Quellen-Tabelle

Es gibt laut Forscher Simon Egbert bisher keinen wissenschaftlichen Nachweis für den Einfluss von Predictive Policing auf sinkende Kriminalitätsraten. In Bayern wurde der PRECOBS-Vertrag 2021 nicht verlängert, weil die Einbruchszahlen deutlich zurückgegangen waren — nicht wegen der Software, sondern aus anderen Gründen (u.a. Pandemie-bedingt weniger Reisen/leere Wohnungen). Von ursprünglich sechs Bundesländern mit fünf verschiedenen Systemen (Stand 2018) sind nur noch drei im Einsatz: SKALA (NRW), KrimPro (Berlin), KLB-operativ (Hessen).

Sehr wichtiger Fund — ein seltener Fall, in dem ein Überwachungsinstrument tatsächlich wieder ABGESCHAFFT statt ausgeweitet wurde: Bayern hat PRECOBS nicht verlängert, allerdings nicht primär wegen Kritik, sondern weil der ursprüngliche Anlass (hohe Einbruchszahlen) durch andere Faktoren wegfiel. Das zeigt: Nicht jede Überwachungsmaßnahme wird automatisch ausgeweitet — manche verschwinden auch wieder, wenn auch nicht immer aus den Gründen, die Kritiker sich wünschen würden. Wichtige Nuance für Blackstones Function-Creep-These, die nicht als Automatismus dargestellt werden sollte.

Das Gesetzespaket soll BKA und Bundespolizei erlauben, Personen anhand biometrischer Daten in "öffentlich zugänglichen Daten aus dem Internet" zu suchen — nicht nur Verdächtige, sondern auch "Kontaktpersonen, Opfer und Zeugen". Auch das BAMF soll Fotos von Asylsuchenden mit Gesichter-Suchmaschinen im Internet abgleichen. dju-Co-Vorsitzender Hansen warnt zudem um das Redaktionsgeheimnis der Medien als Voraussetzung für demokratische Kontrolle.

Sehr wichtiger Fund, direkt vergleichbar mit der D3-Kritik (Palantir-Verfassungsbeschwerde): Auch hier sollen nicht nur Verdächtige, sondern ausdrücklich auch Opfer und Zeugen erfasst werden können — dasselbe Muster wie beim GFF-Vorwurf gegen Palantir in Bayern. Neuer, noch nicht dokumentierter Aspekt: Eine besondere Betroffenengruppe sind Asylsuchende, deren Fotos vom BAMF mit Internet-Gesichtssuchmaschinen abgeglichen werden sollen — eine Bevölkerungsgruppe mit typischerweise eingeschränkteren Möglichkeiten, sich rechtlich zu wehren.

Das Sicherheitspaket 2.0 wurde Ende April 2026 vom Bundeskabinett beschlossen und bündelt drei Gesetzentwürfe: automatisierte Datenanalyse, biometrischer Internetabgleich, und "Testen und Trainieren" von KI-Systemen — dafür werden BKA-Gesetz und Bundespolizeigesetz angepasst. Besonders brisant: präventive Quellen-TKÜ (Staatstrojaner) sowie biometrische Videoüberwachung, offiziell unter Ausschluss von Online-Durchsuchungen — was der Artikel als "reine Farce" bezeichnet.

Wichtigster struktureller Fund dieses Batches: Das Sicherheitspaket 2.0 ist der Dachbegriff, unter dem sich mehrere bereits einzeln dokumentierte Blackstone-Themen bündeln — A8 (Staatstrojaner/Quellen-TKÜ), D3 (automatisierte Datenanalyse à la Palantir), D4 (biometrische Videoüberwachung) und D5 (biometrischer Internetabgleich à la PimEyes) sind hier alle Teil EINES zusammenhängenden Gesetzespakets, nicht vier unabhängige Entwicklungen. Wichtig: Die reißerische "reine Farce"-Bewertung zur Ausnahme für Online-Durchsuchungen ist eine Meinung der Quelle und sollte nicht unreflektiert übernommen werden — der Fakt selbst (Ausschluss von Online-Durchsuchungen im Gesetzestext) ist aber verwendbar.

Die im Vorfeld geäußerten Befürchtungen haben sich laut ersten Analysen nach der offiziellen Vorstellung des Omnibus weitgehend bewahrheitet — die im Vorfeld befürchtete "Wunschliste" der großen Tech-Konzerne wurde demnach in wesentlichen Teilen tatsächlich übernommen.

Wichtiger Nachtrag zur zeitlichen Entwicklung: Die im November 2025 geäußerten Warnungen (127-Organisationen-Brief) waren zunächst Reaktionen auf einen geleakten Entwurf — dieser Artikel bestätigt aus Sicht der Kritiker, dass die finale, offizielle Fassung (19.11.2025 vorgestellt) die Befürchtungen weitgehend bestätigt statt entkräftet hat. Wichtig: Auch das ist eine Einschätzung von netzpolitik.org, keine neutrale Feststellung — sollte entsprechend attribuiert werden.

Auch wenn ein paar Regeln weniger unter die Räder kommen als ursprünglich befürchtet, ist der digitale Omnibus laut dieser Einschätzung tatsächlich auf Crash-Kurs mit digitalen Grundrechten — allerdings weniger drastisch als der ursprünglich geleakte Entwurf befürchten ließ.

Wichtige Nuance: Die finale Fassung war offenbar etwas weniger einschneidend als der ursprünglich geleakte Entwurf — ein Hinweis darauf, dass der öffentliche Protest (127-Organisationen-Brief, Parlaments-Widerstand) zumindest teilweise Wirkung gezeigt haben könnte, auch wenn die Grundrichtung nach dieser Einschätzung bestehen bleibt. Diese Differenzierung (schlimmer befürchtet als tatsächlich gekommen, aber immer noch problematisch) ist wichtig für Blackstones Präzisionsanspruch.

US-Präsident Donald Trump versucht seit Monaten, die EU-Regeln zu "knacken" — ein geopolitischer Kontext, den auch Max Schrems in seiner Kritik am Digital Omnibus anspricht.

Wichtiger geopolitischer Zusatzkontext: Die Deregulierungsdebatte findet nicht im luftleeren Raum statt, sondern auch vor dem Hintergrund transatlantischen politischen Drucks (USA) auf die EU-Digitalregulierung — ein Aspekt, der die Debatte über reine Innen-EU-Politik hinaus einordnet und für ein vertieftes Verständnis der Hintergründe relevant ist.

Die Angriffsvarianten sind laut Tschirsich mindestens seit 2012 bekannt. Das komplette Prozedere war mit einem Aufwand von etwa einer Stunde verbunden und ermöglichte je nach Art der Identität Zugriff auf eine einzelne ePA oder auf alle Akten einer Praxis. Wichtige methodische Selbstkritik der Forscher: "Wir haben lediglich Dinge geprüft, die uns als Erstes untergekommen sind" — keine umfassende Sicherheitsanalyse, und alle Szenarien aus der Außentäterperspektive (Innentäter-Szenarien wären zusätzlich denkbar).

Zwei sehr wichtige Präzisierungen für Blackstones Sorgfaltspflicht: Erstens sind die grundlegenden Schwachstellen-Kategorien seit 13 Jahren bekannt (2012) — das ist kein neues, sondern ein chronisches, nie vollständig gelöstes Problem. Zweitens — und das ist besonders wichtig — betonen die Forscher selbst ausdrücklich, dass sie KEINE umfassende Sicherheitsanalyse durchgeführt haben, sondern nur naheliegende Probleme prüften. Das bedeutet: Die tatsächliche Angriffsfläche könnte größer sein als bekannt — aber Blackstone sollte diese Unsicherheit auch nicht überzeichnen, sondern die eigene Zurückhaltung der Forscher genauso übernehmen.

Im Saarland wurden binnen eines Jahres (September 2013 bis August 2014) in 175 Verfahren insgesamt 7.459.326 Datensätze erhoben — bei rund 991.000 Einwohnern ergibt das 7,5 Datensätze pro Einwohner und Jahr. Die Kosten beliefen sich auf insgesamt 34.342 Euro, eine einzelne Abfrage kostete im Schnitt knapp 200 Euro.

Das ist eine der einprägsamsten und konkretesten Einzelstatistiken im gesamten Blackstone-Projekt: Jeder Bürger im Saarland war statistisch gesehen im Schnitt 7,5 Mal pro Jahr Teil einer Funkzellenabfrage — unabhängig davon, ob er je mit einer Straftat zu tun hatte. Der günstige Preis pro Abfrage (im Schnitt 200 €) erklärt zusätzlich, warum das Instrument trotz seiner Streubreite so häufig genutzt wird — eine niedrige Kosten-Hürde begünstigt den routinemäßigen statt sparsamen Einsatz.

2017 gab es in Berlin 474 Abfragen mit 59 Millionen einzelnen Datensätzen, in 2.222 Fällen wurden Inhaberdaten von Handynummern ermittelt. Die umfangreichste Einzelabfrage erstreckte sich über 60 Stunden und umfasste über 300.000 Nummern. Die gesetzliche Grundlage (StPO) sieht die Maßnahme eigentlich nur bei schweren Straftaten mit hoher Bedeutung vor — trotzdem sei sie "alltägliches Ermittlungsinstrument, das routinemäßig eingesetzt wird".

Wichtiger Kontrast zwischen Gesetzestext und Praxis — dasselbe Muster wie bei A8 (Staatstrojaner: für Terror gedacht, gegen Drogendelikte genutzt): Die gesetzliche Hürde ("schwere Straftaten") wird formal eingehalten, aber die tatsächliche Nutzungshäufigkeit zeigt eine Normalisierung eines eigentlich als Ausnahme gedachten Instruments. 300.000 erfasste Nummern in einer einzigen Abfrage verdeutlicht zusätzlich die enorme Streubreite einzelner Maßnahmen.

Bei Ermittlungen gegen Julian Hessenthaler (bekannt durch die "Ibiza-Videos", die eine österreichische Regierungskrise auslösten) wurde laut einer CORRECTIV-Recherche offenbar auch die Kanzlei seines Berliner Anwalts Johannes Eisenberg durch eine Funkzellenabfrage miterfasst.

Sehr konkretes, politisch bedeutsames Einzelbeispiel: Wenn bei Ermittlungen gegen eine Person auch die Anwaltskanzlei erfasst wird, tangiert das den besonders geschützten Anwalts-Mandanten-Verkehr — ein Grundrechtsproblem, das über die reine "unbeteiligte Passanten"-Kritik hinausgeht und die Verteidigungsrechte einer politisch prominenten Figur berührt. Guter, einprägsamer Einzelfall für einen Blackstone-Artikel.

Das BKA nutzte sein Gesichtserkennungssystem 2025 mit insgesamt rund 343.856 Suchanfragen — mehr als doppelt so oft wie im Vorjahr. Landeskriminalämter allein generierten 2024 noch rund 121.000 Anfragen, 2025 aber über 313.500. Die Bundespolizei griff zusätzlich rund 30.000 Mal auf die zentrale Fotodatenbank zu — ein Anstieg von etwa 50%.

Sehr wichtiger, hochaktueller Fund mit direktem Bezug zu D4 (Gesichtserkennung): Während D4 bisher vor allem den Frankfurt-Einzelfall und die neue Bundespolizeigesetz-Reform dokumentiert, zeigt dieser Fund die bereits *bestehende* bundesweite Nutzung der zentralen BKA-Fotodatenbank — mit einer Verdopplung allein von 2024 auf 2025. Das ist ein noch nicht in D4 erfasster, aber sehr wichtiger quantitativer Beleg für die tatsächliche Ausbreitung von Gesichtserkennung in Deutschland, unabhängig von der geplanten Reform.

Bei einer angenommenen Fehlerquote von 0,5% würden am Berliner Bahnhof Südkreuz (über 100.000 Reisende täglich) rund 500 Personen pro Tag fälschlicherweise als gesuchte Person erkannt — selbst wenn 100 tatsächlich gesuchte Personen den Bahnhof nutzen, würden davon nur 70 erkannt. Das BMI korrigierte die Fehlerquoten-Angaben mehrfach; zuletzt hieß es: "Bisher wurde in durchschnittlich weniger als 1% der positiv erkannten Fälle eine Person irrtümlich einem Datensatz zugeordnet."

Sehr wichtige, konkret durchgerechnete Ergänzung zu D4/D7: Diese Beispielrechnung macht die abstrakte Falschakzeptanzrate greifbar — bei einem großen Bahnhof bedeutet selbst eine niedrig klingende Fehlerquote hunderte falsche Verdächtigungen täglich, während gleichzeitig ein erheblicher Teil der tatsächlich gesuchten Personen NICHT erkannt wird (nur 70 von 100 im Beispiel). Wichtig für Blackstones Sorgfalt: Das BMI hat die Zahlen "mehrfach korrigiert" — ein Hinweis auf frühere Kommunikationsprobleme bei der Genauigkeit dieser Statistik, die im Artikel erwähnenswert ist.

Unter deutschen Messenger-Nutzern liegt die gestützte Markenbekanntheit von Threema bei 23%, der tatsächliche Nutzungsanteil bei 3%. Von den Nutzern sind rund 67% der Marke treu (würden Threema wahrscheinlich wieder nutzen).

Alternative, frei zugängliche Kennzahl statt der gesperrten Nutzerzahl: Nur 3% der deutschen Messenger-Nutzer verwenden tatsächlich Threema, obwohl fast ein Viertel die Marke kennt — eine Lücke zwischen Bekanntheit und tatsächlicher Nutzung. Diese Zahl ist zwar älter (2022) und misst etwas anderes als die absolute Nutzerzahl, kann aber als ergänzender Beleg für die relative Marktposition dienen, wenn die absolute Zahl nicht verfügbar ist.

Die Schufa soll Daten von Millionen Menschen länger gespeichert haben, als Verbraucher erwarten dürften — diese historischen Informationen tauchen nicht in der offiziellen Datenkopie auf, würden aber für Tests, Entwicklung und Bewertung neuer Score-Modelle genutzt. Besonders heikel: Historische Scores könnten auch an Unternehmenskunden wie Banken, Versicherer oder Energieversorger weitergegeben worden sein — die Datenschutzaufsicht prüft den Fall.

Sehr aktueller, noch laufender Skandal, der die gerade erst eingeführte Transparenz-Reform sofort infrage stellt: Kaum hatte die Schufa mehr Transparenz versprochen, deckten Journalisten eine parallele "Schatten-Datenbank" auf — mit Daten, die eigentlich gelöscht sein sollten, aber intern weiterverwendet und möglicherweise sogar an Dritte weitergegeben wurden. Status: Prüfung läuft, noch kein abschließendes Ergebnis — als 🔶 kennzeichnen, nicht als bereits entschiedenen Fall.

Laut einem Spiegel-Online-Artikel liefen zum Zeitpunkt der Verabschiedung des Meldegesetzes (MeldFortG) im Bundestag gerade das EM-Halbfinale Deutschland gegen Italien — die zweite und dritte Lesung inklusive Abstimmungen wurden innerhalb von 57 Sekunden durch einen sehr überschaubar besetzten Bundestag durchgeführt.

Eine der einprägsamsten Anekdoten im gesamten Blackstone-Projekt: Ein Gesetz, das direkten Einfluss auf den Adresshandel mit Millionen Bürgerdaten hat, wurde in nur 57 Sekunden durch ein fast leeres Parlament gewunken — weil gleichzeitig ein Fußballspiel lief. Das ist ein extrem konkretes, gut belegtes Beispiel für mangelnde parlamentarische Sorgfalt bei Datenschutzthemen — besser als jede abstrakte Kritik an "zu schnellen Verfahren".

Am 9.7.2026 stimmte das EU-Parlament über die Chatkontrolle ab: 314 von 276 Gegenstimmen erreichten nicht die nötige absolute Mehrheit; Parlament verabschiedete Position mit Ausnahme für E2E-Verschlüsselung.

Chatkontrolle nicht gestoppt, sondern mit Ausnahme für verschlüsselte Chats weiterverhandelt. Belegt NICHT eine finale Verabschiedung.

Neu aufgebaute Predator-Spyware-Infrastruktur mit 81 Domains/82 IPs, aktiv in mind. 11 Ländern trotz Enthüllungen 2023.

Trotz Aufdeckung baute Spyware-Anbieter Netzwerk neu auf. Belegt NICHT deutsche Betroffenheit.

NSO Groups Transparenzbericht 2025 lässt Angaben zu abgelehnten Kunden aus; Kritiker halten Bericht für unbelegte Fassade.

NSO versucht mit inhaltsarmem Bericht US-Marktzugang. Belegt NICHT tatsächlichen Umfang aktueller Pegasus-Einsätze.

IMEI kann bei jeder Mobilfunkverbindung miterfasst werden und zur Geräteverfolgung dienen, da sie im Gegensatz zur IP nicht per VPN maskierbar ist.

IMEI kann Geräte eindeutig identifizieren. Belegt NICHT aktuelle anlasslose IMEI-Speicherung in Deutschland.

Über 350 Domains per DNS-Sperre blockiert, 298 wegen Urheberrecht (CUII), 56 wegen EU-Sanktionen gegen russische Propagandamedien.

Belegt Zahl/Gründe der Sperren, nicht die technische Wirksamkeit (leicht umgehbar).

Ungeschützter Elasticsearch-Cluster mit ~367.000 internen Nextcloud-Datensätzen entdeckt, darunter Zugangsdaten. Geschlossen ab 27.05.2026.

Auch Nextcloud selbst hatte ein Datenleck - EU-Herkunft allein garantiert keine Sicherheit. Betraf interne Geschäftsdaten, nicht Kunden.

Proton Drive verschlüsselt Ende-zu-Ende (Zero-Knowledge), hostet in der Schweiz außerhalb EU/US-Jurisdiktion.

Produkttest, keine unabhängige Sicherheitsprüfung oder juristische Analyse der Schweizer Herausgabepflichten.

Deutsche EUDI-Wallet startet 02.01.2027 kostenlos/freiwillig; Deutschland setzt auf kritisierte 'Signed Credentials'-Architektur.

FAQ erklärt Funktionsweise und Kritik der digitalen Brieftasche. Keine Zahlen zu tatsächlicher Nutzung.

Firefox 145 führt Anti-Fingerprinting-Schutz ein, senkt laut Mozilla eindeutige Identifizierbarkeit fast um die Hälfte, bisher nur im privaten/Strict-Modus.

Herstellereigene Zahl, keine unabhängige Prüfung, nicht standardmäßig für alle aktiv.

Bundestag beschloss Novelle: automatische Gesichtserkennung/Verhaltensbewertung an Bahnhöfen, Staatstrojaner, Drohnen, Stille SMS, IMSI-Catcher.

Neue Überwachungsbefugnisse für Bundespolizei. Bundesrat muss noch zustimmen.