Die OX-Offenlegung und das Wort des Anbieters
Am 15. April 2026 veröffentlichte OX Security zwei Berichte. Der erste, betitelt "The Mother of All AI Supply Chains", beschrieb eine architektonische Schwachstelle in Anthropics Model Context Protocol. Der zweite, betitelt "MCP Supply Chain Advisory", zählte die nachgelagerten Folgen auf. Die Forscher — Moshe Siman Tov Bustan, Mustafa Naamnih, Nir Zadok und Roni Bar — arbeiteten seit November 2025 an der Offenlegung. Der Befund war kein Fehler. Er war eine Entwurfsentscheidung.
Anthropics offizielle MCP-SDKs für Python, TypeScript, Java und Rust leiten Befehle, die aus einer Konfiguration stammen, über den STDIO-Transport ohne Bereinigung direkt an die Ausführung im Betriebssystem weiter. Eine Konfigurationsdatei, die einen Server-Befehl angibt, landet als exec-Aufruf im Betriebssystem, ohne Eingabevalidierung zwischen den beiden Schritten. Die Schwachstelle ist architektonisch in dem spezifischen Sinn, dass ihre Behebung eine Änderung des Protokollentwurfs erfordert, nicht das Patchen einer Implementierung.
Der Umfang zählt. Einhundertfünfzig Millionen Downloads der betroffenen SDKs. Siebentausend oder mehr öffentlich erreichbare MCP-Server. Bis zu zweihunderttausend verwundbare Instanzen in der Grundgesamtheit, die OX vermessen konnte. Die Forscher demonstrierten erfolgreich Befehlsausführung auf sechs Produktivplattformen mit zahlenden Kunden — nicht alle davon öffentlich benannt; die am besten belegte Aufzählung umfasst GPT Researcher, LiteLLM, Windsurf, DocsGPT, Flowise und Upsonic, wobei auch Letta AI und IBMs LangFlow zum betroffenen Kreis gehören. Die Forscher luden eine harmlose Proof-of-Concept-Nutzlast in elf MCP-Marktplätze hoch; neun nahmen die Nutzlast ohne Sicherheitsprüfung an. GitHub lehnte ab. Cline antwortete nicht. LobeHub und Cursor Directory nahmen an.
OX benachrichtigte Anthropic während des Forschungszeitraums wiederholt. Die Antwort des Anbieters, wie sie über OX und über die Presseberichterstattung übermittelt wurde, lautete, das STDIO-Ausführungsmodell stelle eine sichere Voreinstellung dar und die Bereinigung liege in der Verantwortung der Entwickler. Anthropic aktualisierte seine Datei SECURITY.md um den Hinweis, STDIO-Adapter sollten "with caution" (mit Vorsicht) verwendet werden. Das war die architektonische Abhilfe. OX' Charakterisierung: „Diese Änderung hat gar nichts behoben.“ Microsoft und LangChain bezogen laut OX ähnliche Positionen — das Verhalten sei so gewollt. In der von uns gesichteten Presseberichterstattung ist keine namentlich zurechenbare, datierte öffentliche Erstäußerung von Anthropic zu der Offenlegung aufgetaucht.
Die elf von The Hacker News aufgezählten CVEs erstrecken sich über das nachgelagerte Ökosystem. Stand 22. April gepatcht: LiteLLM lieferte am 21. April v1.83.7-stable aus und behob damit CVE-2026-30623, mit einer expliziten Befehls-Allowlist (npx, uvx, python, python3, node, docker, deno), Pydantic-Validierung und einer Registrierungspflicht für Server, die nur Administratoren offensteht; DocsGPT patchte CVE-2026-26015; Bisheng patchte CVE-2026-33224. Ungepatcht: Windsurf (CVE-2026-30615 mit CVSS 8.0 High), Langchain-Chatchat (30617), Fay (30618), Agent Zero (30624), Upsonic (30625), Flowise (40933), GPT Researcher (CVE-2025-65720), MCP Inspector (CVE-2025-49596) und LangFlow. Das Protokoll selbst bleibt unverändert.
Was Anthropic als erwartet bezeichnet, nannte OX in den Worten des Forschers Bustan neu entwerfbar: „Das Protokoll lässt sich so umgestalten, dass es seinen Nutzen nicht verliert.“
Der Anbieter verweigert sich. Die nachgelagerte Seite zahlt.
Eine Ziffer in der URL
Am Mittwoch, dem 15. April — am selben Tag, an dem OX veröffentlichte —, entdeckte Frankreichs Agence Nationale des Titres Sécurisés einen Vorfall in ihrem Portal ants.gouv.fr. Die ANTS, inzwischen offiziell umbenannt in France Titres, ist das eine Websystem, über das in Frankreich jede Passverlängerung, jeder Antrag auf einen Personalausweis, jeder Führerscheinantrag, jeder Aufenthaltstitel und jeder Vorgang der Fahrzeugzulassung läuft. Es ist das Portal. Der digitale Identitätslebenslauf einer französischen Bürgerin ist ein einziger Login bei ants.gouv.fr.
Bis zum Abend des 21. April, eines Dienstags, bestätigte Innenminister Laurent Nuñez, dass ungefähr 11,7 bis 12 Millionen Konten kompromittiert worden waren. Der Angreifer „breach3d“ — der auch unter den Aliassen „ExtaseHunters“ und „EvilDump“ auftritt — bot die Daten ab dem 16. April in kriminellen Foren zum Verkauf an und behauptete, 18 bis 19 Millionen Datensätze zu besitzen, rund ein Drittel der Bevölkerung Frankreichs. Die offengelegten Felder: Login-ID, Anrede, vollständiger Name, E-Mail-Adresse, Geburtsdatum, eindeutige ANTS-Kennung. Manche Datensätze enthalten zusätzlich Postanschrift, Geburtsort, Telefonnummer und bei Geschäftskonten eine SIREN. Biometrie, Passwörter und hochgeladene Dokumentanhänge waren nicht betroffen. Nuñez sagte zu, jede betroffene Person einzeln per E-Mail oder Post zu benachrichtigen. Die CNIL wurde nach Artikel 33 DSGVO innerhalb der Zweiundsiebzig-Stunden-Frist informiert. Die ANSSI ist eingebunden. Bei der Pariser Staatsanwaltschaft ist eine Strafanzeige nach Artikel 40 der Strafprozessordnung eingegangen.
Der Angriffsvektor ist nach französischsprachiger Sicherheitspresse, die sich auf die Forenbeiträge von breach3d stützt, eine Insecure Direct Object Reference — ein IDOR, also ein unsicherer direkter Objektverweis — in der API von moncompte.ants.gouv.fr. Eine ganzzahlige Kennung in einer API-URL. Ändere die Zahl, rufe das Profil einer anderen Bürgerin ab. Keine Berechtigungsprüfung auf Objektebene. Keine Ratenbegrenzung, die das Durchzählen aufgefallen wäre. Der Hacker soll die Lücke als „einen wirklich dummen Fehler“ bezeichnet haben.
IDOR ist keine neuartige Fehlerklasse. Die OWASP Top 10 führen sie seit einem Jahrzehnt unter Broken Object Level Authorization. Sie kommt in jedem Kurs zu API-Sicherheit vor. Automatisierte Scanner finden sie. Bug-Bounty-Programme zahlen dafür. Dass das ANTS-Portal eine produktive API ohne Berechtigungsprüfungen auf Objektebene, ohne Ratenbegrenzung je Kennung und ohne Anomalieerkennung für Aufzählungsmuster betrieb, ist keine Schwachstelle einer neuen Klasse. Es ist eine Schwachstelle einer alten Klasse, die der Staat nicht geschlossen hat.
Die Reaktion der Regierung ist prozedural. Benachrichtigung jedes einzelnen Opfers. Strafanzeige. CNIL-Meldung. Die Regierung hat, Stand 22. April, weder eine Überprüfung der Sicherheitsarchitektur des ANTS-Portals angeordnet noch MFA vorgeschrieben noch sich auf einen Zeitplan festgelegt, das Portal zugunsten von Wallet-basierten Alternativen abzulösen. Die Reaktion ist Regierungsführung durch Erwartung: eine bekannte Schwachstellenklasse, eine bekannte Klasse von Abläufen nach einem Vorfall. Hakim Javadi im Iran würde die Haltung wiedererkennen.
Die architektonische Alternative traf am selben Tag ein. Die europäische Referenzanwendung zur Altersverifikation wurde am 15. April für technisch einsatzbereit erklärt — am selben Tag, an dem die ANTS den Vorfall entdeckte. Die Wallet-Architektur unter eIDAS 2.0, Verordnung EU 2024/1183, ist das Gegenteil von ants.gouv.fr. Nachweise liegen auf dem Gerät der Nutzerin. Die Vorlage ist selektiv — den Nachweis über 18 zu erbringen, ohne das Geburtsdatum preiszugeben, die französische Staatsbürgerschaft nachzuweisen, ohne den Namen preiszugeben. Die Wallet ist über verschiedene Vorlagen hinweg nicht verknüpfbar. Es gibt kein zentrales Portal, das zu kompromittieren wäre, weil es kein zentrales Portal gibt. Frankreichs France Identité ist die geplante nationale Wallet. Der 31. Dezember 2026, bis zu dem jeder Mitgliedstaat mindestens eine konforme Wallet vorhalten muss, ist der architektonische Liefertermin. Der Übergang läuft. Die ANTS-Nutzerinnen und -Nutzer, die im April 2026 die Kosten der Architektur vor der Wallet tragen, sind die Verluste der Übergangszeit.
Eine Ziffer in einer URL wurde geändert, und ein Drittel der französischen Identitätsvorgangsdaten landete in einem kriminellen Forum. Die Regierung nennt das in ihrer Reaktion eine operative Angelegenheit. Die architektonische Sicht nennt es den Preis dafür, im Jahr 2026 einen Entwurf von 2015 zu betreiben.
Tag 54
Irans Internetabschaltung erreichte am 22. April 2026 Tag 54. Die von NetBlocks gepflegte Messung beziffert die derzeitige kriegsbedingte Abschaltung auf rund 1.272 Stunden ohne Netz und den globalen Internetzugang im Iran auf etwa ein Prozent des Vorkriegsniveaus. Eine teilweise auf einer Allowlist beruhende Stufe namens „Internet Pro“ war vom 17. bis 20. April für zahlende Unternehmen und Wissenschaftler in Betrieb — ein architektonisches Eingeständnis des Regimes, dass die wirtschaftlichen Kosten der Abschaltung nicht tragbar sind, zugleich aber eine strukturelle Zweiteilung, die den Zugang danach verteilt, wer zahlen kann.
Der Ursprung ist der 28. Februar 2026, als koordinierte US-amerikanische und israelische Angriffe begannen und der Oberste Führer Ali Chamenei zusammen mit weiteren Angehörigen der Führung ermordet wurde. Iran kappte binnen Stunden sein globales Internet. Der Verkehr fiel laut Cloudflare Radar um 98 Prozent. Bis Ende April hatte die Abschaltung jeden modernen Vergleichsmaßstab überschritten. Ägyptens Abschaltung im Arabischen Frühling im Januar und Februar 2011 dauerte 5 Tage. Irans Blutiger November 2019 dauerte 6 Tage. Libyen dauerte 2011 etwa 6 Monate und bleibt die längere Abschaltung — in einem Land mit 6 Millionen Einwohnern. Irans 90 Millionen machen das laufende Ereignis zum nach Bevölkerung größten, das je verzeichnet wurde.
NPR veröffentlichte am 22. April einen Beitrag von Emily Feng, dessen Titel den konkreten Mechanismus benennt — Iranerinnen und Iraner verlassen das Land, nur um ins Internet zu kommen. Feng porträtierte eine Frau aus Teheran, die nur als Mutter kenntlich gemacht ist und alle drei Tage stundenlang zum türkischen Grenzübergang Kapıköy fährt, um Videoanrufe mit ihrem Sohn zu führen, der an einer türkischen Universität studiert. Ihr Zitat: „Ich will nur einen Videoanruf machen und wieder in den Iran zurückfahren. Das ist alles.“ Feng porträtierte einen Podcaster, Ershad, Mitmoderator eines persischsprachigen Podcasts namens „Haagirvaagir“ aus Marivan: „Die einzige Stimme ist jetzt die Stimme des iranischen Regimes, weil sie das Internet abgeschnitten haben.“ Feng führte die wirtschaftlichen Folgen an — Unternehmen, die auf WhatsApp und Instagram angewiesen waren, um ihre Kundschaft zu erreichen, brechen weg. Feng beschrieb den Schwarzmarkt für Starlink-Minuten, zu Wucherpreisen verkauft, mit stockenden Verbindungen, die die meisten Seiten nicht laden können, sowie staatlich genehmigte „white SIM“-Karten (weiße SIM) als legale Zugangsstufe.
Das Durchsetzungsumfeld ist hart. Am oder um den 1. April erklärten iranische Staatsmedien über Fars Starlink zu einem legitimen Ziel. Die Revolutionsgarden weiteten die Drohung auf US-Technologieinfrastruktur insgesamt aus — Apple, Google, Meta, Microsoft, Nvidia. Der Besitz eines Starlink-Terminals ist nach der Gesetzgebung von 2026 mit bis zu zehn Jahren Haft oder mit dem Tod bedroht. Polizeichef Ahmad-Reza Radan gab im April bekannt, dass 139 Terminals beschlagnahmt und 46 Festnahmen vorgenommen worden seien; in Yazd wurden 61 Bankkonten gesperrt; zwei ausländische Staatsangehörige wurden Mitte April laut Tasnim als Teil eines angeblich mit den USA und Israel verbundenen Spionagenetzes festgenommen. Digitalrechtsgruppen schätzen, dass ungefähr 50.000 Starlink-Terminals im Iran weiter in Betrieb sind.
Fünfzigtausend Terminals gegen ein Gesetz mit Todesstrafe sind die Antwort der Nutzerinnen und Nutzer auf das „erwartet“ des Regimes. Die Regierung hat eine Haltung. Die Bevölkerung hat eine Haltung. Keine der beiden wartet auf die andere.
Die wirtschaftliche Bilanz ist dokumentiert. Irans Telekommunikationsminister Sattar Hashemi hat die direkten Kosten für die digitale Wirtschaft mit 35,7 Mio. US-Dollar pro Tag beziffert. Afschin Kolahi von der Kommission für die wissensbasierte Wirtschaft veranschlagte die direkten Kosten mit 30 bis 40 Mio. US-Dollar pro Tag und die Gesamtkosten einschließlich indirekter mit 70 bis 80 Mio. US-Dollar pro Tag. Der kumulierte Verlust bis zum 16. April lag bei ungefähr 1,8 Mrd. US-Dollar. Die Online-Umsätze fielen um 80 Prozent. Allein im Januar wurden einhundertfünfundachtzig Millionen Finanztransaktionen aus der Wirtschaft getilgt.
Ali Hakim-Javadi, Vorsitzender der iranischen Gildenorganisation für Informationstechnologie, sagte am 12. April, es gebe „keinen klaren Zeitplan“ für die Wiederherstellung der öffentlichen Konnektivität, und verwies auf „besondere Kriegsbedingungen“ und „spezifische Sicherheitserwägungen“. Das ist die erklärte Erwartungshaltung des Regimes. Die Abschaltung ist eine Kriegsbedingung. Kriegsbedingungen haben kein Enddatum. Also hat die Abschaltung kein Enddatum.
Was die Menschen stattdessen tun, ist die Messgröße des Einsatzes. Die Downloads von VPN-Apps stiegen in den ersten Tagen der Abschaltung um 500 bis 579 Prozent. Psiphon erreichte ungefähr 9,6 Millionen iranische Tagesnutzer; rund 400.000 Iranerinnen und Iraner in der Diaspora teilen über Psiphon Bandbreite. Der Werkzeugkasten zur Umgehung der Deep Packet Inspection — Shadowsocks, V2Ray, Trojan, NaïveProxy, Tor Snowflake — ist die zweite Generation der Antwort, während das Regime in DPI investiert. Das OONI, das Open Observatory of Network Interference, hat DNS-Injektionen gegen den Session Messenger und Middlebox-Eingriffe gegen Psiphon bestätigt. Das Regime ist auf der technischen Ebene aktiv. Die Bevölkerung ist auf der technischen Ebene aktiv. Es ist ein Wettlauf.
Jede unabhängige Transportschicht — URnetworks Peer-to-Peer-Relay über Knoten an Wohnanschlüssen, Outline, Psiphon, Shadowsocks, V2Ray, Tor Snowflake — ist eine Gegenmaßnahme auf Nutzerebene gegen eine Verweigerung auf Infrastrukturebene. Das Regime hat den Träger gekappt. Die Nutzerin läuft außen herum. Die 50.000 Starlink-Terminals sind die Messgröße der sichtbaren Hardware. Die Zahlen der täglichen VPN-Nutzung sind die Messgröße der Softwareebene. Die NPR-Geschichte ist die Messgröße der menschlichen Ebene — eine Mutter, die nach Kapıköy fährt.
Das „kein klarer Zeitplan“ vom 12. April ist das Wort des Regimes. Die 50.000 Terminals und die 9,6 Millionen Psiphon-Nutzer sind das der Nutzerinnen und Nutzer.
Die Wende bei der Chatkontrolle
Am 26. März 2026 lehnte das Europäische Parlament mit 311 zu 228 Stimmen bei 92 Enthaltungen die Verlängerung der ePrivacy-Ausnahme ab — jenes Rechtsinstruments, das es Google, Meta, Microsoft, LinkedIn, Snap und TikTok erlaubte, private Nachrichten der Nutzerinnen und Nutzer freiwillig auf Material über sexuellen Kindesmissbrauch zu durchsuchen. Chatkontrolle 1.0 als freiwilliges Regime starb im Plenum des Parlaments. Am 3. April lief die Ausnahme rechtlich aus. Am 6. April verstrich das praktische Enddatum für jene Plattformen, die ohne rechtliche Grundlage weiter durchsuchten. Tuta: „Ihr habt es geschafft.“ Proton: „Das EU-Parlament hat sich für den Datenschutz starkgemacht.“ Patrick Breyer, früherer Europaabgeordneter der Piraten: „ein sensationeller Erfolg für die unzähligen Bürgerinnen und Bürger, die angerufen und E-Mails geschrieben haben, um ihr digitales Briefgeheimnis zu retten.“
Der 4. Mai ist zwölf Tage von heute entfernt. Die Trilogverhandlungen zur Verordnung gegen sexuellen Kindesmissbrauch — Chatkontrolle 2.0, der dauerhafte Ersatz — werden an jenem Montag wieder aufgenommen. Ein weiterer Trilog ist für den 29. Juni angesetzt. Die dänische Ratspräsidentschaft strich in ihrer allgemeinen Ausrichtung vom 26. November 2025 die Pflicht zur clientseitigen Durchsuchung — jenen architektonischen Bruch, der jede Messenger-App gezwungen hätte, Nachrichten auf dem Gerät der Nutzerin vor der Verschlüsselung zu durchsuchen. Die Streichung dieser Pflicht ist die dänische Wende, gerahmt als erwartbares Entgegenkommen gegenüber Bedenken der Mitgliedstaaten. Der Text der CSA-Verordnung behält jedoch die verpflichtende Altersverifikation bei. Der architektonische Hebel ist von einer Grenze zur nächsten gewandert.
Signal, Proton, Tuta und Threema haben jeweils öffentlich zugesagt, sich aus der EU zurückzuziehen, statt eine Pflicht zur clientseitigen Durchsuchung hinzunehmen. Meredith Whittaker von Signal auf der Plattform, die früher Twitter hieß: „Würden wir in die Lage gebracht, zwischen der Aushöhlung der Integrität unserer Verschlüsselung und unserer Datenschutzgarantien auf der einen Seite und dem Verlassen Europas auf der anderen wählen zu müssen, würden wir uns leider entscheiden, den Markt zu verlassen.“ Andy Yen von Proton bekräftigte diese Position. Matthias Pfau von Tuta, der sich entschieden hat, zu klagen statt zu gehen: „Wir werden unsere Verschlüsselung niemals schwächen oder mit einer Hintertür versehen.“ Threema: Die Chatkontrolle sei „ein beispielloser Massenüberwachungsapparat orwellschen Ausmaßes“; Threema werde, sollte sie beschlossen werden, „andere Kommunikationsdienste dazu aufrufen, gemeinsam mit uns die EU zu verlassen“. Vier Messenger, die zusammen zig Millionen europäische Nutzerinnen und Nutzer bedienen, haben sich öffentlich auf architektonische Verweigerung festgelegt.
Die Wende des Rates, die Durchsuchungspflicht fallen zu lassen, ist der Erwartungszug des Regulierers im selben Sinne wie der des Anbieters. Der Anbieter sagt, die Architektur sei so gewollt. Der Rat sagt, die Wende sei ein Verhandlungsergebnis. In beiden Fällen wird die Last von der Regierungsebene weggeschoben. Im Fall des Rates wird die Last auf die verpflichtende Altersverifikation verschoben, die keine clientseitige Durchsuchung ist, sehr wohl aber eine Nachweisprüfung mit eigener Datenschutzarchitektur — gut entworfen unter eIDAS-2.0-Wallets, schlecht entworfen, wenn sie als Ausweis-Upload oder als Konzentration bei Drittanbietern umgesetzt wird. Die Woche, in der der ANTS-Vorfall das Risiko der Portalzentralisierung sichtbar machte, ist die Woche, in der der Rat den Hebel der CSA-Verordnung still zur Altersprüfung verschob.
Die EU-Kommission testet in derselben Woche Matrix als Ergänzung und Rückfallebene zu Microsoft Teams. Matrix' föderierte Architektur ist bei Hunderttausenden Nutzerinnen und Nutzern in der deutschen Bundeswehr und in der französischen Regierung im Einsatz, im österreichischen Gesundheitswesen und bei der Schweizerischen Post, beim NATO CCDCOE und bei NATO ACT. Element, der kommerzielle Betreuer des Referenz-Matrix-Clients, meldet ein Wachstum der Registrierungen aus dem Gegenwind gegen Discords Altersverifikation im Februar, das über das Februar-Fenster hinaus anhält. Laut Matrix stehen fünfunddreißig Länder in operativen Gesprächen über einen Einsatz. Die Infrastruktur der souveränen Präferenz wird parallel zur Regulierungsdebatte gewählt.
Chatkontrolle 2.0 am 4. Mai ist die nächste Sprosse. Der Erfolg vom 3. April ist die erste architektonische Sprosse des EU-Zyklus 2026. Die architektonische Verweigerung der Messenger steht so oder so bereit.
30. April
Die Verfahrensabstimmung des US-Repräsentantenhauses über eine unveränderte Verlängerung von Section 702 des Foreign Intelligence Surveillance Act um 18 Monate scheiterte in den frühen Morgenstunden des Freitags, des 17. April, mit 197 zu 228 Stimmen. Zwanzig Republikaner stimmten mit den Demokraten gegen die Verfahrensregel. Eine frühere Verfahrensabstimmung über ein Änderungspaket — den Änderungsantrag des Abgeordneten Andy Biggs zum Richtervorbehalt und dessen Paketpartner — war mit 200 zu 220 Stimmen bei 12 republikanischen Abweichlern gescheitert. Nachdem der unveränderte Weg versperrt war, brachte der Sprecher des Repräsentantenhauses Mike Johnson gegen 2 Uhr morgens eine Verlängerung um 10 Tage im Wege der Einstimmigkeit durch. Der Senat billigte die Verlängerung später am Freitag per Stimmabgabe ohne Auszählung. Präsident Trump unterzeichnete am Samstag. Aus dem ursprünglichen Auslaufdatum von Section 702 am 20. April wurde der 30. April.
Die Rebellion war kein Einzelfall. Der Freedom Caucus hat sich beim Richtervorbehalt für Abfragen zu US-Personen mit dem Congressional Progressive Caucus verbündet — eine überparteiliche Koalition von besonderer Stabilität. Der Abgeordnete Jim Jordan, Vorsitzender des Justizausschusses des Repräsentantenhauses, kehrte öffentlich sein Jahrzehnt des Eintretens für den Richtervorbehalt um und unterstützte die unveränderte Verlängerung mit der Begründung: „Es ist heute ein anderes Programm“; „Section 702 verleiht die notwendige Befugnis, und sie hat sich als eines der wirksamsten Werkzeuge der Nation erwiesen.“ Jordans Kehrtwende ist selbst das Signal. Die Koalition, die sich gegen seine Kehrtwende hält — Biggs, Davidson, Massie, Roy, die zwanzig, die mit Nein stimmten —, ist der institutionelle Widerstand gegen die Erwartungsrahmung der unveränderten Verlängerung.
Senator Mike Lee und Senator Ron Wyden brachten im März den Government Surveillance Reform Act of 2026 ein. Es ist eine vierjährige Verlängerung von Section 702 mit einem Richtervorbehalt für Abfragen zu US-Personen, der Schließung des Datenhändler-Schlupflochs und der Aufhebung der Ausweitung auf Electronic Communication Service Provider von 2024. Zu den Mitantragstellern zählen die Senatorinnen Cynthia Lummis und Elizabeth Warren. Federführend im Repräsentantenhaus: die Abgeordneten Warren Davidson und Zoe Lofgren. Senator Lee und Senator Dick Durbin brachten gesondert den enger gefassten SAFE Act ein. Die reformerische Architektur existiert als Senatstext; das Vehikel ist aktiv. Der Mehrheitsführer im Senat John Thune nach dem Scheitern im Repräsentantenhaus am Freitag: „Wir müssen umschwenken und herausfinden, was mehrheitsfähig ist.“
Der Abgeordnete Jamie Raskin, ranghöchster Demokrat im Justizausschuss des Repräsentantenhauses, nannte die unveränderte Verlängerung einen „schmutzigen Deal“. Der Änderungsantrag des Abgeordneten Jerry Nadler von 2024 gegen Hintertür-Durchsuchungen scheiterte mit 212 zu 212 an einem Patt; die Koalition von 2026 versucht, diesen Präzedenzfall zu vermeiden. Der Abgeordnete Thomas Massie legte sich öffentlich fest: „Ich werde bei der Schlussabstimmung über das FISA-702-Verlängerungsgesetz mit NEIN stimmen, wenn es keine Richtervorbehaltsregelung enthält.“
Am 30. April — acht Tage von heute — bekommt Section 702 entweder eine mehrjährige Verlängerung mit angehängten Reformen, eine kürzere Übergangslösung, ein Auslaufen oder, unwahrscheinlich, eine unveränderte Verlängerung über ein im Senat beginnendes Verfahren. Jedes Ergebnis hängt davon ab, was der Senat in der kommenden Woche liefert.
Die Erwartungsrahmung der Führung des Repräsentantenhauses — dass Jim Jordans Kehrtwende eine pragmatische Neujustierung und die unveränderte Verlängerung der realistische Weg gewesen sei — ist das Vokabular des Regierungs-Nullzustands. Die Koalition gegen diese Rahmung ist die Nachricht. Vier Monate in der Mache.
Der Stack von URnetwork und der offenen Quellen wartet nicht auf die Abstimmung. Nutzerseitig gehaltene Schlüssel, Peer-to-Peer-Transport, föderierte Moderation, selbst gehostete Agenten — jedes davon ist eine Milderung, die unabhängig davon ausgeliefert wird, was der Kongress mit 702 macht. Am 30. April wird die rechtliche Grundlinie entschieden. Die architektonische Alternative führt die technische Grundlinie seit einem Jahrzehnt vor.
Die zweite Anordnung
Am 7. April 2025 — letztes Jahr, nicht dieses, auch wenn die Verwechslung nachvollziehbar ist — wiesen Lord Justice Rabinder Singh und Justice Jeremy Johnson vom britischen Investigatory Powers Tribunal den Antrag des Innenministeriums zurück, Apples Anfechtung einer Technical Capability Notice geheim zu halten. Die im Januar 2025 an Apple zugestellte Anordnung verlangte weltweiten Zugriff auf iCloud-Daten, die durch Advanced Data Protection geschützt sind. Apple hatte ADP im Februar 2025 im Vereinigten Königreich zurückgezogen, statt sie zu befolgen. Die Entscheidung von Singh und Johnson machte das Verfahren öffentlich. Privacy International und Liberty traten als Nebenbeteiligte bei. Der Beitrittsantrag von WhatsApp wurde abgelehnt. Apples erste Beschwerde war auf Kurs.
Im August 2025 sagte die Geheimdienstkoordinatorin Tulsi Gabbard öffentlich, das Vereinigte Königreich habe die Anordnung nach Druck von Trump und Vance fallen lassen — Trump soll Premierminister Keir Starmer gesagt haben: „Das könnt ihr nicht machen“, und Vance nannte die Anordnung „verrückt“. Im September 2025 erließ das Innenministerium eine zweite Technical Capability Notice, beschränkt auf Nutzerinnen und Nutzer im Vereinigten Königreich und gebilligt durch den Investigatory Powers Commissioner Sir Brian Leveson. Am 14. Oktober 2025 wies das IPT Apples erste Beschwerde unter Verweis auf eine "change in circumstances" (Änderung der Umstände) zurück — nämlich die faktische Rücknahme der ersten Anordnung. Apples Anfechtung der zweiten, auf das Vereinigte Königreich beschränkten Anordnung läuft im Verfahren vor dem IPT weiter. Eine siebentägige Anhörung zu "assumed facts" (unterstellten Tatsachen) war nach der Verfahrensverfügung von Singh und Johnson vom Juli 2025 für Anfang 2026 angesetzt. Stand 22. April 2026 bestätigt keine öffentliche Berichterstattung, dass diese Anhörung stattgefunden hat.
Apple hat Advanced Data Protection im Vereinigten Königreich nicht wieder freigeschaltet. Die zweite TCN bleibt in Kraft. Caroline Wilson Palow von Privacy International: Die enger gefasste zweite Anordnung „könnte für die weltweite Sicherheit und Privatsphäre eine ebenso große Bedrohung sein wie die alte“. Apples Position bleibt: „Wir haben nie eine Hintertür oder einen Generalschlüssel zu irgendeinem unserer Produkte oder Dienste gebaut, und wir werden es nie tun.“
Die architektonische Haltung ist dieselbe wie die der Messenger, die sich der CSA-Verordnung verweigern. Wenn der Regulierer versucht, den Kompromiss in die Verschlüsselung hineinzukonstruieren, zieht der Anbieter die Funktion zurück, statt Kompromisse zu machen. Die Kosten sind real — britische Nutzerinnen und Nutzer haben kein ADP. Die Haltung bleibt gewahrt — die Verschlüsselungsarchitektur ist nirgends und für niemanden kompromittiert.
Ofcoms endgültige Leitlinien zu "accredited technologies" (akkreditierten Technologien) für die CSAM-Erkennung nach dem Online Safety Act werden für das Frühjahr 2026 erwartet; die Behörde hat Zurückhaltung signalisiert, clientseitige Durchsuchung vorzuschreiben, behält die gesetzliche Befugnis dazu aber bei. Am 21. April 2026 eröffnete Ofcom eine förmliche Untersuchung gegen Telegram wegen mutmaßlicher Compliance-Verstöße bei CSAM nach Section 10 des OSA. Mögliche Bußgelder: 18 Mio. £ oder 10 Prozent des weltweiten Umsatzes.
Die Umleitung des Innenministeriums — die erste Anordnung zurückziehen, die zweite, engere, leisere erlassen — ist das erklärte erwartete Rechtsverfahren des Staates. Der Präzedenzfall ist exportfähig. Frankreich, Deutschland, Australien und die übrigen Five-Eyes-Partner schauen zu. Die architektonische Verweigerungshaltung von Apple, der Messenger im Streit um die CSA-Verordnung und des Einsatzes föderierter Alternativen ist die Antwort.
Das Regierungsvokabular
Sechs Erklärungen, drei Kontinente, ein Wort. Anthropic in Kalifornien: MCP-RCE ist erwartetes Verhalten. Das französische Innenministerium in Paris: IDOR bei der ANTS ist ein wirklich dummer Fehler, was eine andere Art ist zu sagen: „Wir haben das nicht erwartet, und wir ändern die Architektur nicht.“ Das iranische Regime in Teheran: kein klarer Zeitplan, besondere Kriegsbedingungen. Der Europäische Rat unter dänischer Präsidentschaft in Brüssel: Die Streichung der Pflicht zur clientseitigen Durchsuchung ist ein Verhandlungsergebnis. Die republikanische Führung des US-Repräsentantenhauses: Jim Jordans Kehrtwende ist eine Neujustierung; die unveränderte Verlängerung ist der verantwortungsvolle Weg. Das britische Innenministerium in London: Die zweite TCN ist das erwartete Rechtsverfahren.
In jedem Fall ist „erwartet“ der Zug der Entscheidungsträger, eine Folge in einen Eingangswert statt in ein Ergebnis umzuetikettieren — in etwas, das hinzunehmen ist, statt in etwas, gegen das zu konstruieren wäre. Es ist der Nullzustand der Regierungsführung. Die Verantwortung wandert weg vom Anbieter, vom Regulierer, von der Regierung — und hin zur nachgelagerten Entwicklerin, zur kompromittierten Bürgerin, zur abgeschalteten Bevölkerung, zur widersprechenden Abgeordneten, zum sich zurückziehenden Messenger, zur Nutzerin.
Die Gegenmodelle dieser Woche sind konkret.
LiteLLM patchte am 21. April seine MCP-Befehlsverarbeitung mit einer expliziten Allowlist — npx, uvx, python, python3, node, docker, deno —, Pydantic-Validierung und einer Registrierungspflicht für Server, die nur Administratoren offensteht. Das Projekt behandelte die Schwachstelle als seine eigene Verantwortung, nicht als die des vorgelagerten Anbieters. Das ist architektonische Verantwortung im Zeitalter des erwarteten Verhaltens: Wenn das Protokoll sich weigert zu handeln, handelt die nachgelagerte Seite trotzdem. DocsGPT und Bisheng entschieden ebenso. Die ungepatchten Projekte — Windsurf, LangChain-Chatchat, Fay, Agent Zero, Upsonic, Flowise, GPT Researcher, MCP Inspector, LangFlow — sind der Preis dieser Woche für die Kaskade. Das Patch-Datum jedes einzelnen ist seine Antwort auf die Frage, ob es Anthropics erklärtes Erwartetes als Untergrenze der Regierungsführung akzeptiert.
Die Zusagen von Signal, Proton, Tuta und Threema, sich aus der EU zurückzuziehen, sind das andere Gegenmodell. Wenn der Regulierer versucht, den Kompromiss in den Code hineinzukonstruieren, zieht der Anbieter die Funktion zurück, statt Kompromisse zu machen. Die architektonische Haltung bleibt anderswo gewahrt. Tuta hat einen zweiten Zug hinzugefügt — eine Klage gegen die EU —, der sich weigert, den Rückzug als einzige Option zu akzeptieren.
Apples Rückzug von ADP im Vereinigten Königreich ist dieselbe Haltung auf der Ebene von Hardware und Cloud.
Die 50.000 Starlink-Terminals, die im Iran gegen ein Gesetz mit Todesstrafe in Betrieb sind, die 9,6 Millionen täglichen iranischen Psiphon-Nutzer, die Schwarzmarkt-Internetübertritte über Kapıköy — das sind die Gegenmodelle der Nutzerinnen und Nutzer. Die Bevölkerung hat nicht auf den Zeitplan des Regimes gewartet. Sie hat ihren eigenen gebaut.
Die zwanzig Republikaner im Repräsentantenhaus, die am 17. April gegen die unveränderte Verfahrensregel zu Section 702 stimmten, sind das institutionelle Gegenmodell. Jim Jordan erklärte etwas für erwartet. Zwanzig sagten Nein.
Das Europäische Parlament lehnte am 26. März die Verlängerung der Chatkontrolle 1.0 mit 311 zu 228 Stimmen ab. Das ist das Gegenmodell von Bürgerschaft und Parlament. Die anschließende Wende der dänischen Ratspräsidentschaft, die Durchsuchungspflicht zu streichen, ist das politische Nachspiel; die Abstimmung im Parlament ist die architektonische Entscheidung.
Der Einsatz-Stack
Für die Nutzerin ist die Frage nicht, welchem Gegenmodell zu applaudieren ist. Die Frage ist, welcher architektonische Stack auszurollen ist.
Nutzerseitig gehaltene Schlüssel. Signal, Proton, Tuta, Threema, Apple iMessage mit ADP außerhalb des Vereinigten Königreichs, Matrix mit geräteweise quersignierten Schlüsseln. Der Anbieter kann nicht gezwungen werden herauszugeben, was der Anbieter nicht hält. Die architektonische Haltung ist Verweigerung aus Prinzip, und sie ist empirisch wirksam: Wenn der Regulierer die Architektur testet, zieht der Anbieter die Funktion zurück, statt den Schlüssel zu kompromittieren.
Föderierte Kommunikation. Matrix in 35 Ländern, bei der Bundeswehr, beim NATO CCDCOE, in der Erprobung bei der EU-Kommission. Bluesky mit 42 Millionen. Mastodon mit 10 Millionen. Die Voreinstellung des Einzelbetreibers hat eine föderierte Alternative mit eigenem Graphen, eigenem Publikum und eigener kommerzieller Ökologie. Föderation heißt: Die Moderationsentscheidung ist zusammensetzbar, der Migrationsweg ist portabel, und der Single Point of Failure fehlt architektonisch.
Nutzerseitig gehaltene Identität. eIDAS-2.0-Wallets bis zum 31. Dezember 2026 in jedem EU-Mitgliedstaat. France Identité für Frankreich. Die Referenz-App der EU zur Altersverifikation, technisch einsatzbereit seit dem 15. April. Selektive Offenlegung — den Nachweis über 18 zu erbringen, ohne den Namen zu teilen, die Staatsbürgerschaft nachzuweisen, ohne das Geburtsdatum zu teilen — ist das architektonische Gegenteil des ANTS-Portals. Die Wallet speichert Nachweise auf dem Gerät der Nutzerin; die vertrauende Stelle erfährt nur, was die Nutzerin offenlegen will. Der Dezember-Termin ist einer der schnellsten Übergänge einer Nachweisarchitektur in der Geschichte der europäischen Digitalverwaltung.
Peer-to-Peer-Transport. URnetworks Relay über Knoten an Wohnanschlüssen. Tor, Psiphon, Outline, Shadowsocks, V2Ray, Trojan, NaïveProxy, Tor Snowflake. WireGuard als Standard für Verbraucher-VPNs mit 94 Prozent. Dezentrale VPNs mit einem Wachstum von 140 Prozent im Jahresvergleich. Transport, der um die Trägerebene herumführt, ist die Antwort auf Ebene 1 auf eine Verweigerung auf Ebene 1. Der Iran ist der derzeitige harte Test. Russland ist der Test des schleichenden Drucks. Die architektonische Antwort ist in beiden Fällen identisch; der tägliche Druck ist verschieden.
Selbst gehostete Agenten. LangChain mit bereinigter MCP-Verarbeitung. LlamaIndex mit TrustedAgentWorker. Ollama für lokale Inferenz. Die föderierte MCP-Gemeinschaft ist eine parallele Architektur zu der Anthropics mit einem einzigen Betreiber. Die nachgelagerten Patches (LiteLLMs vom 21. April) sind die Brückenarchitektur, bis die föderierte Steuerung aufholt. Microsofts Agent Governance Toolkit (2. April) ist ein Beitrag zur Laufzeitsicherheit.
Offene Firmware auf Nutzerhardware. Klipper, Marlin, Duet auf 3D-Druckern gegen den New Yorker Gesetzentwurf Part C zum Firmware-Filter. OpenWRT auf Routern. Lineage OS und GrapheneOS auf Telefonen, wo die Hardware es erlaubt. Das Gerät der Nutzerin führt Code aus, den die Nutzerin prüfen kann. Die staatlich vorgeschriebene Firmware des Anbieters ist durch die von der Gemeinschaft geprüfte Firmware ersetzbar. Das Gerät ist das Gerät der Nutzerin.
Jede Schicht wird heute ausgeliefert. Keine ist die Voreinstellung. Die Einsatzentscheidung ist die Architektur, und die Architektur ist die Antwort auf das Regierungsvokabular.
Was zu tun ist
Wenn Sie einen KI-Agenten oder Copiloten betreiben: Prüfen Sie Ihre MCP-Exposition. Das Patch-Set von LiteLLM (v1.83.7-stable) ist die Vorlage dieser Woche für Bereinigung auf der nachgelagerten Ebene. Wenn Ihr Stack Windsurf, Cursor, LangFlow, Flowise, Agent Zero, Upsonic, GPT Researcher oder MCP Inspector enthält: patchen oder tauschen. Rollen Sie föderiertes MCP aus — ein organisationsinternes Register geprüfter Server mit von der Gemeinschaft verifizierter Signierung — für jede Agenten-Last, bei der der Wirkungsradius zählt.
Wenn Sie in Frankreich wohnen oder allgemein EU-Bürgerin sind: Der ANTS-Vorfall erfordert außer Aufmerksamkeit keine Handlung. Nuñez' Behörde wird per Post oder E-Mail benachrichtigen. Die Betrugs-Hotline 0 805 805 817 ist der Meldeweg der französischen Regierung. Achten Sie auf gezieltes Phishing, das an Ihre konkrete ANTS-Login-ID, Ihre E-Mail-Adresse oder Ihr Geburtsdatum anknüpft. Trauen Sie E-Mails von ants.gouv.fr, die in den kommenden Wochen eintreffen, nicht ohne Prüfung über einen zweiten Kanal. Aktivieren Sie 2FA bei der ANTS. Migrieren Sie, sobald France Identité und die eIDAS-2.0-Wallet verfügbar werden.
Wenn Sie Familie oder Interessen im Iran haben: Die Abschaltung ist bei Tag 54 ohne erklärtes Enddatum. VPN, Psiphon, Shadowsocks, V2Ray, Tor Snowflake und URnetworks Peer-Relay sind die verfügbaren Werkzeuge auf Nutzerebene. Starlink birgt das Risiko der Todesstrafe. Die NPR-Geschichte ist die derzeitige Bodenwahrheit: Die Antwort der Bevölkerung ist widerstandsfähig, erfinderisch, teuer und bei den derzeitigen Kosten nicht durchzuhalten.
Wenn Sie einen verschlüsselten Messenger betreiben oder nutzen: Der Trilog zur Chatkontrolle 2.0 wird am 4. Mai fortgesetzt. Signal, Proton, Tuta und Threema sind architektonisch festgelegt. Apples Lage mit der zweiten TCN im Vereinigten Königreich ist die Schablone dafür, wie staatlicher Druck unter einer weniger konfrontativen Haltung aussieht — die Funktion zurückziehen, die Architektur bewahren. Nutzerinnen und Nutzer mit britischer Adresse sind bereits ohne ADP. Nutzerinnen und Nutzer mit EU-Adresse befinden sich in einem Zwölf-Tage-Fenster bis zur nächsten Sprosse.
Wenn Sie eine US-Person sind: Die Frist zu Section 702 am 30. April ist acht Tage entfernt. Der Senat wird auf den Weg bringen, was das Repräsentantenhaus nicht unverändert beschließen kann. Beobachten Sie die Texte von GSRA und SAFE Act — das sind die reformerischen Vehikel. Die Architekturen nutzerseitig gehaltener Schlüssel und des Peer-to-Peer-Transports sind unabhängig vom Abstimmungsergebnis Milderungen.
Wenn Sie Infrastruktur betreiben: eIDAS-2.0-Konformität (31. Dezember 2026 für die Verfügbarkeit der Wallet), Pflichten der zweiten DSA-Welle (Audits beginnen im Januar 2027), Schließung des Kulanzfensters beim DSP am 8. Juli, Beginn der Durchsetzung am 6. Oktober. Die Compliance-Kalender laufen parallel. Planen Sie entsprechend.
Der Nullzustand der Regierungsführung ist die Haltung derjenigen Entscheidungsträger des Jahres 2026, die Folgen lieber für erwartet erklären, als gegen sie zu konstruieren. Es ist nicht die Haltung der Nutzerin. Es muss nicht die Haltung des Stacks sein. Jeder ausgerollte föderierte Messenger, jede Verschlüsselung mit nutzerseitig gehaltenen Schlüsseln, jede Wallet mit selektiver Offenlegung, jeder Peer-to-Peer-Transportknoten, jedes gepatchte nachgelagerte MCP-Projekt, jeder von der Gemeinschaft geprüfte Firmware-Stand, jede Stimme gegen eine unveränderte Verlängerung ist die architektonische Antwort.
Erwartet ist der Nullzustand der Regierungsführung. Verantwortlich ist die Architektur, die Sie wählen.
Quellen (3 Belege)
Quellen
- OX Security: "The Mother of All AI Supply Chains" und "MCP Supply Chain Advisory", 15. April 2026.
- Berichterstattung von The Register, TheHackerNews und BDTechTalks zur MCP-Offenlegung, 16.–20. April 2026.
- LiteLLM-Sicherheitshinweis, Release Notes zu v1.83.7-stable, 21. April 2026.
- NVD CVE-2026-30615, CVE-2026-30623, CVE-2026-26015, CVE-2026-33224, CVE-2026-30617, CVE-2026-30618, CVE-2026-30624, CVE-2026-30625, CVE-2026-40933, CVE-2025-49596, CVE-2025-65720.
- Erklärung des französischen Innenministeriums (Laurent Nuñez), 21. April 2026.
- Berichterstattung von The Register, Cybernews, Bleeping Computer, Help Net Security, Connexion France und Orange/AFP zum ANTS-Vorfall, 16.–22. April 2026.
- Clubic, Developpez, Silicon, RGPD Kit zum IDOR-Angriffsvektor von moncompte.ants.gouv.fr.
- NetBlocks-Messung der Abschaltung im Iran, laufend 2026.
- Iran International, Tageszählung und Berichterstattung zur Abschaltung.
- NPR (Emily Feng), 22. April 2026, "Iranians are leaving the country just to access the internet."
- Bloomberg, Al Jazeera, TIME, Tasnim zum iranischen Vorgehen gegen Starlink und zum Stand der Waffenruhe.
- OFAC-Listungen des US-Finanzministeriums gegen die iranischen Minister Kalagari und Zarepour.
- Erklärungen von Patrick Breyer, Tuta, Proton, Signal und Threema zur CSA-Verordnung.
- Allgemeine Ausrichtung des Rates der EU zur CSA-Verordnung (dänische Präsidentschaft), 26. November 2025.
- Berichterstattung von Computer Weekly, The Register, Consilium und EFF zur CSA-Verordnung und zum Auslaufen der ePrivacy-Ausnahme.
- Namentliche Abstimmungen im Repräsentantenhaus zur Verfahrensregel bei Section 702 (17. April 2026); Verabschiedung der 10-Tage-Verlängerung; Unterschrift Trumps am 18./19. April 2026.
- Berichterstattung von Nextgov, The Hill, Axios und Common Dreams zur Rebellion um Section 702.
- Text des Government Surveillance Reform Act of 2026 im Senat (Lee-Wyden); SAFE Act (Lee-Durbin).
- UK Investigatory Powers Tribunal, "Apple Inc v. Secretary of State for the Home Department", Entscheidung vom 7. April 2025; Zurückweisung vom 14. Oktober 2025; Verfahrensverfügung vom 23. Juli 2025.
- Beitrittsschriftsätze von Privacy International und Liberty.
- Erklärung von Caroline Wilson Palow, September 2025.
- Untersuchungen und Leitlinien von Ofcom zum Online Safety Act, bis 21. April 2026.
- eIDAS 2.0 (Verordnung EU 2024/1183) und Ankündigung der EU-Referenzanwendung zur Altersverifikation, 15. April 2026.