Die App, die nicht startet
Stellen Sie sich den datenschutzbewusstesten Menschen vor, den Sie kennen. Er nutzt GrapheneOS, das entgooglete Android, bevorzugt von Sicherheitsforscherinnen und von Menschen mit echten Gründen zur Vorsicht — Überlebende häuslicher Gewalt, Journalisten, Dissidenten. In diesem Sommer bietet ihm die Europäische Union eine App zur Altersverifikation an, die von ihrer Anlage her wirklich gut ist: quelloffen, auf Zero-Knowledge-Beweisen aufgebaut, in der Lage, „über 18“ zu belegen, ohne Geburtsdatum, Namen oder sonst etwas offenzulegen — genau das, was Datenschützer ein Jahrzehnt lang statt hochgeladener Pässe gefordert haben. Und sie wird sich weigern, auf seinem Telefon zu laufen. Nicht, weil sein Telefon unsicher wäre. Sondern weil es nicht von Google gesegnet ist.
Diese Verweigerung ist die ganze Geschichte der vergangenen zwei Wochen, und es geht darin nicht wirklich um Kinder. Unter den Alterskontrollen, den App-Store-Konflikten und den Entwicklerregeln liegt eine einzige Forderung: Beweisen Sie, dass Sie das ausführen dürfen. Beweisen Sie, dass Ihr Gerät echt ist. Beweisen Sie Ihr Alter. Beweisen Sie, dass die Autorin der Software mit bürgerlichem Namen aktenkundig ist. Das Fachwort für diese Forderung lautet Attestierung — ein vertrauenswürdiger Dritter, praktisch also Apple oder Google, bürgt kryptografisch gegenüber jeder App, jeder Website und jeder Behörde, die fragt. Die beiden Konzerne haben jahrelang daran gearbeitet, diese Bürgschaftsschicht in das Betriebssystem selbst einzubauen. In zwei Wochen dieses Juli griffen drei Klassen von Torwächtern gleichzeitig danach, und zwei weitere benannten den Weg daran vorbei als nächstes Ziel.
Zangenarm eins: die Kontrollstelle
Der App-Store. Am 6. Juli ließ der Supreme Court der USA auf seinem Eilrechtsweg — zwei kurze, nicht gezeichnete Beschlüsse, keine vermerkten Sondervoten — den App Store Accountability Act von Texas bestehen, vollstreckbar, seit der Fifth Circuit am 4. Juni die einstweilige Verfügung eines Distriktgerichts aufgehoben hatte. Apple und Google müssen nun bei der Kontoeröffnung das Alter jeder Nutzerin prüfen, jede Person in eine von vier Altersgruppen einsortieren und jeden Download durch Minderjährige über ein verifiziertes Elternteil leiten — für alle Apps, nicht nur für Erwachsenenangebote. Und man beachte das Wie: Apples Declared Age Range API, eingeführt mit iOS 26, und Googles Play Age Signals API lassen das Betriebssystem selbst gegenüber jeder fragenden App für Ihr Alter bürgen. Das Gesetz zwingt nicht die Pornoseite, Ihren Ausweis zu prüfen. Es macht das Gerät zum Orakel.
Das private Telefon. Die EU-App zur Altersverifikation ist so ausgelegt, dass sie Googles Play Integrity und Apples App Attest zur Bestätigung des Geräts verlangt, bevor sie überhaupt startet — sie werde „auf GrapheneOS oder irgendeinem anderen nicht von Google zugelassenen Android-ROM nicht funktionieren“, wie technische Analysen beim Erscheinen der Pilotversionen festhielten, und auch nicht, wenn man denselben Code selbst kompiliert, weil er dann nicht aus dem Play Store stammt. Die Kommission, die Google nach dem Digital Markets Act mit Bußgeldern belegt, verpflichtet Googles Attestierung zum Dienst als Identitätsinfrastruktur. Die App ist eine unverbindliche Empfehlung, mit Pilotversuchen in Dänemark, Frankreich, Griechenland, Italien und Spanien und einer vorgeschlagenen Einführung bis zum 31. Dezember — aber die Konstruktionsentscheidung ist bereits gefallen.
Ihr eigener Code. Googles Android Developer Verification wird von jeder Entwicklerin verlangen, eine rechtliche Identität zu hinterlegen, bevor ihre Software auf einem zertifizierten Gerät installiert werden darf; die Durchsetzung beginnt am 30. September in Brasilien, Indonesien, Singapur und Thailand und weitet sich von dort aus. Am 1. Juli nannte F-Droid — der wichtigste App-Store für freie Software — den ruhenden Durchsetzungsclient, der auf modernen Android-Geräten bereits als Systemdienst ausgeliefert wird, „einen Virus … der still auf die Fernaktivierung wartet“ und warnte, die Regel werde sein Projekt beenden, weil es Apps von pseudonymen Beitragenden verteilt, die Google keinen amtlichen Ausweis übergeben werden. Am 9. Juli lieferte es seine eigene Antwort aus, einen freien Verifizierer namens AppVerifier.
Das ist keine Sommerphase. Es wird in dauerhaftes Recht geschrieben. Kaliforniens AB 1043, im vergangenen Oktober unterzeichnet, wird ab dem 1. Januar 2027 jeden Betriebssystemanbieter — Apple, Google und, dem Wortlaut nach, auch Desktop-Linux und Valves SteamOS — verpflichten, Ihr Alter bei der Einrichtung des Geräts zu erheben und ein Altersgruppensignal an jede App zu senden, die danach fragt. Das Gerät führt Ihre Software nicht mehr bloß aus. Es fängt an, ihr über Sie zu berichten.
Zangenarm zwei: die benannten Fluchtwege
Sperrt man Gerät und Store, weichen die Menschen aus. Die vergangenen zwei Wochen zeigen, wonach der Staat als Nächstes greift.
Großbritannien. Die verpflichtende Altersprüfung für Erwachsenenseiten trat am 25. Juli 2025 in Kraft; ihr erster Jahrestag fällt in diesen Monat, und Ofcoms erster gesetzlich vorgeschriebener Wirksamkeitsbericht steht vor Ende Juli an. Das messbare Ergebnis des ersten Jahres war Abwanderung, nicht Sicherheit: Am ersten Tag meldete Proton VPN einen Anstieg der britischen Neuanmeldungen um mehr als 1.400 Prozent gegenüber der Vorstunde und um mehr als 1.800 Prozent gegenüber dem Vortag, und VPN-Apps belegten die Hälfte der Top Ten der kostenlosen Apps im britischen App Store. „Solche großen Ausschläge bei den Neuanmeldungen bringen wir normalerweise mit größeren zivilen Unruhen in Verbindung“, sagte Proton der Financial Times. Die amtliche Reaktion bestand nicht darin, die Mauer zu überdenken, sondern die Leiter ins Auge zu fassen: Englands Children's Commissioner nannte den VPN-Anstieg „ein Schlupfloch, das geschlossen werden muss“, und drängte auf Alterskontrollen für VPNs; eine Regierungskonsultation in diesem Frühjahr brachte die Idee förmlich auf den Tisch.
Und hier ist die Tatsache, die das Gespräch hätte beenden müssen. Der Anstieg kam von Erwachsenen, nicht von den Kindern, auf die das Gesetz zielt. Ofcoms eigene Leitlinien halten fest, dass nur etwa jeder zehnte VPN-Nutzer ein Kind ist; zwei unabhängige Erhebungen — Internet Matters, das im vergangenen Dezember tausend Kinder befragte, und Childnet — fanden überhaupt keinen Anstieg der VPN-Nutzung bei Kindern. Alterskontrollen für VPNs würden also Millionen Erwachsener ausweispflichtig machen, um ein Schlupfloch zu schließen, das die Kinder nie benutzt haben. Es ist der Kategorienfehler der ersten Mauer, eine Schicht tiefer.
Brüssel. Nach dem Streit um die Chatkontrolle ist der nächste Weg der Kommission in private Daten die verpflichtende Vorratsdatenspeicherung. Ihr Instrument zur Datenspeicherung unter dem Titel "Going Dark" — erwartet um die Mitte des Jahres 2026 und zum Zeitpunkt dieses Textes noch nicht vorgelegt — würde einem durchgesickerten Ratsdokument vom vergangenen November zufolge verlangen, dass Verbindungsmetadaten von jedem Onlinedienst ein Jahr oder länger protokolliert werden, wobei VPN-Anbieter ausdrücklich genannt sind. Und hier trifft die Forderung auf eine Mauer eigener Machart: Ein echtes No-Log-VPN hat nichts herauszugeben, weil es gebaut wurde, um nichts zu behalten. Mullvad, der schwedische Anbieter, erklärt, es werde nicht protokollieren, was immer im Endtext stehe — was, sobald das Instrument den Dienst neu einordnet, ein No-Log-VPN in Europa faktisch illegal machen würde. Eine Speicheranordnung ist eine Anordnung aufzuhören zu existieren. Man weicht dem Tor aus, und der Ausweichweg wird zum nächsten Tor.
Dieselben zwei Wochen, eine Schicht tiefer
Schließt man das Identitätstor, bleibt immer noch das Netz — die schlichte Fähigkeit, ein Paket zu einem Server zu bewegen, der nicht gesperrt ist. Auch dieses Tor wurde in denselben zwei Wochen neu gebaut, von anderer Hand, auf einer anderen Halbkugel.
Am 10. Juni tat ein Ingenieur im Iran alles, was die Handbücher vorschreiben. Er stellte seinen Tunnel hinter Cloudflare und zerlegte den einleitenden Handshake in Fragmente von zehn bis dreißig Byte, damit die Prüfbox des Zensors den verbotenen Domainnamen nie am Stück zu sehen bekommt. Die Domain war trotzdem binnen eines Tages tot. Die Deep-Packet-Inspection des Iran war um eine vollständige TCP-Reassemblierung erweitert worden — sie hält die Fragmente im Speicher, wartet und setzt den Satz wieder zusammen, bevor sie ihn liest, und entwertet damit den billigsten Umgehungstrick in nahezu jedem Werkzeug. In Russland legte Roskomnadzor zwischen dem 1. und 15. Juni laut TechRadar mehr als neunzig Prozent der Server von Amnezia VPN im Land lahm — nicht durch das Verbot eines Protokolls, sondern indem es die Signatur jedes Servers fingerprintete und ihn flutete, und anschließend Amnezias eigene Infrastruktur flutete, bis das Unternehmen nach eigener Aussage seine Zahlen nicht mehr veröffentlichen konnte, weil der Angriff genau das Werkzeug außer Gefecht gesetzt hatte, mit dem es Zensur misst. Der Zensor hat den Zeugen geblendet.
Der Wendepunkt, schlicht gesagt: Ein Protokoll ist eine Idee, und eine Idee lässt sich nicht aufzählen; ein Server ist eine Maschine mit einer Adresse, und die lässt sich aufzählen. Sobald das Ziel der feste, auffindbare Server ist, arbeitet sich ein gut finanzierter Staat schneller durch Ihre Adressliste, als Sie sie ersetzen können. Und in einem Zweiundsiebzig-Stunden-Fenster in diesem Monat antwortete das Open-Source-Feld mit einem einzigen Entwurf: am 10. Juli OpenRung — „Snowflake für das ganze Gerät“, freiwillige Relays, erreicht über einen Broker, der selbst niemals Verkehr trägt, mit einer kryptografisch signierten Relay-Liste, die der Zensor nicht vergiften kann; am 11. Juli ein Android-Client, Orden, der zwei Protokolle zugleich führt und in dem Moment umschaltet, in dem eines gedrosselt wird; am 12. Juli die begutachtete Zensurforschung des Feldes, veröffentlicht im Vorfeld der Symposien FOCI und PETS — einschließlich einer Analyse des durchgesickerten Toolkits, das Chinas Great Firewall als Produkt verpackt und an Myanmar, Pakistan, Kasachstan und Äthiopien verkauft. Der Angriff wird in derselben Woche als Dienstleistung verkauft, in der die Verteidigung offen begutachtet wird. Zwei Hände, eine Tür: Das Recht benennt die Fluchtwege, während die Paketinspektion sie physisch schließt.
Das Gegenargument, in voller Stärke
Nehmen wir die Gegenseite in ihrer stärksten Form, denn sie ist stark. Kinder erreichen harte Pornografie tatsächlich mit zwei Fingertipps, und der App-Store ist tatsächlich der Ort, an dem das Telefon eingerichtet wird — er ist also ein vertretbarer Kontrollpunkt und kein selbstevidenter Übergriff. Die Befürworter sind keine Randgruppe: Kinderschutzbündnisse reichten Schriftsätze ein, die die Gerichte drängten, das texanische Gesetz bestehen zu lassen, und der Fifth Circuit winkte es nicht durch — er hielt fest, Texas habe "made a strong showing that it is likely to succeed on the merits" — überzeugend dargelegt, dass es in der Sache voraussichtlich obsiegen werde —, und das Gesetz "more likely governs commercial speech", regele eher kommerzielle Äußerungen, die nur einer Angemessenheitsprüfung unterliegen. Die Zero-Knowledge-Beweise der EU-App sind, an ihren eigenen Maßstäben gemessen, eine echte Verbesserung des Datenschutzes gegenüber dem Hochladen eines Passes auf eine Pornoseite. Auch Googles Malware-Argument ist real: Der Konzern berichtet, aus dem Internet quergeladene Software trage mehr als die fünfzigfache Infektionsrate des Play Store, und anonyme, wegwerfbare Entwickleridentitäten seien genau das, was einen ertappten Malware-Autor bis zum nächsten Morgen unter neuem Namen wieder ausliefern lässt. Auf der Netzebene gilt derselbe Realismus: Verschleierung war immer eine Steuer, die jedes Protokoll zahlt, der Zensor passt sich binnen Tagen an — Russland fingerprintete Tors Snowflake-Transport im März über Nacht —, und Ausgänge über Endkundengeräte zu streuen, schiebt die Missbrauchsbeschwerde auf den Hausanschluss irgendeines Freiwilligen, wo dann die Polizei erscheint. Und diese Maßnahmen wurden von verschiedenen Gesetzgebern geschrieben, in verschiedenen Hauptstädten, aus verschiedenen Gründen, nach verschiedenen Zeitplänen. Es gibt kein Memo. In fünf unverbundenen Sicherheitsgesetzen eine koordinierte Einhegung zu sehen, ist genau das Muster, dem eine sorgfältige Leserin misstrauen sollte.
Die Erwiderung, die dem standhält
Beginnen wir beim Telefon, denn dort bricht die Sicherheitserzählung sauber zusammen. GrapheneOS ist nicht deshalb ausgeschlossen, weil es weniger sicher wäre, sondern weil es nicht Googles ist. Das Projekt weist darauf hin — und das ist in seiner eigenen Dokumentation unabhängig überprüfbar —, dass die Standard-Hardware-Attestierungs-API von Android „eine sehr viel stärkere Form der Attestierung bietet als die Play Integrity API“ und die Schlüssel eines alternativen Systems auf eine Whitelist setzen kann, und dass „der einzige Grund, weshalb [Google] es nicht zulässt, darin besteht, dass wir die Google Mobile Services nicht lizenzieren … damit werden Googles Geschäftsinteressen durchgesetzt, nicht die Sicherheit“. Eine stärkere, offenere Attestierung fällt absichtlich durch die Prüfung. Das Tor fragt also nicht, ob Ihr Gerät sicher ist. Es fragt, ob es gesegnet ist.
Die Malware-Erzählung bricht auf dieselbe Weise. Developer Verification prüft keine einzige Zeile Code und hindert keine verifizierte Entwicklerin daran, etwas Feindseliges auszuliefern; es ist ein Mechanismus für Identität und Widerruf, kein Scanner. Und der verräterische Punkt liegt in der Preisgestaltung: Die kostenpflichtige Stufe kostet 25 US-Dollar und einen amtlichen Ausweis, aber die kostenlose Stufe verlangt überhaupt keinen Ausweis — und begrenzt Sie auf etwa zwanzig Geräte. Was hier zugeteilt wird, ist nicht Geld. Es ist Anonymität in nennenswertem Umfang — genug, um im Freundeskreis zu testen, nie genug, um die Öffentlichkeit zu erreichen, ohne einen Namen zu hinterlegen.
Dann der Einwand, es gebe keine Koordination — der zutrifft, den wir einräumen und der die Lage schlimmer macht statt besser. Man braucht kein Memo, um eine Einhegung zu bekommen. Man braucht ein bequemes Primitiv und viele Torwächter. Sobald das Betriebssystem für das Gerät, das Alter der Nutzerin und die Identität der Entwicklerin bürgt, greift jede Instanz, die eine Kontrollstelle will, nach derselben Schicht, weil sie gleich dort liegt und funktioniert. Das Ergebnis ist kein Komplott; es ist ein Gravitationskollaps hin zum Engpass — und er ist schwerer aufzuhalten als eine Verschwörung, weil es kein einzelnes Gesetz zu verhindern gibt und niemanden, der für die Summe zur Verantwortung gezogen werden kann. Jedes Gesetz für sich ist vertretbar. Das System, zu dem sie sich addieren, hat niemand unterschrieben.
Die Netzebene beantwortet ihr eigenes Gegenargument auf dieselbe Weise. Die Behauptung war nie, dass Traffic-Shaping das Wettrüsten gewinnt; sie lautet, dass Shaping plus Vielfalt die Rechnung des Zensors verändert. Fingerprint-and-Flood ist gegen ein paar hundert feste Server verheerend — deshalb fielen neunzig Prozent der Amnezia-Server — und nahezu nutzlos gegen Millionen von Endkundenadressen, die aussehen wie gewöhnliche Verbraucher und die sich nicht fluten lassen, ohne das Verbraucherinternet mitzureißen, auf dem der Staat selbst läuft. Russlands Juni-Angriff setzt einen Server voraus, den man jagen kann; entfernt man den festen Server, entfernt man das, wofür der Angriff gebaut wurde.
Und das ist der verräterische Punkt, der beide Zangenarme verbindet. Nichts auf der Liste des Gegenarguments — ein geprüftes Alter, ein ertappter Malware-Autor, ein vollstreckter Durchsuchungsbeschluss — erfordert es, GrapheneOS auszuschließen, F-Droid zu beenden, ein No-Log-VPN zu verbieten oder ein Endkunden-Relay zu fingerprinten. Diese Werkzeuge werden benannt, weil sie die Kontrollstelle aushebeln, nicht das Sicherheitsziel. Sie sind der Rest, den das Tor nicht verarbeiten kann: die Geräte, Autorinnen und Verbindungen, für die keine zentrale Instanz bürgen kann. Eine Einhegung ist durch das definiert, was sie aussperrt.
Was wir wissen und was nicht
Halten wir die Bilanz ehrlich, denn die Stärke des Musters liegt in seiner Zurückhaltung. Heute vollstreckbar: das texanische Gesetz (ein Bundesstaat, in der Berufung, mit einer Verhandlung zur Sache vor dem Fifth Circuit im August), Großbritanniens Alterskontrollregime, Googles Stichtag 30. September für Developer Verification und — ab 2027 — Kaliforniens Alterssignal auf Betriebssystemebene. Eine unverbindliche Empfehlung mit laufenden Pilotversuchen: die EU-Alters-App, deren Ausschluss von GrapheneOS ebenso sehr veröffentlichte Konstruktionsentscheidung wie ausgelieferte Tatsache ist und die ihr Anbieter vor einem Jahr als „verfrühte Panik“ bezeichnete. Ein noch nicht vorgelegter Vorschlag: die Vorratsdatenspeicherung der EU, die VPNs beim Namen nennt. Bislang reine Interessenvertretung, kein Gesetz: der britische Vorstoß, VPNs mit Alterskontrollen zu belegen. Und tagealt, mit winzigen Netzen und zuerst im Forum: OpenRung und Orden, deren Versprechen real und deren Größenordnung unbelegt ist. Niemand hat eine Koordination nachgewiesen, weil es keine nachzuweisen gibt. Belegt ist etwas Engeres und Seltsameres — fünf Torwächter, die unabhängig voneinander nach demselben Primitiv greifen und in denselben zwei Wochen dieselben Fluchtwege benennen, während die Paketinspektion sie von der anderen Seite schließt.
Was sich konkret tun lässt
Das Unbezeugbare funktioniert heute noch, und es zu benutzen, ist das Argument. GrapheneOS installiert sich ohne Konto und ohne Ausweis, und seine Maintainer sagen, das werde so bleiben; F-Droid lieferte AppVerifier am 9. Juli aus; behalten Sie ein Telefon, das noch sideloaden kann, denn genau diese Fähigkeit soll der
- September senken. Führen Sie mehr als einen Transportweg mit, so wie Orden es tut, damit eine Drosselung
ein Achselzucken ist und kein Blackout; aktualisieren Sie Ihren Umgehungsclient und ärgern Sie sich nicht über die erzwungenen Updates, denn die zustandslosen Tricks in den alten Versionen sind die, die in diesem Monat sterben; und betreiben Sie eine Messsonde — OONI lieferte am 6. Juli eine Desktop-App aus —, denn die Karten dessen, was gesperrt ist, entstehen aus Nutzerinnen, die die Daten freiwillig beisteuern.
Der Rest ist politisch, und die Hebel sind in Bewegung. Der Fifth Circuit verhandelt das texanische Gesetz im August in der Sache. Der EU-Speichervorschlag wird noch entworfen, und ein Jahrzehnt an Urteilen des Gerichtshofs gegen eine "general and indiscriminate", also allgemeine und unterschiedslose, Speicherung wartet auf ihn. Googles Einführung ist eine Richtlinie, kein Gesetz, und mehr als siebzig Organisationen aus dreiundzwanzig Ländern haben sich bereits dagegen ausgesprochen.
Das Vertrauen, das man nicht schenken muss
Die tiefste Antwort ist die, bei der dieses Journal aus jeder Richtung ankommt. Attestierung ist eine Art, Vertrauen in eine zentrale Instanz zu legen — Google, Apple, ein VPN, dem das Protokollieren angeordnet werden könnte, ein Server, der lange genug stillsteht, um fingerprintet zu werden — und zu hoffen, dass sie vertrauenswürdig bleibt oder überhaupt bestehen bleibt. Die Alternative ist kein besserer Torwächter. Sie ist eine Architektur, die den Torwächter überflüssig macht: Onion-Routing, WireGuard, dezentrale Relays und Mixnets wie URnetwork, wo kein Betreiber die Identität hält, um für Sie zu bürgen, keiner zum Protokollieren gezwungen werden kann und es keine feste Serverflotte zum Aufzählen gibt. Nennen wir die ehrliche Grenze deutlich — kein VPN verbirgt Ihr Gesicht vor einer Bahnhofskamera, und keine noch so weitgehende Dezentralisierung zaubert ein Signal herbei, wenn eine Regierung dem ganzen Netz den Stecker zieht, wie der Iran es im Januar tat. Innerhalb dieser Grenzen ist die Eigenschaft, die diese zwei Wochen nicht einhegen können, diejenige, auf der zu bauen sich lohnt: Man kann nicht attestieren, was kein Tor hat, und man kann nicht fingerprinten, was keinen festen Server hat. Bauen Sie das Netz so, dass „Beweisen Sie, dass Sie das ausführen dürfen“ niemanden mehr hat, den es fragen könnte.
Quellen (4 Belege)
Quellen
- SCOTUSblog und NPR, "Supreme Court allows Texas to enforce app-store age-verification and parental-consent law" (6. Juli 2026); CCIA v. Paxton — Aussetzung der distriktgerichtlichen Verfügung durch den Fifth Circuit am 4. Juni 2026; App Store Accountability Act (SB 2420), gesetzliches Inkrafttreten 1. Januar 2026; Verfügung des W.D. Tex. (Richter Robert Pitman) Dezember 2025; Verhandlung zur Sache angesetzt für August 2026.
- Apple Developer, "Update on age requirements for apps distributed in Texas" (Declared Age Range API, iOS 26; vier Altersgruppen); Google Play Console Help, "Changes to Google Play for upcoming app-store laws" (Play Age Signals API).
- California Legislature, AB 1043 (Digital Age Assurance Act), unterzeichnet im Oktober 2025, in Kraft ab 1. Januar 2027 (Alterssignal auf Betriebssystemebene; gilt für alle Betriebssystemanbieter) — leginfo.legislature.ca.gov; Berichterstattung von Tom's Hardware zur Betroffenheit von Linux/SteamOS.
- Europäische Kommission, "Commission recommends rollout of the age-verification app" (29. April 2026; unverbindlich; vorgeschlagene Einführung bis 31. Dezember 2026; Pilotversuche DK/FR/GR/IT/ES); OSnews und ppc.land, "EU age-verification app requires a Google/Apple-approved device" (Juli 2025); Biometric Update, Antwort von Scytales ("Play Integrity one of the methods; premature panic", Juli 2025).
- GrapheneOS, "Attestation compatibility guide" (Hardware-Attestierung stärker als Play Integrity; Ausschluss getrieben von der Lizenzierung der Google Mobile Services, "not security").
- F-Droid, "What We Talk About When We Talk About Malware" (Marc Prud'hommeaux, 1. Juli 2026; "a virus … silently awaiting remote activation"); F-Droid, "This Week in F-Droid", AppVerifier (9. Juli 2026); Google, Android Developers Blog, "Android developer verification" (März 2026; Behauptung zur mehr als 50-fachen Sideload-Malware-Rate; 25 US-Dollar + amtlicher Ausweis; kostenlose Stufe mit begrenzter Verbreitung, ~20 Geräte, kein Ausweis; Durchsetzung ab 30. September in BR/ID/SG/TH); offener Brief von mehr als 70 Organisationen aus 23 Ländern (EFF, ACLU, FSF, Tor, Proton, LineageOS).
- TechRadar und die Financial Times, VPN-Anstieg in Großbritannien nach Einführung der Altersprüfung (Proton +1.400 % pro Stunde / +1.800 % pro Tag; Zitat "civil unrest"; in Kraft seit 25. Juli 2025); Ofcom-Leitlinien zur Altersprüfung ("about one in ten VPN users is a child"); Internet Matters (Dezember 2025, n≈1.000) und Childnet zum ausgebliebenen Anstieg der VPN-Nutzung bei Kindern; Technadu, Children's Commissioner "loophole that needs closing" / Forderung nach Alterskontrollen für VPNs; Ofcom-Wirksamkeitsbericht fällig Ende Juli 2026.
- TechRadar, "EU prepares ground for wider data retention — VPN providers among the targets"; heise, "Data retention proposal expected by mid-2026" (Stand Mitte Juli nicht vorgelegt); durchgesickertes Ratsdokument (November 2025), das VPN-Anbieter nennt und eine Speicherfrist von rund 12 Monaten vorsieht; Mullvad (No-Log-Richtlinie); Rechtsprechungslinie des EuGH gegen eine allgemeine und unterschiedslose Speicherung (Digital Rights Ireland 2014; Tele2 2016; La Quadrature du Net 2020).
- Konvergenz (Netzebene): net4people/bbs #628 (vollständige TCP-Reassemblierung im Iran, 10. Juni 2026) und FOCI-2026-Analyse zur Abschaltung im Iran; TechRadar und Meduza zur Roskomnadzor-Offensive gegen Amnezia (>90 % der russischen Server, Juni 2026; Messwerkzeug außer Betrieb); AmneziaWG 2.0 Traffic-Shaping (ausgeliefert um den 25. März 2026); net4people/bbs #634 (OpenRung, 10. Juli) und #635 (Orden, 11. Juli); Tor Project, Arti 2.5.0 mit Counter Galois Onion als stabil (30. Juni 2026); Tagungsband petsymposium.org/foci/2026 (öffentlich ab etwa 12. Juli; QUIC-SNI-Zensur in Russland; "Geedge Cases" — Great-Firewall-Toolkit exportiert nach Myanmar/Pakistan/Kasachstan/Äthiopien); OONI Probe Desktop-App (6. Juli 2026).