht erwartet, dass der EMFA für nichtig erklärt wird.

Bisher nicht in der Datenbank: Es gibt einen offenen Gerichtsstreit um das gesamte EMFA-Gesetz, angestoßen von Ungarn. Wahrscheinlich wird das Gesetz bestehen bleiben, aber das Verfahren ist noch nicht entschieden — relevant für die Statuskennzeichnung.

Zwischen der Kommissionsposition vom 19. November 2025 und dem noch unveröffentlichten Kompromissvorschlag des Rats vom 10. Juni 2026 bestehen erhebliche Divergenzen; Vermittlungsversuche der zypriotischen Ratspräsidentschaft konnten noch nicht zu entscheidenden Fortschritten führen. Bemerkenswert: Selbst die Kommission selbst befürchtet, ihre eigenen Vereinfachungsziele könnten durch die Änderungsvorschläge unterlaufen werden.

Wichtiger aktueller Status: Das Verfahren steckt fest, sogar die Kommission ist inzwischen unzufrieden mit der Richtung, in die es sich entwickelt — ein ungewöhnlicher Befund, der zeigt, wie kontrovers dieses Vorhaben ist.