Die Frist, über die Sie nicht abgestimmt haben

Samstagmorgen, sieben Städte

In Teheran beginnt ein Samstagmorgen im April 2026 mit der Frage, ob dies der Tag ist, an dem das Internet zurückkehrt. Neunundvierzig Tage sind vergangen, seit iranische Telekommunikationsanbieter am 28. Februar das ausländische ASN-Backbone auf Null routeten. NetBlocks bestätigte den fünfzigsten Tag heute früh am Morgen: 1.176 Stunden, die längste je verzeichnete landesweite Internetabschaltung. Ein Teheraner Hardware-Importeur hat seinen Lieferanten in Shenzhen zuletzt am letzten Februartag erreicht. Eine Medizinforscherin der Sharif-Universität hat seit fünfzig Tagen keine im Ausland gehostete Fachzeitschrift gelesen. Eine iranische Diasporafamilie in Hamburg hat ihre Großmutter nicht per Video anrufen können. Ein Ausschuss des Obersten Nationalen Sicherheitsrats wird kommende Woche zusammentreten, um zu entscheiden, ob vier weitere Unternehmen auf die "pro internet"-Whitelist gesetzt werden. Keiner der Menschen, die auf diese Entscheidung warten, hat den Ausschuss gewählt.

In Moskau ist ein Samstagmorgen ein Countdown von zwölf Tagen. Am 1. Mai tritt ein Tarif von 150 Rubel je Gigabyte — rund 1,80 US-Dollar — für jene internationalen Internetdaten in Kraft, die über einen russischen Anbieter geroutet werden und fünfzehn Gigabyte im Monat überschreiten. Der Tarif gilt unabhängig davon, ob es sich um Roamingdaten, um über ein VPN geroutete Daten oder um irgendeinen anderen Weg durch die Schicht der lizenzierten Anbieter handelt. Das Ministerium für digitale Entwicklung kündigte das Vorhaben im März an. Der E-Mail-Abgleich eines Moskauer Geschäftsreisenden mit einem ausländischen Cloud-Anbieter wird Gebühren verursachen, sobald der Zähler die Schwelle überschreitet. Die Anrufe eines im Ausland lebenden Russen bei seiner Familie werden auf Telegram bereits gedrosselt und auf WhatsApp blockiert; der Tarif fügt die nächste Schicht hinzu. Das Ministerium hat die Nutzerinnen und Nutzer nicht gefragt.

In Brüssel liegt ein Samstagmorgen zwischen zwei Trilogen. Der dritte Trilog zur Chatkontrolle 2.0, der Verordnung gegen sexuellen Kindesmissbrauch, endete am Donnerstag ohne Einigung darüber, ob clientseitiges Scannen vorgeschrieben werden soll. Der vierte Trilog ist am 4. Mai. Zielmarke für eine politische Einigung ist der Juli. Signal-Präsidentin Meredith Whittaker hat öffentlich erklärt, dass Signal den EU-Markt verlassen wird, statt clientseitiges Scannen umzusetzen. Tuta, Proton und Threema haben dasselbe gesagt. Der Europäische Rat, das Parlament und die Kommission sind die drei Parteien im Raum. Die 450 Millionen EU-Nutzerinnen und -Nutzer, deren Kommunikation diese Verordnung regeln wird, sind es nicht.

In Washington ist ein Samstagmorgen eine Uhr von zwölf Tagen. Der Senat bestätigte am Freitagnachmittag per Handzeichen, in deutlich weniger als dreißig Sekunden, die vom Repräsentantenhaus um 2:09 Uhr im Konsensverfahren beschlossene Verlängerung von Section 702 des Foreign Intelligence Surveillance Act bis zum 30. April. Die saubere Neuautorisierung über achtzehn Monate, die das Weiße Haus wollte, ist tot. Der Änderungsantrag zur Richtervorbehaltspflicht, den die Reformkoalition wollte, war unzulässig. Die Befugnis besteht fort; das FBI fragt die 702-Datenbank weiterhin unter den administrativen Kontrollen des RISAA ab; die Zertifizierung des FISA-Gerichts zur Drogenbekämpfung vom April 2025 autorisiert weiterhin die Erfassung entlang der Fentanyl-Lieferkette. Kein Amerikaner, dessen Kommunikation in der Datenbank liegt, hat über den Flicken abgestimmt.

In Rotterdam ist ein Samstagmorgen ein Wartemuster. ChipSoft, der niederländische Anbieter elektronischer Patientenakten, dessen HiX-Plattform sechsundsiebzig Prozent der niederländischen Akutkrankenhäuser bedient, bestätigte am Mittwoch, dem 15. April, dass ein Zugriff auf Patientendaten bei dem am 7. April begonnenen Ransomware-Einbruch „nicht ausgeschlossen werden könne“. Das Franciscus Gasthuis Rotterdam und das Albert Schweitzer Ziekenhuis Dordrecht gehören zu elf Krankenhäusern, die HiX von ihren Netzen getrennt haben. Basic-Fit, Europas größte Fitnesskette, teilte am 13. April mit, dass einer Million Mitgliedern in sechs EU-Ländern Namen, E-Mail-Adressen, Postanschriften, Telefonnummern, Geburtsdaten und Bankkontonummern gestohlen wurden. Keine Ransomware-Gruppe hat sich zu einem der beiden Einbrüche bekannt. Die 1,2 Millionen Europäerinnen und Europäer, deren Daten nun in falschen Händen sind, haben die Konzentration nicht gewählt, die den Einbruch möglich machte.

In London ist ein Samstagmorgen der Tag nach Ofcoms Frist vom 16. April für die Bewertungen des Kinderzugangs nach dem Online Safety Act. Mehr als neunzig Dienste stehen unter förmlicher Untersuchung. Ungefähr 1 von 7 erwachsenen Britinnen und Briten hat in den vergangenen zwölf Monaten ein Altersverifikationsverfahren durchlaufen — etwa sechs Millionen Verifikationen. Yoti, Persona, Verify und eine Handvoll kleinerer Vermittler halten inzwischen Bilder von Ausweisdokumenten für einen erheblichen Teil der in Großbritannien lebenden Erwachsenen. Eine britische Reddit-Nutzerin verifizierte am Dienstag ihr Alter, um ein sensibles Subreddit zu sehen; ihr Passbild wird auf Personas Servern nach einer Aufbewahrungsfrist von zwölf Monaten gespeichert. Die Nutzerin hat das Ökosystem der Vermittler nicht entworfen.

In Sydney ist ein Samstagmorgen vier Monate nach Inkrafttreten des gesetzlichen Verbots sozialer Medien für unter Sechzehnjährige auf großen Plattformen. Facebook, Instagram, Snapchat, TikTok und YouTube stehen unter förmlicher Untersuchung durch die eSafety-Kommissarin Julie Inman Grant. Der Compliance-Bericht vom 20. März dokumentierte systemische Lücken: Plattformen ermutigten minderjährige Nutzerinnen und Nutzer, Altersschätzungen mit Methoden geringer Zuverlässigkeit zu „korrigieren“; wiederholte Versuche mit derselben Verifikationsmethode wurden zugelassen; die Gesichtsschätzung war an der Grenze zwischen 16 und 17 ungenau. Australische Jugendliche sind zu Discord, Roblox und Telegram abgewandert. Die sechsundsiebzig Prozent der Vierzehn- bis Fünfzehnjährigen, die angeben, die Altersbeschränkungen umgangen zu haben, haben über das Gesetz nicht abgestimmt.

Sieben Städte. Sieben Uhren. Keine davon von jenen Nutzerinnen und Nutzern gestellt, gegen die sie ticken.

Die gemeinsame strukturelle Eigenschaft

Die sieben Uhren laufen in unterschiedlichen Politikfeldern, unterschiedlichen Rechtsordnungen und auf unterschiedlichen Zeitskalen. Sie teilen eine strukturelle Eigenschaft: In jedem Fall zieht eine Behörde an einem Hebel, der an einem kommerziellen oder staatlichen Betreiber ansetzt, um eine Wirkung auf eine Nutzerpopulation zu erzeugen — und die Nutzerinnen und Nutzer haben beim Ziehen des Hebels keinerlei Stellung.

Iranische Anbieter befolgen die Weisungen des Obersten Nationalen Sicherheitsrats. Der SNSC ist die Behörde; die Anbieter sind der Betreiber; iranische Internetnutzerinnen und -nutzer sind die betroffene Bevölkerung. Diese Bevölkerung wählt die Entscheidungen des SNSC nicht und kann sie nicht anfechten.

Russische Mobilfunkanbieter setzen den Tarif des Ministeriums für digitale Entwicklung um. Das Ministerium ist die Behörde; die Anbieter sind der Betreiber; russische Bürgerinnen und Bürger, die internationale Daten benötigen, sind die betroffene Bevölkerung. Diese Bevölkerung wird weder konsultiert noch kann sie Rechtsmittel einlegen.

Der EU-Rat, das Parlament und die Kommission sind die dreiseitige Trilog-Autorität; große Plattformen (Meta, Google, Microsoft, Snap) und E2EE-Plattformen (Signal, Tuta, Proton, Threema) sind die Betreiber; 450 Millionen EU-Nutzerinnen und -Nutzer sind die betroffene Bevölkerung.

Der US-Kongress und die Regierung sind die Behörde; amerikanische Netzbetreiber, Cloud-Anbieter und E-Mail-Dienste sind die Betreiber; Amerikanerinnen und Amerikaner, deren Kommunikation diese Infrastruktur durchquert, sind die betroffene Bevölkerung.

ChipSoft und sein Versicherer, die niederländische Datenschutzbehörde und der niederländische Gesundheitssektor bilden das Geflecht der Autorität; ChipSoft ist der Betreiber; die Patientenpopulationen von elf Krankenhäusern sind die betroffene Gruppe. Die Basic-Fit-Konzernleitung, Versicherer und Datenschutzbehörden in sechs Ländern bilden das Autoritätsgeflecht; Basic-Fit ist der Betreiber; eine Million Mitglieder sind die betroffene Bevölkerung.

Ofcom ist die Behörde; Plattformen und vermittelnde Verifizierer sind die Betreiber; britische Internetnutzerinnen und -nutzer sind die betroffene Bevölkerung.

Die eSafety-Kommissarin Inman Grant ist die Behörde; die fünf großen Plattformen sind die Betreiber; jede australische Internetnutzerin und jeder australische Internetnutzer ist die betroffene Bevölkerung — Jugendliche direkt, Erwachsene indirekt über die Reibung der Verifikation.

Die Form ist jedes Mal dieselbe. Die Nutzerin ist stets die betroffene Bevölkerung. Die Nutzerin ist nie die Behörde. Die Nutzerin ist in jedem Fall auf jenem Substrat, auf dem der Betreiber läuft.

Warum die Interessen der Behörden nicht bis zur Einwilligung der Nutzerinnen und Nutzer reichen

Man kann die Position jeder Behörde in ihrer stärksten Form darstellen, und das ist wichtig.

Irans Regierung agiert unter Kriegsbedingungen nach den US-israelischen Angriffen auf Natanz, Fordo und Arak vom 28. Februar. Die genannte Rechtfertigung — Spionageabwehr, Verhinderung ausländischer Koordination mit inländischen Akteuren — ist im Allgemeinen ein legitimes staatliches Interesse. Die fünfzigtägige Dauer der Abschaltung und ihr Übergang in ein Genehmigungsregime machen es schwerer, die Notwendigkeitsbehauptung für bare Münze zu nehmen, aber die Autorität ist legitim, selbst wenn ihre Ausübung unverhältnismäßig ist.

Russlands Regierung hat eine kohärente Position zur digitalen Souveränität. Die Abhängigkeit von ausländischen Plattformen zu verringern, ist vertretbar; Regierungsdienste in einer einzigen Anwendung zu bündeln, hat operative Effizienz. Das Fehlen von Verschlüsselung und die Aggregation an staatlich kontrollierter Infrastruktur sind Datenschutzschäden, aber die Autorität — gewählt, gesetzlich verankert, verfassungsgemäß im russischen Rahmen — ist legitim.

Der EU-Rat, das Parlament und die Kommission sind demokratisch konstituiert. Die Chatkontroll-Verordnung adressiert ein ernstes und gut dokumentiertes Problem (Darstellungen sexuellen Kindesmissbrauchs im Netz). Der Mechanismus der Aufdeckungsanordnungen ist umstritten, aber das zugrunde liegende politische Ziel ist legitim und der politische Prozess demokratisch.

Der US-Kongress und die Regierung haben verfassungsrechtliche Stellung für nationale Sicherheitsbefugnisse. Section 702 adressiert die Auslandsaufklärung, eine legitime staatliche Funktion. Die Spannung mit den Schutzrechten des Vierten Verfassungszusatzes ist der Kern des Arguments der Reformkoalition Wyden-Lee-Lummis-Warren, aber die zugrunde liegende Befugnis ist legitim.

Die niederländischen und EU-Datenschutzrahmen, die britische Ofcom und die australische eSafety-Behörde sind demokratisch etablierte Regulierer mit definierten gesetzlichen Befugnissen. Ihre Eingriffe sind nicht willkürlich.

Und doch handelt die legitime Behörde in jedem Fall an einem Betreiber, den die Nutzerin nicht als Betreiber ihrer Kommunikation, ihrer Akten oder ihres Datenverkehrs gewählt hat. Die niederländische Patientin hat nicht gewählt, dass ihre Akten bei ChipSoft konsolidiert werden. Die britische Reddit-Nutzerin hat nicht gewählt, dass Persona zwölf Monate lang ein Bild ihres Reisepasses hält. Die australische Jugendliche hat nicht gewählt, dass ihr Altersverifikationsversuch durch den von der Plattform ausgewählten Anbieter für Gesichtsschätzung gefiltert wird. Die Einwilligung, die die Behörde voraussetzt, verläuft über den Betreiber, nicht über die Nutzerin.

Die Behörde ist legitim. Der Betreiber ist legitim. Die Einwilligungskette von der Nutzerin über den Betreiber zur Behörde ist ein Artefakt der Architektur, keine frei erteilte Erlaubnis. Das ist es, was die Fristen dieser Woche offenlegen.

Welche Architektur die Frage verändern würde

Wer seine Kommunikation, seine Akten, seine Identität und seinen Datenverkehr nicht von einem erzwingbaren kommerziellen Betreiber abhängig macht, kann von einer Behörde, deren Hebel an einem erzwingbaren Betreiber ansetzt, nicht herumkommandiert werden. Die architektonische Alternative zum gegenwärtigen Muster ist jene, auf die jedes Reformgespräch — Kandidat für Kandidat, Woche für Woche — implizit zeigt, ohne sie zu benennen.

Ende-zu-Ende-Kryptografie mit nutzergehaltenen Schlüsseln. Signals Protokoll ist das Beispiel im kommerziellen Maßstab: Schlüssel werden auf dem Gerät der Nutzerin erzeugt, Inhalte unter diesen Schlüsseln verschlüsselt, der Betreiber hält nur Chiffrat, das er nicht entschlüsseln kann. Apples Advanced Data Protection war ein ähnliches Design für iCloud; die britische Technical Capability Notice nach dem Investigatory Powers Act zielt gezielt auf diese Architektur, um weltweit eine Schlüsselverwahrung beim Betreiber zu erzwingen.

Peer-to-Peer-Transport. Verkehr, der über die Geräte von Peers statt über die Anlagen lizenzierter Netzbetreiber geroutet wird. WireGuard als Protokoll, Tors Onion-Routing als Netz, URnetworks Transport über Wohnadress-Knoten als lebendes Peer-Relay-Gewebe, Briar und Session als Mesh-Messaging-Substrate. Jedes ist eine Teilantwort auf dieselbe architektonische Frage: Kann Kommunikation den Engpass der lizenzierten Netzbetreiber vermeiden, auf den sich Russlands Tarif, Irans Abschaltung, Chinas Filter und die CALEA-konforme US-Telekommunikation stützen?

Föderierte Moderation und föderierte Speicherung. Inhaltsmoderation, die von der Nutzerin oder von nutzergewählten Moderatoren bestimmt wird, verteilt über eine Föderation kleinerer Betreiber statt konzentriert bei einer einzelnen Torwächter-Plattform. Matrix-Föderation, Blueskys PDS-Modell, Mastodon, föderierte Nextcloud-Instanzen. Jede verteilt die Reichweite des Hebels: Die Behörde kann an einem Betreiber ziehen, aber nicht am gesamten Substrat.

Nutzergehaltene Identität über verifizierbare Nachweise. Kryptografische Zusicherungen, die in einer nutzerkontrollierten Wallet liegen und über Zero-Knowledge-Beweise selektiv offengelegt werden, die das Attribut (über 16, über 18, zugelassen) bestätigen, ohne das zugrunde liegende Dokument preiszugeben. Die EU-Wallet für digitale Identität nach eIDAS 2.0 ist der führende regulatorische Weg; die akademische Forschung zu Zero-Knowledge-Altersnachweisen ist seit 2023 gereift.

Dezentrale Anbieterarchitektur. Gesundheitsakten, die bei der Patientin selbst oder über mehrere unabhängig betriebene Verwahrer verteilt gehalten werden (das EU-geförderte Projekt InteropEHRate; die niederländische Peer-to-Peer-Patientenauthentifizierung Nuts). Verbraucheridentität, die je Dienst oder in Nutzer-Wallets gehalten wird statt konzentriert in Betreiberdatenbanken.

Nichts davon ersetzt heute die gegenwärtige Architektur im Ganzen. Jedes verkleinert die Angriffsfläche für den spezifischen Hebel, der auf es zielt. Dezentralisierung ist eine engere Behauptung als „löst alles“. Sie ist eine Behauptung über strukturelle Eigenschaften bestimmter Substrate: Ein Substrat, das kein erzwingbares Zentrum bietet, bietet keinen Hebel, und ein Hebel, an dem nicht gezogen werden kann, erzeugt keine Frist, in die die Nutzerin nicht eingewilligt hat.

Was diese Woche tatsächlich kostet

Die Gesamtbilanz des Schadens in den sieben Städten dieser Woche:

• Iran, Tag 50: rund 1,8 bis 2 Milliarden US-Dollar an direkten und indirekten wirtschaftlichen Verlusten; Zehntausende Unternehmen beeinträchtigt oder geschlossen; 85 Millionen Bürgerinnen und Bürger ohne Zugang zum externen Internet.
• Russland, Countdown zum 1. Mai: rund 30 Millionen Nutzerinnen und Nutzer zwischen einem staatlichen Messenger ohne Verschlüsselung, einem VPN-Filter, der bei seiner Aktivierung die großen Banken des Landes lahmlegte, und einem Tarif, der internationale Daten für Geschäftsreisende, Auslandsrussen und ethnische Minderheiten mit Familie im Ausland unerschwinglich machen wird.
• Brüssel, Countdown zum 4. Mai: 450 Millionen EU-Nutzerinnen und -Nutzer in Ungewissheit darüber, ob ihre Messaging-Anwendungen gezwungen werden, private Kommunikation zu scannen, oder sich vom Markt zurückziehen.
• Washington, Countdown zum 30. April: eine ganze Überwachungsbefugnis, die für mindestens zehn weitere Tage unverändert fortbesteht, ohne strukturellen Weg zu einer Reform vor der Frist.
• Rotterdam, andauernd: Patientendaten eines erheblichen Teils der niederländischen Akutpatientinnen und -patienten möglicherweise abgeflossen; elf Krankenhäuser im manuellen Betrieb; eine Million Fitnessstudio-Mitglieder mit gestohlenen Bankkontonummern.
• London, nach der Frist: sechs Millionen Bilder von Ausweisdokumenten, aggregiert bei vier vermittelnden Betreibern, bislang ohne großflächigen Einbruch, aber mit einer strukturellen Konzentration, die aller Wahrscheinlichkeit nach einen erzeugen wird.
• Sydney, vier Monate danach: ein Rückgang der Konten von unter Sechzehnjährigen auf den großen Plattformen um 22 bis 42 Prozent, bei entsprechender Abwanderung zu weniger regulierten Alternativen; 76 Prozent der Jugendlichen berichten von Umgehung.

Sieben Städte voller konkreter Schäden, erzeugt von Behörden, deren Legitimität nicht das Problem ist, die auf Betreiber einwirken, die die Hebel nicht verweigern können, und die Wirkungen auf Nutzerinnen und Nutzer erzeugen, die beim Ziehen der Hebel keine Stellung hatten.

Die nächste Uhr

Die nächste Uhr startet an diesem Wochenende. Der Brüsseler Trilog ist am 4. Mai; der russische Tarif am 1. Mai; das Auslaufen von Section 702 in Washington am 30. April; die Londoner Altersprüfungs-Untersuchungen werden über den Sommer hinweg Vollzugsentscheidungen hervorbringen; die Sydneyer Vollzugsentscheidungen fallen Mitte 2026; Irans nächste SNSC-Sitzung zur Whitelist steht in der kommenden Woche an; der Bericht der Rotterdamer Datenschutzbehörde schließt im Mai. Jedes davon ist eine Frist. Jede wurde von einer Behörde gesetzt, die die Nutzerinnen und Nutzer nicht gefragt hat. Jede wird auf einen Betreiber wirken, den die Nutzerinnen und Nutzer nicht entworfen haben.

Die Architektur, die dieses Muster erzeugt, ist die Architektur, die jede politische Debatte dieser Woche als gegeben hinnimmt. Die architektonische Alternative — Ende-zu-Ende-Kryptografie, Peer-to-Peer-Transport, föderierte Moderation, nutzergehaltene Identität, verteilte Anbieterökosysteme — ist verfügbar, teilweise ausgerollt, wachsend und noch nicht der Mainstream. Die Nutzung von Tor-Bridges liegt zweiundvierzig Prozent über dem Vorjahr. WireGuard ist mit 94 Prozent der Standard in Verbraucher-VPNs. Signal hat sechzig Millionen monatlich aktive Nutzerinnen und Nutzer. URnetworks Transport über Wohnadress-Knoten ist 2026 um siebenunddreißig Prozent gewachsen. Jede Kennzahl ist ein Schritt. Keine ist die Wende.

Was die Fristen dieser Woche offenbaren, ist, dass die gegenwärtige Architektur politische Debatten darüber erzeugt, welche Behörde an welchem Hebel ziehen darf. Die Nutzerin ist Gegenstand der Debatte, nicht Partei in ihr. Ob die Nutzerin Partei sein kann, erfordert eine andere Architektur. Diese Architektur ist die langsame, stille, unterfinanzierte Arbeit an einem anderen Stack — an jenem, der, Frist um Frist, Woche um Woche, schwerer zu ignorieren wird.

Die nächste Uhr startet am Montag. Die Nutzerin in Teheran, der Nutzer in Moskau, die Nutzerin in Brüssel, der Nutzer in Washington, die Nutzerin in Rotterdam, der Nutzer in London, die Nutzerin in Sydney — jede und jeder wird zu einem Countdown erwachen, der anderswo gestellt wurde. Keine und keiner von ihnen saß am Tisch. Die Architektur ist der Grund.

---

Quellen (6 Belege)

Quellen

1. NetBlocks, Bericht zur Konnektivität im Iran, 18. April 2026, bestätigt Tag 50 der Abschaltung.
2. Free Malaysia Today, "Iran internet blackout now in its 50th day," 18. April 2026.
3. Shabtabnews, "Iran's Internet Blackout Shows No Signs Of Ending," 17. April 2026.
4. Bloomberg, "Iran Internet Blackout Eases Slightly as Businesses Face Economic Costs," 14. April 2026.
5. Moscow Times, "Russian websites begin blocking VPN users as internet controls tighten," 15. April 2026.
6. Techdirt, "Whoops: Russia's Attempt To Block VPNs Causes Major Banking Failure," 13. April 2026.
7. Zona.media, "Russia's internet censorship in 2026: VPN crackdowns, mobile shutdowns, Telegram blocks and the state messenger Max," 7. April 2026.
8. EFF, "EU Parliament Blocks Mass-Scanning of Our Chats — What's Next?" April 2026.
9. State of Surveillance, "Chat Control Is Dead. Long Live Chat Control.," April 2026.
10. Patrick Breyer, "Chat Control: The EU's CSAM scanner proposal," laufend aktualisiert bis zum 17. April 2026.
11. Roll Call, "Senate sends short-term surveillance reauthorization to Trump," 17. April 2026.
12. Al Jazeera, "US Congress extends controversial surveillance power under FISA for 10 days," 17. April 2026.
13. NPR, "Congress extends controversial surveillance powers for 10 days," 17. April 2026.
14. S.4082, Government Surveillance Reform Act, eingebracht am 12. März 2026.
15. Bindende Resolution des Congressional Progressive Caucus, 16. April 2026.
16. NL Times, "Hospital patient data may have leaked in Chipsoft hack, sources say," 15. April 2026.
17. The Register, "Ransomware knocks Dutch healthcare software vendor offline," 8. April 2026.
18. BleepingComputer, "European Gym giant Basic-Fit data breach affects 1 million members," 13. April 2026.
19. SecurityWeek, "Europe's Largest Gym Chain Says Data Breach Impacts 1 Million Members," 13. April 2026.
20. Ofcom, "Age checks to protect children online," Leitlinien April 2026; Compliance-Update der eSafety-Kommissarin, 20. März 2026.
21. Meredith Whittaker, @mer__edith auf X, 15. April 2026, zur Eskalation von Signal gegenüber Apple.
22. Freedom of the Press Foundation, aktualisierte iOS-Signal-Leitlinien, 16. April 2026.
23. Aviatrix Threat Research Center, Salt-Typhoon-Updates April 2026; Anhörung des Handelsausschusses des Senats, Dezember 2025.
24. Silicon UK, "Government Issues New Order To Access Apple UK User Data."
25. Computer Weekly, "Home Office 'back door' seeks world-wide access to Apple iCloud users' data."
26. Ergänzende Mitteilung der Beschwerdepunkte der Europäischen Kommission an Meta, 15. April 2026.
27. Bloomberg, "EU Warns Meta on WhatsApp AI Rules, Citing Competition Concerns," 15. April 2026.
28. Meta Engineering, "Post-Quantum Cryptography Migration at Meta: Framework, Lessons, and Takeaways," 16. April 2026.
29. Quantum Insider, "Q-Day Just Got Closer: Three Papers in Three Months," 31. März 2026.
30. Tor Project, Release Arti 2.2.0; Snowflake-Bridge-Statistiken; Cure53-Audit des Tor-VPN, Anfang 2026.
31. URnetwork-Dokumentation und Wachstumsberichte 2026.
32. Gemeinsame Erklärung von Wyden, Lee, Lummis und Warren zum GSRA.
33. Compliance-Bericht der eSafety-Kommissarin Inman Grant, 20. März 2026.
34. Berichte zu Architekturen verifizierbarer Nachweise: EU-Wallet für digitale Identität (eIDAS 2.0); W3C-Spezifikation Verifiable Credentials.
35. Kommentar der Open Rights Group zur Vermittlerarchitektur des britischen Online Safety Act.

---

Dies ist die Ausgabe 2026-04-18-01 des täglichen URnetwork-Journals zu Datenschutz und Internetfreiheit. Das begleitende Hot-Takes-Dokument sowie die zugehörigen Bilder, Meme-Comics und Kurzvideos werden gemeinsam veröffentlicht.