Notizen zur Privatsphäre im Internet

Beiträge und Forschung vom URnetwork-Team und der Community.

RSS

Der Abhängigkeitsstapel

Am 7. April 2026 unterzeichneten sechs US-Bundesbehörden für Cybersicherheit — das FBI, die Cybersecurity and Infrastructure Security Agency, die National Security Agency, die Umweltbehörde EPA, das Energieministerium und das U.S. Cyber Command — gemeinsam das Joint Cybersecurity Advisory AA26-097A. Die Warnung schreibt die aktive Störung von aus dem Internet erreichbaren speicherprogrammierbaren Steuerungen von Rockwell Automation in US-amerikanischen Wasser-, Abwasser- und Energieanlagen dem Cluster „CyberAv3ngers“ des Kommandos für Cyber- und elektronische Kriegsführung der Islamischen Revolutionsgarden zu, mit bestätigten Betriebsstörungen und finanziellen Schäden bei namentlich genannten Opfern. Am 14. März 2026 erlitt die Stadt Minot in North Dakota einen Ransomware-Angriff auf der SCADA-Ebene ihres städtischen Wasserwerks — sechzehn Stunden Handbetrieb, rund achtzigtausend betroffene Einwohner, Ermittlungen des FBI. Am 13. und 27. April legte der Smart-Meter-Hersteller Itron zwei Einbrüche offen, die weltweit mehr als 110 Millionen Versorgungszähler betreffen. Am 27. April meldete das Ingenieurdienstleistungsunternehmen Pickett USA die Exfiltration von 139 Gigabyte LiDAR- und Umspannwerks-Planungsdaten zu Tampa Electric, Duke Energy Florida und American Electric Power. Am 4. April legte ein Softwareausfall bei Collins Aerospace die Flughäfen Heathrow, Brüssel und Berlin lahm. Am 15. April schrieb Schweden einen zerstörerischen Einbruchsversuch in ein Heizkraftwerk öffentlich russischen Nachrichtendiensten zu. Der Dragos-Jahresrückblick 2026 dokumentiert drei neue Bedrohungsgruppen (SYLVANITE, AZURITE, PYROXENE) und einen Anstieg der Ransomware gegen Industrieunternehmen um neunundvierzig Prozent gegenüber dem Vorjahr. Im April 2026 zog Sean Plankey seine Nominierung für die Leitung der CISA zurück; die Behörde arbeitet ohne bestätigte Führung mitten im akutesten Cybersicherheitszyklus für kritische Infrastruktur seit Jahrzehnten. Heute, am 5. Mai, verschiebt sich der Rahmen der ShinyHunters-Welle von „Salesforce-Einbruch“ zu „Drittanbieter-SaaS-Lieferkette“: Der Datenabfluss von 119.000 Datensätzen bei Vimeo lief über Anodot, nicht über Vimeo selbst; parallel dazu Teilveröffentlichungen von Carnival, Mytheresa, Zara, 7-Eleven, Pitney Bowes und Canada Life. Heute hat die Generalstaatsanwaltschaft von Pennsylvania die erste Klage ihrer Art wegen der Vortäuschung medizinischer Kompetenz gegen Character.AI eingereicht. Heute hat Cushman & Wakefield eine offizielle Stellungnahme zum ShinyHunters-Einbruch abgegeben („begrenzt“, Vishing bestätigt); Instructure schweigt zur Frist am 6. Mai weiterhin. Heute berichtete die Innenrevision des Heimatschutzministeriums, dass 76 Prozent der von Personal der Nachrichtendienstabteilung genutzten Smartphone-Anwendungen Sicherheitsrisiken bergen. Heute wurde die RightsCon 2026 in Lusaka offiziell abgesagt, Berichten zufolge unter Druck der Volksrepublik China auf Sambia. Zugleich: Die NSO Group wird nun von einer US-Investorengruppe kontrolliert, mit dem früheren Trump-Botschafter David Friedman als Executive Chairman; der Strafschadensersatz im WhatsApp-Verfahren wurde von 167,2 Millionen US-Dollar auf rund 4 Millionen US-Dollar reduziert; das Finanzministerium strich im Dezember 2025 still und leise drei Intellexa-SDN-Einträge; Paragon Solutions ist unter einem Vertrag über 2 Millionen US-Dollar operativ in die Einwanderungsbehörde Immigration and Customs Enforcement eingebunden; am 26. Februar verurteilte ein Athener Strafgericht Tal Dilian und drei weitere Intellexa-Führungskräfte — die erste strafrechtliche Verurteilung von Führungskräften eines kommerziellen Spyware-Anbieters überhaupt. Am 23. April bestätigte die tansanische Untersuchungskommission 518 Tote und 2.390 Verletzte bei der Gewalt nach der Wahl vom Oktober 2025, verübt unter einem fünftägigen vollständigen Internet-Blackout. Am 21. April zahlte Roblox 35,8 Millionen US-Dollar in gleichzeitigen Vergleichen mit Generalstaatsanwälten, die die Entfernung der Ende-zu-Ende-Verschlüsselung aus Chats Minderjähriger verlangen — der erste US-Vergleich, der Kinderschutz als Waffe gegen Verschlüsselung einsetzt. Das Muster ist strukturell. Die Alltagsabhängigkeiten der Nutzer — Wasser, Strom, Verkehr, Kommunikation, Zahlungen, Bildung, Gesundheit, Identität — stapeln sich jeweils über OT-/ICS-Systeme, Anbieter-SaaS, Datenaggregatoren als Dritte von Dritten, Lieferketten-Integrationen, ausländisch kontrollierte Spyware-Anbieter und die Kapazität der Aufsichtsbehörden. Der Abhängigkeitsstapel ist fragil. Die architektonische Gegenwehr ist Schichtreduktion.

AA26-097A

Am 7. April 2026 unterzeichneten sechs US-Bundesbehörden für Cybersicherheit gemeinsam das Joint Cybersecurity Advisory AA26-097A. Die Behörden: das Federal Bureau of Investigation, die Cybersecurity and Infrastructure Security Agency, die National Security Agency, die Umweltbehörde EPA, das Energieministerium und das U.S. Cyber Command. Die Warnung schreibt die aktive Störung von aus dem Internet erreichbaren speicherprogrammierbaren Steuerungen von Rockwell Automation in US-amerikanischen Wasser-, Abwasser- und Energieanlagen dem Cluster „CyberAv3ngers“ des Kommandos für Cyber- und elektronische Kriegsführung der Islamischen Revolutionsgarden zu.

Die Warnung bestätigt ausdrücklich Betriebsstörungen und finanzielle Schäden bei namentlich genannten Opfern. Ihre strukturelle Bedeutung liegt darin, dass die EPA als Mitunterzeichnerin auftritt. Die Zuständigkeit der EPA für die Cybersicherheit im Wassersektor ist seit der gerichtlichen Aufhebung ihrer Cybervorschrift für Wasserversorger im Jahr 2023 umstritten. Die gemeinsame Warnung vom 7. April ist das maßgeblichste Einzeldokument, das die Bundesregierung seit dieser Aufhebung zur Cybersicherheit im Wassersektor veröffentlicht hat.

Das Cluster „CyberAv3ngers“ wurde bereits zuvor von Mandiant und CrowdStrike dem Kommando für Cyber- und elektronische Kriegsführung der Revolutionsgarden zugeschrieben. Zu seinem Werkzeugkasten gehören laut der Warnung die Aufklärung nach Standardzugangsdaten und aus dem Internet erreichbaren SPS sowie das Botnetz „IOControl“ zur Einrichtung dauerhaften Zugangs auf industriellen Endpunkten.

Die Kampagne liegt zeitlich vor den israelisch-amerikanischen Angriffen auf den Iran vom 28. Februar 2026, hat sich seither aber deutlich verstärkt. Eine Zuschreibung auf Bundesebene, mitgetragen von der EPA, signalisiert, dass die Kampagne eine Wirkungsschwelle erreicht hat — Betriebsstörungen und finanzielle Schäden bei namentlich genannten Opfern —, die die föderale Cyberabwehr-Gemeinschaft für eine öffentliche Zuschreibung als notwendig erachtet.

Sechzehn Stunden

Am 14. März 2026 erlitt die Stadt Minot in North Dakota einen Ransomware-Angriff auf der SCADA-Ebene ihres städtischen Wasserwerks. Die Kompromittierung erreichte die Ebene der Prozessleittechnik — jene operative Ebene, auf der Sollwerte, Alarme und Prozesslogik liegen — und nicht bloß die IT-Ebene des Verwaltungsnetzes.

Der Wasserversorger lief sechzehn Stunden im Handbetrieb, während Techniker das SCADA-System wiederherstellten. Rund achtzigtausend Einwohner waren betroffen. Handbetrieb hieß: Ventile werden auf Anweisung des Operators von Hand geöffnet und geschlossen; die Chemikaliendosierung wird über analoge Messgeräte und das Auge des Operators geregelt; Pumpen werden über physische Schalter zugeschaltet. Die Trinkwasserqualität blieb während des gesamten Handbetriebs sicher, weil die Operatoren auf manuelle Verfahren geschult sind, auch wenn die digitale Ebene ausfällt.

Die architektonische Lehre ist strukturell. Die Widerstandsfähigkeit eines Wasserversorgers für 100.000 Menschen kommt von Operatoren, die manuelle Verfahren beherrschen, wenn die digitale Ebene ausfällt — nicht davon, dass irgendein bestimmtes IT- oder OT-System unhackbar wäre. Die nutzerseitige Antwort: manuelle Rückfallverfahren vorhalten, Operatoren darauf schulen, regelmäßig üben, IT von OT trennen, Telemetrie über Datendioden führen, wo ein bidirektionaler Zugang unnötig ist.

110 Millionen Zähler

Am 13. und 27. April 2026 legte Itron — einer der drei dominierenden Smart-Meter-Hersteller für Strom-, Gas- und Wasserversorger in Nordamerika — zwei Einbrüche offen, die weltweit mehr als 110 Millionen Versorgungszähler betreffen.

Itron-Zähler melden Verbrauchstelemetrie an die Abrechnungs- und Lastmanagementsysteme der Versorger. Viele Itron-Zähler enthalten zudem die Steuerung eines Trennrelais, mit der der Versorger die Belieferung aus der Ferne abschalten kann. Ein Einbruch auf der Ebene des Zählerherstellers — also auf der Schicht oberhalb des Perimeters jedes einzelnen Versorgers — erreicht jeden Versorgerkunden, der Zähler dieses Herstellers nutzt.

Die architektonische Lehre: Das Smart-Meter-Ökosystem hat eine Aggregatorschicht auf Herstellerebene, und diese Schicht ist ein einziger Perimeter für versorgerübergreifende Daten und versorgerübergreifende Steuerung. Nach Angaben von Itron führten die Einbrüche nicht zu einer Massenabschaltung, doch die versorgerübergreifende Datenoffenlegung ist dauerhaft.

Die nutzerseitige Antwort: datenschutzwahrende Telemetrie-Aggregation (differenzielle Privatsphäre auf Zählerebene — Implementierungen auf Forschungsniveau existieren); ein Kundenrecht auf Deaktivierung des Trennrelais (wo gesetzlich zulässig); lokale Abwahl der intelligenten Messinfrastruktur, wo die Aufsichtspolitik dies erlaubt.

139 Gigabyte

Am 27. April 2026 meldete Pickett USA — ein US-Ingenieurdienstleister, spezialisiert auf LiDAR und Umspannwerksplanung für Versorger — die Exfiltration von 139 Gigabyte. Die Daten betreffen Tampa Electric, Duke Energy Florida und American Electric Power. Drei der größten börsennotierten Versorger im Osten der Vereinigten Staaten.

LiDAR- und Umspannwerks-Planungsdaten sind nicht kundenbezogen. Sie beschreiben den physischen Aufbau, die Aufstellung der Betriebsmittel, die Kabelführung, die Schaltanlagenkonfiguration sowie die Schutz- und Leittechnikeinstellungen von Hochspannungs-Umspannwerken — genau jene technische Spezifikation, die ein Angreifer bräuchte, um Präzisionsangriffe auf die physischen Anlagen des Netzes zu planen.

Einmal exfiltriert, sind die Daten dauerhaft draußen. Es gibt keinen Rückruf.

Die architektonische Lehre: Die Ebene der Ingenieurdienstleister ist eine Aggregatorschicht für die physischen Netzplanungsdaten mehrerer Versorger. Die Antwort auf Nutzer- wie auf Versorgerseite: die externe Weitergabe vollständiger physischer Netzplanungsdaten minimieren; Planungsdaten nach dem Prinzip der geringsten Rechte segmentieren; physische Planungsdaten sollten nicht versorgerübergreifend aggregierbar sein.

Heathrow steht still

Am 4. April 2026 legte ein Softwareausfall bei Collins Aerospace die Flughäfen Heathrow, Brüssel und Berlin lahm. Der Flugbetrieb war europaweit beeinträchtigt; allein Heathrow bewegt täglich rund 220.000 Passagiere.

Collins Aerospace betreibt den ARINC-Softwarestack für die Passagierabfertigung, den rund ein Drittel der europäischen Fluggesellschaften und Dutzende europäischer Flughäfen nutzen. Ein Softwarefehler bei Collins erreicht jeden Flughafen, der ARINC einsetzt, gleichzeitig — eine Software-as-a-Service-Architektur mit einem einzigen Ausfallpunkt für den Flugbetrieb.

Die architektonische Lehre: Die operative Ebene des europäischen Luftverkehrs hat sich auf wenige Anbieter von Betriebssoftware konsolidiert, und ein Softwarefehler bei einem von ihnen pflanzt sich augenblicklich über die Flughäfen mehrerer souveräner Staaten fort. Der Ausfall vom 4. April war nicht gegnerisch verursacht — es war ein Fehler beim Software-Rollout —, aber dieselbe architektonische Angriffsfläche ist auch für gegnerisches Handeln erreichbar.

Die nutzerseitige Antwort liegt auf der Politikebene: Flughafenbetreiber sollten Anbietervielfalt bei der Betriebssoftware vorschreiben; Fluggesellschaften sollten manuelle Rückfallverfahren für die Passagierabfertigung vorhalten; Regulierer sollten Anbieter von Betriebssoftware unter der EU-Richtlinie NIS2 und gleichwertigen nationalen Regimen als kritische Infrastruktur behandeln.

Schwedens Heizkraftwerk

Am 15. April 2026 schrieb Schweden einen zerstörerischen Einbruchsversuch in ein Heizkraftwerk öffentlich russischen Nachrichtendiensten zu. Der schwedische Sicherheitsdienst (Säkerhetspolisen) und die schwedische Behörde für Zivilschutz und Krisenvorsorge (MSB) gaben eine gemeinsame Erklärung ab. Der Angriff richtete sich gegen ein regionales Heizkraftwerk, das im Spätwinter Fernwärme lieferte.

Schwedens öffentliche Zuschreibung an russische Nachrichtendienste ist strukturell bedeutsam. Öffentliche Zuschreibung war historisch den schwersten Vorfällen vorbehalten, weil die Zuschreibung selbst ein diplomatischer Akt ist. Die Erklärung vom 15. April stellt Schwedens Russland-Zuschreibung in dieselbe Kategorie wie die öffentlichen Russland-Zuschreibungen Estlands 2007, Deutschlands 2015 und der Vereinigten Staaten 2018.

Der Dragos-Jahresrückblick 2026 identifiziert drei neue Bedrohungsgruppen im OT-/ICS-Raum: SYLVANITE, AZURITE, PYROXENE. Dragos warnt vor "control-loop mapping" — der Kartierung von Regelkreisen, also der gegnerischen Charakterisierung physischer OT-Prozesse für Präzisionssabotage. Ransomware gegen Industrieunternehmen liegt neunundvierzig Prozent über dem Vorjahr.

Ohne Führung

Im April 2026 zog Sean Plankey, der Kandidat der Trump-Regierung für die Leitung der Cybersecurity and Infrastructure Security Agency, seine Nominierung angesichts der ungewissen Bestätigung im Senat zurück. Die CISA — die Cyberabwehrbehörde des Bundes, die als nationale Koordinierungsstelle der USA für die Cybersicherheit kritischer Infrastruktur benannt ist — arbeitet ohne bestätigten Direktor mitten im akutesten Cybersicherheitszyklus für kritische Infrastruktur seit Jahrzehnten.

Die SPS-Kampagne der Revolutionsgarden (AA26-097A, 7. April); der Itron-Einbruch über 110 Millionen Zähler (13. und 27. April); die Exfiltration der Netzplanungsdaten bei Pickett USA (27. April); der Ausfall der Luftverkehrssoftware von Collins Aerospace (4. April); Schwedens Russland-Zuschreibung zum Heizkraftwerk (15. April); die Ransomware im Wasserwerk von Minot, North Dakota (14. März); die Dragos-Kennzahl von 49 % Zuwachs bei industrieller Ransomware gegenüber dem Vorjahr — all das läuft gleichzeitig. Die Kapazität der Aufsichtsbehörde ist selbst eine Schicht des Abhängigkeitsstapels. Wenn die Aufsicht keine bestätigte Führung hat, leidet die behördenseitige Koordinierung von Incident Response, Verbreitung von Bedrohungsinformationen und Ressourcenzuteilung.

Die nutzerseitige Antwort liegt auf der Politikebene: Der Senat sollte die Bestätigung einer CISA-Leitung beschleunigen; die Exekutive sollte übergangsweise eine erfahrene Beamtin oder einen erfahrenen Beamten mit den Befugnissen einer bestätigten Leitung betrauen.

Anodot

Heute, am 5. Mai 2026, verschiebt sich der Rahmen der ShinyHunters-Welle von „Salesforce-Einbruch“ zu „Drittanbieter-SaaS-Lieferkette“. Der Datenabfluss von 119.000 Datensätzen bei Vimeo lief über Anodot — einen SaaS-Anbieter für Analyse-Integrationen — und nicht über einen direkten Einbruch bei Vimeo. Parallel dazu veröffentlichte ShinyHunters portionsweise Daten von Carnival, Mytheresa, Zara, 7-Eleven, Pitney Bowes und Canada Life.

Das heute beobachtete Muster: Eine einzige Analyse-Integration eines Drittanbieters wird zum Vektor für die Daten vieler Kunden. Salesforce war der SaaS-Aggregator als Vertrauensträger, den die gestrige Ausgabe behandelt hat. Anodot ist der Aggregator als Drittanbieter-SaaS von Salesforce. Das architektonische Muster potenziert sich: Ein Einbruch über eine Salesforce-Integration erreicht jeden Kunden jedes Salesforce-Kunden, der diese Integration nutzt.

Die nutzerseitige Antwort: Audit der SaaS-Integrationen von Drittanbietern (welche Integration hat Zugriff auf welche Salesforce-Objekte? minimal notwendiger Umfang?); Segmentierung der Integrationen je Organisation; Alternativen zu aggregierenden Analyseplattformen (selbst gehostete Lösungen wie Mautic, Listmonk, Plausible Analytics, Matomo, Metabase).

Cushman & Wakefield gab heute seine offizielle Stellungnahme ab, bezeichnete den Einbruch als „begrenzt“ und bestätigte Vishing als Vektor. Instructure schweigt zur Frist am 6. Mai weiterhin.

Das NSO von Friedman

Im Januar 2026 kam die NSO Group unter die Kontrolle von US-Investoren. Die übernehmende Gruppe unter Führung von Robert Simonds machte den früheren Trump-Botschafter in Israel, David Friedman, zum Executive Chairman. Aus dem Transparenzbericht vom Januar 2026 wurden die Zahlen zu gekündigten Kundenbeziehungen entfernt, die in den Berichten der Vorjahre enthalten waren. NSO betreibt offen Lobbyarbeit für die Streichung von der US-Entity-List.

Im Oktober 2025 reduzierte die US-Bundesbezirksrichterin Phyllis Hamilton den Strafschadensersatz, den NSO an WhatsApp zu zahlen hat, von 167,2 Millionen US-Dollar auf rund 4 Millionen US-Dollar. Das Verfahren liegt inzwischen in der Berufungsinstanz beim Ninth Circuit. Die Reduzierung um das 40-Fache senkt den Preis, den das Rechtssystem dem Missbrauch kommerzieller Spyware zuweist, erheblich — jenen Preis, den das Urteil von Oakland im Frühjahr 2026 angehoben hatte.

Im Dezember 2025 strich das US-Finanzministerium still und leise drei Intellexa-Einträge von der Liste der Specially Designated Nationals. Die Streichung verringert den Druck des Finanzsystems auf das Intellexa-Cluster.

Die architektonische Bedeutung: Der kommerzielle Spyware-Anbieter, der in großem Maßstab gegen Ende-zu-Ende-verschlüsselte Nachrichten operierte, steht nun in US-Eigentum, das an der Exekutive ausgerichtet ist, während der rechtliche Preis für Missbrauch gesenkt und zuvor gelistete Intellexa-SDN-Einträge still gestrichen wurden. Die architektonische Gegenwehr: Mobilgeräte mit offener Firmware (das Äquivalent zum Lockdown-Modus bei GrapheneOS), fortlaufende forensische Beobachtung durch Citizen Lab und Amnesty International, Klagen nach dem Freedom of Information Act gegen die Spyware-Beschaffung von US-Behörden sowie politischer Druck, die Entity-List-Sanktionen und die SDN-Einträge des Finanzministeriums aufrechtzuerhalten.

Das Urteil von Athen

Am 26. Februar 2026 verurteilte ein Athener Strafgericht Tal Dilian — israelischer früherer Nachrichtendienstoffizier der IDF und Gründer von Intellexa — sowie drei weitere Intellexa-Führungskräfte wegen des rechtswidrigen Abfangens der Kommunikation griechischer Zivilgesellschaft und Journalisten mit der unternehmenseigenen Spyware „Predator“. Das Urteil ist die erste strafrechtliche Verurteilung von Führungskräften eines kommerziellen Spyware-Anbieters überhaupt.

Die griechische Strafverfolgung ging aus dem Skandal „Predatorgate“ von 2022 hervor, bei dem rund 100 Personen — Journalisten, Aktivisten, Anwälte und ein hoher griechischer Regierungsvertreter — mit von Intellexa gelieferter Spyware ins Visier genommen wurden.

Die architektonische Bedeutung: Bis zum 26. Februar 2026 hatte keine Rechtsordnung Führungskräfte kommerzieller Spyware-Anbieter erfolgreich für die Folgen des Einsatzes ihres Produkts strafrechtlich verfolgt. Der Präzedenzfall von Athen zeigt, dass — zumindest in griechischer Zuständigkeit — die Verteidigungslinie der Spyware-Branche, „wir verkaufen nur das Produkt, der Kunde missbraucht es“, eine Strafverfolgung nicht übersteht.

Der Vertrag über 2 Millionen US-Dollar

Paragon Solutions — vor der endgültigen Genehmigung durch die israelische DECA für rund 900 Millionen US-Dollar an AE Industrial Partners verkauft — ist nun unter einem reaktivierten Vertrag über 2 Millionen US-Dollar operativ in die US-Einwanderungsbehörde Immigration and Customs Enforcement eingebunden. Der kommissarische ICE-Direktor Todd Lyons bestätigte den Einsatz am 1. Mai 2026 in einer Anhörung des Heimatschutzausschusses des Repräsentantenhauses. Senator Ron Wyden führte am 24. April 2026 30 Abgeordnete in einem Aufsichtsschreiben an.

Zugleich blockiert Paragon offen die italienische Staatsanwaltschaft, die den Hack gegen Cancellato / Fanpage untersucht. Der erste Schritt der italienischen Ermittler war die Aufforderung an Paragon, die vollständige Kundenliste offenzulegen; Paragons Reaktion war laut öffentlicher Berichterstattung Verweigerung.

Die architektonische Bedeutung: Die Beschaffung kommerzieller Spyware durch eine Bundesbehörde ist nun öffentlich bestätigt, mit konkreter Vertragssumme und konkretem Ministerium — ohne ein anwendbares Gesetz zur öffentlichen Kontrolle von Beschaffung oder Einsatz und ohne Pflicht zur Benachrichtigung der Betroffenen.

„Bad Connection“ — unsichtbar für MVT

Der Bericht „Bad Connection“ der Citizen-Lab-Forscher Gary Miller und Swantje Lange vom 23. April 2026 — behandelt in Ausgabe 03 — enthält einen strukturell bedeutsamen zusätzlichen Befund: Die „Ghost Operator“-Überwachung über SS7 / Diameter ist unsichtbar für das Mobile Verification Toolkit (MVT), iVerify und Lookout — die drei kommerziellen beziehungsweise quelloffenen Forensikprodukte, auf die sich die Zivilgesellschaft stützt, um Gerätekompromittierungen nachzuweisen.

Der Nutzer kann von der Geräteseite aus nicht belegen, dass er per SS7 verfolgt wird. Die architektonische Bedeutung: Ein kommerzielles Spyware-Ökosystem, das auf einen Vektor ausgewichen ist, den die Forensikwerkzeuge nicht erkennen können, lässt Nutzern auf der Geräteebene keinen architektonischen Ausweg.

Die nutzerseitige Antwort verlagert sich auf die Netzebene: FIDO2-Hardware-Authentifizierung, die eine Kompromittierung der SIM-Karte übersteht; betreiberseitige Sicherheitsaudits von SS7/Diameter nach GSMA-Vorgabe (kürzlich verschärft); behördlich vorgeschriebene Offenlegung der Routing-Beziehungen zwischen Netzbetreibern.

518 Tote

Am 23. April 2026 bestätigte eine tansanische Untersuchungskommission 518 Tote und 2.390 Verletzte bei der Gewalt nach der Wahl vom Oktober 2025. Die Gewalt wurde unter einem fünftägigen vollständigen Internet-Blackout verübt.

Die KeepItOn-Koalition von Access Now dokumentierte 2025 in Tansania 5.448 Stunden Internetabschaltungen — 889,8 Millionen US-Dollar wirtschaftlicher Schaden im Jahr 2025, der höchste Afrikas.

Die architektonische Bedeutung: Die Internetabschaltung ist nicht bloß ein Mittel der Informationskontrolle; sie ermöglicht staatliche Gewalt. Wenn Bürger nicht kommunizieren, sich nicht organisieren und staatliche Gewalt nicht in Echtzeit dokumentieren können, wird die Darstellung des Staates über die eigene Gewalt zur einzigen Quelle. Dass die tansanische Kommission die 518 Toten erst nach dem Ende der Abschaltung bestätigen konnte, belegt das Prinzip.

Dasselbe Muster zeigte sich am 15. März 2026, als die Republik Kongo (Brazzaville) am Wahltag einen landesweiten Internet-Blackout verhängte. NetBlocks maß die Konnektivität bei rund 3 % des normalen Ausgangsniveaus. Das Ergebnis: die Wiederwahl von Denis Sassou Nguesso für eine fünfte Amtszeit mit 94,82 %. Sassou Nguesso hat die Präsidentschaft seit 1997 inne und hatte sie zuvor von 1979 bis 1992 inne.

Die nutzerseitige architektonische Antwort sind Mesh-Netze und Satellitenanbindungen zur zivilgesellschaftlichen Dokumentation während Abschaltungen: Briar (Bluetooth und Tor), Bridgefy (Mesh), inoffizielle Starlink-Antennen (im Iran und im Sudan dokumentiert), Reticulum, Meshtastic, GoTenna PRO als Verbraucherprodukte.

Der Vergleich von Roblox

Am 21. April 2026 zahlte die Roblox Corporation 35,8 Millionen US-Dollar in gleichzeitigen Vergleichen mit Nevada (12,5 Millionen US-Dollar), Alabama (12,2 Millionen US-Dollar) und West Virginia (11,1 Millionen US-Dollar). 146 Verfahren des bundesweiten Sammelverfahrens (Multi-District Litigation) sind weiterhin anhängig.

Der Vergleich verpflichtet Roblox, die Ende-zu-Ende-Verschlüsselung aus Chats Minderjähriger zu entfernen. Der erste US-Vergleich, der Kinderschutz als Waffe gegen Verschlüsselung einsetzt.

Die architektonische Bedeutung: Generalstaatsanwälte der Bundesstaaten haben erstmals einen Vergleich durchgesetzt, der eine große, dem Messaging nahestehende Verbraucherplattform zwingt, Ende-zu-Ende-Verschlüsselung auf Protokollebene zurückzunehmen — aus Gründen des Kinderschutzes und bevor irgendeine bundesrechtliche Regulierung oder Gesetzgebung dies verlangt. Die für den 8. Mai angekündigte Rücknahme der Ende-zu-Ende-Verschlüsselung bei Meta/Instagram — behandelt in Ausgabe 03 — war eine freiwillige Unternehmensentscheidung; die Rücknahme bei Roblox ist eine von Generalstaatsanwälten im Vergleich erzwungene Maßnahme. Das architektonische Muster ist dasselbe — der Betreiberpfad kehrt auf der Nachrichtenebene zurück —, aber der Mechanismus ist regulatorisch, nicht unternehmerisch.

Der 22. April 2026 war der Stichtag für die Einhaltung der geänderten Rule zum Children's Online Privacy Protection Act. Neu erfasst: biometrische Kennzeichen (Gesichts-, Stimm- und Irismerkmale) sowie staatlich ausgegebene Kennungen. Bußgelder: 53.088 US-Dollar pro Verstoß, pro Kind, pro Tag. Nach Angaben des NCMEC gab es 2025 21,3 Millionen Meldungen bei der CyberTipline, darunter 1,5 Millionen mit Bezug zu generativer KI.

Heute, am 5. Mai, hat die Generalstaatsanwaltschaft von Pennsylvania die erste Klage ihrer Art wegen der Vortäuschung medizinischer Kompetenz gegen Character.AI eingereicht.

Common Crawl

  1. April 2026: Die News/Media Alliance schrieb im Namen von NBCUniversal, CNN, Vox Media, Ziff Davis und Hunderten regionaler US-Verlage einen förmlichen Brief an den Geschäftsführer der Common Crawl Foundation, Rich Skrenta, und forderte die Entfernung von Verlagsinhalten aus dem Common-Crawl-Korpus sowie die Einrichtung eines Opt-out-Registers.

Der Brief beruft sich ausdrücklich auf die Pflicht zur Zusammenfassung der Trainingsdaten für KI-Modelle mit allgemeinem Verwendungszweck nach Artikel 53 der EU-KI-Verordnung, die am 2. August 2026 rechtsverbindlich wird. Common Crawl ist der grundlegende, aus dem Web gesammelte Korpus für die Mehrzahl der Trainingsdatensätze großer Sprachmodelle.

Am selben Tag wurden am Bundesbezirksgericht für den Northern District of California sieben Klagen wegen widerrechtlicher Tötung gegen OpenAI und Sam Altman eingereicht, mit Forderungen von mehr als 1 Milliarde US-Dollar. Die Kläger sind Angehörige der Opfer des Amoklaufs von Tumbler Ridge. Die Klagen verweisen auf die dokumentierte interne Markierung und deren Aufhebung beim Konto des Täters bei OpenAI im Juni 2025.

Die architektonische Bedeutung: Der Streit um die Herkunft von KI-Trainingsdaten ist kein Gerichtskrieg um urheberrechtliche Theorien mehr; er ist ein Krieg um die Entfernung aus Korpora, geführt über regulatorische Compliance. Und die Haftungsfläche der KI-Anbieter beschränkt sich nicht mehr auf das Urheberrecht; sie umfasst nun widerrechtliche Tötung.

Heute (5. Mai)

An diesem Dienstagnachmittag mehrere Entwicklungen:

  • Die Generalstaatsanwaltschaft von Pennsylvania hat die erste Klage ihrer Art wegen der Vortäuschung medizinischer Kompetenz gegen Character.AI eingereicht.
  • Cushman & Wakefield hat seine offizielle Stellungnahme zum ShinyHunters-Einbruch abgegeben („begrenzt“, Vishing bestätigt).
  • Instructure schweigt zur Frist am 6. Mai weiterhin.
  • Die Innenrevision des Heimatschutzministeriums berichtete, dass 76 Prozent der von Personal der Nachrichtendienstabteilung genutzten Smartphone-Anwendungen Sicherheitsrisiken bergen, die die internen Einstufungsschwellen des Ministeriums erreichen.
  • Die RightsCon 2026 in Lusaka wurde offiziell abgesagt, Berichten zufolge unter Druck der Volksrepublik China auf Sambia wegen der Teilnahme taiwanischer Delegierter.
  • Die Anodot-Neurahmung durch ShinyHunters weitet den Fristendruck des 6. Mai auf die gesamte Drittanbieter-SaaS-Lieferkette aus.

Morgen (6. Mai): Die ShinyHunters-Erpressungsfrist für Instructure läuft ab. Die ShinyHunters-Kontaktfrist für Cushman & Wakefield läuft ab. Die CISA-Frist des Bundes für den Patch der Schwachstelle CVE-2026-33825 aus der Black-Hammer- / BlueHammer- / RedSun-Klasse. Die Bewertung der Folgen des Trellix-Quellcode-Einbruchs vom 2. Mai läuft weiter. 7. Mai: Quartalszahlen von Cloudflare, Coinbase und Lyft.

Das verbindende Muster

Die Alltagsabhängigkeiten der Nutzer — Wasser, Strom, Verkehr, Kommunikation, Zahlungen, Bildung, Gesundheit, Identität — stapeln sich jeweils über:

  1. OT-/ICS-Systeme (Rockwell-SPS in Wasser-, Abwasser- und Energieanlagen; SCADA im Wasserwerk von Minot; intelligente Zähler an den Hausanschlüssen).
  2. SaaS-Aggregatoren auf Anbieterseite (Salesforce; Anodot; Itron; ARINC von Collins Aerospace; die Ingenieurdaten von Pickett USA).
  3. Datenintegrationen von Dritten der Dritten (der Anodot-Vektor, der die Vimeo-Kunden erreichte).
  4. Lieferkettenabhängigkeiten (die Bitwarden-CLI-Kaskade über die Übernahme von Checkmarx KICS auf Docker Hub, 22. April).
  5. Ausländisch kontrollierte oder im Inland vereinnahmte Spyware-Anbieter (NSO unter Friedman; der ICE-Vertrag mit Paragon über 2 Millionen US-Dollar; die Intellexa-Verurteilung in Athen; die Streichung der Intellexa-SDN-Einträge durch das Finanzministerium).
  6. Kapazität der Aufsichtsbehörden (CISA ohne bestätigte Leitung; umstrittene Cybervorschrift der EPA für Wasserversorger; ausstehende FERC-Entscheidung zu NERC CIP-015-2).
  7. Informationskontrolle (die fünftägige Abschaltung in Tansania, die 518 Tote ermöglichte; 3 % des Ausgangsniveaus in der Republik Kongo; der Druck der Volksrepublik China auf Sambia, der die RightsCon platzen ließ).
  8. Per Vergleich erzwungene Rücknahme von Verschlüsselung (der Roblox-Vergleich über 35,8 Millionen US-Dollar mit Generalstaatsanwälten, der die Entfernung der Ende-zu-Ende-Verschlüsselung aus Chats Minderjähriger verlangt).

Jede Schicht ist eine potenzielle Angriffsfläche. Wenn die Aufsichtsbehörde (CISA) keine bestätigte Leitung hat und das Angriffsvolumen um 49 % gegenüber dem Vorjahr steigt, ist der Abhängigkeitsstapel fragil. Das Muster ist strukturell.

Die architektonische Gegenwehr

Schichtreduktion. Die Zahl der Anbieter, der aus dem Internet erreichbaren OT-Systeme und der Aggregatoren mit einzelnem Ausfallpunkt minimieren. Die Kapazität der Aufsicht erhalten. Den nutzerkontrollierten Primitiv-Stack auf jeder Schicht ausrollen:

  • Netzsegmentierung in OT-Umgebungen: Air-Gap, wo machbar; Datendiode für reine Telemetriepfade; Zugang über Bastion-Hosts für technische Änderungen.
  • Anbietervielfalt auf der SaaS-Aggregatorschicht: Architekturen mit nur einem Salesforce, nur einem Anodot, nur einem Itron, nur einem ARINC vermeiden.
  • Manueller Rückfallbetrieb vor Ort: Operatoren auf manuelle Verfahren schulen (Minot in North Dakota lief nach der Ransomware vom 14. März sechzehn Stunden im Handbetrieb); regelmäßig üben.
  • Quelloffene OT-Alternativen mit offener Firmware, wo ausgereift: OpenPLC, Mosquitto MQTT Broker, Apache PLC4X, quelloffene OPC-UA-SDKs.
  • Erhalt der Aufsichtskapazität: vom Senat bestätigte CISA-Leitung; Durchsetzung der NERC-CIP-Standards; Umsetzung von NIS2 in der EU; Cybersicherheitsbefugnisse der bundesstaatlichen Regulierungskommissionen.
  • Nutzerseitige Widerstandsfähigkeit: mehrere Versorger / mehrere Netzbetreiber, wo wirtschaftlich möglich; Satellitenanbindungen für den Fall von Abschaltungen; Mesh-Netze (Briar, Meshtastic, Reticulum, GoTenna PRO) für zivile Notlagen.
  • Forensische Nachweisbarkeit auf der Geräteebene: Mobilgeräte mit offener Firmware (GrapheneOS), bei denen der Vektor SS7/Diameter / Pegasus / Graphite das für den Nutzer einsehbare Verhalten von Caches und Benachrichtigungsdatenbanken nicht umgehen kann.
  • Der nutzerkontrollierte Primitiv-Stack aus den Ausgaben 02 bis 04 — offene Clients, offene Firmware, FIDO2, zensurresistente Transporte, private Kryptowährungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste — angewandt auf jeder Schicht des Abhängigkeitsstapels.

Schluss

Morgen, am 6. Mai, läuft die ShinyHunters-Frist für Instructure ab. Morgen läuft die Kontaktfrist für Cushman & Wakefield ab. Morgen laufen die CISA-Fristen des Bundes für Patches zu mehreren im KEV-Katalog gelisteten CVEs ab. Morgen setzt sich das Muster von heute fort. Die Muster der vergangenen sechzig Tage laufen auf eine einzige architektonische Diagnose zu: Der Abhängigkeitsstapel ist zu hoch, zu konsolidiert und zu brüchig, während die Aufsicht, die die Verteidigung koordinieren sollte, ohne bestätigte Leitung dasteht und die Spyware-Anbieter, die diese Brüchigkeit ausnutzen könnten, unter inländisches Eigentum geraten und zusehen, wie ihre Sanktionen gelockert werden.

Schichtreduktion ist die einzige verallgemeinerbare Gegenwehr. Weniger Anbieter. Weniger Aggregatoren mit einzelnem Ausfallpunkt. Weniger Integrationen. Weniger Abhängigkeiten. Die Aufsicht erhalten. Den nutzerkontrollierten Primitiv-Stack auf jeder Schicht ausrollen.

Der Abhängigkeitsstapel ist das Muster. Schichtreduktion ist die Antwort.

Further Discussion

Der Abhängigkeitsstapel

Am 7. April 2026 unterzeichneten sechs US-Bundesbehörden für Cybersicherheit — das FBI, die Cybersecurity and Infrastructure Security Agency, die National Security Agency, die Umweltbehörde EPA, das Energieministerium und das U.S. Cyber Command — gemeinsam das Joint Cybersecurity Advisory AA26-097A. Die Warnung schreibt die aktive Störung von aus dem Internet erreichbaren speicherprogrammierbaren Steuerungen von Rockwell Automation in US-amerikanischen Wasser-, Abwasser- und Energieanlagen dem Cluster „CyberAv3ngers“ des Kommandos für Cyber- und elektronische Kriegsführung der Islamischen Revolutionsgarden zu, mit bestätigten Betriebsstörungen und finanziellen Schäden bei namentlich genannten Opfern. Dass die EPA mitunterzeichnet, ist strukturell bedeutsam, weil ihre Zuständigkeit für die Cybersicherheit im Wassersektor seit der gerichtlichen Aufhebung ihrer Cybervorschrift für Wasserversorger im Jahr 2023 umstritten ist. Die Kampagne ist nicht theoretisch. Am 14. März 2026 erlitt die Stadt Minot in North Dakota einen Ransomware-Angriff auf der SCADA-Ebene ihres städtischen Wasserwerks — sechzehn Stunden Handbetrieb, rund achtzigtausend betroffene Einwohner, Ermittlungen des FBI. Handbetrieb hieß: Ventile werden auf Anweisung des Operators von Hand geöffnet und geschlossen, die Chemikaliendosierung wird über analoge Messgeräte und das Auge des Operators geregelt, Pumpen werden über physische Schalter zugeschaltet. Die Trinkwasserqualität blieb sicher, weil die Operatoren auf manuelle Verfahren geschult sind, auch wenn die digitale Ebene ausfällt. Am 13. und 27. April legte der Smart-Meter-Hersteller Itron — einer der drei dominierenden Anbieter für Strom-, Gas- und Wasserversorger in Nordamerika — zwei Einbrüche offen, die weltweit mehr als 110 Millionen Versorgungszähler betreffen. Itron-Zähler melden Verbrauchstelemetrie, und viele enthalten die Steuerung eines Trennrelais, mit der der Versorger die Belieferung aus der Ferne abschalten kann. Ein Einbruch auf der Ebene des Zählerherstellers erreicht jeden Versorgerkunden, der Zähler dieses Herstellers nutzt, ohne den Perimeter irgendeines einzelnen Versorgers zu kompromittieren. Am 27. April meldete das Ingenieurdienstleistungsunternehmen Pickett USA die Exfiltration von 139 Gigabyte LiDAR- und Umspannwerks-Planungsdaten zu Tampa Electric, Duke Energy Florida und American Electric Power — drei der größten börsennotierten Versorger im Osten der Vereinigten Staaten. Die Daten sind die technische Spezifikation für einen Präzisionsangriff auf die physischen Anlagen des Netzes. Am 4. April legte ein Softwareausfall bei Collins Aerospace die Flughäfen Heathrow, Brüssel und Berlin lahm. Allein Heathrow bewegt täglich rund 220.000 Passagiere. Collins Aerospace betreibt den ARINC-Softwarestack für die Passagierabfertigung, den rund ein Drittel der europäischen Fluggesellschaften nutzt. Ein Softwarefehler bei einem Anbieter erreicht jeden Flughafen, der ARINC einsetzt, gleichzeitig. Am 15. April schrieb Schweden einen zerstörerischen Einbruchsversuch in ein Heizkraftwerk öffentlich russischen Nachrichtendiensten zu — eine öffentliche Zuschreibung, die den schwersten Vorfällen vorbehalten ist. Der Dragos-Jahresrückblick 2026 dokumentiert drei neue Bedrohungsgruppen im OT-/ICS-Raum — SYLVANITE, AZURITE, PYROXENE — und warnt vor "control-loop mapping", der Kartierung von Regelkreisen, also der gegnerischen Charakterisierung physischer OT-Prozesse für Präzisionssabotage. Ransomware gegen Industrieunternehmen liegt neunundvierzig Prozent über dem Vorjahr. Im April 2026 zog Sean Plankey seine Nominierung für die Leitung der CISA angesichts der ungewissen Bestätigung im Senat zurück. Die CISA arbeitet ohne bestätigten Direktor mitten im akutesten Cybersicherheitszyklus für kritische Infrastruktur seit Jahrzehnten. Die Kapazität der Aufsichtsbehörde ist selbst eine Schicht des Abhängigkeitsstapels. Wenn die Aufsicht keine bestätigte Führung hat, leidet die behördenseitige Koordinierung von Incident Response, Verbreitung von Bedrohungsinformationen und Ressourcenzuteilung. Heute, am 5. Mai 2026, verschiebt sich der Rahmen der ShinyHunters-Welle von „Salesforce-Einbruch“ zu „Drittanbieter-SaaS-Lieferkette“. Der Datenabfluss von 119.000 Datensätzen bei Vimeo lief über Anodot — einen SaaS-Anbieter für Analyse-Integrationen — und nicht über einen direkten Einbruch bei Vimeo. Parallel dazu veröffentlichte ShinyHunters portionsweise Daten von Carnival, Mytheresa, Zara, 7-Eleven, Pitney Bowes und Canada Life. Salesforce war der SaaS-Aggregator als Vertrauensträger, den die gestrige Ausgabe behandelt hat; Anodot ist der Aggregator als Drittanbieter-SaaS von Salesforce. Das architektonische Muster potenziert sich: Ein Einbruch über eine Salesforce-Integration erreicht jeden Kunden jedes Salesforce-Kunden, der diese Integration nutzt. Cushman & Wakefield gab heute seine offizielle Stellungnahme ab, bezeichnete den Einbruch als „begrenzt“ und bestätigte Vishing als Vektor. Instructure schweigt zur Frist am 6. Mai weiterhin. Die Generalstaatsanwaltschaft von Pennsylvania hat heute die erste Klage ihrer Art wegen der Vortäuschung medizinischer Kompetenz gegen Character.AI eingereicht. Die Innenrevision des Heimatschutzministeriums berichtete, dass 76 Prozent der von Personal der Nachrichtendienstabteilung genutzten Smartphone-Anwendungen Sicherheitsrisiken bergen. Die RightsCon 2026 in Lusaka wurde heute offiziell abgesagt, Berichten zufolge unter Druck der Volksrepublik China auf Sambia. Die kommerzielle Spyware-Industrie wird vereinnahmt. Die NSO Group steht nun unter der Kontrolle von US-Investoren, mit dem früheren Trump-Botschafter David Friedman als Executive Chairman. Die Reduzierung des Strafschadensersatzes im WhatsApp-Verfahren von 167,2 Millionen US-Dollar auf rund 4 Millionen US-Dollar durch Richterin Hamilton im Oktober 2025 — inzwischen in der Berufungsinstanz beim Ninth Circuit — hat den Preis, den das Rechtssystem für Spyware-Missbrauch ansetzt, um das 40-Fache gesenkt. Im Dezember 2025 strich das Finanzministerium still und leise drei Intellexa-SDN-Einträge. Paragon Solutions ist unter einem Vertrag über 2 Millionen US-Dollar operativ in die Einwanderungsbehörde Immigration and Customs Enforcement eingebunden; Senator Wyden führte am 24. April 30 Abgeordnete in einem Aufsichtsschreiben an. Am 26. Februar verurteilte ein Athener Strafgericht Tal Dilian und drei Intellexa-Führungskräfte — die erste strafrechtliche Verurteilung von Führungskräften eines kommerziellen Spyware-Anbieters überhaupt —, doch der Citizen-Lab-Bericht „Bad Connection“ vom 23. April dokumentierte mehr als 15.700 Verfolgungsversuche über SS7, Diameter und SIMjacker, die für das Mobile Verification Toolkit, iVerify und Lookout *unsichtbar* sind. Der Nutzer kann von der Geräteseite aus nicht belegen, dass er per SS7 verfolgt wird. Am 23. April 2026 bestätigte eine tansanische Untersuchungskommission 518 Tote und 2.390 Verletzte bei der Gewalt nach der Wahl vom Oktober 2025, verübt unter einem fünftägigen vollständigen Internet-Blackout. Die KeepItOn-Koalition von Access Now dokumentierte 2025 in Tansania 5.448 Stunden Internetabschaltungen — 889,8 Millionen US-Dollar wirtschaftlicher Schaden im Jahr 2025, der höchste Afrikas. Die Internetabschaltung ist nicht bloß ein Mittel der Informationskontrolle; sie ermöglicht staatliche Gewalt. Am 15. März begleitete der landesweite Wahltags-Blackout in der Republik Kongo (NetBlocks bei drei Prozent des Ausgangsniveaus) die Wiederwahl von Sassou Nguesso für eine fünfte Amtszeit mit 94,82 %. Am 21. April 2026 zahlte die Roblox Corporation 35,8 Millionen US-Dollar in gleichzeitigen Vergleichen mit Nevada, Alabama und West Virginia. Der Vergleich verpflichtet Roblox, die Ende-zu-Ende-Verschlüsselung aus Chats Minderjähriger zu entfernen. Der erste US-Vergleich, der Kinderschutz als Waffe gegen Verschlüsselung einsetzt. Generalstaatsanwälte der Bundesstaaten haben erstmals einen Vergleich durchgesetzt, der eine große, dem Messaging nahestehende Verbraucherplattform zwingt, Ende-zu-Ende-Verschlüsselung auf Protokollebene zurückzunehmen — aus Gründen des Kinderschutzes und bevor irgendeine bundesrechtliche Regulierung oder Gesetzgebung dies verlangt. Die Alltagsabhängigkeiten der Nutzer — Wasser, Strom, Verkehr, Kommunikation, Zahlungen, Bildung, Gesundheit, Identität — stapeln sich jeweils über OT-/ICS-Systeme, SaaS-Aggregatoren auf Anbieterseite, Datenintegrationen von Dritten der Dritten, Lieferkettenabhängigkeiten, ausländisch kontrollierte oder im Inland vereinnahmte Spyware-Anbieter und die Kapazität der Aufsichtsbehörden. Jede Schicht ist eine potenzielle Angriffsfläche. Wenn die Aufsicht keine bestätigte Führung hat, wenn das Angriffsvolumen um neunundvierzig Prozent gegenüber dem Vorjahr steigt, wenn die Spyware-Branche vereinnahmt wird, wenn Abschaltungen staatliche Gewalt ermöglichen, wenn Kinderschutz-Vergleiche die Rücknahme von Verschlüsselung erzwingen und wenn die Drittanbieter-SaaS-Lieferkette die SaaS-Architektur des Vertrauensträgers ineinander potenziert — dann ist der Abhängigkeitsstapel fragil. Der Abhängigkeitsstapel.

Schichtreduktion

Die architektonische Gegenwehr gegen den Abhängigkeitsstapel ist Schichtreduktion. Anbieterabhängigkeiten minimieren. Aus dem Internet erreichbare OT-Systeme minimieren. Aggregatoren mit einzelnem Ausfallpunkt minimieren. Die Kapazität der Aufsicht erhalten. Den nutzerkontrollierten Primitiv-Stack auf jeder Schicht ausrollen. **Netzsegmentierung in OT-Umgebungen.** Air-Gap, wo machbar. Datendiode für reine Telemetriepfade. Zugang über Bastion-Hosts für technische Änderungen mit FIDO2-Hardware-Authentifizierung. Die Widerstandsfähigkeit des Wasserwerks von Minot in North Dakota kam von Operatoren, die auf manuelle Verfahren geschult waren und sechzehn Stunden ohne SCADA arbeiten konnten. Manueller Rückfallbetrieb ist kein Behelf. Er ist die architektonische Position: Die digitale Ebene ist eine Option unter mehreren. **Anbietervielfalt auf der SaaS-Aggregatorschicht.** Architekturen mit nur einem Salesforce, nur einem Anodot, nur einem Itron, nur einem ARINC vermeiden. Mehrere Anbieter, wo es kritisch ist. Die heutige Anodot-Neurahmung der ShinyHunters-Welle — die 119.000 Vimeo-Datensätze stammten über Anodot, nicht über Vimeo — verlängert das architektonische Salesforce-Muster von gestern die Lieferkette hinauf. Der Wirkungsradius eines Einbruchs bei einem Drittanbieter-SaaS potenziert sich mit jeder Schicht. Segmentierung der Integrationen je Organisation; minimal notwendiger Umfang für jede Integration; vierteljährliches Integrationsaudit. **Manuelle Rückfallverfahren vor Ort.** Für die Betriebstechnik gilt: manuelle Verfahren vorhalten, Operatoren darauf schulen, regelmäßig üben. Der sechzehnstündige Handbetrieb in Minot gelang, weil die Operatoren die Verfahren kannten; sie improvisierten nicht mitten in der Krise. **Quelloffene OT-Alternativen mit offener Firmware, wo ausgereift.** OpenPLC für Aufgaben speicherprogrammierbarer Steuerungen. Der Mosquitto MQTT Broker für industrielles Messaging. Apache PLC4X für die Abstraktion industrieller Protokolle. Quelloffene OPC-UA-SDKs für herstellerübergreifende Interoperabilität ohne Bindung an einen einzigen Anbieter. Reproduzierbare Builds. Überprüfbare Lieferkette. Für die Rockwell-SPS mit geschlossener Firmware, die AA26-097A als Ziel des IRGC-CEC benennt, gibt es strukturelle Alternativen. **Erhalt der Aufsichtskapazität.** Vom Senat bestätigte CISA-Leitung. Durchsetzung der NERC-CIP-Standards (CIP-003-9 seit 1. April in Kraft; CIP-015-2 in der Abstimmung vom 5. März angenommen, Genehmigung der FERC steht aus). Umsetzung von NIS2 in der EU. Cybersicherheitsbefugnisse der bundesstaatlichen Regulierungskommissionen. Wiedereinführung der EPA-Cybervorschrift für den Wassersektor. Der Rückzug Plankeys lässt die CISA ohne bestätigte Führung mitten im akutesten Cybersicherheitszyklus für kritische Infrastruktur seit Jahrzehnten — ein strukturelles Problem auf Seiten der Aufsicht, nicht auf Seiten der Technik. **Nutzerseitige Widerstandsfähigkeit.** Mehrere Versorger / mehrere Netzbetreiber, wo wirtschaftlich möglich. Satellitenanbindungen (inoffizielle Starlink-Antennen im Iran und im Sudan, von Reuters belegt) für den Fall von Abschaltungen. Mesh-Netze (Briar, Bridgefy, Meshtastic, Reticulum, GoTenna PRO) für zivile Notlagen. Der fünftägige vollständige Blackout in Tansania, der 518 Tote ermöglichte, ist der moralische Anker. Mesh und Satellit sind keine Paranoia; sie sind die dokumentierte architektonische Gegenwehr gegen staatlich verordnete Informationskontrolle in Zeiten staatlicher Gewalt. **Forensische Nachweisbarkeit auf der Geräteebene.** Mobilgeräte mit offener Firmware (GrapheneOS), bei denen das Verhalten von Caches und Benachrichtigungsdatenbanken für den Nutzer einsehbar ist. Die von Citizen Lab am 23. April dokumentierte „Ghost Operator“-Überwachung über SS7 / Diameter ist für das Mobile Verification Toolkit, iVerify und Lookout unsichtbar — aber die architektonische Haltung auf *Geräte*ebene (offene Firmware, für den Nutzer einsehbares Verhalten, FIDO2-Hardware-Authentifizierung, die eine Kompromittierung der SIM-Karte übersteht) schließt jene Angriffsfläche auf der Anwendungsebene, auf die Angriffe über SS7 / Diameter / SIMjacker / Pegasus / Graphite überbrücken. **Der nutzerkontrollierte Primitiv-Stack aus den Ausgaben 02 bis 04 — angewandt auf jeder Schicht des Abhängigkeitsstapels:** - **Offene Clients mit nutzereigenen Schlüsseln** auf der Nachrichtenebene (Signal, Tuta, Proton, Threema, Briar, Cwtch, Session, Matrix-Homeserver). Der Roblox-Vergleich mit den Generalstaatsanwälten zur Entfernung der Ende-zu-Ende-Verschlüsselung vom 21. April zeigt, dass selbst heute bestehende Ende-zu-Ende-Verschlüsselung regulatorisch abgenötigt werden kann. Quelloffene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine architektonische Angriffsfläche. - **Offene Firmware auf nutzerprüfbaren Chips** (GrapheneOS, CalyxOS, /e/OS, LineageOS, OpenWRT). Betriebssysteme mit geschlossener Firmware können Klartext in Caches schreiben, die der Nutzer nicht freigegeben hat. - **FIDO2-Hardware-Authentifizierung** (YubiKey, Nitrokey, SoloKey). An Hardware gebundene Anmeldedaten überstehen eine Kompromittierung der SIM-Karte. - **Zensurresistente Transporte** (Tor 15.0.10, V2Ray VLESS+Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy, URnetwork Peer-to-Peer). Staatlich angeordnete Plattformsperren berühren die Verschleierung auf Transportebene nicht. - **Datenschutzwahrende Kryptowährungen** (Bitcoin BIP324 + BIP352, Monero FCMP++, Zcash abgeschirmt). Geld mit Betreiber-Sperrliste ist Geld auf dem Betreiberpfad; Währungen in Nutzerverwahrung bieten diese Angriffsfläche nicht. - **Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung** (DeepSeek V4 Pro, Mistral Medium 3.5, Llama 3.3, Qwen 3, GPT-OSS, OpenAI Privacy Filter). Wo es kein Protokoll bei Dritten gibt, gibt es nichts zu beschlagnahmen. - **Föderierte Identität mit selektiver Offenlegung** (W3C VC v2.0, eIDAS 2.0 SD, BBS+, Privacy Pass, Apple Wallet mDL). Laden Sie Ihre Identität nicht zum Altersverifizierungsanbieter hoch. - **Selbst gehostete Dienste** (Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Nextcloud, Mautic, SuiteCRM, Moodle Community). Begrenzter Wirkungsradius gegenüber anbieterseitigen Kompromittierungen. Das Jahrzehnt 2014–2024 war eine langsame architektonische Verschiebung hin zur Ende-zu-Ende-Verschlüsselung als Verbraucherstandard. Die Umkehr von 2024 bis 2026 — die Entfernung der Ende-zu-Ende-Verschlüsselung bei Meta/Instagram am 8. Mai (freiwillig, unternehmensseitig); die Entfernung bei Roblox durch den Vergleich vom 21. April (von Generalstaatsanwälten erzwungen); die Wiederaufnahme des EU-CSAR-Trilogs am 4. Mai (institutioneller Zwang); die 67-tägige Abschaltung im Iran (staatlicher Zwang); der „Ghost Operator“ über SS7 / Diameter (forensische Kompromittierung) — verläuft ungleichmäßig, aber konsistent. Die architektonische Gegenwehr bleibt dieselbe: Schichtreduktion. Heute (5. Mai) die Klage Pennsylvania gegen Character.AI wegen Vortäuschung medizinischer Kompetenz. Heute die Absage der RightsCon in Lusaka auf Druck der Volksrepublik China. Heute 76 % Smartphone-Risiko laut Innenrevision des Heimatschutzministeriums. Heute die offizielle Stellungnahme von Cushman & Wakefield. Heute die Anodot-Neurahmung. Heute das Schweigen von Instructure. Morgen (6. Mai) läuft die Instructure-Frist ab. Morgen läuft die Frist für Cushman & Wakefield ab. Morgen die CISA-Fristen des Bundes für Patches zu mehreren KEV-CVEs. Die Uhren, die in dieser Woche laufen — die doppelte Lösegeldfrist am 6. Mai; der föderale BlueHammer-Patch am 7. Mai; die Entfernung der Ende-zu-Ende-Verschlüsselung bei Meta/Instagram am 8. Mai; das Trail-of-Bits-Audit zu Monero FCMP++ vom 11. bis 22. Mai; die Fairness-Anhörung in Bartz und der Bewerbungsschluss für PSP beim digitalen Euro am 14. Mai; die FISC-Freigabe am 15. Mai; die Durchsetzbarkeit des TAKE IT DOWN Act am 19. Mai; das Auslaufen von Section 702 am 12. Juni; die mexikanische CURP Biométrica am 30. Juni; die Declared Age Range API von Apple am 1. Juli; GPAI nach der EU-KI-Verordnung am 2. August; die 24-Stunden-Offenlegung nach dem EU Cyber Resilience Act am 11. September; das Auslaufen von FIPS 140-2 am 21. September; die EUDI-Wallet am 24. Dezember — sind Uhren der Politik und der Protokolle. Sie laufen weiter. Der nutzerseitige Primitiv-Stack hängt nicht davon ab, wie sie ausgehen. Schichtreduktion. Weniger Anbieter. Weniger aus dem Internet erreichbare OT-Systeme. Weniger Aggregatoren mit einzelnem Ausfallpunkt. Die Aufsicht erhalten. Den Stack ausrollen. Architektonische Reduktion auf jeder Schicht. Der Abhängigkeitsstapel ist das Muster. Schichtreduktion ist die Antwort.

Comics

#1Der Abhängigkeitsstapel
#2Schichtreduktion