Der Flughafen, die Novelle und das, was das Konsulat sagen musste
Um 16 Uhr Hongkonger Zeit veröffentlichte das Sicherheitsbüro der Stadt am 23. März 2026 im Gesetzblatt eine dreiseitige Änderung der Durchführungsvorschriften zu Artikel 43 des Nationalen Sicherheitsgesetzes. Der Text ist zurückhaltend. Er ermächtigt die Polizei bei Ermittlungen wegen einer "specified offence endangering national security" — einer bestimmten, die nationale Sicherheit gefährdenden Straftat —, einer "any person reasonably suspected to be capable of" — jeder Person, bei der ein begründeter Verdacht besteht, dass sie dazu in der Lage ist — eine Anordnung zuzustellen, ein elektronisches Gerät zu entsperren, und diese Person zu zwingen, das Gerätepasswort, die Entschlüsselungsmethode oder "other necessary assistance" — sonstige erforderliche Unterstützung — bereitzustellen. Die Weigerung wird mit bis zu einem Jahr Haft und 100.000 HK$ Geldstrafe bedroht. Die Angabe eines falschen oder irreführenden Passworts trägt drei Jahre und 500.000 HK$. Journalistinnen, Ärzte und Anwälte, die ein Gerätepasswort berufsbedingt kennen, sind nicht ausgenommen.
Drei Tage später, am 26. März, gab das US-Generalkonsulat in Hongkong und Macau eine Security Alert im Rahmen des STEP-Programms heraus, die warnte, das Gesetz gelte für "everyone in Hong Kong, including arrivals and people merely transiting Hong Kong International Airport" — für alle in Hongkong, einschließlich Ankommender und Personen, die lediglich über den Hongkong International Airport reisen. Ein dreistündiger Zwischenstopp ist rechtlich nicht von einem Wohnsitz zu unterscheiden. Peking bestellte Generalkonsulin Julie Eadeh am 29. März ein, um die Warnung als „Einmischung in Chinas innere Angelegenheiten" zu verurteilen. Hongkongs Sicherheitschef Chris Tang sagte, das Erfordernis eines richterlichen Beschlusses hindere die Polizei daran, Passwörter „auf der Straße" zu verlangen. Die Amerikanische Handelskammer in Hongkong riet ihren Mitgliedern faktisch, sich darauf einzustellen.
Die Novelle machte Hongkong zur ersten großen Jurisdiktion der Welt, deren Gesetz zur erzwungenen Entschlüsselung nach dem Eingeständnis der eigenen Regierung gegen jeden durchsetzbar ist, der sich physisch innerhalb des Flughafengeländes befindet. Und der Absatz im Gesetzblatt fügt sich in einen stilleren Trend, der auch andernorts sichtbar ist — einen Trend, der besagt, dass das Passwort, das Sie im Kopf behalten, zum wertvollsten Beweismittel jeder Ermittlung geworden ist.
Die 475-Millionen-Dollar-Industrie, die beruflich Ihr Telefon ausliest
Am 31. März 2026 hielt eine israelisch-amerikanische Firma namens Cellebrite ihren jährlichen C2C User Summit in Washington, D.C. ab und kündigte ihr Frühjahrsrelease 2026 an. Das Update schließt die eine verbliebene Lücke in Cellebrites Fähigkeitsmatrix: iOS 26 und die iPhone-17-Reihe lassen sich nun mit demselben Universal Forensic Extraction Device auslesen, das die 7.000 Kunden aus Strafverfolgung, Nachrichtendiensten und Verteidigung nutzen, die Cellebrite in mehr als 100 Ländern zählt. Cellebrites eigene Q4-Zahlen für 2025, veröffentlicht am 11. Februar, wiesen einen Quartalsumsatz von 128,8 Mio. $ und einen Jahresumsatz von 475,7 Mio. $ aus — ein Plus von 19 Prozent. Der jährlich wiederkehrende Umsatz überschritt 480,8 Mio. $. Die Übernahme von Corellium, der Florida-Firma für iPhone-Virtualisierung, schloss das Unternehmen am 1. Dezember 2025 für 200 Mio. $ ab — Teil einer Strategie, die sich von der Ausnutzung des Geräts selbst hin zu virtuellen Klonen beschlagnahmter Telefone verlagert.
Wir wissen, wie gut Cellebrite ist, weil im Februar 2025 ein Vertreter während einer Microsoft-Teams-Verkaufsdemo mit einem potenziellen Kunden versehentlich die Unterstützungsmatrix zur Version 7.73.1 teilte. Der Kunde speicherte sie. Privacy Guides spiegelte sie. Das GrapheneOS-Forum legte sie im Cache ab. Das Dokument ist das Nächste an einer Fähigkeitsoffenlegung des Gegners, was der Markt für digitale Forensik je hervorgebracht hat. Fast jedes Android-Gerät, das kein Pixel und kein Samsung ist, wird als entsperrbar geführt. Ein Standard-Pixel 9 im Zustand Before First Unlock (BFU — jedes Telefon, das seit dem Start nicht entsperrt wurde): "no access" — kein Zugriff. iOS 17.4 und neuer: "no access" — die Lücke, die Cellebrite mit dem Frühjahrsrelease 2026 nun geschlossen hat. Und eine Zeile steht für jeden Zustand und jedes Alter in der Spalte "no access": GrapheneOS-Pixels ab Ende 2022.
Das Extraktionsgeschäft ist nicht theoretisch. Zwischen Januar und Juni 2025 wies das Citizen Lab forensisch den Einsatz von Cellebrite auf drei iPhones und einem Android-Gerät von Angehörigen der jordanischen Zivilgesellschaft nach, die bei Gaza-Solidaritätsprotesten festgenommen worden waren; der Bericht „From Protest to Peril" vom 22. Januar 2026 hält fest, dem Labor seien „Dutzende weiterer" Fälle bekannt und Jordanien sei mindestens seit 2020 Cellebrite-Kunde. Im Februar 2026 veröffentlichte das Citizen Lab "Not Safe for Politics", eine forensische Bestätigung, dass Cellebrite auf dem Samsung-Telefon des kenianischen Oppositionspolitikers Boniface Mwangi während seiner Haft im Juli 2025 eingesetzt wurde. Im Serbien-Fall, den Amnestys Security Lab im Februar 2025 dokumentierte, nutzten Cellebrite-Bediener eine Zero-Day-USB-Kette aus drei CVEs — CVE-2024-53104, CVE-2024-53197 und CVE-2024-50302 —, um die Linux-Kernel-Treiber für USB Video Class, USB-Audio und HID-Geräte anzugreifen. Die Exploit-Kette wurde am 25. Dezember 2024 gegen ein Samsung Galaxy A32 eines studentischen Aktivisten eingesetzt. Amnestys Nachrecherche zeigte, dass sie zum Einsatz kam, nachdem Cellebrite über die serbischen Missbräuche unterrichtet worden war. Cellebrite setzte sein Produkt in Serbien am 25. Februar 2025 aus. In keinem anderen Land hat es das getan.
Die drei Zero-Days wurden im Android Security Bulletin vom Februar 2025 geschlossen. Mit Stand März 2025 blieben mehr als 40 Prozent der Android-Geräte ungepatcht, weil die Aktualisierungszyklen der Hersteller fragmentiert sind. Diese Lücke — zwischen dem Zeitpunkt, zu dem ein Fix ausgeliefert wird, und dem Zeitpunkt, zu dem er tatsächliche Telefone erreicht — ist die Betriebsmarge der Extraktionsindustrie.
Eine globale Spaltung, die durch den Fünften Verfassungszusatz läuft
Hongkong ist die jüngste Zwangsjurisdiktion in einer globalen Landschaft, die sich seit fast einem Jahrzehnt um die erzwungene Entschlüsselung herum neu ordnet. Das Vereinigte Königreich hat Part III Section 49 des Regulation of Investigatory Powers Act seit 2007 in den Büchern. Die Weigerung, auf eine zugestellte Anordnung hin einen Verschlüsselungsschlüssel herauszugeben, trägt bis zu zwei Jahre Haft — fünf Jahre in Fällen der nationalen Sicherheit oder des Kinderschutzes. Das Vereinigte Königreich hat die Vorschrift tatsächlich angewandt — Stephen Nicholson erhielt 2018 vierzehn Monate, weil er im Mordfall Lucy McHugh sein Facebook-Passwort verweigerte; ein Jugendlicher namens Oliver Drage wurde 2010 zu sechzehn Wochen verurteilt, weil er ein Passwort mit 50 Zeichen verweigerte. In Frankreich bestraft Artikel 434-15-2 des Strafgesetzbuchs, verschärft durch das Gesetz vom 3. Juni 2016, die Weigerung, eine „Entschlüsselungsvereinbarung" offenzulegen, mit drei Jahren Haft und 270.000 € — steigend auf fünf Jahre und 450.000 €, wenn die Mitwirkung eine Straftat verhindert hätte. Frankreichs Cour de cassation entschied am 7. November 2022, dass ein Sperrbildschirm-Passcode eines Telefons sehr wohl als „Entschlüsselungsschlüssel" gilt, und beendete damit jahrelange Widersprüche in der Instanzrechtsprechung. Eine Beschwerde, Minteh v. France, ist beim Europäischen Gerichtshof für Menschenrechte anhängig.
Australiens Telecommunications and Other Legislation Amendment (Assistance and Access) Act von 2018 („TOLA") richtet den Zwang eher gegen Netzbetreiber und Gerätehersteller als gegen einzelne Verdächtige, droht aber mit Strafen von 10 Mio. A$ bei Nichtbefolgung, und die im Anhang der Jahresberichte des ASIO ausgewiesenen Nutzungszahlen sind geschwärzt. Thailands Computer Crime Act, Artikel 18(7), erlaubt gerichtlich angeordnete Entschlüsselungsanordnungen gegen Anbieter und ist mit dem Majestätsbeleidigungsparagrafen Artikel 112 gekoppelt; ein Urteil im Januar 2024 in Chiang Rai lautete auf fünfzig Jahre. Belgien lässt Zwang gegenüber Dritten zu, nicht aber gegenüber Verdächtigen oder deren Angehörigen, und bewahrt damit eine Ausnahme nach dem Grundsatz nemo tenetur. Die Niederlande zogen einen 2015 vorgeschlagenen Zwangsentwurf zurück, weil er als mit demselben Grundsatz unvereinbar befunden wurde.
Auf der Schutzseite hat der EGMR die europäische Grundlinie in Podchasov v. Russia am 13. Februar 2024 verankert. Die Fünfte Sektion entschied einstimmig, dass eine gesetzliche Pflicht zur Entschlüsselung Ende-zu-Ende-verschlüsselter Kommunikation — im konkreten Fall Russlands Verlangen vom Juli 2017 gegenüber Telegram-Nutzern — unverhältnismäßig nach Artikel 8 der Konvention ist und "cannot be regarded as necessary in a democratic society" — nicht als in einer demokratischen Gesellschaft notwendig angesehen werden kann. Das Urteil bindet 46 Staaten des Europarats, darunter das Vereinigte Königreich nach dem Brexit. Privacy International und Liberty nutzen es in ihrem anhängigen Verfahren vor dem Investigatory Powers Tribunal gegen die geheime Technical Capability Notice des Vereinigten Königreichs an Apple — jene Anordnung, die Apple zwang, Advanced Data Protection zurückzuziehen, für britische Nutzer am 21. Februar 2025. Das Vereinigte Königreich soll die weltweite Hintertürforderung im August 2025 fallengelassen und im Oktober 2025 eine engere Anordnung zugestellt haben; ADP wurde für neue britische Nutzer nie wiederhergestellt.
Deutschlands Strafprozessordnung schützt den Beschuldigten davor, zur Herausgabe eines Verschlüsselungsschlüssels gezwungen zu werden. Doch am 8. April 2024 entschied der Bundesgerichtshof, dass die Polizei den Finger eines Beschuldigten zwangsweise gegen einen Smartphone-Sensor drücken darf, mit der Begründung, die Nutzung eines Fingers als „natürlicher Schlüssel" sei ein „bloßes Dulden" einer Ermittlungsmaßnahme und keine aktive Selbstbelastung. Indiens Delhi High Court ging in Sanket Bhadresh Modi v. CBI den anderen Weg — Richter Saurabh Banerjee entschied, dass Ermittler einen Beschuldigten nicht zur Offenlegung eines Gerätepassworts zwingen können, weil dies gegen Artikel 20(3) der Verfassung und Section 161(2) der Strafprozessordnung verstoßen würde. Das Gericht bemerkte in einer vielzitierten Passage, die Anklage könne von einem Beschuldigten nicht erwarten, "sing in a tune which is music to their ears" — in einer Tonart zu singen, die ihren Ohren schmeichelt. Der Karnataka High Court entschied 2021 gegenteilig. Indiens Supreme Court hat den Widerspruch nicht aufgelöst.
In den Vereinigten Staaten hängt die Antwort davon ab, wo man lebt. Der Pennsylvania Supreme Court entschied in Commonwealth v. Davis (2019), dass die erzwungene Offenlegung eines Passworts gegen den Fünften Verfassungszusatz verstößt, weil sie die Preisgabe von Gedankeninhalten verlangt, und wies den Ausweg der Regierung über die "foregone conclusion" — die vorweggenommene Schlussfolgerung — zurück. Der Utah Supreme Court entschied 2023 einstimmig in State v. Valdez ebenso, und Utah reichte 2024 beim Supreme Court einen Antrag auf Revisionszulassung ein, dem nicht stattgegeben wurde. New Jersey ging in State v. Andrews (2020) den anderen Weg und akzeptierte die "foregone conclusion"-Ausnahme, weil die Anklage nachgewiesen hatte, dass der Passcode existierte und der Angeklagte das Telefon bediente. Der Widerspruch zwischen den Berufungsbezirken ist ungelöst, und der Supreme Court hat jede Gelegenheit ausgeschlagen, ihn zu verhandeln.
Das Sondervotum von Richter John Paul Stevens in Doe v. United States (1988) — die Unterscheidung zwischen Tresorkombination und Schlüssel — bleibt der zentrale Rahmen für jeden modernen Passcode-Fall. Ein Schlüssel existiert in der physischen Welt; eine Kombination existiert im Kopf. Die Frage des Jahres 2026 lautet, ob die Unterscheidung ein weiteres Jahr biometrischer Entsperrung, Gesichtsscans und forensischer Werkzeuge übersteht, die so tun, als sei ihnen der Unterschied ohnehin gleichgültig.
Fünfundfünfzigtausend Durchsuchungen und kein Beschluss
Innerhalb der Vereinigten Staaten lautet die Zahl von Customs and Border Protection für das Haushaltsjahr 2025: 55.318 Durchsuchungen elektronischer Geräte von Reisenden, ein Plus von 17,6 Prozent gegenüber dem Vorjahr. Zweiundneunzig Prozent waren "basic" — einfache — Durchsuchungen, bei denen ein Beamter in einem Nebenraum das Telefon von Hand durchblättert. Acht Prozent waren "advanced" — erweiterte —, bei denen das Telefon an ein Cellebrite- oder Graykey-Extraktionsterminal angeschlossen und vollständig abgebildet wird. Die erweiterten Durchsuchungen haben sich verdoppelt. Die CBP bewahrt alles Extrahierte nach geltender Behördenpolitik fünfzehn Jahre lang auf. Keine dieser Durchsuchungen erforderte einen Beschluss; keine erforderte einen begründeten Verdacht, es sei denn, die reisende Person war US-Staatsbürger — und selbst dann nur im Neunten und im Vierten Berufungsbezirk.
Die menschliche Textur dieser 55.318 ist der eigentliche Punkt. Rasha Alawieh, Nierentransplantationsspezialistin an der Brown University mit H-1B-Visum, wurde im März 2025 am Boston Logan abgewiesen — die CBP löschte Fotos von ihrem Telefon, bevor sie sie nach Beirut zurückschickte. Alistair Kitchen, ein australischer Memoirenautor, der im August 2025 mit einer ESTA reiste, wurde am LAX herausgezogen, bekam einen Zettel mit der Bitte um sein Telefonpasswort und wurde stundenlang festgehalten, während Beamte sein Gerät nach seiner Berichterstattung über das Protestcamp an der Columbia University durchsuchten. „Ich war, soweit ich das sagen kann, einer der ersten Menschen, deren ESTA ohne Vorankündigung annulliert wurde", wegen im Internet Geschriebenem, wie Kitchen später dem Guardian sagen sollte. Ein Jahr zuvor hatte der kanadische Ontario Court of Appeal in R. v. Pike entschieden, dass Section 99(1)(a) des kanadischen Customs Act verfassungswidrig ist, soweit er auf Gerätedurchsuchungen ohne Beschluss angewandt wird, und setzte eine Untergrenze von "reasonable grounds to suspect" — begründeten Verdachtsgründen. Die USA haben keine entsprechende Entscheidung. Ein Beschwerdeführer aus Chicago bat den Supreme Court im Dezember 2024, die Frage zu klären. Keine Annahme.
Am 10. April 2026 ging das Entry/Exit System der Europäischen Union in Betrieb — eine biometrische Datenbank, die ab diesem Herbst sechsjährigen Asylsuchenden beim ersten Kontakt mit dem Schengen-Raum Fingerabdrücke abnehmen wird. Dieser Fingerabdruck wird zum Schlüssel für alles Weitere. Es fällt schwer, sich ein reibungsloseres Regime erzwungener Entschlüsselung vorzustellen als eines, in dem der Entschlüsselungsschlüssel ein Körperteil ist, das man nicht zu Hause lassen kann.
Der Trick mit der Benachrichtigungsdatenbank
Am 9. April 2026 sagte Clark Wiethorn, Special Agent des Federal Bureau of Investigation, im Bundesverfahren gegen Lynette Sharp und weitere Angeklagte wegen des Angriffs auf die Prairieland ICE Detention Facility in Alvarado, Texas, vom 4. Juli 2025 aus. Im Zeugenstand beschrieb Wiethorn die forensische Analyse, die sein Team an einem iPhone durchgeführt hatte, das einem der Angeklagten abgenommen worden war. Laut Berichten von 9to5Mac sagte Wiethorn aus, sein Team habe Fragmente von Signal-Nachrichten von dem Gerät wiederherstellen können, selbst nachdem Signal deinstalliert worden war.
Der Mechanismus ist eine iOS-Systemkomponente namens Benachrichtigungsdatenbank. Jede Push-Benachrichtigung, die iOS anzeigt — einschließlich der Sperrbildschirmvorschau einer Signal-Nachricht —, wird in einer dauerhaften Systemdatenbank protokolliert. Die Datenbank gehört nicht zur Signal-Sandbox. Das Deinstallieren von Signal rührt sie nicht an. Nur eingehende Nachrichten sind wiederherstellbar; nur jene mit aktivierter Sperrbildschirmvorschau; nur der Teil, der tatsächlich im Benachrichtigungstext erschien. Doch die analytische Kraft dieser Datenbank für forensische Zwecke ist beträchtlich: Sie überlebt das Löschen, von dem die Nutzerin glaubt, es habe das Gerät bereinigt, und sie ist von jedem Werkzeug der Cellebrite-Klasse mit AFU-Zugriff lesbar.
Die Aussage zur Benachrichtigungsdatenbank ist eine treffende Illustration des tieferen Problems. Sie können die Leitung verschlüsseln. Sie können das Cloud-Backup verschlüsseln. Sie können einen sicheren Messenger installieren, dessen Server buchstäblich keine Nachrichteninhalte herauszugeben hat. Und dann bewahrt ein Systemdienst auf Ihrem eigenen Telefon eine Klartextkopie des Vorschautexts auf, aus Gründen, die nichts mit Sicherheit und alles mit Produktgestaltung zu tun haben. Die einzige Verteidigung besteht darin, Sperrbildschirmvorschauen für jede sensible App abzuschalten — eine Einstellung, die die meisten Nutzerinnen und Nutzer nie finden werden.
Das eine Betriebssystem, an das die Extraktionsindustrie nicht herankommt
Das Leck der Cellebrite-Matrix vom Februar 2025 ist alles andere als subtil. Fast jedes Android-Gerät steht in den Spalten "supported" — unterstützt. Fast jedes iPhone bis iOS 17.3 ist auslesbar. Alles ab dem Frühjahrsrelease 2026 ist nun auslesbar. Und in der Spalte "no access" steht, neben ein paar bestimmten Pixel-BFU-Konfigurationen, die gesamte GrapheneOS-Familie. Der Grund, von GrapheneOS selbst erläutert, ist gestaffelte Härtung, die genau jene Fehler angreift, auf die sich Extraktionswerkzeuge stützen. Ein gehärteter Speicherallokator, der Exploit-Ketten über den Heap schließt. Beschränkungen für USB-Peripherie im gesperrten Zustand, die die gegen Serbien genutzten UVC-, Audio- und HID-Vektoren blockieren. Ein Auto-Reboot-Timer, der ein Gerät nach einer konfigurierbaren Ruhezeit in den Zustand Before First Unlock zurückzwingt — im BFU-Zustand liegen die Entschlüsselungsschlüssel nicht im RAM, und die Vollverschlüsselung ist intakt.
Das Projekt veröffentlichte am 20. März 2026 den Build 2026032000 mit experimenteller Unterstützung für das Pixel 10a. Seine geschätzte Nutzerbasis liegt bei rund 400.000 Geräten, also etwa einem von 25 Pixel-Nutzern. Auf dem MWC 2026 Ende Februar bestätigte GrapheneOS eine Partnerschaft mit Motorola Mobility — die erste Nicht-Pixel-Hardware in der Geschichte des Projekts, mit einer Auslieferung, die für das vierte Quartal 2026 oder Anfang 2027 erwartet wird. CalyxOS pausiert. Der Markt für Privatsphäre-Telefone konsolidiert sich, soweit es ihn gibt.
Das eleganteste Merkmal, das GrapheneOS ausliefert, ist die Duress PIN, die Zwangs-PIN. Man richtet einen zweiten Entsperrcode ein. Wird er irgendwo eingegeben, wo das System eine Authentifizierung annimmt — auf dem Sperrbildschirm, bei einer Abfrage in den Entwickleroptionen, bei einer beliebigen App-Authentifizierung —, löst er stillschweigend einen unumkehrbaren Werksreset aus, der sämtliche Verschlüsselungsschlüssel samt der eSIM-Partition löscht. Kein Neustart nötig. Nicht unterbrechbar. Nicht rückgängig zu machen. Bürgerrechtsanwälte glauben, auch wenn kein Gericht dazu entschieden hat, dass es in einem französischen Fall vom 19. November 2025 — Bilel — genau um dieses Merkmal ging. Das Telefon des Verdächtigen setzte sich während des Abbildens auf rätselhafte Weise selbst zurück. Amnestys Technikteam führte das Rücksetzmuster auf GrapheneOS zurück. Die Duress PIN ist die sauberste technische Antwort auf Gesetze zur erzwungenen Entschlüsselung, die es gibt. Sie ist zugleich, nach RIPA Section 49, Hongkongs Vorschriften vom 23. März, Frankreichs 434-15-2 und jedem TOLA-Äquivalent, potenziell eine strafbare Behinderung.
Tails 7.6 erschien am 26. März 2026 — der Zweig auf Basis von Debian 13/GNOME 48 des amnesischen Live-Betriebssystems des Tor-Projekts. Das Kernmerkmal ist der automatische Abruf von Tor-Bridges über die Moat-API mit Domain-Fronting, sodass ein zensiertes Netz einen gewöhnlichen HTTPS-Handshake zu einem populären CDN sieht statt einer expliziten Bridge-Anfrage. Qubes OS 4.3.0 erschien am 21. Dezember 2025 mit Whonix 18, vorgeladenen Disposables für schnelleres Hochfahren virtueller Maschinen und einer neuen Devices-API. VeraCrypt 1.26.18 (Januar 2025) bietet weiterhin versteckte Volumes mit glaubhafter Abstreitbarkeit — wobei kein Gericht in irgendeiner Jurisdiktion die VeraCrypt-Abstreitbarkeit unter dem Druck erzwungener Entschlüsselung geprüft hat und die besten akademischen Angriffe durchaus zeigen, dass sich die Existenz eines versteckten Betriebssystems nachweisen lässt. Nichts davon sind Verbraucherprodukte. Alle davon sind das Arbeitswerkzeug jedes Menschen, der tatsächlich darüber nachgedacht hat, was „Der Passcode ist der Durchsuchungsbeschluss" bedeutet.
Das auswendig gelernte Geheimnis
Jedes Regime erzwungener Entschlüsselung auf der Welt — die zwingenden wie die schützenden — muss eine einzige philosophische Frage beantworten: Hat der Staat das Recht, einen Menschen zu zwingen, Wissen aus dem eigenen Kopf abzurufen und einem Ermittler auszuhändigen? Der deutsche BGH sagte 2024 Nein zu Passcodes und Ja zu Fingerabdrücken. Die Gerichte in Pennsylvania, Utah und Delhi sagten Nein zu Passcodes. Die Hongkonger Novelle sagt Ja, sofern zuvor ein Richter einen Beschluss erlassen hat. Frankreich und das Vereinigte Königreich sagen Ja, ohne viel Federlesens. Das Podchasov-Urteil sagt für Europa Nein, uneingeschränkt. Und der Fünfte Verfassungszusatz in den Vereinigten Staaten sagt Nein, außer in New Jersey, und nur dann, wenn die Anklage bereit ist, den Instanzenzug eines Berufungsbezirks hinaufzuprozessieren, den der US Supreme Court seit sechs Jahren nicht vereinheitlichen will.
Was innerhalb all dieser Antworten übrig bleibt, ist die Unterscheidung, die Richter Stevens vor fast vierzig Jahren gezogen hat. Ein Schlüssel existiert in der physischen Welt. Eine Kombination existiert nur im Kopf. Ein Fingerabdruck ist ein Schlüssel; man kann gezwungen werden, ihn herzugeben. Ein Passcode ist eine Kombination; der Staat müsste in Ihren Kopf greifen, um ihn zu nehmen. Jede biometrische Entsperrung ist eine stille Bestätigung der Theorie von der Biometrie als Schlüssel. Jeder Passcode ist eine kleine Wiederholung des älteren Arguments, dass manches, was man weiß, geschützte Äußerung bleibt, bis man sich entscheidet, es auszusprechen.
Im Jahr 2026 sind die Antworten auf diese Fragen nicht abstrakt. Sie sind Betriebsparameter für Flughäfen, für Autofahrer auf dem Weg nach Kanada, für Forschende, die auf Konferenzen in Hongkong vortragen, für Journalisten, die am LAX landen, für Ärztinnen, die durch Boston Logan reisen, und für jeden, der auf seinem Telefon die Spurenbeweise dessen trägt, was er denkt und wen er liebt und für wen er arbeitet. Die Cellebrite-Matrix ist eine Einkaufsliste. Die Hongkonger Novelle ist ein Anwendungsbeispiel. Die Prairieland-Benachrichtigungsdatenbank ist eine Erinnerung daran, dass die Angriffsfläche größer ist als die App, die Sie deinstalliert haben. Der Fünfte Verfassungszusatz und seine globalen Entsprechungen sind die zerbrechliche Membran zwischen Ihnen und einer Tabelle Ihres eigenen Gedächtnisses.
Es gibt eine Version des nächsten Jahrzehnts, in der Verschlüsselung als technische Frage nahezu perfekt gelöst ist — Signal Secure Backups, Advanced Data Protection, die Migration zu post-quantensicheren Chiffren, der gesamte Jahrgang 2025 an Verbesserungen sicherer Kommunikation — und in der das Rechtsregime der erzwungenen Entschlüsselung all das umgeht, indem es den Passcode in Ihrem Kopf als ein Dokument behandelt, das Sie herauszugeben verpflichtet sind. Der einzige Passcode, der nicht erzwungen werden kann, ist der, den der Staat nicht findet. Das einzige Gerät, das nicht abgebildet werden kann, ist jenes, das ordentlich verschlüsselt ist und sich im Zustand Before First Unlock befindet und ein Betriebssystem betreibt, durch das sich die Extraktionsindustrie noch nicht freigekauft hat, und nur an Orte mitgenommen wird, an denen das Recht Ihr Schweigen nicht als Straftat behandelt.
Diese Liste war früher lang. Sie wird kürzer.
Weiterführendes
- Nationales Sicherheitsgesetz Hongkong, Artikel 43, Änderung der Durchführungsvorschriften 2026, Gesetzblatt der Regierung und Berichterstattung von Hong Kong Free Press (23. März 2026).
- US-Konsulat Hongkong, STEP Security Alert, hk.usconsulate.gov/security-alert-2026032601 (26. März 2026).
- Citizen Lab, "From Protest to Peril: Cellebrite Used Against Jordanian Civil Society" (22. Januar 2026) und "Not Safe for Politics" (Februar 2026).
- Amnesty Security Lab, "Cellebrite zero-day exploit used to target phone of Serbian student activist" (Februar 2025).
- Privacy Guides, "Updated Cellebrite Google Pixel Matrix Leak February 2025".
- EGMR, Podchasov v. Russia — Zusammenfassung der EFF.
- EFF, "Forensic Extraction Tools", Street Level Surveillance.
- Commonwealth v. Davis, Pa. 2019; State v. Valdez, Utah 2023.
- GrapheneOS — Features und Releases.
- Tails 7.6 Release Notes und Qubes OS 4.3.0 Ankündigung.
- 9to5Mac, "FBI used iPhone notification data to retrieve deleted Signal messages" (9. April 2026).
URnetwork baut die Verschlüsselungsschicht für das ganze Internet zwischen Ihnen und dem öffentlichen Netz. ur.io.