Quellen-Tabelle

Auf Anfrage der Mitgesetzgeber analysierte die EZB die finanzstabilitätsbezogenen Effekte hypothetischer Haltegrenzen zwischen 500€ und 3.000€ pro Person, sowohl im Normalbetrieb als auch in extremen Flucht-in-Sicherheit-Szenarien. Die EZB betont, dies sei eine technische Antwort, nicht die eigene Positionierung zu einer angemessenen Höhe. Banken im Euroraum müssten laut EZB-Schätzung 4,0 bis 5,8 Milliarden Euro über vier Jahre investieren, um Systeme anzubinden.

Konkrete Zahlen für die "wie viel Geld darf ich im digitalen Euro halten"-Frage, die in Dossier C1 bisher nur als "offener Punkt" stand: Die Bandbreite liegt zwischen 500 und 3.000 Euro pro Person — und selbst die Umstellung für Banken kostet mehrere Milliarden. Wichtig: Die EZB positioniert sich bewusst nicht selbst zur genauen Zahl, das ist Sache der Gesetzgeber.

Ab Ende 2031 sollen klassische Verfahren wie RSA oder ECC nur noch in Kombination mit Post-Quanten-Kryptografie eingesetzt werden. Für besonders kritische Anwendungen gilt die Frist bereits ab Ende 2030, digitale Signaturen bekommen bis Ende 2035 Zeit. Das BSI setzt auf einen hybriden Ansatz: Bewährte Verfahren werden nicht verboten, sondern mit quantensicheren Algorithmen kombiniert.

Konkrete, von der deutschen IT-Sicherheitsbehörde selbst gesetzte Fristen: Ab 2030/2031 muss zusätzlich zur normalen Verschlüsselung eine quantencomputer-sichere Methode verwendet werden. Wichtig für den Masterplan-Bereich Technik-Grundlagen: zeigt, dass "sichere Verschlüsselung" kein statischer Zustand ist, sondern sich technisch weiterentwickeln muss.

Das BSI hat zusammen mit Partnern aus 17 europäischen Staaten im November 2024 eine gemeinsame Erklärung zum Thema Post-Quanten-Kryptografie veröffentlicht, die von Wirtschaft, Betreibern kritischer Infrastruktur sowie öffentlicher Verwaltung den Übergang fordert; inzwischen haben Partner aus drei weiteren europäischen Staaten unterzeichnet.

Europaweite Koordination bei der Verschlüsselungs-*Stärkung* — zeigt den Umfang der Kooperation zwischen europäischen Sicherheitsbehörden bei diesem Thema, als Kontrast zur "Going Dark"-Verschlüsselungs-Schwächung im selben Politikfeld (siehe A5).

Aktuelle Schätzung für den "Q-Day" (Zeitpunkt, ab dem Quantencomputer kryptografisch relevant werden): 10–15 Jahre — nach unten korrigiert von zuvor 20 Jahren, aufgrund wichtiger technologischer Durchbrüche. Die BSI-Empfehlungen geben klare Fristen für die PQC-Migration: 2032 allgemein, 2030 für kritische Infrastruktur.

Wichtige Einordnung: Die Einschätzung, wann Quantencomputer eine echte Bedrohung für heutige Verschlüsselung werden, wurde selbst schon einmal nach vorne korrigiert (von 20 auf 10-15 Jahre) — das zeigt, wie dynamisch sich diese Einschätzung entwickelt und warum die BSI-Fristen eher vorsichtig-frühzeitig als übertrieben wirken.

Die registrierten Straftaten sind 2025 um 5,6% gegenüber dem Vorjahr zurückgegangen, auch unter Berücksichtigung der Cannabis-Teillegalisierung bleibt ein Rückgang von 4,7%. Die Aufklärungsquote bleibt mit 57,9% stabil auf dem Niveau der Vorjahre (2024: 58,0%).

Wichtige Basiszahl: Die allgemeine Kriminalität in Deutschland sinkt, die Aufklärungsquote bleibt seit Jahren stabil bei knapp 58% — unabhängig von den zwischenzeitlich diskutierten neuen Überwachungsinstrumenten. Guter Beleg für die Frage, ob mehr Überwachung überhaupt nötig wäre, um das aktuelle Sicherheitsniveau zu halten.

Die Zahl der Auslandstaten (207.888) übersteigt die Inlandstaten (126.034) inzwischen deutlich. Die Aufklärungsquote spiegelt dieses Ungleichgewicht: Inland 31,4%, Ausland nur 2,0%.

Das ist der wichtigste Einzelfund dieses Batches für Blackstones Argumentation: Zwei Drittel aller Cyberstraftaten gegen Deutschland kommen aus dem Ausland — dort liegt die Aufklärungsquote bei gerade einmal 2%. Das ist ein starkes Argument gegen die Wirksamkeit von Instrumenten wie Vorratsdatenspeicherung oder IP-Adressspeicherung (Dossier B3): Diese setzen an inländischen Anbietern an, während der Großteil der Bedrohung von dort ohnehin nicht erfasst werden kann.

2025 wurden rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon (207.888) aus dem Ausland oder von unbekannten Tatorten aus begangen. Das geschätzte Schadensvolumen für die deutsche Wirtschaft liegt bei 202,4 Milliarden Euro, rund 4,5% des Bruttoinlandsprodukts.

Offizielle BKA-Einschätzung zur Größenordnung — wichtig, um die Zahlen aus der vorherigen Quelle (Aufklärungsquoten) einzuordnen: Es geht hier um ein wirtschaftlich sehr bedeutendes Problem (4,5% des BIP), bei dem trotzdem der Großteil der Täter faktisch unerreichbar bleibt.

Laut einer vom GrapheneOS-Projekt selbst veröffentlichten Schätzung nähert sich die Zahl der GrapheneOS-Geräte 400.000 — basierend auf der Zahl der Geräte, die kürzliche GrapheneOS-Updates heruntergeladen haben. Manche Nutzer könnten mehrere Geräte betreiben, manche laden Updates extern herunter, aber es ist die beste verfügbare Schätzung.

Wichtige Wissenslücke aus dem ursprünglichen Arbeitsplan geschlossen: Es gibt doch eine Zahl, wenn auch nur eine Selbstschätzung des Projekts, keine unabhängig verifizierte Angabe. Rund 400.000 aktive Geräte — deutlich mehr als eine reine Nischen-Community, aber weit von Millionen entfernt. Für Blackstone-Artikel wichtig, die Herkunft der Zahl (Eigenschätzung) transparent zu machen.

GrapheneOS wurde ursprünglich im März 2016 veröffentlicht (als Nachfolger von CopperheadOS), wird als gemeinnützige Organisation seit dem 17. März 2023 offiziell geführt und ist vollständig Open Source unter MIT- und Apache-Lizenzen.

Nützliche Fakten zur Projektgeschichte und Rechtsform — wichtig für Vertrauenswürdigkeits-Argumentation im Masterplan: gemeinnützig organisiert, quelloffen, keine kommerziellen Gewinninteressen im Hintergrund.

Knapp neun Millionen Menschen in Deutschland ab 18 Jahren besitzen derzeit Kryptowährungen — 12,8% der volljährigen Bevölkerung. Weitere 4,9% haben früher besessen, sind aber ausgestiegen; 11,4% (rund 7,9 Millionen) können sich einen künftigen Kauf vorstellen. Unter aktiven Anlegern bleibt Bitcoin klarer Marktführer: 74,6% halten Bitcoin im Depot.

Sehr aktuelle, konkrete Zahl (Anfang August 2026): Etwa jeder achte erwachsene Deutsche besitzt Kryptowährungen — eine deutlich höhere Zahl als ältere Statistiken (die teils nur 4% Nutzung zeigten). Wichtig für den Masterplan-Bezug: Zeigt, dass Kryptowährungen längst kein Nischenphänomen mehr sind, sondern eine relevante Anlageklasse mit zweistelliger Beteiligungsquote — relevant für die MiCA-Regulierung (Dossier C4) und Blackstones Finanz-Kapitel.

Seit 2020 wird im Rahmen der Zahlungsverhaltensstudie nach dem Besitz von Krypto-Token gefragt. Der Anteil derjenigen, die Krypto-Token halten bzw. den Kauf geplant haben, ist gestiegen; die Verbreitung von Krypto nimmt weiterhin zu, bleibt jedoch auf einem niedrigen Niveau im Vergleich zu klassischen Zahlungsmitteln.

Wichtiger methodischer Unterschied zur vorherigen Quelle: Die Bundesbank fragt nach Krypto-*Besitz als Zahlungsmittel*-Kontext (niedrigere, aber seit 2020 kontinuierlich erhobene Zeitreihe), die BearingPoint-Studie fragt nach Krypto als *Geldanlage*. Beide Blickwinkel sind für unterschiedliche Blackstone-Kapitel relevant — Zahlungsmittel-Perspektive für Kapitel 2, Anlage-Perspektive eher am Rande.

Zentrale Prüffeststellung zu KeePassXC: Die Entwickler betreiben keine eigene Cloud, das Programm nutzt das offene KeePass-2-(kdbx)-Format. Bei mindestens einem anderen getesteten Passwortmanager fanden sich dagegen wesentliche Abweichungen von gängigen Empfehlungen — es würden technische Informationen an den Hersteller gesendet, die diesem Zugriff auf Passwortmanager-Inhalte erlauben könnten.

Das ist eine besonders wertvolle Quelle: eine eigene, vergleichende Testreihe der deutschen IT-Sicherheitsbehörde zu mehreren Passwortmanagern (mindestens KeePassXC, Firefox-Passwortmanager, mSecure, PassSecurium, SecureSafe u.a. laut Inhaltsverzeichnis). Nicht nur eine Einzelprüfung, sondern ein direkter, behördlich durchgeführter Vergleich — die bislang stärkste Einzelquelle für Blackstones Passwortmanager-Empfehlungen im Masterplan (Kapitel 6, Identität).

Bitwarden hat wiederholt Netzwerksicherheitsbewertungen und Penetrationstests durch Cure53 sowie separate Prüfungen durch Insight Risk Consulting durchlaufen lassen — darunter dedizierte Audits der Browser-Erweiterung, der Desktop-Anwendung, der mobilen Apps, des Web-Vaults und sogar der eigenen RustCrypto-Bibliothek. Zusätzlich wurde die Kernkryptografie von der Applied Cryptography Group der ETH Zürich unter der Annahme eines vollständig bösartigen Servers geprüft.

Bitwarden hat nicht nur einmal, sondern wiederholt und für praktisch jede einzelne Komponente (nicht nur "die App" pauschal) geprüft werden lassen — inklusive einer akademischen Kryptografie-Prüfung durch eine renommierte Universität unter einem besonders strengen Angriffsmodell. Das ist ein sehr hohes Transparenz-Niveau.

Direkt zugänglicher Original-Prüfbericht — als Beleg dafür, dass Bitwarden von Anfang an (2020) mit vollständig öffentlichem Quellcode und unabhängigen Prüfberichten gearbeitet hat, nicht erst nachträglich als Reaktion auf Kritik.

Für Zitierfähigkeit wichtig: der Original-Bericht selbst, nicht nur Zusammenfassungen darüber.

Threema für Private und die Business-Lösung Threema Work waren Mitte 2021 im Begriff, die Marke von zehn Millionen Nutzern zu knacken. Die kostenpflichtige App gewann in den ersten acht Jahren (bis Ende 2020) acht Millionen Nutzer, allein 2021 kamen bis dahin fast zwei Millionen hinzu. Das Gros der neuen Nutzer stammte aus Deutschland, rund ein Fünftel aus der Schweiz.

Das ist die letzte direkte Unternehmensangabe, die bei dieser Recherche gefunden wurde — von 2021. Seither keine neuere, ähnlich verlässliche direkte Aussage des Unternehmens gefunden. Für einen aktuellen Blackstone-Artikel unzureichend allein — als Ausgangspunkt/untere Grenze verwendbar ("mindestens 10 Millionen, Stand 2021"), mit klarer Datierung.

Alle Server von Threema befinden sich in der Schweiz. Clientseitig ist Threema quelloffen, wodurch eine unabhängige Überprüfung der Sicherheit möglich ist. Der letzte dokumentierte Sicherheitsaudit wurde im November 2020 von Cure53 durchgeführt, bei dem einige wenige unkritische Schwachstellen gefunden wurden. Der Autor warnt ausdrücklich: Der Blog werde oft mit der Aussage "Threema sei der sicherste Messenger" verlinkt — das sei ein verzerrtes Bild, das im Beitrag so nicht dargestellt werde.

Wichtiger Hinweis für Blackstones Ehrlichkeitsprinzip: Der Autor selbst warnt davor, seine eigene positive Einordnung zu einer Übertreibung ("der sicherste Messenger") zu verzerren. Genau die Art Selbstkorrektur, die Blackstone auch bei den eigenen Inhalten anstreben sollte — nicht "sicherster", sondern "gut geprüft, quelloffen, Schweizer Serverstandort".

Bestätigt methodisch den Wachstumsverlauf (400.000 Nutzer Anfang 2014 auf mehrere Millionen während der WhatsApp-Facebook-Übernahme), aktuellste Zahl (Juli 2025) liegt hinter einer Bezahlschranke und konnte hier nicht extrahiert werden.

Es gibt eine aktuellere Zahl (Stand Juli 2025), die aber kostenpflichtig ist — für ein künftiges Batch mit Statista-Zugang oder über eine frei zugängliche Zweitquelle nachrecherchieren.

Signal erreichte laut Foundation-Präsidentin Meredith Whittaker im April 2025 zwischen 70 und 100 Millionen monatlich aktive Nutzer. Kumulierte Downloads überschritten seit dem App-Debüt 2014 die Marke von 218 Millionen. Die Organisation hat seither kein aktuelleres Update zu den monatlich aktiven Nutzern veröffentlicht.

Deutlich verlässlicher als die Threema-Zahlen aus dem vorherigen Batch: eine direkte, aktuelle (2025) Aussage der Organisationsspitze selbst, nicht nur eine Schätzung Dritter. Wichtig: Die Bandbreite (70-100 Mio.) zeigt, dass selbst Signal selbst keine exakte Zahl nennt — auch bei einer seriösen Quelle bleibt eine gewisse Unschärfe normal.

Die Signal Technology Foundation ist eine steuerbefreite gemeinnützige Organisation (501(c)(3), Status seit Februar 2019), mit Sitz in Mountain View, Kalifornien, meldete 2024 Einnahmen von 29.413.537 US-Dollar (davon 21.843.492 Dollar aus Spenden) — ein Rückgang gegenüber 35.750.994 Dollar im Jahr 2023. Signal arbeitet ohne Werbetreibende und ohne externe Investoren.

Wichtiger Fakt für die Vertrauenswürdigkeits-Argumentation im Masterplan: Signals Finanzen sind über öffentliche US-Steuerunterlagen nachprüfbar — kein Geheimnis, sondern Behördendokument. Kein Werbegeschäft, keine Investoren, die Kontrolle über das Unternehmen beanspruchen könnten.

WhatsApp-Nutzer, die das Signal-Protokoll verwenden, seit dem 5. April 2016: mehr als eine Milliarde monatlich aktive Nutzer.

Wichtiger Kontrast-Fakt fürs Masterplan-Kapitel Kommunikation: Das zugrundeliegende Verschlüsselungs-Protokoll von Signal wird über WhatsApp von weit mehr Menschen genutzt (>1 Milliarde) als die Signal-App selbst (70-100 Millionen) — bestätigt die bereits in F8 dokumentierte wissenschaftliche Analyse des Protokolls. Wichtig für die Differenzierung "Protokoll ist bei beiden gleich sicher, der Unterschied liegt woanders" (Metadaten, Backups, Geschäftsmodell).

Île-de-France bietet 550.000 Studierenden und Mitarbeitenden eine souveräne Cloud-Kollaborationsplattform; das österreichische Wirtschaftsministerium und das österreichische Bundesministerium nutzen Nextcloud für sichere, souveräne Zusammenarbeit. Im selben Rückblick verlinkt Nextcloud einen eigenen Blogbeitrag mit dem Titel "The proposed EU Chat Control law is a threat to our democracy."

Sehr konkreter Beleg für "digitale Souveränität" in der Praxis, nicht nur als Konzept: Eine einzelne französische Region setzt Nextcloud für über eine halbe Million Menschen ein. Bemerkenswert und direkt relevant für Blackstone: Nextcloud selbst positioniert sich öffentlich gegen die Chatkontrolle (Dossier A1) — das Unternehmen ist also nicht nur ein neutrales Tool, sondern selbst ein Akteur in der Debatte, die Blackstone dokumentiert.

Kagi wuchs von rund 2.600 zahlenden Kunden in den ersten drei Monaten nach dem öffentlichen Start (Juni 2022) auf über 50.000 Mitglieder bis Juni 2025, darunter mehr als 5.000 Familien und knapp 200 Teams. Bis Ende 2025 stieg die Abonnentenzahl auf rund 62.921 — bei nahezu einer Million täglichen Suchanfragen Mitte 2025, ganz ohne klassisches Marketing.

Kagi ist das seltene Beispiel für ein erfolgreiches Bezahl-statt-Werbe-Geschäftsmodell im Suchmaschinenmarkt: Nutzer zahlen 5-25 Dollar im Monat, damit ihre Daten NICHT verkauft werden. Über 60.000 Menschen zahlen das inzwischen — kleine Zahl im Vergleich zu Google, aber ein funktionierender Beweis, dass das Modell trägt.

Jede in Have I Been Pwned aufgenommene Datenpanne erscheint auf dieser Seite. Zum Erfassungszeitpunkt sind 1.025 kompromittierte Websites gelistet.

Das ist die Original-Quelle selbst — direkt zählbar, live, keine Sekundärinterpretation nötig. Für Blackstone-Artikel: Bei jeder Verwendung die aktuelle Zahl direkt von dieser Seite neu abrufen, da sie sich fast täglich ändert.

Über 17,6 Milliarden Datensätze aus 1.001 Datenlecks sind in der HIBP-Datenbank erfasst. Troy Hunt beklagt einen negativen Trend: eine immer längere Verzögerung bei der Offenlegung solcher Vorfälle. Beim Carnival-Datenleck etwa dauerte es 43 Tage von der Kenntnisnahme bis zur öffentlichen Information — Daten waren zu diesem Zeitpunkt bereits in Hacker-Foren gepostet.

Zwei einprägsame Fakten: Die schiere Größenordnung (17,6 Milliarden einzelne Datensätze — mehr als doppelt so viele wie es Menschen auf der Erde gibt) und ein wichtiges strukturelles Problem: Unternehmen brauchen oft wochenlang, um Datenlecks öffentlich zu machen — in dieser Zeit sind die Daten längst im Umlauf. Guter Beleg für "warum man nicht abwarten sollte, bis man offiziell informiert wird" (→ eigene Prüfung via HIBP empfehlen).

Einer der untersuchten Datenhändler allein verfügt über Informationen zu mehr als 1,4 Milliarden Verbrauchertransaktionen und 700 Milliarden Datenelementen; ein anderer fügt seiner Datenbank monatlich mehr als 3 Milliarden neue Datenpunkte hinzu. Datenhändler sammeln Verbraucherdaten aus umfangreichen Online- und Offline-Quellen — meist ohne Wissen der Betroffenen —, darunter Kaufdaten, Social-Media-Aktivität, Garantieregistrierungen, Zeitschriften-Abos sowie religiöse und politische Zugehörigkeiten.

Das ist einer der eindrücklichsten Einzelfakten der ganzen Recherche: EIN EINZIGES Unternehmen sammelt monatlich 3 Milliarden neue Datenpunkte — und das bereits vor über zehn Jahren festgestellt, die Größenordnung dürfte seither eher gewachsen sein. Besonders alarmierend: Auch sensible Kategorien wie religiöse und politische Zugehörigkeit werden erfasst — Daten, die in Deutschland/der EU als besonders schützenswert gelten (DSGVO Art. 9).