Quellen-Tabelle

Zertifiziert wurden Bundesverband Onlinehandel e.V. (Schwerpunkt gewerblicher Rechtsschutz), HateAid gGmbH (Schwerpunkt digitale Gewalt) und Verbraucherzentrale Bundesverband e.V.; zugelassene Trusted Flagger sind verpflichtet, einmal jährlich einen Tätigkeitsbericht zu veröffentlichen. Erster Trusted Flagger überhaupt war laut Wikipedia-Zusammenfassung die Meldestelle Respect! der Jugendstiftung Baden-Württemberg, anerkannt am 1. Oktober 2024.

Das sind die konkreten, namentlich bekannten Organisationen, die in Deutschland aktuell diesen Status haben — keine anonyme Behörde, sondern vier namentlich bekannte, überprüfbare Stellen mit Berichtspflicht.

Trusted Flagger werden von privaten oder juristischen Personen des Privatrechts wahrgenommen; durch die sogenannte Beleihung würden sie eigentlich zu Amtsträgern — allerdings ordnet das Gutachten die Übertragung an Trusted Flagger explizit NICHT als hoheitliche oder schlicht-hoheitliche Aufgabe ein, weshalb sie rechtlich keine "Beliehenen" sind.

Wichtige juristische Feinheit: Private Organisationen bekommen hier eine Sonderrolle vom Staat übertragen — das Gutachten des Bundestags selbst sagt aber: Rechtlich sind sie trotzdem keine Behörden-Vertreter. Wer "der Staat lässt private Zensoren agieren" sagt, verkürzt eine differenziertere Rechtslage.

Die Kommission legt einen Fahrplan vor, der sechs Bereiche umfasst: Vorratsdatenspeicherung, rechtmäßige Überwachung, digitale Forensik, Entschlüsselung, Standardisierung und KI-Lösungen für die Strafverfolgung; 2025 soll eine Folgenabschätzung zur Aktualisierung der Vorratsdatenspeicherungsregeln erfolgen.

Das ist der offizielle Fahrplan der Kommission, WIE sie an verschlüsselte Daten und gespeicherte Nutzerdaten herankommen will. Noch kein Gesetz — aber ein sehr konkreter, terminierter Plan mit Jahreszahlen.

Verordnung vom 31. Mai 2023, anwendbar seit 30. Dezember 2024 — die erste umfassende EU-weite Regulierung für Kryptowerte-Märkte. Rechtsgrundlage für KYC-Pflichten bei zentralen Anbietern (CASPs) und die Klassifizierung von Token-Typen (u. a. Asset-Referenced Tokens, E-Money Tokens).

Das ist das zentrale EU-Gesetz für Kryptowährungen. Es regelt vor allem Börsen und Anbieter — Selbstverwahrung (eigene Wallet ohne Zwischenhändler) bleibt davon unberührt und legal.

Deutsche Aufsichtsbehörde konkretisiert die MiCA-Anforderungen für Kryptowerte-Dienstleister; Übergangsregelungen erlauben bereits nach deutschem Recht zugelassenen Instituten die Fortführung ihrer Dienstleistungen unter bestimmten Bedingungen.

Die deutsche Finanzaufsicht hat einen eigenen Leitfaden veröffentlicht, wie Krypto-Firmen das EU-Gesetz konkret umsetzen müssen — wichtig für den Masterplan-Abschnitt zu deutschen vs. ausländischen Krypto-Anbietern.

Zeigt den vollständigen, granularen Umsetzungsstand von MiCA — von Q&As bis zu finalen Leitlinien. Gut geeignet, um bei künftigen Recherchen den aktuellsten Stand einzelner MiCA-Detailfragen schnell zu finden.

Diese Tabelle ist ein Nachschlagewerk für Detailfragen zu MiCA — nicht direkt zitierfähig für einen Blackstone-Artikel, aber nützlich als Rechercheausgangspunkt für Redakteure.

Die Interoperabilitätspflicht aus Art. 6(7) verlangt von "Gatekeepern", Dritten Zugang zu denselben Betriebssystem-Hardware- und Software-Funktionen zu gewähren, die den eigenen Diensten des Gatekeepers zur Verfügung stehen — damit Dritte fair mit dem Gatekeeper konkurrieren können.

Das ist das Gesetz, das große Tech-Konzerne zwingt, ihre Systeme für andere Firmen zu öffnen — zum Beispiel Apps außerhalb des offiziellen App Stores zuzulassen. Ziel ist Wettbewerb, nicht in erster Linie Überwachung.

Die Europäische Kommission hat Apple am 5. September 2023 als Gatekeeper in Bezug auf iOS, App Store und Safari benannt, und am 29. April 2024 zusätzlich für iPadOS.

Formaler Fakt: Apple ist offiziell als eines der mächtigsten "Torwächter"-Unternehmen eingestuft — das ist die Voraussetzung dafür, dass die strengeren DMA-Pflichten überhaupt für Apple gelten.

Apple erklärt, der DMA verändere viele Teile der Nutzererfahrung in der EU — von App-Downloads und Zahlungen bis zur Zusammenarbeit zwischen Apple-Produkten — und listet "mehr Risiken beim App-Download und bei Zahlungen" als eine der Auswirkungen für EU-Nutzer.

Wichtig für Ausgewogenheit: Apple selbst warnt öffentlich, dass die erzwungene Öffnung (z. B. Sideloading) neue Sicherheitsrisiken für Nutzer schaffen könnte. Das ist die Gegenposition zur reinen "mehr Wettbewerb ist immer gut"-Sicht — beide Seiten gehören ins Dossier.

Die Kommission eröffnete zwei Spezifizierungsverfahren, um Apple bei der Einhaltung seiner Interoperabilitätspflichten nach dem DMA zu unterstützen. Zeigt den konkreten behördlichen Prozess, wie abstrakte Gesetzespflichten in technische Einzelvorgaben übersetzt werden.

Das zeigt, wie das Gesetz in der Praxis durchgesetzt wird: nicht durch pauschale Anordnung, sondern durch ein förmliches Verfahren mit Fristen, in dem auch Dritte (z. B. Hersteller von Smartwatches) mitreden können.

Der CRA ist seit dem 10. Dezember 2024 in Kraft; er ist eine EU-Verordnung und damit — anders als die NIS-2-Richtlinie — direkt in allen Mitgliedstaaten anwendbar, ohne dass es einer nationalen Umsetzung bedarf.

Das ist das neue EU-Gesetz für Cybersicherheit bei allen vernetzten Geräten und Software — von der smarten Heizung bis zum Betriebssystem. Es gilt automatisch in ganz Europa, ohne dass Deutschland es extra ins eigene Recht übersetzen muss.

Kern des EMFA ist die Garantie redaktioneller Unabhängigkeit der Medien und der Schutz journalistischer Arbeit vor staatlicher Einflussnahme; das Gesetz enthält verbindliche Regeln für Medienunternehmen, Online-Plattformen und Behörden.

Das ist NICHT das Gesetz, das öffentlich-rechtliche Sender bevorzugt zeigen lässt — es ist in erster Linie ein Schutzgesetz gegen politische Einmischung in Medien (Stichwort Ungarn, Polen). Die "Priorisierung"-Frage aus den ursprünglichen Notizen steckt in einem einzelnen Artikel (Art. 18), nicht im ganzen Gesetz — siehe nächste Quelle.

Nach Art. 18 EMFA haben anerkannte Medien das Recht, vor einer Entfernung ihrer Inhalte über die Gründe informiert zu werden und innerhalb von 24 Stunden zu reagieren; ihre Beschwerden werden prioritär behandelt. Art. 18 stellt eine klare Abweichung von Art. 17 DSA dar und schafft einen privilegierten Status für traditionelle Medien. Wichtig: Art. 18 gilt NICHT für systemische Risiken wie Desinformation — das Medienprivileg betrifft nicht die Moderation durch die Plattformen selbst in diesen Fällen.

Hier ist die präzise Wahrheit hinter der vereinfachten Behauptung: Medien werden nicht generell "bevorzugt angezeigt" — sie bekommen nur ein Vorwarn- und Widerspruchsrecht, BEVOR eine Plattform ihre Inhalte löscht. Das ist etwas anderes als erzwungene Sichtbarkeit. Wichtige Einschränkung: Bei Desinformation gilt dieser Schutz nicht.

EFF und andere Organisationen hatten die Kuratierung von Inhalten durch Algorithmen als "deutlich ernstere Bedrohung" beschrieben als eine Moderation durch Facebook und Co.; das neue europäische Gremium soll formal unabhängig sein, allerdings ist das Sekretariat direkt der EU-Kommission unterstellt und wird von dieser finanziert — die vom Parlament geforderte "funktionale Unabhängigkeit" wurde damit nicht erreicht.

Bemerkenswert: Ausgerechnet Digital-Rights-Organisationen wie die EFF sahen die größere Gefahr NICHT im Medienprivileg selbst, sondern in Algorithmen allgemein. Und: Das neue Aufsichtsgremium ist finanziell von der Kommission abhängig — ein berechtigter Kritikpunkt an der Unabhängigkeit, unabhängig von der Priorisierungsfrage.

Der EMFA verordnet Schutzmechanismen für die Unabhängigkeit öffentlich-rechtlicher Medien, mit Vorgaben für Bestellung und Abberufung des Managements — nicht Vorgaben, dass diese Sender von Plattformen bevorzugt angezeigt werden müssten.

Wichtigste Richtigstellung für Davids ursprüngliche Notiz zu diesem Punkt: Das Gesetz macht öffentlich-rechtliche Sender unabhängiger von der Politik (z. B. schwerer für eine Regierung, den Sender-Chef nach Belieben abzusetzen) — es zwingt Plattformen NICHT, diese Sender bevorzugt anzuzeigen. Die "Priorisierung" bezieht sich, wie oben gezeigt, auf ein Lösch-Widerspruchsrecht (Art. 18), nicht auf Sichtbarkeits-Ranking.

Ein Positionspapier des BKA besagt: Gemessen an den wahrscheinlichsten Fallkonstellationen wäre eine Speicherverpflichtung von 2 bis 3 Wochen auch bei besonderen (terroristischen) Gefahrenlagen regelmäßig ausreichend; bei 14 Tagen Speicherdauer geht man von einer erfolgreichen Zuordnung von 84,5 % der angefragten IP-Adressen aus, was sich bei 21 Tagen auf 88,4 % steigern ließe.

Bemerkenswerter Fund: Die Polizeibehörde selbst (BKA) hält laut diesem Papier deutlich kürzere Speicherfristen (2–3 Wochen) für praktisch ausreichend — der Gesetzentwurf sieht aber drei Monate vor. Das ist ein starkes, unabhängig belegtes Argument gegen die Verhältnismäßigkeit der geplanten Frist, direkt aus einer Sicherheitsbehörde, nicht von Privacy-Aktivisten.

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

Nach der ersten Umgehung durch Paul Moore wurde das System erneut von ihm mit einer einfachen Chrome-Erweiterung umgangen; die App ist aktuell in fünf Ländern (u. a. Frankreich) im Test, hauptsächlich für Erwachseneninhalte/Glücksspiel — von der Leyen kündigte zusätzlich an, dieselbe Infrastruktur künftig für ein Mindestalter von rund 13 Jahren bei sozialen Netzwerken nutzen zu wollen.

Wichtige Aktualisierung: Es blieb nicht bei einem einmaligen Fehler — dieselbe Schwachstellen-Kategorie wurde erneut mit simplen Mitteln umgangen. Zusätzlich zeigt sich hier konkretes Function-Creep-Potenzial: Was für Porno-/Glücksspielseiten gedacht war, soll laut Ankündigung auf soziale Netzwerke ausgeweitet werden.

Der offene Brief von 371 Sicherheits- und Datenschutz-Wissenschaftlern aus 29 Ländern (Anmerkung: spätere Berichterstattung, siehe unten, nennt 419) fordert ein Moratorium, "bis der wissenschaftliche Konsens über Nutzen und Schaden von Altersprüfungstechnologien steht". Eine spätere Quelle (TechRadar, siehe vorheriges Batch) beziffert die Unterzeichnerzahl mit "419 Datenschutz- und Sicherheitswissenschaftler". Die Diskrepanz erklärt sich plausibel durch nachträgliche Unterzeichnungen — die Petition blieb offenbar offen.

Wichtige Präzisierung für Blackstone: Es gibt nicht eine feste Zahl "400+", sondern die Petition wuchs über Zeit (mindestens 371, später mindestens 419 Unterzeichner aus rund 29–32 Ländern je nach Erfassungszeitpunkt). Im Dossier sollte "über 400 Wissenschaftler aus rund 30 Ländern (Zahl wächst)" stehen statt einer falsch-präzisen Einzelzahl — das ist selbst die ehrlichste Darstellung.

Das Recht auf informationelle Selbstbestimmung, hergeleitet aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG, gewährt dem Einzelnen die Befugnis, selbst darüber zu bestimmen, ob und inwiefern persönliche Daten verwendet und preisgegeben werden. Beschränkungen sind nur im überwiegenden Allgemeininteresse und aufgrund einer verfassungsmäßigen gesetzlichen Grundlage zulässig.

Das ist die Geburtsurkunde des deutschen Datenschutzes: Ein Gericht hat schon 1983 entschieden, dass jeder selbst bestimmen darf, wer was über einen weiß — und dass der Staat das nur in engen Grenzen einschränken darf. Jede spätere Debatte über Chatkontrolle, Vorratsdatenspeicherung usw. steht im Schatten dieses einen Urteils.

Bewusster Querverweis statt Doppelerfassung — dieselbe Quelle dient sowohl als Dossier-Beleg (B3) als auch als rechtliches Fundament (F5). Zeigt: Die Datenbank sollte bei Überschneidungen auf bestehende IDs verweisen statt zu duplizieren.

Diese Quelle steht schon in der Datenbank (unter B3) — hier nur als Hinweis, dass sie auch als grundlegendes Rechtsprinzip zählt.

Seit dem Volkszählungsurteil fußt der Datenschutz auf nationaler Ebene auf diesem Grundrecht; das Urteil betont den Schutz persönlicher Daten und eine ausgewogene Balance zwischen staatlichem Informationsbedarf und individuellen Freiheitsrechten.

Eine kirchliche Datenschutzstelle erklärt kompakt und gut verständlich, warum dieses 40 Jahre alte Urteil immer noch die Grundlage ist. Geeignet als leicht lesbare Einstiegsquelle für Community-Mitglieder, die das Original-Urteil nicht selbst lesen wollen.

Der Schutz ist nicht schrankenlos — das stellte das BVerfG bereits 1983 selbst fest; ungeachtet der technologischen Entwicklung haben die damals aufgestellten Grundsätze nichts an Aktualität verloren.

Wichtige Ehrlichkeits-Note: Selbst das Urteil selbst sagt, dass der Datenschutz nicht absolut ist — es gibt immer eine Abwägung. Das passt zu Blackstones Prinzip, nicht zu behaupten, jede Datenerhebung sei per se verboten.

Das Tor-Netzwerk besteht aus über 6.500 freiwillig betriebenen Relays und mehr als 3.000.000 Nutzern; zusätzlich ermöglichen über 1.900 Bridges Zugang in Ländern, in denen Tor zensiert wird, für über 40.000 Nutzer. Daten stehen unter CC0 (gemeinfrei) zur freien Nutzung.

Das ist die offizielle, öffentlich einsehbare Nutzerstatistik von Tor direkt vom Betreiber selbst — nicht geschätzt von Dritten, sondern die Primärquelle. Ideal zum Beleg von Aussagen wie "Millionen Menschen nutzen bereits Anonymisierungs-Netzwerke".

Aufgrund der Anonymitäts-Eigenschaft von Tor werden keine identifizierenden Daten erhoben; stattdessen werden Anfragen an Verzeichnisserver gezählt und Nutzerzahlen indirekt geschätzt. Das Ergebnis ist eine durchschnittliche Zahl gleichzeitiger Nutzer — es kann nicht gesagt werden, wie viele unterschiedliche Einzelpersonen dahinterstehen.

Wichtig für korrekte, ehrliche Zitation: Tor selbst sagt offen, dass "3 Millionen Nutzer" eine Schätzung von gleichzeitigen Verbindungen ist, keine Zählung realer Personen. Blackstone sollte diese Einschränkung immer mitnennen, wenn die Zahl verwendet wird — genau der Ehrlichkeits-Standard aus Prinzip 0.