Die Abstimmung
Um 11:47 Uhr am Dienstag passierte SB 676 den Senat von Tennessee mit 24 zu 7 Stimmen. Sen. Brent Taylor (R-Memphis), der Initiator, bezeichnete das Gesetz als Transparenz in der medizinischen Forschung. Sen. Jeff Yarbro (D-Nashville) bezeichnete es als „eine vom Staat geführte Liste von Privatpersonen, deren private Behandlung den Staat nichts angeht“. Sen. John Stevens (R-Huntington) schloss sich den sechs Demokraten an — als einziger Republikaner mit Nein-Stimme.
Der Begleitentwurf HB 754 hatte das Repräsentantenhaus bereits am 26. März mit 70 zu 21 Stimmen bei 2 Enthaltungen passiert. Der Senat fügte zwei Änderungsanträge hinzu — die Aufnahme von Ermittlungsbefugnissen für den Generalstaatsanwalt und die Streichung einer Bestimmung zur Veröffentlichung auf County-Ebene —, die das Repräsentantenhaus abgleichen muss, bevor der Entwurf Gouverneur Bill Lee erreicht. Lee hat in seiner Amtszeit als Gouverneur jedes ihm vorgelegte LGBTQ-bezogene Gesetz unterzeichnet. Sein einziges Veto galt einer nicht damit zusammenhängenden Angelegenheit des Bewährungsausschusses im Mai 2025.
Nach dem Wortlaut müssen Gesundheitsdienstleister in Tennessee, die transgeschlechtliche Erwachsene behandeln, einer staatlichen Behörde Folgendes übermitteln:
- Alter und Geburtsdatum der Patientin oder des Patienten
- Bei der Geburt zugewiesenes Geschlecht
- Diagnosecode für Geschlechtsdysphorie
- Wohnsitz-County
- Medikament, Dosierung, Dauer, Verabreichungsweg
- Operationscodes mit Überweisungsquelle
- Name, Kontakt und Fachrichtung der behandelnden Person
- Behandlungstermine
- Vorgeschichte psychischer Erkrankungen
Bei Nichteinhaltung: 150.000 Dollar pro Klinik; sechs Monate Entzug der Zulassung.
Das Vanderbilt University Medical Center hat geschlechtsangleichende Operationen bei Erwachsenen im Februar eingestellt. ETSU Health hat sich öffentlich nicht geäußert. Die Sammelklage Doe v. VUMC ist beim Chancery Court in Davidson County anhängig; das Office for Civil Rights des HHS führt eine parallele Untersuchung. Das Gesetz ist nicht unterzeichnet. Der Abschreckungseffekt ist längst eingetreten.
Was Kansas bereits getan hatte
Am 26. Februar 2026 versandte das Kansas Department of Revenue Massenschreiben über die Ungültigerklärung direkt an rund 1.700 transgeschlechtliche Einwohnerinnen und Einwohner. Ihre Führerscheine wurden für ungültig erklärt. Beim Department of Health and Environment wurden Änderungen der Geburtsurkunde für rund 1.800 weitere Personen annulliert. Diese Zahlen sind von NBC News bestätigt.
Was Kansas nicht getan hat: ein Register aufbauen, um diese Menschen zu identifizieren.
Was es getan hat: in ein bereits vorhandenes hineingreifen.
Das Protokoll der Änderungen von Geschlechtseinträgen liegt beim KDHE Office of Vital Statistics. Die Einträge gehen auf das Vergleichsurteil von 2019 in Foster v. Andersen zurück, in dem Kansas sich verpflichtete — zum Schutz von trans Einwohnerinnen und Einwohnern —, Personenstandsurkunden auf Antrag zu ändern. Die KDOR führt in ihrem Fahrerlaubnissystem eine interne Kennzeichnung für Änderungen des Geschlechtseintrags. Als SB 244 im Januar 2026 verabschiedet wurde und am 26. Februar in Kraft trat, war die Liste derjenigen, die einen Eintrag geändert hatten, bereits vorhanden. Die Zustellungen begannen am Tag des Inkrafttretens.
Die transgeschlechtlichen Einwohnerinnen und Einwohner von Kansas hatten kein Formular ausgefüllt, um auf eine Liste zu kommen. Sie hatten ein Formular ausgefüllt, um von einer gestrichen zu werden. Die Architektur unterschied das nicht.
Die Tür, die Texas geöffnet hat
Am 13. März 2026 entschied der Oberste Gerichtshof von Texas in Paxton v. PFLAG, dass der Generalstaatsanwalt nicht nachweisen muss, dass jemand die Dokumente besitzt, die er verlangt. Die Annahme genügt, nicht der Beweis. PFLAG muss Kommunikation zu Notfallplänen, Überweisungsnetzwerke und Unterlagen zu eidesstattlichen Erklärungen der geschäftsführenden Leitung herausgeben. Dieselbe Logik gilt für Missouri — wo Generalstaatsanwältin Catherine Hanaway den von Andrew Bailey im September 2025 eröffneten berufungsgerichtlichen Weg zu den Unterlagen des Transgender Center der Washington University geerbt hat — und für jeden Generalstaatsanwalt eines Bundesstaates, der ein Verbraucherschutzgesetz nutzt, um Offenlegung zu erzwingen.
Das Urteil verwandelt das zivilrechtliche Auskunftsverlangen in ein Erkundungsinstrument. Es setzt keine Straftat voraus. Es setzt keinen Verdächtigen voraus. Es setzt keine dokumentierten Vorbelastungen voraus. Die Annahme genügt.
Die föderale Kette
Das Gesetz auf Ebene des Bundesstaates stützt sich auf eine Kette bundesrechtlicher Rückabwicklung, die parallel vorangeschritten ist:
- HIPAA Reproductive Health Privacy Rule — am 18. Juni 2025 in Purl v. HHS (N.D. Tex.) aufgehoben. Die Regel hatte Vorladungen von Strafverfolgungsbehörden und zivilrechtliche Auskunftsverlangen der Generalstaatsanwälte der Bundesstaaten für Unterlagen zur reproduktiven Gesundheit begrenzt. Tennessees Generalstaatsanwalt Jonathan Skrmetti führte die Klage von 14 Bundesstaaten an.
- Mehr als 360 Bundeserhebungen — durch Anträge des OMB auf „nicht substanzielle Änderungen“ von Feldern zu sexueller Orientierung und Geschlechtsidentität bereinigt. 83 Prozent der Streichungen erfolgten über diese Verwaltungs-Hintertür, ohne Prüfung nach dem Paperwork Reduction Act.
- DHS Intelligence & Analysis Policy Manual — die Geschlechtsidentität wurde aus den Überwachungsschranken des Handbuchs entfernt. Die sexuelle Orientierung wurde nach Druck der Zivilgesellschaft teilweise wieder aufgenommen. Die Geschlechtsidentität bleibt ausgeschlossen.
- Datenaustauschvereinbarung zwischen CMS und ICE — unterzeichnet im Juli 2025. Sie erfasst 80 Millionen Medicaid-Versicherte. In California v. HHS (N.D. Cal. 3:25-cv-05536) findet am 30. April eine Anhörung darüber statt, ob das HHS mit der Übermittlung von Daten gegen die Anordnung von Richter Chhabria verstoßen hat.
- Palantir ELITE — im KI-Inventar des DHS vom 28. Januar 2026 als generatives KI-Zielsystem geführt, das Daten aus Vorstrafenregistern und Haftbefehlen extrahiert. Die Frist des OMB-Rundschreibens M-25-21 zum 3. April verlangte eine Rechenschaftslegung für hochwirksame KI oder deren Einstellung. Das DHS schwieg. Mobile Fortify, das Gesichtserkennungswerkzeug für den Feldeinsatz, ist ebenfalls ohne abgeschlossene Folgenabschätzung gelistet.
- Acht Festnahmen pro Team und Tag — die dokumentierte operative Quote in M-J-M-A v. Wamsley, festgelegt anhand der Address Confidence Scores von ELITE. Richter Kasubhai untersagte Festnahmen ohne richterlichen Beschluss. Gegen die einstweilige Verfügung läuft ein Berufungsverfahren.
- DOGE bei der SSA — am 10. April 2026 hob der Fourth Circuit en banc die erstinstanzliche einstweilige Verfügung gegen den Zugriff des Department of Government Efficiency auf Daten der Social Security Administration zu 70 Millionen Amerikanerinnen und Amerikanern auf. Richter King führte in seinem Sondervotum aus, die SSA habe der Vorinstanz „patently false“ — offenkundig falsche — Informationen geliefert. Die Mehrheit befand, die Klägerseite habe keinen irreparablen Schaden dargelegt.
Das ist die Kette, die ein Patientendatensatz einer transgeschlechtlichen Person aus Tennessee durchlaufen kann. HIPAA hält sie nicht mehr auf. Bundeserhebungen erfassen sie nicht mehr. Bundeseigene Zielsysteme filtern sie nicht mehr heraus. Bundesaufsichtsfristen verstrichen ohne Befolgung.
Die Vollzugsarchitektur ist einsatzbereit. Die Gesetze, die Tennessee verabschiedet, sind ihre Rohrleitungen.
Wie die Architektur andernorts aussieht
Das Muster ist nicht spezifisch für die Vereinigten Staaten oder für Transgender-Rechte. Es ist das, was zentralisierte Identitätssysteme tun, wenn das Regime, das sie gebaut hat, wechselt — oder wenn sich gar nichts ändert und das System einfach leckt.
Der Umschlag, der die Post gelesen hat
Heute hat die französische Cybersicherheitspresse offengelegt, dass 40 Millionen SMTP-Datensätze des E-Mail-Anbieters Alinto seit Ende Februar auf einem öffentlich erreichbaren Elasticsearch-Cluster lagen. Der Cluster war zusammen mit Alintos sicherem Relay-Produkt Cleanmail.eu gehostet — was bedeutet, dass jeder eingehende Mailfluss für Alintos rund 10.000 Unternehmenskunden über dieselbe Maschine lief. Indexiert waren 4,5 Millionen eindeutige E-Mail-Adressen, mehr als 14.000 E-Mail-Konten französischer Behörden sowie der Verkehr von L'Oréal, Renault, Carrefour, Hermès und DHL. Die französische Presse — Generation-NT, FrenchBreaches, Les Smart Grids, Économie Matin — bestätigt, dass die Datensätze auch Betreffzeilen enthalten, nicht nur Umschlag-Metadaten. Alinto hat den Speicher am 26. Februar stillschweigend geschlossen. Es hat weder eine Sicherheitsmitteilung noch eine Kundenbenachrichtigung herausgegeben. Cybernews, das die Offenlegung entdeckt und heute publik gemacht hat, schrieb, „die potenzielle Angriffsfläche wird allein schon durch die Zahl der Kundenunternehmen sehr viel größer“.
Ein Spamfilter las zwei Monate lang jede Betreffzeile von 14.000 französischen Regierungsmitarbeitenden. Er tat, was Spamfilter tun.
Die Hintertür, die als Ende-zu-Ende vermarktet wurde
Am 27. März wurde eine Sammelklage (3:26-cv-02615, N.D. Cal.) eingereicht, in der behauptet wird, Beschäftigte von Meta und Auftragnehmer von Accenture hätten „weitreichenden Zugriff auf den Inhalt von WhatsApp-Nachrichten gehabt, die eigentlich verschlüsselt sein sollten“. Die Kläger sind Brian Y. Shirazi und Nida Samson, vertreten durch Kessler Topaz Meltzer & Check LLP.
Der stärkste tatsächliche Anker der Klage ist der Ermittlungsbericht des Bureau of Industry and Security im US-Handelsministerium vom Juli 2025 — Codename „Operation Sourced Encryption“ —, der Befragungen von Larkin Fordyce dokumentiert, einem ehemaligen Content-Moderator von Accenture in Austin, Texas, von 2018 bis 2022. Fordyce sagte den Ermittlern, Moderatoren von Meta hätten „letztlich einen eigenen Zugang zu WhatsApp erhalten“, und vor dem direkten Zugang habe „das Facebook-Team alles herausziehen können, was es wollte, und es dann verschicken“. Fordyce bestätigte dies am 29. Januar 2026 gegenüber Bloomberg offiziell: „Ich hatte das Gefühl, dass es den Vereinigten Staaten von Amerika nützt, wenn ich mein Wissen mit der Regierung teile.“
Meta hat die Vorwürfe als „kategorisch falsch und absurd“ bezeichnet. Der Kryptograf Matthew Green schrieb am 2. Februar, eine universelle Hintertür zur Ausleitung von Klartext „wäre im Anwendungscode von WhatsApp sichtbar“ und „würde WhatsApp und Meta aufregenden neuen Formen des Untergangs aussetzen“. Maria Villegas Bravo von EPIC sagte, sie sehe „keinerlei Substanz in dieser Klage“. Nick Doty vom CDT sagte, er wäre „sehr überrascht, wenn die Behauptungen zuträfen“.
Möglicherweise müssen die Kläger die stärkste Fassung des Vorwurfs gar nicht beweisen. Die schwächere Fassung ist bereits dokumentiert. ProPublica berichtete 2021, dass menschliche Moderatoren Klartextkopien von Nachrichten prüfen, die von Nutzenden gemeldet wurden. The Intercept berichtete 2024, dass Metadaten — wer wem wann wie lange schreibt — auch dann fließen, wenn Inhalte es nicht tun, was eine Deanonymisierung über Verkehrsanalyse ermöglicht. Durov selbst hat eingeräumt, dass rund 95 Prozent der WhatsApp-Nutzenden unverschlüsselte Backups bei iCloud oder Google Drive außerhalb des Ende-zu-Ende-Umschlags speichern.
„Ende-zu-Ende-verschlüsselt“ auf einem Client mit geschlossenem Quellcode, betrieben von einem Anbieter, auf Geräten, die mit Backups Dritter synchronisiert werden, mit einer menschlichen Moderationskette für gemeldete Nachrichten und einem Pool von Auftragnehmern, der die Moderationswarteschlange liest, ist keine mathematische Garantie. Es ist eine Vertrauensarchitektur. Vertrauensarchitekturen scheitern nicht, wenn die Mathematik scheitert, sondern wenn der Vertrag darunter den Besitzer wechselt.
Das Ausweisdokument, das zur Fahndungsliste wurde
Am 9. März 2026 lehnte das britische House of Lords den Änderungsantrag 380 mit 123 zu 40 Stimmen ab. Der von Baroness Doocey eingebrachte Antrag hätte die Nutzung von beim DVLA gespeicherten Führerscheinfotos für Gesichtserkennungsabfragen nach Clause 154 des Crime and Policing Bill unterbunden. Der Antrag scheiterte. Fünfzig Millionen Führerscheinfotos stehen der polizeilichen Gesichtserkennung nun per ministerieller Verordnung zur Verfügung, nicht per Parlamentsgesetz. Innenministerin Shabana Mahmood kündigte am 26. Januar 40 neue Fahrzeuge für Live Facial Recognition an, beschafft über das 20-Millionen-Pfund-Rahmenabkommen BLC0168 von BlueLight Commercial mit NEC, Digital Barriers und Bedroq mit Laufzeit bis März 2029. Das Unterhaus berät heute über die Änderungsanträge der Lords.
Ein Führerschein war nie ein polizeiliches Zugangsdokument. 2026 wurde er eines. Die Datenbank hat sich nicht geändert. Ihre Verwendung schon.
Das Muster
Ein zur bürgerlichen Erleichterung geführtes Register wird zu einem Register für den Vollzug. Eine für gemeldete Inhalte gebaute Moderationskette wird zu einem Auftragnehmer, der private Nachrichten liest. Ein zur Sicherheit gebauter Spamfilter wird zu einem Betreffzeilenindex für Spionage. Ein zur Identitätsprüfung gebautes Archiv von Führerscheinfotos wird zu einer Fahndungsliste für Gesichtserkennung. Ein für die Leistungsverwaltung gebautes Medicaid-Datenlager wird zu einem Zielsystem-Feed für die Einwanderungsbehörden.
Jedes System wurde von aufrichtigen Menschen für einen eng umrissenen Zweck entworfen. Jedes wurde einmal gebaut. Jedes wird jetzt für etwas genutzt, das seine Architekten nicht entworfen haben.
Die architektonische Realität besteht nicht darin, dass Regime korrupt sind. Sie besteht darin, dass zentralisierte Dateninfrastrukturen umwidmungsfähige Vermögenswerte sind. Sie gehören demjenigen, der die Behörde leitet, den Vertrag hält, die Verordnung schreibt oder die nächste technische Leitung entlässt. Ihre Umwidmung ist ein Verwaltungsvorgang. Ihre Haltbarkeit als Waffe übersteigt die Haltbarkeit der Schutzvorkehrungen, die sie zur Bauzeit umgaben.
Das ist die zugrunde liegende Frage, die heute dem Senat von Tennessee vorliegt. Es ist auch die Frage, die dem Generalstaatsanwalt von Texas vorliegt, dem britischen Innenministerium, den WhatsApp-Entwicklerinnen und -Entwicklern von Meta, dem Infrastrukturteam von Alinto, dem Palantir-Einsatz von ICE, dem SSA-Zugriff von DOGE und jeder Datenbank in einer Jurisdiktion, in der eine neue Regierung die Nutzungsbedingungen neu schreiben kann.
Die Gegenarchitektur
Es gibt einen Bruch mit dem Muster. Es ist keine politische Korrektur. Politik ist regimeabhängig. Die Alternative ist eine Architektur, die keine Listen erzeugt.
Konkret:
- Nicht aufzählbare Endpunkte — nicht die Nutzerdatenbank eines einzelnen Anbieters. Mehrparteien-Transport ohne zentrales Kontenregister. URnetwork ist eine Umsetzung; Mixnetze und Overlay-Netzwerke sind weitere.
- Kein verknüpfender Identifikator — dem Aadhaar/SSN-Muster widerstehen. Nachweise mit selektiver Offenlegung auf Basis von Zero-Knowledge-Beweisen und verifizierbaren Credentials geben nur das abgefragte Attribut preis, ohne die Identität der Inhaberin oder des Inhabers.
- Privatsphäre auf der Transportschicht einschließlich Umschlag-Metadaten — das Leck im E-Mail-Umschlag ist eine fünfzig Jahre alte Architekturentscheidung. Nachrichtenprotokolle, die Sender, Empfänger und Zeitmuster verbergen, existieren. Sie sind unterausgerollt, weil die dominierenden Anbieter an genau den Daten verdienen, die E-Mail preisgibt.
- Selbstverwahrung von Identitätsnachweisen — ein Identitätssystem, dessen maßgebliche Kopie auf dem Gerät der nutzenden Person liegt und nicht auf einem staatlichen Server, kann nicht per Postkampagne abgerufen werden.
- Infrastruktur ohne Anbietervertrauen — Matrix-basierte Messenger laufen bei 35 Regierungen und 600.000 französischen Beschäftigten des öffentlichen Dienstes, weil es keinen einzelnen Anbieter gibt, den man unter Druck setzen könnte. Signal wuchs im Jahresvergleich um 67 Prozent auf 85 Millionen monatlich aktive Nutzende; die Stiftung schloss 2024 mit einem Defizit ab, doch der Spendentrend verbessert sich. Briar hielt iranische Demonstrierende während der landesweiten Internetabschaltung am 8. Januar allein über Mesh-WLAN und Bluetooth verbunden.
Manches davon ist ausgereift und heute einsetzbar. Manches ist weniger ausgereift, besonders im Bereich Identität. Die Frage ist nicht, ob eine Gegenarchitektur existiert. Die Frage ist, ob wir die nächste Liste weiter auf demselben Fundament bauen und darauf vertrauen, dass sich die nächste Regierung anständig verhält.
Schluss
Die Liste entstand vor dem Gesetz. Das Gesetz ist bloß der Eigentümer.
In Kansas wechselte der Eigentümer 2024, und 2026 gingen die Schreiben hinaus. In Tennessee stimmte der Senat heute dafür, dem Eigentümer neue Schlüssel zu geben. In Texas entschied der Oberste Gerichtshof, dass ein Generalstaatsanwalt ohne Beschluss durch die Tür greifen darf. In Washington wurde die bundesweite Filterung abgeschafft. In London wurde ein Führerschein per Verordnung zum polizeilichen Zugangsdokument. In Metas Moderationswarteschlange las ein Auftragnehmer die Nachrichten. In einem Rechenzentrum in Lyon las ein Spamfilter die Betreffzeilen.
Die architektonische Frage lautet, ob wir weiterhin Listen an die guten Regierungen vermieten und hoffen, dass die nächste ebenfalls gut ist.
Heute haben vierundzwanzig Senatoren in Nashville dafür gestimmt, die nächste zu vermieten.
Quellen: Nashville Banner (14. April 2026), Nashville Scene, Washington Blade, LegiScan HB 754 roll call, NBC News (28. Februar 2026), KERA News (13. März 2026), Missouri Independent (16. September 2025), NPR (28. Februar 2026), Ropes & Gray (HIPAA-Aufhebung), Pressemitteilung des Generalstaatsanwalts von Tennessee (4. Februar 2026), Bloomberg (29. Januar 2026), Stellungnahmen von EPIC / Matthew Green / CDT über Slashdot und Cybernews, Cybernews (14. April 2026 zu Alinto), Generation-NT / FrenchBreaches, Hansard (9. März 2026, Lords), gov.uk (26. Januar 2026, Home Office), Cybernews und 404 Media zu Flock, The Block (9. April 2026 zu Storm), PCLOB 2023 und FISC-Entscheidung vom April 2022, Verfahrensakten N.D. Cal. 3:25-cv-05536 und 3:26-cv-02615, M-J-M-A v. Wamsley, Fourth Circuit en banc (10. April 2026), Signal Foundation Form 990 FY2024. Einzelne themenbezogene Rechercheunterlagen im blog-research-Verzeichnis dieser Ausgabe.