# Beweisen Sie, dass Sie das ausführen dürfen

**Deck:** Innerhalb von acht Tagen in diesem Juli haben ein US-Bundesstaat, die Europäische Kommission, Google und Großbritanniens Regulierer dieselbe Forderung in das Gerät, den App-Store und das Netz verdrahtet: Beweisen Sie kryptografisch, dass Sie es dürfen. Eine Anordnung des Supreme Court ließ Texas den App-Store in eine Alterskontrollstelle verwandeln. Eine EU-App, die Ihr Alter belegt, ohne Ihren Namen preiszugeben, verweigert den Dienst auf den privatesten Telefonen. Google hat ein Datum gesetzt, ab dem das Schreiben von Software ein Privileg mit verifizierter Identität wird. Und die Werkzeuge, die gebaut wurden, um *geht Sie nichts an* zu antworten — entgooglete Telefone, Sideloading, No-Log-VPNs —, wurden in denselben zwei Wochen als das Nächste benannt, was zu schließen sei, während auf der anderen Seite der Welt Zensoren aufhörten, Protokolle zu blockieren, und begannen, die Server zu fingerprinten, die sie tragen. Niemand hat das koordiniert. Genau das ist der Teil, der Sie beunruhigen sollte.

**By:** URnetwork-Redaktion
**Dateline:** San Francisco — 13. Juli 2026
**Category:** Nachrichten / Analyse

---

## Die App, die nicht startet

Stellen Sie sich den datenschutzbewusstesten Menschen vor, den Sie kennen. Er nutzt GrapheneOS, das
entgooglete Android, bevorzugt von Sicherheitsforscherinnen und von Menschen mit echten Gründen zur
Vorsicht — Überlebende häuslicher Gewalt, Journalisten, Dissidenten. In diesem Sommer bietet ihm die
Europäische Union eine App zur Altersverifikation an, die von ihrer Anlage her wirklich gut ist: quelloffen,
auf Zero-Knowledge-Beweisen aufgebaut, in der Lage, „über 18“ zu belegen, ohne Geburtsdatum, Namen oder
sonst etwas offenzulegen — genau das, was Datenschützer ein Jahrzehnt lang statt hochgeladener Pässe
gefordert haben. Und sie wird sich weigern, auf seinem Telefon zu laufen. Nicht, weil sein Telefon unsicher
wäre. Sondern weil es nicht von Google gesegnet ist.

Diese Verweigerung ist die ganze Geschichte der vergangenen zwei Wochen, und es geht darin nicht wirklich um
Kinder. Unter den Alterskontrollen, den App-Store-Konflikten und den Entwicklerregeln liegt eine einzige
Forderung: *Beweisen Sie, dass Sie das ausführen dürfen.* Beweisen Sie, dass Ihr Gerät echt ist. Beweisen
Sie Ihr Alter. Beweisen Sie, dass die Autorin der Software mit bürgerlichem Namen aktenkundig ist. Das
Fachwort für diese Forderung lautet **Attestierung** — ein vertrauenswürdiger Dritter, praktisch also Apple
oder Google, bürgt kryptografisch gegenüber jeder App, jeder Website und jeder Behörde, die fragt. Die
beiden Konzerne haben jahrelang daran gearbeitet, diese Bürgschaftsschicht in das Betriebssystem selbst
einzubauen. In zwei Wochen dieses Juli griffen drei Klassen von Torwächtern gleichzeitig danach, und zwei
weitere benannten den Weg daran vorbei als nächstes Ziel.

## Zangenarm eins: die Kontrollstelle

**Der App-Store.** Am 6. Juli ließ der Supreme Court der USA auf seinem Eilrechtsweg — zwei kurze,
nicht gezeichnete Beschlüsse, keine vermerkten Sondervoten — den App Store Accountability Act von Texas
bestehen, vollstreckbar, seit der Fifth Circuit am 4. Juni die einstweilige Verfügung eines
Distriktgerichts aufgehoben hatte. Apple und Google müssen nun bei der Kontoeröffnung das Alter jeder
Nutzerin prüfen, jede Person in eine von vier Altersgruppen einsortieren und jeden Download durch
Minderjährige über ein verifiziertes Elternteil leiten — für alle Apps, nicht nur für Erwachsenenangebote.
Und man beachte das *Wie*: Apples Declared Age Range API, eingeführt mit iOS 26, und Googles Play Age
Signals API lassen das Betriebssystem selbst gegenüber jeder fragenden App für Ihr Alter bürgen. Das Gesetz
zwingt nicht die Pornoseite, Ihren Ausweis zu prüfen. Es macht das Gerät zum Orakel.

**Das private Telefon.** Die EU-App zur Altersverifikation ist so ausgelegt, dass sie Googles Play Integrity
und Apples App Attest zur Bestätigung des Geräts verlangt, bevor sie überhaupt startet — sie werde „auf
GrapheneOS oder irgendeinem anderen nicht von Google zugelassenen Android-ROM nicht funktionieren“, wie
technische Analysen beim Erscheinen der Pilotversionen festhielten, und auch nicht, wenn man denselben Code
selbst kompiliert, weil er dann nicht
aus dem Play Store stammt. Die Kommission, die Google nach dem Digital Markets Act mit Bußgeldern belegt,
verpflichtet Googles Attestierung zum Dienst als Identitätsinfrastruktur. Die App ist eine unverbindliche
Empfehlung, mit Pilotversuchen in Dänemark, Frankreich, Griechenland, Italien und Spanien und einer
vorgeschlagenen Einführung bis zum 31. Dezember — aber die Konstruktionsentscheidung ist bereits gefallen.

**Ihr eigener Code.** Googles Android Developer Verification wird von jeder Entwicklerin verlangen, eine
rechtliche Identität zu hinterlegen, bevor ihre Software auf einem zertifizierten Gerät installiert werden
darf; die Durchsetzung beginnt am 30. September in Brasilien, Indonesien, Singapur und Thailand und weitet
sich von dort aus. Am 1. Juli nannte F-Droid — der wichtigste App-Store für freie Software — den ruhenden
Durchsetzungsclient, der auf modernen Android-Geräten bereits als Systemdienst ausgeliefert wird, „einen
Virus … der still auf die Fernaktivierung wartet“ und warnte, die Regel werde sein Projekt beenden, weil
es Apps von pseudonymen Beitragenden verteilt, die Google keinen amtlichen Ausweis übergeben werden. Am 9. Juli lieferte
es seine eigene Antwort aus, einen freien Verifizierer namens AppVerifier.

Das ist keine Sommerphase. Es wird in dauerhaftes Recht geschrieben. Kaliforniens AB 1043, im vergangenen
Oktober unterzeichnet, wird ab dem 1. Januar 2027 *jeden* Betriebssystemanbieter — Apple, Google und, dem
Wortlaut nach, auch Desktop-Linux und Valves SteamOS — verpflichten, Ihr Alter bei der Einrichtung des
Geräts zu erheben und ein Altersgruppensignal an jede App zu senden, die danach fragt. Das Gerät führt Ihre
Software nicht mehr bloß aus. Es fängt an, ihr über Sie zu berichten.

## Zangenarm zwei: die benannten Fluchtwege

Sperrt man Gerät und Store, weichen die Menschen aus. Die vergangenen zwei Wochen zeigen, wonach der Staat
als Nächstes greift.

**Großbritannien.** Die verpflichtende Altersprüfung für Erwachsenenseiten trat am 25. Juli 2025 in Kraft;
ihr erster Jahrestag fällt in diesen Monat, und Ofcoms erster gesetzlich vorgeschriebener Wirksamkeitsbericht
steht vor Ende Juli an. Das messbare Ergebnis des ersten Jahres war Abwanderung, nicht Sicherheit: Am ersten
Tag meldete Proton VPN einen Anstieg der britischen Neuanmeldungen um mehr als 1.400 Prozent gegenüber der
Vorstunde und um mehr als 1.800 Prozent gegenüber dem Vortag, und VPN-Apps belegten die Hälfte der Top Ten
der kostenlosen Apps im britischen App Store. „Solche großen Ausschläge bei den Neuanmeldungen bringen wir
normalerweise mit größeren zivilen Unruhen in Verbindung“, sagte Proton der *Financial Times*. Die amtliche
Reaktion bestand nicht darin, die Mauer zu überdenken, sondern die Leiter ins Auge zu fassen: Englands
Children's Commissioner nannte den VPN-Anstieg „ein Schlupfloch, das geschlossen werden muss“, und drängte
auf Alterskontrollen *für VPNs*; eine
Regierungskonsultation in diesem Frühjahr brachte die Idee förmlich auf den Tisch.

Und hier ist die Tatsache, die das Gespräch hätte beenden müssen. Der Anstieg kam von Erwachsenen, nicht von
den Kindern, auf die das Gesetz zielt. Ofcoms eigene Leitlinien halten fest, dass nur etwa jeder zehnte
VPN-Nutzer ein Kind ist; zwei unabhängige Erhebungen — Internet Matters, das im vergangenen Dezember tausend
Kinder befragte, und Childnet — fanden überhaupt keinen Anstieg der VPN-Nutzung bei Kindern. Alterskontrollen
für VPNs würden also Millionen Erwachsener ausweispflichtig machen, um ein Schlupfloch zu schließen, das die
Kinder nie benutzt haben. Es ist der Kategorienfehler der ersten Mauer, eine Schicht tiefer.

**Brüssel.** Nach dem Streit um die Chatkontrolle ist der nächste Weg der Kommission in private Daten die
verpflichtende Vorratsdatenspeicherung. Ihr Instrument zur Datenspeicherung unter dem Titel "Going Dark" —
erwartet um die Mitte des Jahres 2026 und zum Zeitpunkt dieses Textes noch nicht vorgelegt — würde einem
durchgesickerten Ratsdokument vom vergangenen November zufolge verlangen, dass Verbindungsmetadaten von
*jedem* Onlinedienst ein Jahr oder länger protokolliert werden, wobei VPN-Anbieter ausdrücklich genannt
sind. Und hier trifft die Forderung auf eine Mauer eigener Machart: Ein echtes No-Log-VPN hat nichts
herauszugeben, weil es gebaut wurde, um nichts zu behalten. Mullvad, der schwedische Anbieter, erklärt, es
werde nicht protokollieren, was immer im Endtext stehe — was, sobald das Instrument den Dienst neu
einordnet, ein No-Log-VPN in Europa faktisch illegal machen würde. Eine Speicheranordnung ist eine
Anordnung aufzuhören zu existieren. Man weicht dem Tor aus, und der Ausweichweg wird zum nächsten Tor.

## Dieselben zwei Wochen, eine Schicht tiefer

Schließt man das Identitätstor, bleibt immer noch das Netz — die schlichte Fähigkeit, ein Paket zu einem
Server zu bewegen, der nicht gesperrt ist. Auch dieses Tor wurde in denselben zwei Wochen neu gebaut, von
anderer Hand, auf einer anderen Halbkugel.

Am 10. Juni tat ein Ingenieur im Iran alles, was die Handbücher vorschreiben. Er stellte seinen Tunnel
hinter Cloudflare und zerlegte den einleitenden Handshake in Fragmente von zehn bis dreißig Byte, damit die
Prüfbox des Zensors den verbotenen Domainnamen nie am Stück zu sehen bekommt. Die Domain war trotzdem
binnen eines Tages tot. Die Deep-Packet-Inspection des Iran war um eine vollständige TCP-Reassemblierung
erweitert worden — sie hält die Fragmente im Speicher, wartet und setzt den Satz wieder zusammen, bevor sie
ihn liest, und entwertet damit den billigsten Umgehungstrick in nahezu jedem Werkzeug. In Russland legte
Roskomnadzor zwischen dem 1. und 15. Juni laut *TechRadar* mehr als neunzig Prozent der Server von Amnezia
VPN im Land lahm — nicht durch das Verbot eines Protokolls, sondern indem es die Signatur jedes Servers
fingerprintete und ihn flutete, und anschließend Amnezias eigene Infrastruktur flutete, bis das Unternehmen
nach eigener Aussage seine Zahlen nicht mehr veröffentlichen konnte, weil der Angriff genau das Werkzeug
außer Gefecht gesetzt hatte, mit dem es Zensur misst. Der Zensor hat den Zeugen geblendet.

Der Wendepunkt, schlicht gesagt: Ein Protokoll ist eine Idee, und eine Idee lässt sich nicht aufzählen; ein
Server ist eine Maschine mit einer Adresse, und die lässt sich aufzählen. Sobald das Ziel der feste,
auffindbare Server ist, arbeitet sich ein gut finanzierter Staat schneller durch Ihre Adressliste, als Sie
sie ersetzen können. Und in einem Zweiundsiebzig-Stunden-Fenster in diesem Monat antwortete das
Open-Source-Feld mit einem einzigen Entwurf: am 10. Juli OpenRung — „Snowflake für das ganze Gerät“,
freiwillige Relays, erreicht über einen Broker, der selbst niemals Verkehr trägt, mit einer kryptografisch
signierten Relay-Liste, die der Zensor nicht vergiften kann; am 11. Juli ein Android-Client, Orden, der zwei
Protokolle zugleich führt und in dem Moment umschaltet, in dem eines gedrosselt wird; am 12. Juli die
begutachtete Zensurforschung des Feldes, veröffentlicht im Vorfeld der Symposien FOCI und PETS —
einschließlich einer Analyse des durchgesickerten Toolkits, das Chinas Great Firewall als Produkt
verpackt und an Myanmar, Pakistan, Kasachstan und Äthiopien verkauft. Der Angriff wird in derselben Woche
als Dienstleistung verkauft, in der die Verteidigung offen begutachtet wird. Zwei Hände, eine Tür: Das
*Recht* benennt die Fluchtwege, während die *Paketinspektion* sie physisch schließt.

## Das Gegenargument, in voller Stärke

Nehmen wir die Gegenseite in ihrer stärksten Form, denn sie ist stark. Kinder erreichen harte Pornografie
tatsächlich mit zwei Fingertipps, und der App-Store ist tatsächlich der Ort, an dem das Telefon eingerichtet
wird — er ist also ein vertretbarer Kontrollpunkt und kein selbstevidenter Übergriff. Die Befürworter sind
keine Randgruppe: Kinderschutzbündnisse reichten Schriftsätze ein, die die Gerichte drängten, das
texanische Gesetz bestehen zu lassen, und der Fifth Circuit winkte es nicht durch — er hielt fest, Texas
habe "made a strong showing that it is likely to succeed on the merits" — überzeugend dargelegt, dass es in
der Sache voraussichtlich obsiegen werde —, und das Gesetz "more likely governs commercial speech", regele
eher kommerzielle Äußerungen, die nur einer Angemessenheitsprüfung unterliegen. Die Zero-Knowledge-Beweise der EU-App
sind, an ihren eigenen Maßstäben gemessen, eine echte *Verbesserung* des Datenschutzes gegenüber dem
Hochladen eines Passes auf eine Pornoseite. Auch Googles Malware-Argument ist real: Der Konzern berichtet,
aus dem Internet quergeladene Software trage mehr als die fünfzigfache Infektionsrate des Play Store, und
anonyme, wegwerfbare Entwickleridentitäten seien genau das, was einen ertappten Malware-Autor bis zum
nächsten Morgen unter neuem Namen wieder ausliefern lässt. Auf der Netzebene gilt derselbe Realismus:
Verschleierung war immer eine Steuer, die jedes Protokoll zahlt, der Zensor passt sich binnen Tagen an —
Russland fingerprintete Tors Snowflake-Transport im März über Nacht —, und Ausgänge über Endkundengeräte zu
streuen, schiebt die Missbrauchsbeschwerde auf den Hausanschluss irgendeines Freiwilligen, wo dann die
Polizei erscheint. Und diese Maßnahmen wurden von verschiedenen Gesetzgebern geschrieben, in verschiedenen
Hauptstädten, aus verschiedenen Gründen, nach verschiedenen Zeitplänen. Es gibt kein Memo. In fünf
unverbundenen Sicherheitsgesetzen eine koordinierte Einhegung zu sehen, ist genau das Muster, dem eine
sorgfältige Leserin misstrauen sollte.

## Die Erwiderung, die dem standhält

Beginnen wir beim Telefon, denn dort bricht die Sicherheitserzählung sauber zusammen. GrapheneOS ist nicht
deshalb ausgeschlossen, weil es weniger sicher wäre, sondern weil es *nicht Googles* ist. Das Projekt weist
darauf hin — und das ist in seiner eigenen Dokumentation unabhängig überprüfbar —, dass die
Standard-Hardware-Attestierungs-API von Android „eine sehr viel stärkere Form der Attestierung bietet als die
Play Integrity API“ und die Schlüssel eines alternativen Systems auf eine Whitelist setzen kann, und dass
„der einzige Grund, weshalb [Google] es nicht zulässt, darin besteht, dass wir die Google Mobile Services
nicht lizenzieren … damit werden Googles Geschäftsinteressen durchgesetzt, nicht die Sicherheit“. Eine
stärkere, offenere Attestierung fällt absichtlich
durch die Prüfung. Das Tor fragt also nicht, ob Ihr Gerät sicher ist. Es fragt, ob es *gesegnet* ist.

Die Malware-Erzählung bricht auf dieselbe Weise. Developer Verification prüft keine einzige Zeile Code und
hindert keine verifizierte Entwicklerin daran, etwas Feindseliges auszuliefern; es ist ein Mechanismus für
Identität und Widerruf, kein Scanner. Und der verräterische Punkt liegt in der Preisgestaltung: Die
kostenpflichtige Stufe kostet 25 US-Dollar und einen amtlichen Ausweis, aber die *kostenlose* Stufe verlangt
überhaupt keinen Ausweis — und begrenzt Sie auf etwa zwanzig Geräte. Was hier zugeteilt wird, ist nicht
Geld. Es ist Anonymität in nennenswertem Umfang — genug, um im Freundeskreis zu testen, nie genug, um die
Öffentlichkeit zu erreichen, ohne einen Namen zu hinterlegen.

Dann der Einwand, es gebe keine Koordination — der zutrifft, den wir einräumen und der die Lage schlimmer
macht statt besser. Man braucht kein Memo, um eine Einhegung zu bekommen. Man braucht ein bequemes Primitiv
und viele Torwächter. Sobald das Betriebssystem für das Gerät, das Alter der Nutzerin und die Identität der
Entwicklerin bürgt, greift jede Instanz, die eine Kontrollstelle will, nach derselben Schicht, weil sie
gleich dort liegt und funktioniert. Das Ergebnis ist kein Komplott; es ist ein Gravitationskollaps hin zum
Engpass — und er ist *schwerer* aufzuhalten als eine Verschwörung, weil es kein einzelnes Gesetz zu
verhindern gibt und niemanden, der für die Summe zur Verantwortung gezogen werden kann. Jedes Gesetz für
sich ist vertretbar. Das System, zu dem sie sich addieren, hat niemand unterschrieben.

Die Netzebene beantwortet ihr eigenes Gegenargument auf dieselbe Weise. Die Behauptung war nie, dass
Traffic-Shaping das Wettrüsten *gewinnt*; sie lautet, dass Shaping plus Vielfalt die Rechnung des Zensors
verändert. Fingerprint-and-Flood ist gegen ein paar hundert feste Server verheerend — deshalb fielen neunzig
Prozent der Amnezia-Server — und nahezu nutzlos gegen Millionen von Endkundenadressen, die aussehen wie
gewöhnliche Verbraucher und die sich nicht fluten lassen, ohne das Verbraucherinternet mitzureißen, auf dem
der Staat selbst läuft. Russlands Juni-Angriff setzt einen Server voraus, den man jagen kann; entfernt man
den festen Server, entfernt man das, wofür der Angriff gebaut wurde.

Und das ist der verräterische Punkt, der beide Zangenarme verbindet. Nichts auf der Liste des Gegenarguments
— ein geprüftes Alter, ein ertappter Malware-Autor, ein vollstreckter Durchsuchungsbeschluss — *erfordert*
es, GrapheneOS auszuschließen, F-Droid zu beenden, ein No-Log-VPN zu verbieten oder ein Endkunden-Relay zu
fingerprinten. Diese Werkzeuge werden benannt, weil sie die *Kontrollstelle* aushebeln, nicht das
Sicherheitsziel. Sie sind der Rest, den das Tor nicht verarbeiten kann: die Geräte, Autorinnen und
Verbindungen, für die keine zentrale Instanz bürgen kann. Eine Einhegung ist durch das definiert, was sie
aussperrt.

## Was wir wissen und was nicht

Halten wir die Bilanz ehrlich, denn die Stärke des Musters liegt in seiner Zurückhaltung. Heute
vollstreckbar: das texanische Gesetz (ein Bundesstaat, in der Berufung, mit einer Verhandlung zur Sache vor
dem Fifth Circuit im August), Großbritanniens Alterskontrollregime, Googles Stichtag 30. September für
Developer Verification und — ab 2027 — Kaliforniens Alterssignal auf Betriebssystemebene. Eine
unverbindliche Empfehlung mit laufenden Pilotversuchen: die EU-Alters-App, deren Ausschluss von GrapheneOS
ebenso sehr veröffentlichte Konstruktionsentscheidung wie ausgelieferte Tatsache ist und die ihr Anbieter
vor einem Jahr als „verfrühte Panik“ bezeichnete. Ein noch nicht vorgelegter Vorschlag: die
Vorratsdatenspeicherung der EU, die VPNs beim Namen nennt. Bislang reine Interessenvertretung, kein Gesetz:
der britische Vorstoß, VPNs mit Alterskontrollen zu belegen. Und tagealt, mit winzigen Netzen und zuerst im
Forum: OpenRung und Orden, deren Versprechen real und deren Größenordnung unbelegt ist. Niemand hat eine
Koordination nachgewiesen, weil es keine nachzuweisen gibt. Belegt ist etwas Engeres und Seltsameres — fünf
Torwächter, die unabhängig voneinander nach demselben Primitiv greifen und in denselben zwei Wochen
dieselben Fluchtwege benennen, während die Paketinspektion sie von der anderen Seite schließt.

## Was sich konkret tun lässt

Das Unbezeugbare funktioniert heute noch, und es zu benutzen, ist das Argument. GrapheneOS installiert sich
ohne Konto und ohne Ausweis, und seine Maintainer sagen, das werde so bleiben; F-Droid lieferte AppVerifier
am 9. Juli aus; behalten Sie ein Telefon, das noch sideloaden kann, denn genau diese Fähigkeit soll der
30. September senken. Führen Sie mehr als einen Transportweg mit, so wie Orden es tut, damit eine Drosselung
ein Achselzucken ist und kein Blackout; aktualisieren Sie Ihren Umgehungsclient und ärgern Sie sich nicht
über die erzwungenen Updates, denn die zustandslosen Tricks in den alten Versionen sind die, die in diesem
Monat sterben; und betreiben Sie eine Messsonde — OONI lieferte am 6. Juli eine Desktop-App aus —, denn die
Karten dessen, was gesperrt ist, entstehen aus Nutzerinnen, die die Daten freiwillig beisteuern.

Der Rest ist politisch, und die Hebel sind in Bewegung. Der Fifth Circuit verhandelt das texanische Gesetz
im August in der Sache. Der EU-Speichervorschlag wird noch entworfen, und ein Jahrzehnt an Urteilen des
Gerichtshofs gegen eine "general and indiscriminate", also allgemeine und unterschiedslose, Speicherung
wartet auf ihn. Googles Einführung ist eine
Richtlinie, kein Gesetz, und mehr als siebzig Organisationen aus dreiundzwanzig Ländern haben sich bereits
dagegen ausgesprochen.

## Das Vertrauen, das man nicht schenken muss

Die tiefste Antwort ist die, bei der dieses Journal aus jeder Richtung ankommt. Attestierung ist eine Art,
Vertrauen in eine zentrale Instanz zu legen — Google, Apple, ein VPN, dem das Protokollieren angeordnet
werden könnte, ein Server, der lange genug stillsteht, um fingerprintet zu werden — und zu hoffen, dass sie
vertrauenswürdig bleibt oder überhaupt bestehen bleibt. Die Alternative ist kein besserer Torwächter. Sie
ist eine Architektur, die den Torwächter überflüssig macht: Onion-Routing, WireGuard, dezentrale Relays und
Mixnets wie URnetwork, wo kein Betreiber die Identität hält, um für Sie zu bürgen, keiner zum Protokollieren
gezwungen werden kann und es keine feste Serverflotte zum Aufzählen gibt. Nennen wir die ehrliche Grenze
deutlich — kein VPN verbirgt Ihr Gesicht vor einer Bahnhofskamera, und keine noch so weitgehende
Dezentralisierung zaubert ein Signal herbei, wenn eine Regierung dem ganzen Netz den Stecker zieht, wie der
Iran es im Januar tat. Innerhalb dieser Grenzen ist die Eigenschaft, die diese zwei Wochen nicht einhegen
können, diejenige, auf der zu bauen sich lohnt: *Man kann nicht attestieren, was kein Tor hat, und man kann
nicht fingerprinten, was keinen festen Server hat.* Bauen Sie das Netz so, dass „Beweisen Sie, dass Sie das
ausführen dürfen“ niemanden mehr hat, den es fragen könnte.

---

## Quellen

- SCOTUSblog und NPR, "Supreme Court allows Texas to enforce app-store age-verification and parental-consent law" (6. Juli 2026); *CCIA v. Paxton* — Aussetzung der distriktgerichtlichen Verfügung durch den Fifth Circuit am 4. Juni 2026; App Store Accountability Act (SB 2420), gesetzliches Inkrafttreten 1. Januar 2026; Verfügung des W.D. Tex. (Richter Robert Pitman) Dezember 2025; Verhandlung zur Sache angesetzt für August 2026.
- Apple Developer, "Update on age requirements for apps distributed in Texas" (Declared Age Range API, iOS 26; vier Altersgruppen); Google Play Console Help, "Changes to Google Play for upcoming app-store laws" (Play Age Signals API).
- California Legislature, AB 1043 (Digital Age Assurance Act), unterzeichnet im Oktober 2025, in Kraft ab 1. Januar 2027 (Alterssignal auf Betriebssystemebene; gilt für alle Betriebssystemanbieter) — leginfo.legislature.ca.gov; Berichterstattung von Tom's Hardware zur Betroffenheit von Linux/SteamOS.
- Europäische Kommission, "Commission recommends rollout of the age-verification app" (29. April 2026; unverbindlich; vorgeschlagene Einführung bis 31. Dezember 2026; Pilotversuche DK/FR/GR/IT/ES); OSnews und ppc.land, "EU age-verification app requires a Google/Apple-approved device" (Juli 2025); Biometric Update, Antwort von Scytales ("Play Integrity one of the methods; premature panic", Juli 2025).
- GrapheneOS, "Attestation compatibility guide" (Hardware-Attestierung stärker als Play Integrity; Ausschluss getrieben von der Lizenzierung der Google Mobile Services, "not security").
- F-Droid, "What We Talk About When We Talk About Malware" (Marc Prud'hommeaux, 1. Juli 2026; "a virus … silently awaiting remote activation"); F-Droid, "This Week in F-Droid", AppVerifier (9. Juli 2026); Google, Android Developers Blog, "Android developer verification" (März 2026; Behauptung zur mehr als 50-fachen Sideload-Malware-Rate; 25 US-Dollar + amtlicher Ausweis; kostenlose Stufe mit begrenzter Verbreitung, ~20 Geräte, kein Ausweis; Durchsetzung ab 30. September in BR/ID/SG/TH); offener Brief von mehr als 70 Organisationen aus 23 Ländern (EFF, ACLU, FSF, Tor, Proton, LineageOS).
- TechRadar und die *Financial Times*, VPN-Anstieg in Großbritannien nach Einführung der Altersprüfung (Proton +1.400 % pro Stunde / +1.800 % pro Tag; Zitat "civil unrest"; in Kraft seit 25. Juli 2025); Ofcom-Leitlinien zur Altersprüfung ("about one in ten VPN users is a child"); Internet Matters (Dezember 2025, n≈1.000) und Childnet zum ausgebliebenen Anstieg der VPN-Nutzung bei Kindern; Technadu, Children's Commissioner "loophole that needs closing" / Forderung nach Alterskontrollen für VPNs; Ofcom-Wirksamkeitsbericht fällig Ende Juli 2026.
- TechRadar, "EU prepares ground for wider data retention — VPN providers among the targets"; heise, "Data retention proposal expected by mid-2026" (Stand Mitte Juli nicht vorgelegt); durchgesickertes Ratsdokument (November 2025), das VPN-Anbieter nennt und eine Speicherfrist von rund 12 Monaten vorsieht; Mullvad (No-Log-Richtlinie); Rechtsprechungslinie des EuGH gegen eine allgemeine und unterschiedslose Speicherung (*Digital Rights Ireland* 2014; *Tele2* 2016; *La Quadrature du Net* 2020).
- Konvergenz (Netzebene): net4people/bbs #628 (vollständige TCP-Reassemblierung im Iran, 10. Juni 2026) und FOCI-2026-Analyse zur Abschaltung im Iran; *TechRadar* und Meduza zur Roskomnadzor-Offensive gegen Amnezia (>90 % der russischen Server, Juni 2026; Messwerkzeug außer Betrieb); AmneziaWG 2.0 Traffic-Shaping (ausgeliefert um den 25. März 2026); net4people/bbs #634 (OpenRung, 10. Juli) und #635 (Orden, 11. Juli); Tor Project, Arti 2.5.0 mit Counter Galois Onion als stabil (30. Juni 2026); Tagungsband petsymposium.org/foci/2026 (öffentlich ab etwa 12. Juli; QUIC-SNI-Zensur in Russland; "Geedge Cases" — Great-Firewall-Toolkit exportiert nach Myanmar/Pakistan/Kasachstan/Äthiopien); OONI Probe Desktop-App (6. Juli 2026).