Das erlaubnispflichtige Internet

Tag 52

Die iranische Internetabschaltung ist heute in ihrem 52. Tag und hat seit ihrem Beginn am 28. Februar 2026 1.224 Stunden nahezu vollständiger Offline-Zeit angesammelt. NetBlocks und IranWire bestätigen die Marke: die längste zusammenhängende landesweite Internetabschaltung, die in der Geschichte irgendeines Landes erfasst wurde. Vom Vorkriegsniveau des Datenverkehrs sind ungefähr 1 Prozent wiederhergestellt. Die Kommission für wissensbasierte Unternehmen der Iranischen Handelskammer unter Vorsitz von Afshin Kolahi schätzt den unmittelbaren täglichen wirtschaftlichen Schaden auf 30–40 Millionen US-Dollar. Der iranische Kommunikationsminister nannte 35,7 Millionen US-Dollar pro Tag. NetBlocks nannte 37 Millionen US-Dollar pro Tag. Zum 16. April beliefen sich die kumulierten wirtschaftlichen Kosten auf 1,8 Milliarden US-Dollar; bis heute auf ungefähr 1,9 Milliarden US-Dollar.

Der Wiederanbindungsmechanismus ist das entscheidende architektonische Detail. Nach der Berichterstattung von IranWire vom 18. April ist der Oberste Nationale Sicherheitsrat — unter Vorsitz von Präsident Pezeshkian und unter Beteiligung der Spitzen der iranischen Geheimdienst-, Militär- und Außenministeriumsinstitutionen — die bewilligende Instanz für die Wiederanbindung ans Internet. Institutionen können eine Wiederanbindung beantragen. Die Antragskriterien sind nicht öffentlich dokumentiert. Zu den bislang genehmigten Institutionen zählen regierungsnahe Telegram-Kanäle, Konten iranischer Staatsmedien und ausgewählte Universitätsnetze. Einzelnutzer bleiben offline. Kleinbetriebe, Start-ups, Freiberufler mit internationalen Auftraggebern, Studierende, die auf Online-Lernressourcen zugreifen, und medizinische Dienste, die auf Online-Koordination angewiesen sind, gehören zu den konkreten Gruppen, die durch die Abschaltung ruiniert oder lahmgelegt wurden.

Starlink — das Satelliteninternet-System, das als die nicht staatsabhängige Alternative positioniert wurde — wird durch Störsender auf Militärniveau, die der iranische Staat einsetzt, aktiv beeinträchtigt. Eine Analyse des American Foreign Policy Council führt die Störung auf russische Murmansk-BN-Systeme der elektronischen Kampfführung und chinesische Technik zur Bekämpfung von Satellitenkommunikation zurück. Wirksamkeit: 30–80 Prozent Verschlechterung des Starlink-Signals. Der Iran setzt außerdem GPS-Spoofing ein — der erste dokumentierte Fall, in dem ein Staat GPS-Spoofing in großem Maßstab gegen kommerzielles Satelliteninternet einsetzt. SpaceX spielte am 10. Januar ein Software-Update aus, mit dem Terminals ihre Position über die Signale mehrerer Satelliten statt über GPS triangulieren können, was die Funktionsfähigkeit von Starlink unter Störbedingungen teilweise wiederherstellte. Der Besitz eines Starlink-Terminals ist im Iran strafbar (6 Monate bis 2 Jahre Haft nach dem Anti-Spionage-Gesetz); ein Starlink-Terminal zu nutzen, um sich „der Islamischen Republik entgegenzustellen“, wird mit der Todesstrafe geahndet.

Das ist die Erlaubnisarchitektur in ihrer derzeit deutlichsten Ausprägung. Der staatliche Grundzustand ist geschlossen. Die Wiederanbindung erfordert eine ausdrückliche staatliche Bewilligung. Der Gegen-Infrastruktur (Starlink) wird mit elektronischer Kampfführung auf Staatsniveau begegnet. Der Besitz der Gegen-Infrastruktur zieht strafrechtliche Sanktionen bis hin zur Todesstrafe nach sich. Für neunzig Millionen Iranerinnen und Iraner ist das Internet am 20. April 2026 das erlaubnispflichtige Internet in seiner ausdrücklichen Form.

Hundert Millionen auf Max

Russlands staatsnaher Messenger Max überschritt im März 2026 die Marke von 100 Millionen registrierten Nutzern, bei 70,5 Millionen täglich aktiven Nutzern, laut der VK-Meldung vom 26. März. Die Gesamtzahl der Anmeldungen seit dem Start von Max im März 2025 liegt bei 107 Millionen — die schnellste Messenger-Verbreitung in der Geschichte Russlands. Die Anwendung ist eine integrierte Super-App: Messaging, Behördendienste, digitaler Ausweis, elektronische Dokumentensignatur und Zahlungen, ausdrücklich nach dem Vorbild von WeChat. Die architektonischen Merkmale: sämtliche Daten auf russischen Servern gespeichert; keine Ende-zu-Ende-Verschlüsselung; SORM-3 integriert (das russische Überwachungsregime, das die vollständige Inhaltsspeicherung und den Zugriff durch den FSB abdeckt). Der IT-Sicherheitsforscher Baptiste Robert, in der internationalen Presse vielfach zitiert: „Alle Daten, die durch diese Anwendung laufen, können als in den Händen ihres Eigentümers befindlich betrachtet werden — und in diesem Fall in den Händen des russischen Staates.“

Die Verbreitung von Max erklärt sich nicht durch die Überlegenheit des Produkts. Sie erklärt sich durch die Verschlechterung benachbarter Dienste. WhatsApp wurde in Russland am 11. Februar 2026 vollständig gesperrt. Die Sperrquote von Telegram — „Anomalien“, die den Dienst unbrauchbar machen — erreichte laut Meduza am 10. April 95 Prozent, der höchste erfasste Wert, seit die neue Runde der Beschränkungen am 20. März begann. Telegram-Gründer Pavel Durov veröffentlichte eine Telegram-Version mit eingebauten Techniken zur DPI-Umgehung; das Katz-und-Maus-Spiel um die Umgehung geht weiter. Während periodischer Mobilfunk-Internetabschaltungen in Moskau und den Regionen (Berichterstattung von RFE/RL) bleibt eine staatlich gepflegte „Whitelist“ von Diensten funktionsfähig. Staatliche Dienste einschließlich Max bleiben auf der Whitelist; gesperrte oder gedrosselte internationale Dienste nicht. Im Februar 2026 verpflichtete der FSB große russische Banken, SORM-Technik zu installieren; Banken, die dem nicht nachkamen, wurden von der Whitelist für Mobilfunkabschaltungen ausgeschlossen.

Die architektonische Beobachtung: Russland hat einen staatlich kontrollierten Stapel aus Messenger, Identität und Zahlungen in einer Größenordnung von rund siebzig Prozent der erwachsenen Bevölkerung errichtet. Benachbarte Kanäle werden aktiv verschlechtert. Den Nutzerinnen und Nutzern wird die Wahl gestellt zwischen dem staatlich überwachten Kanal und einer verschlechterten oder kriminalisierten Alternative. Die Kategorie der „freiwilligen Übernahme“ trifft auf diese Wahlarchitektur nicht zu.

Die VPN-Spirale

Der britische Vollzug des Online Safety Act über 2025 und 2026 hinweg hat ein bestimmtes Spiralmuster hervorgebracht. Für kommerzielle Websites mit Erwachseneninhalten ist eine Altersverifikation vorgeschrieben. Die Nutzer reagierten mit VPN-Nutzung — laut mehreren IT-Sicherheits-Trackern ein Anstieg um 1.400 Prozent am ersten Tag. Im Februar 2026 schlug die britische Regierung Optionen vor, um "age restrict or limit children's use of Virtual Private Networks" — die Nutzung virtueller privater Netzwerke durch Kinder mit einer Altersgrenze zu versehen oder zu begrenzen —, wo VPN-Nutzung die Schutzvorkehrungen des Online Safety Act untergräbt. 4chan — im März 2026 von Ofcom mit 520.000 £ wegen Nichteinhaltung der Altersnachweispflicht belegt — weigerte sich zu zahlen. Der US-Anwalt der Plattform, Preston Byrne, antwortete auf den Bußgeldbescheid mit einem KI-generierten Cartoon eines Hamsters im Godzilla-Kostüm; der Running Gag setzte sich über die folgenden Bescheide hinweg mit immer weiter eskalierender Nagetier-Bildsprache fort. 4chan hat keine Präsenz im Vereinigten Königreich, kein Vermögen dort, keine Beschäftigten dort; der Vollstreckungsweg ist strukturell schwach. Ofcoms fortlaufende Zwangsgelder von 500 £ pro Tag laufen bis zum 1. Juni 2026.

Die Spirale: Inhalte sperren, Nutzer weichen per VPN aus, Beschränkungen für VPNs vorschlagen. Jede Gegenmaßnahme in der Kette erzeugt den Anstoß für die nächste. Das architektonische Muster ist die Spirale der Erlaubnisschicht — Inhaltszugang erfordert Identitätsprüfung; Identitätsprüfung erfordert überprüfbare Identität; VPN-Ausweichen macht Identität unüberprüfbar; VPN-Beschränkung erzwingt Identität erneut, aber zum Preis der Bürgerrechte.

Das US-Muster verläuft architektonisch parallel. Texas' HB 1181 wurde am 27. Juni 2025 vom Supreme Court in Free Speech Coalition v. Paxton mit 6 zu 3 Stimmen bestätigt. Ungefähr fünfundzwanzig Bundesstaaten haben bis zum zweiten Quartal 2026 ähnliche Gesetze erlassen. Pornhub hat sich aus einigen Bundesstaaten zurückgezogen, statt eine Altersverifikation umzusetzen; die Nutzer wandern per VPN ab. Das Ökosystem der Identitätsprüfungsanbieter (Yoti, AgeCheck, Verifi, Digidentity) ist ein schnell wachsendes Segment mit einem eigenen Angriffsflächenprofil — der Anbieter wird zu einer Datenbank von Nutzern, die auf Erwachseneninhalte zugegriffen haben, und damit zu einem hochwertigen Ziel für Identitätsdiebstahl und Erpressung.

Der Trilog am 4. Mai

Für die dauerhafte EU-Verordnung gegen sexuellen Kindesmissbrauch — „Chat Control 2.0“ — ist der nächste Trilog für den 4. Mai 2026 angesetzt, im Ausklang der dänischen Ratspräsidentschaft. Die Ausnahmeregelung für das freiwillige Scannen (Chat Control 1.0) lief am 3. April 2026 aus. Der Trilog vom 16./17. April über die dauerhafte Verordnung scheiterte; laut durchgesickerten Ratsdepeschen ließen die Ministerinnen und Minister im Rat das Scheitern bewusst zu, um keinen Präzedenzfall zu schaffen, der das dauerhafte Regime schwächen würde. Die Verhandlung befindet sich seit der zweiten Jahreshälfte 2024 im Trilog.

Die architektonischen Einsätze sind konkret. Nimmt die Verordnung ein verpflichtendes Client-Side-Scanning auf — das Scannen von Inhalten, bevor sie die Verschlüsselung erreichen —, verliert die Ende-zu-Ende-Verschlüsselung ihre Bedeutung als Datenschutzgarantie. Einmal ausgerollte Scan-Infrastruktur lässt sich mit politischen und ohne technische Änderungen auf weitere Inhaltskategorien jenseits von CSAM (Urheberrecht, politische Inhalte, Dissens) umwidmen. Signal, WhatsApp, iMessage und Proton haben erklärt, sie würden ihre Dienste aus der EU zurückziehen, statt Client-Side-Scanning umzusetzen; die Kosten-Nutzen-Modellierung von Rückzug gegenüber Befolgung läuft weiter.

Die architektonische Frage lautet, ob Messaging in der EU nach dem 4. Mai die Ende-zu-Ende-Verschlüsselung als Datenschutzgarantie behalten kann. Die Antwort ist umstritten. Die datenschutzfreundliche Position des Parlaments ist möglich. Die Position des Rates mit verpflichtender Aufdeckung ist möglich. Ein Kompromiss, der Client-Side-Scanning innerhalb eng definierter Kategorien hervorbringt, ist wahrscheinlich. Jedes Ergebnis hat andere Folgen für den architektonischen Ausgangszustand der Messaging-Privatsphäre in der EU.

Der Verfall, der ausblieb

Der 20. April 2026 war das ursprüngliche Verfallsdatum für Section 702 des Foreign Intelligence Surveillance Act, festgelegt durch den Reforming Intelligence and Securing America Act von 2024. Es ist nicht mehr das Verfallsdatum. Am 17. April um 2:09 Uhr verabschiedete das Repräsentantenhaus einstimmig eine Verlängerung um 10 Tage, nachdem republikanische Einwände gegen Änderungsanträge die geplante Plenarabstimmung zum Entgleisen gebracht hatten. Am Nachmittag desselben Tages nahm der Senat dieselbe Verlängerung per Stimmruf an. Am Samstag, dem 18. April, unterzeichnete Präsident Trump H.R. 8322 ohne öffentliche Erklärung und ohne Fototermin mit anwesender Führungsriege. Das neue Verfallsdatum ist der 30. April.

Heute — am 20. April — tagt der Rules Committee des Repräsentantenhauses um 16:00 Uhr ET. Nach der offiziellen Ankündigung des Ausschusses steht Section 702 nicht auf der Tagesordnung der Ausschussberatung. Behandelte Vorlagen: H.R. 1897 (Endangered Species Act), H.R. 5587 (Energie), H.R. 2289 (Breitband), H.R. 4690 (Infrastruktur), eine Entschließung zu ländlichen Gemeinden. Für diese Woche ist kein Senatsvehikel für eine 702-Reform angesetzt. Die Reformkoalition — die einen Richtervorbehalt für Abfragen zu US-Personen angestrebt hatte, im Anschluss an Wydens Plenarerklärung mit drei Argumenten, darunter der Widerspruch gegen das "feeding [collected data] into AI systems to conduct unprecedented mass surveillance", das Einspeisen [erhobener Daten] in KI-Systeme zur Durchführung beispielloser Massenüberwachung — hat zehn Tage und kein sich bewegendes Vehikel. Die Exekutive (Director of National Intelligence Ratcliffe, FBI-Direktor Patel, Director of National Intelligence Miller) hat sich öffentlich für eine unveränderte Neugenehmigung ausgesprochen. Der verfahrensmäßige Verlauf führt auf eine unveränderte Neugenehmigung zum 30. April hinaus, oder auf ein weiteres Flickwerk, oder auf den Verfall mit einer behördlichen Auslegung, welche die Erhebung unter rechtlicher Unsicherheit fortsetzt.

Wydens Formulierung zu KI-Systemen ist das architektonisch Bedeutsame. Sie erkennt an, dass sich die politische Debatte um Section 702 über das „wer erhebt“ hinaus zu „wie KI verarbeitet, was erhoben wurde“ entwickelt hat. Die KI-Verarbeitungsschicht — Palantir Gotham, Anduril, Clearview AI für Gesichtsdaten, Auftragnehmer-KI für die SIGINT-Auswertung — hat keinen eigenen gesetzlichen Aufsichtsrahmen. Eine Reform von Section 702 müsste, wenn sie sich bewegte, diese Schicht adressieren. Die Reform bewegt sich nicht. Die Architektur läuft weiter.

Das Leck der Prüfstelle

Am 19. April 2026 setzte Indonesiens Ministerium für Kommunikation und digitale Angelegenheiten das Indonesia Game Rating System aus, nachdem eine Sicherheitsverletzung über eine ungesicherte Backend-API mehr als 1.000 Entwickler-E-Mail-Adressen, eingereichte Spiel-Assets und knapp eine Stunde unveröffentlichtes Gameplay-Material zu „007: First Light“ offengelegt hatte. Die Schwachstelle wurde von einem Reddit-Nutzer entdeckt, der ein alternatives Frontend für die IGRS-Bewertungsdatenbank entwickelte; verborgene Einstufungen und zugehörige Metadaten waren zugänglich, indem man die interne ID eines Spiels von Hand eintippte. Die API ist inzwischen gesperrt; die Vergabe neuer Einstufungen ist während der Untersuchung ausgesetzt.

IGRS ist die staatliche Erlaubnisschicht für Spiele. Spiele benötigen eine staatliche Einstufung, um in Indonesien vertrieben zu werden. Das eigene Sicherheitsversagen der Erlaubnisinfrastruktur legte die Daten genau jener Akteure offen, die um Erlaubnis ersuchten. Die architektonische Lehre: Jedes Erlaubnissystem ist eine Datenbank, jede Datenbank ist eine Angriffsfläche, jede Angriffsfläche wird irgendwann angegriffen. Staatlich vorgeschriebene Erlaubnispflicht konzentriert Angriffsfläche in Systemen mit den spezifischen Sicherheitsschulden staatlich betriebener Infrastruktur.

Das ChipSoft-Krankenhaus

Am 7. April 2026 unterrichtete Z-CERT den niederländischen Gesundheits-IT-Anbieter ChipSoft — dessen Software HiX für das elektronische Patientendossier ungefähr 70 Prozent der niederländischen Krankenhäuser bedient — über einen laufenden Ransomware-Angriff. Bis zum 8. April bestätigte ChipSoft, dass Patientendaten abgeflossen waren. Bis zum 14. April hatte das niederländische Parlament eine förmliche Untersuchung eingeleitet und Antworten von Gesundheitsministerin Hermans verlangt. Bis zum 17. April waren bei der niederländischen Datenschutzbehörde 23 oder mehr Meldungen über Datenlecks eingegangen; der niederländische Justizminister David van Weel erklärte, es seien „weitere große Hacks zu erwarten“. Mehrere Krankenhäuser nahmen ihre Patientenportale offline; das Rotterdam Eye Hospital, Rijndam Revalidatie und Basalt Revalidatie in Zuid-Holland gehörten zu den öffentlich bestätigten Betroffenen.

Die architektonische Beobachtung ist dieselbe wie bei der KI-Copilot-Lieferkette aus der heutigen Ausgabe 01. Ein einzelner Anbieter mit breitem Zugang — in diesem Fall zu 70 Prozent der Krankenhaus-Patientenakten eines Landes — ist eine katastrophale Konzentration. Die Patientinnen und Patienten haben in die Behandlung in ihrem Krankenhaus eingewilligt. Sie haben nicht gesondert in die Anbieterauswahl ihres Krankenhauses eingewilligt. Wird der Anbieter kompromittiert, ist die medizinische Privatsphäre der Patienten der Wirkungsradius. Anbieterkonzentration im Maßstab eines nationalen Gesundheitswesens ist der architektonische Normalfall; die Gegenarchitektur der offenen Standards (FHIR-basierte Datenportabilität, patienteneigene Daten-Pods von Solid/Inrupt) ist verfügbar, aber nur in der Minderheit ausgerollt.

Der lange Betrug

Drift Protocol — zu jenem Zeitpunkt Solanas größte DeFi-Plattform nach Total Value Locked — wurde am 1. April 2026 um 285 Millionen US-Dollar erleichtert, der zweitgrößte Exploit in Solanas Geschichte. Die Angriffskette: Die Angreifer gaben sich sechs Monate lang als quantitative Handelsfirma aus und bauten Beziehungen zu Mitgliedern des Drift Security Council auf. Zwischen dem 23. und dem 30. März nutzten sie Solanas Funktion der Durable Nonces, um vorsignierte Transaktionen zu erzeugen, die später ausgeführt würden, und erlangten — mittels Social Engineering — Signaturen echter Mitglieder des Security Council. Die Transaktionen übertrugen die administrative Kontrolle über das Protokoll auf eine von den Angreifern kontrollierte Adresse. Am 1. April brachten die Angreifer einen gefälschten CVT-Token (erstellt am 12. März) aus, setzten ihn als Sicherheit auf die Whitelist, hinterlegten 500 Millionen CVT und beliehen ihn, um in ungefähr 12 Minuten 285 Millionen US-Dollar in USDC, SOL und ETH abzuziehen. Zuordnung: mit mittlerer Zuversicht der nordkoreanisch verbundenen UNC4736 (geführt als AppleJeus, Citrine Sleet, Golden Chollima, Gleaming Pisces), laut Chainalysis, TRM Labs und Elliptic.

Die architektonische Beobachtung: Dezentrale Governance ohne dezentrale Verifikation ist anfällig für Konzentrationsangriffe. Der Drift Security Council — eine kleine Gruppe von Signierenden mit weitreichenden Verwaltungsbefugnissen — war die Angriffsfläche. Durable Nonces, eine harmlose Solana-Funktion, die für die verzögerte Ausführung in legitimen Abläufen gedacht ist, waren das Angriffsprimitiv. Die Verteidigungsarchitektur — Identität der Signierenden über Verifiable Credentials, Hardware-Wallets mit lesbarer Transaktionsanzeige, Zeitsperren für administrative Operationen — existiert, wurde aber nicht durchgängig angewandt. Sechs Monate beziehungsbasiertes Social Engineering sind das Neue daran; die architektonische Schwachstelle, die es ausnutzte, ist strukturell.

Die Architektur

Die Erlaubnisarchitektur ist 2026 auf fünf Ebenen des Internet-Stacks der Nutzer ausgerollt.

Infrastrukturebene. Die SNSC-Whitelist des Iran. Russlands Whitelist für Mobilfunkabschaltungen. Die Starlink-Störung durch russische und chinesische elektronische Kampfführung auf Militärniveau. Die grundlegende Erreichbarkeit des IP-Routings in eine Jurisdiktion hinein und aus ihr heraus ist ein staatlich gewährtes Privileg statt einer Protokoll-Voreinstellung.

Routing-Ebene. DNS-Filterung, BGP-Hijacking, ASN-Sperren, Inhaltssperren auf CDN-Ebene. Russlands Telegram-Drosselung bei 95 Prozent. Die Sperranordnungen des Vereinigten Königreichs. Indonesiens IGRS als Erlaubnisschicht, die sich selbst geleakt hat.

Identitätsebene. Altersverifikation nach dem britischen OSA. Texas' HB 1181 (~25 US-Bundesstaaten). Russische digitale Identität plus Max-Integration. Identitätsprüfungsanbieter (Yoti, AgeCheck, Verifi, Digidentity) als hochwertige zentralisierte Datenbanken.

Verschlüsselungsebene. Der EU-Trilog zu Chat Control 2.0 am 4. Mai. Client-Side-Scanning-Vorschläge, die die Ende-zu-Ende-Verschlüsselung am Endpunkt unterlaufen würden. Debatten über vorgeschriebene Schlüsselhinterlegung. Anforderungen an Lawful-Intercept-APIs in verschiedenen Jurisdiktionen.

Anwendungsebene. Die Ausweitung der OAuth-Berechtigungen von KI-Copiloten (Terrain der Ausgabe 01). Kampagnen rund um Salesforce-Fehlkonfigurationen. Beim SaaS-Anbieter gehaltene Authentifizierung im Unternehmensmaßstab. Vercel/Context.ai, das Azure-MCP-CVE, Metas Scale AI Outlier, mehr als 100 Millionen Datensätze von ShinyHunters in Woche 14.

Auf jeder Ebene ist Erlaubnispflicht ausgerollt. Für jede Ebene steht eine Gegenarchitektur bereit. Keine der Gegenarchitekturen ist die Voreinstellung des Mainstreams. Die Lücke zwischen ausgerollter Erlaubnispflicht und ausgerollter Gegenarchitektur wird größer, nicht kleiner.

Die Gegenarchitektur

Der dezentrale Stack existiert. Er ist betriebsbereit. Er ist nicht Mainstream. Seine Bestandteile:

Infrastruktur. Peer-to-Peer-Mesh-Netze. Satellitenanbindung (Starlink, mit dokumentierten Verwundbarkeiten gegenüber staatlichen Gegenwaffen). Mesh auf der physischen Ebene (Meshtastic, Yggdrasil, cjdns). Das Peer-to-Peer-Routing-Substrat von URnetwork. Local-First-Computing, das nicht von Erreichbarkeit abhängt.

Routing. Tor-Onion-Routing mit verschleierten Transporten (obfs4, snowflake). DNS-over-Tor. Föderiertes Peer-Routing von URnetwork. WireGuard über TLS. Shadowsocks mit Verschleierung.

Identität. W3C Verifiable Credentials. Decentralized Identifiers (DIDs). Datenschutzwahrende Altersbestätigung über Zero-Knowledge-Beweise. Pseudonyme Identität mit Reputation. Wallets für selbstbestimmte Identität (Pilotprojekte zur digitalen Identität in Italien und den Niederlanden).

Verschlüsselung. Ende-zu-Ende-verschlüsseltes Messaging: Signal, Tuta, Proton, Session. Post-Quanten-Kryptografie: Tuta als Erster im Einsatz. Verschlüsselter Cloud-Speicher: Tresorit, Sync, Mega, pCloud. Hardwaregestützte Schlüsselspeicherung.

Anwendung. Selbst gehostete KI-Agenten: LangChain, LlamaIndex, Semantic Kernel. Lokales LLM-Hosting: Ollama. Quelloffene MCP-Server mit kundenkontrollierter Bereitstellung. OAuth mit minimalem Berechtigungsumfang. Authentifizierung pro Operation. Kontinuierliche Beobachtbarkeit mit SIEM/SOAR-Integration.

Aggregierte Nutzerkennzahlen. Signal: ungefähr 50 Millionen täglich aktiv. Proton: 100 Millionen Konten. Tuta: 10 Millionen Nutzer. Matrix: 80 Millionen föderierte Nutzer. Tor: 2–3 Millionen täglich. Mastodon, Bluesky und Nostr zusammen: ungefähr 50 Millionen monatlich aktive Nutzer. Jede Zahl ist erheblich; jede ist ein Minderheitsanteil; zusammen stehen sie für den dezentralen Stack in einer sich verstärkenden, aber noch nicht dominierenden Verbreitungskurve.

Was die Woche misst

Das erlaubnispflichtige Internet ist der Ausgangszustand von 2026. Die Gegenarchitektur existiert und wächst. Der Rollout ist die verbleibende Frage.

Am Montag, dem 20. April 2026, ist eine iranische Nutzerin an Tag 52 eines staatlich per Whitelist gesteuerten Internets. Ein russischer Nutzer hat Max als täglich genutzten Stapel aus Messenger, Identität und Zahlungen. Eine britische Nutzerin hat Altersverifikation auf der Inhaltsebene und vorgeschlagene VPN-Beschränkungen auf der Routing-Ebene. Ein EU-Nutzer ist ungefähr zwei Wochen vom Trilog am 4. Mai entfernt, der neu schreiben könnte, was „Ende-zu-Ende-Verschlüsselung“ in der EU bedeutet. Einer indonesischen Entwicklerin wurden E-Mail-Adresse und unveröffentlichte Arbeit über das staatliche Erlaubnissystem selbst offengelegt. Einem niederländischen Patienten wurden die Krankenakten über einen einzigen Anbieter entwendet, der 70 Prozent der Krankenhäuser des Landes bedient. Eine Amerikanerin hat ein am Samstag unterzeichnetes Flickwerk zu Section 702 und in den 10 verbleibenden Tagen kein sich bewegendes Reformvehikel. Bei einem Nutzer von Drift Protocol wurden über sechs Monate beziehungsbasiertes Social Engineering gegen einen kleinen Multi-Sig-Rat 285 Millionen US-Dollar an Kapital erreicht. Ein Unternehmenskunde, der KI-Copiloten einsetzt, hat die folgenschwerste Kaskadenkompromittierung der Woche erlebt (Anker der Ausgabe 01).

Jeder Fall ist ein anderer Datenpunkt. Jeder ist eine andere Erlaubnisschicht. Jeder ist heute.

Der dezentrale Stack — Signal, Tuta, Proton bei Messaging und E-Mail; Tor, URnetwork beim Routing; Matrix, Mastodon, Bluesky beim föderierten sozialen Netz; Ollama, LangChain, LlamaIndex bei selbst gehosteter KI; W3C VCs plus DIDs bei der Identität — ist verfügbar. Die Rollout-Entscheidung liegt bei den Nutzern, den Entwicklern, den Unternehmen und der Community.

Die Erlaubnisarchitektur rollt mit Staats- und Anbietertempo aus. Die Gegenarchitektur rollt mit Community-Tempo aus. Die Lücke ist die Messgröße des Jahres 2026. Die Frage für das Internet des Jahres 2028 lautet, welche Architektur zuerst als Voreinstellung in den Händen der Nutzer ankommt. Die Antwort hängt davon ab, was in den 24 Monaten zwischen heute und dann ausgerollt wird.

Heute ist Montag, der 20. April 2026. Tag 52 in Teheran. 100 Millionen auf Max. 14 Tage bis zum EU-Trilog. 10 Tage bis zur nächsten US-Frist für Section 702. Das erlaubnispflichtige Internet ist da. Die Gegenarchitektur ist ebenfalls da. Die Montagsentscheidung der Nutzer summiert sich zur Architektur des Jahrzehnts.

---

Quellen (24 Belege)

Quellen

1. NetBlocks, Statusmeldungen zur Internetabschaltung im Iran, April 2026.
2. IranWire, "Over 1,100 Hours of Internet Blackout; Reconnection Conditional on SNSC Approval", 18. April 2026.
3. IranWire, "Why There's No Starlink Access During Nationwide Shutdown in Iran?"
4. Al Jazeera, "Frustration grows as Iran's wartime internet shutdown breaks grim record", 5. April 2026.
5. Al-Arabiya, "Iran internet blackout is longest nationwide shutdown on record: Netblocks", 5. April 2026.
6. Tom's Hardware, "Iran's forced nationwide internet blackout becomes second-longest on record."
7. Semafor, "Iran internet blackout enters 46th day, straining economy", 14. April 2026.
8. Rest of World, "Iran's internet shutdown crippled Starlink and why the world should care."
9. American Foreign Policy Council, "Digital Iron Curtain: How Chinese Jamming Tech Is Killing Iran's Starlink Lifeline In 2026."
10. France 24, "How Iran jammed Starlink (and how Iranians are trying to get around it)."
11. Times of Israel, "As Iranian regime shuts down internet, even Starlink seemingly being jammed."
12. Wikipedia, "2026 Internet blackout in Iran."
13. VK-Meldung, "Max 100 million users", 26. März 2026.
14. Pravda.com.ua, "Telegram messaging app almost fully blocked in Russia", 10. April 2026.
15. Meduza, "Telegram blocking rate in Russia reaches 95%", 10. April 2026.
16. KyivPost, "Telegram Founder Updates App to Bypass Total Ban in Russia."
17. Carnegie Endowment for International Peace, "Why Did Messaging App Telegram Fall From Grace in Russia?", März 2026.
18. Zona Media, "Russia's internet censorship in 2026: VPN crackdowns, mobile shutdowns, Telegram blocks and the state messenger Max."
19. France 24, "Russia's Max: The unencrypted super-app being forced on citizens", 23. März 2026.
20. US News, "Kremlin's Drive for a State-Backed Messaging App Touches a Nerve for Some", 3. April 2026.
21. Moscow Times, "Everything You Need to Know About Max, Russia's State-Backed Answer to WhatsApp."
22. Wikipedia, "Max (app)."
23. Cybernews / Panda Security / Help Net Security, Erhebungen zu Altersverifikation und VPN-Anstieg unter dem UK OSA, 2025–2026.
24. Ofcom, "Online Safety Act investigations update."
25. The Record (Recorded Future), "UK fines 4chan over noncompliance with Online Safety Act."
26. Help Net Security, "4chan shrugs off UK regulator, refuses to pay £520,000 in fines."
27. Reclaim the Net, "Ofcom Has Fined 4chan £520,000 Under a Law That Doesn't Apply in the US."
28. Boing Boing, "4chan responded to a £520,000 UK fine with a hamster in a Godzilla suit", 20. März 2026.
29. ISPreview UK, "Government Set to Restrict UK Children's Use of Internet VPNs and Social Media."
30. Free Speech Coalition, Inc. v. Paxton, 23-1122, Supreme Court of the United States, 27. Juni 2025.
31. Sidley Austin LLP, "Texas Age Verification Law Upheld: U.S. Supreme Court Balances Free Speech and Child Protection in the Digital Age."
32. Ondato Blog, "Texas Age Verification Law (HB 1181) Explained."
33. Patrick Breyer MdEP, "Chat Control: The EU's CSAM scanner proposal", fortlaufend.
34. State of Surveillance, "Chat Control Is Dead. Long Live Chat Control."
35. State of Surveillance, "Chat Control Dies Tomorrow: EU Voluntary Scanning Expires April 3."
36. Presse der Grünen/EFA, "Negotiations collapsed in best possible outcome: Quote from Markéta Gregorová MEP."
37. Electronic Frontier Foundation, "After Years of Controversy, the EU's Chat Control Nears Its Final Hurdle."
38. State of Surveillance, "The House Votes Tomorrow on Warrantless Surveillance. Reformers Already Lost."
39. NPR, "Congress extends controversial surveillance powers for 10 days", 17. April 2026.
40. Nextgov/FCW, "House readies vote to renew FISA 702 without a warrant amendment."
41. Holland & Knight, "Congress Poised to Consider FISA Extension in April."
42. Epoch Times, "House Rules Committee Advances FISA Section 702 Authorization After GOP Opposition Delays Bill."
43. H.R. 8322 — Verlängerung des FISA Amendments Act, unterzeichnet am 18. April 2026.
44. Protokoll des Senatsplenums, 17. April 2026 — Erklärung Wydens zu H.R. 8322.
45. Jakarta Post, "Indonesia suspends game rating system after data breach", 19. April 2026.
46. The Register, "Indonesia's game rating system leaks developer creds", 20. April 2026.
47. VGC, "Indonesia's ratings board just leaked huge spoilers for 007: First Light."
48. Power Up Gaming, "IGRS Leaks 007 First Light Assets and 1000+ Developer Emails."
49. Niko Partners, "Indonesia Game Rating System Heavily Criticized on its Rollout."
50. Kenia, Feststellung der ODPC, Fall LOLC Microfinance, 14. April 2026.
51. TechCabal, "LOLC Microfinance Bank directors risk prosecution over data case."
52. Capital FM (Kenia), "ODPC faults LOLC Kenya over data breach, orders deletion of client data."
53. Business Daily Africa, "Micro-lender bosses face prosecution over ex-employee image use."
54. HapaKenya, "LOLC Microfinance directors face prosecution after public shaming former employee."
55. Cyberwarzone, "Dutch Parliament Probes ChipSoft Ransomware Attack", 14. April 2026.
56. The Register, "Ransomware knocks Dutch healthcare software vendor offline", 8. April 2026.
57. Cybernews, "Concerns over patient data arise after data breach at ChipSoft."
58. State of Surveillance, "Ransomware Hit the Company That Runs 80% of Dutch Hospitals."
59. NL Times, "Expect more big hacks, Justice Min. says as ChipSoft confirms leak of patient data", 17. April 2026.
60. The Record, "Dutch hospitals face disruptions after ransomware attack on software provider ChipSoft."
61. Chainalysis, "Drift Protocol Hack: How Privileged Access Led to a $285M Loss."
62. The Hacker News, "$285 Million Drift Hack Traced to Six-Month DPRK Social Engineering Operation."
63. TRM Labs, "North Korean Hackers Attack Drift Protocol In USD 285 Million Heist."
64. Elliptic, "Drift Protocol exploited for $286 million in suspected DPRK-linked attack."
65. Bloomberg, "Drift DeFi Project on Solana Suffers $285 Million Crypto Exploit", 1. April 2026.
66. Coindesk, "Elliptic flags $285 million Drift exploit as a likely North Korea-linked operation."
67. SpotedCrypto, "Drift Protocol's $285M Hack: 12 Minutes That Shook Solana DeFi."
68. Spezifikation der Solana Durable Nonces, Dokumentation der Solana Foundation.
69. Anthropic, Spezifikation des Model Context Protocol.
70. Dokumentation des OAuth-2.1-Rahmenwerks, IETF.
71. W3C, Spezifikation der Verifiable Credentials.
72. W3C, Spezifikation der Decentralized Identifiers (DIDs).
73. Technische Dokumentation von Signal.
74. Tuta, Veröffentlichung zur Post-Quanten-Kryptografie, März 2024.
75. Dokumentation des Proton-Ökosystems.
76. Dokumentation des Tor Project.
77. Spezifikation der Matrix-Föderation.
78. Dokumentation zu ActivityPub / Mastodon-Föderation.
79. Dokumentation zu AT Protocol / Bluesky-Föderation.
80. Dokumentation des lokalen LLM-Rahmenwerks Ollama.
81. Dokumentation zum Selbsthosting von LangChain, LlamaIndex, Semantic Kernel.
82. OWASP AI Security and Privacy Guide 2026.
83. NIST AI Risk Management Framework (AI 600-1), Aktualisierung 2026.
84. Architekturanalysen zur Großen Firewall (Referenzen von Wikipedia, Britannica, TechTarget).
85. Oxford Journal of Cybersecurity, "Conceptualizing the reverse great firewall."
86. ODPC Kenia, jährlicher Vollzugsbericht 2025.
87. DSGVO, Text zu Artikel 33 / Artikel 82 zu Meldepflicht und Haftung bei Verletzungen.
88. Dokumentation zu Peer-to-Peer-Routing und föderierten Betreibern von URnetwork.

---

Dies ist die Ausgabe 2026-04-20-02 des täglichen URnetwork-Journals zu Privatsphäre und Internetfreiheit. Ausgabe 01 von heute behandelt das Muster der KI-Copilot-Lieferkette; diese Ausgabe behandelt die Erlaubnisarchitektur zwischen Nutzer und Staat. Das begleitende Hot-Takes-Dokument sowie die zugehörigen Bilder, Meme-Comics und Kurzvideos werden zusammen damit veröffentlicht.