Fünf Tage, sieben Tage, dreizehn Tage

Drei Fristen

Um 23:59 Uhr Ostküstenzeit am Montag, dem 20. April, tritt Section 702 des Foreign Intelligence Surveillance Act außer Kraft, sofern der Kongress nicht handelt. Am Mittwoch, dem 22. April, werden von China Telecom ausgegebene SIM-Karten in einem bislang unbestimmten Teilnehmerbestand das internationale Roaming nicht mehr unterstützen — laut einer geleakten Textnachricht und einer internen Anweisung von Shaanxi Telecom, die Infrastrukturbetreiber auffordert, „jede Form von Umgehungsgeschäft zu unterbinden“. Am Dienstag, dem 28. April, müssen die Behörden der zivilen Bundesexekutive die Behebung von CVE-2026-32201 abschließen, jener aktiv ausgenutzten Spoofing-Schwachstelle in SharePoint, die Microsoft gestern offenlegte und die die Cybersecurity and Infrastructure Security Agency noch am selben Tag in ihren Katalog bekannter ausgenutzter Schwachstellen aufnahm.

Fünf Tage. Sieben Tage. Dreizehn Tage. Drei Fristen, gesetzt von drei verschiedenen Behörden nach drei verschiedenen Rechtsordnungen. Sie sind nicht koordiniert. Sie beschreiben nicht dasselbe Ereignis. Aber in dieser Woche beschreiben sie zum ersten Mal seit einigen Jahren dieselbe Frage.

Die Frage lautet, was mit einer zentralisierten Kommunikations- oder Akteninfrastruktur geschieht, wenn die Behörde, der sie gehört, ihre Meinung darüber ändert, was damit zu tun sei. Section 702 wurde für die Auslandsaufklärung gebaut. Das FBI fragt es inzwischen für inländische Ermittlungen ab. Das chinesische System der Netzbetreiberlizenzen wurde gebaut, um chinesische Bürgerinnen und Bürger mit dem globalen Internet zu verbinden. Pekings Regulierer nutzen es nun, um diese Verbindung auf der Betreiberschicht zu kappen. Microsoft SharePoint wurde gebaut, um gemeinsam bearbeitete Dokumente zu hosten. Es läuft derzeit in Unternehmensnetzen, die ein nicht authentifizierter Angreifer erreichen kann, und der zivilen Bundesexekutive bleiben weniger als zwei Wochen, um diese Reichweite abzuschalten, bevor aus einem Vorfallsbericht eine Meldung über eine Kompromittierung wird.

Die heutige Ausgabe behandelt die drei Fristen und die Ereignisse um sie herum — die Anhörung zum Prüfbericht in Pasadena heute Abend, die Aufhebung der DOGE/SSA-Verfügung durch den Fourth Circuit am 10. April, das Eingeständnis des US-Gesundheitsministeriums vom 9. April, entgegen einer bundesgerichtlichen Anordnung einen „großen und komplexen“ Medicaid-Datensatz mit der Einwanderungsbehörde ICE geteilt zu haben, die Senatsabstimmung in Tennessee von gestern mit 24 zu 7 über ein Patientenmelderegister und Virginias parteiübergreifende Unterzeichnung eines Verkaufsverbots für Standortdaten am Montag. Sieben einzelne Nachrichtenereignisse in sieben Tagen. Ein Muster darunter.

Pasadena heute Abend

Um 17 Uhr Pazifikzeit hört der Ausschuss für öffentliche Sicherheit von Pasadena heute den internen Prüfbericht der Stadt zu ihrem Programm automatischer Kennzeichenlesegeräte von Flock Safety. Der vorab veröffentlichte vorläufige Befund lautet: "no evidence of misuse or unauthorized access" — kein Hinweis auf Missbrauch oder unbefugten Zugriff. Polizeichef Gene Harris wird ihn vorstellen. Alle 184.000 Treffer, die die 61 Flock-Kameras der Stadt im Jahr 2025 erzeugten, waren an dokumentierte Vorgangsnummern gebunden. Der Zugriff war auf vereidigte Beamte, Einsatzdisponenten und Kriminalanalysten beschränkt. Die Speicherdauer betrug 30 Tage. Die Behörde plant, 11 weitere Kameras zu installieren und den Bestand damit auf 72 zu bringen. Pasadenas allgemeine Aufklärungsquote stieg von 28,96 Prozent im Jahr 2023 auf 35,26 Prozent im Jahr 2025. Der Prüfbericht behauptet nicht, dass Flock den Anstieg verursacht hat. Er berichtet die Korrelation.

Der Prüfbericht ist in seinem Umfang in sich stimmig. Sein Umfang reicht nicht bis zu dem Netz darüber.

Am 3. April 2026 reichte die Kanzlei Gibbs Mura am San Francisco Superior Court eine geänderte Sammelklage ein. Sie wirft Flock Safety vor, über einen Zeitraum von sieben Monaten mehr als 1,6 Millionen Abfragen aus anderen Bundesstaaten auf die Kennzeichenleser-Datenbank des San Francisco Police Department erlaubt zu haben — unter Verstoß gegen Kaliforniens ALPR Privacy Act von 2015. Die Klage behauptet nicht, dass Beamte in San Francisco die Datenbank missbraucht hätten. Sie behauptet, dass die Netzschicht über der Behörde — das Flock National LPR Network, in mehr als 5.000 Gemeinden und bei 4.800 Strafverfolgungsbehörden im Einsatz, mit mehr als 20 Milliarden Fahrzeugscans pro Monat — jenes Muster der jurisdiktionsübergreifenden Weitergabe erzeugte, das SB 34 verbietet. Der behauptete Verstoß ist nicht die Abfrage des örtlichen Beamten. Er ist die Architektur, die die Abfrage aus einem anderen Bundesstaat von dem Moment an möglich machte, in dem die Weitergabe aktiviert wurde.

Am 14. April, einen Tag vor der heutigen Anhörung und elf Tage nach der geänderten Klage, kündigte Flock Safety über GlobeNewswire ein Produkt namens Audit Assistance an. Es wird beschrieben als Werkzeug, das „fortlaufend die Systemaktivität überwacht und Suchmuster sichtbar macht, die außerhalb der üblichen Nutzung einer Behörde liegen“. Es wird an die Administratoren der Behörden ausgeliefert. Es ist kein Transparenzwerkzeug für die Öffentlichkeit.

Jenseits des Freeway 110, in South Pasadena, kam der Stadtrat im Februar 2026 zum gegenteiligen Schluss. Vierzehn Flock-Kameras werden abgebaut. Die Stadt nannte Bedenken zur Datensicherheit, nachdem bestätigt worden war, dass südkalifornische Flock-Daten von der Bundes-Einwanderungsbehörde und von Polizeibehörden anderer Bundesstaaten abgerufen worden waren. Zwei benachbarte Städte, ein Anbieter, gegenteilige Entscheidungen. Der Unterschied liegt nicht in der Qualität der Politik. Er liegt darin, was jeder Rat für die Frage hielt.

Die Aktenlage war offenkundig falsch

Am Freitag, dem 10. April 2026, hob das US-Bundesberufungsgericht für den Vierten Bezirk in Vollbesetzung (en banc) eine einstweilige Verfügung auf, die dem Department of Government Efficiency den Zugriff auf die Akten der Sozialversicherungsbehörde untersagt hatte — Akten zu rund 70 Millionen Amerikanerinnen und Amerikanern. Das Verfahren ist American Federation of State, County and Municipal Employees v. Social Security Administration, No. 25-1411. Die Mehrheit befand, die Klägerseite habe keinen nicht wiedergutzumachenden Schaden dargelegt.

Richter Robert King widersprach. Sein Sondervotum ist für ein Bundesberufungsgericht ungewöhnlich. Die Sozialversicherungsbehörde und die übrigen Beklagten, schrieb King, hätten dem Bezirksgericht „patently false information to the district court in the preliminary injunction proceedings“ geliefert — offenkundig falsche Informationen im Verfahren über die einstweilige Verfügung. Frühere Entscheidungen, fuhr er fort, seien „rendered on a materially erroneous record“ ergangen — auf einer in wesentlichen Punkten fehlerhaften Aktenlage. Die Mehrheit erkannte keinen der beiden Befunde an. Vier Tage später, am Dienstag, dem 14. April, hob das US-Bezirksgericht für den District of Maryland seine Aussetzung des Verfahrens auf und gab dem Antrag der Klägerseite auf Beweisermittlung statt. Das Bezirksgericht wird nun jene Aktenlage prüfen, von der der Fourth Circuit sagte, er könne sie nicht prüfen — jene Aktenlage, von der die Regierung selbst in einem Schriftsatz vom Januar eingeräumt hatte, dass sie unvollständig gewesen sei.

Der Schriftsatz vom Januar sagte etwas Bestimmtes. Er sagte, ein DOGE-Mitarbeiter habe eine Vereinbarung über die Weitergabe von Sozialversicherungsdaten an eine nicht genannte politische Interessengruppe unterzeichnet, die Wahlergebnisse in bestimmten Bundesstaaten kippen wollte. Die Vereinbarung war dem Schriftsatz zufolge nicht über das übliche Prüfverfahren der Sozialversicherungsbehörde für Datenweitergaben autorisiert. Der Schriftsatz benannte die Gruppe nicht. Er benannte die Bundesstaaten nicht. Er sagte nur, dass die Vereinbarung existierte. Die Mehrheit im Fourth Circuit befand, die bloße Existenz der Vereinbarung begründe für sich genommen nicht den von der Klägerseite behaupteten, nicht wiedergutzumachenden Schaden. Richter King befand, das Verschweigen der Vereinbarung zum Zeitpunkt des ursprünglichen Verfügungsverfahrens sei selbst das Problem der Aktenlage.

Danach greift die Beweisermittlungsanordnung vom 14. April. Der Klägerseite wird nun erlaubt zu prüfen, worauf DOGE zugegriffen hat, wann, mit welcher Autorisierung und zu welchen weiteren Zwecken. Die 70 Millionen Leistungsberechtigten, um deren Akten es geht, werden die Beweisermittlung selbst nicht zu sehen bekommen. Ihre Daten sind bereits dort, wo sie sind. Was die Beweisermittlung feststellen kann, ist allein die Verwahrkette — wer die Daten wann hielt und wofür. Ob die Daten von dort, wohin sie gelangt sind, zurückgeholt werden können, ist keine Frage, die die Beweisermittlung beantwortet. Daten bewegen sich nicht zurück.

Der Fall der Sozialversicherungsbehörde ist kein Einzelfall. Er ist einer von zwei parallelen Bundesakten-Verfahren im selben Zehn-Tage-Fenster. Das zweite liegt im Northern District of California.

Der große und komplexe Datensatz

Am Donnerstag, dem 9. April, räumte die Bundesregierung im Verfahren California v. U.S. Department of Health and Human Services, No. 25-cv-05536 (N.D. Cal.), in einem Schriftsatz ein, dass sie einen "large and complex" — großen und komplexen — Datensatz zu Medicaid-Versicherten mit der Einwanderungsbehörde ICE geteilt hatte. Eine Koalition von 22 Generalstaatsanwälten der Bundesstaaten unter Führung Kaliforniens hatte geltend gemacht, die Weitergabe verstoße gegen eine Anordnung von Richter Vince Chhabria aus dem Dezember 2025. Diese Anordnung hatte es ICE erlaubt, nur einen engen Satz biografischer Felder abzurufen — Adressen, Telefonnummern, Geburtsdaten sowie Staatsangehörigkeits- oder Aufenthaltsstatus — und nur in Bezug auf Personen, deren rechtmäßiger Aufenthalt in den Vereinigten Staaten nicht festgestellt war. Die Anordnung untersagte ausdrücklich die Erhebung zu US-Staatsangehörigen und dauerhaft Aufenthaltsberechtigten.

Der Schriftsatz vom 9. April bestritt die Weitergabe nicht. Er legte sie offen. Was er nicht offenlegte, war, wie das Gesundheitsministerium bestimmt hatte, welche Versicherten in die eng gefassten erlaubten Kategorien fielen und welche nicht. Der Vorwurf der 22 Bundesstaaten läuft im Kern darauf hinaus, dass das Ministerium diese Bestimmung nie vorgenommen hat — dass es Medicaid-Akten im Bündel weitergab und die Kategorisierung auf der anderen Seite der Übertragung, durch ICE, mit den bereits weitergegebenen Daten vornehmen ließ. Die Daten betreffen rund 80 Millionen Versicherte im ganzen Land. Eine Vollstreckungsanhörung ist für den 30. April angesetzt.

Die Medicaid-Daten und die Sozialversicherungsdaten beschreiben dieselbe Architektur. Akten, bei einem Bundesverwahrer zu einem bestimmten gesetzlichen Zweck aggregiert. Eine spätere Entscheidung der Exekutive, die Aggregation einer anderen Behörde zu einem anderen Zweck verfügbar zu machen. Eine gerichtliche Anordnung, die die Zweitnutzung einzuhegen versucht. Ein späterer Schriftsatz, der offenlegt, dass die Zweitnutzung über die Anordnung hinausging. Im Fall der Sozialversicherungsbehörde war die Offenlegung unfreiwillig — erzwungen durch die Beweisermittlung der Klägerseite und ein abweichendes Richtervotum. Im Medicaid-Fall stand die Offenlegung in einem Regierungsschriftsatz, der die Offenlegung offenbar weniger anbot als sie nachträglich zu Protokoll gab.

Die Architektur unter beiden Verfahren unterscheidet sich nicht von der Architektur unter Pasadenas Flock-Prüfbericht. Ist die Aggregation erst einmal erfolgt, ist die Frage, was mit der Aggregation geschieht, keine Frage, die irgendein einzelner Prüfbericht ausschließen kann. Die Beweisermittlung kann sie beschreiben. Eine gerichtliche Anordnung kann sie beschränken. Eine Vereinbarung über Datenweitergabe kann sie formalisieren. Die Aggregation selbst ist die Voraussetzung für all diese nachgelagerten Handlungen. Aggregation ist das, was das Nachgelagerte möglich macht.

Divergenz der Bundesstaaten

Zwei Bundesstaaten haben in dieser Woche über Datenaggregation abgestimmt. Sie gingen in entgegengesetzte Richtungen.

Am Montag, dem 13. April, unterzeichnete Gouverneurin Abigail Spanberger von Virginia SB 338. Das Gesetz verbietet den Verkauf präziser Standortdaten — definiert als Daten, die den Aufenthaltsort einer Verbraucherin auf 1.750 Fuß genau bestimmen können — durch jeden Verantwortlichen für personenbezogene Daten, der im Commonwealth tätig ist. Das Gesetz passierte die Virginia General Assembly in jedem Verfahrensschritt einstimmig und parteiübergreifend. Es tritt am 1. Juli 2026 in Kraft. Virginia wird damit nach Oregon und Maryland der dritte Bundesstaat mit einem solchen Verbot. Ähnliche Gesetzentwürfe sind in Kalifornien, Connecticut, Massachusetts und Vermont anhängig. Standortdaten haben als Stellvertreterfeld in bundesbehördlichen Zielauswahl-Abläufen der Einwanderungsbehörden gedient, die laut OMB-Verzeichnissen und Berichterstattung von 404 Media Datenhändler-Feeds über Palantirs Anwendung ELITE verarbeitet haben.

Am Dienstag, dem 14. April, um 11:47 Uhr Zentralzeit, stimmte der Senat des Bundesstaats Tennessee mit 24 zu 7 für SB 676. Das Gesetz verpflichtet Gesundheitsdienstleister, jede erwachsene Transgender-Patientin und jeden erwachsenen Transgender-Patienten, die oder den sie behandeln, an eine staatliche Stelle zu melden — nach Alter und Geburtsdatum, nach dem bei der Geburt zugewiesenen Geschlecht, nach Wohnsitz-County, nach Medikament, Dosis, Dauer und Verabreichungsweg, nach chirurgischem Eingriffscode und Überweisungsquelle, nach Kontaktdaten und Fachrichtung der Behandelnden, nach Besuchsdatum und nach der Vorgeschichte psychischer Erkrankungen. Einbringer war Sen. Brent Taylor aus Memphis. Die einzige republikanische Nein-Stimme kam von Sen. John Stevens aus Huntington. Das Pendant im Repräsentantenhaus, HB 754, wurde am 26. März mit 70 zu 21 Stimmen bei zwei Enthaltungen angenommen. Der Senat fügte zwei Änderungen hinzu — Ermittlungsbefugnisse für den Attorney General ergänzt, eine Bestimmung zur Veröffentlichung auf County-Ebene gestrichen — und gab das Gesetz zur Abstimmung an das Repräsentantenhaus zurück. Gouverneur Bill Lee hat in seiner Amtszeit jedes LGBTQ-bezogene Gesetz unterzeichnet, das ihm vorgelegt wurde. Sein einziges Veto galt einer nicht damit zusammenhängenden Angelegenheit des Bewährungsausschusses im Mai 2025. Sanktionen bei Verstoß: 150.000 US-Dollar je Praxis, sechs Monate Approbationsentzug.

Die beiden Gesetze erreichten die Schreibtische ihrer jeweiligen Gouverneure achtzehn Stunden auseinander. Das eine verhindert, dass eine Datenkategorie zu einem kommerziellen Markt zusammengeführt wird. Das andere erzwingt, dass eine Datenkategorie zu einem staatlichen Archiv zusammengeführt wird. Beide sind Landesrecht, von Landesparlamenten beschlossen, von Gouverneuren unterzeichnet (oder demnächst zu unterzeichnen). Die Divergenz ist architektonisch, nicht parteipolitisch. Virginias Gesetz entfernt die Aggregation. Tennessees Gesetz stellt eine her. Die Bundesgerichte verhandeln in dieser Woche, was mit bereits bestehenden Aggregationen geschieht.

Fünf Tage: Section 702

Section 702 des FISA läuft um Mitternacht des 20. April aus, sofern der Kongress nicht handelt. Die Wahl vor dem Kongress ist binär. Entweder wird das Gesetz im Wesentlichen in seiner jetzigen Form neu autorisiert — ein Ergebnis, auf das das Weiße Haus unter Führung von Senior Adviser Stephen Miller und CIA-Direktor John Ratcliffe hingearbeitet hat — oder der Government Surveillance Reform Act of 2026, S.4082, verändert es substanziell.

S.4082 wurde am 12. März von den Senatoren Ron Wyden aus Oregon und Mike Lee aus Utah eingebracht. Zu den Mitantragstellern zählen die Senatorinnen Cynthia Lummis aus Wyoming und Elizabeth Warren aus Massachusetts — eine Paarung von libertärer Rechter und progressiver Linker, die bei Fragen zum Vierten Verfassungszusatz auftritt und sonst fast nirgends. Das Pendant im Repräsentantenhaus stammt von den Abgeordneten Warren Davidson aus Ohio und Zoe Lofgren aus Kalifornien, beide im Justizausschuss des Repräsentantenhauses. Der Entwurf tut vier Dinge. Erstens: Er verpflichtet das FBI, vor jeder Abfrage der 702-Datenbank zu einer US-Person einen auf hinreichenden Tatverdacht gestützten Beschluss des Foreign Intelligence Surveillance Court einzuholen. Zweitens: Er untersagt Bundesbehörden, Daten von Amerikanerinnen und Amerikanern ohne Beschluss bei kommerziellen Datenhändlern zu kaufen, und übernimmt damit den Fourth Amendment Is Not For Sale Act. Drittens: Er erweitert die Freigabepflichten beim FISC. Viertens: Er ändert den Electronic Communications Privacy Act dahingehend, dass für gespeicherte Kommunikation unabhängig von ihrem Alter ein Beschluss erforderlich ist.

Das Argument der Regierung, von Ratcliffe in nichtöffentlichen Senatsbriefings vorgetragen und öffentlich wiederholt, lautet, Section 702 liefere die Mehrheit der Beiträge im President's Daily Brief — eine Behauptung, die NSA-Direktor Mike Rogers 2017 erstmals in einer Kongressanhörung aufstellte und die seither jeder Director of National Intelligence und jeder CIA-Direktor wiederholt hat. Der nachrichtendienstliche Wert wird als unersetzlich dargestellt; ein selbst kurzes Auslaufen wird als Lücke dargestellt, die Gegner ausnutzen würden. Speaker Mike Johnson hat sich öffentlich nicht auf einen Zeitplan im Plenum festgelegt. Der Vorsitzende des Geheimdienstausschusses des Senats, Mark Warner, und sein Stellvertreter Tom Cotton haben eine Neuautorisierung mit begrenzten Verfahrensreformen unterstützt und den GSRA abgelehnt. Zu S.4082 hat in keiner der beiden Kammern eine Ausschussberatung stattgefunden.

Der Weg des Reformentwurfs zu einer Abstimmung im Plenum binnen fünf Tagen ist nach herkömmlichen parlamentarischen Maßstäben unwahrscheinlich. Der Weg der sauberen Neuautorisierung ist die Standardeinstellung. Die Standardeinstellung ist das, was auf der Uhr steht.

Die architektonische Tatsache unter der Debatte ist, dass Section 702 nicht selbst die Überwachung ist. Es ist die gesetzliche Befugnis, amerikanische Anbieter elektronischer Kommunikationsdienste anzuweisen, die von ihnen gehaltene Kommunikation herauszugeben. Die Anbieter halten die Kommunikation, weil die Architektur amerikanischer Internet- und Mobilfunkdienste Aufzeichnungen auf der Betreiber- und Plattformschicht konzentriert. Salt Typhoon, die chinesische Nachrichtendienstoperation, die zwischen 2019 und 2024 mindestens neun US-Telekommunikationsanbieter durchdrang, erreichte genau jene Infrastruktur für die rechtmäßige Überwachung, auf die sich 702 und seine Schwesterbefugnisse stützen. Der für die amerikanische Aufklärung entworfene Engpass war der Engpass, den ein ausländischer Nachrichtendienst ausnutzte. Zentralisierte Zugangspunkte suchen sich ihre Nutzer nicht aus.

Sieben Tage: das Locknet schließt sich

Am Mittwoch, dem 22. April, wird eine bislang unbestimmte Zahl chinesischer Mobilfunkkunden auf ihren aktuellen SIM-Karten das internationale Roaming verlieren. Die Benachrichtigung war eine am 8. April bekannt gewordene Textnachricht von China Telecom, wonach ein SIM-Tausch die einzige Abhilfe sei. Eine gesonderte interne Anweisung, die Shaanxi Telecom zugeschrieben und von Qihang CDN an Geschäftskunden verteilt wurde, weist Internetdienstanbieter an, sämtliche ausgehenden Verbindungen über das chinesische Festland hinaus zu blockieren — einschließlich Verbindungen nach Hongkong, Macau und Taiwan — und „jede Form von Umgehungsgeschäft“ zu unterbinden. Diese Kategorie umfasst kommerzielle VPN-Dienste, Proxy-Routing und jene als „airport“ bekannten Vermittlungsdienste, auf die sich die meisten chinesischen Nutzerinnen und Nutzer von Umgehungswerkzeugen stützen.

Die architektonische Haltung, die diese Anweisung ausdrückt, unterscheidet sich von früherer chinesischer Internetdurchsetzung. Frühere Durchsetzung, konzentriert auf der Nutzerschicht, beruhte auf der massenhaften Erkennung von Umgehungsverkehr und der Verfolgung einzelner Nutzer und kleiner Betreiber. Die neue Haltung setzt auf der Infrastrukturschicht an. Lizenzierten Netzbetreibern, lizenzierten Rechenzentren und lizenzierten ISPs droht der dauerhafte Entzug der Betriebslizenz, wenn sie Umgehungsverkehr über ihre Infrastruktur zulassen. Das Ziel der Durchsetzung ist nicht die Nutzerin, die die Great Firewall umgehen will. Das Ziel der Durchsetzung ist der Betreiber, der den dafür nötigen Transit bereitstellen würde.

Forscherinnen und Forscher der Northeastern University haben das System in einem Rahmen neu beschrieben, den sie „Locknet“ (Schleusennetz) nennen — als Ersatz für die Metapher der „Great Firewall“, die eine zu überwindende Mauer nahelegte, durch die Metapher von Wasserschleusen, die selektiv geöffnet und geschlossen werden können und unter manchen Bedingungen etwas Verkehr durchlassen und unter anderen gar keinen. Was sich am 22. April schließt, ist keine neue Schleuse. Es ist eine bestehende Schleuse, die durch eine Anweisung auf der Infrastrukturschicht enger gestellt wird.

Der russische Vergleich liegt nahe und ist aufschlussreich. Am 1. April 2026 haben russische Behörden Berichten zufolge Telegram — die meistgenutzte Messaging-Anwendung des Landes — vollständig blockiert, und am 31. März kündigte der Minister für digitale Entwicklung, Maksut Schadajew, an, dass Mobilfunkanbieter bis zu 150 Rubel, rund 1,80 US-Dollar, je Gigabyte für internationale Daten berechnen dürfen, die jenseits von 15 Gigabyte im Monat über VPNs geroutet werden. Der staatsnahe Messenger MAX, von dem weithin angenommen wird, dass er vom Föderalen Sicherheitsdienst überwacht wird, ist auf allen in Russland neu verkauften Geräten vorinstalliert. Seit Anfang März haben teilweise Mobilfunk-Abschaltungen das Moskauer Zentrum und St. Petersburg getroffen — was Einheimische in einigen berichteten Fällen auf Pager und Papierkarten zurückgreifen ließ. Kreml-Sprecher Dmitri Peskow hat öffentlich bestätigt, während der Abschaltungen sein Festnetztelefon zu nutzen.

Die chinesische Anweisung und die russische Blockade unterscheiden sich im Mechanismus, nicht in der Prämisse. Beide setzen einen erzwingbaren Anbieter voraus. Die Kooperation des Anbieters ist die Einheit der Durchsetzung. Die Durchsetzung wirkt auf die Infrastruktur, weil die Infrastruktur erreichbar, benannt und lizenziert ist. Die Nutzerin, deren Verkehr blockiert wird, ist nicht die gezwungene Partei. Der Netzbetreiber ist es.

Dreizehn Tage: der Patch, den niemand fertigstellen wird

Am Dienstag, dem 14. April, veröffentlichte Microsoft Patches für 167 Common Vulnerabilities and Exposures. Es war der zweitgrößte Patchday in der Geschichte des Unternehmens, nahe am Rekord vom Oktober 2025. Acht der Schwachstellen sind als kritisch eingestuft. Sieben davon erlauben Remote Code Execution. Schwachstellen zur Rechteausweitung machten 57,1 Prozent des Pakets aus.

Zwei der Schwachstellen sind Zero-Days. CVE-2026-33825 ist eine Rechteausweitungs-Schwachstelle in Microsoft Defender, vor dem Patch öffentlich bekannt gemacht, aber noch nicht in freier Wildbahn ausgenutzt. CVE-2026-32201 ist eine Spoofing-Schwachstelle in Microsoft SharePoint Server 2016, 2019 und der Subscription Edition. CVSS 6.5. Geringe Angriffskomplexität. Keine Authentifizierung erforderlich. Keine Nutzerinteraktion erforderlich. In freier Wildbahn ausgenutzt.

Die CISA nahm CVE-2026-32201 am 14. April in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Die Behörden der zivilen Bundesexekutive sind nach der Binding Operational Directive 22-01 zur Behebung verpflichtet. Die Frist ist der 28. April. Vierzehn Tage nach der Ankündigung. Die bindende Zuständigkeit der CISA reicht an rund 100 zivile Bundesbehörden und erfasst Bundesstaaten und Kommunen, die wehrtechnische Industriebasis oder Betreiber aus der Privatwirtschaft nicht unmittelbar. Ein großer Teil des SharePoint-Bestands liegt außerhalb des FCEB-Perimeters. Für diese Betreiber ist die CISA-Frist eine Empfehlung.

SharePoint ist das Unternehmenssubstrat für Dokumentenzusammenarbeit in amerikanischen Bundesstaaten und Kommunen, bei Rüstungsauftragnehmern und in einem erheblichen Teil der Privatwirtschaft. Eine Spoofing-Schwachstelle auf einem öffentlich erreichbaren SharePoint-Server ist ein Brückenkopf, von dem aus ein Angreifer sich seitwärts in alles bewegen kann, was die Organisation zum benachbarten Ökosystem des Servers gemacht hat — Identitätsföderationen, Dateifreigaben, Kollaborationsgraphen, zwischengespeicherte Zugangsdaten. Dreizehn Tage sind die Zeit, die zivile Bundesbehörden haben, um den Brückenkopf zu schließen. Für den Rest des Bestands gibt es keine Frist. Es gibt nur den Patch.

Die architektonische Lesart

In dieser Woche haben sich sieben verschiedene technische Systeme bewegt. Das Flock National LPR Network aggregiert 20 Milliarden Fahrzeugerfassungen pro Monat aus mehr als 5.000 Gemeinden. Die Aktenverwahrung der Sozialversicherungsbehörde umfasst 70 Millionen Amerikanerinnen und Amerikaner und darf nach der Beweisermittlungsanordnung aus Maryland vom 14. April nun auf den Umfang des DOGE-Zugriffs hin geprüft werden. Die CMS-Datenbank der Medicaid-Versicherten umfasst rund 80 Millionen Versicherte und wurde laut dem Schriftsatz des Gesundheitsministeriums vom 9. April bereits über den gerichtlich angeordneten Umfang hinaus mit ICE geteilt. Tennessees geplantes Patientenregister zwingt eine neue Kategorie von Gesundheitsdaten in ein staatliches Archiv. Virginias neues Gesetz entfernt eine Kategorie von Standortdaten aus dem kommerziellen Markt. Section 702 des FISA wird entweder bis zum 20. April in seiner jetzigen Form neu autorisiert oder durch den GSRA verändert. Chinas System der Netzbetreiberlizenzen wird bis zum 22. April die ausgehende internationale Konnektivität für eine unbestimmte Zahl von Mobilfunkkunden kappen. Microsoft-SharePoint-Server in der gesamten zivilen Bundesexekutive müssen bis zum 28. April gepatcht werden, um eine aktiv ausgenutzte Spoofing-Schwachstelle zu schließen.

Das sind sieben verschiedene Systeme, gebaut von sieben verschiedenen Gruppen von Ingenieuren, in sieben verschiedenen Rechtsordnungen, unter sieben verschiedenen Rechtsregimen, zu sieben verschiedenen Zwecken. In der zweiten Aprilwoche 2026 wird jedes von ihnen neu zugewiesen, angefochten oder umgestellt. Die gemeinsame Eigenschaft ist nicht der Inhalt der Daten oder die Identität der handelnden Behörde. Die gemeinsame Eigenschaft ist, dass jedes System zentralisiert ist, in einen adressierbaren Speicher aggregiert und operativ erzwingbar durch diejenige Behörde, die Zuständigkeit über seinen Betreiber hat.

Eine alternative Architektur ist kein theoretisches Objekt. Sie ist die Architektur, in der Endpunkte nicht aufzählbar sind, in der kein zentraler Anbieter jenen systemübergreifenden Verknüpfungsschlüssel hält, den kommerzielle Datenhändler zu Geld machen und Vorladungen erreichen, in der Verkehr über mehrparteiige Pfade durch Knoten läuft, die kein einzelner Betreiber kontrolliert und keine einzelne gerichtliche Anordnung zwingen kann. Ein System ohne einen einzelnen erzwingbaren Anbieter bietet weder den Engpass, auf den sich die Anweisung von Shaanxi Telecom stützt, noch den Engpass, auf den sich die Befugnis aus Section 702 stützt, noch den Engpass, auf den sich die CMS-Vereinbarung zum Datenaustausch stützte, noch den Engpass, auf den sich Tennessees Meldepflicht stützt, noch jenen Engpass, den Salt Typhoon ausnutzte. Die Alternative existiert in Teilausrollung — Signals Metadatenminimierung, Matrix' föderierte Server, Tors Onion-Routing, Briars Mesh-Konnektivität — und in URnetworks Transport über Wohnadress-Knoten, bei dem das Substrat, über das Nachrichten reisen, das Gerät eines Peers ist und nicht die Anlage eines Netzbetreibers.

Dies ist nicht die Behauptung, dass irgendein einzelnes Stück ausgerollter alternativer Architektur die sieben Ereignisse oben für sich genommen verhindert hätte. Es ist die Behauptung, dass die Ereignisse oben zusammengenommen beschreiben, was es kostet, die Verwahrung von Kommunikation und Akten weiterhin von erzwingbaren Anbietern zu mieten. Die Abstimmung am 20. April, die Abschaltung am 22. April und die Behebungsfrist am 28. April sind drei Oberflächenereignisse in einer Woche. Sie sind Ausdruck einer vor Jahrzehnten getroffenen Entwurfsentscheidung. Die Entscheidung lautete: konzentrieren. Sie ist konsequent geblieben. Was sich in dieser Woche geändert hat, ist die Zahl der Behörden, die die Konzentration gleichzeitig nutzen.

Der Rat von Pasadena wird die architektonische Frage heute Abend nicht lösen. Der Kongress wird sie bis Montag nicht lösen. Peking wird sie bis Mittwoch nicht lösen. Die IT-Leitungen der zivilen Bundesbehörden werden sie bis zum 28. nicht lösen. Die architektonische Frage ist die Frage unter allen vieren. Die nächste Uhr startet am 29.

---

Quellen (3 Belege)

Quellen

1. American Federation of State, County and Municipal Employees v. Social Security Administration, No. 25-1411 (4th Cir., en banc, 10. April 2026); Anordnung des D. Md. vom 14. April 2026 zur Gewährung der Beweisermittlung.
2. California v. U.S. Department of Health and Human Services, No. 25-cv-05536 (N.D. Cal., HHS-Schriftsatz vom 9. April 2026).
3. Gesetzgebungsunterlagen zu Tennessee SB 676 / HB 754; Senatsabstimmung am 14. April 2026 um 11:47 Uhr Zentralzeit; Abstimmung im Repräsentantenhaus 70-21-2 am 26. März 2026.
4. Virginia SB 338, unterzeichnet von Gouverneurin Abigail Spanberger am 13. April 2026; in Kraft ab 1. Juli 2026.
5. 50 U.S.C. § 1881a (Section 702 des FISA); S.4082, Government Surveillance Reform Act of 2026, eingebracht am 12. März 2026.
6. Reforming Intelligence and Securing America Act (RISAA), Pub. L. 118-49 (20. April 2024).
7. Sitzung des Pasadena Public Safety Committee, 15. April 2026, Tagesordnung und Briefing-Unterlagen; Prüfbericht von Polizeichef Gene Harris zu Flock Safety.
8. Sammelklage gegen Flock Safety, geänderte Klageschrift eingereicht am 3. April 2026, San Francisco Superior Court (Gibbs Mura).
9. Flock Safety, Produktankündigung "Audit Assistance" über GlobeNewswire, 14. April 2026.
10. LAist, "South Pasadena cancels Flock Safety contract over privacy concerns," Februar 2026.
11. Microsoft Security Response Center, Patchday vom 14. April 2026; CVE-2026-32201; CVE-2026-33825.
12. Cybersecurity and Infrastructure Security Agency, Eintrag im Katalog bekannter ausgenutzter Schwachstellen zu CVE-2026-32201, 14. April 2026; Binding Operational Directive 22-01.
13. Vision Times, "China's Telecom Crackdown May Block All Overseas Internet Access, Leaked Notice Suggests," 11. April 2026.
14. China Digital Times, "Documents Raise Fear of Further Crackdown on Great Firewall Circumvention Tools," April 2026.
15. Moscow Times, "As Kremlin Cuts Off the Internet, VPNs Become a Way of Life," 3. April 2026; "Russia's Digital Ministry Declares War on VPNs," 31. März 2026.
16. Privacy and Civil Liberties Oversight Board, "Report on the Surveillance Program Operated Pursuant to Section 702 of FISA," September 2023.
17. NPR, "Why Congress is fighting over a central tool of American surveillance," 14. April 2026.
18. CNN Politics, "Inside the White House push for a clean 702 reauthorization," 13. April 2026.
19. Consumer Reports, Ankündigung zur Unterzeichnung von Virginia SB 338, 13. April 2026.
20. NBC News, Berichterstattung zur Verabschiedung von Tennessee SB 676 im Senat, 14. April 2026.
21. KFF, "Potential Implications of the New Medicaid Data Sharing Agreement Between CMS and ICE," 2026.
22. Government Executive, "States say ICE pulled Medicaid data despite court order," April 2026.
23. Stateline, Berichterstattung zum ICE-Zugriff auf Medicaid-Daten, 31. März 2026.
24. Axios, Berichterstattung zur Finanzierungsrunde von Flock Safety, 13. April 2026.
25. Forschung der Northeastern University, Beschreibung des Rahmens "The Locknet", 2025-2026.

---

Dies ist die Ausgabe 2026-04-15-01 des täglichen URnetwork-Journals zu Datenschutz und Internetfreiheit. Das begleitende Hot-Takes-Dokument sowie die zugehörigen Bilder und Kurzvideos werden gemeinsam veröffentlicht.