Kansas führte seit 2019 eine Liste. Im Februar hat es sie benutzt. Jeder Datensatz hat ein zweites Leben, dem Sie nie zugestimmt haben.

Die Liste, von der niemand wusste

Als 2019 das von Lambda Legal erwirkte Vergleichsurteil in Foster v. Andersen Kansas zwang, trans Einwohnerinnen und Einwohnern die Korrektur des Geschlechtseintrags auf ihren Geburtsurkunden zu erlauben, kam der Bundesstaat dem nach. Hunderte Menschen ließen ihre Dokumente ändern. Tausende weitere ließen ihre Führerscheine bei der Division of Vehicles ändern.

Was keine dieser Personen wusste: Das Kansas Office of Vital Statistics begann still damit, jede solche Änderung intern mit einer Kennzeichnung zu versehen, die sich von routinemäßigen Schreibfehlerkorrekturen unterschied, und die Division of Vehicles legte einen parallelen internen Marker namens "gender reclassification" — Neuklassifizierung des Geschlechts — an. Weder das eine noch das andere wurde öffentlich gemacht. Weder das eine noch das andere hatte einen erklärten Zweck, der über die Verwaltungsdokumentation hinausging. Sieben Jahre lang lag die Liste einfach da.

Am 28. Januar 2026 verabschiedete die Legislative von Kansas SB 244 im Wege einer von Sen. Mike Thompson eingebrachten "gut-and-go"-Ersetzung — dem vollständigen Austausch des Textes einer bereits laufenden Vorlage. Das Gesetz definierte "gender" neu als das bei der Geburt zugewiesene Geschlecht, wies den Bundesstaat an, Führerscheine für ungültig zu erklären und neu auszustellen, wies das Office of Vital Statistics an, Geburtsurkunden für ungültig zu erklären, verbot die Nutzung von Toiletten, die nicht dem Geburtsgeschlecht entsprechen, und schuf — das ist das operative Merkmal — ein privates Klagerecht über 1.000 $, das jede Bürgerin und jeder Bürger gegen jede Person geltend machen konnte, die im Verdacht stand, dagegen zu verstoßen. Gouverneurin Laura Kelly legte am 13. Februar ihr Veto ein. Die Legislative überstimmte sie am 17./18. Februar mit 87 zu 37 Stimmen im Repräsentantenhaus. Das Gesetz trat am 26. Februar in Kraft.

Innerhalb weniger Tage erhielten rund 1.700 trans Kansanerinnen und Kansaner Briefe, in denen ihnen mitgeteilt wurde, dass ihre Führerscheine ungültig geworden seien. Der Mechanismus war überhaupt nur praktikabel, weil der Bundesstaat die Liste bereits hatte. Das Register — Jahre zuvor zu einem gänzlich anderen Verwaltungszweck angelegt — war die Zielerfassungsinfrastruktur.

Die Geschichte kam nicht in der New York Times heraus, sondern am 2. und 5. April bei Prism Reports und ScheerPost, in Recherchen der unabhängigen Journalistin Aleksandra Vaca im Transitics-Substack. Vacas Satz ist die These dieses Artikels: „Das Entscheidende an Überwachung ist, dass sie so lange stattfindet, wie die Leute sie nicht bemerken. Erst als Kansas Ausweise entzog, fragten die Leute, wie das ging.“

Omar Gonzalez-Pagan, Senior Counsel bei Lambda Legal, nannte SB 244 ein „Kopfgeldjäger-Regime“. Die ACLU reichte Doe v. Kansas beim District Court des Douglas County ein; ein Antrag auf eine temporary restraining order — eine sofortige Unterlassungsanordnung — wurde am 10. März abgelehnt. Eine Beweisaufnahme zur einstweiligen Verfügung ist für den 29. September 2026 angesetzt. Bis dahin müssen diese 1.700 Menschen weiterleben.

Und Kansas steht nicht allein. Interne Dokumente, die Lauren McGaughy von Texas Public Radio erhalten hat, zeigen, dass das Texas Department of Public Safety zwischen August 2024 und August 2025 Namen und Führerscheinnummern von 110 trans Texanerinnen und Texanern erfasst hat — Sachbearbeitende an den Schaltern scannten Ausweise und leiteten sie an ein eigens eingerichtetes internes E-Mail-Konto weiter. Das DPS weigerte sich, das zu erklären. Tennessees HB 0754/SB 0676 passierte im März das Repräsentantenhaus des Bundesstaates; das Gesetz verpflichtet Genderkliniken, dem Gesundheitsministerium des Bundesstaates binnen 15 Tagen von jeder Patientin und jedem Patienten Alter, County, bei der Geburt zugewiesenes Geschlecht, Diagnose, Medikamente, Eingriffe, behandelnde Person und Daten zur psychischen Gesundheit zu melden — wobei das Ministerium verpflichtet ist, die Daten ab dem 31. Dezember 2026 jährlich zu veröffentlichen. In Indiana ist Generalstaatsanwalt Todd Rokita sieben anhängigen Verfahren über gerichtlich angeordnete Geschlechtsänderungen beigetreten und bezeichnet die geänderten Urkunden als „gefälschte Urkunden“. Neun Bundesstaaten verbieten Änderungen des Geschlechtseintrags im Führerschein inzwischen vollständig.

Das Muster ist nicht, dass Bundesstaaten plötzlich Listen anlegen. Das Muster ist, dass ständig Listen entstehen, als routinemäßiges Nebenprodukt von Verwaltung. Der politische Moment entscheidet, wofür sie benutzt werden.

Das Datenleck, über das niemand spricht

Am 21. Oktober 2024 spazierte die Ransomware-Gruppe SafePay in das Netzwerk von Conduent Business Solutions, einem Govtech-Auftragnehmer, dessen Sparte "Government Solutions" im Auftrag von 46 US-Bundesstaaten die Medicaid-Anspruchsprüfung, die Bearbeitung von SNAP-Leistungen, Systeme für Kindesunterhalt, die Arbeitslosenversicherung und Callcenter des öffentlichen Gesundheitswesens betreibt. Conduent wickelt pro Jahr rund 85 Milliarden $ an staatlichen Auszahlungen und 500 Millionen Medicaid-Abrechnungen ab. Der Eindringling saß 84 Tage lang im Netzwerk — das 3,5-Fache der Median-Verweildauer der Branche von 2024 —, bevor Conduent den Einbruch am 13. Januar 2025 entdeckte.

Conduent begann neun Monate später, im Oktober 2025, damit, die Betroffenen zu benachrichtigen. Die Zahl begann bei 4 Millionen. Sie stieg auf 10 Millionen. Dann, über eine Kaskade von HIPAA-Meldungen Bundesstaat für Bundesstaat, auf 25 Millionen und weiter steigend — Texas: 15,4 Millionen. Oregon: 10,5 Millionen. Washington: 76.000. South Carolina: 48.000. New Hampshire: 10.000. Maine: 378. Meldungen aus Massachusetts und Kalifornien stehen aus. Die endgültige Zahl wird weiter steigen.

Die gestohlenen Daten sind katastrophal: Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, medizinische Angaben und Behandlungsinformationen, Abrechnungsdaten von Krankenversicherungen und Bankdaten. Das exfiltrierte Volumen betrug rund 8 Terabyte.

Am 12. Februar 2026 stellte Texas' Generalstaatsanwalt Ken Paxton Civil Investigative Demands — förmliche Auskunftsverlangen — an Blue Cross Blue Shield of Texas und Conduent zu. Seine Erklärung: „Das Conduent-Datenleck war wahrscheinlich die größte Datenschutzverletzung in der Geschichte der USA. Wenn irgendein Versicherungsriese geschlampt hat oder über Informationen verfügt, die uns helfen könnten, solche Vorfälle künftig zu verhindern, werde ich daran arbeiten, das aufzudecken.“ Ob Paxton recht behält, hängt davon ab, wie hoch die Zahl am Ende ausfällt. Als Anwärter auf die schlimmste jemals erfasste Offenlegung von Gesundheitsdaten liegt Conduent noch deutlich hinter dem Change-Healthcare-Datenleck von 2024 (192 Millionen) — aber die endgültige Conduent-Zahl steigt weiter.

Die Bevölkerung in diesem Datensatz ist kein zufälliger Querschnitt des Landes. Sie besteht ganz überwiegend aus einkommensschwachen, behinderten, alten und eingewanderten Familien — genau den Menschen, die überhaupt erst bei Medicaid und SNAP eingeschrieben sind. Es sind die Amerikanerinnen und Amerikaner, die sich Bonitätsüberwachung, Anwältinnen für Identitätsdiebstahl oder private Bankalternativen am wenigsten leisten können. Die wahren Kosten des Datenlecks werden sich an ihren Lebensspannen bemessen.

Das Verfahren ist als In re: Conduent Data Security Litigation vor dem U.S. District Court für den District of New Jersey unter Richter Michael A. Hammer verbunden, mit einem Plaintiffs' Steering Committee aus 8 Anwältinnen und Anwälten, darunter DiCello-Levitt-Partner Corban Rhodes. Fünfunddreißig Klagen, Tendenz steigend.

Und Conduent ist nicht das einzige Dienstleisterversagen. Am 26. März 2026 teilte NYC Health + Hospitals mit, dass das Netzwerk elf Wochen lang, vom 25. November 2025 bis zum 11. Februar 2026, kompromittiert war. NYC H+H ist das größte öffentliche Auffangnetz-Gesundheitssystem des Landes — 11 Akutkrankenhäuser, 45.000 Beschäftigte, jährlich über 1 Million Patientinnen und Patienten, davon 84 % über Medicaid oder Medicare, mehr als 190 bediente Sprachen. Der Einstiegsvektor war laut offizieller Mitteilung ein externer Dienstleister, dessen Identität nicht öffentlich gemacht wurde. Zu den offengelegten Daten gehörten Namen, Sozialversicherungsnummern, Krankenakten, Führerscheinnummern, Versicherungsdaten, Zahlungsinformationen — und biometrische Daten: Fingerabdrücke und Handflächenabdrücke.

Fingerabdrücke und Handflächenabdrücke lassen sich nicht ändern. Ein lebenslanges Berechtigungsmerkmal ist jetzt eine lebenslange Haftung.

Die Medicaid-Pipeline

Im Juli 2025 unterzeichneten die Centers for Medicare and Medicaid Services ein Information Exchange Agreement — eine Vereinbarung über Datenaustausch — mit ICE. Auf ihrer Grundlage erhielt ICE Zugriff auf Namen, Adressen, Geburtsdaten, Ethnie und Sozialversicherungsnummern von rund 79 Millionen Medicaid-Versicherten. Ein Bundesgericht stoppte die Übermittlung im August 2025 für 20 klagende Bundesstaaten; eine spätere Entscheidung erlaubte die Wiederaufnahme des „grundlegenden“ Medicaid-Datenaustauschs.

Was niemand öffentlich einräumte, bis der Fall M-J-M-A v. Wamsley kam, war, was mit den Daten danach geschah.

Im Dezember 2025 wurde in einer Beweisaufnahme in jener bundesgerichtlichen Sammelklage gegen ICE-Razzien in Woodburn, Oregon, ein Beamter der ICE Fugitive Operations Unit unter Eid vernommen. Aufgefordert, das Palantir-Werkzeug zu beschreiben, mit dem er seine Ziele auswählte, sagte er aus, es erzeuge eine Karte voller Stecknadeln — jede Nadel ein potenzielles Ziel — mit einem Konfidenzwert von maximal 100, der vorhersagt, wie wahrscheinlich es ist, dass die Person dort wohnt. Der Beamte erläuterte den Arbeitsablauf:

"It's kind of like Google Maps. You're going to go to a more dense population rather than, like, if there's one pin at a house and the likelihood of them actually living there is like 10 percent, you're not going to go there."

Auf Deutsch: „Das ist so ähnlich wie Google Maps. Man fährt eher dorthin, wo die Bevölkerung dichter ist, als, na ja, wenn da eine einzelne Nadel an einem Haus ist und die Wahrscheinlichkeit, dass die Person tatsächlich dort wohnt, bei etwa 10 Prozent liegt — dann fährt man da nicht hin.“

Das Werkzeug heißt ELITE — Enhanced Leads Identification & Targeting for Enforcement. Es saugt Medicaid-Anmeldedaten des HHS, Steuerdaten der IRS, Daten der SSA, Kfz-Zulassungsdaten, Einwanderungsakten von DHS/USCIS, kommerzielle Daten von LexisNexis und Thomson Reuters, Versorgerdaten und Hinweise aus der ICE-Telefonhotline ein. ICE-Beamte können eine einzelne Nadel antippen oder eine Fläche um ein Gebiet ziehen und damit jede Person darin für Vollzugsmaßnahmen auswählen. Der Beamte in der Vernehmung in Oregon sagte, er stehe unter der Vorgabe von acht Festnahmen pro Team und Tag. Ein Richter stufte die Razzien in Woodburn später als "violent and brutal" — gewalttätig und brutal — und verfassungswidrig ein, doch die Entscheidung legte das Werkzeug nicht still.

Die Electronic Frontier Foundation fasste es in ihrem Bericht vom 15. Januar 2026 klar zusammen: „ICE nutzt ein Palantir-Werkzeug, das Medicaid- und andere Behördendaten verwendet, um Menschen für die Festnahme nachzustellen.“

Palantirs Verträge zeigen die Größenordnung. Im April 2025 unterzeichnete ICE einen Vertrag über 30 Mio. $ für ImmigrationOS, wobei die damit verbundenen Ausgaben für Investigative Case Management auf 145 Mio. $ anschwollen. ELITE selbst läuft über eine gesonderte Position von rund 29,9 Mio. $. Im Februar 2026 unterzeichnete das DHS eine fünfjährige Rahmenvereinbarung über 1 Milliarde $, die jeder DHS-Komponente — CBP, ICE, FEMA, CISA, TSA, Secret Service, Küstenwache — vereinfachten Zugang zu Gotham und Foundry ohne gesonderte Beschaffung verschafft. Palantirs Bundesaufträge insgesamt haben sich 2025 gegenüber dem Vorjahr auf 970,5 Mio. $ nahezu verdoppelt. Die Aktie steht 130 % im Plus und wird mit rund dem 80-Fachen des Umsatzes gehandelt. Der Bund ist Palantirs wichtigster Wachstumsmotor, und er kauft, was er verfassungsrechtlich nicht beschlagnahmen dürfte.

Die Teile, für die Sie sich nie angemeldet haben

Wer einmal anfängt, nach dem Muster zu suchen, findet es überall.

Die Schulkamera ist ein Abschiebewerkzeug. Eine Recherche von The 74 ergab, dass in einem einzigen Monat (Dezember 2025 bis Anfang Januar 2026) über 3.100 Polizeibehörden mehr als 733.000 Abfragen von Kameradaten aus Schulbezirken über das landesweite Netz von Flock Safety durchführten. Davon waren 620 Abfragen einwanderungsbezogen, durchgeführt von 30 Behörden in Florida, Georgia, Indiana und Tennessee. Abfragen zu ausländerrechtlichen Verwaltungsverfahren übertrafen strafrechtliche Einwanderungsabfragen im Verhältnis zwei zu eins. Eltern haben Flock-Kameras als Infrastruktur für "lockdown safety" — Sicherheit bei Amoklagen — abgesegnet. Gekauft haben sie eine ICE-Pipeline auf Rechnung des Schulbezirks. Am 26. Februar 2026 reichten Autofahrerinnen und Autofahrer in Kalifornien eine Sammelklage ein, wonach Flocks Funktion "national lookup" — landesweite Abfrage — Behörden aus anderen Bundesstaaten 1,6 Millionen Mal Zugriff auf die Kameradatenbank des SFPD gab. Eine Prüfung ergab 364.000 unbefugte Abfragen gegen Kameras in Ventura County, die eigentlich auf Kalifornien beschränkt sein sollten. Mountain View, Ithaca, Syracuse, Berkeley, Santa Cruz, Lynnwood, Flagstaff, Bend, South Pasadena, Oxnard, Denver, Dunwoody und mehr als zwanzig weitere Städte haben ihre Flock-Verträge inzwischen ausgesetzt oder gekündigt. Doch das schützt nur die Städte, die handeln.

Der Schülerhinweis ist ein Doxxing-Honeypot. Am 18. März 2026 veröffentlichte ein Hacker unter dem Alias „Internet Yiff Machine“ 93 Gigabyte mit 8,3 Millionen Datensätzen von P3 Global Intel, der als "anonymous tipline" — anonyme Hinweisstelle — vermarkteten Navigate360-Plattform, die von mehr als 30.000 K-12-Schulen genutzt wird, darunter Miami-Dade, Philadelphia, Portland und die Denver Public Schools. Die Daten reichten von Februar 1987 bis November 2025. Sie umfassten Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Wohnadressen, Sozialversicherungsnummern, Kfz-Kennzeichen, Vorstrafenregister und Chatprotokolle zwischen Hinweisgebenden und Behörden — und zwar sowohl der Hinweisgebenden als auch der Personen, über die sie berichteten. Viele Hinweise betrafen Schülerinnen und Schüler in Krisen: Selbstverletzung, Suiziddrohungen, Mobbing, mögliche Gewalt. Der Hacker hinterließ eine Nachricht: "Don't do the dirty work for the pigs." — Macht nicht die Drecksarbeit für die Bullen. Das Marketing sagte "anonymous" — anonym. Die Technik sagte etwas anderes. Getauft wurde der Vorfall „BlueLeaks 2.0“, nach dem Polizeidaten-Leak von 2020.

Der KI-Schreibassistent erfindet seine eigene Einwilligung. In einer am 26. November 2025 beim California Superior Court für San Diego County eingereichten Klage (Saucedo v. Sharp HealthCare) macht der Kläger Jose Saucedo geltend, Sharps von Abridge betriebener KI-Umgebungsschreiber habe bei einer Routineuntersuchung in einer Sharp-Rees-Stealy-Klinik im Juli 2025 seinen gesamten Termin aufgezeichnet, ohne ihn zu informieren oder um Einwilligung zu bitten. Als Saucedo später die Notizen in seinem Patientenportal durchsah, enthielten sie einen standardisierten, KI-erzeugten Satz, wonach er über die Aufzeichnung "advised" — informiert — worden sei und ihr "consented" — zugestimmt — habe. Hatte er nicht. Die KI versäumte es nicht bloß, eine Einwilligung einzuholen; sie scheint den Papierweg fabriziert zu haben, der eine eingeholte Einwilligung belegen sollte. Die Klage umfasst eine beantragte Sammelklägergruppe von mehr als 100.000 Patientinnen und Patienten in Kalifornien. Abridge ist in über 150 Gesundheitssystemen im Einsatz, darunter Kaiser Permanentes 24.000 Ärztinnen und Ärzte in 40 Krankenhäusern, die größte Einführung generativer KI in der Geschichte des Gesundheitswesens, dazu Mayo Clinic, Johns Hopkins, UPMC, Yale New Haven, Memorial Sloan Kettering, Duke. Abridge schloss im Juni 2025 eine Series E über 300 Mio. $ bei einer Bewertung von 5,3 Milliarden $ ab.

Der Gesichtserkennungstreffer ist ein Haftbefehl. Am 14. Juli 2025 wurde Angela Lipps, eine 50-jährige Großmutter aus Carter County, Tennessee — die CNN sagte, sie sei „noch nie in einem Flugzeug gewesen, geschweige denn in North Dakota“ —, zu Hause aufgrund eines Fahndungsersuchens aus North Dakota festgenommen. Die Polizei von West Fargo hatte Clearview AI eingesetzt, um das Foto auf einem gefälschten Militärausweis zuzuordnen, der bei einem Bankbetrug in Fargo verwendet worden war, und Clearview hatte einen wahrscheinlichen Treffer für Lipps zurückgeliefert. Die Ermittler „nahmen fälschlich an“, das Foto auf dem gefälschten Ausweis sei eine Überwachungsaufnahme der tatsächlich verdächtigen Person. Niemand überprüfte das. Niemand befragte sie. Sie verbrachte 108 Tage in einer Zelle in Tennessee, wurde am 30. Oktober nach North Dakota ausgeliefert, wurde am 19. Dezember zum ersten Mal überhaupt von einem Ermittler in Fargo befragt, und am 23. Dezember wurden alle Anklagepunkte fallen gelassen, nachdem ihr Anwalt Jay Greenwood Bank- und Sozialversicherungsunterlagen vorgelegt hatte, die belegten, dass sie 1.200 Meilen entfernt Zigaretten kaufte und Schecks einzahlte, als die Abhebungen in Fargo stattfanden. Sie wurde an Heiligabend entlassen, ohne Geld, ohne Mantel und ohne Möglichkeit, nach Hause zu kommen. Sie verlor ihr Haus. Sie verlor ihr Auto. Sie verlor ihren Hund. Fargo hatte bis zum 25. März 2026 keine förmliche Richtlinie zur Gesichtserkennung — wenige Tage, bevor CNNs Bericht erschien. Clearview gibt inzwischen mehr als 50 Milliarden zusammengetragene Gesichtsbilder an. Eine NIST-Studie von 2019 ergab, dass Algorithmen Schwarze oder ostasiatische Gesichter 10- bis 100-mal häufiger falsch zuordnen; von acht öffentlich dokumentierten Falschfestnahmen durch Gesichtserkennung sind sieben von acht Betroffenen Schwarz. Lipps war die achte.

Der Flughafentransit ist jetzt eine Zone der Passwortentnahme. Am 23. März 2026 veröffentlichte Hongkong im Amtsblatt eine Novelle der Durchführungsbestimmungen zu Artikel 43 des Gesetzes über die nationale Sicherheit. Wer sich in einer Ermittlung zur nationalen Sicherheit weigert, ein Passwort herauszugeben oder bei der Entschlüsselung zu helfen, dem drohen nun bis zu einem Jahr Haft und 100.000 HK$ Geldstrafe. Für Falschangaben: bis zu drei Jahre und 500.000 HK$. Die Regel gilt für alle — Einwohnerinnen und Einwohner, Reisende und Passagiere im Flughafentransit. Der Hong Kong International Airport fertigte 2025 61 Millionen Passagiere ab, und sein Umsteigeverkehr sprang gegenüber dem Vorjahr um 50,2 %. Das US-Generalkonsulat Hongkong gab eine förmliche Sicherheitswarnung an amerikanische Staatsbürgerinnen und Staatsbürger heraus. Deloitte und KPMG weisen Führungskräfte, die über HKG fliegen, inzwischen an, Wegwerftelefone mitzuführen. Jimmy Lai, der 77-jährige Gründer von Apple Daily und britischer Staatsbürger, wurde am 9. Februar 2026 zu 20 Jahren verurteilt; sechs Redakteure von Apple Daily erhielten Strafen von zusammen mehr als 50 Jahren. Am 26. Februar wurde der 69-jährige Vater der in den USA lebenden Aktivistin Anna Kwok zu 8 Monaten Haft verurteilt, weil er versucht hatte, die Kinderversicherungspolice seiner Tochter zu kündigen — die erste Strafverfolgung eines Familienmitglieds für die Handlungen einer im Ausland lebenden Aktivistin.

Der Fingerabdruck des Asylantrags ist ein Abschiebebefehl. Am 12. Juni 2026 — in 62 Tagen — verwandelt die EU-Verordnung 2024/1358 die EURODAC-Datenbank von einem 20 Jahre alten Werkzeug zum Fingerabdruckabgleich für das Dublin-Asylverfahren in eine umfassende Datenbank für "asylum and migration management" — Asyl- und Migrationsmanagement —, in der Gesichtsbilder, Identitätsdokumente, Staatsangehörigkeiten und Antragsdaten zentral gespeichert werden. Das Mindestalter für die Abnahme von Fingerabdrücken sinkt von 14 auf 6 Jahre. Die EU-Grundrechteagentur erklärte, mit der Möglichkeit konfrontiert, zur Abnahme der Abdrücke Gewalt gegen Kinder anzuwenden, in einer förmlichen Stellungnahme, es sei „schwer, sich eine Situation vorzustellen, in der die Anwendung körperlicher oder psychischer Gewalt zur Abnahme von Fingerabdrücken für Eurodac gerechtfertigt wäre“. UNICEF, IOM und UNHCR forderten die EU in einer gemeinsamen Erklärung auf, „alle Kinder, unabhängig von ihrem Alter, von jeder Form des Zwangs auszunehmen“. Die EU verabschiedete die Verordnung trotzdem. EURODAC wird über den Gemeinsamen Speicher für Identitätsdaten (Common Identity Repository) mit SIS, VIS, EES, ETIAS und ECRIS-TCN interoperabel sein — was bedeutet, dass ein Sechsjähriger, dem in einer Aufnahmeeinrichtung auf einer griechischen Insel Fingerabdrücke abgenommen werden, einen lebenslangen, EU-weiten Identitätsdatensatz erhält, der mit "irregular entry" — irregulärer Einreise — verknüpft und zur Durchsetzung von Rückführungen abfragbar ist. Ukrainische Personen, die derzeit vorübergehenden Schutz genießen, sind bis 2029 ausgenommen. Die übrigen Kinder der Welt nicht.

Die Verschlüsselung funktioniert. Der Cache leckt. Am 9. April 2026 sagte FBI Special Agent Clark Wiethorn in einem Bundesverfahren im Northern District of Texas aus (Beweisstück 158, Verhandlungstag 12), Sachverständige hätten Signal-Nachrichten aus einem beschlagnahmten iPhone über den Push-Benachrichtigungs-Cache von iOS extrahiert — konkret über die Artefakte DeliveredNotifications.plist und KnowledgeC.db, die iOS vorhält, damit das System Vorschauen auf dem Sperrbildschirm und im Mitteilungszentrum darstellen kann. Die Nachrichten waren gelöscht. Verschwindende Nachrichten waren aktiviert. Die Signal-App war deinstalliert. Der Vorschautext lag noch wochenlang im forensisch auffindbaren Cache von iOS. Signals Verschlüsselung wurde nie gebrochen. Das Leck war das Telefon. Die einzige verlässliche Gegenmaßnahme — Signals Einstellung "Notification Content: No Name or Content" (Benachrichtigungsinhalt: kein Name und kein Inhalt) — ist nicht standardmäßig aktiv, und kaum jemand schaltet sie ein.

Das Muster

Acht Geschichten. Dieselbe Architektur.

In jedem Fall wurde ein Datensatz, der zu einem erklärten Zweck erhoben wurde — Verwaltung von Geburtsurkunden, Medicaid-Anspruchsprüfung, Schulsicherheit, Authentifizierung im Krankenhaus, Hinweisgebermeldungen, Asylregistrierung, Zustellbenachrichtigungen, Führerscheinerteilung —, von einer Stelle, die Macht über ihn hatte, für etwas völlig anderes umgewidmet. Manchmal war die Umwidmung im bestehenden Rahmen legal (Kansas SB 244, Palantir ELITE nach den Gerichtsentscheidungen). Manchmal war sie eine echte Straftat (der SafePay-Angriff auf Conduent). Manchmal war sie ein Fehler (Flocks Schalter "national lookup"). Manchmal war sie genau so entworfen (die Ausweitung von EURODAC 2.0 auf die Rückführungsdurchsetzung). Welche Spielart es ist, spielt keine Rolle. Vom anderen Ende der Leitung sehen sie alle gleich aus.

Gemeinsam ist ihnen dies: Die Menschen, deren Daten erhoben wurden, können sie nicht zurückholen. Es gibt keinen Knopf in einem Datenschutz-Dashboard, der rückwirkend ein texanisches Trans-Register aufhebt, ICE aus einer Medicaid-Anmeldetabelle wirft oder eine Signal-Nachricht aus dem iOS-Cache entfernt. Die Entscheidung wurde für sie getroffen, massenhaft, standardmäßig, Jahre bevor die politischen Folgen eintrafen.

Und die Folgen treffen schnell ein. Conduent-Benachrichtigungen gehen noch immer raus. EURODAC geht in 62 Tagen in Betrieb. Das ACLU-Verfahren in Kansas ruht bis zum 29. September. Tennessees Veröffentlichung der Genderklinik-Daten beginnt am 31. Dezember. FISA Section 702 läuft in neun Tagen aus — und 98 Mitglieder des Congressional Progressive Caucus haben sich förmlich darauf festgelegt, jede Verlängerung ohne Richtervorbehalt abzulehnen, während der Government Surveillance Reform Act der Senatoren Wyden und Lee versucht, jene Datenhändler-Lücke zu schließen, die es ICE erlaubt zu kaufen, wofür Carpenter einen richterlichen Beschluss verlangen würde. Ob er durchkommt, weiß niemand.

Es gibt eine historische Parallele, bei der innezuhalten sich lohnt. 1943 bombardierte der niederländische Widerstand das Amsterdamer Einwohnermeldeamt, um die Kartei zu zerstören, mit der die nationalsozialistische Besatzung Jüdinnen und Juden aufspürte. Hans de Zwart schrieb Jahre später: "During World War II, we did have something to hide." — Im Zweiten Weltkrieg hatten wir sehr wohl etwas zu verbergen. Der Architekt dieser Kartei war kein Nationalsozialist. Es war ein niederländischer Beamter namens J.L. Lentz, der das System vor dem Krieg als Verwaltungsverbesserung aufgebaut hatte. Die IBM-Lochkarten, die die Daten sortierten, wurden von Dehomag hergestellt, IBMs deutscher Tochtergesellschaft, und liefen auf neutraler Volkszählungsinfrastruktur. Die Lehre ist nicht, dass Datenbanken Völkermord verursachen. Die Lehre ist, dass die Existenz einer Datenbank eine Entscheidung ist, getroffen von ihrem Erbauer, darüber, wessen Macht sie am Ende dienen wird. Wer die Datenbank in einem gegebenen Moment hält, entscheidet, was sie ist.

Was erlaubnisfreie Daten bedeuten müssen

Die technische Antwort lautet nicht „bessere Datenschutzrichtlinie“. Datenschutzrichtlinien haben dieses Muster hervorgebracht. Zweckbindung, Opt-in-Einwilligung, Selbstverpflichtungen zur Datenminimierung und Datenschutz-Folgenabschätzungen waren die Architektur, die jeden einzelnen dieser Datensätze überhaupt erst entstehen ließ. Und sie sind auch das, was die Umwidmung jedes einzelnen von ihnen erlaubt hat. Die Politik ist nicht gescheitert, weil sie zu schwach war, sondern weil sie die falsche Art von Verteidigung war. Sie ist ein Versprechen. Versprechen widerruft, wer die Schlüssel hält.

Die Verteidigung, die eine zweite Regierung überlebt, hat vier Eigenschaften:

1. Erheben Sie nichts, was Sie nicht vor künftiger Umwidmung schützen können. Wenn die Zweitnutzung eines Datensatzes für die darin erfassten Menschen katastrophal wäre, sollte der Datensatz nicht in einer Form existieren, die diese Zweitnutzung möglich macht. Ein Personenstandssystem in Kansas sollte kein Schemafeld haben, das „Geschlechtseintrag geändert, früherer Wert vorhanden“ kodiert. Ein System zur Medicaid-Anspruchsprüfung sollte keine Schnittstelle haben, die eine andere Behörde abfragen kann. Eine Schulkamera sollte nicht in ein nationales Strafverfolgungsnetz eingebunden werden. Die technische Entscheidung, diese Systeme in zentralisierter, abfragbarer, schemareicher Form zu bauen, wurde getroffen, ohne zu bedenken, wer am Ende die Schlüssel halten würde.

1. Wenn Sie es erheben müssen, zentralisieren Sie es nicht. Jedes Datenleck von Conduent-Ausmaß ist ein Argument dafür, Daten auf unabhängige Betreiber und Programme aufzuteilen. Es gibt keinen Grund, warum ein einziger privater Auftragnehmer Medicaid für 46 Bundesstaaten abwickeln sollte. Es gibt keinen Grund, warum ein einziges nationales Netz von Kennzeichenlesern existieren sollte. Der Marker der Kfz-Zulassungsbehörde von Kansas und der Marker des Kansas Office of Vital Statistics hätten nie im selben abfragbaren System liegen dürfen. Verteilte Speicherung erhöht die Kosten einer Abfrage nach dem Muster „Zieh eine Fläche um das Viertel“ dramatisch.

1. Kryptografische Garantien schlagen Richtliniengarantien. Die einzigen Schutzmechanismen, die einen Regierungswechsel überleben, sind die, die in Code durchgesetzt werden. Clientseitige Verschlüsselung mit Schlüsseln, die der Dienst nicht hat. Daten, die nicht nur aus einem Index gelöscht werden, sondern aus jedem Backup bei jedem Dienstleister. Von Teilnehmenden betriebene Infrastruktur, bei der der Betreiber die Daten physisch gar nicht besitzt, die er herausgeben müsste. Warrant Canaries und reproduzierbare Builds, die eine stille Kompromittierung erkennbar machen.

1. Der Betreiber muss strukturell außerstande sein, herauszugeben, was er nicht erhebt. Datenschutzrichtlinien bitten Betreiber darum, keine Daten zu verkaufen. Das richtige Ziel ist, dass Betreiber Daten gar nicht verkaufen können, weil die Daten bei ihnen erst gar nicht auflaufen. Das ist das Gestaltungsprinzip von Peer-betriebenen Netzen, Ende-zu-Ende-verschlüsselter Kommunikation ohne jede Metadatenspeicherung und Zero-Knowledge-Berechtigungssystemen. Es ist das Gegenteil des Gestaltungsprinzips von Conduent, Palantir ELITE, Flock Safety, Navigate360 P3 und den zentralisierten Biometriespeichern von NYC Health + Hospitals.

URnetwork gegen das Zentralisierungsmuster

URnetwork wurde nach Prinzip Nr. 4 entworfen. Es ist kein Messenger, keine Datenbank und kein Identitätsdienst — es ist das Netzsubstrat darunter. Aber weil es ein von Teilnehmenden betriebenes Overlay ist und kein von einem Anbieter betriebener Dienst, sammelt es keine Nutzerdaten an, die einer der oben beschriebenen Mechanismen später verwerten könnte.

Keine zentrale Nutzerdatenbank. Jeder Sprung auf dem Routingpfad von URnetwork ist ein echtes Endgerät, das einer echten Teilnehmerin oder einem echten Teilnehmer gehört, die das Netz gegen einen Anteil an seinen Einnahmen betreiben. Es gibt keine einzelne Stelle, die eine Nutzerliste, ein Verkehrsprotokoll oder ein Abonnentenprofil hält. Der Warrant Canary erklärt öffentlich, dass keine Schlüssel herausgegeben, keine Abhörtechnik installiert und keine Verschlüsselung geschwächt wurde. Wenn der Canary nicht mehr aktualisiert wird, werden die Nutzerinnen und Nutzer es merken.

Keine Abonnentenidentität. Die kostenlose Stufe bietet 50 GiB pro Monat, ohne Konto, ohne E-Mail-Adresse, ohne Identität. UR Pro kostet 5 $/Monat oder 40 $/Jahr, ohne KYC. Auszahlungen an Anbietende erfolgen in USDC auf Polygon oder Solana — die Zahlungswege selbst lassen sich nicht per Vorladung zu einer Abonnentenliste zwingen, weil es keine Abonnentenliste gibt.

Ein Transport, der vom Web nicht zu unterscheiden ist. Das Protokoll bringt drei Transporte mit — QUIC/TLS, TCP/TLS und WebRTC/dTLS —, die allesamt auch von gewöhnlichen Webbrowsern gesprochen werden. Eine Regierung oder ein Provider kann den Verkehr nicht per Fingerprinting erkennen, ohne das offene Web zu blockieren. Diese Eigenschaft hält URnetwork genau dort funktionsfähig, wo andere Infrastruktur versagt.

Verteiltes Routing und null serverseitige Sichtbarkeit. Das über Leistungsauktionen vermittelte Multi-Hop-Routing verteilt den Verkehr gleichzeitig über mehrere Anbietende. Das verschlüsselte Prüfprotokoll ist so gebaut, dass Anbietende ihre Schlüssel nach jedem Auszahlungszyklus wegwerfen — die Schlüssel sind nur aus einem SHA-256-Hash eines vom Gegenüber gelieferten TLS Client Random ableitbar, was eine massenhafte Extraktion rechnerisch undurchführbar macht. „Keine zentrale Einsicht in den Nutzerverkehr“ ist kein Marketingtext, sondern die technische Invariante, die der Betreiber sich selbst auferlegt hat.

Open Source, reproduzierbar gebaut. Der Client ist bei F-Droid gelistet, mit Builds, die von den F-Droid-Maintainern unabhängig aus dem Quelltext reproduziert und Bit für Bit gegen die veröffentlichten Artefakte geprüft werden. Eine Regierung, die URnetwork anwiese, eine Hintertür einzubauen, müsste den Quelltext so verändern, dass es jeder, der den Build prüft, bemerken könnte. Die Eigenschaft reproduzierbarer Builds macht die gesamte Community zum Stolperdraht.

Über 350.000 Menschen, über 100 Länder. Das Netz funktioniert, weil seine Teilnehmenden es betreiben. Das ist kein rhetorischer Punkt — es ist eine strukturelle Eigenschaft, die das Netz grundlegend von einem anbietergehosteten Dienst unterscheidet. BringYour (das Unternehmen hinter URnetwork) kann verklagt, vorgeladen oder sanktioniert werden, und das Netz routet weiter Verkehr, weil das Netz die Teilnehmenden sind und nicht das Unternehmen.

Der ehrliche Vorbehalt

Von Teilnehmenden betriebene Infrastruktur repariert nicht die Datensätze, die es bereits gibt. Sie löscht nicht rückwirkend 25 Millionen Conduent-Datensätze, streicht nicht 1.700 Menschen in Kansas aus einem Register und entfernt keine Medicaid-Daten aus Palantir ELITE. Diese Datensätze existieren und werden weiter existieren, bis ihre Löschung erzwungen wird — was für viele von ihnen niemals geschehen wird. Das Argument für erlaubnisfreie Infrastruktur ist nicht rückwirkend. Es ist vorausschauend. Es geht um die Datensätze, die gerade jetzt entworfen und ausgerollt werden.

Jedes Gesundheitssystem, das eine neue elektronische Patientenakte auswählt. Jede Stadt, die einen neuen Kameraanbieter auswählt. Jeder EU-Mitgliedstaat, der EURODAC 2.0 umsetzt. Jeder Bundesstaat, der ein neues System zur Anspruchsprüfung baut. Jeder Schulbezirk, der einen neuen Vertrag über eine Hinweisplattform unterschreibt. Jeder Anbieter von KI-Schreibassistenten, der eine neue Vorlage für „KI-erzeugte Einwilligungsformulierungen in der Patientenakte“ schreibt. Jede dieser Entscheidungen ist ein künftiges Kansas-Register, wenn nicht jemand jetzt anders entscheidet.

Die Menschen, die das gegenwärtige Muster schädigt, sind die Menschen, die ohnehin immer zuerst geschädigt werden: trans Menschen in Kansas, einkommensschwache Medicaid-Versicherte, Asylsuchende, Schwarze Großmütter, die eine zusammengetragene Gesichtsdatenbank mit Fremden verwechselt, palästinensische Hilfskräfte, deren Arbeitgeber angewiesen wurden, Personendaten ihrer Beschäftigten herauszugeben, Eltern ohne Papiere, deren Schulkameras ein ICE-Dashboard speisen, Journalistinnen und Journalisten aus Hongkong, die ein Telefon durch einen Flughafen tragen. Der Schaden entsteht immer stromabwärts von Entwurfsentscheidungen, bei denen sie nicht im Raum waren.

Was Sie tun können

Betreiben Sie einen URnetwork-Knoten. Laden Sie die App. Lesen Sie das Protokoll. Prüfen Sie den Build. Aktivieren Sie den Provider-Modus, damit jemand im Iran oder in Hongkong ein Wohnanschluss-Relay mehr in der Menge der Pfade hat, über die er routen kann. Kaufen Sie eine URnode, wenn Sie ein Gerät für den ganzen Haushalt wollen, das das Netz für Sie betreibt. Jede dieser Handlungen ist eine kleine Handlung gegen ein sehr großes Muster, und an kleinen Handlungen scheitern große Muster.

Doch die tiefere Bitte lautet: Wenn Sie ein System entwerfen, das die Daten anderer Menschen berührt, gehen Sie davon aus, dass Sie nicht die letzte Person sein werden, die die Schlüssel hält. Gehen Sie davon aus, dass die nächste Regierung die schlimmstmögliche Regierung sein wird. Gehen Sie davon aus, dass die nächste Geschäftsführung die schlimmstmögliche sein wird. Gehen Sie davon aus, dass das nächste Datenleck in der schlimmstmöglichen Woche passiert. Und dann entwerfen Sie dafür. Nicht für den Datensatz, den Sie bauen wollen. Für den Datensatz, den Sie zu erheben ablehnen, weil das zweite Leben schlimmer wäre als das erste.

Kansas führte seit 2019 eine Liste. Es war nur ein Verwaltungssystem. Bis es das nicht mehr war.

---

Quellen (70 Belege)

Referenzen

Kansas SB 244 und Trans-Register

• Kansas Senate Bill 244 — Überblick bei Wikipedia
• ACLU of Kansas — Understanding SB 244
• NBC News — Kansas revokes licenses of 1,700 transgender residents
• NPR — Kansas revokes transgender licenses
• Transitics / Aleksandra Vaca — Kansas secretly built a list
• Prism Reports — Red states are making lists of trans people
• ScheerPost — "Kansas Was Going To Be The First Domino That Fell"
• KUT — Texas DPS collecting data on transgender drivers
• Tennessee HB 0754 — Gender clinic data publication bill
• Indiana Capital Chronicle — AG Rokita intervenes in gender-change cases
• ACLU of Kansas — Fallseite zu Doe v. Kansas
• Lawrence Times — TRO denied March 10

Das Conduent-Datenleck

• HIPAA Journal — Texas AG investigates 25M+ Conduent breach
• Malwarebytes — The Conduent breach: from 10M to 25M and counting
• Texas AG — Pressemitteilung zu den Auskunftsverlangen an BCBS und Conduent
• TechCrunch — Conduent data breach grows to 25M
• State of Surveillance — Conduent 25M largest in US history

Das Datenleck bei NYC Health + Hospitals

• NYC Health + Hospitals — Notice of Data Breach (offiziell)
• HIPAA Journal — NYC H+H discloses 11-week network compromise
• Edelson Lechtzin — Untersuchung zur Sammelklage

Palantir ELITE

• EFF — ICE using Palantir tool that feeds on Medicaid data
• State of Surveillance — ELITE "kind of like Google Maps" deposition testimony
• Fortune — ICE alleged to use Palantir ELITE tracking Medicaid data
• 404 Media — ELITE: The Palantir app ICE uses to find neighborhoods to raid
• Racket — Palantir's freaky ELITE app
• SiliconANGLE — DHS awards Palantir up to $1B
• KFF — CMS-ICE Medicaid data sharing implications

Schulüberwachung, Flock Safety und Navigate360

• The 74 — ICE taps into school security cameras via Flock
• State of Surveillance — Flock Safety class action lawsuit
• Courthouse News — California drivers accuse Flock Safety
• Education Week — Navigate360 P3 breach
• The Breach — BlueLeaks 2.0 P3 Global Navigate360 breach
• DDoSecrets — BlueLeaks 2.0 archive
• NPR — Cities canceling Flock contracts

Klage gegen Sharp HealthCare wegen des KI-Schreibassistenten

• KPBS — Sharp HealthCare secretly recorded exam room conversations
• MobiHealthNews — Sharp HealthCare ambient AI lawsuit
• Medscape — Sharp HealthCare sued over AI scribe consent
• TechCrunch — Abridge $300M Series E at $5.3B
• Kaiser Permanente — 24,000-doctor Abridge rollout

Angela Lipps und Clearview

• CNN — Tennessee grandmother jailed 5 months after AI facial recognition
• Reason — Fargo refuses to apologize for jailing Tennessee grandma
• State of Surveillance — Grandmother jailed 108 days after facial recognition
• NIST — Study on demographic effects in face recognition

Hongkongs NSL-Passwortnovelle

• HK Government Gazette — 2026 Implementation Rules for Article 43
• US Consulate Hong Kong — Security alert 2026032601
• HKFP — New offence requiring suspects to hand over passwords
• Al Jazeera — Hong Kong grants police power to demand phone and computer passwords
• HKFP — 8 months jail for father of wanted activist Anna Kwok
• Human Rights Watch — Jimmy Lai sentenced to 20 years

EURODAC 2.0

• EUR-Lex — Verordnung (EU) 2024/1358, Volltext
• Europäisches Parlament — Recast Eurodac Regulation
• EDRi — Warnings against mass surveillance in Eurodac
• UNICEF/IOM — gemeinsame Erklärung zum Zwang gegen Kinder
• FRA Opinion on Eurodac

FBI, Signal und der Push-Benachrichtigungs-Cache

• 404 Media — FBI extracts deleted Signal messages from iPhone notification database
• 9to5Mac — FBI used iPhone notification data to retrieve deleted Signal messages
• Tech Times — Deleted doesn't mean gone

Das Auslaufen von FISA 702

• Congress.gov — S.4082 Government Surveillance Reform Act of 2026
• Wyden — Pressemitteilung zum Government Surveillance Reform Act
• Congressional Progressive Caucus — 98 Democrats oppose reauthorization
• EFF — Our privacy cannot afford a clean extension of Section 702

FBI-Durchsuchung bei Hannah Natanson

• CPJ — FBI searches Washington Post reporter Hannah Natanson's home
• CNN — Judge bars DOJ from searching Natanson devices
• RCFP — Judge rejects DOJ request to search reporter's devices
• Privacy Protection Updates Act — Wyden/Balint

Historische Parallele

• 1943 bombing of the Amsterdam civil registry office — Wikipedia
• IBM and the Holocaust — Wikipedia
• Hans de Zwart — "During World War II, we did have something to hide"

URnetwork

• URnetwork — Startseite
• URnetwork — Protokoll
• URnetwork — App-Download
• URnetwork — URnode (145 $ Vorbestellung)
• URnetwork — Über uns
• URnetwork — F-Droid-Eintrag (2026.1.7)
• URnetwork — GitHub-Build (reproduzierbar)