Quellen-Tabelle

Das BSI sieht 25 Prozent aller weltweit relevanten APT-Gruppen (Advanced Persistent Threats, meist staatlich gelenkte Angreifergruppen) aktiv gegen deutsche Ziele gerichtet — Deutschland liegt damit auf Platz 4 der weltweit am stärksten ins Visier genommenen Staaten.

Wichtiger Kontext: Ein Viertel aller bekannten staatlich gesteuerten Hackergruppen weltweit zielt gezielt auf Deutschland. Das ist relevant für die Frage, wie sicher zentrale Register (Vermögensregister-Idee, Vorratsdaten, Wallet-Infrastruktur) vor genau solchen Akteuren überhaupt sein könnten.

Im Gesamtjahr 2025 kommt Alphabet auf einen Umsatz von 402,8 Milliarden US-Dollar, ein Plus von 15 Prozent gegenüber dem Vorjahr; der Nettogewinn stieg um 32 Prozent auf 132,2 Milliarden US-Dollar. Von den 82,28 Milliarden Dollar Werbeumsatz im vierten Quartal wurden 74,4 Milliarden Dollar auf Google-eigenen Seiten generiert.

Größenordnung zum Einordnen: Ein einziger Konzern verdient über 400 Milliarden Dollar im Jahr, der überwiegende Teil davon mit Werbung — also mit dem Verkauf von Aufmerksamkeit, die auf Nutzerdaten basiert. Das ist die wirtschaftliche Grundlage, warum Datensammlung so profitabel und damit auch politisch schwer einzuhegen ist.

Analysten gehen davon aus, dass Meta 2026 rund 243 Milliarden US-Dollar Werbeumsatz erlösen wird, während Google bis Jahresende auf 239 Milliarden US-Dollar kommen dürfte — Meta könnte damit Google beim Werbeumsatz erstmals überholen.

Zusatzfakt: Es sind nicht nur ein, sondern zwei Konzerne (Google und Meta) im 200-Milliarden-Dollar-Bereich beim Werbeumsatz — das zusammen ist ein noch größerer Teil der weltweiten Werbewirtschaft, der auf Datenauswertung basiert.

Basierend auf den Ansichten von 27.000 Europäern zeigen die Eurobarometer-Ergebnisse, dass 73% der Befragten von mindestens einem der sechs getesteten DSGVO-Rechte gehört haben; am bekanntesten sind das Auskunftsrecht (65%), das Recht auf Berichtigung (61%), das Widerspruchsrecht gegen Direktmarketing (59%) und das Recht auf Löschung (57%). Nur 20% der Befragten gaben an, dass sie die Nutzungsbedingungen zur Erhebung und Nutzung ihrer Daten online tatsächlich lesen, nur 13% lesen Datenschutzerklärungen vollständig.

Wichtiger, ehrlicher Fund für Blackstone: Die meisten Europäer kennen ihre Datenschutzrechte zumindest teilweise — aber fast niemand liest tatsächlich die Datenschutzerklärungen, die sie ständig akzeptieren. Das zeigt eine Lücke zwischen theoretischem Bewusstsein und echtem Schutz im Alltag — genau die Lücke, die Blackstones praktische Guides schließen könnten.

Der Bericht untersucht Wahrnehmungen und Erwartungen zur künftigen Nutzung digitaler Technologien im Alltag bis 2030 und bewertet, welche digitalen Maßnahmen die Bürger von Behörden priorisiert sehen wollen, um Europas digitale Zukunft inklusiv, sicher und werteorientiert zu gestalten.

Aktuellere, aber breiter gefasste Umfrage (nicht nur Datenschutz, sondern Digitalisierung allgemein) — nützlich als Ergänzung, wenn ihr zeigen wollt, was Europäer sich generell von der EU-Digitalpolitik wünschen. Für reine Datenschutz-Meinungsbilder bleibt die 2019er-Studie (oben) genauer, aber älter.

51% der Europäer:innen vertrauen der EU — der höchste Wert seit 2007; bei jungen Menschen (15–24 Jahre) liegt das Vertrauen bei 59%.

Wichtiger Kontext-Fakt, der Nuancen in die Debatte bringt: Während bei Digitalthemen (Chatkontrolle, Vorratsdaten) berechtigte Kritik an der EU besteht, ist das allgemeine Grundvertrauen in die EU-Institutionen aktuell so hoch wie seit fast 20 Jahren nicht. Für Blackstones Glaubwürdigkeit wichtig: nicht "die EU" pauschal als misstrauisch darstellen, sondern konkrete Politikfelder benennen.

Cure53 versuchte, jede mögliche Methode zu identifizieren, mit der die Anonymität oder Integrität des VPN-Verkehrs eines Nutzers kompromittiert werden könnte — es wurden keine solchen Probleme gefunden und keine Schwachstellen im Kernprodukt entdeckt. Mullvads System verfüge über eine Vielzahl von Härtungsmaßnahmen, was als "extrem positiv" bewertet wurde.

Ein unabhängiges, auf IT-Sicherheit spezialisiertes Unternehmen hat gezielt versucht, Mullvad zu "knacken" — und fand keine Wege, die versprochene Anonymität zu brechen. Das ist der Unterschied zwischen einem VPN-Anbieter, der nur "vertrau uns" sagt, und einem, der es extern überprüfen lässt.

Es wurden keine größeren Schwachstellen in Mullvads neuester unabhängiger Sicherheitsprüfung gefunden; dies ist Mullvads 18. Audit insgesamt seit 2017, was die Position als einer der transparentesten Anbieter der Branche weiter festigt. Unter den von CNET empfohlenen VPNs hat nur ExpressVPN mit 23 Audits seit 2018 noch mehr Prüfungen durchführen lassen.

Aktuellster Stand: 18 unabhängige Sicherheitsprüfungen in neun Jahren — das ist eine Größenordnung, die zeigt, dass Transparenz kein einmaliges Marketing-Ereignis ist, sondern fortlaufende Praxis. Gut geeignet, um Mullvad im Masterplan mit einer konkreten, beeindruckenden Zahl zu belegen.

ProtonVPN absolvierte im Juli 2025 zusätzlich ein SOC 2 Type II-Audit für operative Sicherheit; alle Auditberichte sind auf der ProtonVPN-Transparenzseite öffentlich einsehbar, ohne Anmeldung oder bezahltes Konto. Vier aufeinanderfolgende Jahre mit derselben Schlussfolgerung vom selben Prüfer, mit dem vollständigen Bericht statt einer Marketing-Zusammenfassung, schafft echtes Vertrauen.

Wichtiger Unterschied zu einmaligen Prüfungen: Proton lässt sich vom selben unabhängigen Prüfer über vier Jahre hinweg wiederholt kontrollieren — das zeigt, dass die "keine Logs"-Behauptung nicht nur zum Stichtag stimmt, sondern dauerhaft gelebte Praxis ist.

Cure53 veröffentlicht fortlaufend Audit- und Pentest-Reports zu einer Vielzahl von Privacy- und Security-Tools — darunter u. a. KeePassium (Passwortmanager), Obsidian (Notiz-App mit Sync/Verschlüsselung), Nym (VPN/Mixnet-Infrastruktur), ExpressVPN und verschiedene Krypto-Wallet-Anbieter.

Diese eine Seite ist eine Fundgrube für künftige Batches: Fast jedes im Masterplan empfohlene Tool-Kapitel (Passwortmanager, Notizen/Cloud, VPN, Wallets) hat hier einen öffentlich einsehbaren, unabhängigen Prüfbericht. Für Blackstone empfiehlt sich, diese Seite als laufende Quelle im Workflow zu verankern statt einmalig abzufragen.

Aadhaar ist mit rund 134 Crore (1,34 Milliarden) aktiven Aadhaar-Inhabern das weltweit größte biometrische Identitätssystem und hat mehr als 16.000 Crore (160 Milliarden) Authentifizierungs-Transaktionen abgewickelt. Die Regierung erklärte im Parlament, dass bis heute kein Datenleck aus der zentralen UIDAI-Datenbank selbst erfolgt sei.

Wichtig für Fairness: Die Regierung selbst bestreitet, dass die zentrale Datenbank je gehackt wurde — sie schiebt gemeldete Lecks auf Missbrauch an einzelnen Zugangspunkten. Für Blackstone-Artikel wichtig, beide Seiten zu zeigen: die Regierungsposition UND die zahlreichen dokumentierten Einzelfälle (siehe andere Quellen) — der Streit dreht sich auch darum, was als "Datenbank-Breach" zählt.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat inzwischen (Stand 8. Mai 2026) 31 Durchführungsrechtsakte erlassen, um die notwendigen Standards festzulegen. Der deutsche Starttermin ist der 2. Januar 2027, orientiert an der EU-weiten Verpflichtung zur Wallet-Bereitstellung ab spätestens 31. Dezember 2026.

Nützlicher Überblick zum reinen Zeitplan — 31 einzelne Durchführungsrechtsakte zeigen, wie viele technische Detailentscheidungen in diesem Prozess stecken (von denen die Biometrie-Frage nur eine ist). Für ein vollständiges B1-Update wäre eine systematische Sichtung aller 31 Akte ein eigenes größeres Rechercheprojekt.

Die Kommission hat eine Empfehlung angenommen, die EU-Länder auffordert, den Rollout der EU-Altersverifikations-App zu beschleunigen, mit dem Ziel, sie bis Ende 2026 verfügbar zu machen. EU-Länder können sie als eigenständige App oder integriert in die EUDI-Wallets anbieten.

Wichtige Rechtsform-Feinheit: Das ist eine "Empfehlung" (Recommendation), kein verbindlicher Rechtsakt — die Kommission kann Länder drängen, aber nicht zwingen. Trotzdem hoher politischer Druck mit konkretem Datum (Ende 2026).

Das erste formelle DSA-Verfahren wurde im Dezember 2023 gegen X eröffnet; im Dezember 2025 folgte eine Geldbuße in Höhe von 120 Millionen Euro wegen Transparenzpflicht-Verstößen. Für Meta wurden im April 2024 formelle Verfahren zu Facebook und Instagram eingeleitet; bei Shein und Temu setzte die Kommission zunächst auf formelle Auskunftsverlangen.

Der DSA ist nicht mehr nur Theorie: Die erste konkrete Millionenstrafe (120 Mio. €) ist bereits verhängt. Für Blackstone wichtig, weil das zeigt, dass die im Dossier beschriebenen Overblocking-Anreize jetzt mit echtem finanziellem Druck unterlegt sind — Plattformen haben ein reales Bußgeldrisiko vor Augen, nicht nur ein theoretisches.

Über 70 Trusted Flagger mit unterschiedlicher Fachexpertise wurden bereits EU-weit benannt, darunter die Bank of Ireland (spezialisiert auf Finanzbetrug), Someturva (Online-Belästigung, u. a. nicht-einvernehmliche Verbreitung intimer Inhalte) und Child Focus (Kindesmissbrauchsmaterial). Der Leitlinienentwurf präzisiert die Kriterien und das Verfahren, nach dem Digital Services Coordinators diesen Status verleihen.

Wichtige Größenordnung, die vorher fehlte: Es sind nicht nur die vier deutschen Organisationen, sondern über 70 EU-weit — mit sehr unterschiedlichen, teils spezialisierten Themenfeldern. Das zeigt: Das System ist inzwischen deutlich ausgebaut, nicht mehr im Anfangsstadium.

Mitgliedstaaten sollen bis Ende 2026 mit dem Übergang zu quantenresistenter Kryptografie beginnen, kritische Infrastruktur muss die Umstellung spätestens bis 2030 abschließen.

Wichtig zur Abgrenzung: Das ist NICHT dasselbe wie die "Going Dark"-Verschlüsselungsschwächung — im Gegenteil, hier geht es darum, Verschlüsselung sogar noch widerstandsfähiger gegen künftige Quantencomputer zu machen. Zeigt die Doppelrolle der EU: gleichzeitig Verschlüsselung stärken (hier) und den Zugriff darauf erleichtern wollen (Encryption Roadmap) — ein innerer Widerspruch, der im Dossier erwähnenswert ist.

Über 270 Krypto-Dienstleister sind Stand 29. Juli 2026 unter MiCA in der EU registriert.

Konkrete Zahl zur Marktgröße unter dem neuen Regelwerk — nützlich, um zu zeigen, dass MiCA praktisch angewendet wird und nicht nur Theorie ist.

Eine Gruppe technischer Sachverständiger führte im Rahmen der DMA-Evaluierung eine gründliche technische Analyse der Interoperabilität durch — sowohl horizontal (Verbindung zwischen Nutzern verschiedener sozialer Netzwerke) als auch vertikal (Drittanbieter-Zusatzdienste). Die Kommission zieht insgesamt eine positive Bilanz und sieht mehr Auswahl für europäische Verbraucher.

Das ist der offizielle Zwischenbericht der Kommission nach zwei Jahren DMA — Primärquelle für die Selbsteinschätzung der Behörde. Wichtig: horizontale Interoperabilität zwischen verschiedenen sozialen Netzwerken wird technisch sogar als grundsätzlich möglich eingeschätzt — das wäre ein großer Schritt (z. B. Nachrichten zwischen verschiedenen Messenger-Apps austauschen können).

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.

Joachim Türk vom Kinderschutzbund betonte 2023, die Verordnung habe bei aller Kritik auch gute Seiten — er unterstütze etwa die Einrichtung einer europäischen Behörde. Fatal wäre es, wenn das Dunkelfeld sexualisierter Gewalt gegen Kinder mangels Scans nicht weiter bearbeitet würde. Gleichzeitig betonte er: Auch Kinder hätten ein Recht auf vertrauliche Kommunikation — "Diese Überzeugung macht es uns unmöglich, die anlasslose Chatkontrolle als Option zu akzeptieren."

Das ist die differenzierteste, fairste Stimme im ganzen Dossier: Eine Kinderschutzorganisation, die das Grundanliegen ernst nimmt (Dunkelfeld bekämpfen, neue EU-Behörde begrüßen) und TROTZDEM die anlasslose Variante ablehnt — weil auch Kinder ein Recht auf Privatsphäre haben. Zeigt: Es ist keine einfache Zwei-Lager-Debatte "Kinderschutz vs. Privatsphäre", sondern Kinderschutz-Experten selbst sehen beide Werte als vereinbar mit Kritik an der konkreten Umsetzung.

Das Ziel, die Online-Verbreitung des sexuellen Kindesmissbrauchs zu stoppen, ist überaus wichtig und grundsätzlich zu unterstützen — jedoch schießt der EU-Gesetzgeber mit seinem Vorschlag deutlich über das verfolgte Ziel hinaus, da die Chatkontrolle kaum Schutz für Kinder biete, aber Europas Einstieg in eine anlasslose und flächendeckende Überwachung der privaten Kommunikation wäre.

Die deutsche Datenschutzbehörde selbst formuliert hier das Grundmuster der differenzierten Kritik: Ziel richtig, Mittel unverhältnismäßig. Wichtig als Formulierungsvorlage für Blackstones eigene Position — nicht "Kinderschutz ist vorgeschoben", sondern "das Ziel ist legitim, das Werkzeug ist trotzdem falsch".

Internet-repräsentative Onlinebefragung unter 1.000 Personen ab 16 Jahren im Auftrag des vzbv, statistische Fehlertoleranz max. ±3 Prozentpunkte. (Für exakte Vertrauens-Prozentzahlen: Volltext des Positionspapiers bei nächster Gelegenheit auswerten — hier nur Methodik erfasst.)

Es gibt eine repräsentative Umfrage dazu, wie sehr die deutsche Bevölkerung der geplanten Wallet vertraut — für einen Blackstone-Artikel zum Meinungsbild relevant, aber die konkreten Prozentzahlen müssen noch aus dem verlinkten Positionspapier extrahiert werden.

Die EZB peilt eine mögliche Erstausgabe des digitalen Euro im Jahr 2029 an, unter der Annahme, dass die europäischen Gesetzgeber die Verordnung im Laufe von 2026 verabschieden. Eine Pilotphase mit ersten Transaktionen könnte bereits ab Mitte 2027 beginnen. Die Auswahl der Anbieter für die Service-Plattform (DESP) wurde als wichtiger Meilenstein erreicht.

Offizielle Selbstauskunft der Zentralbank zum aktuellsten Fahrplan-Stand — die Vorbereitungsphase (November 2023 bis Oktober 2025) ist formal abgeschlossen, jetzt beginnt die konkrete technische Umsetzung parallel zum politischen Prozess.