Achtzehn Jahre
Die Cybersecurity and Infrastructure Security Agency nimmt Schwachstellen nur dann in ihren Katalog der bekannten ausgenutzten Schwachstellen auf, wenn forensische Belege für eine Ausnutzung in freier Wildbahn vorliegen. Der Katalog ist die maßgebliche Liste der Bundesregierung über Schwachstellen, die aktiv angegriffen werden. Die Binding Operational Directive 22-01 legt für jeden Eintrag Behebungsfristen für die Behörden der zivilen Bundesexekutive fest. Aufnahmen durch die CISA sind operative Signale.
Gestern, am Mittwoch, 20. Mai 2026, nahm die CISA sieben Schwachstellen in den KEV-Katalog auf.
Fünf von sieben stammen aus 2008, 2009 oder 2010 — sie sind zwischen sechzehn und achtzehn Jahre alt.
CVE-2008-4250 — Pufferüberlauf-Schwachstelle in Microsoft Windows. Ursprüngliche Offenlegung: Oktober 2008. Achtzehn Jahre alt.
CVE-2009-1537 — NULL-Byte-Überschreibung in Microsoft DirectX. Ursprüngliche Offenlegung: 2009. Siebzehn Jahre alt.
CVE-2009-3459 — Heap-basierter Pufferüberlauf in Adobe Acrobat und Reader. Ursprüngliche Offenlegung: 2009. Siebzehn Jahre alt.
CVE-2010-0249 — Use-after-free-Schwachstelle im Microsoft Internet Explorer. Ursprüngliche Offenlegung: 2010. Sechzehn Jahre alt.
CVE-2010-0806 — Use-after-free-Schwachstelle im Microsoft Internet Explorer. Ursprüngliche Offenlegung: 2010. Sechzehn Jahre alt.
CVE-2026-41091 — Rechteausweitung in Microsoft Defender. Offengelegt 2026.
CVE-2026-45498 — Denial of Service in Microsoft Defender. Offengelegt 2026.
Die fünf Alt-CVEs erstrecken sich über Windows, DirectX, Adobe Acrobat und Internet Explorer. Die Herstellerpatches für alle fünf wurden vor Jahren veröffentlicht — für die älteste vor achtzehn Jahren. Es sind keine neuen Schwachstellen. Die CISA verfügt über forensische Belege, dass sie heute aktiv gegen Systeme ausgenutzt werden, die die Patches nie eingespielt haben.
Die Deutung ist strukturell. Die Hersteller-Patch-Pipeline hat einen so großen Schwanz ungepatchter Altsysteme hervorgebracht, dass die Ausnutzung eines 18 Jahre alten Pufferüberlaufs in Windows 2026 eine tragfähige Angriffsstrategie bleibt. Die Angreifer haben herausgefunden, welche Systeme verwundbar geblieben sind, dagegen im großen Maßstab automatisiert — und nun muss die CISA das CVE von 2008 auf die bundesweite Liste der aktiven Ausnutzung setzen.
Die Patch-Pipeline hat einen achtzehnjährigen Schwanz.
Fünf von sieben aus der Altlast
Die Verteilung von 5 aus 7 ist nicht das übliche Muster von CISA-KEV-Aufnahmen. Der Katalog wächst typischerweise mit jüngeren Schwachstellen — Offenlegungen des laufenden Quartals oder Jahres, die forensisch mit Ausnutzungskampagnen in freier Wildbahn verknüpft wurden. Fünf Schwachstellen aus 2008 bis 2010 an einem einzigen Tag aufzunehmen, signalisiert, dass sich das Lagebild der CISA verschoben hat.
Drei mögliche Deutungen:
Erstens: Ein staatsnaher Bedrohungsakteur oder ein kommerzieller Spyware-Anbieter hat die Alt-CVEs wiederentdeckt und setzt sie im großen Maßstab gegen Systeme ein, die nie gepatcht wurden. Das Altbestand-Angriffsinventar ist aufgefrischt worden.
Zweitens: Eine kriminelle Erpressergruppe hat die Ausnutzung der Alt-CVEs automatisiert, um die Population ungepatchter Systeme zu kompromittieren — Einrichtungen, die ihre Software seit fünfzehn und mehr Jahren nicht gepflegt haben.
Drittens: Die forensische Sicht der CISA hat sich erweitert — die Behörde hat die Telemetrie verbessert, die die Ausnutzung von Alt-CVEs in Bundesnetzen erkennt, und die Aufnahmen vom 20. Mai bilden ab, was ohnehin schon geschah, statt einer neuen Angriffskampagne.
Welche Deutung auch zutrifft, die operative Folge ist dieselbe. Die IT-Behörden des Bundes — und mit ihnen jede Organisation, die den CISA-KEV-Katalog als Teil ihres Schwachstellenmanagements verfolgt — müssen jetzt Schwachstellen beheben, für die Herstellerpatches erschienen sind, bevor manche der heutigen IT-Beschäftigten alt genug zum Autofahren waren.
Der Verizon Data Breach Investigations Report 2026, veröffentlicht am Dienstag, 19. Mai — zwei Tage vor dem CISA-Ereignis —, fand, dass der Median der Zeit bis zum Patchen einer kritischen Schwachstelle von 32 Tagen im Jahr 2024 auf 43 Tage im Jahr 2025 gestiegen ist. Ein Anstieg um 34 Prozent. Das Maß des DBIR ist der Median. Die CISA-KEV-Aufnahmen vom 20. Mai sind der Schwanz: das Maß am 99. Perzentil dafür, wie langsam die Patch-Pipeline im großen Maßstab läuft. Achtzehn Jahre.
Defender selbst
Die beiden nicht aus der Altlast stammenden CVEs, die gestern in den KEV-Katalog aufgenommen wurden, betreffen beide Microsoft Defender: CVE-2026-41091 (Rechteausweitung) und CVE-2026-45498 (Denial of Service).
Microsoft Defender ist Microsofts Endpunktschutz-Plattform für Unternehmen. Es ist das, was Microsoft als Sicherheitslösung verkauft. Es ist der Agent, der Schadsoftware erkennt, laterale Bewegung blockiert und Vorfälle an Security Operations Center meldet. Als Microsoft am 12. Mai Microsoft Defender for AI Agents ankündigte, positionierte das Unternehmen Defender als Sicherheitsinfrastruktur für die Ära agentischer KI — mit webhook-basiertem Abfangen in Echtzeit, Asset-Kontext-Zuordnung je Agent und Laufzeitschutz. Microsofts multimodales agentisches Scan-Harness (MDASH), in derselben Woche gestartet, orchestriert mehr als 100 spezialisierte KI-Agenten, erreichte 88,45 Prozent im CyberGym-Benchmark und fand 16 neue Windows-Schwachstellen.
Microsoft Defender — das Werkzeug, das Schwachstellen erkennt — hat nun zwei eigene CVEs im bundesweiten Katalog der aktiven Ausnutzung.
Die rekursive Ironie ist strukturell. Wenn das Sicherheitswerkzeug selbst eine Angriffsfläche ist, verlässt sich die Architektur darauf, dass der Hersteller des Sicherheitswerkzeugs sein eigenes Werkzeug patcht. Die Patch-Pipeline, die laut DBIR bei einem Median von 43 Tagen bis zum Patch läuft, ist dieselbe Pipeline, die Defender-Fixes ausliefern muss. Microsoft wird sie ausliefern. Sie werden auf den meisten Systemen installiert werden. Auf manchen werden sie nicht installiert werden.
Der achtzehnjährige Schwanz gilt rekursiv. Manche Defender-Installationen von 2026 werden im Jahr 2044 immer noch ungepatcht gegen CVE-2026-41091 laufen.
Der DBIR-Hintergrund
Der Verizon Data Breach Investigations Report ist der am längsten laufende jährliche Benchmark-Datensatz der Cybersicherheitsbranche. Die Ausgabe 2026, veröffentlicht am Dienstag, 19. Mai, wertete mehr als 22.000 bestätigte Sicherheitsverletzungen und mehr als 31.000 Sicherheitsvorfälle in 145 Ländern aus, mit einem Berichtszeitraum vom 1. November 2024 bis zum 31. Oktober 2025.
Der Hauptbefund: Zum ersten Mal in neunzehn Jahren DBIR-Veröffentlichung hat die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als Einstiegsweg Nummer eins in Sicherheitsverletzungen überholt. 31 Prozent aller Sicherheitsverletzungen im Jahr 2025 begannen mit der Ausnutzung einer Schwachstelle. Gestohlene Zugangsdaten — neunzehn Jahre in Folge auf Platz eins — fallen auf Platz zwei.
Der Behebungsbefund: Nur 26 Prozent der kritischen Einträge aus dem CISA-Katalog der bekannten ausgenutzten Schwachstellen waren bis 2025 vollständig behoben — nach 38 Prozent im Jahr 2024. Ein Rückgang um zwölf Punkte in einem einzigen Jahr. 58 Prozent teilweise behoben; 16 Prozent unbearbeitet. Der Median der Zeit bis zum Patch einer kritischen Schwachstelle stieg auf 43 Tage — vierunddreißig Prozent mehr als die 32 Tage im Jahr 2024.
Der Lieferkettenbefund: Lieferkettenverletzungen bei Dritten sprangen um 60 Prozent gegenüber dem Vorjahr. Sie machen inzwischen 48 Prozent aller Sicherheitsverletzungen aus.
Der KI-Befund: KI wird von Bedrohungsakteuren genutzt, um die Zeit zwischen Offenlegung und operativer Waffenfähigkeit von Monaten auf Stunden zu verkürzen. Die Nutzung von KI-Werkzeugen durch Beschäftigte stieg binnen eines Jahres von 15 Prozent auf 45 Prozent. Der Verkehr von KI-Bots wächst um 21 Prozent pro Monat.
Das CISA-KEV-Ereignis vom 20. Mai ist die operative Demonstration aller drei DBIR-Befunde. Die Ausnutzung von Schwachstellen ist der neue Einstiegsweg Nummer 1 — und der Katalog muss 18 Jahre alte CVEs aufnehmen, weil die Patch-Pipeline nicht mithalten kann. Die Patch-Krise reicht von heute (Exchange OWA, an Tag 7 aktiver Ausnutzung immer noch ohne Patch) bis 2008 (achtzehn Jahre nach der Offenlegung immer noch ausgenutzt). Die Lieferkettenkrise reicht durch jeden Hersteller, der eine ungepatchte Abhängigkeit ausliefert.
Zwanzig Monate unentdeckt
Das Muster, das den achtzehnjährigen Schwanz hervorbringt, ist in operativer Form sichtbar. Am 12. Mai 2026 — vor neun Tagen — verhängte das britische Information Commissioner's Office gegen die South Staffordshire Plc und die Muttergesellschaft South Staffordshire Water Plc ein Bußgeld von insgesamt 963.900 Pfund (rund 1,3 Millionen Dollar) für den Cl0p-Ransomware-Einbruch von 2022, der 633.887 Kundinnen, Kunden und Beschäftigte des Wasserversorgers der kritischen Infrastruktur betraf.
Die veröffentlichten Feststellungen des ICO dazu, was den Einbruch ermöglichte, sind ein Porträt des Versagens der Patch-Pipeline im großen Maßstab:
- Der ursprüngliche Zugangsweg war eine Phishing-E-Mail; die Empfangsperson öffnete einen Anhang, der Schadsoftware installierte
- Die Schadsoftware blieb zwanzig Monate lang in der IT-Umgebung des Unternehmens unentdeckt
- Nur 5 Prozent der IT-Umgebung wurden überwacht
- Veraltete Software blieb im Betrieb, darunter Windows Server 2003 — ein Betriebssystem, das Microsoft zuletzt 2015 unterstützte, vor elf Jahren
- Das Schwachstellenmanagement war unzureichend, einschließlich ungepatchter kritischer Systeme
- Die Angreifer erlangten mit begrenzten Kontrollen administrative Rechte
- Die persönlichen Daten von 633.887 Menschen wurden im August 2022 im Darknet veröffentlicht
Windows Server 2003 lief 2022 auf operativen Systemen der kritischen Infrastruktur. Das Support-Ende für Server 2003 war der 14. Juli 2015. Die Patches, die das Betriebssystem zur Abwehr von CVE-2008-4250 — der gestrigen KEV-Aufnahme — bräuchte, waren 2008 verfügbar. Das System lag zum Zeitpunkt der Kompromittierung zwanzig Jahre hinter der Patch-Pipeline zurück.
Das ist es, was den achtzehnjährigen Schwanz hervorbringt.
Das Bußgeld kommt vier Jahre nach dem Einbruch. Das Muster besteht weltweit bei unzähligen Betreibern kritischer Infrastruktur fort, die ihre eigenen ungepflegten Alt-Stacks betreiben — gegen die Uhr der Aufsicht, die Jahre später aufholt, und gegen die Uhr der Angreifer, die sie heute findet.
Tag sieben bei Exchange
Während der achtzehnjährige Schwanz das alte Ende der Patch-Krise ist, ist das aktuelle Ende derselben Krise in dieser Woche operativ.
CVE-2026-42897 im Microsoft Exchange Server — eine kritische Spoofing-Schwachstelle in Outlook Web Access mit Ursprung in Cross-Site-Scripting, CVSS 8.1 — wurde von Microsoft am 14. Mai offengelegt. Die Offenlegung enthielt die Angabe, dass die Schwachstelle bereits ab Tag eins aktiv in freier Wildbahn ausgenutzt wurde. Die CISA nahm sie am nächsten Tag, dem 15. Mai, in den Katalog der bekannten ausgenutzten Schwachstellen auf, mit einer Behebungsfrist der zivilen Bundesexekutive zum 29. Mai.
Heute ist Tag 7 der aktiven Ausnutzung. Die Behebungsfrist ist 8 Tage entfernt.
Einen dauerhaften Patch gibt es weiterhin nicht. Microsoft hat eine automatische Mitigation veröffentlicht, die nur für Kunden mit aktiviertem Exchange EM Service gilt. Kunden ohne EM Service müssen manuelle Schritte zur Abhilfe umsetzen. Der IT-Betrieb des Bundes muss die FCEB-Frist zum 29. Mai mit Abhilfemaßnahmen statt mit Patchen einhalten.
Das Muster ist dasselbe wie im Fall CVE-2026-0300 in Palo Alto PAN-OS vom 9. bis 13. Mai: Die Frist aus der Binding Operational Directive 22-01 der CISA lag vor dem Herstellerpatch. Die zivilen Bundesbehörden mussten mitigieren, nicht patchen. Der Patch-Zyklus der Hersteller läuft strukturell hinter dem Zyklus der Aufsicht und dem Takt der Angriffe her.
Der DBIR-Befund, dass KI die Zeit bis zur Waffenfähigkeit eines Exploits von Monaten auf Stunden geschrumpft hat, greift hier. Microsoft veröffentlichte die Offenlegung am selben Tag mit der Bestätigung aktiver Ausnutzung. Es gab kein Fenster zum vorherigen Patchen. Die Angreifer arbeiten mit einer engeren Uhr als die Verteidigung.
Das Anodot-Muster
Der dritte DBIR-Befund — Lieferkettenverletzungen um 60 Prozent gegenüber dem Vorjahr gestiegen, inzwischen 48 Prozent aller Sicherheitsverletzungen — wird an den kompromittierten Authentifizierungs-Token einer einzigen SaaS-Analyseplattform vorgeführt.
Im April 2026 nutzte die Erpressergruppe ShinyHunters kompromittierte Authentifizierungs-Token der Analyseplattform Anodot, um über gestohlene Anodot-Token mit BigQuery-Zugriff auf Cloud-Daten mehrerer nachgelagerter Kunden zuzugreifen. Zwei dieser nachgelagerten Vorfälle landeten im Mai:
Zara — 197.400 offengelegte E-Mail-Adressen. Inditex, die Muttergesellschaft von Zara, teilte im April 2026 mit, dass ein unbefugter Akteur auf Datenbanken zugegriffen habe, die bei einem „früheren Technologieanbieter“ gehostet wurden. Have I Been Pwned bestätigte 197.400 eindeutige E-Mail-Adressen neben Produkt-SKUs, Bestell-IDs und der Marktkennung für Support-Tickets. ShinyHunters setzte Zara anschließend mit einer Frist zum 21. April, sich bei Inditex zu melden, auf sein Leak-Portal im Darknet und veröffentlichte dann ein 140-GB-Archiv, als die Lösegeldverhandlungen scheiterten.
Vimeo — 119.000 Nutzende. Am 5. Mai 2026 bestätigte Vimeo, dass Angreifer im April über dieselbe Anodot-Integration persönliche Daten von rund 119.000 Nutzenden gestohlen hatten. Der Zugriff erfolgte über diese Integration, nicht durch einen Einbruch bei Vimeo selbst. ShinyHunters veröffentlichte ein 106-GB-Archiv, als die Lösegeldverhandlungen scheiterten.
Die eine Anodot-Kompromittierung erzeugte nachgelagerte Vorfälle bei mehreren großen Kunden. Das ist das Lieferkettenmuster: Wer den SaaS-Anbieter angreift, erhält lateralen Zugriff auf jeden nachgelagerten Mandanten. Der DBIR-Befund, dass Lieferkettenverletzungen inzwischen 48 Prozent aller Sicherheitsverletzungen ausmachen, ist die Makrosicht; der Anodot-Vorfall ist eine operative Mikro-Demonstration.
Die Lieferkettenübernahme von node-ipc vom 14./15. Mai — 10 Millionen wöchentliche Downloads, kompromittiert über die Übernahme eines Kontos via abgelaufener Domain in der Wiederherstellungs-E-Mail des Maintainers — ist eine weitere. Die Ausnutzung der pull_request_target-Fehlkonfiguration in GitHub Actions bei Grafana / Coinbase Cartel vom 17./18. Mai ist eine weitere. Der biometrische Einbruch bei NYC Health + Hospitals mit 1,8 Millionen Betroffenen (Offenlegung am 18. Mai) über einen ungenannten Drittanbieter ist eine weitere.
Jeder einzelne davon ist derselbe DBIR-Befund in operativer Form.
Vierundzwanzig Stunden bis zum Auditabschluss
Während die zentralisierte Hersteller-Patch-Pipeline mit der KI-beschleunigten Exploit-Pipeline nicht mithalten kann (der DBIR-Befund) und Schwachstellen nicht beheben kann, die vor achtzehn Jahren veröffentlicht wurden (der CISA-KEV-Befund), ratifiziert die auditgetriebene kryptografische Upgrade-Pipeline der Open-Source-Community morgen ein großes Upgrade.
Das Trail-of-Bits-Audit zu Moneros FCMP++ ist bei Tag 11 seines elftägigen Fensters. Das Audit endet am 22. Mai — vierundzwanzig Stunden von jetzt an.
FCMP++ ersetzt Ringsignaturen durch Zugehörigkeitsnachweise über die gesamte Kette. Die Anonymitätsmenge weitet sich von 16 Täuschkörpern je Transaktion auf die gesamte UTXO-Menge aus — mehr als 150 Millionen Transaktionsausgänge. Ein sauberes Audit macht den Weg für das Konsens-Upgrade frei und beseitigt den letzten erheblichen technischen Einwand gegen Moneros Privatsphäre-Behauptungen auf Protokollebene.
Der strukturelle Test: Können kryptografische Upgrades auf Protokollebene über auditgetriebene, offene Community-Governance mit einer Strenge ratifiziert werden, die dem zentralisierten Herstellermodell vergleichbar ist — aber ohne den Median von 43 Tagen, die Behebungsquote von 26 Prozent und den 18-Jahre-Schwanz der zentralisierten Hersteller-Patch-Pipeline?
Die Antwort kommt morgen.
Bitcoin BIP324 v2 (verschlüsseltes P2P, seit Core 27.0 standardmäßig aktiv) und BIP352 Silent Payments (ab Core 28.0, mit BIP376 PSBTv2-Tweak-Daten und dem BIP392-Deskriptorformat, 2026 ergänzt) arbeiten auf derselben auditgetriebenen, offenen Governance. Zcash Crosslink Milestone 4 (PoW + BFT-Finalität integriert; Vitalik Buterins zweite Spende an Shielded Labs unterstützte das Upgrade am 6. Februar) arbeitet auf derselben. Die auditgetriebene kryptografische Upgrade-Pipeline ist strukturell verschieden von der zentralisierten Hersteller-Patch-Pipeline, die der DBIR als scheiternd befunden hat.
Was lief
Die Patch-Krise des Bundes und der achtzehnjährige Schwanz pausieren die globale Ebene der Empfängerländer nicht.
Iran — Tag 83. Irans Internet-Blackout tritt heute in Tag 83 ein. Insgesamt rund 1.992 Stunden. Die längste je verzeichnete Internetabschaltung. Wirtschaftliche Kosten rund 250 Millionen Dollar pro Tag laut einer Analyse von CBC News. Kumulierter Verlust seit dem Beginn am 8. Januar 2026: rund 5,75 Milliarden Dollar und mehr. Die Online-Umsätze fielen um 80 Prozent. Der Gesamtindex der Teheraner Börse verlor binnen vier Tagen 450.000 Punkte. Die Kastenstufe Internet Pro mit weißer SIM für IRGC/MCI bleibt im produktiven Betrieb, mit Wartezeiten von drei bis vier Stunden in den Büros zur SIM-Umstellung in Teheran.
Russland — Telegram-Blockade und MAX laufen weiter. Russland blockierte Telegram am 17. März 2026. Fünfundneunzig Prozent der Telegram-Verbindungen scheitern ohne VPN. Telegrams April-Update, das den Verkehr als normalen Browser-Verkehr tarnt, stellte den Zugang binnen Stunden wieder her. Der Kreml forciert weiter MAX, seinen „souveränen“, staatlich kontrollierten Messenger, der 107 Millionen registrierte Nutzende hat, wegen seiner Überwachungsfunktionen aber nur begrenzt tatsächlich genutzt wird. Die Türkei-App BiP, das südkoreanische KakaoTalk und Chinas WeChat verzeichneten im März in Russland ein Nutzerwachstum von plus 60 Prozent. Das Gesetz zur VPN-Erkennung bei Providern vom 15. April bleibt bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn in Betrieb. Der Mobilfunk-VPN-Aufschlag vom 1. Mai wurde verschoben. Laut Meduza überwachen 22 der 30 beliebtesten Android-Apps Russlands inzwischen den VPN-Status auf Anwendungsebene.
China — der Great Unplug hält an. Die physische Abschaltung Tausender Proxy-Dienst-Server im April schränkt die Umgehungsmöglichkeiten chinesischer Nutzender weiterhin ein. Nur TLS-basierte Verschleierung überlebt zuverlässig.
Niger — Tag 13 des Verbots internationaler Medien. Vor dreizehn Tagen, am 8. Mai, ordnete das militärisch kontrollierte Observatoire Nationale de la Communication Nigers die Aussetzung von neun internationalen Medien an: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Die Verbote gelten weiter. Niger ist laut der Zählung des Committee to Protect Journalists vom 1. Dezember 2025 der zweitschlimmste Kerkermeister von Journalisten in Subsahara-Afrika.
Burkina Faso — Tag 16 des Verbots von TV5 Monde. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er über Wochen mit Baumzweigen geschlagen wurde.
Pakistan — die PECA-Welle hält an. Der Bericht des Freedom Network vom 29. April dokumentierte die anhaltende Einschränkung der Pressefreiheit. Die Pakistan Press Foundation zählte 233 Vorfälle von Januar 2025 bis April 2026.
Tansania — Bericht der Untersuchungskommission unter Verschluss. Bericht vom 23. April: 518 Tote (502 Zivilisten, 16 Sicherheitskräfte, 21 Kinder) während der Gewalt nach der Wahl vom 29. Oktober 2025. Der Bericht bleibt unter Verschluss. X (Twitter) bleibt in Tansania gesperrt.
Mexiko — 40 Tage bis zur CURP Biométrica. Frist am 30. Juni 2026. Rund 127 Millionen Mobilfunkanschlüsse müssen sich bis dahin gegen die biometrische CURP (Gesicht, Fingerabdruck, Iris) registrieren oder werden abgeschaltet. Der Einbruch bei NYC Health + Hospitals vom 18. Mai — 1,8 Millionen Fingerabdrücke und Handflächenabdrücke dauerhaft in gegnerischem Besitz — ist das Bedrohungsmodell.
Drei Tage TAKE IT DOWN
Heute ist Tag 3 der Durchsetzung von Section 3 des TAKE IT DOWN Act durch die FTC. Der verpflichtende Löschrahmen legt erfassten Plattformen nach einer wirksamen Meldung durch Betroffene ein Fenster von 48 Stunden auf, bei einer zivilrechtlichen Strafe von 53.088 Dollar je Verstoß und je nicht bereinigtem Fall. Gestern, am 20. Mai, startete die FTC takeitdown.ftc.gov als öffentliches Meldeportal für Verbraucherinnen und Verbraucher. Die fünfzehn Plattformen, die in den Mahnschreiben vom 11. Mai genannt wurden — Amazon, Alphabet, Apple, Automattic, Bumble, Discord, Match Group, Meta, Microsoft, Pinterest, Reddit, SmugMug, Snapchat, TikTok, X —, bleiben die Prioritätenkarte der FTC.
Die bürgerrechtliche Kritik von EFF, ACLU, CDT, R Street Institute und Free Speech Center bleibt operativ: Die Löschbestimmung ist weiter gefasst als die strafrechtliche NCII-Definition; die 48-Stunden-Frist erzwingt Befolgung statt Prüfung; das Gesetz sieht keine Schutzvorkehrungen gegen mutwillige oder bösgläubige Anträge vor; rechtmäßige Satire, Journalismus und politische Rede könnten zu Unrecht entfernt werden; Ende-zu-Ende-verschlüsselte Plattformen (Signal, Matrix, Briar, Threema, Tuta, Proton) können strukturell nicht nachkommen. Präsident Trumps Erklärung zur Unterzeichnung vom 19. Mai 2025 — „Ich werde dieses Gesetz auch für mich selbst nutzen. Es gibt niemanden, der online schlechter behandelt wird als ich.“ — bleibt das politische Risiko.
Zweiundzwanzig Tage bis zum Auslaufen von Section 702
Heute ist das Auslaufen von Section 702 des FISA zweiundzwanzig Tage entfernt — am 12. Juni 2026.
Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 bleibt Verschlusssache. Senator Wydens fünfzehntägiges Fenster für die beschleunigte Freigabe — am 30. April als Bedingung für die 45-tägige Verlängerung ausgehandelt — schloss um den 15. Mai ohne Veröffentlichung. Das Justizministerium hat nicht freigegeben. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Senator Cottons Einwand gegen eine Verabschiedung im Konsensverfahren mit angehängter Freigabebestimmung hatte Bestand.
Die Debatte über eine Reform auf der Abfrageseite läuft weiter ohne die strukturelle Sicht des Gerichts. Die Berichterstattung des American Prospect vom 11. Mai beschrieb, wie „KI den Überwachungsstaat befeuert“ — automatisierte, nachgelagerte Analyseketten laufen gegen den §702-Bestand. Der Kongress autorisiert Überwachung neu, ohne die Sicht des FISC auf die Abfragepraktiken des FBI.
Das Auslaufen am 12. Juni ist das nächste erzwingende Ereignis.
Ein Jahr Protokolle
Während die Debatte über die Neuautorisierung von §702 in Washington läuft, bereitet die Europäische Union Gesetzgebung vor, die nutzerseitig ein paralleles Massenspeicherungsregime auferlegen würde.
Laut einem geleakten Dokument des Europäischen Rates, das das deutsche Medium Netzpolitik im November 2025 erlangte, hat sich eine Mehrheit der EU-Mitgliedstaaten auf die Umrisse eines neuen Rahmens zur Vorratsdatenspeicherung verständigt. Der erklärte Anspruch des Rahmens: verpflichtende Protokollierung von Verbindungsmetadaten — IP-Adressen, Zeitstempel, Sitzungsdauer, Verkehrsvolumen — durch jeden Onlinedienst. Die vorgeschlagene Mindestspeicherfrist beträgt ein Jahr. Einige Mitgliedstaaten wollen, dass der Vorschlag VPN-Dienste mit "the broadest possible scope of application" einbezieht — mit dem größtmöglichen Anwendungsbereich. Faktisch würde der Vorschlag „No-Log“-VPNs im EU-Gebiet illegal machen.
Der Gesetzesvorschlag wird für den Sommer 2026 im Rahmen der Initiative „Going Dark“ / ProtectEU erwartet — der Kehrtwende der Europäischen Kommission nach der verlorenen Auseinandersetzung um Chat Control 2.0 am 26. November 2025. Das erklärte Ziel der EU im breiteren Going-Dark-Fahrplan: "to enable law enforcement authorities to access encrypted data in a lawful manner" — den Strafverfolgungsbehörden auf rechtmäßige Weise Zugang zu verschlüsselten Daten zu ermöglichen — bis 2030.
Mullvad VPN hat öffentlich erklärt, den EU-Markt zu verlassen, statt Protokolle zu speichern. Signal-Präsidentin Meredith Whittaker hat erklärt, Signal werde den europäischen Markt verlassen, wenn ein Gesetz zur Aushöhlung der Verschlüsselung beschlossen wird.
Der architektonische Gegenentwurf zum EU-Vorschlag einer einjährigen Speicherung ist das nutzerkontrollierte Overlay — das Peer-to-Peer-Overlay von URnetwork, Tor, V2Ray VLESS+Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy —, das im Register nicht als Betreiber eines öffentlichen Dienstes auftaucht. Das nutzerkontrollierte Overlay ist gesetzlich unsichtbar.
Der nutzerseitige Primitiv-Stack
Der architektonische Gegenentwurf zu den drei Verizon-DBIR-Befunden, dem achtzehnjährigen CISA-KEV-Schwanz, den Microsoft-Defender-CVEs, der aktiven Ausnutzung von Exchange OWA an Tag 7 ohne Patch, dem Anodot-Lieferkettenmuster, dem 20 Monate unentdeckten Einbruch bei South Staffordshire Water, dem Auslaufen von Section 702, dem EU-Vorschlag zur einjährigen Speicherung, dem staatlichen Handeln in den Empfängerländern und dem Ausrollen der agentischen Fläche ist der nutzerseitige Primitiv-Stack. Er hängt nicht von der zentralisierten Hersteller-Patch-Pipeline ab, die den achtzehnjährigen Schwanz hervorgebracht hat.
Offene Clients mit nutzergehaltenen Schlüsseln. Signal. Tuta. Proton. Threema. Briar 1.5.17 (die Veröffentlichung vom 12. März 2026 läuft über Bluetooth, WLAN und Tor; sie funktioniert während Abschaltungen auf der Betreiberschicht, weil sie zum Weiterleiten von Nachrichten nicht auf die Betreiberschicht angewiesen ist). Cwtch. Session. Matrix-Homeserver. Die architektonische Eigenschaft: Offene Codebasen erhalten schneller Community-Audits, als alte Closed-Source-Codebasen über achtzehn Jahre Herstellerpatches erhalten. Das Signal-Protokoll steht seit mehr als elf Jahren unter öffentlicher Prüfung. Ende-zu-Ende-Verschlüsselung nimmt die serverseitige Exfiltrationsfläche aus Lieferkettenangriffswegen wie Anodot heraus.
Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS (Pixel 6+ mit Android 16 in der Vorschau 2026030501, einschließlich der Android-Sicherheitsbulletins von April bis August 2026). CalyxOS Android-16-Test-Build 7.2.1.0, veröffentlicht am 4. Mai 2026. /e/OS. LineageOS. OpenWRT. Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April dokumentierte zwei Überwachungskampagnen auf Betreiberseite, die für Betriebssysteme mit geschlossener Firmware unsichtbar sind: STA1 (Diameter-zu-SS7-Downgrade in neun Ländern mit Geisterbetreibern) und STA2 (SIMjacker-Zero-Click über das alte S@T-Browser-SIM-Applet). Offene Firmware legt das Verhalten von Cache und Benachrichtigungsdatenbank für die Prüfung durch Nutzende offen.
FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem Welt-Passkey-Tag der FIDO Alliance — waren weltweit fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. Yubico hat insgesamt mehr als 30 Millionen Hardware-Schlüssel ausgeliefert. Der Einbruch bei NYC Health + Hospitals legte die Fingerabdrücke und Handflächenabdrücke von 1,8 Millionen Menschen offen — biometrische Merkmale, die nicht neu ausgestellt werden können. Hardware-gebundene Zugangsdaten ersetzen Biometrie als zweiten Faktor überall dort, wo sie akzeptiert werden.
Zensurresistente Transporte. Tor Browser 15.0.13 und 16.0a6 (Notfallveröffentlichungen vom 7. Mai). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. Peer-to-Peer-Overlay von URnetwork. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. Irans Internet-Pro-Stufe, Russlands Gesetz zur VPN-Erkennung bei Providern vom 15. April (und der verschobene Mobilfunkaufschlag vom 1. Mai), Chinas Great Unplug, der EU-Vorschlag Going Dark / ProtectEU für den Sommer 2026 — keines dieser Gesetze benennt das Overlay, weil es nicht als Betreiber eines öffentlichen Dienstes auftaucht.
Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; inzwischen die Mehrheit des weltweiten Peer-to-Peer-Verkehrs von Bitcoin). Bitcoin BIP352 Silent Payments (ab Core 28.0, BIP376 + BIP392 2026 ergänzt). Monero FCMP++ — das Trail-of-Bits-Audit endet morgen, am 22. Mai; Anonymitätsmenge von 150 Millionen Ausgängen bei sauberem Audit. Zcash Crosslink Milestone 4 (Vitaliks zweite Spende vom 6. Februar unterstützte das Upgrade). Der Brief des Samourai-Wallet-Mitgründers Keonne Rodriguez vom 7. Mai aus FPC Morgantown — ein Aufruf zu 2 Millionen Dollar Unterstützung für Prozesskostenschulden, nachdem die Hoffnungen auf Begnadigung geschwunden sind — ist das Bedrohungsmodell dafür, was geschieht, wenn Primitive in Nutzerverwahrung kriminalisiert werden.
Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (22. April, MIT, 1,6 Billionen / 49 Milliarden aktive Parameter, 1 Million Token Kontext, 80,6 Prozent SWE-Bench Verified, 90,1 Prozent GPQA Diamond). DeepSeek V4 Flash (284 Milliarden / 13 Milliarden aktiv). Mistral Medium 3.5 (29. April, 128 Milliarden, 77,6 Prozent SWE-Bench). Qwen 3.6 Max Preview (27. April, 201 Sprachen). GLM-5.1 (744 Milliarden Mixture-of-Experts, Spitzenplatz unter Open Source in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, im Browser lauffähig über transformers.js + WebGPU). Laut DBIR stieg die Nutzung von KI-Werkzeugen durch Beschäftigte binnen eines Jahres von 15 Prozent auf 45 Prozent — und der größte Teil dieses Wachstums entfällt auf cloudgehostete Dienste. Lokale Inferenz ist der architektonische Gegenentwurf.
Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025; sieben Spezifikationen). eIDAS 2.0 BBS+ zur selektiven Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die mexikanische Frist zur CURP Biométrica am 30. Juni (40 Tage von heute an, mit der 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris gebunden werden) ist das Bedrohungsmodell. Laden Sie Ihre Identität nicht beim Anbieter hoch.
Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Schadensradius jeder einzelnen Herstellerkompromittierung. Jeder Homeserver ist für seinen eigenen Patch-Takt verantwortlich — aber Föderation verteilt jenes Lieferkettenrisiko durch Dritte, das laut DBIR um 60 Prozent gegenüber dem Vorjahr gewachsen ist. Die Ausnutzung von pull_request_target bei Grafana / Coinbase Cartel ist die architektonische Erinnerung daran.
Mesh und Satellit auf der Betreiberschicht. Briar (Bluetooth, WLAN, Tor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Internet-Pro-Stufe, der Stromausfall an den Funkmasten in Khartum im Sudan, Russlands Abschaltungen in 21 Oblasten vor dem Tag des Sieges und die fünftägige vollständige Internetabschaltung in Tansania, die während der Gewalt nach der Wahl vom 29. Oktober 2025 mehr als 518 Tote ermöglichte — die betreiberunabhängige Schicht ist der strukturelle Gegenentwurf.
Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September und dem Q-Day 2029. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). Standards seit August 2024 in Kraft. Der durchschnittliche Validierungszyklus für FIPS 140-3 beträgt rund 542 Tage, gemessen an der Basis von Anfang 2024. Vorsorgliches Ausrollen post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen. Googles Frist zur Quantenmigration 2029 und Cloudflares gleichlautende Zusage rahmen die nächsten 1.228 Tage. Das Bedrohungsmodell „harvest now, decrypt later“ ist heute operativ. Signals Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und dem Schlüsselaustausch PQXDH den „Triple Ratchet“ — Signals Post-Quanten-Härtung.
Schluss
Achtzehn Jahre.
So lange existiert CVE-2008-4250. Offenlegung im Oktober 2008. Microsoft-Patch 2008 veröffentlicht. Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen: gestern, am 20. Mai 2026 — achtzehn Jahre später.
Der Herstellerpatch existiert. Die Behebung fand nicht statt.
Das ist der achtzehnjährige Schwanz der Patch-Pipeline.
Fünf von sieben CISA-KEV-Aufnahmen von gestern stammen aus 2008 bis 2010. Zwei sind Microsoft-Defender-CVEs — das Sicherheitswerkzeug selbst im Katalog. Der Verizon-DBIR-Befund von achtundvierzig Stunden zuvor ist der Makro-Kontext: 31 Prozent Ausnutzung von Schwachstellen als Einstiegsweg Nummer 1, Behebungsquote von 26 Prozent (12 Punkte weniger), Median von 43 Tagen bis zum Patch (34 Prozent mehr), Sprung von 60 Prozent in der Lieferkette (inzwischen 48 Prozent aller Sicherheitsverletzungen), KI, die Exploit-Fenster von Monaten auf Stunden schrumpft.
Die Demonstrationsfälle dieser Woche reichen von den gestrigen achtzehnjährigen Aufnahmen zurück über das Bußgeld von 963.900 Pfund gegen South Staffordshire Water vom 12. Mai (20 Monate unentdeckt, Windows Server 2003 im Betrieb, 5 Prozent der IT-Umgebung überwacht), die aktive Ausnutzung von Exchange OWA seit dem 14. Mai ohne dauerhaften Patch an Tag 7, die Lieferkettenkompromittierung von node-ipc mit 10 Millionen Downloads vom 14./15. Mai, die Exfiltration von Quellcode bei Grafana / Coinbase Cartel über pull_request_target vom 17./18. Mai, den biometrischen Einbruch bei NYC Health + Hospitals mit 1,8 Millionen Betroffenen vom 18. Mai bis zu den Anodot-Token, die im April und Mai die nachgelagerten Vorfälle bei Zara (197.400) und Vimeo (119.000) ermöglichten.
Das Trail-of-Bits-Audit zu Moneros FCMP++ endet in vierundzwanzig Stunden.
Section 702 läuft in zweiundzwanzig Tagen aus. Die FISC-Entscheidung bleibt Verschlusssache.
Die mexikanische Frist zur CURP Biométrica ist vierzig Tage entfernt.
Der Iran steht bei Tag 83 des längsten je verzeichneten Internet-Blackouts.
Der EU-Vorschlag „Going Dark“ zur einjährigen Speicherung kommt im Sommer 2026.
Das Auslaufen von FIPS 140-2 ist 123 Tage entfernt.
Der Q-Day ist 1.228 Tage entfernt.
Der nutzerseitige Primitiv-Stack — offene Clients, offene Firmware, Hardware-Schlüssel, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität — arbeitet außerhalb der zentralisierten Hersteller-Patch-Pipeline, die den achtzehnjährigen Schwanz hervorgebracht hat.
Achtzehn Jahre sind der Schwanz.
Der Stack ist die Antwort.
URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, das in keinem der oben genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen ist. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren.
https://ur.io