3. April: Der Tag, an dem das Geld stehen blieb
Um 9:14 Uhr Moskauer Zeit begann die mobile Anwendung der Sberbank am 3. April 2026, ihren 107 Millionen aktiven Nutzern Fehlercodes zurückzugeben. Innerhalb von neunzig Minuten folgten VTB, Alfa-Bank, T-Bank und Gazprombank. Geldautomaten in ganz Moskau zeigten Verbindungsfehler in kyrillischer Schrift an und gingen aus. Kontaktlose Kartenzahlungen in Lebensmittelgeschäften, Apotheken und Restaurants scheiterten gleichzeitig. Vor den Läden, die noch Bargeld annahmen, bildeten sich Schlangen. Die Moskauer Metro, plötzlich außerstande, Fahrpreiszahlungen zu verarbeiten, öffnete ihre Drehkreuze und ließ die Fahrgäste umsonst fahren.
Rund sechs Stunden lang war Russlands Bankeninfrastruktur — der Kreislauf der elftgrößten Volkswirtschaft der Welt — faktisch offline. Der Kreml machte einen „technischen Zwischenfall“ verantwortlich. Sprecher Dmitry Peskov wies jeden Zusammenhang mit dem VPN-Feldzug zurück. Die Banken beschuldigten einander. Doch bis zum Ende des Tages hatten Telekomingenieure bei Russlands großen Internetanbietern die wahre Ursache benannt: Es war die staatseigene Zensurtechnik gewesen.
Das Technische Zentrum für Internetbedrohungen, unter seinem russischen Kürzel TSPU bekannt, betreibt Hardware zur Deep Packet Inspection, die an jedem größeren Internetknoten und bei jedem Internetanbieter der gesamten Russischen Föderation installiert ist. Sein Zweck, vorgeschrieben durch das Gesetz über das „souveräne Internet“ von 2019, ist es, den Internetverkehr in Echtzeit zu analysieren und Inhalte zu sperren, die der Staat für inakzeptabel hält. Seit Anfang 2026 ist das vorrangige Ziel des TSPU der VPN-Verkehr.
Das Problem ist ein technisches, das jeder Netzwerkingenieur hätte vorhersagen können: Moderne VPN-Protokolle — WireGuard, VLESS und andere — hüllen ihren Verkehr in TLS-Verschlüsselung, dieselbe Verschlüsselung, die Banktransaktionen, Krankenakten und Unternehmenskommunikation absichert. TLS-1.3-Handshakes und die Handshakes moderner VPN-Protokolle haben identische Anfangspaketstrukturen. Bei Leitungsgeschwindigkeit, über Hunderte Terabit pro Sekunde hinweg, existiert der mathematische Unterschied zwischen einem VPN-Tunnel und einer Banküberweisung nicht. Als die DPI-Systeme des TSPU am 3. April versuchten, VPN-Handshakes zu erkennen und zu blockieren, konnten sie sie nicht zuverlässig von den TLS-Verbindungen unterscheiden, auf die Sberbank, VTB und jede andere russische Bank angewiesen sind. Die Filter erwischten beides. Die Banken fielen aus.
Die Architektur der Selbstzerstörung
Russlands Feldzug der Deep Packet Inspection ist nicht neu, aber sein Ausmaß im Jahr 2026 ist beispiellos. Laut Beschaffungsunterlagen, die unabhängige russische Medien ausgewertet und Quellen aus der Telekombranche bestätigt haben, hat Roskomnadzor — Russlands Telekommunikationsaufsicht — die Filterkapazität des TSPU auf 954 Terabit pro Sekunde ausgebaut, zu Kosten von rund 186 Mio. $. Jedes Datenpaket, das Russlands Grenzen überquert oder sich zwischen seinen großen Netzen bewegt, durchläuft heute staatliche Inspektionstechnik.
Das System sollte leisten, was Chinas Great Firewall leistet: unerwünschte Inhalte gezielt sperren und den kommerziellen Internetverkehr unangetastet lassen. Doch China hat zwei Jahrzehnte und unzählige Milliarden darauf verwendet, seine Filterinfrastruktur aufzubauen, seine Algorithmen zu trainieren und ein heimisches Internet-Ökosystem zu entwickeln, das hinter der Mauer funktionieren kann. Russland versucht, dasselbe Ergebnis in Monaten zu erreichen — mit Technik, der die Raffinesse fehlt, eine Banktransaktion von einem VPN-Tunnel zu unterscheiden.
Der Absturz vom 3. April war das dramatischste Versagen, aber nicht das erste. In den Wochen davor hatten Russen im ganzen Land von zeitweiligen Ausfällen bei Banking-Apps, Fahrdiensten und Lieferplattformen berichtet. Das Muster war gleichbleibend: Dienste, die auf verschlüsselte Verbindungen zu Cloud-Infrastruktur angewiesen waren — also praktisch alle modernen digitalen Dienste —, wurden jedes Mal langsamer, wenn die Filterregeln des TSPU aktualisiert wurden. Der Absturz selbst geschah zum Teil deshalb, weil die Filterregeln des TSPU aktualisiert wurden, um neue Erfassungsanforderungen der SORM-Überwachung zu unterstützen, und weil die neuen Regeln unzureichend gegen legitime Verkehrsmuster getestet worden waren.
Bis heute hat Roskomnadzor 469 VPN-Dienste gesperrt, und 761 VPN-Anwendungen wurden auf Verlangen der Aufsicht aus Apples App Store entfernt — Apple erklärte, es habe dem nachkommen müssen, weil es sonst in Russland „keinen App Store mehr betreiben könnte“. Begleitet wurde der Feldzug vom Aufbau eines nationalen DNS-Systems, das seit Februar 2026 YouTube, Facebook, WhatsApp und ausländische Nachrichtenangebote nicht mehr auflöst. Russlands Internet wird als ummauerter Garten neu errichtet, und die Mauern fallen immer wieder auf das, was drinnen steht.
„65 Millionen Russen nutzen weiterhin Telegram“
Pavel Durov, der Gründer von Telegram, der im August 2024 in Frankreich festgenommen und anschließend freigelassen wurde, gehörte zu den ersten prominenten Stimmen, die den Bankenzusammenbruch mit dem VPN-Feldzug in Verbindung brachten. In einem Telegram-Beitrag vom 3. April schrieb er, 65 Millionen Russen nutzten Telegram weiterhin täglich über VPN-Verbindungen — eine Zahl, die, wenn sie zutrifft, fast der Hälfte der internetnutzenden Bevölkerung des Landes entspricht.
Durovs Aussage hatte besonderes Gewicht, weil sie die Vergeblichkeit des Sperrfeldzugs beleuchtete. Telegram, das die russische Regierung zwischen 2018 und 2020 erfolglos zu blockieren versuchte, ist nach wie vor die dominierende Messaging-Plattform des Landes. Seit Anfang April 2026 funktioniert Telegram ohne VPN nicht mehr, nachdem Roskomnadzor die Beschränkungen am 10. Februar unter Berufung auf „Nichteinhaltung“ verschärft hatte. Der FSB hat gegen Durov ein Strafverfahren wegen „Beihilfe zum Terrorismus“ eingeleitet. WhatsApp hat eine parallele Entwicklung genommen: Sprachanrufe im August 2025 gesperrt, vollständige Beschränkung in den südlichen Regionen bis Oktober, landesweite Drosselung bis Ende 2025. Meta gilt seit 2022 als „extremistische Organisation“.
Das harte Vorgehen gegen VPNs sollte den Zugang zu Diensten, die der Staat nicht kontrollieren kann, endlich kappen. Stattdessen führte es vor, dass zig Millionen Russen längst gelernt haben, die Zensur zu umgehen — und dass das Sperren von VPN-Verkehr sie von allem abschneidet, auch von ihren Bankkonten.
Max: Die unsichere Alternative des Staates
Der von der Regierung vorgeschlagene Ersatz heißt Max, eine staatlich gestützte Messaging-Anwendung, die nach Putins Präsidialdekret vom Juni 2025 gestartet wurde und seit September 2025 auf allen in Russland verkauften Telefonen und Tablets vorinstalliert ist.
Max ist nicht freiwillig. Im Dezember 2025 verpflichtete die Staatsduma Hausverwaltungen außerhalb Moskaus, Max für die Kommunikation mit den Bewohnern zu nutzen. Studierenden und Schulkindern wurde wegen Nichtinstallation gedroht. Die Anwendung soll künftig Bank-SMS-Benachrichtigungen und Bestätigungscodes abwickeln — die finanzielle Sicherheit der Russen liefe damit über Software, die der Staat kontrolliert.
Am 11. April 2026 wies ein auf Habr, Russlands größtem Technologieforum, veröffentlichtes Sicherheitsaudit 213 Schwachstellen im Code von Max nach, gewonnen aus 288 anerkannten Bug-Bounty-Meldungen. Die häufigste Schwachstelle war unbefugter Zugriff durch das Ersetzen von Objektkennungen — ein Angreifer konnte durch Manipulation von IDs auf beliebige Nachrichten, Chats oder Benutzerkonten zugreifen. Unabhängig davon ergab eine Analyse der Android-Version, dass Max die Erreichbarkeit der Domains von Telegram, WhatsApp, Odnoklassniki, Google und Gosuslugi abfragt, den VPN-Status erkennt und Verkehrsdaten an Server Dritter sendet. In die Anwendung selbst ist ein VPN-Erkennungsmodul eingebettet, das Nutzer markieren soll, die über Umgehungswerkzeuge auf Max zugreifen.
Das russische Militär hat Max nach Berichten des unabhängigen Mediums Meduza im Februar 2026 für die interne Kommunikation geprüft und als unsicher verworfen — in der Ukraine kämpfende Einheiten erhielten die ausdrückliche Anweisung, es nicht zu benutzen. Hohe Regierungsvertreter sollen dazu übergegangen sein, getrennte „saubere“ Telefone mit sich zu führen: eines für den Dienstgebrauch mit Max, eines für die tatsächliche Kommunikation.
Der Staat zwingt 146 Millionen Menschen auf eine Messaging-Plattform, die sein eigenes Militär nicht anfasst.
Der menschliche Preis dafür, das Internet kaputtzumachen
Der Bankenzusammenbruch war das Ereignis für die Schlagzeilen, doch die tägliche Wirklichkeit von Russlands Internetrepression bemisst sich in kleineren, hartnäckigeren Störungen.
Im Moskauer Zentrum war der mobile Internetdienst im März und Anfang April drei Wochen in Folge abgeschaltet, auf direkte Anordnung der Forschungs- und Technikabteilung des FSB — ein Abschaltregime, das im Februar 2026 kodifiziert wurde, als die Staatsduma ein Gesetz billigte, das die „Ersuchen“ des FSB um Mobilfunkabschaltungen in „Forderungen“ umwandelte. In Rostow am Don gehen die Mobilfunknetze jeden Tag um 16 Uhr aus. In Brjansk nahe der ukrainischen Grenze haben so viele Geschäfte die Kartenzahlung eingestellt, dass die örtliche Wirtschaft teilweise zum Bargeld zurückgekehrt ist. In Krasnodar berichtete ein Nutzer, er sei 10 Kilometer von zu Hause gestrandet und habe die Nacht hindurch laufen müssen, nachdem das Netz ausgefallen war. Die Abschaltungen reichen bis Omsk, Tjumen und Archangelsk — Regionen weit ab von jeder Frontlinie.
Die menschlichen Anpassungen sind vielsagend. Taxifahrer in Moskau haben "spawn points" — Orte in der Nähe öffentlicher WLAN-Hotspots, an denen Fahrdienst-Apps lange genug eine Verbindung zu Servern aufbauen, um Aufträge zu empfangen — ausgemacht. Menschen berichten, sie fürchteten sich, nachts ohne funktionierendes Telefon allein unterwegs zu sein. Von der Front zurückkehrende Soldaten mit posttraumatischer Belastungsstörung erreichen während der Abschaltungen keine Krisentelefone. Der Absatz von Papierlandkarten und sogar von Pagern soll gestiegen sein. Im April sperrten die Mobilfunkanbieter das Aufladen der Apple-ID über das Telefonkonto und schlossen damit einen weiteren Umweg.
Das Ultimatum vom 6. April
Am 6. April eskalierte die russische Regierung. Minister Shadayev berief Treffen mit Telekomanbietern und mehr als zwanzig Internetunternehmen ein. Ein Ultimatum erging: Sperrt Nutzer, die über VPNs auf Dienste zugreifen, oder tragt die Folgen. Ein dreistufiges Handbuch zur VPN-Erkennung wurde an Internetanbieter und große Internetplattformen verteilt.
Das Erkennungsverfahren des Handbuchs ist methodisch. Stufe eins: Nutzer-IP-Adressen mit Datenbanken russischer und auf schwarzen Listen stehender Adressen abgleichen. Stufe zwei: die ConnectivityManager-API von Android nutzen, um VPN-Verbindungen auf App-Ebene zu erkennen. Stufe drei: die Erkennung auf Desktop-Betriebssysteme ausweiten. Das Handbuch räumte in einem Detail, das fast sofort durchsickerte, ein, dass die Erkennung von VPN-Nutzung auf iPhones besondere technische Grenzen hat — „iOS schränkt den Zugriff auf Systemeinstellungen erheblich ein“, heißt es in dem Dokument, und Apples Sandboxing-Architektur verhindert die VPN-Erkennung auf App-Ebene, die unter Android funktioniert. VPNs auf Router-Ebene wurden als „schwierig oder unmöglich“ zu erkennen beschrieben. Das sind seltene Eingeständnisse der Grenzen staatlicher Kontrolle.
Die Befolgung hat bereits begonnen. Mit Stand 5. April berichteten Nutzer, dass Wildberries (Russlands größte E-Commerce-Plattform), Yandex, VK und Mail.ru sich bei aktiviertem VPN nicht öffnen ließen — Produktlisten und Bilder werden nicht geladen. Sberbank, Ozon, Avito und X5 gehören zu den Unternehmen, die zur Befolgung angewiesen wurden. Nichtbefolgung zieht den Verlust der IT-Akkreditierung und die Streichung von der staatlichen Whitelist nach sich. Ein Gesetzentwurf sieht Bußgelder von rund 300 $ für Einzelpersonen und 7.000 $ für Unternehmen vor, die beim Einsatz nicht genehmigter Umgehungswerkzeuge erwischt werden. Ab dem 1. Mai werden die Telekomanbieter internationalen Mobilfunkverkehr oberhalb von 15 Gigabyte pro Monat in Rechnung stellen.
Der Spur der Überwachung folgen
Der Bankenzusammenbruch legte mehr offen als technische Unfähigkeit. Er entblößte die tiefere Architektur von Russlands Internetkontrollsystem — eine, in der Zensur und Überwachung keine getrennten Funktionen sind, sondern ein einziger integrierter Apparat.
Das TSPU blockiert nicht bloß Verkehr. Über seine Integration mit SORM — Russlands System zur rechtmäßigen Überwachung, vergleichbar mit der von Edward Snowden offengelegten US-Abhörinfrastruktur, aber weit umfassender — speist es Verkehrsmetadaten und in vielen Fällen auch Inhalte in Echtzeit an den FSB.
Beunruhigender noch: Im Nachgang des Absturzes begann der FSB zu verlangen, dass Banken SORM-Überwachungstechnik in ihren internen Netzen installieren — als Bedingung dafür, in eine „Whitelist“ von 57 „gesellschaftlich bedeutsamen“ Websites und Diensten aufgenommen zu werden, die von der aggressivsten DPI-Filterung ausgenommen sind. Die Whitelist umfasst staatliche Medien, VK, Max und — bezeichnenderweise — die Banken selbst. Doch die Aufnahme ist an Bedingungen geknüpft. Banken, die sich weigern, Überwachungshardware zu installieren, bleiben ausgeschlossen, und ihre Dienste unterliegen derselben DPI-Störung, die sie am 3. April lahmgelegt hat.
Die Botschaft ist nicht subtil: Der Preis dafür, dass Ihre Bank funktioniert, ist der Zugriff des FSB auf Ihre Finanzdaten. Auch die Internetanbieter werden gefügig gemacht — im März 2026 wurden Internetanbieter verurteilt und mit Geldstrafen belegt, weil sie den Zugang zu YouTube ohne ordnungsgemäße TSPU-Filterprotokolle zugelassen hatten.
Die Ökonomie der Kontrolle
Der finanzielle Schaden allein aus dem Absturz vom 3. April wird auf rund 12,5 Mio. $ pro Tag in Moskau geschätzt, auf Grundlage gemeldeter Transaktionsvolumina und der Verlustanzeigen von Händlern. Kartenzahlungen, Einzelhandel, Taxis, die Metro und Kurierdienste wurden allesamt schwer getroffen. Hochgerechnet auf Russlands Wirtschaft haben unabhängige Ökonomen Gesamtverluste von mehr als 1 Milliarde $ geschätzt, wenn man die kumulierte Wirkung wochenlang verschlechterter Internetdienste, der Mobilfunkabschaltungen und des andauernden VPN-Sperrfeldzugs berücksichtigt.
Diese Zahlen sind notwendigerweise ungenau — die russische Regierung veröffentlicht keine Abschätzungen der wirtschaftlichen Folgen ihrer eigenen Zensurpolitik —, aber sie decken sich mit historischen Präzedenzfällen. Als Iran während der Proteste von 2019 sein Internet elf Tage lang abschaltete, überstiegen die geschätzten volkswirtschaftlichen Kosten 1,5 Milliarden $. Russlands Störungen waren weniger total, dafür weit länger anhaltend, und sie treffen eine rund viermal größere Volkswirtschaft.
Die Kosten sind nicht gleichmäßig verteilt. Große staatsnahe Unternehmen mit eigener Netzinfrastruktur und Whitelist-Status erleben minimale Störungen. Kleine Betriebe, Freiberufler und alle, die auf internationale Internetdienste angewiesen sind, tragen die Last. Das harte Vorgehen wirkt, ob beabsichtigt oder nicht, wie eine wirtschaftliche Umverteilung vom Privatsektor zum staatsnahen Sektor.
Die Proteste und der Druck
Die Russen nehmen das nicht schweigend hin. Aktivisten von Moskau bis Wladiwostok organisieren seit Ende Februar 2026 Kundgebungen. Am 29. März nahm die Polizei bei Protesten gegen die Internetbeschränkungen mindestens 14 Menschen in Moskau und 5 in anderen Städten fest. Die Behörden verboten Proteste in mehr als 40 Städten.
Boris Nadezhdin, ein liberaler Politiker, der bei seinem Anlauf zur Präsidentschaftskandidatur 2024 landesweite Aufmerksamkeit erlangte, sagte öffentlich: „Das bringt eine riesige Zahl von Menschen zur Weißglut.“ Die Organisatoren kündigten größere Kundgebungen für den 12. April an, terminiert auf den Tag der Kosmonautik — einen Feiertag zu Ehren von Juri Gagarins Raumflug, der mit technischer Leistung und Nationalstolz konnotiert ist. Nadezhdin stellte den Zusammenhang ausdrücklich her: „Kosmonautik ist ohne Wissenschaft unmöglich … Fortschritt ist ohne Konnektivität unmöglich.“ Die Symbolik ist zugespitzt: Ein Land, das einst technologisch die Welt anführte, macht nun sein eigenes Internet kaputt.
Die Proteste bleiben nach historischen Maßstäben klein, und die Repressionsfähigkeit des Staates bleibt gewaltig. Doch das harte Vorgehen gegen VPNs hat eine ungewöhnliche politische Dynamik erzeugt: Es trifft nicht nur oppositionelle Aktivisten und Journalisten, die staatliche Schikane gewohnt sind, sondern gewöhnliche Russen, die ihre Lebensmittel bezahlen, Taxis bestellen und ihren Kontostand prüfen wollen. Es hat die Zensur auf eine Weise greifbar gemacht, wie es das Sperren einer Nachrichtenseite nie könnte.
Ein globales Muster
Russlands Lage ist extrem, aber sie ist nicht einzigartig. Sie ist die dramatischste Ausprägung eines Musters, das in den Demokratien wie den Autokratien der Welt gleichermaßen sichtbar ist: Regierungen stellen fest, dass das Internet zu kontrollieren bedeutet, es kaputtzumachen — und machen trotzdem weiter.
In Schweden berät der Riksdag ein Gesetz, das Messaging-Dienste verpflichten würde, Kommunikation zu speichern und den Strafverfolgungsbehörden zu übergeben — während die schwedischen Streitkräfte die gegenteilige Position eingenommen haben. Brigadegeneral Mattias Hanson, Chief Information Officer der Streitkräfte, ordnete an, nicht als Verschlusssache eingestufte Kommunikation solle „so weit wie möglich über die Signal-App“ erfolgen. Das schwedische Militär empfiehlt genau jenes Werkzeug, dessen Verbot die schwedische Legislative erwägt. Signal-Präsidentin Meredith Whittaker hat erklärt, das Unternehmen werde sowohl Schweden als auch das Vereinigte Königreich verlassen, statt seine Verschlüsselung zu kompromittieren: „Wir werden nicht zurückweichen.“
Das Vereinigte Königreich hat bereits Blut vergossen. Auf Grundlage des Investigatory Powers Act stellte das Home Office Apple eine Capability Notice zu, die den Zugriff auf iCloud-Daten weltweit verlangte. Apples Antwort war im Februar 2025, die Verschlüsselungsfunktion Advanced Data Protection für alle britischen Nutzer abzuschalten, statt eine Hintertür zu bauen. Fast vierzehn Monate später ist sie nicht wiederhergestellt. Das britische National Security Technology Centre hat Leitlinien veröffentlicht, denen zufolge der Bau von Apps wie Signal eine "hostile activity" — eine feindliche Aktivität — im Sinne des Antiterrorrechts darstellen könnte, womit die Entwicklung von Privatsphäre-Werkzeugen als mögliche Bedrohung der nationalen Sicherheit eingestuft wird.
Frankreich und Belgien haben sich gewehrt. Die französische Nationalversammlung lehnte im März 2025 einen Änderungsantrag für eine Verschlüsselungshintertür ab. Belgien kippte sein eigenes Hintertürgesetz vollständig. Doch das sind defensive Siege in einer offensiven Landschaft.
Auf EU-Ebene nimmt das Muster eine andere Form an. Am 3. April — am selben Tag, an dem Russlands Banken zusammenbrachen — lief die EU-Rechtsgrundlage aus, die es Techkonzernen erlaubte, private Nachrichten zu scannen, nachdem das Europäische Parlament mit 311 zu 228 Stimmen gegen eine Verlängerung gestimmt hatte. Google, Meta, Microsoft und Snap reagierten mit der Zusage, freiwillig weiterzuscannen — womöglich unter Verstoß gegen die von der ePrivacy-Richtlinie garantierte Vertraulichkeit der Kommunikation. Die Rechtsgrundlage starb; die Überwachung lief weiter. Die Haltung der Unternehmen war unmissverständlich: Das Europäische Parlament könne abstimmen, wie es wolle, sie würden weiterhin die Nachrichten der Menschen lesen. Die Trilogverhandlungen über die Nachfolgeverordnung CSAR werden am 4. Mai fortgesetzt.
Und dann ist da noch die Ironie, die sich jeder Satire entzieht. Im März 2026 brachte die Trump-Regierung eine offizielle Nachrichten-App des Weißen Hauses heraus, in der Sicherheitsforscher ein Huawei-Mobile-Services-SDK fanden — Code des chinesischen Telekommunikationskonzerns, den die US-Regierung selbst auf die Entity List gesetzt, aus Bundesnetzen verbannt und für 1,9 Milliarden $ aus der amerikanischen Telekommunikationsinfrastruktur entfernt hat. Das Privacy Manifest der App behauptete null Datenerhebung, während sie tatsächlich IP-Adressen, GPS-Standort, Gerätekennungen und Verhaltensanalysen abgriff. Eine CISA-Prüfung fand nicht statt. Die Regierung, die ihre Bürger vor chinesischer Überwachung warnt, hat chinesischen Überwachungscode in ihrer eigenen Software ausgeliefert.
Die technische Wirklichkeit ist über all diese Fälle hinweg dieselbe: Es gibt keine Möglichkeit, eine Hintertür zu bauen, die nur gute Akteure nutzen können, keine Möglichkeit, Verschlüsselung so zu brechen, dass sie nur für die Richtigen bricht, und keine Möglichkeit, VPN-Verkehr zu filtern, ohne zugleich die Banktransaktionen, Krankenakten und Geschäftskommunikation zu filtern, die durch dieselben verschlüsselten Kanäle laufen.
Wie Verteidigung aussieht
Für die 65 Millionen Russen, die weiterhin täglich VPNs nutzen — und für die Hunderte Millionen Menschen weltweit, die für ihre Sicherheit, ihren Lebensunterhalt oder schlicht ihre Teilhabe am modernen Leben auf verschlüsselte Kommunikation angewiesen sind —, lautet die Lehre des 3. April: Zentralisierte Infrastruktur ist ein Single Point of Failure, gleich ob das Versagen technisch oder politisch ist.
Herkömmliche VPN-Dienste, die den Verkehr über identifizierbare Server identifizierbarer Unternehmen leiten, sind für staatliche Sperren zunehmend anfällig. Russland hat gezeigt, dass eine hinreichend entschlossene Regierung Hunderte von VPN-Diensten erkennen und sperren kann. Iran, China und Myanmar haben dasselbe gezeigt.
Die nächste Generation der Verteidigung arbeitet nach anderen Prinzipien, und 2026 reifen diese Werkzeuge rasch heran.
Das Tor-Netzwerk, das den Verkehr über ein dezentrales Netz freiwillig betriebener Relais leitet, hat sich als widerstandsfähiger gegen Sperren erwiesen, leidet aber unter Leistungsgrenzen, die es für den Alltag untauglich machen — eine Banking-App oder einen Videoanruf kann man nicht über Tor betreiben.
Dezentrale VPN-Netze wie URnetwork schließen diese Lücke. Statt den Verkehr durch kommerzielle Rechenzentren zu leiten, verteilt URnetwork ihn über Tausende von Knoten in Privatanschlüssen. Jeder Teilnehmer ist zugleich Nutzer und Relais. Es gibt keine Server zum Sperren, keine Unternehmen zum Zwingen und keinen einzelnen Punkt, an dem ein DPI-System Umgehungsverkehr von gewöhnlichem Surfen unterscheiden könnte. Wenn das Netz die Nutzer selbst sind, heißt es zu sperren, das Internet zu sperren.
Auf Geräteebene hat GrapheneOS — ein gehärtetes mobiles Betriebssystem — seinen Wert bewiesen, als geleakte Cellebrite-Dokumente im Februar 2025 bestätigten, dass GrapheneOS-Pixels für das weltweit meistgenutzte forensische Extraktionswerkzeug unzugänglich sind. Nicht „schwierig“ — unzugänglich. Die automatische Neustartfunktion des Betriebssystems versetzt beschlagnahmte Geräte zurück in den Zustand "Before First Unlock" — vor der ersten Entsperrung —, in dem die Verschlüsselungsschlüssel nicht im Speicher liegen, und macht damit den forensischen Standardansatz zunichte. Auf dem Mobile World Congress 2026 kündigte Motorola eine Partnerschaft an, GrapheneOS ab 2027 auf Nicht-Pixel-Hardware auszuliefern — das erste Mal, dass sich ein großer Hersteller auf ein Privacy-First-Betriebssystem festlegt. Rund 400.000 Geräte laufen heute mit GrapheneOS. Diese Zahl wird sich bald ändern.
Diese Werkzeuge — dezentrale Netze, gehärtete Betriebssysteme, Ende-zu-Ende-Verschlüsselung, die ihre Entwickler lieber abschalten als kompromittieren — sind keine theoretischen Antworten auf theoretische Bedrohungen. Sie sind die operative Antwort auf das, was in Russland am 3. April geschah, auf das, was im Vereinigten Königreich und in Schweden geschieht, auf das, was die Konzerne in der EU im Trotz gegen Parlamentsabstimmungen tun, und auf das, was Regierungen weltweit versuchen. Sie funktionieren, weil sie um ein Prinzip herum entworfen sind, das noch keine Regierung per Gesetz aus der Welt schaffen konnte: dass Privatsphäre keine Funktion ist, die man aus dem Internet entfernen kann, weil Privatsphäre der Mechanismus ist, durch den das Internet funktioniert.
Die Lehre
Der Bankenzusammenbruch vom 3. April 2026 wird wahrscheinlich als Wendepunkt in Erinnerung bleiben — nicht weil er die russische Politik geändert hätte (das harte Vorgehen hat sich seither nur beschleunigt), sondern weil er in einer Sprache, die auch nicht-technische Beobachter verstehen, den grundlegenden Handel vorführte, vor dem Regierungen stehen, wenn sie verschlüsselte Kommunikation kontrollieren wollen.
Dieselbe Verschlüsselung, die einen VPN-Tunnel verbirgt, verbirgt eine Banküberweisung. Dieselbe Protokollverschleierung, die einen Journalisten eine ausländische Nachrichtenseite erreichen lässt, lässt einen Zahlungsdienstleister ein Clearinghaus erreichen. Wer das eine bricht, bricht das andere. Das ist kein Konstruktionsfehler. So funktioniert die Technik. So funktioniert die Mathematik.
Russland hat es trotzdem gebrochen. Die Banken stürzten ab. Die Geldautomaten gingen aus. Die Metro fuhr umsonst. Und 65 Millionen Russen nutzten ihre VPNs weiter.
Die Frage ist nicht, ob andere Regierungen vor derselben Wahl stehen werden. Sie stehen bereits davor. Die Frage ist, ob sie aus Russlands Antwort lernen — oder sie wiederholen.
Quellen: Telegram-Beiträge von Pavel Durov (3. April 2026); Habr-Sicherheitsaudit des Messengers Max (11. April 2026); Beschaffungsunterlagen von Roskomnadzor; Berichterstattung unabhängiger russischer Medien (Meduza, The Bell, iStories, Zona.media); Quellen aus der russischen Telekombranche; Schätzungen der wirtschaftlichen Folgen von unabhängigen russischen Ökonomen; Berichte über Festnahmen bei Protesten von OVD-Info; Erklärungen der Signal Foundation; förmliche Korrespondenz der schwedischen Streitkräfte; UK Online Safety Act Section 121; Regulierungsunterlagen von Ofcom; Abstimmungsprotokolle des Europäischen Parlaments (26. März 2026); Audit der App des Weißen Hauses durch Sam Bent / Exodus Privacy; interne Kompatibilitätsmatrix von Cellebrite (geleakt im Februar 2025); Ankündigung der Motorola-GrapheneOS-Partnerschaft auf dem MWC 2026.