Quellen-Tabelle

Das erste formelle DSA-Verfahren wurde im Dezember 2023 gegen X eröffnet; im Dezember 2025 folgte eine Geldbuße in Höhe von 120 Millionen Euro wegen Transparenzpflicht-Verstößen. Für Meta wurden im April 2024 formelle Verfahren zu Facebook und Instagram eingeleitet; bei Shein und Temu setzte die Kommission zunächst auf formelle Auskunftsverlangen.

Der DSA ist nicht mehr nur Theorie: Die erste konkrete Millionenstrafe (120 Mio. €) ist bereits verhängt. Für Blackstone wichtig, weil das zeigt, dass die im Dossier beschriebenen Overblocking-Anreize jetzt mit echtem finanziellem Druck unterlegt sind — Plattformen haben ein reales Bußgeldrisiko vor Augen, nicht nur ein theoretisches.

Über 70 Trusted Flagger mit unterschiedlicher Fachexpertise wurden bereits EU-weit benannt, darunter die Bank of Ireland (spezialisiert auf Finanzbetrug), Someturva (Online-Belästigung, u. a. nicht-einvernehmliche Verbreitung intimer Inhalte) und Child Focus (Kindesmissbrauchsmaterial). Der Leitlinienentwurf präzisiert die Kriterien und das Verfahren, nach dem Digital Services Coordinators diesen Status verleihen.

Wichtige Größenordnung, die vorher fehlte: Es sind nicht nur die vier deutschen Organisationen, sondern über 70 EU-weit — mit sehr unterschiedlichen, teils spezialisierten Themenfeldern. Das zeigt: Das System ist inzwischen deutlich ausgebaut, nicht mehr im Anfangsstadium.

Nach Sammlung des Feedbacks plant die Kommission, die Leitlinien in der zweiten Jahreshälfte 2026 zu verabschieden.

Konkretes Datum für die Blackstone-Redaktion: Die finalen Trusted-Flagger-Leitlinien kommen voraussichtlich noch dieses Jahr — ein guter Anlass für einen Update-Artikel, sobald sie veröffentlicht sind.

Einige Mitgliedstaaten haben während des Gesetzgebungsverfahrens die Kompetenz der EU für Teile des EMFA angezweifelt; Ungarn hat sogar eine Nichtigkeitsklage beim EuGH erhoben (Rs. C-486/24). Allgemein wird aufgrund der weiten Kompetenzauslegung des EuGH aber nicht erwartet, dass der EMFA für nichtig erklärt wird.

Bisher nicht in der Datenbank: Es gibt einen offenen Gerichtsstreit um das gesamte EMFA-Gesetz, angestoßen von Ungarn. Wahrscheinlich wird das Gesetz bestehen bleiben, aber das Verfahren ist noch nicht entschieden — relevant für die Statuskennzeichnung.

Mitgliedstaaten sollen bis Ende 2026 mit dem Übergang zu quantenresistenter Kryptografie beginnen, kritische Infrastruktur muss die Umstellung spätestens bis 2030 abschließen.

Wichtig zur Abgrenzung: Das ist NICHT dasselbe wie die "Going Dark"-Verschlüsselungsschwächung — im Gegenteil, hier geht es darum, Verschlüsselung sogar noch widerstandsfähiger gegen künftige Quantencomputer zu machen. Zeigt die Doppelrolle der EU: gleichzeitig Verschlüsselung stärken (hier) und den Zugriff darauf erleichtern wollen (Encryption Roadmap) — ein innerer Widerspruch, der im Dossier erwähnenswert ist.

Über 270 Krypto-Dienstleister sind Stand 29. Juli 2026 unter MiCA in der EU registriert.

Konkrete Zahl zur Marktgröße unter dem neuen Regelwerk — nützlich, um zu zeigen, dass MiCA praktisch angewendet wird und nicht nur Theorie ist.

Eine Gruppe technischer Sachverständiger führte im Rahmen der DMA-Evaluierung eine gründliche technische Analyse der Interoperabilität durch — sowohl horizontal (Verbindung zwischen Nutzern verschiedener sozialer Netzwerke) als auch vertikal (Drittanbieter-Zusatzdienste). Die Kommission zieht insgesamt eine positive Bilanz und sieht mehr Auswahl für europäische Verbraucher.

Das ist der offizielle Zwischenbericht der Kommission nach zwei Jahren DMA — Primärquelle für die Selbsteinschätzung der Behörde. Wichtig: horizontale Interoperabilität zwischen verschiedenen sozialen Netzwerken wird technisch sogar als grundsätzlich möglich eingeschätzt — das wäre ein großer Schritt (z. B. Nachrichten zwischen verschiedenen Messenger-Apps austauschen können).

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.

Joachim Türk vom Kinderschutzbund betonte 2023, die Verordnung habe bei aller Kritik auch gute Seiten — er unterstütze etwa die Einrichtung einer europäischen Behörde. Fatal wäre es, wenn das Dunkelfeld sexualisierter Gewalt gegen Kinder mangels Scans nicht weiter bearbeitet würde. Gleichzeitig betonte er: Auch Kinder hätten ein Recht auf vertrauliche Kommunikation — "Diese Überzeugung macht es uns unmöglich, die anlasslose Chatkontrolle als Option zu akzeptieren."

Das ist die differenzierteste, fairste Stimme im ganzen Dossier: Eine Kinderschutzorganisation, die das Grundanliegen ernst nimmt (Dunkelfeld bekämpfen, neue EU-Behörde begrüßen) und TROTZDEM die anlasslose Variante ablehnt — weil auch Kinder ein Recht auf Privatsphäre haben. Zeigt: Es ist keine einfache Zwei-Lager-Debatte "Kinderschutz vs. Privatsphäre", sondern Kinderschutz-Experten selbst sehen beide Werte als vereinbar mit Kritik an der konkreten Umsetzung.

Das Ziel, die Online-Verbreitung des sexuellen Kindesmissbrauchs zu stoppen, ist überaus wichtig und grundsätzlich zu unterstützen — jedoch schießt der EU-Gesetzgeber mit seinem Vorschlag deutlich über das verfolgte Ziel hinaus, da die Chatkontrolle kaum Schutz für Kinder biete, aber Europas Einstieg in eine anlasslose und flächendeckende Überwachung der privaten Kommunikation wäre.

Die deutsche Datenschutzbehörde selbst formuliert hier das Grundmuster der differenzierten Kritik: Ziel richtig, Mittel unverhältnismäßig. Wichtig als Formulierungsvorlage für Blackstones eigene Position — nicht "Kinderschutz ist vorgeschoben", sondern "das Ziel ist legitim, das Werkzeug ist trotzdem falsch".

Internet-repräsentative Onlinebefragung unter 1.000 Personen ab 16 Jahren im Auftrag des vzbv, statistische Fehlertoleranz max. ±3 Prozentpunkte. (Für exakte Vertrauens-Prozentzahlen: Volltext des Positionspapiers bei nächster Gelegenheit auswerten — hier nur Methodik erfasst.)

Es gibt eine repräsentative Umfrage dazu, wie sehr die deutsche Bevölkerung der geplanten Wallet vertraut — für einen Blackstone-Artikel zum Meinungsbild relevant, aber die konkreten Prozentzahlen müssen noch aus dem verlinkten Positionspapier extrahiert werden.

Die EZB peilt eine mögliche Erstausgabe des digitalen Euro im Jahr 2029 an, unter der Annahme, dass die europäischen Gesetzgeber die Verordnung im Laufe von 2026 verabschieden. Eine Pilotphase mit ersten Transaktionen könnte bereits ab Mitte 2027 beginnen. Die Auswahl der Anbieter für die Service-Plattform (DESP) wurde als wichtiger Meilenstein erreicht.

Offizielle Selbstauskunft der Zentralbank zum aktuellsten Fahrplan-Stand — die Vorbereitungsphase (November 2023 bis Oktober 2025) ist formal abgeschlossen, jetzt beginnt die konkrete technische Umsetzung parallel zum politischen Prozess.

Auf Anfrage der Mitgesetzgeber analysierte die EZB die finanzstabilitätsbezogenen Effekte hypothetischer Haltegrenzen zwischen 500€ und 3.000€ pro Person, sowohl im Normalbetrieb als auch in extremen Flucht-in-Sicherheit-Szenarien. Die EZB betont, dies sei eine technische Antwort, nicht die eigene Positionierung zu einer angemessenen Höhe. Banken im Euroraum müssten laut EZB-Schätzung 4,0 bis 5,8 Milliarden Euro über vier Jahre investieren, um Systeme anzubinden.

Konkrete Zahlen für die "wie viel Geld darf ich im digitalen Euro halten"-Frage, die in Dossier C1 bisher nur als "offener Punkt" stand: Die Bandbreite liegt zwischen 500 und 3.000 Euro pro Person — und selbst die Umstellung für Banken kostet mehrere Milliarden. Wichtig: Die EZB positioniert sich bewusst nicht selbst zur genauen Zahl, das ist Sache der Gesetzgeber.

Ab Ende 2031 sollen klassische Verfahren wie RSA oder ECC nur noch in Kombination mit Post-Quanten-Kryptografie eingesetzt werden. Für besonders kritische Anwendungen gilt die Frist bereits ab Ende 2030, digitale Signaturen bekommen bis Ende 2035 Zeit. Das BSI setzt auf einen hybriden Ansatz: Bewährte Verfahren werden nicht verboten, sondern mit quantensicheren Algorithmen kombiniert.

Konkrete, von der deutschen IT-Sicherheitsbehörde selbst gesetzte Fristen: Ab 2030/2031 muss zusätzlich zur normalen Verschlüsselung eine quantencomputer-sichere Methode verwendet werden. Wichtig für den Masterplan-Bereich Technik-Grundlagen: zeigt, dass "sichere Verschlüsselung" kein statischer Zustand ist, sondern sich technisch weiterentwickeln muss.

Das BSI hat zusammen mit Partnern aus 17 europäischen Staaten im November 2024 eine gemeinsame Erklärung zum Thema Post-Quanten-Kryptografie veröffentlicht, die von Wirtschaft, Betreibern kritischer Infrastruktur sowie öffentlicher Verwaltung den Übergang fordert; inzwischen haben Partner aus drei weiteren europäischen Staaten unterzeichnet.

Europaweite Koordination bei der Verschlüsselungs-*Stärkung* — zeigt den Umfang der Kooperation zwischen europäischen Sicherheitsbehörden bei diesem Thema, als Kontrast zur "Going Dark"-Verschlüsselungs-Schwächung im selben Politikfeld (siehe A5).

Aktuelle Schätzung für den "Q-Day" (Zeitpunkt, ab dem Quantencomputer kryptografisch relevant werden): 10–15 Jahre — nach unten korrigiert von zuvor 20 Jahren, aufgrund wichtiger technologischer Durchbrüche. Die BSI-Empfehlungen geben klare Fristen für die PQC-Migration: 2032 allgemein, 2030 für kritische Infrastruktur.

Wichtige Einordnung: Die Einschätzung, wann Quantencomputer eine echte Bedrohung für heutige Verschlüsselung werden, wurde selbst schon einmal nach vorne korrigiert (von 20 auf 10-15 Jahre) — das zeigt, wie dynamisch sich diese Einschätzung entwickelt und warum die BSI-Fristen eher vorsichtig-frühzeitig als übertrieben wirken.

Die registrierten Straftaten sind 2025 um 5,6% gegenüber dem Vorjahr zurückgegangen, auch unter Berücksichtigung der Cannabis-Teillegalisierung bleibt ein Rückgang von 4,7%. Die Aufklärungsquote bleibt mit 57,9% stabil auf dem Niveau der Vorjahre (2024: 58,0%).

Wichtige Basiszahl: Die allgemeine Kriminalität in Deutschland sinkt, die Aufklärungsquote bleibt seit Jahren stabil bei knapp 58% — unabhängig von den zwischenzeitlich diskutierten neuen Überwachungsinstrumenten. Guter Beleg für die Frage, ob mehr Überwachung überhaupt nötig wäre, um das aktuelle Sicherheitsniveau zu halten.

Die Zahl der Auslandstaten (207.888) übersteigt die Inlandstaten (126.034) inzwischen deutlich. Die Aufklärungsquote spiegelt dieses Ungleichgewicht: Inland 31,4%, Ausland nur 2,0%.

Das ist der wichtigste Einzelfund dieses Batches für Blackstones Argumentation: Zwei Drittel aller Cyberstraftaten gegen Deutschland kommen aus dem Ausland — dort liegt die Aufklärungsquote bei gerade einmal 2%. Das ist ein starkes Argument gegen die Wirksamkeit von Instrumenten wie Vorratsdatenspeicherung oder IP-Adressspeicherung (Dossier B3): Diese setzen an inländischen Anbietern an, während der Großteil der Bedrohung von dort ohnehin nicht erfasst werden kann.

2025 wurden rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon (207.888) aus dem Ausland oder von unbekannten Tatorten aus begangen. Das geschätzte Schadensvolumen für die deutsche Wirtschaft liegt bei 202,4 Milliarden Euro, rund 4,5% des Bruttoinlandsprodukts.

Offizielle BKA-Einschätzung zur Größenordnung — wichtig, um die Zahlen aus der vorherigen Quelle (Aufklärungsquoten) einzuordnen: Es geht hier um ein wirtschaftlich sehr bedeutendes Problem (4,5% des BIP), bei dem trotzdem der Großteil der Täter faktisch unerreichbar bleibt.

Laut einer vom GrapheneOS-Projekt selbst veröffentlichten Schätzung nähert sich die Zahl der GrapheneOS-Geräte 400.000 — basierend auf der Zahl der Geräte, die kürzliche GrapheneOS-Updates heruntergeladen haben. Manche Nutzer könnten mehrere Geräte betreiben, manche laden Updates extern herunter, aber es ist die beste verfügbare Schätzung.

Wichtige Wissenslücke aus dem ursprünglichen Arbeitsplan geschlossen: Es gibt doch eine Zahl, wenn auch nur eine Selbstschätzung des Projekts, keine unabhängig verifizierte Angabe. Rund 400.000 aktive Geräte — deutlich mehr als eine reine Nischen-Community, aber weit von Millionen entfernt. Für Blackstone-Artikel wichtig, die Herkunft der Zahl (Eigenschätzung) transparent zu machen.

GrapheneOS wurde ursprünglich im März 2016 veröffentlicht (als Nachfolger von CopperheadOS), wird als gemeinnützige Organisation seit dem 17. März 2023 offiziell geführt und ist vollständig Open Source unter MIT- und Apache-Lizenzen.

Nützliche Fakten zur Projektgeschichte und Rechtsform — wichtig für Vertrauenswürdigkeits-Argumentation im Masterplan: gemeinnützig organisiert, quelloffen, keine kommerziellen Gewinninteressen im Hintergrund.

Knapp neun Millionen Menschen in Deutschland ab 18 Jahren besitzen derzeit Kryptowährungen — 12,8% der volljährigen Bevölkerung. Weitere 4,9% haben früher besessen, sind aber ausgestiegen; 11,4% (rund 7,9 Millionen) können sich einen künftigen Kauf vorstellen. Unter aktiven Anlegern bleibt Bitcoin klarer Marktführer: 74,6% halten Bitcoin im Depot.

Sehr aktuelle, konkrete Zahl (Anfang August 2026): Etwa jeder achte erwachsene Deutsche besitzt Kryptowährungen — eine deutlich höhere Zahl als ältere Statistiken (die teils nur 4% Nutzung zeigten). Wichtig für den Masterplan-Bezug: Zeigt, dass Kryptowährungen längst kein Nischenphänomen mehr sind, sondern eine relevante Anlageklasse mit zweistelliger Beteiligungsquote — relevant für die MiCA-Regulierung (Dossier C4) und Blackstones Finanz-Kapitel.

Seit 2020 wird im Rahmen der Zahlungsverhaltensstudie nach dem Besitz von Krypto-Token gefragt. Der Anteil derjenigen, die Krypto-Token halten bzw. den Kauf geplant haben, ist gestiegen; die Verbreitung von Krypto nimmt weiterhin zu, bleibt jedoch auf einem niedrigen Niveau im Vergleich zu klassischen Zahlungsmitteln.

Wichtiger methodischer Unterschied zur vorherigen Quelle: Die Bundesbank fragt nach Krypto-*Besitz als Zahlungsmittel*-Kontext (niedrigere, aber seit 2020 kontinuierlich erhobene Zeitreihe), die BearingPoint-Studie fragt nach Krypto als *Geldanlage*. Beide Blickwinkel sind für unterschiedliche Blackstone-Kapitel relevant — Zahlungsmittel-Perspektive für Kapitel 2, Anlage-Perspektive eher am Rande.

Zentrale Prüffeststellung zu KeePassXC: Die Entwickler betreiben keine eigene Cloud, das Programm nutzt das offene KeePass-2-(kdbx)-Format. Bei mindestens einem anderen getesteten Passwortmanager fanden sich dagegen wesentliche Abweichungen von gängigen Empfehlungen — es würden technische Informationen an den Hersteller gesendet, die diesem Zugriff auf Passwortmanager-Inhalte erlauben könnten.

Das ist eine besonders wertvolle Quelle: eine eigene, vergleichende Testreihe der deutschen IT-Sicherheitsbehörde zu mehreren Passwortmanagern (mindestens KeePassXC, Firefox-Passwortmanager, mSecure, PassSecurium, SecureSafe u.a. laut Inhaltsverzeichnis). Nicht nur eine Einzelprüfung, sondern ein direkter, behördlich durchgeführter Vergleich — die bislang stärkste Einzelquelle für Blackstones Passwortmanager-Empfehlungen im Masterplan (Kapitel 6, Identität).

Bitwarden hat wiederholt Netzwerksicherheitsbewertungen und Penetrationstests durch Cure53 sowie separate Prüfungen durch Insight Risk Consulting durchlaufen lassen — darunter dedizierte Audits der Browser-Erweiterung, der Desktop-Anwendung, der mobilen Apps, des Web-Vaults und sogar der eigenen RustCrypto-Bibliothek. Zusätzlich wurde die Kernkryptografie von der Applied Cryptography Group der ETH Zürich unter der Annahme eines vollständig bösartigen Servers geprüft.

Bitwarden hat nicht nur einmal, sondern wiederholt und für praktisch jede einzelne Komponente (nicht nur "die App" pauschal) geprüft werden lassen — inklusive einer akademischen Kryptografie-Prüfung durch eine renommierte Universität unter einem besonders strengen Angriffsmodell. Das ist ein sehr hohes Transparenz-Niveau.