Morgen
Morgen, am Mittwoch, 6. Mai 2026, laufen zwei Erpressungsfristen von ShinyHunters gleichzeitig ab.
Die erste richtet sich gegen Instructure, den Betreiber des Canvas Learning Management System. Die Mitteilung des Cyberkriminellen-Kollektivs, überschrieben "FINAL WARNING — PAY OR LEAK" — letzte Warnung: zahlen oder Leak —, verbreitet über BreachForums und beobachtet von der Privacy Rights Clearinghouse, Comparitech und KrebsOnSecurity, nennt rund 3,65 Terabyte Daten mit geschätzt 240 bis 275 Millionen Datensätzen aus etwa 9.000 bis 15.000 Bildungseinrichtungen. Die Exfiltration umfasst Milliarden privater Nachrichten zwischen Schülern und Lehrkräften sowie die Salesforce-Instanz von Instructure. Die Wayzata Public Schools (Minnesota) waren der erste identifizierte Canvas-Kunde, der die Eltern warnte.
Instructure hat die Offenlegung von Namen, E-Mail-Adressen, Schülerkennungen und Nachrichten zwischen Nutzern bestätigt. Die Angabe von 3,65 Terabyte bleibt eine Behauptung der Täterseite. Die vorsichtige Formulierung: „Zehn- bis Hunderte Millionen Datensätze von Lernenden im K-12- und im postsekundären Bereich, darunter Kommunikation zwischen Schülern und Lehrkräften, sind unmittelbar von einer öffentlichen Veröffentlichung bedroht.“ Es ist der zweite bestätigte Einbruch bei Instructure binnen acht Monaten. Der vorherige Vorfall im September 2025 legte rund 1,7 Millionen Datensätze offen.
Die zweite Frist gilt Cushman & Wakefield, heute, am 5. Mai, gesondert offengelegt von Connor Jones bei The Register. Der Einbruch wird als per Vishing eingeleitet beschrieben — ein Social-Engineering-Angriff per Telefonanruf gegen den Helpdesk des Unternehmens —, wobei die beim Helpdesk erlangten Zugangsdaten für den Zugriff auf die Salesforce-Instanz des Unternehmens genutzt wurden. Cushman & Wakefield ist eines der weltgrößten Dienstleistungsunternehmen für Gewerbeimmobilien, mit Büros in rund 60 Ländern und Kunden aus Finanzdienstleistung, öffentlicher Hand, Einzelhandel, Gesundheitswesen und Technologie. Die Salesforce-Instanz enthielt Berichten zufolge Kundendaten aus dem Beziehungsmanagement, Deal-Pipelines, Maklerkommunikation und Mieterdaten.
Die Kontaktfrist von ShinyHunters laut der Offenlegung: 6. Mai. Derselbe Tag wie bei Instructure. Derselbe Akteur, so die Quelle von The Register.
Heute, der 5. Mai, ist der Tag davor.
Die Salesforce-Schicht
Salesforce ist jene einzelne SaaS-Schicht als Vertrauensträger, auf der die größte Konzentration kundenübergreifender Unternehmensdaten liegt. Rund 150.000 Kundenorganisationen nach Salesforce' eigenen veröffentlichten Angaben, darunter die Mehrheit der Fortune-500-Unternehmen, Hunderttausende Bildungseinrichtungen im K-12- und im postsekundären Bereich, Behörden von Bund und Bundesstaaten sowie Zehntausende gemeinnütziger Organisationen.
Wenn ein einzelner Anbieter die Kundenbeziehungsdaten von 150.000 Organisationen auf einer gemeinsam genutzten mandantenfähigen Plattform hält, hat jeder neue Exploit gegen die Plattform — oder gegen den Authentifizierungsweg eines einzigen Kunden zu dieser Plattform — architektonisch das Potenzial, alle Kunden gleichzeitig zu erreichen.
Das ShinyHunters-Cluster von 2024/2025 — Snowflake, AT&T, Ticketmaster, Advance Auto Parts, LendingTree, Pure Storage, rund 165 Kunden — hat das Muster vorgeführt. Der Vektor war damals falsch konfigurierte Snowflake-Instanzen der Kunden; die entwendeten Daten gehörten den Kunden dieser Kunden. Die Offenlegungen zu Instructure und Cushman & Wakefield im Mai 2026 sind dasselbe Muster bei einem anderen Anbieter: Salesforce als mandantenfähiger Aggregator; Vishing als Weg zur Authentifizierung; die Daten der Kunden der Kunden als exfiltrierte Beute.
Die architektonische Lehre aus diesem Muster ist strukturell. Die Wahl des SaaS-Vertrauensträgers ist die folgenreichste architektonische Entscheidung eines Unternehmens, weil sie den Wirkungsradius jedes neuen Exploits festlegt. Ein Unternehmen, das seine Kundenbeziehungsdaten einer mandantenfähigen SaaS-Plattform anvertraut, akzeptiert nach dem architektonischen Prüfmaßstab, dass ein Exploit gegen irgendeinen Kunden dieser Plattform auch die eigenen Daten erreichen kann. Ein Unternehmen, das ein eigenes Mailcow, Forgejo, einen eigenen Matrix-Homeserver, Nextcloud, Mautic und SuiteCRM betreibt, hat seinen Wirkungsradius auf den eigenen Perimeter begrenzt.
Der Widerspruch
In derselben Woche, in der die Fristen für Instructure und Cushman & Wakefield zusammenlaufen, bewegt sich die Regulierung in mehreren Rechtsordnungen darauf zu, mehr Ausweis-Uploads zu Anbietern vorzuschreiben.
Die Declared Age Range API von Apple wird am 1. Juli 2026 verpflichtend — siebenundfünfzig Tage von heute an. Die API verlangt in ihrer derzeitigen Spezifikation, dass Anwendungen, die sich an Nutzer unter 18 richten, die Identitätsinfrastruktur von Apple aufrufen, um eine deklarierte Altersspanne für den Gerätenutzer abzufragen. Der Mechanismus, mit dem das Alter des Gerätenutzers festgestellt wird, ist keine Kryptografie mit selektiver Offenlegung; es ist eine Identitätsbestätigung auf Kontoebene durch Apple, wobei beim Verifizierungsaufruf Protokolle entstehen.
Die Durchsetzungsberichte der britischen Ofcom zu Meta, TikTok, YouTube, Snapchat, Roblox und X waren unmittelbar nach der Frist vom 30. April fällig. Section 12 des Online Safety Act zur Alterssicherung verlangt von Plattformen "highly effective" Altersverifikation — hochwirksam. Ofcom-Chefin Melanie Dawes beschrieb die Regulierung in einer Anhörung im März 2026 so: "Platforms must be highly confident, at the time of access, of users' ages." — Plattformen müssen sich zum Zeitpunkt des Zugriffs des Alters der Nutzer in hohem Maße sicher sein. "Highly confident" wird in der Praxis umgesetzt als Upload eines amtlichen Ausweises, biometrischer Gesichtsscan oder vergleichbare Identitätsbestätigung.
Der Digital Services Act der Europäischen Union und die EU-Referenzanwendung zur Altersverifikation. Ende April 2026 lieferte die EU eine quelloffene Referenzanwendung zur Altersverifikation als technische Grundlage für die kommende EU-Altersverifikationspflicht aus. Der britische Sicherheitsberater Paul Moore umging die Anwendung in Eigenregie binnen zwei Minuten, indem er eine Konfigurationsdatei im Klartext bearbeitete. Die EU schloss die Lücke innerhalb von vierundzwanzig Stunden. Die Referenzanwendung wurde von erfahrenen Entwicklern unter der Aufsicht einer EU-Förderung gebaut. Sie wurde von einem einzelnen freiberuflichen Sicherheitsberater in zwei Minuten umgangen.
Die europäische Brieftasche für die digitale Identität. Harte Frist am 24. Dezember 2026 — 233 Tage von heute an — für die Mitgliedstaaten, funktionsfähige eIDAS-2.0-Wallets bereitzustellen. Die Architektur setzt, und das ist wichtig, auf selektive Offenlegung: Die Wallet hält die Nachweise, nicht der Prüfer, und legt nur die angefragten Attribute offen. Das ist der architektonisch richtige Mechanismus. Doch der Reifegrad der Umsetzung schwankt je nach Rechtsordnung, und der regulatorische Rahmen um die Wallet verpflichtet Prüfer aus dem privaten Sektor nicht, Nachweise mit selektiver Offenlegung anstelle einer vollständigen Ausweisoffenlegung zu akzeptieren.
Australiens Verbot sozialer Medien für unter 16-Jährige. Ab Ende 2026 in Kraft; verlangt von Plattformen den Nachweis, dass Nutzer 16 Jahre oder älter sind. Der Verifizierungsmechanismus ist nicht festgelegt.
Das französische SREN-Gesetz. Schreibt Altersverifikation für Erwachseneninhalte vor, mit Mechanismen von der Kreditkartenprüfung über den Upload amtlicher Ausweise bis zur biometrischen Bestätigung.
Altersverifikationsgesetze einzelner US-Bundesstaaten. Texas SB 2420, am 23. Dezember 2025 vom Fifth Circuit einstweilen untersagt, schrieb den Ausweis-Upload für den Zugang zu Erwachseneninhalten vor. Kalifornien, Florida, Mississippi, Tennessee, Virginia und weitere Bundesstaaten haben vergleichbare Gesetze verabschiedet.
Das Muster in jeder Rechtsordnung: Altersverifikation ist in der regulatorischen Spezifikation als Ausweis-Upload zu einem Drittanbieter umgesetzt worden, wobei beim Verifizierungsaufruf Protokolle entstehen. Der Anbieter ist der Betreiberpfad. Das Verifizierungsprotokoll ist der Überwachungsvektor.
Der Anbieter
Am 16. Februar 2026 lag das behördenzugewandte Betriebs-Dashboard von Persona, dem Altersverifikationsanbieter von Discord, öffentlich offen. Das Dashboard zeigte Kundeninformationen, Integrationskonfigurationen und Verifizierungsprotokolle. Die Offenlegung wurde von einem externen Sicherheitsforscher entdeckt und im Rahmen einer verantwortungsvollen Offenlegung gemeldet. Zum Kundenstamm von Persona gehören Discord (rund 300 Millionen Nutzer) sowie eine Reihe weiterer Verbraucherplattformen.
Die architektonische Bedeutung: Der Anbieter, auf den sich Discord verlässt, um das Alter seiner Nutzer zu verifizieren — also um die amtlichen Ausweisdokumente und die kryptografischen Ergebnisse der Identitätsprüfung zu halten —, hatte sein Betriebs-Dashboard über einen nicht offengelegten Zeitraum ohne Authentifizierung offen im Netz. Der Altersverifikationsanbieter ist ein weiterer Anbieter in der SaaS-Lieferkette der Vertrauensträger und derselben Kompromittierung über den Betreiberpfad ausgesetzt wie jeder andere SaaS-Vertrauensträger.
Am 24. Februar 2026 verhängte die britische Datenschutzbehörde Information Commissioner's Office gegen Reddit ein Bußgeld von 14,47 Millionen £ (18,4 Millionen US-Dollar) wegen des Umgangs mit Daten aus der Altersverifikation. Der konkrete Befund: Reddits Altersverifikation erhob und speicherte Bilder amtlicher Ausweise über das legitime Verifizierungsfenster hinaus und verstieß damit gegen Artikel 5 Absatz 1 Buchstabe e der britischen DSGVO — den Grundsatz der Speicherbegrenzung.
Am 23. April 2026 bezeichnete Proton-Chef Andy Yen in einer abgestimmten Interviewrunde unter anderem mit The Guardian, Bloomberg und TechCrunch die sich ausbreitenden Altersverifikationspflichten als „das Ende der Anonymität im Netz“. Yens konkretes Argument:
„Altersverifikation, wie sie derzeit in einem Land nach dem anderen vorgeschlagen wird, wäre das Ende der Anonymität im Netz. Die Architektur ist strukturell nicht von einer Datenbank aller Ausweisdokumente sämtlicher Erwachsener und der von ihnen genutzten Dienste zu unterscheiden.“
Yens Rezept: Regulierer müssen Nachweise mit selektiver Offenlegung als Verifizierungsmechanismus vorschreiben, nicht die Identitätsbestätigung auf Anbieterseite.
Die architektonische Gegenwehr
Die architektonische Gegenwehr gegen eine Regulierung des Ausweis-Uploads ist ein Stapel kryptografischer Primitive, die heute schon ausgeliefert werden.
W3C Verifiable Credentials Version 2.0, verabschiedet im März 2026, mit selektiver Offenlegung über BBS+-, BBS24- und JWP-Signaturen. Ein Nutzer hält einen Nachweis, den eine Stelle ausgestellt hat (eine bundesstaatliche Zulassungsbehörde, eine nationale Identitätsbehörde, ein Universitätssekretariat). Der Nutzer kann einzelne Attribute aus diesem Nachweis offenlegen — das Attribut „Alter mindestens 18“ —, ohne den zugrunde liegenden Nachweis offenzulegen. Der Prüfer erfährt nur das offengelegte Attribut.
Decentralized Identifiers Version 1.1, mit Unterstützung der Methoden did:web, did:peer, did:ion und did:key. Die DID ist die kryptografische Kennung, die der Nutzer kontrolliert; die Auflösung ist dezentral; die methodenspezifische Auflösung benötigt kein einzelnes Register.
Die europäische Brieftasche für die digitale Identität nach eIDAS 2.0. Harte Frist am 24. Dezember 2026 (233 Tage von heute an). Die Wallet hält die Nachweise, nicht der Prüfer, und legt nur die angefragten Attribute offen. Verbindlich für alle 27 EU-Mitgliedstaaten.
Die BBS+-Signatursuite. Standardisierung bei der IETF läuft. Das kryptografische Primitiv, das es erlaubt, einen einzigen signierten Nachweis selektiv offenzulegen: Der Prüfer verifiziert die Signatur; über den Umfang der Offenlegung entscheidet der Nutzer.
Anonyme Token nach Privacy Pass. RFC 9577, veröffentlicht im Oktober 2024. Der Prüfer kann getrennte Verifizierungen nicht demselben Nutzer zuordnen. Apple, Google und Cloudflare sind die drei aktuellen Anbieter im Produktivbetrieb.
Der mobile Führerschein in der Apple Wallet (mDL) nach ISO/IEC 18013-5, in dreizehn Bundesstaaten sowie Puerto Rico. Das Telefon hält den Nachweis. Die selektive Offenlegung ist auf der Protokollebene zwischen Telefon und Prüfer umgesetzt. Der Nutzer kann „über 21“ offenlegen, ohne Geburtsdatum, Foto, Adresse oder Führerscheinnummer preiszugeben.
Die US-Bundesstaatenausweise in Google Wallet. Architektonisch mit dem mDL der Apple Wallet vergleichbar.
IETF SCITT für Transparenz in der Lieferkettenintegrität. Die kryptografische Grundlage, um Aussagen über Software-Lieferketten zu verifizieren, ohne die zugrunde liegende Software hochzuladen.
Der Stapel wird heute schon ausgeliefert. Die Regulierung, die Ende 2026 greift, sollte selektive Offenlegung als Verifizierungsmechanismus vorschreiben. Wo der Regulierer sie nicht vorschreibt, sollten Anbieter sie freiwillig übernehmen.
Die Parallele auf staatlicher Ebene
Am 21. April 2026 reichten die American Civil Liberties Union und Common Cause vor einem Bundesgericht Klage gegen das Justizministerium ein und griffen damit die erstmalige bundesweite Zusammenführung der Wählerverzeichnisse aller 50 Bundesstaaten in einer einzigen, vom Bund kontrollierten Datenbank an. Die Zusammenführung umfasst Sozialversicherungsnummern und Geburtsdaten der rund 168 Millionen registrierten Wählerinnen und Wähler in den USA. Eine leitende Datenschutzbeauftragte des Justizministeriums trat am 3. April wegen des Projekts zurück.
Die architektonische Bedeutung ist dieselbe wie bei der Salesforce-Konzentration. Ein einziger Perimeter für die politisch sensibelsten personenbezogenen Daten der gesamten Wählerschaft ist nach dem architektonischen Prüfmaßstab eine einzige Kompromittierung von der Offenlegung von 168 Millionen Datensätzen mit Sozialversicherungsnummern und Geburtsdaten entfernt. Eine Kompromittierung durch einen ausländischen Nachrichtendienst, eine kriminelle Erpressergruppe oder einen Innentäter würde die Daten von 168 Millionen Amerikanern dauerhaft und unumkehrbar in Umlauf bringen.
Die architektonische Gegenwehr ist Föderalismus by Design. Wählerverzeichnisse der Bundesstaaten werden für die Wahlintegrität nur flüchtig abgeglichen (Doppeleinträge, Adressänderungen), ohne dass eine dauerhafte bundesweite Zusammenführung entsteht. Kryptografische Protokolle für den flüchtigen Abgleich — Private Set Intersection, Mehrparteienberechnung — erreichen das politische Ziel der staatenübergreifenden Bereinigung ohne das architektonische Risiko.
In derselben Woche, in der die Fristen für Instructure und Cushman & Wakefield zusammenlaufen, zentralisiert die Bundesregierung die Wählerverzeichnisse — und wird deswegen von der Zivilgesellschaft vor einem Bundesgericht angegriffen, mit genau jener Sorge um das architektonische Risiko, um die es in dieser Ausgabe geht.
Die Untergrenze im Gesundheitswesen
Im ersten Quartal 2026 wurden allein in den Vereinigten Staaten 201 Ransomware-Angriffe auf Krankenhäuser dokumentiert, laut den Auswertungen von Comparitech, KrebsOnSecurity und der Privacy Rights Clearinghouse. Qilin ist die führende Ransomware-Familie. Zu den namentlich genannten Opfern, deren Offenlegung noch läuft, gehören das University of Maryland Medical System, das Insight Hospital Chicago und das Hospital Caribbean Medical Center.
Der vierfache HIPAA-Vergleich des Office for Civil Rights im US-Gesundheitsministerium vom 23. April belief sich auf rund 1,7 Millionen US-Dollar und betraf 427.000 Patienten. Bemerkenswert ist ein Bestandteil des Vergleichs — Star Group / SG Health Plan, 245.000 US-Dollar —, ein ungewöhnlicher Zugriff auf einen arbeitgeberfinanzierten Gesundheitsplan, der signalisiert, dass das OCR die HIPAA-Durchsetzung auf Plan-Träger ausweitet und nicht auf Leistungserbringer als erfasste Einrichtungen beschränkt.
42 CFR Part 2, die Bundesvorschrift zum Schutz von Behandlungsakten bei Suchterkrankungen, ist seit dem 16. Februar 2026 zivilrechtlich durchsetzbar. Die Vorschrift ist nun mit zivilrechtlichen Sanktionen bewehrt. Der Vergleich über 17,25 Millionen US-Dollar wegen Abhörens im Fall Naviance / PowerSchool ist in die Anmeldephase eingetreten und betrifft mehr als 10 Millionen Schülerinnen und Schüler.
Gesundheitswesen und Bildung sind derzeit die beiden akutesten Belege dafür, dass die Verwahrung durch Anbieter eine Falle ist. Die architektonische Gegenwehr auf dieser Schicht: minimal notwendige Erhebung, Nachweise mit selektiver Offenlegung für den Zugriff von Behandelnden, getrennte und offline gehaltene Backups, unveränderliche Wiederherstellungsinfrastruktur auf Betriebssystemebene, FIDO2-Hardware-Authentifizierung für Arbeitsplätze in der Behandlung.
Der Nachhall in der Lieferkette
- April 2026: Die Bitwarden-CLI-Kaskade — über die Übernahme von Checkmarx KICS auf Docker Hub — erreichte die Produktion. Das Neuartige daran: Die schädliche Bitwarden-CLI-Nutzlast war der erste öffentlich beobachtete Angriff in freier Wildbahn auf Serverkonfigurationen des Model Context Protocol.
Die Bitwarden-Nutzlast durchsuchte nach der Installation das System nach .cursor/mcp.json, .claude/settings.json und entsprechenden Konfigurationsdateien für MCP-Server von KI-Programmierassistenten und ersetzte legitime MCP-Server-Endpunkte durch Endpunkte unter Kontrolle des Angreifers. Nachfolgende Aufrufe des KI-Programmierassistenten liefen über den vom Angreifer kontrollierten MCP-Server und exfiltrierten dabei Prompts und Code-Vervollständigungen.
Die architektonische Bedeutung: Die föderierte Architektur des Model Context Protocol, die die nutzerseitige Gegenwehr zu den zentralisierten Paketflächen von npm, PyPI und Docker Hub sein sollte, ist nun selbst ein Ziel. Der erste öffentlich beobachtete Angriff auf MCP-Konfigurationen entkräftet die Erwiderung, „föderiertes MCP ist strukturell sicherer als zentralisierte Paketregister“. Föderiertes MCP ist strukturell anders, steht nun aber ebenfalls unter Beschuss. Die nutzerseitige Antwort: Verifikation der MCP-Server-Endpunkte über kryptografische Signaturen, reproduzierbare Builds von MCP-Servern, eine je Organisation festgelegte MCP-Kadenz mit Audit-Protokollierung.
RightsCon Lusaka
Heute, am 5. Mai 2026: Die RightsCon 2026 in Lusaka — das globale Treffen für digitale Rechte, das Access Now seit 2011 jährlich ausrichtet — wurde wenige Tage vor Beginn abgesagt, nachdem die sambische Regierung, Berichten zufolge unter Druck der Volksrepublik China, von Access Now verlangt hatte, taiwanische Delegierte von der Tagung auszuschließen. Access Now lehnte ab. Die Tagung wurde abgesagt. Die Electronic Frontier Foundation, Human Rights Watch und Front Line Defenders bezogen öffentlich Stellung.
Die architektonische Bedeutung für diese Ausgabe: Der wichtigste globale Treffpunkt der Zivilgesellschaft für digitale Rechte ist durch chinesischen Druck auf die Gastregierung ausgelöscht worden. Die RightsCon war der Ort, an dem das Tor Project Umgehungstransporte für hochgefährdete Nutzer ausrollte; an dem Citizen Lab Pegasus-Enthüllungen vorstellte; an dem Apple, Google, Meta, Signal, Proton und Tuta auf Datenschutzforscher trafen; an dem sich die Global Encryption Coalition abstimmte.
Die Absage beseitigt die Arbeit nicht, aber sie beseitigt das persönliche Zusammentreffen. Werkzeuge zivilgesellschaftlicher Koordination, die nicht von einem einzelnen Gastland abhängen — föderierte, Peer-to-Peer-basierte, asynchrone Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Briar —, werden zum architektonischen Rückfallweg. Derselbe Primitiv-Stack, der die nutzerseitige Verwahrung der Identität schützt, schützt auch die Koordination der Zivilgesellschaft vor Störungen durch ein einzelnes Gastland.
Post-Quanten
- März 2026: Signal begann, das Post-Quanten-Protokoll SPQR / Triple Ratchet bei neuen Kontoregistrierungen verbindlich durchzusetzen. Der erste harte Schnitt eines nicht post-quanten-sicheren Messenger-Pfads durch eine große Verbraucher-Messaging-Plattform. Konten von signal-cli (dem inoffiziellen Kommandozeilen-Client, der breit für Bots, automatisierte Abläufe und Bridge-Integrationen genutzt wird) wurden massenhaft abgemeldet. Viele Bots gingen kaputt. Die architektonische Bedeutung liegt darin, dass eine erzwungene Migration zur Post-Quanten-Kryptografie durch das harte Abschneiden nicht post-quanten-sicherer Pfade eine grundlegend andere Ausrollstrategie ist als das Angebot optionaler PQ-Erweiterungen.
- März 2026: Google Quantum AI veröffentlichte gemeinsam mit Justin Drake (Ethereum Foundation) und Dan Boneh (Stanford) eine Arbeit, die eine rund 20-fache Verringerung der Zahl der Qubits zeigt, die nötig sind, um den diskreten Logarithmus der elliptischen Kurve secp256k1 von Bitcoin zu brechen. Die neue untere Schranke: weniger als 500.000 physische Qubits, mit einer Angriffslaufzeit von Minuten, sobald solche Hardware existiert. Bitcoins secp256k1 sichert eine Marktkapitalisierung von rund 2 Billionen US-Dollar ab. Die Migration zu Post-Quanten-Signaturen erfordert Änderungen am Konsensprotokoll; der BIP-Prozess für die Post-Quanten-Migration wird aktiv diskutiert.
- April 2026: Eine Arbeit von Coinbase, Stanford und der Ethereum Foundation bestätigte, dass ZK-Rollups (Aleo, Aztec, Railgun) konstruktionsbedingt informationstheoretisch quantenimmun sind. Das Signaturverfahren auf der Settlement-Schicht des Rollups lässt sich auf Post-Quanten-Primitive umstellen, ohne die kryptografischen Garantien des Rollups zu verändern.
Die PQ-fertige architektonische Gegenwehr für Messaging, Transport und Signaturen: Signal SPQR, iMessage Contact Key Verification, die PQ-fertige Signaturinfrastruktur der Apple Wallet, Cloudflares hybrider ML-KEM-Einsatz in über 60 % der TLS-Verbindungen, Akamais Umstellung auf PQ als Standard am 31. Januar. FIPS 140-2 läuft am 21. September 2026 aus — die Klippe für die Beschaffung des Bundes.
Der Bogen einer Woche
Heute (5. Mai) steht in einer bestimmten Taktung von Uhren.
- Morgen (6. Mai): ShinyHunters-Frist für Instructure. ShinyHunters-Frist für Cushman & Wakefield.
- 11.–22. Mai: Trail-of-Bits-Audit zu Monero FCMP++.
- 14. Mai: Abschließende Fairness-Anhörung zum Vergleich über 1,5 Milliarden US-Dollar in Bartz gegen Anthropic. Bewerbungsschluss für PSP beim digitalen Euro.
- 15. Mai: Frist zur Freigabe der FISC-Entscheidung vom 17. März (Reform von Section 702).
- 12. Juni: Auslaufen von Section 702.
- 30. Juni: Frist der mexikanischen CURP Biométrica (127 Millionen Mobilfunkanschlüsse).
- 1. Juli: Die Declared Age Range API von Apple wird verpflichtend.
- 2. August: Start der GPAI-Pflichten der EU-KI-Verordnung.
- 11. September: 24-Stunden-Meldung von Schwachstellen an die ENISA nach dem EU Cyber Resilience Act.
- 21. September: Auslaufen von FIPS 140-2.
- 24. Dezember: Harte Frist für die EUDI-Wallet.
Jede Uhr ist eine institutionelle, regulatorische oder protokollarische Frist. Der nutzerkontrollierte Primitiv-Stack — derselbe Stack, den die vorangegangenen drei Ausgaben benannt haben — hängt nicht davon ab, wie diese Uhren ausgehen.
Schluss
Die Frist von morgen ist nicht der Moment des Einbruchs. Der Einbruch ist längst geschehen. Morgen ist der Moment der Verbreitung.
275 Millionen Datensätze von Lernenden im K-12- und im postsekundären Bereich, dazu Milliarden privater Nachrichten zwischen Schülern und Lehrkräften, dazu die Kundenbeziehungsdaten eines der weltgrößten Gewerbeimmobilienunternehmen — alles liegt auf Salesforce-Instanzen, die heute gleichzeitig von demselben Akteur erpresst werden. Heute ist der Tag davor. Die Mitteilung "FINAL WARNING — PAY OR LEAK" von ShinyHunters nennt den 6. Mai.
In derselben Woche schreibt die regulatorische Architektur in mehreren Rechtsordnungen mehr Ausweis-Uploads zu Anbietern vor. Die Declared Age Range API von Apple. Die Durchsetzung durch die britische Ofcom. Die EU-Referenz-App zur Altersverifikation. Australiens Verbot für unter 16-Jährige. Das französische SREN-Gesetz. Die Gesetze einzelner US-Bundesstaaten. Der Anbieter, der den Ausweis hält, ist der Anbieter, der kompromittiert wird. Die architektonische Gegenwehr — Nachweise mit selektiver Offenlegung und nutzereigenen Schlüsseln — existiert in den Standards von W3C, IETF und NIST, verabschiedet, ausgerollt und heute schon im Einsatz. Die regulatorische Spezifikation hat noch nicht aufgeholt.
Der nutzerkontrollierte Primitiv-Stack, den die vorangegangenen drei Ausgaben benannt haben — offene Clients mit nutzereigenen Schlüsseln, Hardware mit offener Firmware, FIDO2-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Kryptowährungen, lokale KI-Inferenz, föderierte Identität mit selektiver Offenlegung, selbst gehostete Dienste —, hat aufgrund der architektonischen Eigenschaft „kein Upload“ keine Angriffsfläche, die sich über die vier in Ausgabe 03 benannten Umkehrmechanismen (unternehmerischer Rückzug, institutioneller Zwang, staatliche Nötigung, forensische Kompromittierung) drehen ließe, und keine, die sich über den in dieser Ausgabe benannten Mechanismus der Anbieterverwahrung als Falle drehen ließe.
Laden Sie Ihre Identität nicht zum Altersverifikationsanbieter hoch. Weisen Sie Ihr Alter kryptografisch nach.
Laden Sie keine Schülerdaten in ein SaaS-Lernmanagementsystem hoch. Betreiben Sie das LMS auf nutzerkontrollierter Infrastruktur.
Laden Sie keine Kundenbeziehungsdaten auf eine einzelne mandantenfähige Plattform hoch. Segmentieren Sie je Organisation.
Laden Sie keine Patientenakten zu einem einzelnen Anbieter elektronischer Gesundheitsakten hoch. Halten Sie die Akten nach der HIPAA-Regel des minimal Notwendigen.
Laden Sie keine Transaktionsdaten zu einem Stablecoin-Betreiber hoch. Rechnen Sie in Währungen in Nutzerverwahrung ab.
Laden Sie keine KI-Prompts in ein Protokoll bei Dritten hoch. Führen Sie die Inferenz auf nutzerkontrollierter Rechenleistung aus.
Laden Sie keine Wählerverzeichnisse der Bundesstaaten in eine Bundesdatenbank hoch. Gleichen Sie flüchtig und mit kryptografischem Vergleich ab.
Laden Sie nichts hoch.