Quellen-Tabelle

Die GFF erhob am 23. Juli 2025 Verfassungsbeschwerde gegen das Bayerische Polizeiaufgabengesetz (BayPAG), das der Polizei "Data Mining" mittels VeRA/Gotham erlaubt. Kritisiert wird, dass das Programm Verbindungen auch zu Personen herstellt, die in keinem Zusammenhang mit Straftaten stehen — das verletze u.a. das Recht auf informationelle Selbstbestimmung und das Fernmeldegeheimnis. GFF-Zitat: "Bayern ist nicht Gotham City. Die Polizei darf bei ihren Ermittlungen keine intransparenten Algorithmen ans Steuer lassen."

Das ist der zentrale, aktuell laufende Rechtsstreit für Dossier D3 — eine neue Verfassungsbeschwerde direkt gegen die bayerische Praxis, die (siehe Batch 64) auch bei Fahrraddiebstahl eingesetzt wird. Wichtig: Das ist eine NGO-Position bzw. eine anhängige Klage, noch keine gerichtliche Entscheidung — Status entsprechend als 🔶 (anhängiges Verfahren) kennzeichnen, nicht als bereits entschiedene Sache.

Der Autor ordnet Karps Manifest als Ausdruck einer "neuen, gefährlichen Symbiose aus militaristischem Staat und Tech-Kapital" ein und verweist darauf, dass ausgerechnet der Vatikan in dieser Debatte technologisch zurückhaltender argumentiere als die Palantir-Gründer — der Papst fordere eine "Abrüstung der Künstlichen Intelligenz" und eine Besinnung auf Frieden, Menschenwürde, Freiheit, Demokratie und Solidarität.

Wichtig für Blackstones Präzision: Paul Nemitz ist ein anerkannter EU-Rechtsexperte (u.a. an der DSGVO-Entstehung beteiligt), seine Einordnung hat also Fachgewicht — ist aber trotzdem eine pointierte Meinungsäußerung, kein neutraler Tatsachenbericht. Sollte im Artikel klar als "Einordnung eines Rechtswissenschaftlers" gekennzeichnet werden, nicht als objektive Feststellung.

Der erleichterte Einsatz von Staatstrojanern missachtete laut GFF frühere Vorgaben des Bundesverfassungsgerichts — die Gesetzesänderung verletze das "IT-Grundrecht" (Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme), das das BVerfG 2008 in einem eigenen Urteil entwickelt hatte.

Wichtiger rechtlicher Anknüpfungspunkt: Es gibt bereits seit 2008 ein eigenständiges, vom BVerfG entwickeltes Grundrecht speziell für die Integrität von Computersystemen — nicht erst seit den aktuellen Diskussionen. Die GFF hat als sachkundige Dritte an einem Verfahren mitgewirkt, das diese Grundrechte gegen die erleichterten Staatstrojaner-Regeln in Stellung bringt. Für Blackstone wichtig: Es gibt eine seit fast 20 Jahren bestehende, spezifische verfassungsrechtliche Grundlage für dieses Thema, die als Ausgangspunkt für ein Dossier dienen sollte.

Insgesamt sei nur 0,000002735% der weltweit gescannten Nachrichten illegales Material, in der EU sogar nur 0,00000077% — die EU-Kommission räumt in dem Bericht selbst ein, dass sie auch nach mehreren Jahren keine Nachweise für die Verhältnismäßigkeit der Massenüberwachung hat.

Präzisere Version der "7,7 Milliardstel"-Zahl mit exaktem Dezimalwert und wichtigem Zusatz: In der EU ist die Quote sogar noch niedriger als weltweit (0,00000077% vs. 0,000002735%). Diese Version ist besser zitierfähig, da die exakten Zahlen genannt werden, statt einer gerundeten Umschreibung.

Breyer zitiert eine Aussage der damaligen EU-Innenkommissarin Ylva Johansson vor den EU-Innenministern: "Nur mit jedem vierten ausgeleiteten Privatfoto oder -video kann die Polizei überhaupt etwas anfangen, zu 75% gelangen durch die Chatkontrolle strafrechtlich völlig irrelevante private und intime Bilder und Videos in Hände von Mitarbeitern, bei denen sie nicht sicher sind."

Möglicherweise noch eindrücklicher als die 7,7-Milliardstel-Zahl: Wenn dieses Zitat korrekt ist, hätte die zuständige EU-Kommissarin selbst eingeräumt, dass drei von vier ausgeleiteten privaten Bildern für die Polizei irrelevant sind — private, intime Aufnahmen landen dann bei Content-Moderatoren, ohne dass Sicherheit über deren Umgang damit besteht. Wichtig: Dies ist ein Zitat, das von einem Kritiker (Breyer) wiedergegeben wird — für höchste Präzision sollte nach Möglichkeit die Original-Quelle des Johansson-Zitats (Protokoll der Innenminister-Sitzung) noch verifiziert werden, bevor es ohne Einschränkung übernommen wird.

Schrems: "Die unkontrollierte Verbreitung von Gesichtserkennungs-Tools wie PimEyes ist verheerend für die Privatsphäre: Stalking und Massenüberwachung von Millionen Menschen lassen sich binnen Sekunden durchführen. PimEyes hat Milliarden biometrischer Datenpunkte unschuldiger Menschen ohne deren Wissen gesammelt und macht diese Daten für jeden verfügbar." Die Hamburger Behörde selbst stuft die Praktiken als rechtswidrig ein, sieht sich aber laut noyb nicht in der Lage, wirksam durchzugreifen.

Bemerkenswerter Fall: Selbst die zuständige Aufsichtsbehörde hält PimEyes für rechtswidrig — trotzdem passiert seit Jahren nichts. Das ist kein Fall von unklarer Rechtslage, sondern von Durchsetzungsversagen bei eindeutig als illegal eingestufter Praxis. Wichtig für Blackstones Argumentation: Manchmal ist nicht das Gesetz das Problem, sondern die fehlende Durchsetzung — eine wichtige Nuance gegenüber Dossiers, die neue Gesetze kritisieren.

Ob PimEyes oder andere Anbieter in der EU, auf den Seychellen oder sonstwo niedergelassen sind, spielt keine Rolle — die DSGVO ist nach dem Marktortprinzip anwendbar. An den aktuellen Plänen der Bundesregierung zur biometrischen Massenüberwachung wird sichtbar, dass jahrelange behördliche Inaktivität gegenüber offensichtlich rechtswidrigen Anbietern nicht nur deren Weiterexistenz ermöglicht, sondern solche Praktiken so weit normalisiert, dass sie nun quasi Vorbild für ein grundrechtsfeindliches Gesetz werden sollen.

Sehr wichtige Verbindung zwischen D4 und D5: Der CCC argumentiert, dass die jahrelange Duldung von PimEyes durch die Behörden die gesellschaftliche Normalisierung biometrischer Gesichtserkennung vorangetrieben hat — und damit indirekt den Weg für die in D4 dokumentierte staatliche Gesichtserkennung (Frankfurt, Bundespolizeigesetz-Reform) bereitet haben könnte. Diese These ist eine Einordnung, keine bewiesene Kausalität — sollte im Blackstone-Artikel entsprechend als Interpretation gekennzeichnet werden, aber als plausibler thematischer Zusammenhang zwischen den beiden Dossiers erwähnt werden.

127 zivilgesellschaftliche Organisationen, Gewerkschaften und Vertreter*innen des öffentlichen Interesses warnen: "Was als 'technische Vereinfachung' der EU-Digitalrechte dargestellt wird, ist in Wahrheit ein Versuch, Europas stärkste Schutzregeln gegen digitale Bedrohungen schrittweise und verdeckt abzubauen." Genannter Vorwurf: Dies geschehe "unter dem Radar, unter Verwendung von überstürzten und undurchsichtigen Verfahren, die darauf abzielen, eine demokratische Kontrolle zu umgehen."

Das ist der Original-Wortlaut des zentralen Protestbriefs, den Batch 58 nur über eine Sekundärquelle referenziert hatte — jetzt direkt verfügbar. Wichtig: Die Anzahl der Unterzeichner wuchs zwischen den verschiedenen Berichterstattungszeitpunkten (127 → später über 130) — normal bei einer offenen Unterschriftenliste, sollte im Artikel als "über 125" oder mit Datum angegeben werden, nicht als feste Zahl.

Die Umstellung auf ein Opt-out-Modell ab 2025 bedeutet, dass Patienten aktiv widersprechen müssen, wenn sie keine ePA wünschen — dies könnte laut CCC-Kritik zu unbeabsichtigter Teilnahme führen. Der CCC deckte auf seinem Jahreskongress zusätzlich weitere Sicherheitslücken auf.

Der CCC hat bei diesem Thema nicht nur eine politische Position, sondern auch tatsächlich technische Sicherheitslücken im System selbst gefunden — das ist eine stärkere Kritik-Kategorie als reine Verfahrenskritik (Opt-out vs. Opt-in), da sie auf konkrete technische Mängel verweist. Für ein vollständiges C5-Dossier sollte in einem künftigen Batch der genaue Inhalt der CCC-Sicherheitslücken-Präsentation vom 39C3 nachrecherchiert werden.

Langfristig sollen sämtliche Gesundheitsinformationen aller rund 74 Millionen gesetzlich Versicherten in der ePA zusammenfließen. Kastl und Tschirsich fordern drei Dinge für vertrauenswürdige digitale Infrastruktur: unabhängige externe Sicherheitsbewertung, offene und transparente Risikokommunikation, und die ePA als offenen Entwicklungsprozess über ihren gesamten Lebenszyklus zu verstehen. Ihr Fazit: "Ein großes Stück dieses Vertrauens ist heute verloren gegangen."

Wichtigste Ergänzung zum offenen Punkt aus Batch 83: Die Kritik ist nicht nur "es gibt Lücken", sondern ein grundsätzlicher Vorwurf am Entwicklungsprozess selbst — zu wenig externe Prüfung, zu wenig Transparenz. Diese drei Forderungen (externe Prüfung, Transparenz, offener Prozess) sind eine gute, konstruktive Handlungsvorlage für Blackstones eigene "Gegenmaßnahmen"-Sektion im Dossier.

"Ende April 2025 wurde die ePA für alle dann auch wirklich für alle deutschlandweit bereitgestellt — allerdings traten am gleichen Tag die scheinbar sicher gelösten Sicherheitslücken im Zugangsmanagement wieder zu Tage und wurden alsbald wieder nur provisorisch abgedichtet."

Sehr konkreter zeitlicher Beleg: Am Tag des bundesweiten Starts selbst (nicht Wochen später) traten dieselben Sicherheitslücken erneut auf, die bereits ein Jahr zuvor (38C3) demonstriert worden waren — und wurden nur "provisorisch" behoben. Das ist ein außergewöhnlich präziser, terminlich verifizierbarer Beleg für unzureichende Nachbesserung zwischen den beiden Kongressen.

Eine Klarnamenpflicht ist bislang vor allem als Unterdrückungsinstrument autoritärer Länder wie China bekannt. Südkorea führte ein solches System 2007 ein und schaffte es bereits 2012 wieder ab — nach nur fünf Jahren.

Wichtiger internationaler Vergleichsfall, sehr konkret und überprüfbar: Südkorea ist ein seltenes Beispiel eines demokratischen Landes, das eine Klarnamenpflicht tatsächlich einführte UND nach wenigen Jahren wieder abschaffte — ideal für Blackstones Argumentation, da es ein "real getestetes, dann verworfenes" Beispiel liefert, nicht nur Theorie. Für ein vollständiges Dossier sollte in einem künftigen Batch der genaue Abschaffungsgrund (vermutlich Wirksamkeits- oder Verfassungsprobleme) noch recherchiert werden.

Ein Unternehmen kann behaupten, ihm liege eine Einwilligung der betroffenen Person zur Meldedaten-Abfrage vor — das reicht bereits aus, um die Auskunft zu erhalten. Meldebehörden sind zwar angehalten, "stichprobenhaft" zu prüfen, ob diese Einwilligung tatsächlich existiert — bei dünner Personaldecke bleibt das laut Autor "ein reines Luftschloss".

Sehr konkrete praktische Schwachstelle: Das Gesetz verlangt zwar formal eine Einwilligung, aber es gibt praktisch keine wirksame Kontrolle, ob diese wirklich vorliegt — ein Unternehmen muss sie nur behaupten. Das ist ein gutes Beispiel für eine "Papier-Regel", die in der Praxis kaum durchsetzbar ist — passt zum bereits mehrfach dokumentierten Muster von Kontrolllücken (D5/PimEyes, C5/ePA).

Laufend aktualisierte Übersicht zu Klagen gegen Söldner-Spyware-Anbieter (NSO, Cytrox, Gamma, Paragon) in mehreren Ländern.

Öffentliche Liste bekannter Spyware-Klagen. Liefert kein abschließendes Urteil über Erfolg der Klagen.

Polizeirazzia bei Mullvad im Rahmen deutscher Rechtshilfe verlief ohne Beschlagnahmung, da keine Kundendaten gespeichert waren.

No-Logs-VPN konnte bei Razzia nichts herausgeben. Sagt nichts über andere Anbieter aus.

Fortlaufende offizielle Statistik direkt verbundener Tor-Clients je Land.

Offizielle Primärquelle des Tor-Projekts, keine feste historische Kennzahl für Deutschland.

Erster operativer Katalog mit Gaia-X Label Level 3, ausschließlich EU-Anbieter, Immunität gegen extraterritoriale Gesetze wie US CLOUD Act.

Zertifizierungssystem für digitale Souveränität. Belegt NICHT, wie streng technisch geprüft wird.

Mojeek keine individuelle Nutzerverfolgung, keine IP-Speicherung (nur Ländercode), aber unbegrenzte Logs für Traffic-Analyse.

Herstellereigene Zusagen, keine unabhängige Prüfung.

Brave sendet anonyme Nutzungsberichte (abschaltbar), leitet Safe-Browsing auf Desktop über eigenen Proxy, auf Mobil wird IP an Google/Apple offengelegt.

Herstellereigene Richtlinie, keine unabhängige Prüfung.

EU-Kommission verhängte erste DSA-Bußgeldentscheidung: 120 Mio. Euro gegen X wegen irreführendem Verifizierungs-Häkchen, unzugänglichem Werbearchiv, verweigertem Forscherzugang.

Erstes großes DSA-Bußgeld. Belegt NICHT Overblocking oder Moderationspraxis.

vzbv-Bericht: ~50% der gemeldeten Inhalte entfernt, Plattformen reagieren oft langsam auf priorisierte Meldungen.

Zeigt Unterreaktion bei Trusted-Flagger-Meldungen, nicht Overblocking.

Monero verbirgt standardmäßig Betrag/Adressen, aber Datenschutz-Eigenschaften nicht abschließend bewiesen, limitiert durch kleine Ring-Signaturen.

Monero anonymer als Bitcoin, aber nicht unknackbar bei gezielter Überwachung.

FTC verbietet Mobilewalla dauerhaft Verkauf sensibler Standortdaten (Gesundheitseinrichtungen, Gotteshäuser, LGBTQ+-Orte).

US-Verbot gegen Datenhändler. Betroffenenzahl nicht belegt.

Russland verpflichtet Telcos zur Erfassung von Adressen, Passdaten, Bankdaten, Geolokation; 85 Telcos bereits mit Bußgeldern belegt.

Erweiterte staatliche Überwachungspflicht für Provider in Russland.

EU-Kommission schlägt Vereinfachungen der KI-Verordnung vor, Verschiebung der Hochrisiko-KI-Pflichten.

Vorschlag zur späteren Scharfschaltung von KI-Risikoregeln.