URnetwork
•••

Notizen zur Privatsphäre im Internet

Beiträge und Forschung vom URnetwork-Team und der Community.

RSS
Nachrichten / AnalyseBulgariaPolandFinlandDenmarkEstoniaSaudi ArabiaUnited Arab EmiratesEgyptMexicoHungaryIndiaIndonesiaBahrainRussiaPakistanUnited StatesUnited Kingdom

Sechs europäische Hauptstädte

Am Dienstag, dem 12. Mai 2026, veröffentlichte Human Rights Watch einen 54-seitigen Bericht mit dem Titel "Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments." Der Bericht benennt Bulgarien, Polen, Finnland, Dänemark, Estland und die Tschechische Republik — sechs Mitgliedstaaten der Europäischen Union — als Exporteure kommerzieller Spähsoftware unter der EU-Dual-Use-Verordnung von 2021. Der Bericht dokumentiert Lieferungen in mehr als zwanzig Zielländer mit einer Bilanz schwerer Menschenrechtsverletzungen, darunter Saudi-Arabien, die Vereinigten Arabischen Emirate, Ägypten, Mexiko, Ungarn, die Türkei, Indien, Indonesien, Marokko und Bahrain. Die EU-Dual-Use-Verordnung von 2021 führte Genehmigungspflichten für "cyber-surveillance items" — Güter zur digitalen Überwachung — ein, doch fünf Jahre später stellt HRW fest, dass nicht ein einziger Ausfuhrantrag öffentlich abgelehnt wurde und dass zu den erteilten Genehmigungen Anbieter gehören, deren Produkte nachweislich zur Ausspähung von Journalistinnen und Journalisten, Anwältinnen und Anwälten, Oppositionspolitikern und Menschenrechtsverteidigern eingesetzt wurden. Der Dienstag war außerdem der Tag, an dem die vier Uhren der Ausgabe 06 abliefen. Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März zu den Abfragepraktiken des FBI unter Section 702 wurde nicht veröffentlicht — die Freigabeprüfung läuft weiter, während das Auslaufen von § 702 dreißig Tage entfernt ist. Microsofts Patchday landete mit 137 CVEs und null Zero-Days, dem ersten Patchday ohne Zero-Day seit Juni 2024 — aber Foxconn bestätigte am selben Tag, dass die Ransomware Nitrogen acht Terabyte und elf Millionen Dateien mit angeblichen Projektdaten von Intel, Apple, Nvidia, Google und Dell abgezogen hatte. Instructure zahlte an ShinyHunters einen Tag vor Fristablauf, am 11. Mai, und erhielt "shred logs" — Vernichtungsprotokolle — für den 3,65 bis 6,65 Terabyte großen Canvas-Datenbestand mit 8.809 betroffenen Einrichtungen; der Kongress eröffnete am selben Tag eine Untersuchung. Die Qilin-Erpressung von Sysco — dem größten Gastronomiegroßhändler der Welt — bleibt bis heute ungelöst. Heute, am 13. Mai, lieferte Palo Alto den Fix für PAN-OS CVE-2026-0300 aus — vier Tage nach der Frist aus der Binding Operational Directive der CISA für die zivilen Bundesbehörden. Morgen eröffnet Richterin Martínez-Olguín die Fairness-Anhörung in Bartz v. Anthropic zum Vergleich über 1,5 Milliarden US-Dollar, der rund 500.000 registrierte urheberrechtlich geschützte Werke zu etwa 3.000 US-Dollar je Werk abdeckt — mit den im vergangenen Monat entsiegelten Einwänden zu Ausschluss ausländischer Werke, Untererfassung bei Sammelregistrierungen und Verlagsschlagseite. Morgen um 17:00 Uhr MESZ schließt die Europäische Zentralbank die Bewerbungsfrist für den Pilotbetrieb der Zahlungsdienstleister für den digitalen Euro — die Auswahl von zehn bis dreißig Zahlungsdienstleistern durch die Zentralbank für einen zwölfmonatigen Pilotbetrieb im zweiten Halbjahr 2027 mit einer programmierbaren, von der Zentralbank ausgegebenen digitalen Währung. Sechs europäische Hauptstädte sind benannt worden. Die Frage der Rechenschaft ist nicht länger hypothetisch.

URnetwork-RedaktionSan Francisco — 13. Mai 2026

Der HRW-Bericht

Am Dienstag, dem 12. Mai 2026, veröffentlichte Human Rights Watch den 54-seitigen Bericht "Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments." Der Bericht ist unter hrw.org/report/2026/05/12/looking-the-other-way abrufbar.

Die zentrale Feststellung des Berichts lautet, dass sechs Mitgliedstaaten der Europäischen Union — Bulgarien, Polen, Finnland, Dänemark, Estland und die Tschechische Republik — seit ihrer Annahme die maßgeblichen Exporteure kommerzieller Spähsoftware unter der EU-Verordnung über Güter mit doppeltem Verwendungszweck von 2021 (Verordnung EU/2021/821) sind. Die Verordnung von 2021 führte Genehmigungspflichten für das ein, was der Gesetzestext als "cyber-surveillance items" — Güter zur digitalen Überwachung — bezeichnet: Spähsoftware der Pegasus-Klasse, Ausrüstung zum Abhören von Mobilfunk, IMSI-Catcher, Plattformen für rechtmäßige Überwachung und bestimmte Netzwerk-Telemetrieausrüstung. Die Genehmigungspflicht wird von der zuständigen Behörde jedes Mitgliedstaats verwaltet, wobei die Europäische Kommission und die übrigen Mitgliedstaaten als Konsultationsbeteiligte fungieren.

Die dokumentarische Feststellung von HRW lautet, dass seit 2021 keiner der sechs benannten Mitgliedstaaten öffentlich einen Ausfuhrantrag für "cyber-surveillance items" abgelehnt hat — trotz dokumentierter Lieferungen in mehr als zwanzig Zielländer, darunter Saudi-Arabien, die Vereinigten Arabischen Emirate, Ägypten, Mexiko, Ungarn, die Türkei, Indien, Indonesien, Marokko, Bahrain und etwa zehn weitere. Die Liste der Ziele wird gegen die Bewertungen von Freedom House in Freedom in the World 2025 und die jährlichen Country Reports on Human Rights Practices des US-Außenministeriums abgeglichen — mit dem Ergebnis, dass die Zielländer nach der Lesart von HRW dieselben Länder sind, in denen der Einsatz kommerzieller Spähsoftware gegen Journalistinnen und Journalisten, Anwältinnen und Anwälte, Oppositionspolitiker und Menschenrechtsverteidiger forensisch dokumentiert wurde.

Zu den benannten Anbietern gehören Unternehmen, die zuvor von Citizen Lab, dem Security Lab von Amnesty International und der Pegasus-Project-Arbeit von Access Now identifiziert wurden — Intellexa (dessen griechisch ansässige Aktivitäten eine tschechische Betriebsgesellschaft und in Bulgarien registrierte Zwischenhändler umfassen); Memento Labs, die Umbenennung von Hacking Team / RCS Lab, deren Geschäftsführer Paolo Lezzi am 9. Mai einräumte, dass die in der Kaspersky-Offenlegung zu ForumTroll vom 28. Oktober 2025 genannte kommerzielle Spähsoftware „Dante“ ein Produkt seines Unternehmens ist; sowie zuvor unbenannte bulgarische und estnische Briefkastenfirmen, die HRW mit dem Weiterexport von Werkzeugen der Pegasus-Klasse in Verbindung bringt.

Die strukturelle Rahmung des Berichts lautet, dass die EU-Verordnung von 2021 ein Papiertiger ist. Der harmonisierte Rahmen verlangt eine Genehmigung auf Ebene der Mitgliedstaaten, aber er verlangt keine harmonisierten Ablehnungskriterien, keine harmonisierte Menschenrechtsprüfung, keine harmonisierte Endverwendungskontrolle und keine harmonisierte öffentliche Berichterstattung. Die Verordnung verpflichtet die Mitgliedstaaten, Ausfuhren an die Kommission zu melden, aber die aggregierte Berichterstattung der Kommission ist um etwa drei Jahre verzögert und benennt weder Ziele noch Empfängerstellen.

Zu den Empfehlungen von HRW gehören: eine verbindliche Menschenrechtsprüfung auf der Genehmigungsstufe des Mitgliedstaats; ein öffentliches Register abgelehnter Ausfuhranträge; eine von der Kommission geführte harmonisierte Ablehnungsliste; eine verpflichtende Endverwendungsprüfung durch unabhängige Verifizierung; und ein befristetes Moratorium für Ausfuhren kommerzieller Spähsoftware in Staaten, die im Freedom-House-Index als "Not Free" — nicht frei — eingestuft sind.

Der Bericht benennt sechs europäische Hauptstädte: Sofia (Bulgarien), Warschau (Polen), Helsinki (Finnland), Kopenhagen (Dänemark), Tallinn (Estland) und Prag (Tschechische Republik).

Was der 12. Mai war

Dies ist der Tag nach dem Tag, an dem die vier Uhren der Ausgabe 06 abliefen. Die Rückschau ist strukturell.

Die FISC-Entscheidung zu § 702 wurde nicht veröffentlicht. Trotz der Abmachung zwischen Wyden, Cotton und Warner von Mitte April, die ein gerichtlich angeordnetes Veröffentlichungsziel zum 12. Mai für die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 festlegte, läuft die Freigabeprüfung weiter. Die Entscheidung bleibt Verschlusssache. Das Auslaufen von § 702 ist jetzt dreißig Tage entfernt — 12. Juni 2026. Das FBI arbeitet weiter unter der zweiten kurzfristigen Übergangs-Neuermächtigung von Section 702 bis zum Auslaufen, wobei die Rückschau-Abfragepraxis, die die FISC-Entscheidung behandeln soll, weiterhin auf Basis von US-Personen in der Datenbank der Auslandsaufklärung in Betrieb ist. Die Büros von Wyden, Cotton und Warner gaben am späten 12. Mai gemeinsame Erklärungen ab, in denen sie ihre Sorge äußerten, dass die FISC-Entscheidung nicht fristgerecht öffentlich gemacht wurde; der Vorsitzende des Geheimdienstausschusses des Senats, Mark Warner, bezeichnete das Versäumnis als „unvereinbar mit den Zusagen zur öffentlichen Aufsicht, die in der Verlängerungsdebatte im Frühjahr gemacht wurden“.

Microsofts Patchday landete mit 137 CVEs und null Zero-Days — dem ersten Patchday ohne Zero-Day seit Juni 2024. Zu den Schlagzeilen-CVEs gehören CVE-2026-41089 (Netlogon, Remote-Codeausführung, CVSS 9,8), CVE-2026-41096 (DNS-Client, Remote-Codeausführung, CVSS 9,8), CVE-2026-42898 (Dynamics 365, Remote-Codeausführung, CVSS 9,9) und CVE-2026-41097 (eine Secure-Boot-Umgehung, die zugleich Teil der rollierenden Vorbereitung auf die Zertifikatsklippe zum Ablauf des Secure-Boot-UEFI-Zertifikats am 26. Juni ist). Microsoft rahmte den Zyklus als „den ruhigsten Patchday des Jahres“, wobei die Telemetrie von Defender Cloud für die CVE-Liste vom 12. Mai null Ausnutzung in freier Wildbahn zeigte.

Foxconn bestätigte die Nitrogen-Ransomware am selben Tag, dem 12. Mai. Die Offenlegung: acht Terabyte und etwa elf Millionen Dateien abgezogen. Die Erpressergruppe Nitrogen behauptet, der Datenbestand enthalte Projektdaten von Intel, Apple, Nvidia, Google und Dell — Zeichnungen des Auftragsfertigers, technische Spezifikationen von Zulieferern, interne Projektzeitpläne und ungeschwärzte E-Mail-Verläufe. Nordamerikanische Foxconn-Fabriken waren etwa eine Woche lang bis zum 9. Mai gestört. Die Folgerung ist, dass die Ebene der Auftragsfertiger ein kundenübergreifender Aggregator ist — eine einzige Kompromittierung erreicht mehrere OEM-Kundenperimeter gleichzeitig, so wie der Einbruch bei Itrons Smart Metern jeden Versorgungsunternehmenskunden jedes Itron nutzenden Versorgers erreichte (Ausgabe 06).

Instructure zahlte an ShinyHunters am Tag vor der Frist des 12. Mai. Am 11. Mai überwies Instructure Berichten zufolge eine nicht öffentlich bekannt gegebene Summe im Austausch für das, was ShinyHunters "shred logs" — Vernichtungsprotokolle — nennt, für den 3,65 bis 6,65 Terabyte großen Datenbestand. Der Bestand umfasst etwa 275 Millionen Datensätze aus 8.809 Bildungseinrichtungen. Das ist die erste große Lösegeldzahlung des US-Bildungssektors an eine benannte Erpressergruppe bei einem Einbruch dieser Größenordnung. Der Unterausschuss des US-Repräsentantenhauses für Cybersicherheit, Informationstechnologie und Regierungsinnovation kündigte für den 18. Mai eine Anhörung an, um "the operational and policy implications of education-sector ransom payments to extortion groups" — die operativen und politischen Folgen von Lösegeldzahlungen des Bildungssektors an Erpressergruppen — zu untersuchen.

Die Erpressung von Sysco durch Qilin bleibt ungelöst. Qilin veröffentlichte am 12. Mai drei interne Dokumentproben als Zugangsnachweis. Eine Zahlungsbestätigung liegt nicht vor. Ein vollständiges Leak wurde nicht veröffentlicht. Syscos Offenlegung eines Cybersicherheitsvorfalls nach SEC Item 1.05 (Form 8-K) ist bis heute, dem 13. Mai, nicht eingereicht.

Heute

Heute, am 13. Mai 2026, lieferte Palo Alto den Fix für PAN-OS CVE-2026-0300 aus.

Vier Tage zu spät.

Die Notfallfrist der Cybersecurity and Infrastructure Security Agency aus dem Katalog bekannter ausgenutzter Schwachstellen für die zivilen Bundesbehörden war der 9. Mai — der Tag vor dem vergangenen Samstag. Der IT-Betrieb des Bundes verbrachte die viertägige Lücke damit, reine Konfigurationsmaßnahmen zur Risikominderung auf zum Internet hin offenen Firewalls auszurollen: Abschalten der User-ID-Komponente, Einschränken der Captive-Portal-Exponierung, vollständiges Herausnehmen der Perimeter-Firewalls aus dem öffentlichen Pfad. Palo Altos Fix — als Hotfix-Patches für PAN-OS 11.1.x und 10.2.x veröffentlicht — schließt den nicht authentifizierten Pufferüberlauf, der Remote-Codeausführung mit Root-Rechten ermöglichte.

Die viertägige Lücke ist der aggressivste Fristentakt für bekannte ausgenutzte Schwachstellen in der Geschichte der Binding Operational Directive 22-01 der CISA. Die zivilen Bundesbehörden arbeiteten vier Tage lang mit Konfigurationsmaßnahmen, weil der Hersteller-Patch noch nicht existierte. Die Regulierungsuhr lief strukturell vor der Hersteller-Patch-Uhr.

Heute ist außerdem Tag sieben von Dirty Frag. Die Hälfte der am 7. Mai von Hyunwoo Kim offengelegten Dirty-Frag-Kette, die CVE-2026-43500 (Linux-Kernel, RxRPC) betrifft, bleibt ungepatcht. Die Bestätigung der Ausnutzung in freier Wildbahn durch den Microsoft Security Blog vom 8. Mai hat Bestand: Die aktive Ausnutzung läuft weiter. Das Commit-Log von kernel.org für das rxrpc-Subsystem zeigt im Fenster vom 9. bis 12. Mai drei Patches, die verwandte Probleme angehen, aber die konkrete Use-after-free-Schwachstelle im Pfad rxrpc_io_thread, die die Kette ausnutzt, nicht schließen. Eine Lösung im Upstream steht weiter aus. Backports auf Distributionsebene — Ubuntu, RHEL, CentOS Stream, AlmaLinux, openSUSE Tumbleweed, Fedora — sind nicht ausgeliefert.

Das Muster: Der „ruhigste Patchday des Jahres“ koexistiert mit aktiver Ausnutzung einer ungepatchten universellen lokalen Rechteausweitung unter Linux in freier Wildbahn, mit einem Foxconn, das am selben Tag eine Ransomware-Exfiltration von acht Terabyte bestätigt, und mit einem Palo Alto, das einen kritischen RCE-Fix für Edge-Firewalls vier Tage nach der Compliance-Frist des Bundes ausliefert. Die operative Realität im gesamten Ökosystem ist, dass Hersteller-Patch-Zyklen dem Bedrohungszyklus und dem Regulierungszyklus weiterhin hinterherlaufen.

Morgen

Morgen, am 14. Mai 2026, landen zwei Uhren.

Richterin Araceli Martínez-Olguín eröffnet die Fairness-Anhörung in Bartz v. Anthropic um 9:00 Uhr pazifischer Zeit in Saal 12 des Bundesgerichts von San Francisco. Der Vergleich über 1,5 Milliarden US-Dollar deckt rund 500.000 registrierte urheberrechtlich geschützte Werke zu etwa 3.000 US-Dollar je Werk ab. Die im April eingereichten entsiegelten Einwände benennen drei strukturelle Bedenken:

  • Ausschluss ausländischer Werke. Die Vergleichsstruktur ist durch die Registrierung beim U.S. Copyright Office begrenzt. Viele Autorinnen und Autoren, deren Werke in Anthropics Trainingskorpus aufgenommen wurden, haben keine US-Staatsangehörigkeit und haben ihre Urheberrechte nach dem Regime ihres Heimatstaats registriert. Der Einwand argumentiert, der Ausschluss ausländischer Werke erzeuge ein untererfasstes Anspruchsuniversum und die Vergleichsstruktur solle auf das im Ausland registrierte Universum ausgeweitet werden.
  • Untererfassung bei Sammelregistrierungen. Viele in den USA registrierte Werke sind im Rahmen kollektiver Urheberschaftsstrukturen (Anthologien, Zeitschriften, Kursmaterialien) als Gruppe registriert. Die Vergleichsstruktur weist die Auszahlung je Werk der registrierten anspruchsberechtigten Partei zu, was bei Sammelregistrierungen ein Verlag oder eine institutionelle Rechteinhaberin sein kann statt der zugrunde liegenden Autorinnen und Autoren. Der Einwand argumentiert, dies erzeuge eine Verlagsschlagseite in der Verteilung des Vergleichs.
  • Zwangswirkende Benachrichtigung. Das Opt-out-Fenster des Sammelvergleichs ist kurz im Verhältnis zu der strukturellen Schwierigkeit festzustellen, ob das Werk einer bestimmten Autorin im Anthropic-Trainingskorpus enthalten ist. Der Einwand argumentiert, die Benachrichtigung sei in dem Sinne zwangswirkend, dass Autorinnen und Autoren, die die Einbeziehung innerhalb des Fensters nicht feststellen können, standardmäßig einbezogen werden und ihr Recht auf individuelle Verletzungsklagen verlieren.

Der Ausgang der Anhörung wird Präzedenz für die parallelen Vergleichsstrukturen zu KI-Trainingsdaten setzen, die OpenAI, Google, Meta, Cohere, Mistral und das quelloffene Ökosystem aushandeln oder erstreiten müssen. Genehmigt Richterin Martínez-Olguín die Struktur, wird sie zur Vorlage. Tut sie es nicht, geht die Vorlage zurück in die Verhandlung.

Die Europäische Zentralbank schließt die Bewerbungen der Zahlungsdienstleister für den digitalen Euro um 17:00 Uhr MESZ. Der Bewerbungsaufruf wurde am 5. März 2026 veröffentlicht. Die EZB hat angekündigt, zwischen zehn und dreißig Zahlungsdienstleister für einen zwölfmonatigen Pilotbetrieb ab dem zweiten Halbjahr 2027 auszuwählen. Der digitale Euro ist als programmierbare, von der Zentralbank ausgegebene Endkundenwährung konzipiert. Das Element „programmierbar“ bedeutet, dass Zahlungsdienstleister Limits, Bedingungen und Nachverfolgbarkeit für einzelne Transaktionen in Software auf der Protokollebene durchsetzen können.

Der begleitende Regulierungsrahmen: MiCA tritt am 1. Juli 2026 in die volle Durchsetzung, wenn jeder nicht lizenzierte Krypto-Dienstleister, der EU-Kunden bedient, den Betrieb einstellen muss. Die Null-Schwellen-Regel der Travel Rule ist seit Dezember 2024 in Kraft und verlangt vollständige Auftraggeber- und Begünstigtendaten bei jedem Transfer zwischen Krypto-Dienstleistern. Bußgelder nach MiCA erreichen 12,5 % des weltweiten Jahresumsatzes mit persönlicher Haftung von Führungskräften.

SEC und CFTC veröffentlichten am 17. März 2026 eine gemeinsame Auslegung, die Bitcoin, Ethereum, Solana, XRP und Chainlink ausdrücklich als digitale Rohstoffe benennt — die regulatorische Klarheit auf US-Seite für Kryptowährungen, die im selben Monat eintrifft, in dem sich die regulatorische Infrastruktur für den programmierbaren Euro auf EU-Seite formalisiert.

Die Gegenmaßnahme auf der Empfängerseite, wo die politischen Uhren ungleichmäßig laufen, ist der offene Fundament-Primitiv-Stack.

Die Empfängerländer

Der HRW-Bericht benennt die Exporteure. Die Empfängerländer sind der Ort, an dem die exportierten Werkzeuge zum Einsatz kommen. Heute stellt sich das Bild der Empfänger so dar:

Iran. Tag 75 der Abschaltung. Die längste je verzeichnete Internetabschaltung. Der Bericht "Infrastructure of Silence" von Iran HRM vom 9. Mai dokumentiert die Weiß-SIM-Stufe „Internet Pro“, ausgegeben von der mit den Revolutionsgarden verbundenen Mobile Communications of Iran (MCI) — eine Whitelist-SIM-Kaste, die Zugang zu einem kuratierten Satz staatlich genehmigter Seiten und Behördendienste gewährt. Tier-2-SIMs (der Standard) verlieren den Zugang zum globalen Internet vollständig. Der wirtschaftliche Verlust beträgt etwa 35,7 Millionen US-Dollar pro Tag; der kumulierte Verlust seit dem Beginn am 30. Januar liegt bei etwa 5,2 Milliarden US-Dollar. Die CNN-Tiefenrecherche zu „Internet Pro“ vom 10. Mai beschreibt Wartezeiten von drei bis vier Stunden vor den SIM-Umstellungsbüros in Teheran und das Entstehen eines parallelen Graumarkts für den Weiterverkauf umgestellter Tier-1-SIMs zu Aufpreisen.

Russland. Das ISP-VPN-Erkennungsgesetz vom 15. April 2026 ist in Betrieb. Yandex, VK, Sberbank und Gosuslugi blockieren allesamt VPN-getunnelten Verkehr auf Anwendungsebene — eine koordinierte Indienstnahme großer privater Plattformen zur Durchsetzung der VPN-Erkennungspflicht. Die Mobilfunkabschaltungen vor dem Tag des Sieges rollten vom 4. bis zum 9. Mai über mehr als 21 Oblaste und gipfelten am 9. Mai in einer vollständigen Abschaltung von Mobilfunk und SMS in Moskau. Geldautomaten in den betroffenen Regionen fielen aus, weil sie auf Mobilfunk-Backhaul angewiesen sind. Die Begründung von Roskomnadsor — Abwehr von Drohnenangriffen — wurde von der unabhängigen Exilpresse Meduza in Frage gestellt, die darauf hinweist, dass die Drohnenkoordination eigene FPV-Steuerprotokolle nutzt und nicht GSM-Sprache oder SMS.

Pakistan. Die NCCIA Punjab hat zwischen dem 3. und dem 7. Mai 41 Journalisten, Blogger und Aktivisten nach Änderungen des Prevention of Electronic Crimes Act erfasst und 13 festgenommen. Der Bericht der Pakistan Press Foundation vom 5. Mai verzeichnete 233 Vorfälle gegen die Pressefreiheit von Januar 2025 bis April 2026.

Burkina Faso. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die geheime Haft des Journalisten Atiana Serge Oulon in einer klandestinen Einrichtung in Ouagadougou, wo er nach übereinstimmenden Recherchen von Le Monde, der Washington Post und Africanews über einen Zeitraum von Wochen mit Baumästen geschlagen wurde. Burkina Fasos Auflösung von 118 Nichtregierungsorganisationen am 15. April und Nigers Suspendierung von 2.900 der 4.700 registrierten Nichtregierungsorganisationen am 23. April rahmen die Schrumpfung des zivilgesellschaftlichen Raums in der Sahelzone.

Tansania. Der Bericht der Untersuchungskommission zur Gewalt nach der Wahl vom Oktober 2025 — bei dessen Bekanntwerden Amnesty International am 23. April 518 Tote und 2.390 Verletzte während einer fünftägigen vollständigen Internetabschaltung bestätigte — wird von der tansanischen Regierung weiterhin offiziell zurückgehalten. Der Bericht "Missed Opportunity" von Human Rights Watch vom 5. Mai kritisiert das fortgesetzte Zurückhalten. X bleibt in Tansania gesperrt.

Ägypten, VAE, Saudi-Arabien, Bahrain, Marokko. Die fünf arabischen Zielländer, die in HRWs Bericht benannt werden, bleiben Einsatzumgebungen für kommerzielle Spähsoftware im großen Maßstab. Die Dokumentation von Citizen Lab, dem Amnesty Security Lab und dem Pegasus Project von Access Now seit 2018 umfasst Tausende ausgespähter Geräte in diesen Jurisdiktionen.

Die Empfängerländer haben keine Alternativen auf der Netzbetreiberebene. Die Nutzerin und der Nutzer im Empfängerland haben keinen Zugang zu der Regulierungsbehörde, die den Ausfuhrantrag auf EU-Seite genehmigen oder ablehnen könnte. Die Nutzerin und der Nutzer im Empfängerland sind das Einsatzziel.

Die architektonische Gegenmaßnahme ist der nutzerkontrollierte Primitiv-Stack.

Die Nutzerseite

Den Exporteur zu benennen ist regulatorische Rechenschaft. Der nutzerkontrollierte Primitiv-Stack ist die technologische Rechenschaftsantwort. Sie laufen parallel.

Offene Clients mit nutzereigenen Schlüsseln. Signal, Tuta, Proton, Threema, Briar 1.5.17 (veröffentlicht am 12. März 2026 — läuft über Bluetooth, WLAN und Tor; funktioniert während Netzabschaltungen), Cwtch, Session, Matrix-Homeserver. Wo das Empfängerland keinen Zugang zur Regulierungsbehörde auf EU-Seite hat, haben die Nutzerinnen und Nutzer im Empfängerland Zugang zu quelloffenen Clients mit nutzereigenen kryptografischen Schlüsseln. Die Beendigung der Instagram-E2EE durch Meta am 8. Mai zeigte, dass selbst bestehende E2EE bei einer großen Plattform regulatorisch wegverhandelt werden kann. Offene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine architektonische Fläche.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS, CalyxOS (Android-16-Testbuild veröffentlicht am 4. Mai 2026), /e/OS, LineageOS, OpenWRT. Der Citizen-Lab-Bericht "Bad Connection" vom 23. April dokumentierte zwei Überwachungskampagnen auf Netzbetreiberebene — STA1, eine Herabstufung von Diameter auf SS7 über neun Länder hinweg, STA2, ein Zero-Click-SIMjacker über das veraltete S@T-Browser-SIM-Applet —, die für das Mobile Verification Toolkit, iVerify und Lookout unsichtbar sind. Das Eingeständnis des Memento-Labs-Geschäftsführers vom 9. Mai, dass die kommerzielle Spähsoftware „Dante“ ein Produkt seines Unternehmens ist, bestätigte die geräteseitige Realität. Mobilgeräte mit offener Firmware machen das Verhalten von Cache und Benachrichtigungsdatenbank der Prüfung durch die Nutzenden zugänglich. Betriebssysteme mit geschlossener Firmware tun das nicht.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem World Passkey Day der FIDO Alliance — veröffentlichte FIDO, dass im globalen Ökosystem fünf Milliarden Passkeys ausgerollt sind. Die Auslieferungen von YubiKey, Nitrokey und SoloKey laufen weiter. Yubico hat insgesamt mehr als 30 Millionen Hardwareschlüssel ausgeliefert. OpenAI ergänzte ChatGPT am 4. Mai um Passkeys und Hardwareschlüssel, mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano zu etwa 68 US-Dollar. Hardwaregebundene Anmeldedaten überstehen eine SIM-Kompromittierung; SS7- und Diameter-Angriffe über Geisterbetreiber reichen nicht zu hardwareschlüsselgeschützten Konten durch, weil der zweite Faktor nicht auf der SIM liegt.

Zensurresistente Transportwege. Tor Browser 15.0.13, veröffentlicht am 7. Mai 2026. V2Ray VLESS+Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. URnetwork-Peer-to-Peer-Overlay. URnetworks MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport vollständig von der Netzbetreiberebene zu abstrahieren. Irans Stufe „Internet Pro“ und Russlands VPN-Erkennungsgesetz vom 15. April sind das Bedrohungsmodell.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 ist seit Core 27.0 standardmäßig aktiv; die Mehrheit des globalen Bitcoin-Peer-to-Peer-Verkehrs ist inzwischen verschlüsselt. BIP352 Silent Payments (Core 28.0+) sind in aktivem Einsatz. Monero befindet sich im laufenden Trail-of-Bits-Audit zu FCMP++; das Audit begann am 11. Mai und läuft bis zum 22. Mai. FCMP++ ersetzt Ringsignaturen durch Full-Chain-Membership-Proofs, deren Anonymitätsmenge die gesamte UTXO-Menge ist — mehr als 150 Millionen Transaktionsausgänge zum Auditbeginn. Zcash Crosslink Milestone 5 wurde laut dem ZecHub-Digest vom 10. Mai abgeschlossen.

KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter / 49 Milliarden aktiv, Kontext von einer Million Token, 80,6 Prozent SWE-Bench Verified). Mistral Medium 3.5 (29. April, 128 Milliarden Parameter). Qwen 3.6 Max Preview (27. April). GLM-5.1 (7.-8. April, 744 Milliarden im Mixture-of-Experts-Verfahren, bestplatzierter Open-Source-Eintrag in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Milliarden Parameter insgesamt / 50 Millionen aktiv, im Browser lauffähig über transformers.js plus WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts, was per Beschlagnahmeanordnung geholt werden kann. Die am 11. Mai gestartete OpenAI Deployment Company und das seit dem 12. Mai allgemein verfügbare Anthropic Claude Cowork sind der konzernseitige Einsatz agentischer KI in der Identitäts- und Geräte-Management-Ebene aus SCIM / OpenTelemetry / Intune. Die nutzerseitige Gegenmaßnahme zum Konzern-KI-Einsatz ist KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation-Status seit Mai 2025); eIDAS 2.0 BBS+ selektive Offenlegung (Finalisierung bei der IETF läuft); Privacy Pass; die W3C-VC-Arbeitsgruppe arbeitet unter einer neuen Charta vom April 2026, die auf Recommendations für Render Method und Confidence Method im September 2026 zielt; die Frist für den Rollout der EU-Brieftasche für digitale Identität im Dezember 2026 (alle 27 Mitgliedstaaten müssen bereitstellen). Die mexikanische Frist für die CURP Biométrica am 30. Juni — mit der etwa 127 Millionen Mobilfunkanschlüsse an Gesichts-, Fingerabdruck- und Iris-Biometrie gebunden werden — ist das Bedrohungsmodell.

Selbst gehostete Dienste. Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Nextcloud, Mautic, SuiteCRM, Moodle Community, Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Das Lösegeld für den Einzelperimeter von Canvas / Instructure mit 8.809 betroffenen Einrichtungen ist das Bedrohungsmodell — Föderation hat keine Einzelanbieter-Einzelperimeter-Exponierung.

Mesh und Satellit auf Netzbetreiberebene. Briar, Bridgefy, Meshtastic, Reticulum, GoTenna PRO, Starlink. Irans Stufe „Internet Pro“, der Stromausfall an den Funktürmen in Khartum im Sudan und die russischen Abschaltungen in 21 Oblasten zum Tag des Sieges sind das Bedrohungsmodell. Die Feststellung der tansanischen Untersuchungskommission von 518 Toten ist der moralische Anker.

Kryptografische Agilität vor dem Auslaufen von FIPS 140-2 am 21. September. Die Standards ML-KEM (FIPS 203), ML-DSA (FIPS 204), SLH-DSA (FIPS 205) sind seit August 2024 in Kraft. Der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen, ohne auf nicht validierte Zustände zurückzufallen.

Die laufenden Uhren

| Datum | Ereignis | |---|---| | 13. Mai, heute | Fix für Palo Alto PAN-OS CVE-2026-0300 veröffentlicht (4 Tage nach der FCEB-Frist) | | 14. Mai | Fairness-Anhörung Bartz v. Anthropic (1,5 Mrd. USD); Bewerbungen der Zahlungsdienstleister für den digitalen Euro schließen | | 18. Mai | Anhörung des Unterausschusses des US-Repräsentantenhauses zur Canvas-Lösegeldzahlung | | 19. Mai | 48-Stunden-Löschpflicht der Plattformen nach dem TAKE IT DOWN Act | | 22. Mai | Trail-of-Bits-Audit zu Monero FCMP++ endet | | 26. Mai | Konsultation zum UK Online Safety Act schließt | | 27. Mai | Meta-Hauptversammlung (NLPC-Antrag zu KI und Datenschutz) | | 12. Juni | Auslaufen von Section 702 | | 26. Juni | Microsoft-Secure-Boot-UEFI-Zertifikat läuft ab | | 30. Juni | Frist für Mexikos CURP Biométrica | | 1. Juli | Apple Declared Age Range API in Louisiana aktiv; volle MiCA-Durchsetzung für Krypto-Dienstleister | | 2. Aug. | Durchsetzungsbefugnisse für GPAI nach dem EU-KI-Gesetz werden aktiv | | 2. Dez. 2026 | Artikel 5 des EU-KI-Gesetzes (Verbot von CSAM / NCII), Compliance laut Digital-Omnibus | | 21. Sep. | FIPS-140-2-Zertifizierungen → historisch (PQC-Auslaufen) | | 5.-12. Okt. | Neuverhandlung im Verfahren Roman Storm / Tornado Cash | | Dez. 2026 | Frist für den Einsatz der EU-Brieftasche für digitale Identität (27 Mitgliedstaaten) | | 2. Dez. 2027 | Hochrisiko-Pflichten nach Anhang III des EU-KI-Gesetzes (verschoben von Aug. 2026) | | 2. Aug. 2028 | Hochrisiko-Pflichten nach Anhang I des EU-KI-Gesetzes (verschoben von Aug. 2026) |

Schluss

Sofia. Warschau. Helsinki. Kopenhagen. Tallinn. Prag.

Sechs europäische Hauptstädte sind nun in einem Bericht von Human Rights Watch als die maßgeblichen Exporteure kommerzieller Spähsoftware unter der gescheiterten EU-Dual-Use-Verordnung von 2021 benannt. Mehr als zwanzig Zielländer — Saudi-Arabien, die VAE, Ägypten, Mexiko, Ungarn, die Türkei, Indien, Indonesien, Marokko, Bahrain und zehn oder mehr weitere — empfangen die Ausfuhren.

Gestern war der Dienstag, über den wir am Samstag geschrieben haben. Die FISC-Entscheidung wurde nicht veröffentlicht. Canvas zahlte. Sysco steckt fest. Foxconn bestätigte acht Terabyte. Der Patchday war ruhig, aber Dirty Frag läuft weiter, und Palo Altos Fix kam heute, vier Tage zu spät.

Morgen entscheidet Richterin Martínez-Olguín über den Vergleich über 1,5 Milliarden US-Dollar, der zur Vorlage dafür werden wird oder nicht, wie KI-Trainingsdaten vergütet werden. Morgen schließt die EZB das Bewerbungsfenster der Zahlungsdienstleister für den digitalen Euro.

Die Empfängerländer — Iran an Tag 75, Russland mit 21 Oblasten, Pakistan mit 13 Festnahmen, Burkina Faso mit der Villa in Ouagadougou, Tansania mit der zurückgehaltenen Kommission, Ägypten und die VAE und Saudi-Arabien und Bahrain und Marokko am Empfängerende der Pipeline Sofia-Warschau-Helsinki-Kopenhagen-Tallinn-Prag — haben keinen Zugang zur europäischen Regulierungsbehörde. Ihre Nutzerinnen und Nutzer haben die Alternative auf der Netzbetreiberebene nicht.

Der nutzerkontrollierte Primitiv-Stack ist die architektonische Antwort.

Offene Clients. Offene Firmware. Hardwareschlüssel. Zensurresistente Transportwege. Datenschutzwahrende Währung. KI mit lokaler Inferenz. Föderierte Identität mit selektiver Offenlegung. Selbst gehostete Dienste. Mesh und Satellit. Kryptografische Agilität.

Den Exporteur zu benennen ist die eine Rechenschaft. Der Primitiv-Stack ist die andere.

Beide laufen.

Quellen (2 Belege)

Referenzen

  • Human Rights Watch, "Looking the Other Way" (12. Mai 2026): https://www.hrw.org/report/2026/05/12/looking-the-other-way/eu-failure-to-prevent-surveillance-exports-to-rights
  • CISA-KEV-Katalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
  • Palo Alto Networks, Advisory zu CVE-2026-0300: https://security.paloaltonetworks.com/CVE-2026-0300
  • Vorläufige Einigung des Rates der EU zum KI-Gesetz (7. Mai): https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/
  • Microsoft Security Blog zu Dirty Frag (8. Mai): https://www.microsoft.com/en-us/security/blog/2026/05/08/active-attack-dirty-frag-linux-vulnerability-expands-post-compromise-risk/
  • Citizen Lab, "Bad Connection" (23. April): https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/
  • TechCrunch zur Nichtkooperation von Paragon (28. April): https://techcrunch.com/2026/04/28/paragon-is-not-collaborating-with-italian-authorities-probing-spyware-attacks-report-says/
  • Securelist zu ForumTroll / Dante: https://securelist.com/forumtroll-apt-hacking-team-dante-spyware/117851/
  • CNN zu Canvas / Instructure (7. Mai): https://www.cnn.com/2026/05/07/us/canvas-hack-strands-college-students-finals-week
  • TIME zu Canvas / Instructure (8. Mai): https://time.com/article/2026/05/08/canvas-cyber-attack-shinyhunters-hack-what-to-know/
  • KrebsOnSecurity zu Canvas
  • Foxconn / Nitrogen-Ransomware (12. Mai)
  • BleepingComputer zu Dirty Frag (7. Mai)
  • Bewerbungsaufruf der EZB für Zahlungsdienstleister des digitalen Euro: https://www.ecb.europa.eu/euro/digital_euro/applicants/html/index.en.html
  • Vergleich in Bartz v. Anthropic: https://anthropiccopyrightsettlement.com/
  • TIME zur FISC-Entscheidung vom 17. März (27. April): https://time.com/article/2026/04/27/fisa-fbi-spying-surveillance-fisa-court-congress-wyden/
  • Iran HRM, "Infrastructure of Silence" (9. Mai)
  • HRW Tansania, "Missed Opportunity" (5. Mai)
  • RSF zu Oulon in Burkina Faso (6. Mai)
  • Bericht der Pakistan Press Foundation 2025-2026
  • Internet Society Pulse zum Sudan
  • Bericht von Reporter ohne Grenzen zu PECA in Pakistan
  • FIDO Alliance World Passkey Day (7. Mai) — 5 Milliarden Passkeys
  • Release Notes zu Tor Browser 15.0.13 (7. Mai)
  • CalyxOS Android-16-Testbuild (4. Mai)
  • DeepSeek-V4-Release (22. April): https://huggingface.co/deepseek-ai/DeepSeek-V4-Pro
  • Mistral-Medium-3.5-Release (29. April)
  • Anthropic Claude Cowork, allgemeine Verfügbarkeit (12. Mai)
  • Start der OpenAI Deployment Company (11. Mai)
  • Trail of Bits / Monero-FCMP++-Audit (11.-22. Mai)
  • TRM Labs zu 76 % des Werts aus Krypto-Hacks 2026 durch die DVRK
  • TechRadar / HaveIBeenPwned zum Massenleak von ShinyHunters (6.-8. Mai)
  • Hacktivisten-Leak von ICE-Auftragnehmerdaten beim DHS (2. März): https://techcrunch.com/2026/03/02/hacktivists-claim-to-have-hacked-homeland-security-to-release-ice-contract-data/
  • Jacobin zum ICE-Projekt SAFE HAVEN: https://jacobin.com/2026/04/ice-contract-ai-surveillance-immigrants
  • Lever News zur bereinigten Website von Edge Ops: https://www.levernews.com/the-ice-surveillance-firm-with-missing-executives-and-phantom-clients/
  • BleepingComputer / TheRecord / Krebs zu TeamPCP npm „Mini Shai-Hulud“ (11. Mai)

Further Discussion

Sechs europäische Hauptstädte

Sofia. Warschau. Helsinki. Kopenhagen. Tallinn. Prag. Am Dienstag, dem 12. Mai 2026, veröffentlichte Human Rights Watch einen 54-seitigen Bericht mit dem Titel "Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments." Der Bericht benennt Bulgarien, Polen, Finnland, Dänemark, Estland und die Tschechische Republik — sechs Mitgliedstaaten der Europäischen Union — als die maßgeblichen Exporteure kommerzieller Spähsoftware unter der EU-Verordnung über Güter mit doppeltem Verwendungszweck von 2021. Der Bericht dokumentiert Lieferungen in mehr als zwanzig Zielländer mit einer Bilanz schwerer Menschenrechtsverletzungen: Saudi-Arabien, die Vereinigten Arabischen Emirate, Ägypten, Mexiko, Ungarn, die Türkei, Indien, Indonesien, Marokko, Bahrain und etwa zehn weitere. Die EU-Dual-Use-Verordnung von 2021 führte Genehmigungspflichten für "cyber-surveillance items" — Güter zur digitalen Überwachung — ein: Spähsoftware der Pegasus-Klasse, Ausrüstung zum Abhören von Mobilfunk, IMSI-Catcher, Plattformen für rechtmäßige Überwachung, bestimmte Netzwerk-Telemetrieausrüstung. Die Genehmigungspflicht wird von der zuständigen Behörde jedes Mitgliedstaats verwaltet. Die Europäische Kommission und die übrigen Mitgliedstaaten werden konsultiert. Die Feststellung von HRW lautet: Seit 2021 hat kein Mitgliedstaat unter den sechs benannten öffentlich einen Ausfuhrantrag für "cyber-surveillance items" abgelehnt. Nicht einen. Trotz dokumentierter Lieferungen in Zielländer, in denen die eingesetzten Werkzeuge forensisch nachverfolgt wurden — von Citizen Lab, dem Security Lab von Amnesty International und dem Pegasus Project von Access Now —, gerichtet gegen Journalistinnen und Journalisten, Anwältinnen und Anwälte, Oppositionspolitiker und Menschenrechtsverteidiger. Zu den benannten Anbietern gehören Intellexa (griechisch ansässig, mit tschechischen Aktivitäten und bulgarischen Zwischenhändlern); Memento Labs, die Umbenennung von Hacking Team / RCS Lab, deren Geschäftsführer Paolo Lezzi am 9. Mai einräumte, dass die in der Kaspersky-Offenlegung zu ForumTroll vom 28. Oktober 2025 genannte kommerzielle Spähsoftware „Dante“ ein Produkt seines Unternehmens ist; sowie zuvor unbenannte bulgarische und estnische Briefkastenfirmen, die HRW mit dem Weiterexport von Werkzeugen der Pegasus-Klasse in Verbindung bringt. Die EU-Verordnung von 2021 ist ein Papiertiger. Der Rahmen verlangt eine Genehmigung auf Ebene der Mitgliedstaaten. Er verlangt keine harmonisierten Ablehnungskriterien, keine harmonisierte Menschenrechtsprüfung, keine harmonisierte Endverwendungskontrolle und keine harmonisierte öffentliche Berichterstattung. Die aggregierte Berichterstattung der Kommission ist um drei Jahre verzögert und benennt weder Ziele noch Empfängerstellen. Gestern war der Dienstag, über den wir am Samstag geschrieben haben. Die vier Uhren der Ausgabe 06 — die FISC-Entscheidung zu Section 702, Microsofts Patchday, die Lösegeldfrist von ShinyHunters bei Canvas / Instructure, die Erpressungsfrist von Qilin bei Sysco — lösten sich nicht sauber auf. Die FISC-Entscheidung wurde nicht veröffentlicht; die Freigabeprüfung läuft weiter, während das Auslaufen von § 702 dreißig Tage entfernt ist. Instructure zahlte an ShinyHunters einen Tag vor Fristablauf, am 11. Mai, und erhielt "shred logs" — Vernichtungsprotokolle — für den 3,65 bis 6,65 Terabyte großen Canvas-Datenbestand mit 8.809 betroffenen Einrichtungen; der Kongress eröffnete am selben Tag eine Untersuchung. Microsofts Patchday landete mit 137 CVEs und null Zero-Days — dem ersten Patchday ohne Zero-Day seit Juni 2024 —, aber Foxconn bestätigte am selben Tag, dass die Ransomware Nitrogen acht Terabyte und elf Millionen Dateien mit angeblichen Projektdaten von Intel, Apple, Nvidia, Google und Dell abgezogen hatte. Sysco / Qilin bleibt ungelöst. Heute, am 13. Mai, lieferte Palo Alto den Fix für PAN-OS CVE-2026-0300 aus — vier Tage nach der Frist der CISA für die zivilen Bundesbehörden. Der IT-Betrieb des Bundes verbrachte vier Tage mit Konfigurationsmaßnahmen zur Risikominderung, weil der Hersteller-Patch nicht existierte. Heute ist Tag sieben von Dirty Frag; die RxRPC-Hälfte der Linux-Kernel-Kette, CVE-2026-43500, bleibt ungepatcht, bei aktiver Ausnutzung in freier Wildbahn laut dem Microsoft Security Blog. Morgen eröffnet Richterin Araceli Martínez-Olguín die Fairness-Anhörung in Bartz v. Anthropic zum Vergleich über 1,5 Milliarden US-Dollar, der rund 500.000 registrierte urheberrechtlich geschützte Werke abdeckt. Die entsiegelten Einwände benennen den Ausschluss ausländischer Werke, die Untererfassung bei Sammelregistrierungen und die zwangswirkende Benachrichtigung. Morgen um 17:00 Uhr MESZ schließt die Europäische Zentralbank die Bewerbungen der Zahlungsdienstleister für den digitalen Euro — mit der Auswahl von zehn bis dreißig Zahlungsdienstleistern für einen zwölfmonatigen Pilotbetrieb im zweiten Halbjahr 2027 mit einer programmierbaren, von der Zentralbank ausgegebenen Endkundenwährung. Die Empfängerländer haben die Regulierungsbehörde nicht. Iran ist an Tag 75 der längsten je verzeichneten Internetabschaltung — die Weiß-SIM-Kastenstufe „Internet Pro“ der mit den Revolutionsgarden verbundenen MCI ist im Wirkbetrieb, bei Verlusten von 35,7 Millionen US-Dollar pro Tag, 5,2 Milliarden US-Dollar kumuliert, mit drei- bis vierstündigen Wartezeiten vor den SIM-Umstellungsbüros. Russlands ISP-VPN-Erkennungsgesetz vom 15. April ist in Betrieb bei Yandex, VK, Sberbank und Gosuslugi — eine koordinierte Indienstnahme privater Plattformen zur Durchsetzung der VPN-Blockade. Die Mobilfunkabschaltungen vor dem Tag des Sieges rollten über 21 Oblaste und endeten am 9. Mai mit der vollständigen Abschaltung von Mobilfunk und SMS in Moskau. Pakistans NCCIA Punjab erfasste zwischen dem 3. und dem 7. Mai 41 Journalisten nach PECA und nahm 13 fest. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die geheime Haft des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er mit Baumästen geschlagen wurde. Tansanias Bericht der Untersuchungskommission zur Gewalt nach der Wahl vom Oktober 2025 — 518 Tote, 2.390 Verletzte während einer fünftägigen vollständigen Internetabschaltung — bleibt offiziell zurückgehalten. Sofia. Warschau. Helsinki. Kopenhagen. Tallinn. Prag. Sechs europäische Hauptstädte sind nun benannt. Die Frage der Rechenschaft ist nicht länger hypothetisch.

Was das Empfängerland nicht hat

Der Bericht von Human Rights Watch benennt sechs europäische Hauptstädte als Exporteure kommerzieller Spähsoftware. Die Empfängerländer — die Ziele der Ausfuhr — erhalten die Werkzeuge. Die Nutzerin und der Nutzer im Empfängerland sind das Einsatzziel. Das Empfängerland hat keinen Zugang zur europäischen Regulierungsbehörde. Die Nutzerin und der Nutzer im Empfängerland haben keine Alternative auf der Netzbetreiberebene. Die Journalistin, der Anwalt, die Oppositionspolitikerin und der Menschenrechtsverteidiger im Empfängerland haben keinen Weg zur zuständigen Behörde in Sofia, Warschau, Helsinki, Kopenhagen, Tallinn oder Prag. Was das Empfängerland hat, ist der nutzerkontrollierte Primitiv-Stack. **Offene Clients mit nutzereigenen Schlüsseln.** Signal, Tuta, Proton, Threema, Briar 1.5.17 (veröffentlicht am 12. März 2026 — läuft über Bluetooth, WLAN und Tor; funktioniert während Netzabschaltungen, weil es zur Weiterleitung von Nachrichten nicht auf die Netzbetreiberebene angewiesen ist), Cwtch, Session, Matrix-Homeserver. Die Beendigung der Instagram-E2EE durch Meta am 8. Mai zeigte, dass selbst bestehende E2EE bei einer großen Plattform regulatorisch wegverhandelt werden kann. Der Vergleich von Roblox mit den Generalstaatsanwaltschaften der Bundesstaaten über 35,8 Millionen US-Dollar vom 21. April zeigte, dass selbst heute bestehende E2EE bei einer großen Endkundenplattform per Vergleich wegverhandelt werden kann. Offene Clients mit nutzereigenen Schlüsseln bieten für keinen der beiden Zwänge eine architektonische Fläche. **Offene Firmware auf nutzerprüfbaren Chips.** GrapheneOS. CalyxOS Android-16-Testbuild, veröffentlicht am 4. Mai 2026. /e/OS. LineageOS. OpenWRT. Der Citizen-Lab-Bericht "Bad Connection" vom 23. April dokumentierte zwei Überwachungskampagnen auf Netzbetreiberebene — STA1, eine Herabstufung von Diameter auf SS7 über neun Länder hinweg, die als "ghost operators" (Geisterbetreiber) agieren, STA2, ein Zero-Click-SIMjacker über das veraltete S@T-Browser-SIM-Applet —, die für das Mobile Verification Toolkit, iVerify und Lookout unsichtbar sind. Das Eingeständnis des Memento-Labs-Geschäftsführers zu Dante vom 9. Mai bestätigte die geräteseitige Realität. Mobilgeräte mit offener Firmware machen das Verhalten von Cache und Benachrichtigungsdatenbank der Prüfung durch die Nutzenden zugänglich. Betriebssysteme mit geschlossener Firmware tun das nicht. Die von iVerify, Lookout und Google TAG am 18./19. März dokumentierte iOS-Angriffskette DarkSword ließ schätzungsweise 220 bis 270 Millionen iPhones auf den exponierten iOS-Versionen 18.4 bis 18.6.2 zurück. **FIDO2-Hardware-Authentifizierung.** Am 7. Mai 2026 — dem World Passkey Day der FIDO Alliance — waren im globalen Ökosystem fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. OpenAI ergänzte ChatGPT am 4. Mai um Passkeys und Hardwareschlüssel, mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano zu etwa 68 US-Dollar. Yubico hat insgesamt mehr als dreißig Millionen Hardwareschlüssel ausgeliefert. Hardwaregebundene Anmeldedaten überstehen eine SIM-Kompromittierung; SS7- und Diameter-Angriffe über Geisterbetreiber wie STA1 reichen nicht zu hardwareschlüsselgeschützten Konten durch, weil der zweite Faktor nicht auf der SIM liegt. Der Auftrag des ICE-Projekts SAFE HAVEN über 12,2 Millionen US-Dollar an Edge Ops LLC zur Kartierung der "daily routines, habits, and real-time locations" — der Tagesabläufe, Gewohnheiten und Echtzeit-Aufenthaltsorte — von Migrantinnen und Migranten ist das Bedrohungsmodell. **Zensurresistente Transportwege.** Tor Browser 15.0.13, veröffentlicht am 7. Mai 2026. V2Ray VLESS+Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. URnetwork-Peer-to-Peer-Overlay. URnetworks MCP-Server-Release vom 19. Februar erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport vollständig von der Netzbetreiberebene zu abstrahieren. Irans Stufe „Internet Pro“, Russlands VPN-Erkennungsgesetz vom 15. April, in Betrieb bei Yandex / VK / Sberbank / Gosuslugi, und Chinas „Great Unplug“ (拔线潮), die physische Trennung der Proxy-Infrastruktur am 1. April, sind das Bedrohungsmodell. Das nutzerkontrollierte Overlay taucht in keinem dieser Gesetze auf. **Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung.** Bitcoin BIP324 v2 (standardmäßig aktiv seit Core 27.0; die Mehrheit des globalen Bitcoin-Peer-to-Peer-Verkehrs ist inzwischen verschlüsselt) und BIP352 Silent Payments (Empfangen und Senden in Core 28.0+, mit den 2026 ergänzten BIP376 und BIP392). Monero befindet sich in aktiver FCMP++-Integration; das Trail-of-Bits-Audit begann am 11. Mai und läuft bis zum 22. Mai. FCMP++ ersetzt Ringsignaturen durch Full-Chain-Membership-Proofs, deren Anonymitätsmenge die gesamte UTXO-Menge ist — mehr als 150 Millionen Transaktionsausgänge. Zcash Crosslink Milestone 5 wurde laut dem ZecHub-Digest vom 10. Mai abgeschlossen. Nordkorea steht seit Jahresbeginn 2026 für 76 Prozent des gesamten Werts aus Kryptowährungs-Hacks, über die Angriffe auf Drift Protocol (295 Millionen US-Dollar) und Kelp DAO (292 Millionen US-Dollar) — zusammen 587 Millionen US-Dollar; die Währung in Nutzerverwahrung ist die architektonische Gegenmaßnahme zu Geld auf Betreiber-Sperrlisten. Der Brief von Samourai-Wallet-Gründer Keonne Rodriguez vom 7. Mai aus dem Bundesgefängnis, der um zwei Millionen Dollar Unterstützung bei Prozessschulden bittet, ist das Bedrohungsmodell dafür, was geschieht, wenn Primitive in Nutzerverwahrung kriminalisiert werden. **KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung.** DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter / 49 Milliarden aktiv, Kontext von einer Million Token, 80,6 Prozent SWE-Bench Verified). Mistral Medium 3.5 (29. April, 128 Milliarden Parameter). Qwen 3.6 Max Preview (27. April). GLM-5.1 (7.-8. April, 744 Milliarden im Mixture-of-Experts-Verfahren, bestplatzierter Open-Source-Eintrag in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Milliarden Parameter insgesamt / 50 Millionen aktiv, im Browser lauffähig über transformers.js plus WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts, was per Beschlagnahmeanordnung geholt werden kann. Die am 5. Januar von Richter Sidney Stein erlassene Anordnung zur Herausgabe von 20 Millionen Protokollen in OpenAI v. New York Times sowie das seit dem 12. Mai allgemein verfügbare Anthropic Claude Cowork und die am 11. Mai gestartete OpenAI Deployment Company — der konzernseitige Einsatz agentischer KI in der Identitäts- und Geräte-Management-Ebene aus SCIM / OpenTelemetry / Intune — sind das Bedrohungsmodell. **Föderierte Identität mit selektiver Offenlegung.** W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025; 7 Spezifikationen). eIDAS 2.0 BBS+ selektive Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die W3C-VC-Arbeitsgruppe arbeitet unter einer neuen Charta vom April 2026, die auf Recommendations für Render Method und Confidence Method im September 2026 zielt. Die mexikanische Frist für die CURP Biométrica am 30. Juni — mit der etwa 127 Millionen Mobilfunkanschlüsse an Gesichts-, Fingerabdruck- und Iris-Biometrie gebunden werden, mit Durchsetzung und Abschaltungen ab dem 1. Juli — ist das Bedrohungsmodell. Der Rollout des mobilen Führerscheins in Apple Wallet (13 Bundesstaaten plus Puerto Rico aktiv zum 1. Mai 2026; Akzeptanz durch die TSA an mehr als 250 Flughäfen) ist das nähere Bedrohungsmodell. Laden Sie Ihre Identität nicht zum Anbieter hoch. **Selbst gehostete Dienste.** Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Das gestern gezahlte Lösegeld für den Einzelperimeter von Canvas / Instructure mit 8.809 betroffenen Einrichtungen ist das Bedrohungsmodell. **Mesh und Satellit auf Netzbetreiberebene.** Briar. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Stufe „Internet Pro“, der Stromausfall an den Funktürmen in Khartum im Sudan und die russischen Abschaltungen in 21 Oblasten zum Tag des Sieges sind das Bedrohungsmodell. Die Feststellung der tansanischen Untersuchungskommission vom 23. April 2026 von 518 Toten — die Gewalt nach der Wahl vom Oktober 2025, verübt unter einer fünftägigen vollständigen Internetabschaltung — ist der moralische Anker. Wenn eine Abschaltung staatliche Gewalt ermöglicht, zählt die netzbetreiberunabhängige Ebene. **Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September.** Die Standards ML-KEM (FIPS 203), ML-DSA (FIPS 204), SLH-DSA (FIPS 205) sind seit August 2024 in Kraft. Der durchschnittliche FIPS-140-3-Validierungszyklus liegt bei etwa 542 Tagen, gemessen an der Basislinie von Anfang 2024. Der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen. Das Muster ist nun auf der EU-Seite und auf der Empfängerseite dasselbe. Die europäische Regulierungsbehörde genehmigt die Ausfuhr. Die Regulierungsbehörde des Empfängerlandes verweigert den Einsatz nicht. Die Nutzerin und der Nutzer im Empfängerland sind das Einsatzziel. Der Bericht von Human Rights Watch benennt sechs europäische Hauptstädte. Die morgige Bartz-Fairness-Anhörung wird die Vorlage über 1,5 Milliarden US-Dollar für die Vergütung von KI-Trainingsdaten genehmigen oder nicht. Morgen schließen die Bewerbungen der Zahlungsdienstleister für den digitalen Euro. Das Auslaufen von Section 702 am 12. Juni ist dreißig Tage entfernt. Das Microsoft-Secure-Boot-UEFI-Zertifikat läuft am 26. Juni ab. Die Frist für Mexikos CURP Biométrica ist der 30. Juni. Die Apple Declared Age Range API geht am 1. Juli in Louisiana live. Die Durchsetzungsbefugnisse für GPAI nach dem EU-KI-Gesetz werden am 2. August aktiv. FIPS 140-2 läuft am 21. September aus. Die Einsatzfrist für die EU-Brieftasche für digitale Identität ist Dezember 2026. Die Uhren, die diese Woche, diesen Monat, dieses Jahr laufen — 14. Mai / 18. Mai / 19. Mai / 22. Mai / 26. Mai / 27. Mai / 12. Juni / 26. Juni / 30. Juni / 1. Juli / 2. August / 21. September / 5.-12. Oktober / Dezember 2026 — sind politische Uhren und Protokolluhren. Sie laufen weiter. Der nutzerseitige Primitiv-Stack hängt nicht davon ab, in welche Richtung sie laufen. Offene Clients. Offene Firmware. Hardwareschlüssel. Zensurresistente Transportwege. Datenschutzwahrende Währung. KI mit lokaler Inferenz. Föderierte Identität mit selektiver Offenlegung. Selbst gehostete Dienste. Mesh und Satellit. Kryptografische Agilität. Den Exporteur zu benennen ist regulatorische Rechenschaft. Die Nutzerin und der Nutzer im Empfängerland haben die technologische Rechenschaft. Was das Empfängerland nicht hat, ist die Regulierungsbehörde. Was es hat, ist der Stack.

Comics

#1Sechs europäische Hauptstädte
#2Was das Empfängerland nicht hat