Verschlüsselung ist unknackbar. Die Infrastruktur, die sie ausliefert, ist es nicht.

Die Woche, in der die Verschlüsselung gleichzeitig gewann und verlor

Am 3. April ließ das Europäische Parlament die Rechtsgrundlage für das freiwillige Scannen von Nachrichten auslaufen. Die Abstimmung — 311 zu 228 — war der bedeutendste Erfolg für die Privatsphäre in Europa seit Jahren. Die EFF berichtete, dass Unternehmen wie Google und Meta damit ihre Befugnis verloren, Milliarden privater Nachrichten zu scannen. Doch dann scannten sie einfach weiter und gaben eine gemeinsame Erklärung ab, in der sie zusagten, „weiterhin freiwillig tätig zu werden“ — womit sie nun wahrscheinlich gegen die ePrivacy-Richtlinie verstoßen. 2024 stellte das deutsche Bundeskriminalamt fest, dass 48,3 % der gemeldeten Nachrichten Fehltreffer waren — Familienfotos und medizinische Aufnahmen, die fälschlich als illegale Inhalte eingestuft wurden. Fünfhundert Wissenschaftlerinnen und Wissenschaftler aus 34 Ländern hatten bereits erklärt, clientseitiges Scannen sei „technisch nicht umsetzbar“ und faktisch eine Hintertür. Der Europäische Gerichtshof für Menschenrechte entschied in Podchasov v. Russia, dass Hintertüren in der Verschlüsselung gegen Artikel 8 der Konvention verstoßen. Nichts davon hat das Scannen beendet.

Am 7. April berichtete NPR, die Einwanderungsbehörde ICE habe in einem Schreiben an den Kongress bestätigt, dass sie die Spyware Graphite von Paragon Solutions aktiv einsetzt, um Signal- und WhatsApp-Nachrichten auf amerikanischem Boden mitzulesen. Der technische Ablauf: Graphite fügt die Zielperson einem Gruppenchat hinzu, sendet ein präpariertes PDF und löst CVE-2025-27363 aus — eine Schwachstelle in der FreeType-Bibliothek —, um Code auszuführen und die Spyware zu installieren. Ein Klick ist nicht nötig. Der Vertrag über 2 Millionen US-Dollar wurde unter der Regierung Biden geschlossen, dann ausgesetzt und von Trump wieder in Kraft gesetzt. Paragon wurde von Ehud Schneorson, dem früheren Kommandeur der israelischen Einheit 8200, und Ehud Barak, dem früheren israelischen Ministerpräsidenten, gegründet, für 900 Millionen US-Dollar von AE Industrial Partners übernommen und in ein Unternehmen mit Sitz in Virginia namens REDLattice eingegliedert. Die Abgeordnete Summer Lee erwiderte: „Die Menschen mit dem größten Risiko — darunter Eingewanderte, Schwarze Menschen und People of Color, Journalistinnen und Journalisten, Organizer und alle, die sich gegen staatlichen Missbrauch äußern — haben mehr verdient als Geheimhaltung und Ablenkung.“

Am 8. April berichtete TechCrunch, dass Jason Donenfeld — der Schöpfer von WireGuard, dem am weitesten verbreiteten modernen VPN-Protokoll — keine Software-Updates mehr ausliefern konnte, weil Microsoft sein Entwicklerkonto gekündigt hatte. In derselben Woche stellten Mounir Idrassi (VeraCrypt), das Team des Windscribe VPN und MemTest86 fest, dass auch ihre Konten gesperrt waren.

Donenfeld schrieb auf Hacker News: „Microsoft hat mir dazu überhaupt keine Benachrichtigung geschickt. Ich habe in jedem Postfach, in jedem Spam-Ordner, in jedem Mail-Log nachgesehen — null, nichts, gar nichts.“

Idrassi versuchte, Hilfe zu bekommen: „Ich habe versucht, Microsoft über verschiedene Kanäle zu erreichen, bekam aber nur automatische Antworten und Bots.“ Erst als Tim Sweeney, der CEO von Epic Games, die Sache persönlich an Microsofts President of Windows and Devices herantrug, antwortete überhaupt jemand. Microsoft-Vizepräsident Scott Hanselman tat den Vorfall ab: „Nicht alles ist eine Verschwörung, manchmal ist es buchstäblich Papierkram.“

Es ist keine Verschwörung. Es ist schlimmer. Der Papierkram ist genau der Punkt.

Der Erlaubnisstapel

Jedes Werkzeug für Privatsphäre, das Sie benutzen, sitzt auf einem Stapel von Erlaubnissen, die Sie nicht erteilt haben, nicht kontrollieren können und von deren Existenz Sie womöglich nichts wissen.

Schicht 1: Treibersignierung

WireGuard und VeraCrypt können unter Windows — das 72 % des Marktes für Desktop-Betriebssysteme hält — nicht ohne einen von Microsofts Hardware Program signierten Treiber laufen. Microsofts neue verpflichtende Kontoverifizierung, angekündigt im Oktober 2025, verlangt von Entwicklern, einen amtlichen Lichtbildausweis hochzuladen, dessen Name mit dem Primary Contact im Partner Center übereinstimmt. Konten, die dem bis zum 1. April 2026 nicht nachkamen, wurden automatisch gesperrt.

Diese Anforderung ist mit pseudonymer Open-Source-Entwicklung grundsätzlich unvereinbar. Die Kündigungsnachricht, die Idrassi erhielt, war endgültig: "There are no appeals available, we have closed your application." — Es gibt keine Rechtsmittel, wir haben Ihren Antrag geschlossen.

VeraCrypts Bootloader ist mit einem Zertifikat signiert, das am 27. Juni 2026 abläuft. Nach diesem Datum wird UEFI Secure Boot sich weigern, ihn zu laden. Schätzungsweise 5 bis 10 Millionen verschlüsselte Geräte weltweit werden dann nicht mehr starten — nicht weil die Verschlüsselung gebrochen worden wäre, sondern weil Microsofts Zertifikat abgelaufen und das Konto des Entwicklers gesperrt ist.

Schicht 2: App-Stores

Anfang 2026 entfernten Apple und Google mindestens zwölf VPN-Dienste auf Verlangen der Regierung aus den indischen App-Stores — darunter Cloudflares 1.1.1.1, Hide.me und PrivadoVPN. Im gesamten von Indien verwalteten Kaschmir sind VPNs inzwischen in jedem Distrikt verboten; über 800 Menschen wurden VPN-Verstöße vorgeworfen, und 150 wurden in einem einzigen Zeitraum von drei Tagen förmlich angezeigt. Die Polizei beschlagnahmt und durchsucht Telefone.

Im Vereinigten Königreich zog Apple im Februar 2025 seine eigene Funktion Advanced Data Protection für iCloud zurück, statt einer behördlichen Anordnung zum Einbau einer Hintertür nachzukommen. Vierzehn Monate später, Stand April 2026, ist ADP für britische Nutzer nicht wiederhergestellt. Zehn große iCloud-Kategorien — darunter Backups, Fotos, Dateien und Notizen — bleiben ohne Ende-zu-Ende-Verschlüsselung. Apple hält die Schlüssel. Das Innenministerium erließ eine zweite, engere Anordnung — dieselbe Forderung nach einer Hintertür, begrenzt auf Einwohner des Vereinigten Königreichs. Doch wie Sicherheitsforscher anmerken: Eine Hintertür lässt sich nicht geografisch begrenzen. Der Mechanismus ist, einmal gebaut, eine universelle Schwachstelle.

Schicht 3: Das Routing der Internetanbieter

Am 12. Februar sperrte Russland WhatsApp vollständig — betroffen sind 100 Millionen Nutzer. Die Sperre arbeitete zweistufig: Die WhatsApp-Domains wurden aus Russlands nationalem Domain-Name-System entfernt, abgesichert durch TSPU-Kästen zur Deep Packet Inspection bei jedem Internetanbieter. Signal ist seit August 2024 gesperrt. Discord seit Oktober 2024. Viber seit Dezember 2024. Instagram und Facebook seit 2022. YouTube wurde im Februar zusammen mit WhatsApp gesperrt.

Der Ersatz heißt Max, ein staatlich gestützter Messenger von VK, der seit September 2025 auf allen in Russland verkauften Geräten vorinstalliert sein muss. Max hat keine Ende-zu-Ende-Verschlüsselung — es nutzt eine vom FSB genehmigte Verschlüsselung, die den Behörden Zugriff auf alle Nachrichten gibt. Der Cybersicherheitsforscher Baptiste Robert entdeckte ein verstecktes Modul namens HOST_REACHABILITY, das die Nutzung von VPNs aktiv erkennt und an die Server von VK meldet. Roberts Schluss: „Alle Daten, die durch diese Anwendung laufen, können als in den Händen des russischen Staates befindlich gelten.“

Rund 50 % der Russen nutzen inzwischen VPNs. Die AP berichtet von einem „Frühling wachsender Unzufriedenheit“ — selbst Anhänger des Kreml sind verärgert. Der Wirtschaftsvertreter Alexander Shokhin sagte Putin direkt, die Abschaltungen hätten „sowohl Unternehmen als auch Bürgern das Leben schwer gemacht“.

Schicht 4: Duldung durch den Staat

Myanmars Cybersicherheitsgesetz stellt die unerlaubte Nutzung von VPNs unter Strafe, mit ein bis sechs Monaten Haft und Geldstrafen bis zu 4.760 US-Dollar. In Mandalay, Yangon und Städten in neun Regionen halten Militärpatrouillen und Milizionäre der Pyu Saw Htee Menschen auf der Straße an, um deren Smartphones nach verbotenen Apps zu durchsuchen.

Angetrieben wird die Durchsetzung von chinesischer Hardware zur Deep Packet Inspection. Ein Datenleck von 600 Gigabyte bei Geedge Networks — einem Unternehmen unter Führung von Fang Binxing, dem „Vater der chinesischen Great Firewall“ — legte Quellcode und Verträge offen, die ein schlüsselfertiges Produkt namens „Great Firewall in a Box“ zeigen: eingesetzt in 26 Rechenzentren bei 13 myanmarischen Internetanbietern, überwacht es 81 Millionen TCP-Verbindungen gleichzeitig und sperrt 281 VPNs und 55 Apps, darunter Signal, Tor und WhatsApp.

In drei Monaten nahm die Polizei der Region Mandalay 1.657 Menschen fest, unter Einsatz des PSMS (Person Scrutinization and Monitoring System). An Kontrollpunkten verlangen Soldaten 1 bis 3 Millionen Kyat (460–1.380 US-Dollar) von jedem, bei dem sie VPN-Software finden. Zwei junge Frauen wurden in Yangon zwei Tage festgehalten; ihre Eltern zahlten je 230 US-Dollar für die Freilassung.

Eine Frau namens Pan Pan, die nach Thailand floh, nachdem zwei Freundinnen an Kontrollpunkten festgenommen worden waren, sagte einem Journalisten: „Wegen all dieser Überwachung fühlt sich unser Alltag so an, als könnten wir jederzeit auf der Straße festgenommen werden. Die Bewegungsfreiheit ist dahin. Es ist, als lebte man in einem Schlachthaus.“

Myanmars Wert für Internetfreiheit: 9 von 100. Gleichauf mit China der schlechteste der Welt.

Schicht 5: Kompromittierung des Endgeräts

Die Graphite-Spyware der ICE, deren Einsatz auf amerikanischem Boden nun bestätigt ist, liest verschlüsselte Nachrichten, indem sie das Gerät selbst kompromittiert. Doch Graphite ist nicht das einzige Werkzeug. Das Heimatschutzministerium DHS betreibt über eine von der NEC Corporation gebaute App namens Mobile Fortify eine Gesichtserkennungsdatenbank mit 1,2 Milliarden Bildern, die seit Juni 2025 über 100.000 Mal genutzt wurde — auch gegen Jugendliche in der Nähe einer Highschool in Aurora, Illinois, wo ein Beamter "Can you do facial?" fragte — „Kannst du eine Gesichtserkennung machen?“ —, während er ein Telefon auf das Gesicht eines Minderjährigen richtete. Biometrische Daten werden 15 Jahre lang gespeichert. Ein Privacy Impact Assessment, also eine Datenschutz-Folgenabschätzung, wurde nie durchgeführt.

Das gesamte Überwachungsbudget der ICE: 28,7 Milliarden US-Dollar — das Zehnfache ihrer kumulierten Überwachungsausgaben der vorangegangenen 13 Jahre.

Auf jeder Schicht dieses Stapels ist die Mathematik der Verschlüsselung ohne Belang. Die Frage ist nicht, ob Ihre Nachrichten entschlüsselt werden können. Die Frage ist, ob man Ihnen erlauben wird, sie zu verschlüsseln.

Das Verschlüsselungsparadox des April 2026

Das Paradox verschärft sich, wenn man die Erfolge und die Niederlagen nebeneinanderhält.

Die Erfolge sind real. Die EU hat die Rechtsgrundlage von Chat Control beendet. Signal hat die Sparse Post-Quantum Ratchet ausgerollt — das erste hybride post-quantensichere Messaging-Protokoll im Verbrauchermaßstab, das eine klassische Double Ratchet mit ML-KEM-768 (einem von der NIST standardisierten post-quantensicheren Schlüsselkapselungsverfahren) zu dem verbindet, was Signal die „Triple Ratchet“ nennt. Bruce Schneier schrieb: „Dieses Update lässt sich so verstehen, dass es die Sicherheit des Ratchet-Teils von Signal verdoppelt.“ Das Protokoll wurde von Cryspen mit ProVerif und F* formal verifiziert. Angriffe nach dem Muster „harvest now, decrypt later“ — jetzt ernten, später entschlüsseln, wobei Gegner verschlüsselten Verkehr einlagern, bis Quantencomputer ihn brechen können — sind gegen Signals 70–100 Millionen monatlich aktive Nutzer nun strukturell schwerer.

Dänemark zog seinen Vorschlag für ein Verschlüsselungsverbot zurück, nachdem sich herausgestellt hatte, dass Justizminister Peter Hummelgaard — der erklärt hatte, „wir müssen mit der völlig irrigen Vorstellung brechen, dass es die bürgerliche Freiheit eines jeden sei, über verschlüsselte Messaging-Dienste zu kommunizieren“ — einer von 70 der 179 dänischen Abgeordneten ist, die selbst verschlüsselt kommunizieren. Schwedens eigener Brigadegeneral Mattias Hanson wies an, sämtliche nicht als Verschlusssache eingestufte militärische Kommunikation über Signal zu führen — während der Gesetzentwurf der schwedischen Regierung zur Verschlüsselungshintertür Signal zwingen soll, Nachrichten zu speichern und herauszugeben. Die förmliche Stellungnahme der Streitkräfte: Zugriffsanforderungen in Ende-zu-Ende-verschlüsselter Kommunikation „lassen sich nicht erfüllen, ohne Schwachstellen und Hintertüren einzuführen, die Dritte ausnutzen könnten“. 237 Organisationen aus über 50 Ländern schrieben ablehnend an den schwedischen Riksdag. Der Gesetzentwurf wurde vertagt.

Und das FBI und die CISA warnten gemeinsam, dass russische Hacker aktiv Signal- und WhatsApp-Konten von Regierungsmitarbeitern kompromittieren — ein implizites Eingeständnis, dass verschlüsseltes Messaging die nationale Sicherheit schützt. Die Kehrtwende des FBI reicht tiefer: Nachdem Chinas Kampagne Salt Typhoon mehr als 200 Telekommunikationsunternehmen in über 80 Ländern gehackt hatte — unter Ausnutzung genau jener Abhörinfrastruktur, deren Einbau der Staat den Telekomanbietern vorgeschrieben hatte —, rät das FBI Amerikanern nun zu Signal. Salt Typhoon drang über eine sieben Jahre alte, ungepatchte Cisco-Schwachstelle in das FBI-eigene Abhörverwaltungssystem DCS-3000 („Red Hook“) ein und erlangte eine nahezu vollständige Liste derjenigen, die das FBI abhörte. Die Behörde, die jahrzehntelang gegen starke Verschlüsselung gekämpft hat, empfiehlt sie nun — weil ihr eigenes Abhörsystem gegen sie gerichtet wurde.

Die Niederlagen sind struktureller Natur. Mindestens sieben Jurisdiktionen betreiben gleichzeitig die Schwächung von Verschlüsselung: das Vereinigte Königreich, Schweden, Frankreich, Dänemark, Australien, Indien und die EU insgesamt. Signal hat gedroht, fünf davon zu verlassen. Der Trilog der EU zu Chat Control 2.0 geht weiter — die nächste Sitzung ist am 16. April, in sechs Tagen, mit dem Ziel einer Einigung bis Juli. Die Initiative European Digital Rights nannte die CSAR-Verordnung „den am meisten kritisierten EU-Gesetzentwurf aller Zeiten“.

Unterdessen hat der Konflikt zwischen Anthropic und dem Pentagon gezeigt, was geschieht, wenn ein KI-Unternehmen sich weigert, Überwachung zu ermöglichen. Anthropic lehnte es ab, seine Claude-Modelle für massenhafte Inlandsüberwachung und autonome Waffen freizugeben. Das Pentagon stufte das Unternehmen als "supply chain risk" ein — als Lieferkettenrisiko, ein Etikett, das zuvor Huawei und ZTE vorbehalten war. Die Bundesrichterin Rita Lin nannte die Einstufung „orwellsch“, erließ eine einstweilige Verfügung und schrieb: "Nothing in the governing statute supports the Orwellian notion that an American company may be branded a potential adversary and saboteur of the U.S. for expressing disagreement with the government." — Nichts im maßgeblichen Gesetz stützt die orwellsche Vorstellung, ein amerikanisches Unternehmen dürfe als potenzieller Gegner und Saboteur der USA gebrandmarkt werden, weil es der Regierung widerspricht. Der D.C. Circuit hob die Entscheidung am 8. April auf und berief sich auf einen "active military conflict with Iran" — einen aktiven militärischen Konflikt mit dem Iran. OpenAI sprang mit einem eigenen Vertrag über 200 Millionen US-Dollar ein; die EFF nannte die Vertragssprache "weasel words" — Wieselwörter. Die Deinstallationen von ChatGPT schnellten an einem einzigen Tag um 295 % nach oben.

Die Mathematik der Verschlüsselung war nie stärker. Die Infrastruktur, die sie ausliefert, war nie zerbrechlicher.

Was erlaubnisfreie Privatsphäre bedeuten muss

Die Lehre dieser Woche lautet nicht, dass die Verschlüsselung versagt. AES-256 ist nicht der Engpass. Signals neue Post-Quantum-Ratchet ist nicht der Engpass.

Der Engpass ist, dass die gesamte Auslieferungskette — die Treibersignierung, der Eintrag im App-Store, das Routing der Internetanbieter, die Duldung durch den Staat, die physische Sicherheit des Geräts — von Instanzen kontrolliert wird, deren Erlaubnis widerrufen werden kann.

Eine Privatsphäre-Infrastruktur, die den Erlaubnisstapel übersteht, muss vier Eigenschaften erfüllen:

1. Verbreitung ohne Torwächter. Die Software muss über Kanäle verfügbar sein, die keine einzelne Instanz kontrolliert. Offener Quellcode ist notwendig, aber nicht hinreichend — die Aussperrung durch Microsoft hat das bewiesen. Man braucht außerdem reproduzierbare Builds, die jeder überprüfen kann, und Verbreitungswege (F-Droid, direktes APK, Sideloading), die nicht von der fortgesetzten Mitwirkung von Apple oder Google abhängen.

1. Ein Transport, der von gewöhnlichem Datenverkehr nicht zu unterscheiden ist. Wenn DPI-Hardware — ob in China gefertigte Geedge-Tiangou-Gateways oder Russlands TSPU-Kästen — Ihr Protokoll am Fingerabdruck erkennen kann, kann sie es auch sperren. Standard-VPN-Protokolle werden inzwischen routinemäßig erkannt: OpenVPN, WireGuard und IKEv2 sind in Russland allesamt gesperrt. Nur Protokolle, die wie normaler Web-Verkehr aussehen — VLESS+Reality, AmneziaWG 2.0, WebRTC —, überleben.

1. Kein zentraler Betreiber, den man zwingen kann. Wenn es ein Unternehmen gibt, das die Server betreibt, kann diesem Unternehmen aufgegeben werden, zu protokollieren, zu sperren, Daten herauszugeben oder abzuschalten. Das Netz muss von seinen Teilnehmern betrieben werden — nicht von einem Anbieter, dem die Teilnehmer vertrauen.

1. Keine Identität, die widerrufen werden kann. Wenn die Nutzung des Netzes ein Konto oder ein Abonnement voraussetzt, ist diese Identität ein Griff, an dem sich ansetzen lässt: Sie kann gesperrt, gerichtlich herausverlangt oder genutzt werden, um den Dienst zu verweigern.

URnetwork gegen den Erlaubnisstapel

URnetwork wurde gebaut, um jedes Erlaubnistor in diesem Stapel zu entfernen.

Verbreitung ohne Torwächter. Der Client ist vollständig quelloffen. Er ist bei F-Droid gelistet (Version 2026.1.7), und die Builds werden von den F-Droid-Betreuern unabhängig aus dem Quellcode reproduziert und Bit für Bit gegen die veröffentlichten Artefakte von URnetwork verifiziert. Über Obtainium ist er direkt aus den GitHub-Releases zu beziehen und über die großen App-Stores als Bequemlichkeit, nicht als Abhängigkeit. Wenn Microsoft ein Entwicklerkonto aussperrt, endet die Verbreitung von URnetwork nicht. Wenn Indien ein VPN aus dem App Store entfernt, bleibt das APK herunterladbar. Wenn eine Regierung eine Hintertür verlangt, gibt es kein Binärprogramm, in das sich eine Hintertür einbauen ließe, ohne dass jemand anderes es bereits verifiziert hätte.

Ein Transport, der von gewöhnlichem Datenverkehr nicht zu unterscheiden ist. Das Protokoll bringt drei Transportwege mit — QUIC/TLS, TCP/TLS und WebRTC/dTLS —, die alle von gewöhnlichen Webbrowsern gesprochen werden. Die Transportschicht (URTRANSPORT1) wählt automatisch zwischen ihnen aus und wechselt je nach Verfügbarkeit und Leistung. Die Zugangsschicht unterstützt N-TLS-Verschlüsselung (N>=2) mit SNI-Spoofing — verschachtelte TLS-Schichten, bei denen jede äußere Verschlüsselung ein selbstsigniertes Zertifikat für einen beliebigen Hostnamen zu einer zwischengeschalteten IP verwendet, sodass die Verbindungen wie gewöhnlicher HTTPS-Verkehr aussehen. Eine Regierung oder ein Internetanbieter, die sie am Fingerabdruck erkennen und sperren wollten, müssten das offene Web sperren.

Kein zentraler Betreiber, den man zwingen kann. Jeder Hop ist ein echtes Endgerät — ein Telefon, ein Laptop, ein URnode für 145 US-Dollar (2 GB DDR-RAM, zwei Gigabit-Ethernet-Anschlüsse, 2x2-MIMO-WLAN). Anbieter verdienen über eine Leistungsauktion, die den Verkehr über die schnellsten und zuverlässigsten Pfade führt. Der Multi-Client-Manager hält ein Fenster von 2–6 Anbietern gleichzeitig offen, mit Blackhole-Erkennung (5 Sekunden Timeout für Clients, die Verkehr quittieren, ihn aber nicht zurückgeben), Ping-Gesundheitsprüfungen (30 Sekunden Timeout) und fortlaufender Anpassung der Fenstergröße. Fällt ein Pfad aus, wird der nächstbeste bereits getestet. Es gibt keine zentrale Serverliste. Es gibt keinen Betreiber, dem sich eine Technical Capability Notice — eine behördliche Anordnung zur technischen Mitwirkung — zustellen ließe.

Keine Identität, die widerrufen werden kann. Die kostenlose Stufe bietet 50 GiB pro Monat, ohne Abonnementprofil, ohne Kontobuch, das sich gerichtlich anfordern ließe, und ohne Identität, deren Alter zu verifizieren wäre. Anbieter erhalten wöchentliche Auszahlungen in USDC. Wenn Myanmars Militär Ihr Telefon kontrolliert und URnetwork findet, sieht es aus wie eine normale App, die normale Webverbindungen aufbaut. In der Statusleiste erscheint kein VPN-Symbol.

Der ehrliche Vorbehalt

Erlaubnisfrei heißt nicht unverwundbar. Wenn die ICE Graphite auf Ihrem Telefon einsetzt, liest sie Ihre Nachrichten, unabhängig davon, welche App sie gesendet hat. Wenn der Iran GPS-Störsender in Militärqualität einsetzt — was er im Januar 2026 tat und damit die Leistung von Starlink um 80 % senkte —, kann kein Overlay-Netz Konnektivität aus dem Nichts erzeugen. Bei vollständigen Abschaltungen auf Infrastrukturebene versagen alle softwarebasierten Umgehungswerkzeuge: VPNs, Tor, Psiphon, Shadowsocks, alles.

Doch die meiste Zensur in der Wirklichkeit ist keine vollständige Abschaltung der Infrastruktur. Sie ist ein Entwicklerkonto, das wegen einer Formalvorschrift gesperrt wird. Sie ist ein App-Eintrag, der auf Verlangen einer Aufsichtsbehörde verschwindet. Sie ist ein Protokoll, das von DPI-Hardware gedrosselt wird. Sie ist ein Beamter, der eine Anordnung zur Hintertür neu schreibt, nachdem die erste aufgehoben wurde. Sie ist ein Soldat am Kontrollpunkt, der 1.380 US-Dollar von einer Studentin verlangt, auf deren Telefon ein VPN-Symbol zu sehen ist.

Das sind Erlaubnisprobleme. Und darauf gibt es eine erlaubnisfreie Antwort.

Was Sie tun können

Jeder Mensch außerhalb einer eingeschränkten Zone, der URnetwork öffnet und den Anbietermodus einschaltet, fügt einem Netz Kapazität aus einem Wohnanschluss hinzu, die jemand innerhalb einer eingeschränkten Zone morgen brauchen könnte. Jeder ausgelieferte URnode ist ein Endpunkt für den ganzen Haushalt, der gegen ein Netz läuft, das kein Torwächter kontrolliert. Jeder Entwickler, der das Protokoll liest und den Build verifiziert, ist ein Mensch mehr, der bestätigen kann, dass das Binärprogramm zum Quellcode passt.

Die Mathematik der Verschlüsselung funktioniert. Sie hat immer funktioniert. Das Problem war nie die Mathematik. Das Problem ist, dass irgendwer, irgendwo, Ihnen die Erlaubnis geben muss, sie zu benutzen — und diese Woche hat erneut bewiesen, dass diese Erlaubnis auf jeder Schicht des Stapels widerrufen werden kann, von jeder Instanz mit Hebelwirkung, aus jedem Grund oder ganz ohne Grund.

Die Lösung ist eine Infrastruktur, die keine Erlaubnis braucht. Diese Infrastruktur existiert. Sie können sie betreiben.

---

Quellen (43 Belege)

Quellen

Sperrungen von Microsoft-Entwicklerkonten (8.–9. April 2026)

• WireGuard VPN developer can't ship updates after Microsoft locks account (TechCrunch)
• Microsoft dev account deactivations hit WireGuard, VeraCrypt, Windscribe (The Register)
• Microsoft suspends VeraCrypt, WireGuard accounts (Cybernews)
• VeraCrypt GitHub Issue #1655 — Certificate Expiration

ICE-Spyware / Paragon Graphite

• ICE acknowledges it is using powerful spyware (NPR, Apr 7)
• ICE says it bought Paragon's spyware (TechCrunch, Apr 2)
• Citizen Lab: First forensic confirmation of Paragon's iOS spyware

Chat Control in der EU

• EU Parliament blocks mass-scanning of our chats (EFF)
• Chat Control voluntary scanning expires April 3 (State of Surveillance)
• EU Parliament rejects Chat Control (Computer Weekly)

Forderungen nach Hintertüren in der Verschlüsselung

• UK Home Office issues new backdoor order against Apple (Computer Weekly)
• Signal would rather leave UK and Sweden (State of Surveillance)
• Swedish Armed Forces adopt Signal (CyberInsider)
• Global Encryption Coalition joint letter — 237 organizations
• Danish Justice Minister hypocrisy (Reclaim the Net)

Russland

• Russia blocks WhatsApp (CNBC, Feb 12)
• VPNs become a way of life (Moscow Times, Apr 3)

Indien / Kaschmir

• VPN ban in Kishtwar (Kashmir Media Service, Apr 8)
• India's VPN ban in Kashmir (Al Jazeera)

Myanmar

• Myanmar junta launches street phone checks (The Irrawaddy)
• Great Firewall in a Box (TechRadar)
• Geedge Networks investigation (Justice For Myanmar)
• "It's like living inside a slaughterhouse" (Medium)
• Myanmar Freedom on the Net 2025 (Freedom House)

Salt Typhoon

• Salt Typhoon hacks 200+ telecoms (TechCrunch)
• FBI: Salt Typhoon threat still ongoing (CyberScoop)
• FBI/CISA warn Russian hackers targeting Signal (Malwarebytes)

Der Überwachungsapparat des DHS

• DHS face-scanning app — 1.2 billion images (Bloomberg)
• DHS deployed facial recognition without privacy assessments (WinBuzzer)
• DHS intensifies surveillance in immigration raids (PBS)
• ICE surveillance shopping spree (EFF)

Anthropic–Pentagon

• Anthropic loses appeals court bid (CNBC, Apr 8)
• Judge calls designation "Orwellian" (CNBC, Mar 26)
• EFF: Weasel Words (EFF)
• ChatGPT uninstalls surged 295% (TechCrunch)

Signals Post-Quantum-Ratchet

• Signal deploys SPQR (Signal Blog)
• Schneier on Security (Oct 2025)
• Cryspen formal verification

Umgehungswerkzeuge

• Tails 7.6 automatic Tor bridges (Tor Project Blog)
• AmneziaWG 2.0 bypasses advanced censorship (gHacks)

URnetwork

• URnetwork — Home
• URnetwork — Protocol
• URnetwork — Get the App (F-Droid, APK, app stores)
• URnetwork — URnode ($145)
• URnetwork — Earn
• URnetwork — F-Droid Listing
• URnetwork — GitHub (reproducible builds)