Quellen-Tabelle

Der EMFA verordnet Schutzmechanismen für die Unabhängigkeit öffentlich-rechtlicher Medien, mit Vorgaben für Bestellung und Abberufung des Managements — nicht Vorgaben, dass diese Sender von Plattformen bevorzugt angezeigt werden müssten.

Wichtigste Richtigstellung für Davids ursprüngliche Notiz zu diesem Punkt: Das Gesetz macht öffentlich-rechtliche Sender unabhängiger von der Politik (z. B. schwerer für eine Regierung, den Sender-Chef nach Belieben abzusetzen) — es zwingt Plattformen NICHT, diese Sender bevorzugt anzuzeigen. Die "Priorisierung" bezieht sich, wie oben gezeigt, auf ein Lösch-Widerspruchsrecht (Art. 18), nicht auf Sichtbarkeits-Ranking.

Anbieter sollen künftig verpflichtet sein, die IP-Adressen ihrer Kunden für drei Monate vorsorglich zu speichern; IP-Adressen sind oft der einzige Ansatzpunkt, um Täter bei internetbezogener Kriminalität zu identifizieren.

Das ist der konkrete deutsche Gesetzentwurf, der trotz der EuGH-Urteilskette (Dossier B3) versucht, eine neue Speicherpflicht einzuführen — diesmal beschränkt auf IP-Adressen, drei Monate, statt aller Kommunikationsdaten. Kabinett hat zugestimmt, Bundestag/Bundesrat müssen noch entscheiden.

Seit dem Volkszählungsurteil fußt der Datenschutz auf nationaler Ebene auf diesem Grundrecht; das Urteil betont den Schutz persönlicher Daten und eine ausgewogene Balance zwischen staatlichem Informationsbedarf und individuellen Freiheitsrechten.

Eine kirchliche Datenschutzstelle erklärt kompakt und gut verständlich, warum dieses 40 Jahre alte Urteil immer noch die Grundlage ist. Geeignet als leicht lesbare Einstiegsquelle für Community-Mitglieder, die das Original-Urteil nicht selbst lesen wollen.

Das Tor-Netzwerk besteht aus über 6.500 freiwillig betriebenen Relays und mehr als 3.000.000 Nutzern; zusätzlich ermöglichen über 1.900 Bridges Zugang in Ländern, in denen Tor zensiert wird, für über 40.000 Nutzer. Daten stehen unter CC0 (gemeinfrei) zur freien Nutzung.

Das ist die offizielle, öffentlich einsehbare Nutzerstatistik von Tor direkt vom Betreiber selbst — nicht geschätzt von Dritten, sondern die Primärquelle. Ideal zum Beleg von Aussagen wie "Millionen Menschen nutzen bereits Anonymisierungs-Netzwerke".

Aufgrund der Anonymitäts-Eigenschaft von Tor werden keine identifizierenden Daten erhoben; stattdessen werden Anfragen an Verzeichnisserver gezählt und Nutzerzahlen indirekt geschätzt. Das Ergebnis ist eine durchschnittliche Zahl gleichzeitiger Nutzer — es kann nicht gesagt werden, wie viele unterschiedliche Einzelpersonen dahinterstehen.

Wichtig für korrekte, ehrliche Zitation: Tor selbst sagt offen, dass "3 Millionen Nutzer" eine Schätzung von gleichzeitigen Verbindungen ist, keine Zählung realer Personen. Blackstone sollte diese Einschränkung immer mitnennen, wenn die Zahl verwendet wird — genau der Ehrlichkeits-Standard aus Prinzip 0.

Erstmals werden über alle betrachteten Alltagszahlungen hinweg mehr Transaktionen bargeldlos als mit Bargeld abgewickelt; zugleich bleibt Bargeld produktbezogen das am häufigsten genutzte Zahlungsmittel an der Ladenkasse und spielt insbesondere bei Zahlungen zwischen Privatpersonen und bei Spenden eine zentrale Rolle.

Historischer Wendepunkt laut offizieller Bundesbank-Studie: 2025 wurde in Deutschland zum ersten Mal mehrheitlich bargeldlos bezahlt. Trotzdem bleibt Bargeld an der Ladenkasse selbst noch die Nummer eins — die Studie unterscheidet zwischen "alle Zahlungsarten zusammengezählt" und "Zahlungen im Geschäft".

An Bargeld schätzen die Befragten vor allem den Schutz ihrer Privatsphäre bei der Bargeldnutzung, während sie als Vorteile unbarer Zahlungsmittel unter anderem Komfort und Schnelligkeit hervorheben.

Direkter Beleg aus einer offiziellen Umfrage: Wenn Menschen gefragt werden, warum sie Bargeld mögen, ist "Privatsphäre" die meistgenannte Antwort — nicht Nostalgie oder Technikskepsis. Das bestätigt Blackstones Kernthese mit echten Umfragedaten statt Vermutung.

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

950 angezeigte Ransomware-Fälle im Berichtszeitraum, davon 72 Prozent mit zusätzlichem Datenleak; laut Bitkom-Wirtschaftsschutzstudie 2025 wurden 87 Prozent aller deutschen Unternehmen in den letzten zwölf Monaten Opfer eines Angriffs, Gesamtschaden 289,2 Milliarden Euro.

Konkrete Größenordnung: Fast 9 von 10 deutschen Unternehmen wurden binnen eines Jahres angegriffen — und bei drei von vier Ransomware-Fällen wurden zusätzlich Daten gestohlen und veröffentlicht. Das untermauert sehr konkret, warum "zentral gespeicherte Daten = Risiko" keine abstrakte Behauptung ist.

Das BSI sieht 25 Prozent aller weltweit relevanten APT-Gruppen (Advanced Persistent Threats, meist staatlich gelenkte Angreifergruppen) aktiv gegen deutsche Ziele gerichtet — Deutschland liegt damit auf Platz 4 der weltweit am stärksten ins Visier genommenen Staaten.

Wichtiger Kontext: Ein Viertel aller bekannten staatlich gesteuerten Hackergruppen weltweit zielt gezielt auf Deutschland. Das ist relevant für die Frage, wie sicher zentrale Register (Vermögensregister-Idee, Vorratsdaten, Wallet-Infrastruktur) vor genau solchen Akteuren überhaupt sein könnten.

Im Gesamtjahr 2025 kommt Alphabet auf einen Umsatz von 402,8 Milliarden US-Dollar, ein Plus von 15 Prozent gegenüber dem Vorjahr; der Nettogewinn stieg um 32 Prozent auf 132,2 Milliarden US-Dollar. Von den 82,28 Milliarden Dollar Werbeumsatz im vierten Quartal wurden 74,4 Milliarden Dollar auf Google-eigenen Seiten generiert.

Größenordnung zum Einordnen: Ein einziger Konzern verdient über 400 Milliarden Dollar im Jahr, der überwiegende Teil davon mit Werbung — also mit dem Verkauf von Aufmerksamkeit, die auf Nutzerdaten basiert. Das ist die wirtschaftliche Grundlage, warum Datensammlung so profitabel und damit auch politisch schwer einzuhegen ist.

Analysten gehen davon aus, dass Meta 2026 rund 243 Milliarden US-Dollar Werbeumsatz erlösen wird, während Google bis Jahresende auf 239 Milliarden US-Dollar kommen dürfte — Meta könnte damit Google beim Werbeumsatz erstmals überholen.

Zusatzfakt: Es sind nicht nur ein, sondern zwei Konzerne (Google und Meta) im 200-Milliarden-Dollar-Bereich beim Werbeumsatz — das zusammen ist ein noch größerer Teil der weltweiten Werbewirtschaft, der auf Datenauswertung basiert.

Basierend auf den Ansichten von 27.000 Europäern zeigen die Eurobarometer-Ergebnisse, dass 73% der Befragten von mindestens einem der sechs getesteten DSGVO-Rechte gehört haben; am bekanntesten sind das Auskunftsrecht (65%), das Recht auf Berichtigung (61%), das Widerspruchsrecht gegen Direktmarketing (59%) und das Recht auf Löschung (57%). Nur 20% der Befragten gaben an, dass sie die Nutzungsbedingungen zur Erhebung und Nutzung ihrer Daten online tatsächlich lesen, nur 13% lesen Datenschutzerklärungen vollständig.

Wichtiger, ehrlicher Fund für Blackstone: Die meisten Europäer kennen ihre Datenschutzrechte zumindest teilweise — aber fast niemand liest tatsächlich die Datenschutzerklärungen, die sie ständig akzeptieren. Das zeigt eine Lücke zwischen theoretischem Bewusstsein und echtem Schutz im Alltag — genau die Lücke, die Blackstones praktische Guides schließen könnten.

Der Bericht untersucht Wahrnehmungen und Erwartungen zur künftigen Nutzung digitaler Technologien im Alltag bis 2030 und bewertet, welche digitalen Maßnahmen die Bürger von Behörden priorisiert sehen wollen, um Europas digitale Zukunft inklusiv, sicher und werteorientiert zu gestalten.

Aktuellere, aber breiter gefasste Umfrage (nicht nur Datenschutz, sondern Digitalisierung allgemein) — nützlich als Ergänzung, wenn ihr zeigen wollt, was Europäer sich generell von der EU-Digitalpolitik wünschen. Für reine Datenschutz-Meinungsbilder bleibt die 2019er-Studie (oben) genauer, aber älter.

51% der Europäer:innen vertrauen der EU — der höchste Wert seit 2007; bei jungen Menschen (15–24 Jahre) liegt das Vertrauen bei 59%.

Wichtiger Kontext-Fakt, der Nuancen in die Debatte bringt: Während bei Digitalthemen (Chatkontrolle, Vorratsdaten) berechtigte Kritik an der EU besteht, ist das allgemeine Grundvertrauen in die EU-Institutionen aktuell so hoch wie seit fast 20 Jahren nicht. Für Blackstones Glaubwürdigkeit wichtig: nicht "die EU" pauschal als misstrauisch darstellen, sondern konkrete Politikfelder benennen.

Cure53 versuchte, jede mögliche Methode zu identifizieren, mit der die Anonymität oder Integrität des VPN-Verkehrs eines Nutzers kompromittiert werden könnte — es wurden keine solchen Probleme gefunden und keine Schwachstellen im Kernprodukt entdeckt. Mullvads System verfüge über eine Vielzahl von Härtungsmaßnahmen, was als "extrem positiv" bewertet wurde.

Ein unabhängiges, auf IT-Sicherheit spezialisiertes Unternehmen hat gezielt versucht, Mullvad zu "knacken" — und fand keine Wege, die versprochene Anonymität zu brechen. Das ist der Unterschied zwischen einem VPN-Anbieter, der nur "vertrau uns" sagt, und einem, der es extern überprüfen lässt.

Es wurden keine größeren Schwachstellen in Mullvads neuester unabhängiger Sicherheitsprüfung gefunden; dies ist Mullvads 18. Audit insgesamt seit 2017, was die Position als einer der transparentesten Anbieter der Branche weiter festigt. Unter den von CNET empfohlenen VPNs hat nur ExpressVPN mit 23 Audits seit 2018 noch mehr Prüfungen durchführen lassen.

Aktuellster Stand: 18 unabhängige Sicherheitsprüfungen in neun Jahren — das ist eine Größenordnung, die zeigt, dass Transparenz kein einmaliges Marketing-Ereignis ist, sondern fortlaufende Praxis. Gut geeignet, um Mullvad im Masterplan mit einer konkreten, beeindruckenden Zahl zu belegen.

ProtonVPN absolvierte im Juli 2025 zusätzlich ein SOC 2 Type II-Audit für operative Sicherheit; alle Auditberichte sind auf der ProtonVPN-Transparenzseite öffentlich einsehbar, ohne Anmeldung oder bezahltes Konto. Vier aufeinanderfolgende Jahre mit derselben Schlussfolgerung vom selben Prüfer, mit dem vollständigen Bericht statt einer Marketing-Zusammenfassung, schafft echtes Vertrauen.

Wichtiger Unterschied zu einmaligen Prüfungen: Proton lässt sich vom selben unabhängigen Prüfer über vier Jahre hinweg wiederholt kontrollieren — das zeigt, dass die "keine Logs"-Behauptung nicht nur zum Stichtag stimmt, sondern dauerhaft gelebte Praxis ist.

Cure53 veröffentlicht fortlaufend Audit- und Pentest-Reports zu einer Vielzahl von Privacy- und Security-Tools — darunter u. a. KeePassium (Passwortmanager), Obsidian (Notiz-App mit Sync/Verschlüsselung), Nym (VPN/Mixnet-Infrastruktur), ExpressVPN und verschiedene Krypto-Wallet-Anbieter.

Diese eine Seite ist eine Fundgrube für künftige Batches: Fast jedes im Masterplan empfohlene Tool-Kapitel (Passwortmanager, Notizen/Cloud, VPN, Wallets) hat hier einen öffentlich einsehbaren, unabhängigen Prüfbericht. Für Blackstone empfiehlt sich, diese Seite als laufende Quelle im Workflow zu verankern statt einmalig abzufragen.

Aadhaar ist mit rund 134 Crore (1,34 Milliarden) aktiven Aadhaar-Inhabern das weltweit größte biometrische Identitätssystem und hat mehr als 16.000 Crore (160 Milliarden) Authentifizierungs-Transaktionen abgewickelt. Die Regierung erklärte im Parlament, dass bis heute kein Datenleck aus der zentralen UIDAI-Datenbank selbst erfolgt sei.

Wichtig für Fairness: Die Regierung selbst bestreitet, dass die zentrale Datenbank je gehackt wurde — sie schiebt gemeldete Lecks auf Missbrauch an einzelnen Zugangspunkten. Für Blackstone-Artikel wichtig, beide Seiten zu zeigen: die Regierungsposition UND die zahlreichen dokumentierten Einzelfälle (siehe andere Quellen) — der Streit dreht sich auch darum, was als "Datenbank-Breach" zählt.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat inzwischen (Stand 8. Mai 2026) 31 Durchführungsrechtsakte erlassen, um die notwendigen Standards festzulegen. Der deutsche Starttermin ist der 2. Januar 2027, orientiert an der EU-weiten Verpflichtung zur Wallet-Bereitstellung ab spätestens 31. Dezember 2026.

Nützlicher Überblick zum reinen Zeitplan — 31 einzelne Durchführungsrechtsakte zeigen, wie viele technische Detailentscheidungen in diesem Prozess stecken (von denen die Biometrie-Frage nur eine ist). Für ein vollständiges B1-Update wäre eine systematische Sichtung aller 31 Akte ein eigenes größeres Rechercheprojekt.

Die Kommission hat eine Empfehlung angenommen, die EU-Länder auffordert, den Rollout der EU-Altersverifikations-App zu beschleunigen, mit dem Ziel, sie bis Ende 2026 verfügbar zu machen. EU-Länder können sie als eigenständige App oder integriert in die EUDI-Wallets anbieten.

Wichtige Rechtsform-Feinheit: Das ist eine "Empfehlung" (Recommendation), kein verbindlicher Rechtsakt — die Kommission kann Länder drängen, aber nicht zwingen. Trotzdem hoher politischer Druck mit konkretem Datum (Ende 2026).

Der Bundestag befasste sich am 24. Juni 2026 mit der IP-Adressspeicherung (Drucksachen 21/6581, 21/7154); die Vorlage wurde an die Ausschüsse überwiesen, Federführung beim Ausschuss für Recht und Verbraucherschutz. Der Bundesrat begrüßt den Entwurf als "wesentlichen Beitrag zur inneren Sicherheit" und plädiert zusätzlich dafür, den Datenzugriff auch für Landes-Gefahrenabwehrbehörden sowie die Verfassungsschutzbehörden der Länder zu öffnen.

Wichtige Verschärfung gegenüber dem ursprünglichen Entwurf: Der Bundesrat will den Kreis der zugriffsberechtigten Behörden noch erweitern — über Strafverfolgung hinaus auch auf Verfassungsschutz. Das ist ein sehr konkretes, aktuelles Beispiel für Function Creep bereits im laufenden Gesetzgebungsverfahren, nicht erst nach Verabschiedung.