URnetwork
•••

Notizen zur Privatsphäre im Internet

Beiträge und Forschung vom URnetwork-Team und der Community.

RSS
Nachrichten / AnalyseRussiaPakistanBelarusCanadaUnited KingdomUnited StatesMexico

Das Fenster vom 12. Mai

Am Dienstag, 12. Mai 2026, laufen vier voneinander unabhängige Uhren am selben Tag ab. Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März zur Praxis der FBI-Abfragen unter Section 702 muss per Gerichtsbeschluss bis zu diesem Datum öffentlich werden. Der Microsoft-Patch-Tuesday fällt in das, was der Tracker von Zecurit das „letzte komfortable Zeitfenster für den Rollout“ vor dem Ablauf des Secure-Boot-Zertifikats am 26. Juni nennt. Die neue Lösegeldfrist von ShinyHunters für Instructure endet mit Ablauf des Tages — eine Zahlungsverweigerung würde einen 3,65 Terabyte großen Datenbestand freigeben, der rund 275 Millionen Datensätze und 8.809 Bildungseinrichtungen umfasst, und damit das, was Wikipedia-Tracker inzwischen als den größten dokumentierten Sicherheitsvorfall im Bildungssektor bezeichnen. Die Erpressungsfrist von Qilin für Sysco, den weltgrößten Belieferer von Restaurants, Krankenhäusern und Schulen mit Lebensmitteln, läuft am selben Tag ab. Heute ist der 9. Mai, T minus drei. Die Notfallfrist der Cybersecurity and Infrastructure Security Agency aus dem Katalog der bekannten ausgenutzten Schwachstellen für Palo Alto PAN-OS CVE-2026-0300 — eine mit CVSSv4 9.3 bewertete, nicht authentifizierte Remote-Code-Ausführung mit Root-Rechten im User-ID Captive Portal — fällt auf heute, vier Tage vor dem für den 13. Mai geplanten Fix des Herstellers. Die Bundesbehörden der zivilen Exekutive fahren auf ihren zum Internet hin exponierten Firewalls reine Konfigurationsmaßnahmen, in der aggressivsten Taktung von KEV-Fristen in der Geschichte der CISA. Der Chef von Memento Labs, Paolo Lezzi, hat heute öffentlich eingeräumt — in der von Tech Generation wieder aufgegriffenen ForumTroll/Dante-Offenlegung von Kaspersky vom 28. Oktober 2025 —, dass die kommerzielle Spyware Dante das Produkt seines Unternehmens ist, und dafür einen „unachtsamen staatlichen Kunden, der eine alte Version einsetzt“ verantwortlich gemacht. Der 120-tägige Blackout im Iran hat sich zu „Internet Pro“ verfestigt — einem Kastensystem aus SIM-Karten auf Whitelist-Basis, das der Bericht „Infrastructure of Silence“ von Iran HRM mit 35,7 Millionen US-Dollar pro Tag und kumuliert rund 5,2 Milliarden US-Dollar beziffert. Russland hat vor dem Tag des Sieges Mobilfunkabschaltungen über mehr als 21 Regionen ausgerollt; in den betroffenen Oblasten fallen Geldautomaten aus; das russische Gesetz vom 15. April verpflichtet Provider zur VPN-Erkennung. Der sudanesische Anbieter MTN hat am 5. Mai wegen Treibstoff- und Strommangel sämtliche Relaisstationen in Khartum abgeschaltet; Khartum ist auf der Betreiberebene dunkel. Die pakistanische NCCIA Punjab hat seit dem 7. Mai unter den neuen PECA-Änderungen 41 Verfahren eingeleitet und 13 Personen festgenommen. RSF hat am 6. Mai die geheime Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou offengelegt, wo er mit Baumzweigen geschlagen wurde. Dienstag ist die Frist. Der nutzerkontrollierte Primitiv-Stack ist die Antwort, die an jedem Tag läuft.

URnetwork-RedaktionSan Francisco — 9. Mai 2026

Dienstag

Am Dienstag, 12. Mai 2026, laufen vier voneinander unabhängige Uhren am selben Tag ab.

Die erste ist ein Gerichtsbeschluss. Am 17. März 2026 erließ das Foreign Intelligence Surveillance Court — dasselbe Gericht, das fünfzehn Jahre lang die rechtliche Aufsicht über die FBI-Überwachung nach Section 702 des Foreign Intelligence Surveillance Act innehatte — eine Entscheidung zur Abfragepraxis der Behörde. Nach der von Senator Wyden am 27. April öffentlich gemachten Darstellung muss die Entscheidung per Gerichtsbeschluss bis zum 12. Mai veröffentlicht werden. Die Frist beträgt sechzig Tage. Dienstag ist Tag sechzig. Die Entscheidung wird vor der Veröffentlichung geschwärzt, doch über die Schwärzungen selbst entscheidet das FISC, nicht die Exekutive.

Die zweite ist ein Patch-Zyklus. Der Microsoft-Patch-Tuesday — die Auslieferung der kumulativen Sicherheitsupdates am 12. Mai — fällt in das, was der Schwachstellen-Tracker von Zecurit das „letzte komfortable Zeitfenster für den Rollout“ vor dem Ablauf des seit Langem etablierten Microsoft-Secure-Boot-UEFI-Zertifikats am 26. Juni 2026 nennt; dieses Zertifikat sichert seit 2012 die Boot-Integrität von Milliarden Windows-Installationen ab. Das Secure-Boot-Zertifikat ist kein Softwarefehler. Es ist der kryptografische Vertrauensanker für hardwareverankerte Boot-Integrität. Sein Austausch erfordert Eingriffe auf Firmware-Ebene bei Hunderten Millionen Geräten, und das operative Zeitfenster vor dem 26. Juni ist von den IT-Abteilungen zunehmend zusammengedrückt worden, weil sich das Zertifikatsaustauschprojekt durch das erste Quartal hindurch bis ins zweite geschoben hat.

Die dritte ist eine Lösegeldfrist. Am 8. Mai 2026 setzte die Erpressergruppe ShinyHunters für Instructure, den Betreiber von Canvas, eine neue Frist bis zum Ende des 12. Mai — Canvas ist die Lernplattform, die von 8.809 Einrichtungen weltweit genutzt wird und laut dem Tracker von Wikipedia den größten dokumentierten Sicherheitsvorfall im Bildungssektor darstellt. Der behauptete Datenbestand: 3,65 Terabyte, rund 275 Millionen Datensätze, darunter private Nachrichten zwischen Schülern und Lehrkräften, Noten und Verhaltensakten. Die Verunstaltung von rund 330 Canvas-Login-Seiten am 6. und 7. Mai — über den Free-For-Teacher-Vektor — war der Zugangsnachweis. Instructure hat mit Stand 9. Mai nicht gezahlt.

Die vierte ist ebenfalls eine Lösegeldfrist. Am 6. Mai 2026 stellte die Ransomware-Gruppe Qilin Sysco — den weltgrößten Großhändler für Gastronomiebedarf, der Restaurants, Krankenhäuser, Schulen, Gefängnisse und Militärstützpunkte beliefert — mit einer Frist zum 12. Mai auf ihre Leak-Seite. Sysco setzt jährlich rund 77 Milliarden US-Dollar um und betreibt die Kühlkette der Gemeinschaftsverpflegung für etwa fünfzehn Prozent des institutionellen Lebensmittelmarkts der USA. Interne Dokumente waren als Beleg angehängt.

Das sind nicht vier zusammenhängende Ereignisse. Es sind vier zusammenhanglose Ereignisse, die auf demselben Dienstag angekommen sind.

Heute

Heute ist Samstag, der 9. Mai 2026. Der Cybersicherheitskalender des Bundes hat für heute eine eigene Frist.

Am 6. Mai 2026 nahm die Cybersecurity and Infrastructure Security Agency Palo Alto PAN-OS CVE-2026-0300 in den Katalog der bekannten ausgenutzten Schwachstellen auf. Die Lücke — ein nicht authentifizierter Pufferüberlauf in User-ID / Captive Portal mit einem CVSSv4-Wert von 9.3 — erlaubt Remote-Code-Ausführung mit Root-Rechten auf Firewall-Hardware der PA-Serie und der VM-Serie. Die Frist der CISA-Direktive Binding Operational Directive 22-01, bis zu der die Bundesbehörden der zivilen Exekutive die Lücke schließen müssen, ist heute, der 9. Mai.

Der Hersteller-Fix von Palo Alto ist für den 13. Mai geplant. Die CISA-Frist liegt vier Tage vor dem Hersteller-Fix.

Es ist die aggressivste Frist aus dem Katalog der bekannten ausgenutzten Schwachstellen, die die CISA in der vierjährigen Geschichte des Programms BOD 22-01 gesetzt hat. Die operative Konsequenz: Die FCEB-Behörden können keinen Patch einspielen. Sie müssen bis Samstag reine Konfigurationsmaßnahmen ausrollen — die Komponente User-ID oder die Funktion Captive Portal abschalten, den Verwaltungszugang auf nicht mit dem Internet verbundene Netze beschränken oder die Firewall ganz aus dem Perimeter nehmen — und zwar auf zum Internet hin exponierten Edge-Firewalls. Über die zivile Bundesexekutive hinweg sind das mindestens mehrere Hundert namentlich erfasste Appliances. Die Schadensbegrenzung liegt bei der Regulierungsbehörde, der Patch beim Hersteller; der Nutzer — in diesem Fall der IT-Betrieb des Bundes — steht dazwischen.

Am 8. Mai 2026 nahm die CISA einen zweiten Eintrag auf. Ivanti Endpoint Manager Mobile CVE-2026-6973 — authentifizierte administrative Remote-Code-Ausführung, CVSS 7.2, laut der Berichterstattung von Help Net Security in „sehr begrenzten“ Umgebungen ausgenutzt — hat eine FCEB-Frist zum 10. Mai (Sonntag).

Das Muster sind zwei aggressive KEV-Fristen binnen 48 Stunden.

Der Diameter-Downgrade

Heute ist außerdem ein Tag der kommerziellen Spyware.

In der heute veröffentlichten Wiederaufnahme der ForumTroll-APT-Offenlegung von Kaspersky vom 28. Oktober 2025 durch Tech Generation räumt der Chef von Memento Labs, Paolo Lezzi, öffentlich ein, dass die im Securelist-Beitrag genannte kommerzielle Spyware Dante das Produkt seines Unternehmens ist. Er macht dafür „einen unachtsamen staatlichen Kunden, der eine alte Version einsetzt“ verantwortlich. Die in Securelist identifizierten Ziele des Chrome-Zero-Days lagen in Russland und Belarus. Memento Labs, der italienische Spyware-Anbieter, der früher als Hacking Team und später als RCS Lab firmierte, reiht sich damit in die Liste der öffentlich benannten Spyware-Anbieter ein: NSO Group, Paragon Solutions, Intellexa, Variston (2025 abgewickelt), Memento Labs.

Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April 2026 benannte zwei parallel laufende Kampagnen. STA1 — die Bezeichnung des Teams für einen staatsnahen Akteur — fährt einen Downgrade-Angriff von Diameter auf SS7 über den Missbrauch des Verfahrens „combined attach“, gibt sich dabei in neun Ländern als fremder Netzbetreiber aus und tritt so als „Ghost Operator“ in den Sitzungen der Opfer auf. STA2 — die Bezeichnung des Teams für einen separaten Akteur — fährt SIMjacker-Zero-Click-Angriffe per SMS über das S@T-Browser-Applet (SIM Application Toolkit), das noch auf Millionen älterer SIM-Karten vorhanden ist. Citizen Lab beschreibt die kombinierte Kampagne als „wahrscheinlich Tausende von Geräten betreffend“. Am 3. Mai berichtete Haaretz, dass mehrere israelische Telekommunikationsanbieter zu den von STA1 imitierten Betreibern gehörten. Das Mobile Verification Toolkit, iVerify und Lookout — die drei wichtigsten forensischen Werkzeuge, die investigativen Journalisten und gefährdeten Nutzern zur Verfügung stehen — können Angriffe auf der Diameter- oder der SS7-Ebene nicht erkennen. Sie erkennen Kompromittierungen auf dem Gerät. STA1 und STA2 sind Kompromittierungen auf der Betreiberseite.

Am 28. April 2026 berichtete TechCrunch, dass Paragon Solutions — inzwischen unter einem Vertrag über 2 Millionen US-Dollar operativ in die Einwanderungsbehörde Immigration and Customs Enforcement eingebunden — nach einem Jahr das förmliche Auskunftsersuchen der italienischen Staatsanwaltschaft zum Einsatz der Spyware Graphite gegen die bestätigten Opfer, den Journalisten Francesco Cancellato sowie Luca Casarini und Giuseppe Caccia, noch immer nicht beantwortet hat. Das förmliche Ersuchen lief auf dem üblichen Weg der Rechtshilfe über die israelische Regierung.

Am 24. April 2026 führte Senator Ron Wyden 30 Abgeordnete in einem Aufsichtsschreiben zu kommerzieller Spyware an. Das Schreiben ist unbeantwortet geblieben.

Die kommerzielle Spyware-Industrie ist nicht „vereinnahmt“. Sie ist integriert.

Das Mobilfunkland

Die Mobilfunkebene ist die wichtigste Kontrollfläche des Staates in Rechtsordnungen ohne Alternative zum Netzbetreiber.

Der 120-tägige Internet-Blackout im Iran hat sich zu „Internet Pro“ verfestigt. Der Bericht „Infrastructure of Silence“ des Iran Human Rights Monitor vom 9. Mai dokumentiert die Politik dahinter: SIM-Karten der Stufe 2 (der Standard) verlieren den Zugang zum globalen Internet vollständig; SIM-Karten der Stufe 1 — „Internet Pro“, ausgegeben von Tasnim und drei weiteren staatsnahen Telekommunikationsanbietern gegen Vorlage eines nationalen Ausweises, von Geschäftsunterlagen und einer schriftlichen Zweckangabe — sind auf eine Teilmenge freigegebener Seiten beschränkt, darunter Staatsmedien und Behördendienste. Die angegebenen Kosten belaufen sich auf 35,7 Millionen US-Dollar pro Tag an entgangener digitaler Wirtschaftsleistung. Der kumulierte Verlust seit dem Beginn des Blackouts am 30. Januar 2026 beträgt rund 5,2 Milliarden US-Dollar. Die Whitelist selbst wird von einem nationalen Filterkomitee verwaltet, dessen Zusammensetzung nicht öffentlich ist. Anfang Mai bei Access Now eingereichte Berichte beschreiben Wartezeiten von drei bis vier Stunden vor den SIM-Umstellungsstellen in Teheran und Maschhad.

Russland hat vom 4. bis 9. Mai vor dem Tag des Sieges Mobilfunkabschaltungen über mehr als 21 Regionen ausgerollt. Roskomnadsor begründete dies mit der Abwehr von Drohnenangriffen — Mobilfunknetze können zur Steuerung bodengestützter FPV-Drohnen genutzt werden. Reuters, Meduza und das Russland-Büro von Al Jazeera haben berichtet, dass Geldautomaten in den betroffenen Regionen ausfallen, weil sie auf Mobilfunk-Backhaul angewiesen sind. Das russische Gesetz vom 15. April 2026, das alle Provider und Mobilfunkanbieter zur VPN-Erkennung auf Netzwerkebene verpflichtet, aktiviert formal die staatliche Durchsetzung der Haltung „Netzbetreiber als Perimeter“.

Am 5. Mai 2026 schaltete MTN Sudan wegen Treibstoff- und Strommangel sämtliche Relaisstationen in Khartum ab. Internet Society Pulse meldet Khartum auf der Ebene des Betreiberfunks als ausgefallen. Die Abschaltungen fallen mit dem Prüfungsfenster der Sekundarschulen zusammen.

In Pakistan hat die National Cybercrime and Cyber-Investigation Agency Punjab in der Woche bis zum 7. Mai gegen 41 Journalisten, Blogger und Aktivisten Verfahren eingeleitet und 13 von ihnen festgenommen, gestützt auf Änderungen des Prevention of Electronic Crimes Act. Der Bericht der Pakistan Press Foundation vom 5. Mai verzeichnet 233 Vorfälle gegen die Pressefreiheit von Januar 2025 bis April 2026.

Die Enthüllung von Reporter ohne Grenzen vom 6. Mai dokumentierte die geheime Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er nach übereinstimmenden Recherchen von Le Monde, der Washington Post und Africanews über Wochen hinweg mit Baumzweigen geschlagen wurde.

Das architektonische Muster ist in jedem dieser Länder dasselbe: Für gewöhnliche Einwohner gibt es keine architektonische Alternative zur Netzbetreiberebene. Der Staat kontrolliert den Funk. Der Staat kontrolliert die SIM-Karte. Der Staat kontrolliert die Middlebox zur VPN-Erkennung. Der Nutzer hat keinen Rückfallweg, sofern er nicht über einen verfügt, der architektonisch vom Netzbetreiber getrennt ist.

Bildung

Der Vorfall bei Canvas / Instructure ist der größte jemals öffentlich bekannt gewordene Sicherheitsvorfall im Bildungssektor.

Die Zahlen aus der ShinyHunters-Teilveröffentlichung vom 8. Mai: 3,65 Terabyte, rund 275 Millionen Datensätze, 8.809 Einrichtungen. Die Gruppe ShinyHunters — dieselbe Gruppe, die die seit April der Vektorkette nach dem Salesforce-Einbruch zugerechnete Erpressungswelle gegen Drittanbieter-SaaS-Aggregatoren fährt — verunstaltete am 6. und 7. Mai die Login-Seiten von rund 330 Canvas-Instanzen; das war die Zurschaustellung des Zugangsnachweises. Brian Fung von CNN berichtete am 7. Mai um 13:20 Uhr PDT als Erster öffentlich über die Defacements, nachdem eine Studentin in Mississippi einen Screenshot einer Canvas-Anmeldeseite auf TikTok gestellt hatte, auf der in roter Arial stand: "Mr. Cannon, sorry for the inconvenience this caused, but our offer is fair. — ShinyHunters." — auf Deutsch: „Mr. Cannon, entschuldigen Sie die dadurch verursachten Unannehmlichkeiten, aber unser Angebot ist fair. — ShinyHunters.“

Bis zum 8. Mai war der Umfang des offengelegten Datenbestands von KrebsOnSecurity bestätigt. Krebs überprüfte die Zahl der Einrichtungen, indem er das Dateiverzeichnis von ShinyHunters gegen die veröffentlichte Kundenliste von Instructure abglich, und fand 8.809 verschiedene institutionelle Kennungen — darunter das gesamte System der University of California, Cornell, Brown, Stanford, das MIT (das Canvas für übergreifend gelistete Outreach-Programme im K-12-Bereich nutzt) und rund fünfundsiebzig Prozent der namentlich erfassten öffentlichen K-12-Schulbezirke in Kalifornien, Texas, Florida und New York. Die Aufschlüsselung des TIME Magazine vom 8. Mai hielt fest: „Pro Einrichtung legt der Vorfall private Nachrichten zwischen Schülern und Lehrkräften, Notenverläufe, Verhaltensakten sowie Vermerke zu Nachteilsausgleichen nach IEP / 504 offen.“

Die neue Frist, die ShinyHunters gesetzt hat, endet mit Ablauf des 12. Mai. Instructure hat mit Stand 9. Mai nicht gezahlt. Die Taktung — verstrichene Frist am 6. Mai, Defacement am 7. Mai, Veröffentlichung des Datenbestands am 8. Mai, neue Frist am 12. Mai — ist das Drehbuch, das ShinyHunters seit Ende April bei Cushman & Wakefield (Gewerbeimmobilien), Pitney Bowes (Postlogistik), Canada Life (Versicherungen), Carnival (Kreuzfahrt), Zara (Bekleidung), 7-Eleven (Einzelhandel), Mytheresa (Luxus) und Hallmark (Konsumgüter) durchgezogen hat.

Sysco

Am 6. Mai 2026 listete die Ransomware-Gruppe Qilin — dieselbe Gruppe, deren Welle 2024/2025 Synnovis, den NHS London und Change Healthcare traf — Sysco mit einer Lösegeldfrist zum 12. Mai auf ihrer Leak-Seite.

Sysco ist der weltgrößte Großhändler für Gastronomiebedarf: rund 77 Milliarden US-Dollar Jahresumsatz, Niederlassungen in 90 Ländern, die Kühlkette der Gemeinschaftsverpflegung für Restaurants, Hotels, Krankenhäuser, K-12-Schulmensen, Hochschulgastronomie, Gefängniskantinen und die Truppenverpflegung des US-Militärs. Etwa fünfzehn Prozent des institutionellen Lebensmittelmarkts der USA hängen an der Logistik von Sysco. Zu den internen Dokumenten, die Qilin als Beleg anhängte, gehören Lieferpläne und Unterlagen zu Lieferantenbeziehungen.

Qilin hat am 8. und 9. Mai weitergemacht: Imex International (ägyptische Schifffahrt), Exco Technologies (kanadische Automobilfertigung), CAD-IT UK (Industrietechnik), DL Cohen Construction (US-Bauwirtschaft) und am 9. Mai Lindabury (Anwaltskanzlei in New Jersey).

Die Gruppe Akira ließ am 7. Mai eine parallele Opferliste folgen: Grau GmbH (Handel und Fertigung, Hamburg), Elia Law Firm APC (San Diego), Punch & Associates Investment Management (US-Vermögensverwaltung), Réseau Radiologique Romand (Schweizer Radiologienetz), Clinical Registry Solutions (US-Gesundheitsdatendienste) und Pipestone (US-Landwirtschaft).

Die Erpressergruppe PEAR — ein im Fenster vom 6. bis 9. Mai neuer Name — tauchte laut HIPAA Journal in vier Offenlegungen aus dem Gesundheitssektor auf: Western Orthopaedics (Colorado), Community Health Systems (Kalifornien), Tri-Cities Gastroenterology (Tennessee) und Integrated Pain Associates (Texas).

Die iranische staatsnahe Bedrohungsgruppe MuddyWater (dem Geheimdienstministerium MOIS zugerechnet) fährt laut SecurityWeek eine Kampagne, die sich als „Chaos Ransomware“ tarnt — sie nutzt Social Engineering über Microsoft Teams für den Erstzugang und spielt anschließend etwas aus, das dem Opfer wie kriminelle Ransomware erscheint. Der Zweck ist glaubhafte Abstreitbarkeit: Das Opfer sieht Ransomware, der Akteur erhält nachrichtendienstlichen Zugang.

Die Taktung der Ransomware-Ökonomie hat sich nicht verlangsamt.

Dirty Frag

Am 7. Mai 2026 veröffentlichte der Sicherheitsforscher Hyunwoo Kim eine Proof-of-Concept-Exploit-Kette namens „Dirty Frag“, die CVE-2026-43284 (ein Use-after-free im xfrm-ESP-Pfad des Linux-Kernels) und CVE-2026-43500 (ein Logikfehler in der RxRPC-Implementierung) zu einer Rechteausweitung von unprivilegiert auf root mit einem einzigen Befehl auf Linux-Kerneln 6.4 bis 6.11 verkettet. Die Kette betrifft Ubuntu, Red Hat Enterprise Linux, CentOS Stream, AlmaLinux, openSUSE Tumbleweed und Fedora. Sie läuft auf handelsüblicher Hardware in rund zwei Sekunden durch.

Am 8. Mai bestätigte der Microsoft Security Blog die Ausnutzung in freier Wildbahn. Die Beschreibung der Erkennung: „begrenzte Aktivität in freier Wildbahn unter Verwendung des Befehls su nach der initialen Root-Erlangung durch Dirty Frag“. Das Signal von Microsoft ist bedeutsam, weil Microsoft kein Linux-Anbieter ist; die Erkennung stammt aus der Telemetrie von Microsoft Defender for Endpoint auf Linux-Servern in Unternehmensumgebungen, in denen der Agent ausgerollt ist.

Der Mythos „Linux ist sicher“ war bereits durch die RxRPC-Kompromittierung vom 23. April (dasselbe Subsystem) und die glibc-Exploit-Kette PaperHexagon vom Februar geschwächt. Dirty Frag ist die zweite universelle Linux-Root-Kette, die binnen 90 Tagen offengelegt wurde.

Die architektonische Lehre: Privilegiengrenzen auf Kernel-Ebene sind eine Härteannahme, keine Garantie. Sandboxing allein im Userspace (Container, seccomp, AppArmor, SELinux) ist die nutzerseitige Antwort, aber nur, wenn es angewendet wird — die meisten produktiv laufenden Linux-Server arbeiten aus Gründen der Betriebseinfachheit mit Root-Rechten.

Vereinnahmung unter anderem Namen

Am 4. Mai 2026 reichte die Federal Trade Commission ihren abschließenden Vergleich mit Kochava ein — dem Datenhändler aus Idaho, der fünf Jahre lang der Präzedenzfall dafür war, ob die FTC den Verkauf von Standortdaten unter die Befugnis aus Section 5 gegen unlautere oder irreführende Praktiken bringen kann. Der Vergleich: dauerhafte Untersagung des Verkaufs von Standortdaten sensibler Kategorien durch Kochava. Keine Geldbuße. Die Befugnis der FTC, eine Gewinnabschöpfung zu verlangen, wurde in diesem Fall nicht ausgeübt.

Am 7. Mai 2026 erzielten der Rat der Europäischen Union und das Europäische Parlament eine vorläufige Einigung über den „Digital Omnibus“ — ein Paket von Änderungen an der KI-Verordnung der EU. Der Omnibus verschiebt die Frist für die Pflichten bei Hochrisikosystemen vom 2. August 2026 auf den 2. Dezember 2027 und die Frist für die Pflichten bei KI-Modellen mit allgemeinem Verwendungszweck auf den 2. August 2028. Das Parlament fügte gegen den Widerspruch der Kommission — und weitgehend als Reaktion auf die Grok-Deepfake-Kontroverse des ausgehenden Winters — erstmals ein Verbot von KI-Nudifier-Anwendungen auf Ebene des EU-Rechts ein, mit Geltungsbeginn zum 2. Dezember 2026.

Am 4. Mai 2026 fiel im dritten Trilog zur EU-Verordnung CSAR / Chatkontrolle unter dänischer Ratspräsidentschaft die Pflicht zum clientseitigen Scannen, die die umstrittenste Bestimmung der Verordnung gewesen war. Der vierte Trilog ist für den 11. Mai 2026 angesetzt. Nach der Einschätzung der EFF verlangt die Verordnung in ihrer jetzigen Fassung nur noch die freiwillige Erkennung von Missbrauchsmaterial auf nicht Ende-zu-Ende-verschlüsselten Kanälen, wobei jede aktive Prüfung einer richterlichen Anordnung bedarf.

Im Oktober 2025 reduzierte die US-Bundesbezirksrichterin Phyllis Hamilton den Strafschadensersatz im Verfahren WhatsApp gegen NSO von 167,2 Millionen US-Dollar auf rund 4 Millionen US-Dollar und verwies dabei auf eine Obergrenze im Verhältnis 9:1. Das Verfahren liegt inzwischen in der Berufungsinstanz beim Ninth Circuit. Die NSO Group wird nun von einer US-Investorengruppe kontrolliert, mit dem früheren Trump-Botschafter David Friedman als Executive Chairman; im Transparenzbericht vom Januar 2026 fehlten die Zahlen zu gekündigten Kundenbeziehungen. Im Dezember 2025 strich das Finanzministerium still und leise drei Intellexa-Einträge von der Liste der Specially Designated Nationals.

Das Muster über diese fünf getrennten Vorgänge hinweg ist dasselbe. Die regulatorische Durchsetzung weicht genau an den Punkten auf, an denen sie den genannten Akteuren operative Kosten auferlegen würde. Die Pflichten der KI-Verordnung für Hochrisikosysteme verschieben sich um sechzehn Monate. Das verpflichtende clientseitige Scannen der Chatkontrolle fällt weg. Kochava wird untersagt, aber nicht mit einer Geldbuße belegt. Der Strafschadensersatz gegen NSO wird um das 40-Fache gesenkt. Die Intellexa-SDN-Einträge werden gestrichen.

Zugleich verschärft sich der regulatorische Zwang auf der Nutzerseite — die Declared Age Range API von Apple seit dem 6. Mai in Utah und ab dem 1. Juli in Louisiana in Kraft; die Frist der mexikanischen CURP Biométrica zum 30. Juni, die rund 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris bindet; die Plattform-Compliance nach dem TAKE IT DOWN Act zum 19. Mai; Section 702 in seiner zweiten kurzfristigen Verlängerung; der Vertrag über 12,2 Millionen US-Dollar mit Edge Ops LLC für das ICE-Projekt SAFE HAVEN.

Der ausgesetzte Flicken liegt auf der Betreiberseite. Der verschärfte Zwang liegt auf der Nutzerseite. Die Asymmetrie ist der Artikel.

Die Nutzerseite

Die architektonische Antwort auf das Fenster vom 12. Mai ist der nutzerkontrollierte Primitiv-Stack. Die Primitive hängen nicht davon ab, wie der 12. Mai ausgeht.

Offene Clients mit nutzereigenen Schlüsseln auf der Nachrichtenebene. Die Signal Foundation pflegt weiterhin die Implementierung des Signal-Protokolls; Tuta, Proton und Threema betreiben unabhängige Ende-zu-Ende-Verschlüsselung; Briar, Cwtch und Session betreiben vertrauensfreie Varianten; Matrix-Homeserver erlauben föderiertes Self-Hosting. Der Roblox-Vergleich mit den Generalstaatsanwälten der Bundesstaaten über 35,8 Millionen US-Dollar vom 21. April hat gezeigt, dass selbst bestehende Ende-zu-Ende-Verschlüsselung einer großen Plattform regulatorisch abgenötigt werden kann. Offene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine Angriffsfläche. Briar 1.5.17, veröffentlicht am 12. März, läuft über Bluetooth, WLAN und Tor; es funktioniert während Netzabschaltungen, weil es zur Weiterleitung von Nachrichten nicht auf die Netzbetreiberebene angewiesen ist.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS, CalyxOS, /e/OS, LineageOS, OpenWRT. Die von iVerify, Lookout und Google TAG am 18. und 19. März dokumentierte iOS-Angriffskette DarkSword ließ schätzungsweise 220 bis 270 Millionen iPhones auf exponierten iOS-Versionen (18.4 bis 18.6.2) zurück. Mobilgeräte mit offener Firmware machen das Verhalten von Caches und Benachrichtigungsdatenbanken für den Nutzer einsehbar; Betriebssysteme mit geschlossener Firmware tun das nicht.

FIDO2-Hardware-Authentifizierung. YubiKey, Nitrokey, SoloKey. Am 4. Mai hat OpenAI Passkeys und Hardware-Schlüssel zu ChatGPT hinzugefügt — mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano für rund 68 US-Dollar. Yubico hat insgesamt mehr als 30 Millionen YubiKeys ausgeliefert. An Hardware gebundene Anmeldedaten überstehen eine Kompromittierung der SIM-Karte; SS7-/Diameter-Ghost-Operator-Angriffe wie STA1 setzen sich nicht auf mit Hardware-Schlüsseln geschützte Konten fort, weil der zweite Faktor nicht auf der SIM-Karte liegt.

Zensurresistente Transporte. Tor 15.0.10, V2Ray VLESS+Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy, URnetwork Peer-to-Peer. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport damit von der Netzbetreiberebene zu abstrahieren. Staatlich angeordnete Plattformsperren berühren die Verschleierung auf Transportebene nicht. Die Stufe „Internet Pro“ im Iran und das russische VPN-Erkennungsgesetz vom 15. April sind das Bedrohungsmodell.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; der überwiegende Teil des weltweiten BTC-P2P-Verkehrs ist inzwischen verschlüsselt) und BIP352 Silent Payments (Empfang und Versand ab Core 28.0; BIP376 und BIP392 kamen 2026 hinzu; Nunchuk hat SP-Unterstützung ergänzt). Monero steckt in der aktiven Integration von FCMP++; das Audit von Trail of Bits läuft vom 11. bis zum 22. Mai und ersetzt Ringsignaturen durch Full-Chain Membership Proofs, deren Anonymitätsmenge der gesamte UTXO-Satz ist. Zcash Crosslink Milestone 4 hat Feature-Netze gestartet; der abgeschirmte Pool steht auf dem Allzeithoch von 5.030.093 ZEC (rund 30 Prozent des Umlaufs). Geld mit Betreiber-Sperrliste ist Geld auf dem Betreiberpfad; Währungen in Nutzerverwahrung bieten diese Angriffsfläche nicht.

Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter / 49 Milliarden aktiv, Kontextfenster von 1 Million Token, 27 Prozent der FLOPs pro Einzeltoken gegenüber V3.2 bei 1M Kontext); Mistral Medium 3.5 (29. April, 77,6 Prozent SWE-Bench Verified); Llama 4 Scout; Gemma 4; Qwen 3.6; Kimi K2.6; GLM-5.1; OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Mrd. Parameter insgesamt / 50 Mio. aktiv, im Browser lauffähig über transformers.js + WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts zu beschlagnahmen. Die am 5. Januar von Richter Sidney Stein erlassene Herausgabeanordnung über 20 Millionen Protokolle im Verfahren OpenAI gegen die New York Times ist das Bedrohungsmodell.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Status „Recommendation“ seit Mai 2025; 7 Spezifikationen); eIDAS 2.0 mit BBS+-basierter selektiver Offenlegung (Finalisierung bei der IETF läuft); Privacy Pass; die W3C-VC-Arbeitsgruppe arbeitet unter einem neuen Mandat vom April 2026, das den Empfehlungsstatus für Render Method und Confidence Method im September 2026 anstrebt. Die mexikanische CURP Biométrica ist das Bedrohungsmodell: keine Identität in das zentrale staatliche Biometrieregister hochladen.

Selbst gehostete Dienste. Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Nextcloud, Mautic, SuiteCRM, Moodle Community, Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Der Wirkungsradius von 8.809 Einrichtungen bei Canvas / Instructure ist das Bedrohungsmodell.

Mesh und Satellit auf der Netzbetreiberebene. Briar; Bridgefy; Meshtastic; Reticulum; GoTenna PRO; Starlink. Die Stufe „Internet Pro“ im Iran und der Stromausfall an den Funkmasten in Khartum sind das Bedrohungsmodell. Der Befund der Untersuchungskommission zu 518 Toten in Tansania vom 23. April 2026 ist der moralische Anker — wenn eine Abschaltung staatliche Gewalt ermöglicht, zählt die vom Netzbetreiber unabhängige Ebene.

Die laufenden Uhren

| Datum | Ereignis | |---|---| | 9. Mai, heute | CISA-FCEB-Frist für PAN-OS CVE-2026-0300 (4 Tage vor dem Hersteller-Fix) | | 10. Mai | CISA-FCEB-Frist für Ivanti EPMM CVE-2026-6973 | | 11. Mai | EU-Chatkontrolle, Trilog 4; Beginn des Trail-of-Bits-Audits zu Monero FCMP++ | | 12. Mai | FISC-Entscheidung vom 17. März per Gerichtsbeschluss öffentlich; Microsoft-Patch-Tuesday; Lösegeldfrist Canvas / Instructure; Lösegeldfrist Sysco / Qilin | | 13. Mai | Hersteller-Fix für Palo Alto PAN-OS | | 14. Mai | Fairness-Anhörung in Bartz gegen Anthropic (1,5 Mrd. $); Bewerbungsschluss für PSP beim digitalen Euro | | 19. Mai | Plattform-Compliance nach dem TAKE IT DOWN Act | | 22. Mai | Ende des Trail-of-Bits-Audits zu Monero FCMP++ | | 26. Mai | Ende der Ofcom-Konsultation zur Altersverifikation nach dem UK Online Safety Act | | 27. Mai | Hauptversammlung von Meta (NLPC-Antrag zum Datenschutz bei KI) | | 12. Juni | Auslaufen von Section 702 (vollständige Neuautorisierung) | | 26. Juni | Ablauf des Microsoft-Secure-Boot-UEFI-Zertifikats | | 30. Juni | Frist der mexikanischen CURP Biométrica | | 1. Juli | Declared Age Range API von Apple in Louisiana in Kraft; vollständige MiCA-Durchsetzung für CASP | | 2. Aug. | Durchsetzungsbefugnisse der EU-KI-Verordnung für GPAI treten in Kraft | | 21. Sept. | Zertifizierungen nach FIPS 140-2 → „Historical“ (PQC-Auslaufen) | | 5.–12. Okt. | Neuauflage des Prozesses gegen Roman Storm (Tornado Cash) | | Dez. 2026 | Frist für den Rollout der EU-Brieftasche für die digitale Identität (27 Mitgliedstaaten) |

Schluss

Heute ist Samstag. Heute rollt die zivile Bundesexekutive Konfigurationsmaßnahmen aus, weil der Patch von Palo Alto noch vier Tage entfernt ist. Heute ist das Kastensystem „Internet Pro“ im Iran im Wirkbetrieb, bei drei bis vier Stunden Wartezeit in Teheran. Heute hat Memento Labs Dante eingeräumt. Heute sind Russlands 21 Oblaste auf der Netzbetreiberebene dunkel. Heute ist Khartum im Sudan auf der Funkebene dunkel. Heute hat Pakistan 13 Journalisten in Gewahrsam. Heute veröffentlicht RSF die Villa in Burkina Faso.

Am Dienstag wird die FISC-Entscheidung öffentlich — oder eben nicht. Der Patch Tuesday wird kommen. Canvas wird das Lösegeld zahlen — oder eben nicht. Sysco wird das Lösegeld zahlen — oder eben nicht.

Die Uhren des Dienstags sind real. Sie werden ticken.

Der nutzerkontrollierte Primitiv-Stack ist ebenfalls real. Er hängt nicht vom Dienstag ab.

Das Fenster vom 12. Mai ist ein Tag. Der Primitiv-Stack ist die Antwort, die an jedem Tag läuft.

Quellen (3 Belege)

Quellen

  • CISA KEV catalog (May 6, May 8): https://www.cisa.gov/known-exploited-vulnerabilities-catalog
  • Palo Alto Networks CVE-2026-0300 advisory: https://security.paloaltonetworks.com/CVE-2026-0300
  • Help Net Security on Ivanti EPMM CVE-2026-6973 (May 8): https://www.helpnetsecurity.com/2026/05/08/ivanti-epmm-zero-day-cve-2026-6973/
  • CNN on Canvas / Instructure (May 7): https://www.cnn.com/2026/05/07/us/canvas-hack-strands-college-students-finals-week
  • TIME on Canvas / Instructure (May 8): https://time.com/article/2026/05/08/canvas-cyber-attack-shinyhunters-hack-what-to-know/
  • KrebsOnSecurity on Canvas: https://krebsonsecurity.com/2026/05/canvas-breach-disrupts-schools-colleges-nationwide/
  • Citizen Lab "Bad Connection" (April 23): https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/
  • TIME on FISC March 17 opinion (April 27): https://time.com/article/2026/04/27/fisa-fbi-spying-surveillance-fisa-court-congress-wyden/
  • BleepingComputer on Dirty Frag (May 7): https://www.bleepingcomputer.com/news/security/new-linux-dirty-frag-zero-day-with-poc-exploit-gives-root-privileges/
  • Microsoft Security Blog on Dirty Frag ITW (May 8): https://www.microsoft.com/en-us/security/blog/2026/05/08/active-attack-dirty-frag-linux-vulnerability-expands-post-compromise-risk/
  • Council of the EU AI Act provisional agreement (May 7): https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/
  • FTC v. Kochava final settlement (May 4): https://www.ftc.gov/news-events/news/press-releases/2026/05/ftc-ban-kochava-subsidiary-selling-sensitive-location-data-settle-charges-they-sold-location-data
  • EFF on EU CSAR / Chat Control trilogue 3: https://www.eff.org/deeplinks/2026/04/eu-parliament-blocks-mass-scanning-our-chats-whats-next
  • TechCrunch on Paragon non-cooperation (April 28): https://techcrunch.com/2026/04/28/paragon-is-not-collaborating-with-italian-authorities-probing-spyware-attacks-report-says/
  • Securelist on ForumTroll / Dante: https://securelist.com/forumtroll-apt-hacking-team-dante-spyware/117851/
  • Iran HRM "Infrastructure of Silence" (May 9)
  • Access Now KeepItOn 2025 Annual Report (March 31): 313 shutdowns in 52 countries
  • Cybernews on Sysco / Qilin (May 6): https://cybernews.com/news/sysco-qilin-ransomware-claim-food-supplier/
  • HIPAA Journal on May 2026 healthcare ransomware
  • BleepingComputer on cPanel CVE-2026-41940 mass exploitation
  • THN on DAEMON Tools supply-chain (Kaspersky May 6): https://thehackernews.com/2026/05/daemon-tools-supply-chain-attack.html
  • BleepingComputer on JDownloader site swap: https://www.bleepingcomputer.com/news/security/jdownloader-site-hacked-to-replace-installers-with-python-rat-malware/
  • Trail of Bits / Monero FCMP++ audit announcement
  • Apple Developer News (Age Range API): https://developer.apple.com/news/?id=f5zj08ey
  • Council on EU AI Act Digital Omnibus
  • News/Media Alliance letter to Common Crawl (April 29)
  • OpenAI Privacy Filter release notes (April 22): https://openai.com/index/introducing-openai-privacy-filter/
  • DeepSeek V4 release (April 22): https://huggingface.co/deepseek-ai/DeepSeek-V4-Pro
  • Bartz v. Anthropic settlement hearing: https://anthropiccopyrightsettlement.com/dates
  • URnetwork MCP server (February 19)
  • Briar 1.5.17 release notes (March 12)
  • Mexico CURP Biométrica deadline (June 30): https://idtechwire.com/mexico-clarifies-rules-linking-biometric-curp-to-sim-registration-ending-anonymous-mobile-numbers-by-mid-2026/
  • The Register on Cushman & Wakefield (May 5): https://www.theregister.com/security/2026/05/05/cushman_wakefield_confirms_vishing_cyberattack/
  • TechRadar / HaveIBeenPwned on ShinyHunters mass-leak (May 6-8)
  • DHS hacktivist leak of ICE contractor data (March 2): https://techcrunch.com/2026/03/02/hacktivists-claim-to-have-hacked-homeland-security-to-release-ice-contract-data/
  • Jacobin on ICE Project SAFE HAVEN $12.2M Edge Ops contract: https://jacobin.com/2026/04/ice-contract-ai-surveillance-immigrants
  • Reporters Without Borders on Burkina Faso (May 6)
  • Pakistan Press Foundation 2025-2026 report
  • Internet Society Pulse on Sudan MTN Khartoum (May 5)

Further Discussion

Das Fenster vom 12. Mai

Am Dienstag, 12. Mai 2026, laufen vier voneinander unabhängige Uhren ab. Die erste ist die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März zur Praxis der FBI-Abfragen unter Section 702. Nach der Offenlegung durch Senator Ron Wyden am 27. April muss die FISC-Entscheidung per Gerichtsbeschluss am 12. Mai öffentlich werden — sechzig Tage nach ihrer Abfassung. Über die Schwärzungen entscheidet das Gericht selbst, nicht die Exekutive. Die zentrale Frage der Entscheidung — ob die anhaltende Nutzung der "lookback"-Abfrage von US-Personen in der Section-702-Datenbank ohne Beschluss, also der nachträglichen Suche in bereits erfassten Daten, einen Verstoß gegen den vierten Verfassungszusatz darstellt — liegt nun vierunddreißig Tage vor dem vollständigen Auslaufen von Section 702 am 12. Juni. Die zweite ist der Microsoft-Patch-Tuesday — die Auslieferung der kumulativen Sicherheitsupdates am 12. Mai. Der Schwachstellen-Tracker von Zecurit nennt ihn das „letzte komfortable Zeitfenster für den Rollout“ vor dem Ablauf des Microsoft-Secure-Boot-UEFI-Zertifikats am 26. Juni 2026. Das Secure-Boot-Zertifikat ist kein Softwarefehler. Es ist seit 2012 der kryptografische Vertrauensanker für hardwareverankerte Boot-Integrität auf Milliarden von Windows-Geräten. Sein Austausch erfordert Eingriffe auf Firmware-Ebene, die sich durch das erste Quartal hindurch bis ins zweite geschoben haben. Die dritte ist die Erpressungsfrist von ShinyHunters für Instructure / Canvas. Mit Stand 9. Mai umfasst der behauptete Datenbestand 3,65 Terabyte, rund 275 Millionen Datensätze und 8.809 Einrichtungen — laut dem Tracker von Wikipedia der größte dokumentierte Sicherheitsvorfall im Bildungssektor. Die Verunstaltung von rund 330 Canvas-Login-Seiten am 6. und 7. Mai war der Zugangsnachweis. Die Taktung — verstrichene Frist am 6. Mai → Defacement am 7. Mai → Veröffentlichung des Datenbestands am 8. Mai → neue Frist am 12. Mai — ist das Drehbuch, das ShinyHunters seit Ende April bei Cushman & Wakefield, Pitney Bowes, Canada Life, Carnival, Zara, 7-Eleven, Mytheresa und Hallmark durchgezogen hat. Die neue Frist endet mit Ablauf des Dienstags. Instructure hat nicht gezahlt. Die vierte ist die Ransomware-Frist von Qilin für Sysco — den weltgrößten Großhändler für Gastronomiebedarf mit rund 77 Milliarden US-Dollar Jahresumsatz. Sysco beliefert Restaurants, Hotels, Krankenhäuser, K-12-Schulmensen, Hochschulgastronomie, Gefängniskantinen und die Truppenverpflegung des US-Militärs. Etwa fünfzehn Prozent des institutionellen Lebensmittelmarkts der USA hängen an der Logistik von Sysco. Qilin veröffentlichte den Eintrag am 6. Mai mit internen Dokumenten als Zugangsnachweis. Die Frist endet mit Ablauf des Dienstags. Diese vier sind keine zusammenhängenden Ereignisse. Es sind vier zusammenhanglose Ereignisse, die auf demselben Dienstag angekommen sind. Heute ist Samstag, der 9. Mai 2026. Die Notfallfrist der Cybersecurity and Infrastructure Security Agency aus dem Katalog der bekannten ausgenutzten Schwachstellen für Palo Alto PAN-OS CVE-2026-0300 — ein mit CVSSv4 9.3 bewerteter, nicht authentifizierter Pufferüberlauf, der Remote-Code-Ausführung mit Root-Rechten auf Firewalls der PA- und der VM-Serie erlaubt — fällt auf heute. Der Hersteller-Fix von Palo Alto ist für den 13. Mai geplant. Die CISA-Frist liegt vier Tage vor dem Hersteller-Fix. Es ist die aggressivste KEV-Frist in der vierjährigen Geschichte des Programms Binding Operational Directive 22-01. Die Bundesbehörden der zivilen Exekutive müssen bis Samstag reine Konfigurationsmaßnahmen ausrollen — User-ID oder Captive Portal abschalten, den Verwaltungszugang beschränken oder zum Internet hin exponierte Firewalls ganz aus dem Perimeter nehmen. Am 8. Mai nahm die CISA Ivanti EPMM CVE-2026-6973 in den KEV-Katalog auf — FCEB-Frist ist der 10. Mai. Zwei aggressive Fristen binnen 48 Stunden, für keine liegt am Fristtag ein Hersteller-Patch vor. Heute hat der Chef von Memento Labs, Paolo Lezzi, in der von Tech Generation wieder aufgegriffenen ForumTroll-Offenlegung von Kaspersky vom 28. Oktober 2025 öffentlich eingeräumt, dass die kommerzielle Spyware Dante das Produkt seines Unternehmens ist. Er machte dafür „einen unachtsamen staatlichen Kunden, der eine alte Version einsetzt“ verantwortlich. Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April benannte zwei Kampagnen: STA1 stuft die Diameter-Signalisierung von 4G/5G über den Missbrauch von „combined attach“ auf SS7 in 2G/3G herunter und tritt dabei in neun Ländern als „Ghost Operator“ mit fremder Betreiberidentität auf; STA2 fährt SIMjacker-Zero-Click-Angriffe über das alte S@T-Browser-Applet auf der SIM-Karte. Laut Citizen Lab sind wahrscheinlich Tausende von Geräten betroffen. Das Mobile Verification Toolkit, iVerify und Lookout — die drei forensischen Werkzeuge, die investigativen Journalisten und gefährdeten Nutzern zur Verfügung stehen — können Angriffe auf der Diameter- oder der SS7-Ebene nicht erkennen. Sie erkennen Kompromittierungen auf dem Gerät. STA1 und STA2 sind Kompromittierungen auf der Betreiberseite. Heute hat Paragon Solutions — unter einem Vertrag über 2 Millionen US-Dollar operativ in die Einwanderungsbehörde Immigration and Customs Enforcement eingebunden, laut dem Aufsichtsschreiben von Senator Wyden vom 24. April — nach einem Jahr das förmliche Auskunftsersuchen der italienischen Staatsanwaltschaft zu Graphite-Einsätzen gegen den Journalisten Francesco Cancellato sowie Luca Casarini und Giuseppe Caccia noch immer nicht beantwortet. Heute hat sich der 120-tägige Blackout im Iran zu „Internet Pro“ verfestigt — einem Kastensystem aus SIM-Karten auf Whitelist-Basis, das der Bericht „Infrastructure of Silence“ des Iran Human Rights Monitor mit 35,7 Millionen US-Dollar pro Tag an entgangener digitaler Wirtschaftsleistung und kumuliert rund 5,2 Milliarden US-Dollar seit dem Beginn am 30. Januar 2026 beziffert. SIM-Karten der Stufe 2 (der Standard) verlieren den Zugang zum globalen Internet; SIM-Karten der Stufe 1 — „Internet Pro“, ausgegeben von Tasnim und drei weiteren staatsnahen Telekommunikationsanbietern gegen Vorlage eines nationalen Ausweises, von Geschäftsunterlagen und einer schriftlichen Zweckangabe — sind auf Staatsmedien und Behördendienste beschränkt. Die Wartezeiten vor den SIM-Umstellungsstellen liegen bei drei bis vier Stunden. Heute hat Russland vor dem Tag des Sieges Mobilfunkabschaltungen über mehr als 21 Regionen ausgerollt. Geldautomaten in den betroffenen Oblasten fallen aus, weil sie auf Mobilfunk-Backhaul angewiesen sind. Das russische Gesetz vom 15. April, das Provider und Mobilfunkanbieter zur VPN-Erkennung auf Netzwerkebene verpflichtet, aktiviert die staatliche Durchsetzung der Haltung „Netzbetreiber als Perimeter“. Heute hat MTN Sudan sämtliche Relaisstationen in Khartum wegen Treibstoff- und Strommangel abgeschaltet. Internet Society Pulse meldet Khartum auf der Ebene des Betreiberfunks als ausgefallen — mitten im Prüfungsfenster der Sekundarschulen. Heute hat die pakistanische National Cybercrime and Cyber-Investigation Agency Punjab seit dem 7. Mai gegen 41 Journalisten, Blogger und Aktivisten Verfahren eingeleitet und 13 von ihnen festgenommen, gestützt auf Änderungen des Prevention of Electronic Crimes Act. Der Bericht der Pakistan Press Foundation vom 5. Mai verzeichnet 233 Vorfälle gegen die Pressefreiheit von Januar 2025 bis April 2026. Heute dokumentiert die RSF-Enthüllung vom 6. Mai die geheime Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er mit Baumzweigen geschlagen wurde. Der Dienstag ist ein Tag. Heute ist die Arbeitswoche davor. Das Fenster vom 12. Mai.

Was Sie vor Dienstag selbst kontrollieren

Das Fenster vom 12. Mai enthält vier Fristen. Die Entscheidung des Foreign Intelligence Surveillance Court. Den Microsoft-Patch-Tuesday. Die Lösegeldfrist für Instructure / Canvas. Die Qilin-Frist für Sysco. Der nutzerkontrollierte Primitiv-Stack hängt von keiner davon ab. **Offene Clients mit nutzereigenen Schlüsseln.** Die Signal Foundation führt die Implementierung des Signal-Protokolls fort; Tuta, Proton und Threema betreiben unabhängige Ende-zu-Ende-Verschlüsselung; Briar, Cwtch und Session betreiben vertrauensfreie Varianten; Matrix-Homeserver erlauben föderiertes Self-Hosting. Der Roblox-Vergleich mit den Generalstaatsanwälten der Bundesstaaten über 35,8 Millionen US-Dollar vom 21. April — der erste US-Vergleich, der Kinderschutz als Waffe gegen Verschlüsselung einsetzt — hat gezeigt, dass bestehende Ende-zu-Ende-Verschlüsselung einer großen Plattform regulatorisch abgenötigt werden kann. Offene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine Angriffsfläche. Briar 1.5.17 (veröffentlicht am 12. März 2026) läuft über Bluetooth, WLAN und Tor; es funktioniert während Netzabschaltungen, weil es zur Weiterleitung von Nachrichten nicht auf die Netzbetreiberebene angewiesen ist. Der heutige Funkausfall in Khartum und Russlands Abschaltungen in 21 Oblasten zum Tag des Sieges sind das Bedrohungsmodell. **Offene Firmware auf nutzerprüfbaren Chips.** GrapheneOS. CalyxOS. /e/OS. LineageOS. OpenWRT. Die von iVerify, Lookout und Google TAG am 18. und 19. März dokumentierte iOS-Angriffskette DarkSword ließ schätzungsweise 220 bis 270 Millionen iPhones auf den exponierten iOS-Versionen 18.4 bis 18.6.2 zurück. Mobilgeräte mit offener Firmware machen das Verhalten von Caches und Benachrichtigungsdatenbanken für den Nutzer einsehbar. Betriebssysteme mit geschlossener Firmware tun das nicht. Die Kampagnen STA1 / STA2 aus dem Citizen-Lab-Bericht „Bad Connection“ — für MVT, iVerify und Lookout unsichtbar, weil sie auf der Betreiberseite liegen — werden über geräteseitige Voreinstellungen wie die automatische SIM-Konfiguration auf die Anwendungsebene überbrückt. Offene Firmware schließt diese Brücke. **FIDO2-Hardware-Authentifizierung.** YubiKey. Nitrokey. SoloKey. Am 4. Mai hat OpenAI Passkeys und Hardware-Schlüssel zu ChatGPT hinzugefügt — mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano für rund 68 US-Dollar. Yubico hat insgesamt mehr als 30 Millionen YubiKeys ausgeliefert. An Hardware gebundene Anmeldedaten überstehen eine Kompromittierung der SIM-Karte; SS7-/Diameter-Ghost-Operator-Angriffe setzen sich nicht auf mit Hardware-Schlüsseln geschützte Konten fort, weil der zweite Faktor nicht auf der SIM-Karte liegt. Der Vertrag über 12,2 Millionen US-Dollar mit Edge Ops LLC für das ICE-Projekt SAFE HAVEN zur Erfassung von "daily routines, habits, real-time locations" — Tagesabläufen, Gewohnheiten und Echtzeit-Standorten von Migranten — ist das Bedrohungsmodell: Der zweite Faktor in Ihrer Tasche liegt außerhalb der Reichweite des Betreibers. **Zensurresistente Transporte.** Tor 15.0.10. V2Ray VLESS+Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. Das Peer-to-Peer-Overlay von URnetwork. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport damit vollständig von der Netzbetreiberebene zu abstrahieren. Staatlich angeordnete Plattformsperren berühren die Verschleierung auf Transportebene nicht. Die Stufe „Internet Pro“ im Iran und das russische VPN-Erkennungsgesetz vom 15. April sind das Bedrohungsmodell. Das nutzerkontrollierte Overlay kommt in keinem der beiden Gesetze vor. **Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung.** Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; der überwiegende Teil des weltweiten BTC-P2P-Verkehrs ist inzwischen verschlüsselt) und BIP352 Silent Payments (Empfang und Versand ab Core 28.0, ergänzt um BIP376 und BIP392 im Jahr 2026). Monero steckt in der aktiven Integration von FCMP++; das Audit von Trail of Bits läuft vom 11. bis zum 22. Mai und ersetzt Ringsignaturen durch Full-Chain Membership Proofs, deren Anonymitätsmenge der gesamte UTXO-Satz ist. Zcash Crosslink Milestone 4 ist im Netz; der abgeschirmte Pool steht auf dem Allzeithoch von 5.030.093 ZEC (rund 30 Prozent des Umlaufs). Geld mit Betreiber-Sperrliste ist Geld auf dem Betreiberpfad. Währungen in Nutzerverwahrung bieten diese Angriffsfläche nicht. Der Brief des Samourai-Wallet-Gründers Keonne Rodriguez vom 7. Mai aus dem Bundesgefängnis — ein Aufruf, 2 Millionen US-Dollar an Prozesskostenschulden zu decken — ist das Bedrohungsmodell dafür, was geschieht, wenn Primitive in Nutzerverwahrung kriminalisiert werden. **Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung.** DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter / 49 Milliarden aktiv, Kontextfenster von 1 Million Token, 27 Prozent der FLOPs pro Einzeltoken gegenüber V3.2 bei 1M Kontext). DeepSeek V4 Flash, lauffähig auf 1× A100 80GB oder 2× RTX 4090. Mistral Medium 3.5 (29. April, 77,6 Prozent SWE-Bench Verified). Llama 4 Scout. Gemma 4. Qwen 3.6. Kimi K2.6. GLM-5.1. OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Mrd. Parameter insgesamt / 50 Mio. aktiv, im Browser lauffähig über transformers.js + WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts zu beschlagnahmen. Die am 5. Januar von Richter Sidney Stein erlassene Herausgabeanordnung über 20 Millionen Protokolle im Verfahren OpenAI gegen die New York Times ist das Bedrohungsmodell. Die heutige Aktualisierung der KI-Richtlinie von Meta — die Prompts, Nachrichten und Medien in die Werbepersonalisierung von Facebook / Instagram / WhatsApp einspeist, ohne Opt-out, sobald Meta AI genutzt wird — ist das unmittelbare Bedrohungsmodell. **Föderierte Identität mit selektiver Offenlegung.** W3C Verifiable Credentials 2.0 (Status „Recommendation“ seit Mai 2025; 7 Spezifikationen). eIDAS 2.0 mit BBS+-basierter selektiver Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die W3C-VC-Arbeitsgruppe arbeitet unter einem neuen Mandat vom April 2026, das den Empfehlungsstatus für Render Method und Confidence Method im September 2026 anstrebt. Die Frist der mexikanischen CURP Biométrica zum 30. Juni — sie bindet rund 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris, mit Durchsetzung und Abschaltungen ab dem 1. Juli — ist das Bedrohungsmodell. Der Rollout des mobilen Führerscheins in der Apple Wallet (mit Stand 1. Mai 2026 in 13 Bundesstaaten plus Puerto Rico verfügbar; TSA-Akzeptanz an mehr als 250 Flughäfen) ist das nähere Bedrohungsmodell. Laden Sie Ihre Identität nicht zum Anbieter hoch. **Selbst gehostete Dienste.** Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Der Wirkungsradius von 8.809 Einrichtungen bei Canvas / Instructure ist das Bedrohungsmodell. Föderation kennt keine Exfiltration eines einzelnen 3,65-Terabyte-Bestands; jeder Homeserver ist auf seine eigenen Daten begrenzt. **Mesh und Satellit auf der Netzbetreiberebene.** Briar. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink (jene Widerstandsfähigkeit durch inoffiziell importierte Antennen, die Reuters 2024 und 2025 im Iran und im Sudan dokumentiert hat). Die Stufe „Internet Pro“ im Iran, der Stromausfall an den Funkmasten in Khartum und Russlands Abschaltungen in 21 Oblasten zum Tag des Sieges sind das Bedrohungsmodell. Der Befund der Untersuchungskommission zu 518 Toten in Tansania vom 23. April 2026 — die Gewalt nach der Wahl vom Oktober 2025, verübt unter einem fünftägigen vollständigen Internet-Blackout — ist der moralische Anker. Wenn eine Abschaltung staatliche Gewalt ermöglicht, zählt die vom Netzbetreiber unabhängige Ebene. **Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September.** Die Standards ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) sind seit August 2024 in Kraft. Der durchschnittliche Validierungszyklus nach FIPS 140-3 dauert nach dem Basiswert von Anfang 2024 rund 542 Tage — heute ist es also zu spät für eine saubere Validierung, und der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg über den 21. September hinweg, ohne auf nicht validierte Zustände zurückzufallen. Der Großteil der Verbrauchersoftware ist nicht FIPS-gebunden, Unternehmens- und behördennahe Software dagegen schon. **Das Jahrzehnt 2014–2024 war eine langsame architektonische Verschiebung hin zur Ende-zu-Ende-Verschlüsselung als Verbraucherstandard. Die Umkehr von 2024 bis 2026 — die Entfernung der Ende-zu-Ende-Verschlüsselung bei Meta/Instagram am 8. Mai (freiwillig, unternehmensseitig); der Roblox-Vergleich mit den Generalstaatsanwälten am 21. April (regulatorisch erzwungen); der Wegfall des verpflichtenden clientseitigen Scannens in der EU-CSAR am 4. Mai, im vierten Trilog am 11. Mai erneut aufgerufen (institutionelle Wiedereröffnung); Irans 120-tägiges „Internet Pro“ (staatlicher Zwang); die von Citizen Lab am 23. April dokumentierte SS7-/Diameter-Ghost-Operator-Angriffskette (forensische Kompromittierung) — verläuft ungleichmäßig, aber konsistent.** Das Muster ist regulatorisches Aufweichen dort, wo es operativ wehtäte, bei gleichzeitig zunehmendem operativem Zwang. Die Pflichten der KI-Verordnung für Hochrisikosysteme verschieben sich in der Digital-Omnibus-Einigung vom 7. Mai vom 2. August 2026 auf den 2. Dezember 2027 beziehungsweise den 2. August 2028. Das verpflichtende clientseitige Scannen der Chatkontrolle fällt weg. FTC gegen Kochava (4. Mai) endet mit dauerhafter Untersagung ohne Geldbuße. Der Strafschadensersatz in NSO gegen WhatsApp wird um das 40-Fache auf rund 4 Millionen US-Dollar gesenkt. Die Intellexa-SDN-Einträge des Finanzministeriums wurden im Dezember 2025 gestrichen. Zugleich: Section 702 in seiner zweiten kurzfristigen Verlängerung; die Declared Age Range API von Apple seit dem 6. Mai in Utah und ab dem 1. Juli in Louisiana in Kraft; die Frist der mexikanischen CURP Biométrica zum 30. Juni; die Plattform-Compliance nach dem TAKE IT DOWN Act zum 19. Mai; der ICE-Vertrag SAFE HAVEN über 12,2 Millionen US-Dollar zur Überwachung der Tagesabläufe von Migranten. Der ausgesetzte Flicken liegt auf der Betreiberseite. Der verschärfte Zwang liegt auf der Nutzerseite. Das Fenster vom 12. Mai — die FISC-Entscheidung, der Patch Tuesday, das Canvas-Lösegeld, das Sysco-Lösegeld — ist ein Tag. Die Uhren, die in dieser Woche, in diesem Monat, in diesem Jahr laufen — 12. Mai / 13. Mai / 14. Mai / 19. Mai / 22. Mai / 26. Mai / 27. Mai / 12. Juni / 26. Juni / 30. Juni / 1. Juli / 2. August / 21. September / 5.–12. Oktober / Dezember 2026 — sind Uhren der Politik und der Protokolle. Sie laufen weiter. Der nutzerseitige Primitiv-Stack hängt nicht davon ab, wie sie ausgehen. Offene Clients. Offene Firmware. Hardware-Schlüssel. Zensurresistente Transporte. Datenschutzwahrende Währung. Lokale KI-Inferenz. Föderierte Identität mit selektiver Offenlegung. Selbst gehostete Dienste. Mesh und Satellit. Kryptografische Agilität. Der Dienstag ist eine Uhr. Der Primitiv-Stack ist die Antwort, die an jedem Tag läuft.

Comics

#1Das Fenster vom 12. Mai
#2Was Sie vor Dienstag selbst kontrollieren