Quellen-Tabelle

WhatsApp-Nutzer, die das Signal-Protokoll verwenden, seit dem 5. April 2016: mehr als eine Milliarde monatlich aktive Nutzer.

Wichtiger Kontrast-Fakt fürs Masterplan-Kapitel Kommunikation: Das zugrundeliegende Verschlüsselungs-Protokoll von Signal wird über WhatsApp von weit mehr Menschen genutzt (>1 Milliarde) als die Signal-App selbst (70-100 Millionen) — bestätigt die bereits in F8 dokumentierte wissenschaftliche Analyse des Protokolls. Wichtig für die Differenzierung "Protokoll ist bei beiden gleich sicher, der Unterschied liegt woanders" (Metadaten, Backups, Geschäftsmodell).

Laut dem Jahresbericht 2025 der Signal Foundation liegen schätzungsweise rund 40% der monatlich aktiven Nutzer in der EU, weitere 30% in Nordamerika, die restlichen 30% verteilen sich auf den asiatisch-pazifischen Raum und den Rest der Welt.

Wichtige Regionaleinordnung: Signal ist besonders in der EU stark vertreten (40% der Nutzerschaft) — passt zu Blackstones europäischem Fokus und zeigt, dass die App in genau der Region, für die der Masterplan geschrieben ist, bereits eine relevante Nutzerbasis hat.

Île-de-France bietet 550.000 Studierenden und Mitarbeitenden eine souveräne Cloud-Kollaborationsplattform; das österreichische Wirtschaftsministerium und das österreichische Bundesministerium nutzen Nextcloud für sichere, souveräne Zusammenarbeit. Im selben Rückblick verlinkt Nextcloud einen eigenen Blogbeitrag mit dem Titel "The proposed EU Chat Control law is a threat to our democracy."

Sehr konkreter Beleg für "digitale Souveränität" in der Praxis, nicht nur als Konzept: Eine einzelne französische Region setzt Nextcloud für über eine halbe Million Menschen ein. Bemerkenswert und direkt relevant für Blackstone: Nextcloud selbst positioniert sich öffentlich gegen die Chatkontrolle (Dossier A1) — das Unternehmen ist also nicht nur ein neutrales Tool, sondern selbst ein Akteur in der Debatte, die Blackstone dokumentiert.

Ab etwa 5.000 aktiven Nutzern stößt On-Premise-Hosting regelmäßig an Grenzen — das Problem liegt weniger an der Hardware als an der Datenbankoptimierung. In einem Praxisbeispiel aus der Automobilzuliefererbranche sprang die Nutzerzahl nach einer Übernahme von 1.200 auf 3.800, die interne IT kämpfte wochenlang mit Timeouts.

Wichtige praktische Einschränkung für Blackstones Masterplan-Empfehlung "Nextcloud auf eigenem NAS/Server": Für Privatpersonen und kleine Gruppen (die typische Blackstone-Zielgruppe) völlig unproblematisch — aber die Grenzen des Selbsthostings sollten nicht verschwiegen werden, falls größere Communities oder Organisationen sich daran orientieren. Achtung: Quelle ist ein Hosting-Anbieter mit kommerziellem Interesse an Managed-Hosting — Einschätzung könnte tendenziös in Richtung "lieber Managed-Service kaufen" sein, entsprechend vorsichtig zitieren.

Kagi wuchs von rund 2.600 zahlenden Kunden in den ersten drei Monaten nach dem öffentlichen Start (Juni 2022) auf über 50.000 Mitglieder bis Juni 2025, darunter mehr als 5.000 Familien und knapp 200 Teams. Bis Ende 2025 stieg die Abonnentenzahl auf rund 62.921 — bei nahezu einer Million täglichen Suchanfragen Mitte 2025, ganz ohne klassisches Marketing.

Kagi ist das seltene Beispiel für ein erfolgreiches Bezahl-statt-Werbe-Geschäftsmodell im Suchmaschinenmarkt: Nutzer zahlen 5-25 Dollar im Monat, damit ihre Daten NICHT verkauft werden. Über 60.000 Menschen zahlen das inzwischen — kleine Zahl im Vergleich zu Google, aber ein funktionierender Beweis, dass das Modell trägt.

Kagi wuchs von 50.000 auf 65.564 Abonnenten seit Mitte 2025 — eine kleine Zahl, die aber etwas Wichtiges beweist: Menschen sind bereit, für eine Suche zu zahlen, die für sie statt für Werbetreibende funktioniert.

Guter, knapper Beleg für die Grundthese hinter Kagi und ähnlichen Bezahl-Tools im Masterplan: Es gibt einen — wenn auch kleinen — Markt für "ich zahle Geld statt mit meinen Daten zu bezahlen". Nützlich als Beleg dafür, dass Blackstones Empfehlungen nicht nur idealistisch, sondern auch praktisch von echten Menschen genutzt werden.

Kagi mischt laut Dokumentation und Community-Diskussionen einen eigenen Index mit externen APIs — "privat" sollte daher eher als Grad-Frage denn als absoluter Zustand verstanden werden. Mojeek ist die einzige der drei mit einem langjährigen, wirklich unabhängigen eigenen Crawl, hat aber Nachteile bei Abdeckung und Reife der Ergebnisse. Qwant nutzt für einen Großteil seines Index Bing oder Hybrid-Metasuche.

Wichtige Nuance für Blackstones Ehrlichkeitsprinzip: Keine der gängigen "privaten" Suchmaschinen-Alternativen ist zu 100% unabhängig von den großen Anbietern — Kagi nutzt auch externe APIs, Qwant baut stark auf Bing auf. "Privat" ist eine Gradfrage, kein Alles-oder-Nichts-Zustand. Das sollte im Masterplan-Kapitel zu Browser/Suchmaschinen transparent gemacht werden, statt den Eindruck zu erwecken, diese Tools seien komplett unabhängig von Big Tech.

Jede in Have I Been Pwned aufgenommene Datenpanne erscheint auf dieser Seite. Zum Erfassungszeitpunkt sind 1.025 kompromittierte Websites gelistet.

Das ist die Original-Quelle selbst — direkt zählbar, live, keine Sekundärinterpretation nötig. Für Blackstone-Artikel: Bei jeder Verwendung die aktuelle Zahl direkt von dieser Seite neu abrufen, da sie sich fast täglich ändert.

Eine Analyse zeigte: 66% der Datensätze im DentaQuest-Leck waren bereits aus früheren Lecks bekannt — ein Beleg für die hartnäckige Wiederverwertung gestohlener Daten. Branchenexperten warnen: Das größte Risiko nach solchen Lecks ist die Wiederverwendung von Passwörtern, da automatisierte Credential-Stuffing-Angriffe geleakte Zugangsdaten nutzen, um sich unbefugt Zugang zu tausenden anderen Websites zu verschaffen.

Sehr wichtiger praktischer Fakt für den Masterplan-Abschnitt zu Passwortmanagern (Kapitel 6): Zwei Drittel der Daten in einem einzelnen aktuellen Leck waren schon vorher bekannt — zeigt, wie sich ein einziges wiederverwendetes Passwort über viele Dienste hinweg auswirken kann. Starkes, konkretes Argument für einzigartige Passwörter pro Dienst (mit Passwortmanager).

Über 17,6 Milliarden Datensätze aus 1.001 Datenlecks sind in der HIBP-Datenbank erfasst. Troy Hunt beklagt einen negativen Trend: eine immer längere Verzögerung bei der Offenlegung solcher Vorfälle. Beim Carnival-Datenleck etwa dauerte es 43 Tage von der Kenntnisnahme bis zur öffentlichen Information — Daten waren zu diesem Zeitpunkt bereits in Hacker-Foren gepostet.

Zwei einprägsame Fakten: Die schiere Größenordnung (17,6 Milliarden einzelne Datensätze — mehr als doppelt so viele wie es Menschen auf der Erde gibt) und ein wichtiges strukturelles Problem: Unternehmen brauchen oft wochenlang, um Datenlecks öffentlich zu machen — in dieser Zeit sind die Daten längst im Umlauf. Guter Beleg für "warum man nicht abwarten sollte, bis man offiziell informiert wird" (→ eigene Prüfung via HIBP empfehlen).

Neben Have I Been Pwned wird empfohlen, parallel ein weiteres kostenloses Angebot zu nutzen: den Identity Leak Checker des Hasso-Plattner-Instituts (HPI), der auf einer eigenen Datenbank geleakter Identitätsdaten basiert.

Praktischer Zusatztipp: Es gibt eine deutsche, unabhängige Alternative/Ergänzung zu HIBP vom Hasso-Plattner-Institut — beide Dienste abzugleichen erhöht die Trefferquote, da die Datenbanken sich nicht zu 100% überschneiden.

Einer der untersuchten Datenhändler allein verfügt über Informationen zu mehr als 1,4 Milliarden Verbrauchertransaktionen und 700 Milliarden Datenelementen; ein anderer fügt seiner Datenbank monatlich mehr als 3 Milliarden neue Datenpunkte hinzu. Datenhändler sammeln Verbraucherdaten aus umfangreichen Online- und Offline-Quellen — meist ohne Wissen der Betroffenen —, darunter Kaufdaten, Social-Media-Aktivität, Garantieregistrierungen, Zeitschriften-Abos sowie religiöse und politische Zugehörigkeiten.

Das ist einer der eindrücklichsten Einzelfakten der ganzen Recherche: EIN EINZIGES Unternehmen sammelt monatlich 3 Milliarden neue Datenpunkte — und das bereits vor über zehn Jahren festgestellt, die Größenordnung dürfte seither eher gewachsen sein. Besonders alarmierend: Auch sensible Kategorien wie religiöse und politische Zugehörigkeit werden erfasst — Daten, die in Deutschland/der EU als besonders schützenswert gelten (DSGVO Art. 9).

Die US-Datenhändlerbranche generiert jährlich über 200 Milliarden Dollar durch den Verkauf von Verbraucherdaten, mit einer weiteren Schätzung von rund 305 Milliarden Dollar für 2023. Die FTC identifizierte 2014 über 100 Datenhändler in den USA — Kalifornien allein hatte 2023 bereits 148 registrierte Broker, EPIC zählt weltweit rund 4.000 Firmen, die Verbraucherprofile erstellen.

Größenordnung der gesamten Branche: 200+ Milliarden Dollar Jahresumsatz allein in den USA — vergleichbar mit der Größe einzelner Landeshaushalte. Die Zahl der Firmen (von ~100 auf über 4.000 weltweit) zeigt zudem ein branchenweites Wachstum, keinen Einzelfall.

Der norwegische Verbraucherrat ist eine unabhängige, staatlich finanzierte Organisation, die sich unabhängig von kommerziellen Interessen für Verbraucherrechte einsetzt. Die aktuelle Kampagne richtet sich an norwegische Behörden und europäische Politikgestalter und behandelt u.a. die Frage digitaler Souveränität und wie Technologieregulierung aussehen könnte.

Wichtig für den Kontext: Der Norwegische Verbraucherrat (bekannt aus dem Arbeitsplan für den "Out of Control"-Report zu Datenhändlern) bleibt auch 2026 aktiv in diesem Themenfeld — eine europäische, staatlich finanzierte, aber unabhängige Institution, die sich explizit gegen kommerziellen Einfluss positioniert. Gute Ergänzungsquelle zur US-lastigen FTC-Perspektive, mit europäischem Blickwinkel.

Die ROCA-Schwachstelle betraf die RSA-Schlüsselerzeugung in Chips des Herstellers Infineon, der über den estnischen ID-Karten-Zulieferer Gemalto (TRÜB Baltic) auch Estland belieferte. Weltweit waren schätzungsweise mindestens eine Milliarde Chips betroffen, darunter alle estnischen ID-Karten, die seit Herbst 2014 ausgegeben wurden. Estland widerrief die betroffenen Zertifikate. Estlands 800.000 betroffene ID-Karten stellen dabei nur einen verschwindend geringen Anteil an ROCAs weltweiter Auswirkung von mindestens 1 Milliarde betroffenen Chips dar — die Infineon-Chips wurden auch in Führerscheinen, Reisepässen, Zugangskarten und anderswo eingesetzt.

Wichtige Präzisierung für Blackstones bereits vorhandenen Estland-Eintrag (aus Batch 25): Der Fehler lag nicht im estnischen System selbst, sondern in einem global verbreiteten Hardware-Chip eines einzelnen Zulieferers (Infineon) — Estland war eines von vielen betroffenen Systemen weltweit, nicht ein spezifisch estnisches Versagen. Das relativiert die Kritik am estnischen System etwas, zeigt aber gleichzeitig ein noch größeres Problem: Eine einzelne fehlerhafte Chip-Generation kann weltweit über eine Milliarde Ausweisdokumente gleichzeitig verwundbar machen.

Die Regierung Estlands entschloss sich, sämtliche der betroffenen 760.000 Zertifikate dauerhaft in ihren Systemen zurückzuziehen und zu blockieren. Der ROCA-Angriff macht es möglich, RSA-Schlüssel mit vertretbarem Aufwand aus einem teilweise bekannten öffentlichen Schlüssel herauszurechnen — theoretisch könnten damit private Schlüssel und Zertifikate einzelner Nutzer für kriminelle Zwecke erzeugt werden.

Verständliche technische Erklärung, warum der Angriff funktionierte: Ein mathematischer Fehler bei der Schlüsselerzeugung, bekannt seit 1996 (Coppersmith-Methode), wieder aktuell geworden durch eine fehlerhafte Implementierung bei Infineon. Wichtig: "theoretisch möglich" — Estland betonte, es gebe keine Hinweise auf tatsächlichen Missbrauch, blockierte aber trotzdem vorsorglich.

Die Studie basiert auf einer thematischen Analyse von 32 semi-strukturierten Interviews mit 41 estnischen Experten, die eng in die Lösung des ROCA-Falls 2017 eingebunden waren, und untersucht drei Bereiche: staatliche politische Aufgaben und Verantwortlichkeiten, die Rolle der IT-Industrie bei der eID-Bereitstellung, sowie Chancen und Pflichten für Endnutzer. Die Studie schlägt einen Paradigmenwechsel im eID-Management vor, der digitale Identität als Bürgerrecht und ihre Bereitstellung als staatliche Pflicht begreift.

Das ist die wissenschaftlich fundierteste verfügbare Aufarbeitung des Falls — nicht nur "was ist passiert", sondern eine tiefgehende Analyse, wer im System eigentlich verantwortlich ist, wenn ein Zulieferer-Fehler ein ganzes staatliches System gefährdet. Der vorgeschlagene Rahmen (digitale Identität als Bürgerrecht, ihre sichere Bereitstellung als Staatspflicht) ist eine gute konzeptionelle Grundlage für Blackstones eigene Position zur EUDI-Wallet.

Der estnische Premierminister Jüri Ratas brach eine Polenreise ab, um sich dem Problem persönlich zu widmen. Der zuständige Wirtschaftsminister betonte gleichzeitig Gelassenheit: "Das Problem ist schwerwiegend und man sollte es ernst nehmen, aber es ist nicht schwerwiegend genug, um deswegen die Karten einzuziehen." Trotz des Vorfalls erklärte der Premierminister, die Sicherheitslücke werde den Digitalisierungskurs des Landes nicht stoppen.

Interessanter politischer Kontrast: Sehr hochrangige, sichtbare Reaktion (Premierminister unterbricht Auslandsreise) bei gleichzeitig bewusst kommunizierter Gelassenheit, um das übergeordnete Digitalisierungsprojekt nicht zu gefährden. Zeigt eine politische Abwägung zwischen Krisenmanagement und Vertrauenserhalt in die eigene Digitalstrategie — relevant für die Frage, wie transparent Staaten mit solchen Vorfällen umgehen (sollten).

Nur rund ein Fünftel (19%) der deutschen Internetnutzer hält die eigenen Daten online für sehr oder eher sicher; 77% halten sie für eher oder sehr unsicher. Am vertrauenswürdigsten im Umgang mit persönlichen Daten erscheinen IT-Anbieter aus Deutschland, denen fast zwei Drittel (65%) sehr stark oder stark vertrauen — deutlich mehr als ausländischen Anbietern.

Wichtige, direkt für Blackstones "warum deutsche/europäische Alternativen" relevante Zahl: Deutsche Nutzer vertrauen einheimischen IT-Anbietern deutlich mehr als ausländischen — das stützt den Masterplan-Ansatz, wo möglich europäische statt US-amerikanische Tools zu empfehlen, mit einer echten Präferenz in der Bevölkerung, nicht nur als Nischenmeinung.

Bei 19% der befragten Unternehmen trat in den vergangenen zwölf Monaten ein Datenschutzverstoß auf, bei weiteren 6% kam es zu mehreren Verstößen. Von den betroffenen Unternehmen berichten 51% über Bußgelder als Folge, 18% verloren dadurch Kunden. Kein einziges befragtes Unternehmen gab an, dass aus seiner Sicht kein Nachbesserungsbedarf bei der DSGVO bestehe.

Wichtige Gegenperspektive zur reinen Bürger-Sicht: Aus Unternehmenssicht ist Datenschutz mit echten, spürbaren Konsequenzen verbunden (jedes vierte befragte Unternehmen hatte einen Verstoß, davon über die Hälfte mit Bußgeld). Nützlich für Blackstone, um zu zeigen: Datenschutzrecht ist keine zahnlose Regelung, sondern hat in der Praxis Wirkung — auch wenn gleichzeitig Kritik an der Handhabung besteht (siehe nächste Quelle).

70% der befragten Unternehmen haben bereits mindestens einmal Innovationspläne aufgrund von Datenschutzvorgaben oder Rechtsunsicherheit gestoppt — ein Anstieg von 61% im Vorjahr. Bitkom-Präsident Wintergerst: "Der Datenschutz hat sich in Deutschland zur Digitalisierungsbremse Nummer eins entwickelt."

Wichtige Gegenstimme für Blackstones Ausgewogenheit: Nicht nur Bürger/Datenschützer kritisieren das System (zu wenig Schutz), auch die Wirtschaft kritisiert es — allerdings aus der entgegengesetzten Richtung (zu bürokratisch, hemmt Innovation). Für einen fairen Blackstone-Artikel wichtig zu zeigen: Die DSGVO wird von beiden Seiten kritisiert, aus unterschiedlichen, teils widersprüchlichen Gründen — das macht "einfach mehr Datenschutzgesetz" nicht automatisch zur unumstrittenen Lösung.

86% der befragten Tech-Start-up-Gründer sehen KI als bestimmenden Technologietrend 2026 — bemerkenswert folgen aber gleich drei Themen aus dem Bereich digitale Souveränität nahezu gleichauf auf den Plätzen zwei bis vier.

Interessantes Signal aus der Gründerszene: Digitale Souveränität ist längst nicht mehr nur ein Anliegen von Aktivisten oder Behörden, sondern wird auch von jungen deutschen Tech-Unternehmern selbst als eines der wichtigsten Zukunftsthemen gesehen — passt zu Blackstones These, dass hier ein wachsender, auch wirtschaftlich relevanter Markt entsteht.

Proton hat kürzlich die Marke von 70 Millionen Nutzerkonten überschritten — ein Beleg für das breite Interesse an privatsphäre-orientierter Technologie, die besser für Nutzer und Gesellschaft ist.

Wichtige Gesamtzahl für das gesamte Proton-Ökosystem (Mail, VPN, Drive, Pass zusammen, nicht nur VPN einzeln) — 70 Millionen Konten ist eine sehr überzeugende Größenordnung für den Masterplan. Wichtiger Hinweis: Das genaue Datum dieser Zahl ist bei der Recherche nicht eindeutig zu klären gewesen — vor Verwendung im Artikel direkt auf proton.me nachprüfen, um nicht versehentlich eine veraltete Zahl als aktuell darzustellen.

Proton VPN unterstützt inzwischen neben Bargeld und Bitcoin auch Zahlungen via Monero, Litecoin, Ethereum und weitere Kryptowährungen über Partner. Die Daten von 2025 zeigen: Immer wenn Zensur zunimmt — von Internet-Shutdowns bis App-Sperren — wenden sich Menschen in beispiellosem Umfang VPNs zu, um ihre Stimme und den Zugang zu unzensierten Informationen zu schützen.

Wichtiger praktischer Fakt fürs Masterplan-Kapitel Finanzen/Zahlungsmethoden: Proton VPN akzeptiert mittlerweile sehr viele anonyme Zahlungswege — passt zu Blackstones Betonung von Zahlungs-Privatsphäre. Der Zensur-Zusammenhang ist zudem ein starker, konkreter Beleg dafür, wofür VPNs im Ernstfall tatsächlich gebraucht werden.

Weltweit nutzen bereits 1,75 Milliarden Menschen aktiv VPNs. Die VPN-Nutzung in Deutschland ist zwischen 2020 und 2024 von 6,94% auf 21,36% gestiegen — eine Verdreifachung innerhalb von nur vier Jahren. Der globale VPN-Markt wird von 58,61 Milliarden Euro (2024) auf voraussichtlich 67,99 Milliarden Euro (2025) wachsen, mit einem erwarteten weiteren Wachstum von fast 14% pro Jahr.

Sehr starke Zahl für den Masterplan: VPN-Nutzung in Deutschland hat sich in nur vier Jahren verdreifacht — von einer Nischen-Technologie zu einem Mainstream-Werkzeug, das gut jeder Fünfte hierzulande nutzt. Zeigt, dass Blackstones Netzwerk-Kapitel (VPN-Empfehlungen) keine exotische Nische bedient, sondern einen bereits wachsenden Massenmarkt.