Quellen-Tabelle

EDPB und EDPS kommen zum Schluss, dass der Vorschlag dazu führen würde, dass der Eingriff in die Vertraulichkeit der Kommunikation faktisch zur Regel statt zur Ausnahme würde. Offizielle Datenschutz-Aufsicht der EU selbst — stärkste institutionelle Kritik-Quelle, kein "Schwurbel".

Die offiziellen EU-Datenschutz-Wächter selbst sagen: Wenn das Gesetz so kommt, wird Nachrichten-Mitlesen zum Normalfall statt zur Ausnahme. Das ist keine Verschwörungstheorie, das steht in einem offiziellen EU-Dokument.

Die vorgeschlagene Verordnung soll sicherstellen, dass der digitale Euro, falls er ausgegeben wird, die Euro-Banknoten ergänzt, aber nicht ersetzt. Offizielle Position der ausgebenden Institution selbst — wichtig für Zitate, da EZB oft nur indirekt über Medien zitiert wird.

Die Zentralbank sagt selbst schriftlich: Der digitale Euro soll dazukommen, nicht Bargeld wegnehmen. Das ist keine Marketing-Aussage einer Boulevardseite, sondern eine offizielle rechtliche Stellungnahme.

Stand mit ***I-Bericht vom 25. Juni 2026 — zeigt, dass der Digitale-Euro-Vorschlag im Juni 2026 einen Ausschussbericht im Parlament (1. Lesung) erhalten hat. Für exaktes Datum/Bericht bei nächster Nutzung erneut auf OEIL gegenprüfen.

Diese Seite zeigt: Das Gesetz ist im Sommer 2026 einen Schritt weitergekommen, aber immer noch nicht fertig beschlossen.

Die Leitlinien sollen Koordinatoren für digitale Dienste und zuständige nationale Behörden bei Anwendung und Auslegung von Art. 28 unterstützen; aus Annahme der Maßnahmen kann aber nicht automatisch auf Einhaltung geschlossen werden, und nur der EuGH kann Art. 28 verbindlich auslegen.

Das ist der offizielle EU-Leitfaden, wie Plattformen Minderjährige schützen sollen. Wichtig: "Leitlinie" heißt nicht "Gesetz" — sie ist eine Empfehlung, keine Pflicht, aber Behörden orientieren sich in der Praxis daran.

Die USK plädiert für das Verhältnismäßigkeitsprinzip als maßgeblichen Ansatz — differenzierte, von der Schädlichkeit der Inhalte abhängige Maßnahmen wie Elternbegleittools statt reiner Konzentration auf Altersverifikationssysteme — und fordert eine klare EU-weite Definition von Altersverifikation.

Selbst eine offizielle deutsche Prüfstelle für Jugendschutz sagt: Nicht bei jedem Inhalt braucht es harte Alters-Ausweiskontrolle, oft reichen mildere Mittel. Zeigt: Kritik an zu scharfer Altersverifikation kommt nicht nur von Privacy-Aktivisten, sondern auch aus dem Jugendschutz-Establishment selbst.

Eine allgemeine gesetzliche Altersgrenze für den Zugang zu Online-Plattformen existiert in Deutschland derzeit nicht; bei Verstoß gegen die Pflicht zu Vorsorgemaßnahmen nach Art. 28 DSA drohen Bußgelder bis zu fünf Millionen Euro; eine Pflicht zur Nutzung bestimmter Verifikationssysteme gibt es in Deutschland nach dieser Analyse aktuell nicht.

Wichtige Präzisierung für Deutschland: Es gibt noch kein Gesetz, das ein bestimmtes Alters-Check-System vorschreibt. Firmen müssen sich schützend kümmern (sonst Bußgeld), aber WIE, ist noch offen. "Ausweispflicht fürs Internet" ist für DE aktuell nicht korrekt — Stand dieses Gutachtens.

Die Jugendschutzleitlinien gelten mit Ausnahme von Kleinst- und Kleinunternehmen für alle Online-Plattformen, die für Minderjährige zugänglich sind — auch für Plattformen, die nicht für Minderjährige gedacht sind, aber aufgrund unzureichender Altersverifikation dennoch minderjährige Nutzer haben.

Das erklärt, warum am Ende praktisch fast jede größere Plattform betroffen ist — nicht weil sie sich an Kinder richtet, sondern weil sie nicht sicher ausschließen kann, dass Kinder mitlesen. Das ist der eigentliche Hebel, der Altersverifikation so verbreitet macht.

Verweist auf laufendes Gesetzgebungsverfahren des Bundesjustizministeriums zur Einführung einer IP-Adressspeicherung — trotz der oben dokumentierten EuGH-Linie. Für nächstes Batch: exakten Gesetzentwurf beim BMJ/Bundestag DIP direkt identifizieren.

Trotz vier Gerichtsurteilen gegen anlasslose Speicherung gibt es in Deutschland aktuell einen neuen Anlauf, zumindest IP-Adressen zu speichern. Das zeigt: Das Thema ist nicht erledigt, nur weil Gerichte mehrfach Nein gesagt haben — es kommt in neuer Form wieder.

Bargeld bleibt gesetzliches Zahlungsmittel; nur Barzahlungen über 10.000 Euro im gewerblichen Verkehr werden untersagt, Zahlungen zwischen Privatpersonen sind nicht betroffen. Beim anonymen Barkauf von Edelmetallen liegt die Schwelle in Deutschland bei 1.999,99 Euro.

Wichtigste Präzisierung gegen Übertreibungen: Die Grenze gilt nur beim Kauf im Geschäft/Gewerbe, NICHT zwischen Privatpersonen (Gebrauchtwagenkauf vom Nachbarn bleibt bar möglich). Und: "Bargeld wird verboten" stimmt nicht — nur hohe gewerbliche Beträge.

Die AMLA nahm am 01.07.2025 in Frankfurt am Main ihre Tätigkeit auf; sie koordiniert nationale Aufsichtsbehörden und erhält umfassende Aufsichts- und Ermittlungsbefugnisse.

Die neue EU-Geldwäsche-Behörde existiert bereits real und arbeitet seit Sommer 2025 — das ist keine Zukunftsmusik mehr, sondern läuft schon.

Die Kommission hat 2024 schriftlich festgehalten, dass die Schaffung eines Registers auf EU-Ebene nicht Teil ihres AML-Pakets war und auch im finalen Kompromiss nicht beibehalten wurde.

Das ist der wichtigste Einzelbeleg für dieses Dossier: Die Kommission selbst hat schriftlich und offiziell an das Parlament bestätigt, dass das Vermögensregister NICHT beschlossen wurde und auch nicht Teil des verabschiedeten Pakets war. Wer "kommt 2027" behauptet, widerspricht einer offiziellen Kommissionsantwort.

Die Bundesnetzagentur fungiert in Deutschland als "Digital Service Coordinator" (DSC) — zentrale Aufsichts-, Beschwerde- und Zertifizierungsstelle für den DSA. Für nächstes Batch: direkte DE-Primärquelle (dsc.bund.de) statt AT-Spiegel nachreichen.

Für Deutschland ist nicht ein neues Amt zuständig, sondern die schon bestehende Bundesnetzagentur hat eine neue Zuständigkeit dazubekommen.

Offizielle deutsche Aufsichtsbehörde veröffentlicht eigene Analysen zu systemischen Risiken nach Art. 34/35 — zeigt, dass die Umsetzung in Deutschland aktiv und mit eigener Forschung begleitet wird, nicht nur auf Kommissionsebene passiert.

Die deutsche Behörde forscht selbst dazu, wie die "Risiko"-Regeln in der Praxis wirken — nützliche Primärquelle, um zu prüfen, ob Overblocking real auftritt oder nur befürchtet wird.

Zertifiziert wurden Bundesverband Onlinehandel e.V. (Schwerpunkt gewerblicher Rechtsschutz), HateAid gGmbH (Schwerpunkt digitale Gewalt) und Verbraucherzentrale Bundesverband e.V.; zugelassene Trusted Flagger sind verpflichtet, einmal jährlich einen Tätigkeitsbericht zu veröffentlichen. Erster Trusted Flagger überhaupt war laut Wikipedia-Zusammenfassung die Meldestelle Respect! der Jugendstiftung Baden-Württemberg, anerkannt am 1. Oktober 2024.

Das sind die konkreten, namentlich bekannten Organisationen, die in Deutschland aktuell diesen Status haben — keine anonyme Behörde, sondern vier namentlich bekannte, überprüfbare Stellen mit Berichtspflicht.

Trusted Flagger werden von privaten oder juristischen Personen des Privatrechts wahrgenommen; durch die sogenannte Beleihung würden sie eigentlich zu Amtsträgern — allerdings ordnet das Gutachten die Übertragung an Trusted Flagger explizit NICHT als hoheitliche oder schlicht-hoheitliche Aufgabe ein, weshalb sie rechtlich keine "Beliehenen" sind.

Wichtige juristische Feinheit: Private Organisationen bekommen hier eine Sonderrolle vom Staat übertragen — das Gutachten des Bundestags selbst sagt aber: Rechtlich sind sie trotzdem keine Behörden-Vertreter. Wer "der Staat lässt private Zensoren agieren" sagt, verkürzt eine differenziertere Rechtslage.

Die Kommission legt einen Fahrplan vor, der sechs Bereiche umfasst: Vorratsdatenspeicherung, rechtmäßige Überwachung, digitale Forensik, Entschlüsselung, Standardisierung und KI-Lösungen für die Strafverfolgung; 2025 soll eine Folgenabschätzung zur Aktualisierung der Vorratsdatenspeicherungsregeln erfolgen.

Das ist der offizielle Fahrplan der Kommission, WIE sie an verschlüsselte Daten und gespeicherte Nutzerdaten herankommen will. Noch kein Gesetz — aber ein sehr konkreter, terminierter Plan mit Jahreszahlen.

Die Kommission wird 2026 eine Technology Roadmap zur Verschlüsselung vorlegen, die Lösungen für den rechtmäßigen Zugriff der Strafverfolgung auf verschlüsselte Daten identifizieren und bewerten soll; zusätzlich wird die Erforschung neuer Entschlüsselungskapazitäten unterstützt, um Europol ab 2030 mit Entschlüsselungstechnologie der nächsten Generation auszustatten.

Konkretes Datum: 2026 kommt der Fahrplan, ab 2030 soll die europäische Polizeibehörde bessere Werkzeuge haben, um Verschlüsselung zu knacken. Das ist kein "vielleicht irgendwann" — es gibt eine Timeline.

In allen bislang gesichteten offiziellen ProtectEU-/Going-Dark-Dokumenten (Roadmap, Kommissionsseite, HLG-Empfehlungen) taucht ein VPN-*Verbot* nicht als konkreter Programmpunkt auf — der Fokus liegt auf Vorratsdatenspeicherung, Entschlüsselung und rechtmäßigem Zugriff. Bestätigt die bisherige Einordnung aus dem Gefahrenplan: VPN-Diskussion findet in angrenzenden Papieren statt, aber kein Gesetzesvorhaben identifiziert.

Wichtige Ehrlichkeits-Note für Blackstone: Nach dieser Recherche gibt es weiterhin keinen Beleg für ein konkretes VPN-Verbotsvorhaben. Was real ist: ein sehr konkreter Plan, Verschlüsselung generell zu schwächen — das betrifft VPNs indirekt mit, ist aber etwas anderes als ein VPN-Verbot.

Deutsche Aufsichtsbehörde konkretisiert die MiCA-Anforderungen für Kryptowerte-Dienstleister; Übergangsregelungen erlauben bereits nach deutschem Recht zugelassenen Instituten die Fortführung ihrer Dienstleistungen unter bestimmten Bedingungen.

Die deutsche Finanzaufsicht hat einen eigenen Leitfaden veröffentlicht, wie Krypto-Firmen das EU-Gesetz konkret umsetzen müssen — wichtig für den Masterplan-Abschnitt zu deutschen vs. ausländischen Krypto-Anbietern.

Zeigt den vollständigen, granularen Umsetzungsstand von MiCA — von Q&As bis zu finalen Leitlinien. Gut geeignet, um bei künftigen Recherchen den aktuellsten Stand einzelner MiCA-Detailfragen schnell zu finden.

Diese Tabelle ist ein Nachschlagewerk für Detailfragen zu MiCA — nicht direkt zitierfähig für einen Blackstone-Artikel, aber nützlich als Rechercheausgangspunkt für Redakteure.

Die Europäische Kommission hat Apple am 5. September 2023 als Gatekeeper in Bezug auf iOS, App Store und Safari benannt, und am 29. April 2024 zusätzlich für iPadOS.

Formaler Fakt: Apple ist offiziell als eines der mächtigsten "Torwächter"-Unternehmen eingestuft — das ist die Voraussetzung dafür, dass die strengeren DMA-Pflichten überhaupt für Apple gelten.

Die Kommission eröffnete zwei Spezifizierungsverfahren, um Apple bei der Einhaltung seiner Interoperabilitätspflichten nach dem DMA zu unterstützen. Zeigt den konkreten behördlichen Prozess, wie abstrakte Gesetzespflichten in technische Einzelvorgaben übersetzt werden.

Das zeigt, wie das Gesetz in der Praxis durchgesetzt wird: nicht durch pauschale Anordnung, sondern durch ein förmliches Verfahren mit Fristen, in dem auch Dritte (z. B. Hersteller von Smartwatches) mitreden können.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Die einheitliche Meldeplattform der ENISA befindet sich noch im Aufbau; ENISA übernimmt die Weiterleitung der Meldungen an die national zuständigen CSIRTs und informiert das CSIRT-Netzwerk, um Doppelmeldungen zu vermeiden.

Konkret entsteht hier eine einzige, zentrale EU-Datenbank für gemeldete Sicherheitslücken bei Millionen vernetzter Geräte — das ist die Infrastruktur, die im Masterplan-Kapitel "Honeypot-Risiko" thematisiert werden sollte, sobald die Plattform live ist.

Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten können Bußgelder bis zur Höhe von 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden; als deutsche Umsetzung liegt seit dem 1. Mai 2026 ein Regierungsentwurf zum "Gesetz zur Durchführung der Verordnung (EU) 2024/2847" vor.

Auch wenn der CRA als EU-Verordnung direkt gilt, braucht es trotzdem noch ein deutsches Begleitgesetz (z. B. für Zuständigkeiten und Bußgeldhöhen) — das ist gerade erst im Entwurfsstadium.