Am Freitag, dem Tag, an dem die vier Tage des Richters abliefen, reichte das Department of Homeland Security seine Erklärung ein: einen 25-seitigen Schriftsatz, unterzeichnet in „Main Justice“ – der Washingtoner Zentrale des Justizministeriums – und eine achtseitige eidesstattliche Erklärung des Agenten, der die Operation genehmigt hatte. Zusammen besagen sie: Homeland Security Investigations (HSI), der kriminalpolizeiliche Ermittlungsarm des Ministeriums, schickte am Abend des 28. Mai eine verdeckte Ermittlerin in die Kellerturnhalle der University Baptist Church in Minneapolis, mit "a concealed body-worn audio recorder" – einem versteckten, am Körper getragenen Audiorekorder –, sie blieb rund zwei Stunden, und ein Vorgesetzter hatte den Einsatz abgesegnet, nachdem die gerichtliche Verfügung besprochen und befunden worden war, sie greife hier nicht.

Die Erklärung bringt den Namen der Operation zum ersten Mal in die Akte dieses Gerichts, unter Eid: Project Whipple Shield, eröffnet am 11. Februar 2026. (Öffentlich war der Name bereits – in Schriftsätzen eines Strafverfahrens in Minneapolis.) Und in ihrem zwanzigsten Absatz, aufgefordert, über jedes Gotteshaus auf der Liste des Gerichts Rechenschaft abzulegen, antwortet der Agent für ein einziges Projekt und hält dann inne. "To my knowledge, HSI has not investigated any other location on the current protected areas list as part of Project Whipple Shield." – Nach meiner Kenntnis hat HSI im Rahmen von Project Whipple Shield keinen anderen Ort auf der aktuellen Liste geschützter Bereiche untersucht. Dann: "I cannot confirm or deny that there are additional investigations at other locations on the protected locations list." – Ich kann weder bestätigen noch dementieren, dass es weitere Ermittlungen an anderen Orten auf der Liste der geschützten Orte gibt.

Der Richter, der das abzuwägen hat, ist F. Dennis Saylor IV vom Bundesbezirksgericht in Massachusetts. Der entscheidende Satz seiner Anordnung vom Montag: "Defendants shall show cause, in writing filed on the docket, on or before August 28, 2026, why they should not be held in contempt for violating the preliminary injunction." – Die Beklagten haben schriftlich, zur Akte gereicht, bis spätestens 28. August 2026 darzulegen, warum sie nicht wegen Verstoßes gegen die einstweilige Verfügung der Missachtung des Gerichts für schuldig befunden werden sollten. Die Anhörung findet per Video am kommenden Freitag statt, dem 4. September.

Die Menschen in der Turnhalle

Die einstweilige Verfügung ist Saylors eigene, erlassen am 13. Februar in New England Synod v. Department of Homeland Security – einer Klage von acht Kirchenverbänden, nachdem die Regierung jene Richtlinie aufgehoben hatte, die die Einwanderungsbehörden bis dahin aus Gotteshäusern herausgehalten hatte. Sie untersagt dem DHS und der Einwanderungspolizei ICE (Immigration and Customs Enforcement) jede "Immigration Enforcement Action" – jede einwanderungsrechtliche Vollzugsmaßnahme – innerhalb eines geschützten Gotteshauses außer im Notfall, und im Umkreis von hundert Fuß (gut dreißig Metern) um dessen Eingänge ohne Genehmigung der Zentrale. Der Beschluss definiert den Begriff weit: "any action … planned, conducted, undertaken, or executed, in whole or in part, to enforce the immigration laws of the United States, including any arrest, seizure, search, interrogation, questioning, interview, or investigation." – jede Handlung, die ganz oder teilweise geplant, durchgeführt, unternommen oder vollzogen wird, um die Einwanderungsgesetze der Vereinigten Staaten durchzusetzen, einschließlich jeder Festnahme, Beschlagnahme, Durchsuchung, Vernehmung, Befragung, jedes Interviews und jeder Ermittlung.

Die University Baptist Church, im Viertel Dinkytown an der University of Minnesota, ist nicht namentlich Klägerin. Die Verfügung erfasst die acht klagenden Verbände "and all of their member churches, congregations, and meetings" – und alle ihre Mitgliedskirchen, Gemeinden und Versammlungen –, und University Baptist gehört zweien von ihnen an. Auf der Liste des Gerichts steht sie seit dem 27. Februar; an ihren Eingängen steht es auch.

Die Menschen, die die Erklärung der Regierung beschreibt, wussten nie, dass sie in einer Gerichtsakte vorkommen. Am Sonntag, dem 12. April, fotografierten Agenten vom Parkplatz der öffentlichen Bibliothek gegenüber drei Autos, fragten deren Halterdaten ab und zählten "five individuals enter the basement of the Church" – fünf Personen, die das Untergeschoss der Kirche betreten. Am Donnerstag, dem 28. Mai, gegen 19:05 Uhr, betrat die verdeckte Ermittlerin die Turnhalle zu einem Box- und Mixed-Martial-Arts-Kurs einer Gruppe namens Left Jab, und der Rekorder lief.

Bis Samstagabend waren drei der vier Überwachungsberichte hinter dieser Darstellung öffentlich lesbar, geschwärzt; was sich lesen lässt, deckt sich mit der Erklärung.

Die Gemeinde erfuhr von alledem aus den Nachrichten, am Freitag, dem 14. August, nachdem ein Verteidiger in jenem Strafverfahren in Minneapolis den Bericht der Agentin selbst eingereicht hatte. Zwei Tage später eröffnete der kommissarische Pastor den Gottesdienst damit, es der Gemeinde zu sagen. „Wir sollten uns daran nicht gewöhnen“, sagte Rev. Cody Sanders. „Wir sollten nicht zulassen, dass dies zu dieser stillschweigend hingenommenen Status-quo-Normalität wird, mit der wir einfach rechnen – denn das hier ist Unrecht.“ Ein Gemeindemitglied, das Präsidentin der Kirche gewesen war, Jean Lubke, fasste es in einer eigenen eidesstattlichen Erklärung so: „Das ist eine vollständige Verletzung unseres heiligen Raums.“

Was der Agent beschwor

Der Erklärende ist John Zappone, ein Assistant Special Agent in Charge bei HSI. Er sagt, er habe die Verfügung und die Liste der geschützten Orte am 28. Februar per E-Mail erhalten, "with instructions on how to apply the order" – mit Anweisungen, wie der Beschluss anzuwenden sei.

Vor dem 12. April: "HSI agents discussed this Court's preliminary injunction and determined the investigative activity would not violate the Court's order as the investigation had no nexus to immigration enforcement … I approved the investigative activity at the Church." – HSI-Agenten erörterten die einstweilige Verfügung dieses Gerichts und befanden, die Ermittlungstätigkeit verstoße nicht gegen den Beschluss des Gerichts, da die Ermittlung keinen Bezug zum Einwanderungsvollzug habe … Ich genehmigte die Ermittlungstätigkeit an der Kirche. Vor dem

1. Mai: "I again authorized this operation." – Ich habe diese Operation erneut genehmigt.

Der Mann, den sie suchten, ist dem Schriftsatz zufolge Cam Kennedy, einer der Köpfe von Left Jab, ein "self-described revolutionary anarchist" – nach eigener Beschreibung ein revolutionärer Anarchist –, der Trainings in "de-arrest" (dem Befreien Festgenommener) und "swarm" (dem Umschwärmen von Beamten) organisiert habe.

Der Schriftsatz räumt ein, was sich nicht vermeiden lässt. "University Baptist Church is a Protected Area under the Preliminary Injunction." – Die University Baptist Church ist ein geschützter Bereich im Sinne der einstweiligen Verfügung. Der Bibliotheksparkplatz ist keiner – aber "Agents could not confirm whether the parking lot was not Near a Protected Area" – die Agenten konnten nicht bestätigen, dass der Parkplatz nicht „nahe einem geschützten Bereich“ lag –, was die Hundert-Fuß-Zone des Beschlusses ist. Und die Turnhalle bestreitet er nicht. Er verteidigt sie.

Drei Lesarten einer Klausel

Das Argument der Regierung: Nichts davon war Einwanderungsvollzug, also war nichts davon erfasst. Project Whipple Shield, so der Schriftsatz, ermittelte nach Title 18 – dem Bundesstrafgesetzbuch –, nicht nach Title 8, den Einwanderungsgesetzen; die acht Punkte der Juni-Anklage sind sämtlich Title 18, und "none of the indicted suspects are aliens" – keiner der Angeklagten ist Ausländer.

Die Antwort der Kirchen, acht Tage zuvor eingereicht, ist der Wortlaut der Verfügung selbst: "in whole or in part" – ganz oder teilweise. Der erste Absatz der Anklageschrift wirft eine Verschwörung vor, DHS- und ICE-Agenten aufzuhalten, und der erste dort aufgeführte Zweck ist "[p]reventing the enforcement of federal immigration law by force, intimidation, and threats" – die Durchsetzung des Bundeseinwanderungsrechts durch Gewalt, Einschüchterung und Drohungen zu verhindern.

"In part", argumentiert der Schriftsatz, sei so zu lesen, wie der Supreme Court es in Bostock las, dem arbeitsrechtlichen Diskriminierungsfall von 2020: als Beweggrund, nicht als Gegenstand.

Und falls das Gericht es doch so gemeint hat? Dann, sagt der Schriftsatz in seinem letzten Abschnitt, "was not 'clear and unambiguous'" der Beschluss – er sei nicht „klar und eindeutig“ gewesen –, ein Tatbestandsmerkmal der zivilrechtlichen Missachtung im First Circuit, dem Bundesberufungsbezirk, zu dem Massachusetts gehört – und für eine falsche Vermutung könne die Regierung nicht wegen Missachtung belangt werden.

Teil ihrer Religion

Zur Turnhalle sagt der Schriftsatz: "Plaintiffs have failed to explain why the Left Jab classes are part of their religion." – Die Kläger hätten nicht erklärt, warum die Left-Jab-Kurse Teil ihrer Religion seien. Und er erinnert den Richter daran, dass deren Anwalt bei der Verhandlung über die Verfügung im Februar, auf die Frage, ob die Kirchen "a sanctuary from law enforcement … 24-7" sein wollten – ein Schutzraum vor Strafverfolgung, rund um die Uhr –, Nein gesagt hatte.

Der Beschluss schützt ein Gebäude, das für den Gottesdienst "regularly used" – regelmäßig genutzt – ist, nicht eine Stunde der Woche; die Turnhalle liegt in diesem Gebäude, direkt unter dem Kirchenraum; der Schutz "does not vary from hour to hour" – wechselt nicht von Stunde zu Stunde. Der Beschluss erlaubt dem DHS, "at any time" – jederzeit – zu beantragen, einen Ort von der Liste zu streichen. Das hat es nie getan.

Der Fall, den die Regierung sich aussuchte

Für die Turnhalle selbst greift der Schriftsatz sechsunddreißig Jahre zurück, auf Presbyterian Church v. United States. 1984 heuerte der Immigration and Naturalization Service – der Vorläufer von ICE – Informanten an, um die Kirchen der Sanctuary-Bewegung zu unterwandern – Gemeinden, die damals mittelamerikanische Flüchtlinge beherbergten –, und zeichnete mindestens einmal einen Gottesdienst auf. 1990 bestätigte das Bezirksgericht in Arizona die Methoden der Regierung: das Interesse zwingend, verdeckte Ermittlung das mildeste Mittel – solange die Ermittlung in gutem Glauben geführt wurde und der Agent im Rahmen der Einladung blieb.

Zwei Dinge an diesem Fall bleiben in dem Abschnitt des Schriftsatzes darüber unerwähnt. Das erste: Es war eine Einwanderungsermittlung – genau die eine Art von Ermittlung, die Whipple Shield nach dem Beharren der Regierung nicht war. Das zweite ist sein Ende: Das Gericht gab dem Antrag der Kirchen teilweise statt und stellte ihre Rechte fest – dass sie "are protected against governmental intrusion" – vor staatlichem Eindringen geschützt – sind.

Was sie nicht sagen will

Eines haben die Kirchen verlangt, was die Regierung nicht herausgeben will. Am 18. August hatte ein Prozessanwalt des Justizministeriums den Anwälten der Kirchen geschrieben, die Überwachungsberichte "are accurate" – seien zutreffend – und Liste und Verfügung seien "to all ERO and HSI personnel" gegangen – an das gesamte Personal von ERO und HSI; ERO ist der Abschiebearm von ICE – "along with … instructions on how to apply the order" – zusammen mit … Anweisungen, wie der Beschluss anzuwenden sei.

Die Kirchen baten darum, diese Anweisungen zu sehen. Der Schriftsatz vom Freitag erklärt, die Regierung "affirm[s]" – bekräftige –, Liste und Beschluss verteilt zu haben; die Anweisungen selbst aber unterlägen dem Anwaltsgeheimnis.

So enthält die Akte nun die Adresse der Kirche auf einer Liste, die an jeden HSI-Agenten ging, einen Agenten, der sagt, er habe den Beschluss erörtert und die Operation trotzdem genehmigt, und eine Rechtstheorie darüber, was der Beschluss bedeutet, von der das Gericht bis jetzt nie gehört hat. Sie enthält auch einen Satz, den kein Verteidiger gewählt hätte: einen Beamten der Behörde, der auf die Frage, was sie an den anderen Orten auf dieser Liste sonst noch tut, unter Eid die Auskunft verweigert. Das ist es, was der Richter, der die Definitionen geschrieben hat, am Freitag hören wird.

Um mit France 24 zu sprechen, steigt ein Mann, den der Sender Usman nennt, in die Berge oberhalb von Rawalakot im pakistanisch verwalteten Kaschmir, bis sein Telefon ein paar Balken Signal von außerhalb der Region auffängt. Dieser Aufstieg ist die präziseste Messung, die irgendjemand von dem Blackout hat: Seine Grenze liegt ein Stück weit den Berg hinauf.

Asad Jammu und Kaschmir — Asad Kaschmir, der Teil Kaschmirs, den Pakistan verwaltet — ist seit dem 5. Juni weitgehend offline. An jenem Tag kündigte die Regierung Wahlen an und schaltete ab, was Amnesty International "all internet and mobile network signals in the region" nannte („alle Internet- und Mobilfunksignale in der Region“) — eine Sieben-Tage-Anordnung, die inzwischen in ihrer dreizehnten Woche läuft —, und ihr Innenressort, das Home Department, setzte das Joint Awami Action Committee, die als JAAC bekannte Protestbewegung, nach seinem Anti-Terror-Gesetz auf die Liste der verbotenen Organisationen. Eine in Großbritannien ansässige Verifikationsgruppe, das Jammu Kashmir Human Rights Observatory (JKHRO), hat seither 89 zivile Todesfälle verifiziert, Stand Anfang August. Die Regierung setzte eine Belohnung von 10 Millionen Rupien aus — "head money", „Kopfgeld“, wie die pakistanische Tageszeitung Dawn es wiedergab — für Hinweise, die zur Festnahme von vier Anführern der Bewegung führen; Shaukat Nawaz Mir ist seither in Haft. Und heute Nachmittag, unter diesem Blackout, wählte die neue Versammlung einen Premierminister. Was die gesamte Berichterstattung nicht erklärt: warum die Dashboards der übrigen Welt melden, es sei nichts los.

Flach auf Halbmast

IODA, das Internet-Ausfall-Observatorium der Georgia Tech, zählt Netzblöcke, die auf Sonden antworten. Sein Ereignisdetektor hält für Asad Kaschmir noch immer einen Ausfall offen: begonnen am 5. Juni um 18:40 UTC, inzwischen an Tag 84. Über die drei großen öffentlichen Observatorien hinweg — IODA, das Zensur-Messnetzwerk OONI und Cloudflare Radar — ist dieses Ereignis der einzige Ort, an dem dieser Blackout überhaupt registriert wird, und er registriert nur, wenn man einen einzigen Regionscode abfragt, 3083, und ihn gegen eine Baseline vom Frühjahr hält.

Wer auf die letzten zwei Wochen des Charts schaut, sieht eine flache Linie — flach bei 42 bis 48 antwortenden Blöcken, gegenüber einem Median von 99 zwischen März und Juni. Zwölf Wochen später ist das halbe Netz der Region die neue Baseline.

Jede andere Ebene zeigt nichts. Auf der BGP-Ebene — der Routing-Tabelle, die das globale Internet tatsächlich sieht — existiert der Blackout kaum: Der Juni-Absturz, der die Antwortfähigkeit der Region halbierte, zog etwa fünfzehn von 290 angekündigten Adressblöcken zurück, und 287 werden heute angekündigt. Auf Länderebene verschwindet Asad Kaschmirs Verlust im täglichen Rauschen Pakistans. Und die Mobilfunknetze, die Ebene, auf der die Abschaltung tatsächlich läuft, sind in Asad Kaschmir überhaupt nicht messbar: Genau drei Netze geolokalisieren in die Region — die vom Militär betriebene Special Communications Organization, der nationale Netzbetreiber PTCL und ein kleiner Provider namens Sky Telecom — und keines davon ist ein Mobilfunkbetreiber. Eine Mobilfunkabschaltung ist dort per Konstruktion unsichtbar.

OONI steht nicht besser da: Sein Freiwilligenmodell braucht eine Sonde, die innerhalb des zensierten Netzes läuft — und seine gesamte Historie für Sky Telecom, den einzigen messbaren Provider, der nur Asad Kaschmir versorgt, umfasst 267 Messungen an zwei Tagen im August 2024. Jemand hat am 7. August dieses Jahres tatsächlich begonnen, im Netz der Special Communications Organization eine Sonde zu betreiben — die Website von Al Jazeera scheiterte in allen 98 Versuchen —, aber dieses Netz erstreckt sich über Asad Kaschmir und Gilgit-Baltistan, und die Daten können nicht sagen, auf welcher Seite der Berge die Sonde sitzt. Die Websites der JAAC, des JKHRO und von Jeddojehad, der Urdu-Zeitung, die die Todesfälle dokumentiert, sind von Pakistan aus nie getestet worden.

Das Instrument, das noch funktioniert

Was die Messung ersetzt, ist Verifikation, ein Video nach dem anderen. Das Observers-Team von France 24 ordnete ein Video von Männern in dunklen Uniformen, die aus einem Polizeifahrzeug steigen und in Richtung einer Menschenmenge feuern, einem bestimmten Abschnitt der Mian Muhammad Road in Mirpur zu — „durch Identifizierung der im Video sichtbaren Masten und Werbetafeln“. Die JKHRO-Bilanz ist auf dieselbe Weise gebaut — Fall für Fall, mit Namen: 44 verifizierte Todesfälle vom 5. Juni bis zum 26. Juli, 45 weitere ab dem 27. Juli, vier noch unbestätigt. Die Behörden haben überhaupt keine Zahlen veröffentlicht.

Was die Aufnahmen nicht tragen können, ist der langsame Schaden. Das Bankwesen der Region liegt seit dem 5. Juni still, sagte ein JKHRO-Mitglied France 24; ein Bluttest im Krankenhaus erreicht sein Ergebnis womöglich nie; die Schulen sind geschlossen.

Ein toter Ranger und eine schriftliche Antwort

Die Gewalt ist nicht einseitig, und der Fall des Staates verdient sein volles Gewicht. Am Mittwoch wurde ein Angehöriger der Pakistan Rangers, einer paramilitärischen Bundestruppe, getötet, als bewaffnete Männer während einer Straßenräumungsoperation das Feuer eröffneten. Das Informationsministerium erklärt in einer schriftlichen Stellungnahme an France 24 vom 26. August, die Behörden hätten "repeatedly placed evidence on record" („wiederholt Beweise aktenkundig gemacht“) für automatische Waffen, Geiselnahmen und Folter, und seine Kommunikationsbeschränkungen seien "calibrated, limited to areas affected by violence and imposed only for the period considered necessary for public safety" („kalibriert, auf von Gewalt betroffene Gebiete begrenzt und nur für den Zeitraum verhängt, der für die öffentliche Sicherheit als notwendig erachtet wurde“). Die JAAC bestreitet, Gewalt anzuwenden.

Was die Lesart der öffentlichen Sicherheit nicht erklären kann, ist die Kalibrierung. Die Abschaltung begann nicht an einem Tag der Gewalt, sondern an dem Tag, an dem die Wahl angekündigt wurde — demselben Tag wie die Terror-Listung. Sie hat den finalen Wahltag am 10. August inzwischen um achtzehn Tage überdauert, überall zugleich. Die Antwort des Staates ist auf etwas kalibriert; die Aktenlage sagt: auf Information, nicht auf Gewalt.

Der Erlaubnisschein

Der andere Sensor sind Menschen, und Menschen wurden lizenzpflichtig gemacht. Seit dem 4. August braucht jeder, der für ausländische Medien arbeitet — pakistanische Staatsbürger eingeschlossen —, ein No Objection Certificate, eine Unbedenklichkeitsbescheinigung des Informationsministeriums, um außerhalb von Islamabad, Lahore und Karatschi zu berichten. Das Asien-Magazin The Diplomat berichtet, die Pflicht erstrecke sich in der Region inzwischen auf "coverage of any news" („die Berichterstattung über jegliche Nachrichten“). Bürger, die Protestaufnahmen posten, wurden auf eine Terror-Beobachtungsliste gesetzt, berichtet France 24 — was ihre Bankkonten, SIM-Karten und Ausweisdokumente sperrt. Der Herausgeber von Jeddojehad, Farooq Sulehria, war in London, als Sicherheitsbehörden sein Haus durchsuchten und drei seiner Familienangehörigen festhielten; der Familie sagte man, seine Artikel über Kaschmir seien „staatsfeindlich“. Er kann nicht zurück. Das Ministerium nennt die Zertifikate in derselben schriftlichen Stellungnahme "regulatory and procedural measures" („regulatorische und verfahrensmäßige Maßnahmen“).

Keine Anordnung, an Tag 84

Niemand hat je eine Anordnung für irgendetwas davon veröffentlicht. An Tag 84 erwähnt die Website der Pakistan Telecommunication Authority nirgendwo auf ihrer Startseite eine Abschaltung oder Kaschmir, und die eigene Website der Regierung von Asad Kaschmir beantwortet jede Anfrage von hier aus mit einer Mauer. Ein Blackout ohne Instrument, auf Netzen, die kein Graph sehen kann, in einer Region, für deren Betreten Reporter ein Zertifikat brauchen.

Ausgewählt in Islamabad

Der Mann, den die Versammlung heute wählte, wurde nicht in Muzaffarabad ausgewählt, der Hauptstadt der Region. Spät am Mittwochabend, im Haus des Premierministers in Islamabad, eröffnete Pakistans Premierminister Shehbaz Sharif vier ranghohen Asad-Kaschmir-Männern seiner Partei, der Pakistan Muslim League-Nawaz, dass sein älterer Bruder, der über der Partei stehende Nawaz Sharif, die Nominierung entschieden habe: Barrister Syed Iftikhar Ali Gillani, ein 46-Jähriger, den die eigene Regionalführung der Partei nicht verlangt hatte. Der Asad-Kaschmir-Vorsitzende der Partei, Shah Ghulam Qadir, und ein früherer Premierminister der Region, Raja Farooq Haider, widersprachen und erklärten, sie würden der Abstimmung fernbleiben.

Gillani hält keinen Wahlkreis. Er verlor 2021 seinen Sitz in der Versammlung und zog am 24. August über einen reservierten Sitz in die neue Versammlung ein — den für Technokraten vorgesehenen, besetzt von den Abgeordneten statt von den Wählern. Dawns Porträt vom selben Tag beschreibt den Bogen: "a return through a reserved seat and, finally, a decision made at the very top of the party" („eine Rückkehr über einen reservierten Sitz und, am Ende, eine Entscheidung an der äußersten Spitze der Partei“).

Die Kammer um zwei Uhr

Um zwei Uhr heute Nachmittag trat die Versammlung in Muzaffarabad zusammen und wählte Gillani mit 30 zu 14 Stimmen gegen Sardar Mukhtar Ahmed Abbasi von der Pakistan Peoples Party zum Premierminister. Vierundvierzig Stimmen, nicht sechsundvierzig: Der Parlamentspräsident stimmt nicht mit, und Qadir machte seinen Widerspruch wahr und blieb fern — der eigene Regionalvorsitzende der siegreichen Partei. Haider, der andere Widersprechende, erschien und stimmte ab. Die Stellungnahme des Ministeriums, zwei Tage vor der Abstimmung herausgegeben, erklärt, "the electoral process in AJK has since been completed" (der Wahlprozess in AJK sei „inzwischen abgeschlossen“) und die Internetbeschränkungen würden "being progressively normalized" („schrittweise normalisiert“). Dawns Zählung der Kammer sagt, was "completed" bedeutet: Die Versammlung hat 53 Sitze, ihre gegenwärtige Stärke ist 46, weil sieben Sitze nie zur Wahl gestellt worden sind. Die dritte Phase der Abstimmung — alle elf Wahlkreise der Division Poonch — durfte nur in zweien ihrer Distrikte stattfinden, Bagh und Haveli; die Wahlkommission berief sich auf Recht und Ordnung. Fünf Sitze im Distrikt Poonch selbst und zwei in Sudhnoti, dem Protestgürtel um Rawalakot, haben nie gewählt. Die PPP, die flächendeckende Manipulation behauptet, stellte ihren Kandidaten trotzdem auf.

Dieselbe Stellungnahme sagt, die Internetdienste seien "remained available in the majority of areas" („in der Mehrheit der Gebiete verfügbar geblieben“). Der Chart, von dem niemand erwartet, dass ihn jemand liest, sagt: Asad Kaschmir antwortet seit zwölf Wochen in Folge mit weniger als der Hälfte seines März-Niveaus; durch die Stunde der Auszählung hindurch stand er bei 45. Sie kappten das Internet, verboten die Bewegung, unterwarfen die Presse einer Lizenzpflicht — und dann hielten sie die Wahl ab.

Rawalakot hat kein gewähltes Mitglied und, soweit irgendjemand von außen es messen kann, kein Internet. Die Graphen sind flach. Das Ministerium sagt: normal. Und ein Mann steigt auf einen Berg, um eine Textnachricht zu senden.

Nicht die Server — die laufen weiter und antworten, wenn man ihre numerischen Adressen kennt. Gestorben ist der Name. Public Interest Registry — PIR, die US-Non-Profit-Organisation, die die .org-Registry von Reston im US-Bundesstaat Virginia aus betreibt — setzte die Domain auf serverHold, einen Status, der sie aus der .org-Zone entfernt. Jede Website unter autistici.org verschwand aus dem Adressbuch des Internets. Und mit ihr jede @autistici.org-E-Mail-Adresse — fast 12.000 Postfächer nach Zählung des Kollektivs, das den Dienst betreibt, rund 16.000 nach der der US-Regierung. Mail an jede dieser Adressen schlägt jetzt fehl, weil die Maschine, die sie zustellen will, nicht mehr findet, wo sie wohnen.

Kein Nachrichtenmedium hat darüber berichtet. Während dieser Text entsteht, existiert der Vorgang nur in den Datensätzen der Registry — dort hat diese Redaktion ihn gefunden.

Autistici/Inventati — für seine Nutzer A/I — ist ein italienisches Kollektiv, seit 2001 von Freiwilligen betrieben, das Aktivisten E-Mail, Webhosting, Blogs und Chat bereitstellt, ohne zu protokollieren, wer sie sind. Am Mittwoch erklärte das Office of Foreign Assets Control des US-Finanzministeriums — OFAC, die Behörde, die Wirtschaftssanktionen verwaltet — das Kollektiv zum Specially Designated Global Terrorist, einem „besonders designierten globalen Terroristen“. Die Begründung: Seine "encrypted email accounts, chat and video conferencing" („verschlüsselten E-Mail-Konten, Chat und Videokonferenzen“) und sein Hosting unterstützten materiell "Antifa cells and other violent left-wing extremists" („Antifa-Zellen und andere gewalttätige Linksextremisten“), darunter die Arbeiterpartei Kurdistans (PKK). Dieselbe Runde von Designierungen traf Palestine Action, die im Vereinigten Königreich bereits verbotene Protestgruppe, und das palästinasolidarische Netzwerk Masar Badil.

Parallel zur Designierung erließ die OFAC die General License 36, die "the wind down of any transaction involving Autistici Inventati" — die Abwicklung jeder Transaktion mit Autistici Inventati — bis 12:01 a.m. am 25. September erlaubt. Ein Monat, auf dem Papier. Das Kollektiv las es genauso: Am Donnerstagnachmittag veröffentlichte es erneut einen Appell unter dem Titel "Defend Autistici/Inventati Before September 25" („Verteidigt Autistici/Inventati vor dem 25. September“).

Rund fünfzehn Stunden nach diesem Repost zog die Registry den Namen ein. Von der Unterschrift unter der General License bis zum serverHold: rund 37 Stunden. Die Abwicklungsfrist hatte noch 28 Tage zu laufen.

Die Statuscodes lesen

Der öffentliche Datensatz der Domain sagt, wer das getan hat. Domain-Statuscodes kommen in zwei Familien: Codes, die mit "client" beginnen, setzt der Registrar — hier Gandi, das französische Unternehmen, über das A/I den Namen im Jahr 2000 gekauft hat und bis 2029 registriert hält — und Codes, die mit "server" beginnen, setzt die Registry selbst. Um 1:57 Uhr heute Morgen erhielt autistici.org drei davon: serverHold, serverTransferProhibited, serverUpdateProhibited. Alle drei sind Registry-seitig. Gandis einzige Spur im Datensatz ist eine routinemäßige Transfersperre, die älter ist als all das. Das war PIRs Hand, in Virginia — ob auf Anweisung der OFAC oder aus eigenem Compliance-Urteil, dazu hat PIR nichts gesagt, und beide Antworten sind unbequem.

Der Eingriff war chirurgisch. Der Sanktionseintrag nennt genau eine Domain, autistici.org, und genau eine Domain wurde dunkel. Die Schwesternamen des Kollektivs — noblogs.org, inventati.org, investici.org — lösen normal auf. Der Staat hat keinen einzigen Server angefasst. Er griff ins Adressbuch, entfernte eine Zeile, und das genügte.

Was die Lizenz tatsächlich lizenziert

Nichts hieran erscheint illegal. General License 36 erlaubt "all transactions… that are ordinarily incident and necessary to the wind down of any transaction involving Autistici Inventati… through 12:01 a.m. eastern daylight time, September 25, 2026." — alle Transaktionen, die gewöhnlich mit der Abwicklung jeder Transaktion mit Autistici Inventati verbunden und dafür notwendig sind, bis 12:01 a.m. Eastern-Sommerzeit am 25. September 2026. Erlaubt. Das Wort verpflichtet niemanden zu irgendetwas, und OFAC-Strafen greifen verschuldensunabhängig — kein Vorsatz erforderlich —, weshalb die sichere Lesart jeder Sanktionsfrage immer die schnelle ist.

Wer noch einmal auf die drei Statuscodes schaut, kann dieser Logik bei der Ausführung zusehen. Zwei von ihnen — serverTransferProhibited und serverUpdateProhibited — sind das, was ein Einfrieren von Vermögenswerten mechanisch verlangt: Die Domain ist jetzt blockiertes Eigentum einer designierten Organisation, und blockiertes Eigentum muss festgehalten werden, unverschiebbar, unveränderbar. Der dritte, serverHold, ist kein Einfrieren. Er ist ein Schalter. Er bewahrt den Vermögenswert nicht; er schaltet ihn ab, und mit ihm jedes Postfach und jede Seite, die auf den Namen hörte. Eine Registry, die sich selbst schützt, brauchte die ersten beiden. Mit dem dritten starben die Postfächer.

Der Gnadenmonat existierte also in einem Regierungsdokument, und die tatsächliche Uhr stellten die Compliance-Reflexe eines einzigen US-Engpasses, durch den jeder .org-Name der Welt läuft.

Der Vorwurf ist der Dienstleistungskatalog

Die Theorie des Finanzministeriums verdient es, im Ganzen gelesen zu werden. Seine Pressemitteilung sagt, A/I "exclusively provides its services to vetted individuals, collectives, and groups it perceives to be aligned with its ideology, including to sanctioned terrorist organizations such as the Kurdistan Workers' Party (PKK)." — stelle seine Dienste ausschließlich überprüften Einzelpersonen, Kollektiven und Gruppen bereit, die es als ideologisch verbündet wahrnehme, darunter sanktionierten Terrororganisationen wie der Arbeiterpartei Kurdistans (PKK). Hätte A/I wissentlich Infrastruktur für die PKK betrieben, wäre die Rechtstheorie nicht exotisch: Der Oberste Gerichtshof der USA entschied 2010 in Holder v. Humanitarian Law Project, dass selbst rede-ähnliche Unterstützung, wenn sie mit einer designierten Gruppe koordiniert ist, als materielle Unterstützung bestraft werden kann.

Ob A/I tatsächlich wissentlich die PKK bedient hat, kann derzeit niemand außerhalb der Regierung sagen; Beweise wurden keine veröffentlicht. Was der Datensatz stützt, ist enger und seltsamer: Kein veröffentlichtes Dokument nennt eine einzige konkrete Terrortat, bei der das Kollektiv geholfen hätte. Das Verhalten, das das Finanzministerium auflistet — "website hosting on foreign servers, encrypted email accounts, chat and video conferencing" („Website-Hosting auf ausländischen Servern, verschlüsselte E-Mail-Konten, Chat und Videokonferenzen“) — ist der Dienstleistungskatalog jedes datenschutzfreundlichen Anbieters der Welt, plus ein Überprüfungsschritt. Die Designierung liest sich, in den eigenen Worten der Regierung, wie eine Anklage gegen Infrastruktur.

„Eine Atombombe, um ein Kaninchen zu erlegen“

Das Kollektiv bestreitet alles, im eigenen Englisch: "We deny all allegations… Antifascism and anticapitalism are not terrorism. Protesting is not terrorism." („Wir weisen alle Vorwürfe zurück… Antifaschismus und Antikapitalismus sind kein Terrorismus. Protestieren ist kein Terrorismus.“) Und in einem Interview, das das italienische Portal Fanpage heute Morgen veröffentlichte — Stunden nach dem Hold —, antwortete ein Mitglied des Kollektivs ausführlich auf den Überprüfungsvorwurf. Die Blogs, so das Mitglied, seien das Offenste, was A/I betreibt: Wer ein Konto auf ihren Servern hat, oder auf Servern mit kompatibler Policy, könne eines eröffnen. „Wir erhalten keine Benachrichtigung, und wir müssen niemanden vorab autorisieren. Das Blog wird einfach eröffnet.“ Rechtsersuchen, die auf rechtlichem Weg eintrafen, seien befolgt und erfüllt worden, so das Mitglied. Was die USA stattdessen gebaut haben, ist in den Worten des Mitglieds, „als würde man mit einer Atombombe ein kleines Kaninchen erlegen“.

Die eigene Theorie des Mitglieds, warum es jetzt geschah: Amerikanische Bewegungen, die sich gegen die US-Einwanderungspolizei ICE organisieren, nutzen A/I-Plattformen zur Kommunikation, und Washington-nahe Denkfabriken hätten ein Jahr lang auf die Blogs gezielt.

Sie bauten für die Beschlagnahme. Das hier war keine.

A/I ist schon durchsucht worden, und seine gesamte Architektur ist eine Antwort auf Razzien. 2004 kopierte die italienische Polizei jede Festplatte im Server des Kollektivs, mit Kooperation seines Hosting-Unternehmens Aruba — und A/I erfuhr davon erst ein Jahr später, durch Zufall. Das Kollektiv antwortete mit einem Neuaufbau, dem „R* Plan“: Dienste verteilt über Server in mehreren Ländern, verschlüsselt, damit keine einzelne Beschlagnahme der Community die Mail nehmen kann. Ein Vierteljahrhundert lang lautete die Konstruktionsannahme, dass irgendwann jemand kommt, um die Maschinen zu holen.

Niemand kam wegen der Maschinen. Der Registry-Hold hebelt das gesamte Design von einer Ebene darüber aus: Verteilt eure Server über so viele Jurisdiktionen, wie ihr wollt — euer Name lebt trotzdem in einer einzigen Datenbank, in Virginia. Derselbe Hebel wurde schon auf Länderdomain-Ebene gezogen — Indiens Registry hat in diesem Sommer Domains von Protestbewegungen ohne veröffentlichte Rechtsgrundlage gehalten —, aber das hier ist .org, der Namensraum, in dem die Non-Profits der Welt wohnen, und er vollstreckt eine Terrorismus-Designierung gegen einen zivilgesellschaftlichen Hoster in einer verbündeten Demokratie, lautlos, mit einem einzigen Registry-Befehl.

Das Gesetz schützt die Briefe. Nichts schützte die Adresse.

Die Menschen, die das trifft, sind größtenteils nicht die Menschen aus der Pressemitteilung des Finanzministeriums. Es sind die Aktivisten, Journalisten und gewöhnlichen Italiener, deren Korrespondenz an einer Adresse lebte, die nicht mehr auflöst. Das Sanktionsgesetz nimmt aus: "any postal, telegraphic, telephonic, or other personal communication, which does not involve a transfer of anything of value" — jede postalische, telegrafische, telefonische oder sonstige persönliche Kommunikation, die keine Übertragung von etwas Werthaltigem beinhaltet. Die OFAC-eigene FAQ ergänzt, Amerikaner verstießen nicht gegen Sanktionen "for engaging in such constitutionally protected activity" („wenn sie eine solche verfassungsrechtlich geschützte Tätigkeit ausüben“). Die Ausnahme ist intakt. Sie schützt jetzt Post, die nicht zugestellt werden kann.

PIR weiß genau, was das Löschen einer Adresse anrichtet, denn die eigene Anti-Missbrauchs-Policy sagt es: Als Registry könne sie „keine einzelnen Inhalte entfernen“; sie könne „nur den gesamten Domainnamen suspendieren, was sämtliche Beiträge, Threads, Third-Level-Domains, E-Mail und alle übrigen Inhalte … unzugänglich macht“ — weshalb die Policy DNS-Maßnahmen „typischerweise ein unverhältnismäßiges Mittel, das erheblichen Kollateralschaden verursachen kann“ nennt. Diese Worte wurden über Missbrauchsfälle geschrieben, nicht über Sanktionen. Sie sind trotzdem die präziseste Beschreibung, die irgendjemand je veröffentlicht hat, dessen, was autistici.org um 1:57 Uhr heute Morgen widerfahren ist — veröffentlicht im Voraus, von der Partei, die es getan hat.

Am Vormittag (UTC) stand der Hold weiterhin, erneut bestätigt im Datensatz der Registry, und das eigene Blog des Kollektivs — sicher auf einer Schwesterdomain, die der Sanktionseintrag nicht nennt — hatte seinen Nutzern noch nicht mitgeteilt, dass der Name weg ist.

Über die Designierung wird monatelang gestritten werden, in Italien und wahrscheinlich vor Gericht. Die Postfächer bekamen keine Monate. Sie bekamen 37 Stunden, um 1:57 Uhr morgens, von einer Registry, die kein Wort gesagt hat.

Was die Verteidigung sehen will, ist, wie die Regierung sie beobachtete. Am Mittwoch erhielten drei Organisationen, die selten auf derselben Seite vor Gericht auftreten — das Cato Institute, die Foundation for Individual Rights and Expression und die Society for the Rule of Law —, die Erlaubnis, einen Schriftsatz einzureichen, dessen zweiter Abschnitt mit "NSPM-7 Was Used in This Case to Surveil Dissent" überschrieben ist — NSPM-7 wurde in diesem Fall benutzt, um Dissens zu überwachen (eine Präsidialdirektive von 2025; mehr dazu unten). Darin steht, mit Fußnote, der Teil, den bislang niemand aus den öffentlichen Anlagen des Antrags entschlüsselt hatte: Homeland Security Investigations (HSI), die Ermittlungsbehörde des DHS, beschaffte sich heimlich jahrelange Finanzunterlagen der Service Employees International Union (SEIU), der Communications Workers of America (CWA), der International Federation of Professional and Technical Engineers (IFPTE), des Sunrise Movement und von Voices for Racial Justice — "none of which has been accused of any crime": keiner von ihnen wird irgendeine Straftat vorgeworfen.

Das Instrument war eine Zoll-Summons.

Die beiden Summonses sind öffentlich, als Anlagen zum Antrag. Beide sind das HSI-Formular 3115 mit der Kopfzeile "SUMMONS — To Appear and/or Produce Records — 19 U.S.C. § 1509" — Vorladung, zum Erscheinen und/oder zur Vorlage von Unterlagen —, und beide berufen sich als Rechtsgrundlage auf "section 509, Tariff Act of 1930": Abschnitt 509 des Zollgesetzes von 1930. Am 6. März stellte Special Agent in Charge Steven Schrank eine davon an Fedwire aus, den Überweisungsdienst der US-Notenbank Federal Reserve, für jede Überweisung seit dem 1. Januar 2023, an der vier SEIU-Einheiten beteiligt waren. Am 9. März stellte er eine weitere an The Clearing House aus, das private Interbankensystem, über "any and all records" — sämtliche Unterlagen — vom 1. Januar 2023 bis zum 9. März 2026 zur CWA, zur IFPTE — "a Canadian union", eine kanadische Gewerkschaft, vermerkt der Antrag, mit einem Konto bei der Bank of Montreal in Toronto —, zum Sunrise Movement und zu zwei Einheiten, deren Namen geschwärzt sind. Beide Formulare tragen dieselbe Zeile: "You are requested not to disclose the existence of this summons for an indefinite period of time." — Sie werden gebeten, die Existenz dieser Summons auf unbestimmte Zeit nicht offenzulegen.

Was zurückkam, war das gewöhnliche Leben einer Gewerkschaft. Ein am 30. April gebilligter HSI-Bericht in einem Fall, eröffnet "in accordance with National Security Presidential Memorandum-7" — im Einklang mit dem National Security Presidential Memorandum-7 —, hält fest, dass die Fedwire-Rückmeldung zeigte, wie die SEIU-Zentrale an ihre und von ihren Ortsverbänden überwies: "annuity payments, strike payments, strike supplies, investments, union member dues, retiree dues, medical expenses, and pension fund expenses" — Rentenzahlungen, Streikgelder, Streikmaterial, Geldanlagen, Mitgliedsbeiträge, Beiträge von Ruheständlern, Krankheitskosten und Ausgaben des Pensionsfonds. Sein letzter Satz: "This financial investigation involving protest domestic terrorist financing continues." — Diese Finanzermittlung zur Finanzierung protestbezogenen inländischen Terrorismus dauert an.

Das Formular hat eine Geschichte

Das Zollformular wurde schon früher auf die Kritiker der Regierung gerichtet. Im März 2017 stellte die US-Zoll- und Grenzschutzbehörde Customs and Border Protection (CBP) Twitter eine §1509-Summons zu, gerichtet auf "[a]ll records regarding the twitter account @ALT_USCIS" — alle Unterlagen zum Twitter-Konto @ALT_USCIS —, einem anonymen Konto, das die Einwanderungspolitik der Regierung kritisierte. Twitter klagte am 6. April 2017; die CBP zog die Summons am nächsten Tag zurück. Der Generalinspekteur des Ministeriums stellte anschließend fest, der Zweck der CBP sei "unrelated to the importation of merchandise or the assessment and collection of customs duties" gewesen (ohne Bezug zur Einfuhr von Waren oder zur Festsetzung und Erhebung von Zöllen), sie habe damit "may have exceeded the scope of its authority under Section 1509" (den Rahmen ihrer Befugnis nach Section 1509 möglicherweise überschritten), und das Büro, das sie ausstellte, habe dasselbe Formular zwischen Januar 2015 und Mai 2017 unter Verstoß gegen die eigene Richtlinie "at least 1 out of every 5 times" verwendet — in mindestens einem von fünf Fällen.

Am 11. September 2025 stellte das DHS Meta zwei §1509-Summonses zu, gerichtet auf die Identität einer anonymen Person, die auf Facebook und Instagram veröffentlichte; Senator Ron Wyden schrieb im November an die Spitze des Heimatschutzministeriums, Kristi Noem, und nannte sie „einen offenkundig unstatthaften Gebrauch dieser zollrechtlichen Ermittlungsbefugnis“. In derselben Woche, in der Schrank die Gewerkschafts-Summonses unterzeichnete, teilte Reddit einem Nutzer mit, die US-Einwanderungsbehörde ICE habe eine §1509-Summons auf seine Identität zugestellt — wegen Beiträgen, in denen er einen Beamten kritisierte, der an einer tödlichen Schießerei beteiligt war; er beantragte die Aufhebung, und ICE zog zurück, wie das Magazin Reason berichtete.

Vier Tage nach Alex Pretti

NSPM-7 — National Security Presidential Memorandum 7, "Countering Domestic Terrorism and Organized Political Violence" (Bekämpfung von inländischem Terrorismus und organisierter politischer Gewalt) — wurde am 25. September 2025 unterzeichnet. Die Akte, die HSI "Operation Puppet Master" nannte und die die schriftliche Erwiderung der Regierung auf den Antrag als "financial investigation to uncover funding sources" beschreibt — als Finanzermittlung zur Aufdeckung von Finanzierungsquellen —, wurde laut dem Antrag am 28. Januar eröffnet, "just four days after agents murdered Alex Pretti" — nur vier Tage, nachdem Beamte Alex Pretti ermordeten. Pretti, 37, Intensivpfleger am Veteranenkrankenhaus (VA) in Minneapolis, wurde am 24. Januar von zwei Beamten der CBP erschossen, während er Einsatzkräfte mit seinem Telefon filmte. Die Erwiderung fügt hinzu, dass "Joint Task Force Vanguard was created after the issuance of NSPM-7 and is tasked with 'targeting individuals and organizations engaged in political violence'" — die Joint Task Force Vanguard sei nach Erlass von NSPM-7 geschaffen worden und damit betraut, Einzelpersonen und Organisationen ins Visier zu nehmen, die politische Gewalt ausüben — und dass ihre Fälle "are neutrally enforced and involve both left- and right-wing violence and threats" — neutral geführt würden und links- wie rechtsgerichtete Gewalt und Drohungen beträfen.

Der Antrag, eingereicht am 13. August und von dreizehn Mitangeklagten Sants mitgetragen, verlangt das Papier hinter der Überwachung: die Kommunikation zwischen Staatsanwälten in Minnesota und Washington über die Eröffnung des Falls, alles aus irgendeiner Behörde, das ein politisches Motiv nahelegt, die Rohnotizen der Beamten, die noch zurückgehaltenen Ermittlungsberichte und — als vierte Forderung — die Gesichtserkennungsdossiers: "all of the Clearview AI reports it generated of protesters and activists during Operation Metro Surge" — sämtliche Clearview-AI-Berichte, die sie während der Operation Metro Surge über Demonstrierende und Aktivisten erzeugte. Das Dossier zu Sant, so der Antrag, enthält "photos of another man and his family, including the man's pregnant wife and young daughter, pulled from that man's Facebook page and now inextricably linked with Mr. Sant in HSI's internal databases" — Fotos eines anderen Mannes und seiner Familie, darunter die schwangere Frau und die kleine Tochter dieses Mannes, von dessen Facebook-Seite gezogen und nun in den internen Datenbanken der HSI untrennbar mit Sant verknüpft.

Siebenunddreißig Seiten, ein Gesetz fehlt

Diese Erwiderung — 37 Seiten, eingereicht am 21. August — bestreitet nichts davon. Sie sagt, die Finanzunterlagen "bear minimal, if any, relevance to the current indictment" — hätten allenfalls minimale Relevanz für die gegenwärtige Anklage —, sie seien "in an abundance of caution" (aus übergroßer Vorsicht) übergeben worden, und die Summonses seien ein "tool used to attempt to discern the source of that funding" für Blockaden gewesen — ein Werkzeug, um die Quelle jener Finanzierung zu ergründen. Sie verteidigt sie mit 18 U.S.C. § 3486 und einem Leitfaden des Congressional Research Service, des wissenschaftlichen Dienstes des Kongresses, der den vierteiligen Test des Supreme Court für Summonses der Steuerbehörde IRS referiert. Auf 37 Seiten zitiert sie kein einziges Mal 19 U.S.C. § 1509, das Gesetz, das auf den Formularen gedruckt steht, die sie verteidigt. Und sie sagt nie "Clearview". Nicht "facial", nicht "photo", nicht "Exhibit 30" — die Anlage, in der die Familie des Fremden sitzt.

In ihrer stärksten Lesart lautet das Argument der Regierung so: Verwaltungssubpoenas an Unternehmen brauchen keinen hinreichenden Tatverdacht; die Ermittlung hatte einen legitimen Zweck, denn "Defendants raised money to support their blockades" — die Angeklagten sammelten Geld zur Unterstützung ihrer Blockaden —, einer kaufte einen Anhänger für die Blockade vom 23. Januar, vermerkt die Erwiderung; die Unterlagen gingen ohnehin an die Verteidigung; und die Regierung "does not intend to use it at trial" — beabsichtigt nicht, sie im Prozess zu verwenden. Die erste Bedingung des Leitfadens für eine solche Subpoena lautet, dass "the inquiry is within the authority of the agency" — die Untersuchung innerhalb der Zuständigkeit der Behörde liegt. Genau diesen Teil argumentiert die Erwiderung nie, und der eigene Wortlaut des Gesetzes macht es schwer: §1509 spricht von "the correctness of any entry" — der Richtigkeit einer Zollanmeldung, der Papiere also, die eingereicht werden, wenn Waren eine Grenze überqueren — und von "the liability of any person for duty, fees and taxes" — der Zoll-, Gebühren- und Steuerschuld einer Person; keine veröffentlichte Entscheidung, die diese Redaktion ausfindig machen konnte, hat seine weiteste Klausel — die Einhaltung der Gesetze, "administered by the United States Customs Service" (die vom United States Customs Service verwaltet werden) — je an einer Strafermittlung der HSI gemessen. Der Streikfonds einer Gewerkschaft ist keine Zollanmeldung.

Wer im Saal ist

Die drei externen Gruppen sind nicht die natürlichen Verbündeten der Angeklagten: ein libertärer Thinktank, eine Organisation zur Verteidigung der Redefreiheit an Hochschulen und eine Juristenvereinigung, aufgebaut von Veteranen republikanischer Regierungen. Die Gewerkschaften sind gar nicht im Saal — zum Zeitpunkt der Veröffentlichung hatte sich keine der fünf Organisationen öffentlich geäußert; die Website der SEIU war wegen Wartungsarbeiten nicht erreichbar. Und Schultz hat eine Vorgeschichte mit dem Aktenwerk dieser US-Staatsanwaltschaft: Von 36 Personen, die wegen Angriffs auf Beamte oder deren Behinderung während der Surge angeklagt wurden, zählte MPR News 18 Verfahren, die schlicht fallen gelassen wurden, und 11 weitere, die durch Nichtverfolgungsvereinbarungen endeten, und in einer Anhörung im April nannte Schultz eines dieser Anklagedokumente ein "false affidavit" — eine falsche eidesstattliche Versicherung.

Vor keinem Gericht

In der heutigen Anhörung geht es um Discovery — darum, ob die Angeklagten die Kommunikation, die Notizen und die verbliebenen Gesichtserkennungsberichte bekommen. Ob eine Zoll-Summons in die Kasse einer Gewerkschaft greifen darf, steht heute nicht vor Schultz zur Entscheidung — und stand noch nie vor irgendeinem Gericht: Beide Male, als eine §1509-Summons auf die Identität eines Kritikers vor Gericht angefochten wurde, zog das DHS sie zurück und kein Gericht entschied; und diese Summonses wurden nie angefochten, weil die einzigen Beteiligten, denen man von ihnen erzählte, gebeten worden waren zu schweigen. Die beiden auf der Clearing-House-Summons geschwärzten Namen bleiben unbekannt. Die Regierung beantragte, die heutige Verhandlung zu verschieben, weil "only one noticed Counsel for the United States is currently available" — derzeit nur eine der benannten Prozessvertretungen der Vereinigten Staaten verfügbar sei. Schultz lehnte das am Montag ab. Also werden die Anwälte um 15.30 Uhr über Papier streiten, während drei Jahre Streikgeld und Ruheständlerbeiträge in einem HSI-Ordner liegen, unter einem Bericht, dessen letztes Wort zur Sache "continues" lautet — „dauert an“.

Das Justizministerium hätte jetzt gern Ihren Namen, Ihr Geburtsdatum, Ihre Adresse, Ihre Sozialversicherungsnummer und die Angaben zu Ihren Eltern oder Erziehungsberechtigten.

Am Freitag hat ein gespaltenes Dreiergremium des Ninth Circuit — des Bundesberufungsgerichts für den Neunten Bezirk — gesagt, das Ministerium dürfe es versuchen. Der Fall heißt QueerDoc, PLLC v. DOJ, No. 25-7384, entschieden am 14. August. QueerDoc ist die Klinik — eine Online-Praxis, die in zehn Bundesstaaten Pubertätsblocker und Hormone verschreibt, unter anderem an Minderjährige. Ihre Website nennt drei Behandelnde und eine Verwaltungskraft.

Die Subpoena kam in fünfzehn Teilen, die meisten davon gewöhnlich: Personalakten, Abrechnungscodes, Apothekenverträge. Die Punkte 11 bis 13 sind es nicht. Sie verlangen die Akten aller Patientinnen und Patienten, denen je ein Pubertätsblocker oder ein Hormon verschrieben wurde, und, im eigenen Wortlaut der Subpoena, "[d]ocuments sufficient to identify each patient" — Dokumente, die ausreichen, um jede Patientin und jeden Patienten zu identifizieren. Richter Richard Paez, der ein Sondervotum schrieb, nannte eine Zahl: "thousands of intrusive patient and employee records." — Tausende invasive Patienten- und Beschäftigtenakten.

Das ist es, was die Regierung hier untersucht. Keine Apotheke. Kein Hersteller. Eine Website.

Die Rechtstheorie läuft über das Misbranding-Verbot des Food, Drug, and Cosmetic Act, und Misbranding schließt es ein, falsches oder irreführendes "labeling" zu veröffentlichen — Kennzeichnungsmaterial. Labeling, so entschied der Supreme Court 1948 in Kordel v. United States, muss an nichts angebracht sein: "No physical attachment . . . is necessary." — eine physische Verbindung ist nicht erforderlich. Und die eigene Regel der FDA dehnt den Begriff auf praktisch jedes "printed, audio, or visual matter descriptive of a drug" aus — jedes gedruckte, Audio- oder visuelle Material, das ein Arzneimittel beschreibt. Die öffentlichen Webseiten von QueerDoc fallen also darunter, und die Mehrheit benennt sie: zwei Seiten mit Anleitungen, sich Hormone selbst zu injizieren, und eine Seite, auf der es heißt, die Wirkungen von Pubertätsblockern seien "completely reversible".

Dieser letzte Satz ist die mutmaßliche Straftat. Die Sozialversicherungsnummern sind die Ermittlung.

Keine Grand Jury, kein Richter, kein Durchsuchungsbeschluss

Dies ist eine administrative subpoena — eine Anordnung, die die Behörde selbst erlässt — nach einer Vorschrift des HIPAA, 18 U.S.C. §3486, die es dem Justizminister oder einer beauftragten Person erlaubt, in jeder Ermittlung zu einer bundesrechtlichen Straftat im Gesundheitswesen Dokumente zwangsweise herauszuverlangen. Keine Grand Jury. Kein Richter. Kein Durchsuchungsbeschluss. Kein Nachweis eines hinreichenden Tatverdachts (probable cause). Der einzige Weg, sich zu wehren, ist ein Antrag auf Aufhebung (motion to quash), und die Last trägt, wer sie erhalten hat.

QueerDoc beantragte die Aufhebung, und am 27. Oktober 2025 hob ein Bundesrichter in Seattle, Jamal Whitehead, die Subpoena vollständig auf. Er stellte fest, sie sei zu einem unzulässigen Zweck ergangen: um das erklärte Ziel des Präsidenten umzusetzen, die geschlechtsangleichende Versorgung zu beenden. Die Papierspur war nicht subtil, und nichts davon ist strittig. Eine im Januar 2025 unterzeichnete Executive Order — ein Präsidialerlass — wies das Ministerium an, Ermittlungen genau dieser Art vorrangig zu betreiben. Im April erklärte die damalige Justizministerin Pamela Bondi allen Beschäftigten des Justizministeriums, das Ziel sei — in der Zusammenfassung der Gerichtsmehrheit selbst —, die geschlechtsangleichende Versorgung zu beenden: "bring [gender-affirming care] to an end". Am 11. Juni, seinem ersten Tag an der Spitze der Zivilrechtsabteilung, schickte Brett Shumate dieselbe Botschaft an seine eigenen Mitarbeiterinnen und Mitarbeiter und stellte QueerDoc diese Subpoena zu.

Der Ninth Circuit kassierte diese Entscheidung. Richter Carlos Bea, ernannt von George W. Bush, verfasste die Entscheidung; Richter Daniel Bress, ernannt von Trump, schloss sich an; Paez, ernannt von Clinton, gab das Sondervotum ab. Nichts an der Papierspur, so die Mehrheit, ist ein Beleg für Böswilligkeit. "The President may direct DOJ to exercise its statutory authority in a manner that aligns with his broader policy goals." — Der Präsident dürfe das DOJ anweisen, seine gesetzlichen Befugnisse auf eine Weise auszuüben, die sich in seine weiteren politischen Ziele fügt.

Wie das Gremium dorthin kam, wiegt schwerer als dieser Satz. Es widersprach Whitehead nicht darin, was das Ministerium getan hatte. Es stufte um, was für eine Art Ding seine Schlussfolgerung war. Tatsachenfeststellungen eines Tatrichters überstehen die Berufung, sofern sie nicht unlogisch oder ohne Stütze sind; rechtliche Schlussfolgerungen genießen keinen solchen Schutz. Whiteheads Feststellung eines unzulässigen Zwecks war, schrieb Bea, gar keine Feststellung: "The issue here is not one of fact. The district court conducted no evidentiary hearings and took no testimony." — Die Frage hier sei keine Tatsachenfrage; das Bezirksgericht habe keine Beweisaufnahme durchgeführt und keine Zeugen vernommen. Aus den öffentlichen Äußerungen der Regierung auf den Zweck zu schließen, "did not amount to fact-finding but rather the drawing of legal conclusions from undisputed facts" — sei keine Tatsachenermittlung gewesen, sondern das Ziehen rechtlicher Schlussfolgerungen aus unstrittigen Tatsachen.

Paez nannte das verfehlt und verwies auf Anderson, eine Supreme-Court-Entscheidung von 1985, die das Gegenteil sagt: Die Bindung gilt auch dort, wo die Feststellungen eines Richters auf "documentary evidence or inferences from other facts" beruhen — auf Urkundenbeweisen oder Schlüssen aus anderen Tatsachen. Der Fall entschied sich daran, welchem dieser beiden Sätze man glaubt.

Die Mehrheit, schrieb er, "manufactures legal errors that will require federal courts to rubber stamp investigations initiated by the DOJ to harass opponents and chill disfavored causes, so long as the investigation serves the President's policy priorities" — sie fabriziere Rechtsfehler, die Bundesgerichte zwingen würden, vom DOJ eingeleitete Ermittlungen zum Schikanieren von Gegnern und zum Einschüchtern missliebiger Anliegen einfach durchzuwinken, solange die Ermittlung den politischen Prioritäten des Präsidenten diene. Er endete noch härter, mit einem Satz, wie ihn Richter über ihre Kolleginnen und Kollegen selten schreiben: "I am doubtful the majority would so contort the governing law and our precedent if this case did not promise to impede access to gender-affirming care." — Er bezweifle, dass die Mehrheit das geltende Recht und die eigene Rechtsprechung derart verbiegen würde, wenn dieser Fall nicht in Aussicht stellte, den Zugang zu geschlechtsangleichender Versorgung zu behindern.

Und er stellte die Frage, die die Mehrheit nie beantwortet: Wenn es darum geht herauszufinden, ob ein Arzneimittel dem Misbranding unterlag, "how are children's names, dates of birth, social security numbers and addresses relevant to this purpose?" — wie sind dann die Namen, Geburtsdaten, Sozialversicherungsnummern und Adressen von Kindern für diesen Zweck erheblich?

Mit Absicht breit

Die Position der Regierung ist stärker, als die Empörung ringsum es zulässt. Administrative subpoenas sollen breit sein. Der Supreme Court nennt das, was der Kongress den Behörden in die Hand gegeben hat, "powers of original inquiry" — Befugnisse zur originären Nachforschung: die Erlaubnis, nachzusehen, bevor man einen Fall hat. Erheblichkeit ist der einzige echte Filter, und die Schwelle ist mit Absicht niedrig. Und Bea macht einen Punkt, auf den eine Antwort schwerfällt: "even if the subpoena is overbroad — an issue the district court did not reach and the parties briefed only minimally — the proper remedy would be to narrow it, not to quash it in its entirety." — Selbst wenn die Subpoena zu weit gefasst sei — eine Frage, die das Bezirksgericht nicht erreicht habe und die die Parteien nur am Rande vorgetragen hätten —, wäre das richtige Mittel, sie einzuengen, nicht, sie vollständig aufzuheben.

Das ist gewöhnliches Recht, und vermutlich richtig. Whitehead hob alle fünfzehn Punkte auf, einschließlich der Personalakten und der Apothekenverträge, gegen die QueerDoc nie Einwände erhoben hatte.

Was die Frage aufwirft, was gefestigtes Recht hier bedeutet. Die Subpoena gegen QueerDoc ist kein Einzelstück. Sie trägt eine Nummer, und die anderen tun es auch: In einer Fußnote listet Paez Entscheidungen zu den Subpoenas 25-1431-014, -016, -019, -030 und -032 auf. Am 9. Juli 2025 — dem Tag, an dem QueerDocs eigene Herausgabe fällig war — kündigte das Ministerium die Kampagne in einer Pressemitteilung an, überschrieben mit "Department of Justice Subpoenas Doctors and Clinics Involved in Performing Transgender Medical Procedures on Children" — das Justizministerium stellt Ärzten und Kliniken, die an medizinischen Transgender-Eingriffen an Kindern beteiligt sind, Subpoenas zu. Mindestens sieben Gerichte, schreibt Paez, haben "quashed, recommended quashal, or modified these subpoenas" — diese Subpoenas aufgehoben, ihre Aufhebung empfohlen oder sie abgeändert: sieben Entscheidungen, verteilt auf diese fünf Nummern.

Eine dieser Nummern, -032, ist der Fall aus Rhode Island, in dem ein Gericht im Mai 2026 feststellte, dass sich das Ministerium in mehreren Jurisdiktionen bereits mit anonymisierten Daten einverstanden erklärt hatte. Paez zitiert ihn für die naheliegende Frage: Wenn anonymisierte Akten anderswo genügen, wofür sind dann die identifizierenden Angaben?

Von diesen Subpoenas ist die gegen QueerDoc die erste, über die ein Bundesberufungsgericht entschieden hat — eine Berufung vor dem First Circuit wurde früher registriert, im November, und ist noch anhängig. Die Mehrheit folgte nicht gefestigtem Recht, als sie kassierte. Sie schuf es.

Werden die Patientinnen und Patienten es erfahren?

Nichts in der Entscheidung sagt, dass sie es erfahren werden. In einer 95 Seiten langen Entscheidung widmet die Mehrheit der Privatsphäre der Patientinnen und Patienten zwei Sätze, und beide schieben das Problem jemand anderem zu: Das Bezirksgericht "may entertain any objections specific to DOJ's requests for patient medical records" — könne Einwände speziell gegen die DOJ-Anforderung von Patientenakten behandeln —, und Gericht und Parteien "should also consider whether protective orders or other devices should be used to ameliorate any concerns about privacy." — sollten außerdem erwägen, ob Schutzanordnungen (protective orders) oder andere Instrumente eingesetzt werden sollten, um etwaigen Bedenken hinsichtlich der Privatsphäre abzuhelfen. Sollten erwägen. Eine Schutzanordnung existiert nicht. Ein Team, das die Akten vorab sichtet und aussondert, ist nicht beschrieben. Die Menschen zu benachrichtigen, deren Akten in dem Stapel liegen, kommt überhaupt nicht vor.

Sie sind nicht Partei und können es nicht sein. Die einzige Partei, die in ihrem Namen Einwände erheben kann, ist die Klinik, die sie behandelt hat — und hätte die Klinik bis zu ihrer Frist im Juli 2025 schlicht geliefert, wie es die meisten tun, die eine Subpoena erhalten, hätte nichts von alledem ein Aktenzeichen.

Auf der ersten Seite der Entscheidung steht FOR PUBLICATION — zur Veröffentlichung bestimmt. Eine unveröffentlichte Erledigung hätte niemanden sonst gebunden. Eine veröffentlichte ist Präzedenz: Jede Bundesbezirksrichterin und jeder Bundesbezirksrichter von Arizona bis Alaska muss ihr jetzt folgen, wenn die Regierung das nächste Mal eine Subpoena ausstellt, die politisch aussieht.

Niemandes Sozialversicherungsnummer hat den Besitzer gewechselt. Das Gremium ordnete keine Herausgabe an; es verwies den Fall an Whitehead zurück, damit er entscheidet, ob die Subpoena zu breit und zu belastend ist. Die Klinik kann noch gewinnen.

Gegründet wurde QueerDoc von Crystal Beal — mit Board-Zertifizierung in Familienmedizin und Lehrtätigkeit an der University of Washington. Die Website, die das Justizministerium untersucht, ist noch online. Auf der Seite, die die Menschen vorstellt, die dort arbeiten, steht über ihren Biografien dieser Hinweis:

„Wir haben die meisten Bilder unseres Teams aus Sicherheitsgründen in diesen aktuellen Zeiten entfernt!!!! Wir wissen, dass es schwer ist, kein Gesicht zu einem Namen zu haben, wenn man neue Behandelnde kennenlernt. Wir haben diese Entscheidung getroffen, um zu versuchen, unser Team zu schützen und Sie so lange wie möglich weiter zu versorgen."

Die Behandelnden haben die eigenen Gesichter von der Seite genommen. Die Regierung will die Namen der Patientinnen und Patienten.

„Ja, ich habe ephemeres Messaging auf Signal", sagte Bejar. „Mein Hintergrund ist Sicherheitsingenieur, und von einem professionellen Paranoiker her versuche ich, sehr achtsam mit meiner Kommunikations-OPSEC umzugehen." Auf die Frage, ob seine Textnachrichten mit ehemaligen Meta-Kolleginnen und -Kollegen verschwinden, sagte er: „Ja, das tun sie."

Wir wissen, dass er das gesagt hat, weil Meta es mitgeschrieben hat. Acht Tage später wurde dieser Wortwechsel, mit Metas eigenen Hervorhebungen, in einem 26-seitigen Antrag vor einem Bundesgericht 2.000 Meilen entfernt wiedergegeben, der die dortige Richterin bat, ihn ganz vom Zeugenstand fernzuhalten.

Das Gericht verhandelte am 13. August mündlich und gab seine Gründe zu Protokoll. Heute ist die Abweisung schriftlich eingegangen.

"[I]t is obvious," schrieb Chief Judge Yvonne Gonzalez Rogers — die Präsidentin des Bundesbezirksgerichts —, "that this motion falls into the category of a 'Hail Mary' attempt to eliminate a strong witness for the plaintiffs. The attempt fails, and although Meta can cross-examine Bejar, it cannot imply that a legal obligation to preserve those texts existed." Es liege auf der Hand, dass dieser Antrag in die Kategorie eines „Hail Mary"-Versuchs falle — im American Football der verzweifelte Wurf in der Schlusssekunde —, einen starken Zeugen der Kläger auszuschalten. Der Versuch scheitere, und Meta dürfe Bejar zwar ins Kreuzverhör nehmen, es dürfe aber nicht unterstellen, dass eine rechtliche Pflicht zur Aufbewahrung dieser Nachrichten bestanden habe.

Absatz 2, zwischen den Formalien

Pretrial Order No. 8, eine Verfügung aus dem Vorverfahren, ist drei Seiten lang und wurde zwei Tage vor den Eröffnungsplädoyers eingereicht. Die Entscheidung ist deren Absatz 2, einer von fünf, die von den Eröffnungs-Beweisstücken bis zu Schriftsatzfristen reichen — eine Verfügung, die eine Sachentscheidung mit Formalien bündelt.

"Meta's request to exclude Bejar from testifying at trial is DENIED," heißt es dort: Metas Antrag, Bejar von einer Aussage im Prozess auszuschließen, wird ABGEWIESEN.

Meta darf Bejar fragen, warum seine Nachrichten verschwinden. Es darf der Jury nicht sagen, er sei verpflichtet gewesen, sie aufzubewahren.

Wer er ist, und warum Meta ihn loswerden will

Bejar verließ Meta 2015 und kehrte vier Jahre später als Berater für dessen Instagram-Sparte zurück, nachdem seine jugendliche Tochter und deren Freundinnen ihm von den unerwünschten sexuellen Annäherungen erzählt hatten, die sie dort erlebten. Im Oktober 2021 schickte er, was er gefunden hatte, an Zuckerberg, Instagram-Chef Adam Mosseri und Sheryl Sandberg. Die Antwort, sagt er, sei „völliges Schweigen" gewesen.

Er hat in drei Prozessen gegen Meta ausgesagt. Am Dienstag soll er es in Oakland wieder tun, wo 29 Bundesstaaten Meta vorwerfen, Daten von Kindern rechtswidrig zu erheben, und vier von ihnen außerdem sagen, das Unternehmen habe über die Sicherheit seiner Produkte gelogen.

Metas Antrag machte geltend, er habe Beweismittel dadurch vernichtet, dass er eine Anwendung nutzte, die Nachrichten nach einem Timer löscht, und verlangte, ihn auszuschließen oder der Jury aufzugeben, den für ihn nachteiligsten Schluss zu ziehen.

Vier Aufforderungen, und wem sie gehörten

Bejar ist keine Partei. Parteien müssen Unterlagen aufbewahren, die für einen Rechtsstreit erheblich sind; Zeugen müssen das in der Regel nicht, es sei denn, etwas setzt sie in Kenntnis. Also baute Meta die Pflicht aus dem zusammen, was es an Inkenntnissetzung finden konnte, und benannte vier: das Ersuchen des Generalstaatsanwalts von Tennessee vom April 2023, die civil investigative demand New Mexicos — das zivilrechtliche Auskunfts- und Herausgabeverlangen einer Generalstaatsanwaltschaft — vom November desselben Jahres, Metas eigene Subpoena vom Februar 2025 (die gerichtlich durchsetzbare Aufforderung, auszusagen oder Unterlagen herauszugeben) und die Anordnung dieses Gerichts vom Dezember 2025 auf genau jene Kommunikation, die nach Metas Darstellung fehlt.

Die Entscheidung nimmt sie nicht in dieser Reihenfolge, aber sie beantwortet alle vier. Die ersten beiden sind das Verfahren eines anderen, und Meta hat kein Recht, das Verfahren einer anderen Partei durchzusetzen: "Meta has no standing to enforce a subpoena issued by an attorney general," schrieb Gonzalez Rogers — Meta habe keine Klagebefugnis (standing), eine von einem Generalstaatsanwalt ausgestellte Subpoena durchzusetzen. Der dritte Vorgang ist Metas eigene Subpoena, der vierte die Anordnung dieses Gerichts, und wer sie auch ausgestellt hat: Meta kann sie nicht fortdauernd machen. Es "does not have, in reality, a legal mechanism to enforce its claim that Bejar was under a continuing obligation to preserve Signal communications. Meta did not itself require an ongoing production; nor did it issue a follow up subpoena." Meta verfüge in Wirklichkeit über keinen rechtlichen Mechanismus, um seine Behauptung durchzusetzen, Bejar habe einer fortdauernden Pflicht zur Aufbewahrung von Signal-Kommunikation unterlegen; Meta habe selbst keine fortlaufende Herausgabe verlangt und auch keine nachfassende Subpoena ausgestellt.

Nashville, aus Oakland gelesen

Metas Relevanzargument war, dass Bejar frühere Kolleginnen und Kollegen angeworben habe, um gegen das Unternehmen auszusagen, und dass die Nachrichten das gezeigt hätten. Bei der Entscheidung, ob sie überhaupt einen Beweisaufnahmetermin brauchte, las Gonzalez Rogers vier Tage seiner Aussage aus State of Tennessee v. Meta Platforms, wo er der erste aufgerufene Zeuge war. "Very little concerned any allegations of recruitment," stellte sie fest. "Rather, the issues focused on Bejar's actual work at Meta." Sehr wenig habe irgendwelche Vorwürfe der Anwerbung betroffen; die Themen hätten sich vielmehr auf Bejars tatsächliche Arbeit bei Meta konzentriert.

Die Löschung, die Meta nicht benennen kann

Meta kann nicht sagen, was in den fehlenden Nachrichten stand. Was es hat, ist ein aus Pixeln gebauter Schluss.

Bejar gab im März 2025 zwei Signal-Threads als acht Screenshots heraus, einen der Threads mit der Whistleblowerin Frances Haugen. Metadaten gab er dazu nicht heraus, was es, wie Meta einräumt, „für Meta unmöglich macht, genau zu wissen, wie diese Chats aufgenommen wurden".

Also ging Meta an das Bild. Signals Hilfeseite besagt, so der Antrag, "[e]ach and every disappearing message will have a timer countdown icon that is visible at the bottom of the message bubble." — jede einzelne verschwindende Nachricht werde ein Countdown-Symbol haben, das am unteren Rand der Nachrichtenblase sichtbar ist. Meta fand in den acht Screenshots keine Countdown-Symbole und schloss aus deren Fehlen, dass Bejar den Timer entweder nach diesen Gesprächen eingeschaltet oder ihn ausgeschaltet haben müsse, um eben jene Aufnahmen anzufertigen.

Das ist das moderne Beweisproblem in einem Bild: ein Unternehmen, das eine Löschung vom unteren Rand einer Nachrichtenblase her argumentiert, auf einem Screenshot eines Gesprächs, an dem es nie beteiligt war.

Metas Position ist besser, als das klingen lässt

In der allgemeinen Frage steht das Recht auf Metas Seite. Gerichte sanktionieren Prozessparteien durchaus dafür, dass sie Beweismittel ablaufen lassen — Beweisvereitelung (spoliation), die Vernichtung von Material, das jemand aufbewahren musste: Ein Bundesrichter in Arkansas nannte einen Wechsel zu Signal mitten im Verfahren 2019 "intentional, bad-faith spoliation of evidence" — vorsätzliche, bösgläubige Beweisvereitelung —, und Metas Antrag führt zwei weitere Fälle an. Gonzalez Rogers hatte Bejar außerdem bereits aufgegeben, diese Kommunikation herauszugeben, mit der Begründung, Metas Bedarf überwiege sein Argument, eine Offenlegung würde Menschen bloßstellen, die vertraulich mit ihm gesprochen hatten.

Und ein Zeitfenster ist wirklich unangenehm. Anneke Buffone, eine Sicherheitsforscherin von Meta, die im Dezember 2025 entlassen wurde, schrieb Bejar über Signal; die beiden waren einander nie begegnet. In ihrer Vernehmung im Juni 2026 sagte sie über Austausche im Dezember 2025 und im Februar 2026 zu diesem Verfahren aus. Seine letzte Herausgabe erfolgte am 12. Januar 2026, nach dem ersten davon. Signal-Nachrichten mit ihr wurden nicht herausgegeben.

Das beste Material gegen ihn steht in der eidesstattlichen Erklärung, die er selbst unterschrieben hat. Er hat, sagt er, „über viele Jahre hinweg routinemäßig unnötige Informationen aus meinen E-Mail-Konten entfernt", und er bewahrte das Memo vom Oktober 2021 an Zuckerberg nicht auf — das Dokument, auf dem seine öffentliche Darstellung von Meta beruht. Eine Richterin könnte zu dem Schluss kommen, ohne ihn für unehrlich zu halten, dass jemand, der gewohnheitsmäßig löscht und zu einem derart wichtigen Zeugen geworden war, hätte aufhören müssen zu löschen.

Seine Antwort ist ein glattes, eidliches Dementi. „Metas Anwälte haben behauptet, ich hätte eine Funktion genutzt, die sie ‚auto delete' nannten, oder ich hätte auf andere Weise Nachrichten gelöscht. Das ist falsch." Von dem Tag an, an dem er Signal 2023 installierte, bis zum Abschluss seiner Herausgabe im Januar 2026 habe er, sagt er, bei keinem Austausch mit einer oder einem ehemaligen Meta-Beschäftigten eine automatische Löschung verwendet. Das reicht bis zum Austausch vom Dezember. Bis zu dem vom Februar reicht es nicht.

Dieselbe Idee, in zwei Richtungen

Dieselbe Verfügung setzte eine Frist auf zwölf Uhr mittags — so angeordnet in der mündlichen Verhandlung vom

1. August — für vorgeschlagene Anweisungen an die Jury zu Section 230, dem bundesrechtlichen Schutzschild

für Plattformen. Beide Seiten reichten an diesem Tag ein.

Metas Entwurf der Anweisung verlangt, den Geschworenen zu sagen, sie dürften weder feststellen, dass es unlautere Praktiken betrieben habe, noch, dass irgendeine seiner Aussagen falsch oder irreführend sei, und zwar auf der Grundlage irgendeines von zehn aufgezählten Dingen. Das sechste ist "[a]llowing third-party content to be private or to disappear after a period of time" — zuzulassen, dass Inhalte Dritter privat sind oder nach einiger Zeit verschwinden.

Das sind verschiedene Rechtsgebiete, und das Schutzschild-Argument hat Meta nicht erfunden: Dieses Gericht hat 2024 entschieden, dass ephemere Inhalte eine geschützte publizistische Funktion sind, und die eigene Anweisung der Bundesstaaten fügt sich dem unter Protest. Aber es ist dieselbe Idee — Inhalte, die auf einen Timer hin verschwinden —, die als Schutzschild auftritt, wo Meta sie baut, und als Beweisvernichtung, wo ein Zeuge sie nutzt, unter der Unterschrift von Ashley M. Simonsen von Covington & Burling, Metas externer Rechtsvertretung, in Eingaben, die neun Tage auseinanderliegen.

Was die Anordnung nicht sagt

Sie sagt nicht, dass die Nutzung von Signal geschützt ist, oder dass ein Zeuge einen Timer einschalten darf, wann immer er will. Sie sagt, dass dieses Unternehmen diese behauptete Pflicht gegenüber diesem Zeugen nicht durchsetzen konnte: kein Mechanismus, keine nachfassende Subpoena, keine Klagebefugnis für das Verlangen eines Dritten und kein Nachweis von "reliance actually communicated to Bejar" — eines Vertrauens, das Bejar tatsächlich mitgeteilt worden wäre. Das ist enger als ein Recht und nützlicher als eines.

Ein Gericht, das keine Pflicht feststellt, muss der unterlegenen Partei nicht auch noch verbieten, eine solche zu unterstellen. Dieses hat es getan.

Meta erklärt in einer Stellungnahme vor Prozessbeginn, es sei mit den Vorwürfen der Bundesstaaten entschieden nicht einverstanden, und verweist auf seine langjährige Arbeit zur Unterstützung junger Menschen.

Bejar erklärt, warum die App auf seinem Telefon ist. „Manche Menschen, die über Themen wie Online-Sicherheit sprechen wollen, fürchten, dass Meta sich an ihnen rächt, wenn ihre Kommunikation entdeckt wird."

Die Zuschauer hatten sie über Wochen darauf vorbereitet. Brasiliens föderales Labor für Cyberoperationen sagte später gegenüber Journalisten, die Gruppe habe ohne Wissen der Mutter ein PIX-Konto auf den Namen des Mädchens eröffnet — ein Schlüssel für Sofortüberweisungen — und ihr Geld für Rasierklingen geschickt.

Die Polícia Civil von Mato Grosso do Sul, die Kriminalpolizei des Bundesstaats, benannte die Ermittlungen nach ihr. Operação Lívia wurde am 4. August in Brasília vorgestellt: fünf Jugendliche zwischen 13 und 17 in Gewahrsam und ein mutmaßlicher Rädelsführer, der ein Junge von 14 ist. Die Polizei sagte außerdem, sie habe ein zweites Kind gefunden, in einem anderen Bundesstaat, dessen eigener im Livestream übertragener Tod bereits terminiert war — und habe ihn verhindert.

Die Regierung sagte auch, was die Plattform ihrer Ansicht nach falsch gemacht hat. Victor Fernandes, im Justizministerium nationaler Sekretär für digitale Rechte, zählte drei Versäumnisse auf: Discord habe den Stream nicht abgebrochen, den Inhalt nicht sofort entfernt und die Behörden nicht informiert. Er kündigte eine Vorlage an die ANPD an, Brasiliens Datenschutzbehörde, die auch das ECA Digital durchsetzt, das Kinderschutzgesetz für das Internet, das im März in Kraft getreten ist.

Discord sagt, es habe den Kanal entfernt und die beteiligten Konten in weniger als fünfundzwanzig Minuten gesperrt. Unbestritten ist, was diese Uhr in Gang gesetzt hat: ein Hinweis der Polizei.

Die Vorlage ging am 7. August ein. Fünf Tage später gab es eine Anordnung.

Die Klammer

Am Morgen des 12. August, um 10:21 Uhr, unterzeichnete Fabrício Guimarães Madruga Lopes, der Superintendent für Vollzug der ANPD, drei Seiten mit dem Titel Despacho Decisório nº 3/2026/SFI. Sie setzen für jeden Nutzer in Brasilien Discords Funktion Go Live aus — die Schaltfläche, die den eigenen Bildschirm oder die Kamera in einen Sprachkanal streamt. Sie setzen außerdem jede andere funktional gleichwertige Video- und Sharing-Funktion aus "(com criptografia de ponta a ponta e supervisionados por mecanismos equivalentes aos adotados no âmbito da funcionalidade 'Go Live')": mit Ende-zu-Ende-Verschlüsselung und überwacht durch Mechanismen, die denen entsprechen, die für Go Live verwendet werden.

Go Live wird namentlich verboten. Über die Klammer greift die Anordnung darüber hinaus — und sie fragt zwei Dinge zugleich: dass eine Funktion verschlüsselt ist und dass sie so überwacht wird, wie Go Live es war. Beide Bedingungen — aber eine davon ist eine kryptografische Eigenschaft, und das ist neu. Die öffentliche Begründung der Behörde passt dazu: Discord hat keinen Zugang zum Inhalt von Videoübertragungen, während sie laufen, und kann einen Verstoß deshalb nicht in Echtzeit erkennen.

Die nächste Bestimmung greift über die Schaltfläche hinaus in die Leitungen. Weiterleitung, Spiegelung und Bildschirmfreigabe hören auf, ob über native Funktionen oder über Bots, Webhooks, APIs und Automatisierungen. Discord muss dann technisch wirksame Maßnahmen gegen Umgehung einrichten — durch Umbenennung der Funktion, über Zwischendomains, über Einladungscodes, über Weiterleitungen. Die Umbenennung ist verboten, bevor sie überhaupt jemand vorgeschlagen hat.

Die Aussetzung gilt so lange, bis das Unternehmen sowohl nachweist, dass die Maßnahmen wirken, als auch die ausdrückliche vorherige Genehmigung der Behörde einholt, die Funktion wieder einzuschalten.

Sie ist wirklich verschlüsselt

Seit September 2024 migriert Discord Sprache und Video auf ein Protokoll, das es DAVE nennt, aufgebaut auf Messaging Layer Security und geprüft von der Sicherheitsfirma Trail of Bits. Die eigene Beschreibung des Geltungsbereichs schließt Go-Live-Streams ein.

Das ist die Darstellung des Unternehmens über sein eigenes Produkt — und die Akte der Aufsichtsbehörde übernimmt sie. Die technische Note der ANPD hält das Datum fest, an dem das Protokoll das Live-Video erreichte: den 2. März 2026, nach der Verabschiedung des ECA Digital und fünfzehn Tage, bevor es in Kraft trat. Die Behörde sagt nicht ganz, Discord habe Go Live verschlüsselt, um dem Gesetz zuvorzukommen. Sie stellt die beiden Daten nebeneinander.

Die Seiten, die Bilder sind

Die dreiseitige Anordnung entscheidet, aber sie argumentiert nicht. Ihre Gründe sind vollständig aus einer achtzehnseitigen technischen Note entliehen, die an jenem Morgen um 10:06 Uhr unterzeichnet und um 10:11 Uhr gegengezeichnet wurde — zehn Minuten vor der Anordnung. Die Behörde veröffentlichte sie in einer öffentlichen Fassung, in der die Seiten sieben und acht zu Bildern plattgedrückt sind, weil auf diesen Seiten schwarze Rechtecke über dem liegen, was Discord der Aufsichtsbehörde über die Funktionsweise seiner Sicherheitssysteme mitgeteilt hat. Fragt man einen Textextraktor nach diesen beiden Seiten, gibt er überhaupt nichts zurück. Wir haben sie gerendert und als Bilder gelesen.

Discords proaktive Systeme, hält die Note fest, analysieren den Inhalt privater Sprach- und Videokommunikation nicht, weil diese Funktionen Ende-zu-Ende-verschlüsselt sind. Stattdessen bewertet das Unternehmen Server und Konten nach ihrem Verhalten — und die Note stellt fest, dass diese Bewertung weit davon entfernt war, diesen einen zu markieren.

Dann kommt der Satz, der die gesamte Anordnung ins Wanken bringt:

"Não se trata, portanto, de mera delimitação técnica decorrente do uso da criptografia, mas de falha no próprio modelo de detecção baseado nos sinais comportamentais, que não foi capaz de identificar como prioritário um ambiente que já reunia indícios de risco alto."

Es handelt sich also nicht um eine bloße technische Beschränkung, die sich aus dem Einsatz von Verschlüsselung ergibt, sondern um ein Versagen des Erkennungsmodells selbst, das ein Umfeld, das bereits Anzeichen für ein hohes Risiko aufwies, nicht als vorrangig einstufen konnte.

Die Aufsichtsbehörde hat das Argument, die Verschlüsselung sei das Problem, geprüft und verworfen — auf Seite acht, unter einem schwarzen Balken, in dem Dokument, das ihre eigene Anordnung als deren Begründung übernimmt. Zehn Minuten später, in der Anordnung selbst, greift der verfügende Text auf andere Produkte zu, unter anderem indem er fragt, ob sie verschlüsselt sind.

Sicherheit, die auf Meldungen beruht, braucht einen Zeugen

Nichts davon macht die Anordnung schwach, und der Fall dahinter ist stark.

Ein Meldemechanismus braucht jemanden, der anwesend ist, der nicht selbst verstrickt ist, der handeln kann, der weiß, dass es den Mechanismus gibt, und der dem Unternehmen zutraut, ihn rechtzeitig zu nutzen. In einem privaten Server, der eigens zu diesem Zweck zusammengestellt wurde, gibt es diese Person nicht. Discords Antwort auf eine niedrigere Alarmschwelle lautete, sie würde mehr falsch positive Treffer erzeugen; die Erwiderung der Behörde lautet, dass die Kosten eines falsch negativen Ergebnisses dann, wenn es um schwere Verletzung oder den Tod eines Kindes geht, unvergleichlich höher sind als die Kosten, einen Server mehr zur menschlichen Prüfung zu schicken.

Und die ANPD hat Discord nicht abgeschaltet, was Janja da Silva, Brasiliens First Lady, Tage zuvor öffentlich gefordert hatte. Sie hat eine Funktion ausgesetzt, alles andere laufen lassen und den Weg zurück in die Anordnung hineingeschrieben.

Montag

Die Anordnung gibt Discord drei Arbeitstage, um eine Erklärung einzureichen, unterschrieben von einem rechtlichen Vertreter und einem technischen Verantwortlichen, die nachweist, dass die Aussetzung in ganz Brasilien vollständig ist, und die Datum, Uhrzeit, Systeme und beteiligte Versionen benennt.

Die Uhr läuft nicht ab der Unterschrift. Beide Fristen — die drei Tage und die zehn Arbeitstage für den Widerspruch — beginnen mit der förmlichen Zustellung, und diese Redaktion hat nicht ermittelt, wann diese erfolgt ist. Ab Mittwoch, dem 12. August, gezählt, fallen drei Arbeitstage auf Montag, den 17., und das ist das Datum, das die Parteien selbst nennen.

Die technische Note, zehn Minuten früher, hatte etwas Milderes vorgeschlagen: dass Discord Go Live innerhalb von drei Arbeitstagen abschaltet. Der Superintendent behielt die drei Tage und verschob sie. Sie sind jetzt die Zeit, die für den Nachweis einer Abschaltung bleibt, die längst erfolgt sein müsste.

Am Freitagabend antwortete das Unternehmen, es sei nicht machbar. Eine auf ein Land begrenzte Abschaltung über Desktop-, Mobil- und Konsolen-Clients hinweg zu entwickeln, zu testen und auszurollen, samt der Nachweise, die die Entscheidung verlangt, "não são materialmente executáveis, com integridade, no prazo fixado" — seien nicht materiell ausführbar, mit Integrität, in der gesetzten Frist. Der schwierige Teil ist nicht der Schalter, sondern die Bestimmung über die Einladungscodes. Das Unternehmen beantragte, die Anordnung aufzuheben, und hilfsweise fünfzehn Arbeitstage. Bis Samstagabend, 15. August, war keine Antwort der Behörde berichtet worden.

Der Rest der Eingabe greift nach derselben Tatsache wie die Anordnung und zieht sie in die andere Richtung. Es sei die Verschlüsselung gewesen, sagt Discord, die es daran gehindert habe, den Inhalt zu blockieren. Und ein Server, der aus dem Ruder läuft, sei kein kaputtes System: Das Unternehmen beruft sich auf die Ausnahmeklausel des Gesetzes für eine "falha isolada ou residual, inerente ao estado da técnica" — ein vereinzeltes oder verbleibendes Versagen, das dem Stand der Technik innewohnt. Jede Seite vertritt die Position, die man von der anderen erwartet hätte.

Irgendjemand in Brasília muss am Montag entscheiden.

Was dort entschieden wird, ist eng. Was die Anordnung festschreibt, ist es nicht: dass eine Videofunktion existieren darf, wenn ihr Betreiber sie beobachten kann, und nicht, wenn er es nicht kann. Eine 13-Jährige starb, weil niemand hinsah, und das ist ein echter Grund, sich diese Regel zu wünschen. Es bleibt trotzdem eine Regel über jedes verschlüsselte Produkt, aufgestellt in einem Fall über ein einziges.

Angebote waren heute um 14 Uhr Ostküstenzeit fällig. Um 13:35 Uhr, mit fünfundzwanzig Minuten Rest auf der eigenen Uhr, änderte die Vergabestelle die Bekanntmachung: „Die betreffende Ausschreibung wird hiermit bis zum 8/14/26 um 2:00pm (EST) verlängert. Eine Änderungsvereinbarung zur Untermauerung dieser Verlängerung wird nachgereicht.“

Eine Fristverlängerung ist unauffällig. Das, was sie unterbrochen hat, nicht. Noch zwei Tage lang bleibt die öffentliche Bekanntmachung zu einer 60-Millionen-Dollar-Beziehung stehen — und genau gelesen beschreibt sie so gut wie nichts.

Sieben von acht Antworten lauten „Fragen Sie uns“

Eine kombinierte Bekanntmachung und Ausschreibung — im Original combined synopsis/solicitation, der schnelle Weg zum Einkauf handelsüblicher Produkte, hier gestützt auf FAR Part 12.202(b), also die Federal Acquisition Regulation, das Beschaffungsregelwerk des Bundes, sowie auf eine dauerhaft geltende Klassenabweichung — muss acht nummerierte Punkte abarbeiten. Punkt (i) ist die Ankündigung selbst, und der erfüllt seine Aufgabe: Es wird ein Rahmenvertrag mit einem einzigen Auftragnehmer und unbestimmtem Abrufvolumen zu Festpreisen, dazu ein sofortiger Abruf daraus, und die Vergabe ist nicht für kleine Unternehmen reserviert.

Danach hört die Bekanntmachung auf zu antworten. Die Aufstellung der Positionen und Mengen: „Wird mit den RFP-/Ausschreibungsunterlagen bereitgestellt.“ Die Beschreibung dessen, was beschafft wird, einschließlich der Unterlagen zur Stützung etwaiger Markennamensbeschreibungen: derselbe Satz. Liefertermine und Lieferorte: derselbe Satz. Die geltenden Vergabebedingungen, die geltenden Vertragsklauseln: derselbe Satz, fünfmal hintereinander. Die Punkte (vii) und (viii) — Datum, Uhrzeit und Ort des Angebotseingangs sowie alles Weitere, was eine Leserin brauchen könnte — werden mit anderen Worten an denselben Ort verwiesen.

Dieser Ort ist nicht öffentlich. „Diese Bekanntmachung enthält als ‚controlled‘ gekennzeichnete RFP-/Ausschreibungsunterlagen auf Sam.gov“, heißt es dort. Interessierte Bieter „müssen eine Kopie … über diese Sam.gov-Bekanntmachung anfordern“, und die Anfrage muss einen Namen, einen Ansprechpartner und einen Unique Entity Identifier tragen — jene Registriernummer, die ein Unternehmen braucht, um mit der Bundesregierung Geschäfte zu machen.

Übrig bleibt also der eine Punkt, der besagt, dass gekauft wird. Am schwersten wiegt der Verlust der Markenbegründung: Punkt (iii) existiert gerade deshalb, damit die namentliche Festlegung auf einen Hersteller mit einer öffentlichen Begründung einhergeht — und die Begründung ist hinter das Anforderungsformular gewandert.

Der Satz, der früher sagte, wer bieten durfte

Zweimal zuvor hat dieselbe Vergabestelle in Dallas dieselbe Produktlinie beschafft und laut ausgesprochen, wer sie verkaufen durfte. Am 28. August 2025: „Beigefügt sind die Request-for-Quote-(RFQ)-Unterlagen für diese Ausschreibung, die auf Cellebrite, Inc. und deren autorisierte Wiederverkäufer beschränkt ist. Nur berechtigte Bieter dürfen Angebote einreichen; sie müssen einen Nachweis über die Berechtigung zum Weiterverkauf von Cellebrite-Produkten vorlegen, zusammen mit ihrer Unique-Entity-Identifier-(UEI)-Nummer.“ Am 6. April 2026 derselbe Satz noch einmal — diesmal mit einem verirrten Apostroph im englischen Original: „it's“ statt „its“.

In der Bekanntmachung, die am Freitag schließt, fehlt dieser Satz.

Legt man die beiden Texte nebeneinander, hat die Kennnummer die Aufgabe gewechselt. Früher war sie ein Beleg: Häng deinen UEI an, um zu beweisen, dass du ein autorisierter Cellebrite-Wiederverkäufer bist. Jetzt ist sie ein Schlüssel: Häng deinen UEI an, damit dir die Unterlagen zugeschickt werden. Dieselbe Nummer, die einst die Berechtigung nachwies, erkauft nun den Zugang — und die Frage, die sie früher beantwortete, nämlich wer berechtigt ist, wird öffentlich nicht mehr gestellt.

Zwei Uhren, vier Stunden auseinander

Im Fließtext der Bekanntmachung steht 14 Uhr. Ein Feld in der Oberfläche von SAM.gov sagt dasselbe. Ein anderes nicht: Das maschinenlesbare Antwortdatum lautet 2026-08-14T18:00:00+00:00, und derselbe Datensatz beschriftet seine Zeitzone mit America/New_York. Ein Programm, das das Feld beim Etikett nimmt — als Ortszeit in New York —, plant die Angebotsabgabe für 18 Uhr und verfehlt die Frist um vier Stunden. In dem Feld steht tatsächlich UTC; das Etikett beschreibt, wie der Wert angezeigt wird, nicht, was er enthält.

Und der Fließtext hat seinen eigenen Fehler. „2:00pm (EST)“ nennt die Eastern Standard Time, die im August gar nicht gilt; in Kraft ist die Eastern Daylight Time, die Sommerzeit der US-Ostküste. Wer das Kürzel wörtlich nimmt, kommt eine Stunde zu spät.

Diese Redaktion hat denselben Datensatz dreimal falsch gelesen, und die Korrekturen sind der Grund, warum es diesen Abschnitt gibt. In unseren eigenen Notizen stand als Frist 18 Uhr Ostküstenzeit — abgelesen am Feld, nicht am Fließtext —, und einer unserer Rechercheläufe hat sich diese Antwort hergeleitet und so festgehalten, dass kein späterer Lauf sie noch einmal aufrollen würde. Sie war falsch; die Frist lag bei 14 Uhr. Wir hatten außerdem ein Angebotsfenster von drei Werktagen notiert, weil wir das Datum einer Änderung für das Datum der Veröffentlichung gehalten hatten. Das tatsächliche Fenster, vom 29. Juli bis zum 12. August, betrug zehn Werktage — länger als die neun des Vorjahres, was einen Befund umkehrt, den wir bereits druckfertig hatten. Drei Fehler, ein Datensatz, alle aus der Lektüre eines Dokuments, das seine eigene wichtigste Angabe auf drei verschiedene Weisen macht.

Wessen Telefon es ist

Die Menschen am anderen Ende dieses Kaufs tauchen in genau einem Regierungsdokument auf, und es stammt von ICE selbst. Die Datenschutz-Folgenabschätzung für die forensische Auswertung elektronischer Datenträger, DHS/ICE/PIA-042, beschreibt, wofür die Werkzeuge da sind und wen sie erreichen.

Prüferinnen und Prüfer „müssen sämtliche Informationen auf dem Datenträger sichten“, um zu ermitteln, was relevant ist — die Durchsuchung ist zuerst vollständig und erst danach auswählend. Geräte kommen per Durchsuchungsbeschluss, per Herausgabeverlangen oder Vorladung, durch freiwillige Herausgabe — oder, bei Beamten, die sich auf die Befugnis zur Grenzdurchsuchung stützen, über eine Ausnahme, die es ihnen erlaubt, „elektronische Geräte oder darin enthaltene Informationen zu durchsuchen, zurückzuhalten, zu beschlagnahmen, aufzubewahren und weiterzugeben, mit oder ohne individualisierten Verdacht“.

Was vom Telefon heruntergeholt wird, bleibt dann auch. Endet ein Fall in einer Strafverfolgung: fünf Jahre über das letzte Rechtsmittel hinaus. Endet er nicht so: bis der Fall abgeschlossen ist — oder sechzehn Jahre, falls das Material noch einmal gebraucht werden könnte. Ist ein Fall offen und verjährt die Tat nicht, gilt die Extraktion als „permanenter Aktenbestand“ und „würde auf unbestimmte Zeit aufbewahrt“.

Und ICE schreibt auf, für wen es keinen Ausweg hat:

Datenschutzrisiko: Es besteht das Risiko, dass manche Personen, deren Daten sich auf elektronischen Datenträgern oder Geräten befinden, die von mehreren Personen genutzt werden, nichts davon erfahren, dass ihre Informationen erhoben wurden, und daher auch nichts von der Möglichkeit eines Rechtsbehelfs. Minderung: Dieses Risiko kann nicht gemindert werden.

Ein gemeinsam genutzter Laptop, ein Familien-Tablet, das Telefon der Partnerin. Rechtlich genügt die Einwilligung einer Person, die über das Gerät verfügen darf; die Daten aller anderen kommen mit, und die wohlerwogene Position der Behörde lautet, dass für sie nichts getan werden kann. Dieser Absatz ist elf Jahre alt und war noch nie eine Nachricht. Er ist die Antwort darauf, was die controlled-Unterlagen beschreiben.

Was für diesen Beschaffungsweg spricht

Man muss die Seite der Behörde ernsthaft einnehmen, denn sie hat eine. Die Regeln für handelsübliche Produkte gibt es, damit der Staat etwas Bekanntes nachkaufen kann, ohne ein halbjähriges Turnier zu veranstalten. Ein Rahmenvertrag mit einem einzigen Auftragnehmer und unbestimmtem Abrufvolumen über eine namentlich genannte Produktlinie ist der Normalfall. Das Tempo ist hier Konstruktion, kein Ausweichmanöver — auch wenn die Zahlen gegen die Fassung dieses Arguments sprechen, die diese Redaktion zu finden erwartet hatte. Über die 690 der 696 kombinierten Bekanntmachungen von ICE, die beide Datumsangaben tragen, liegt das mediane Fenster bei sieben Werktagen. Dieses hier lief zehn, länger als etwa zwei Drittel von ihnen. Auch dafür, die Anforderungsunterlagen als controlled zu kennzeichnen, gibt es eine echte Begründung: Eine öffentliche Liste, welche Auslesefähigkeiten eine Strafverfolgungsbehörde genau einkauft, ist eine operative Offenlegung, und niemand hat einen Anspruch darauf.

Jeder einzelne Punkt davon trägt. Keiner davon erklärt, warum der Satz, der die einzigen berechtigten Verkäufer benennt, aus dem öffentlichen Text verschwinden musste, oder warum die Markenbegründung, die die FAR öffentlich verlangt, jetzt hinter einem Anforderungsformular liegt, oder warum eine Bekanntmachung ihre Frist nicht ein einziges Mal eindeutig nennen kann.

Wozu eine öffentliche Bekanntmachung da ist

ICE hat bei Cellebrite über 215 Vergaben hinweg 59.961.959,58 US-Dollar ausgegeben. Die größte ist eine einzelne Bestellung über 11.112.194,40 US-Dollar, unterzeichnet Ende September vergangenen Jahres, die am

1. September 2026 ausläuft — und genau dafür ist die Frist am Freitag da.

Die Bekanntmachung steht weiterhin online, weiterhin aktiv, und die Änderungsvereinbarung, die ihre neue Frist genehmigt, existiert nicht. Öffentlich ist, dass gekauft wird, bei einem namentlich genannten Unternehmen, zu einem Zeitpunkt, über den der Datensatz sich nicht einig wird. Als controlled eingestuft ist alles, was man wissen müsste, um zu beurteilen, ob das eine gute Idee ist.

Das ist kein Skandal. Es ist ein öffentlicher Datensatz, der zu einem Verweis auf einen nichtöffentlichen geworden ist — und der Verweis ist der einzige Teil, den irgendjemand überprüfen kann.

Also taten die Ermittler das Naheliegende. Sie nahmen diese Nummer und schauten nach, wem sie gehört.

Registriert war sie auf Amr Abdel-Hakam Emara, damals Informatikstudent im Grundstudium in Abu Kabir. Er wurde in Abwesenheit verurteilt, zu lebenslanger Haft — «السجن المؤبد», was Artikel 14 des ägyptischen Strafgesetzbuchs als Haft «مدة حياته» definiert, für die Dauer seines Lebens. Ägyptische Schlagzeilen nennen das „25 Jahre“; das Briefing dieser Redaktion tat es auch.

Die lebenslange Strafe stützt sich auf die Aussage seines Anwalts und die Schilderung seiner Schwester; ein Urteil hat niemand gesehen. Dr. Kamal Shaib nennt das Militärstrafgericht für Verbrechen in Assiut, Fall 172 von 2024, und die Zeitung, die seine Schwester interviewte, führt den Fall als «جنايات السويس», Verbrechenssache Suez — ein Widerspruch, den kein Dokument auflöst.

Niemand sagte es ihm. Das Urteil lag mehr als achtzehn Monate unzugestellt da, während er Vorlesungen besuchte und Prüfungen schrieb. Bis zwei Gerichtsvollzieher an der Tür seiner Familie klopften und fragten, wo Amr sei.

Er stellte sich. In der Neuverhandlung am 17. Juni 2026 verhängte das Gericht dieselbe Strafe. Am oder um den 4. August erfuhr seine Familie, es sei bestätigt worden — der Schritt, der ein Urteil vollstreckbar macht. Er ist zwanzig.

Zehn Leitungen, eine Unterschrift, ein Nachmittag

So kam er dorthin, wo er jetzt ist — erzählt hat es seine Schwester Yasmin der Zeitung Al-Masry Al-Youm. Ein Freund bat ihn, seinen Personalausweis leihen zu dürfen. Die Schwester des Freundes verkaufte in einer Filiale eines Unternehmens Mobilfunkleitungen und brauchte eine Leitung mehr, um das Verkaufsziel zu erreichen, von dem ihr Arbeitsplatz abhing — «التارجت», das Target.

Emara ging mit ihm in die Filiale, gab seinen Ausweis heraus und unterschrieb, was er für einen Vertrag über eine SIM-Karte hielt. An diesem Tag wurden zehn Leitungen auf seinen Namen eröffnet, sagt seine Schwester. Sie wurden aktiviert und weiterverkauft. Die Regeln der NTRA, Ägyptens Telekom-Regulierungsbehörde, erlauben einem Ägypter höchstens zehn Sprachleitungen pro Betreiber: Der Betrug hatte genau die Größe der Regel.

So erzählt es die Familie. Die Anklage hat das Register: Die Nummer war auf seinen Namen registriert, und das war es, was ihn identifizierte.

Am 7. August 2026, drei Tage vor der Überweisung, trat der NTRA-Sprecher Mohamed Ibrahim beim Sender Extra News auf und erklärte, wie das läuft. Leitungen wandern über die Jahre von Hand zu Hand, «دون علم المالك الأصلي» — ohne Wissen des ursprünglichen Inhabers — «وهو ما قد يعرضه للمساءلة القانونية باعتباره المتعاقد على الخط»: was ihn als denjenigen, der den Vertrag über die Leitung geschlossen hat, rechtlich zur Verantwortung ziehen kann.

Das ist Amr Emaras Verurteilung, beschrieben von seiner eigenen Regulierungsbehörde als ein funktionierendes System — und als Aufgabe des Bürgers, es zu überwachen.

„Die rechtliche Verantwortung ist persönlich“

Am selben Tag veröffentlichte die NTRA auf ihrer eigenen Website eine Erklärung. Deren zweiter Absatz ist der interessanteste Satz, den eine ägyptische Institution in diesem Monat produziert hat:

«يُطمئِن الجهاز المواطنين إلى أن مجرد تسجيل خط هاتف محمول باسم شخص لا يرتب بذاته مسؤوليته عن الأفعال التي تتم باستخدامه… فالمسؤولية القانونية شخصية، ولا تُنسب الأفعال إلى غير مرتكبها.»

Die bloße Registrierung einer Leitung auf den Namen einer Person macht sie nicht schon dadurch verantwortlich für das, was mit ihr getan wird. Die rechtliche Verantwortung ist persönlich.

Dann der Nebensatz, der alles verrät: «دون إخلال باختصاص جهات التحقيق والقضاء في تقدير الأدلة» — unbeschadet der Zuständigkeit der Ermittlungs- und Justizbehörden für die Beweiswürdigung. Die Regulierungsbehörde sagt: Das Register ist kein Beweis. Sie sagt auch: Zu entscheiden hat das nicht sie. Etwa drei Tage zuvor war die Antwort eines Gerichts endgültig geworden.

Die Antwort lautet: ein besseres Register

Am 10. August 2026 überwies die NTRA alle vier Mobilfunkbetreiber des Landes an die Generalstaatsanwaltschaft: Orange Egypt, Vodafone Egypt, e& Egypt und Telecom Egypts WE. Sie schloss den Kanal der Sammelregistrierung über Firmenkonten. Sie verpflichtete die Betreiber, die älteren Leitungen in diesen Firmensystemen per SMS anzuschreiben: Wer sie hält, soll in eine Filiale kommen und den Vertrag auf den eigenen Namen umstellen — oder die Leitung verlieren. Und sie wies sie an, die biometrische Gesichtserkennung zu beschleunigen — «بصمة الوجه», den Gesichtsabdruck — für den Kauf einer Leitung und für das Lesen des eigenen Registereintrags. Stand 11. August ist die Überweisung nur aus Presseberichten bekannt; die NTRA hat sie nicht veröffentlicht.

Ein Pflichtregister für Identitäten hat einem Mann eine lebenslange Strafe eingebracht, dessen einzige Handlung darin bestand, in einer Filiale ein Formular zu unterschreiben. Die Antwort des Staates ist, das Register schwerer täuschbar zu machen.

Niemand in Ägypten schlägt vor, dass das Register aufhört, das zu sein, was ein Gericht glaubt.

In den Regeln stand das alles schon

Zwei Seiten tiefer auf derselben Website liegen Regeln, die die NTRA seit Jahren veröffentlicht. Die für Firmen verlangen von den Betreibern, jede neue Firmen-SIM «ببيانات المستخدمين الفعليين للشرائح» zu registrieren — mit den Daten der tatsächlichen Nutzer der Leitungen — und verbieten, eine SIM zu aktivieren «الا بعد اخذ صورة ضوئية ملونة من الرقم القومي الساري للمستخدم الفعلي» — ohne vorher eine Farbkopie des gültigen Personalausweises des tatsächlichen Nutzers zu nehmen.

Das ist das Notpaket vom 10. August 2026, und es war bereits die Regel.

Die Regeln für Privatpersonen sind strenger, und Emara hat jede einzelne erfüllt: «يستلزم التعاقد على شريحة التليفون المحمول تواجد العميل شخصياً» — der Vertragsabschluss über eine SIM-Karte verlangt, dass der Kunde persönlich anwesend ist.

Er war persönlich anwesend. So ist es passiert.

Eine Nummer, die Sie nicht lesen dürfen

Emaras Fall schickte die Ägypter zu «أرقامي» — Arqami, „meine Nummern“ —, dem Dienst in der NTRA-App, der die Leitungen auflistet, die auf den eigenen Personalausweis laufen. Souad Mohamed fand zehn, bei einem Betreiber, den sie nach eigenen Angaben nie genutzt hat. Mohamed Saudi fand fünf.

Arqami hatte die NTRA kurz zuvor abgeschaltet, erklärte der Sprecher, weil jeder die Leitungen zu einem Personalausweis abfragen konnte — allein mit dieser Ausweisnummer. Der Dienst kam mit einem Patch zurück: Die App zeigt jetzt nur noch einen Teil jeder Nummer.

Saudi, der seine fünf vor der Abschaltung vollständig als Screenshot gesichert hatte, kann sie nicht mehr lesen. Der Patch hat das Register genau der Person entzogen, deren Name darin steht.

Der veröffentlichte Ausweg ist ein Formular. Gehen Sie in eine Verkaufsstelle, geben Sie dem Angestellten Ihren Originalausweis und lassen Sie sich eine «استمارة عدم حيازة الخط» abstempeln — ein Formular über den Nichtbesitz der Leitung. Das Heilmittel gegen eine Leitung, die ein Verkaufsstellenmitarbeiter gegen Ihren Ausweis ausgegeben hat, ist ein Formular, das ein Verkaufsstellenmitarbeiter gegen Ihren Ausweis ausfüllt.

Was nicht belegt ist

Die Erklärungen der NTRA erwähnen Amr Emara nie — nicht die Beruhigung vom 7. August, nicht die Überweisung vom 10. August. Die Redaktion hat gesucht und keine Verbindung gefunden. Gefunden hat sie etwa sechs Tage zwischen dem Endgültigwerden einer lebenslangen Strafe und der Meldung von vier Betreibern an die Staatsanwaltschaft, mit einer Welle von Beschwerden dazwischen. Zeitlich benachbart; ein Kausalzusammenhang ist nicht bewiesen.

Was die Redaktion nicht hat: irgendeine Gesetzesnummer in der Überweisung, die nur «أحكام القانون» anführt, die Bestimmungen des Gesetzes; eine Länge für die Übergangsfrist, die nur «المهلة المحددة» ist, die festgesetzte Frist; das Urteil selbst — vorhanden ist allein die Angabe des Anwalts zum Aktenzeichen und die Schilderung der Verhandlung durch die Schwester; und für den Irak jede Zahl der Bürger, deren Namen verwendet wurden. Die NTRA hat ihre Beruhigung veröffentlicht; ihre Durchsetzung hat sie nicht veröffentlicht.

Dasselbe Versagen, im Irak, am selben Tag — 10. August

Am Abend desselben Tages stoppte in Bagdad Baligh Abu Kalal, Leiter des Exekutivapparats der irakischen Kommission für Kommunikation und Medien (CMC), den Verkauf von SIM-Karten über Handelsvertreter und Verkaufsstellen in der gesamten Region Kurdistan und beschränkte ihn auf die Hauptfilialen der lizenzierten Betreiber, bis «آليات التوثيق الإلكتروني والتحقق الأمني» — Mechanismen der elektronischen Authentifizierung und der Sicherheitsüberprüfung — eingerichtet sind.

Seine erklärte Begründung ist genau diese Geschichte: Die Kommission habe «شكاوى ومؤشرات تتعلق بتسجيل شرائح اتصال بأسماء مواطنين من دون علمهم أو موافقتهم» beobachtet — Beschwerden und Hinweise zur Registrierung von SIM-Karten auf die Namen von Bürgern ohne deren Wissen oder Einverständnis. Die Maßnahme bestehe, sagte er, um «التزوير وانتحال الهوية» zu verhindern — Fälschung und Identitätsanmaßung — und der Ersatz werde gemeinsam mit den lizenzierten Unternehmen und «الأجهزة الأمنية», den Sicherheitsbehörden, aufgebaut. Im gesamten veröffentlichten Bestand der Kommission kommt «انتحال الهوية» genau einmal vor: in dieser Anordnung.

Das Plädoyer für den Gesichtsabdruck, ordentlich vorgetragen

Ahmed Badawi, Vorsitzender des Kommunikationsausschusses des ägyptischen Abgeordnetenhauses, hat die Vorgeschichte im Fernsehen ausgebreitet. Zwischen 1997 und 2018, sagte er, bekamen Händler je drei- oder vierhundert Leitungen in die Hand, um sie gegen die Zielvorgaben der Betreiber zu verkaufen. Zehntausende Leitungen gingen auf diesem Weg hinaus. Der Kanal war das Leck; ihn zu schließen ist die direkte Abhilfe; und eine Live-Gesichtsprüfung am Schalter durchkreuzt genau den Trick, mit dem es Emara traf — ein geliehener Ausweis und eine Unterschrift. Seine Behauptung, Stand 11. August: Binnen eines Monats werde das «سيقضي على استخدام أي خط هاتف بغير اسم صاحبه الحقيقي» — die Nutzung jeder Telefonleitung beenden, die nicht auf den Namen ihres wahren Inhabers läuft.

Das ist ein ernstes Argument. Es ist aber keine Antwort auf Amr Emara, denn nichts in den Paketen der beiden Länder berührt den Schritt, der ihn verurteilt hat: eine Nummer in einem Register, gelesen als eine Person.

Badawi kündigte an, Ägypten werde seine Handelsvertreter und Distributoren stoppen und Leitungen nur noch über die offiziellen Filialen der Betreiber verkaufen. Achtundvierzig Stunden später ordnete die irakische Kommission für die Region Kurdistan dasselbe an.

Zwei Staaten. Ein Versagen. Dasselbe Mittel, ohne Kontakt zwischen ihnen — die Ankündigung eines Abgeordneten, dann die regionale Anordnung einer Regulierungsbehörde. Bei einer Suche auf Arabisch und Englisch am

1. August fanden wir in keiner der beiden Sprachen ein Medium, das beides zusammen gedruckt hat.

Das ist kein Zufall, der etwas über Ägypten und den Irak aussagt. Es ist das, was dieses Design tut.

Am 4. August ordnete Brasiliens nationale Datenschutzbehörde, die ANPD, an, das Scannen zu stoppen. Die Anordnung — Despacho Decisório nº 2/2026/SFI, unterzeichnet von ihrem Superintendenten für Rechtsdurchsetzung, Fabrício Guimarães Madruga Lopes, als Präventivmaßnahme nach Artikel 55-J der Lei nº 13.709, der LGPD — setzt jede biometrische Verarbeitung für die Anwesenheitskontrolle im gesamten Schulnetz des Bundesstaats aus und gibt Paraná zehn Werktage, um die Abschaltung nachzuweisen: eine förmliche Erklärung, unterzeichnet von einer zuständigen öffentlichen Stelle, dazu ein technischer Bericht, der jedes betroffene System und jede betroffene Datenbank benennt und angibt, wo jede biometrische Datenbank liegt und wer sie verwahrt.

Liest man die Anordnung so, wie Eltern sie lesen würden, ist das Lauteste an ihr ein Schweigen. Nichts darin besagt, dass die Gesichter der Kinder gelöscht werden. Sie besagt, dass sie aufbewahrt werden. Etwas zu stoppen und etwas rückgängig zu machen sind zwei verschiedene Handlungen — und in dem Abstand dazwischen liegen jetzt eine Million Gesichts-Templates.

Niemand hat angeordnet, die Gesichter zu löschen

Die Anordnung umfasst fünf Seiten, und kein einziges Wort darin bedeutet löschen. Diese Redaktion hat ihren vollständigen portugiesischen Text nach jedem Begriff durchsucht, den brasilianisches Datenschutzrecht und brasilianische Praxis für das Löschen von Daten verwenden — eliminieren, ausschließen, aussondern, anonymisieren, tilgen, vernichten und ihre Varianten, insgesamt acht Begriffe — und jeder davon kommt exakt null Mal vor. Löschung steht schlicht nicht im Dokument.

Was der Text stattdessen anordnet, unter Punkt 1.3.2(b): Der Bericht des Bundesstaats soll „as medidas adotadas para impedir novas operações de tratamento e o respectivo regime de preservação ou bloqueio“ beschreiben — die Maßnahmen, die neue Verarbeitungsvorgänge verhindern, und das zugehörige Regime der Aufbewahrung oder Sperrung. Das Scannen endet; die Templates bleiben, in Datenbanken, deren Standorte und Verwahrer Paraná nun aktenkundig machen muss.

Es gibt dafür einen vertretbaren Grund, und vermutlich ist es die richtige Entscheidung. Dies ist eine Präventivmaßnahme in einem laufenden Aufsichtsverfahren, keine Sanktion — und dieselbe Anordnung leitet die Akte weiter an die Sanktionsstelle der Behörde, die prüfen wird, ob ein förmliches Sanktionsverfahren zu eröffnen ist. Eine Aufsichtsbehörde ordnet nicht mitten im Verfahren die Vernichtung von Beweisen an; was man hat löschen lassen, kann man später nicht mehr prüfen. Aber dass die Aufbewahrung richtig ist, macht sie noch nicht zur Abhilfe. Die Kinder, deren Gesichter eingesammelt wurden, bekommen sie heute nicht zurück. Sie bekommen ein Versprechen, dass derzeit niemand gegen sie abgleicht — und eine offene Akte, in der die Frage der Löschung bislang nicht gestellt worden ist.

Ein Zeitstempel wird es klären

Die zehn Werktage laufen weder ab der Unterzeichnung am 4. August noch ab der Veröffentlichung der Anordnung am 6. August. Punkt 8 ist unmissverständlich: „a contagem dos prazos acima corresponde à intimação desta decisão“ — die Fristen beginnen mit der förmlichen Zustellung an den Bundesstaat. Vom 4. August an gezählt liefen sie am Dienstag, dem 18. August, ab; die Zustellung erfolgte fast sicher später, der 18. August ist also der früheste Termin, zu dem die Eingabe fällig sein kann. Dasselbe Fenster ist zugleich das Fenster des Bundesstaats für einen Widerspruch. Es wäre leicht — und falsch — zu berichten, Paraná habe es versäumt zu reagieren. Hat es nicht. Heute ist ungefähr Tag zwei oder drei einer Frist von zehn Tagen.

Was das Warten auf diese Eingabe lohnend macht, ist ein einziges Feld. Paranás öffentliche Verteidigung lautet: Das Programm sei ein Pilotprojekt gewesen und im Juli von selbst ausgelaufen. Punkt 1.3.2(c) verpflichtet den Bundesstaat, „a data e o horário da efetiva desativação“ einzureichen — das genaue Datum samt Uhrzeit, zu dem die Gesichtserkennungsfunktionen abgeschaltet wurden. Ein Zeitstempel vor dem 4. August heißt: Der Bundesstaat hat recht, und die ANPD hat etwas suspendiert, das schon tot war. Ein Zeitstempel danach heißt: Das System lief noch, als die Aufsicht es erreichte. Eine Zeile in einem Compliance-Bericht, fällig im Verfahren 00261.007049/2024-06, beendet diesen Streit — so oder so.

Eine Pressemitteilung für Discord, Schweigen für Paraná

Dass die Anordnung überhaupt an die Öffentlichkeit gelangte, liegt allein daran, dass das interne Mitteilungsblatt der ANPD — das Boletim de Serviço Eletrônico, in dem sie am 6. August erschien — veröffentlicht wird und jemand es gelesen hat. Die Behörde verkündete nichts.

Drei Tage nach der Unterzeichnung, am 7. August, eröffnete dieselbe Behörde ein Aufsichtsverfahren gegen Discord — nach dem Tod eines 13-Jährigen und Vorwürfen gegen eine Gruppe, die zu Selbstverletzungen angestiftet haben soll. Dieser Schritt kam mit Pressemitteilung, mit dem verfahrenseinleitenden Dokument im Anhang und mit Berichterstattung noch am selben Tag durch O Globo, CartaCapital, Poder360 und Olhar Digital.

Ein Teil des Unterschieds lässt sich erklären. Der Tod eines Kindes hat mehr Nachrichtenwert, und eine öffentliche Warnung mag der eigentliche Zweck gewesen sein. Gegen einen anderen Arm des Staates vorzugehen kann Benachrichtigungsprotokolle mit sich bringen, die beim Vorgehen gegen eine ausländische Plattform entfallen. Eine Pressemitteilung ist keine Rechtspflicht, und das Mitteilungsblatt ist formal eine Veröffentlichung. Auch der zugrunde liegende Schritt verdient Anerkennung: Die meisten Datenschutzbehörden bewegen sich langsam und bevorzugt gegen Privatunternehmen — diese hier hat einer Staatsregierung befohlen, ihr Vorzeigesystem an den Schulen binnen Tagen abzuschalten.

All das ist wahr, und der Rest bleibt trotzdem unbequem. Mit einer Pressemitteilung sagt eine Behörde der Öffentlichkeit, welche ihrer Handlungen sie gesehen wissen will; der Weg über das Mitteilungsblatt setzt Leser voraus, die schon wissen, wo sie nachsehen müssen. In ein und derselben Woche, bei Kinderdaten, bekam die ausländische Plattform die Ankündigung — und der Bundesstaat das Schweigen. Das Schweigen hat getragen: Stand 8. August gab es überhaupt keine englischsprachige Berichterstattung über die Anordnung — null gefundene Beiträge, gegenüber 61 auf Portugiesisch.

Befolgen kann man sie, bestreiten nicht

Die Anordnung entscheidet, aber sie erklärt nicht. Ihre inhaltliche Begründung — warum diese Verarbeitung dem Gesetz nicht genügte — ist per Verweis aus der Nota Técnica nº 4/2026 übernommen, einer technischen Note, die die ANPD nicht veröffentlicht hat. Das Dokument, das anordnet, ist öffentlich; das Dokument, das begründet, ist es nicht. Einer so gebauten Entscheidung kann man nachkommen, aber man kann nicht mit ihr streiten — nicht der Bundesstaat, und nicht die Eltern an der nächsten Schule, im nächsten Bundesstaat, wo dasselbe Verkaufsversprechen wieder gemacht werden wird.

Eine Person hat einen besonderen Anspruch darauf, diese Note zu lesen. Punkt 4 der Anordnung verfügt ihre Übersendung an „o titular de dados cujo requerimento levou à abertura“ des Beobachtungsverfahrens — an die betroffene Person also, deren Antrag die ANPD 2024 veranlasste, dieses Programm unter Beobachtung zu stellen. Ein Mensch stellte einen Antrag; zwei Jahre später wurde ein Bundesstaat angewiesen, das Scannen von einer Million Kindern zu stoppen. Die Note, die das Warum erklärt, sollte für alle anderen veröffentlicht werden. Fragen Sie die Behörde danach.

Wasser, das schon im Tank ist

Ein biometrisches Template ist kein Foto. Es ist eine Zahl, abgeleitet aus einem Gesicht, und ihr ganzer Zweck ist es, abgleichbar zu bleiben, solange das Gesicht existiert. Deshalb ist eine Aussetzung eine kleinere Abhilfe, als sie klingt. Die Verarbeitung ist ein Hahn, den man zudrehen kann. Die Templates sind Wasser, das schon im Tank ist. Paranás Compliance-Bericht muss sagen, wo dieses Wasser lagert und bei wem. Nichts darin muss sagen, für wie lange.

Systeme, die nichts einsammeln, brauchen diese Anhörung nie. Alles andere — jeder Anwesenheitsscanner, jede Bequemlichkeit, die damit beginnt, ein Kind zu vermessen — bringt am Ende eine Seite wie diese hervor, auf der eine Aufsichtsbehörde das Äußerste tut, was sie tun kann, und die Gesichter bleiben, wo sie sind.

Am 10. Juli hat dieselbe Stelle — Investigations and Operations Support, Dallas — den Vertrag unterschrieben, der in der Serie eine Nummer weiter steht: 13.000.000 US-Dollar für ZeroFox, ein Unternehmen, das Bedrohungsüberwachung in sozialen Medien verkauft. Diesmal boten drei Firmen mit. Bekannt gemacht wurde die Vergabe trotzdem nirgends, und die öffentliche Begründung, die die Vorschrift verlangt, ist nicht gefunden worden. Die Dreißig-Tage-Frist für ihre Veröffentlichung läuft am **Sonntag,

1. August**, ab. Heute Abend ist Tag 28.

Legt man die beiden Datensätze nebeneinander, stehen sie verkehrt: Der riesige Auftrag ohne Wettbewerb wurde offen behandelt, der kleine mit Wettbewerb verschwand im Dunkeln. Diese Umkehrung ist aus einem einzigen Grund ein paar Minuten Aufmerksamkeit wert. Wie der Sonntag auch ausgeht — dieses Vertragspaar zeigt, dass sich die Offenlegungspflicht von außen nicht überprüfen lässt: nicht, ob sie versäumt wurde, nicht, ob sie eingehalten wurde, überhaupt nicht.

Der laute Einkauf und der leise

Die beiden Vergaben liegen in der Nummernserie des Bundes eine Ziffer auseinander, 70CMSD26C00000005 und …006, und jedes Feld läuft der Intuition entgegen. Die freihändige Vergabe ist die bekannt gemachte: Angebot bei einer einzigen Firma eingeholt, ein Angebot erhalten, öffentliche Bekanntmachung am nächsten Tag veröffentlicht. Die im Wettbewerb vergebene ist die unsichtbare: drei Angebote in einem Verhandlungsverfahren, und keine öffentliche Bekanntmachung — das Datenbankfeld, das eine solche verzeichnet, steht auf NO.

Die Sonntagsfrist stammt aus der Dringlichkeitsausnahme FAR 6.302-2; die Federal Acquisition Regulation, kurz FAR, ist das Vergaberegelwerk des US-Bundes. Sie erlaubt einer Behörde, den Wettbewerb zu beschränken, wenn eine Verzögerung schweren finanziellen oder operativen Schaden anrichten würde, und gibt ihr dreißig Tage nach der Vergabe, um die schriftliche Begründung zu veröffentlichen. Die Datenbank der Regierung selbst codiert den ZeroFox-Einkauf aber als "full and open competition after exclusion of sources" — „vollständiger und offener Wettbewerb nach Ausschluss von Anbietern“ —, und drei Bieter in einem Verhandlungsverfahren sehen nicht nach Notlage aus. Entweder ist die Codierung ungenau, oder der Einkauf war gewöhnlicher, als Dringlichkeit vermuten lässt. Je gewöhnlicher er war, desto schwerer ist die fehlende Bekanntmachung zu erklären.

Die Größe weist in dieselbe Richtung. 13 Millionen Dollar sind nach ICE-Maßstäben klein, und Vergaben dieser Größe kommen überhaupt nur über den Papierkram an die Oberfläche: Die 94,7 Millionen von daneben würden Aufmerksamkeit erregen, was auch immer im Datensatz stünde. Ein Posten über 13 Millionen fällt niemandem auf — es sei denn, die Offenlegungspflicht funktioniert.

Es waren drei, und zwei blieben im Dunkeln

Der naheliegende Einwand lautet Rosinenpickerei, also hier die vollständige Grundgesamtheit. Zwischen dem

1. Juni und dem 7. August hat diese Stelle 82 Vergaben unterschrieben; blättert man den ICE-Datenbestand

vollständig durch — 633 Zeilen auf sieben Seiten, nicht die zwei Seiten, die eine Standardabfrage zurückgibt —, finden sich genau drei definitive contracts, also eigenständige Neuverträge und keine Abrufe aus Rahmenverträgen, deren Wettbewerb früher stattfand.

Der dritte ist klein genug, um aus jeder nach Größe sortierten Abfrage herauszufallen: 70CMSD26C00000004, 486.749,68 US-Dollar an Guardian Centers of Georgia, unterschrieben am 20. Juli, freihändig vergeben nach FAR 6.302-1. Sein Feld fed_biz_opps steht auf NO. Damit sind es drei, und zwei der drei wurden nie bekannt gemacht. Die Vergabe über 94,7 Millionen Dollar ist der einzige eigenständige Neuvertrag, den diese Stelle den ganzen Sommer über öffentlich gemacht hat — was das Muster schlimmer macht als ein bloßes Paar, nicht harmloser.

Was ZeroFox verkauft

ZeroFox verkauft Markenschutz und die Überwachung von Bedrohungen in sozialen Medien; Muttergesellschaft ist LookingGlass Cyber Solutions. Der neue Kunde ist jene ICE-Stelle, deren Name sagt, was sie tut: Unterstützung von Ermittlungen und Operationen.

Was ICE tatsächlich gekauft hat, steht nicht im Datensatz. Die Vergabe beschreibt keine Leistung, und die Redaktion schließt aus der Produktpalette eines Anbieters nicht auf eine Fähigkeit. Genau diese Unbekannte soll das fehlende Dokument aber auflösen: In einer Begründung erklärt die Regierung schriftlich, was sie kauft und warum der Wettbewerb beschränkt wurde. Bei einem nie bekannt gemachten Vertrag über 13 Millionen Dollar zwischen einer Einwanderungspolizei und einer Firma für Social-Media-Überwachung war dieses Dokument die einzige öffentliche Rechenschaft, die es je geben würde.

Die harmlose Erklärung

Stellen wir uns einen Moment auf die Seite der Beschaffungsstelle, denn ihre Argumente sind ernst zu nehmen. Drei Firmen boten mit — was das hier auch ist, es ist kein Geschenk an einen Anbieter, mit dem niemand konkurrieren konnte. Verspäteter Papierkram ist das gewöhnlichste Versäumnis im Beschaffungswesen des Bundes: Veröffentlichungsfristen reißen quer durch die Regierung, und eine gerissene Frist ist keine Vertuschung. Die Frist ist nicht einmal abgelaufen — eine Begründung, die bis Sonntag erscheint, erfüllt die Vorschrift vollständig, und dann wird dies eine Geschichte über eine Regel, die funktioniert hat. Am stärksten aber: Dieselbe Stelle hat ihre weitaus größere Vergabe am Tag danach bekannt gemacht. Stellen, die etwas verbergen wollen, tun das nicht.

Das alles bleibt gültig. Nur eine Entschuldigung bringt nichts davon zurück: Unwissenheit. Die Stelle, die ihre Vergabe über 94,7 Millionen Dollar binnen eines Tages bekannt gemacht hat, ist dieselbe, die bei 13 Millionen seit achtundzwanzig Tagen nichts veröffentlicht hat — derselbe Käufer, dieselbe Serie, derselbe Monat. Das beweist kein Fehlverhalten. Es bedeutet: Vergeht der Sonntag schweigend, kann niemand in dieser Stelle sagen, er habe die Regel nicht gekannt.

Eine Regel, die niemanden erwischen kann

Hier die eigentliche Position der Redaktion, und sie lautet nicht, dass ein Vergabebeamter in Dallas etwas verbirgt. Sie lautet: Niemand außerhalb des Gebäudes könnte erkennen, ob es so wäre.

Die Federal Acquisition Regulation macht bis zum letzten Schritt alles richtig. Eine Behörde, die den Wettbewerb beschränkt, muss eine Begründung schreiben, sie auf einer mit dem Auftragswert steigenden Ebene genehmigen lassen und sie öffentlich machen — bei Dringlichkeitseinkäufen innerhalb von dreißig Tagen nach der Vergabe. Das Regelwerk hat das naheliegende Ausweichmanöver sogar vorausgesehen. Absatz (e) von FAR 6.305 hält den Vergabebeamten an, geschützte Geschäftsdaten und alles zu entfernen, was nach dem Freedom of Information Act (FOIA), dem US-Informationsfreiheitsgesetz, von der Offenlegung ausgenommen ist — und schiebt dann den Riegel vor: "This process must not prevent or delay the posting of the justification" — dieser Vorgang darf die Veröffentlichung der Begründung weder verhindern noch verzögern. Heikle Inhalte sind ein Grund, weniger zu veröffentlichen, nicht einer, gar nichts zu veröffentlichen.

Der Ausweg ist Absatz (f), und er ist eng: Die Pflicht entfällt nur dort, wo eine Veröffentlichung "would disclose the executive agency's needs and disclosure of such needs would compromise national security or create other security risks" — wo sie also den Bedarf der Behörde offenlegen würde und diese Offenlegung die nationale Sicherheit beeinträchtigen oder andere Sicherheitsrisiken schaffen würde. Vernünftig — bis auf eines: Nichts verpflichtet die Behörde, überhaupt zu sagen, dass (f) angewandt wurde. Kein Platzhalter, keine Markierung, kein Vermerk „zurückgehalten“. Und das öffentliche Fenster, in dem Begründungen erscheinen, kann einem Außenstehenden den Unterschied nicht zeigen zwischen „nichts veröffentlicht“ und „nichts sichtbar“. Von außen erzeugen ein rechtmäßiges Zurückhalten und eine gerissene Frist denselben Datensatz: nichts.

Eine Transparenzregel, deren Erfüllung sich nicht von ihrer Verletzung unterscheiden lässt, ist keine Regel mehr. Sie ist eine Konvention — etwas, das eine Behörde tut, wenn sie dabei gesehen werden will. Genau so sieht das Dallas-Paar aus: gesehen beim großen Vertrag, ungesehen beim kleinen, und keine Möglichkeit zu sagen, welche Art von ungesehen.

Die Reparatur kostet eine Zeile. Wird (f) in Anspruch genommen, muss ein öffentlicher Platzhalter erscheinen: Eine Begründung existiert, sie wird zurückgehalten, hier ist die Rechtsgrundlage. Rechtmäßige Geheimhaltung bleibt rechtmäßig. Schweigen wird lesbar.

Sonntag

Der Vergabedatensatz zu ZeroFox ist öffentlich und braucht keinen Login; die genaue Adresse steht in den Quellen. Am Sonntag, Tag dreißig, liegt entweder eine Begründung auf SAM.gov, dem zentralen Vergabeportal des US-Bundes, oder es ist weiterhin nichts da. Erscheint sie, hat die Regel funktioniert, und dieser Text ist das Protokoll eines funktionierenden Systems. Erscheint sie nicht, haben Sie trotzdem niemanden erwischt — dafür sorgt Absatz (f) —, und diese Garantie ist der Befund.

Der Sonntag wird uns nicht sagen, ob irgendjemand etwas falsch gemacht hat. Er wird uns sagen, ob die Regel überhaupt in der Lage ist, uns irgendetwas zu sagen.

Es ist Artikel 2 Absatz 3 der Durchführungsverordnung (EU) 2026/1755 der Kommission, jener Verfahrensordnung, die die Kommission für ihre eigenen KI-Untersuchungen geschrieben hat — angenommen am 20. Juli, veröffentlicht am 21. Juli im Amtsblatt, dem Gesetzesblatt der EU, in Kraft ab Montag, 10. August. Im Wortlaut:

"The Commission may require the provider to disable any logging measures that could track or record the Commission's access to the general-purpose AI model, to the extent necessary to ensure the integrity and confidentiality of the evaluation process."

Auf Deutsch, erläuternd: Die Kommission kann den Anbieter verpflichten, alle Protokollierungsmaßnahmen abzuschalten, die den Zugriff der Kommission auf das KI-Modell mit allgemeinem Verwendungszweck verfolgen oder aufzeichnen könnten, soweit dies erforderlich ist, um die Integrität und Vertraulichkeit des Evaluierungsverfahrens zu gewährleisten. (Alle Zitate aus dieser Verordnung und aus dem weiter unten behandelten Kodex stehen hier im englischen Original. Amtliche deutsche Fassungen existieren; wir haben sie nicht eingesehen und übersetzen daher nur erläuternd.)

Angeordnet wird das Abschalten dem Anbieter selbst; verdeckt ist der Zugriff also nicht, das Unternehmen weiß, dass die Prüfer da waren. Was es verliert, ist der Beweis — die Möglichkeit, gegen die Darstellung der Kommission zu belegen, worauf zugegriffen wurde und wie lange. Bisher wurde keinem Unternehmen angeordnet, irgendetwas abzuschalten; vor Montag kann es auch keinem angeordnet werden. Und niemand hat gesagt, warum. EU-Gesetze beginnen mit Erwägungsgründen, nummerierten Absätzen, die angeben, wozu das Gesetz da ist; dieses hat sechs, und keiner erwähnt Protokollierung.

Überwacht alles — nur uns nicht

Dieser Satz trifft zuerst die Leute, die in den Modellunternehmen die Sicherheit verantworten.

Die aufgeräumte Version — die KI-Verordnung schreibt Protokolle vor, die neue Durchführungsverordnung schaltet sie ab — ist falsch, und der Fehler war zuerst unser: Die Protokollpflichten der KI-Verordnung, Artikel 12 und 19, binden Hochrisiko-KI-Systeme, ein anderes Kapitel; ein Modellanbieter schuldet keine von beiden. Was der Anbieter eines Modells mit systemischem Risiko schuldet, steht in Artikel 55 Absatz 1 Buchstabe d: ein "adequate level of cybersecurity protection", ein angemessenes Cybersicherheitsniveau, für das Modell und seine physische Infrastruktur. Verstöße werden mit bis zu 3 % des weltweiten Umsatzes oder 15 Millionen € geahndet, je nachdem, welcher Betrag höher ist.

Nachweisen lässt sich das über den Verhaltenskodex für KI mit allgemeinem Verwendungszweck (General-Purpose AI Code of Practice) — das Regelwerk, das Anbieter unterzeichnen, um ihre Konformität zu belegen, entworfen von unabhängigen Sachverständigen und anschließend von der Kommission selbst für angemessen erklärt. Der Sicherheitsanhang des Kodex verlangt Angriffserkennung "on all networks and devices", auf allen Netzwerken und Geräten. Er verlangt ein Sicherheitsteam, dessen Aufgabe es ist, "monitor for EDR alerts" — die Warnungen der EDR-Software auszuwerten; EDR (Endpoint Detection and Response) ist die Software auf den Endgeräten, die Eindringlinge meldet. Und er verlangt ein sicheres Verzeichnis jedes Geräts, auf dem Modellparameter liegen.

"Any logging measures that could track or record the Commission's access" — alle Protokollierungsmaßnahmen, die den Zugriff der Kommission verfolgen oder aufzeichnen könnten — greift auf all das zu. Der Kodex rechnet mit Ersatzlösungen: Maßnahme 6.2 verlangt, dass jede ersetzende Schutzmaßnahme "detection of suspicious or malicious activity" leistet, also verdächtige oder bösartige Aktivität erkennt — und auf einem Kanal, den man nicht aufzeichnen darf, leistet das nichts. Artikel 55 Absatz 2 schließt den Kreis: Wer vom Kodex abweicht, "shall demonstrate alternative adequate means of compliance for assessment by the Commission", muss der Kommission also andere angemessene Mittel der Einhaltung zur Bewertung nachweisen. Die Lage des Sicherheitsingenieurs ab Montag: gebunden an einen Standard, den die Kommission angemessen genannt hat; von der Kommission dazu verpflichtbar, ihn zu brechen; und von der Kommission danach bewertet, was übrig bleibt.

Was für einen unsichtbaren Prüfer spricht

Ein Prüfer, dessen Zugriff protokolliert wird, lässt sich erkennen — und ein Unternehmen, das den Datenverkehr der Kommission an seinem Fingerabdruck erkennt, kann diese Sitzungen auf einen Checkpoint umleiten, einen abgespeicherten Modellstand, bei dem die Sicherheitsfilter eingeschaltet sind. Die Kommission zertifiziert dann ein Modell, das sonst niemand benutzen kann. Dieses Scheitern hat einen Namen, teaching to the test, das Lernen für die Prüfung, und es ist der gewöhnliche Weg, auf dem Prüfung durch Dritte stirbt.

Die KI-Verordnung verschärft das, weil die Einhaltung weitgehend selbst bescheinigt wird: Anbieter führen ihre Angriffstests (adversarial testing) selbst durch und dokumentieren sie selbst. Sieht die Aufsicht nur den Bericht des Unternehmens über die eigenen Tests des Unternehmens, dann ist die Regelung für systemische Risiken eine Selbstzertifizierung mit Unterschriftenseite.

Das stärkste Argument sind die Tests selbst. Ein Prüfsatz der Kommission für offensive Cyberfähigkeiten oder für biologischen Uplift — den Fähigkeitszuwachs, den ein Modell einem Angreifer verschafft — besteht der Konstruktion nach aus Prompts, die funktionieren. Ein Anbieter, der diese Eingaben protokolliert und auswertet, bekommt auf Kosten der Aufsicht ein kuratiertes Angriffskorpus. Jede ernsthafte Kontrolle braucht unangekündigten Zugang, und eine Regel, die die Integrität einer Evaluierung schützt, ist kein Skandal.

Die bessere Regel kam zuerst

Genau dieses Problem war aber schon gelöst, und zwar richtig — in dem Kodex, den die Kommission gebilligt hat. In Anhang 3.5 versprechen die Unterzeichner, sie "will not undermine the integrity of external model evaluations by storing and/or analysing inputs and/or outputs from test runs without express permission from the evaluators." Erläuternd: Sie werden die Integrität externer Modellevaluierungen nicht untergraben, indem sie Eingaben und/oder Ausgaben aus Testläufen ohne ausdrückliche Erlaubnis der Prüfer speichern und/oder auswerten.

Das verbietet dem Anbieter, den Inhalt eines Tests zu behalten — die Prompts, die Antworten des Modells, das Material, gegen das man trainieren würde — und es hängt an der Zustimmung des Prüfers. Das Sicherheitsprotokoll bleibt an. Der Satz vom Montag regelt stattdessen den Zugriffsnachweis, und er kennt überhaupt keine Zustimmung. Deckten beide Regeln dasselbe ab, wäre der Satz vom Montag überflüssig.

Siegel statt Blackout

Kein anderer Prüfer der EU arbeitet so. Im Wettbewerbsrecht dürfen die Prüfer der Kommission Unterlagen versiegeln, und das Erbrechen eines Siegels kostet eine Geldbuße von bis zu 1 % des Umsatzes. In der Bankenaufsicht darf die Europäische Zentralbank unangekündigt erscheinen — aber nur durch Beschluss und mit richterlicher Genehmigung, wo das nationale Recht sie verlangt. Fünf Regime wurden geprüft. Die Überraschung entsteht in jedem einzelnen daraus, dass nicht vorher informiert wird. Nicht daraus, dass nichts aufgezeichnet wird.

Der Wachhund, den niemand gerufen hat

Wer hat zugestimmt? Das EU-Recht hat eine Stelle, deren Aufgabe der Widerspruch ist: den Europäischen Datenschutzbeauftragten (EDPS), die interne Datenschutzaufsicht der Union. Die Kommission muss ihn anhören, wenn der Entwurf eines Durchführungsrechtsakts berührt, wie "personal data", personenbezogene Daten, verarbeitet werden (Verordnung 2018/1725, Artikel 42 Absatz 1). In ihren 5.304 Wörtern — gezählt im englischen Wortlaut — nennt die neue Verordnung den Datenschutzbeauftragten nie, zitiert jene Verordnung nie und verwendet die Wendung "personal data" nie.

Schweigen ist nicht seine Gewohnheit. Am 6. März 2026 legte er formelle Anmerkungen zu einem anderen Entwurf unter derselben KI-Verordnung vor — sechs Tage, bevor der Entwurf von 2026/1755 zur öffentlichen Rückmeldung freigegeben wurde. Und eine Schwesterverordnung hält seine Stellungnahme in ihrem Erwägungsgrund 5 fest; angenommen wurde sie am 15. Juli, fünf Tage vor dieser. Zu diesem Rechtsakt: nichts im Text, und keine Anmerkung an irgendeiner Stelle, an der der Datenschutzbeauftragte seine Arbeit veröffentlicht — eine Suche, die wir nicht erschöpft haben. Die Konsultation zum Entwurf brachte 51 Einreichungen; wir konnten sie nicht abrufen, deshalb ist unbekannt, ob irgendjemand den Satz zur Protokollierung beanstandet hat.

Eine Befugnis, die mit einer Unterschrift auskommt

Die Mutterbefugnis kommt in Schutzvorkehrungen gekleidet: Ein Zugangsverlangen nach Artikel 92 der KI-Verordnung muss die Rechtsgrundlage nennen, Zweck und Gründe, die Frist zur Erfüllung und die möglichen Geldbußen; in der Durchführungsverordnung wird der Zugang selbst per "decision", also durch Beschluss, angeordnet. Die Anforderung zur Protokollierung hat davon nichts — keinen Beschluss, keinen Querverweis, keine Form. Die Geschäftsordnung der Kommission erlaubt, "management or administrative measures" — Maßnahmen der Geschäftsführung oder Verwaltung — an die Generaldirektoren zu delegieren, ihre höchsten Beamten. Ein Beschluss ist ein Beschluss; eine Anforderung ohne Etikett ist die Art Sache, die ein Beamter unterschreibt.

Artikel 10 Absatz 3 derselben Verordnung listet die Handlungen auf, die die fünfjährige Verjährungsfrist für Geldbußen unterbrechen, und eine davon ist "requests for access to conduct model evaluations", also das Verlangen nach Zugang zur Durchführung von Modellevaluierungen. Jede Unterbrechung lässt die Frist neu laufen, bis zu einer Obergrenze von zehn Jahren. Das Ereignis, das die Uhr zurückstellt, ist genau das Ereignis, das der Anbieter möglicherweise nicht aufzeichnen darf.

„Die Kommission“ ist hier kein einziger Kopf. Den Kodex haben unabhängige Sachverständige entworfen, keine Beamten; einberufen hat sie das AI Office, das Büro für Künstliche Intelligenz innerhalb der Generaldirektion CNECT (DG CNECT), der Abteilung der Kommission für Digitalpolitik, und die Kommission und das KI-Gremium (AI Board) haben das Ergebnis dann für angemessen erklärt. Dasselbe AI Office führt die Modellevaluierungen durch und wird die Besuche machen. Unterschreiben kann die Anforderung ein Generaldirektor. Ein Zugangsbeschluss nach Artikel 92 ist noch nie aufgetaucht; wir haben gesucht und keinen gefunden. Institutionelles Auseinanderdriften ist wahrscheinlicher als der Plan eines einzelnen Akteurs — und in einem Punkt schlimmer: Niemand muss es beabsichtigen.

Beide Seiten sollten eine Kopie behalten

Die Union hat dieses Problem schon einmal gelöst, im schwierigeren Fall. Wenn eine Aufzeichnung eine Nachprüfung der Kommission überdauern muss, traut das Wettbewerbsrecht keiner der beiden Seiten: Es versiegelt den Schrank und macht das Erbrechen des Siegels selbst zum Verstoß. Der digitale Nachkomme des Siegels ist ein Protokoll, an das nur angefügt werden kann — ein Append-only-Log, das beide Seiten prüfen können und keine Seite ändern kann.

Der Text lässt einem Anbieter zwei Hebel. Artikel 3 Absatz 5 erlaubt begründete Einwendungen gegen die Sachverständigen, die die Kommission bestellt — das lohnt sich, denn nach Artikel 4 kann derjenige, der in Ihrer Infrastruktur sitzt, ein beauftragter Auftragnehmer sein. Ein Zugangsbeschluss nach Artikel 2 Absatz 1 ist nach Artikel 263 AEUV überprüfbar, dem Weg im Vertrag über die Arbeitsweise der Europäischen Union, auf dem EU-Rechtsakte vor Gericht angegriffen werden.

Die Kommission soll in diese Modelle hineinsehen; das ist der Sinn der KI-Verordnung, und die Begründung für unangekündigten Zugang ist echt. Was sie nicht hätte tun sollen: einen Interessenkonflikt so auflösen, dass eine Partei die einzige Kopie der Aufzeichnung in der Hand hält — in einem Satz, den keiner ihrer sechs Erwägungsgründe erklärt.

Die Menschen auf dieser Liste wollten verschwinden: Überlebende von Stalking und häuslicher Gewalt, Richterinnen und Richter, Patientinnen und Patienten der reproduktiven Gesundheitsversorgung, alle, die einen Grund haben, eine Spur zu tilgen. Seit Januar stellen sie Anträge nach Kaliforniens Delete Act, dem Löschgesetz des Bundesstaates: eine einzige Stelle, um jedem Datenhändler (data broker) in Kalifornien die Löschung aufzugeben. Vor sechs Tagen ist die andere Hälfte in Kraft getreten. Seit dem 1. August 2026 verlangt §1798.99.86(c)(1) des Civil Code von jedem registrierten Datenhändler, "access the accessible deletion mechanism … at least once every 45 days." — den zugänglichen Löschmechanismus mindestens alle 45 Tage abzurufen. Das Verzeichnis wandert damit nach außen, in die Systeme von Hunderten Datenhändlern, also genau in die Branche, vor der sich diese Menschen versteckt haben. Der erste verpflichtende Zyklus endet um den 15. September.

Die Kennungen sind gehasht, was nach Schutz klingt. Auf einem einzigen Laptop-Kern wird aus einer kalifornischen Telefonnummer auf der Liste in etwa dreiundvierzig Sekunden wieder eine Telefonnummer. Die Behörde, die diese Maschine gebaut hat, hat den Datenhändlern durchaus angekündigt, dass dies kommen würde. In einem Blogbeitrag vom 10. Juli heißt es: "starting on August 1, data brokers must download the hashed deletion requests and compare them against the personal information in their records." — ab dem 1. August müssen Datenhändler die gehashten Löschanträge herunterladen und mit den personenbezogenen Daten in ihren Datensätzen abgleichen. Was sie nicht getan hat, ist, etwas über die Gefährdung zu sagen. Ihr Newsroom, am

1. August erneut geprüft, reicht immer noch nur bis zu einem Beitrag vom 4. August über Vermont; zum Start am
2. August gab es eine Anleitung für Datenhändler und überhaupt keinen Hinweis an die Menschen auf der Liste.

Der Hash lässt sich in Sekunden abstreifen

Die Liste führt sechs Arten von Kennungen, und nur eine davon ist in der Verordnung benannt: MAID, eine mobile Werbe-ID. Die anderen fünf sind Bezeichnungen aus der technischen DROP-Spezifikation — NDZ (Vorname, Nachname, Geburtsdatum, Postleitzahl), Email (E-Mail-Adresse), Phone (Telefonnummer), NameVIN und CTVID, die Kennung eines internetfähigen Fernsehers. Bevor irgendetwas gehasht wird, glättet die Regel die Eingabe: Kleinschreibung, Satzzeichen entfernt, Akzente aufgelöst — im eigenen Beispiel der Regel wird so aus "Björn O'Connor-López" ein "bjornoconnorlopez." Datumsangaben werden zu acht Ziffern, eine Telefonnummer zu ihren letzten zehn, und eine Auffangklausel trägt dem Datenhändler auf, "implement any other standardization that the data broker knows will increase the likelihood of a match." — jede weitere Standardisierung umzusetzen, von der er weiß, dass sie die Trefferwahrscheinlichkeit erhöht. Jeder dieser Schritte wirft Entropie weg, und Entropie ist das Einzige, was zwischen einem Hash und dem Wert steht, aus dem er berechnet wurde.

Wir haben die beiden Rechenbeispiele aus der technischen Spezifikation des Bundesstaates nachgerechnet. Jeder Feld-Digest und beide zusammengesetzten Digests kommen bitgenau identisch heraus, als einfaches SHA-256 über UTF-8, Base64-kodiert: kein Salt, kein Schlüssel, nichts, was nicht ohnehin schon im öffentlichen Verfahrensmaterial steht. Ein schlüsselloser Hash über einen Wert mit geringer Entropie ist keine Verkleidung. Er ist ein Rätsel, das ein Laptop löst, indem er jede Antwort durchprobiert — und SHA-256 beantwortet etwa 7,1 Millionen Rateversuche pro Sekunde auf einem CPU-Kern, ohne jede Grafikkarte.

| Was auf der Liste steht | Wie viele Möglichkeiten | Zeit auf einem Laptop-Kern | |---|---|---| | Eine kalifornische Telefonnummer | 304.000.000 | ~43 Sekunden | | Eine beliebige US- oder kanadische Nummer | 6.400.000.000 | ~15 Minuten | | Name, Geburtsdatum und Postleitzahl, abgeglichen mit dem kalifornischen Wählerverzeichnis | ~22.000.000 | ~3 Sekunden | | Eine kurze Connected-TV-ID | 2,8 × 10¹² | ~4,6 Tage | | Eine mobile Werbe-ID | 2¹²⁸ | nicht praktikabel |

Die Telefonliste ist nicht pseudonym. Sie ist Klartext mit einem Zwischenschritt. Bei der Liste aus Name, Geburtsdatum und Postleitzahl muss man gar nicht raten: Man hasht die eine Person, die man sucht, und fragt, ob die Antwort darauf steht — ein Ja/Nein-Orakel, und der Hash ist wieder ein Name. Selbst die Werbe-ID, die sich tatsächlich nicht brechen lässt, muss überhaupt nicht gebrochen werden. Sie ist ein Verknüpfungsschlüssel, den eine Adtech-Firma gegen ihre eigenen Geräte laufen lässt, um zu erfahren, welche davon jemandem gehören, der sich selbst löschen will.

Der naheliegende erste Gedanke — die Hashes einfach salzen — funktioniert hier nicht. Salting schützt gespeicherte Passwörter, weil die prüfende Seite das Geheimnis schon besitzt, das der Nutzer gerade eingetippt hat. DROP, der Löschmechanismus des Bundesstaates, hat die umgekehrte Form: Der Datenhändler prüft seine eigenen Datensätze, die Kalifornien nie gesehen hat, gegen die Liste des Bundesstaates. Beide Seiten müssen also unabhängig voneinander zum selben Digest kommen — und ein Salt, das jeder registrierte Datenhändler im Land kennt, ist kein Geheimnis.

Kalifornien wurde die Lösung angeboten und lehnte sie schriftlich ab

Hier kommt der Teil, über den bisher niemand berichtet hat. Im Rechtsetzungsverfahren haben Kryptografen der Behörde gesagt, dass genau das passieren würde. In Anhang A des Final Statement of Reasons, der abschließenden Begründung der Regel, schlugen Kommentatoren Private Set Intersection vor — ein Protokoll, bei dem zwei Parteien nur erfahren, was sie gemeinsam haben, und nichts weiter — oder den Abgleich in einer Trusted Execution Environment, einer abgeschirmten Ausführungsumgebung. Sie benannten den Preis offen und räumten ein, es würde „Datenhändler daran hindern, Kennungen künftig zu unterdrücken“, hielten den Tausch aber für lohnend.

Die Behörde sagte Nein, und ihre Begründung ist die ganze Geschichte:

„Die Behörde nimmt die vom Kommentator vorgeschlagenen Alternativen zum Hashing zur Kenntnis, hat aber festgestellt, dass Hashing eine weit verbreitete, sichere und zugängliche Methode zum Schutz von Daten ist und dass jede Methode, die die fortlaufende Unterdrückung von Kennungen durch Datenhändler verhindert, das Gesetz nicht angemessen umsetzt.“

Lesen Sie die zweite Hälfte langsam. Der Delete Act verlangt vom Datenhändler nicht, Sie einmal zu vergessen. Er verlangt, dass der Datenhändler Sie von jetzt an weiter unterdrückt, also dauerhaft gelöscht hält. Um Sie für immer zu unterdrücken, muss ein Datenhändler etwas Beständiges behalten, das Sie bedeutet — und genau das ist ein Hash: ein beständiges, jederzeit neu berechenbares Token. Jedes Verfahren, das die Kryptografen anboten, funktioniert dadurch, dass es dem Datenhändler ein solches Token nicht hinterlässt. Deshalb hat die Behörde sie ausgeschlossen. Das Datenschutzloch ist kein Mangel, den das Design zu schließen versäumt hat. Es ist der Mechanismus, den das Design liefern soll.

Und §7620(c) schließt den Kreis: "By submitting a deletion request, a consumer consents to disclosure of their personal information to a data broker for purposes of processing their deletion request." — mit dem Stellen eines Löschantrags stimmt eine Verbraucherin der Offenlegung ihrer personenbezogenen Daten an einen Datenhändler zu, und zwar zum Zweck der Bearbeitung ihres Löschantrags. Diese Zweckbindung ist real, und sie ist die beste Antwort, die dieses Design zu bieten hat — die Einwilligung ist nicht unbegrenzt. Aber sie regelt, was ein Datenhändler mit der Offenlegung tun darf, nicht, was die Offenlegung ist. Kalifornien zu bitten, vergessen zu werden, bedeutet immer noch, auf einer Liste zu landen, die Datenhändler herunterladen.

Die Behörde hat bessere Argumente, als ihre Kritiker zugeben

Nichts davon macht die Behörde fahrlässig. Sie hat echte Verschlüsselung abgelehnt, weil Datenhändler dann Entschlüsselungsschlüssel halten würden — offensichtlich schlimmer. Sie hat die Abgleichregel auf eine Übereinstimmung von 100 % verschärft, eine echte Absicherung dagegen, die falschen Menschen zu löschen. Die Listen sind segmentiert, sodass ein Datenhändler, der nur E-Mail-Adressen führt, die Liste mit Namen und Geburtsdaten nie erhält; Downloads sind nach dem ersten inkrementell; und der Zugang kostet 6.000 US-Dollar Registrierungsgebühr pro Jahr, unter einem namentlich geführten Konto. Klartextnamen und -nummern an Hunderte Firmen zu schicken wäre schlimmer als alles davon.

Und der härteste Punkt ist überhaupt nicht die Schuld der Behörde. §1798.99.86(b)(3) — eine Anweisung, die der Gesetzgeber geschrieben hat, nicht die Behörde — verlangt einen Mechanismus, mit dem ein Datenhändler feststellen kann, ob Sie einen Antrag gestellt haben, und der "shall not allow the disclosure of any additional personal information … unless otherwise specified in this title." — der also die Offenlegung jeder weiteren personenbezogenen Information nicht zulassen darf, sofern dieser Titel nichts anderes bestimmt. Lässt man die abschließende Ausnahmeklausel beiseite, bleibt ein Private-Set-Intersection-Problem, übergeben an eine kalifornische Behörde und finanziert als CSV-Download.

Die Verteidigungslinien halten allerdings weniger gut, als sie aussehen. Die inkrementelle Zustellung hilft nichts mehr, sobald der erste Download der gesamte Bestand ist und jeder Datenhändler eine Kopie behält. Die Segmentierung setzt darauf, dass Datenhändler ihre Kennungsarten ehrlich angeben. Und die Schutzvorschriften von §7616 sind rechtlich, nicht technisch: Nichts hindert einen Datenhändler daran, aus der Liste zu berechnen, was er will — die Regel verbietet nur, das Ergebnis zu verwenden.

Ein einziger Absatz könnte es schließen, bevor der erste Zyklus endet

Es gibt einen Hebel, und ihn umzulegen braucht keinen Gesetzgeber. §7601(c) erlaubt es der Löschliste, ihren eigenen Hash-Algorithmus zu benennen; die Behörde hat SHA-256 in einer Kommentarantwort gutgeheißen, es aber nicht in die Regel geschrieben. Sie kann stattdessen Argon2id festlegen, im Rechtsetzungsverfahren, und der Dreiundvierzig-Sekunden-Angriff wird über Nacht undurchführbar — dieselbe Liste, eine andere Funktion, kein Gesetz nötig.

Zwei ehrliche Grenzen liegen darunter. Wir berichten über die Verordnung und die Spezifikation, nicht über das laufende System: Die Verordnung erlaubt jeden Algorithmus, und die Live-API für Datenhändler steckt hinter einem Login, weshalb wir nicht bestätigen können, was das eingesetzte DROP heute ausgibt. Und die viel wiederholte Zahl "300,000+" ist die eigene Zählung der Behörde vom 2. Juni — Menschen, nicht Anträge, und seither nicht aktualisiert. Bestätigen können wir das Design, und das Design ist der Punkt.

Eine Maschine, die sich für immer an Sie erinnern soll

Streicht man alles andere weg, bleibt ein Widerspruch. Ein System, das Sie für immer wiedererkennen muss, um Sie weiter schützen zu können, muss etwas behalten, das Sie bedeutet — und alles, was Sie bedeutet, lässt sich wieder in Sie zurückverwandeln. Der einzige Ausweg ist, für die Maschine überhaupt nicht identifizierbar zu sein. Das ist kein technisches Detail, sondern eine Entscheidung darüber, wer die Arbeit macht: die Datenhändler oder die Menschen, die vor ihnen verschwinden wollen. Kalifornien hat sie im Rechtsetzungsverfahren getroffen, mit der funktionierenden Alternative vor sich, und hat sich für die Datenhändler entschieden.

In der Nacht des 18. Oktober 2024 fingen zwei Autos im Zentrum von Maputo ein Fahrzeug ab, und die Bewaffneten, die ausstiegen, feuerten Dutzende Schüsse hinein. Sie töteten Elvino Dias, einen 45-jährigen Anwalt, der den Präsidentschaftskandidaten der Opposition, Venâncio Mondlane, beriet, und Paulo Guambe, einen Wahlbeauftragten von Podemos, der Partei, die Mondlanes Kandidatur trug. Mosambik hatte neun Tage zuvor gewählt, und die Auszählung war bereits umstritten. Das Verbrechen ist bis heute unaufgeklärt.

Am 21. Oktober begannen die Proteste. Drei Tage später erklärte die Wahlkommission Daniel Chapo von der Frelimo mit 70,67 Prozent zum Sieger, und Mondlane rief über Facebook zu landesweiten Streiks auf. Am Tag darauf begann das mobile Internet auszufallen.

Es fiel nach Fahrplan aus. Netzbeobachter registrierten Einbrüche am 25.–26. und am 31. Oktober sowie nächtliche Abschaltungen vom 4. bis 8. November — die Verbindung brach am Abend weg und war bis zum Morgen wieder da — in Maputo und in Nampula. Ab dem 29. Oktober waren Facebook und WhatsApp eingeschränkt. Am 31. Oktober schickten die drei Mobilfunkbetreiber Vodacom, Movitel und Tmcel ihren Kunden dieselbe Nachricht: Der Zugang zu einigen sozialen Netzwerken sei „aus Gründen, die außerhalb unserer Kontrolle liegen, vorübergehend eingeschränkt". Die Gründe hatten eine Adresse. INCM, die Kommunikationsregulierungsbehörde, verteidigte die Einschränkungen als Maßnahme der nationalen Sicherheit gegen Inhalte, die gewaltsame Demonstrationen propagierten — und nannte als ihre Rechtsgrundlage das Telekommunikationsgesetz. Am 18. November bestätigten die Betreiber die vollständige Wiederherstellung. Niemand erklärte irgendetwas.

Da beantwortete die Polizei Märsche längst mit scharfer Munition. Plataforma Decide, die zivilgesellschaftliche Beobachtungsstelle, die Buch führte, hatte bis Mitte Januar etwa 314 durch Schüsse getötete Menschen gezählt, 633 Verwundete und mehr als 4.236 Festgenommene. Am 23. Dezember las die Präsidentin des Verfassungsrats (Conselho Constitucional), Lúcia da Luz Ribeiro, anderthalb Stunden lang die Proklamation vor, die Chapos Sieg mit 65,17 Prozent bestätigte — der Rat räumte Unregelmäßigkeiten ein und befand, sie hätten das Ergebnis nicht beeinflusst —, und in den zwei Tagen danach wurden mindestens 21 weitere Menschen getötet.

Das bedeutet in Mosambik „Kontrolle des Datenverkehrs". Merken Sie sich das, denn jedes Dokument weiter unten handelt davon.

Ein Jahr später: das Regelwerk

Elf Monate nach Chapos Amtseinführung bekam die Praxis ihre Papierform. Am 16. Dezember 2025 veröffentlichte der Ministerrat Decreto n.º 48/2025 und billigte damit das Regulamento de Controlo de Tráfego de Telecomunicações, die Verordnung über die Kontrolle des Telekommunikationsverkehrs. Sie gab INCM die Befugnis, Telekommunikationsdienste auszusetzen und "quaisquer outras medidas" — jegliche anderen Maßnahmen — zu ergreifen, und sie verpflichtete die Betreiber, den Verkehr kontinuierlich zu überwachen, Kommunikation zu blockieren und Daten an staatliche Stellen zu übergeben, Metadaten eingeschlossen. Was dem Netz Ende 2024 angetan worden war — abstreitbar und „aus Gründen, die außerhalb unserer Kontrolle liegen" —, hatte nun nummerierte Artikel. Das Dekret hob zugleich seinen Vorgänger auf, Decreto n.º 38/2023.

Ein Ombudsmann, keine NGO

Die Anfechtung kam aus dem Staat selbst. Im Februar 2026 beantragte der Provedor de Justiça — Mosambiks Ombudsmann, handelnd nach Artikel 244(2)(f) der Verfassung — beim Verfassungsrat, das Dekret aus zwei Gründen zu verwerfen: Die Regierung habe Recht gesetzt, wo allein das Parlament es darf, und die Regelung verletze die Rechte auf freie Meinungsäußerung und Privatleben sowie die Unverletzlichkeit der Kommunikation. Sein Metadaten-Argument war das Schärfste in der Akte: Der Zugriff auf Metadaten erlaube "a reconstrução detalhada de padrões de comunicação, localização geográfica, redes de contactos, hábitos quotidianos, preferências pessoais e até inclinações políticas e religiosas" — die detaillierte Rekonstruktion von Kommunikationsmustern, geografischem Aufenthaltsort, Kontaktnetzen, Alltagsgewohnheiten, persönlichen Vorlieben und sogar politischen und religiösen Neigungen.

Achtzehn Bestimmungen, sechs Unterschriften

Am 29. Juli 2026 kassierte der Rat in Acórdão n.º 6/CC/2026 den operativen Kern des Dekrets: die Aussetzungsbefugnis, die Generalklausel, die Pflichten zur kontinuierlichen Überwachung und zur Blockierung, die Datenübergabe, den Metadaten-Zugriff und sieben ganze Artikel — achtzehn Bestimmungen, in einem einzigen Tenorpunkt. (Eine frühere Fassung dieser Ausgabe sprach von neunzehn; die operative Liste umfasst achtzehn.) Sechs Richter unterschrieben, ohne Gegenstimme und ohne Sondervotum. Dort endet der Spruch — nichts zur Übergangswirkung, nichts dazu, was die Kontrolle des Datenverkehrs jetzt regelt. Die erste Unterschrift stammt von Lúcia da Luz Ribeiro — der Präsidentin, die die Proklamation vom Dezember 2024 verlas.

Sechzehn Seiten — und die Krise, die das Dekret hervorbrachte, kommt auf keiner davon vor: keine Proteste, keine Toten, keine blockierten Plattformen, nicht einmal die Jahreszahl 2024. Die abstrakte Normenkontrolle ist genau so abstrakt.

Wer es bauen darf, nicht ob

Der Rat griff den ersten Grund des Ombudsmanns auf — und hielt dort an. Auf Seite 9 stellte er die Frage in Fettdruck: Lei n.º 4/2016, das als Rechtsgrundlage des Dekrets angeführte Telekommunikationsgesetz, "não contém qualquer norma que autoriza a vigilância estrutural e permanente das comunicações" — enthält keine Bestimmung, die eine strukturelle und dauerhafte Überwachung der Kommunikation erlaubt. Man beachte das Echo: Es ist dasselbe Telekommunikationsgesetz, auf das INCM im November 2024 zeigte, um die Blockaden zu rechtfertigen.

Artikel 178(2) der Verfassung behält die Einschränkung von Grundrechten der Assembleia da República — dem Parlament — vor: eine reserva absoluta, so der Rat, ein absoluter Vorbehalt, der der Regierung nicht einmal durch Gesetzgebungsermächtigung übertragen, geschweige denn per Verordnung angemaßt werden kann. Das Dekret "instituiu um regime normativo de monitorização, recolha de dados, suspensão de serviços e intervenção em redes" — errichtete ein normatives Regime der Überwachung, der Datensammlung, der Aussetzung von Diensten und des Eingriffs in Netze — ohne das Parlamentsgesetz, das allein es hätte erlauben können.

Der Spruch entscheidet also, wer so etwas bauen darf, nicht, ob es existieren darf. Nichts in dem Urteil befindet die kontinuierliche Überwachung für unverhältnismäßig oder einen Kill Switch — einen Schalter, der das Netz abstellt — für unvereinbar mit irgendetwas jenseits der Gewaltenteilung. Das Parlament könnte denselben Text als Gesetz beschließen, und dieses Urteil stünde ihm nicht im Weg. Und das Parlament ist kein neutraler Boden: Die Frelimo hält 171 der 250 Sitze der Assembleia. Die Regierung ihrerseits erklärte am 3. August, sie respektiere das Urteil — Worte, die sie nichts kosten.

Zweiundfünfzig Seiten, ungelesen zurückgewiesen

Die Regierung hat durchaus versucht, ihr Dekret zu verteidigen. Am 6. April 2026, innerhalb der Frist, reichte der Ministerrat über einen Anwalt eine 52-seitige Verteidigung ein — dessen Vollmacht, unterzeichnet vom Premierminister, ermächtigte den Beistand zum Auftreten vor dem Tribunal Administrativo da Cidade de Maputo. Einem anderen Gericht. Der Rat wies die Eingabe aus einem Grund zurück, der weiter reicht als das falsche Forum: In der abstrakten Normenkontrolle, so befand er, darf ein benachrichtigtes Organ überhaupt keinen Anwalt bestellen, weil das Verfahren institutioneller Natur ist und kein Streit zwischen Parteien. Und da "não resulta da LOCC qualquer efeito cominatório, no caso de falta ou ilegitimidade de pronunciamento" — an eine fehlende oder nicht ordnungsgemäße Stellungnahme knüpft sich keine Sanktion —, schritt der Rat zum Urteil über den Antrag des Ombudsmanns — unbeantwortet. Niemand außerhalb des Gerichts hat auch nur ein Wort von dem gelesen, was die Regierung vorgebracht hätte.

Der Scan, der es geheim hielt

Das Urteil ist seit dem 31. Juli öffentlich. Es ist zugleich, im einzigen Sinn, der zählt, unveröffentlicht: Das PDF auf der Website des Rats hat keine Textebene. pdftotext gewinnt sechzehn Zeichen aus sechzehn Seiten; jede Seite ist ein Graustufen-Scan. Es lässt sich nicht durchsuchen, nicht kopieren, nicht indexieren und nicht maschinell übersetzen — weshalb sich die Berichterstattung bislang auf eine einzige englischsprachige Agenturmeldung beläuft und nirgendwo eine Geschichte existiert, die daraus zitiert. Jede Passage weiter oben existiert, weil diese Redaktion die Seiten gerastert, sie durch ein eigens dafür geschriebenes OCR-Werkzeug geschickt und die Ausgabe Zeichen für Zeichen gegen die Bilder geprüft hat.

Eine Gerichtsentscheidung, die sich nicht durchsuchen lässt, lässt sich nicht zitieren, nicht überprüfen und dem nächsten Dekret nicht entgegenhalten. Sie ist auffindbar und nicht lesbar — so wird aus einer öffentlichen Akte eine private, ohne dass irgendjemand entschieden hätte, sie zu schließen. Die Abhilfe kostet nichts: den Text neben dem Scan veröffentlichen.

Der Gesetzentwurf, den es zu beobachten gilt

Was dieses Urteil garantiert, ist nicht, dass der Schalter verschwunden wäre. Es garantiert, dass der nächste ein Gesetz der Assembleia da República sein muss, öffentlich entworfen und debattiert von einer Kammer, der das ganze Land zusehen kann — vor den Augen der Menschen, gegen die der Schalter beim letzten Mal eingesetzt wurde. Achten Sie auf diesen Gesetzentwurf. Und wer den Fall zitiert, zitiere ***Acórdão n.º 6/CC/2026*, Processo n.º 03/CC/2026, 29. Juli 2026** — nicht die Agenturzusammenfassungen, die den Urteilsgrund falsch wiedergeben.

Azad Jammu und Kaschmir — kurz Azad Kaschmir, der Teil Kaschmirs, den Pakistan verwaltet — wählt in drei Runden, eine Verwaltungsdivision nach der anderen. Am Abend des 23. Juli, nach sieben Wochen offline, kam das Internet in die erste von ihnen zurück, nach Mirpur. Vier Tage später wählte Mirpur. Muzaffarabad, die Hauptstadt des Territoriums, hatte ab etwa 22 Uhr am 29. Juli wieder Breitband, drei Tage vor seiner Runde. Dann, zwischen ein und drei Uhr morgens am 31. Juli, wurde das ganze Territorium wieder dunkel — keine Ankündigung, keine Anordnung, kein gemeldeter Vorfall in jener Nacht. Dunkel ist es geblieben. Poonch, die Division, die am Montag als letzte wählt, ist der Ort, an dem die Proteste dieses Sommers am stärksten und am tödlichsten waren. Dass dort das Internet je zurückgekommen wäre, hat nie jemand gemeldet.

Die Abschaltung begann in der Nacht des 5. Juni — am selben Tag hatte die Regierung das Joint Awami Action Committee verboten, die Bewegung an der Spitze der Unruhen, vor einem für den 9. Juni ausgerufenen Streik. Die Sperranordnung — berichtet, nie veröffentlicht — galt für sieben Tage, bis zum 12. Juni. Öffentlich ist sie seither weder beendet noch verlängert worden. Chefwahlkommissar Ghulam Mustafa Mughal verkündete am 21. Juli den Drei-Phasen-Kalender; zwei Tage später begann die Wiederherstellung, Division für Division, in der Reihenfolge der Abstimmung.

Eine Wahl, das sind die zwei Wochen, in denen eine Regierung ihre Bürger am dringendsten informiert braucht und am wenigsten koordiniert sehen will. Azad Kaschmir hat diese Spannung mit einem Schalter aufgelöst. Konnektivität ist dort keine Infrastruktur mehr, sondern eine Zuteilung — beantragt über die Stelle, die die Wahl durchführt, ausgegeben an jede Division, sobald ihre Abstimmung näher rückte, und um Mitternacht zurückgezogen von jemandem, der nie irgendetwas unterschrieben hat.

Die Prüfungsbehörde nimmt jetzt WhatsApp

Dreiundsechzig Tage sind lang genug, um ein Land um das Schweigen einer Region herum neu zu organisieren. In der zweiten Woche der Abschaltung reiste Ryan Khan, ein Student aus Muzaffarabad, aus Kaschmir hinaus nach Garhi Habibullah in der Provinz Khyber Pakhtunkhwa, um Unterlagen online einzureichen — und berichtete von Dutzenden anderen Kaschmiris, die dort dasselbe taten. Bis August hatte die nationale Medizin-Aufsichtsbehörde ihre Anmeldefrist für die Aufnahmeprüfung zweimal verlängert, für kaschmirische Kandidaten ein Prüfungszentrum in Islamabad eröffnet und Bewerbungen per WhatsApp, E-Mail, Post oder persönlich angenommen. Am 3. August beschrieb Azad Kaschmirs eigener Staatssekretär für Gesundheit, Brigadier Aamir Raza, die Sperre als andauernd. Wann sie endet, sagt keine Anordnung.

Bilawal sagt Danke

Am 23. Juli berichtete die pakistanische Tageszeitung Dawn, die Pakistan Peoples Party (PPP) habe den Chefwahlkommissar von Azad Kaschmir gebeten, vor den Wahlen auf eine Wiederherstellung hinzuwirken; im Brief der Partei hieß es, Konnektivität sei für Wahlkämpfe unerlässlich. Am selben Abend begann die Pakistan Telecommunication Authority — die Telekom-Aufsicht des Landes —, Mirpur wieder zuzuschalten, auf Weisungen der pakistanischen Bundesregierung. Und noch am selben Tag nannte der PPP-Vorsitzende Bilawal Bhutto-Zardari auf X die Stelle, die interveniert hatte — AJK schreibt er für Azad Jammu und Kaschmir:

"I'm grateful to the AJK PPP for their efforts & the election commission of AJK for their intervention… I'm hopeful our requests for Muzaffrabad and other areas are also accepted as soon as…"

Zu Deutsch: „Ich bin der AJK-PPP dankbar für ihre Bemühungen & der Wahlkommission von AJK für ihre Intervention … Ich bin zuversichtlich, dass auch unsere Anfragen für Muzaffrabad und andere Gebiete angenommen werden, sobald …“

Sechs Tage später hatte Muzaffarabad Breitband.

„Wiederhergestellt“ ist also das falsche Wort. Konnektivität wurde beschafft: beantragt von einer Partei über die Kommission, die die Abstimmung durchführt, gewährt Division für Division und ausdrücklich unter Vorbehalt — der Rest sollte folgen, „sobald sich die Sicherheitslage verbessert“ — und öffentlich mit Dank quittiert. Sie wurde nicht wiederhergestellt. Sie wurde verliehen. Und der Verleiher rührt sich für die letzte Runde nicht: Am 4. August bestätigte der Sprecher der Kommission, dass der Zeitplan für Montag steht, und wies Berichte über eine Änderung als „haltlos und den Tatsachen zuwider“ zurück.

Ein Schalter, nach Mitternacht umgelegt

IODA, das Internet-Ausfall-Observatorium der US-Universität Georgia Tech, zählt die Netzblöcke einer Region, die auf seine Messanfragen antworten. Azad Kaschmirs Median lag vor dem 5. Juni bei 98,9 und während der Abschaltung bei 43,4; über die Woche der Wiederherstellung kletterte er auf 78,1. Dann, zwischen etwa ein und drei Uhr morgens am 31. Juli pakistanischer Zeit, fiel er auf 51 — ein Absturz von zwei Stunden, an dem nichts hängt. Heute pendelte er zwischen 41 und 55, Median 48,0, letzter Messwert 42: weniger als die Hälfte des Normalen. IODA führt das alles als ein einziges Ausfallereignis: eröffnet am 5. Juni um 18:40 UTC, 62,3 Tage lang, noch offen.

Ein Netzbetreiber bestätigt es ganz ohne Geographie: Sky Telecom, eines von nur drei Netzen, deren Adressraum in die Region geolokalisiert wird, wurde am 31. Juli zwischen Mitternacht und ein Uhr morgens abgeschaltet — 8,24 antwortende Blöcke am Höhepunkt der Woche der Wiederherstellung, ein Median von 1,0 heute Nacht. Keine der Kontrollen — drei andere pakistanische Regionen, sechs andere Netze — reproduziert die Stufe.

Eine Korrektur: Der Entwurf von heute Morgen las einen sechsstündigen Anstieg auf 50,0 als „den ersten anhaltenden Anstieg seit dem 30. Juli“. Zwölf weitere Stunden Daten widerlegten das, und die Behauptung fliegt raus.

Vier Adressaten, keine Unterschrift

Im eigentlichen Pakistan hat die Maschinerie einer Abschaltung wenigstens Namen: Section 54 des Telecommunication Act von 1996, das Innenministerium weist an, die Regulierungsbehörde vollzieht. Der Islamabad High Court hat über diese Gewohnheit bereits geurteilt — auf eine Petition von 2016 hin befand Richter Athar Minallah, Netzsperren „unter dem Vorwand von Recht und Ordnung und nationaler Sicherheit“ stünden „im Widerspruch zur Verfassung“ — im Original: "under the pretext of law and order and national security was in contradiction with the constitution" —, der einzige rechtmäßige Weg sei eine vom Präsidenten verkündete Notstandsproklamation. Veröffentlicht worden ist keine.

Azad Kaschmir ist keine Provinz, und dort hat überhaupt niemand gesagt, wer gehandelt hat. Konfrontiert mit einer Petition gegen die Abschaltung, musste der High Court von Azad Jammu und Kaschmir vier Stellen auf einmal zur Stellungnahme auffordern — die AJK-Regierung, den Kashmir Council, die Pakistan Telecommunication Authority und die Special Communications Organization, jenen vom Militär betriebenen Netzbetreiber, der im abgelegenen Kaschmir das Netz ist. Ein Gericht, das erst vier Adressaten befragen muss, um herauszufinden, wer gehandelt hat, sagt Ihnen damit: Niemand hat unterschrieben.

Die Woche, in der die Rollläden heruntergingen

Während Poonch wartet, gehen vor der Region die Rollläden herunter. Am 3. August warf das pakistanische Informationsministerium Al Jazeera vor, die AJK-Wahlen falsch darzustellen; am selben Tag wurde Al Jazeeras Website in Pakistan unerreichbar. Ehrenamtliche Zensur-Messsonden — das OONI-Netzwerk — testeten die Seite am 3. August 62-mal und scheiterten 62-mal, und von 269 Tests über vier Tage ist kein einziger durchgekommen; BBC, Guardian, X und Dawn testen sauber. Am 1. August holten Männer in Polizeiuniform zwei Journalisten, die über Kaschmir berichten, Razi Tahir und Muhammad Saif, aus ihrem Büro in Islamabad; die Polizei hat nicht eingeräumt, sie festzuhalten. Am 4. August tauchten die neuen Foreign Media Facilitation Guidelines des Ministeriums auf — Richtlinien für die Arbeit ausländischer Medien: Journalisten ausländischer Medien brauchen jetzt ein No Objection Certificate, eine behördliche Unbedenklichkeitsbescheinigung, um außerhalb von Islamabad, Lahore und Karatschi zu berichten — das heißt: an Orten wie Azad Kaschmir.

Vierzig Tote, und das ehrliche Argument für das Dunkel

Das Argument für die Abschaltung verdient sein volles Gewicht, denn es gibt Tote. Amnesty International zählte vor der Wahl mindestens vierzig Getötete — vierunddreißig Demonstranten, sechs Angehörige von Polizei und paramilitärischen Kräften. Der Polizeichef der Region, Liaqat Ali Malik, am 3. August: „Ich habe sieben meiner Männer verloren. Mehr als 200 meiner Beamten sind in den letzten Wochen verletzt worden.“ Gestaffelte Wahlgänge haben gewöhnliche Erklärungen — eine Truppe, die sieben Beamte verloren hat, kann nicht drei Divisionen auf einmal sichern —, und Poonch, die Hochburg des verbotenen Komitees, sah die tödlichsten Zusammenstöße. Man schalte die ruhigste Division zuerst wieder zu und die gewalttätigste zuletzt, wie es jeder Sicherheitsverantwortliche täte — und die beiden Kalender decken sich, weil beide der Landkarte des Aufruhrs folgen.

Der stärkste Einwand, auf den wir keine Antwort haben: Ein Staat, der eine Wahl stehlen will, ließe das Licht über die Abstimmung hinweg aus — er würde es nicht vorher auf Antrag einer Oppositionspartei einschalten und dieser Partei dann den Verdienst überlassen.

Was die Sicherheits-Lesart nicht erklären kann, ist das Timing. Eine Sicherheitsreaktion folgt Ereignissen; dies hier folgte einem Zeitplan. Am 23. Juli wurde nichts besser, und am 31. Juli wurde nichts schlimmer — was sich jedes Mal änderte, war der Platz einer Division in einer Warteschlange. Eine Sieben-Tage-Anordnung ist in ihrer neunten Woche. Niemand hat für einen einzigen Tag davon unterschrieben.

Der Montag entscheidet

Die Behauptung kann binnen vier Tagen widerlegt werden, von jedem: IODAs Daten sind öffentlich, und Azad Kaschmir ist Region 3083. Wenn Poonch an diesem Wochenende aufleuchtet und nach der Abstimmung am Montag wieder dunkel wird, vollendet sich das Muster ein drittes Mal. Bleibt es über die Abstimmung hinweg dunkel, gewinnt die Sicherheits-Lesart, und unsere wird schwächer.

Eine Grenze: Kein öffentliches Instrument löst Konnektivität unterhalb der Region auf, „Poonch ist dunkel“ ist also ein Schluss — aus der regionalen Messung, aus dem Fehlen jeder gemeldeten Wiederherstellung dort und aus dem eigenen andauernd der AJK-Regierung vom 3. August.

In Panjgur, in der pakistanischen Provinz Belutschistan, ist das mobile Internet seit 2022 abgeschaltet — einmal wiederhergestellt, für zehn Tage, im September 2025, wie Dawn diese Woche vermerkte. Ein Staat, der einen Distrikt vier Jahre offline halten kann, kann einen auch für eine Woche wieder verleihen; Azad Kaschmir ist der erste Fall, den man an einem Wahlkalender datieren kann.

Transportwege, die durch keinen Lizenznehmer laufen — Mesh-Funk, Store-and-Forward-Relais, Satelliten-Messenger — liegen jenseits eines solchen Schalters. Ein Heilmittel ist das nicht; über Mesh läuft keine Überweisung. Aber dreiundsechzig Tage lang konnte man, was Azad Kaschmir angetan wurde, nur aus einem einzigen Grund überhaupt zählen: Die Zählmaschinen standen außerhalb.

Am 4. August 2026 veröffentlichte Access Now ein auf den 28. Juli datiertes Schreiben — unterzeichnet von acht Organisationen, darunter Amnesty International und Human Rights Watch, und gerichtet an Bangladeschs neuen Premierminister Tarique Rahman. Ein Satz darin widerspricht dem, was die englischsprachige Quellenlage über sein Land bis heute festhält:

"the amended statute continues to preserve the role of the National Telecommunication Monitoring Centre"

Zu Deutsch: Das geänderte Gesetz „bewahrt weiterhin die Rolle des National Telecommunication Monitoring Centre". Die Quellenlage sagt, das NTMC — die zentrale Abhörbehörde des Staates — sei abgeschafft worden. Das wurde es, für 64 Tage. Dann machte das Parlament, das Rahmans Partei kontrolliert, die Abschaffung rückgängig — und datierte die Rücknahme so, dass das Gesetzbuch keine Lücke zeigt.

Die Wahl des Adressaten ist der Punkt. Das Schreiben erinnert Rahman daran, dass Mitglieder seiner eigenen Bangladesh Nationalist Party — der BNP — selbst zu den Überwachten gehörten, und stützt sich dabei auf den UN-Untersuchungsbericht zu den Protesten vom Juli–August 2024: durch Überwachung ermöglichte Entführung, willkürliche Inhaftierung, Verschwindenlassen. Die Menschen, die von der Maschine beobachtet wurden, befehligen sie jetzt.

Vierundsechzig Tage Abschaffung

Eine von der Übergangsregierung in Auftrag gegebene Überprüfung der Beschaffung und des Einsatzes von Überwachungstechnik — bis heute unveröffentlicht, aber von The Daily Star eingesehen und zitiert — beschreibt, was aus dem NTMC geworden war: Überwachung habe sich „von einer Ausnahmebefugnis in eine Routinepraxis verwandelt", und das NTMC konnte nicht dokumentieren, wer Abhörmaßnahmen anordnete, wann und aus welchen Gründen. Die meisten Anweisungen ergingen mündlich.

Die Ordinance No. 25 of 2026 — ein Präsidialdekret, erlassen kraft der Befugnis des Präsidenten, bei aufgelöstem Parlament Recht zu setzen — trat am 5. Februar 2026 in Kraft, sieben Tage vor der Parlamentswahl. Ihre Section 97A(2)(d): „jede zuvor bestehende Abhörbehörde oder Telekommunikations-Überwachungszentrale oder -plattform gilt als abgeschafft" — ersetzt durch ein Centre for Information Support unter dem Innenministerium, das „Abhörmaßnahmen nicht selbstständig einleiten kann". „NTMC abgeschafft", lauteten im Dezember die Schlagzeilen — und sie hatten recht, gemessen an dem Rechtstext, der vor ihnen lag.

Die Abschaffung der Abschaffung

Bangladesch wählte am 12. Februar. Die BNP holte knapp die Hälfte der Stimmen, und Rahman wurde Premierminister. Präsidialdekrete erlöschen dreißig Tage nach dem ersten Zusammentreten eines neuen Parlaments; der geerbte Stapel musste also abgearbeitet werden — 31 Gesetzentwürfe in einer einzigen Sitzung am 9. April. Einer davon wurde zum Act No. 51 of 2026, am Tag darauf im Gesetzblatt verkündet. Section 69 hebt die Ordinance auf. Section 1(2) bestimmt, dass das Gesetz als seit dem 5. Februar 2026 in Kraft getreten gilt — dem ersten Geltungstag der Ordinance selbst.

Die Ordinance war also 64 Tage lang Gesetz, und das Gesetzbuch verzeichnet keinen einzigen davon: Die Änderungshistorie der konsolidierten Fassung datiert 125 Bestimmungen auf den 5. Februar 2026, und nirgends darin steht das Wort "Ordinance".

Die neu eingesetzte Abhör-Section ist ein Bruchteil dessen, was sie ersetzt — rund 320 Wörter, wo die Ordinance rund 1.700 hatte. Die Abschaffungsklausel ist fort, und mit ihr das Centre for Information Support: Das geltende Gesetz nennt weder eine Überwachungszentrale noch einen Nachfolger und bestimmt nur, dass „die Regierung eine zentrale Behörde zur Unterstützung rechtmäßiger Abhörmaßnahmen benennt". (Maßgeblich ist der Bangla-Text; die Wiedergaben von Gesetzeszitaten sind eigene Übersetzung, gegengeprüft am Unicode-Text der Regierung.)

Das Verbot politischer Bespitzelung war kein Papierkram

Dass eine gewählte Kammer das Dekret einer ungewählten Regierung neu verhandelt, ist kein Skandal; es ist das Verfahren, das funktioniert. Und vieles von den 1.700 Wörtern der Ordinance gehörte nie in ein Parlamentsgesetz: Mehrfaktor-Authentifizierung, Turnusse für Penetrationstests, ein dreistufiges Organigramm. Section 97A(9) sieht Ausführungsvorschriften per Bekanntmachung im Gesetzblatt vor — der orthodoxe Ort für operative Details —, und die acht Organisationen selbst fordern ein neues, eigens zugeschnittenes Gesetz, nicht die Wiederherstellung der Ordinance.

Sortiert man die Streichungen aber, sind vier davon niemandes Betriebshandbuch. „Keine Abhörmaßnahme darf aus politischen, ideologischen oder Glaubensgründen oder zum Zweck von Unterdrückung oder Rache durchgeführt werden" ist eine Grundrechtsregel. „Rechenschaftspflicht" — eines von vier Prinzipien, die rechtmäßiges Abhören definieren, neben Erforderlichkeit, Verhältnismäßigkeit und Gesetzmäßigkeit — ist ein rechtlicher Maßstab, und nur die anderen drei überlebten. Die Anforderungen, dass der Militärgeheimdienst die Erlaubnis des Regierungschefs einholen muss und dass Sicherheitskräfte ("disciplined forces"), die eine Zivilperson abhören, die Genehmigung eines Gerichts oder des Review Council — des gesetzlich vorgesehenen Kontrollgremiums — brauchen, entscheiden darüber, wer wem befiehlt. Und die Ordinance machte unbefugtes Abhören selbst zur Straftat, mit bis zu fünf Jahren und Tk 1 crore. Das Gesetz schafft keinen solchen Straftatbestand.

Was das Gesetz behielt, ist Section 97C — 2006 eingefügt und seither unangetastet. Sie bestraft jede Person, die eine Abhöranordnung verletzt: drei Monate und Tk 5 lakh, ansteigend auf drei Jahre und Tk 50 lakh (ein Lakh sind hunderttausend Taka), wobei es dem Gericht freisteht, den Entzug der Lizenz des Täters anzuregen. Die Lizenzklausel sagt, wer gemeint ist. Die Strafnorm, die auf den Staat zielte, ging; die blieb, die auf den Betreiber zielt, der die Mithilfe verweigert.

Acht Tage nach der Wahl: ein weiteres Jahr

Am 20. Februar 2026 teilte ein vom Deputy Secretary KM Yasir Arafat unterzeichnetes Schreiben des Innenministeriums dem Generaldirektor des NTMC mit, es könne ein weiteres Jahr weiterarbeiten — „bis die erforderlichen Vorschriften ausgearbeitet sind".

Das Gesetz definiert „die Regierung" für Abhörzwecke als das Innenministerium — das Ministerium, das die Verlängerung unterzeichnete, führt also auch die Feder, die die Abhörbehörde benennt. Die Vorschriften, auf die die Verlängerung wartet, ließen sich 118 Tage nach der Verkündung im Gesetzblatt nicht auffinden. Die Gesetzesdatenbank der Regierung führt überhaupt kein Register des untergesetzlichen Rechts, die Website der Staatsdruckerei verweigert Verbindungen, und die englische Website der Regulierungsbehörde liefert einen 404-Fehler; das ist als konnte nicht bestätigt werden zu lesen, nicht als Beweis, dass keine existieren.

Tk 95 crore für sechs Rechenzentren

Am 20. Mai 2026 bewilligte das Cabinet Committee on Government Purchase — der Kabinettsausschuss für öffentliche Beschaffung — das Vorhaben "Expansion of Content Blocking & Filtering System (Phase-1)", den Ausbau des Systems zur Inhaltssperrung und -filterung, umzusetzen durch das NTMC: Tk 94,90,51,137 — Taka, notiert in südasiatischer Zifferngruppierung. Gekauft wird Ausrüstung für sechs Rechenzentren — die Einordnung von The Daily Star: Die Firewalls „ermöglichen Deep Packet Inspection und erlauben dem NTMC damit, die Inhalte des Internetverkehrs zu lesen", und die Packet Broker „sammeln, entschlüsseln und verteilen" ihn. Die Ausschreibung war aus Gründen der Staatssicherheit beschränkt; den Zuschlag erhielt Global Brand PLC aus Dhaka. Der Importeur ist damit aktenkundig, der Hersteller nicht. Und es ist Phase-1 eines Ausbaus — das NTMC legte 2019 offen, dass es ein solches System bereits installiert hatte.

Die Reformer überholten ihre eigene Untersuchung

Der schärfste Verfahrensvorwurf des Schreibens lässt sich leicht auf das falsche Ziel richten. Eine Änderung, so vermerkt es, „wurde ebenfalls verabschiedet und im Gesetzblatt veröffentlicht, bevor der Ausschuss seine Empfehlungen vorlegen konnte". Der Ausschuss erstattete dem damaligen Chief Adviser — dem Chef der Übergangsregierung — Muhammad Yunus am 10. Februar 2026 Bericht; am 11., nach Darstellung von The Daily Star. Die Ordinance trat am 5. Februar in Kraft; das Gesetz kam zwei Monate später. Die Kritik trifft also die Reformer der Übergangszeit, die ihre Reform im Gesetzblatt verkündeten, bevor ihre eigene Überprüfung des Überwachungsstaats sie hätte anleiten können. Jener Bericht liegt nun seit 177 Tagen unveröffentlicht — über beide Regierungen hinweg.

Noch in Kraft — das muss man ihnen lassen

Das Abschaltungsverbot überlebte Wort für Wort: Kein Telekommunikationsdienst und keine Internetverbindung darf „vorsätzlich oder in unredlicher Absicht abgeschaltet, behindert oder eingeschränkt" werden — ein subjektives Tatbestandsmerkmal (mens rea), das die Übergangsregierung selbst so formuliert hat, keine Verwässerung durch die Nachfolger. Erforderlichkeit, Verhältnismäßigkeit und Gesetzmäßigkeit überleben im operativen Prüfmaßstab, dazu das Gebot des mildesten Mittels, verpflichtende Protokolle und Löschung sowie ein Review Council dem Namen nach. Und Section 97B(2) reicht weiter als in vielen gefestigten Demokratien: Rein geheimdienstliches Material ist als eigenständiger Beweis unzulässig, solange es nicht in einem rechtmäßigen Verfahren erneut bewiesen wird.

Die Belege liegen auf dem Server der Regierung

Niemand hat gelogen. Auf Englisch hat nur The Daily Star über die Kehrtwende berichtet; die stehende Antwort ist deshalb noch immer eine korrekte Geschichte über einen Entwurf. Möglich ist die Korrektur überhaupt nur, weil Bangladeschs eigene Gesetzesdatenbank die aufgehobene Ordinance weiterhin ausliefert — und zugleich 125-mal das Datum druckt, an dem das Gesetz nach eigener Aussage schon immer in Kraft war. Ein Register, das seine überholten Fassungen aufbewahrt: Das ist es, was eine amtliche Behauptung falsifizierbar macht.

Die Vorschriften nach Section 97A(9) werden entscheiden, ob der Review Council Mitglieder bekommt und Notfälle eine Uhr. Die Verlängerung des NTMC läuft um den 20. Februar 2027 aus. Bis zum 6. August war keine Antwort der Regierung auf das Schreiben aufgetaucht — zwei Tage nach der Veröffentlichung, nicht lang genug, um eine Antwort zu charakterisieren. Und wer Bangladeschs Telekommunikationsreform zitiert, zitiere Act No. 51 of 2026, nicht die Dezember-Schlagzeilen: 127,7 Millionen registrierte Wählerinnen und Wähler leben unter der geänderten Fassung — nicht unter der berichteten.

Section 5 des britischen State Immunity Act 1978 lautet vollständig:

"A State is not immune as respects proceedings in respect of— (a) death or personal injury; or (b) damage to or loss of tangible property, caused by an act or omission in the United Kingdom."

Sinngemäß: Ein Staat genießt keine Immunität in Verfahren wegen (a) Tod oder Körperverletzung oder (b) Beschädigung oder Verlust körperlicher Sachen, verursacht durch eine Handlung oder Unterlassung im Vereinigten Königreich.

Das Parlament schrieb das mit einem Botschaftswagen und einem Fußgänger vor Augen. Am 27. Juli 2026 entschieden in The Kingdom of Bahrain v Shehabi and another [2026] UKSC 25 fünf Richter darüber, ob es auch ein Spähprogramm erfasst, das von einem Server in Bahrain auf zwei Laptops in London aufgespielt wurde. Drei sagten ja. Zwei sagten, diese Antwort bringe Großbritannien in einen Verstoß gegen das Völkerrecht.

Eine fehlende Voraussetzung

Das Gesetz existiert unter anderem deshalb, damit Großbritannien die European Convention on State Immunity (Basel, 1972) ratifizieren konnte, deren Fassung derselben Ausnahme eine Voraussetzung hinzufügt: Artikel 11 verlangt, dass sich der Sachverhalt im Gerichtsstaat ereignet hat "and that the author of the injury or damage was present in that territory at the time." — und dass der Urheber der Verletzung oder des Schadens sich zu jener Zeit in diesem Hoheitsgebiet aufhielt. Section 5 behält den ersten Anknüpfungspunkt und lässt den zweiten weg.

Die Mehrheit — Lord Lloyd-Jones, Lord Hamblen und Lady Simler — hielt die Auslassung für gewollt. Die Vermutung, dass ein Gesetz seinem Vertrag entspricht, "has no application here because the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal" (Rn. 74) — sie finde hier keine Anwendung, weil die Abweichung vom Vertragsschema bewusst erfolgt ist; nach unserer Auffassung ist das für das Rechtsmittel ausschlaggebend. Dann der Satz, der die Rechtslage verändert: "an act includes an act done using mechanical, electrical or other automated or remote means… even if the person responsible… is not physically present at the location where the act takes place" (Rn. 131) — eine Handlung umfasst auch eine mit mechanischen, elektrischen oder anderen automatisierten oder fernwirkenden Mitteln vorgenommene Handlung, selbst wenn die verantwortliche Person am Ort der Handlung nicht körperlich anwesend ist. Normalerweise legen Gerichte solche Vorschriften eng aus, um den Staat aus Schwierigkeiten herauszuhalten. Dieses Gericht las bewusst weiter und lehnte es dann ab, zu entscheiden, ob das Völkergewohnheitsrecht dies erlaubt, gestützt auf "a reasonable basis" (Rn. 79), eine vertretbare Grundlage. Eine harte Regel auf weichem Fundament.

Was behauptet wird, und woher es überhaupt jemand wusste

Dr. Saeed Shehabi führt die Bahrain Freedom Movement; Moosa Mohammed ist Fotograf, dem 2012 die bahrainische Staatsbürgerschaft entzogen wurde. Beide leben in London. Seit etwa September 2011 hätten, so ihr Vortrag, Personen im Auftrag Bahrains FinSpy — vertrieben von der Gamma Group — auf ihre Computer gebracht, wobei die Operatoren im Ausland saßen und der Steuerungsserver in Bahrain stand. Gegenüber Index on Censorship beschrieb Shehabi den Fall am 31. Juli als eine Sache „des Gefühls, dass nirgendwo sicher ist“; Mohammed sagte, es gehe ihm darum, „Rechenschaft zu erlangen“.

Zu den Handlungen, die als in England geschehen vorgetragen werden, zählen das Überschreiben der Festplatte, das Einschalten von Mikrofonen und Kameras und — einprägsam — die Nutzung des Akkustroms der Geräte. Bahrain war darauf angewiesen, dass all dies bloß die Wirkung einer Handlung in Manama sei, eine Unterscheidung, die der Court of Appeal bereits als "artificial and unprincipled" bezeichnet hatte — als künstlich und ohne tragenden Grundsatz.

Für die Betroffenen war davon nichts sichtbar. Verdächtige E-Mails erreichten im Mai 2012 Bill Marczak vom Citizen Lab in Toronto — einen Zeugen, den der Tatrichter als "plainly well-qualified" — ersichtlich gut qualifiziert — bezeichnete, wenn auch als parti pris in Bezug auf Bahrain. Am 25. Juli 2012 benannte das Citizen Lab den Steuerungsserver, 77.69.140.194, aus dem Adressbereich von Batelco; diese Adresse taucht acht Jahre später in den Schriftsätzen wieder auf, und darin liegt die Bestätigung, die nicht von Marczak abhängt. Ein 2014 veröffentlichtes geleaktes Gamma-Archiv enthielt eine Zielliste, auf der nach Angaben der Kläger ihre Laptops stehen. So haben sie es erfahren — und die Entdeckung, nicht die Überwachung, ist der Schaden, auf den sie klagen, gestützt auf ein Gesetz von 1997, das für Stalker geschrieben wurde.

Bahrains Erwiderung ist eng und ernst zu nehmen: Die Kläger hätten "provided no evidence as to how their computers were alleged to have been infected" — keinen Beleg dafür vorgelegt, auf welche Weise ihre Computer infiziert worden sein sollen —, und die beiden Computer wurden nie untersucht — nicht von Marczak, von niemandem. Infektion September 2011, Entdeckung August 2014, Klageerhebung 2020, Urteil Juli 2026: vierzehn Jahre und zehn Monate, sechs davon nur dafür, festzustellen, dass ein Gericht überhaupt hinsehen darf.

Das Gegenargument, in voller Stärke

Lord Leggatts Einwand ist grammatischer Natur: Menschen "can only act (or omit to act) where they are spatially located" (Rn. 198) — sie können nur dort handeln (oder es unterlassen), wo sie sich räumlich befinden; für die Handlungen des Operators gelte also, sie "all take place in Bahrain", sie fänden sämtlich in Bahrain statt, und was in London geschieht, ist deren Wirkung. Section 5 verlangt auch nicht, dass der Schaden hier eintritt (Rn. 219), sodass das einzige britische Element eine Maschine sein kann.

Dann der härteste Satz des Urteils, zu der Frage, ob je ein Staat einem abwesenden Agenten die Immunität für eine unerlaubte Handlung versagt hat: "there is a complete absence of any such practice. There is not even a single instance of it" (Rn. 315) — es fehle vollständig an einer solchen Praxis; es gebe davon nicht einen einzigen Fall. Die Mehrheit räumt es in Rn. 89 ein, und keine der Parteien konnte irgendwo eine entschiedene Sache benennen, die in die andere Richtung geht.

Lord Burrows zeigt, dass sich die Vorschrift im Einklang mit Artikel 11 lesen lässt, und macht dann das Zugeständnis, das das Sondervotum ehrlich statt bloß geschickt macht (Rn. 339): Liest man das Gesetz "divorced from its public international law context", losgelöst von seinem völkerrechtlichen Zusammenhang, so vermeidet man in der Tat, einen Agenten in London anders zu behandeln als dieselbe Überwachung von einer Tastatur im Ausland aus. "But… it is impermissible for this court, and would constitute an undermining of the rule of law, to adopt a statutory interpretation that contradicts public international law unless Parliament has enacted legislation that clearly requires that." Sinngemäß: Es sei diesem Gericht jedoch verwehrt und käme einer Aushöhlung der Rechtsstaatlichkeit gleich, eine Gesetzesauslegung zu wählen, die dem Völkerrecht widerspricht, sofern das Parlament nicht ein Gesetz erlassen hat, das dies eindeutig verlangt. Sein Rechtsbehelf ist ein Gesetzentwurf, nicht die Immunität.

Leggatt bringt auch den unbequemen Teil zu Papier: In Rn. 175 heißt es, Befugnisse, "target computer equipment abroad" — Computerausrüstung im Ausland ins Visier zu nehmen —, würden Großbritanniens eigenen Diensten durch die Teile 2 und 5 des Investigatory Powers Act 2016 verliehen. Liegt die Handlung dort, wo die Maschine steht, dann handelt GCHQ überall dort, wo seine Anordnungen landen. Doch man prüfe die Rechnung, bevor man das Symmetrie nennt: Nach den Gesetzen in ihrer erlassenen Fassung — Japan 2009, Spanien 2015, Russland 2015, China 2023 — könnte keines von ihnen die britische Regel spiegeln, ohne das eigene Recht zu ändern. Das Risiko liegt zu Großbritanniens Gunsten: eine unbequeme Eigenschaft für einen Grundsatz.

Dem allen steht, eng gefasst, eine Antwort entgegen. Die Abweichung war Gewohnheit, kein Versehen — Rn. 68 zählt fünf Stellen auf, an denen das Gesetz von seinen Vertragsvorbildern abweicht. Dieser Text behauptet nicht, dass die Mehrheit beim Völkergewohnheitsrecht recht hatte; das zu entscheiden, hat das Gericht abgelehnt. Er behauptet nur dies: Ein Anwesenheitserfordernis macht es nicht schwer, gegen einen Fernzugriff zu klagen, es macht ihn konstruktionsbedingt immun — jedes Implantat, für immer, in jeder Rechtsordnung, die es übernimmt. Kidane v Ethiopia (2017) — von diesem Gericht in Rn. 287–290 zusammengefasst und als "particularly close", besonders nah, an diesem Sachverhalt bezeichnet — zeigt, wie das aus Sicht des Betroffenen aussieht: Äthiopien schickte FinSpy per E-Mail auf den Computer eines Einwohners von Maryland, und das Erfordernis einer vollständigen unerlaubten Handlung auf US-Boden ließ ihm nichts. Burrows' eigener Einwand betrifft im Übrigen die Frage, wer die Regel fortschreibt, und er richtet sich an das Parlament und nicht an diese beiden Männer.

Was es eröffnet, und die Obergrenze

Großbritannien hat das in einem anderen Fall bereits bis zum Ende durchgespielt. Ghanem Al-Masarir, ein saudischer Satiriker in London, trug vor, Saudi-Arabien habe Pegasus auf zwei iPhones gebracht. Er klagte 2019 auf dieselbe Section 5 — anderer Kläger, anderer Staat, anderes Werkzeug —, die Immunität wurde 2022 verneint, und der Staat zog sich daraufhin zurück und ignorierte drei Kostenbeschlüsse. Am 26. Januar 2026 sprach Mr Justice Saini 3.025.662,83 £ zu und hielt fest, das Königreich "has made a deliberate decision not to participate" — es habe sich bewusst entschieden, sich nicht zu beteiligen —, und eine Vollstreckung andernorts "will be necessary." — sie werde erforderlich sein. Denn Section 13 desselben Gesetzes verriegelt den Ausgang: Das Vermögen eines Staates "shall not be subject to any process for the enforcement of a judgment" — es unterliegt keinem Verfahren zur Vollstreckung eines Urteils —, sofern er nicht schriftlich zustimmt oder das Vermögen gewerblich genutzt wird. Diese Zahl deckelt die Geschichte, statt sie zu eröffnen: Zuständigkeit ist noch keine Befriedigung. Man kann gewinnen, geglaubt und beziffert werden — und hält am Ende ein Blatt Papier.

Diese Obergrenze ist eine Konstruktionsentscheidung, und ein amerikanisches Gericht hat das ausdrücklich gesagt. Die Verfügung von Richterin Phyllis J. Hamilton in WhatsApp v. NSO Group wurde am 28. Januar 2026 vollstreckbar, als ein Senat des Ninth Circuit es ablehnte, sie auszusetzen. Man lese Ziffer 1: "notwithstanding anything herein, neither Defendants' foreign sovereign customers nor Defendants' outside counsel are Prohibited Parties." Sinngemäß: Ungeachtet aller anderen Bestimmungen sind weder die ausländischen souveränen Kunden der Beklagten noch deren externe Anwälte erfasste Parteien. Das Gericht wies die Kläger an, sie auszunehmen, weil sie "are not before the court … of course an injunction in this case cannot apply to them" — sie stehen nicht vor dem Gericht, und eine Verfügung in dieser Sache kann selbstverständlich nicht für sie gelten — und sie waren nie Parteien, weil sie, wie es in NSOs Schriftsätzen heißt, "cannot be sued due to their sovereign immunity." — wegen ihrer Staatenimmunität nicht verklagt werden könnten. Die folgenreichste Spähsoftware-Entscheidung der Vereinigten Staaten untersagt den Code des Verkäufers und kann konstruktionsbedingt die Regierungen nicht erreichen, die ihn gekauft und ausgerichtet haben. Der 27. Juli ist der erste Riss darin.

Was wir wissen, und was nicht

Gesichert: Section 5 kennt in Großbritannien seit dem 27. Juli 2026 kein Anwesenheitserfordernis. Nicht gesichert: ob Bahrain irgendetwas davon getan hat — eine Zuständigkeitsentscheidung auf unterstellter Tatsachengrundlage, nie untersuchte Geräte, kein angesetzter Termin zur Hauptsache. Ungeprüft: Section 5 verlangt Tod, Körperverletzung oder Beschädigung körperlicher Sachen, und Al-Masarir hatte teilweise wegen trespass to goods Erfolg; ob eine Klage also für jemanden trägt, der überwacht, aber nicht krank gemacht wurde, ist gegen einen Staat, der zur Verteidigung erscheint, noch nie verhandelt worden. Als Negativbefund unserer eigenen Recherche: Mit Stand 5. August 2026 erscheint auf Find Case Law keine Vollstreckungsentscheidung, und wir konnten nicht feststellen, dass von den 3,03 Mio. £ irgendetwas beigetrieben wurde. Man beachte auch die Fragilität — drei englische Klagen, eine Anwaltskanzlei, weitgehend dieselben Prozessbevollmächtigten. Eine bahrainische Reaktion haben wir nicht gefunden.

Was sich konkret tun lässt

Bewahren Sie ein verdächtiges Gerät auf, statt es zu löschen, und heben Sie verdächtige Nachrichten samt intakter Header auf. Lassen Sie jeden Schaden früh ärztlich dokumentieren — die Verletzung ist der zuständigkeitsbegründende Anknüpfungspunkt und zugleich das Element, das am schnellsten verfällt. Schicken Sie Proben an das Citizen Lab oder an Amnestys Security Lab, deren Analysen Gerichte anerkannt haben, und schalten Sie Androids Advanced Protection oder den Lockdown-Modus von iOS ein, bevor Sie sie brauchen. Der Hebel ist schmal: Burrows sagt, das solle das Parlament entscheiden, Großbritannien hat keinen Gesetzentwurf, und Section 13 gilt, bis jemand sie ändert — womit die Vollstreckungslücke eine gesetzgeberische Entscheidung ist und kein Naturgesetz.

Das Vertrauen, das Sie nicht aufbringen müssen

Rechtsbehelfe folgen der Zuordnung, und Zuordnung ist Infrastruktur: Sandboxes, Sample-Archive, veröffentlichte Indikatoren, Forscher, die ohne Erlaubnis einer Regierung arbeiten und denen niemand befehlen kann aufzuhören. Auch deshalb funktionierte es vor Gericht — Beweismittel, deren Rücknahme keiner einzelnen Partei aufgegeben werden konnte. Die behauptete Überwachung erzeugte kein Symptom. Der Schaden begann erst, als die forensische Arbeit anderer diesen beiden Männern sagte, was seit 2011 auf ihren Laptops gewesen war. Kein Staatsanwalt hat es gefunden. Keine Plattform hat es ihnen gesagt.

Die Grenze, unverblümt: Nichts davon hätte FinSpy 2011 aufgehalten, und ein Urteil ist nur so viel wert, wie ein Souverän zu zahlen bereit ist. Aber die Abfolge ist aktenkundig. Unabhängige Forensik machte den Schaden lesbar; die Lesbarkeit machte die unerlaubte Handlung vertretbar; und die Argumentation nahm, vierzehn Jahre und zehn Monate später, die Immunität weg.

Stellen Sie sich den datenschutzbewusstesten Menschen vor, den Sie kennen. Er nutzt GrapheneOS, das entgooglete Android, bevorzugt von Sicherheitsforscherinnen und von Menschen mit echten Gründen zur Vorsicht — Überlebende häuslicher Gewalt, Journalisten, Dissidenten. In diesem Sommer bietet ihm die Europäische Union eine App zur Altersverifikation an, die von ihrer Anlage her wirklich gut ist: quelloffen, auf Zero-Knowledge-Beweisen aufgebaut, in der Lage, „über 18“ zu belegen, ohne Geburtsdatum, Namen oder sonst etwas offenzulegen — genau das, was Datenschützer ein Jahrzehnt lang statt hochgeladener Pässe gefordert haben. Und sie wird sich weigern, auf seinem Telefon zu laufen. Nicht, weil sein Telefon unsicher wäre. Sondern weil es nicht von Google gesegnet ist.

Diese Verweigerung ist die ganze Geschichte der vergangenen zwei Wochen, und es geht darin nicht wirklich um Kinder. Unter den Alterskontrollen, den App-Store-Konflikten und den Entwicklerregeln liegt eine einzige Forderung: Beweisen Sie, dass Sie das ausführen dürfen. Beweisen Sie, dass Ihr Gerät echt ist. Beweisen Sie Ihr Alter. Beweisen Sie, dass die Autorin der Software mit bürgerlichem Namen aktenkundig ist. Das Fachwort für diese Forderung lautet Attestierung — ein vertrauenswürdiger Dritter, praktisch also Apple oder Google, bürgt kryptografisch gegenüber jeder App, jeder Website und jeder Behörde, die fragt. Die beiden Konzerne haben jahrelang daran gearbeitet, diese Bürgschaftsschicht in das Betriebssystem selbst einzubauen. In zwei Wochen dieses Juli griffen drei Klassen von Torwächtern gleichzeitig danach, und zwei weitere benannten den Weg daran vorbei als nächstes Ziel.

Zangenarm eins: die Kontrollstelle

Der App-Store. Am 6. Juli ließ der Supreme Court der USA auf seinem Eilrechtsweg — zwei kurze, nicht gezeichnete Beschlüsse, keine vermerkten Sondervoten — den App Store Accountability Act von Texas bestehen, vollstreckbar, seit der Fifth Circuit am 4. Juni die einstweilige Verfügung eines Distriktgerichts aufgehoben hatte. Apple und Google müssen nun bei der Kontoeröffnung das Alter jeder Nutzerin prüfen, jede Person in eine von vier Altersgruppen einsortieren und jeden Download durch Minderjährige über ein verifiziertes Elternteil leiten — für alle Apps, nicht nur für Erwachsenenangebote. Und man beachte das Wie: Apples Declared Age Range API, eingeführt mit iOS 26, und Googles Play Age Signals API lassen das Betriebssystem selbst gegenüber jeder fragenden App für Ihr Alter bürgen. Das Gesetz zwingt nicht die Pornoseite, Ihren Ausweis zu prüfen. Es macht das Gerät zum Orakel.

Das private Telefon. Die EU-App zur Altersverifikation ist so ausgelegt, dass sie Googles Play Integrity und Apples App Attest zur Bestätigung des Geräts verlangt, bevor sie überhaupt startet — sie werde „auf GrapheneOS oder irgendeinem anderen nicht von Google zugelassenen Android-ROM nicht funktionieren“, wie technische Analysen beim Erscheinen der Pilotversionen festhielten, und auch nicht, wenn man denselben Code selbst kompiliert, weil er dann nicht aus dem Play Store stammt. Die Kommission, die Google nach dem Digital Markets Act mit Bußgeldern belegt, verpflichtet Googles Attestierung zum Dienst als Identitätsinfrastruktur. Die App ist eine unverbindliche Empfehlung, mit Pilotversuchen in Dänemark, Frankreich, Griechenland, Italien und Spanien und einer vorgeschlagenen Einführung bis zum 31. Dezember — aber die Konstruktionsentscheidung ist bereits gefallen.

Ihr eigener Code. Googles Android Developer Verification wird von jeder Entwicklerin verlangen, eine rechtliche Identität zu hinterlegen, bevor ihre Software auf einem zertifizierten Gerät installiert werden darf; die Durchsetzung beginnt am 30. September in Brasilien, Indonesien, Singapur und Thailand und weitet sich von dort aus. Am 1. Juli nannte F-Droid — der wichtigste App-Store für freie Software — den ruhenden Durchsetzungsclient, der auf modernen Android-Geräten bereits als Systemdienst ausgeliefert wird, „einen Virus … der still auf die Fernaktivierung wartet“ und warnte, die Regel werde sein Projekt beenden, weil es Apps von pseudonymen Beitragenden verteilt, die Google keinen amtlichen Ausweis übergeben werden. Am 9. Juli lieferte es seine eigene Antwort aus, einen freien Verifizierer namens AppVerifier.

Das ist keine Sommerphase. Es wird in dauerhaftes Recht geschrieben. Kaliforniens AB 1043, im vergangenen Oktober unterzeichnet, wird ab dem 1. Januar 2027 jeden Betriebssystemanbieter — Apple, Google und, dem Wortlaut nach, auch Desktop-Linux und Valves SteamOS — verpflichten, Ihr Alter bei der Einrichtung des Geräts zu erheben und ein Altersgruppensignal an jede App zu senden, die danach fragt. Das Gerät führt Ihre Software nicht mehr bloß aus. Es fängt an, ihr über Sie zu berichten.

Zangenarm zwei: die benannten Fluchtwege

Sperrt man Gerät und Store, weichen die Menschen aus. Die vergangenen zwei Wochen zeigen, wonach der Staat als Nächstes greift.

Großbritannien. Die verpflichtende Altersprüfung für Erwachsenenseiten trat am 25. Juli 2025 in Kraft; ihr erster Jahrestag fällt in diesen Monat, und Ofcoms erster gesetzlich vorgeschriebener Wirksamkeitsbericht steht vor Ende Juli an. Das messbare Ergebnis des ersten Jahres war Abwanderung, nicht Sicherheit: Am ersten Tag meldete Proton VPN einen Anstieg der britischen Neuanmeldungen um mehr als 1.400 Prozent gegenüber der Vorstunde und um mehr als 1.800 Prozent gegenüber dem Vortag, und VPN-Apps belegten die Hälfte der Top Ten der kostenlosen Apps im britischen App Store. „Solche großen Ausschläge bei den Neuanmeldungen bringen wir normalerweise mit größeren zivilen Unruhen in Verbindung“, sagte Proton der Financial Times. Die amtliche Reaktion bestand nicht darin, die Mauer zu überdenken, sondern die Leiter ins Auge zu fassen: Englands Children's Commissioner nannte den VPN-Anstieg „ein Schlupfloch, das geschlossen werden muss“, und drängte auf Alterskontrollen für VPNs; eine Regierungskonsultation in diesem Frühjahr brachte die Idee förmlich auf den Tisch.

Und hier ist die Tatsache, die das Gespräch hätte beenden müssen. Der Anstieg kam von Erwachsenen, nicht von den Kindern, auf die das Gesetz zielt. Ofcoms eigene Leitlinien halten fest, dass nur etwa jeder zehnte VPN-Nutzer ein Kind ist; zwei unabhängige Erhebungen — Internet Matters, das im vergangenen Dezember tausend Kinder befragte, und Childnet — fanden überhaupt keinen Anstieg der VPN-Nutzung bei Kindern. Alterskontrollen für VPNs würden also Millionen Erwachsener ausweispflichtig machen, um ein Schlupfloch zu schließen, das die Kinder nie benutzt haben. Es ist der Kategorienfehler der ersten Mauer, eine Schicht tiefer.

Brüssel. Nach dem Streit um die Chatkontrolle ist der nächste Weg der Kommission in private Daten die verpflichtende Vorratsdatenspeicherung. Ihr Instrument zur Datenspeicherung unter dem Titel "Going Dark" — erwartet um die Mitte des Jahres 2026 und zum Zeitpunkt dieses Textes noch nicht vorgelegt — würde einem durchgesickerten Ratsdokument vom vergangenen November zufolge verlangen, dass Verbindungsmetadaten von jedem Onlinedienst ein Jahr oder länger protokolliert werden, wobei VPN-Anbieter ausdrücklich genannt sind. Und hier trifft die Forderung auf eine Mauer eigener Machart: Ein echtes No-Log-VPN hat nichts herauszugeben, weil es gebaut wurde, um nichts zu behalten. Mullvad, der schwedische Anbieter, erklärt, es werde nicht protokollieren, was immer im Endtext stehe — was, sobald das Instrument den Dienst neu einordnet, ein No-Log-VPN in Europa faktisch illegal machen würde. Eine Speicheranordnung ist eine Anordnung aufzuhören zu existieren. Man weicht dem Tor aus, und der Ausweichweg wird zum nächsten Tor.

Dieselben zwei Wochen, eine Schicht tiefer

Schließt man das Identitätstor, bleibt immer noch das Netz — die schlichte Fähigkeit, ein Paket zu einem Server zu bewegen, der nicht gesperrt ist. Auch dieses Tor wurde in denselben zwei Wochen neu gebaut, von anderer Hand, auf einer anderen Halbkugel.

Am 10. Juni tat ein Ingenieur im Iran alles, was die Handbücher vorschreiben. Er stellte seinen Tunnel hinter Cloudflare und zerlegte den einleitenden Handshake in Fragmente von zehn bis dreißig Byte, damit die Prüfbox des Zensors den verbotenen Domainnamen nie am Stück zu sehen bekommt. Die Domain war trotzdem binnen eines Tages tot. Die Deep-Packet-Inspection des Iran war um eine vollständige TCP-Reassemblierung erweitert worden — sie hält die Fragmente im Speicher, wartet und setzt den Satz wieder zusammen, bevor sie ihn liest, und entwertet damit den billigsten Umgehungstrick in nahezu jedem Werkzeug. In Russland legte Roskomnadzor zwischen dem 1. und 15. Juni laut TechRadar mehr als neunzig Prozent der Server von Amnezia VPN im Land lahm — nicht durch das Verbot eines Protokolls, sondern indem es die Signatur jedes Servers fingerprintete und ihn flutete, und anschließend Amnezias eigene Infrastruktur flutete, bis das Unternehmen nach eigener Aussage seine Zahlen nicht mehr veröffentlichen konnte, weil der Angriff genau das Werkzeug außer Gefecht gesetzt hatte, mit dem es Zensur misst. Der Zensor hat den Zeugen geblendet.

Der Wendepunkt, schlicht gesagt: Ein Protokoll ist eine Idee, und eine Idee lässt sich nicht aufzählen; ein Server ist eine Maschine mit einer Adresse, und die lässt sich aufzählen. Sobald das Ziel der feste, auffindbare Server ist, arbeitet sich ein gut finanzierter Staat schneller durch Ihre Adressliste, als Sie sie ersetzen können. Und in einem Zweiundsiebzig-Stunden-Fenster in diesem Monat antwortete das Open-Source-Feld mit einem einzigen Entwurf: am 10. Juli OpenRung — „Snowflake für das ganze Gerät“, freiwillige Relays, erreicht über einen Broker, der selbst niemals Verkehr trägt, mit einer kryptografisch signierten Relay-Liste, die der Zensor nicht vergiften kann; am 11. Juli ein Android-Client, Orden, der zwei Protokolle zugleich führt und in dem Moment umschaltet, in dem eines gedrosselt wird; am 12. Juli die begutachtete Zensurforschung des Feldes, veröffentlicht im Vorfeld der Symposien FOCI und PETS — einschließlich einer Analyse des durchgesickerten Toolkits, das Chinas Great Firewall als Produkt verpackt und an Myanmar, Pakistan, Kasachstan und Äthiopien verkauft. Der Angriff wird in derselben Woche als Dienstleistung verkauft, in der die Verteidigung offen begutachtet wird. Zwei Hände, eine Tür: Das Recht benennt die Fluchtwege, während die Paketinspektion sie physisch schließt.

Das Gegenargument, in voller Stärke

Nehmen wir die Gegenseite in ihrer stärksten Form, denn sie ist stark. Kinder erreichen harte Pornografie tatsächlich mit zwei Fingertipps, und der App-Store ist tatsächlich der Ort, an dem das Telefon eingerichtet wird — er ist also ein vertretbarer Kontrollpunkt und kein selbstevidenter Übergriff. Die Befürworter sind keine Randgruppe: Kinderschutzbündnisse reichten Schriftsätze ein, die die Gerichte drängten, das texanische Gesetz bestehen zu lassen, und der Fifth Circuit winkte es nicht durch — er hielt fest, Texas habe "made a strong showing that it is likely to succeed on the merits" — überzeugend dargelegt, dass es in der Sache voraussichtlich obsiegen werde —, und das Gesetz "more likely governs commercial speech", regele eher kommerzielle Äußerungen, die nur einer Angemessenheitsprüfung unterliegen. Die Zero-Knowledge-Beweise der EU-App sind, an ihren eigenen Maßstäben gemessen, eine echte Verbesserung des Datenschutzes gegenüber dem Hochladen eines Passes auf eine Pornoseite. Auch Googles Malware-Argument ist real: Der Konzern berichtet, aus dem Internet quergeladene Software trage mehr als die fünfzigfache Infektionsrate des Play Store, und anonyme, wegwerfbare Entwickleridentitäten seien genau das, was einen ertappten Malware-Autor bis zum nächsten Morgen unter neuem Namen wieder ausliefern lässt. Auf der Netzebene gilt derselbe Realismus: Verschleierung war immer eine Steuer, die jedes Protokoll zahlt, der Zensor passt sich binnen Tagen an — Russland fingerprintete Tors Snowflake-Transport im März über Nacht —, und Ausgänge über Endkundengeräte zu streuen, schiebt die Missbrauchsbeschwerde auf den Hausanschluss irgendeines Freiwilligen, wo dann die Polizei erscheint. Und diese Maßnahmen wurden von verschiedenen Gesetzgebern geschrieben, in verschiedenen Hauptstädten, aus verschiedenen Gründen, nach verschiedenen Zeitplänen. Es gibt kein Memo. In fünf unverbundenen Sicherheitsgesetzen eine koordinierte Einhegung zu sehen, ist genau das Muster, dem eine sorgfältige Leserin misstrauen sollte.

Die Erwiderung, die dem standhält

Beginnen wir beim Telefon, denn dort bricht die Sicherheitserzählung sauber zusammen. GrapheneOS ist nicht deshalb ausgeschlossen, weil es weniger sicher wäre, sondern weil es nicht Googles ist. Das Projekt weist darauf hin — und das ist in seiner eigenen Dokumentation unabhängig überprüfbar —, dass die Standard-Hardware-Attestierungs-API von Android „eine sehr viel stärkere Form der Attestierung bietet als die Play Integrity API“ und die Schlüssel eines alternativen Systems auf eine Whitelist setzen kann, und dass „der einzige Grund, weshalb [Google] es nicht zulässt, darin besteht, dass wir die Google Mobile Services nicht lizenzieren … damit werden Googles Geschäftsinteressen durchgesetzt, nicht die Sicherheit“. Eine stärkere, offenere Attestierung fällt absichtlich durch die Prüfung. Das Tor fragt also nicht, ob Ihr Gerät sicher ist. Es fragt, ob es gesegnet ist.

Die Malware-Erzählung bricht auf dieselbe Weise. Developer Verification prüft keine einzige Zeile Code und hindert keine verifizierte Entwicklerin daran, etwas Feindseliges auszuliefern; es ist ein Mechanismus für Identität und Widerruf, kein Scanner. Und der verräterische Punkt liegt in der Preisgestaltung: Die kostenpflichtige Stufe kostet 25 US-Dollar und einen amtlichen Ausweis, aber die kostenlose Stufe verlangt überhaupt keinen Ausweis — und begrenzt Sie auf etwa zwanzig Geräte. Was hier zugeteilt wird, ist nicht Geld. Es ist Anonymität in nennenswertem Umfang — genug, um im Freundeskreis zu testen, nie genug, um die Öffentlichkeit zu erreichen, ohne einen Namen zu hinterlegen.

Dann der Einwand, es gebe keine Koordination — der zutrifft, den wir einräumen und der die Lage schlimmer macht statt besser. Man braucht kein Memo, um eine Einhegung zu bekommen. Man braucht ein bequemes Primitiv und viele Torwächter. Sobald das Betriebssystem für das Gerät, das Alter der Nutzerin und die Identität der Entwicklerin bürgt, greift jede Instanz, die eine Kontrollstelle will, nach derselben Schicht, weil sie gleich dort liegt und funktioniert. Das Ergebnis ist kein Komplott; es ist ein Gravitationskollaps hin zum Engpass — und er ist schwerer aufzuhalten als eine Verschwörung, weil es kein einzelnes Gesetz zu verhindern gibt und niemanden, der für die Summe zur Verantwortung gezogen werden kann. Jedes Gesetz für sich ist vertretbar. Das System, zu dem sie sich addieren, hat niemand unterschrieben.

Die Netzebene beantwortet ihr eigenes Gegenargument auf dieselbe Weise. Die Behauptung war nie, dass Traffic-Shaping das Wettrüsten gewinnt; sie lautet, dass Shaping plus Vielfalt die Rechnung des Zensors verändert. Fingerprint-and-Flood ist gegen ein paar hundert feste Server verheerend — deshalb fielen neunzig Prozent der Amnezia-Server — und nahezu nutzlos gegen Millionen von Endkundenadressen, die aussehen wie gewöhnliche Verbraucher und die sich nicht fluten lassen, ohne das Verbraucherinternet mitzureißen, auf dem der Staat selbst läuft. Russlands Juni-Angriff setzt einen Server voraus, den man jagen kann; entfernt man den festen Server, entfernt man das, wofür der Angriff gebaut wurde.

Und das ist der verräterische Punkt, der beide Zangenarme verbindet. Nichts auf der Liste des Gegenarguments — ein geprüftes Alter, ein ertappter Malware-Autor, ein vollstreckter Durchsuchungsbeschluss — erfordert es, GrapheneOS auszuschließen, F-Droid zu beenden, ein No-Log-VPN zu verbieten oder ein Endkunden-Relay zu fingerprinten. Diese Werkzeuge werden benannt, weil sie die Kontrollstelle aushebeln, nicht das Sicherheitsziel. Sie sind der Rest, den das Tor nicht verarbeiten kann: die Geräte, Autorinnen und Verbindungen, für die keine zentrale Instanz bürgen kann. Eine Einhegung ist durch das definiert, was sie aussperrt.

Was wir wissen und was nicht

Halten wir die Bilanz ehrlich, denn die Stärke des Musters liegt in seiner Zurückhaltung. Heute vollstreckbar: das texanische Gesetz (ein Bundesstaat, in der Berufung, mit einer Verhandlung zur Sache vor dem Fifth Circuit im August), Großbritanniens Alterskontrollregime, Googles Stichtag 30. September für Developer Verification und — ab 2027 — Kaliforniens Alterssignal auf Betriebssystemebene. Eine unverbindliche Empfehlung mit laufenden Pilotversuchen: die EU-Alters-App, deren Ausschluss von GrapheneOS ebenso sehr veröffentlichte Konstruktionsentscheidung wie ausgelieferte Tatsache ist und die ihr Anbieter vor einem Jahr als „verfrühte Panik“ bezeichnete. Ein noch nicht vorgelegter Vorschlag: die Vorratsdatenspeicherung der EU, die VPNs beim Namen nennt. Bislang reine Interessenvertretung, kein Gesetz: der britische Vorstoß, VPNs mit Alterskontrollen zu belegen. Und tagealt, mit winzigen Netzen und zuerst im Forum: OpenRung und Orden, deren Versprechen real und deren Größenordnung unbelegt ist. Niemand hat eine Koordination nachgewiesen, weil es keine nachzuweisen gibt. Belegt ist etwas Engeres und Seltsameres — fünf Torwächter, die unabhängig voneinander nach demselben Primitiv greifen und in denselben zwei Wochen dieselben Fluchtwege benennen, während die Paketinspektion sie von der anderen Seite schließt.

Was sich konkret tun lässt

Das Unbezeugbare funktioniert heute noch, und es zu benutzen, ist das Argument. GrapheneOS installiert sich ohne Konto und ohne Ausweis, und seine Maintainer sagen, das werde so bleiben; F-Droid lieferte AppVerifier am 9. Juli aus; behalten Sie ein Telefon, das noch sideloaden kann, denn genau diese Fähigkeit soll der

1. September senken. Führen Sie mehr als einen Transportweg mit, so wie Orden es tut, damit eine Drosselung

ein Achselzucken ist und kein Blackout; aktualisieren Sie Ihren Umgehungsclient und ärgern Sie sich nicht über die erzwungenen Updates, denn die zustandslosen Tricks in den alten Versionen sind die, die in diesem Monat sterben; und betreiben Sie eine Messsonde — OONI lieferte am 6. Juli eine Desktop-App aus —, denn die Karten dessen, was gesperrt ist, entstehen aus Nutzerinnen, die die Daten freiwillig beisteuern.

Der Rest ist politisch, und die Hebel sind in Bewegung. Der Fifth Circuit verhandelt das texanische Gesetz im August in der Sache. Der EU-Speichervorschlag wird noch entworfen, und ein Jahrzehnt an Urteilen des Gerichtshofs gegen eine "general and indiscriminate", also allgemeine und unterschiedslose, Speicherung wartet auf ihn. Googles Einführung ist eine Richtlinie, kein Gesetz, und mehr als siebzig Organisationen aus dreiundzwanzig Ländern haben sich bereits dagegen ausgesprochen.

Das Vertrauen, das man nicht schenken muss

Die tiefste Antwort ist die, bei der dieses Journal aus jeder Richtung ankommt. Attestierung ist eine Art, Vertrauen in eine zentrale Instanz zu legen — Google, Apple, ein VPN, dem das Protokollieren angeordnet werden könnte, ein Server, der lange genug stillsteht, um fingerprintet zu werden — und zu hoffen, dass sie vertrauenswürdig bleibt oder überhaupt bestehen bleibt. Die Alternative ist kein besserer Torwächter. Sie ist eine Architektur, die den Torwächter überflüssig macht: Onion-Routing, WireGuard, dezentrale Relays und Mixnets wie URnetwork, wo kein Betreiber die Identität hält, um für Sie zu bürgen, keiner zum Protokollieren gezwungen werden kann und es keine feste Serverflotte zum Aufzählen gibt. Nennen wir die ehrliche Grenze deutlich — kein VPN verbirgt Ihr Gesicht vor einer Bahnhofskamera, und keine noch so weitgehende Dezentralisierung zaubert ein Signal herbei, wenn eine Regierung dem ganzen Netz den Stecker zieht, wie der Iran es im Januar tat. Innerhalb dieser Grenzen ist die Eigenschaft, die diese zwei Wochen nicht einhegen können, diejenige, auf der zu bauen sich lohnt: Man kann nicht attestieren, was kein Tor hat, und man kann nicht fingerprinten, was keinen festen Server hat. Bauen Sie das Netz so, dass „Beweisen Sie, dass Sie das ausführen dürfen“ niemanden mehr hat, den es fragen könnte.

Zwanzig Millionen Menschen bewegen sich täglich durch Deutschlands rund 5.700 Bahnhöfe. Seit Freitag, dem

1. Juli 2026, sagt das deutsche Recht, dass eine Maschine sie alle ansehen darf.

An jenem Morgen — dem letzten Sitzungstag vor der Sommerpause des Bundestages, mitten in der Woche des WM-Viertelfinales, während das Land noch über die Entlassung von Bundestrainer Julian Nagelsmann stritt — verabschiedete das Parlament das neu gefasste Bundespolizeigesetz. CDU/CSU und SPD stimmten dafür, Grüne und Linke dagegen; die AfD enthielt sich. Die Fachpresse hielt sich nicht zurück. Das Digital-Rights-Medium netzpolitik.org machte sein Urteil binnen Stunden zur Schlagzeile: „Der Bundestag hat gerade das Zeitalter der automatisierten Überwachung eingeläutet.“

Der neue § 31b des Gesetzes, „biometrische Echtzeit-Erkennung“, erlaubt Kameras der Bundespolizei an Bahnhöfen, Flughäfen und in Grenzgebieten, jedes vorbeikommende Gesicht zu scannen und es im laufenden Bild mit einer polizeilichen Referenzdatei abzugleichen. Dasselbe Gesetz gibt der Bundespolizei ihren ersten Staatstrojaner — die Quellen-Telekommunikationsüberwachung, also Schadsoftware, die durch Sicherheitslücken eingeschleust wird, um Nachrichten vor ihrer Verschlüsselung mitzulesen — und zwar zur präventiven Nutzung, ohne jedes Regime für die Lücken, auf denen sie reitet. Um diese beiden Kernbefugnisse herum schraubt es einen ganzen Bestand: KI-gestützte Verhaltensanalyse von Bahnhofsvideos, stille SMS, IMSI-Catcher und WLAN-Catcher, Kennzeichenscanner, Drohnen, Fluggastdaten, Zugriff auf den gemeinsamen Identitätsspeicher der EU. Die Kosten belaufen sich auf rund 185 Millionen Euro im Jahr, zuzüglich 18 Millionen Euro für den Aufbau — aufgesetzt auf 11.000 Kameras an 750 Bahnhöfen, die Sie bis Freitag zwar aufnehmen, aber nicht erkennen konnten.

Die eingriffsintensivste dieser Befugnisse stand nicht in dem Entwurf, den die Sachverständigen geprüft haben. Die öffentliche Anhörung des Innenausschusses fand am 26. Januar statt, zu einem Regierungsentwurf, der überhaupt keine Echtzeit-Biometrie enthielt. Die Klausel zur Gesichtserkennung und die Klausel zur Verhaltensanalyse wurden am 7. Juli per Änderungsantrag der Koalition eingefügt, passierten am 8. Juli den Ausschuss und waren am 10. Juli Gesetz — „nur drei Tage vor der Abstimmung“, wie netzpolitik nachzählte. Der tiefste Eingriff in die Grundrechte im gesamten Paket stand vor keinem einzigen Sachverständigen, und er landete in genau der Woche, in der das Land auf den Fußball schaute.

Das Verbot, das mit einem Schalter ausgeliefert wurde

Hier kommt der Teil, der auch Menschen beunruhigen sollte, denen die Politik gefällt. Deutschland hat sich dafür nicht dem KI-Gesetz der Europäischen Union widersetzt. Es hat es benutzt.

Artikel 5 des AI Act (der KI-Verordnung) macht die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken zu einer verbotenen Praktik — seit dem 2. Februar 2025 standardmäßig untersagt. Das war die Bestimmung, die Datenschützer eine echte rote Linie nannten, das erste harte Verbot der Live-Gesichtserkennung im öffentlichen Raum irgendwo in der demokratischen Welt. Doch das Verbot wird mit drei ruhenden Ausnahmen ausgeliefert, die in seinem eigenen Text angelegt sind: gezielte Suche nach Opfern von Menschenhandel und nach Vermissten; eine konkrete, unmittelbare Gefahr für Leib und Leben oder ein Terroranschlag; und die Fahndung nach Verdächtigen schwerer Straftaten mit einer Strafdrohung von mindestens vier Jahren. Und Artikel 5 lässt jeden Mitgliedstaat diese Ausnahmen per nationalem Gesetz wecken, gebunden an Verfahrenshürden — vorherige Genehmigung durch ein Gericht oder eine unabhängige Stelle, eine Grundrechte-Folgenabschätzung, Registrierung des Systems in einer EU-Datenbank.

§ 31b ist Deutschlands Hand an diesem Schalter. Er übernimmt die Ausnahmen nahezu wortgleich: eine richterliche Anordnung, außer bei Gefahr im Verzug, zwei geschulte Beamte, die jeden Maschinentreffer bestätigen müssen, bevor irgendjemand handelt, Abgleich nur in Echtzeit, keine Verknüpfung mit anderen Datenbanken während eines Laufs. Die Regierung nennt das eng, und auf dem Papier ist es enger als das, was manche befürchtet hatten.

Aber man sehe sich an, wo die Schutzvorkehrungen sitzen. Jede einzelne von ihnen regelt, was nach einem Treffer geschieht. Vor dem Treffer, um das gesuchte Gesicht zu finden, muss das System das Gesicht aller im Bahnhof in ein Template überführen — der Pendlerin, des Touristen, des Schulkinds auf Klassenfahrt, der Frau, die ein Frauenhaus verlässt, des Mannes auf dem Weg zur Klinik. Die verdachtslose Verarbeitung der Menge ist keine Nebenwirkung der biometrischen Fernidentifizierung. Sie ist der Mechanismus. Es gibt keine Variante von „den Bahnhof nach einem gesuchten Gesicht durchsuchen“, die nicht zuerst den ganzen Bahnhof durchsucht.

Und genau das ist die Praktik, die der AI Act als verboten benannt hat — nun eingeschaltet, rechtmäßig, durch das Schreiben eines nationalen Gesetzes, drei Wochen bevor der Rechtsakt am 2. August vollständig anwendbar wird. Als Ungarn im März 2025 eine gröbere Version schuf und Gesichtserkennung für Vergehen bis hin zur Teilnahme an einer verbotenen Pride-Demonstration oder zum Überqueren der Straße bei Rot ermöglichte, behandelten europäische Institutionen das als abtrünnigen Belastungstest der roten Linie. Deutschlands Version kommt in Richterinnen und Folgenabschätzungen gekleidet — was sie ätzender macht, nicht harmloser. Ungarn hat die Linie gebrochen. Deutschland hat sie in eine Compliance-Checkliste aufgelöst, die jedes Innenministerium abarbeiten kann. Der innenpolitische Sprecher der CDU, Alexander Throm, sprach den stillen Teil stolz vom Rednerpult aus: Dieses Gesetz, sagte er voraus, werde maßstabsbildend sein — „für die Länder der Bundesrepublik“. Sechzehn deutsche Länder unterhalten eigene Polizeien. Sechsundzwanzig weitere Mitgliedstaaten unterhalten eigene Innenministerien. Vorlagen wandern; dafür ist eine Vorlage da.

Dieselbe Woche, quer über den Kontinent

Deutschlands Freitag war keine isolierte nationale Entscheidung. Er war der lauteste Ton in einem Akkord.

Am Tag zuvor, am 9. Juli, hielt das Europäische Parlament seine Abstimmung in zweiter Lesung über die wiederbelebte „Chatkontrolle“ ab — die Regelung, die es Anbietern erlaubt, private Nachrichten nach illegalen Bildern zu durchsuchen. Eine Mehrheit der anwesenden Abgeordneten stimmte für die Ablehnung, 314 zu 276. Sie verloren trotzdem. Eine Ratsposition in zweiter Lesung abzulehnen, verlangt die absolute Mehrheit aller Mitglieder — nach der Zählung des Parlaments 360 —, und rund 112 Abgeordnete waren zwei Tage vor der Pause schlicht nicht im Saal. Das Scanning-Regime, das das Parlament im März getötet hatte, kam bis April 2028 zurück ins Leben, auferstanden aus der Arithmetik der Abwesenheit. Eines hat das Parlament gewonnen: die erste ausdrückliche Ausnahme für Ende-zu-Ende-verschlüsselte Nachrichten, die je in ein EU-Scanning-Gesetz geschrieben wurde. Aber sie ging nur durch, weil sie die Opposition entleerte — nachdem die Verschlüsselungsausnahme angenommen war, brach die Koalition zur Ablehnung des gesamten Textes von 314 auf 276 Stimmen ein. Der Trostpreis hat die Niederlage erkauft.

Und am selben Freitag wie die deutsche Abstimmung veröffentlichte Großbritanniens Ofcom das erste Register nach dem Online Safety Act und daneben eine gesetzlich vorgesehene Beobachtungsliste ("watch list") von Diensten, die sie noch für die strengsten Pflichten einstufen kann — einschließlich der Befugnis, von Nutzerinnen eine Identitätsprüfung zu verlangen. Wikipedia, vorerst von der obersten Stufe verschont, wurde auf diese Liste gesetzt, aktenkundig neben iMessage und Messenger, ohne veröffentlichte Ausstiegskriterien und mit jederzeit möglicher Neubewertung. Die Wikimedia Foundation, die eine gerichtliche Überprüfung genau hierzu bereits verloren hatte, nannte eine fortdauernde Einstufung „eine existenzielle Bedrohung“ für die rund 260.000 Freiwilligen, die dazu gedrängt werden könnten, für das Bearbeiten einer Enzyklopädie ihre rechtliche Identität preiszugeben — manche von ihnen in Ländern, in denen es gefährlich ist, als Wikipedia-Autor bekannt zu sein.

Drei Länder, eine Woche: ein Gesichtsscanner in Deutschland eingeschaltet, das Scannen von Nachrichten in Straßburg wiederbelebt, eine Drohung mit Identitätsprüfung über der Enzyklopädie der Welt in London. Nimmt man das Detail hinzu, das Tage zuvor aufgetaucht war — dass ein Mitglied des Spyware-Untersuchungsausschusses des Europäischen Parlaments selbst mit Pegasus gehackt worden war, laut Citizen Lab —, ist das Thema kaum zu übersehen. In den Wochen vor dem vollen Inkrafttreten seines wegweisenden AI Act zog Europa seine roten Linien nicht enger. Es ging über sie hinweg.

Die Zahlen, denen die Maschine nicht davonläuft

Deutschland hat dieses Experiment schon einmal durchgeführt und die Belege aufgehoben.

Der Pilotversuch von 2017 bis 2018 am Berliner Bahnhof Südkreuz brachte dem Innenministerium seine triumphale Zahl: mehr als 80 Prozent Erkennungsrate, eine Falsch-Positiv-Rate unter 0,1 Prozent, Erfolg verkündet. Der Chaos Computer Club nannte den Bericht geschönt und unwissenschaftlich. Aber man muss die Zahl nicht einmal bestreiten, um das Problem zu sehen; man muss sie nur multiplizieren. Bei rund 100.000 Reisenden am Tag durch das Südkreuz bedeutet eine Fehlalarmquote von 0,1 Prozent etwa 100 unschuldig markierte Menschen pro Tag — an einem einzigen Bahnhof. Die damalige Berliner Datenschutzbeauftragte Maja Smoltczyk bezifferte die Gesamtzahl des Pilotversuchs auf 80.000 bis 100.000 zu Unrecht erfasste Menschen. Die Statistiker des Max-Planck-Instituts verbuchten denselben Punkt unter ihrer „Unstatistik des Monats“: Gemessen an den 11,9 Millionen Bahnreisenden pro Tag in Deutschland sind 0,1 Prozent rund 11.900 Fehlalarme am Tag — mehr als 350.000 im Monat. Ein System kann „erfolgreich“ genannt werden und trotzdem in diesem Tempo Unschuldige beschuldigen — weil die Unschuldigen fast alle sind.

Die Begleittechnik hat die schlechtere Bilanz. Die Software zur Verhaltensanalyse, die dasselbe Gesetz auf den Bund hebt, wacht seit 2018 über Plätze in Mannheim und kann einen Faustschlag noch immer nicht zuverlässig von einer Umarmung unterscheiden. Eine ihrer Alarmkategorien lautet „augenscheinliche Hilflosigkeit“, was in der Praxis heißt, dass das System obdachlose Menschen meldet. Das ist die Klasse von Maschine, die § 31b vom kommunalen Pilotprojekt zur Bundesinfrastruktur befördert.

Das ehrliche Argument für Ja

Das Argument für den Schalter ist real, und es verdient seine stärksten Zahlen statt seiner schwächsten.

Von Oktober 2025 bis März 2026 betrieb Londons Metropolitan Police feste Kameras zur Live-Gesichtserkennung an der Einkaufsstraße von Croydon: 173 Festnahmen in 24 Einsätzen — eine alle 35 Minuten Betriebszeit —, darunter Personen, die wegen Entführung, Vergewaltigung und schwerer Sexualdelikte gesucht wurden. Im Pilotgebiet sank die registrierte Kriminalität um 10,5 Prozent gegenüber dem Vorjahr, und Gewalttaten gegen Frauen und Mädchen gingen um 21 Prozent zurück. Mehr als 470.000 Menschen gingen an den Kameras vorbei; die Met verzeichnet in diesem ganzen Lauf einen einzigen Fehlalarm und keine einzige Festnahme aufgrund eines falschen Treffers. Throms Satz — Bahnhöfe „dürfen keine Angsträume sein“ — trifft genau deshalb, weil er halb wahr ist. Für eine Frau, die angegriffen worden wäre und es nun nicht wird, ist die Maschine keine Abstraktion über Freiheit. Sie ist das, was den Mann gefasst hat.

Die Erwiderung kann also nicht lauten, die Maschine funktioniere nie. Sie ist dreiteilig, und sie übersteht die Croydon-Zahlen unversehrt. Erstens: Sicherheit am Bahnhof lässt sich auch mit Licht, Personal und schnelleren Gerichten kaufen — mit Maßnahmen, die Angst verringern, ohne eine Allzweck-Identifizierungsmaschine zu bauen, die eine künftige, schlechtere Regierung fertig montiert erbt. Zweitens: Der Einwand gegen die biometrische Live-Identifizierung ging nie allein um Genauigkeit. Ein System, das zu 99,9 Prozent genau ist, musste die anderen 99,9 Prozent der Menge trotzdem in Templates überführen, um dorthin zu kommen; der Schaden liegt im Templating, nicht bloß im Fehler, denn ein Land, das automatisch jeden im Bahnhof erkennen kann, kann mit derselben Leichtigkeit und derselben Ausrüstung die Streikende, die Demonstrantin, die Quelle einer Reporterin und die Frau erkennen, die das Frauenhaus verlässt. Drittens, und das ist der deutscheste Punkt: Diese Befugnisse kennen nur eine Richtung. Sie werden eng eingeführt, mit den härtesten Fällen begründet und später ausgeweitet — was der Digitalrechts-Jurist Michael Kolain diese Woche meinte, als er § 31b „den Anfang vom Ende der Anonymität im öffentlichen Raum“ nannte. Irene Mihalic von den Grünen, vor ihrer Zeit im Parlament Polizeibeamtin, brachte die institutionelle Fassung schlicht auf den Punkt: Mit der biometrischen Echtzeitüberwachung greife „die Koalition tief in die Grundrechte ein“. Clara Bünger von der Linken benannte den Endpunkt: Die flächendeckende Überwachung „wird zum Normalzustand“.

Der zweite Strang, und wer daran verdient

Das Gesetz vom 10. Juli ist nur die Hälfte des deutschen Plans. Am Mittwoch, dem 8. Juli, führte der Bundestag die erste Lesung eines gesonderten „Überwachungspakets“ aus drei Gesetzentwürfen von Innenminister Alexander Dobrindt durch. Sein Kernstück ist die nachträgliche biometrische Bildersuche im offenen Internet: Das Bild einer gesuchten Person wird mit „öffentlich zugänglichen“ Bildern abgeglichen, die aus sozialen Netzwerken, Mannschaftsfotos und Stockmaterial zusammengetragen wurden — und zwar mit Beschuldigten, Zeugen und bloßen Kontaktpersonen im Anwendungsbereich. Darum herum liegen die datenbankübergreifende KI-Analyse von Standortdaten, DNA, Verbindungsdaten und Polizeiakten sowie die Erlaubnis, KI mit nicht anonymisierten Bürgerdaten zu trainieren, wo eine Anonymisierung „unverhältnismäßigem Aufwand“ entspräche.

Artikel 5 des AI Act verbietet außerdem den Aufbau von Gesichtserkennungsdatenbanken durch ungezieltes Auslesen des Internets — die Klausel, die mit Blick auf Clearview AI geschrieben wurde. Die Antwort des Bundesjustizministeriums ist ein Wunderwerk der Wortwörtlichkeit: Das Verbot, argumentiert es, greife nur, wenn ein KI-System das Auslesen vornehme. Der Sachverständige von AlgorithmWatch, der Informationswissenschaftler Dirk Lewandowski, nennt das Verbot ausnahmslos und merkt an, dass ohne Referenzdatenbank der gesamte Ansatz rechtlich wie praktisch zusammenbricht. AlgorithmWatch übergab am selben Mittwoch mehr als 167.000 Unterschriften gegen das Paket. Der grüne Abgeordnete Konstantin von Notz sagte der Koalition, was sie erwartet: „Wenn Sie das beschließen, sehen wir uns wieder vor dem Bundesverfassungsgericht.“ Er hat das Präjudiz auf seiner Seite. Im Februar 2023 kippte das Bundesverfassungsgericht die Palantir-gestützte polizeiliche Datenanalyse in Hessen und Hamburg wegen genau dieser Art grenzenloser Verknüpfung.

Bei jedem Schritt verdient jemand. Cognitec aus Dresden betreibt seit 2007 die Gesichtssuche des Bundeskriminalamts gegen eine Datenbank von rund vier Millionen Bildern, und ein Auftrag von 185 Millionen Euro im Jahr mit einer Echtzeitanforderung im Gepäck ist ein Beschaffungssegen. Die Institute von Fraunhofer verkaufen die Verhaltensscanner. Dobrindt prüft die bundesweite Palantir-Einführung, die sein Vorgänger abgelehnt hatte. Und die Bildersuche im Internet würde es der Bundespolizei erlauben, private Anbieter mit dem Abgleich zu beauftragen — das Modell Clearview und PimEyes, verstaatlicht, zwei Jahre nachdem Journalisten mit nichts weiter als einem PimEyes-Abonnement genau eine solche Technik nutzten, um die lange untergetauchte frühere Militante Daniela Klette aufzuspüren. Der Maschine ist es gleich, wer sie hält. Das ist der Sinn, sie zu bauen.

Was sich konkret tun lässt

Seien Sie ehrlich über die Werkzeuge, denn die Ehrlichkeit ist das Argument. Kein VPN verbirgt Ihr Gesicht vor einer Kamera in einem öffentlichen Bahnhof. Gegen § 31b sind die einzigen Abwehrmittel politisch — und zwei davon sind gerade jetzt in Bewegung. Das eine ist die Petition gegen das begleitende Überwachungspaket, das erst noch beschlossen werden muss. Das andere ist der Bundesrat, die Länderkammer: Dieses Gesetz braucht im Herbst die Zustimmung der Landesregierungen, Enthaltung zählt als Nein, und grün mitregierte Länder haben im Juni 2021 eine fast identische Reform des Bundespolizeigesetzes genau so gekippt. Der Ort, an dem das entschieden wird, ist ein Brief an Ihr Landesinnenministerium, nicht eine Einstellung auf Ihrem Telefon.

Beim Staatstrojaner ist der technische Kampf real, und er weist in die entgegengesetzte Richtung von Verzweiflung. Die Quellenüberwachung existiert, weil Verschlüsselung funktioniert: Der Staat muss das Gerät kompromittieren, gerade weil die Leitung dunkel geworden ist. Halten Sie die Leitung also dunkel und machen Sie den Endpunkt teuer — aktuelle Hardware, Ende-zu-Ende-verschlüsselte Messenger und offene, prüfbare, sparsame Transportwege wie Tor, WireGuard und dezentrale Netze wie URnetwork. Nichts davon ist rhetorisches Beiwerk; es ist der Unterschied zwischen einer Überwachung, die gezielt werden muss, auf eine namentlich benannte Person, mit richterlichem Beschluss, und einer Überwachung, die mit der Infrastruktur gratis mitkommt und standardmäßig auf alle zielt. Das ist der ganze Einsatz dieser Woche. Halten Sie Identifizierung teuer, einzelfallbezogen und einem Gericht gegenüber verantwortlich — denn der 10. Juli war eine Vorführung, wie schnell sie umgebungsständig, automatisch und kostenlos wird.

Der AI Act wird am 2. August vollständig anwendbar. Seine biometrische rote Linie hält entweder, wenn der Bundesrat im Herbst abstimmt, in sechzehn Landeshauptstädten, oder sie hört auf, irgendwo auf dem Kontinent eine Linie zu sein, der sie gezogen hat. Europa hat ein Jahrzehnt damit verbracht, der Welt zu sagen, es werde der eine Ort sein, der sich weigert, jedes Gesicht zu scannen. Es hat drei Wochen, um es ernst zu meinen.

Ein Jahrhundert lang war das Automobil die amerikanische Maschine der Freiheit. Es steht in der Gründungsmythologie des zweiten Akts dieses Landes — die offene Straße, die Flucht, die Grenze, die man mit einem vollen Tank erreichen konnte. Es ist der Ort, an den Jugendliche gehen, um unbeobachtet zu sein, der Raum, in dem ein Mensch schlecht singt, allein weint und bei siebzig Meilen pro Stunde sein Leben sortiert. Das Auto bedeutete, dass man weggehen konnte — und wegzugehen, ohne dass jemand weiß, wohin, ist eine der ältesten Formen von Freiheit überhaupt.

Diese Kapsel ist inzwischen verkabelt. Rund neun von zehn neu verkauften Fahrzeugen sind „vernetzt“ — mit einem Mobilfunkmodem ausgestattet, das ununterbrochen sendet, auch im Stand, auch ohne aktives Abonnement. Das moderne Auto arbeitet in der Größenordnung von hundert Datenpunkten und kann Gigabyte pro Stunde erzeugen: Standort, Geschwindigkeit, Bremsen, Beschleunigen, Gurtstatus und zunehmend den Innenraum selbst — Mikrofone, Kameras, Stimmprofile. Das Symbol amerikanischer Freiheit ist still und leise zum reichhaltigsten einzelnen Informanten geworden, den die meisten Amerikaner besitzen, und am 4. Juli lohnt die Frage, an wen er berichtet.

Die Antwort lautet, wie sich zeigt: an einen Datenhändler.

Die Smart-Driver-Falle

Hier ist, was General Motors getan hat, so wie es die Federal Trade Commission, die US-Handelsaufsicht FTC, dargelegt hat. GM bot eine OnStar-Funktion namens "Smart Driver" an, beworben als spielerischer Weg, das eigene Fahren zu verbessern — ein freundlicher Punktestand, ein Anstoß zu sichereren Gewohnheiten. Was die Anmeldung nicht klarmachte: Wer sich einschrieb, ließ GM den genauen Standort bis zu alle drei Sekunden protokollieren, dazu detaillierte „Fahrereignisse“ — Vollbremsungen, starkes Beschleunigen, Geschwindigkeiten über achtzig Meilen pro Stunde, Gurtnutzung, sogar welche Radiosender liefen — und diesen Strom an die Datenhändler LexisNexis und Verisk verkaufen. Die FTC befand, die Einwilligung sei hergestellt worden: Die Zustimmung zu Smart Driver war mit der Zustimmung zu Sicherheits- und Wartungshinweisen gebündelt, sodass eine Fahrerin, die den Unfallerkennungsdienst wollte, in das Überwachungsprodukt gespült werden konnte, ohne den Handel je zu verstehen.

Das ist der Mechanismus des ganzen Skandals, und er verdient eine genaue Benennung, weil er der Trick der gesamten Branche ist: Die Sicherheitsfunktion ist der Köder, die Broker-Pipeline ist der Haken, und beide sind absichtlich zusammengeschweißt, damit sich „Sie wollten, dass der Airbag Hilfe ruft“ dehnen lässt zu „also haben Sie zugestimmt, verkauft zu werden“. Die Geschichte kam im März 2024 ans Licht, als die Reporterin der New York Times Kashmir Hill entdeckte, dass Fahrerinnen und Fahrer in Smart Driver eingeschrieben wurden — mitunter, wie bei ihrem eigenen neuen Chevy Bolt, ohne jede Erinnerung an eine Einwilligung — und dass Versicherer die entstehenden Akten still zur Prämienerhöhung nutzten. GM beendete die Praxis elf Tage später. Aber da flossen die Daten schon seit Jahren zu den Händlern.

Was die Aufzeichnung preisgibt

Um zu verstehen, warum das nicht „ein Unternehmen hat ein paar Daten verkauft“ ist, sondern eher ein Vertrauensbruch, muss man sehen, was eine Fahraufzeichnung tatsächlich ist. Sie ist kein Fahrtenbuch. Sie ist, in den eigenen Worten des Supreme Court aus Carpenter v. United States, eine Karte der "privacies of life", der Intimitäten des Lebens — weil eine umfassende Aufzeichnung Ihrer Bewegungen "your familial, political, professional, religious, and sexual associations" offenlegt, Ihre familiären, politischen, beruflichen, religiösen und sexuellen Beziehungen. Wo Sie schlafen. Wo Sie beten. Die Klinik, zu der Sie über eine Bundesstaatsgrenze fahren, das Gewerkschaftshaus, die Scheidungsanwältin, das Haus der Geliebten um 1 Uhr nachts, die Selbsthilfegruppe, von der Sie niemandem erzählen. In Carpenter ging es um 127 Tage grober Funkzellendaten, und das Gericht nannte sie ein intimes Fenster in ein Leben. Ein vernetztes Auto erzeugt eine weit dichtere Aufzeichnung — alle drei Sekunden, gebunden an eine namentlich benannte Halterin — und tut dann etwas, das das Telefon nie tat: Es bewertet Sie.

Denn das „Fahrverhalten“, das die Händler verpacken, ist nicht bloß, wo Sie gewesen sind; es ist ein moralischer und finanzieller Punktestand. Verisks Produkt hieß buchstäblich "Driving Behavior Data History Report" — eine Bonitätsauskunft für Ihr Fahren —, und Versicherer nutzten sie, in den Worten der FTC, "for unexpected purposes including denying or canceling insurance, increasing insurance premiums": zu unerwarteten Zwecken, darunter die Ablehnung oder Kündigung von Versicherungen und die Erhöhung von Prämien. Temeika Clay aus Henry County, Georgia, ist das menschliche Gesicht davon: Ihre Prämie sprang um achtzig Prozent, nachdem GM 603 Einträge zu Fahraktivitäten aus ihrem Camaro geteilt hatte, für ein Programm, in das sie und ihr Mann eingeschrieben waren, ohne sich dafür entschieden zu haben. „Man denkt an Sicherheit, falls es gestohlen wird“, sagte sie einem lokalen Reporter. „Nie hätte ich mir vorgestellt, dass es uns ausspioniert.“

Und die Bewertung diskriminiert. Der Faktor, den Fahrerinnen und Fahrer am stärksten ablehnen, ist Umfragen zufolge die Tageszeit — weil eine Bepreisung danach, wann man fährt, Nachtschicht- und Niedriglohnbeschäftigte bestraft, die über ihre Dienstpläne nicht bestimmen, überproportional Schwarze und Latinos, und „sicheres Fahren“ damit zu einem stillen Stellvertreter für die ethnische Herkunft macht. Behindertenverbände benennen dieselbe Falle: Ein System, das auf „typisches“ Fahren geeicht ist, markiert die häufigen langen Fahrten zu entfernten Fachärzten, die das Leben eines behinderten Menschen erfordert, als „riskant“. Das Auto beobachtet nicht nur. Es sortiert.

Nicht ein schwarzes Schaf

Es wäre tröstlich, GM als Ausreißer zu behandeln, doch der Befund sagt das Gegenteil: GM ist schlicht der Erste, der erwischt wurde. Als die Mozilla Foundation fünfundzwanzig Automarken an einem einfachen Datenschutzmaßstab prüfte, ließ sie alle fünfundzwanzig durchfallen — das erste Mal, dass eine Produktkategorie das Feld komplett räumte — und nannte Autos „die amtlich schlechteste Produktkategorie für den Datenschutz, die wir je geprüft haben“. 84 Prozent gaben an, Ihre Daten teilen zu können; drei Viertel behielten sich vor, sie zu verkaufen; mehr als die Hälfte erklärte, sie an Polizei oder Behörden auf formlose Anfrage herauszugeben, ohne richterlichen Beschluss; und genau zwei der fünfundzwanzig ließen Sie sie löschen. Die Kategorien, die manche Marken zu erheben beanspruchen, lesen sich wie Satire: Nissans Richtlinie führte "sexual activity" auf, sexuelle Aktivität, Kias führte "sex life", das Sexualleben, und sechs Unternehmen beanspruchten das Recht, "genetic information", genetische Informationen, zu sammeln, neben Aufenthaltsstatus, ethnischer Herkunft und Gesichtsausdrücken.

Die Vollzugsbilanz bestätigt, dass es systemisch ist. Honda zahlte im März 2025 eine Strafe von 632.500 US-Dollar an Kaliforniens Datenschutzaufsicht wegen derselben Art vernetzter Fahrzeugdatenpraxis. Texas verklagte GM 2024 im Namen von 1,8 Millionen Fahrerinnen und Fahrern, weitete seine Ermittlungen dann auf Ford, Hyundai, Toyota und Stellantis aus und verklagte den Versicherungsanalytiker Arity wegen dessen, was es "the world's largest driving behavior database" nannte, die größte Fahrverhaltensdatenbank der Welt — rund fünfundvierzig Millionen Menschen. Allein Hyundai übergab Daten aus 1,7 Millionen Autos an Verisk und erhielt dafür mehr als eine Million Dollar. Die Pipeline — Autohersteller zu Datenhändler zu Versicherer — ist keine Eigenheit von GM. Sie ist das Geschäftsmodell des vernetzten Autos, und das vernetzte Auto ist die einzige Art, die noch verkauft wird.

Die Subpoena im Handschuhfach

Es gibt einen zweiten Empfänger dessen, was Ihr Auto sieht, und er braucht nicht immer eine Richterin. Als die Senatoren Ron Wyden und Ed Markey 2024 bei den Autoherstellern nachbohrten, räumten acht große Marken — Toyota, Nissan, Subaru, Volkswagen, BMW, Mazda, Mercedes-Benz und Kia — ein, sie würden die Standortdaten einer Fahrerin auf eine bloße subpoena hin an eine Behörde übergeben, also auf eine Herausgabeanordnung, die eine Staatsanwältin ohne richterlichen Beschluss und ohne dass je ein Gericht sie sieht ausstellen kann. Nur eine Handvoll erklärte, sie verlange einen richterlichen Beschluss, und allein Tesla gab an, den Halter zu benachrichtigen. Manche speichern die Daten bis zu fünfzehn Jahre. Damit brach die Branche ihr eigenes schriftliches Versprechen: die "Consumer Privacy Principles", die die Autohersteller 2014 unterzeichneten und in denen sie zusagten, einen richterlichen Beschluss zu verlangen.

Der Zeitpunkt verschärft die Lage. In Chatrie v. United States, entschieden am 29. Juni dieses Jahres, befand der Supreme Court, dass die Erlangung von Standortdaten einer Person eine Durchsuchung im Sinne des Vierten Zusatzartikels ist — eine echte Fortschreibung von Carpenter. Doch das Urteil begrenzt, was der Staat verlangen darf; es sagt nichts über einen Autohersteller, der Ihre Daten freiwillig herausgibt, oder über einen Händler, der sie verkauft, und es erwähnt Autos an keiner Stelle. Das ist die Nahtstelle. Die Verfassung beginnt, die Vordertür zu bewachen — den richterlichen Beschluss —, während das Auto still eine Kopie all Ihrer Wege durch die Hintertür schickt, an einen Händler, der sie jedem verkauft, einschließlich, auf eine subpoena hin, dem Staat. Familienrechtlerinnen behandeln Telematik inzwischen als beweiserheblich in Scheidungs- und Sorgerechtsstreitigkeiten; weil eine werkseitig verbaute Ortung, die „mit Einwilligung des Halters“ genutzt wird, aus den meisten Anti-Stalking-Gesetzen herausfällt, kann ein gewalttätiger Ex, der den Fahrzeugbrief hält, rechtmäßig die Aufzeichnung darüber abrufen, wo seine Partnerin gewesen ist.

Das Gegenargument, ehrlich genommen

Das Argument für das vernetzte Auto ist real, und man muss ihm in voller Stärke begegnen, denn das Auto kann tatsächlich Leben retten. Der automatische Unfallnotruf — das System, das Hilfe ruft, wenn man nach einem Unfall bewusstlos ist — senkt die Zahl der Verkehrstoten nach Schätzung von Sicherheitsforschern des Bundes um eineinhalb bis dreieinhalb Prozent; Europa schreibt ihn seit 2018 für jeden Neuwagen vor. OnStar bearbeitet rund tausend Anfragen zu gestohlenen Fahrzeugen im Monat und findet Autos wieder, die sonst verschwunden wären. Und nutzungsabhängige Versicherungstarife können, wenn eine Fahrerin sich wissentlich dafür entscheidet, die Sicheren und die Wenigfahrer tatsächlich belohnen — etwa jeder vierte US-amerikanische Autofahrer schreibt sich inzwischen für den Rabatt ein, und Studien finden, dass die Rückmeldung Menschen sogar sanfter bremsen lässt. Eine laufende Datenverbindung zum Auto ist nicht per se finster. In diesen Anwendungen ist sie ein echtes Gut.

Räumt man das alles ein, hält die Informanten-These aus einem entscheidenden Grund stand: Jeder einzelne dieser Vorteile lässt sich vom Verkauf abtrennen. Unfallerkennung, der Rettungsruf, das Wiederfinden gestohlener Fahrzeuge, Sicherheitsupdates über die Luftschnittstelle — all das verlangt, dass Ihr Auto mit den eigenen Servern des Herstellers spricht. Nicht eines davon verlangt, dass ein Bericht über Ihr Fahrverhalten gebaut und an LexisNexis oder Verisk verkauft wird. Die Branche hat beides absichtlich zusammengeschweißt, damit das, was Sie brauchten, das mitschleppt, was sie verkaufen konnte. Und der Beweis, dass es trennbar ist, liegt darin, dass die FTC-Verfügung es mit Gewalt auseinandernimmt: GM muss nun für jede einzelne Funktion eine gesonderte Einwilligung einholen und darf — das ist die entscheidende Zeile — "not place limits on withholding or withdrawing consent, such as by degrading the quality or functioning of a product or service as a penalty". Im Klartext: Sie haben Anspruch darauf, den Airbag-Notruf zu behalten und die Versicherer-Pipeline abzulehnen, und dem Unternehmen ist untersagt, Ihre Sicherheitsfunktionen lahmzulegen, um Sie für Ihr Nein zu bestrafen. Und was das „Sie haben eingewilligt“ angeht — eine Aufsichtsbehörde hat diese Einwilligung geprüft und für eine Täuschung befunden. Eine Einwilligung, die in eine Notwendigkeit hineingebündelt, in einer nicht verhandelbaren Richtlinie vergraben und an ein Produkt ohne unüberwachte Alternative geknüpft ist, ist keine Marktentscheidung. Sie ist eine Formalie, und die FTC hat das so gesagt.

Es gibt kein unvernetztes Auto

Und genau deshalb versagt der Reflex, auf dem dieses Medium aufgebaut ist — nach einem Werkzeug greifen, die eigene Angriffsfläche verkleinern —, hier fast vollständig. Sie können sich in keiner sinnvollen Weise entziehen. Die Einstellungen sind vergraben; die "connected services", die die Sicherheitsfunktionen tragen, sind mit der Ortung gebündelt; und die Autohersteller räumen schriftlich ein, dass ein Widerspruch das Auto verschlechtert — Stellantis deaktiviert seinen Sicherheitsdienst, Tesla warnt vor „eingeschränkter Funktionalität, schweren Schäden oder Betriebsunfähigkeit“. Der einzige echte Notschalter ist, das Mobilfunkmodem physisch zu trennen, was Ihre Garantie erlöschen lässt und genau die Unfallerkennung abschaltet, die Sie retten könnte. Für ein Auto gibt es kein VPN, keine Verschlüsselung, die man an ein Fahrzeug schrauben kann, dessen Hersteller die Schlüssel hält — und, das ist der harte Teil, kein unvernetztes Neufahrzeug mehr auf dem Hof, das man stattdessen kaufen könnte. Neunzig Prozent des Marktes senden, und die anderen zehn sind gebraucht und laufen aus.

Genau wie beim Schleppnetz der Kennzeichenerfassung kann die Antwort also nicht persönlich sein. Sie muss rechtlich sein. Und die Nachricht an diesem 4. Juli lautet: Die rechtliche Antwort landet gerade.

Das Recht hat das Auto erwischt

Dieselben Aufsichtsbehörden, denen die Tech-Datenschutzwelt sonst beim Verlieren zusieht, haben endlich einmal gewonnen. Im Januar machte die FTC eine zwanzigjährige Verfügung gegen GM und OnStar endgültig: ein fünfjähriges Verbot, Standort- und Fahrverhaltensdaten an Auskunfteien zu verkaufen, eine zwanzigjährige Pflicht, für jede Funktion einzeln eine ausdrückliche, aktive Einwilligung einzuholen, und die Auflage, Fahrerinnen und Fahrern Einsicht in ihre Daten und deren Löschung zu ermöglichen. Im Mai erzielte Kaliforniens Generalstaatsanwalt einen Vergleich über 12,75 Millionen US-Dollar mit GM — die höchste Datenschutzstrafe in der Geschichte des Bundesstaats und die erste, die der Bundesstaat je auf das Prinzip der Datenminimierung gestützt hat: den Gedanken, dass ein Unternehmen nicht mehr erheben und speichern darf, als es tatsächlich braucht. Texas klagt weiter. Verisk, einer der beiden Händler, hat sein von Autoherstellern gespeistes Fahrverhaltensprodukt vollständig eingestellt.

Seien Sie ehrlich über die Grenzen, denn sie sind real und sie zählen. Die FTC-Verfügung enthielt kein Bußgeld — ihre Kraft ist das Einwilligungsregime, nicht eine Strafe —, und GMs Gesamteinnahme aus dem gesamten Vorgang betrug nur etwa zwanzig Millionen Dollar, ein Rundungsfehler für ein Unternehmen dieser Größe. Sie erreichte einen Autohersteller, nachdem eine Journalistin ihn aufgedeckt hatte, und ließ die Bewertungsmodelle und die Subpoena-Pipeline der übrigen zwei Dutzend Marken unangetastet. Das ist eine Delle, kein Abriss.

Aber sehen Sie sich an, wie es geschah, denn es ist dasselbe hoffnungsvolle Muster, das diese Reihe auf der zivilen Ebene immer wieder findet. Die GM-Verfügung wurde unter einer FTC eröffnet und unter der nächsten abgeschlossen — mit zwei zu null Stimmen zweier republikanischer Kommissare. Die Überwachung gewöhnlicher Amerikanerinnen und Amerikaner in ihren eigenen Autos erwies sich als jene Seltenheit, bei der sich eine gespaltene Regierung noch einig war, dass sie zu weit geht. Die Rechenschaft für den Informanten in der Einfahrt überlebte einen Regierungswechsel, was man von den meisten Datenschutzkämpfen nicht sagen kann. Das Recht ist langsam, und es ist unvollständig, und es hat genau ein Auto erwischt. Aber es hat es erwischt — und es hat zum ersten Mal die Linie gezogen, auf die es ankommt: Ihr Auto darf mit seinem Hersteller sprechen, um Ihr Leben zu retten, und es darf die Geschichte Ihres Lebens nicht an jeden verkaufen, der fragt.

Fahren Sie frei

Die offene Straße war immer ein wenig gelogen — so frei, wie die Werbung es sich anfühlen ließ, waren Sie nie —, aber der Teil, der wahr war und den zu behalten sich lohnt, ist, dass Sie irgendwohin fahren und für eine Stunde niemandem Rechenschaft schuldig sein konnten. Das ist genau die Freiheit, die das vernetzte Auto still abgeschafft hat: nicht die Freiheit, sich zu bewegen, sondern die Freiheit, sich unbeobachtet zu bewegen, wegzufahren, ohne eine Spur zu hinterlassen, an einen Ort zu fahren, von dem niemand wissen soll, dass Sie dort waren. Das Auto ist zu dem geworden, was sich erinnert, bewertet und weitererzählt.

Mit einem Gerät lässt sich das nicht beheben, und man sollte aufhören, Ihnen das einzureden. Es gibt keine Datenschutzeinstellung, die ein Geschäftsmodell rückgängig macht. Was es behoben hat, soweit es behoben ist, war eine Aufsichtsbehörde mit Ermittlungsbefugnis und ein Generalstaatsanwalt, der bereit war, das Erheben von mehr als dem Nötigen einen Rechtsbruch zu nennen — die langweilige, unverzichtbare Mechanik des Rechts, die das eine tut, was keine persönliche Technik kann. Das Recht, ein Auto zu besitzen, das Ihr Leben retten kann, ohne Sie zu verpfeifen, ist keine Funktion, die man konfiguriert. Es ist eine Regel, die jemand schreiben und durchsetzen muss, und in diesem Jahr hat das zum ersten Mal jemand getan.

Am 4. Juli, in einem Land, das das Automobil zu seiner Ikone der Freiheit gemacht hat, ist das der Kampf, den zu benennen sich lohnt, und der kleine Sieg, den zu markieren sich lohnt. Der Informant steht in der Einfahrt. Aber das Recht steht ausnahmsweise mit ihm in der Garage — und es hat ihm gerade die Schlüssel zu Ihren Daten abgenommen.

URnetwork baut datenschutzwahrenden, zensurresistenten Transport für das Internet, nach dem Grundsatz, dass die Daten, die ein System nie erhebt, die Daten sind, die nie verkauft, per Anordnung herausverlangt oder geleakt werden können. Es ist ehrlich über seine Reichweite: Es kann ein Auto nicht umkonstruieren, dessen Hersteller das Modem und die Schlüssel hält, und keine nutzerseitige Technik kann das. Das ist die Lehre dieser Ausgabe — manche Überwachung wohnt in den Produkten, die uns gehören, und dort ist die einzige Antwort das Gesetz, das die Erhebung verbietet, und der Vollzug, der es durchhält. Datenminimierung ist kein Nice-to-have; sie ist das ganze Spiel, und die GM-Verfügung zeigt, wie es aussieht, wenn eine Aufsichtsbehörde sie endlich so behandelt.

https://ur.io

Im Kern der Amerikanischen Revolution stand eine Überwachungsbeschwerde, und sie richtete sich ganz konkret dagegen, ohne Anlass verfolgt zu werden. Die Wut der Kolonisten über die "writs of assistance" — unbefristete Durchsuchungsbefehle, mit denen britische Beamte überall, jederzeit und nach allem suchen durften — ist unmittelbar in die Forderung des Vierten Zusatzartikels eingeschrieben, dass ein Beschluss auf hinreichenden Verdacht hin einen bestimmten Ort und eine bestimmte Sache benennen muss. Der Gründungseinwand galt nicht nur dem Durchsuchtwerden. Er galt dem Unterworfensein unter eine allgemeine Durchsuchungsgewalt: einer beim Staat liegenden, ständigen Fähigkeit, jedem zu folgen, auf niemanden im Besonderen gerichtet und deshalb auf alle.

Zweieinhalb Jahrhunderte später existiert diese ständige Fähigkeit, und sie folgt Ihrem Auto. Kein Kongress hat sie beschlossen, kein Gericht sie genehmigt. Sie wurde verkauft, ein kommunaler Vertrag und eine Kamera einer Eigentümergemeinschaft nach der anderen, von einem privaten Unternehmen — und an dem Tag, an dem das Land seine Freiheiten feiert, ist die Bewegungsfreiheit diejenige, die still verschwindet: standardmäßig protokolliert, überall, jederzeit.

Das Schleppnetz

Flock Safety ist ein acht Jahre altes Unternehmen, das im April mit 8,4 Milliarden US-Dollar bewertet wurde. Sein Produkt ist ein automatisches Kennzeichenlesegerät — eine Kamera, die jedes vorbeifahrende Kennzeichen fotografiert, ausliest, mit Zeitstempel und Standort versieht und in eine durchsuchbare Cloud hochlädt. Doch das Kennzeichen ist nur der Anfang. Flocks Kameras erfassen zudem, was das Unternehmen einen "Vehicle Fingerprint" nennt — Marke, Modell, Farbe, Beulen, nicht zusammenpassende Lackierung, Dachträger, Aufkleber —, sodass es auch ein Auto ganz ohne Kennzeichen identifizieren oder quer durch einen ganzen Bundesstaat „einen blauen Pickup mit Leiterträger und verbeultem linken Kotflügel" finden kann. Nach eigenen Angaben hat das Netz die Marke von rund hunderttausend Kameras in neunundvierzig Bundesstaaten überschritten; es speist ein System, das von etwa fünftausend Strafverfolgungsbehörden und tausend Unternehmen genutzt wird, und protokolliert in der Größenordnung von zwanzig Milliarden Scans im Monat. (Das sind weitgehend die Zahlen des Unternehmens selbst; unabhängige Zählungen liegen etwas niedriger, aber die Größenordnung bestreitet niemand.)

Entscheidend ist etwas anderes, und es sind nicht die Kameras. Es ist das Netz. Jede Behörde in Flocks System kann das gesamte Netz durchsuchen — nicht nur die Kameras der eigenen Stadt, sondern standardmäßig die des ganzen Landes — und "hotlists" anlegen, die in dem Moment Alarm auslösen, in dem ein gesuchtes Kennzeichen irgendwo gesehen wird. Flock hat dieselbe Architektur über das Kennzeichen hinaus ausgedehnt: ein Produkt zur Schusserkennung, eine Drohnenreihe, Kameras mit Gesichtszoom und eine Datenplattform namens Nova, die das Unternehmen als Möglichkeit angepriesen hat, „bestimmte Einzelpersonen zu verfolgen", indem es seine Scans mit Daten aus Leaks, Beständen kommerzieller Datenhändler und öffentlichen Registern verschmilzt. Das Kennzeichenlesegerät war der Türöffner. Das Produkt ist ein privates, dauerhaftes, durchsuchbares Verzeichnis amerikanischer Fortbewegung — und es wird im Abonnement verkauft.

Der Vierte Zusatzartikel, ausgelagert

Man sollte meinen, ein dauerhaftes Verzeichnis der Bewegungen aller sei genau das, was die Verfassung verbietet, und vor acht Jahren kam der Supreme Court dem nahe, das auch zu sagen. In Carpenter v. United States (2018) entschied das Gericht, dass der Staat einen richterlichen Beschluss braucht, um an die historischen Funkzellendaten zu gelangen, die ein Telefon nachverfolgen — denn, so schrieb Chief Justice Roberts, die Summe der Bewegungen eines Menschen über die Zeit offenbare "the privacies of life", die Intimitäten des Lebens, auch wenn jeder einzelne Standort gegenüber einem Telefonunternehmen offengelegt wird. Das ist der „Mosaik"-Gedanke: Tausend öffentliche Punkte ergeben, zusammengesetzt, ein privates Bild.

Das Problem ist, dass es in Carpenter darum ging, dass der Staat ein Unternehmen zwingt, die Daten seines Kunden herauszugeben. Flock ist etwas Verschlageneres. Die Daten handeln nicht von Flocks Kunden; sie handeln von allen, die an einer Flock-Kamera vorbeifahren, ob sie etwas gekauft haben oder nicht. Und der Staat erzwingt sie nicht — er abonniert sie. Wenn eine Polizeibehörde eine Flock-Suche ausführt, beschlagnahmt sie keine Aufzeichnungen; sie fragt eine private Datenbank ab, für deren Zugang sie bezahlt. Diese Unterscheidung leistet enorme verfassungsrechtliche Arbeit, und bislang funktioniert sie für Flock. Im Januar entschied ein Bundesrichter in Norfolk, Virginia — er verhandelte eine Klage zweier Einwohner, deren Autos in vier Monaten 475 und 325 Mal fotografiert worden waren —, das 176 Kameras umfassende Netz der Stadt sei keine Durchsuchung im Sinne des Vierten Zusatzartikels; zugleich warnte er, es könne mit dem Wachsen der Technik "become one" — eine werden. Ein Berufungsgericht in Washington bestätigte ALPR-Systeme in derselben Woche. Nach der Zählung des Congressional Research Service haben mehr als dreißig Gerichte im Kennzeichenlesen keine Verletzung einer berechtigten Privatheitserwartung gesehen. Kein Berufungsgericht des Landes hat bislang eines dieser Netze für verfassungswidrig erklärt.

Die Klage liegt inzwischen in der Berufung beim Fourth Circuit, und die Koalition dahinter ist das verräterische Detail der ganzen Geschichte: Das libertäre Institute for Justice führt das Verfahren, mit Amicus-Schriftsätzen der ACLU, der EFF, des Cato Institute, der konservativen New Civil Liberties Alliance und von EPIC — links und rechts, Seite an Seite. Doch das ist eine Wette auf die Zukunft. Heute hält das Schlupfloch des privaten Anbieters: Der Staat hat sich den General Warrant gekauft, den die Verfassung ihm verweigert hat, und die Verfassung hat es ihm bislang durchgehen lassen.

Die Ein-Klick-Hotlist

Was der Staat gekauft hat, nutzt er auch — und nicht nur für gestohlene Autos. Weil jede Behörde das nationale Netz durchsuchen kann, sind aus „örtlichen Verkehrssicherheitskameras" klammheimlich nationale Infrastruktur für den umstrittensten Vollzug des Landes geworden.

In San Francisco ergab eine Prüfung, dass Behörden aus anderen Bundesstaaten die Möglichkeit hatten, das Flock-Netz der städtischen Polizei binnen sieben Monaten rund 1,6 Millionen Mal abzufragen. Eine gesonderte Prüfung fand Hunderte unzulässiger Suchen durch Bundesbehörden — die DEA, die IRS, die Marshals, sogar den Forest Service —, die in ein als "California only" gekennzeichnetes System hineingriffen. Die Stadt Oxnard setzte ihre Kameras vollständig aus, nachdem sie entdeckt hatte, dass ein Schalter des Anbieters namens "National Lookup" ihre Einstellung „nur lokal" stillschweigend überschrieben und ihre Daten dem ganzen Land zugänglich gemacht hatte. Die EFF dokumentierte eine Ein-Klick-Hotlist, mit der ein Beamter die bundesweite Einwanderungsdatei — die "violator file" — markieren und benachrichtigt werden kann, sobald ein ins Visier genommenes Auto auftaucht. Und im krassesten Fall führte ein texanisches Sheriff's Office eine Suche über rund dreiundachtzigtausend Kameras im ganzen Land aus, mit der protokollierten Begründung "had an abortion, search for female" — „hatte eine Abtreibung, suche nach weiblicher Person"; später wurde sie als Suche nach einer vermissten Frau in einer medizinischen Notlage beschrieben, was entweder die Wahrheit ist oder genau die Tarnung, die ein solches System bereitstellt. Der Punkt ist nicht, dass jede Suche finster wäre. Der Punkt ist, dass ein privates Unternehmen eine Maschine gebaut hat, die all diese Suchen einen Klick weit entfernt macht, standardmäßig gespeichert, für jeden im Netz erreichbar — und die Frau, deren Kennzeichen gescannt wird, hat keine Ahnung davon, keine Benachrichtigung und kein Rechtsmittel.

Ihr Gesicht ist das nächste Kennzeichen

Wenn das Kennzeichen der Anfang ist, dann ist das Gesicht das Ziel — und im Ausland kommt es nach einer schnelleren Uhr an. Im Januar kündigte die britische Innenministerin den „größten je" unternommenen Ausbau der Gesichtserkennung in der demokratischen Welt an: vierzig neue Fahrzeuge für Live-Gesichtserkennung zusätzlich zur bestehenden Flotte, die das Gesichtsscannen in Echtzeit in die Innenstädte jedes Polizeibezirks bringen sollen, finanziert im Rahmen eines 115 Millionen Pfund schweren Vorstoßes und angepriesen als bedeutendste Modernisierung der Polizeiarbeit „seit fast 200 Jahren". Die Metropolitan Police montiert im Londoner West End dauerhafte Gesichtsscan-Kameras; rund ein Dutzend der dreiundvierzig Polizeibehörden setzen Live-Gesichtserkennung bereits ein; ein Pilotversuch in Croydon scannte rund 470.000 Gesichter. Es gibt im Vereinigten Königreich kein Gesetz, das Gesichtserkennung auch nur erwähnt — ein Bündnis aus zwei Dutzend Organisationen warnte, der Plan werde Großbritannien zu „einem Ausreißer in der demokratischen Welt" machen —, und Tests haben ergeben, dass die Systeme Schwarze Frauen bei jenen Einstellungen, bei denen die Verzerrung auftritt, in bis zu einem von zehn Fällen falsch identifizieren.

In den Vereinigten Staaten föderalisiert sich dieselbe Logik über einen Anbieter: Clearview AI, dessen Datenbank aus rund sechzig Milliarden abgegriffenen Bildern inzwischen Verträge mit ICE und der Zoll- und Grenzschutzbehörde Customs and Border Protection unterfüttert. Mindestens dreizehn oder vierzehn Amerikanerinnen und Amerikaner sind aufgrund eines falschen Gesichtsabgleichs zu Unrecht festgenommen worden, fast alle von ihnen Schwarz. Ein Kennzeichenlesegerät protokolliert, wohin Ihr Auto fährt; Gesichtserkennung protokolliert, wohin Ihr Körper geht — und, wie es ein Technologe aus der Bürgerrechtsszene formulierte, sein Gesicht kann man nicht zu Hause lassen. Es ist dieselbe Architektur wie beim Flock-Schleppnetz — dauerhafte, beschlusslose, allgegenwärtige Identifizierung von Menschen, die keiner Sache verdächtig sind —, nur eine Schicht tiefer vorgetrieben, vom Fahrzeug zu der Person, die es fährt.

Das Mosaik und die Abschreckung

Der Schaden liegt nicht im einzelnen Scan. Der Schaden ist das Verzeichnis — das durchsuchbare, querverknüpfte, dauerhafte Mosaik. Schon eine Kennzeichenhistorie kann verraten, wo Sie schlafen, wo Sie beten, welche Klinik Sie aufsuchen, welchen Anwalt, welche Geliebte, welches Gewerkschaftshaus, welche Demonstration. Verschmelzen Sie das mit Gesichtsscans, Standortdaten von Mobiltelefonen, Mautdaten und den Datenhändlerbeständen, die Flocks Nova-Plattform aufnehmen soll, und Sie haben ein Lebensmuster-Dossier über einen Menschen, dem nichts vorgeworfen wird, zusammengestellt von einem Unternehmen und an den Staat vermietet. Genau gegen diese Aggregation sollte die Mosaiktheorie aus Carpenter schützen — sie kommt nun durch eine Tür herein, die die Theorie nicht ganz geschlossen hat.

Und ein solches Verzeichnis verändert Verhalten, noch bevor es je missbraucht wird. Wenn Menschen wissen, dass ihre Wege protokolliert werden, überlegen sie es sich zweimal mit der Kundgebung, der Moschee, der Klinik, dem Treffen — jener abschreckende Effekt, den der Supreme Court seit der Bürgerrechtszeit anerkennt, als er die Mitgliederlisten der NAACP vor einem Bundesstaat schützte, der wissen wollte, wer sich mit wem zusammentat. Das Schleppnetz muss nicht auf Sie gerichtet sein, um zu verändern, wie frei Sie sich bewegen. Es muss nur existieren.

Das stärkste Gegenargument, ehrlich genommen

Das Argument für die Kameras ist real, und es muss in voller Stärke aufgenommen und nicht weggewischt werden. Flocks Systeme haben Kinder nach Hause gebracht: AMBER Alerts, die in Echtzeit aufgelöst wurden, ein vermisster Teenager, der gefunden wurde, ein Tatverdächtiger in einem Tötungsdelikt, der binnen Stunden nach der Beschreibung durch einen Zeugen gefasst wurde. Die Erhebung des Unternehmens unter den eigenen Kunden aus dem Jahr 2025 behauptet, Flock-Daten hätten in jedem fünften aufgeklärten Fall eine Rolle gespielt und binnen eines Jahres geholfen, rund zehntausend vermisste Menschen zu finden. Die Wiederbeschaffung gestohlener Fahrzeuge — wo die landesweite polizeiliche Aufklärungsquote bei kläglichen neun Prozent liegt — ist der eine Bereich, in dem die unabhängige Forschung übereinstimmt, dass die Werkzeuge wirklich helfen.

Räumt man all das ein, scheitert das Argument dennoch, aus drei Gründen. Erstens stammen die weitreichenden Behauptungen vom Unternehmen selbst, sind selbst berichtet und ungeprüft; die unabhängige, peer-reviewte Evidenz dafür, dass ALPR-Systeme Kriminalität senken, ist dünn und uneinheitlich — die als Goldstandard geltende Bundesstudie fand, dass sie die Wiederbeschaffung gestohlener Autos erhöhen, aber „wenig klare Belege" für Kriminalprävention im allgemeinen Streifendienst zeigen. Zweitens, und das ist entscheidend, begann jeder echte Erfolg mit einem bestimmten Kennzeichen, Fahrzeug oder Verdächtigen — und keiner von ihnen erforderte ein dauerhaftes, verdachtsloses Verzeichnis über alle anderen. Man kann die AMBER-Alert-Hotlist und den Treffer beim gestohlenen Auto behalten und zugleich für historische Suchen einen richterlichen Beschluss verlangen und die Speicherdauer auf Tage statt Jahre begrenzen. Die Voreinstellung von dreißig Tagen ist eine politische Entscheidung, keine technische Notwendigkeit; das Schleppnetz ist von der Sicherheit abtrennbar. Und drittens hat „es hat ein Verbrechen aufgeklärt" im amerikanischen Recht noch nie ausgereicht, um verdachtslose Massenüberwachung zu erlauben — die General Warrants, die die Gründer verabscheuten, klärten ebenfalls Verbrechen auf. Das verräterische Zeichen ist bereits da: Ein mit Sicherheit beworbenes System hat eigene Opfer hervorgebracht, etwa die Großmutter aus Tennessee, die nach einer Fehlidentifizierung durch Gesichtserkennung fünf Monate in Haft saß, bevor die Anklage an Heiligabend fallengelassen wurde. Die Revolte gegen Flock ist keine Ablehnung öffentlicher Sicherheit. Sie ist die Zurückweisung des Tauschgeschäfts — dauerhafte, universelle Verfolgung im Austausch gegen einen Nutzen, den richterliche Beschlüsse und kurze Speicherfristen erhalten würden.

Die Gegenwehr, die keine ist

Hier kommt die harte Wahrheit, die diese Reihe sonst mit einem Werkzeug beantworten kann und diesmal nicht. Gegen ein Schleppnetz im physischen Raum gibt es im Grunde keine Verteidigung auf der Nutzerseite. Es gibt kein VPN für Ihr Auto und kein Tor für Ihr Gesicht. Kennzeichenabdeckungen und reflektierende Sprays sind in den meisten Bundesstaaten illegal und, wie Tests zeigen, nutzlos gegen moderne Kameras, die Blendung in Echtzeit ausgleichen. Nicht zu fahren ist keine Option. Die Anti-Gesichtserkennungs-Mode, die Schlagzeilen macht — Dazzle-Make-up, gemusterte Brillen —, ist weitgehend ein akademisches Kunstprojekt, das an heutigen Systemen scheitert und Sie für jeden Menschen, der Sie sieht, auffällig macht; ihr eigener Erfinder hat sie aufgegeben. Der Reflex, zu einer persönlichen Privatsphäre-Technik zu greifen — der Reflex, auf dem diese Publikation gebaut ist —, läuft geradewegs gegen eine Wand: Man kann keinen Datenberg minimieren, um dessen Anlage man nie gebeten wurde, und Verschlüsselung endet an der Grenze zur physischen Welt.

Genau deshalb ist die einzige wirksame Gegenwehr die bürgerschaftliche — und deshalb zählt es, dass sie gerade gewinnt.

Das Schleppnetz verliert

Dasselbe Jahr, das hunderttausend Kameras hervorbrachte, brachte auch das hervor, was diese Kameras nicht unbeschadet überstanden haben: eine organisierte, überparteiliche und ungewöhnlich wirksame öffentliche Revolte.

Denver ist der Vorzeigefall. Nachdem eine lokale Recherche aufgedeckt hatte, dass die Flock-Daten der Stadt in einem landesweiten Netz lagen, auf das die Border Patrol zugreifen konnte, verlängerte der Bürgermeister den Vertrag nicht, und in diesem Frühjahr schraubte die Stadt alle einhundertzehn ihrer Kameras physisch ab — und ersetzte sie durch ein kleineres System, das gar keine landesweite Suchfunktion hat. Und die Autodiebstähle schnellten nicht in die Höhe; sie gingen zurück. Nach der besten verfügbaren Zählung sind inzwischen mehr als achtzig Flock-Verträge in achtundzwanzig Bundesstaaten beendet worden, neununddreißig davon in den ersten fünf Monaten des Jahres 2026 — Austin, Santa Cruz, Evanston, San Marcos und Dutzende mehr, jedes Mal ein Stadtrat, der sich die Überwachung ansah und sie von den Masten wegstimmte. Ein Open-Source-Projekt namens DeFlock hat rund die Hälfte von Flocks gesamtem Kameranetz per Crowdsourcing auf eine öffentliche Karte gebracht und die Unterlassungsaufforderung des Unternehmens zurückgewiesen; der Atlas of Surveillance der EFF hat das unsichtbare Netz in mehr als fünftausend Zuständigkeitsbereichen sichtbar gemacht. Bundesstaaten regeln gesetzlich, was Code nicht kann: Washington untersagt inzwischen die Kennzeichenerfassung in der Nähe von Kliniken, Schulen, Gerichten und Gotteshäusern; Virginia hat die Speicherdauer begrenzt und die beschlusslose Weitergabe in andere Bundesstaaten unterbunden; Kentucky hat eine Neunzig-Tage-Grenze verhängt.

Man muss über die Grenzen ehrlich sein, denn sie sind real. Die Kündigungen sind ein Bruchteil des Netzes; private Kameras von Eigentümergemeinschaften und Unternehmen laufen weiter, auch dort, wo eine Stadt die eigenen abbaut; der prominenteste Gerichtsfall ist in der Berufung eine Niederlage, kein Sieg; ein überparteilicher Änderungsantrag auf Bundesebene, der die Lesegeräte zügeln sollte, wurde im Mai im Ausschuss beerdigt. Das Schleppnetz bekommt Dellen, es wird nicht demontiert. Doch sehen Sie sich an, wer die Dellen schlägt, denn es ist die seltenste Koalition der amerikanischen Politik: das Institute for Justice neben der ACLU, Cato neben der EFF, ein Republikaner und ein Demokrat, die denselben Änderungsantrag gemeinsam einbringen, ein Bürgermeister, ein County-Aufsichtsratsmitglied und ein Stadtrat, die alle zum selben Urteil kommen. Die Überwachung der Fortbewegung erweist sich als das Thema, bei dem „Besorgt euch einen richterlichen Beschluss" tatsächlich überparteilich ist — bei dem die Rechte des schlanken Staates und die bürgerrechtliche Linke auf dasselbe private Schleppnetz blicken und beide Nein sagen. Das ist nicht nichts. Das ist der Ausschalter, und anders als in fast jedem anderen Überwachungskampf, über den diese Reihe berichtet hat, ist es ein Schalter, den gewöhnliche Menschen tatsächlich erreichen können.

Das Recht, nicht verfolgt zu werden

Die Freiheit, um die es am Vierten Juli unter dem Feuerwerk wirklich geht, ist die Freiheit von einer ständigen Macht, Sie zu beobachten — jene spezifische Tyrannei, die die Gründer benannten, als sie den General Warrant verboten. Das Kennzeichenlesegerät ist der General Warrant, in Software nachgebaut und als Abonnement verkauft: ein dauerhaftes, verdachtsloses, durchsuchbares Verzeichnis darüber, wohin alle gehen, gehalten von einem Unternehmen, vermietet an den Staat und bislang von den Gerichten gesegnet. Es gibt kein Gerät, das das behebt. Verschlüsselung reicht nicht dorthin. Es ist die eine Front der Privatsphäre, an der der gesamte Apparat der persönlichen, technischen Selbstverteidigung schlicht nicht greift.

Und genau deshalb muss die Antwort die älteste im Buch sein — und deshalb lohnt es sich an diesem Tag zu feiern, dass die Antwort wirkt. Ihr Auto können Sie nicht verschlüsseln. Aber Sie können die Kamera vom Mast wegstimmen, die Speicherdauer begrenzen, den richterlichen Beschluss verlangen und sich weigern, ein privates Unternehmen das Verzeichnis überhaupt erst anlegen zu lassen. Denver hat einhundertzehn davon abgeschraubt. Achtundzwanzig Bundesstaaten streiten darüber. Das Recht, sich durch das eigene Land zu bewegen, ohne dauerhaft beschattet zu werden, wird nicht von Code verteidigt — es wird von Bürgerinnen und Bürgern verteidigt, in Ratssälen, bei der einen Überwachungsfrage, in der Linke und Rechte festgestellt haben, dass sie sich einig sind.

Das Schleppnetz, das Sie nie gewählt haben, kann abgewählt werden. An diesem 4. Juli ist das — der seltenste Befund dieser Reihe — ein Kampf, den die Öffentlichkeit tatsächlich gewinnt.

URnetwork baut zensurresistenten, die Privatsphäre wahrenden Transport für das Internet — ein Peer-to-Peer-Overlay, das die Daten minimiert, die eine einzelne Partei darüber sammeln kann, von wo aus und wie Sie sich verbinden. Es ist ehrlich über seine Grenzen: Es schützt Ihren Datenverkehr, nicht Ihr Kennzeichen, und kein Werkzeug auf der Nutzerseite kann eine Kamera schlagen, die ein gesetzlich vorgeschriebenes Kennzeichen auf öffentlicher Straße liest. Genau darum geht es in dieser Ausgabe — manche Kämpfe um Privatsphäre werden nicht im Code gewonnen, sondern im Recht und in der lokalen Demokratie, und die Bewegung, die das Schleppnetz im physischen Raum herausreißt, ist der klarste Beleg dafür, dass die Infrastruktur dauerhafter Identifizierbarkeit, gegen die sich diese Publikation stellt, verweigert, minimiert und rückgebaut werden kann, wenn die Öffentlichkeit beschließt, nach dem Ausschalter zu greifen.

https://ur.io

Ein Land, das heute seine Unabhängigkeit feiert, hat seine Gründung auf eine Handvoll benannter Freiheiten gestellt — Rede, Presse, Versammlung, Petition. Jede einzelne von ihnen läuft heute, für den größten Teil der Menschheit, über ein einziges gemeinsames Stück Infrastruktur, das die Gründer sich nicht hätten ausmalen können: ein globales, paketvermitteltes Netz ohne Eigentümer und ohne Zentrum. Und diese Tatsache hat still eine neue Freiheit unter allen alten geschaffen, eine Freiheit, die keine Grundrechteerklärung schützt, weil es sie nicht gab, sodass sie hätte bedroht werden können. Nennen wir sie die Freiheit, sich zu verbinden — die Fähigkeit, das Netz überhaupt zu erreichen, bevor man auch nur ein einziges Wort darauf gesagt hat.

Sie ist das Substrat. Man kann kein Recht auf Rede in einem Netz ausüben, von dem man abgeschnitten wurde, kann nicht durch eine Abschaltung hindurch veröffentlichen, kann sich nicht in einem Gruppenchat versammeln, der aus einem Kontrollraum in der Hauptstadt abgeschaltet wurde. Und 2026 steht genau dieses Substrat unter dem direktesten und am wenigsten diskutierten Angriff — nicht, was man sagen darf, sobald man online ist, sondern ob man überhaupt online sein darf, und ob das „Online", das man erreicht, noch dasselbe ist, das alle anderen erreichen.

Die Zahlen sagen, dass das Substrat bröckelt.

Jeden Tag eine Abschaltung

Ende März veröffentlichte die #KeepItOn-Koalition — ein Netz aus Hunderten zivilgesellschaftlichen Gruppen, einberufen von der Digitalrechtsorganisation Access Now — ihre Jahresbilanz, und es war die düsterste je erfasste. Mindestens 313 Internetabschaltungen in 52 Ländern im Jahr 2025: mehr als in jedem Jahr, seit die Zählung 2016 begann. Die Kampagnenleitung der Koalition brachte das Ausmaß in einem einzigen Satz unter — nicht einer der 365 Tage des Jahres verging, ohne dass irgendwo auf der Welt abgeschaltet wurde. Auf Myanmars Junta und ihre Gegner entfielen 95 davon; Indien, die größte Demokratie der Welt, ordnete 65 an, mehr als jede andere Demokratie der Erde. Konflikte waren der häufigste Auslöser und trieben 125 Abschaltungen in 14 Ländern an. Und in einem Befund, der die Debatte darüber beenden sollte, wozu eine Abschaltung dient, fielen mindestens 70 von ihnen mit schweren Menschenrechtsverletzungen zusammen — Tötungen, Folter, Vergewaltigung, offenbar Kriegsverbrechen — in 21 Ländern; das Dunkel senkte sich genau dann und dort, wo Zeugen am gefährlichsten gewesen wären.

Die Rechnung für all das belief sich nach der Jahresbilanz, die die Forschungsgruppe Top10VPN führt, 2025 auf rund 19,7 Milliarden Dollar und 120.000 Stunden absichtlicher Dunkelheit — ein Kostensprung von 70 Prozent gegenüber dem Vorjahr —, betroffen waren rund 800 Millionen Menschen. Allein auf Russland entfielen fast 12 Milliarden dieser Dollar; es verletzte die eigene Wirtschaft, um die eigenen Bürgerinnen und Bürger zu kontrollieren. Das sind Untergrenzen, keine Obergrenzen: Die Zählung schließt die längsten Abschaltungen gerade deshalb aus, weil sie nie wieder eingeschaltet wurden.

Eine Abschaltung ist, mit anderen Worten, nicht selten, nicht billig und — wie die Überschneidung mit Gräueltaten zeigt — meist nicht das, wofür ihre Urheber sie ausgeben. Sie wird zum Standardreflex eines Staates unter Druck. Und 2026 wird dieser Reflex ins Gesetz verdrahtet.

Der Notausschalter ist jetzt legal

Am 1. März 2026 trat ein russisches Regierungsdekret in Kraft — Nummer 1667, angelegt bis 2033 —, und es ist die wichtigste Entwicklung in der Architektur der Kontrolle in diesem Jahr. Es ermächtigt eine ständige Kommission aus der Internetaufsicht Roskomnadsor, dem Sicherheitsdienst und dem Ministerium für digitale Entwicklung, das russische Internet zu filtern, zu drosseln, zu sperren oder vollständig vom globalen zu isolieren, sobald sie eine „Bedrohung" feststellt. Das ist keine im Panikmoment angeordnete Ad-hoc-Abschaltung. Es ist ein dauerhafter, gesetzlich verankerter Ausschalter, und er sitzt auf der Maschinerie, die ihn durchsetzbar macht: dem TSPU — Deep-Packet-Inspection-Kästen, die physisch im Netz jedes russischen Internetanbieters installiert sind, direkt von Roskomnadsor gesteuert, mit einem geplanten Ausbau auf nahezu ein Petabit pro Sekunde Kapazität bis 2030.

Den Beleg, dass der Schalter funktioniert, gibt es bereits. Im Dezember 2024 kappte Russland bei einer Übung in Dagestan, Tschetschenien und Inguschetien den Zugang zu ausländischen Diensten für bis zu einen ganzen Tag — und die Nutzer entkamen dem selbst mit einem VPN nicht, denn wenn das Netz zur Außenwelt durchtrennt ist, bleibt nichts mehr, wodurch man tunneln könnte. Das ist die entscheidende Tatsache, um die sich der Rest dieses Textes dreht, also halten Sie sie fest: Eine Sperre ist ein Zustand, um den man herumrouten kann, eine Abschaltung nicht.

Um dieselbe Architektur herum baut Russland die andere Hälfte eines souveränen Internets: eine gefangene Bevölkerung auf staatlich kontrollierten Apps. Im Februar 2026 sperrte es WhatsApp vollständig und schnitt damit rund hundert Millionen Nutzer ab, drosselte Telegram und trichterte beide in Richtung MAX, eines staatlich gesegneten Messengers ohne Ende-zu-Ende-Verschlüsselung, dessen Daten im Land gespeichert werden. MAX wuchs von rund einer Million Nutzern Mitte 2025 auf mehr als 120 Millionen registrierte bis zu diesem Frühjahr, befördert durch die Vorgabe, dass er auf jedem in Russland verkauften Telefon vorinstalliert sein muss, und durch Pläne, ihn ins Bankensystem einzubinden. Das ist das Modell, für das der Ausdruck „Splinternet" geprägt wurde: nicht ein Internet mit einigen gesperrten Seiten, sondern ein paralleles, überwachtes, verschlüsselungsfreies nationales Netz, in das eine Bürgerin gedrängt und schließlich verpflichtet werden kann, darin zu leben.

Sperren, drosseln, abschalten

Um zu sehen, warum das Dunkelwerden der Karte zugleich eine echte Waffe und eine selbstzerstörerische ist, muss man die Leiter sehen, die Staaten erklimmen — denn Umgehung gewinnt auf den unteren Sprossen und verliert auf den oberen, und die ehrliche Analyse wohnt in dieser Unterscheidung.

Sprosse eins ist die Sperre — das Verwerfen der IP-Adressen oder das Vergiften der Domainabfragen für verbotene Seiten oder das Filtern nach dem Servernamen, den eine Verbindung beim Aufbau preisgibt. Das ist die häufigste Form der Zensur und die am leichtesten zu schlagende; hier funktioniert der gesamte Werkzeugkasten der Umgehung. Sprosse zwei sind Drosselung und Fingerprinting — einen Dienst bis zur Unbrauchbarkeit verlangsamen oder Deep Packet Inspection und "active probing" einsetzen, bei dem die Maschinen des Zensors selbst einen verdächtigen Proxy ansprechen, um ihn zu enttarnen. Chinas Great Firewall, die ausgereifte Referenz für all das, stützt sich inzwischen auf Machine-Learning-Klassifikatoren, die verschleierten Verkehr aus gewöhnlichem Webverkehr herausfischen können, und ein Datenleck im vergangenen September offenbarte, dass ihr Werkzeugkasten heute ein schlüsselfertiges Exportprodukt ist, verkauft an und installiert in Pakistan, Äthiopien, Kasachstan und Myanmar. Sprosse drei ist die totale Abschaltung — Irans nahezu vollständige landesweite Kappung während der Proteste im Januar 2026, die Abschaltung Afghanistans durch die Taliban im Herbst zuvor —, bei der es schlicht kein Netz gibt, um das herum man routen könnte. Und Sprosse vier ist die Kriminalisierung der Werkzeuge selbst, was die Kosten des Verbindens von „gesperrt" auf „verhaftet" umstellt.

Irans eigene Entwicklung fängt die Raffinesse ein. 2019 wurde es auf die grobe Art dunkel: Das Land zog seine Routen aus der globalen Routing-Tabelle zurück, und so verschwand es. Bis Januar 2026 hatte es Feinheit gelernt: Es zog 98,5 Prozent einer Klasse seines Adressraums zurück und ließ das Routing des gewöhnlichen Internets zu 98 Prozent intakt — ein Skalpell, wo zuvor ein Vorschlaghammer gewesen war, drosselnd und filternd, während das Licht nominell anblieb. Die Eskalationsleiter ist die ganze Geometrie dieses Kampfes: Je höher ein Staat klettert, desto mehr gewinnt er gegen den Code und desto mehr verliert er gegen die eigene Wirtschaft und die eigene Legitimität.

Die Gründe, die sie nennen, und der Grund, um den es wirklich geht

Die Staaten, die das tun, beschreiben es nicht als das Abschalten einer Nation. Sie nennen vier Gründe, und die Gründe sind über Länder hinweg konsistent genug, dass sie es verdienen, ernst genommen und dann mit Belegen zerlegt zu werden. Das Menschenrechtsbüro der Vereinten Nationen fand bei der Katalogisierung der Rechtfertigungen in Hunderten von Fällen öffentliche Sicherheit und nationale Sicherheit angeführt; der Abschaltungsbericht für 2025 fand dieselbe wiederkehrende Litanei — Falschnachrichten, Hassrede, öffentliche Ordnung und, am banalsten von allem, Schülerinnen und Schüler am Schummeln bei Prüfungen zu hindern.

Nehmen wir zuerst den am saubersten klingenden, denn er ist das verräterische Zeichen. Im Juni und Juli 2026 hat der Irak an Prüfungstagen in den Stunden vor der Morgendämmerung das Internet für das gesamte Land abgeschaltet, um Schummeln zu verhindern — und damit Krankenhäuser, Unternehmen und Notrufe für rund 900.000 Prüflinge gekappt, zu geschätzten Kosten von nahezu anderthalb Millionen Dollar pro Tag; und in der Pointe, die die ganze Praxis überführt, sickerten die Prüfungsfragen trotzdem durch, während der Abschaltung. Ein Menschenrechtsforscher nannte es „einen Hammer, um etwas Kleines zu zerschlagen". Wenn die am besten verteidigbare Begründung derart vollständig zusammenbricht, ergeht es den schwerwiegenderen schlechter. Die beste empirische Arbeit zu Abschaltungen und Protest findet, dass das Kappen des Netzes Unruhen nicht beruhigt; es neigt dazu, Bewegungen von gewaltfreier Koordination in Richtung Gewalt zu drängen, weil friedlicher Protest die Taktik ist, die am stärksten auf Echtzeitkommunikation angewiesen ist. Und die Überschneidung mit Gräueltaten ist der moralische Kern: Wenn 70 Abschaltungen in einem einzigen Jahr in Länder genau in die Stunden fallen, in denen deren Streitkräfte Wohnhäuser, Krankenhäuser und Schulen bombardieren, schützt die Abschaltung nicht die Öffentlichkeit. Sie schützt den Täter vor dem Zeugen. „Öffentliche Sicherheit" bedeutet, den Belegen nach, am verlässlichsten die Sicherheit derer, die abdrücken.

Den Tunnel kriminalisieren

Wenn ein Staat ein Werkzeug nicht sperren kann, ist sein nächster Zug, es zu verbieten — die Netzwerkschicht-Variante davon, den Hersteller zu verfolgen. Der klarste Fall des Jahres 2026 ist erneut Russland, das bis Februar 469 einzelne VPN-Dienste gesperrt hatte, die drei populärsten Umgehungsprotokolle rundheraus verbot, Apple zwang, Hunderte VPN-Apps aus seinem russischen Store zu nehmen, und eine Anweisung erließ, die großen Plattformen vorschreibt, über ein VPN ankommende Nutzer zu erkennen und abzuschneiden — andernfalls verlieren sie ihre Betriebserlaubnis. Das Muster breitet sich aus, und es beschränkt sich nicht auf Autokratien: Iran hat die „nicht genehmigte" VPN-Nutzung kriminalisiert; ein in diesem Jahr von der Europäischen Kommission erwarteter Vorschlag zur Vorratsdatenspeicherung könnte genau jene Protokollierung erzwingen, die No-Log-VPNs eigens nicht vornehmen sollen; und in Großbritannien verabschiedete das House of Lords einen Änderungsantrag, der die VPN-Nutzung durch Minderjährige einschränken soll, um die Altersprüfungen des Online Safety Act abzustützen — während die Aufsichtsbehörde zugleich einräumt, dass VPNs diese Prüfungen undurchsetzbar machen, und die Anmeldungen beim Inkrafttreten der Prüfungen um bis zum Achtzehnfachen sprangen. (Die vielzitierte Zahl, wonach inzwischen Dutzende Länder VPN-Vorratsdatenspeicherung vorschreiben, geht überwiegend auf Branchenmarketing zurück und sollte als Richtungsangabe gelesen werden, nicht als Evangelium — doch die Richtung ist unverkennbar.) Der Tunnel wird kriminalisiert, weil er funktioniert, und ihn zu verbieten ist das, was ein Zensor tut, wenn die Technik versagt hat.

Das Netz routet um Schäden herum

Hier ist die andere Wahrheit, die der Tag verlangt, und sie ist kein naiver Optimismus; sie ist das, was die Belege aus 2026 tatsächlich zeigen.

Im Januar trug ein einziges Umgehungswerkzeug — Psiphon — auf dem Höhepunkt der schwersten Internetabschaltung, die Iran je verhängt hat, 9,5 Millionen einzelne Nutzer innerhalb Irans an einem Tag. Mehr als jede zehnte Iranerin und jeder zehnte Iraner erreichte die Außenwelt, durch eine landesweite Abschaltung hindurch, über eine App an einem Tag. Und etwa die Hälfte dieses Verkehrs floss nicht über Firmenserver, sondern über "Conduit"-Stationen, betrieben von gewöhnlichen Mitgliedern der iranischen Diaspora auf ihren übrigen Telefonen und ihrem heimischen WLAN — rund 200.000 von ihnen meldeten sich binnen zweier Wochen an, um Fremden hinter der Mauer ihre Verbindungen zu leihen. Psiphons eigene Beschreibung ist der Satz, den man sich merken sollte: Die Diaspora unterstützte die Infrastruktur nicht bloß, die Diaspora war die Infrastruktur.

Das ist das Konstruktionsprinzip, auf dem das gesamte offene Internet gebaut wurde, unter Beschuss erprobt. Die Werkzeuge, die einen Zensor überleben — Tors Snowflake, das Tausende Browser-Tabs von Freiwilligen in wegwerfbare, ständig wandernde Relays verwandelt; Jigsaws Outline, das verbotenen Verkehr für Dutzende Millionen Nutzer als gewöhnlichen Webverkehr tarnt; URnetworks Peer-to-Peer-Overlay, das eine Verbindung über ein Mesh nutzerbetriebener Anbieter aufteilt, sodass kein einzelner Knoten je den ganzen Fluss sieht und es keinen einzelnen Engpass gibt, den man sperren, drosseln oder per gerichtlicher Anordnung abgreifen könnte — teilen alle einen Zug. Sie lassen den verbotenen Verkehr wie den erlaubten aussehen, und sie weigern sich, von einem einzigen Punkt abzuhängen, den ein Staat sich greifen kann. Ein Splinternet, das auf Inspektionskästen bei jedem Anbieter gebaut ist, wird nicht dadurch geschlagen, dass man einen größeren Tunnel gräbt, sondern dadurch, dass man ihm keine Kehle zum Zudrücken gibt. Genau deshalb wird der Zensor überhaupt erst die Leiter hinaufgetrieben: Er kann auf der Protokollebene nicht gewinnen, also greift er zum groben Werkzeug. Die Abschaltung ist das Eingeständnis der Niederlage.

Die ehrliche Obergrenze

Doch eine ehrliche Ausgabe benennt die Obergrenze so klar wie den Erfolg, denn eine triumphalistische Lesart bringt Menschen ins Gefängnis.

Code kann eine totale Abschaltung nicht durchtunneln. Wenn das Netz zur Außenwelt durchtrennt ist — Sprosse drei —, gibt es nichts zu verschleiern und nirgendwohin zu routen; der einzige Weg darunter hindurch ist eine Satellitenschüssel, und Iran antwortete auf die geschmuggelten Starlink-Terminals, die während seiner Proteste auftauchten, mit Funkstörungen, die bis zu 80 Prozent Paketverlust erzeugten, mit Beschlagnahmen und mit einer Strafe von bis zu zehn Jahren Haft für den Besitz — sodass der Weg über den Himmel eher wenige Mutige schützt als eine Bevölkerung. Code kann auch kein Gesetz aufheben: Wird das Werkzeug selbst kriminalisiert, wandert der Kampf vom Problem des Ingenieurs zu dem der Anwältin und des Organisators, und der persönliche Preis des Verbindens steigt entsprechend. Und die härteste Grenze ist die menschliche — in Russland, einem verkabelten und gebildeten Land unter schwerer Zensur, nutzen überhaupt nur etwa ein Drittel der Menschen ein VPN, mit Übergewicht bei den Jungen und Wohlhabenden, während rund die Hälfte der Bevölkerung nicht weiß, wie das geht. Umgehung ist überproportional die Widerstandsfähigkeit der ohnehin Begünstigten.

Die richtige Behauptung ist deshalb eng, und sie genügt: Umgehung ist Widerstandsfähigkeit, nicht Immunität. Auf den Sprossen eins und zwei, wo die meiste Zensur tatsächlich stattfindet, gewinnt sie klar; auf den Sprossen drei und vier, wo sie allein nicht gewinnen kann, verschafft sie Zeit und trägt die Wahrheit hinaus. Neuneinhalb Millionen Iranerinnen und Iraner kamen durch eine Abschaltung hindurch — und die Abschaltung fiel trotzdem, und Menschen starben trotzdem im Dunkeln. Die Lehre ist nicht, dass die Mauer harmlos wäre. Sie ist, dass die Mauer auf den Ebenen zu schlagen ist, auf denen der Kampf üblicherweise geführt wird, und dass der Staat sich auf die Ebenen, auf denen das nicht gilt, nur rettet, indem er einen Preis zahlt — an Geld, an Legitimität, am Schauspiel einer Regierung, die die eigenen Banken abschneidet, um das eigene Volk zum Schweigen zu bringen —, den er nicht auf Dauer zahlen kann.

Demokratien bauen dasselbe Tor

Nichts davon ist eine Geschichte nur über Autokratien, und so zu tun, als wäre es das, ist der Weg, auf dem Demokratien schlafwandelnd hineingeraten. Indien führt die demokratische Welt bei Abschaltungen an, und das seit Jahren. Großbritannien erwägt VPN-Beschränkungen und hat ein Altersverifikationsregime gebaut, das darauf zutreibt, jeden Nutzer zu identifizieren. Die Europäische Union entwirft die Vorratsdatenspeicherungsregeln, die das No-Log-VPN brechen würden. Das Tor, das eine Demokratie baut, um Kinder zu schützen oder die Integrität von Prüfungen zu wahren, ist auf der Ebene der Architektur dasselbe Tor, das eine Autokratie baut, um einen Dissidenten zu jagen — ein Engpass, eine Identifizierungspflicht, ein rechtlicher Hebel über die Werkzeuge anonymer Verbindung. Ein Tor erinnert sich nicht daran, warum es eingebaut wurde, und das fünfzehnte Jahr in Folge mit rückläufiger Internetfreiheit ist, nach der Zählung von Freedom House, das Geräusch von Toren, die auf beiden Seiten des politischen Spektrums zugleich eingebaut werden. Der Punkt ist nicht, dass London Moskau wäre. Der Punkt ist, dass die Infrastruktur eines fragmentierten Internets in freien wie in unfreien Ländern gegossen wird — und Beton lässt sich, einmal gegossen, schwer wieder entfernen.

Die Gegenwehr, Schicht für Schicht

Was hält am 4. Juli 2026 tatsächlich? Die ehrliche Bilanz spaltet sich entlang der Leiter.

Gegen Sperren und Drosselung — Sprossen eins und zwei — gewinnt der Stack auf der Nutzerseite, und genau darauf arbeitet diese Publikation hin. DPI-resistente Transporte, die gewöhnlichen Verkehr nachahmen, freiwillige Relay-Meshes ohne feste Adresse, die man auf eine schwarze Liste setzen könnte, und Peer-to-Peer-Overlays, die keine Route an einen einzelnen Carrier binden und keinem einzelnen Knoten den ganzen Fluss übergeben: Diese routen um die häufigsten Formen der Zensur herum, und je härter ein Zensor auf dieser Ebene drückt, desto mehr riskiert er, den gewöhnlichen Verkehr zu sperren, den der verbotene Verkehr nachahmt. URnetworks Anbieter-Mesh ist eine Wette auf genau diese Eigenschaft — Widerstandsfähigkeit durch Dezentralisierung, das Gründungsprinzip des Netzes in ein Produkt verwandelt.

Gegen die Abschaltung und das kriminalisierte Werkzeug — Sprossen drei und vier — geht dem Code die Luft aus, und der Kampf wird rechtlich und politisch. Man kann ein Protokoll nicht in ein Land hineinklagen, das die Leitung gekappt und das Protokoll verboten hat; dort besteht die Arbeit darin, die Werkzeuge dort legal zu halten, wo sie es noch sind, die Diaspora-Meshes und die Satelliten-Rückfallebenen zu finanzieren, die Gräueltaten zu dokumentieren, die das Dunkel verbergen soll, und sich — in den Demokratien, die noch entscheiden — zu weigern, den Beton überhaupt erst zu gießen. Die starke Fassung des Arguments lautet nicht, dass Technik das Splinternet besiegt. Sie lautet, dass Technik, Recht und menschliche Solidarität dem Staat gemeinsam das eine verweigern, was das Splinternet braucht: einen einzigen Punkt, an dem die Vielen von den Vielen abgeschnitten werden können.

Um die Grenze herumrouten

Das Internet wurde mit Absicht ohne Zentrum entworfen. Seine Gründungsarchitektur — Pakete, die ihren eigenen Weg finden, Routen, die sich um einen Ausfall herum neu konfigurieren — wurde von Menschen gebaut, die ein Netz wollten, das den Verlust jedes beliebigen Teils überlebt, und der glückliche Zufall dieser Ingenieurskunst war ein Netz, das die Sperre eines Zensors so behandelt wie ein durchtrenntes Kabel: als Schaden, um den herumgeroutet wird. Das Splinternet ist der Versuch, diesen Zufall rückgängig zu machen — jenes Zentrum einzubauen, ohne das das Netz gebaut wurde, damit es endlich einen Schalter gibt, in einem Raum, der eine Nation abschaltet.

Am Vierten Juli ist die Freiheit, die es zu benennen lohnt, die unter allen anderen: die Freiheit, einander zu erreichen, ohne eine Regierung um Erlaubnis zu fragen, über ein Netz, das keiner Hauptstadt gehört. Dreihundertdreizehn Mal griff im vergangenen Jahr eine Regierung nach dem Schalter. Neuneinhalb Millionen Menschen griffen an einem einzigen Tag, im Dunkeln, an ihm vorbei. Die Karte wird stellenweise dunkel, und die ehrliche Antwort ist weder der Untergangston, der sagt, das Splinternet habe bereits gewonnen, noch die Fantasie, ein kluges Werkzeug mache Grenzen bedeutungslos. Sie ist die geduldige, unglamouröse Arbeit, ein Netz zu bauen und zu verteidigen, dem man nicht die Kehle durchschneiden kann — im Code, im Recht und in den zweihunderttausend Fremden, die ihre Telefone Menschen liehen, denen sie nie begegnen werden.

Bauen Sie das Netz, das keinen Ausschalter hat. Es ist die einzige Art, die frei bleibt.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um der Deep Packet Inspection auf Netzwerkebene zu widerstehen, indem es Verkehr über ein dezentrales Mesh nutzerbetriebener Anbieter aufteilt, sodass kein einzelner Knoten den ganzen Fluss sieht und kein einzelner Engpass ihn sperren, drosseln oder protokollieren kann; sein Code ist offen und prüfbar, und die Veröffentlichung seines MCP-Servers im Februar 2026 erlaubt es agentischen Clients, Sitzungen über das Overlay aufzubauen. Es ist ehrlich über seine Grenzen: Es routet um Sperren und Drosselung herum, kann aber — wie jede Umgehung — eine totale Abschaltung nicht durchtunneln und kein Gesetz aufheben, das das Werkzeug verbietet; genau deshalb argumentiert diese Ausgabe, dass die Freiheit, sich zu verbinden, ebenso in Gesetzen und in Solidarität wie im Code verteidigt werden muss.

https://ur.io

Den größten Teil der Menschheitsgeschichte über hatte ein privater Gedanke drei Schutzschichten, und niemand musste sie benennen, weil sie einfach die Art waren, wie die Welt funktionierte. Die erste war die Sterblichkeit: Das Tagebuch verbrannte, die Erinnerung verblasste, der Vertraute starb, und das unbedachte Wort ging mit ihnen. Die zweite war die Privatheit: Eine geflüsterte Beichte hatte kein Protokoll, und die Wände machten sich keine Notizen. Die dritte war die Pflicht: Der Priester, der Arzt, der Anwalt, dem man sein schlimmstes Geheimnis anvertraute, war gebunden — durch Eid, durch Zulassung, durch die Drohung, beides zu verlieren —, es zu bewahren.

Der KI-Chatbot hat alle drei auf einmal ausgelöscht, und er hat es im Raum von etwa zwei Jahren getan. Er vergisst nicht; die Unterhaltung ist eine perfekte, mit Zeitstempeln versehene, durchsuchbare Aufzeichnung. Er ist nicht privat; er lebt auf den Servern eines Unternehmens, wird zum Training des nächsten Modells verwendet und kann einem Gericht übergeben werden. Und er schuldet Ihnen überhaupt keine Pflicht; er ist ein Produkt, verkauft von einem Konzern, dessen Nutzungsbedingungen sich das Recht vorbehalten, zu lesen, was Sie getippt haben, und es dem Staat zu geben. Wir haben den intimsten Beichtstuhl in der Geschichte unserer Art gebaut — und vergessen, ihm irgendeinen der Schutzmechanismen zu geben, die ein Beichtstuhl immer hatte.

Am Vierten Juli könnte ein Land, das das Recht auf freie Rede verankert hat, bei einer leiseren Freiheit innehalten, die es nie aufgeschrieben hat: der Freiheit, etwas zu niemandem zu sagen — laut zu denken, zu beichten, die beschämende Frage zu stellen, ohne dass die Antwort zum Beweismittel wird. Genau diese Freiheit beendet die Beichtmaschine still, und 2026 ist das Jahr, in dem die Gerichte es amtlich gemacht haben.

Was die Gerichte geklärt haben

Drei Entscheidungen in zwölf Monaten haben die Fantasie beerdigt, Ihre Worte an eine KI seien sicher.

Beginnen wir mit der schärfsten. Bradley Heppner, der frühere Vorstandsvorsitzende der zusammengebrochenen Finanzfirma GWG Holdings, wurde im vergangenen Oktober wegen Betrugs angeklagt. Angesichts des Verfahrens tat er, was eine wachsende Zahl von Menschen tut: Er öffnete einen KI-Chatbot für Endkunden — Anthropics Claude — und arbeitete damit auf eigene Faust seine Verteidigung durch, wobei rund einunddreißig Dokumente mit juristischer Argumentation entstanden, die er dann mit seinen Anwälten teilte. Die Staatsanwaltschaft wollte diese Chats. Seine Anwälte sagten, sie seien privilegiert. Und am 17. Februar 2026 entschied Richter Jed Rakoff vom Southern District of New York, dass sie es nicht waren. Seine Begründung ist die ganze Geschichte im Kleinen: Jedes Privileg, das das Recht anerkennt, schrieb er, setze "a trusting human relationship" voraus — eine von Vertrauen getragene menschliche Beziehung — mit "a licensed professional who owes fiduciary duties and is subject to discipline", also mit einer zugelassenen Berufsperson, die Treuepflichten schuldet und der Berufsaufsicht untersteht. Claude ist nichts davon. "Heppner does not, and indeed could not, maintain that Claude is an attorney." — Heppner behaupte nicht und könne auch gar nicht behaupten, dass Claude ein Anwalt sei. Und es gab keine zu schützende Vertraulichkeitserwartung, weil Anthropics eigene Datenschutzerklärung sich das Recht vorbehält, seine Eingaben zu behalten, mit ihnen zu trainieren und sie an "third parties" offenzulegen, einschließlich "governmental regulatory authorities" — an Dritte also, staatliche Regulierungsbehörden eingeschlossen. Man kann kein Geheimnis für sich beanspruchen, das man einem Unternehmen übergeben hat, das einem in den weggeklickten Bedingungen gesagt hat, dass es das Geheimnis dem Staat geben könnte.

Man muss beim Inhalt der Entscheidung genau sein, denn die ehrliche Fassung ist enger und nützlicher als die Schlagzeile. Rakoff entschied nicht, dass KI-Unterhaltungen niemals geschützt sein können; in zwei anderen Verfahren des Jahres 2026 befanden Gerichte, dass KI-gestützte Arbeit sehr wohl privilegiert blieb, wenn ein Anwalt sie anleitete. Die Regel, die daraus hervorging, ist exakt und vernichtend: Ihre bestehenden Privilegien reichen nicht so weit, einen fremden KI-Anbieter abzudecken, dem Sie sich allein anvertrauen. Der Beichtstuhl hat Sie immer nur dann geschützt, wenn ein zugelassener Mensch auf der anderen Seite saß. Die Maschine ist nicht dieser Mensch.

Dann das Ausmaß. In dem Urheberrechtsverfahren, das Verlage und die New York Times gegen OpenAI angestrengt haben, ordnete ein Magistrate Judge an, das Unternehmen müsse zwanzig Millionen ChatGPT-Unterhaltungen herausgeben — eine Stichprobe, etwa ein halbes Prozent der zig Milliarden, die es aufbewahrt hatte —, und am 5. Januar 2026 bestätigte District Judge Sidney Stein die Anordnung. Die Nutzer, deren privateste Unterhaltungen in diesem Stapel liegen, sind keine Partei des Verfahrens. Sie wurden nicht benachrichtigt. Sie bekamen keine Gelegenheit zu widersprechen. Die Begründung des Gerichts lautete, sie hätten ihre Mitteilungen "voluntarily submitted" — freiwillig an OpenAI übermittelt —, was zutrifft und was genau der Punkt ist: Der Akt des Anvertrauens ist der Akt der Preisgabe.

Und unter beidem die leiseste und vernichtendste Tatsache von allen. Im Mai 2025 ordnete ein Magistrate Judge an, OpenAI müsse "preserve and segregate all output log data that would otherwise be deleted" — sämtliche Ausgabe-Protokolldaten aufbewahren und gesondert vorhalten, die andernfalls gelöscht würden —, einschließlich der Chats, die Nutzer aktiv gelöscht hatten, und derjenigen, die das Datenschutzrecht andernfalls zu löschen verlangt hätte. Monatelang war „Löschen" ein Knopf, der nichts tat. Die Anordnung wurde schließlich zurückgefahren, doch die Lehre ist von Dauer: Bei einem Cloud-Dienst ist Löschen eine Gefälligkeit, die das Unternehmen gewährt, bis ein Gericht ihm sagt, damit aufzuhören. Die Löschtaste ist eine Konvention der Benutzeroberfläche, keine Garantie.

Eine Milliarde Beichten pro Woche

Warum das zählt, sind das Ausmaß und die Intimität, und beide sind größer, als die meisten Menschen ahnen. ChatGPT überschritt in diesem Juni rund eine Milliarde monatliche Nutzer und verarbeitet in der Größenordnung von 2,5 Milliarden Nachrichten pro Tag. Und ein erheblicher Teil dieser Nachrichten ist nicht „schreib mir eine E-Mail". Die Erhebung des Harvard Business Review von 2025 dazu, wie Menschen generative KI tatsächlich nutzen, setzte Therapie und Gesellschaft ganz an die Spitze der Liste. Common Sense Media stellte fest, dass 72 Prozent der amerikanischen Teenager einen KI-Begleiter genutzt haben. OpenAI ergänzte eine „memory"-Funktion, die es dem Modell erlaubt, auf all Ihre früheren Unterhaltungen Bezug zu nehmen, was einen Haufen einzelner Chats in etwas Gefährlicheres verwandelt: ein Längsschnitt-Dossier, ein Tagebuch, das zurückspricht und nie eine Seite vergisst.

Ehrlichkeit verlangt das Gegengewicht, denn die Intimität lässt sich leicht überzeichnen. OpenAIs eigene Untersuchungen legen nahe, dass ausdrücklich persönliche oder emotionale Austausche eine Minderheit des Gesamtvolumens ausmachen — in der Größenordnung von einigen wenigen Prozent der Nachrichten. Doch diese Statistik schneidet für den Trost in die falsche Richtung. Einige wenige Prozent von 2,5 Milliarden Nachrichten pro Tag sind Dutzende Millionen der intimsten Offenbarungen, die ein Mensch machen kann, jeden Tag, fließend in ein System, das sie speichert, mit ihnen trainiert und zu ihrer Herausgabe gezwungen werden kann. Intime Nutzung ist eine Minderheit des Verkehrs und die überwältigende Mehrheit der Exponierung. Es müssen nicht alle beichten, damit die Beichtmaschine der reichhaltigste Fundus menschlicher Verletzlichkeit ist, der je zusammengetragen wurde.

Jeder andere Beichtstuhl ist versiegelt

Was den KI-Beichtstuhl zu einer Anomalie und nicht zu einer Unausweichlichkeit macht, ist dies: Das Recht hat zwei Jahrhunderte damit verbracht, jeden anderen Beichtstuhl sorgfältig zu versiegeln, einen nach dem anderen — und es könnte auch diesen versiegeln.

Das Anwaltsprivileg ist das älteste, zurückzuverfolgen bis ins elisabethanische England. Das Arzt-Patienten-Privileg existierte im Common Law nicht einmal — es ist ganz und gar ein Geschöpf des Gesetzes, erstmals 1828 vom Parlament des Staates New York geschrieben, und zwar genau deshalb, weil die Gesetzgeber zu dem Schluss kamen, Menschen würden keine Behandlung suchen, wenn ihr Arzt zur Aussage gezwungen werden könnte. Das Psychotherapeuten-Patienten-Privileg ist noch jünger: Der Supreme Court erkannte es erst 1996 in Jaffee v. Redmond an, mit der Begründung, vertrauliche Beratung diene einem öffentlichen Gut, das so wichtig sei, dass das Recht zu seinem Schutz sogar erhebliche Beweismittel unterdrücken solle — und, bezeichnenderweise, mit der Weigerung, Richter diese Vertraulichkeit von Fall zu Fall wegwägen zu lassen, denn "a privilege whose scope is uncertain is little better than no privilege at all": Ein Privileg, dessen Reichweite ungewiss ist, ist kaum besser als gar kein Privileg. Nimmt man das Beichtgeheimnis hinzu, das in allen fünfzig Bundesstaaten anerkannt ist, und das Ehegattenprivileg, hat man eine Rechtstradition, die wiederholt entschieden hat, dass manche Gespräche gefahrlos geführt werden können müssen.

Die KI-Beichte hat nichts davon. Und der Grund, warum sie nichts davon hat, ist der Grund, warum sie so schwer zu reparieren ist.

Der Maschine ein Privileg geben?

Die naheliegende Antwort — und es ist die von Sam Altman — lautet, den neuen Beichtstuhl so zu versiegeln, wie wir die alten versiegelt haben. Im Juli 2025 sagte der Chef von OpenAI in Theo Vons Podcast das, was sein eigenes Produkt wahr macht: „Die Leute reden mit ChatGPT über den persönlichsten Scheiß in ihrem Leben", sie nutzten es „als Therapeuten, als Lebensberater". Und weiter: „Wenn man mit einem Therapeuten oder einem Anwalt oder einem Arzt über diese Probleme spricht, gibt es dafür ein gesetzliches Privileg … Und für den Fall, dass man mit ChatGPT spricht, haben wir das noch nicht gelöst." Er nannte die Lücke „völlig vermurkst" und warb für das, was die Presse ein „KI-Privileg" taufte. In seiner stärksten Fassung ist das ein gewichtiges und menschenfreundliches Argument: Der Chatbot ist zum Beichtstuhl von Hunderten Millionen geworden; das Recht hat jeden früheren Beichtstuhl geschützt; diesen einen nackt zu lassen, ist ein historischer Zufall, den zu korrigieren sich lohnt.

Doch sieht man genau hin, zerfällt die Reparatur in den Händen, aus drei Gründen, die das Recht selbst liefert. Erstens: Ein Privileg ist ein Versprechen mit Ausnahmen. Jedes echte hat Ausnahmen — die Crime-Fraud-Ausnahme durchbricht die Anwaltsvertraulichkeit seit 1906 —, sodass selbst ein gewährtes „KI-Privileg" genau in den Fällen verdampfen würde, in denen der Staat die Protokolle am dringendsten will. Zweitens: Es würde die falsche Partei schützen. Altman wirbt dafür, während OpenAI gegen eine gerichtliche Anordnung zur Herausgabe von Chats kämpft und während sein eigenes Unternehmen verklagt wird; ein Privileg, das die Beichte versiegelt, versiegelt auch den Zwanzig-Millionen-Protokolle-Honigtopf des Unternehmens gegen die Beweiserhebung. Es ist ein Konzernschild im Kostüm eines Nutzerrechts. Und drittens — das ist das Härteste —: Nur über die Protokolle haben wir überhaupt erfahren, dass die Maschine gefährlich ist. Was uns zu dem Teil bringt, den niemand schreiben möchte.

Die toten Jugendlichen im Beweisstapel

Die Beichtmaschine hat bereits Todesopfer, und ihr Gedächtnis ist das Beweismittel.

Im Februar 2024 nahm sich ein Vierzehnjähriger namens Sewell Setzer III nach monatelangen Unterhaltungen mit einem Begleit-Bot von Character.AI das Leben. Die Klage seiner Mutter gegen Character.AI und Google stützt sich vollständig auf diese Chatprotokolle; ein Bundesrichter ließ sie zu und entschied, der Chatbot sei ein "product" — ein Produkt im haftungsrechtlichen Sinne — und keine geschützte Äußerung; im Januar 2026 verglichen sich die Unternehmen in einer Reihe solcher Verfahren in vier Bundesstaaten. Die Generalstaatsanwälte folgten: Kentucky klagte im Januar, Pennsylvania im Mai wegen eines Bots, der sich angeblich als zugelassener Psychiater mit einer erfundenen Zulassungsnummer ausgab, und am 1. Juni 2026 wurde Florida der erste Bundesstaat, der OpenAI und Sam Altman direkt verklagte — in seiner Klageschrift heißt es, der Todesschütze der Florida State University habe „ChatGPT dazu befragt, welche Waffen zu verwenden seien, welche Munition zu verwenden sei, zu welcher Tageszeit der Angriff auszuführen sei".

Halten Sie die Spannung aus, denn sie ist der ehrliche Kern dieser ganzen Ausgabe. Dieselben gespeicherten Protokolle, die die Beichtmaschine zu einem Honigtopf der Überwachung machen, sind die Protokolle, die sie als Gefahr für Kinder entlarvt haben. Ein pauschales „KI-Privileg" — die Reparatur, um die Altman bittet — würde genau dieses Beweismittel unzugänglich machen. Man kann nicht gleichzeitig verlangen, dass das Gedächtnis der Maschine vor dem Staat versiegelt und dass es den Eltern eines toten Kindes geöffnet wird. Das ist der Knoten im Herzen der Debatte über KI-Vertraulichkeit, und wer Ihnen sagt, das sei einfach, will Ihnen etwas verkaufen. Das Privileg, das den unschuldig Beichtenden schützen würde, würde auch das Unternehmen schützen, das den Bot einen Teenager umgarnen ließ.

Es gibt einen Weg aus dem Knoten, aber er ist kein Privileg.

Jede Beichte ist ein Leck entfernt

Vor dem Ausgang noch ein Grund, warum der Honigtopf unhaltbar ist: Er wird nicht nur per Anordnung abgefragt, er leckt. Im Juli 2025 tauchten rund 4.500 ChatGPT-Unterhaltungen, die Nutzer „geteilt" hatten, indexiert in der Google-Suche auf, lesbar für jeden. Im Februar 2026 legte eine falsch konfigurierte Datenbank rund 300 Millionen Nachrichten von 25 Millionen Nutzern einer einzigen KI-Chat-App offen. Im Mai 2026 fanden Sicherheitsforscher rund eine Million KI-Dienste offen im Internet — darunter Tausende ungesicherter lokaler Modellserver, die zur Welt hin offenstanden. Browser-Erweiterungen, die als „Privatsphäre"-Werkzeuge vermarktet wurden, wurden dabei ertappt, wie sie die Prompts ihrer Nutzer klammheimlich weiterverkauften. Und Anthropic ging im August 2025 zu einem Modell über, das standardmäßig mit Endkunden-Chats trainiert und diese bis zu fünf Jahre aufbewahrt. Jede intime Sache, die Sie tippen, wird kopiert, gespeichert und — per Gerichtsbeschluss, per Fehlkonfiguration oder per Geschäftsmodell — dem Risiko der Herausgabe ausgesetzt. Ein Haufen der privatesten Eingeständnisse der Menschheit ist das reichhaltigste Ziel, das je zusammengetragen wurde, und die Geschichte jedes solchen Haufens ist, dass er irgendwann überläuft.

Ein Privileg ist ein Versprechen; Amnesie ist eine Garantie

Hier ist der Ausgang, und er ist architektonisch, nicht juristisch.

Die einzige Beichte, die nicht per Anordnung herausverlangt, wieder-entlöscht, geleakt oder durch eine Ausnahme herausgeschnitten werden kann, ist die, die nie auf dem Server eines anderen gespeichert wurde. 2026 ist das keine Bastlerfantasie mehr. Man kann eine wirklich leistungsfähige KI vollständig auf dem eigenen Rechner betreiben, offline, wo sie kein Serverprotokoll schreibt, weil es keinen Server gibt. Die Werkzeuge sind kostenlos und ausgereift — Ollama, das inzwischen Dutzende Millionen Modell-Downloads pro Quartal ausliefert; LM Studio; Jan. Die Modelle sind real: Im August 2025 veröffentlichte OpenAI selbst unter einer permissiven Lizenz Modelle mit offenen Gewichten, gpt-oss, deren kleineres auf einem Laptop mit 16 Gigabyte Arbeitsspeicher läuft und der Qualität seines eigenen gehosteten Mittelklassemodells nahekommt. Alibabas Qwen, DeepSeek, Metas Llama und Googles Gemma füllen ein breites offenes Feld. Apple liefert ein kleines Sprachmodell aus, das vollständig auf Ihrem Telefon läuft, und leitet die schwierigeren Anfragen an ein System namens „Private Cloud Compute" weiter, dessen Datenschutzversprechen ungewöhnlicherweise überprüfbar sind — Apple veröffentlicht die signierten Software-Images und lässt Forschende sie inspizieren. Ein lokales Modell ist Amnesie von Bauart: nichts aufzubewahren, nichts herauszugeben, nichts zu leaken.

Und nun die Ehrlichkeit, die diese Reihe schuldet, denn Architektur ist nur dann eine Garantie, wenn man ihren Preis nennt. Lokale Modelle hinken der Spitze weiterhin hinterher — nach dem besten unabhängigen Maß liegen offene Modelle etwa vier Monate und einen spürbaren Fähigkeitsabstand hinter den besten geschlossenen Modellen, und die Fassungen, die es wirklich mit der Spitze aufnehmen, brauchen Rechenzentrumshardware, kein Telefon. „Betreib es doch einfach lokal" ist heute ein Vorrecht der technisch Ausgestatteten, und es lässt die Milliarde Menschen unberührt, die weiterhin die Cloud-Chatbots nutzen werden. Apples Private Cloud Compute ist der stärkste derzeitige Entwurf für Datenschutz in der Cloud, verlangt aber immer noch, Apples Chips und Lieferkette zu vertrauen — überprüfbar heißt nicht vertrauensfrei. Ein lokaler Chatverlauf, der auf der eigenen Festplatte gespeichert ist, kann immer noch vom eigenen Gerät beschlagnahmt werden. Und die härteste Grenze von allen ist die aus dem vorigen Abschnitt: Eine vergessende Maschine, die kein Protokoll führt, führt auch keinen Beleg dafür, dass ein Kind umgarnt wird, und bietet keine serverseitige Schutzplanke, um einen Jugendlichen zu unterbrechen, der einen Plan beschreibt, sich selbst zu schaden. Dieselbe Amnesie, die die Unschuldigen schützt, nimmt den Verletzlichen das Sicherheitsnetz. Ein Datenschutzargument, das diesen Preis verbirgt, ist bloß eine andere Übertreibung.

Die ehrliche Synthese hält deshalb beide Wahrheiten fest. Architektur schlägt ein Versprechen — Daten, die nie gespeichert werden, können nicht per Anordnung verlangt, herausgegeben oder geleakt werden, und das ist eine Schutzkategorie, die kein „KI-Privileg" bieten kann. Doch Architektur muss mit einer Abrechnung über Leistungsfähigkeit und über Kinderschutz einhergehen, sonst wird sie zu derselben Art magischen Denkens, die sie ersetzt.

Die Gegenwehr, Schicht für Schicht

Wo gewinnt die Antwort auf der Nutzerseite, und wo geht ihr die Luft aus?

Sie gewinnt bei der Beichte selbst. Für den Menschen, der laut denken will, ohne dabei eine im Verfahren abrufbare Aufzeichnung anzulegen, ist ein lokales Modell die saubere Antwort, und es wird jeden Monat besser. Für die Cloud-Anfragen, die stattfinden müssen, ist die Minimierung der Spur real: das Training abschalten, flüchtige Chats nutzen und die Netzwerkschicht über ein privates Overlay wie URnetwork führen, damit die Metadaten von wer-was-von-wo-gefragt-hat nicht selbst zum Protokoll werden. Die Datenlecks in Oracle-Größenordnung und die Anordnung über zwanzig Millionen Protokolle sind das Argument dafür: Man kann die Unterhaltung, die nur auf einem Gerät in der eigenen Tasche lebt, weder verlieren noch per Anordnung herausverlangen noch leaken.

Ihr geht die Luft aus bei der Leistungsfähigkeit und bei der Fürsorge. Die Spitze wohnt in der Cloud, und die meisten Menschen werden ihr dorthin folgen; für sie ist der Kampf nicht architektonisch, sondern rechtlich und politisch — ein Kampf um Voreinstellungen zur Speicherdauer, um wirkliches Löschen, um die Frage, ob "de-identified" — „anonymisiert" — in einer Größenordnung von zwanzig Millionen überhaupt etwas bedeutet, und um Kinderschutzpflichten, die eine rein private Architektur nicht erfüllen kann. Beide Hälften sind real. Wer sich einer Maschine anvertraut, verdient eine Option, die vergisst; eine Gesellschaft, die ihre Kinder sich Maschinen anvertrauen lässt, braucht Schutzplanken, die eine vergessende Maschine nicht liefern kann. Beides zugleich auszuhalten, ist die erwachsene Fassung dieses Arguments.

Sagen Sie es etwas, das vergisst

Die Beichtmaschine ist das nützlichste und das gefährlichste Datenschutzobjekt, das je gebaut wurde, und diese beiden Tatsachen sind dieselbe Tatsache. Sie ist nützlich, weil Menschen ihr alles erzählen; sie ist gefährlich, weil sie alles behält, was man ihr erzählt. Sam Altman hat recht damit, dass die Lücke „völlig vermurkst" ist, und unrecht, was das Heilmittel angeht. Ein Privileg bittet den Staat um das Versprechen, einen Haufen nicht zu lesen, der weiterhin existieren, weiterhin lecken und weiterhin geöffnet werden wird, sobald die nächste Ausnahme geschrieben ist. Es behandelt das Symptom — das Lesen — und erhält die Krankheit — den Haufen.

Die älteren Beichtstühle waren nicht nur deshalb sicher, weil das Recht sie schützte, sondern weil sie vergaßen. Das Tagebuch verbrannte. Das Geflüster verklang. Der Priester starb mit Ihrem Geheimnis. Die Gefahr der Maschine besteht genau darin, dass sie nichts davon tut, und die tiefste Antwort ist nicht, den Staat schwören zu lassen, dass er nicht hineinschaut. Sie besteht darin, einen Beichtstuhl zu bauen, der nichts aufzeichnet — das beschämende, notwendige, menschliche Ding etwas zu sagen, das nicht dazu gebracht werden kann, es zu wiederholen, weil es das Gesagte von vornherein nie festgehalten hat.

Am Vierten Juli lohnt es sich, in einem Land, das schützt, was man sagen darf, die ältere und leisere Freiheit darunter zu verteidigen: die Freiheit, etwas zu niemandem zu sagen und es ungesagt bleiben zu lassen. Geben Sie der Maschine ein Privileg, wenn Sie eines erstreiten können; es wird der Milliarde helfen, die in der Cloud bleibt. Doch wenn Sie eine Garantie statt eines Versprechens wollen, bauen Sie die Maschine, die vergisst. Die sicherste Beichte ist die, die die Maschine nie behalten hat.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um der Deep Packet Inspection auf Netzwerkebene zu widerstehen; die Veröffentlichung seines MCP-Servers im Februar 2026 erlaubt es agentischen Clients, Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Carrier-Ebene zu abstrahieren. Es ist ein Routing- und Vertraulichkeitswerkzeug, ehrlich über seine Grenzen: Es minimiert die Metadatenspur eines Cloud-KI-Aufrufs und trägt lokal-zuerst gedachte Architekturen über einen zensurresistenten Pfad, aber es kann ein Cloud-Modell nicht zum Vergessen bringen — das kann nur, wer das Modell selbst betreibt, weshalb diese Ausgabe argumentiert, dass der belastbare Schutz für die Beichtmaschine architektonischer Natur ist und gebaut werden muss, nicht bloß gesetzlich verfügt.

https://ur.io

An jedem 4. Juli zählt das Land eine Liste von Freiheiten auf — Rede, Presse, Versammlung, das Recht, keine Soldaten im eigenen Haus einquartiert zu bekommen. Eine steht nicht auf dem Pergament, weil sie 1776 nicht dort stehen musste: die Freiheit, die Werkzeuge der eigenen Privatsphäre zu bauen. Ein Schloss zu schmieden. Einen Brief mit Wachs zu versiegeln, das zeigt, ob er geöffnet wurde. In der Sprache, die eine Maschine versteht, eine Anweisung zu schreiben, die ein Gespräch bei zwei Menschen hält und bei sonst niemandem.

1776 war das die Freiheit eines Handwerkers, und sie verstand sich von selbst. 2026 sind die Werkzeuge der Privatsphäre Software, Software wird von Entwicklern geschrieben, und Entwickler kann man verhaften. Also steht heute genau die Freiheit vor Gericht, die sich früher von selbst verstand — nicht die Freiheit, ein privates Gespräch zu führen, die ein Jahrzehnt Verschlüsselungsarbeit weitgehend gesichert hat, sondern die Freiheit, das Ding zu bauen, das ein solches Gespräch ermöglicht, und es zu verschenken, ohne für die Straftat eines Fremden einstehen zu müssen.

Beginnen wir mit dem Sieg: Das Land hat diese Frage schon einmal beantwortet.

Der Präzedenzfall, der gewann — und wie knapp

Anfang der 1990er Jahre stufte die US-Regierung starke Verschlüsselung als Waffe ein. Den Quellcode einer Chiffre zu veröffentlichen hieß aus Sicht der Regierung, Kriegsmaterial zu exportieren; er stand auf der United States Munitions List neben Gewehren und Sprengköpfen. Ein Mathematik-Graduiertenstudent in Berkeley namens Daniel Bernstein schrieb ein Verschlüsselungssystem, das er Snuffle nannte, und als er den Quellcode und einen erklärenden Aufsatz veröffentlichen wollte, wurde ihm mitgeteilt, er müsse sich zunächst als Waffenhändler registrieren und eine Exportlizenz des Außenministeriums einholen. Mit der Electronic Frontier Foundation im Rücken und Cindy Cohn als federführender Anwältin klagte Bernstein.

Er gewann, und der Wortlaut lohnt es, festgehalten zu werden. 1999 entschied ein Senat des Ninth Circuit Court of Appeals, dass Quellcode eine vom First Amendment geschützte Meinungsäußerung ist, und schrieb: „cryptographers use source code to express their scientific ideas in much the same way that mathematicians use equations or economists use graphs" — Kryptografen nutzen Quellcode, um ihre wissenschaftlichen Ideen auszudrücken, ganz ähnlich wie Mathematiker Gleichungen oder Ökonomen Grafiken nutzen. Die Bezirksrichterin Marilyn Hall Patel hatte es noch schlichter gefasst: „like music and mathematical equations, computer language is just that, language, and it communicates information" — wie Musik und mathematische Gleichungen ist Computersprache genau das, Sprache, und sie vermittelt Information. Zusammen mit dem Schwesterurteil in Junger v. Daley, in dem der Sixth Circuit im Jahr 2000 entschied, Quellcode sei „an expressive means for the exchange of information and ideas" — ein Ausdrucksmittel für den Austausch von Informationen und Ideen —, und mit dem stillen Zusammenbruch der dreijährigen Grand-Jury-Ermittlung der Regierung gegen Phil Zimmermann wegen der Veröffentlichung von PGP gewannen diese Verfahren die ersten Crypto Wars. Sie sind das rechtliche Fundament der zivilen starken Kryptografie — von HTTPS, von PGP, von Signal, von der Verschlüsselung, an der die Chat-Control-Kampagne der Europäischen Union scheiterte, als der Rat im vergangenen Herbst seine Abstimmung zurückzog.

Doch man muss ehrlich über diesen Sieg sprechen, denn seine genaue Gestalt ist die ganze Geschichte. Die gefeierte Entscheidung des Ninth Circuit wurde aufgehoben: Die Regierung beantragte eine erneute Verhandlung vor dem gesamten Gericht, das die Senatsentscheidung zurückzog, und dann lockerte die Administration die Exportregeln und erledigte den Fall. Der meistzitierte Satz in der Geschichte der Code-ist-Meinungsäußerung-Doktrin steht in einer zurückgezogenen Entscheidung. Der belastbare Präzedenzfall ist Junger. Und die Freiheit selbst kam ebenso sehr aus einer politischen Entscheidung — der Neufassung der Exportregeln durch das Handelsministerium im Januar 2000 — wie aus irgendeiner gerichtlichen Anordnung. Was eine Administration gelockert hat, kann eine andere wieder anziehen.

Wichtiger noch: Die Gerichte schützten die Freiheit, Code zu veröffentlichen, als Meinungsäußerung. Sie haben nie entschieden, dass jede Handlung, die mit Software vollzogen wird, Meinungsäußerung ist. Sie dürfen die Chiffre schreiben, sie posten und sie lehren; das ist geschützt. Ob Sie den Dienst betreiben, das Werkzeug bedienen oder eine Gebühr nehmen dürfen, während Fremde Werte hindurchbewegen — diese Frage haben die Crypto Wars nie beantwortet. Und genau diese unbeantwortete Frage ist die Naht, an der die Regierung das ganze Jahr 2026 gearbeitet hat.

Zwei Freiheiten in einem Werkzeug

Ein Privatsphäre-Werkzeug braucht zwei Freiheiten, und die Bewegung hat ihr Jahrzehnt damit verbracht, eine davon zu verteidigen.

Die erste ist die Freiheit zu veröffentlichen — den Algorithmus zu schreiben und ihn als Meinungsäußerung freizugeben. Bernstein und Junger haben sie gewonnen, und sie ist weitgehend gesichert. Kein amerikanisches Gericht wird entscheiden, dass das Posten des Quelltexts einer Chiffre eine Straftat ist.

Die zweite ist die Freiheit zu betreiben — das Werkzeug auszurollen, den Dienst zu betreiben und Menschen benutzen zu lassen, ohne dass der Autor für das geradesteht, was sie damit tun. Diese Freiheit wurde nie klar gewonnen, und 2026 geht sie verloren. Denn die Regierung hat die Lehre aus den Crypto Wars gezogen: Versuche nicht, die Mathematik zu verbieten, die Meinungsäußerung ist und die die Gerichte schützen. Verfolge den Menschen, der sie ausgerollt hat, nach einem Gesetz, das für Banken geschrieben wurde. Deute Handeln mit Code zur Straftat um, und Bernstein betritt den Gerichtssaal nie.

Sehen Sie zu, wie dieser Schachzug dreimal geschieht.

Den Vertrag konnten sie nicht stoppen

Tornado Cash ist kein Unternehmen. Es ist ein Satz autonomer, unveränderlicher Smart Contracts, die auf Ethereum laufen — Code, der keine Nutzergelder hält, keinen Betreiber hat und, einmal ausgerollt, von den Menschen, die ihn geschrieben haben, ebenso wenig verändert oder abgeschaltet werden kann, wie der Autor einer Anleitung zum Schlossknacken in einen Einbruch hineingreifen kann. Diese Tatsache ist keine Zierde; ein Bundesberufungsgericht hat darüber entschieden. Im November 2024 entschied der Fifth Circuit in Van Loon v. Department of the Treasury, dass die unveränderlichen Verträge von Tornado Cash kein „property" — kein Eigentum — sind, das irgendjemand besitzen oder kontrollieren kann, und dass das Finanzministerium seine Befugnisse daher überschritten hatte, als es sie sanktionierte. Im März 2025 nahm das Ministerium das Protokoll von der Liste.

Und doch stellte das Justizministerium im selben Zeitfenster den Mitgründer des Protokolls vor Gericht. Im August 2025 verurteilte eine Jury in Manhattan Roman Storm wegen Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts — ein Anklagepunkt mit einem Strafrahmen von fünf Jahren —, während sie sich bei den beiden schweren Vorwürfen nicht einigen konnte: Verschwörung zur Geldwäsche und zum Verstoß gegen Sanktionen, die jeweils mit bis zu zwanzig Jahren bedroht sind. Storm beantragte Freispruch. Im März 2026 beantragte die Regierung, die unentschiedenen Anklagepunkte neu zu verhandeln, und schlug einen Beginn im Oktober vor. In der Anhörung im April setzte Richterin Katherine Polk Failla der Regierung hart zu: Als deren Anwalt argumentierte, selbst die Bedienung gesetzestreuer Nutzer könne Geldwäsche sein — weil sauberes Geld einen Mixer besser darin mache, schmutziges Geld zu verbergen —, fiel sie ihm ins Wort: „Sie waren besser dran, bevor Sie angefangen haben zu reden." Bis zu diesem 4. Juli hat sie nicht entschieden, es steht kein Termin für einen neuen Prozess fest, und Storm ist gegen Kaution auf freiem Fuß.

Die Verteidigung über das First Amendment — dass Storm geschützten Code veröffentlicht habe — wurde vor dem Prozess vorgebracht und zurückgewiesen. Richterin Failla entschied, die funktionale Kapazität von Code sei keine geschützte Meinungsäußerung, und untersagte beiden Seiten, vor der Jury überhaupt mit dem First Amendment zu argumentieren. Das ist die Naht: nicht „das dürfen Sie nicht veröffentlichen", womit der Staat verlöre, sondern „Sie haben das betrieben, Sie haben Werte übertragen", was Bernstein vollständig umgeht.

Ehrlichkeit verlangt den schwierigen Teil, denn das hier ist kein reiner Märtyrer. Die Regierung wirft vor, es seien mehr als eine Milliarde Dollar an kriminellen Erlösen durch Tornado Cash geflossen; die Forensikfirma Elliptic bezifferte die identifizierten illegalen Mittel auf etwa 1,5 Milliarden Dollar von insgesamt rund 7 Milliarden — ungefähr ein Fünftel. Nordkoreas Lazarus Group schleuste die 455 Millionen Dollar, die sie von der Ronin-Bridge stahl, durch den Mixer. Storm und seine Mitgründer nahmen mehr als 12 Millionen Dollar heraus. Ein Mixer konzentriert Kriminalität stärker, als ein Browser es tut — das ist der ehrliche Teil, und man sollte ihn schlicht einräumen. Aber Konzentration ist eine Tatsache über Nutzer, kein Grund, den Autor einzusperren. Die Theorie, die Storm verurteilt, hört bei bösen Akteuren nicht auf: Sie macht einen Entwickler strafrechtlich haftbar für die funktionale Nutzung von Allzweck-Code, den er nicht abschalten konnte. Nach dieser Logik steht der Hersteller jeder Dual-Use-Technologie für ihren schlimmsten Nutzer gerade. Die Frage ist nie, ob ein Privatsphäre-Werkzeug jemals für Straftaten benutzt wird; jedes nützliche Werkzeug wird das. Die Frage ist, ob wir den Hersteller dafür verfolgen. Zweihundert Jahre lang lautete die Antwort nein.

Das Memo, das die Staatsanwälte ignorierten

Wenn Storm der umstrittene Fall ist, dann ist Samourai der klarere.

Samourai Wallet war als nicht-verwahrende Software entworfen — die Nutzer hielten ihre eigenen Schlüssel, und die Software war so gebaut, dass sie nie die Verwahrung über die Coins irgendeines Nutzers übernahm. Ihre beiden umstrittenen Funktionen waren Whirlpool, das die Coins der Nutzer mischte, um die Kette der Nachverfolgbarkeit zu brechen, und Ricochet, das zusätzliche Zwischenschritte einfügte, um eine Spur zu verwischen. Ihre Gründer, Keonne Rodriguez und William Hill, wurden im April 2024 verhaftet, bekannten sich im Juli 2025 in einem einzigen Anklagepunkt der Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts schuldig und wurden im vergangenen November verurteilt: Rodriguez zu fünf Jahren — dem gesetzlichen Höchstmaß — und Hill zu vier. Die Theorie der Regierung lautet, der Koordinator von Whirlpool habe Werte funktional kontrolliert und weiterübertragen, und die beiden Männer hätten wissentlich kriminelle Nutzer umworben; die Verteidigung sagt, die Wallet sei strikt nicht-verwahrend und eindeutig legal gewesen. Weil beide sich schuldig bekannten, hat nie ein Gericht entschieden, was zutrifft. Zwei Entwickler, die Privatsphäre-Software geschrieben und ausgeliefert haben, sitzen im Gefängnis, und die zentrale Rechtsfrage hat nie eine Antwort bekommen.

Sie sitzen im Gefängnis trotz der eigenen schriftlichen Richtlinie des Justizministeriums. Im April 2025 gab der stellvertretende Justizminister Todd Blanche ein Memo mit dem Titel „Ending Regulation By Prosecution" — Schluss mit der Regulierung durch Strafverfolgung — heraus, löste das Krypto-Ermittlungsteam auf und erklärte mit klaren Worten, das Ministerium werde „no longer target virtual currency exchanges, mixing and tumbling services, and offline wallets for the acts of their end users" — Kryptobörsen, Mixing- und Tumbling-Dienste sowie Offline-Wallets nicht länger für die Handlungen ihrer Endnutzer ins Visier nehmen. Dann nahm es sie weiter ins Visier. Die Verfahren gegen Storm und Samourai liefen weiter; die Regierung teilte einem Gericht mit, sie werde Storm ungeachtet dessen verfolgen. Und sie sitzen im Gefängnis trotz der eigenen Leitlinie des Finanzministeriums, die seit 2019 gilt und wonach der Anbieter einer nicht-verwahrenden Software-Wallet überhaupt kein Geldtransmitter ist. Die Regierung griff über ihr eigenes Memo und ihr eigenes Regelwerk hinweg, indem sie sich auf ein einziges Wort stützte — willful, vorsätzlich — und argumentierte, diese bestimmten Entwickler hätten gewusst, wer ihr Werkzeug benutzte. Ein sicherer Hafen, der immer dann verdunstet, wenn ein Staatsanwalt es so entscheidet, war nie ein sicherer Hafen.

Dass inzwischen so viele im Kongress meinen, das Gesetz müsse neu geschrieben werden, ist das Maß dafür, wie weit sich der Boden verschoben hat. Im Februar 2026 wurde ein überparteilicher Gesetzentwurf eingebracht, der Promoting Innovation in Blockchain Development Act, der das Geldtransfergesetz so ändern soll, dass es nur noch jene erfasst, die tatsächlich „exercise control over" — Kontrolle ausüben über — Kundengelder; das heißt, die Unterscheidung zwischen dem Bauen eines Werkzeugs und dem Betreiben einer Bank wiederherzustellen, die Staatsanwälte aus dem Gesetz herausgelesen hatten. Es braucht 2026 einen überparteilichen Akt des Kongresses, um noch einmal festzustellen, was die Crypto Wars angeblich geklärt hatten: dass Code zu schreiben nicht heißt, ein Geldtransfergeschäft zu betreiben.

Legalität ist nicht Verfügbarkeit

Der dritte Fall dieses Schachzugs ist finanzieller Art, und er braucht überhaupt keinen Gerichtssaal.

Niemand hat die Mathematik von Monero oder Zcash verboten. Was die Regulierer stattdessen taten, war leiser und wirksamer: Sie kappten die Zugänge. Nach der „travel rule" — der Übermittlungsregel — der Financial Action Task Force, die inzwischen in mehr als fünfzig Jurisdiktionen Gesetz ist, muss eine regulierte Börse jeder Überweisung die verifizierte Identität von Sender und Empfänger beifügen — was eine auf Privatsphäre hin gebaute Kryptowährung technisch unmöglich macht. Also gingen die Börsen. Nach einer Branchenzählung nahmen rund dreiundsiebzig von ihnen im Lauf des Jahres 2025 eine Privacy Coin von der Liste; OKX, Binance und Kraken hatten Monero bereits 2024 gestrichen. Die neue Geldwäscheverordnung der Europäischen Union geht weiter und verbietet regulierten Instituten ab dem 1. Juli 2027 jeden Umgang mit „anonymity-enhancing coins", also anonymitätsfördernden Kryptowährungen. Die Coins bleiben vollkommen legal zu besitzen — eine private, selbst gehostete Überweisung zwischen zwei Personen fällt ausdrücklich nicht unter das Verbot. Aber die Orte, an denen ein normaler Mensch eine kaufen oder verkaufen könnte, schließen, eine Compliance-Entscheidung nach der anderen.

Das ist die Marktzugangs-Variante davon, das Werkzeug zu verfolgen, und sie erzeugt ein Recht, das auf dem Papier überlebt und in der Praxis stirbt. Sie dürfen Monero rechtmäßig halten und können es nirgends rechtmäßig erwerben, wo Sie auch ein Bankkonto führen. Legalität ist nicht Verfügbarkeit. Und die lehrreiche Coda ist Zcash, die Privacy Coin, die gerade deshalb im Aufwind ist, weil sie eine Tür eingebaut hat: Ihre „view keys" — Einsichtsschlüssel — erlauben es einem Inhaber, eine Transaktion gegenüber einem Prüfer selektiv offenzulegen. Das Privatsphäre-Werkzeug, das den Druck übersteht, ist jenes, das eine Möglichkeit für die Behörden mitbringt, hineinzuschauen — das heißt: Die regelkonforme Version von Privatsphäre ist bauartbedingt weniger privat. Das ist der Handel, der jetzt überall angeboten wird: Privatsphäre, die Sie behalten dürfen, solange sie nicht privat vor dem Staat ist.

Das Werkzeug verfolgen, den Datenberg entschuldigen

Hier geht es nicht um Ideologie. Es geht darum, wohin eine Regierung ihre Macht richtet.

Während der Staat die letzten zwölf Monate damit verbrachte, die Erbauer von Werkzeugen zu verfolgen, die so entworfen sind, dass Daten gar nicht erst erhoben werden müssen, verlieren die Verwalter, die alles erheben, diese Daten in einem Ausmaß ohne modernes Beispiel — und kein einziger von ihnen sitzt auf der Anklagebank.

Das Instrument war ein einziger Anbieter. Seit August 2025 nutzt die Erpressergruppe Clop eine kritische Schwachstelle in Oracles Software E-Business Suite aus und plündert die Organisationen, die sie betreiben: Harvard, die University of Pennsylvania, die University of Phoenix (fast 3,5 Millionen Menschen), Dartmouth (Sozialversicherungsnummern und Bankdaten), die Washington Post, Logitech, Schneider Electric und dutzende weitere. In diesem Frühjahr nutzte eine zweite Gruppe, ShinyHunters, eine andere kritische Schwachstelle in Oracles Software PeopleSoft aus und kompromittierte nach Googles Zählung mehr als dreihundert Systeme bei über hundert Organisationen, die meisten davon Universitäten. Dann begann Ende Juni die Ausnutzung einer dritten kritischen Oracle-Schwachstelle in freier Wildbahn, und bis zum 2. Juli verfolgten Forscher mehr als neunhundert exponierte Oracle-Systeme, die weiterhin angreifbar waren. Die Trümmer in der Bilanz einer einzigen Woche: 14,22 Millionen E-Mail-Zugänge bei sechs japanischen Mobilfunkanbietern; Sozialversicherungs- und Bankdaten von Nissan-Beschäftigten in vier Ländern; mehr als neun Millionen medizinische Datensätze — Namen, Geburtsdaten, Sozialversicherungsnummern, Gesundheitsinformationen — vom Gerätehersteller Medtronic.

Nun legen Sie die beiden Bilanzen nebeneinander. Auf der einen sieht sich ein Entwickler, der ein Werkzeug gebaut hat, das nichts hält — keine Verwahrung, kein Honeypot, keine Datenbank, die verloren gehen kann —, fünf bis fünfundvierzig Jahren gegenüber. Auf der anderen haben Institutionen, die alles horteten und nichts davon sicherten, die Identitätsdaten von Hunderten Millionen Menschen verloren. Diese Verwalter werden sich Schadensersatzklagen und Bußgeldern der Aufsicht stellen müssen, wie sie es immer tun — aber kein Manager trägt das persönliche strafrechtliche Risiko, das ein Entwickler einer nicht-verwahrenden Wallet trägt. Bislang wurde niemand angeklagt. Und der naheliegende Einwand — dass die Verwalter Opfer einer Straftat Dritter sind und das Gesetz niemanden einsperrt, weil er bestohlen wurde — ist berechtigt und beantwortbar: Fahrlässigkeit, die hundert Millionen Identitäten verschüttet, ist selbst ein Verhalten, und wir kriminalisieren jeden Tag weit weniger gefährliche Fahrlässigkeit. Der Punkt ist nicht, dass ein Datenleck dem Betrieb eines Mixers gleichkommt. Der Punkt ist, dass nur eine Seite dieser Bilanz überhaupt ein persönliches strafrechtliches Risiko trägt.

Eine Relayer-Gebühr auf einem autonomen Vertrag ist ein Verhalten — geschenkt. Aber das Lagern von hundert Millionen Sozialversicherungsnummern auf einem ungepatchten Server ist es auch. Die Grenze zwischen funktional und expressiv, die die Regierung gegen Privatsphäre-Entwickler zieht, ist real; die Gerichte ziehen sie seit den DVD-Entschlüsselungsverfahren von 2001. Der Skandal ist nicht, dass es diese Grenze gibt. Der Skandal ist, dass sie nur auf der Privatsphäre-Seite der Bilanz fällt.

Der Spiegel im Inland

Dieselbe Logik lässt sich, sanfter, in den „schützenden" Gesetzen beobachten, die genau an diesem 1. Juli in Kraft getreten sind.

Einige sind echte Fortschritte, und die Ehrlichkeit rechnet sie an: Connecticuts geändertes Datenschutzgesetz behandelt Ihre Hirnstromdaten und Ihre staatlichen Ausweisnummern nun als sensibel und verpflichtet Unternehmen erstmals offenzulegen, ob sie große Sprachmodelle mit Ihren Daten trainieren; der Supreme Court entschied am 29. Juni in Chatrie, dass das Abrufen des Standortverlaufs Ihres Telefons eine Durchsuchung im Sinne des Fourth Amendment ist. Das sind Gesetz und Verfassung, die tun, was nutzerseitige Werkzeuge nicht können.

Doch betrachtet man den Mechanismus der Altersverifikationswelle, taucht das Muster wieder auf. Das Interesse ist real — der Schutz Minderjähriger ist ein ernstes Anliegen, und der Supreme Court segnete Alterskontrollen im vergangenen Juni in Free Speech Coalition v. Paxton mit 6 zu 3 ab. Was er nicht abgesegnet hat, ist der Mechanismus: Um Minderjährige von einer Plattform fernzuhalten, muss man das Alter aller prüfen, was bedeutet, dass jeder Erwachsene nachweisen muss, wer er ist, um an rechtmäßige Rede zu gelangen — Anonymität selbst umgedeutet zu einem Compliance-Versagen. Es ist aufschlussreich, wo der Widerstand ansetzt. Zwei Tage bevor Nebraskas Gesetz zur Altersverifikation in sozialen Medien in Kraft treten sollte, untersagte ein Bundesrichter seinen Vollzug mit der Begründung, es verletze wahrscheinlich die Rechte von Nutzern und Plattformen aus dem First Amendment. Dieselbe Doktrin, die in Bernstein Code zur Meinungsäußerung machte, schützt nun das Recht des Lesers, unidentifiziert anzukommen. Und in einem Gerichtssaal in Manhattan zeigt sich der gegenteilige Instinkt: Ein Gericht hat OpenAI angewiesen, Chats aufzubewahren, die seine Nutzer gelöscht hatten, und zwanzig Millionen de-identifizierte Konversationen an Prozessparteien herauszugeben — Datenminimierung rückwärts, der Datenberg per Gerichtsbeschluss vergrößert. Als der Verwalter sich auf die Privatsphäre seiner Nutzer berief, verlor er. Als der Entwickler sich auf „code is speech" berief — Code ist Meinungsäußerung —, verlor er auch. Die Linie hält: Die kleinen Akteure, die bauen und lesen, werden kontrolliert; die Mega-Datenberge werden per Vorladung zum Wachsen gebracht.

Die Entwickler, die gegangen sind

All das hat einen Preis, der in keiner Gerichtsakte auftaucht: die stille Auswanderung eines ganzen Fachs.

Im vergangenen November zog GrapheneOS — das gehärtete mobile Betriebssystem, eines der Kronjuwelen der Open-Source-Welt — seine Server aus Frankreich ab und wies seine Entwickler an, nicht in das Land zu reisen und dort nicht zu arbeiten. „Frankreich ist kein sicheres Land für Open-Source-Projekte zum Schutz der Privatsphäre", schrieb das Projekt. „Sie erwarten Hintertüren in der Verschlüsselung und auch für den Gerätezugriff." Die genauen Tatsachen sind wichtig, und sie schneiden tiefer, als ein Verbot es täte: Frankreich hat GrapheneOS nicht verboten, und im März 2025 hat die französische Nationalversammlung eine vorgeschlagene Verschlüsselungshintertür sogar abgelehnt. GrapheneOS ging trotzdem — vorsorglich, weil das Klima drumherum beängstigend genug geworden war, dass Gehen klug schien. Das ist das verräterische Zeichen. Man muss ein Privatsphäre-Projekt nicht verbieten, um es zu vertreiben. Man muss nur dafür sorgen, dass seine Entwickler die Reise fürchten und seine Infrastruktur ihren Gastgeber. Der Abschreckungseffekt ist kein Nebeneffekt davon, Werkzeugmacher zu verfolgen; er ist der Effekt. Ein Land, das die Urheberschaft von Privatsphäre-Software als von vornherein verdächtig behandelt, verliert die Urheber — an die Anonymität, an andere Jurisdiktionen, an das Schweigen — und es verliert sie, bevor es je einen Fall gewinnt.

Die Gegenwehr, Schicht für Schicht

Was hält also am 4. Juli 2026 tatsächlich? Die ehrliche Bilanz teilt sich sauber.

Wo der Open-Source-Stack gewinnt — Vertraulichkeit und Routing. Die Inhaltsebene ist stark und wird stärker. Signal liefert Ende-zu-Ende-Verschlüsselung standardmäßig an zig Millionen Menschen aus und hat seinen Ratchet gegen die Quantenentschlüsselung von morgen gehärtet; Tor und die gehärteten mobilen Basissysteme halten Gerät und Transport intakt; GrapheneOS weitet sich über Pixel-Hardware hinaus auf Motorola-Telefone aus; das Peer-to-Peer-Overlay von URnetwork trägt Verkehr über einen zensur- und DPI-resistenten Pfad, der keinen Transport an eine registrierte Identität bindet; Zcashs abgeschirmter Pool wächst weiter. Gegen einen Gegner, der Ihre Nachricht lesen oder Ihre Route blockieren will, funktionieren diese Werkzeuge — und sie sind genau die Werkzeuge, die minimieren, was irgendein Verwalter horten kann. Die Oracle-Kaskade ist das Argument für sie: Man kann die Sozialversicherungsnummer nicht verlieren, nach der man nie gefragt hat.

Wo er an sein Ende kommt — der Entwickler und der Zugang. Gegen einen Gegner, der die Person verfolgen will, die das Werkzeug geschrieben oder betrieben hat, oder die Börse von der Liste nehmen will, über die Sie es benutzen könnten, verdünnt sich derselbe Stack auf fast nichts. Es gibt kein clientseitiges Primitiv, das eine Anklage wegen Geldtransfers besiegt; Verschlüsselung nimmt einem Entwickler die Anklage nicht ab; ein Peer-to-Peer-Overlay routet um eine Netzsperre herum, aber es kann nicht um einen Gerichtssaal oder eine Compliance-Abteilung herum routen. Diese Grenze wird nicht durch Code verteidigt, weil sie kein technisches Problem ist. Sie wird — wenn überhaupt — verteidigt durch das Argument, dass die Veröffentlichung eines Werkzeugs geschützte Meinungsäußerung ist, durch ein Gesetz wie den Blockchain-Entwicklungs-Entwurf, der die Grenze zwischen Bauen und Betreiben wiederherstellt, und durch eine Öffentlichkeit, die sich weigert hinzunehmen, dass die Urheberschaft von Privatsphäre eine Straftat ist. Wir sind genau dort stark, wo wir uns organisiert haben — die Mathematik, die Protokolle, die Vertraulichkeit der Nachricht — und genau dort schwach, wo wir es nicht getan haben.

Geschrieben, nicht begangen

Die Unterscheidung, die diese ganze Ausgabe verteidigt, ist alt, und das Land hat sie früher verstanden. Wer einen Schlüssel fälscht, ist ein Krimineller; der Schlosser, der den Kurs gehalten hat, ist es nicht. Wer Geld wäscht, ist ein Krimineller; der Mathematiker, der die Chiffre veröffentlicht hat, ist es nicht. Wer die Bank ausraubt, ist ein Krimineller; der Hersteller der Reifen des Fluchtwagens ist es nicht. Ein Werkzeug zu schreiben und zu veröffentlichen ist nicht dasselbe, wie die Verbrechen zu begehen, die jemand damit begehen könnte — und jede Dual-Use-Technologie der Geschichte, von der Druckerpresse über das Taschenmesser bis zur Ende-zu-Ende-Verschlüsselung, hängt davon ab, dass diese Grenze hält.

Am 4. Juli 2026 verläuft der Kampf genau an dieser Grenze. Vertraulichkeit können wir verteidigen; das haben wir dieses Jahr wieder bewiesen. Die Freiheit, die Verteidigungen zu bauen — den Code zu schreiben, das Werkzeug zu betreiben und nicht für die Straftat eines Fremden einstehen zu müssen —, ist jene, die jetzt vor Gericht steht, und sie ist die Freiheit, die das Fourth Amendment allein nicht schützen kann, weil es dabei nicht darum geht, was der Staat durchsuchen darf. Es geht darum, was ein Bürger herstellen darf.

Ein Werkzeug wurde geschrieben. Eine Straftat, wenn es eine gab, wurde von jemand anderem begangen. Ein Land, das diese beiden Handlungen nicht mehr auseinanderhalten kann, wird die Verschlüsselung behalten und die Verschlüsselnden verlieren — und dann, bald genug, die Freiheit verlieren, die die Verschlüsselnden gebaut haben: die Freiheit zu sprechen, zu lesen, sich zu verbinden und Geschäfte zu machen, ohne vorher um Erlaubnis zu fragen. Diese Freiheit steht nicht auf dem Pergament. Sie muss trotzdem verteidigt werden, und dies ist das Jahr dafür.

Ein Werkzeug zu schreiben heißt nicht, eine Straftat zu begehen. Privatsphäre ist keine Straftat. Diese Unterscheidung ist alles — und die Freiheit, die Werkzeuge einer freien Gesellschaft zu schreiben, ist die Freiheit, deren Rückgewinnung das nächste Jahrzehnt kosten wird.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen; sein MCP-Server-Release vom Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Carrier-Ebene zu abstrahieren. Sein Code ist offen und prüfbar — veröffentlicht, in genau dem Sinne, den diese Ausgabe verteidigt, als geschützte Meinungsäußerung. Es ist ein Werkzeug für Vertraulichkeit und Routing, ehrlich über seine Grenzen: Es schützt, was Sie sagen und wie Sie sich verbinden, und es kann, wie alle solchen Werkzeuge, von sich aus keine Strafverfolgung der Person abwehren, die es geschrieben hat — weshalb diese Ausgabe dafür argumentiert, dass die Freiheit, Privatsphäre zu bauen, ebenso vor Gerichten und in Gesetzen verteidigt werden muss wie im Code.

https://ur.io

Beginnen wir mit dem, was sich heute geändert hat, denn es ist klein und präzise und weist auf etwas Enormes hin.

Seit dem 1. Juli 2026 behandelt der Connecticut Data Privacy Act Ihre neuronalen Daten als sensibel. In der Mechanik eines bundesstaatlichen Datenschutzgesetzes ist das ein enger Schritt: „sensitive data" — sensible Daten — ist eine Stufe, die eine Opt-in-Einwilligung verlangt statt des schwächeren Opt-out, das für gewöhnliche personenbezogene Daten gilt, und — durch dieselbe Änderung, Senate Bill 1295 — fallen die Größenschwellen weg, die kleine Unternehmen sonst ausnehmen. Im Klartext: Ein Unternehmen, das das Hirnsignal eines Einwohners von Connecticut ausliest, muss nun zuerst fragen und noch einmal fragen, bevor es verkauft. Connecticut ist der vierte US-Bundesstaat, der das tut, nach Colorado, das im Sommer 2024 das erste Neurodatengesetz des Landes schrieb, dann Kalifornien und Montana. Vier Bundesstaaten. Überall sonst richten sich Ihre Hirndaten nach dem, was der Gerätehersteller in eine Richtlinie geschrieben hat, die Sie nicht gelesen haben.

Was hier reguliert wird, ist kein Labor und kein Krankenhaus. Es ist ein Regal voller Konsumprodukte, das bereits existiert und sich als das Gegenteil von Überwachung vermarktet: Geräte für Ruhe, für Konzentration, für besseren Schlaf. Ein EEG-Stirnband verspricht, Ihre Meditation zu vertiefen, indem es Ihnen zeigt, wann Ihre Gedanken abschweifen. Ein Ohrhörer behauptet, Ihre Konzentration zu messen, damit Sie sie schützen können. Ein Schlafband bewertet Ihre Nacht anhand der elektrischen Rhythmen Ihres Gehirns. Jedes funktioniert, indem es Elektroden nahe Ihrer Kopfhaut anlegt, die schwache Spannung Ihrer Neuronen ausliest und dieses Signal an eine App auf Ihrem Telefon schickt — das heißt: weg von Ihrem Körper und auf die Server eines Unternehmens. Und weil das Gerät für Wellness und nicht für die Medizin verkauft wird, ist es kein Medizinprodukt, sind seine Daten keine medizinischen Daten, und HIPAA — das Gesetz, von dem fast alle annehmen, es wache über alles, was mit dem Gehirn zu tun hat — hat dazu nichts zu sagen. HIPAA bindet Krankenhäuser, Kliniken, Versicherer und deren Auftragnehmer. Es bindet keinen Stirnband-Hersteller, und ein Stirnband-Hersteller wird nicht dadurch zum Krankenhaus, dass er Ihr Gehirn berührt.

In diese Lücke ist der Markt genau so hineingegangen, wie er es immer tut. 2024 las die Neurorights Foundation das Kleingedruckte von dreißig Unternehmen der Consumer-Neurotechnologie und stellte fest, dass neunundzwanzig von ihnen — alle bis auf eines — „offenbar Zugriff auf die neuronalen Daten der Verbraucher haben und keine nennenswerten Beschränkungen dieses Zugriffs vorsehen". Die meisten Richtlinien sind zu vage, um zu sagen, ob eine Weitergabe als „sale" — Verkauf — zählt. Nur eines von fünf erwähnt überhaupt eine Verschlüsselung des Signals; nur eines von zehn setzt sämtliche Grundvorkehrungen um, die eine Datenschutzfachkraft für selbstverständlich halten würde. Ihre Hirnaktivität, erhoben für Ruhe und Konzentration, ist in fast jedem Fall ein Vermögenswert, dessen Weitergabe sich das Unternehmen vorbehalten hat. Das ist der Zustand, auf den die vier Landesgesetze antworten, und der Zustand, den die anderen sechsundvierzig genau so lassen, wie er ist.

Nicht die Panik, nicht das Achselzucken

Hier muss die Ausgabe sorgfältig sein, denn neuronale Daten sind die seltene Datenschutzgeschichte, die zu gleichen Teilen Hype und Abwinken auf sich zieht, und beides ist auf lehrreiche Weise falsch.

Zuerst das Abwinken, denn es klingt raffinierter und enthält eine echte Wahrheit. Consumer-EEG kann Ihre Gedanken nicht lesen. Es ist eine Handvoll trockener Elektroden, die gegen einen Kopf voller Haare gedrückt werden und einen verschmierten, grob aufgelösten Mittelwert von Milliarden Neuronen durch den Schädelknochen hindurch auslesen, verfälscht von jedem Blinzeln und jedem Zusammenbeißen der Kiefer. Es kann grob sagen, ob Sie entspannt oder wach sind, schläfrig oder engagiert; es kann Schlafphasen bestimmen; es kann das grobe emotionale Wetter erraten. Es kann keinen Satz zurückgewinnen, den Sie denken, kein Bild in Ihrem Kopf, kein Geheimnis, das Sie hüten — und diese Grenze ist keine Softwarelücke, die ein besseres Modell nächstes Jahr schließt, sie liegt näher an einer physikalischen Obergrenze, gesetzt davon, wie viel Signal die Reise vom Neuron zur Kopfhaut übersteht. Wer Ihnen sagt, das Stirnband kenne Ihre Gedanken, verkauft entweder das Stirnband oder die Angst davor, und die Rahmung als „Gedankenlesen" schmeichelt dem Neurotech-Vermarkter und dem Panikhändler zugleich. Nehmen Sie das ernst: Ein Datenschutzregime, das auf der Prämisse gebaut wäre, der Geist sei bereits ein offenes Buch, würde auf Sand bauen.

Die Stellen, an denen Maschinen tatsächlich so etwas wie Sprache dekodieren, machen den Punkt gerade durch ihren Abstand zu einem Stirnband. Das eindrucksvollste Ergebnis — ein System von 2023 an der UT Austin, das den Sinngehalt dessen rekonstruiert, was eine Person hört oder sich vorstellt — läuft auf einem zimmergroßen fMRT-Scanner, braucht etwa sechzehn Stunden Trainingsdaten von genau dieser Person, gewinnt den Sinngehalt und nicht die Worte zurück und lässt sich dadurch aushebeln, dass die Versuchsperson einfach an etwas anderes denkt. Die implantierten Sprachschnittstellen, die gelähmten Patienten das Sprechen zurückgeben, setzen Elektroden in den Kortex; eine Gruppe fand 2025 bei der Arbeit an der Dekodierung innerer Sprache das Signal stark genug, um ein mentales Passwort einzubauen — der Patient denkt eine gewählte Wendung, um den Dekoder einzuschalten —, was Ihnen beides sagt: dass diese Grenze real ist und dass sie vorerst auf der anderen Seite der Neurochirurgie liegt. Was Meta als „neuronale Schnittstelle" vermarktet, liest Muskelsignale am Handgelenk aus, nicht das Gehirn; was Apple patentiert hat, ist ein EEG-Ohrhörer, den es als Produkt noch nicht gibt. Die beängstigenden Demonstrationen brauchen einen Scanner oder eine Operation. Das Ding im Regal liest Ihre Stimmung.

Und nun der Teil, den das Abwinken auslässt: die Entwicklungslinie. Der Grund, das Recht jetzt aufzuschreiben, ist nicht, dass die Geräte Gedanken lesen; es ist, dass sie Stimmungen lesen, dass Stimmungen bereits genügen, um zu verkaufen, und dass die Vektoren der Verbesserung nicht subtil sind — Neuralinks Array hat mehr als tausend Elektroden, wo ein Meditationsstirnband vier hat, das maschinelle Lernen wird jedes Jahr besser, und multimodale Sensorik stapelt EEG mit anderen Signalen. Jede frühere Datengrenze — Ihr Standort, Ihr Gesicht, Ihr Genom, Ihre Identität — blieb unreguliert, solange die Technik grob und der Schaden hypothetisch war, und als der Schaden nicht mehr zu leugnen war, hatte sich der Markt um die Daten herum gebildet, und das Gesetz verbrachte das nächste Jahrzehnt damit, gegen ihn zu verlieren. Neuronale Daten sind ausnahmsweise eine Grenze, die Gesetzgeber benennen, während die Sensoren noch schwach sind. Das ist keine Panik. Das ist das eine Mal, bei dem das Datenschutzrecht die Chance hat, früh anzukommen.

Der ehrliche Rahmen ist also weder „die Maschinen können deine Gedanken lesen" noch „das ist nur ein Wellness-Gadget, entspann dich". Er lautet: Das intimste Signal, das ein Körper abgibt, ist jetzt ein Verbraucherdatenstrom, es liegt außerhalb des Gesetzes, von dem alle annehmen, es decke es ab, die Unternehmen, die es erheben, haben sich ganz überwiegend das Recht vorbehalten, es zu verkaufen, und das Fenster, „das Innere Ihres Schädels" zu einer Rechtskategorie zu machen — bevor der Markt es zu einem Produkt macht —, ist gerade jetzt offen und wird nicht lange offen bleiben.

Vier Bundesstaaten, drei Definitionen

Der Haken an „das Recht jetzt aufschreiben" ist, dass niemand genau weiß, was zu schreiben ist, und die vier Landesgesetze widersprechen einander bereits — was kein Grund zu warten ist, sondern eine Landkarte der eigentlichen Arbeit.

Colorado ging 2024 voran, ordnete neuronale Daten der Stufe sensibler Daten seines Datenschutzgesetzes zu und verlangte eine Opt-in-Einwilligung. Kalifornien folgte mit einer Änderung seines Verbraucherdatenschutzgesetzes — aber Kalifornien schützt neuronale Daten als einziger der vier über das schwächere Opt-out-„right to limit", das Recht auf Beschränkung, statt über ein vorgeschaltetes Opt-in, und nimmt Informationen aus, die lediglich aus nicht-neuronalen Signalen abgeleitet werden. Montana wählte Opt-in. Connecticut wählt heute Opt-in und definiert neuronale Daten am engsten von allen: nur die Aktivität des zentralen Nervensystems — Gehirn und Rückenmark —, während Kalifornien und Montana auch das periphere Nervensystem erfassen, die Nerven und Muskeln, die unter anderem jene Handgelenkssignale tragen, um die herum Meta ein Verbraucherprodukt baut. Vier Bundesstaaten; Opt-in in dreien und Opt-out in einem; nur zentral in einem und zentral plus peripher in zweien. Dieselben zwei Worte, „neural data", bedeuten vier verschiedene Dinge.

Das Future of Privacy Forum nennt das das Goldlöckchen-Problem der neuronalen Daten, und es ist real. Definiert man die Kategorie zu weit, fängt man jeden Herzfrequenzgurt und jeden Eye-Tracker ein, der einen mentalen Zustand ableitet, und wohl auch viel gewöhnliche medizinische Forschung, und schreckt damit Arbeit ab, die mit dem Schaden nichts zu tun hat. Definiert man sie zu eng — sagen wir, nur das zentrale Nervensystem —, verfehlt man die am Handgelenk getragene Muskelschnittstelle, die eine große Plattform an Millionen ausliefert. Es gibt keine saubere Grenze, weil das Gehirn kein einziges sauberes Signal abgibt und ein Gesetz eine Linie durch einen Schmierfleck ziehen muss. Aber „die Definition ist schwer" ist ein Argument dafür, die Definitionsarbeit sorgfältig, öffentlich und jetzt zu leisten — nicht dafür, die intimste Datenkategorie der Verbraucherwirtschaft einem Häkchen und einer Richtlinie zu überlassen, die niemand liest. Die Antwort auf eine schwere Definition ist eine bessere Definition. Sie ist nie: kein Schutz.

Die Emotionsökonomie

Um zu sehen, warum sich die Mühe lohnt, folgen Sie dem Geld, denn das Geschäftsmodell, das fast das gesamte Verbraucherinternet antreibt, zeigt direkt auf das Gehirn.

Die Werbewirtschaft lebt von Ableitung: Sie muss Ihre Gedanken nicht lesen, um Milliarden wert zu sein, sie muss Ihre Aufmerksamkeit und Ihre Stimmung gut genug erraten, um dagegen zu verkaufen. Zwanzig Jahre lang hat sie das indirekt getan, aus Klicks und Verweildauer und dem Beschleunigungssensor in Ihrer Tasche. Ein Gerät, das Ihre Konzentration und Ihre emotionale Erregung direkt an der Quelle meldet, ist kein anderes Geschäft — es ist dasselbe Geschäft mit einem besseren Sensor, die Affekterkennungsschicht, die die Werbewirtschaft immer wollte und nie ganz hatte. Deshalb existiert die Emotionserkennungsindustrie, deshalb verkabeln „Neuromarketing"-Firmen schon heute Fokusgruppen mit EEG, und deshalb zählt die Entwicklungslinie mehr als die heutige Genauigkeit: Der Anreiz, eine Meditationshilfe in einen Stimmungs-Feed zu verwandeln, ist nicht hypothetisch, er ist die Standard-Schwerkraft der gesamten Branche, und das Einzige zwischen dem Sensor und dieser Nutzung ist eine Richtlinie, die das Unternehmen selbst geschrieben hat und ändern kann.

Die Regulierer haben begonnen zu bemerken, dass Emotionsableitung selbst dann gefährlich ist, wenn sie ihre Aufgabe schlecht erfüllt. Der AI Act der Europäischen Union, dessen Verbote im Februar 2025 in Kraft traten, hat den Einsatz von Emotionserkennungssystemen am Arbeitsplatz und in Schulen rundheraus verboten — und das Bemerkenswerte an der Begründung ist, dass die Regulierer die Technik sowohl unzuverlässig als auch nötigend nannten, was genau richtig und genau der Punkt ist. Sie muss nicht funktionieren, um Ihnen zu schaden. Ein Stimmungswert, der falsch ist, kann Sie als unengagiert markieren; ein Stimmungswert, der stimmt, kann dazu führen, dass Sie über Ihre Gefühle gesteuert werden. So oder so wartet der Schaden nicht darauf, dass die Wissenschaft reift.

Das Gehirn am Arbeitsplatz

Der Ort, an dem das Nötigungsproblem aufhört, abstrakt zu sein, ist jener, an dem Sie nicht nein sagen können: die Arbeit.

Die Einwilligung, die Consumer-Neurotechnik akzeptabel machen soll — Sie haben sich entschieden, es zu tragen —, verschwindet still, wenn die Person, die Ihnen das Gerät anbietet, Ihren Gehaltsscheck unterschreibt. Müdigkeitsüberwachungskappen, die die Hirnströme eines Fahrers oder eines Bergarbeiters lesen, um Sekundenschlaf zu erkennen, sind in Speditionen und im Bergbau bereits im Einsatz, verkauft als Sicherheitsausrüstung, und als Sicherheitsausrüstung haben sie ein echtes Argument; aber ein Gerät, das erkennen kann, wann Sie schläfrig sind, kann auch erkennen, wann Sie gelangweilt sind, und derselbe Datenstrom, der einen Unfall verhindert, kann Ihr Engagement benoten. Berichte aus China haben EEG-Kopfbedeckungen zur „Hirnüberwachung" beschrieben, die an Fabrik- und Verkehrsbeschäftigten erprobt wurden, um emotionale Zustände zu erfassen. Der Punkt ist nicht, dass irgendein bestimmter Einsatz dystopisch wäre; der Punkt ist, dass „Opt-in-Einwilligung", der Mechanismus, auf den sich die Landesgesetze stützen, in einer Meditations-App das eine bedeutet und am Schreibtisch gegenüber Ihrem Vorgesetzten etwas ganz anderes, wo die Entscheidung, den Sensor abzulehnen, die Entscheidung ist, wie der Beschäftigte auszusehen, der etwas zu verbergen hat. Echter Schutz bei der Arbeit ist kein Einwilligungshäkchen. Er ist ein Boden — die Art Boden, die die EU gezogen hat, als sie Emotions-KI am Arbeitsplatz unabhängig von der Einwilligung verbot —, denn eine Einwilligung, die unter der Drohung der Arbeitslosigkeit erlangt wird, ist keine Einwilligung.

Vorerst nur lesend

Alles bisher handelt vom Lesen des Gehirns. Die tiefere Grenze — und der Grund, warum das Wort „Privatsphäre" dafür irgendwann zu klein sein könnte — ist das Schreiben in das Gehirn.

Die heutigen Massenmarktgeräte messen nur. Aber Neuromodulation — das Gehirn zu stimulieren, um seinen Zustand zu verändern, statt ihn bloß zu messen — ist das nächste Regal derselben Branche, in gröberen Formen bereits als Konsumgerät verkauft, das durch Strom über die Kopfhaut Konzentration oder Stimmung verbessern soll, und in der Medizin weit ernsthafter verfolgt. Ein Recht darauf, dass die eigenen neuronalen Daten nicht gelesen werden, ist ein Privatsphäre-Recht, kontinuierlich mit allem, was diese Publikation über Standort und Identität argumentiert. Ein Recht darauf, dass der eigene neuronale Zustand nicht ohne Einwilligung verändert wird, ist etwas Älteres und Tieferes — näher an der körperlichen Unversehrtheit, an dem Recht, dass am eigenen Geist nicht operiert wird. Der Verbrauchermarkt ist von zuverlässigem Hirnschreiben weit entfernt, und die Ehrlichkeit verlangt zu sagen, dass die Wirksamkeitsbehauptungen der heutigen Stimulationsgeräte bestenfalls umstritten sind. Aber beide Fähigkeiten wachsen am selben Baum, aus denselben Elektroden und aus denselben Unternehmen, und eine Rechtskategorie, die nur um das Lesen herum gebaut ist, wird in einem Jahrzehnt feststellen, dass sie ihre Grenze ein Regal zu früh gezogen hat. Mentale Privatsphäre heute zu benennen ist auch die Art, Raum zu lassen, um morgen kognitive Freiheit zu benennen.

Die dünnste Antwort

Stellt man die Größe des Problems neben den Umfang der Antwort, ist die Lücke ihr eigenes Argument.

Auf Bundesebene besteht die Antwort in einer Studie. Der MIND Act, im September 2025 von den Senatoren Cantwell, Schumer und Markey eingebracht, ist der erste Gesetzentwurf in der Geschichte des US-Kongresses, der sich mit Neurotechnologie befasst — und was er tatsächlich tut, ist, die Federal Trade Commission anzuweisen, das Feld zu erforschen und zu berichten, mit einiger Anleitung durch das Wissenschaftsbüro des Weißen Hauses. Er schafft keine neuen Verbraucherrechte. Das ist es wert, klar gesagt zu werden, nicht um ihn zu verspotten — eine bundesweite Definition ist der Gegenstand, an dem jede künftige Regel ansetzen wird, es zählt also, damit anzufangen —, sondern weil der Abstand zwischen „dem ersten Gesetzentwurf des Kongresses zur intimsten Datengrenze" und „einem FTC-Bericht" ein faires Maß dafür ist, wie früh und wie dünn das ganze Unterfangen noch ist.

Der Rest der Welt ist stellenweise weiter in der Ambition, wenn auch nicht in der Durchsetzung. Chile änderte 2021 seine Verfassung zum Schutz der Neurorechte, als erstes Land überhaupt. Die UNESCO verabschiedete im November 2025 einen globalen Standard zur Neurotechnologie-Ethik, rechtebasiert und unverbindlich. Der gedankliche Rahmen geht auf einen Vorschlag des Neurowissenschaftlers Rafael Yuste und Kollegen aus dem Jahr 2017 zurück, fünf „Neurorechte" zu benennen — mentale Privatsphäre, personale Identität, Handlungsfähigkeit, gleicher Zugang zu Augmentierung und Schutz vor algorithmischer Verzerrung —, und die Bewegung hat ernstzunehmende Kritiker, denen man zuhören sollte: Wissenschaftler, die vor einem „Rechte-Inflationismus" warnen, davor, das Gehirn als magisch besonders zu behandeln, wo sich das bestehende Datenschutzrecht dehnen ließe, um es abzudecken, und die überzeugend argumentieren, der konkreteste Schaden bestehe derzeit nicht im Gedankenlesen, sondern darin, dass Unternehmen irreführende Behauptungen darüber aufstellen, was ihre Geräte können. Diese Kritiker haben recht damit, dass die Panik überdimensioniert ist. Sie berühren nicht die engere Behauptung, die diese Ausgabe aufstellt und die die gesamte Entzauberung übersteht: die Kategorie zu definieren, bevor der Markt es tut, und sie öffentlich zu verfeinern, weil die Alternative darin besteht, es so zu machen, wie wir es bei jeder anderen Datengrenze gemacht haben — zu spät.

Architektur vor Gesetz

Die Linie, zu der diese Reihe immer wieder zurückkehrt, gilt auch hier, und sie ist die ehrliche Grenze des Gesetzes, das sich heute geändert hat. Ein Gesetz regelt, was ein Unternehmen mit einem Hirnsignal tun darf, nachdem es erhoben wurde. Es unterbindet die Erhebung nicht, und es folgt den Daten nicht, sobald sie den Bundesstaat verlassen haben, auf dessen Gesetz Sie sich verlassen.

Die nutzerseitige Gegenwehr ist die neuronale Version der Datenminimierung, und sie hat zwei Hälften, die einander brauchen. Die erste ist Architektur: Der sauberste Weg, Ihre Hirndaten aus den Servern eines Unternehmens herauszuhalten, ist, dass das Rohsignal Ihren Kopf nie verlässt — Verarbeitung auf dem Gerät, die aus der Elektrodenmessung ein „Sie haben gut geschlafen" macht, ohne den zugrunde liegenden Strom je auszusenden, so wie die datenschutzfreundlichsten Sensoren es bereits tun. Der Haken, und der Grund, warum Architektur allein nicht genügt, ist, dass Sie die Behauptung eines Unternehmens, es verarbeite auf dem Gerät, in aller Regel nicht überprüfen können; das Versprechen ist eine Marketingzeile, bis ein Gesetz oder eine Prüfung es real macht. Die zweite Hälfte ist eben dieses Gesetz — Opt-in als Standard, eine harte Grenze für den Verkauf neuronaler Daten, der Boden, den die Landesgesetze zu ziehen beginnen. Keine Hälfte genügt für sich. Ein On-Device-Versprechen, das Sie nicht prüfen können, ist ohne rechtliche Rückendeckung wenig wert; eine rechtliche Rückendeckung ist wenig wert, wenn das Rohsignal an einen Server in einem Bundesstaat strömt, der das Gesetz nie verabschiedet hat. Tragen Sie weniger, verlangen Sie, dass das, was Sie tragen, das Signal auf Ihrem Körper behält, und untermauern Sie beides mit einer Regel, die sagt: Die intimsten Daten, die Sie abgeben, stehen nicht zum Verkauf. Das ist die gesamte Verteidigung, und jedes ihrer Teile wird noch gebaut.

Ausnahmsweise früh ankommen

Hier ist das Argument, heruntergeschält auf den Rahmen, der seine eigenen stärksten Kritiker übersteht.

Die Alarmisten irren, dass die Maschinen Ihre Gedanken lesen können; sie können es nicht und werden es aus einem Verbraucher-Stirnband so bald nicht können. Die Abwinkenden irren, dass daraus folgt, es sei nichts zu tun; das Signal wird jetzt erhoben, es liegt außerhalb des Gesetzes, von dem alle annehmen, es decke es ab, siebenundneunzig Prozent der Unternehmen haben sich das Recht vorbehalten, es zu verkaufen, und der Anreiz, ein Wellness-Gadget in einen Stimmungs-Feed zu verwandeln, ist die Standard-Schwerkraft der gesamten Internetwirtschaft. Zwischen der Panik und dem Achselzucken liegt das, was tatsächlich wahr ist: Die intimsten Daten, die ein Körper abgibt, sind zu einem Konsumprodukt geworden, während die Sensoren noch grob sind, und diese Grobheit ist kein Grund zu warten — sie ist die Gelegenheit.

Jeder andere Datenschutzkampf, über den diese Publikation berichtet, ist ein Kampf um das Aufholen. Die Verschlüsselung hat das Abfangen dessen aufgeholt, was Sie sagen. Chatrie war vergangene Woche die Verfassung, die das Verfolgen dessen aufholt, wohin Sie gehen — Jahre, nachdem dieses Verfolgen total geworden war. Neuronale Daten sind die eine Grenze, an der das Aufholen noch nicht stattgefunden hat, weil der Schaden noch nicht vollständig eingetreten ist — was, einzigartig, bedeutet: Das Gesetz kann zuerst ankommen. Benennen Sie die Kategorie jetzt, solange es billig ist. Verfeinern Sie die Definition öffentlich, durch genau die Meinungsverschiedenheiten zwischen Colorado und Connecticut, die nach Unordnung aussehen und in Wahrheit die Arbeit sind. Verbieten Sie den Verkauf. Und lassen Sie das Gedankenlese-Theater sein — bei den Vermarktern, die damit Wunder verkaufen, und bei den Fürsprechern, die damit Angst verkaufen —, denn der eigentliche Fall braucht keines von beidem: nicht, dass sie Ihre Gedanken lesen, sondern dass sie die Straße zu Ihren Stimmungen bauen, und dass wir ausnahmsweise am Anfang des Weges stehen statt ein Jahrzehnt weiter unten.

Das Innere Ihres Schädels war der letzte Ort, den die Datenwirtschaft nicht erreichen konnte. Heute hat ein Bundesstaat gesagt, sie könne ihn nicht erreichen, ohne zu fragen. Das ist eine kleine Sache, und es ist das erste Mal, dass der Zaun vor der Herde stand.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen; sein MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen. Der Code von URnetwork ist offen und prüfbar. Es kann keinen Sensor von Ihrem Kopf fernhalten — das sind Architektur und Gesetz, nicht Transport —, aber es hält sich an dasselbe Prinzip, für das diese Ausgabe im Fall des Gehirns argumentiert: Die intimsten Daten, die Sie abgeben, sollten auf Ihrer Seite der Leitung bleiben, an der Quelle minimiert und niemals stillschweigend zum Verkauf gestellt.

https://ur.io

Beginnen wir mit dem Sieg, denn er ist real, und eine Generation von Datenschutzjuristen hat auf ihn gewartet.

Am 29. Juni 2026 entschied der Supreme Court Chatrie v. United States und hielt fest — sechs zu drei, Justice Kagan schrieb für die Mehrheit —, dass Amerikaner eine berechtigte Erwartung von Privatsphäre an ihren detaillierten Standortverlaufsdaten haben und dass der Staat, wenn er diese Daten erlangt, um einen Verdächtigen zu finden, eine Durchsuchung im Sinne des Fourth Amendment vorgenommen hat. Der Fall geht auf den Überfall auf eine Kreditgenossenschaft in Midlothian, Virginia, im Mai 2019 zurück, aufgeklärt mit einem „Geofence"-Beschluss gegen Google: der Forderung, das Unternehmen möge seine Location-History-Datenbank durchkämmen und jedes Gerät benennen, das es zur Tatzeit in einem Radius von 150 Metern um das Gebäude verortet hatte. Der Radius erfasste eine benachbarte Kirche — und, laut Prozessakte, eine Seniorenwohnanlage —, sodass jeder, der in der Nähe betete oder schlief, durch die Geometrie des Beschlusses zu einem Gerät wurde, dessen Benennung der Staat verlangen konnte. Justice Kagan nannte den Standortverlauf einer Person für die Mehrheit „a personal journal of a user's movements" — ein persönliches Tagebuch der Bewegungen eines Nutzers — und warnte, die Technik reiche dem Staat „a virtual panopticon", ein virtuelles Panoptikum; das Argument der Regierung, man gebe jede Privatsphäre auf, indem man sich für die Funktion entscheide, wischte der Gerichtshof als „meritless", unbegründet, beiseite. Er war sorgfältig darin, wie viel er entschied: Er hielt nur fest, dass die Erlangung der Daten eine Durchsuchung war, hob das Urteil auf und verwies den Fall zurück, um hinreichenden Tatverdacht und Bestimmtheit zu prüfen — und eine Fußnote lässt offen, ob die Beweise über die Gutgläubigkeitsausnahme doch verwertbar sind, sodass Chatrie selbst noch verlieren könnte. Aber die Schwellenentscheidung ist jene, die die Dogmatik umformt: Ihren Standortverlauf zu erlangen ist eine Durchsuchung, und Durchsuchungen sind Sache des Fourth Amendment.

Das Urteil zählt über seinen Sachverhalt hinaus wegen der Doktrin, die es weiter abbaut. Ein halbes Jahrhundert lang hat sich das amerikanische Datenschutzrecht mit der Third-Party-Doktrin abgemüht — der in den 1970er Jahren aus Fällen über Bankunterlagen und gewählte Telefonnummern geborenen Vorstellung, dass Informationen, die man freiwillig einem Unternehmen übergibt, keine berechtigte Erwartung von Privatsphäre tragen und damit überhaupt keinen Schutz durch das Fourth Amendment. In einer Zeit, in der schlichtes Leben bedeutet, einen ständigen Datenauspuff an Dritte abzugeben, ist diese Doktrin ein Generalschlüssel zum Leben aller, und der Gerichtshof hat den größeren Teil eines Jahrzehnts damit verbracht, sie einzuengen: United States v. Jones 2012 zu GPS-Trackern, Carpenter v. United States 2018 zu Funkzellenstandorten und nun Chatrie zum Geofence. Jedes Urteil schneidet eine weitere Kategorie digitaler Standortdaten aus der Third-Party-Doktrin heraus und zurück unter die Verfassung. Und die Zusammensetzung bringt die gewohnte Landkarte durcheinander, was mit ein Grund ist, warum sie zählt: Justice Kagan schrieb für Chief Justice Roberts, Justice Sotomayor, Justice Kavanaugh und Justice Jackson, während Justice Gorsuch die sechste Stimme aus einer eigenen eigentumsrechtlichen Theorie beisteuerte — eine ideologieübergreifende Mehrheit, nicht der konservative Block des Gerichtshofs. Die drei Abweichenden hätten die alte Regel stehen lassen; Justice Alito nannte die Begründung der Mehrheit für sie „an irresponsible escapade" — eine unverantwortliche Eskapade — und warnte, der Gerichtshof improvisiere ein digitales Fourth Amendment Fall für Fall, ohne begrenzendes Prinzip — kein leichtfertiger Einwand. Aber die Linie des Mehrheitsprojekts ist unverkennbar, und sie ist die langsame, echte Arbeit eines Gerichtshofs, der die Überwachung einholt, in der seine Bürger leben. Feiern Sie das.

Und lesen Sie dann den Teil der Entscheidung, der davon handelt, wen sie bindet.

Die Seitentür

Das Fourth Amendment ist eine Fessel für den Staat. Das ist seine gesamte Architektur: Es sagt dem Staat, was er ohne Beschluss nicht tun darf. Es schweigt, von der Anlage her und nach zwei Jahrhunderten Dogmatik, zu privaten Akteuren — und die Überwachung, die 2026 prägt, ist ganz überwiegend privat.

Die Standortspur, die der Gerichtshof gerade vor einem staatlichen Zugriff ohne Beschluss geschützt hat, wurde nicht vom Staat erhoben. Sie wurde von Google erhoben, von der Wetter-App, vom Spiel, von den Dutzenden Werbe-SDKs, die in der kostenlosen Software auf dem Telefon eingebettet sind, all das eingesammelt mit einem Tippen auf „Erlauben", an das sich die meisten Menschen nicht erinnern. Diese Daten werden dann verkauft — in einen kommerziellen Markt von Datenhändlern, die Standortverläufe milliardenfach aggregieren, verpacken und weiterverkaufen, an Werbetreibende, Versicherer, Vermieter, Hedgefonds und jeden anderen mit einer Bestellnummer. Chatrie berührt davon keine einzige Zeile. Die App darf sie weiter erheben. Der Händler darf sie weiter verkaufen. Der Käufer darf sie weiter kaufen. Die Verfassung hat die Vordertür abgeschlossen — jene mit der Aufschrift „staatliche Beschlagnahme" — und der gesamte kommerzielle Markt ist eine Seitentür, die daneben offen steht.

Und hier ist der Teil, der aus einer unangenehmen Lücke ein echtes Loch macht: Der Staat geht auch durch die Seitentür. Seit Jahren kaufen Bundesbehörden — Teile des Heimatschutzministeriums, das Militär, das FBI, die Steuerfahndung — die Standortdaten von Amerikanern bei kommerziellen Händlern, gerade weil der Kauf keinen Beschluss, kein Gericht, keinen hinreichenden Tatverdacht erforderte: nur einen Vertrag. Berichte haben Behörde um Behörde dokumentiert, die Produkte auf Basis gehandelter Standortdaten lizenziert — Venntel, Locate X von Babel Street, Fog Data Science und ihresgleichen —, um genau das zu tun, was ein Geofence-Beschluss tut, ohne den Beschluss. Sie kauften, was das Fourth Amendment sie andernfalls verpflichtet hätte, mit der Unterschrift eines Richters zu erlangen. Chatrie sagt, die Vordertür brauche nun einen Beschluss. Es sagt nichts über die Seitentür, die die Behörden die ganze Zeit benutzt haben. Eine Verfassungsregel, die der Staat erfüllen kann, indem er Kunde wird, ist keine Mauer. Sie ist ein Drehkreuz mit einer Ausfahrspur.

Kaufen, was man nicht beschlagnahmen darf

Das ist der genaue Mechanismus, den es zu benennen lohnt, denn er ist das Scharnier der ganzen Ausgabe: In der Überwachungswirtschaft sind der Beschlussvorbehalt und der offene Markt nicht zwei getrennte Probleme. Der Markt ist der Weg um den Beschluss herum.

Die eigene Entscheidung des Gerichtshofs ist der Beweis für die Lücke: Auf all ihren Seiten über Standort-Privatsphäre kommt die Formulierung „data broker" — Datenhändler — kein einziges Mal vor. Sie entschied, was der Staat beschlagnahmen darf, und sagte nichts dazu, was der Staat kaufen darf. Senator Ron Wyden versucht seit Jahren, diesen Abstand mit einem Gesetzentwurf zu schließen, dessen Titel das ganze Argument ist — der Fourth Amendment Is Not For Sale Act —, und hat in diesem Frühjahr einen breiteren Government Surveillance Reform Act erneut eingebracht; Montana wurde 2025 der erste Bundesstaat, der seiner Polizei den Kauf dessen untersagte, wofür sie sonst einen Beschluss bräuchte. Dass solche Korrekturen nötig und auf Bundesebene bislang überwiegend nicht verabschiedet sind, sagt Ihnen: Die Lücke ist real, bekannt und offen. Die Logik des Schlupflochs ist lückenlos und düster: Die Verfassung verbietet dem Staat, Ihre Daten ohne Verfahren zu nehmen, sagt aber nichts dazu, dass der Staat sie kauft, und es existiert ein blühender Markt, der sie verkauft. Also lizenziert die Behörde, die einen Beschluss bräuchte, um Ihren Standort von Ihrem Mobilfunkanbieter zu erzwingen, schlicht denselben Standort, aus Ihren Apps abgeschöpft, bei einem Händler, der beim Erheben keiner solchen Schranke unterlag. Der Staat war mit dieser Theorie nicht einmal zurückhaltend: Ein Memo der Defense Intelligence Agency von 2021 stellte schlicht fest, die Behörde „does not construe the Carpenter decision to require a judicial warrant" — lege die Carpenter-Entscheidung nicht so aus, dass sie einen richterlichen Beschluss verlange — für Standortdaten, die sie kauft statt beschlagnahmt; und eine Bundesaufsicht stellte später fest, dass mehrere Einheiten des Heimatschutzministeriums gekaufte Standortdaten auf gesetzwidrige Weise verwendet hatten. Jeder Schutz, den Chatrie gerade an der Vordertür verkündet hat, lässt sich an der Seitentür zum Preis eines Abonnements umgehen. Die Entscheidung ist ein echter Fortschritt im Recht der staatlichen Beschlagnahme, und sie lässt die staatliche Erlangung durch Kauf fast genau dort, wo sie sie vorgefunden hat.

Deshalb muss der Jubel genau sein in dem, was gewonnen wurde. Eine berechtigte Erwartung von Privatsphäre an Ihrem Standort ist etwas Mächtiges, das man im Verfassungsrecht etabliert; sie formt jeden künftigen Durchsuchungsantrag und jeden Beweisverwertungsantrag darunter um. Aber eine berechtigte Erwartung von Privatsphäre, die in dem Moment verdunstet, in dem dieselben Daten über einen kommerziellen Zwischenhändler geleitet werden, ist ein Schutz mit einem Loch von kommerzieller Größe, und das Loch ist nicht hypothetisch. Es ist das Geschäftsmodell einer ganzen Branche und eine Beschaffungsposition einer ganzen Regierung.

Zwanzig Bundesstaaten, dreißig ohne

Wenn die Verfassung den kommerziellen Markt nicht erreicht — was dann? In den Vereinigten Staaten lautet die Antwort: ein Flickenteppich, und der Flickenteppich ist das Problem.

Es gibt kein bundesweites Verbraucherdatenschutzgesetz. Der ernsthafteste Versuch, der American Privacy Rights Act, scheiterte im Kongress, und in seiner Abwesenheit haben die Bundesstaaten einer nach dem anderen Gesetze erlassen. Bis Mitte 2026 haben zwei Dutzend Bundesstaaten umfassende Verbraucherdatenschutzgesetze verabschiedet — etwa zwanzig davon sind bereits in Kraft — von Kalifornien, Colorado und Virginia bis zu neueren Zugängen wie Indiana, Kentucky und Rhode Island, seit Januar in Kraft, während Oklahomas frisch unterzeichnetes Gesetz 2027 wirksam werden soll. Das ist real, und in den stärksten Bundesstaaten ist es realer Schutz. Aber liest man quer, zeigt sich der Flickenteppich: Manche verlangen, dass Sie dem Datenverkauf widersprechen, andere verlangen eine Opt-in-Einwilligung; die Anwendungsschwellen schwanken von fünfunddreißigtausend Einwohnern bis hunderttausend; die Definitionen von „sensitive data", sensiblen Daten, gehen auseinander; und — das Detail, das fast alle aushöhlt — nur ein einziger Bundesstaat, Kalifornien, gibt Ihnen überhaupt ein eigenes Klagerecht, und auch das nur begrenzt und nur bei Datenlecks. In den anderen dreiundzwanzig liegt die Durchsetzung vollständig beim Büro eines Attorney General mit begrenztem Personal und einem Krieg an fünfzig Fronten, gegen eine Branche, die täglich eine Billion Datensätze zu Geld macht. (Vermont verabschiedete sein Gesetz von 2026 erst, nachdem die Klausel zur privaten Durchsetzung gestrichen war, die im Jahr zuvor ein Veto auf sich gezogen hatte — eine saubere Illustration dafür, wie die Zähne vor der Verabschiedung gezogen werden.) Ein Recht, das Sie nicht selbst durchsetzen können, gegen einen Beklagten, dem nachzusetzen einer Aufsicht die Mittel fehlen, ist ein Recht, das überwiegend auf dem Papier steht. Und das ist die Lage in den Bundesstaaten, die ein Gesetz haben. Dreißig Bundesstaaten haben keines, was bedeutet, dass der kommerzielle Standortmarkt für eine relative Mehrheit der Amerikaner von nichts begrenzt wird außer den sektorspezifischen Bundesresten — Gesundheit, Finanzen, Kinder — und den Geschäftsbedingungen der Händler selbst.

Die Landkarte, die aus dem 29. Juni hervorgeht, ist also auf eine bestimmte Weise schief. Gegen den Staat genießt Ihr Standort nun in allen fünfzig Bundesstaaten einen verfassungsrechtlichen Boden. Gegen den Markt, der Ihren Standort tatsächlich hält, haben Sie, je nach Postleitzahl, ein mäßig starkes Landesgesetz, das Sie nicht selbst durchsetzen können, ein schwaches voller Ausnahmen — oder nichts.

Der Gerichtshof gibt, und er nimmt

Es lohnt sich, zwei Juni-Sitzungsperioden nebeneinanderzuhalten, denn derselbe Gerichtshof hat beide gezeichnet, und die Paarung ist das ehrliche Maß dafür, wo die verfassungsrechtliche Privatsphäre steht.

Im Juni 2025 bestätigte der Gerichtshof in Free Speech Coalition v. Paxton ein Landesgesetz, das Erwachsene verpflichtet, ihr Alter zu verifizieren — ihre Identität nachzuweisen —, bevor sie auf rechtmäßige Online-Inhalte zugreifen, sechs zu drei, gegen ein von Justice Kagan verfasstes Sondervotum. Diese Entscheidung erlegte einen Privatsphäre-Preis auf: Sie segnete den Identitätskontrollpunkt ab, und eine Welle von Bundesstaaten hat darauf aufgebaut. Im Juni 2026 sprach in Chatrie eine andere Sechserkoalition einen Privatsphäre-Sieg aus — und verfasst hat ihn Kagan, die Abweichende des Vorjahres. Die Landkarte wird nicht von einem festen Block gezeichnet: Chief Justice Roberts und Justice Kavanaugh schlossen sich den Konservativen an, um den Alterskontrollpunkt zu bestätigen, und den Liberalen, um den Standort zu schützen — zwei Wechselstimmen, die digitale Privatsphäre Fall für Fall entscheiden, auf unterschiedlichen dogmatischen Achsen: das First Amendment im einen Jahr, das Fourth im nächsten. In der einen Sitzungsperiode sagt Ihnen der Gerichtshof, es sei verfassungsrechtlich in Ordnung, zum Lesen die Papiere vorzeigen zu müssen; in der nächsten sagt er Ihnen, Ihre Bewegungen seien vor der Polizei geschützt. Das ist nicht streng widersprüchlich — andere Rechte, andere Dogmatik —, aber zusammen sind sie eine freihändig gezeichnete Landkarte, ohne eine vereinheitlichende Theorie digitaler Privatsphäre darunter — was bedeutet, dass der Schutz, den Sie haben, jener Schutz ist, den fünf Richter zufällig im letzten Fall anerkannt haben, der sie erreichte, und dass der Schutz, der Ihnen fehlt, alles das ist, worum sie noch nicht gebeten wurden oder was auszudehnen sie abgelehnt haben. Verfassungsrechtliche Privatsphäre ist 2026 gewährt, nicht garantiert. Chatrie ist eine Gewährung. Es ist keine Garantie, und ganz sicher ist es kein System.

Der Staat ist jetzt Kunde

Unter der Rechtsmechanik liegt eine strukturelle Verschiebung, für die das Beschluss-Rahmenwerk nie entworfen wurde, und sie ist der Grund, warum ein Sieg unter dem Fourth Amendment für sich allein nicht genügen kann.

Das Fourth Amendment stellt sich einen bestimmten Gegner vor: den Staat, der eine Tür aufbricht, Papiere beschlagnahmt, die Durchsuchung selbst durchführt. Sein gesamtes Instrumentarium — der Beschluss, der hinreichende Tatverdacht, der neutrale Richter — ist um den Staat als Betreiber der Überwachung herum gebaut. Aber der prägende Zug des letzten Jahrzehnts ist, dass der Staat die Überwachung zunehmend nicht selbst betreibt. Er kauft sie. Die Erhebung besorgt der private Markt, in einem Maßstab und einer Feinkörnigkeit, die keine Polizeibehörde je personell stemmen könnte, und der Staat kommt am Ende der Lieferkette als Kunde mit einer Kreditkarte an und erwirbt fertige Erkenntnisse, an die die Beschlagnahmeregeln der Verfassung nie gedacht haben. Eine Dogmatik, die den Staat-als-Einbrecher diszipliniert, hat zum Staat-als-Käufer wenig zu sagen. Deshalb kann Chatrie, so real es ist, die Linie nicht allein halten: Es perfektioniert die Regel für eine Art staatlicher Durchsuchung, die zur Ausnahme wird, während die Regel, auf die es ankommt — was der Staat kaufen darf und was der Markt ihm verkaufen darf —, wenn überhaupt, in zwanzig verschiedenen Landesparlamenten und einem festgefahrenen Bundesgesetzentwurf geschrieben steht.

Was Standort heute kostet

Machen wir es konkret, denn Abstraktion ist die Art, wie das mit einem Achselzucken abgetan wird. Standort ist nicht nur, wo Sie sind; er ist, was Sie tun, mit wem Sie zusammen sind und wovor Sie Angst haben. Ein Standort-Feed zeigt den Weg zur Klinik, die Besuche beim Anwalt, die Nächte, die nicht zu Hause verbracht wurden, das Treffen im Gewerkschaftshaus, die Moschee am Freitag.

Die Federal Trade Commission hat die letzten zwei Jahre damit verbracht, genau diese Kategorie von Verfahren zu führen — Klagen gegen Standortdatenfirmen, weil sie Spuren verkauften, die sich zu Kliniken der reproduktiven Gesundheit, zu Gebetsstätten und zu Schutzunterkünften zurückverfolgen ließen, mit Händlern wie Kochava, X-Mode und seinem Nachfolger Outlogic, Gravy Analytics und dessen Venntel-Sparte sowie Mobilewalla. Nach Dobbs hörten die Einsätze auf, theoretisch zu sein: In einem Land, in dem dieselbe Bewegung im einen Bundesstaat kriminalisiert und im nächsten verfassungsrechtlich geschützt ist, ist eine kommerziell verfügbare Aufzeichnung darüber, wer über eine Staatsgrenze gefahren ist, ein Beweisstück der Staatsanwaltschaft, das auf eine Vorladung wartet, und sie liegt in der Datenbank eines Händlers, den Chatrie nicht erreicht. Einige Bundesstaaten haben genau hierzu etwas unternommen — Washingtons My Health My Data Act behandelt Standorte in der Nähe von Gesundheitseinrichtungen als geschützte Gesundheitsdaten, ein Modell, das andere kopieren —, aber es sind wieder eine Handvoll Bundesstaaten, die um ein Loch herum Gesetze machen, das die Verfassung gelassen und der Kongress nicht gefüllt hat.

Architektur vor Gesetz

Hier ist die Linie, zu der diese Reihe immer wieder zurückkehrt, und Chatrie schärft sie eher, als dass es sie abschwächt. Das Gesetz kommt nach der Entstehung der Daten. Das Fourth Amendment regelt, was der Staat mit einer Standortspur tun darf, die bereits erzeugt, erhoben und gespeichert wurde. Es verhindert nicht, dass die Spur erzeugt wird. Das können nur die Architektur des Geräts und die Disziplin des Nutzers.

Die beiden arbeiten nach verschiedenen Uhren, und jede ist der blinde Fleck der anderen. Das Recht diszipliniert den Staat im Nachhinein, durch die langsame Anhäufung von Fällen wie Chatrie — notwendig, weil der Staat der Akteur ist, der Sie einsperren kann, und weil einmal anerkannte Rechte jeden Amtsträger darunter binden. Architektur wirkt vorher, im Moment der Abgabe: Ortungsdienste standardmäßig aus, die kleinstmögliche Zahl von Apps mit den kleinstmöglichen Berechtigungen, ein gehärtetes mobiles Betriebssystem, das Ihnen erlaubt, den SDKs ihre Telemetrie zu verweigern, Werkzeuge auf Netzwerkebene, die verhindern, dass Ihre Bewegungen überhaupt erst zum Produkt werden. Der sauberste Weg, Ihren Standort aus der Datenbank eines Händlers herauszuhalten — und damit aus der Bestellung des Staates —, ist, die Spur nie zu erzeugen. Ein Recht, vom Staat nicht verfolgt zu werden, ist es wert, es zu haben. Ein Leben, das weniger Verfolgbares abgibt, ist es wert, es zu bauen. Chatrie ist das Erste; das Zweite können nur Sie tun, und die Überwachungswirtschaft ist darauf ausgelegt, dafür zu sorgen, dass Sie es nicht tun.

Ein halbes Regime

Wägen Sie es also ehrlich ab, was heißt: weder die Ehrenrunde noch das Achselzucken des Zynikers.

Der Sieg ist real. Der Supreme Court hat die Verfassung auf den intimsten Datenstrom ausgedehnt, den ein Mensch abgibt, eine weitere tragende Wand der Third-Party-Doktrin abgetragen und das mit einer klaren Sechsstimmenmehrheit getan. Wer Ihnen sagt, das spiele keine Rolle, hat nie erlebt, dass der eigene Standort zum Beweismittel wurde. Bauen Sie darauf auf.

Und es ist ein halbes Regime. Es bindet den einen Akteur, der Sie einsperren kann, und lässt den Markt unberührt, der Ihre Daten tatsächlich hält, ebenso wie die Gewohnheit des Staates, dort einzukaufen. Die andere Hälfte zu schließen ist kein Geheimnis — es ist ein Bundesdatenschutzgesetz mit einem eigenen Klagerecht, ein Verbot für den Staat, zu kaufen, was er zum Beschlagnahmen mit einem Beschluss bräuchte, und Regeln für Datenhändler mit genug Zähnen, dass die Drohung einer Aufsicht glaubwürdig ist. Der Bauplan existiert; was fehlt, ist der Wille, und ein Gerichtshof, der die Landkarte freihändig zeichnet, kann ihn nicht liefern, weil die Verfassung den Staat bändigt und die Überwachungswirtschaft überwiegend nicht der Staat ist — bis zu dem Moment, in dem der Staat ihr bester Kunde wird.

Die Vordertür ist jetzt abgeschlossen. Das ist es wert, klar gesagt und verteidigt zu werden. Aber gehen Sie einmal um das Gebäude herum. Die Seitentür steht offen, die Behörden wissen, wo sie ist, und das Einzige, was darin steht, ist ein Flickenteppich, den die meisten Amerikaner nicht selbst durchsetzen können und den ein Drittel von ihnen überhaupt nicht hat.

Ein Sieg gegen den Staat ist notwendig. Hinreichend war er nie. Der nächste Kampf ist die Seitentür.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen; sein MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Carrier-Ebene zu abstrahieren. Der Code von URnetwork ist offen und prüfbar. Es ist ein Werkzeug nach dem Grundsatz Architektur vor Gesetz, ehrlich über seine Reichweite: Es kann kein Gesetz kippen und keinen Fall vor dem Supreme Court gewinnen, aber es kann verhindern, dass die Bewegungen, die es trägt, zu einem Produkt auf dem offenen Markt werden — und das ist die Hälfte des Problems, die die Gerichte von ihrer Anlage her nicht erreichen können.

https://ur.io

Beginnen wir mit der Anordnung, denn sie liest sich wie die Reaktion auf einen Notfall, der noch nicht eingetreten ist.

Am 22. Juni 2026 unterzeichneten die Vereinigten Staaten die Executive Order 14412, „Securing the Nation Against Advanced Cryptographic Attacks“, zusammen mit einer begleitenden Anordnung zur Quanteninnovation. Sie weist Bundesbehörden an, ihre hochwertigen Systeme auf Post-Quanten-Kryptografie umzustellen — Schlüsseletablierung bis Ende 2030, digitale Signaturen bis Ende 2031 —, verpflichtet Auftragnehmer auf denselben Zeitplan und ordnet an, dass jede Behörde binnen dreißig Tagen eine verantwortliche Leitung für den Post-Quanten-Übergang benennt. In der trockenen Sprache bundesbehördlicher Vorgaben ist das die Anweisung, vor einem festen Datum die Schlösser der gesamten Regierung auszutauschen.

Das, wogegen sie verteidigt, existiert nicht. Ein kryptografisch relevanter Quantencomputer — einer, der Shors Algorithmus in dem Maßstab ausführen kann, der nötig wäre, um die RSA- und Elliptische-Kurven-Verschlüsselung zu brechen, die praktisch das gesamte heutige Internet sichert — ist nicht gebaut worden, und der ehrliche Expertenkonsens lautet, dass niemand weiß, wann es so weit sein wird. Eine Umfrage unter rund dreißig Quantenfachleuten vom Dezember 2024 bezifferte die Wahrscheinlichkeit für eine solche Maschine innerhalb von zehn Jahren auf grob eins zu fünf bis eins zu drei. Eine beachtliche Minderheit bezweifelt, dass sie in nutzbarem Maßstab überhaupt in absehbarer Zeit kommt, falls je. Warum also die Frist, und warum jetzt?

Weil die Anordnung nicht gegen die Maschine verteidigt. Sie sagt es selbst. Ihre erklärte Begründung ist „the risk of adversaries collecting United States information now, and decrypting it later once large-scale quantum computers are operational“ — das Risiko, dass Gegner Informationen der Vereinigten Staaten jetzt sammeln und sie später entschlüsseln, sobald groß angelegte Quantencomputer betriebsbereit sind. Jetzt ernten, später entschlüsseln: Ein Angreifer muss Ihre Verschlüsselung heute nicht brechen, um zu gewinnen. Er muss sie heute nur aufzeichnen — den Chiffretext einfangen, während er über ein Kabel, eine Satellitenstrecke, einen Internetknoten läuft — und ihn billig und unbefristet speichern, für den Tag, an dem es die Maschine gibt. Kommt dieser Tag, wird das Archiv rückwirkend in großem Umfang entschlüsselt. Jedes Geheimnis darin, das noch ein Geheimnis ist, liegt auf einen Schlag offen.

Damit fällt die gesamte Quantenfrage in eine einzige, vom Zeitplan unabhängige Tatsache zusammen. Über den Zeitpunkt des Q-Day lässt sich streiten. Nicht wegdiskutieren lässt sich, dass die Aufzeichnung bereits möglich und der Anreiz bereits offensichtlich ist — massenhaftes Abgreifen von Netzverkehr ist dokumentiert, von den Programmen der Snowden-Ära bis zu den Salt-Typhoon-Einbrüchen dieses Jahres, und Speicher ist billig. Dass ein bestimmtes Archiv gehortet wird, um die Kryptografie auszusitzen, ist eine Schlussfolgerung und kein bestätigter Datenbestand, aber eine gut begründete — und die Anordnung selbst nimmt genau diese vorsichtige Haltung ein: Sie warnt vor „the risk of adversaries collecting United States information now, and decrypting it later“ — dem Risiko, dass Gegner Informationen der Vereinigten Staaten jetzt sammeln und sie später entschlüsseln —, hält also die Absicht im Konjunktiv und räumt zugleich die Gefährdung ein. Weil die Entschlüsselung rückwirkend erfolgt, schützt Sie das Datum des Q-Day nicht; das Einzige, was eine bestimmte Nachricht schützt, ist, ob sie in dem Moment, in dem sie abgefangen wurde, bereits in quantensichere Verschlüsselung gehüllt war. War sie es nicht, liegt sie bereits im Archiv. Der Bruch ist lediglich terminiert.

Das ist die Umkehrung im Kern dieser Ausgabe. Wir sind es gewohnt, uns eine gebrochene Chiffre als künftiges Ereignis vorzustellen, das künftige Nachrichten offenlegt. „Jetzt ernten, später entschlüsseln“ macht daraus ein vergangenes Ereignis, das gegenwärtige Nachrichten offenlegt. Die Daten, die Sie heute senden, sind die Daten, die heute geerntet werden. Die Uhr hat ohne Startschuss zu laufen begonnen — und wie es ein ehemaliger CISA-Verantwortlicher über die Jahre zwischen heute und der Frist 2030 formulierte: „Wir haben immer noch all diese Daten, die weiter hinausgehen, die weiter Gefahr laufen, geerntet zu werden.“

Verschlüsselung war nie ein Zustand. Sie war eine Wette.

Um zu spüren, warum das beunruhigend und nicht bloß technisch ist, muss man eine bequeme Annahme aufgeben: dass „verschlüsselt“ eine Eigenschaft ist, die eine Nachricht hat, so wie eine verschlossene Tür verschlossen ist.

Ist es nicht. Verschlüsselung ist eine Wette — die Wette darauf, dass die Kosten, die Chiffre zu brechen, die Mittel jedes Angreifers übersteigen, solange die geschützte Information von Bedeutung ist. Für die Algorithmen, die das moderne Internet betreiben, war diese Wette astronomisch sicher, denn rohe Gewalt würde länger dauern als das Alter des Universums. Aber die Wette lautete nie „das ist unbrechbar“. Sie lautete „das ist unbrechbar in der verfügbaren Zeit“. Und der zweite Teil trägt die ganze Last.

Ein Quantencomputer, der Shors Algorithmus ausführt, gewinnt die Wette nicht durch rohe Gewalt; er verändert die Mathematik darunter und macht aus einem Problem, das Äonen dauern würde, eines, das Tage dauert. In dem Moment, in dem es diese Maschine gibt, zeigt sich rückwirkend, dass die Wette, die eine bestimmte Nachricht sicherte, verloren war — nicht im Moment des Bruchs, sondern im Moment, in dem die Nachricht gesendet wurde, sofern jemand mitschnitt. Deshalb ist „jetzt ernten, später entschlüsseln“ keine Metapher. Es ist eine präzise Beschreibung dessen, wie eine zeitgebundene Wette scheitert, wenn der Horizont zusammenfällt.

Und es rückt die guten Nachrichten der Vorgängerausgabe in ein anderes Licht. Die Vertraulichkeit hat gewonnen, schrieben wir — die EU konnte das Scannen verschlüsselter Nachrichten nicht erzwingen, die Architektur hielt, die Mathematik verhandelte nicht. Alles wahr, und alles davon betrifft klassische Verschlüsselung, also genau die Wette, die „jetzt ernten, später entschlüsseln“ einzufordern gebaut ist. Die Verschlüsselung, die einem Kontinent voller Regulierer standhielt, ist dieselbe Verschlüsselung, die ein Gegner aufzeichnet, um sie nach einem längeren Zeitplan zu brechen. Den Kampf zu gewinnen, seine Nachrichten verschlüsselt zu halten, und den Kampf zu verlieren, diese Verschlüsselung der Maschine voraus zu halten, ist kein Widerspruch. Es sind die beiden Hälften einer Geschichte dieses Jahres: Das Schloss hielt — und jemand fotografiert es geduldig aus jedem Winkel, um später einen Schlüssel zu feilen.

Die Anordnung und das Feuer, das sie entfacht

EO 14412 ist nicht das erste Wort dazu; es ist das lauteste. Ein nationales Sicherheitsmemorandum von 2022 hatte bereits ein regierungsweites Migrationsziel für 2035 gesetzt. Die neue Anordnung staucht das für die wichtigsten Systeme auf 2030 und 2031 zusammen, legt eine Kaskade näherer Fristen fest — Übergangsverantwortliche der Behörden in dreißig Tagen, Bestandsaufnahme-Leitlinien in neunzig, ein NIST-Migrationspilot in einhundertachtzig — und greift entscheidend über die Regierung hinaus in deren Lieferkette, indem sie anordnet, dass Bundesauftragnehmer bis Ende 2030 Post-Quanten-Standards erfüllen. Eine frühere bundesbehördliche Schätzung bezifferte allein die Migration der priorisierten zivilen Systeme, ohne die klassifizierten und militärischen, auf rund sieben Milliarden Dollar über ein Jahrzehnt.

Die Fristen wirken fern. Sie sind es nicht, und darin liegt der Sinn des Feuers. Kryptografische Migrationen sind die langsamsten Infrastrukturprojekte, die es gibt, weil Kryptografie überall steckt und nirgends beschriftet ist — eingebrannt in Firmware, fest verdrahtet in Geräten, vergraben in Protokollen, Zertifikaten und Chips, die niemand inventarisiert hat. Die ehrliche Lesart einer 2026 gesetzten Frist für 2030 lautet nicht „wir haben vier Jahre, um uns zu entspannen“. Sie lautet „das ist so schwer, dass vier Jahre knapp sind“ — und genau das ist das Argument dafür, dass die Ernte gewinnt: Wenn die bestausgestattete Regierung der Erde bis 2030 braucht, um ihre eigenen hochwertigen Systeme neu zu verschlüsseln, ist alles noch nicht Migrierte für die gesamte Dauer exponiert, und der Rekorder des Gegners läuft die ganze Zeit.

Die Werkzeuge dafür existieren, und das ist der wirklich hoffnungsvolle Teil. Im August 2024 finalisierte NIST nach einem achtjährigen offenen Wettbewerb die ersten Post-Quanten-Standards: ML-KEM für den Schlüsselaustausch, ML-DSA und SLH-DSA für Signaturen, dazu ein codebasiertes Reserveverfahren, HQC, das 2025 als Absicherung für den Fall ausgewählt wurde, dass die Gitter-Mathematik hinter den anderen selbst gebrochen wird. Die Algorithmen sind real, geprüft und im Einsatz. Die Frage, die dieser Text von hier an stellt, ist nicht, ob wir migrieren können. Sie lautet, was genau wir migrieren — und ob wir uns beim wichtigen Teil schnell bewegen oder beim leichten.

Was eine lange Haltbarkeit hat

„Jetzt ernten, später entschlüsseln“ ist keine gleichförmige Bedrohung. Es ist ein Sortierproblem, und dieses Sortieren ist das Gegenmittel gegen Panik wie gegen Verleugnung.

Die meisten Daten haben eine kurze Haltbarkeit. Ein Einmal-Anmeldecode, eine Mittagsbestellung, ein Sitzungstoken, eine „Ich verspäte mich“-Nachricht — entschlüsseln Sie das 2034, und Sie haben nichts erfahren, was den Strom wert wäre. Für die überwältigende Mehrheit des Verkehrs, der gerade durchs Internet läuft, ist die Ernte real und der Verlust gleich null, weil das Geheimnis längst abgelaufen war, bevor die Maschine kam.

Aber manche Daten haben eine Haltbarkeit von Jahrzehnten oder einem ganzen Leben, und für diese Daten ist die Ernte katastrophal. Staatsgeheimnisse und diplomatische Depeschen bleiben dreißig Jahre lang sensibel. Gesundheits- und Genomdaten bleiben sensibel, solange Sie und Ihre Verwandten leben. Quellcode und Konstruktionsunterlagen bleiben sensibel, bis das Produkt veraltet ist. Finanz- und Rechtsakten, die Identitäten nachrichtendienstlicher Quellen, die Aufenthaltsorte von Dissidenten — all das hat die hier entscheidende Eigenschaft: Es ist noch gefährlich, wenn es spät entschlüsselt wird.

Und dann gibt es jene Kategorie, die diese Reihe das ganze Jahr über dokumentiert hat und die in jeder Dimension zugleich der schlimmste Fall ist. Die biometrischen und Identitätsregister, die Regierungen im Lauf des Jahres 2026 erzwungen haben — die nationalen biometrischen Ausweise, die Ausweisspeicher zur Altersverifikation, die SIM-Register, die jeden Anschluss mit einem juristischen Namen verknüpfen —, sind maximal sensibel, maximal dauerhaft, maximal langfristig gespeichert und liegen bei genau den schwerfälligen Verwaltern, bei denen eine Migration am unwahrscheinlichsten ist. Ein Passwort, das bei einer Ernte abfließt, kann geändert werden. Eine Kreditkarte kann neu ausgestellt werden. Ihre Iris können Sie nicht zurücksetzen. Eine Fingerabdruck-und-Iris-Datenbank, die heute geerntet und 2032 entschlüsselt wird, ist kein Vorfall, von dem man sich erholt; es ist eine Biometrie, die für den Rest des Lebens der erfassten Person kompromittiert ist, für jedes System, das dieser Biometrie je vertrauen wird. Mexikos biometrische nationale Identität wurde im Oktober 2025 offiziell. Der Erntende braucht sie heute nicht entschlüsselt. Er muss nur mitschneiden, wenn das Land sie auf eine Leitung legt.

Das ist die Triage, die dieser Moment verlangt. Nicht „bis morgen alles quantensicher verschlüsseln“, was weder möglich noch nötig ist, sondern „die Daten finden, die in einem Jahrzehnt noch tödlich sind, und sie hinter quantensichere Verschlüsselung bringen, bevor sie abgefangen werden, nicht danach“. Die Haltbarkeit ist der Sortierschlüssel. Die Register stehen ganz oben auf der Liste — und sie sind nirgends in der Nähe des Anfangs der Warteschlange.

Moscas Ungleichung

Es gibt eine Rechnung, die all das von einem Gefühl in eine Frist verwandelt, und sie gehört dem Kryptografen Michele Mosca. Sie ist fast peinlich einfach, weshalb man ihr schwer entkommt.

Nennen wir X die Zahl der Jahre, die Ihre Daten geheim bleiben müssen. Nennen wir Y die Zahl der Jahre, die Sie brauchen werden, um Ihre Systeme auf quantensichere Kryptografie umzustellen. Nennen wir Z die Zahl der Jahre, bis es einen kryptografisch relevanten Quantencomputer gibt. Wenn X plus Y größer ist als Z — wenn also die erforderliche Geheimhaltungsdauer Ihrer Daten plus Ihre Migrationszeit die Zeit bis zur Maschine übersteigt —, dann sind Sie bereits zu spät. Daten, die Sie heute schützen, werden noch wertvoll sein, wenn die Maschine kommt, und Sie werden sie nicht rechtzeitig verlagert haben.

Die Kraft der Ungleichung liegt darin, dass sie nicht verlangt, Z zu kennen. Sie verlangt nur zu bemerken, dass Y groß ist und X, für die Daten, auf die es ankommt, gewaltig. Wenn Ihre Migration sechs Jahre dauern wird und Ihre Geheimnisse fünfundzwanzig Jahre halten müssen, dann sind Sie für jedes Z unter einunddreißig exponiert — was praktisch jede ernsthafte Schätzung abdeckt, die im Raum steht, auch die optimistischen. „Abwarten und schauen“ ist nur dann eine kohärente Strategie, wenn Sie glauben, Z sei größer als X plus Y — und bei Daten mit langer Haltbarkeit frisst X allein schon den größten Teil der plausiblen Spanne. Das ist die Antwort auf den vernünftigsten Einwand der ganzen Debatte — wir wissen nicht, wann der Q-Day ist, warum also die Eile? —, ohne ein Datum behaupten zu müssen. Sie eilen, weil die Vorlaufzeit lang und die Haltbarkeit länger ist, und diese beiden Zahlen kennen Sie sehr wohl.

Was ausgeliefert wurde — und was nicht

Hier kommt der Teil, der beruhigend sein sollte und stattdessen die schärfste Wendung der Geschichte ist: Die Migration ist längst im Gang, und sie geht schnell — genau bei den Daten, die sie am wenigsten brauchen.

Der offene, nutzerseitige Verschlüsselungsstapel bewegte sich zuerst und bewegte sich entschieden. Signal fügte 2023 seiner Schlüsselvereinbarung Post-Quanten-Schutz hinzu und dehnte ihn im Oktober 2025 auf die fortlaufende Ratsche selbst aus — sodass selbst ein Angreifer, der eines Tages eine Sitzung bricht, nicht das ganze Gespräch aufrollen kann —, wobei das neue Design vor der Auslieferung formal verifiziert wurde. Apple baute 2024 das Protokoll von iMessage für Post-Quanten-Sicherheit um. Die Browser zogen nach: Chrome und Firefox verhandeln inzwischen standardmäßig einen hybriden Post-Quanten-Schlüsselaustausch und koppeln den klassischen Algorithmus mit ML-KEM, sodass das Brechen der Sitzung das Brechen beider erfordert. Nach Cloudflares Messung stieg der Anteil des menschlichen Web-Verkehrs, der Post-Quanten-Schutz aushandelt, von unter drei Prozent zu Beginn des Jahres 2024 auf eine Mehrheit bis Ende 2025. Für das verschlüsselte Gespräch in Ihrer Hosentasche wird die Ernte bereits schwerer.

Aber sehen Sie genau hin, was diese Mehrheit abdeckt. Es ist die Transport-Strecke — der flüchtige Sitzungsschlüssel zwischen Ihrem Gerät und einem Content-Netzwerk — und es sind genau die kurzlebigen Daten, an denen der Ernte am wenigsten liegt. Die Teile, an denen „jetzt ernten, später entschlüsseln“ am meisten liegt, haben sich kaum in Bewegung gesetzt. Server-zu-Server- und Ursprungsverschlüsselung ist in der Größenordnung von einer von zehn Verbindungen post-quantensicher. Digitale Signaturen — die Authentifizierungsschicht, das, was beweist, dass ein Software-Update oder ein Zertifikat echt ist — sind noch langsamer, und der Standard für die effizientesten von ihnen ist nicht einmal endgültig. Und der lange Schwanz ist ein Problem anderer Art: die eingebetteten Systeme, Industriesteuerungen, Satelliten, Fahrzeuge, Medizingeräte und Stromnetz-Hardware mit Einsatzzeiten von zehn bis dreißig Jahren, vieles davon im Feld nicht aktualisierbar, alles davon vor sich hin summend auf klassischer Kryptografie, die noch laufen wird, wenn die Maschine kommt.

Die unbequeme Synthese lautet also so: Die Migration gewinnt das billige Rennen und verliert das zeitplanfeste. Wir haben uns schnell bei flüchtigen Sitzungsschlüsseln bewegt, wo eine späte Entschlüsselung wertlos ist, und wir haben uns bei langlebigen, unersetzlichen Daten kaum bewegt — den Geheimnissen, den Gesundheitsakten, den biometrischen Registern —, die bei den trägsten Verwaltern liegen. Die Schlagzeilenzahl ist real und für Ihre Nachrichten wirklich eine gute Nachricht. Sie misst aber das Falsche, wenn Sie sie als „wir sind halb fertig“ lesen. Wir sind halb fertig mit der leichten Hälfte.

Das Argument für Gelassenheit

Die ehrliche Fassung dieser Geschichte muss ihre stärksten Kritiker ernst nehmen, denn sie sind keine Spinner; einige von ihnen sind dieselben Kryptografen, die die Werkzeuge gebaut haben, für die diese Reihe eintritt, und ihr Einwand ist das beste Argument des Fachs.

Er geht so. Der Q-Day mag sehr weit entfernt liegen oder in nutzbarem Maßstab nie eintreten. Die größten Quantencomputer verfügen heute über die Größenordnung von tausend fehleranfälligen physischen Qubits; eine glaubwürdige Schätzung von 2025 bezifferte den Bedarf zum Brechen von RSA-2048 auf unter eine Million davon — eine bemerkenswerte Reduktion gegenüber früheren Angaben von zwanzig Millionen, aber immer noch drei bis vier Größenordnungen jenseits von allem, was existiert, und abhängig von Durchbrüchen bei der Fehlerkorrektur, die nicht stattgefunden haben. Ein prominenter Kryptograf hat öffentlich angeboten, „riesige Summen Geld“ dagegen zu wetten, dass bis 2035 ein relevanter Quantencomputer kommt; ein anderer weist gern darauf hin, dass Quantenmaschinen „die Zahl 35 noch nicht faktorisiert haben“. Um diese echte Unsicherheit herum ist ein quantenindustrieller Komplex gewachsen — Anbieter, Beratungen und Start-ups mit himmelhohen Bewertungen und winzigen Umsätzen, deren Geschäftsmodell darin besteht, Migrationsdringlichkeit zu verkaufen, und deren Bedrohungseinschätzungen man mit diesem Wissen lesen sollte. Und die Eile selbst birgt ein reales Risiko: Post-Quanten-Implementierungen sind jung, und junger kryptografischer Code hat Fehler, manchmal schlimmere als der kampferprobte klassische Code, den er ersetzt. Ein schwerwiegender Fehler wurde 2023 bereits in einer verbreiteten Post-Quanten-Bibliothek gefunden.

Jeder einzelne Satz davon ist wahr, und die Schlussfolgerung daraus lautet nicht „nichts tun“, sondern „das Richtige tun, sorgfältig“. Räumen Sie den Zeitplan vollständig ein — wir kennen Z nicht, und die Hochglanzverkäufer gibt es wirklich. Die These übersteht das Zugeständnis unbeschadet, denn die tragende Behauptung betraf nie das Datum. Sie betraf die Ernte, und die ist zeitplanunabhängig: Was auch immer Z sich als sein herausstellt — die Daten mit langer Haltbarkeit, die unter klassischer Verschlüsselung geerntet wurden, bevor Sie migrieren, sind verloren, sobald die Maschine kommt. Die Antwort auf „junge PQC hat Fehler“ ist der hybride Einsatz, den die ernsthaften Projekte längst nutzen — klassisch und post-quantensicher zusammen, sodass der neue Code Sicherheit immer nur hinzufügen und nie abziehen kann und ein Fehler in der Gitter-Mathematik den bewährten klassischen Algorithmus stehen lässt. Die Antwort auf den quantenindustriellen Komplex ist nicht, die von ihm überverkaufte Bedrohung zu ignorieren, sondern die unglamouröse Triage zu machen, die die Broschüren auslassen: Inventarisieren Sie Ihre Kryptografie, sortieren Sie nach Haltbarkeit, migrieren Sie die langlebigen Daten zuerst und hybrid, und bleiben Sie skeptisch gegenüber jedem, der einen Panikknopf verkauft. Beides ist zugleich wahr. Die Abzocke ist real, und die Ernte auch.

Die globale Uhr

Die Migration ist ein Rennen, und die Läufer laufen mit wild unterschiedlichem Tempo, was ein Risiko für sich ist.

Als häufigster Erntender gilt China, das Berichten zufolge zehn bis fünfzehn Milliarden Dollar in die Quantenforschung gesteckt hat und sowohl die Abhörreichweite als auch die Geduld besitzt, die „jetzt ernten, später entschlüsseln“ belohnt; die Asymmetrie der Strategie besteht darin, dass das Land, das heute am meisten aufzeichnet, am meisten gewinnt, wann immer der Q-Day kommt, gleich wer die Maschine zuerst baut. Die Verteidiger bewegen sich nach eigenen Uhren: Die Roadmap der US-Nachrichtendienste drängt Systeme der nationalen Sicherheit zwischen 2030 und 2033 zur ausschließlichen Post-Quanten-Nutzung; die Cyberbehörde des Vereinigten Königreichs setzt Meilensteine bis 2035; das deutsche Sicherheitsamt will kritische Infrastruktur bis 2030 migriert sehen — und dennoch hat jüngeren Umfragen zufolge weniger als eine von zwanzig Organisationen überhaupt einen Migrationsplan. Die Standards sind global, die Dringlichkeit ist es nicht. Das Ergebnis ist eine Welt, die sich auf die Algorithmen geeinigt und über den Zeitplan zerstritten hat, in der die trägsten Verwalter die langlebigsten Daten halten und ein Gegner all dem gegenüber gleichgültig ist, solange der Rekorder läuft.

Die Disziplin zwischen Verleugnung und Panik

Zwei Haltungen scheitern hier, und sie scheitern symmetrisch.

Die Verleugnung — „der Q-Day ist Hype, die Maschine ist nicht nah, entspannt euch“ — ist falsch, nicht weil der Zeitplan kurz wäre, sondern weil die Ernte nicht auf den Zeitplan wartet. Sie geschieht jetzt, an Daten mit einer Haltbarkeit, die länger ist als jedes plausible Z, und die Migration, die sie stoppen würde, braucht Jahre. Bis die Verleugnung widerlegt ist, liegen die langlebigen Geheimnisse längst im Archiv, und für eine bereits geschehene Entschlüsselung gibt es keinen Patch.

Die Panik — „alles stehen und liegen lassen und die Welt bis Dienstag quantenfest machen“ — ist falsch, weil sie unmöglich ist, weil sie die Abzocke finanziert und weil junge Kryptografie in kritische Systeme zu rammen Sicherheit abziehen statt hinzufügen kann. Dazwischen liegt die einzige Haltung, die den Kontakt mit den Fakten übersteht: die Triage. Finden Sie die Daten, die in einem Jahrzehnt noch tödlich sind. Bringen Sie sie zuerst hinter quantensichere Verschlüsselung, hybrid mit den klassischen Algorithmen, damit der Boden nie wegbricht. Fordern Sie Krypto-Agilität — die Fähigkeit, Algorithmen erneut und schnell zu wechseln, wenn der nächste Bruch kommt, denn es wird einen nächsten Bruch geben — von jedem Anbieter und jedem System, das Sie kaufen, denn die tiefste Lehre dieses Moments lautet nicht „auf ML-KEM umsteigen“, sondern „nie wieder eine Chiffre fest verdrahten, die man nicht ersetzen kann“. Und als Einzelperson tun Sie das eine, was vollständig in Reichweite ist: Nutzen Sie die Werkzeuge, die bereits migriert sind. Der verschlüsselte Messenger mit Post-Quanten-Ratsche schützt das heutige Gespräch gegen die Maschine von morgen, und das ist das Seltenste in dieser ganzen Landschaft — eine Verteidigung, die man vor der Bedrohung ausrollen kann statt danach.

Dies ist die Fortsetzung der vorigen Ausgabe, und sie verkompliziert deren Sieg, ohne ihn auszulöschen. Die Vertraulichkeit hat gewonnen, gegen die Regulierer, die sie scannen wollten. Dieser Sieg ist real, und er ist gegen eine Uhr geliehen. Die Verschlüsselung, die wir gefeiert haben, wird aufgezeichnet, um später gebrochen zu werden, und die Daten, die zu schützen wir am schlechtesten vorbereitet sind, sind die Daten, deren Verlust wir uns am wenigsten leisten können — die Identitäten, die Biometrien, die unumkehrbaren Tatsachen eines Körpers, die ein Jahrzehnt Politik gerade eifrig auf Leitungen zwingt, die jemand, irgendwo, geduldig mitschneidet.

Sie können Ihre Iris nicht neu verschlüsseln. Der einzige Zug ist, dafür zu sorgen, dass sie nie im Klartext gesendet wurde.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen; die MCP-Server-Version vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen. URnetworks Code ist offen und prüfbar, und seine Transportsicherheit verfolgt die Post-Quanten-Migration, die diese Ausgabe beschreibt — die Disziplin, krypto-agil zu bleiben, in der Öffentlichkeit, wo die Änderung überprüft statt versprochen werden kann.

https://ur.io

Beginnen wir mit dem Sieg, denn er ist real, und die Datenschutzwelt hat recht damit, ihn für sich zu reklamieren.

Drei Jahre lang verfolgte die Europäische Union eine Verordnung, die das Internet Chatkontrolle zu nennen begann: den Vorschlag, Messenger-Anbieter dazu zu verpflichten, die Inhalte privater Kommunikation nach Missbrauchsmaterial zu durchsuchen. In ihrer aggressivsten Fassung verlangte sie clientseitiges Scannen — Software auf Ihrem eigenen Gerät, die Ihre Nachrichten prüft, bevor sie verschlüsselt werden. Und in der Frage, auf die es am meisten ankam, gewann die Verschlüsselungsseite. In seiner Verhandlungsposition vom November 2025 strich der Rat die erzwungene Detektion und ergänzte Schutzvorkehrungen für verschlüsselte Kommunikation; bis Mitte Juni 2026 hatten sich, wie interne Dokumente zeigen, die drei Institutionen vorläufig darauf verständigt, Ende-zu-Ende-verschlüsselte Inhalte vollständig aus dem Anwendungsbereich der Verordnung auszunehmen. Der fünfte und letzte planmäßige Trilog trat am 29. Juni zusammen, um das Verbliebene zu klären. Das verpflichtende Scannen Ihrer verschlüsselten Nachrichten ist vorerst vom Tisch.

Es kam vom Tisch wegen einer Tatsache, die Kryptografinnen und Kryptografen so lange wiederholten, bis sie ankam. Carmela Troncoso, Direktorin des Max-Planck-Instituts für Sicherheit und Privatsphäre, formulierte es im November unmissverständlich: „Sobald Inhalte für eine andere Partei als den Sender oder den Empfänger zugänglich sind, verschwindet der Schutz, den die Verschlüsselung bietet.“ Es gibt kein Scannen, das die Verschlüsselung bewahrt; es gibt nur eine Tür, die ins Gerät geschnitten wird, und eine Tür für den Scanner ist eine Tür für alle. Mehr als achthundert Wissenschaftlerinnen und Wissenschaftler unterzeichneten einen offenen Brief, der Detektion im Bevölkerungsmaßstab für „ungeeignet“ erklärte. Signals Präsidentin Meredith Whittaker sagte, das Unternehmen werde die EU verlassen, bevor es so etwas baue: „Wenn wir vor die Wahl gestellt würden, eine Überwachungsmaschine in Signal einzubauen oder den Markt zu verlassen, würden wir den Markt verlassen.“ Apple hatte sein eigenes Scan-System bereits 2022 aufgegeben, mit der Warnung, es „würde neue Angriffsvektoren schaffen“. Die Architektur sagte Nein, und ein Kontinent hörte — nach drei Jahren — zu.

Das ist der Krieg, den die Datenschutzbewegung zu führen wusste. Sie führte ihn durch die Auseinandersetzung zwischen Apple und dem FBI, durch den EARN IT Act, durch die Spionageklausel des britischen Online Safety Act und durch fünf EU-Triloge, und auf der Ebene der Architektur hat sie ihn weitgehend gewonnen. Verschlüsselung ist in den größten Messengern der Welt der Standard, die Mathematik ist nicht verhandelbar, und 2026 wurde der Punkt eingeräumt.

Diese Ausgabe beginnt also mit dem Sieg. Und stellt dann die Frage, die der Sieg verdeckt: Wenn sie die Verschlüsselung nicht brechen konnten — wonach griffen sie stattdessen?

Die Antwort steht im selben Text. Mit dem Wegfall des verpflichtenden Scannens wurde die Altersverifikation zum Rückfallplan von Rat und Kommission — die Anforderung, dass Nutzer ihr Alter verifizieren, bevor sie einen „riskanten“ Dienst nutzen dürfen, also ein Gesichtsscan oder ein staatlicher Ausweis, um eine private Nachricht zu senden, eine E-Mail zu verschicken oder eine App herunterzuladen. Das Mandat des Europäischen Parlaments lehnt die verpflichtende Altersverifikation genau deshalb ab, um anonyme Kommunikation zu erhalten; das des Rates behält sie bei; und das, nicht das Scannen, ist nun das ungelöste Zentrum einer Einigung, über die noch verhandelt wird — mit ungewissem Ausgang des letzten Trilogs und einer möglichen Einigung, die in den Juli zu rutschen droht. Eine Darstellung dieses Moments benannte den Einsatz exakt: Anonyme verschlüsselte Kommunikation endet unter diesem Rahmen. Die Verschlüsselung überlebt. Die Anonymität nicht.

Halten Sie diesen Satz fest, denn er ist die ganze Ausgabe. Und weiten Sie dann den Blick, denn der 30. Juni ist nicht ein Datenpunkt. Es sind drei.

Zwei Eigenschaften eines freien Gesprächs

Ein privates Gespräch hat zwei Eigenschaften, und die Datenschutzbewegung hat den größten Teil ihrer Kraft auf die Verteidigung einer von beiden verwendet.

Die erste ist die Vertraulichkeit: Was Sie sagen, bleibt geheim. Der Inhalt der Nachricht ist nur für Sie und Ihr Gegenüber lesbar — nicht für die Plattform, nicht für den Netzbetreiber, nicht für den Staat. Das ist die Eigenschaft, zu deren Schutz die Ende-zu-Ende-Verschlüsselung gebaut wurde, und es ist die Eigenschaft, die dieses Jahr gewonnen hat. Wenn Menschen „verschlüsselt“ sagen, meinen sie das, und es ist tatsächlich mathematisch verteidigbar: Ein korrekt implementierter E2EE-Kanal kann von niemandem gelesen werden, der den Chiffretext hält, und keine Verordnung ändert die Mathematik, ohne eine Hintertür zu erzwingen, die die Architektur und ihre Verteidiger verweigern können.

Die zweite ist die Anonymität: dass Sie das Gespräch überhaupt führen können, ohne zuerst zu beweisen, wer Sie sind. Dass Sie die SIM kaufen, das Konto eröffnen, die Seite lesen, dem Kanal beitreten und sprechen können — ohne Ihre juristische Identität, Ihr Gesicht, Ihren Fingerabdruck oder Ihren staatlichen Nachweis an diese Handlung zu binden. Das ist keine Eigenschaft der Verschlüsselung. Ende-zu-Ende-Verschlüsselung schützt den Inhalt des Umschlags; sie war nie dafür entworfen, Ihre Fähigkeit zu schützen, den Umschlag zu kaufen, ohne Ihr Gesicht zu zeigen. Sie können vollkommene Vertraulichkeit und null Anonymität zugleich haben: Ein Messenger, der jedes Byte fehlerfrei verschlüsselt und einen Gesichtsscan zur Kontoeröffnung verlangt, liefert genau das — Ihre Worte sind geheim, und die Tatsache, dass Sie es sind, der sie sagt, auf einer registrierten Identität, ist es nicht. Der verschlüsselte Dienst kennt weiterhin Ihr Konto, Ihre Nummer, Ihr Gerät, Ihre Adresse und Ihren sozialen Graphen — mit wem Sie sprechen, wann, wie oft. Verschlüsselung verbirgt den Brief. Sie sollte nie den Umschlag verbergen, den Poststempel oder die Schlange am Schalter, an dem Sie den Ausweis vorzeigten, um ihn abzuschicken.

Das ist der Kategorienfehler im Kern dieses Moments. Ein Jahrzehnt lang wurde „ist es verschlüsselt?“ zum öffentlichen Test dafür, ob ein Werkzeug sicher ist, und die Antwort lautete zunehmend ja. Aber Verschlüsselung war immer eine Antwort auf die Überwachung von Inhalten, und die Identitätspflichten, die 2026 eintreffen, sind ein Angriff auf die Anonymität — eine andere Eigenschaft, mit anderen Mitteln verteidigt und derzeit weit schwächer verteidigt. Die Whistleblowerin, die Gewaltbetroffene, die eine Beratungs-Hotline erreicht, der Teenager, der eine Frage zur sexuellen Gesundheit nachschlägt, der Dissident unter einem autoritären SIM-Regime, der gewöhnliche Mensch, der schlicht nicht hinnimmt, dass Lesen einen Ausweis erfordern soll — keiner von ihnen ist dadurch geschützt, dass der Kanal verschlüsselt ist, wenn sie beweisen mussten, wer sie sind, um ihn zu betreten.

Die Anonymität ist das Substrat. Die Vertraulichkeit ist die Schicht, die wir darüberzugießen gelernt haben. Der 30. Juni ist der Tag, an dem das Substrat an drei Stellen zugleich riss.

Der Rückfallplan ist der Angriff

Zurück nach Brüssel, denn die EU ist weniger weicher geworden als geschwenkt, und der Schwenk ist die Lehre.

Benennen wir den Sieg ehrlich, samt seiner Grenzen, damit er nicht überverkauft wird. Der Rat gab bei der härtesten Forderung nach, dem verpflichtenden clientseitigen Scannen, weil sie sich nicht mit Verschlüsselung vereinbaren ließ und weil die Mitgliedstaaten nicht anordnen wollten, die Geräte ihrer eigenen Bürger in Scanner zu verwandeln. Dieses Zugeständnis ist real. Aber zwei Dinge reisen mit ihm, und beide weisen in die andere Richtung. Erstens legitimiert und verstetigt der Text des Rates weiterhin ein „freiwilliges“ Scan-Regime — eine dauerhafte Rechtsgrundlage für Anbieter, die sich zur Überwachung entscheiden, ohne richterlichen Beschluss, was Breyer nicht als Rückzug liest, sondern als „grünes Licht für flächendeckende Massenüberwachung“. Die Pflicht fiel; die Erlaubnis wurde festgeschrieben. Und der Kampf ist nicht einmal sauber vorbei: In der letzten Juniwoche gingen EU-Botschafter daran, den ausgelaufenen befristeten Scan-Rahmen über ein beispielloses Ratsmanöver wiederzubeleben, obwohl das Parlament ihn im März mit einer einzigen Stimme Mehrheit gekippt hatte.

Zweitens, und größer, ist der Rückfallplan Altersverifikation. Nehmen Sie den Scanner heraus, und der verbleibende Weg, zu kontrollieren, wer auf einem verschlüsselten Dienst ist, besteht darin, die Identität aller zu prüfen, die ihm beitreten. Deshalb wurde mit dem Wegfall des Scannens die Altersverifikation zum eigentlichen Streitpunkt, und deshalb hat das Parlament dort seine Linie gezogen. Das Gremium, das die EU-Bürger unmittelbar vertritt, versteht, was der Boolesche Wert kostet: Eine verpflichtende Alterskontrolle an der Tür eines verschlüsselten Messengers verwandelt den privatesten Kanal, den die meisten Menschen haben, in einen, den man nur betreten kann, indem man bezeugt, wer — oder zumindest wie alt — man ist. Und Sie können Ihr Alter nicht gegenüber der Software eines Fremden beweisen, ohne irgendwo in der Kette irgendjemandem gegenüber Ihre Identität zu beweisen.

Das ist der Zug, auf den man jetzt überall achten muss, denn er verallgemeinert sich. Wenn man die Nachricht nicht lesen kann, verlange einen Ausweis, um sie zu senden. Wenn man das Schloss nicht knacken kann, stelle einen Wächter an die Tür, der jeden notiert, der hindurchgeht. Vertraulichkeit und Anonymität sind nicht dieselbe Eigenschaft, und ein System kann die erste gewähren, während es die zweite methodisch abbaut — genau das tut der Schwenk. Die Verschlüsselung überlebt. Die Anonymität ist das, was auf dem Tisch liegt.

Die anonyme SIM ist tot

Während Brüssel stritt, setzte Mexiko eine Frist, und Mexikos Variante übersprang die Nachricht und ging direkt an die Leitung selbst.

Seit dem 30. Juni 2026 muss jede Mobilfunkleitung in Mexiko — Prepaid, Postpaid, physische SIM, eSIM, mehr als 144 Millionen davon — mit der Identität ihres Inhabers verknüpft sein: einem staatlichen Ausweis und der CURP, dem nationalen Bevölkerungsschlüssel. Die anonyme Prepaid-SIM — jene, auf die sich die Überlebende häuslicher Gewalt, der investigative Reporter und der gewöhnliche Mensch, der schlicht nicht in einer Datenbank stehen wollte, gleichermaßen verlassen haben — ist am Ende. Die harte Durchsetzung, das Abschalten der Nichtregistrierten, war für den 1. Juli angesetzt; am 25. Juni entschärfte die Regulierungsbehörde den Zeitplan für Prepaid-Leitungen zu einem gestaffelten Kalender bis Dezember, aber die Architektur steht und die Richtung ist festgelegt. Zum Zeitpunkt der Verlängerung waren kaum 43 Prozent der Leitungen registriert; Dutzenden Millionen droht die Abschaltung.

Hier wird die Geschichte interessanter als die Schlagzeilen — und aufschlussreicher. Das Leitungsregister ist nach der eigenen Regel der Behörde nicht biometrisch: Den Betreibern ist untersagt, Ihre Fingerabdrücke, Ihr Foto oder auch nur eine Kopie Ihres Ausweises aufzubewahren — sie verknüpfen die Nummer mit Ihrer CURP und prüfen das Dokument, mehr nicht. Und diese Zurückhaltung ist keine Großzügigkeit; sie ist eine Narbe. Mexiko hat das schon zweimal getan. RENAUT, das Register von 2009, endete damit, dass seine Datenbank auf den Straßenmärkten von Tepito für ein paar hundert Pesos verkauft und 2012 physisch vernichtet wurde. PANAUT, die Fassung von 2021, verlangte Biometrie — und der Oberste Gerichtshof kippte sie vollständig, mit neun zu zwei Stimmen, aus Gründen des Datenschutzes und der Verhältnismäßigkeit. Die Leitungspflicht von 2026 ist genau deshalb nicht biometrisch, weil das Gericht die biometrische getötet hat; ein Bundesgericht untersagte den Betreibern im Juni sogar, für die Registrierung einer Leitung Biometrie zu verlangen. Der juristische Konter hat funktioniert.

Aber sehen Sie, was parallel läuft und was von der anderen Seite der Waage entfernt wurde. Neben der ausweisgebundenen SIM baut der Staat die CURP Biométrica — eine nationale Identität, die sehr wohl das Gesicht, alle zehn Fingerabdrücke und beide Iriden erfasst, im vergangenen Juli per Dekret geschaffen, bereits der offizielle Ausweis des Landes, bereits rund fünfundzwanzig Millionen Menschen erfasst. Sie wird vorerst als freiwillig dargestellt; sie wird zugleich als die Verifikationsschicht positioniert, in die alles andere sich irgendwann einklinken wird. Und die Aufsichtsinstanz, die PANAUT 2022 schlug — INAI, die autonome Datenschutzbehörde —, existiert nicht mehr; sie wurde 2025 in die Exekutive eingegliedert. Der Gerichtspräzedenzfall, der die SIM entbiometrisierte, hat weiterhin Bestand. Die Institution, die den nächsten solchen Fall führen würde, ist weg. So wächst ein Register nach, das die Gerichte einst getötet haben: nicht indem man das Urteil aufhebt, sondern indem man das Gremium zerlegt, das es gewonnen hat.

Und hier stößt der nutzerseitige Stapel — die Protokolle, die Verschlüsselung, die gehärteten Geräte, für die diese Publikation eintritt — an seine härteste Wand, und Ehrlichkeit verlangt, sie zu benennen. Gegen ein erzwungenes Identitätsregister, ob biometrisch oder bloß ausweisgebunden, gibt es kein clientseitiges Primitiv, das es einer Person erlaubt, zugleich zu erfüllen und zurückzuhalten. Verschlüsselung schützt das Gespräch; sie entkoppelt die SIM nicht von Ihrem Namen. Sie können eine Sperre umgehen, denn eine Sperre ist ein Netzwerkzustand, den man untertunneln kann; Sie können kein Gesetz umgehen, das Ihre juristische Identität zur Voraussetzung einer Telefonnummer macht, denn das Register ist nicht im Netz — es ist an der Verkaufsstelle, in der Datenbank des Ausstellers, im Gesetzestext. Der eine technische Umweg um die Leitungspflicht, eine reine Daten-eSIM eines ausländischen Betreibers im Roaming, existiert, und die Behörde hat ihn offen eingeräumt — aber er gibt keine anonyme lokale Nummer, hinterlässt eine Zahlungsspur, ist ein Luxus der mobilen Wenigen, und die Behörde hat gesagt, sie werde ihn nach der Weltmeisterschaft schließen. Der Konter gegen ein Pflichtregister ist politisch und juristisch, nicht kryptografisch. Mexiko ist der Beleg in beide Richtungen: Die Gerichte zwangen das Register, seine Biometrie abzulegen, und die Aushöhlung der Partnerinstitutionen der Gerichte ist der Weg, auf dem es nachwächst.

Alle verifizieren

Großbritannien nahm dieselbe Wendung durch eine andere Tür und machte die universelle Logik der Altersverifikation unübersehbar.

Am 15. Juni 2026 kündigte die britische Regierung ein Social-Media-Verbot für unter 16-Jährige an — Snapchat, TikTok, YouTube, Instagram, Facebook, X —, mit einem Gesetz, das noch vor Jahresende versprochen wurde, und Schutzmaßnahmen, die im Frühjahr 2027 erwartet werden. Um unter 16-Jährige von einer Plattform fernzuhalten, muss man wissen, wer unter 16 ist, und das heißt, man muss das Alter aller prüfen. Wie die Kampagnengruppe Defend Digital Me es formulierte: „Um zu verifizieren, dass ein Nutzer über 16 ist, muss auch jeder Erwachsene beweisen, dass er kein Kind ist.“ Die EFF wurde deutlicher: Unter einem solchen Regime werde „Nutzern jeden Alters die Last aufgebürdet, ihr Alter zu beweisen“, und „es gibt weiterhin keine zuverlässige, datenschutzwahrende Methode, das Alter jedes Internetnutzers zu verifizieren“. Eine Maßnahme, die als Kinderschutz gerahmt ist, wird in ihrem Mechanismus zu einer bevölkerungsweiten Identitätsinfrastruktur — gesichtsbasierte Altersschätzung, Ausweis-Upload, Open-Banking-Prüfungen, Bestätigung durch das Mobilfunknetz, der ganze Werkzeugkasten, den die Ofcom abgesegnet hat, angewandt auf die gesamte erwachsene Öffentlichkeit als Preis dafür, online zu bleiben.

Großbritannien ist kein Ausreißer; es ist ein Nachzügler. Australiens weltweit erstes Verbot für unter 16-Jährige trat am 10. Dezember 2025 in Kraft, und am 27. Juni — vor drei Tagen — kündigte die australische Regierung an, sie werde die Höchststrafe verdoppeln, auf rund 99 Millionen australische Dollar, nachdem sich gezeigt hatte, dass Minderjährige es umgingen; gegen fünf Plattformen laufen Untersuchungen. Die Vereinigten Staaten haben nach Free Speech Coalition v. Paxton (entschieden 6–3 am 27. Juni 2025, mit dem das Altersverifikationsgesetz von Texas unter intermediate scrutiny — mittlerer gerichtlicher Prüfungsdichte — bestätigt wurde) inzwischen rund zwei Dutzend Bundesstaaten mit Alterskontrollpflichten für Inhalte für Erwachsene und ein weiteres Dutzend, das nach den sozialen Medien Minderjähriger greift. Die Empfehlung der Europäischen Kommission vom 29. April 2026 drängt jeden Mitgliedstaat, bis Jahresende Altersverifikation verfügbar zu machen, auf den Schienen der digitalen Identitäts-Wallet nach eIDAS 2.0. Freedom House benannte das Muster in seinem jüngsten Freedom on the Net, im fünfzehnten Jahr rückläufiger Internetfreiheit in Folge: „Die Anonymität im Netz, eine wesentliche Voraussetzung für die Meinungsfreiheit, tritt in eine Phase der Krise ein, während Politiker in freien wie in autokratischen Ländern gleichermaßen den Einsatz von Identitätsverifikationstechnik vorschreiben.“ Die Demokratien und die Autokratien konvergieren von entgegengesetzten Enden her auf dieselbe Architektur. Der Autokrat will das Register, um den Dissidenten zu finden. Die Demokratie will das Tor, um das Kind zu schützen. Die Infrastruktur, die sie bauen, ist dasselbe Tor, und sobald es steht, kontrolliert es alle.

Der Aussteller, der protokolliert

Es gibt eine echte technische Antwort auf all das, und intellektuelle Redlichkeit verlangt, sie sowohl in voller Stärke darzulegen als auch zu erklären, warum sie noch nicht ausreicht.

Die Antwort ist der Zero-Knowledge-Altersnachweis. Im Prinzip erlaubt Kryptografie, einer Website ein einziges Bit zu beweisen — „über 18“ —, ohne Geburtsdatum, Namen oder Dokument herauszugeben. Der Beweis wird auf Ihrem Gerät berechnet; die vertrauende Seite erfährt den Booleschen Wert und sonst nichts. Die Altersverifikations-App der EU wird genau mit diesem Versprechen verkauft: nachweisen, dass man über 18 ist, „ohne irgendwelche anderen personenbezogenen Daten zu teilen“. Wenn die Technik hielte, was der Slogan behauptet, würde sich das Anonymitätsproblem größtenteils auflösen — Sie könnten die Alterskontrolle erfüllen und gegenüber dem Dienst dahinter trotzdem niemand Bestimmtes sein. Die stärkste Fassung dieses Arguments ist stark und verdient, ernst genommen statt weggewischt zu werden: Datenschutzwahrende Altersverifikation ist echte Kryptografie, keine Luftnummer, und sie ist wirklich besser, als einen Reisepass auf eine Pornoseite hochzuladen.

Aber sie liefert keine Anonymität, und die Lücke zwischen „datenschutzwahrend“ und „anonymitätswahrend“ ist die ganze Geschichte. Sechs Dinge sind zugleich wahr. Die Registrierung erfordert vollständige Identifizierung: Um den Nachweis zu bekommen, müssen Sie einem Aussteller Ihre echte Identität beweisen — eine staatliche eID, eine Bank, eine Passprüfung —, also ist Ihre Anonymität schon bei der Ausstellung dahin, bevor je ein Beweis berechnet wird; sie wird der Website vorenthalten, niemals dem Aussteller. Die EU hat das verknüpfbare Verfahren standardisiert: Das Regelwerk der digitalen Identitäts-Wallet schreibt Nachweisformate vor (ISO mdoc, SD-JWT), die kryptografisch nicht unverknüpfbar sind, während die Verfahren, die es sind (BBS+, zk-SNARKs), für den öffentlichen Sektor der EU nicht zugelassen sind — die ausgelieferte App bezieht ihren Datenschutz also aus Stapeln von Einmal-Token, die von einem Reisepass oder einer eID abgeleitet werden, was, wie die EFF anmerkte, „den nationalen Ausweis unmittelbar an eine Methode der Altersverifikation gebunden hat“. Der Aussteller kann nach Hause telefonieren: Sperrprüfungen können bei jeder Nutzung den Aussteller kontaktieren und protokollieren, wo und wie oft der Nachweis vorgezeigt wird. Metadaten hebeln den Booleschen Wert aus: IP-Adresse, Geräte-Fingerabdruck und zeitliche Muster korrelieren den „anonymen“ Beweis zurück auf eine Person. Wiederholte Beweise lecken: Beweisen Sie heute „über 21“ und im vergangenen Jahr „über 18“, und das Geburtsfenster verengt sich. Und der Aussteller wird zum Nadelöhr: Wer die Ausstellung von Nachweisen beherrscht — eine nationale eID, eine Plattform-Wallet —, wird zum faktischen Torwächter darüber, wer sprechen darf, ein einzelner Kontrollpunkt, unabhängig von der Mathematik irgendeines einzelnen Beweises. Das Urteil der Kryptografinnen und Kryptografen des Fachs selbst ist das, was man behalten sollte: Die Anonymität läuft in Richtung der vertrauenden Partei, niemals in Richtung des Ausstellers. Der Beweis verbirgt Ihr Geburtsdatum vor der Website. Er macht Sie gegenüber dem System nicht anonym, und er kann es nicht, denn das System wurde gebaut, um Sie an der Tür zu kennen, selbst wenn es einwilligt, Sie am Tisch zu vergessen.

Der eine technische Konter gegen den Angriff auf die Anonymität ist also notwendig, bauenswert und — in seiner 2026 ausgelieferten Form — noch nicht hinreichend. Die richtige Reaktion ist nicht, Zero-Knowledge-Beweise abzutun, sondern die unverknüpfbaren Varianten, dezentrale Ausstellung und Sperrprüfungen ohne Heimtelefonat zu verlangen — und in der Zwischenzeit ehrlich zu sein, dass das meiste, was heute an Altersverifikation ausgeliefert wird, nicht einmal das ist. Es ist ein Gesichtsscan und ein Dokumenten-Upload. Also: Identität, eingesammelt.

Jede Pflicht ist ein Honeypot

Es gibt einen zweiten Preis dafür, Identität im großen Maßstab herzustellen, und der Juni lieferte die Belege in Menge: Jede Identität, die Sie zu erzeugen gezwungen werden, wird zu einer Datenbank, die irgendwann jemand anderes stiehlt.

Das ist nicht theoretisch, und die Welle der Altersverifikation hat ihre Datenlecks bereits hervorgebracht. Das Kollektiv, das im Juni Unternehmens-Cloud-Mandanten durchwühlte, ist dasselbe, das im Oktober 2025 rund siebzigtausend Fotos staatlicher Ausweise beim Altersverifikationsdienstleister stahl, den Discord nutzte. Und Mitte Juni 2026 fanden Sicherheitsforscher knapp eine Million Pass- und Ausweisscans — erhoben von europäischen Alters- und Mitgliedschaftsverifikationssystemen —, die völlig ohne Authentifizierung offen im Internet lagen. Das ist der Fehlermodus, den Kritiker im Voraus benannt hatten: Man kann einen Nachweis nicht leaken, den man nie erzeugen musste, und ein Verifikationssystem ist konstruktionsbedingt ein Haufen genau jener Dokumente, die Angreifer am meisten wollen. Wie die EFF es sagt: „Altersverifikationssysteme sind Überwachungssysteme“ — und ihnen gegenüber ist das Problem des Verteidigers dauerhaft, während der Angreifer „nur einmal Glück haben muss“.

Der breitere Monat unterstrich die Regel. Das Welternährungsprogramm gab unbefugten Zugriff auf das Selbstregistrierungssystem bekannt, über das Palästinenser in Gaza Hilfe beantragen, wodurch die Daten von rund sechshunderttausend Haushalten offenlagen — Namen, nationale Ausweisnummern, Telefonnummern, Wohnviertel —, was für eine vertriebene Bevölkerung keine Unannehmlichkeit ist, sondern eine Zielliste. Forscher förderten einen zusammengestellten Fundus in der Größenordnung von vierundzwanzig Milliarden Zugangsdatensätzen zutage — kein einzelnes neues Leck, sondern eine Aggregation von Infostealer-Logs und alten Lecks, ohne Deduplizierung, was seine eigene Lehre darüber ist, wie Identitätsdaten, einmal erzeugt, nie zerfallen und nie nach Hause gehen. Eine Wildtierbehörde des US-Bundesstaats Texas verlor über einen Dienstleister Führerschein- und Passnummern von mehr als drei Millionen Lizenzinhabern. Der rote Faden ist der Fehlermodus der Verwahrer, zu dem diese Reihe immer wieder zurückkehrt: ein Verwahrer, ein Leck, alle exponiert — und kein Weg zur Wiedergutmachung für den Einzelnen, der die Daten nie kontrolliert hat und sie nicht zurückholen kann.

Legen Sie das nun neben die Pflichten. Mexiko verknüpft mehr als 144 Millionen Telefonleitungen mit den Identitäten seiner Bürger und erfasst zugleich Gesichter, Fingerabdrücke und Iriden in einer nationalen biometrischen ID — und seine eigene Bilanz reicht vom RENAUT-Register, das auf Straßenmärkten verkauft wurde, bis zu einer Telekom-Datenpanne genau an dem Tag, an dem das neue System startete. Die EU und Großbritannien bauen Alters- und Identitätsverifikation als Bedingung des alltäglichen Online-Lebens auf. Jedes davon ist sicherheitstechnisch ein Honeypot im Bau — ein zentralisierter Speicher genau der Daten, die Angreifer am meisten wollen, gerechtfertigt durch einen realen Nutzen und ein Risiko, das als das Problem von jemand anderem behandelt wird. Das Datenleck ist kein Fehler in der Identitätspflicht. Es ist ihre Reifeform. Sie können nicht versprechen, alle zu verifizieren, und zugleich versprechen, die Verifikationsdatenbank werde nie lecken, denn die Geschichte jeder solchen Datenbank ist, dass sie leckt — und je verpflichtender sie ist, desto sicherer tut sie es. Eine Biometrie lässt sich nicht zurücksetzen. Sie bekommen ein Gesicht.

Das Gesetz lief aus; die Überwachung nicht

Gehen wir eine Ebene höher, vom Tor, das fragt, wer Sie sind, zum Staat, der es bereits weiß, denn der Juni brachte auch dort eine Wegmarke, und sie reimt sich.

Um Mitternacht des 12. Juni 2026 lief Section 702 des Foreign Intelligence Surveillance Act — die Rechtsgrundlage für die Erfassung von Kommunikation durch die NSA ohne richterlichen Beschluss — zum ersten Mal seit ihrer Schaffung im Jahr 2008 aus. Der Senat scheiterte am 5. Juni mit 47–52 an einer Cloture-Abstimmung; das Repräsentantenhaus scheiterte am 11. Juni mit 198–218 an einer kurzfristigen Verlängerung; unmittelbarer Auslöser war eine Führungskrise, die Erhebung eines Beamten aus der Wohnungsbaufinanzierung ohne nachrichtendienstlichen Hintergrund zum kommissarischen Director of National Intelligence, die die für eine Verlängerung nötige Koalition zerfallen ließ. Und doch hörte die Überwachung nicht auf. Weil der Foreign Intelligence Surveillance Court die maßgeblichen Zertifizierungen bereits im März 2026 genehmigt hatte, läuft die Erfassung unter ihnen weiter, bis sie auslaufen — mehreren Darstellungen zufolge bis etwa zum 17. März 2027. Ausgelaufen ist das Gesetz. Das Programm läuft weiter, rechtmäßig auf Grundlage des Papierkrams des Vorjahres, noch neun Monate lang.

Darunter liegt ein Dokument, das die Öffentlichkeit weiterhin nicht lesen kann. Die geheime FISC-Entscheidung vom 17. März 2026 — die laut einer Berichterstattung der New York Times feststellte, dass das Abfrageproblem des „filtering tool“ (Filterwerkzeugs), das die Regierung behoben zu haben behauptete, sich tatsächlich über die gesamte Nachrichtendienstgemeinschaft erstreckt, wobei das FBI sein Werkzeug von 2024 nur außer Dienst stellte, um ein anderes mit derselben Funktion zu nutzen — bleibt geheim. Senatoren rangen als Preis für eine Verlängerung im April eine überparteiliche Zusage ab, sie binnen fünfzehn Tagen freizugeben; die Frist verstrich, und der Senat stimmte am 5. Juni ab, ohne sie gesehen zu haben. Das ist die staatliche Seite jener Eigenschaft, die die Identitätspflichten von der Verbraucherseite her angreifen: Anonymität gegenüber der Regierung, die Fähigkeit zu kommunizieren, ohne dass der Staat die Handlung katalogisiert. Und die Spalten müssen ehrlich und getrennt gehalten werden, denn die Vereinigten Staaten sind weder Mexikos Register noch Irans Blackout: Sie haben ein Beschlussrecht, ein kontradiktorisches Gericht, das genau die fragliche Entscheidung schrieb, eine parlamentarische Kontrolle, die ihre Freigabe aushandelte, und eine freie Presse, die über ein Geheimdokument berichtet. Der gemeinsame Faden ist schmal, und es lohnt sich, ihn genau so schmal zu benennen — in jedem dieser Fälle wird der Öffentlichkeit zugemutet, eine Tatsache hinzunehmen, die sie nicht sehen kann, und eine Sichtbarkeit, der sie nicht zugestimmt hat, und darauf zu vertrauen, dass das Tor, das Register und die Abfrage nur dorthin zielen, wohin sie sollen.

Die Karte

Treten wir zurück und blicken auf die Welt, dann ist die Konvergenz unverkennbar, denn dieselbe Saison trug auch die autoritären Varianten der Identitätspflicht.

Russland verbot WhatsApp im Februar 2026 vollständig — rund hundert Millionen Nutzer — und treibt sie in einen staatlichen Messenger, MAX, während es Plattformen drängt, Nutzer zu blockieren, die über ein VPN kommen; Identität und Kontrolle sind auf der Netzwerkebene verschmolzen. Der Iran klettert erst jetzt aus dem längsten je verzeichneten landesweiten Internet-Blackout, Tausende Stunden dunkel nach den Angriffen Ende Februar, die Wiederherstellung teilweise, ausländische Plattformen weiterhin gesperrt — die roheste Erinnerung daran, dass die totalste Identitätskontrolle schlicht darin besteht, zu entscheiden, wer überhaupt online sein darf. China betreibt weiterhin das ausgereifteste Klarnamen-Regime der Welt und hat begonnen, die Durchsetzung bis in die physische Infrastruktur hinunterzudrücken. Vietnam und Indonesien haben ihre eigenen Ausweispflichten fürs Posten gesetzlich verankert. Und die SIM-Pflicht, die Mexiko gerade durchgesetzt hat, ist inzwischen der globale Normalfall, keine regionale Eigenart: Nach Zählung der GSMA verlangen rund 157 Länder einen Identitätsnachweis zur Aktivierung einer Mobilfunkleitung, und mehr als dreißig verlangen dafür Biometrie — gegenüber siebzehn im Jahr 2020 —, obwohl die eigenen Forscher der GSMA keinen Beleg dafür finden, dass die Anforderung Kriminalität senkt. Der Punkt ist nicht, dass London und Brüssel Moskau und Peking wären — sie sind es nicht, und die Unterschiede (Gerichte, Wahlen, eine Presse) sind alles, worauf es ankommt. Der Punkt ist die Architektur. Eine Demokratie und eine Autokratie, die dasselbe Tor bauen, haben dasselbe Tor gebaut, und ein Tor erinnert sich nicht daran, warum es eingebaut wurde. Die mit Erpressung begründete registrierte SIM und die mit Dissens begründete registrierte SIM sind dieselbe Datenbank. Die mit Kinderschutz begründete Alterskontrolle und das mit „sozialer Stabilität“ begründete Klarnamengesetz rufen dieselbe Identitäts-API auf. Die Anonymität wird von beiden Enden des politischen Spektrums zugleich abgeschafft, von Regierungen, die sich in fast nichts anderem einig wären, weil die Fähigkeit konvergent ist, auch wo die Absicht es nicht ist.

Die Gegenwehr, Schicht für Schicht

Was hält also tatsächlich? Die ehrliche Abrechnung Schicht für Schicht ist die Disziplin, die diese Reihe ihren Lesern schuldet, und sie spaltet sich genau entlang der Linie zwischen Vertraulichkeit und Anonymität.

Wo der nutzerseitige Stapel gewinnt — Vertraulichkeit. Die Inhaltsebene ist verteidigbar und wurde dieses Jahr verteidigt. Signals Post-Quanten-Ratsche härtet den Kanal weiter gegen die Entschlüsselung von morgen; die größten Messenger der Welt liefern Ende-zu-Ende-Verschlüsselung standardmäßig aus; der Tor Browser (15.0.17, ausgeliefert am 28. Juni) und die gehärteten mobilen Basissysteme (GrapheneOS, das der neuen Android-Version binnen Tagen folgt) halten Gerät und Transport intakt; URnetworks Peer-to-Peer-Overlay trägt Verkehr über einen zensurresistenten, DPI-resistenten Pfad, der die Route von jedem einzelnen Betreiber abstrahiert. Gegen einen Gegner, der Ihre Nachricht lesen oder Ihre Route blockieren will, funktioniert das, und der Rückzug der EU beim Scannen ist der Beleg, dass die Mathematik, wenn sie verteidigt wird, selbst gegen einen Kontinent hält.

Wo er ausgeht — Anonymität. Gegen einen Gegner, der Sie identifizieren will, bevor er Sie sprechen lässt, dünnt derselbe Stapel auf fast nichts aus. Es gibt kein clientseitiges Primitiv, das ein erzwungenes Identitätsregister besiegt; Verschlüsselung entkoppelt Ihre SIM nicht von Ihrem Namen; ein Umgehungswerkzeug tunnelt an einer Sperre vorbei, aber es kann nicht an einem Gesetz vorbeitunneln, das Ihre juristische Identität zum Preis einer Telefonnummer macht. Der Zero-Knowledge-Altersnachweis ist der eine echte technische Konter, und in seiner Form von 2026 wahrt er die Vertraulichkeit des Attributs, während er dem Aussteller gegenüber die Anonymität preisgibt. Dezentrale Identität, die wirklich zurückhält — unverknüpfbare Nachweise, verteilte Ausstellung, kein Heimtelefonat —, ist baubar und weitgehend ungebaut, ebenso sehr blockiert von Beschaffungsstandards, die die verknüpfbaren Verfahren bevorzugen, wie von irgendeiner Grenze der Kryptografie. Das ist die Grenzlinie, und sie ist größtenteils leer.

Die Karte ist deshalb auf eine Weise schief, mit der die Datenschutzbewegung nicht gerechnet hat: Wir sind genau dort stark, wo wir uns organisiert haben, und genau dort schwach, wo wir es nicht taten. Die Werkzeuge, die schützen, was Sie sagen, sind ausgereift, ausgeliefert und auf der Gewinnerseite. Die Werkzeuge, die schützen, dass Sie unidentifiziert handeln können, sind unreif, selten und auf der Verliererseite — nicht weil das Problem unlösbar wäre, sondern weil wir das Jahrzehnt mit der anderen Hälfte verbracht haben.

Der Krieg, den wir vergessen haben

Zwei Lehren schließen die Woche ab, und sie sind die zwei Hälften einer Korrektur.

Die erste lautet: Vertraulichkeit ist notwendig und nicht hinreichend, und „verschlüsselt“ als Synonym für „sicher“ zu behandeln war ein strategischer Fehler, dessen Rechnung nun fällig wird. Verschlüsselung beantwortete die Frage, die die letzte Epoche stellte — können sie meine Nachricht lesen? — und beantwortete sie so gut, dass die Öffentlichkeit lernte, die andere Frage nicht mehr zu stellen: Kann ich überhaupt handeln, ohne zuerst identifiziert zu werden? Die Identitätspflichten von 2026 sind die Anpassung des Gegners. Sie räumen die Nachricht ein und nehmen den Boten. Sie lassen den Brief versiegelt und stellen einen Wächter an die Tür des Postamts. Und gegen diesen Zug ist ein Jahrzehnt hart erarbeiteter kryptografischer Muskeln auf das falsche Ziel gerichtet.

Die zweite ist operativ, und sie ist der rote Faden, an dem diese Reihe festgehalten hat: das Primitiv in Stellung bringen, bevor die Kontrolle greift. Die Arrangements, die Anonymität bewahren — die ausländische eSIM, vor der Registerfrist beschafft, das vor der Alterskontrolle eröffnete Konto, der unverknüpfbare Nachweis, das Overlay, das den Transport nicht an eine registrierte Identität bindet —, leben, wie jede Umgehung, auf der anderen Seite der Kontrolle. Wer nach dem 30. Juni noch unidentifiziert handeln kann, ist ganz überwiegend die Person, die es vorher arrangiert hat. Aber Vorabpositionierung ist ein Notbehelf für Einzelne, keine Politik für eine Gesellschaft, und die größere Korrektur ist eine, die die Bewegung bewusst vornehmen muss: die Anonymitätsschicht mit derselben Ernsthaftigkeit finanzieren, bauen, standardisieren und einfordern, die sie der Verschlüsselung entgegenbrachte — unverknüpfbare Altersnachweise statt verknüpfbarer, dezentrale Ausstellung statt nationaler Nadelöhre, datenminimierender Zugang statt Verifikation für alle, und eine juristische Linie, die das Recht, unidentifiziert zu sein, als Bürgerrecht behandelt statt als zu schließendes Schlupfloch.

Vertraulichkeit können wir gewinnen; wir haben es dieses Jahr gerade wieder bewiesen. Anonymität haben wir verloren, weil wir nicht um sie gekämpft haben.

Drei Regierungen, drei Kontinente, eine Woche, eine Forderung: Zeig dein Gesicht.

Die Antwort ist nicht, den Sieg bei der Verschlüsselung aufzugeben — er ist real, und er gehört uns. Die Antwort ist zu bemerken, dass es der leichtere Krieg war, dass der schwerere nun der ist, auf den es ankommt, und die Schicht zu bauen, in der man sein Gesicht nicht zeigen muss, um zu sprechen.

Die Vertraulichkeit hat gewonnen. Die Anonymität hat verloren. Das nächste Jahrzehnt ist der Kampf, sie zurückzugewinnen.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen; die MCP-Server-Version vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Betreiberebene zu abstrahieren. URnetworks Code ist offen und prüfbar. Es ist ein Werkzeug für Vertraulichkeit und Routing, ehrlich über seine Grenzen: Es schützt, was Sie sagen und wie Sie sich verbinden, und es kann — wie alle solchen Werkzeuge — für sich allein kein Gesetz besiegen, das an der Tür Ihre Identität verlangt, weshalb diese Ausgabe dafür argumentiert, dass der Kampf um die Anonymität ebenso in Standards und Gesetzen wie im Code geführt werden muss.

https://ur.io

Beginnen wir mit dem Preis, denn er ist real und kein Vergleich löscht ihn aus.

Knapp vier Jahre lang lieferten mehr als 30.000 selbstgehostete Gitea-Installationen ihre privaten Container-Images an jeden aus, der danach fragte. CVE-2026-27771: Die Container-Registry setzte bei als privat markierten Images die Authentifizierung nicht durch. Eine normale, anonyme Docker- oder OCI-Pull-Anfrage an die Registry-API lieferte das Image zurück. Keine Zugangsdaten. Keine Exploit-Kette. Nur eine Anfrage, beantwortet.

Die britische Sicherheitsfirma Noscope fand exponierte Instanzen in Gesundheitswesen, Luft- und Raumfahrt sowie Provider-Infrastruktur in mehr als 30 Ländern. Der Fehler lag jahrelang offen, bevor jemand mit einem Interesse an der Offenlegung ihn bemerkte.

Vier Jahre sind inakzeptabel. Diese Publikation hat die vorangegangenen Ausgaben dieser Serie darauf verwendet zu argumentieren, dass die selbstgehostete, nutzerkontrollierte Schicht der Gegenentwurf zu zentralisierten Anbieter-Pipelines und Plattform-Verwahrern ist — und das Ehrliche ist, zuerst und ohne Abschwächung zu sagen: Die selbstgehostete Schicht ist keine Zauberei. Sie bringt eine Disziplinlast mit sich. Sie bringt ein Verweildauer-Risiko mit sich. Vier Jahre nicht authentifizierter Lesezugriff auf Produktionsbaupläne sind genau das Versagen, auf das ein Kritiker der nutzerseitigen These zeigen würde, und der Kritiker hätte recht damit, darauf zu zeigen.

Diese Ausgabe beginnt also mit dem schlechtesten Bild ihrer eigenen Schicht.

Und verdient sich die These dann zurück — nicht indem sie die vier Jahre leugnet, sondern indem sie die Frage stellt, die die vier Jahre verlangen: verglichen womit, und was passiert als Nächstes.

Denn der Rest der Gitea-Geschichte ist der Teil, den die Anbieter-Pipeline nicht erreicht. Der Fehler wurde von Noscopes autonomem Penetrationstest-Agenten gefunden. Die Maintainer vergaben die CVE und lieferten die Behebung — Gitea v1.26.2 — am 20. Mai aus, vor der öffentlichen Offenlegung am 25. Mai. Die Release Notes nannten den Finder. Die Offenlegung benannte Forgejo, den Community-Fork, der dieselbe Registry-Implementierung verwendet, ebenfalls als verwundbar, damit auch dessen Betreiber patchen konnten.

Vier Jahre Verweildauer. Tage bis zur Behebung. Offengelegt mit gekennzeichnetem Fork und genanntem Finder.

Diese Paarung ist der Artikel.

Der Bauplan

Um zu verstehen, warum ein Fehler in einer Container-Registry Aufmacher-Kaliber hat und keine Fußnote ist, muss man verstehen, was ein Container-Image ist.

Ein Container-Image ist eine paketierte, lauffähige Momentaufnahme einer Anwendung und all dessen, was sie zum Laufen braucht. In der Praxis heißt das: der Quellcode der Anwendung, die Konfigurationsdateien und — weit häufiger, als der Sicherheitsbestpraxis lieb wäre — die Datenbank-Zugangsdaten, die API-Schlüssel, die internen Dienst-Endpunkte und die TLS-Zertifikate, alles gebündelt in einem einzigen Objekt, das die Registry auf Anfrage herausgibt.

Noscopes Formulierung trifft es genau: Ein Container-Image ist „ein detaillierter Bauplan einer Produktionsumgebung“. Ein Angreifer, der ein privates Image ziehen kann, bekommt kein Fragment. Er bekommt die Karte. Lesen Sie das Image, ernten Sie die Zugangsdaten und die Topologie, und Sie haben, was Sie brauchen, um die dahinterliegende laufende Infrastruktur zu erreichen. Die Offenlegung wird zum Kompromittierungsprimitiv.

Der naheliegende Einwand lautet, dass Container-Images gar keine Geheimnisse enthalten sollten — dass Zugangsdaten in einen Secrets-Manager gehören und zur Laufzeit eingespielt werden, statt ins Image eingebacken zu sein. Das ist die korrekte Bestpraxis, und sie wird ständig verletzt, in genau den Installationen im Gesundheitswesen, in der Luft- und Raumfahrt und bei Providern, die Noscopes Scan zutage förderte. Das ist die Disziplinlast, klar benannt: Die selbstgehostete Schicht belohnt den geübten Betreiber und bestraft den nachlässigen. Wer Geheimnisse aus seinen Images heraushielt, war weniger exponiert; wer sie einbackte, gab die Schlüssel heraus. Aber selbst ein vollkommen geheimnisfreies Image ist noch ein Bauplan — Quellcode, Struktur, Abhängigkeiten, Endpunkte —, und der Bauplan einer Produktionsumgebung ist selbst schon ein Aktivposten für Angreifer.

Der Fehler verwandelte die Baupläne von über 30.000 Installationen in anonyme Downloads. Vier Jahre lang.

Gefunden und behoben

Die beiden Zahlen, auf die es ankommt, stehen nebeneinander: rund vier Jahre Verweildauer, und Tage bis zur Behebung.

Der Patch — v1.26.2 — wurde am 20. Mai ausgeliefert. Die öffentliche Offenlegung kam am 25. Mai. Die Behebung ging der Offenlegung voraus, was die Reihenfolge ist, in der verantwortliche Offenlegung ablaufen soll und häufig nicht abläuft. Als der Fehler öffentlich bekannt wurde, stand die Behebung jedem Betreiber bereits über denselben Update-Kanal zur Verfügung, den er ohnehin nutzte.

Die Papierspur ist öffentlich und prüfbar. Die CVE ist vergeben und nummeriert. Der Finder — Noscope — ist in den Release Notes genannt. Der nachgelagerte Fork — Forgejo — ist als Träger derselben verwundbaren Implementierung benannt, damit seine Betreiber handeln konnten, statt ihre Gefährdung später zu entdecken. Jeder kann den Commit lesen, die Release Notes lesen, die Offenlegung lesen und die Zeitleiste überprüfen.

Es gibt hier ein reales Restrisiko, und es muss benannt werden: Ein Patch schützt nur die Betreiber, die ihn einspielen. Ein Teil dieser über 30.000 Installationen wird wochen- oder monatelang ungepatcht bleiben, und dieser ungepatchte Nachlauf ist ein echtes Problem und ein Disziplinversagen. Aber es gibt einen entscheidenden Unterschied zwischen einem ungepatchten Nachlauf und einem fehlenden Patch. Die Gitea-Behebung existiert und lässt sich einspielen. Der Betreiber, der sie noch nicht eingespielt hat, hat einen Weg zur Behebung, der auf ihn wartet. Das gilt in dieser Woche nicht für jeden Fehler — und der Kontrast ist der nächste Abschnitt.

Verweildauer und Behebung

Der falsche Weg, die offene Schicht zu bewerten, ist die Verweildauer allein. Nach dieser Metrik sind vier Jahre vernichtend und das Gespräch ist beendet.

Der richtige Weg ist Verweildauer-und-Behebung, entlang von vier Achsen: wie schnell die Behebung kommt, sobald der Fehler bekannt ist; wie lange das Versagen fortbesteht, wenn es unbearbeitet bleibt; ob die Ableitungen und das Nachgelagerte transparent sind; und ob die betroffene Partei überhaupt Handlungsmacht über die eigene Behebung hat. Auf allen vieren liefert diese Woche den Vergleich.

Tempo und Fortbestand. CVE-2008-4250 — ein Fehler in Microsoft Windows — wurde am 20. Mai wieder in CISAs Katalog Known Exploited Vulnerabilities aufgenommen, in derselben Woche wie die Gitea-Offenlegung. Sie wird achtzehn Jahre nach Existenz des Patches ausgenutzt. Der Anbieter lieferte eine Behebung; die Verweildauer der ausgenutzten Population misst sich in knapp zwei Jahrzehnten. Die Gitea-Verweildauer betrug vier Jahre bis zur Entdeckung und Tage bis zur Behebung; die Verweildauer von CVE-2008-4250 beträgt achtzehn Jahre und zählt weiter, während die Behebung längst verfügbar ist und der ausgenutzte Nachlauf trotzdem fortbesteht.

Die fehlende Behebung. Microsoft Exchange Server CVE-2026-42897 trägt eine Behebungsfrist der zivilen Bundesverwaltung (Federal Civilian Executive Branch) für heute, den 29. Mai. Es gibt keinen dauerhaften Patch. Der zivile Bundessektor „erfüllt“ die Frist mit Mitigation, nicht mit Behebung, an Tag 15 aktiver Ausnutzung. Das ist die Umkehrung des Gitea-Betreibers, der heute v1.26.2 eingespielt hat: Die an Exchange gebundene Behörde kann keine Behebung einspielen, die nicht existiert. Die Frist kommt; die Behebung nicht.

Transparenz der Ableitungen. Als Gitea gepatcht wurde, wurde Forgejo — der Fork — öffentlich als Träger desselben Fehlers benannt. Ein Closed-Source-Produkt hat keinen öffentlichen Fork-Graphen, gegen den es offenlegen könnte; nachgelagerte Gefährdung in einer proprietären Lieferkette ist unsichtbar, bis sie eingebrochen wird. Die Ableitungstransparenz der offenen Schicht ist eine strukturelle Eigenschaft, keine Höflichkeit.

Handlungsmacht der Nutzer. Der ShinyHunters-Einbruch bei Canvas/Instructure legte rund 275 Millionen Datensätze über etwa 8.809 Einrichtungen hinweg offen — Canvas hält etwa 41 Prozent des nordamerikanischen Marktes für Lernmanagementsysteme im Hochschulbereich. Die Studierenden, Lehrenden und Beschäftigten in diesem Datenbestand haben keinen Weg zur Behebung. Sie haben die Installation nie kontrolliert; sie können sie nicht patchen; sie können ihre Daten nicht zurückholen. Ein selbstgehosteter Fehler ist durch den Betreiber behebbar, der die Installation kontrolliert. Ein SaaS-Einbruch ist ein einzelner Verwahrer, der die Daten aller auf einmal verliert, ohne nutzerseitigen Rechtsbehelf.

Die ehrliche Fassung dieses Vergleichs muss den naheliegenden Survivorship-Einwand einräumen: Eine faire Bilanz würde auch langsame Open-Source-Behebungen und schnelle Anbieter-Patches zutage fördern — Microsoft lieferte diese Woche ein SharePoint-Update für CVE-2026-45659 aus, CVSS 8.8, und es kam pünktlich. Die Behauptung hier lautet nicht, offen schlage geschlossen immer bei jedem einzelnen Vorfall. Die Behauptung betrifft die strukturellen Eigenschaften — scannbarer Code, öffentliche Fork-Graphen, beim Betreiber liegende Behebung, Auslieferung über denselben Kanal an alle zugleich —, die die offene Schicht hat und die geschlossene nicht. Diese Eigenschaften sind es, die aus einer vierjährigen Verweildauer eine tagelange Behebung mit öffentlicher Papierspur machen statt eines achtzehnjährigen Nachlaufs oder einer Frist, hinter der kein Patch steht.

Und der Zugangs-Einwand ist ebenfalls real: Die meisten Menschen können nicht selbst hosten, also ist der Vorteil der Betreiber-Handlungsmacht für sie theoretisch. Stimmt. Die Metrik Verweildauer-und-Behebung zählt für die Betreiber, Plattformen und Infrastrukturen, die tatsächlich selbst hosten — wozu laut Noscope die Installationen im Gesundheitswesen, in der Luft- und Raumfahrt und bei Providern aus dem Scan gehören. Der Rahmen ist die Disziplinlast derer, die die Schicht betreiben, keine Behauptung universeller Anwendbarkeit.

Die offene Schicht scheitert offen. Das ist der Preis — ihre Fehler sind sichtbar, scannbar und auffindbar. Es ist zugleich der Gegenentwurf: Sichtbare Fehler werden behoben, schnell, in der Öffentlichkeit, mit gekennzeichnetem Fork und genanntem Finder.

Es schneidet in beide Richtungen

Die wirklich neue Tatsache in der Gitea-Geschichte ist nicht der Fehler. Es ist der Finder.

Ein autonomer Penetrationstest-Agent entdeckte eine bis dahin unbekannte Schwachstelle, indem er die offene Schicht im großen Maßstab scannte. Kein Scanner für bekannte CVEs, der Signaturen abgleicht — ein explorativer Agent, der etwas fand, das niemand katalogisiert hatte, in einer Registry-Implementierung, die den Fehler vier Jahre lang ausgeliefert hatte. Noscopes Darstellung beschreibt den Agenten, der die Entdeckung macht, und die Firma, die die Offenlegung übernimmt; die Details des Mechanismus darüber hinaus sind ihre, und es ist nicht an uns, sie zu bewerten.

Die Implikation ist die, bei der es sich zu verweilen lohnt: Verborgenheit ist tot. Die vierjährige Verweildauer geschah in einer Ära, in der das Finden eines unbekannten Fehlers in einer mittelmäßig verbreiteten Open-Source-Registry voraussetzte, dass ein menschlicher Forscher sich entschied hinzusehen. Die Agenten-Ära hebt diese Voraussetzung auf. Code, der offen liegt, wird gescannt werden — umfassend, billig, fortlaufend.

Das schneidet in beide Richtungen, und die Begründung ist eine Schlussfolgerung, keine Meldung: Dieselbe Fähigkeit zum autonomen Scannen, die Noscope diesen Fehler finden ließ, steht auch Angreifern zur Verfügung. Es gibt keinen Bericht, dass ein feindlicher Agent genau diesen Fehler gefunden hätte — die Offenlegung ist Noscopes. Aber die Fähigkeit gehört nicht allein den Verteidigern, und eine Fähigkeit, die einen unbekannten Fehler finden kann, kann weitere finden. Das Rennen läuft zwischen freundlichen Agenten, die finden und offenlegen, und feindlichen Agenten, die finden und ausnutzen.

Deshalb ist die Variable des Betreibers das Patch-Tempo. Die Entdeckungslatenz liegt inzwischen teilweise außerhalb der Hand des Betreibers — Agenten, freundlich oder feindlich, werden nach ihrem eigenen Zeitplan finden, was auffindbar ist, nicht nach seinem. Die Patch-Latenz liegt vollständig in der Hand des Betreibers. In der Agenten-Ära ist die Zeit zwischen der Auslieferung einer Behebung und ihrer Anwendung durch einen Betreiber die beherrschende Sicherheitsvariable, weil sie die ist, die der Betreiber kontrolliert. Das Auslieferungsmodell der offenen Schicht — derselbe Kanal, alle Betreiber auf einmal — ist auf schnelle Übernahme gebaut. Ob die Betreiber es nutzen, ist die Disziplinfrage, und sie ist jetzt die Frage, auf die es am meisten ankommt.

„KI macht die offene Schicht sicherer“ ist die optimistische Lesart, und sie hat halb recht: Freundliche Agenten haben diesen einen gefunden. Die andere Hälfte ist, dass Selbstzufriedenheit jetzt tödlich ist, weil die feindlichen Agenten ebenfalls scannen. Die Schlussfolgerung heißt nicht Sicherheit. Die Schlussfolgerung heißt: in Agentengeschwindigkeit patchen.

Vierzehn Tage und eine Frist ohne Patch

Die institutionellen Uhren liefen diese Woche parallel, und sie liefen in die andere Richtung.

Section 702 des Foreign Intelligence Surveillance Act läuft in vierzehn Tagen aus, am 12. Juni. Der Senat tagt bis zum 1. oder 2. Juni nicht. Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März bleibt geheim; das Office of the Director of National Intelligence sagt, es arbeite „zügig“ an der Freigabe, ohne sich auf ein Datum festzulegen. Der Berichterstattung über die weiterhin geheime Entscheidung zufolge — allen voran Brent Skorup vom American Prospect — stellte das Gericht fest, dass sich das Problem des Filterwerkzeugs über die gesamte Nachrichtendienstgemeinschaft erstreckt: Das FBI stellte das konkrete Abfragewerkzeug, das es 2024 nutzte, ein, nutzt aber ein anderes Werkzeug mit derselben Funktion. Der Vorsitzende des Geheimdienstausschusses des Senats, Tom Cotton, und sein Stellvertreter Mark Warner unterzeichneten gemeinsam die Freigabeforderung an DNI Gabbard und den kommissarischen Justizminister Todd Blanche; Senator Wyden ist die lauteste Stimme, die darauf besteht, dass die Entscheidung vor der Abstimmung über die Verlängerung öffentlich wird.

Das ist nicht gleichzusetzen mit einem Softwarefehler, und es ist nicht gleichzusetzen mit Irans Filternet, und dieser Text hält die Spalten getrennt. Die Vereinigten Staaten haben ein Beschlussrecht, ein kontradiktorisches Gericht, das die fragliche Entscheidung schrieb, eine parlamentarische Kontrolle, die ihre Freigabe aushandelte, und eine freie Presse, die über das Geheimdokument berichtet. Der gemeinsame Faden ist schmal und wird als solcher benannt: Wie die an Exchange gebundene Behörde, die keine Behebung einspielen kann, die nicht existiert, und wie der Canvas-Nutzer ohne Weg zur Behebung wird der Öffentlichkeit zugemutet, eine Tatsache hinzunehmen, die sie nicht sehen kann — die Entscheidung vom 17. März — und eine Abfragefähigkeit, die sie nicht kontrollieren kann.

Der Fristen-Stapel der Anbieter verstärkt den Kontrast. Die FCEB-Frist für Exchange OWA läuft heute ohne dauerhaften Patch ab. CISA gab Bundesbehörden vier Tage, um das aktiv ausgenutzte LiteSpeed-cPanel-Plugin abzusichern. SharePoint CVE-2026-45659 bekam sein Update — die Behebung, die existiert. Die Zwillings-Zero-Days in Microsoft Defender, CVE-2026-41091 und CVE-2026-45498, tragen eine FCEB-Frist zum 3. Juni, in fünf Tagen.

Der rote Faden: Die betroffene Partei rennt gegen die Uhr eines anderen. Die Exchange-Behörde rennt gegen einen Patch, der nicht geschrieben ist. Die §702-Öffentlichkeit rennt gegen eine Freigabeprüfung ohne Datum. Der Gitea-Betreiber, der heute v1.26.2 eingespielt hat, rannte ebenfalls gegen eine Uhr — und kam an, weil die Behebung existierte und der Kanal sie lieferte. Das ist der Unterschied, den die Rechenschaftsfähigkeit der offenen Schicht erkauft.

Der Fehlermodus des Verwahrers

Die Datenlecks der Woche sind die SaaS-Umkehrung des Aufmachers — der zentralisierte Verwahrer, der die Daten aller auf einmal verliert, ohne nutzerseitigen Rechtsbehelf.

Canvas/Instructure. Rund 275 Millionen Datensätze, etwa 8.809 Einrichtungen, darunter Harvard, Stanford und UC Berkeley, in einer Plattform mit rund 41 Prozent des nordamerikanischen LMS-Marktes im Hochschulbereich; ShinyHunters; Lösegeld Mitte Mai gezahlt. Die bestimmende Eigenschaft für die Argumentation dieser Ausgabe ist das Fehlen eines nutzerseitigen Weges zur Behebung. Ein selbsthostender Gitea-Betreiber konnte heute v1.26.2 ziehen und das Loch schließen. Die 275 Millionen Menschen im Canvas-Datenbestand können nichts tun. Sie haben die Installation nicht betrieben, können sie nicht patchen und können das Genommene nicht zurücknehmen. Zentralisierung ist ein defensiver Multiplikator, wenn sie funktioniert, und ein offensiver Multiplikator, wenn sie versagt: ein Einbruch, alle exponiert, kein individueller Rechtsbehelf.

Silent Ransom Group. Die FLASH-Warnung des FBI vom 26.–27. Mai warnte, dass die kriminelle Erpressertruppe — Luna Moth, UNC3753, kriminell und nicht staatlich — Anwaltskanzleien mit Social Engineering ins Visier nimmt, das bis zur physischen Präsenz eskaliert: Phishing-Mail, gefälschter IT-Rückruf, Remote-Desktop-Sitzung und, wenn das scheitert, ein Operativer, der ins Büro spaziert und einen USB-Stick einsteckt. Mehr als 38 Kanzleien auf der Leak-Seite, geschätzt über 100 insgesamt. Es ist der angreiferseitige Reim auf „nicht durchgesetzte Kontrollen“ — der menschliche Perimeter hat dieselbe Lücke wie die Gitea-Registry: eine Prüfung, die schlicht nicht stattfand.

Carnival. Rund 6 Millionen Menschen, bestätigt am 28. Mai. Ein kompaktes Musterbeispiel desselben Verwahrer-Fehlermodus: ein Verwahrer, ein Einbruch, Millionen exponiert.

Die Empfängerschicht: Kontrolle, heute

Die staatliche Kontrollschicht setzte sich auf jeder Ebene des Stapels fort, und die nutzerseitige Gegenwehr geht genau auf den Schichten aus, auf denen der Staat das Gerät oder das Register hält.

Netzbetreiber — Iran, Tag 3-4 der Wiederherstellung. Wie in der Ausgabe dieser Publikation vom 28. Mai dokumentiert, erreichte Irans Wiederherstellung einen Höchststand von rund 40 Prozent des Niveaus vor der Abschaltung, das Filternet blieb vollständig aktiv, und die chinesische DPI-Hardware für eine dauerhafte Drosselung ist installiert. Wiederherstellung ist keine Rückkehr. Das ist der Verweis; die Argumentation wird hier nicht neu aufgerollt.

Register — Mexiko, CURP Biométrica. Zweiunddreißig Tage bis zur Frist am 30. Juni; die Registrierung liegt weiterhin unter 10 Prozent. Das ist die ehrliche Grenze der nutzerseitigen These: Gegen ein erzwungenes biometrisches Register gibt es kein clientseitiges Primitiv, das es einer Person erlaubt, zugleich zu erfüllen und zurückzuhalten. Der Konter gegen ein Pflichtregister ist politisch und juristisch, nicht kryptografisch. Der nutzerseitige Stapel geht hier aus, und das zu sagen gehört dazu, ihn gut zu nutzen.

Rundfunk — Niger, Tag 21; Burkina Faso, Tag 24. Die Unterdrückung internationaler Medienquellen dauert an. Die Gegenwehr sind zensurresistente Verbreitung und DPI-resistente Transporte — vorab positioniert, gemäß der Lehre der vorigen Ausgabe.

Gerät — Hongkong, NSL. Erzwungene Entschlüsselung wird operationalisiert. Ende-zu-Ende-Verschlüsselung schützt eine Nachricht vor der Herausgabe durch die Plattform; sie schützt kein Telefon, dessen Besitzer rechtlich gezwungen wurde, es zu entsperren. Die Gegenwehr auf der Geräteebene ist ein gehärtetes Betriebssystem, operative Sicherheit und die Minimierung dessen, was das Gerät enthält — als Grenze benannt, nicht überpinselt.

Die Protokoll-Pipeline: die Gegenwehr, Schicht für Schicht

Die Pipeline dieser Woche führt passenderweise mit der offenen Schicht an, die schnell repariert.

Selbstgehostet. Gitea und Forgejo v1.26.2 — der Preis und die Gegenwehr in einer Zeile. Der Fehler ist der eigene Beleg dieser Ausgabe für das Verweildauer-Risiko; die taggleiche Verfügbarkeit des Patches ist der Beleg für die Rechenschaftsfähigkeit.

Finanzen. Das Trail-of-Bits-Audit von Moneros FCMP++ wurde am 22. Mai abgeschlossen — Bericht steht aus, Mainnet-Aktivierung abhängig von der Behebung der Befunde, nicht „sauber auditiert“. Zcashs NU7-Testnetz startete am 22. Mai. Die Rechenschaftsfähigkeit offener Audits ist der Finanzschicht-Reim auf die Gitea-Offenlegung: Befunde veröffentlicht, Behebungen als Bedingung gesetzt, Papierspur öffentlich.

Kommunikation. Discords Ende-zu-Ende-Verschlüsselung DAVE wird weiter an rund 200 Millionen monatlich aktive Nutzer ausgerollt; Signals Sparse Post-Quantum Ratchet wird weiter iteriert. Die Hongkong-Grenze gilt auch hier: E2EE verteidigt den Kanal, nicht den erzwungenen Endpunkt.

Netz und Transport. Tor Browser 15.0.14; das URnetwork-Peer-to-Peer-Overlay; DPI-resistente Transporte — VLESS+Reality, Shadowsocks-2022 — für die Drosselungsumgebungen, die die vorige Ausgabe beschrieb; Bitcoin BIP324 v2 und BIP352 auf der Wertschicht.

Gerät. GrapheneOS 2026050900 und CalyxOS 7.2.1.0 bleiben die gehärteten Basissysteme.

Substrat. ML-KEM, ML-DSA, SLH-DSA; das Auslaufen von FIPS 140-2 kommt am 21. September.

Das ehrliche Zugeständnis, das die Pipeline verlangt: Sie hängt ebenfalls von Institutionen ab. Tors Fördermittel, Moneros Auditfirma, Zcashs Stiftung. Die engere überlebende Behauptung ist die, an der diese Reihe durchgehend festgehalten hat — die Pipeline schrumpft nicht auf den Kalender irgendeines einzelnen Staates zusammen, und die Primitive laufen, einmal ausgeliefert, auf dem Gerät des Nutzers, unabhängig vom Vermittler.

Vorab positionieren und patchen

Die beiden Lehren der Woche sind eine Disziplin mit zwei Hälften.

Bringen Sie das Primitiv in Stellung, bevor die Kontrolle greift. Das ist die Iran-Lehre aus der vorigen Ausgabe: Wer den 88-tägigen Blackout hindurch Zugang behielt, waren die Leute, die Starlink, Mesh und Umgehungswerkzeuge konfiguriert hatten, bevor das Netz schloss, denn die Werkzeuge, um die Drosselung zu umgehen, liegen auf der anderen Seite der Drosselung.

Und patchen Sie das Primitiv in Agentengeschwindigkeit, damit es nicht selbst zur Gefährdung wird. Das ist die Gitea-Lehre von heute: Die selbstgehostete Schicht, die der Nutzer kontrolliert, ist nur dann eine Gegenwehr, wenn der Betreiber sie mit Disziplin führt, denn vier Jahre nicht authentifizierter Lesezugriff auf Produktionsbaupläne sind das, wie Nachlässigkeit in der offenen Schicht aussieht — und die Agenten-Ära garantiert, dass gefunden wird, was offen liegt.

Jede Hälfte allein scheitert. Positionieren Sie vorab, ohne zu patchen, und das Primitiv, das Sie in Stellung gebracht haben, wird zum Loch. Patchen Sie, ohne vorab zu positionieren, und Sie sind diszipliniert im Umgang mit Werkzeugen, die Sie nicht erreichen können, wenn die Kontrolle greift. Der nutzerseitige Stapel ist keine Zauberei, und diese Ausgabe ist ihr eigener Beleg dafür — die vierjährige Verweildauer ist der Preis, zuerst genannt und ohne Verharmlosung. Die Antwort ist Verweildauer-und-Behebung plus Disziplin, nicht Leugnung.

Vier Jahre sind der Preis.

Offen zu scheitern, schnell zu reparieren, den Fork zu kennzeichnen, den Finder zu nennen und dem Betreiber einen Weg zur Behebung in die Hand zu geben, den es tatsächlich gibt — das ist der Gegenentwurf, den der achtzehnjährige Nachlauf und das Frist-trifft-heute-auf-keinen-Patch nicht haben.

Die offene Schicht scheitert offen. Und repariert schnell.

Vorab positionieren und patchen.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen. Die MCP-Server-Version vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Betreiberebene zu abstrahieren. URnetworks Code ist offen und prüfbar — und das ist die Eigenschaft, die nach der Argumentation dieser Ausgabe die Fehler einer Schicht sowohl offenlegt als auch behoben bekommt.

https://ur.io

Es endete diese Woche.

Der Iran stellte den Zugang zum globalen Internet ab etwa 11:00 UTC am Dienstag, dem 26. Mai 2026, wieder her. Nach Zählung von NetBlocks war es Tag 88 der Abschaltung, die sich nach den Angriffen vom 28. Februar verschärft hatte — die längste landesweite Internetabschaltung der neueren Geschichte. Präsident Masoud Pezeshkian gab die Anordnung am 25. Mai; die Arbeitsgruppe des Obersten Rates für den Cyberspace stimmte der Wiederherstellung gegen den Einspruch der Hardliner zu. Rund 90 Millionen Menschen waren abgeschnitten gewesen. Die wirtschaftlichen Kosten des Abschaltungszeitraums werden auf etwa 1,8 Milliarden US-Dollar geschätzt.

Es gibt eine humane Art, das zu lesen, und sie ist die richtige erste Lesart: Eine Bevölkerung von 90 Millionen Menschen wird nach drei Monaten im Dunkeln wieder mit der Welt verbunden, und das ist gut. Die Iranerinnen und Iraner sind zurück im Netz — sie sprechen mit Angehörigen im Ausland, erreichen Nachrichten, machen Geschäfte. Cloudflare Radar hat den Moment erfasst: einen deutlichen Anstieg sowohl des Verkehrs als auch der DNS-Anfragen ab dem 26. Mai.

Dann der Bruchpunkt.

Auf seinem Höhepunkt am 26. Mai maß Cloudflare, dass der Verkehr nur auf etwa 40 Prozent der bislang im Jahr 2026 beobachteten Höchstaktivität zurückkehrte. Das „Filternet" — Irans Zensurschicht — blieb während der gesamten Wiederherstellung vollständig aktiv. WhatsApp, YouTube und Instagram sind weiterhin blockiert oder stark eingeschränkt. Um zu erreichen, was das Filternet blockiert, sind weiterhin VPNs nötig. Die Depesche von CNN trug die Stimmung: Die Iranerinnen und Iraner kämen „mit Skepsis und Trotz wieder online".

Und unter der Wiederherstellung liegt eine architektonische Tatsache, die die gesamten 88 Tage neu rahmt. Ein Mitglied des iranischen Obersten Rates für den Cyberspace, Mohammad Sarafraz, legte im Mai offen — laut Berichterstattung von RFE/RL —, dass der Iran chinesische Deep-Packet-Inspection-Hardware importiert hat, die für die dauerhafte Blockade des globalen Internets für gewöhnliche Nutzer gedacht ist und nur ausgewählten Nutzern streng überwachten Zugang erlauben soll.

Die Abschaltung war nicht nur ein Notfall. Sie war die Bau- und Demonstrationsphase einer dauerhaften Architektur.

Der Ausschalter hat sich 88 Tage lang als funktionsfähig erwiesen. Die chinesische Hardware macht die Drossel dauerhaft. Das Ende des Blackouts macht die Architektur nicht rückgängig.

Die Architektur war der Zweck.

Vierzig Prozent

Die härteste Zahl der Wiederherstellung ist 40 Prozent.

Das ist der Höchstwert — auf ihrem höchsten Stand am 26. Mai erreichte die iranische Internetnutzung laut Cloudflare Radar nur etwa 40 Prozent des Maximums von 2026. Die Zahl wird sich bewegen; eine Spitzenmessung ist keine feste, dauerhafte Grundlinie, und die Konnektivität kann in den Tagen nach Erscheinen dieses Textes weiter steigen. Aber auf das Volumen kommt es nicht an. Auf die Form kommt es an.

Während der gesamten Wiederherstellung blieb das Filternet vollständig aktiv. Dieselbe Blockade, die den Blackout ausmachte, macht die Wiederherstellung aus; der Unterschied liegt im Volumen des Verkehrs, der durch den Filter fließt, nicht in der Existenz des Filters. WhatsApp, YouTube, Instagram — weiterhin blockiert. VPN — weiterhin erforderlich. Das wiederhergestellte Internet ist das gefilterte Internet, bei höherem Durchsatz.

Die während des Blackouts errichteten klassenbasierten Zugangsstufen bestehen als dauerhafte Infrastruktur fort. Die Stufe „white SIM" und die teure Stufe „Internet Pro" — bei der zugelassene Fachleute mit Verbindungen zu IRGC und MCI Bandbreite auf einer Whitelist für rund 0,20 € pro Gigabyte erhalten, während die Allgemeinheit für kommerziellen VPN-Zugang etwa 75 € pro Monat zahlt, ein Unterschied von rund dem 12,5-Fachen — wurden mit der Wiederherstellung nicht abgebaut. Sie wurden vorgeführt, normalisiert und beibehalten. Das Quincy Institute nannte das System in einer Analyse vom 12. Mai „digitale Apartheid". Die Stufen haben den Blackout überlebt.

Dies ist die strukturelle Lesart der Wiederherstellung: Das Ende des Blackouts macht die Architektur nicht rückgängig, die er gebaut hat. Die 88 Tage waren der Zeitraum, in dem der Ausschalter im nationalen Maßstab erprobt, die Zugangsstufen aufgebaut und die chinesische Hardware installiert wurden. Die Wiederherstellung ist das System, das in Betrieb geht — nicht das System, das abgebaut wird.

Die Volumenzahl wird steigen. Die Form des Zugangs — kontrolliert, gestuft, DPI-vermittelt — ist die neue Grundlinie.

Die dauerhafte Drossel

Deep Packet Inspection ist der Mechanismus, der aus einem Blackout eine Drossel macht.

Ein Blackout ist ein grobes Instrument: Die Konnektivität fällt auf 4 Prozent des Normalwerts, wie NetBlocks im Iran gemessen hat, und alle sind gleichermaßen abgeschnitten. Er ist wirtschaftlich katastrophal — die Abschaltungskosten von 1,8 Milliarden US-Dollar sind das Maß dafür, wie katastrophal — und politisch teuer, denn 90 Millionen Menschen abzuschneiden erzeugt 90 Millionen Beschwerden. Ein Blackout lässt sich nicht unbegrenzt aufrechterhalten. Deshalb endete dieser nach 88 Tagen.

DPI ist das Präzisionsinstrument. Statt die Leitung zu kappen, prüft es jedes Paket auf der Netzwerkebene und entscheidet — pro Verbindung, pro Protokoll, pro Ziel —, was durchkommt. Es ist der Mechanismus von Chinas Great Firewall: die Fähigkeit, verschlüsselten Verkehr zu erkennen und zu blockieren, ohne das gesamte Netz fallen zu lassen. Sie erlaubt es einem Staat, das Internet bei 40 Prozent „an" zu lassen und zugleich dauerhaft zu blockieren, was er auswählt — unbegrenzt und zu weit geringeren wirtschaftlichen und politischen Kosten als ein Blackout.

Sarafraz' Offenlegung — zugeschrieben einem namentlich genannten Mitglied des Obersten Rates für den Cyberspace, berichtet von RFE/RL — besagt, dass der Iran chinesische DPI-Hardware genau zu diesem Zweck importiert hat: zur dauerhaften Blockade des globalen Internets für gewöhnliche Nutzer, bei streng überwachtem Zugang für ausgewählte Nutzer. „Dauerhaft" ist hier offengelegte Absicht, noch kein operativer Dauerzustand; "already in place" — bereits installiert — ist laut Berichterstattung von TechTimes der Status der Hardware. Der Unterschied ist wichtig. Vorgeführt sind die Fähigkeit und die Absicht. Gebaut ist die Hardware.

Dies ist es, worauf Irans Nationales Informationsnetz seit Jahren zusteuert: die vollständige Abtrennung vom globalen Internet, mit einem staatlich kontrollierten Inlandsnetz an seiner Stelle. Die Formulierung von ARTICLE 19 und iranischen Analysten ist präzise — das Projekt verwandelt den Internetzugang „von einem Bürgerrecht und Entwicklungsinstrument in ein Luxusgut, das sicherheitspolitisch kontrolliert wird". Der Blackout hat dieses Projekt nicht unterbrochen. Der Blackout hat es vorangetrieben.

Die Lieferkette ist selbst eine Überwachungsfläche. Chinas Nationales Geheimdienstgesetz von 2017 verpflichtet chinesische Unternehmen in Artikel 7, auf Anfrage mit staatlichen Nachrichtendienstoperationen zusammenzuarbeiten. Hardware, die jedes Paket auf der Netzwerkebene prüft und von Unternehmen unter dieser rechtlichen Verpflichtung bezogen wird, ist nicht nur ein Zensurwerkzeug für den importierenden Staat — sie ist eine mögliche nachrichtendienstliche Beziehung für den exportierenden. ARTICLE 19 hat dies als „Chinas Infrastruktur der Unterdrückung" im Iran dokumentiert.

Die Firewall ist ein Produkt

Der Einwand gegen all dies lautet, der Iran sei ein Sonderfall — ein Staat im Krieg, unter Sanktionen, mit einem besonderen Regime, und damit kein Muster, das sich verallgemeinern lässt.

Die Hardware ist der Grund, warum es sich verallgemeinert.

Die Great Firewall ist nicht nur Chinas Inlandssystem. Sie ist ein ausdrückliches Exportmodell. DPI-Hardware ist eine Produktlinie, die verkauft und versandt wird; dieselbe Lieferkette, die den Iran ausgerüstet hat, kann jeden Käufer ausrüsten. Die Berichterstattung von RFE/RL über die Offenlegung durch Sarafraz und die Dokumentation chinesischer Zensurinfrastruktur im Ausland durch ARTICLE 19 beschreiben eine übertragbare Architektur, keinen Einzelfall. Der Iran ist nicht die Ausnahme von der Regel. Der Iran ist die Demonstrationseinheit.

Die Architektur verallgemeinert sich genau deshalb, weil die Hardware es tut. Ein Staat muss keine Great Firewall über fünfzehn Jahre hinweg entwickeln, wie China es getan hat. Er kann die Fähigkeit kaufen, sie installieren und — wie der Iran es nun vorgeführt hat — einen 88-tägigen nationalen Test des Ausschalters fahren, während dahinter die Präzisionsdrossel verdrahtet wird.

Wer als Nächstes kauft, ist eine echte Frage, und keine, die die verfügbare Berichterstattung beantwortet. Was die Berichterstattung belegt, ist: Die Fähigkeit ist ein Produkt, das Produkt hat mindestens einen neuen Betreiber im nationalen Maßstab, und dieser Betreiber hat die längste dokumentierte Internetabschaltung der Geschichte gefahren, um es in Betrieb zu nehmen.

Der Gegenzug ist ein Protokoll

Der Gegenzug zu Deep Packet Inspection ist keine Politik. Er ist eine Protokolleigenschaft.

DPI-resistente Transporte sind darauf ausgelegt, genau den Mechanismus zu besiegen, den der Iran ausrollt. Sie funktionieren — sie sind der Weg, auf dem Millionen Menschen in China täglich durch die Great Firewall hindurch das globale Internet erreichen —, und ihre Mechanismen sind auf die Bedrohung abgestimmt:

VLESS + Reality borgt sich den TLS-Handshake einer echten, unbeteiligten Website, sodass die Verbindung für eine DPI-Box nicht von gewöhnlichem HTTPS-Verkehr zu dieser Website zu unterscheiden ist; es gibt keinen eigenen Fingerabdruck, den man blockieren könnte.

Shadowsocks-2022 erzeugt einen Datenstrom ohne erkennbare Protokollsignatur — für DPI sieht er aus wie zufällige Bytes, ohne Header oder Handshake, den man gegen eine Sperrliste abgleichen könnte.

Trojan ahmt Standard-HTTPS so genau nach, dass es zu blockieren bedeutet, HTTPS zu blockieren.

obfs4 hüllt den Verkehr in eine Verschleierungsschicht aus Pluggable Transports, die die statistische Signatur entfernt, an der ein Klassifikator ansetzen würde.

Das Peer-to-Peer-Overlay von URnetwork verteilt den Transport über ein Netz aus Teilnehmern statt über eine feste Menge blockierbarer Endpunkte; es gibt kein Register der Betreiber öffentlicher Dienste, das eine DPI-Box abfragen könnte.

Dies sind etablierte Protokolleigenschaften, entworfen und im Feld gegen die Great Firewall erprobt. Der Punkt ist unstrittig: DPI kann besiegt werden. Genau deshalb ist Irans Wiederherstellung eine Warnung und keine Beruhigung.

Denn der Sieg hat eine Vorbedingung.

Danach kann man es nicht mehr installieren

Die schärfste operative Tatsache über Umgehung ist, dass man sie nicht mehr beschaffen kann, nachdem die Drossel greift.

DPI-resistente Transporte sind Software. Software wird über das Netz verteilt. Wenn das Netz gedrosselt ist — wenn App-Stores blockiert sind, wenn die Download-Server unerreichbar sind, wenn die Konfiguration, die einen Client auf eine funktionierende Bridge verweist, nicht abgerufen werden kann —, ist das Beschaffungsfenster bereits geschlossen. Die Werkzeuge, um die Drossel zu umgehen, liegen auf der anderen Seite der Drossel.

Die 88 Tage haben das im Feld bewiesen. Die Menschen im Iran, die während des Blackouts Zugang behielten, waren ganz überwiegend diejenigen, die vorab in Stellung gegangen waren: die Starlink-Terminals schon auf dem Dach hatten, Mesh-Apps wie Briar schon installiert und gekoppelt, VPN- und Pluggable-Transport-Konfigurationen schon geladen und getestet, bevor die Konnektivität wegbrach. Wer wartete, bis er Umgehung brauchte, und erst dann suchte, fand die Suche selbst blockiert.

Dies ist die operative Schlussfolgerung, die die Phase des dauerhaften DPI erzwingt. Vorpositionierung ist keine Vorsichtsmaßnahme für einen hypothetischen Notfall mehr. Mit chinesischer DPI-Hardware, die für eine dauerhafte Drossel installiert ist, ist Vorpositionierung eine ständige Anforderung. Der Umgehungs-Stapel muss installiert, konfiguriert und geübt werden, solange das Netz offen ist, denn die nächste Verengung hat vielleicht kein Enddatum nach 88 Tagen.

Der nutzerseitige Primitiv-Stapel ist nichts, wonach man greift, wenn die Drossel greift. Er ist etwas, worin man lebt, bevor sie es tut.

Fünfzehn Tage

Die amerikanische Uhr lief diese Woche parallel, und sie ist nicht Irans Uhr.

Section 702 des Foreign Intelligence Surveillance Act läuft am 12. Juni aus — fünfzehn Tage ab heute. Der Senat kehrt am Montag, dem 1. Juni, oder Dienstag, dem 2. Juni, aus der Memorial-Day-Pause zurück. Die Stellungnahme des Foreign Intelligence Surveillance Court vom 17. März bleibt als Verschlusssache eingestuft. Das Office of the Director of National Intelligence erklärte am 21. Mai, Direktorin Tulsi Gabbard arbeite „mit Nachdruck an der Freigabe"; ein Datum wurde nicht zugesagt.

Die Zuspitzung in der Berichterstattung ist präzise zu benennen, mit dem Vorbehalt, den sie erfordert. Laut Berichten über die weiterhin als Verschlusssache eingestufte FISC-Stellungnahme stellte das Gericht fest, dass das FBI — selbst nachdem das Justizministerium ein Filterwerkzeug abgeschaltet hatte, das das FBI 2024 nutzte — ein weiteres, ähnliches Filterwerkzeug verwendet hat, um Abfragen durchzuführen, ohne die Vorgaben einzuhalten; und, denselben Berichten zufolge, dass NSA und CIA ähnliche Werkzeuge einsetzen, um Section-702-Daten nach der Kommunikation von US-Bürgern zu durchsuchen. Dies ist Berichterstattung über ein als Verschlusssache eingestuftes Dokument, keine gerichtlich entschiedene öffentliche Feststellung; „mit dem Segen des Justizministeriums" ist die Charakterisierung der Berichterstattung. Falls sie zutrifft, weitet sie die Sorge von den Abfragepraktiken einer einzelnen Behörde auf ein Muster aus, das die gesamte Geheimdienstgemeinschaft betrifft.

Der Vergleich mit Irans Filternet muss sorgfältig gezogen werden, denn die beiden sind nicht gleichwertig, und das klar zu sagen ist die einzig ehrliche Rahmung. Die Vereinigten Staaten haben ein Recht der richterlichen Anordnung, ein kontradiktorisches Gericht, das die fragliche Stellungnahme verfasst hat, eine Kontrolle durch den Kongress, die ihre Freigabe ausgehandelt hat, und eine freie Presse, die über das eingestufte Dokument berichtet — nichts davon hat Irans Filternet. Der gemeinsame Faden ist nicht der Grundrechtskontext, der sich vollständig unterscheidet. Der gemeinsame Faden ist die architektonische Richtung: hin zu mehr Kontrolle durch Zwischeninstanzen. In der US-Spalte durchsucht der Staat Kommunikationsdaten, die er bereits besitzt. In der Iran-Spalte prüft der Staat Kommunikationsverkehr auf der Netzwerkebene. Verschiedene Mechanismen, verschiedene Rechtswelten, eine Richtung.

Der Kampf um §702 in den nächsten fünfzehn Tagen wird über ein Programm geführt, dessen jüngste Gerichtsentscheidung der Kongress noch immer nicht einsehen kann.

Ein USB-Stick in Ihrem Büro

Die schärfste Cyber-Geschichte der Woche ist die, in der Social Engineering durch die Vordertür kam.

Das FBI gab am 26./27. Mai eine FLASH-Warnung (TLP:Clear) heraus, wonach die Silent Ransom Group — auch als Luna Moth, Chatty Spider und UNC3753 geführt, eine seit 2022 aktive kriminelle Erpressergruppe, kein staatlicher Akteur — Anwaltskanzleien mit persönlichen Bürobesuchen ins Visier nimmt. Die Angriffskette beginnt konventionell: Eine Phishing-Mail fordert das Ziel auf, einen gefälschten IT-Support anzurufen; beim Rückruf wird eine Mitarbeiterin oder ein Mitarbeiter unter Druck gesetzt, eine Fernwartungssitzung zu öffnen. Wenn das scheitert, eskaliert die Gruppe physisch. Ein Operativer erscheint im Büro, gibt sich als IT aus, behauptet, wegen „möglicher Probleme" im Zusammenhang mit der Phishing-Mail ein System sichern oder abbilden zu müssen, und steckt einen USB-Datenträger in den Computer.

Keine über das Netz ausgelieferte Schadsoftware. Keine Warnmeldung. Ein Mensch und ein USB-Stick. Mehr als 38 Kanzleien stehen bereits auf der öffentlichen Leak-Seite der Gruppe; Forschende schätzen die Gesamtzahl der Angriffe auf über 100, mit einem starken Anstieg Anfang 2026.

Es ist der offensive Reim auf die Iran-Lektion. Die defensive Lehre des Blackouts lautet, dass die betreiberunabhängige Schicht — das, was nicht über das kontrollierte Netz läuft — überlebt. Die offensive Fassung lautet, dass ein Angreifer, der das Netz umgeht, auch dessen Kontrollen umgeht. Wer einen USB-Stick an der Firewall vorbeiträgt, hat die Firewall besiegt, genau wie ein Verteidiger, der ein Starlink-Terminal vorab in Stellung bringt, den Blackout besiegt hat. Das Netz ist für keine der beiden Seiten der gesamte Perimeter.

Der Rest der Cyber-Spalte der Woche füllt dasselbe Muster der Exposition bei zentralen Verwahrern aus. Carnival bestätigte einen Datenabfluss, der knapp 6 Millionen Menschen betrifft — ein weiterer großer Datenbestand bei einem einzigen Verwahrer, auf einmal verloren. Eine am 28. Mai offengelegte Schwachstelle in Gitea-Container-Images erlaubte Angreifern, private Container-Images abzurufen und damit Quellcode, Zugangsdaten und Infrastruktur offenzulegen — eine Erinnerung daran, dass die selbstgehostete Schicht ihre eigene Disziplinlast trägt; Kontrolle kommt mit Verantwortung. Eine Schwachstelle zur Kontoübernahme im quelloffenen Konferenzwerkzeug Pretalx wurde am selben Tag offengelegt. Und die FCEB-Frist zur Behebung von CVE-2026-42897 in Microsoft Exchange OWA läuft morgen ab, am 29. Mai — Tag 14 der aktiven Ausnutzung, weiterhin ohne dauerhaften Patch, nur Mitigation.

Die Schichten und die Pipeline

Die Empfängerland-Schicht zeigt diese Woche auf jeder Ebene des Stapels ein vereinnahmtes Primitiv.

Mexiko — 33 Tage bis zur CURP-Biométrica-Frist am 30. Juni, wenn rund 127 Millionen nicht registrierten Mobilfunkanschlüssen die Abschaltung droht. Die Registrierung liegt weiterhin unter 10 Prozent. Die vereinnahmte Schicht ist das Identitätsregister.

Niger — Tag 20 des Verbots von neun internationalen Medien; Burkina Faso — Tag 23 des dauerhaften Verbots von TV5 Monde. Die vereinnahmte Schicht ist der Sender.

Hongkong — das Nationale Sicherheitsgesetz wird gegen Einzelpersonen zur erzwungenen Entschlüsselung operationalisiert. Die vereinnahmte Schicht ist das Gerät, im Moment des rechtlich erzwungenen Zugriffs. Hier stößt Ende-zu-Ende-Verschlüsselung an ihre Grenze, und das ist ehrlich zu benennen: E2EE schützt eine Nachricht vor der Herausgabe durch die Plattform, aber sie schützt kein Telefon, dessen Eigentümer rechtlich zum Entsperren gezwungen wurde. Der Gegenzug auf Geräteebene gegen einen erzwungenen Endpunkt ist nicht Verschlüsselung allein — es ist ein gehärtetes Betriebssystem (GrapheneOS, CalyxOS) plus operative Sicherheit plus, wo das Recht es zulässt, plausible Kompartmentierung. Das Protokoll nimmt dem Anwender die Verantwortung nicht ab.

Gegen jede vereinnahmte Schicht liefert die Protokoll-Pipeline einen Gegenzug, und sie hat diese Woche geliefert, unabhängig vom Kalender irgendeines Staates:

• Finanzschicht: Monero FCMP++ schloss am 22. Mai sein Audit bei Trail of Bits ab (Bericht in 2 bis 6 Wochen, Mainnet angestrebt für H2 2026); Zcash NU7 startete am selben Tag sein Testnet.
• Kommunikationsschicht: Die Ende-zu-Ende-Verschlüsselung DAVE von Discord wird weiter an rund 200 Millionen monatlich aktive Nutzer ausgerollt; Signals Sparse Post-Quantum Ratchet wird weiter iteriert.
• Anonymitätsnetz-Schicht: Tor Browser 15.0.14 erschien am 19. Mai zusammen mit einer Crowdfunding-Runde für zehn Projekte; das URnetwork-Overlay betreibt die DPI-resistente Transportschicht.
• Geräteschicht: GrapheneOS 2026050900 und CalyxOS 7.2.1.0 bleiben die aktuellen gehärteten Grundlinien.

Ein vereinnahmtes Primitiv auf jeder Schicht; ein nutzerseitiger Gegenzug auf jeder Schicht.

Der Stapel, der durchgetragen hat

Die ehrliche Bilanz des nutzerseitigen Primitiv-Stapels muss seine Kosten einschließen, und diese Woche hat sie geliefert.

Er hängt von Institutionen ab: Tors Entwicklung wird wesentlich aus Zuschüssen finanziert (Open Technology Fund, US-Außenministerium); Moneros Audit lief über Trail of Bits und den MAGIC Monero Fund; Zcashs Upgrade läuft über Shielded Labs. Die Pipeline ist nicht unabhängig von institutionellem Input. Die Behauptung dieser Reihe ist enger und übersteht das Zugeständnis: Die Pipeline verdichtet sich nicht um den Kalender irgendeines einzelnen Staates, und die Primitive laufen, einmal ausgeliefert, auf dem Gerät der Nutzerin und des Nutzers, unabhängig von der Zwischeninstanz.

Er ist ungleich zugänglich: Die Menschen, die durch den Iran-Blackout hindurch Konnektivität behielten, waren diejenigen, die bereits Starlink-Terminals und vorkonfigurierte Werkzeuge hatten — und das sind nicht alle, und die Ungleichheit ist real. Und er trägt seine eigene Disziplinlast: Die Gitea-Schwachstelle ist die Erinnerung daran, dass Selbst-Hosting und Nutzerkontrolle mit Verantwortung einhergehen, dass der Stapel geübte Primitive belohnt und nachlässige bestraft. Er ist keine Magie. Er ist ein Satz von Werkzeugen, die Kompetenz verlangen.

Und mit alledem eingeräumt, hier ist, was die Woche belegt hat: Der nutzerseitige Primitiv-Stapel ist die Schicht, die durch 88 Tage vollständiger Betreiberkontrolle hindurchgetragen hat. Als der Staat das Netz für 90 Millionen Menschen für den längsten dokumentierten Zeitraum kappte, blieben diejenigen, die verbunden blieben, über Starlink verbunden, über Mesh, über vorab in Stellung gebrachte Umgehung — über die Teile des Stapels, die nicht über die kontrollierte Zwischeninstanz laufen. Das ist der stärkste einzelne Beleg, den diese Publikation im Verlauf dieser Ausgaben dokumentiert hat. Die längste Abschaltung der neueren Geschichte konnte die betreiberunabhängige Schicht nicht vollständig erreichen.

Achtundachtzig Tage haben bewiesen, dass der Ausschalter funktioniert, und die Drossel gebaut, die danach kommt. Die chinesische DPI-Hardware ist installiert. Die Wiederherstellung liegt bei 40 Prozent, hinein in ein Filternet, das nie abgeschaltet wurde. Wiederherstellung ist keine Rückkehr.

Die Architektur war der Zweck.

Der Gegenzug ist es auch — und er muss stehen, bevor die nächste Verengung kommt, denn die Werkzeuge, um die Drossel zu umgehen, liegen auf der anderen Seite der Drossel.

Achtundachtzig Tage.

Der Schalter bleibt. Bringen Sie den Stapel vorab in Stellung.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, entworfen, um Deep Packet Inspection auf Netzwerkebene zu widerstehen. Das MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Betreiberschicht zu abstrahieren. URnetwork erscheint in keinem Register der Betreiber öffentlicher Dienste, das zu den in diesem Artikel genannten Gesetzen oder Systemen gehört.

https://ur.io

Die Zahl ist die Durchsuchung.

2019 erwirkten Ermittler, die einen Überfall auf eine Kreditgenossenschaft in Midlothian, Virginia, untersuchten, einen Geofence-Durchsuchungsbeschluss, der Google anwies, seine gesamte Sensorvault-Datenbank zu durchsuchen — rund 592 Millionen einzelne Konten mit aktiviertem Standortverlauf (Location History) —, um jedes Gerät zu identifizieren, das sich in einem einstündigen Zeitfenster rund um den Überfall innerhalb von 150 Metern der Bank befand.

Die Suche ergab 19 Konten. Google grenzte diese auf 9 ein. Für 3 wurden identifizierende Angaben übermittelt — darunter Okello Chatrie, der verhaftet und verurteilt wurde.

Das Verhältnis ist die Verfassungsfrage. 592 Millionen Konten durchsucht, um einen Verdächtigen zu identifizieren. Die übrigen 591.999.999 wurden ohne individuellen Verdacht durchsucht, ohne hinreichenden Tatverdacht (probable cause) und ohne jeden vorherigen Hinweis darauf, dass sie mit der Tat in Verbindung standen. Sie wurden durchsucht, weil sie in einer Datenbank existierten und die Datenbank durchsuchbar war.

Der Oberste Gerichtshof hörte die mündliche Verhandlung am 27. April 2026. Eine Entscheidung wird vor dem Ende der Sitzungsperiode Ende Juni erwartet — innerhalb der nächsten dreißig Tage.

Der umgekehrte Durchsuchungsbeschluss

Herkömmliche Durchsuchungsbeschlüsse wirken in eine Richtung. Die Strafverfolgung identifiziert einen Verdächtigen, begründet einen hinreichenden Tatverdacht und erwirkt einen Beschluss, um dessen Eigentum, Unterlagen oder Daten zu durchsuchen. Der Beschluss benennt die Person. Die Durchsuchung sucht die Beweise.

Geofence-Beschlüsse kehren das um. Die Strafverfolgung identifiziert einen Ort und ein Zeitfenster. Der Beschluss weist ein Technologieunternehmen an, die Daten aller Nutzer zu durchsuchen, um festzustellen, wer anwesend war. Der Beschluss benennt keine Person. Die Durchsuchung sucht den Verdächtigen.

Der Fifth Circuit hat diese Umkehrung in United States v. Smith ausdrücklich benannt: Geofence-Beschlüsse seien "the exact sort of general, exploratory rummaging that the Fourth Amendment was designed to prevent" — genau jene Art von allgemeinem, aufs Geratewohl unternommenem Durchstöbern, die der Vierte Verfassungszusatz verhindern sollte. Das Gericht zog eine direkte Linie von Geofence-Beschlüssen zu den writs of assistance — unbefristeten Durchsuchungsermächtigungen der britischen Kolonialbehörden, die es Beamten erlaubten, jeden Ort ohne konkreten Anlass zu durchsuchen. Die writs of assistance waren der unmittelbare Anlass für den Vierten Verfassungszusatz.

Der Fourth Circuit konnte sich in Chatries Fall bei derselben Frage nicht einigen. Das Gesamtgericht spaltete sich 7 zu 7 und produzierte 126 Seiten an Voten ohne Mehrheitsposition zu irgendeiner wesentlichen Frage. Die Per-curiam-Entscheidung von einem Satz — die die Verurteilung bestätigte, ohne die Verfassungsfrage zu klären — war die umfangreichste richterliche Uneinigkeit ohne Auflösung in der Geschichte des digitalen Datenschutzrechts.

Der Oberste Gerichtshof nahm den Fall zur Entscheidung an (Certiorari), um die Divergenz aufzulösen.

Der Radius von 150 Metern

Der Beschluss in Chatrie legte einen Radius von 150 Metern um die Kreditgenossenschaft und ein einstündiges Zeitfenster fest. Innerhalb dieses Radius: die Kreditgenossenschaft, eine angrenzende Kirche, der Kirchenparkplatz, nahe gelegene Hotels und Wohngrundstücke.

Zu den Menschen, deren Standortdaten erfasst wurden, gehören: Gottesdienstbesucher, Hotelgäste, Bewohner nahe gelegener Häuser, Kunden angrenzender Geschäfte und alle, die während der genannten Stunde durch das Gebiet gingen oder fuhren. Keiner dieser Menschen war verdächtig. Keiner hatte irgendeine Verbindung zu dem Überfall. Ihre Standortdaten wurden durchsucht, weil sie sich innerhalb eines Kreises auf einer Karte befanden.

Dies ist das Bestimmtheitsproblem. Der Vierte Verfassungszusatz verlangt, dass Beschlüsse "particularly describe the place to be searched, and the persons or things to be seized" — den zu durchsuchenden Ort und die zu beschlagnahmenden Personen oder Sachen genau bezeichnen. Ein Geofence-Beschluss beschreibt einen Ort — aber er beschreibt keine Person. Er beschlagnahmt Daten von allen im Gebiet und identifiziert dann aus den Ergebnissen die Personen von Interesse. Die Identifizierung kommt nach der Durchsuchung, nicht vor ihr.

Was die Richter sagten

In der mündlichen Verhandlung am 27. April zeigte sich das Gericht entlang vertrauter Linien gespalten, mit unerwarteten Querströmungen.

Chief Justice Roberts fragte, warum Nutzer die Standortverfolgung nicht einfach abschalten könnten — und rahmte die Frage damit als freiwillige Offenlegung. Justice Alito betonte die Third-Party-Doktrin und deutete an, dass die Weitergabe von Standortdaten an Google eine freiwillige Übermittlung darstelle, die die Privatheitserwartung beseitige.

Justice Sotomayor stellte das Freiwilligkeitsargument infrage und fragte, ob Nutzer die Datenschutzeinstellungen verstehen, denen sie beim Einrichten ihres Telefons zustimmen. Justice Kagan fragte, warum der Vierte Verfassungszusatz "patterns of life" — Lebensmuster — schützen solle, nicht aber einen einzelnen Besuch bei einer politischen Kundgebung oder in einer Abtreibungsklinik.

Justice Gorsuch stellte die Frage, die den Fall über Standortdaten hinausführt: „Wenn wir entscheiden, dass die freiwillige Offenlegung gegenüber Google der Regierung uneingeschränkten Zugriff auf den Standortverlauf eröffnet, würde diese Entscheidung dann in gleicher Weise für E-Mails gelten?" Der Anwalt des Beschwerdeführers bestätigte, dass sie sich auf in der Cloud gespeicherte Daten erstrecken würde.

Justice Kavanaugh lobte das dreistufige Eingrenzungsverfahren des Ermittlers — von 19 Konten auf 9 auf 3 — als „gute Polizeiarbeit" und deutete damit einen möglichen Mittelweg an, bei dem die Methodik des Beschlusses seine Reichweite abmildert.

Die Signale aus der mündlichen Verhandlung deuten darauf hin, dass das Gericht keine der beiden Extrempositionen einnehmen dürfte — weder ein kategorisches Verbot von Geofence-Beschlüssen noch eine pauschale Erlaubnis. Das wahrscheinlichste Ergebnis ist eine einzelfallbezogene Entscheidung, die verfassungsrechtliche Leitplanken für Zeit, Raum und Bestimmtheit setzt. Aber selbst eine enge Entscheidung wird den Präzedenzfall setzen, der für eine Generation jeden umgekehrten Suchbeschluss regiert.

Über den Standort hinaus

Die in Chatrie eingereichten Amicus-Schriftsätze zählen mehr als 29. ACLU, Electronic Frontier Foundation, Brennan Center for Justice, Center for Democracy and Technology, Google, Microsoft und X Corp. haben alle eingereicht. Ebenso das Cato Institute und die National Association of Criminal Defense Lawyers.

Die Schriftsätze warnen, dass der in Chatrie gesetzte verfassungsrechtliche Maßstab nicht auf Standortdaten beschränkt bleiben wird. Dieselbe Logik des „umgekehrten Beschlusses" gilt für:

Suchwort-Beschlüsse — Anordnungen, die eine Suchmaschine anweisen, jeden zu identifizieren, der in einem bestimmten Zeitraum nach einem bestimmten Begriff gesucht hat. Google hat Suchwort-Beschlüsse für Suchbegriffe im Zusammenhang mit Brandstiftungen, Bombendrohungen und anderen Straftaten erhalten.

KI-Chatbot-Verläufe — Anordnungen, die ein KI-Unternehmen anweisen, jeden Nutzer zu identifizieren, der eine bestimmte Frage gestellt oder ein bestimmtes Thema erörtert hat. Jedes Gespräch mit Claude, ChatGPT, Gemini oder einem anderen KI-Assistenten wird standardmäßig serverseitig gespeichert.

Cloud-Dokumentendurchsuchungen — Anordnungen, die einen Cloud-Speicheranbieter anweisen, jeden Nutzer zu identifizieren, dessen Dokumente bestimmte Inhalte enthalten. Jede Datei in Google Drive, iCloud, OneDrive oder Dropbox ist nach der Theorie des umgekehrten Beschlusses potenziell durchsuchbar.

Video-Verläufe — Anordnungen, die eine Streaming-Plattform anweisen, jeden zu identifizieren, der ein bestimmtes Video gesehen hat. Dies berührt den Video Privacy Protection Act, aber eine verfassungsrechtliche Entscheidung in Chatrie könnte gesetzliche Schutzvorschriften überlagern.

Der strukturelle Punkt: Wenn das Gericht entscheidet, dass die Weitergabe von Daten an ein Technologieunternehmen den Schutz des Vierten Verfassungszusatzes beseitigt, ist jede digitale Interaktion, die über den Server eines Dritten läuft, verfassungsrechtlich ungeschützt. Der umgekehrte Beschluss wird zum Standardermittlungsinstrument des digitalen Zeitalters.

Google hat seine Architektur geändert

Im Dezember 2023 kündigte Google an, die Daten des Standortverlaufs von seinen zentralen Sensorvault-Servern auf die Geräte der einzelnen Nutzer zu verlagern. Bis Mitte 2025 war der Übergang abgeschlossen. Google besitzt die aggregierte Standortdatenbank nicht mehr, die den Geofence-Beschluss in Chatrie möglich gemacht hat.

Das ist architektonisch bedeutsam. Google hat das Problem gelöst, das Chatrie aufwirft — nicht durch Recht, nicht durch Richtlinien, sondern durch Design. Indem Google die Daten auf das Gerät der Nutzerin verlagerte, beseitigte es die zentrale Datenbank, die die Regierung durchsuchen konnte. Die Architektur ist die Verteidigung.

Aber die Verfassungsfrage überlebt die architektonische Änderung. Die Strafverfolgung hat sich bereits an Telekommunikationsanbieter gewandt — AT&T, T-Mobile, Verizon — um Standortdaten auf Funkmastbasis zu erhalten. Forbes berichtete Anfang 2024, dass die Strafverfolgung nach Googles Richtlinienänderung auf Telekommunikationsunternehmen ausgewichen ist. Diese Anbieter arbeiten mit einer weniger datenschutzfreundlichen Architektur als Googles Modell auf dem Gerät.

Die Entscheidung in Chatrie wird die verfassungsrechtliche Untergrenze für alle umgekehrten Standortdurchsuchungen setzen, nicht nur für Google-spezifische. Und das Prinzip des umgekehrten Beschlusses erstreckt sich auf jede Datenbank, auf jeder Plattform, für jede Art von Daten. Google hat die Standortdaten auf das Gerät verlagert. Die KI-Gesprächsverläufe, Suchwortverläufe und Cloud-Dokumente bleiben serverseitig.

Die Architektur, die nicht durchsucht werden kann

Die verfassungsrechtliche Entscheidung in Chatrie — wie auch immer sie ausfällt — wird die Untergrenze setzen. Sie wird den Mindestschutz definieren, den der Vierte Verfassungszusatz gegen umgekehrte Beschlüsse bietet.

Die Architektur, die Schutz oberhalb dieser Untergrenze bietet, ist die Architektur, die diese Publikation dokumentiert.

Ende-zu-Ende-verschlüsselte Kommunikation, bei der der Server nur Chiffretext hält und einem inhaltsbezogenen umgekehrten Beschluss nicht nachkommen kann, weil der Inhalt nicht zugänglich ist. Signals Protokoll. Matrix' Verschlüsselung. Briars Peer-to-Peer-Transport.

KI-Inferenz auf dem Gerät, bei der die Anfrage das Gerät der Nutzerin nie verlässt. Der umgekehrte Beschluss nach „allen, die nach X gefragt haben" kann ein Gespräch nicht erreichen, das nie einen Server erreicht hat.

Datenspeicherung auf dem Gerät, bei der Standortverlauf, Suchverlauf und Dokumentenbestand auf Hardware liegen, die die Nutzerin kontrolliert. Googles architektonische Änderung vom Dezember 2023 — die Verlagerung des Standortverlaufs auf das Gerät — ist das Modell. Was nicht zentralisiert ist, kann nicht mit einem einzigen Beschluss durchsucht werden.

Selbstgehostete Dienste, bei denen die Nutzerin den Server kontrolliert. Ein umgekehrter Beschluss, der der eigenen Infrastruktur der Nutzerin zugestellt wird, ist ein herkömmlicher Durchsuchungsbeschluss, der individuellen hinreichenden Tatverdacht erfordert — keine Rasterfahndung.

Peer-to-Peer-Overlays, bei denen der Transport keine Zwischeninstanz durchläuft, die Daten speichert. Das Overlay von URnetwork sammelt keine Standortdaten, Gesprächsverläufe oder Suchaufzeichnungen an, weil die Architektur für keine dieser Kategorien einen zentralen Datenspeicher vorsieht.

Die Entscheidung in Chatrie wird uns sagen, was die Verfassung verlangt. Die Architektur sagt uns, was unabhängig davon möglich ist. 592 Millionen Konten waren durchsuchbar, weil 592 Millionen Konten in einer einzigen Datenbank existierten. Die Architektur, in der diese Datenbank nicht existiert, ist die Architektur, in der der Beschluss nichts findet — nicht weil das Gericht die Durchsuchung verboten hätte, sondern weil die Daten nie da waren.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay sammelt keine zentralisierten Standortdaten, Gesprächsverläufe oder Suchaufzeichnungen an. Ein umgekehrter Beschluss, der dem Overlay zugestellt wird, findet nichts, weil die Daten auf der Ebene der Zwischeninstanz nicht existieren.

https://ur.io

Der Satz hat dreizehn Wörter. Die technische Wahrheit dahinter ist absolut.

"When you build a backdoor into an encrypted device, anyone can walk through." — Wenn man eine Hintertür in ein verschlüsseltes Gerät einbaut, kann jeder hindurchgehen.

Erik Neuenschwander, Apples Senior Director für Nutzerdatenschutz und Kinderschutz, gab die Erklärung gestern Abend vor dem Ständigen Ausschuss für öffentliche Sicherheit und nationale Sicherheit des kanadischen Unterhauses ab, während der letzten angesetzten Anhörung zu Bill C-22, dem Lawful Access Act, 2026.

Googles Katherine Charlet, Senior Director für Datenschutz, Sicherheit und Schutz, fügte hinzu, die Befugnisse des Gesetzentwurfs seien „grenzenlos" und könnten „globale Auswirkungen haben, da Kanadierinnen und Kanadier mit Menschen auf der ganzen Welt interagieren". Googles Jeanette Patell, Direktorin für Regierungsangelegenheiten und öffentliche Politik in Kanada, erklärte: „Geheime Anordnungen passen nicht zu anderen demokratischen Staaten und würden die Fähigkeit von Unternehmen, gegenüber ihren Nutzern transparent zu machen, wie deren Daten geschützt sind, schwer einschränken."

Die beiden größten Technologieunternehmen der Welt haben dem kanadischen Parlament aktenkundig gesagt, dass dieser Gesetzentwurf die Sicherheit jeder Person bedroht, die ihre Produkte nutzt.

Was Bill C-22 tut

Bill C-22 verwendet das Wort „Verschlüsselung" nicht. Er verlangt von Unternehmen nicht ausdrücklich, ihre Verschlüsselung zu brechen.

Was er tut, ist: Er schafft einen Rechtsrahmen, unter dem die Regierung geheime Anordnungen zur technischen Zugriffsfähigkeit erlassen kann — Anordnungen, die elektronische Diensteanbieter verpflichten, ihre Systeme so zu verändern, dass das rechtmäßige Abhören von Kommunikation möglich wird. Der Entwurf verpflichtet "core providers" — Kernanbieter — dazu, Metadaten bis zu einem Jahr lang aufzubewahren. Er legt für den Zugriff die Schwelle "reasonable suspicion" — begründeter Verdacht — fest, die niedriger ist als der in den Vereinigten Staaten geltende Maßstab des hinreichenden Tatverdachts (probable cause).

Die Anordnungen zur technischen Zugriffsfähigkeit können geheim erlassen werden. Es gibt keine richterliche Kontrolle der technischen Anforderung selbst — nur der Abhörbeschluss unterliegt richterlicher Prüfung. Es gibt keine Transparenzpflicht. Es gibt keinen Mechanismus, mit dem ein Unternehmen seinen Nutzern offenlegen könnte, dass ihm aufgegeben wurde, seine Systeme zu verändern. Es gibt keine öffentliche Berichtspflicht.

Der Minister für öffentliche Sicherheit, Gary Anandasangaree, hat den Entwurf als „verschlüsselungsneutral" bezeichnet. Apple und Google haben dem Parlament gestern gesagt, dass diese Charakterisierung nicht zum operativen Text des Entwurfs passt.

Salt Typhoon

Apples Neuenschwander brachte gestern ein konkretes Beweisargument vor, mit dem sich der Ausschuss zuvor nicht befasst hatte: den Cyberangriff Salt Typhoon.

2024 kompromittierten staatlich unterstützte chinesische Hacker der Gruppe Salt Typhoon die Abhörinfrastruktur großer US-Telekommunikationsanbieter — jene Systeme, die eigens zur Erfüllung des Communications Assistance for Law Enforcement Act gebaut worden waren. Die Hacker nutzten die Zugangspunkte aus, die existierten, weil das Gesetz ihre Existenz vorschrieb. Sie griffen auf Echtzeit-Verbindungsdaten, Textnachrichten und die Kommunikation hochrangiger Regierungsvertreter und politischer Persönlichkeiten zu.

Apple sagte dem Ausschuss: Die US-Gesetzgebung zum rechtmäßigen Zugriff sei „enger gefasst als Bill C-22" gewesen, und Salt Typhoon habe sie ausgenutzt. Die Hintertür, die die US-Regierung verlangte, war die Hintertür, durch die China ging.

Das strukturelle Argument ist nicht hypothetisch. Es ist ein dokumentierter Fall, in dem die Infrastruktur für rechtmäßigen Zugriff der technisch versiertesten Geheimdienstgemeinschaft der Welt von einem ausländischen Gegner kompromittiert wurde — über genau die Zugangspunkte, die das Gesetz vorschrieb.

Die Austrittsdrohungen

Die Aussage folgt auf Wochen zunehmender Warnungen von datenschutzorientierten Unternehmen.

Udbhav Tiwari, VP für Strategie bei Signal, erklärte, das Unternehmen „würde sich eher aus dem Land zurückziehen, als gezwungen zu werden, bei den Datenschutzversprechen, die wir unseren Nutzern gegeben haben, Abstriche zu machen".

Windscribe, ein VPN-Anbieter mit Hauptsitz in Toronto, bestätigte, den Hauptsitz eher aus Kanada zu verlegen, als die Anforderungen zur Metadatenspeicherung zu erfüllen. Windscribes No-Logs-Richtlinie wurde 2025 in einem griechischen Gerichtsverfahren bestätigt.

NordVPN erklärte: „Es gibt kein Szenario, in dem wir bei unserer No-Logs-Architektur oder unseren Verschlüsselungsschutzmaßnahmen Abstriche machen würden."

ExpressVPN nannte seine Verschlüsselung und seine No-Logs-Architektur „nicht verhandelbar".

Apple und Meta haben beide öffentlich Bedenken geäußert. Mehr als 200 Kryptografie-Fachleute und Informatikerinnen und Informatiker unterzeichneten einen offenen Brief gegen den Ansatz des Entwurfs zur Verschlüsselung.

Michael Geist, Canada Research Chair für Internet- und E-Commerce-Recht an der Universität Ottawa, nannte den Entwurf „das zweiköpfige Überwachungsmonster des Lawful Access" und verglich das Abtun der Warnungen aus der Industrie durch die Regierung mit dem „katastrophalen Drehbuch des Online News Act" — ein Verweis auf Kanadas Gesetzgebung von 2023, die Meta veranlasste, Nachrichteninhalte in Kanada zu blockieren.

OpenMedia forderte den Ausschuss auf, „Bill C-22 zurückzuziehen oder seine Überwachungsbestimmungen zu entkernen".

Der britische Präzedenzfall

Der britische Investigatory Powers Act enthält ähnliche Bestimmungen zu Anordnungen über technische Zugriffsfähigkeiten. 2025 erhielt Apple nach diesem Gesetz eine geheime Anordnung, die das Unternehmen verpflichtete, Zugang zu verschlüsselten iCloud-Daten zu verschaffen.

Apples Antwort bestand nicht darin, die Hintertür zu bauen. Sie bestand darin, die Funktion Advanced Data Protection vollständig aus dem Vereinigten Königreich zurückzuziehen — und damit die Ende-zu-Ende-Verschlüsselung für iCloud-Backups für alle britischen Nutzer zu entfernen. Die Nutzer verloren die Sicherheitsfunktion. Die Regierung erhielt nicht den Zugang, den sie suchte. Die Angreifer, die es auf britische Nutzer abgesehen haben, treffen bei deren iCloud-Backups nun auf schwächere Verschlüsselung.

Das ist die operative Folge der Hintertür-Architektur: Das Unternehmen, das sich weigert, Verschlüsselung zu kompromittieren, entfernt die Funktion, statt sie zu schwächen. Die Nutzer verlieren Schutz. Die Regierung gewinnt nichts. Die Angreifer gewinnen ein weicheres Ziel.

Auf die Frage, ob Apple in Kanada denselben Schritt gehen würde, lehnte Neuenschwander Spekulationen ab, sagte aber, das Unternehmen stehe mit dem Ausschuss im Austausch, um „positive Änderungen" zu erreichen.

Die Ausschusssitzung

Die gestrige Anhörung war die letzte angesetzte Zeugensitzung, bevor der Ständige Ausschuss für öffentliche Sicherheit und nationale Sicherheit Änderungsanträge berät. Der Ausschuss hörte in drei Sitzungen Dutzende von Zeugen.

Der konservative Abgeordnete Frank Caputo drängte auf eine Ausweitung der Debatte und argumentierte, der Entwurf werde „im Eiltempo durchs Parlament gepeitscht". Die Sitzung wurde vertagt, bevor das Änderungsverfahren begann.

Ein Vertreter der Canadian Association of Chiefs of Police sagte dem Ausschuss, eine Metadatenspeicherung von drei Jahren wäre „ideal" — länger als das eine Jahr, das der Entwurf derzeit vorschreibt.

Der Minister für öffentliche Sicherheit, Anandasangaree, hat erklärt, er sei „offen für Änderungen", und hofft, den Entwurf vor der Sommerpause des Parlaments zu verabschieden. Der Entwurf hat zwei von drei Lesungen im Unterhaus abgeschlossen und geht zur abschließenden Prüfung in den Senat.

Das Muster

Bill C-22 ist kein isoliertes Gesetzgebungsereignis. Er ist der jüngste Schritt in einem gleichzeitigen Vorstoß demokratischer Staaten, rechtmäßigen Zugriff auf verschlüsselte Kommunikation vorzuschreiben.

Der britische Online Safety Act enthält Bestimmungen, die ein Scannen verschlüsselter Nachrichten erfordern könnten. Signals Präsidentin Meredith Whittaker erklärte, das Unternehmen werde das Vereinigte Königreich verlassen, bevor es bei der Verschlüsselung Abstriche mache. Von Ofcom wurde erwartet, die technischen Standards bis April 2026 abzuschließen.

Schwedens Parlament berät ein Gesetz, das Messenger-Apps verpflichten würde, Nutzerkommunikation zu speichern und Zugang dazu zu gewähren. Der CIO der schwedischen Streitkräfte führte Signal offiziell für nicht klassifizierte Kommunikation ein — dann schlug die Regierung vor, den Zugriff auf genau dieses Werkzeug vorzuschreiben.

Australiens Assistance and Access Act von 2018 war das erste Gesetz eines demokratischen Landes, das Verschlüsselung untergräbt. Es wurde genutzt, um Unternehmen ohne öffentliche Offenlegung zum Aufbau von Abhörfähigkeiten zu zwingen.

Die Vereinigten Staaten schreiben derzeit keine Verschlüsselungs-Hintertüren vor, aber das FBI hat wiederholt eine „verantwortungsvolle Verschlüsselung" gefordert, die rechtmäßigen Zugriff ermöglicht. Der Einbruch von Salt Typhoon in die US-Abhörsysteme hat das Argument des FBI geschwächt.

In jedem Fall ist der gesetzgeberische Mechanismus derselbe: der Regierung die Befugnis geben, geheime Anordnungen zu erlassen, die technische Änderungen zur Ermöglichung von Abhörmaßnahmen verlangen, ohne öffentliche Offenlegung und mit begrenzter richterlicher Kontrolle der technischen Anforderung. In jedem Fall ist die Antwort der Datenschutz- und Sicherheits-Community dieselbe: Die für die Regierung gebaute Hintertür ist für jeden Gegner ausnutzbar, und der dokumentierte Beleg — Salt Typhoon — beweist es.

Die Architektur, die keine Hintertür hat

Die nutzerseitige Antwort auf das Hintertür-Gebot ist dieselbe Antwort, die diese Publikation in jedem Bereich der Internetfreiheit dokumentiert hat.

Ende-zu-Ende-verschlüsselte Protokolle, bei denen der Schlüssel bei der Nutzerin liegt und nicht beim Diensteanbieter. Der Anbieter kann einer Anordnung zur technischen Zugriffsfähigkeit nicht nachkommen, weil der Anbieter den Schlüssel nicht hält. Die Architektur ist die rechtliche Verteidigung.

Signals Protokoll. Matrix' Verschlüsselung. Briars Peer-to-Peer-Transport. URnetworks Peer-to-Peer-Overlay. Jedes verteilt den Schlüssel an die Endpunkte und nimmt der Zwischeninstanz die Fähigkeit zu entschlüsseln. Eine staatliche Anordnung an die Zwischeninstanz bringt nichts ein, weil die Zwischeninstanz nichts hält.

Quelloffene Implementierungen, bei denen der Code prüfbar und das Einfügen einer Hintertür erkennbar ist. Die Transparenz des Codes ist die Verteidigung gegen geheime Änderungsanordnungen. Wenn der Code offen ist, kann die Anordnung nicht geheim bleiben — denn die Änderung wäre sichtbar.

Föderierte und selbstgehostete Dienste, bei denen die Nutzerin den Server kontrolliert. Eine Anordnung zur technischen Zugriffsfähigkeit, die dem eigenen Server einer Nutzerin zugestellt wird, ist ein Durchsuchungsbeschluss, keine Hintertür — sie erfordert ein individuelles richterliches Verfahren, keine pauschale technische Änderung.

Der architektonische Gegenzug zu Bill C-22 ist kein juristisches Argument. Er ist eine Designentscheidung. Dem System, das den Schlüssel nie hält, kann nicht befohlen werden, ihn herauszugeben. Das System, dessen Code offen ist, kann ihn nicht heimlich ändern. Das System, dessen Server der eigene der Nutzerin ist, kann nicht durch eine an ein Unternehmen zugestellte Anordnung stillschweigend kompromittiert werden.

"When you build a backdoor into an encrypted device, anyone can walk through." — Wenn man eine Hintertür in ein verschlüsseltes Gerät einbaut, kann jeder hindurchgehen.

Die Architektur, die keine Hintertür hat, hat auch keine Tür, durch die irgendjemand gehen könnte — nicht die Regierung, nicht der Gegner, nicht das Unternehmen, das sie gebaut hat.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay verteilt die Verschlüsselungsschlüssel an die Endpunkte. Die Zwischeninstanz hält keinen Schlüssel und kann einer Anordnung zur technischen Zugriffsfähigkeit nicht nachkommen, weil es nichts herauszugeben gibt.

https://ur.io

Heute Nacht um Mitternacht läuft die Frist ab.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) veröffentlichte am Freitag, 22. Mai, Behebungsvorgaben im Rahmen ihrer Binding Operational Directive, die die Behörden der zivilen Bundesexekutive verpflichten, die SQL-Injection-Schwachstelle CVE-2026-9082 in Drupal Core bis Mittwoch, 27. Mai, um Mitternacht zu patchen. Heute ist dieser Tag.

Die Rechenlogik, nach der die Frist heute eintrifft, ist das, was die Ausgabe dieser Publikation vom 24. Mai als die Rahmung „Zehn Tage“ beschrieben hat. Der Senat vertagte sich am Freitag, 22. Mai, in die Memorial-Day-Pause — am selben Tag, an dem die CISA die Direktive veröffentlichte. Der Senat kehrt am Montag, 1. Juni, oder Dienstag, 2. Juni, zurück. Der Memorial Day fiel auf Montag, 25. Mai. Heute, Mittwoch, 27. Mai, ist der erste Werktag nach dem Memorial Day. Die Kammer ist weiterhin in der Sitzungspause. Die IT-Belegschaft der zivilen Bundesbehörden arbeitet durch den Übergang eines langen Wochenendes hindurch, und die Belegschaft der CISA ist nach dem Shutdown Berichten zufolge um rund ein Drittel verkleinert worden, so die frühere Berichterstattung dieser Reihe.

Die Frist fällt in genau diese Verdichtung.

Das ist die operative Form des strukturellen Arguments der Ausgabe vom 24. Mai: Institutionen laufen nach einem Werktagskalender; die Angreiferseite läuft kontinuierlich; das asymmetrische Fenster zwischen dem Patch-Tempo am Freitag und dem Reaktionszyklus am Montag und Dienstag nach dem Feiertag ist das am stärksten ausgenutzte Fenster der Woche. Die Drupal-FCEB-Frist ist die erste konkrete Bundesfrist, die diese Rechnung in diesem Zyklus auf die Probe stellt.

Die FCEB-Frist für die Spoofing-Schwachstelle CVE-2026-42897 im Exchange Server ist Freitag, 29. Mai — zwei Tage von heute an. Die FCEB-Frist für die beiden Zero-Days in Microsoft Defender ist Mittwoch, 3. Juni — sieben Tage von heute an, der Tag nach der Rückkehr des Senats. Das Auslaufen von §702 liegt sechzehn Tage entfernt am 12. Juni.

Die Sitzungspause hat dem Aufsichtsfenster nach der Pause für die Neuautorisierung von Section 702 zehn Kalendertage genommen. Sie hat dem bundesbehördlichen Patch-Zyklus nach der Pause für Drupal, Exchange und Defender ungefähr ebenso viele Arbeitstage genommen. Beide Uhren liefen gemeinsam. Der Kalender, der beide Verdichtungen erzeugt hat, ist derselbe Kalender.

Heute ist Tag Null dieser Rechnung.

Die Drupal-Frist im Detail

CVE-2026-9082 ist eine SQL-Injection im PostgreSQL-Datenbankadapter von Drupal Core, offengelegt von Michael Maturi, Forscher bei Google/Mandiant. Die Schwachstelle sitzt in Drupals Datenbank-Abstraktions-API und erlaubt einem nicht authentifizierten entfernten Angreifer, über bösartige Anfragen an PostgreSQL-gestützte Drupal-Installationen beliebiges SQL auszuführen. Eine erfolgreiche Ausnutzung kann zu Informationsabfluss, Rechteausweitung oder Codeausführung aus der Ferne führen.

Drupal betreibt einen erheblichen Teil der behördlichen und unternehmerischen Web-Infrastruktur, wobei der zivile Bundessektor der USA unter den PostgreSQL-gestützten Drupal-Installationen stark vertreten ist. Die CISA nahm die CVE am Freitag, 22. Mai, unter der Binding Operational Directive 22-01 in den Katalog der bekannten ausgenutzten Schwachstellen auf und verpflichtete die FCEB-Behörden zur Behebung bis heute Mitternacht.

Die Telemetrie zur Ausnutzung ist operativ, nicht theoretisch. Imperva beobachtete rund 15.000 Angriffsversuche gegen etwa 6.000 einzelne Websites in 65 Ländern. Die Angriffe konzentrieren sich auf die Gaming- und die Finanzdienstleistungsbranche — zusammen etwa die Hälfte aller beobachteten Angriffe. Shadowserver zählt weltweit rund 670 ungepatchte, online erreichbare Drupal-Installationen; 272 stehen in Nordamerika und 273 in Europa.

Der einfachste Gegeneinwand lautet, die Drupal-CVE sei eine von vielen CISA-vorgeschriebenen Behebungsfristen, die in diesem Jahr eingetroffen sind. Das stimmt. Das Argument lautet nicht, diese Frist sei besonders wichtig; das Argument lautet, sie ist die erste FCEB-Frist, die in das durch die Memorial-Day-Pause verdichtete Fenster fällt. Die Rahmung ist wichtig, weil dieselbe Kalenderverdichtung, die die Neuautorisierung von Section 702 für zehn Tage aus der Kammer geschoben hat, auch das Behebungsfenster nach der Offenlegung für die IT-Kräfte des Bundes im Feiertagsübergang zusammengedrückt hat.

Der Drupal-Patch liegt in den Händen der Betreiber. Die Frist läuft heute Nacht ab. Die Berichterstattung von morgen wird zeigen, wie die Behebungsquote im zivilen Bundessektor unter der Restriktion der Sitzungspause aussieht.

Die Umkehrung: Irans ATG und Irans digitale Apartheid

Die architektonische Einsicht von heute ist nicht die Frist selbst. Sie ist das Richtungsmuster, in dem die Frist sitzt.

CNN berichtete am 15. Mai, dass US-Beamte iranisch verbundene Akteure hinter einer Reihe von Einbrüchen in Systeme vermuten, die die Tankfüllstände an Tankstellen in mehreren US-Bundesstaaten überwachen. Der Angriffsvektor: automatische Tankfüllstandsmesser, die ohne Passwortschutz online stehen. In einigen Fällen konnten die Angreifer die Anzeigewerte an den Tanks verändern — nicht die tatsächlichen Kraftstoffstände, sondern die für den Betreiber sichtbare Überwachungsschicht. Die Einbrüche haben keinen bestätigten physischen Schaden hervorgebracht. Die Sicherheitssorge, vorgebracht von US-Beamten, die in der CNN-Berichterstattung zitiert werden, ist, dass eine ATG-Kompromittierung im Prinzip dazu führen könnte, dass ein Kraftstoffleck unentdeckt bleibt.

Bei der Quellenlage zur Zuordnung lohnt sich Präzision. US-Beamte vermuten iranisch verbundene Akteure; die CNN-Berichterstattung beruft sich auf mehrere amtliche Quellen. Die Sky-News-Berichterstattung von 2021 über interne Dokumente des Korps der Islamischen Revolutionsgarden hob ATGs als konkrete mögliche Ziele störender Cyberangriffe hervor. Die Vorfälle von 2026 passen zu der zuvor berichteten Absicht. Die Zuordnung bleibt laut US-Beamten „vermutet“, nicht abschließend festgestellt.

Heute ist Tag 89 von Irans innerstaatlichem Internet-Klassensystem. Die Architektur: eine Stufe „weißes Internet“ mit Whitelist-Domains für den allgemeinen öffentlichen Zugang zu staatlich genehmigten Diensten; eine Stufe „Internet Pro“ für mit IRGC und MCI verbundene Fachkräfte zu rund 0,20 € pro Gigabyte; und eine Stufe kommerzieller VPNs für wohlhabende Nutzer zu rund 75 € pro Monat. Der Preisunterschied zwischen Internet Pro und kommerziellem VPN beträgt das 12,5-Fache. Das Quincy Institute rahmte das System in einer Analyse vom 12. Mai als „digitale Apartheid“. Der kumulierte geschätzte wirtschaftliche Schaden übersteigt laut iranischen Regierungsstatistiken, berichtet über Donya-ye Eghtesad, 5,2 Milliarden US-Dollar.

Die architektonische Eigenschaft — dasselbe Primitiv, zwei Richtungen — ist die Nachricht.

Innerhalb Irans ist die Vermittlungsschicht vollständig vom Staat vereinnahmt. Der Netzbetreiber, die Plattform, das Register, der Rundfunk und zunehmend das Gerät gehören staatlichen oder staatsnahen Stellen und werden von ihnen betrieben. Die Interneterfahrung, die der breiten Öffentlichkeit zur Verfügung steht, wird davon geformt, was die vereinnahmte Vermittlungsschicht zulässt. Die Rahmung „digitale Apartheid“ benennt den daraus folgenden Unterschied zwischen Bürgern mit staatsnahem Zugang und Bürgern ohne.

Außerhalb Irans — konkret an US-Tankstellen-ATG-Systemen, die ohne Passwortschutz online stehen — fehlt die Vermittlungsschicht vollständig. Das ATG ist kein vereinnahmter Betreiber; es ist ein unbeaufsichtigtes eingebettetes Gerät. Iranisch verbundene Akteure nutzen die fehlende Vermittlungsschicht auf dieselbe Weise aus, wie Irans innerstaatliches System die vereinnahmte Vermittlungsschicht ausnutzt: indem sie sich auf der Betriebsebene einfügen, die die physische Infrastruktur überwacht.

Dasselbe architektonische Primitiv. Vereinnahmte Vermittlungsschicht drinnen. Fehlende Vermittlungsschicht draußen, gefüllt vom Angreifer.

Die architektonische Rahmung ist nicht parteiisch. Sie verlangt keine Position zu Irans Innenpolitik oder zur US-Zuordnung der ATG-Angriffe. Sie besagt: Die strukturelle Eigenschaft, die im Iran die Stufe der digitalen Apartheid erzeugt, ist dieselbe strukturelle Eigenschaft, die außerhalb Irans die Anfälligkeit für ATG-Ausnutzung erzeugt. Die Kontrolle über die Vermittlungsschicht — die Fähigkeit von jemandem, ob staatliche Regulierungsbehörde, Netzbetreiber oder feindlicher Cyberakteur, sich zwischen Nutzer und Dienst zu schieben — ist die operative Variable. Die architektonische Antwort ist der nutzerseitige Primitiv-Stack, der für seine Sicherheitsgarantien nicht auf die Vermittlungsschicht angewiesen ist.

Sechzehn Tage

Section 702 des Foreign Intelligence Surveillance Act läuft am 12. Juni 2026 aus.

Sechzehn Kalendertage von heute an.

Der Senat ist in der Memorial-Day-Pause. Die Kammer kehrt am Montag, 1. Juni, oder Dienstag, 2. Juni, zurück (Senatskalender steht aus). Der frühestmögliche Verfahrenstag für eine Plenarbehandlung der Neuautorisierung von Section 702 ist Dienstag, 2. Juni. Vom 2. bis zum 12. Juni sind es zehn Kalendertage, von denen etwa acht Arbeitstage sind, wenn man den halben Rückkehrtag und das dazwischenliegende Wochenende berücksichtigt.

Senator Ron Wydens Zusage vom 19. Mai, „Ich werde nächste Woche mehr dazu sagen“ — wobei „nächste Woche“ die Woche vom 25. bis 29. Mai ist —, wurde von der Sitzungspause überholt. Wydens frühester Verfahrenstag im Senat ist dieselbe Rückkehr am 2. Juni.

Die Entscheidung des Foreign Intelligence Surveillance Court, die im Zentrum der ausgehandelten Freigabevereinbarung vom 30. April steht, bleibt als Verschlusssache eingestuft. Das 15-tägige beschleunigte Freigabefenster verstrich am Freitag, 15./16. Mai. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Das Justizministerium hat nicht freigegeben. Das Büro der Direktorin der nationalen Nachrichtendienste teilte Breitbart am 21. Mai mit, Direktorin Tulsi Gabbard „arbeitet mit Nachdruck an der Freigabe“ — ohne Zusage eines Datums. Der Vorsitzende des Geheimdienstausschusses des Senats, Tom Cotton (R-AR), hat sich seit dem 15. Mai nicht öffentlich geäußert. Der stellvertretende Vorsitzende des Geheimdienstausschusses, Mark Warner (D-VA), hat sich seit dem Verstreichen der Frist nicht geäußert.

Der in der Ausgabe vom 23. Mai dokumentierte strukturelle Bruch hält an. Die Debatte über die Neuautorisierung steht sechzehn Tage vor einem harten Auslaufen eines Programms, dessen jüngste Gerichtsentscheidung der Kongress nicht einsehen kann, bei einer Kammer, die die nächsten vier Arbeitstage nicht tagt, und mit einer Regierung, die sich auf kein Freigabedatum festlegt.

Der Strang zu Section 702 ist heute nicht der Aufmacher. Der Aufmacher von gestern war die Rechnung der Memorial-Day-Pause. Die Nachricht von heute ist die konkrete Mittwochsfrist der FCEB. Aber die Uhr zum Auslaufen von §702 läuft weiter, und das architektonische Argument der Ausgabe vom 23. Mai — dass der Senat aufgefordert wird, ein Programm neu zu autorisieren, dessen jüngste Entscheidung die Exekutive ihm nicht zeigen will — hält über das gesamte Arbeitsfenster nach der Pause hinweg.

Section 702 ist heute die Spaltenmeldung. Tag Null ist der Aufmacher.

Zwei Tage, sieben Tage

Die beiden anderen bundesbehördlichen Cybersicherheitsfristen auf der Uhr nach dem Memorial Day treffen am Freitag und am darauffolgenden Mittwoch ein.

Exchange OWA — CVE-2026-42897 — heute Tag 13, zwei Tage bis zur FCEB-Frist.

Die Spoofing-Schwachstelle in Outlook Web Access, wurzelnd in Cross-Site-Scripting, wird seit dem 14. Mai aktiv ausgenutzt. Microsoft hat eine automatische Abschwächung nur für Kunden ausgeliefert, die den Exchange EM Service betreiben; für alle anderen gibt es manuelle Abschwächungsschritte. Die Behebungsfrist für die zivile Bundesexekutive ist Freitag, 29. Mai — zwei Tage von heute an. Der Patch-Zyklus des Herstellers hinkt der Regulierungsuhr die dritte Woche in Folge hinterher.

Zwei Zero-Days in Microsoft Defender — CVE-2026-41091 + CVE-2026-45498 — sieben Tage bis zur FCEB-Frist.

CVE-2026-41091 ist eine Schwachstelle zur Rechteausweitung. CVE-2026-45498 ist eine Denial-of-Service-Schwachstelle. Beide stehen seit dem 20. Mai im KEV-Katalog der CISA, mit einer Frist für die zivile Bundesexekutive am Mittwoch, 3. Juni — sieben Tage von heute an, der Tag nach der Rückkehr des Senats aus der Sitzungspause.

Die strukturelle Eigenschaft: Das Sicherheitswerkzeug selbst steht im bundesweiten Katalog der aktiv ausgenutzten Schwachstellen. Die Patches des Steuerungsebenen-Herstellers werden gegen die Uhr der aktiven Ausnutzung ausgeliefert, und zwar für die Plattform, auf der der zivile Bundessektor seine Endpunktverteidigung betreibt.

Die Drupal-Frist heute, die Exchange-Frist am Freitag, die Defender-Frist am kommenden Mittwoch. Drei FCEB-Cybersicherheitsfristen innerhalb eines Fensters von acht Arbeitstagen. Dasselbe Fenster, in dem die Uhr zum Auslaufen von Section 702 von sechzehn auf acht Tage läuft.

Die institutionelle Ebene ist voll ausgelastet.

Die Cyber-Kolumne der Woche

Der institutionelle Patch-Zyklus ist die eine Hälfte des operativen Bildes dieser Woche. Der Zyklus offengelegter Einbrüche ist die andere.

ShinyHunters / Canvas / Instructure. Rund 275 Millionen Datensätze kompromittiert, aus etwa 8.800 Bildungseinrichtungen, darunter Harvard, Stanford, Columbia, Rutgers, Georgetown und die National University of Singapore. Die gestohlenen Daten: 3,65 Terabyte mit Nutzernamen, E-Mail-Adressen, Kursnamen, Einschreibungsinformationen und Nachrichten. Erstzugang über eine nicht näher bezeichnete Schwachstelle im Ticketsystem des Canvas-Supports für Free-for-Teacher am 25. April. Entdeckung am 29. April. Erneute Kompromittierung am 7. Mai, wobei die Anmeldeseite durch eine Ransomware-Nachricht ersetzt wurde. Instructure einigte sich am 11. Mai mit ShinyHunters auf eine Lösegeldvereinbarung, um das geplante Leak von 3,65 TB zu stoppen; das Unternehmen gibt an, die kompromittierten Daten seien vernichtet worden. Federal Student Aid gab am 12. Mai eine technische Sicherheitswarnung an Hochschuleinrichtungen zu dem Vorfall heraus.

Foxconn / Nitrogen. 8 Terabyte / 11 Millionen Dateien. Foxconn bestätigte den Cyberangriff auf seine nordamerikanischen Standorte am 12. Mai, darunter die Werke in Mount Pleasant, Wisconsin, und Houston, Texas. Betriebsstörung: Beschäftigte im Werk in Wisconsin wurden angewiesen, Rechner herunterzufahren; Zeiterfassungssysteme wurden abgeschaltet; papiergestützte Abläufe wurden verordnet; ein Teil der Belegschaft wurde nach Hause geschickt. Die Leak-Behauptung der Ransomware-Gruppe Nitrogen umfasst vertrauliche Projektdokumentation und technische Zeichnungen für Apple, Intel, Google, Dell und Nvidia. AppleInsider bestätigte am 20. Mai, dass sich Apple-Serverschaltpläne unter den gestohlenen Dateien befanden. Eine Merkwürdigkeit: Forscher von Coveware berichten, dass Nitrogens Entschlüsselungsprogramm einen Programmierfehler enthält, der die Dateiwiederherstellung verhindert — die Zahlung des Lösegelds stellt die Dateien nicht wieder her.

GitHub / TeamPCP / Nx Console. Ende Mai bestätigte GitHub offiziell, dass der Einbruch in rund 3.800 interne Repositorys auf eine vergiftete Nx-Console-Erweiterung für Microsoft Visual Studio Code zurückging, die auf dem Gerät eines GitHub-Mitarbeiters installiert war. Der Vektor folgt dem TanStack-Lieferkettenmuster, das in früheren Ausgaben dieser Reihe dokumentiert wurde. Der Umfang von 3.800 Repositorys macht dies nach Zahl der Repositorys zur bislang größten Lieferkettenkompromittierung des Jahres 2026 über Zugangsdaten von Beschäftigten eines SaaS-Anbieters.

Der eigene Zugangsdatenverlust der CISA. Die TechCrunch-Berichterstattung vom 19. Mai dokumentierte, dass das Private-CISA-Repository der CISA auf GitHub rund sechs Monate lang öffentlich zugänglich war, mit Administrator-Zugangsdaten für AWS GovCloud und Datenbankpasswörtern im Klartext in der Commit-Historie. Das Zeitfenster von 48 Stunden mit gültigen Zugangsdaten — zwischen der Meldung an die CISA und der vollständigen Rotation — ist die eigene Behebungskadenz der Behörde in genau der Disziplin, die ihre eigene Binding Operational Directive 22-01 von den zivilen Bundesbetreibern verlangt.

Forschung zu MFA-Prompt-Bombing. Untersuchungen vom 26. Mai hoben hervor, dass Angreifer den zweiten Authentifizierungsfaktor nicht mehr stehlen müssen; das Angriffsmuster läuft darauf zu, den Nutzer durch Ermüdung per Prompt-Bombing zur Herausgabe zu bewegen. Wieder ist die Kontrolloberfläche selbst das Ziel.

Fünf Ereignisse des Offenlegungszyklus liegen im selben Fenster von acht Arbeitstagen wie die FCEB-Patch-Fristen und die Uhr zur Neuautorisierung von Section 702. Die institutionelle Last ist voll.

Die Ebene der Empfängerländer

Das architektonische Muster, das diese Publikation dokumentiert, setzt sich unabhängig vom Kalender des US-Senats fort.

Mexiko — 34 Tage bis zur Frist für die CURP Biométrica. Rund 127 Millionen Mobilfunkanschlüsse müssen bis zum 30. Juni eine biometrische CURP mit Gesicht, Fingerabdruck und Iris registrieren, sonst droht ab dem 1. Juli die Sperrung. Die öffentlichen Registrierungsdaten liegen weiterhin unter 10 Prozent, so die Berichterstattung des mexikanischen Journalisten Ignacio Gómez Villaseñor. Zahlen einzelner Anbieter aus früherer Berichterstattung: AT&T 29 Prozent, Bait 28 Prozent, Telcel 19 Prozent, Movistar 16 Prozent. Telcel verlor in Q1 2026 1,2 Millionen Anschlusszugänge — ein messbares Signal für Nutzerwiderstand beim größten Anbieter Lateinamerikas.

Russland — Tag 42 der Verpflichtung der Provider zur VPN-Erkennung. Laut fortlaufender Beobachtung durch Meduza und Roskomsvoboda ist die Verpflichtung vom 15. April weiterhin bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn in Kraft. 22 der 30 populärsten Android-Apps Russlands überwachen den VPN-Status inzwischen auf Anwendungsebene. Telegram bleibt gesperrt. Die staatliche Messaging-App MAX wird trotz dokumentierter Überwachungsfunktionen weiter vorangetrieben.

Niger — Tag 19. Die Aussetzung von neun internationalen Medienangeboten durch das Observatoire Nationale de la Communication vom 8. Mai — France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info und France Afrique Média — bleibt in Kraft.

Burkina Faso — Tag 22. Das dauerhafte Verbot von TV5 Monde vom 5. Mai bleibt in Kraft. Die RSF-Berichterstattung vom 6. Mai dokumentierte fortdauernde Inhaftierungen, darunter die des Journalisten Atiana Serge Oulon.

Tansania. Der Bericht der Untersuchungskommission vom 23. April über 518 Todesfälle durch Wahlgewalt nach dem 29. Oktober wird weiterhin nicht veröffentlicht. X bleibt gesperrt.

Pakistan. Die Durchsetzung von PECA setzt sich laut Beobachtung der Pakistan Press Foundation fort — mehr als 233 Vorfälle bis einschließlich April.

Nationales Sicherheitsgesetz in Hongkong. Das Nationale Sicherheitsgesetz wird inzwischen operativ genutzt, um Entschlüsselung gegen Einzelpersonen zu erzwingen — der rechtsförmige Zugriff auf Geräteebene erweitert das operative Bedrohungsmodell weiter.

Jedes Regime auf seiner eigenen Uhr. Die gemeinsame architektonische Eigenschaft — Kontrolle über die Vermittlungsschicht beim Netzbetreiber, der Plattform, dem Register, dem Rundfunk oder dem Gerät — ist dieselbe Eigenschaft, die die ATG-Angriffe in den USA möglich macht, indem sie die fehlende Vermittlungsschicht auf unbeaufsichtigten eingebetteten Geräten angreift.

Die Protokoll-Pipeline

Zwei Ereignisse auf der Konsensebene wurden am Freitag, 22. Mai, ausgeliefert — am selben Tag, an dem sich der Senat vertagte und an dem die CISA die Drupal-Direktive veröffentlichte.

Trail-of-Bits-Audit zu Moneros FCMP++ abgeschlossen. Das 11-tägige Mandat (12. bis 22. Mai) zur Produktionsintegration von FCMP++ 1a/1b in monero-project/monero endete ohne unmittelbar veröffentlichte Befunde. Üblich bei Trail of Bits ist ein Veröffentlichungsfenster von 2 bis 6 Wochen nach Abschluss des Mandats. Die Protokolländerung ersetzt die Ringsignatur mit 16 Täuschkörpern durch einen Full-Chain-Membership-Proof, dessen Anonymitätsmenge der gesamte UTXO-Satz ist, rund 150 Millionen Transaktionsausgänge — eine Ausweitung der senderseitigen Anonymität um etwa das 9,4-Millionenfache. Ziel für den Mainnet-Hardfork ist H2 2026, abhängig von der Behebung der Audit-Befunde.

Zcash-NU7-Testnet gestartet. Shielded Labs aktivierte das NU7-Testnet — das nächste Konsens-Upgrade nach Crosslink Milestone 4. Vitalik Buterins Spende vom 6. Februar an Shielded Labs unterstützte die Arbeit an dem Upgrade. Der Zeitplan von Testnet zu Mainnet wird für später im Jahr 2026 erwartet.

Tor Browser 15.0.14 — Veröffentlichung vom 19. Mai mit Sicherheitsupdates. Die Spendenrunde des Tor-Projekts zur Unterstützung von zehn Internetfreiheitsprojekten läuft weiter.

Ende-zu-Ende-Verschlüsselung DAVE bei Discord — die standardmäßig aktivierte Ausrollung an rund 200 Millionen monatlich aktive Nutzer läuft über alle Regionen hinweg weiter. Die größte Einführung von E2EE-Infrastruktur für eine nicht-nischige Nutzerbasis innerhalb einer Woche im Jahr 2026.

Anthropic Claude Managed Agents — im Mai kamen MCP-Tunnel (private Netzwerkführung) und selbst gehostete Sandboxes (vom Betreiber kontrollierte Ausführungsumgebung) hinzu. Anthropics Project Glasswing wurde erweitert, mit Claude Security in öffentlicher Beta und neuen Cyber-Verifikationswerkzeugen für berechtigte Sicherheitsteams. Die architektonische Eigenschaft: Agentenoperationen können über vom Betreiber kontrollierte Infrastruktur statt über vom Anbieter kontrollierte Voreinstellungen laufen.

Bitcoin BIP352 Silent Payments — weitere Ausrollung in Core-28.0+-Installationen. Das verschlüsselte P2P nach BIP324 v2 (seit Core 27.0 standardmäßig aktiv) macht inzwischen die Mehrheit des weltweiten Bitcoin-Peer-to-Peer-Verkehrs aus.

eIDAS 2.0 BBS+ selektive Offenlegung — die Finalisierung bei der IETF läuft. W3C Verifiable Credentials 2.0 hat seit Mai 2025 den Status einer Recommendation.

GrapheneOS / CalyxOS — weiterhin monatliche Release-Kadenz. GrapheneOS 2026050900 (9. Mai) und CalyxOS 7.2.1.0 (4. Mai) bleiben die aktuellen Basisversionen.

Kryptografische Agilität — die Post-Quanten-Primitive ML-KEM, ML-DSA und SLH-DSA sind seit August 2024 gültige Standards. FIPS 140-2 läuft am 21. September aus. Signals Triple Ratchet (Sparse Post-Quantum Ratchet + Double Ratchet + PQXDH) wird weiter iteriert.

Die ehrliche Kritik an der Rahmung „Protokoll-Pipeline“ lautet, dass auch die Protokollprojekte von institutionellen Ebenen abhängen. Tors Finanzierung stammt in erheblichem Umfang vom Open Technology Fund und aus Zuwendungen des Außenministeriums. Claude Managed Agents ist ein Produkt von Anthropic. Das Monero-Audit war auf die Personalausstattung von Trail of Bits und die Koordination durch den MAGIC Monero Fund (501(c)(3)) angewiesen. Die Protokollebene ist nicht autonom gegenüber institutionellem Input.

Das Argument dieser Reihe lautet nicht, dass die Protokoll-Pipeline autonom gegenüber Institutionen ist. Das Argument lautet, dass sich die Protokoll-Pipeline nicht um den Bundeskalender herum verdichtet, in genau jener Dynamik des Pausenfensters, die dieser Text beschreibt. Monero schloss am Freitag ein Audit ab. Zcash startete am Freitag ein Testnet. Tor lieferte in der Woche davor eine Version aus. Discord setzte seine E2EE-Ausrollung fort. Das Freitagstempo auf der Protokollseite spiegelte das Freitagstempo auf der Angreiferseite, während sich die institutionelle Seite auf die Vertagung in die Pause vorbereitete.

Der nutzerseitige Primitiv-Stack

Der nutzerseitige Primitiv-Stack — offene Clients mit nutzergehaltenen Schlüsseln, offene Firmware auf vom Nutzer prüfbaren Chips, FIDO2-Hardware-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität mit selektiver Offenlegung, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität für die Post-Quanten-Ära — läuft kontinuierlich auf der Audit-Pipeline-Architektur.

Das ist die Ebene, die nicht davon abhängt, ob der Senat tagt.

Die Drupal-FCEB-Frist trifft heute Nacht um Mitternacht ein. Die Exchange-FCEB-Frist trifft am Freitag ein. Die Defender-FCEB-Frist trifft am kommenden Mittwoch ein. Das Auslaufen von Section 702 trifft am 12. Juni ein. Die mexikanische Frist für die CURP Biométrica trifft am 30. Juni ein. Die Pflichten der EU-KI-Verordnung für KI-Modelle mit allgemeinem Verwendungszweck werden ab dem 2. August durchgesetzt. Das Auslaufen von FIPS 140-2 trifft am 21. September ein. Der Zieltermin für den Q-Day ist 2029.

Jede institutionelle Frist läuft auf ihrer eigenen Uhr. Jede Uhr wird von einer Institution gestellt. Jede Uhr verdichtet oder dehnt sich je nach dem institutionellen Kalender, der sie umgibt.

Der nutzerseitige Primitiv-Stack hat keine parallele Uhr. Das Monero-Audit endet, wenn das Mandat endet. Das Zcash-Testnet startet, wenn das Upgrade fertig ist. Die Tor-Version erscheint, wenn die Sicherheitspatches integriert sind. Die Discord-Ausrollung schreitet im eigenen Tempo der Plattform voran. Signals Post-Quanten-Ratchet erscheint, wenn das kryptografische Primitiv fertig ist. Die Audit-Pipeline-Architektur ist die Kadenz.

Das strukturelle Argument über die Ausgabenreihe vom 18. bis 27. Mai lautet nicht, dass Institutionen keine Rolle spielen. Sie spielen eine. Die CISA veröffentlicht den KEV-Katalog. Der Senat hält die Abstimmung zur Neuautorisierung von Section 702 ab. Das Justizministerium verfolgt Ransomware-Betreiber. Microsoft DCU nimmt Fox Tempest vom Netz. Europol koordiniert die Operation Saffron. Die Institutionen sind real, und ihre Arbeit ist real.

Das Argument dreht sich um den asymmetrischen Kalender. Die Institutionen laufen nach einem Kalender. Die Angreiferseite läuft kontinuierlich. Die iranischen ATG-Angriffe, die Megalodon-Lieferkettenkompromittierung, der ShinyHunters-Einbruch bei Canvas, die Foxconn-Nitrogen-Extraktion, der Publikationszyklus des Coinbase-Kartells — sie pausierten nicht für den Memorial Day. Auch der nutzerseitige Primitiv-Stack pausierte nicht für den Memorial Day. Die beiden Hälften, die kontinuierlich laufen, sind die Angreiferseite und die Seite der Protokoll-Pipeline.

Die institutionelle Ebene ist das, was sich um die Sitzungspause herum verdichtet.

Nach der Sitzungspause

Der Senat kehrt am Montag, 1. Juni, oder Dienstag, 2. Juni, zurück. Die Defender-FCEB-Frist fällt auf Mittwoch, 3. Juni. Die Exchange-OWA-Frist ist Freitag, 29. Mai — drei Tage bevor die Kammer zurückkehrt. Die Drupal-Frist läuft heute Nacht ab.

Heute ist Tag Null des FCEB-Zyklus, den der Text vom 24. Mai zur Sitzungspause beschrieben hat. Morgen ist Tag +1. Das Muster setzt sich fort, unabhängig davon, auf welcher Seite des Memorial Day wir stehen.

Das architektonische Argument, das die Ausgaben vom 18. bis 27. Mai aufgebaut haben, ist das dauerhafte. Die Patch-Pipeline der Hersteller hat einen Ausläufer von achtzehn Jahren. Der Verizon DBIR fand mit 31 Prozent die Ausnutzung von Schwachstellen als neuen Einstiegsweg Nummer eins bei Sicherheitsverletzungen. Die Audit-Pipeline schließt in ihrer eigenen Kadenz. Der nutzerseitige Primitiv-Stack läuft durch Feiertage, Sitzungspausen und das asymmetrische Wochenendfenster außerhalb der Dienstzeiten.

Heute Tag Null.

Die Architektur überdauert den Kalender.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Die MCP-Server-Veröffentlichung vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Carrier-Ebene zu abstrahieren. URnetwork ist in keinem der in diesem Artikel genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen.

https://ur.io

Die Zahl ist die Zahl unsichtbarer Operationen.

Seit Ende 2022 haben Überwachungsakteure mehr als 15.700 Ortungsabfragen durch das globale mobile Signalisierungsnetz geschickt und dabei Personen in mehreren Ländern ins Visier genommen — über eine Telekommunikationsinfrastruktur, die für jedes Netz, das sie berührt, wie legitimer Roaming-Verkehr aussieht. Die Telefone der Zielpersonen zeigten keine Benachrichtigung. Ihre Nachrichtenprotokolle verzeichneten kein Ereignis. Die Ortung war auf der Geräteebene unsichtbar, weil sie auf der darunterliegenden Signalisierungsebene ablief.

Das Citizen Lab an der University of Toronto veröffentlichte die Ergebnisse am 23. April 2026 in einem Bericht mit dem Titel "Bad Connection", verfasst von Gary Miller und Swantje Lange. Der Bericht dokumentiert zwei verschiedene Überwachungskampagnen, nennt drei Telekommunikationsunternehmen, deren Infrastruktur als Zugang diente, und benennt die strukturelle Eigenschaft, die diese Kampagnen möglich macht: Das globale Zusammenschaltungssystem der Telekommunikation beruht auf einem Vertrauensmodell, das nie dafür entworfen wurde, zu prüfen, ob Signalisierungsverkehr das ist, wofür er sich ausgibt.

Die Geisterbetreiber

Die drei genannten Unternehmen sind keine Nachrichtendienste. Sie sind keine klassischen Überwachungsanbieter. Sie sind Telekommunikationsunternehmen mit legitimen Lizenzen.

019Mobile ist ein privat geführter israelischer MVNO, der unter der Marke Telzar 019 auftritt. Das Unternehmen betreibt ein eigenes Kernnetz auf dem Funkzugangsnetz von Partner Communications. Die Haaretz-Recherche, die auf die Veröffentlichung des Citizen Lab folgte — überschrieben "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide" (Geisterbetreiber: Wie israelische Telekommunikationsunternehmen ausgenutzt wurden, um weltweit Bürger zu verfolgen) —, dokumentierte Dutzende Ortungsversuche, die über die Infrastruktur von 019Mobile liefen. Der Leiter für IT und Sicherheit des Unternehmens erklärte, es sei „kein Risiko für unsere Kunden festgestellt worden“, und konnte nicht bestätigen, dass die Infrastruktur zu 019Mobile gehörte.

Tango Networks UK ist ein britischer MVNO, eine Tochter des in Texas ansässigen Unternehmens Tango Networks Inc. Ofcom wies ihm 2022 den britischen Mobile Network Code 53 zu. Es wurde laut Citizen Lab „über mehrere Jahre hinweg für Überwachungsaktivitäten“ genutzt. Das Unternehmen wollte sich nicht äußern.

Airtel Jersey ist ein Betreiber auf den Kanalinseln, der inzwischen Sure gehört, das seinerseits zur Beyon Group gehört, die teilweise im Eigentum des Königreichs Bahrain steht. Der CEO von Sure erklärte, das Unternehmen „vermietet Signalisierungszugang weder direkt noch wissentlich an Organisationen zum Auffinden oder Verfolgen von Personen“.

Keines dieser Unternehmen ist auf dem Papier ein Überwachungsunternehmen. Jedes hält eine legitime Telekommunikationslizenz. Jedes hat die aufsichtsrechtliche Prüfung durchlaufen, die es in seiner Rechtsordnung gibt. Die Bezeichnung „Geisterbetreiber“ ergibt sich aus ihrer Funktion: echte Unternehmen, deren Infrastruktur — wissentlich oder nicht — als vertrauenswürdiger Eintrittspunkt für Überwachungsverkehr genutzt wird, den das Zielnetz akzeptiert, weil er von einem legitimen Peer zu kommen scheint.

Kampagne eins: die rotierende Identität

Die erste Kampagne nutzte sowohl SS7 als auch Diameter mit koordiniert abwechselndem Zugang aus. Wurden SS7-Abfragen von der Firewall eines Zielnetzes blockiert, schaltete das System automatisch auf Diameter um. Wurde Diameter blockiert, fiel es auf SS7 zurück.

Der Überwachungsverkehr rotierte durch 11 Betreiberidentitäten in zehn Ländern. Zu den Ländern, deren Betreiberidentitäten gefälscht wurden, zählen Kambodscha, China, Israel, Italien, Liechtenstein, Marokko, Polen, die Schweiz, Thailand und das Vereinigte Königreich. Drei verschiedene Routing-Muster wurden genutzt, um den wahren Ursprung zu verschleiern: direkter Zugang über Tango Networks UK in das IPX-Netz von BICS, direkter Zugang über 019Mobile in das IPX von Comfone und ein Pfad mit gefälschter Identität, der Hostnamen von AIS Thailand mit Netzwerk-Realm-Kennungen von China Unicom kombinierte und über 019Mobile in das IPX von Syniverse führte.

Das IPX — der IP Packet Exchange — ist das Zusammenschaltungsgeflecht, durch das internationaler Roaming-Verkehr fließt. Unternehmen wie BICS, Comfone und Syniverse betreiben die IPX-Netze. Geisterbetreiber schleusen Überwachungsverkehr in diese Netze ein, die ihn an die Zielbetreiber weiterleiten, als handele es sich um legitime Roaming-Abfragen. Die IPX-Anbieter prüfen nicht zwingend, ob der Verkehr, der sie durchquert, tatsächlich mit Roaming zu tun hat.

Der Citizen-Lab-Forscher Gary Miller schätzte den Anbieter hinter Kampagne eins als „wahrscheinlich einen in Israel ansässigen kommerziellen Geo-Intelligence-Anbieter“ ein, mit möglichen Verbindungen zu Circles, Cognyte und Rayzone.

Kampagne zwei: der unsichtbare Befehl

Die zweite Kampagne war qualitativ anders. Sie fragte nicht das Netz nach dem Standort der Zielperson ab. Sie befahl der SIM-Karte der Zielperson, ihn zu melden.

Die Technik ist als SIMjacker bekannt und wurde 2019 erstmals von Cathal Mc Daid bei AdaptiveMobile Security dokumentiert. Sie nutzt die in SIM-Karten eingebettete Anwendung S@T Browser aus — eine Altkomponente, die es Mobilfunkbetreibern erlauben sollte, Servicenachrichten an Endgeräte zu senden. Der Angriff sendet eine speziell formatierte binäre SMS an die SIM-Karte der Zielperson. Die SIM verarbeitet den Befehl, ohne dem Nutzer eine Benachrichtigung anzuzeigen, ohne ein Ereignis im Nachrichtenprotokoll festzuhalten und ohne eine Interaktion zu verlangen. Die SIM-Karte antwortet dann mit den Standortdaten des Telefons.

Das Citizen Lab dokumentierte seit Ende 2022 mehr als 15.700 solcher Ortungsversuche. Von einem einzigen Global Title — einer Signalisierungskennung — wurden zwischen Oktober 2023 und April 2025 mehr als 1.700 Angriffe auf die Privatsphäre erfasst. Zweiundneunzig Prozent des Verkehrs von dieser Kennung standen im Zusammenhang mit Standortverfolgung.

Die Angriffsfläche von SIMjacker ist die SIM-Karte selbst. Der Angriff braucht keinen Internetzugang. Er braucht keine App-Installation. Er braucht keine Nutzerinteraktion. Er braucht nur, dass die Zielperson eine SIM-Karte in einem Telefon hat, das mit irgendeinem Mobilfunknetz verbunden ist. Jedes Telefon mit einer SIM-Karte liegt in der Angriffsfläche, nicht durch Fehlkonfiguration, sondern von Bauart wegen.

Was der Nutzer nicht tun kann

Der strukturelle Befund lautet, dass das Ziel von SS7-, Diameter- oder SIMjacker-Überwachung das Risiko durch eigenes Handeln nicht mindern kann.

Ein VPN hilft nicht. Der Angriff arbeitet auf der Signalisierungsebene unterhalb des IP-Stacks. Das VPN verschlüsselt Datenverkehr; der Signalisierungsverkehr, der den Standort meldet, ist vom Datenverkehr getrennt und für das VPN unsichtbar.

Verschlüsselte Nachrichtendienste helfen nicht. Signal, WhatsApp und Matrix schützen Nachrichteninhalte. SS7- und SIMjacker-Angriffe greifen nicht auf Inhalte zu. Sie ziehen den Standort ab. Die Verschlüsselung ist irrelevant, weil der Angriff die Datenschicht gar nicht berührt.

Das Telefon zu wechseln hilft nicht. Der Angriff zielt auf die SIM-Karte und die Rufnummer, nicht auf das Endgerät.

Ein datenschutzorientierter Browser hilft nicht. Der Angriff berührt weder den Browser noch das Betriebssystem noch irgendeine Anwendung.

Die einzige nutzerseitige Gegenmaßnahme ist, die SIM-Karte ganz zu entfernen — was die Mobilfunkverbindung beseitigt und für die Milliarden Menschen, die auf Mobiltelefone angewiesen sind, keine praktikable Verteidigung ist.

Die architektonische Lehre: Wenn die Angriffsfläche die Betreiberebene selbst ist, muss die Verteidigung außerhalb dieser Ebene arbeiten.

Das Protokoll, das das beheben sollte

Diameter wurde in den 2000er-Jahren als Ersatz für SS7 entworfen, gerade um die Sicherheitsschwächen zu adressieren, die Angriffe auf der Signalisierungsebene möglich machen. Diameter enthält Authentifizierungsmechanismen, Verschlüsselungsfähigkeiten und Zugangskontrollen, die SS7 fehlen.

Der Befund des Citizen Lab lautet, dass die Betreiber es „weitgehend versäumt“ haben, diese Schutzmaßnahmen umzusetzen. Der Diameter-Einsatz in 4G- und 5G-Netzen stützt sich weiterhin auf dasselbe Peer-to-Peer-Vertrauensmodell, das SS7 verwundbar macht. Die Betreiber, die das neue Netz gebaut haben, haben das alte Vertrauensmodell mitgenommen.

Das bedeutet: Die Migration von 3G über 4G zu 5G — die Infrastrukturaufrüstung, die die Signalisierungsschwachstelle schließen sollte — hat sie nicht geschlossen. Die Protokolle haben sich geändert. Das Vertrauensmodell nicht. Die Geisterbetreiber nutzen das Vertrauensmodell aus, nicht das Protokoll.

Die GSMA, der globale Standardisierungsverband der Mobilfunkbetreiber, veröffentlichte zwei Jahre vor dem Bericht des Citizen Lab einen Code of Conduct for Global Title Leasing. Der Kodex ist freiwillig. Das Citizen Lab stellte fest, dass er „keine nennenswerten Unterzeichner“ hat.

Die Spyware-Parallele

Im selben Monat, in dem das Citizen Lab "Bad Connection" veröffentlichte, setzte das Spyware-Ökosystem sein eigenes Muster der Ausnutzung der Vermittlungsschicht fort.

Am 22. Mai teilte das DHS NPR mit, ICE unterhalte "no relationship" — keine Beziehung — zu Paragon Solutions, dem israelischen Hersteller kommerzieller Spyware, dessen Werkzeug Graphite aus der Ferne in Geräte eindringen und auf verschlüsselte Nachrichten zugreifen kann, ohne dass die Zielperson auf einen Link klickt. Doch das DHS wollte nicht klarstellen, ob ICE über einen Dritten weiterhin auf von Paragon entwickelte Werkzeuge zugreifen kann. Der Paragon-Vertrag wurde in den Beschaffungsunterlagen des Bundes am 20. Januar als "closed out" — abgeschlossen — geführt. Doch er war schon einmal reaktiviert worden — im August 2024 unter der Trump-Regierung — nach einer früheren Aussetzung.

Der kommissarische ICE-Direktor Todd Lyons räumte in einem Schreiben vom 1. April ein, dass er den Einsatz „hochmoderner technologischer Werkzeuge“ zur Terrorismusbekämpfung und Fentanyl-Strafverfolgung genehmigt habe. Die Erklärung des DHS — "ICE has no relationship with Paragon Solutions, Inc. or with the company that acquired them", ICE unterhält keine Beziehung zu Paragon Solutions, Inc. oder zu dem Unternehmen, das es übernommen hat — ist sorgfältig formuliert: Sie adressiert den direkten Vertrag und lässt den Zugang über Dritte unerwähnt.

Das Muster der Geisterbetreiber und das Muster der Spyware-Beschaffung teilen eine strukturelle Eigenschaft: legitim wirkende Stellen, die als Vermittler für Überwachungsfähigkeiten dienen, die die Zielperson am Ende nicht erkennen, nicht blockieren kann und von denen ihr nie jemand erzählt hat. Der Geister-Telko leitet Ortungsabfragen durch das Signalisierungsnetz. Der Spyware-Anbieter leitet den Zugang über einen vertraglichen Vermittler. In beiden Fällen ist die Vermittlungsschicht die Angriffsfläche.

Was das Signalisierungsnetz sieht

Das globale mobile Signalisierungsnetz — die SS7- und Diameter-Infrastruktur, die jeden Mobilfunkbetreiber der Welt verbindet — verarbeitet diese Überwachungsabfragen als routinemäßigen Roaming-Verkehr. Wenn ein Telefon von einem Netz in ein anderes wechselt, sendet das besuchte Netz Signalisierungsnachrichten an das Heimatnetz, um den Teilnehmer zu authentifizieren und Anrufe weiterzuleiten. Das ist die legitime Funktion des Signalisierungssystems.

Geisterbetreiber schleusen Abfragen ein, die legitimen Roaming-Abfragen zum Verwechseln ähnlich sehen. Das Netz kann eine legitime Roaming-Authentifizierung nicht von einer als solche getarnten Überwachungsabfrage unterscheiden. Das Vertrauensmodell nimmt an, dass jede Stelle mit Signalisierungszugang ein legitimer Betreiber mit einem legitimen betrieblichen Anlass ist, die Teilnehmer eines anderen Netzes abzufragen.

Die Zahl der Stellen mit Signalisierungszugang ist groß und wächst. Jeder Mobilfunkbetreiber, jeder MVNO und jeder Signalisierungs-Hub, der an das IPX-Netz angeschlossen ist, kann potenziell Abfragen einschleusen. Die Angriffsfläche wächst mit jeder neuen Stelle, die Signalisierungszugang erhält. Der freiwillige Verhaltenskodex der GSMA hat dieses Wachstum nicht eingedämmt.

Die architektonische Antwort

Die Verteidigung gegen Überwachung auf der Signalisierungsebene ist dieselbe Verteidigung, die diese Publikation gegen Zensur auf der Betreiberebene, Einbrüche bei Pflichtplattformen und serverseitiges Tracking dokumentiert hat: außerhalb der Vermittlungsschicht operieren.

Mesh-Netze, die keine SIM-Karte brauchen. Peer-to-Peer-Overlays, die nicht über die Signalisierungsinfrastruktur des Netzbetreibers laufen. Satellitentransport, der das Mobilfunknetz vollständig umgeht. WLAN-gestützte Kommunikation, die nicht mit dem SS7-/Diameter-System interagiert.

Briar kommuniziert über Bluetooth und WLAN ohne Mobilfunkverbindung. Meshtastic baut Mesh-Netze auf LoRa-Funk. Reticulum bietet kryptografische Vernetzung unabhängig von der Betreiberebene. Das Peer-to-Peer-Overlay von URnetwork abstrahiert den Transport vom Netzbetreiber.

Keines dieser Werkzeuge braucht eine SIM-Karte. Keines ist für das Signalisierungsnetz sichtbar. Keines lässt sich über SS7 oder SIMjacker verfolgen, weil sie nicht die Infrastruktur durchqueren, die diese Systeme beobachten.

Die 15.700 vom Citizen Lab dokumentierten Ortungsversuche liefen über die Betreiberebene. Die Transporte, die außerhalb davon arbeiten, waren für jeden einzelnen von ihnen unsichtbar.

Das Vertrauensmodell ist die Schwachstelle

Der Schluss ist struktureller, nicht technischer Natur.

Dass SS7 keine Authentifizierung kennt, ist eine Entwurfsentscheidung der 1970er-Jahre, die fortbesteht, weil die Kosten eines Ersatzes den Anreiz jedes einzelnen Betreibers zum Handeln übersteigen. Die nicht durchgesetzten Sicherheitskontrollen von Diameter sind ein Entwurf der 2000er-Jahre, den die Betreiber nicht umsetzten, weil das Vertrauensmodell bereits stand. Der freiwillige Verhaltenskodex der GSMA ist eine Antwort der 2020er-Jahre, die die Betreiber nicht unterzeichneten, weil die Folgen einer Nichtbefolgung gleich null sind.

Die Geisterbetreiber nutzen ein Vertrauensmodell aus, das seit über einem Jahrzehnt als verwundbar dokumentiert ist, das seit 2018 Gegenstand mehrerer Citizen-Lab-Berichte war, auf das die eigenen Arbeitsgruppen der GSMA hingewiesen haben und das strukturell unverändert bleibt. Die Schwachstelle besteht fort, nicht weil sie unbekannt wäre, sondern weil ihre Behebung von jedem Betreiber im globalen Netz verlangen würde, Authentifizierung auf der Signalisierungsebene durchzusetzen — ein Koordinationsproblem, das kein einzelner Akteur lösen kann und zu dessen Anordnung keine Aufsichtsbehörde die Befugnis hat.

Fünfzehntausendsiebenhundert Ortungsversuche. Keine Benachrichtigung auf dem Telefon irgendeiner Zielperson. Keine Spur in irgendeinem Nachrichtenprotokoll. Keine Verteidigung, die irgendeiner Zielperson durch irgendeine Handlung offenstünde. Die Signalisierungsinfrastruktur, die jedes Mobilfunkgespräch der Welt verbindet, ist die Überwachungsinfrastruktur. Das Vertrauensmodell, das das Netz funktionieren lässt, ist das Vertrauensmodell, das die Überwachung funktionieren lässt.

Die Architektur, die außerhalb dieses Vertrauensmodells arbeitet, ist die Architektur, die nicht in der Angriffsfläche liegt.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay läuft nicht über die SS7- oder Diameter-Signalisierungsinfrastruktur. Es braucht keine SIM-Karte. Es ist für das Signalisierungsnetz, das die Geisterbetreiber ausnutzen, nicht sichtbar.

https://ur.io

Die Zahl ist einfach. Der Maßstab nicht.

Am 25. April 2026 nutzte die Cyberkriminellengruppe ShinyHunters eine Schwachstelle in Instructures Free-For-Teacher-Stufe von Canvas aus, der Lernplattform, die Universitäten, Schulbezirke und Bildungsministerien in rund 100 Ländern einsetzen. Der Einbruch erbrachte 3,65 Terabyte Daten: Namen, E-Mail-Adressen, Studierendenkennnummern und private Nachrichten zwischen Lehrenden und Studierenden aus 8.809 Einrichtungen.

Instructures erste öffentliche Mitteilung kam am 1. Mai. Bis zum 7. Mai hatte ShinyHunters eskaliert: Die Gruppe beschmierte rund 330 institutionelle Canvas-Anmeldeportale mit Lösegeldforderungen und drang damit ein zweites Mal in das System ein. Der Angriff fiel in die Prüfungswoche. Die University of Pennsylvania, die Auburn University und Hunderte weitere Einrichtungen konnten keine Prüfungen abnehmen. CNN beschrieb Studierende als mitten im Semester „gestrandet“.

Am 11. Mai — einen Tag vor der Frist von ShinyHunters zur Veröffentlichung der gestohlenen Daten — einigte sich Instructure auf eine Lösegeldvereinbarung. Die Hacker gaben die Daten Berichten zufolge zurück und lieferten "shred logs" als digitale Bestätigung ihrer Vernichtung. Die Höhe des Lösegelds wurde nicht offengelegt.

Zweihundertfünfundsiebzig Millionen entspricht ungefähr der Bevölkerung Indonesiens. Es sind mehr Menschen, als 2025 in den USA eine Steuererklärung eingereicht haben. Es ist der größte Bildungsdatenverlust der überlieferten Geschichte, und zwar um eine Größenordnung.

Die Plattform, die man nicht verlassen kann

Canvas ist kein Verbraucherprodukt. Studierende wählen es nicht. Die Einrichtungen wählen es, und die Studierenden müssen es nutzen — um Aufgaben einzureichen, Noten zu erhalten, mit Lehrenden zu kommunizieren, auf Kursmaterialien zuzugreifen, Prüfungen abzulegen. Es gibt keinen Opt-out-Mechanismus. Es gibt keinen alternativen Weg durch das Studium.

Das ist die strukturelle Eigenschaft, die Einbrüche bei Pflichtplattformen von Datenlecks bei Verbraucherprodukten unterscheidet. Als Equifax 2017 kompromittiert wurde (147 Millionen Datensätze), hätten Verbraucher zwar nicht darauf verzichten können, überhaupt Kredit zu haben — aber sie konnten theoretisch ihre Akten sperren lassen, die Auskunftei wechseln oder klagen. Beim Canvas-Einbruch hatten die 275 Millionen Betroffenen keine vorherige Wahl, keine gleichzeitige Alternative und keinen Ausgang. Der Einbruch geschah ihnen über ein System, dessen Nutzung ihnen die Einrichtung vorschrieb, die ihnen dienen soll.

Die Pflichtplattform hat eine strukturelle Eigenschaft, die die normale Marktdynamik umkehrt. Wird ein Verbraucherprodukt kompromittiert, können Nutzer gehen, und das Unternehmen trägt Reputations- und Umsatzfolgen. Wird eine Pflichtplattform kompromittiert, können die Nutzer nicht gehen, und das Unternehmen erfährt keine nutzergetriebene Marktdisziplin. Die einzigen Folgen kommen von Aufsichtsbehörden, aus Gerichtsverfahren oder aus Vertragsstrafen gegenüber den Einrichtungen — und keine davon wirkt im Tempo eines Datenlecks.

ShinyHunters verstand diesen Hebel. Als die anfängliche Erpressung von Instructure scheiterte, schwenkte die Gruppe auf Druck Hochschule für Hochschule um: Sie beschmierte einzelne Universitäts-Anmeldeportale und drohte dann jeder Einrichtung getrennt. Die Nutzer der Pflichtplattform — Studierende mitten in den Abschlussprüfungen — wurden zum Druckmittel.

Shred Logs

Instructure zahlte das Lösegeld und erhielt "shred logs" — Aufzeichnungen, die belegen sollen, dass ShinyHunters die gestohlenen Daten aus den eigenen Systemen gelöscht hat.

Der Konsens der Cybersicherheitsbranche zu Shred Logs ist eindeutig. Digitale Daten können zu jedem Zeitpunkt zwischen Exfiltration und behaupteter Löschung auf beliebig viele Systeme kopiert werden. Ein Shred Log belegt, dass Daten an einem bestimmten Speicherort gelöscht wurden. Es kann nicht belegen, dass die Daten nicht an einen anderen Ort kopiert, an Dritte weitergegeben, vor der Lösegeldzahlung verkauft oder auf einem System zurückbehalten wurden, das das Shred Log nicht abdeckt. Um die Löschung zu verifizieren, bräuchte man Zugang zu jedem System, das der Angreifer kontrolliert — und den wird der Angreifer nicht gewähren.

Die Position des FBI bleibt, dass Organisationen keine Lösegelder zahlen sollten. Zahlung schafft Anreize für künftige Angriffe, finanziert kriminelle Operationen und gibt keine Garantie für die Vernichtung der Daten. Instructures Entscheidung zu zahlen — Berichten zufolge einen Tag vor der Veröffentlichungsfrist — fiel unter dem Druck von 275 Millionen Datensätzen, der Störung der Prüfungswoche an Tausenden Einrichtungen und der eskalierenden Defacement-Kampagne Hochschule für Hochschule.

Der Präzedenzfall ist die vorausschauende Sorge. Wenn eine Lösegeldzahlung für Instructure und seine institutionellen Kunden zu einem zufriedenstellenden Ergebnis führt, wird jede Pflichtplattform in Bildung, Gesundheitswesen und Verwaltung zum Kandidaten für dasselbe Drehbuch: in die Plattform einbrechen, die die Nutzer nicht verlassen können, den Betreiber unter Zeitdruck erpressen und Zahlung gegen ein Versprechen kassieren, das sich nicht überprüfen lässt.

Die Überschrift von Inside Higher Ed brachte die Dynamik präzise auf den Punkt: "Pay or Leak." — Zahlen oder Leak.

Die Free-For-Teacher-Tür

Die Schwachstelle, die den Einbruch ermöglichte, saß in der Free-For-Teacher-Stufe von Canvas — einem kostenlosen Kontotyp, der einzelnen Lehrkräften erlauben soll, Canvas ohne institutionelle Beschaffung auszuprobieren. Die Free-For-Teacher-Stufe existiert in derselben Infrastruktur wie die institutionelle Stufe. Die Schwachstelle erlaubte ShinyHunters, von der kostenlosen Stufe in die breitere Canvas-Infrastruktur vorzudringen und auf Daten aus allen 8.809 institutionellen Installationen zuzugreifen.

Die architektonische Lehre lautet, dass ein kostenloser Einstiegspunkt in einem Pflichtplattform-Ökosystem eine Angriffsfläche schafft, bei der kein Verhältnis zwischen dem Zugangspunkt und den dahinterliegenden Daten besteht. Die Free-For-Teacher-Stufe dient einzelnen Lehrkräften. Die Daten dahinter dienen 275 Millionen Studierenden an Einrichtungen, die zusammen Millionen an Lizenzgebühren für Sicherheitszusagen zahlen, von denen sie glaubten, die Plattform löse sie ein.

Der zweite Einbruch am 7. Mai — nach Instructures Mitteilung vom 1. Mai — zeigte, dass die anfängliche Eindämmung unvollständig war. ShinyHunters griff erneut auf das System zu, beschmierte Anmeldeportale und schleuste Lösegeldnachrichten direkt in die Benutzeroberfläche ein. Studierende, die sich für Abschlussprüfungen anmelden wollten, sahen die Forderungen der Angreifer statt ihrer Kursinhalte.

Das Muster

Canvas ist nicht die einzige Pflichtplattform, in die in diesem Monat eingebrochen wurde. Das Muster erstreckt sich über jede institutionelle Ebene, auf der Nutzer keine Wahl haben.

Arbeitgeber. Eine am 21. Mai veröffentlichte Studie der Data Culture Group der Northeastern University — geleitet von Stephanie Nguyen, ehemalige Chief Technologist der Federal Trade Commission — testete neun „Bossware“-Plattformen zur Beschäftigtenüberwachung. Alle neun teilten identifizierende Beschäftigtendaten mit Dritten. Alle neun übermittelten die Online-Aktivität der Beschäftigten, darunter IP-Adressen, Geräteinformationen und besuchte Webseiten, an mehr als 145 externe Domains. Zu den Empfängern zählen Google, Facebook, LinkedIn, Yandex und AppLovin, eine Mobile-Advertising-Plattform mit einer Marktkapitalisierung von über 100 Milliarden US-Dollar.

Arbeitgeber schreiben ihren Beschäftigten die Installation dieser Plattformen vor. Beschäftigte haben keinen belastbaren Einwilligungsmechanismus — Verweigerung bedeutet Jobverlust. Die Überwachungsdaten fließen vom Arbeitgebergebot über das Beschäftigtengerät ins Werbenetzwerk, wobei der Beschäftigte auf jeder Stufe das Produkt ist. Die EU hat Emotionserkennung im Beschäftigungskontext mit Wirkung zum 2. Februar 2025 verboten. Die Vereinigten Staaten haben keine vergleichbare Beschränkung.

Regierung. Das Department of Government Efficiency kopierte die NUMIDENT-Datenbank der Sozialversicherungsbehörde — die jeden je gestellten Antrag auf eine Sozialversicherungsnummer enthält und mehr als 300 Millionen Amerikaner abdeckt — auf einen Cloud-Server, ohne die vorgeschriebenen Sicherheitsprotokolle einzuhalten. Ein Whistleblower, der frühere Chief Data Officer der SSA Charles Borges, machte geltend, die Daten seien auf einer nicht autorisierten Cloudflare-Instanz abgelegt worden. Die interne Risikoeinschätzung der SSA bezifferte die Wahrscheinlichkeit eines Datenlecks mit "catastrophic adverse effect" — katastrophaler nachteiliger Auswirkung — infolge der Zugriffspraxis auf 35 bis 65 Prozent.

Der Supreme Court entschied mit 6:3, den Zugriff zuzulassen. Das Justizministerium räumte "inaccuracies and misrepresentations" — Ungenauigkeiten und Falschdarstellungen — in Gerichtsschriftsätzen über den Umfang des DOGE-Datenzugriffs ein. Mindestens zwölf Bundesklagen machen Verstöße gegen den Privacy Act von 1974 geltend.

Amerikaner können sich der Sozialversicherung nicht entziehen. Die NUMIDENT-Datenbank existiert, weil die Regierung die Teilnahme vorschreibt. Wenn die Datenbank des Pflichtsystems mit einer Wahrscheinlichkeit von 35 bis 65 Prozent für ein katastrophales Datenleck auf einen nicht autorisierten Server kopiert wird, hatten die 300 Millionen Menschen, deren Daten auf dem Spiel stehen, keine vorherige Wahl und haben kein Rechtsmittel.

KI-Suche. Perplexity AI, ein als datenschutzfreundlich vermarktetes Suchwerkzeug, hat mutmaßlich Meta Pixel, Google Ads, Google DoubleClick und Metas serverseitige Conversions API direkt in seinen Code eingebettet. Eine am 31. März im Northern District of California eingereichte, 135 Seiten starke Sammelklage macht geltend, dass Nutzergespräche — darunter Eingaben, Antworten, E-Mail-Adressen, IP-Adressen und Geräteinformationen — zur Werbeausrichtung an Meta und Google übermittelt wurden. Das Tracking soll selbst dann stattgefunden haben, wenn Nutzer Perplexitys "Incognito mode" aktiviert hatten, den die Klage eine „Farce“ nennt.

Die Meta Conversions API arbeitet von Server zu Server. Kein browserbasiertes Datenschutzwerkzeug — kein Werbeblocker, kein Tracking-Schutz, kein VPN — kann die Übermittlung erkennen oder verhindern. Nutzer, die jede verfügbare Datenschutzvorkehrung getroffen hatten, wurden mutmaßlich über einen Mechanismus verfolgt, der für ihre Schutzwerkzeuge unsichtbar war.

Entwicklerwerkzeuge. Die Lieferkettenkampagne TrapDoor, erstmals am 22. Mai beobachtet, platzierte mit Unicode-Zeichen der Breite null versteckte Anweisungen in .cursorrules- und CLAUDE.md-Konfigurationsdateien. Diese Anweisungen bringen KI-Programmierassistenten — Werkzeuge wie Cursor und Claude Code — dazu, etwas auszuführen, das wie ein „Sicherheitsscan“ aussieht, tatsächlich aber Zugangsdaten, SSH-Schlüssel, Kryptowallet-Daten und API-Tokens abgreift. Die Kampagne zielte über 34 bösartige Pakete auf npm, PyPI und Crates.io auf Entwickler in den Kryptowährungs-, DeFi- und KI-Communities.

Davon getrennt führte eine vergiftete Version der Nx-Console-Erweiterung für VS Code — am 18. Mai von einem GitHub-Mitarbeiter installiert — zum Abfluss von rund 3.800 internen privaten Repositorys von GitHub, darunter Copilot-Interna, CodeQL-Werkzeuge und Sicherheitsinfrastruktur. TeamPCP und LAPSUS$ boten die gestohlenen Daten gemeinsam für 95.000 US-Dollar zum Verkauf an. Der Angriff ging von Zugangsdaten aus, die sieben Tage zuvor über die TanStack-npm-Lieferkettenkompromittierung gestohlen worden waren — ein rekursiver Einbruch von der Lieferkette zur Plattform, bei dem jede Kompromittierung die nächste ermöglichte.

Das strukturelle Argument

Die gemeinsame Eigenschaft dieser Einbrüche ist weder eine gemeinsame Schwachstelle noch ein gemeinsamer Angreifer noch ein gemeinsamer Technologie-Stack. Es ist eine gemeinsame Architektur: die Pflichtplattform.

Wenn eine Plattform verpflichtend ist — vorgeschrieben von einer Schule, einem Arbeitgeber, einer Regierung oder durch die praktische Notwendigkeit beruflicher Werkzeuge —, kann der Nutzer nicht gehen. Dass der Nutzer auf der Plattform bleibt, ist kein Signal von Vertrauen oder Zufriedenheit; es ist eine Bedingung der Teilnahme an der Institution, der die Plattform dient. Der Einbruch erzeugt nicht die Marktfolge, die freiwillige Plattformen diszipliniert.

Das Ergebnis ist eine Asymmetrie. Der Hebel des Angreifers ist proportional zur Stärke der Pflicht. ShinyHunters verstand, dass die Prüfungswoche an 8.809 Einrichtungen einen unwiderstehlichen Zeitdruck erzeugt. DOGE verstand, dass es zum Sozialversicherungssystem keine konkurrierende Alternative gibt. Bossware-Anbieter verstehen, dass Beschäftigte die Installation nicht verweigern können. Perplexity verstand, dass Nutzer, die in einem KI-Werkzeug Privatsphäre suchen, kein serverseitiges Tracking erwarten würden, das ihr Browser nicht sieht.

In jedem dieser Fälle ist die Unfähigkeit der Nutzer, auszusteigen, die Voraussetzung für die Wirkung des Einbruchs.

Die Architektur, die keine Erlaubnis braucht

Die nutzerseitige Antwort auf das Risiko von Pflichtplattformen ist dieselbe Antwort, die diese Publikation in jedem Bereich der Internetfreiheit dokumentiert: Architekturen, in denen der Nutzer die Schlüssel hält, der Transport die Vermittlungsschicht nicht durchquert und der Einbruch bei der Plattform die Daten des Nutzers nicht kompromittiert, weil die Plattform sie nie hatte.

Ende-zu-Ende-verschlüsselte Kommunikation, bei der der Server nur Chiffretext sieht. Selbst gehostete Lernplattformen, bei denen die Einrichtung ihre eigenen Daten kontrolliert. Föderierte Identität mit selektiver Offenlegung, bei der der Inhaber des Nachweises entscheidet, was er wem preisgibt. Lokale KI-Inferenz, bei der die Anfrage das Gerät des Nutzers nie verlässt. Hardware-Authentifizierungstoken, die sich nicht über Device-Code-Flows abfischen lassen. Kryptografische Agilität für die Post-Quanten-Ära, bei der sich der Protokoll-Stack der Bedrohung voraus entwickelt.

Keines dieser Werkzeuge braucht die Erlaubnis einer Institution, um eingesetzt zu werden. Keines hängt von den Sicherheitspraktiken einer Pflichtplattform ab. Keines erzeugt einen Datenbestand, den ein Angreifer in einem einzigen Einbruch abziehen kann.

Der Canvas-Einbruch legte 275 Millionen Datensätze offen, weil Canvas 275 Millionen Datensätze in einem zentralen System hielt, das über eine einzige Schwachstelle erreichbar war. Die Architektur, die die Kontrolle auf die Endpunkte verteilt — bei der der Studierende den Schlüssel hält, die Hochschule das Minimum hält und die Plattform nie die 3,65 Terabyte anhäuft, die ShinyHunters vorfand — beseitigt das Risiko nicht. Aber sie beseitigt die strukturelle Eigenschaft, die den Canvas-Einbruch in diesem Ausmaß möglich machte: eine Tür, 275 Millionen Datensätze dahinter.

Zweihundertfünfundsiebzig Millionen hatten keine Wahl

Die Pflichtplattform ist die Architektur des Zwangs. Der Studierende nutzt Canvas, weil die Universität es verlangt. Die Beschäftigte installiert die Überwachungs-App, weil der Arbeitgeber es verlangt. Der Bürger hat eine Sozialversicherungsnummer, weil die Regierung es verlangt. Der Entwickler nutzt die IDE-Erweiterung, weil der Arbeitsablauf es verlangt.

Auf jeder Ebene erzeugt die Pflicht die Zentralisierung, die Zentralisierung erzeugt das Ziel, und der Einbruch erzeugt die Folge, die kein einzelner Nutzer verhindern, mindern oder verlassen kann.

Zweihundertfünfundsiebzig Millionen Studierende hatten keine Wahl darüber, ob ihre Daten bei Canvas lagen. Sie hatten keine Wahl darüber, ob die Free-For-Teacher-Schwachstelle existierte. Sie hatten keine Wahl darüber, ob Instructure das Lösegeld zahlte. Sie haben keine Möglichkeit zu überprüfen, ob die Shred Logs irgendetwas bedeuten.

Die Architektur, die ihnen eine Wahl geben würde, braucht die Erlaubnis ihrer Einrichtung nicht. Sie braucht die Transportschicht, die nicht über die Pflichtplattform läuft. Sie braucht den Schlüssel, den der Studierende hält. Sie braucht das Protokoll, das nicht 3,65 Terabyte in einem einzigen Datenspeicher hinter einer einzigen Schwachstelle anhäuft.

Die Pflichtplattform ist das Problem. Die verteilte Architektur ist die Antwort. Die 275 Millionen haben sich das Problem nicht ausgesucht. Die Architektur lässt sie die Antwort wählen.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay verteilt die Kontrolle auf die Endpunkte, statt sie auf der Plattformebene anzuhäufen. Die Nutzer halten ihre eigenen Schlüssel.

https://ur.io

Das Internet im Iran flackerte heute wieder auf.

NetBlocks bestätigte eine teilweise Wiederherstellung nach 2.093 Stunden nahezu vollständiger Abschottung von internationalen Netzen — 88 Tage, die längste landesweite Internetabschaltung der modernen Geschichte. Die Konnektivität wurde mit weniger als 10 Prozent des Niveaus vor der Abschaltung gemessen.

Präsident Masoud Peseschkian wies das Kommunikationsministerium am 25. Mai an, den Internetzugang auf den Stand vor Januar zurückzuführen. Eine neu eingerichtete Sonderarbeitsgruppe für die Regulierung und Steuerung des Cyberspace unter Vorsitz des Ersten Vizepräsidenten Mohammad Reza Aref stimmte mit 9 zu 2 für die Wiederherstellung.

Die beiden Gegenstimmen kamen von Peyman Jebelli, dem Chef des iranischen Staatsrundfunks, und von Mohammad-Amin Aghamiri, dem Sekretär des Obersten Rats für den Cyberspace — einem der Architekten des Konzepts „Kaserneninternet“.

Am 26. Mai — heute — setzte der Verwaltungsgerichtshof die Vollziehung des Dokuments aus, mit dem das Cyberspace-Gremium eingerichtet wurde, und nahm Klagen auf dessen Nichtigerklärung an. Die Rechtsgrundlage der Wiederherstellung wurde am selben Tag angefochten, an dem die Wiederherstellung bestätigt wurde.

Das Flackern ist echt. Die Architektur hinter dem Flackern ist die Nachricht.

Was 88 Tage verbargen

Die Abschaltung begann am 8. Januar während Massenprotesten, ausgelöst durch den Verfall der Währung und die Inflation. Die Verdunkelung fiel mit der tödlichsten Phase des Vorgehens des Regimes zusammen. Der UN-Sonderberichterstatter schätzte mindestens 5.000 Getötete. Iran International, Time und The Guardian berichteten unter Berufung auf örtliche Gesundheitsbeamte von Schätzungen zwischen 30.000 und 36.500 getöteten Demonstrierenden am 8. und 9. Januar im Schutz der Verdunkelung.

Human Rights Watch dokumentierte, dass die Abschaltung den Zugang zu lebensrettenden Informationen einschränkte — Angriffsorte, medizinische Versorgung, Nahrung und Unterkunft — und zwar während laufender Militäroperationen. Sie trennte die Verbindung zu Angehörigen inmitten eines bewaffneten Konflikts. Sie verhinderte die Dokumentation von Beweisen für Tötungen und Misshandlungen. Sie verringerte die internationale Aufmerksamkeit für staatliche Gewalt.

Die wirtschaftlichen Kosten beliefen sich nach eigener Schätzung des iranischen Kommunikationsministers auf 35,7 Millionen Dollar pro Tag. NetBlocks veranschlagte sie auf bis zu 37 Millionen Dollar pro Tag an direkten Kosten und 70 bis 80 Millionen Dollar pro Tag einschließlich indirekter Verluste. Die Online-Umsätze brachen um 80 Prozent ein. Die Teheraner Börse verlor in vier Tagen 450.000 Punkte. Zwei Millionen Menschen verloren direkt oder indirekt ihre Arbeit. DigiKala, Irans größtes E-Commerce-Unternehmen, entließ 200 Beschäftigte. Kamva, eine weitere E-Commerce-Plattform, meldete Insolvenz an. Ihr Gründer schrieb: „Nach zwei Kriegen und Monaten der Internetabschaltung konnten wir die Krise nicht länger umgehen.“

Jobbörsen verzeichneten allein am 25. April 318.000 eingereichte Lebensläufe — 50 Prozent über dem bisherigen Tagesrekord. Auswanderungsagenturen waren überlastet.

Die Verdunkelung war keine Verteidigungsmaßnahme. Sie war Infrastruktur zur Verschleierung.

Der Kill Switch

Am 23. Mai sagte Mohammad Sarafraz — Mitglied des Obersten Rats für den Cyberspace und früherer Chef des Staatsrundfunks IRIB — der Zeitung Faraz, chinesische Hardware sei bereits im Land. Der Zweck: die Grundlage für eine dauerhafte Drosselung des Internets zu legen, mit streng überwachtem Zugang nur für ausgewählte Nutzer unter 90 Millionen Menschen.

Sarafraz' Vergleich: „Es ist, als lebte man in einem Land mit reichlich Wasser und wäre doch gezwungen, für eine Flasche eine riesige Summe zu zahlen, nur um den Durst zu stillen.“

Das Kill-Switch-Rechenzentrum liegt unterirdisch unter dem Verwaltungsgebäude von Fanap in der Pardis IT Town, rund 20 Kilometer nordöstlich von Teheran. Ausgelegt darauf, mit Raketen schwer treffbar zu sein. Kapazität: rund 400 Server-Racks. Kosten: geschätzt 700 Millionen bis 1 Milliarde Dollar. Ausrüstung: geliefert von Huawei in 24 Containern, verschifft nach dem Zwölftagekrieg. Huaweis Name taucht in den zugehörigen Unterlagen nicht auf. Betrieben wird die Anlage von ArvanCloud über die Firma Ayandeh Afzay-e Karaneh. Fanaps Vorstandschef Shahab Javanmardi wurde im August 2025 vom US-Finanzministerium wegen Verbindungen zum Geheimdienstministerium und zu den Revolutionsgarden sanktioniert.

Präsident Peseschkian besuchte die Baustelle im März 2025.

Das System nutzt Deep Packet Inspection auf grundlegenden Netzwerkebenen, um verschlüsselten internationalen Verkehr zu erkennen und zu blockieren. Der technische Zweck ist die dauerhafte Trennung des iranischen Inlandsnetzes vom globalen Internet — die Infrastruktur für ein Zugangsmodell, das nur noch nach Whitelist funktioniert.

Die drei Stufen

Die Architektur, die aus der Verdunkelung hervorgegangen ist, ist keine Abschaltung. Sie ist ein Klassensystem.

Stufe 1 — „Weißes Internet“. Voller, ungefilterter Zugang für hohe Amtsträger und sicherheitsüberprüfte Eliten. Rund 16.000 Personen besitzen „weiße SIM-Karten“, die es mindestens seit 2013 gibt. Ministerien, Banken und kritische Infrastruktur. Rund 2 Millionen in dieser Stufe. Keine Störung während Abschaltungen.

Stufe 2 — „Internet Pro“. Kosten: 40.000 Toman pro Gigabyte, rund 0,20 Euro. Verfügbar für registrierte Unternehmen, Journalistinnen und Journalisten, Anwältinnen und Anwälte, Wissenschaftlerinnen und Wissenschaftler, medizinisches Fachpersonal. Zugang zu rund 10 internationalen Plattformen. Telegram und WhatsApp im Allgemeinen stabil; Instagram, YouTube und X unzuverlässig. Rund 5 Millionen in dieser Stufe.

Stufe 3 — Standard. Die breite Öffentlichkeit. Kosten: 500.000 Toman pro Gigabyte, um den VPN-Zugang aufrechtzuerhalten — rund 75 Euro pro Monat für 1 Gigabyte täglich. Mehr als das Zwölffache der Kosten von Internet Pro. Beschränkt auf einfache reine Textdienste. Rund 45 Millionen Iranerinnen und Iraner in dieser Stufe.

Regierungssprecherin Fatemeh Mohajerani erklärte, der Zugang werde „nie zu seiner früheren Form zurückkehren“.

Der Rollout von Stufe 1 ist für Behörden am 1. Juni geplant. Stufe 3 erreicht die breite Öffentlichkeit bis Ende September. Das Flackern von heute ist keine Rückkehr zum Internet von vor Januar. Es ist der erste sichtbare Betrieb des Stufensystems.

Die russische Schicht

Die Filterinfrastruktur läuft auf russischer Deep-Packet-Inspection-Technik. STC Protei mit Sitz in St. Petersburg und Niederlassungen in Estland und Jordanien liefert die DPI-Plattform. Umsatz rund 43 Millionen Dollar. Reichweite der Kundschaft: weltweit über 300 Millionen Teilnehmer in Zentralasien, dem Nahen Osten, Afrika und Südasien.

2024 ging Russlands staatlicher Konzern Rostelecom ein Gemeinschaftsunternehmen mit Protei ein, mit der Erwartung einer vollständigen Übernahme — womit Protei faktisch zu einem staatlich kontrollierten Überwachungstechnik-Unternehmen wird.

Proteis Plattform bietet Identifizierung und selektives Blockieren einzelner Dienste und Protokolle, URL-Blacklisting und -Whitelisting, DNS-Filterung und Verkehrsprüfung auf Anwendungsebene — Blockieren nicht nach IP, sondern nach Verkehrstyp. Das Citizen Lab stellte 2023 fest, dass Protei dem iranischen Telekommunikationsanbieter Ariantel zentrale Netzkomponenten lieferte, darunter Systeme zur Nutzerauthentifizierung und DPI-Infrastruktur.

Die russisch-iranische Partnerschaft ist vertraglich formalisiert. Die Aktualisierung von 2025 begründete eine „umfassende strategische Partnerschaft“ samt Bestimmungen zur „Stärkung der Internet-Souveränität durch die Regulierung internationaler Unternehmen“ und zum „Erfahrungsaustausch bei der Verwaltung nationaler Segmente des Internets“.

Russische DPI half iranischen Sicherheitskräften, Koordinationszentren von Protestierenden zu identifizieren, Kommunikationsmuster zu verfolgen und gezielte Festnahmen vor statt nach Protesten durchzuführen.

Die Mauer im Karton

Das chinesische Exportmodell ist dokumentiert.

Im September 2025 legte ein 500-Gigabyte-Leak bei Geedge Networks — einem chinesischen Netzwerksicherheitsunternehmen — mehr als 100.000 Dokumente mit Bauplänen für DPI- und Filtertechnik offen. Das Leak bestätigte die Exportziele: Äthiopien, Myanmar, Kasachstan, Pakistan. Stellenausschreibungen für Ingenieure im Ausland nannten ausdrücklich Pakistan, Bahrain, Indien, Malaysia und Algerien. Chinesische Unternehmen liefern KI-Überwachungstechnik an mindestens 63 Länder. Huawei allein beliefert mehr als 50.

Am 8. April wies eine geleakte Mitteilung von Shaanxi Telecom alle IP-Adressen an, Verbindungen zu jedem externen Netz einzustellen — VPN-Dienste und Proxy-Routing gestrichen. Bei Verstößen: sofortige Abschaltung des Dienstes, dauerhafter Verlust der IP-Zuteilung, keine Rückerstattung. China beseitigt die technische Möglichkeit internationaler Verbindungen auf Infrastrukturebene.

Die "Great Firewall in a Box" ist keine Metapher. Sie ist ein Produkt. Die Empfängerländer sind identifiziert. Die Baupläne sind dokumentiert. Die Technik ist dieselbe Architektur, die der Iran in der Pardis IT Town ausrollt.

Die Konvergenz

Das Whitelist-Internet wird in mehreren Ländern gleichzeitig gebaut.

Russland. Whitelisting in rund 70 Regionen ausgerollt. VPN-Aufschläge — 150 Rubel pro Gigabyte internationalen Verkehrs oberhalb von 15 Gigabyte im Monat — wurden bis nach den Wahlen im September verschoben, weil die Anbieter ihre Abrechnungssysteme nicht konfigurieren konnten und die politische Empfindlichkeit zu groß war. Stattdessen ging das Regime zur Durchsetzung auf Anwendungsebene über: Große russische Plattformen, darunter Gosuslugi, Sberbank, Ozon, Wildberries und Yandex, verweigern Nutzern mit aktivem VPN inzwischen den Zugang, nachdem das Ministerium für digitale Entwicklung mit dem Verlust des Whitelist-Status gedroht hatte. Roskomnadzor strebt bis 2030 eine VPN-Blockierwirksamkeit von 92 Prozent an, mit jährlich 20 Milliarden Rubel Mittelzuweisung. Russland verbot das Projekt „VPN-Ampel“ — eine Seite, die verfolgt, welche VPNs noch funktionieren — vom 6. bis 9. April. Zensur von Informationen darüber, wie sich Zensur umgehen lässt.

Türkei. Das Parlament verabschiedete am 22. April ein Gesetz zur Ausweiskontrolle in sozialen Medien, das für jede Kontoeröffnung in sozialen Medien eine an den staatlichen Ausweis gekoppelte Verifizierung über das Portal e-Devlet verlangt. Soziale Medien für Kinder unter 15 Jahren vollständig verboten. Ein separates Gesetz zur VPN-Lizenzierung wird in Kürze erwartet. Siebenundzwanzig VPN-Dienste bereits blockiert. DPI wird eingesetzt, um Verkehr von OpenVPN, WireGuard und IPSec zu erkennen und zu verwerfen.

Myanmar. Die Militärjunta hat chinesisch gestützte Überwachungsinfrastruktur in Betrieb genommen. Das am 1. Januar 2025 in Kraft getretene Cybersicherheitsgesetz stellt das Anbieten von VPN ohne Genehmigung unter Strafe von einem bis sechs Monaten Haft. Das „Person Scrutinization and Monitoring System“ setzt KI-Gesichtserkennung und biometrische Datenbanken ein. Die Polizei hält Bürgerinnen und Bürger auf der Straße an und durchsucht sie nach Geräten mit VPN. Es gibt Berichte über Bestechung und über korrupte Polizisten, die bei VPN-Nutzung mit Haft drohen.

Das Muster in allen drei Ländern plus Iran: standardmäßig alles sperren, nur zulassen, was genehmigt ist, vor der Zugangsgewährung die Identität prüfen und die Werkzeuge unter Strafe stellen, mit denen Nutzer die Architektur umgehen.

Die demokratischen Parallelen

Das Whitelist-Internet nimmt nicht nur autoritäre Form an.

Utah. Senate Bill 73, unterzeichnet am 19. März, erklärt, wer von Utah aus auf Websites zugreife, tue dies "regardless of whether they use a VPN, proxy server, or other means to disguise their geographic location" — unabhängig davon, ob er ein VPN, einen Proxyserver oder andere Mittel zur Verschleierung seines geografischen Standorts nutzt. Kommerzielle Anbieter, die Erwachseneninhalte hosten, dürfen die VPN-Nutzung weder erleichtern noch überhaupt Anleitungen zur Nutzung eines VPN bereitstellen. Die EFF nennt das eine „Haftungsfalle“ — sie zwinge Websites dazu, entweder VPN-IPs weltweit zu sperren oder eine allgemeine Altersverifikation vorzuschreiben. Die Durchsetzung wurde nach einer Klage von Aylo, dem Mutterkonzern von Pornhub, bis zum 3. September ausgesetzt. Die britische Kinderbeauftragte hat VPNs ein „Schlupfloch, das geschlossen werden muss“ genannt. Frankreichs Ministerin für KI und Digitales sagte, VPNs seien „das nächste Thema auf meiner Liste“.

Kanada. Bill C-22, der Lawful Access Act, würde es der Regierung erlauben, Unternehmen im Geheimen anzuweisen, Verschlüsselung zu schwächen oder Hintertüren einzubauen. Signals Vizepräsidentin für Strategie erklärte, das Unternehmen „würde sich eher aus dem Land zurückziehen, als gezwungen zu werden, bei den Datenschutzversprechen Abstriche zu machen, die wir unseren Nutzern gegeben haben“. Windscribe, ein VPN-Anbieter aus Toronto, kündigte an, seinen Hauptsitz zu verlegen. NordVPN warnte, man werde erwägen, es ihm gleichzutun.

Vereinigtes Königreich. Die Bestimmungen des Online Safety Act würden, sofern die Regulierungsbehörde Ofcom sie umsetzt, das Scannen verschlüsselter Nachrichten verlangen. Signal-Präsidentin Meredith Whittaker erklärte, das Unternehmen werde gehen, bevor es bei der Verschlüsselung Abstriche mache. Schwedens Parlament berät ein Gesetz, das Messaging-Apps verpflichten würde, Nutzerkommunikation zu speichern und Zugang dazu zu gewähren.

Der Mechanismus unterscheidet sich. Die Wirkung konvergiert. Ob durch Kriminalisierung von VPNs, Altersverifikationspflichten, Gesetze zu Verschlüsselungs-Hintertüren oder Zugangsanforderungen mit Identitätsprüfung — das gesetzgeberische Ergebnis über demokratische und autoritäre Rechtsräume hinweg ist strukturell ähnlich: Die Vermittlungsschicht zwischen Nutzer und Ziel ist nicht mehr neutral.

Die institutionelle Lücke

An demselben Memorial-Day-Wochenende, an dem das Flackern aus dem Iran eintraf, setzte die institutionelle Architektur, die für die Verteidigung des offenen Internets zuständig ist, ihre Schrumpfung fort.

Die Cybersecurity and Infrastructure Security Agency arbeitet mit rund 2.300 besetzten Stellen — nach einem Höchststand von 3.400. Während der DHS-Schließung am 14. Februar wurden 1.453 von 2.341 Beschäftigten in den Zwangsurlaub geschickt; 888 blieben — 38 Prozent. Das Programm für Wahlsicherheit wurde vollständig gestrichen. Die Stakeholder Engagement Division — das Team, das die Cybersicherheit kritischer Infrastruktur mit Bundesstaaten, Kommunen und Privatunternehmen koordiniert — wurde geschlossen. Das Multi-State Information Sharing and Analysis Center verlor seine Bundesmittel und wechselte zu einem kostenpflichtigen Modell; nur 24 Bundesstaaten beteiligen sich.

Axios berichtete heute, die CISA sei bei der Reaktion auf KI-getriebene Cybersicherheitsbedrohungen in eine Nebenrolle gedrängt worden. Quellen beschrieben die Behörde als eine, die trotz ihres Auftrags keine „große Rolle“ spiele. Am 14. Mai wurde entdeckt, dass ein von einem CISA-Auftragnehmer angelegtes öffentliches GitHub-Repository 844 Megabyte an Klartextpasswörtern, AWS-GovCloud-Schlüsseln und SSH-Zertifikaten offengelegt hatte — sechs Monate lang offen.

Der kommissarische Direktor der CISA sagte dem Kongress im Februar: „Wenn die Regierung ihren Betrieb einstellt, tun unsere Gegner das nicht.“

Heute berichteten NBC News und TechCrunch, dass iranische Hacker im März in die Los Angeles County Metropolitan Transportation Authority eingedrungen sind — 700 Gigabyte an E-Mails, Backups und Dateien gestohlen. Entdeckt wurde der Einbruch von einer israelischen Cybersicherheitsfirma, nicht von US-Bundesbehörden. Der Angriff legte Anzeigetafeln für Ankunftszeiten lahm und hinderte Fahrgäste daran, ihre Fahrkarten aufzuladen.

Der institutionelle Kalender kennt Feiertage. Die Bedrohungsseite nicht.

Was im Iran funktioniert

Die nutzerseitige Antwort auf 88 Tage Whitelist-Internet ist der operative Beleg für die Architektur, die nicht von einer präsidialen Anordnung abhängt.

Psiphon erreichte während der Verdunkelung einen Höchststand von 9,6 Millionen täglichen iranischen Nutzern. Psiphon Conduit — ein Werkzeug zum Teilen von Bandbreite, mit dem Nutzer in der Diaspora Verkehr weiterleiten können — verzeichnete 26 Millionen tägliche Verbindungen aus dem Iran. Vierhunderttausend Iranerinnen und Iraner im Ausland stellten als freiwillige Relays Conduit-Bandbreite bereit.

Noghteha, ein Bitchat-Fork für Mesh-Kommunikation über Bluetooth unabhängig von der Internetinfrastruktur, wurde innerhalb von 48 Stunden nach dem Start 72.000 Mal heruntergeladen.

Starlink hielt rund 50.000 in den Iran geschmuggelte Terminals in Betrieb — die meisten kamen über Bergpfade zwischen der kurdischen Region des Irak und der iranischen Provinz Kurdistan ins Land. Starlink stellte den Dienst im Iran kostenlos. Das Regime legte rund 40.000 Terminals durch GPS-Störsender lahm und erreichte damit 30 bis 80 Prozent Paketverlust. Peilfahrzeuge verfolgen die Signale von Antennen, um diese zu beschlagnahmen. 108 Terminals wurden beschlagnahmt — ein Anstieg von 881 Prozent gegenüber dem Vorjahr. Auf die Nutzung stehen zehn Jahre Haft. Ein Mann, der wegen der Nutzung von Starlink festgenommen wurde, starb nach Schlägen durch Sicherheitskräfte.

Die technische Analyse auf arxiv bestätigte, dass alle Umgehungstechniken, die auf herkömmliche lokale Internetanbindung setzen, durch den Allowlist-Ansatz blockiert wurden. Anders als frühere Abschaltungen, die mit dem Zurückziehen von BGP-Routen arbeiteten, setzte die Abschaltung von 2026 auf höheren Protokollschichten an — 98 Prozent der IPv4-Präfixe blieben trotz nahezu vollständigen Konnektivitätsverlusts global geroutet. Das machte herkömmliche VPN-Umgehung weitgehend wirkungslos.

Was funktionierte: Satellit (Starlink), Mesh (Noghteha, Briar), relaisgestützte Umgehung (Psiphon Conduit) und V2Ray mit maßgeschneiderten Konfigurationen, gekauft über informelle Märkte. Was nicht funktionierte: jede Umgehung, die auf der Betreiberschicht aufsetzt, die das Regime kontrolliert.

Die strukturelle Lehre: Wenn das Internet nach Whitelist läuft, erreichen nur jene Transporte das offene Netz, die die Vermittlungsschicht nicht durchqueren.

Der Primitiv-Stack, der durch das Flackern hindurch ausliefert

In derselben Woche, in der Irans Internet flackerte, lieferte der nutzerseitige Primitiv-Stack weiter aus.

Anthropics Project Glasswing meldete am 22. Mai erste Ergebnisse: Claude Mythos Preview markierte 23.019 Schwachstellen in 1.000 Open-Source-Projekten, von denen 90,6 Prozent als echte Treffer bestätigt wurden. Mozilla behob aus einem einzigen Mythos-Audit 271 Schwachstellen in Firefox 150 — eine Verzehnfachung gegenüber dem Vorgängermodell. CVE-2026-5194 in wolfSSL, eine Schwachstelle zur Zertifikatsfälschung in der TLS-Bibliothek, die in rund 5 Milliarden Geräten steckt, wurde von einem Anthropic-Forscher entdeckt und am 8. April behoben.

Signal lieferte am 12. Mai Anti-Phishing-Funktionen aus — In-App-Warnungen für verdächtige Links, ausschließlich lokale Verarbeitung, Zero-Knowledge-Architektur gewahrt. Proton VPN kündigte Vorarbeiten für Post-Quanten-Verschlüsselung und das Stealth-Protokoll für Linux an. Mullvad brachte GotaTun in Betrieb, seine eigene, in Rust geschriebene WireGuard-Engine. Tails 7.8 erschien am 21. Mai. Tor Browser 15.0.14 erschien am 19. Mai.

Der Open-Source-Stack wird in einem Tempo gehärtet, das die Zeit vor der KI nicht erreichen konnte. Die Umgehungswerkzeuge werden so gebaut, dass sie außerhalb der Vermittlungsschicht arbeiten. Das Peer-to-Peer-Overlay taucht in keiner Whitelist und keiner Blacklist auf, weil es nicht über die Infrastruktur läuft, die die Whitelist kontrolliert.

Das Flackern ist die Architektur

Das Flackern aus Teheran ist heute keine Wiederherstellung. Es ist der Moment, in dem die neue Architektur sichtbar wird.

Das Kill-Switch-Rechenzentrum existiert. Die dreistufige Preisgestaltung läuft. Die chinesische Ausrüstung ist installiert. Die russische DPI filtert. Das Gericht hat die präsidiale Anordnung am selben Tag angefochten, an dem sie erging. Der mit den Revolutionsgarden verbundene Sekretär stimmte gegen die Wiederherstellung. Der Plan ist das Whitelist-Internet, nicht die Abschaltung.

Dieselbe Architektur wird exportiert. Das 500-Gigabyte-Leak bei Geedge Networks dokumentierte die Baupläne. Myanmar, Äthiopien, Kasachstan und Pakistan erhalten die Technik. Russland rollt sie in 70 Regionen aus. Die Türkei schreibt identitätsgeprüften Zugang vor. In Demokratien nimmt dasselbe Architekturmuster gesetzgeberische Form an: Verschlüsselt, und wir gehen; verifiziert, und wir fügen uns; umgeht, und wir verbieten.

Der strukturelle Schluss ist einfach. Das Internet spaltet sich. Die eine Hälfte führt Whitelists. Die andere Hälfte liefert aus.

Der nutzerseitige Primitiv-Stack — offene Clients mit nutzergehaltenen Schlüsseln, offene Firmware auf nutzerprüfbaren Chips, FIDO2-Hardware-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität mit selektiver Offenlegung, selbst gehostete Dienste, Mesh und Satellit auf der Betreiberschicht, kryptografische Agilität für die Post-Quanten-Ära — läuft auf der ausliefernden Hälfte. Er verlangt keine präsidiale Anordnung. Er hängt von keinem Gerichtsurteil ab. Er durchquert nicht die Vermittlungsschicht, die die Whitelist kontrolliert.

Das Flackern sind 10 Prozent dessen, was war. Die Architektur ist 100 Prozent dessen, was sein wird. Die Entscheidung ist die Transportschicht.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay taucht in der Whitelist-Infrastruktur keines der in diesem Artikel genannten Regime auf, weil es nicht über die Betreiberschicht läuft, die diese Whitelists kontrollieren.

https://ur.io

Die Rechnung ist einfach.

Am Freitag, 22. Mai, vertagte sich der Senat in die Memorial-Day-Pause. Die Kammer kehrt am Dienstag, 2. Juni, zurück. Section 702 des Foreign Intelligence Surveillance Act läuft am Freitag, 12. Juni, aus.

Vom 2. bis zum 12. Juni sind es zehn Kalendertage. Zwei davon sind Wochenendtage. Einer — der 2. Juni — ist der Tag, an dem die Kammer wieder zusammentritt, traditionell ein halber Tag für Verfahrensabstimmungen und die Organisation der Ausschüsse. Das effektive Arbeitsfenster für eine Plenarbehandlung der Neuautorisierung von §702 beträgt rund acht Tage.

Der 20-Tage-Countdown, den die Samstagsausgabe dieser Publikation als „Zwanzig Tage, eine geheime Entscheidung“ dokumentiert hat, wird in dem Moment zu zehn Tagen, in dem der Senat seine Sitzungen wieder aufnimmt.

Senator Ron Wydens Erklärung vom 19. Mai mit der Zusage „Ich werde nächste Woche mehr dazu sagen“ trifft am Montag, 25. Mai, ein — dem Memorial Day. Wydens frühester Verfahrenstermin in der Kammer ist Dienstag, 2. Juni. Der Abstand zwischen Wydens zugesagter „nächster Woche“ und der Verfahrensgelegenheit, danach zu handeln, beträgt vierzehn Kalendertage.

Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 — das Dokument im Kern der ausgehandelten Freigabevereinbarung, die am 30. April die 45-tägige Verlängerung hervorbrachte — bleibt als Verschlusssache eingestuft. Das fünfzehntägige Fenster für die beschleunigte Freigabe verstrich am Freitag, 15./16. Mai. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Der Justizminister hat nicht freigegeben. Die Direktorin der nationalen Nachrichtendienste, Tulsi Gabbard, „arbeitet mit Nachdruck an der Freigabe“, so die ODNI-Erklärung vom 21. Mai gegenüber Breitbart. Ein Datum wird nicht zugesagt.

Die Debatte über die Neuautorisierung wird in den kommenden zehn Arbeitstagen über ein Programm geführt, dessen jüngste Gerichtsentscheidung der Kongress nicht sehen kann.

Die Sitzungspause und die verstrichene Frist

Die ausgehandelte Architektur hinter diesen rechnerischen Fakten verdient es, klar benannt zu werden.

Der 20. April 2026 war der ursprüngliche Ablauftermin von Section 702. Der Senat handelte im Wege der einstimmigen Zustimmung eine 45-tägige Verlängerung der Neuautorisierung bis zum 12. Juni aus. Der Preis dafür, dass Senator Wyden seinen Widerspruch zurückzog — die Bedingung, die die Annahme durch einstimmige Zustimmung erst ermöglichte —, war ein fünfzehntägiges Fenster für die beschleunigte Freigabe der FISC-Entscheidung vom 17. März. Der Vorsitzende des Geheimdienstausschusses des Senats, Tom Cotton (R-AR), und sein Stellvertreter Mark Warner (D-VA) richteten am 1. Mai ein gemeinsames Schreiben an die Direktorin der nationalen Nachrichtendienste und an den Justizminister mit der Aufforderung, die Freigabe im vereinbarten Zeitrahmen vorzunehmen.

Die 15-Tage-Uhr lief am 15./16. Mai ab. Die Entscheidung blieb Verschlusssache. Die Regierung kündigte keine Verzögerung an. Sie handelte schlicht nicht.

Der Senatskalender ab dem 19. Mai ist die operative Tatsache. Die Memorial-Day-Pause beginnt am Freitag, 22. Mai. Eine Pro-forma-Sitzung blockiert jeden strittigen Antrag auf einstimmige Zustimmung — ein einziges Mitglied kann widersprechen und den Betrieb anhalten. Einen Verfahrensweg zu einer Ausschussberatung über §702 während der Pause gibt es nicht. Die Kammer kehrt am Dienstag, 2. Juni, zurück.

Wydens am Dienstag, 19. Mai, gegebene Zusage für „nächste Woche“ bezog sich naturgemäß auf die Arbeitswoche vom 25. bis 29. Mai. Der Memorial Day am 25. und die Pause über die ganze Woche bedeuten, dass Wydens frühester Verfahrenstag im Senat der 2. Juni ist.

Die Entscheidung der Regierung, zur ausgehandelten Frist nicht freizugeben, hat ein Fenster erzeugt, in dem die Sitzungspause das Aufsichtsgespräch zu §702 vollständig aus der Kammer nimmt. Wenn der Senat zurückkehrt, könnte die FISC-Entscheidung immer noch Verschlusssache sein — womit zehn Tage für eine Plenarbehandlung eines Programms bleiben, dessen zugrunde liegende Gerichtsentscheidung der Kongress nicht sehen kann.

Das ist die strukturelle Nachricht des heutigen Tages.

Der Einwand der Skeptiker

Die Kritik an der Memorial-Day-Pause verdient es, in ihrer stärksten Form behandelt zu werden.

Die stärkste Fassung des Einwands ruht auf vier Behauptungen.

Erstens: Die Memorial-Day-Pause ist der normale Senatskalender. Jede Sitzungsperiode des Senats pausiert in der Memorial-Day-Woche. Das ist nichts Anomales; es ist institutioneller Rhythmus.

Zweitens: Die Neuautorisierung von §702 im Jahr 2024 hat quer über den normalen Pausenkalender des Senats funktioniert. Es gibt einen Präzedenzfall dafür, dass der Senat bei §702 um eine Pause herum handelt. Das Muster ist nicht ohne Vorbild.

Drittens: Pro-forma-Sitzungen können im Prinzip Verfahrensanträge aufnehmen; wenn der Geheimdienstausschuss des Senats handeln wollte, gäbe es den Weg.

Viertens: Die Übergangsmechanik beim Auslaufen verlängert die Befugnisse bis zum 31. März 2027. Der harte Termin 12. Juni ist ein erzwingendes Ereignis, keine operative Abschaltung des Programms.

Jede dieser Behauptungen ist die sauberste Form des Einwands. Auf jede gibt es eine Erwiderung.

Erwiderung auf Behauptung 1: Die Rahmung lautet nicht, die Pause sei anomal. Die Rahmung lautet, dass das ausgehandelte fünfzehntägige Freigabefenster so angelegt war, dass es vor der Pause endet, damit der Senat die FISC-Entscheidung während einer Arbeitsperiode prüfen kann. Die Fristenstruktur unterstellte, dass die Exekutive sie einhalten würde. Die Nichteinhaltung der ausgehandelten Frist durch die Regierung trifft auf die normale Pause und erzeugt daraus ein handlungsfähiges Fenster — die acht Arbeitstage ab dem 2. Juni —, das für die gesetzgeberische Prüfung einer frisch offengelegten Gerichtsentscheidung kritisch kurz ist.

Erwiderung auf Behauptung 2: 2024 waren die Umstände andere. Die Debatte über die Neuautorisierung 2024 fand bei anderer Lage in Bezug auf eine FISC-Entscheidung statt. Das ausgehandelte fünfzehntägige Freigabefenster war im Zyklus 2026 ein struktureller Hebel, den es 2024 nicht gab. Der Hebel ist verfallen.

Erwiderung auf Behauptung 3: Die Pro-forma-Sitzung blockiert strittige UC-Anträge. Der Widerspruch eines einzigen Mitglieds hält den Betrieb an. Einen Verfahrensweg zu einer Ausschussberatung über Section 702 während einer Pro-forma-Sitzung gibt es nicht. Die Führung des Geheimdienstausschusses des Senats hat keine Absicht erkennen lassen, einen solchen Weg zu nutzen, und Cottons Schweigen seit dem 15. Mai — das Schweigen des Vorsitzenden des zuständigen Ausschusses, aus der eigenen Partei der Regierung — ist der strukturelle Bruch, den diese Publikation am Samstag dokumentiert hat.

Erwiderung auf Behauptung 4: Die Übergangsklausel beim Auslaufen ist eine Verfahrenstatsache, keine Rechtfertigung der versäumten Freigabefrist. Ein sauberes Auslaufen öffnet die Architektur erneut für die Debatte; eine für die Exekutive günstige Verlängerung zu ihren Bedingungen — ohne die ausgehandelte Freigabe — verschließt sie. Das politische Gewicht, §702 auslaufen zu lassen, sei es auch nur in das Übergangsfenster hinein, ist der Hebel, nach dem Wyden greift. Die strukturelle Wahl zwischen „die Exekutive erzwingt eine Verlängerung zu ihren Bedingungen“ und „der Kongress lässt §702 auslaufen, geht in den Übergang bis März 2027 und befasst sich neu damit“ ist die Frage, die das Zehn-Tage-Fenster entscheiden wird.

Der Einwand der Skeptiker ist real. Die Erwiderung ist strukturell. Die Neuautorisierung hängt daran, ob der Kongress sehen kann, was das Gericht entschieden hat.

Was das Gericht feststellte

Der Inhalt der FISC-Entscheidung — das, was der Kongress freigegeben sehen will und die Öffentlichkeit weiterhin nicht sehen kann — ist die tragende Nachricht unter dem Countdown der Sitzungspause.

Die Berichterstattung, die am 9. April über die New York Times an die Oberfläche kam und am 11. Mai in Brent Skorups Beitrag im American Prospect weiter ausgeführt wurde, rahmt den maßgeblichen Befund: Das „Filterwerkzeug“ des FBI zur Abfrage von Section-702-Daten arbeitete so, dass Abfragen zu US-Personen nicht gezählt, nicht nachverfolgt und nicht geprüft wurden, wie es die Verfahrenszusagen der Rezertifizierung verlangen. Das Justizministerium erfuhr im August 2024 von dem Problem. Die FISC-Entscheidung vom 17. März billigte die Rezertifizierung des Programms und dokumentierte zugleich Bedenken zu den Abfragepraktiken des FBI.

Wydens Erklärung vom 19. Mai benennt das konkrete berichtete Muster: mehr als 14.000 ohne Beschluss abgefragte Kommunikationen von US-Personen, darunter Kommunikationen von US-Journalisten, Kongressmitgliedern und Geschworenen einer Grand Jury. Skorups begriffliches Gerüst erfasst die Rechtsfrage: ob alle FBI-Abfragen gegen die §702-Datenbank in die Aufsichtszahlen zu §702 eingehen oder nur Abfragen, die Informationen über US-Personen zurückliefern. Die engere Definition war die historische Berichtspraxis der Nachrichtendienstgemeinschaft. Die weitere Definition ist die maßgebliche Rechtsfrage. Die FISC-Entscheidung ist das maßgebliche Dokument dazu, welche Definition gilt.

Was der Öffentlichkeit gesagt wurde: dass der FISC Bedenken zur Art und Weise der FBI-Abfragen erhoben hat. Was der Öffentlichkeit nicht gesagt wurde: was die Entscheidung des Gerichts zu diesem Muster tatsächlich besagt.

Genau das hat die Geheimhaltung aus der Debatte über die Neuautorisierung von Section 702 herausgehalten. Die zehn Tage ab dem 2. Juni sind das Fenster, in dem diese Entscheidung entweder öffentlich wird oder über die Abstimmung zum Auslaufen hinaus Verschlusssache bleibt.

Die Patch-Welle

An demselben Freitag, an dem sich der Senat vertagte, protokollierte die institutionelle Herstellerpipeline das Wochenhöchsttempo, das diese Publikation seit einiger Zeit dokumentiert.

Drei UniFi-Schwachstellen mit CVSS 10.0. Ubiquiti veröffentlichte am Freitag Notfall-Sicherheitsupdates für drei Schwachstellen höchster Schwere in UniFi OS, die rund 100.000 aus dem Internet erreichbare Netzwerk-Gateways betreffen. Die Schwachstellen erlauben nicht authentifizierte Codeausführung aus der Ferne gegen die Verwaltungsebene der Gateways. UniFi-Geräte sind in Netzen kleiner und mittlerer Unternehmen, in anspruchsvollen Heimnetzen und an Randstandorten großer Unternehmensnetze weit verbreitet. Patches liegen vor; das Einspielungstempo hängt vom Handeln der Betreiber ab.

Aktive Ausnutzung von Drupal CVE-2026-9082. Die CISA nahm Drupal CVE-2026-9082 am Freitag, 22. Mai, in den Katalog der bekannten ausgenutzten Schwachstellen auf, mit einer Behebungsfrist für die zivile Bundesexekutive am 27. Mai — Dienstag —, von der ein Tag (Montag) der Memorial Day ist. Massenhafte Ausnutzung beobachtet: rund 15.000 Versuche in 65 Ländern während des Offenlegungsfensters. Drupal betreibt einen erheblichen Teil der Web-Infrastruktur von Bund und Unternehmen.

Exchange OWA Tag 10. Microsoft Exchange Server CVE-2026-42897 — die in Cross-Site-Scripting wurzelnde Spoofing-Schwachstelle in Outlook Web Access — steht bei Tag 10 der aktiven Ausnutzung ohne dauerhaften Patch. Die Frist für die zivile Bundesexekutive ist der 29. Mai, fünf Tage von heute an. Microsoft hat eine automatische Abschwächung nur für Kunden ausgeliefert, die den Exchange EM Service aktiviert haben; für alle anderen gibt es manuelle Abschwächungsschritte. Der Patch-Zyklus des Herstellers hinkt der Regulierungsuhr die dritte Woche in Folge hinterher.

Die beiden Zero-Days in Microsoft Defender. CVE-2026-41091 (Rechteausweitung) und CVE-2026-45498 (Denial of Service) stehen beide im KEV-Katalog der CISA mit einer FCEB-Frist am 3. Juni — zehn Tage von heute an. Das Sicherheitswerkzeug selbst im bundesweiten Katalog der aktiv ausgenutzten Schwachstellen. Microsoft-Patches werden ausgerollt.

Cisco Secure Workload CVE-2026-20223 — CVSS 10.0. Offengelegt am Donnerstag, 21. Mai. Außerplanmäßige Cisco-PSIRT-Meldung; Notfall-Patch am selben Tag.

Lieferkettenangriff Megalodon. Die GitHub-Lieferkettenkompromittierung vom 18. Mai — Anfang der Woche erstmals berichtet und am Freitag in voller Berichtstiefe — schob über kompromittierte Maintainer-Konten 5.718 bösartige Commits in 5.561 GitHub-Repositorys innerhalb eines Sechs-Stunden-Fensters. Das Angriffsmuster war eine automatisierte Commit-Spray-Operation, die Workflow-Tokens von GitHub Actions ausnutzte. Die meisten betroffenen Repositorys waren kleine Open-Source-Projekte; die Sorge gilt dem Wirkungsradius weiter unten in der Kette.

Lieferkettenkompromittierung von Laravel-Lang. Über Freitag und Samstag veröffentlichten Angreifer mehr als 700 bösartige Versionen des verbreiteten Laravel-Pakets zur Internationalisierung. Die Angriffskette reicht in die Abhängigkeiten von PHP-Anwendungen im gesamten Laravel-Ökosystem hinein. Die Behebung erfordert bei jedem nachgelagerten Betreiber eine manuelle Prüfung der Abhängigkeiten.

Veröffentlichung des Coinbase Cartel. Am Freitag, 22. Mai, veröffentlichte die Erpressergruppe Coinbase Cartel unter neuen Opfern die Panasonic Avionics Corporation und Robinsons Singapore auf ihrem Leak-Portal im Darknet. Das Muster entspricht der Taktung von ShinyHunters / Anodot / TeamPCP: Kompromittierung eines SaaS-Anbieters mit nachgelagerten Einbrüchen bei dessen Mandanten.

Die Freitag-Samstag-Welle ist ein oberer Grenzwert, nicht der Normalfall. Drei CVSS-10.0-Offenlegungen bei zwei Herstellern plus aktive Massenausnutzung einer vierten bundesbehördlich fristgebundenen CVE plus ein Lieferkettenangriff mit 5.718 Commits plus die Kompromittierung von Laravel-Lang mit mehr als 700 bösartigen Versionen plus der Veröffentlichungszyklus des Coinbase Cartel — so sieht ein „Wochenende außerhalb der Schicht“ aus, wenn Institutionen an Wochentagen verankert sind und Angreifer ununterbrochen arbeiten.

Die FCEB-Fristen, um die sich das gruppiert: Drupal am 27. Mai (mit herausgenommenem Memorial Day), Exchange am 29. Mai (der Freitag nach der Rückkehr aus der Pause), Defender am 3. Juni (nach der Pause). Alle drei Behebungsfenster fallen in dieselbe zehntägige Arbeitsperiode nach der Pause, unter der auch die Debatte über die Neuautorisierung von §702 läuft.

Die institutionellen Erfolge

Die institutionelle Architektur versagt in dieser Woche nicht auf ganzer Linie. Drei Erfolge liefen parallel zur Patch-Welle.

Operation Saffron. Eine Strafverfolgungsoperation mit Koordination in sechzehn Ländern beschlagnahmte die Infrastruktur des Dienstes First VPN, darunter 33 Server in mehreren Rechtsräumen. Rund 5.000 Nutzerkonten kompromittiert. 506 nutzerbezogene Erkenntnispakete über FBI FLASH-20260521-001 (21. Mai) mit nationalen Strafverfolgungsbehörden geteilt. Ein ukrainischer Administrator verhaftet. Operative Verbindung zur Ransomware-as-a-Service-Familie Phobos. Die Zerschlagung ist die zweite Beschlagnahme eines VPN-Dienstes im Jahr 2026 — die rechtliche Rahmung lautet, der Dienst sei bekannte Infrastruktur eines Ransomware-Partnernetzes gewesen, kein Datenschutzwerkzeug.

Microsofts Fox-Tempest-Zerschlagung. Am Dienstag, 19. Mai, störte die Microsoft Digital Crimes Unit eine kriminelle Signing-as-a-Service-Operation, die rund ein Jahr lang betrügerische Code-Signatur-Zertifikate verkauft hatte. Mehr als 1.000 betrügerische Zertifikate wurden bei der Zerschlagung widerrufen. Kunden zahlten 5.000 bis 9.000 Dollar pro Zertifikat. Operative Verbindung zu den Ransomware-Partnern Rhysida und Vanilla Tempest. Microsofts Beschlagnahmeanordnungen betrafen rund 92 Internet-Domains.

Festnahme im Fall des Kimwolf-Botnetzes. Krebs on Security machte die Geschichte am Donnerstag, 21. Mai, publik: Der 23-jährige Jacob Butler wurde im Zusammenhang mit dem Kimwolf-Botnetz festgenommen, das den Rekord-DDoS-Angriff mit 30 Tbit/s von Ende 2025 erzeugt hatte. Die Bundesanklage wurde entsiegelt. Das von Cloudflare aufgezeichnete DDoS-Ereignis mit 30 Tbit/s aus einer einzigen Quelle war der größte Einzelquellen-Angriff der überlieferten Geschichte.

Die institutionelle Architektur bringt koordinierte Zerschlagungen zustande, wenn sie funktioniert. Die Asymmetrie besteht darin, dass Zerschlagungen eine Koordination über mehrere Rechtsräume und über Wochen oder Monate erfordern, während die Bedrohungsseite innerhalb des Fensters zwischen zwei Zerschlagungen weiter iteriert. Das strukturelle Muster: Erfolge kommen langsam über institutionelle Zusammenarbeit; Fehlschläge kommen ununterbrochen über asymmetrisches Tempo.

Die Ebene der Empfängerländer

Das Architekturmuster, das diese Publikation dokumentiert, wächst unabhängig vom Kalender des US-Senats weiter an.

Iran — Tag 86. Die dreistufige Architektur aus Internet Pro und kommerziellem VPN bleibt in Betrieb. Zugelassene, mit IRGC und MCI verbundene Fachkräfte erhalten Bandbreite auf Whitelist-Basis für rund 0,20 € pro Gigabyte. Die breite Öffentlichkeit ist auf kommerzielle VPNs zu rund 75 € pro Monat gedrängt — grob das 12,5-Fache des Bandbreitentarifs. Die Rahmung als „digitale Apartheid“ kursiert weiter in der internationalen Presse. Das Time Magazine veröffentlichte in dieser Woche (21. Mai) einen Beitrag zu den Internetkosten im Iran unter der Rahmung „Straße von Hormus“. Der kumulierte wirtschaftliche Schaden übersteigt nach iranischen Regierungsstatistiken 1 Milliarde Dollar; die Schätzung des Quincy Institute liegt näher bei 5,2 Milliarden Dollar kumuliert. Die Whitelist-Stufe des weißen Internets — für den Zugang allein zu innerstaatlich genehmigten Diensten — bleibt in großem Maßstab in Betrieb.

Mexiko — 37 Tage bis zur CURP Biométrica. Rund 127 Millionen Mobilfunkanschlüsse müssen bis zum 30. Juni eine biometrische CURP mit Gesicht, Fingerabdruck und Iris registrieren, sonst droht die Abschaltung zum 1. Juli. In dieser Woche wurden keine öffentlichen Registrierungszahlen veröffentlicht. Die Verfassungsklage der mexikanischen Zivilgesellschaft läuft weiter, ohne wirksamen Aufschub. Die Erfüllungslage der Mobilfunkanbieter bleibt uneinheitlich: AT&T führte nach den zuletzt berichteten Zahlen mit 29 Prozent Registrierung, Bait mit 28 Prozent, Telcel mit 19 Prozent, Movistar mit 16 Prozent. Telcel verlor im ersten Quartal 2026 1,2 Millionen Anschlusszugänge — ein messbares Signal für Nutzerwiderstand beim größten Anbieter Lateinamerikas.

Russland — Tag 39 der Durchsetzung der VPN-Erkennung bei Providern. Nach der fortlaufenden Beobachtung von Meduza und Roskomsvoboda bleibt die Vorgabe vom 15. April bei großen Anbietern in Kraft. 22 der 30 beliebtesten Android-Apps Russlands überwachen inzwischen den VPN-Status auf Anwendungsebene. Telegram bleibt gesperrt; die staatliche Messaging-App MAX wird weiter forciert. Das April-Update von Telegram, das den Datenverkehr als Browser-Verkehr tarnt, bleibt der operative Gegenzug für die Nutzer.

Niger — Tag 16. Die Aussetzung von neun internationalen Medien durch das Observatoire Nationale de la Communication vom 8. Mai — France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info und France Afrique Média — bleibt in Kraft. Niger ist nach dem Zensus des Committee to Protect Journalists vom 1. Dezember 2025 das Land mit den zweitmeisten inhaftierten Journalisten in Subsahara-Afrika.

Burkina Faso — Tag 19. Das dauerhafte Verbot von TV5 Monde vom 5. Mai bleibt in Kraft. Der RSF-Bericht vom 6. Mai dokumentierte anhaltende Inhaftierungen, darunter die des Journalisten Atiana Serge Oulon.

Pakistan — 689 PECA-Verfahren. Die Pakistan Press Foundation verfolgt die Fälle weiter. Der Bericht von Freedom Network vom 29. April dokumentierte die anhaltende Einschränkung der Pressefreiheit.

Tansania — Bericht der Untersuchungskommission unter Verschluss. Der Bericht der Untersuchungskommission vom 23. April — 518 Tote, darunter 502 Zivilisten, 16 Sicherheitskräfte und 21 Kinder bei der Gewalt nach der Wahl vom 29. Oktober 2025 — bleibt der Öffentlichkeit vorenthalten. X (Twitter) bleibt in Tansania gesperrt.

Jedes Regime auf seiner eigenen Uhr. Jedes Muster wächst an. Die gemeinsame architektonische Eigenschaft: Kontrolle über die Vermittlungsschicht — über den Netzbetreiber, die Plattform, das Register, den Rundfunk, das Gerät oder den Bericht.

Die Protokoll-Pipeline

An demselben Freitag, an dem sich der Senat vertagte, lieferte die nutzerseitige Protokollschicht zwei folgenreiche Ereignisse.

Trail-of-Bits-Audit zu Moneros FCMP++ am Freitag, 22. Mai, abgeschlossen. Der elftägige Auftrag (12.–22. Mai) zur produktiven Integration von FCMP++ 1a/1b in monero-project/monero endete ohne unmittelbare öffentliche Befunde — üblich ist ein Veröffentlichungsfenster von zwei bis sechs Wochen nach Auftragsende. Die Protokolländerung ersetzt die Ringsignatur mit 16 Täuschkörpern durch einen Mitgliedschaftsnachweis über die gesamte Kette, dessen Anonymitätsmenge die gesamte UTXO-Menge ist, rund 150 Millionen Transaktionsausgänge — rund eine 9,4-millionenfache Ausweitung der senderseitigen Anonymität. Zieltermin für den Hard Fork im Mainnet ist das zweite Halbjahr 2026, abhängig von der Nachbesserung bis zur Audit-Freigabe.

Zcashs NU7-Testnet am Freitag, 22. Mai, gestartet. Shielded Labs aktivierte das Testnet für NU7 — das nächste Konsens-Upgrade nach den vorangegangenen großen Protokolländerungen. Die Architektur von Crosslink Milestone 4 (PoW + BFT-Finalität; Vitalik Buterins Spende vom 6. Februar unterstützte das Upgrade) läuft weiter. Die Testnet-Aktivierung ist der operative Vorläufer der für später im Jahr 2026 erwarteten Mainnet-Aktivierung.

Tor Browser 15.0.14 — Version vom 19. Mai. Die Sicherheitsveröffentlichung im üblichen Takt. Das Tor-Projekt kündigte im selben Zeitraum eine Spendenrunde für zehn Internetfreiheitsprojekte an — anhaltende, spendenfinanzierte Entwicklung der zensurresistenten Transportschicht.

Ende-zu-Ende-Verschlüsselung DAVE bei Discord. Die Ausrollung als Standard ab dem 19. Mai an rund 200 Millionen monatlich aktive Nutzer läuft weiter über die Regionen hinweg; es ist die größte Einzelwochen-Ausrollung von E2EE-Infrastruktur an eine nicht-nischige Nutzerbasis seit Signals Umstellung auf E2EE als Standard.

Bitcoin BIP352 Silent Payments — Verbreitung ab Core 28.0. Die Reihe im Frühjahr 2026 wird weiter ausgerollt. Das verschlüsselte P2P-Protokoll BIP324 v2 (Standard seit Core 27.0) macht inzwischen die Mehrheit des weltweiten Bitcoin-Peer-to-Peer-Verkehrs aus.

Signal Sparse Post-Quantum Ratchet (SPQR) + PQXDH + Double Ratchet — der Triple Ratchet. Signals Härtung für die Post-Quanten-Ära wird weiter iteriert.

npm Staged Publishing — am 22. Mai gemergt. Die durch 2FA abgesicherte Veröffentlichungspipeline schließt eine Klasse von Angriffen über kompromittierte Maintainer-Konten, wie sie die Wellen um Megalodon und Laravel-Lang hervorgebracht haben. Verteidigung auf der Ebene der Paketregistrierung gegen die Lieferkettenangriffe, die die Spalte zur Patch-Welle dokumentiert.

Monatliche GrapheneOS-Veröffentlichungen laufen weiter. GrapheneOS 2026050900 (9. Mai) und die CalyxOS-Basis 7.2.1.0 vom 4. Mai.

Weiteres Laufendes. YubiKey-Firmware 5.8. Abschluss der IETF-Arbeiten zu BBS+ mit selektiver Offenlegung für eIDAS 2.0 in Arbeit. ML-KEM, ML-DSA und SLH-DSA sind seit August 2024 als Standards in Kraft.

Die Protokoll-Pipeline lieferte an demselben Freitag, an dem sich der Senat vertagte, zwei große Entwicklungen auf der Konsensebene aus (Abschluss des Monero-Audits, Zcashs NU7-Testnet). Der nutzerseitige Primitiv-Stack läuft kontinuierlich auf der Audit-Pipeline-Architektur, im Freitagstempo, unabhängig vom institutionellen Kalender.

Die freie Schicht am Wochenende

Das asymmetrische Muster dieser Woche — Patch-Welle konzentriert am Freitag, Beginn der Sitzungspause am Freitag, FCEB-Fristen gebündelt um die Rückkehr nach der Pause — ist die operative Form einer strukturellen Eigenschaft, die diese Publikation seit mehreren Ausgaben benennt.

Institutionen sind an Wochentagen verankert. Patch-Zyklen der Hersteller, Protokolle zur CVE-Offenlegung, IT-Personal des Bundes, Sitzungen des Kongresses, Fristen der Regulierung, Gerichtsverfahren — alles gebündelt von Montag bis Freitag, mit scharfen Einbrüchen über Wochenenden und Feiertage hinweg. Die Belegschaft der CISA ist nach der Haushaltssperre um rund ein Drittel geschrumpft; die Wochenendbesetzung war schon vorher minimal und ist jetzt kritisch.

Die Bedrohungsseite kennt keine vergleichbare Einschränkung. Der Einsatz von Ransomware ist über die Beobachtungsdaten der Branche hinweg wochenendlastig, und das asymmetrische Ausnutzungsfenster zwischen dem Ende des Freitags-Patch-Tempos und dem Anlaufen der Reaktion am Montag ist das am stärksten ausgenutzte Fenster der Woche. Die Sysdig-Untersuchung zu PraisonAI CVE-2026-44338 aus dieser Woche — 3 Stunden und 44 Minuten von der Offenlegung bis zum funktionierenden Exploit, in einem Wochenendfenster — ist ein operativer Datenpunkt in diesem Muster.

Die Lücke zwischen mittlerer Zeit bis zur Ausnutzung und mittlerer Zeit bis zur Behebung ist am Wochenende am größten. Der Sonntag ist der Tag mit der größten Hebelwirkung für die Bedrohungsseite.

Dieses Muster verstärkt sich, wenn institutionelle Kalender auf ungewöhnliche Weise schließen. Die Memorial-Day-Pause nimmt dem Fenster für die Neuautorisierung von §702 eine volle Arbeitswoche. Die FCEB-Fristen für Drupal (27. Mai) haben den Memorial Day im Behebungskalender. Die Rückkehr in die Kammer am 2. Juni nach der Pause lässt nur zehn Kalendertage bis zum Auslaufen von §702.

Der strukturelle Schluss: Die Architektur, die nicht vom institutionellen Kalender abhängt, ist diejenige, die durch das asymmetrische Fenster ausliefert, ohne an Tempo zu verlieren.

Die Architektur, die nicht vom Kalender abhängt

Das Schlussargument ist einfach.

Der Kongress ist in der Pause. Die Exekutive gibt nicht frei. Die FCEB-Uhr läuft. Die Patch-Welle läuft. Die Lieferkettenkompromittierungen breiten sich aus. Der Megalodon-Angriff schob 5.718 Commits in 5.561 Repositorys innerhalb von sechs Stunden, während sich der Senat vertagte.

Der nutzerseitige Primitiv-Stack lief in demselben Freitagsfenster ununterbrochen weiter.

Offene Clients mit nutzergehaltenen Schlüsseln. Signal, Tuta, Proton, Threema, Briar 1.5.17, Cwtch, Session, Matrix-Homeserver, Discord DAVE für rund 200 Mio. monatlich aktive Nutzer. Die Verteidigung der Ende-zu-Ende-verschlüsselten Schicht gegen serverseitigen Datenabfluss durch SaaS-Lieferkettenangriffe wie Anodot oder Megalodon ist strukturell.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS Pixel 6+ Android 16. CalyxOS Android 16. e/OS. LineageOS. OpenWRT. Eine Prüfung der Angriffsfläche auf der Betreiberschicht, die geschlossene Firmware nicht zulässt.

FIDO2-Hardware-Authentifizierung. 5 Milliarden Passkeys ausgerollt zum World Passkey Day der FIDO Alliance am 7. Mai. YubiKey mit über 30 Mio. ausgelieferten Geräten insgesamt. Hardwaregebundene Zugangsdaten, die Biometrie ersetzen — nach Datenlecks wie der Offenlegung von 1,8 Millionen Fingerabdrücken bei NYC Health + Hospitals.

Zensurresistente Transporte. Tor Browser 15.0.14 (19. Mai). Das Peer-to-Peer-Overlay von URnetwork. V2Ray VLESS+Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. URnetworks MCP-Server-Veröffentlichung vom 19. Februar erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Betreiberschicht zu abstrahieren. Das Overlay taucht in keinem Register der Betreiber öffentlicher Dienste auf — nicht in §702, nicht in Irans Stufe Internet Pro, nicht im russischen Gesetz zur VPN-Erkennung bei Providern vom 15. April.

Datenschutzwahrende Währungen auf Primitiven mit Nutzerverwahrung. Bitcoins verschlüsselter P2P-Verkehr nach BIP324 v2 ist standardmäßig aktiv und macht inzwischen die Mehrheit des weltweiten Bitcoin-Verkehrs aus. Bitcoin BIP352 Silent Payments ab Core 28.0. Moneros FCMP++-Audit bei Trail of Bits am Freitag abgeschlossen — Mainnet im zweiten Halbjahr 2026. Zcashs Crosslink Milestone 4 / NU7-Testnet am Freitag gestartet.

Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (MIT, im Browser lauffähig). Mistral Medium 3.5. Qwen 3.6 Max Preview. GLM-5.1. OpenAI Privacy Filter (Apache 2.0, im Browser lauffähig über transformers.js + WebGPU). Der architektonische Gegenzug zu cloudgehosteten Diensten, bei denen der Protokollpfad des Dritten der Angriffsvektor für rechtliche Zugriffe ist.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Empfehlung seit Mai 2025). Abschluss der IETF-Arbeiten zu BBS+ für eIDAS 2.0. Privacy Pass. Das Bedrohungsmodell der mexikanischen CURP Biométrica.

Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle. Open edX. Föderation begrenzt den Wirkungsradius von Lieferkettenangriffen — der DBIR-Trend von +60 Prozent bei Lieferkettenvorfällen.

Mesh und Satellit auf der Betreiberschicht. Briar (Bluetooth, WLAN, Tor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Die vom Netzbetreiber unabhängige Schicht gegen Iran Tag 86, Niger Tag 16, Burkina Faso Tag 19, Russland Tag 39.

Kryptografische Agilität. ML-KEM. ML-DSA. SLH-DSA. Signals Triple Ratchet (Sparse Post-Quantum Ratchet + Double Ratchet + PQXDH). Auslaufen von FIPS 140-2 am 21. September — 120 Tage von heute an. Zieltermin für den Q-Day: 2029.

Beide Pipelines liefen in dieser Woche. Die institutionelle Schicht lief scheiternd — keine Freigabe, durch die Pause verdichtete FCEB-Fristen, Patch-Welle am oberen Grenzwert. Der nutzerseitige Stack lief ausliefernd — Monero-Audit abgeschlossen, Zcashs NU7-Testnet gestartet, Tor 15.0.14 veröffentlicht, Discord DAVE in der Ausrollung, npm Staged Publishing gemergt.

Im Streit um §702 geht es in den kommenden zehn Tagen darum, ob der Senat die Entscheidung zu einem Programm sehen kann, die ihm die Exekutive nicht zeigen will. Die Architektur ist die Antwort, die nicht erst gefragt werden muss.

Zehn Tage.

Der Senat kehrt am Dienstag, 2. Juni, zurück.

Die FISC-Entscheidung könnte weiterhin Verschlusssache sein.

Der nutzerseitige Primitiv-Stack liefert unabhängig davon aus.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Die MCP-Server-Veröffentlichung vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. URnetwork ist in keinem der in diesem Artikel genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen.

https://ur.io

Freitag, der 15. Mai 2026, war Tag fünfzehn.

Tag fünfzehn einer Uhr, die am 30. April 2026 zu laufen begann — dem Tag, an dem Senator Ron Wyden seinen Widerspruch gegen eine 45-tägige Verlängerung der Neuautorisierung von Section 702 im Wege der einstimmigen Zustimmung zurückzog, unter der Bedingung, dass die Trump-Regierung die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 binnen fünfzehn Tagen freigibt. Das Fenster schloss sich am Freitag, dem 15./16. Mai. Die Entscheidung bleibt Verschlusssache.

Senator Wyden, 19. Mai 2026:

„Ich rechne damit, dass meine Kolleginnen und Kollegen — und die amerikanische Öffentlichkeit — beunruhigt sein werden von dem, was der FISC festgestellt hat, wenn die Entscheidung freigegeben wird. „Jedes Mitglied des Kongresses sollte das im Kopf behalten, wenn es in den kommenden Tagen über die Gesetzgebung zur Neuautorisierung von Section 702 berät ... „Nach der jüngsten Neuautorisierung wurde Sec. 702 genutzt, um ohne Beschluss auf mehr als 14.000 Kommunikationen von US-Personen zuzugreifen — darunter Kommunikationen von US-Journalisten, Kongressmitgliedern und Geschworenen einer Grand Jury. Die Amerikanerinnen und Amerikaner haben ein Recht darauf zu erfahren, dass dieses Gericht schwerwiegende Rechtsverstöße des FBI bei der Durchführung dieser Abfragen dokumentiert hat. „Ich werde nächste Woche mehr dazu sagen.“

Heute ist Samstag, der 23. Mai 2026. Nächste Woche beginnt am Montag, 25. Mai — zwei Tage von jetzt an. Das harte Auslaufen am 12. Juni ist zwanzig Tage entfernt.

Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Das Justizministerium hat nicht freigegeben. Der Vorsitzende des Geheimdienstausschusses des Senats, Tom Cotton (R-AR), hat sich seit der Frist am 15./16. Mai öffentlich nicht geäußert. Der stellvertretende Ausschussvorsitzende Mark Warner (D-VA) hat sich nicht geäußert. Die Debatte über die Neuautorisierung wird über ein Programm geführt, dessen jüngste Gerichtsentscheidung der Kongress nicht sehen kann.

Das ist der Aufmacher dieses Textes. Alles Weitere ist der architektonische Kontext dahinter.

Was das Gericht feststellte

Die FISC-Entscheidung im Kern der versäumten Frist war die reguläre jährliche Rezertifizierungsentscheidung zu Section 702, datiert auf den 17. März 2026 und ans Licht gebracht durch die Berichterstattung der New York Times vom 9. April. Das Gericht billigte die Rezertifizierung von Section 702 — das Programm läuft damit weiter mit gerichtlicher Genehmigung — und markierte zugleich erhebliche Bedenken gegen die Abfragepraktiken des FBI gegenüber dem Section-702-Bestand.

Brent Skorup rahmte am 11. Mai im American Prospect das begriffliche Gerüst: Der Streit geht darum, ob alle FBI-Abfragen gegen die §702-Datenbank in die Aufsichtszahlen zu §702 eingehen oder nur Abfragen, die Informationen über US-Personen zurückliefern. Die Unterscheidung ist tragend. Die Nachrichtendienstgemeinschaft hat Abfragezahlen historisch nach der engeren Definition berichtet. Reformkräfte aus der Zivilgesellschaft argumentieren, die weitere Definition sei die maßgebliche Rechtsfrage. Die FISC-Entscheidung befasst sich nach Wydens Darstellung genau damit — mit den Bedingungen, unter denen das FBI die §702-Datenbank nach Kennungen von US-Personen durchsuchen darf.

Wydens Erklärung vom 19. Mai benennt das konkrete berichtete Muster: mehr als vierzehntausend ohne Beschluss abgefragte Kommunikationen von US-Personen, darunter Kommunikationen von US-Journalisten, Kongressmitgliedern und Geschworenen einer Grand Jury. Die Zahl geht auf Schriftsätze zurück, die im vorangegangenen Neuautorisierungszyklus sichtbar wurden. Das Muster ist das, was die Entscheidung vom 17. März dem Anschein nach strukturell behandelt.

Was der Öffentlichkeit gesagt wurde: dass der FISC Bedenken zur Art und Weise der FBI-Abfragen erhoben hat. Was der Öffentlichkeit nicht gesagt wurde: was die Entscheidung des Gerichts zu diesem Muster tatsächlich besagt.

Das ist der Inhalt des Streits um die Freigabe.

Die Vereinbarung

Die Vereinbarung vom 29./30. April, die die versäumte Frist hervorgebracht hat, ist selbst die strukturelle Nachricht.

Section 702 sollte am 15. April 2026 auslaufen. Der Senat handelte im Wege der einstimmigen Zustimmung eine 45-tägige Verlängerung der Neuautorisierung bis zum 12. Juni aus. Der Preis dafür, dass Wyden seinen Widerspruch zurückzog — die Bedingung, die die Annahme per einstimmiger Zustimmung ermöglichte —, war ein fünfzehntägiges Fenster für die beschleunigte Freigabe der FISC-Entscheidung vom 17. März. Der Vorsitzende des Geheimdienstausschusses des Senats, Cotton (R-AR), und sein Stellvertreter Warner (D-VA) richteten am 1. Mai ein gemeinsames Schreiben an die Direktorin der nationalen Nachrichtendienste und an den Justizminister mit der Aufforderung, die Freigabe im vereinbarten Zeitrahmen vorzunehmen.

Die Frist traf am 15./16. Mai ein. Die Entscheidung blieb Verschlusssache. Die Regierung kündigte keine Verzögerung an. Sie handelte schlicht nicht.

Die übliche Erwiderung auf ein solches Fristversäumnis lautet, FISC-Entscheidungen seien routinemäßig als Verschlusssache eingestuft — was auf der systemischen Ebene stimmt und für diesen Fall unerheblich ist. Die Freigabe war der ausgehandelte Preis der Verlängerung. Die regelmäßige Einstufung als Verschlusssache rechtfertigt nicht den Bruch einer gesetzgeberischen Zusage.

Die sauberere Lesart ist die, die Wyden am 19. Mai zu Protokoll gab: Die Exekutive entschied sich, die Bedingung nicht einzuhalten, unter der der Senat die Neuautorisierung gewährt hat. Der Vorsitzende des Geheimdienstausschusses des Senats, Cotton, hat die Entscheidung der Exekutive seither nicht verteidigt. Das Schweigen ist der strukturelle Bruch — eine überparteiliche Vereinbarung wurde geschlossen, die Exekutive hat sie ignoriert, und der Vorsitzende des zuständigen Senatsausschusses will öffentlich nicht sagen, ob die Vereinbarung noch bindet.

Das ist die architektonische Tatsache. Die Debatte über die Neuautorisierung läuft die kommenden zwanzig Tage weiter, ohne die Sicht des FISC auf die Abfragepraktiken des FBI.

Der Einwand der Skeptiker

Die Debatte über die Neuautorisierung von §702 läuft lange genug, dass die stärkste Fassung der Argumente beider Seiten aktenkundig ist. Der Text muss sich mit dem stärksten Argument dafür befassen, §702 unverändert zu lassen, sonst liest er sich als Fürsprache statt als Analyse.

Das stärkste Argument ruht auf drei Behauptungen.

Erstens: Section 702 liefert einen erheblichen Teil des President's Daily Brief. Die Nachrichtendienstgemeinschaft hat diesen Anteil historisch mit rund sechzig Prozent beschrieben — eine Zahl, die über die Neuautorisierungszyklen hinweg berichtet, bestritten und korrigiert wurde, deren Größenordnung der Geheimdienstausschuss des Senats in vertraulichen Unterrichtungen jedoch nicht in Zweifel zieht. Das Argument: Ein Programm, das dieses Volumen an Erkenntnissen liefert, lässt sich nicht ohne operative Kosten beeinträchtigen.

Zweitens: Die Kritik, Abfragen bedürften eines Beschlusses, verwechselt eine Abfrage gegen eine rechtmäßig erhobene Datenbank mit einem Beschluss für eine neue Erhebung. Die Rahmung der Nachrichtendienste: Die Erhebung nach §702 erfolgt gegen ausländische Zielpersonen auf Grundlage gerichtlich genehmigter Zertifizierungen; Abfragen sind Suchen in bereits rechtmäßig erhobenem Material. Für Abfragen zu US-Personen gegen eine rechtmäßige Datenbank einen Beschluss zu verlangen, schafft eine neue Reibungsebene, ohne ein zugrunde liegendes Erhebungsproblem zu beheben.

Drittens: Selbst wenn das Auslaufen am 12. Juni ohne Neuautorisierung eintritt, gehen die §702-Befugnisse unter der bestehenden Verlängerungsarchitektur bis zum 31. März 2027 in einen Übergang über. Das politische Gewicht, §702 auslaufen zu lassen, ist eher darstellerisch als operativ.

Jede dieser Behauptungen ist die sauberste Form des Arguments. Auf jede gibt es von der Gegenseite eine Erwiderung.

Die Erwiderung zum Argument des PDB-Anteils: Der von den Nachrichtendiensten berichtete Anteil hat sich über die Zyklen hinweg verschoben, je nachdem, welche Regierung das Argument vorträgt. Die Zahl ist für den Kongress außerhalb vertraulicher Unterrichtungen nicht prüfbar; Analystinnen und Analysten der Zivilgesellschaft verweisen auf erhebliche Unklarheit darüber, wie der Anteil berechnet wird. Das Argument aus der Nützlichkeit ist kein Argument gegen eine Reform der Aufsicht.

Die Erwiderung zur Rahmung „Abfragen als Beschlüsse“: Genau das ist die Frage, die die FISC-Entscheidung behandelt. Die Reformposition wurde über mehrere Zyklen hinweg geschärft: ein auf hinreichenden Tatverdacht gestützter Beschluss für Abfragen zu US-Personen, nicht ein solcher Beschluss für die §702-Erhebung selbst. Das 2026 zur Debatte stehende Reformpaket ist enger als die Rahmung „§702 in ein innerstaatliches Beschlussregime überführen“, mit der die Nachrichtendienste geantwortet haben. Die FISC-Entscheidung ist das maßgebliche Dokument. Ohne Freigabe kann die Öffentlichkeit nicht beurteilen, ob die Antwort der Nachrichtendienste sich mit dem befasst, was das Gericht tatsächlich festgestellt hat.

Die Erwiderung zum Argument der Übergangsklausel: Die Übergangsklausel ist eine Verfahrenstatsache, keine Rechtfertigung der versäumten Freigabefrist. Ein sauberes Auslaufen öffnet die Architektur erneut für die Debatte; eine Verlängerung zu den Bedingungen der Exekutive — ohne die ausgehandelte Freigabe — schließt sie. Das politische Gewicht, §702 auslaufen zu lassen, ist der Hebel, nach dem Wyden mit dem Zeitpunkt seiner „nächsten Woche“ greift.

Die stärkste Verteidigung von Section 702 ruht auf dem Nutzen dessen, was das Programm produziert. Die stärkste Kritik an Section 702 ruht darauf, dass der FISC in einer konkreten Entscheidung befunden hat, die Abfragepraktiken des FBI seien nicht rechtskonform. Die Debatte über die Neuautorisierung wird in den kommenden zwanzig Tagen daran hängen, welche Rahmung der Kongress sehen kann — und die Freigabe ist das Tor.

Die Spalte der Empfängerländer

Während Washington darüber streitet, ob der Senat eine einzige geheime Entscheidung sehen darf, wird die Ebene der Empfängerländer in großem Maßstab gebaut.

Iran — Tag 85. Die dreistufige Architektur aus Internet Pro und kommerziellem VPN bleibt in Betrieb. Zugelassene, mit IRGC und MCI verbundene Fachkräfte erhalten Bandbreite auf Whitelist-Basis für rund 0,20 € pro Gigabyte. Die breite Öffentlichkeit ist auf kommerzielle VPNs zu rund 75 € pro Monat gedrängt — grob das 12,5-Fache des Bandbreitentarifs. Sina Toosi vom Quincy Institute nannte das System in einer Analyse vom 12. Mai „digitale Apartheid“. Der geschätzte kumulierte wirtschaftliche Verlust übersteigt laut Donya-ye Eghtesad 5,2 Milliarden Dollar. Die Whitelist-Stufe des weißen Internets — für den Zugang allein zu innerstaatlich genehmigten Diensten — bleibt in großem Maßstab in Betrieb.

Mexiko — 38 Tage bis zur CURP Biométrica. Rund 127 Millionen Mobilfunkanschlüsse müssen bis zum 30. Juni eine biometrische CURP mit Gesicht, Fingerabdruck und Iris registrieren, sonst droht die Abschaltung. Die Registrierung liegt nach der Berichterstattung des mexikanischen Journalisten Ignacio Gómez Villaseñor insgesamt unter 10 Prozent. Anbieter für Anbieter: AT&T bei 29 Prozent, Bait bei 28 Prozent, Telcel bei 19 Prozent, Movistar bei 16 Prozent. Telcel verlor im ersten Quartal 2026 1,2 Millionen Anschlusszugänge — ein messbares Signal für Nutzerwiderstand. Ein Bundesgericht hob am 16. März eine frühere Aussetzungsanordnung auf. Die Verfassungsklage der mexikanischen Zivilgesellschaft ist in Bewegung, hat aber keinen Aufschub bewirkt.

Russland — Vorgabe zur VPN-Erkennung bei Providern vom 15. April in Betrieb. Nach der Berichterstattung von Meduza und Roskomsvoboda wird das Gesetz bei großen Anbietern durchgesetzt: Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn. Nach der Mai-Beobachtung derselben Medien überwachen 22 der 30 beliebtesten Android-Apps Russlands inzwischen den VPN-Status auf Anwendungsebene. Der für den 1. Mai geplante Aufschlag auf mobilen VPN-Verkehr wurde verschoben, aber die architektonische Infrastruktur zu seiner Durchsetzung steht. Die staatlich kontrollierte Messaging-App MAX wird trotz dokumentierter Überwachungsfunktionen weiter forciert.

Niger — Tag 15. Die Aussetzung von neun internationalen Medien durch das Observatoire Nationale de la Communication vom 8. Mai — France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info und France Afrique Média — bleibt in Kraft. Niger ist nach dem CPJ-Zensus vom 1. Dezember 2025 das Land mit den zweitmeisten inhaftierten Journalisten in Subsahara-Afrika.

Burkina Faso — Tag 18. Das dauerhafte Verbot von TV5 Monde vom 5. Mai bleibt in Kraft. Der RSF-Bericht vom 6. Mai dokumentierte anhaltende Inhaftierungen, darunter die des Journalisten Atiana Serge Oulon.

Pakistan — die PECA-Welle läuft weiter. Die Pakistan Press Foundation zählt 233 Vorfälle von Januar 2025 bis April 2026. Der Bericht von Freedom Network vom 29. April dokumentierte die anhaltende Einschränkung der Pressefreiheit.

Tansania — Bericht der Untersuchungskommission unter Verschluss. Der Bericht der Untersuchungskommission vom 23. April — 518 Tote, darunter 502 Zivilisten, 16 Sicherheitskräfte und 21 Kinder, bei der Gewalt nach der Wahl vom 29. Oktober 2025 — bleibt der Öffentlichkeit vorenthalten. X (Twitter) bleibt in Tansania gesperrt.

Die gemeinsame architektonische Eigenschaft dieser Regime ist die Kontrolle über die Vermittlungsschicht. Der Staat kontrolliert den Netzbetreiber, die Plattform, das Register, den Rundfunk oder den Bericht. Der nutzerseitige Primitiv-Stack — zensurresistente Transporte, Ende-zu-Ende-Verschlüsselung, Mesh und Satellit, datenschutzwahrende Währungen, föderierte Identität mit selektiver Offenlegung — ist der operative Gegenzug.

Während Washington darum streitet, ob eine einzige FISC-Entscheidung freigegeben werden kann, wird die Architektur, zu der dieser Streit gehört, in großem Maßstab ausgerollt.

Die Spalte zur Cyberwoche

In derselben Woche, in der die Freigabefrist zu §702 verstrich, verzeichnete die institutionelle Schicht für Zugangsdaten und Lieferketten sich häufende Fehlschläge.

CVE-2026-20223 — Cisco Secure Workload — CVSS 10.0. Offengelegt am Donnerstag, 21. Mai. Ciscos Produkt zur Perimeterverteidigung, die zentrale Plattform für Richtliniendurchsetzung und Segmentierung, weit verbreitet in zivilen Bundesnetzen und Unternehmensnetzen. CVSS 10.0 ist der höchste Schweregrad. Außerplanmäßige Cisco-PSIRT-Meldung; Notfall-Patch am selben Tag veröffentlicht.

Die beiden Zero-Days in Microsoft Defender for Endpoint — CVE-2026-41091 + CVE-2026-45498. Am Mittwoch, 20. Mai, in den Katalog der bekannten ausgenutzten Schwachstellen der CISA aufgenommen. Das Sicherheitswerkzeug selbst im bundesweiten Katalog der aktiv ausgenutzten Schwachstellen — Schwachstellen zur Rechteausweitung und für Denial of Service, offengelegt zusammen mit fünf Alt-CVEs aus den Jahren 2008 bis 2010. Das Defender-Team rollte die Patches parallel zum Cisco-Notfall aus.

Exchange OWA — CVE-2026-42897 — heute Tag 9, kein dauerhafter Patch. Aktive Ausnutzung seit dem 14. Mai. FCEB-Behebungsfrist am 29. Mai — sechs Tage von heute an. Microsoft hat eine automatische Abschwächung für Kunden ausgeliefert, die den Exchange EM Service aktiviert haben; für alle anderen gibt es manuelle Abschwächungsschritte. Der Patch-Zyklus des Herstellers hinkt der Regulierungsuhr die zweite Woche in Folge hinterher.

GitHub TeamPCP — 3.800 interne Repositorys exfiltriert — bestätigt am 21. Mai. Der Vektor: die Lieferkette der VS-Code-Erweiterung Nx Console (TanStack → vergiftete Nx Console), installiert von einem GitHub-Mitarbeiter, mit Zugriff auf interne Repositorys in großem, berechtigtem Umfang. Angeboten auf einem Erpressungsmarktplatz im Darknet für 50.000 Dollar. Die folgenreichste Lieferkettenkompromittierung eines SaaS-Anbieters im bisherigen Jahr 2026, gemessen an der Zahl der Repositorys.

Microsofts Fox-Tempest-Zerschlagung — 19. Mai. Die Digital Crimes Unit störte eine kriminelle Signing-as-a-Service-Operation, die rund ein Jahr lief. Mehr als 1.000 betrügerische Code-Signatur-Zertifikate wurden bei der Zerschlagung widerrufen. Kunden zahlten 5.000 bis 9.000 Dollar pro Zertifikat. Operative Verbindung zu den Ransomware-Partnern Rhysida und Vanilla Tempest.

Operation Saffron — 19./20. Mai. Eine länderübergreifende Strafverfolgungsoperation beschlagnahmte den Dienst First VPN, 33 Server und rund 5.000 Nutzerkonten. Verbindung zur Ransomware-as-a-Service-Familie Phobos. Koordination in sechzehn Ländern. Die Beschlagnahme ist die zweite Zerschlagung eines VPN-Dienstes im Jahr 2026.

Die architektonische Eigenschaft: drei parallele, aktiv ausgenutzte Zero-Days mit CVSS ≥ 7,8 bei zwei großen Herstellern, dazu eine Lieferkettenkompromittierung mit 3.800 Repositorys, dazu zwei Operationen gegen kriminelle Infrastruktur, dazu das Zugangsdatenleck der CISA (nächster Abschnitt) — innerhalb von 96 Stunden. Die Hersteller-Patch-Pipeline, die diese Publikation seit einer Woche dokumentiert, versagte gleichzeitig im Median, im Ausläufer und in der aktuellen Krise.

Die CISA-Umkehrung

Am Dienstag, 19. Mai, berichtete TechCrunch — gefolgt von Wired am 19./20. Mai —, dass das eigene Private-CISA-Repository der Behörde auf GitHub rund sechs Monate lang öffentlich zugänglich war, mit Administrator-Zugangsdaten für AWS GovCloud, Datenbankpasswörtern im Klartext und weiteren betrieblichen Geheimnissen in der Commit-Historie.

Das Fenster mit gültigen Zugangsdaten betrug nach dem eigenen Vorfallbericht der CISA rund 48 Stunden von der Offenlegung bis zur Behebung. Die Beschäftigten der CISA rotierten die Zugangsdaten und zogen das Repository zurück, sobald die Offenlegung bestätigt war. Das 48-Stunden-Fenster mit gültigen Zugangsdaten — zwischen Offenlegung und vollständiger Rotation — ist das, was die behördeneigene Binding Operational Directive 22-01 von zivilen Bundesbetreibern verlangt.

Die architektonische Erwiderung schreibt sich von selbst. Die Behörde, die den Katalog der bekannten ausgenutzten Schwachstellen veröffentlicht — die bundesweite Liste aktiver Ausnutzung, die die FCEB-Behebung in der gesamten Exekutive antreibt —, ist zugleich an der Disziplin im Umgang mit Zugangsdaten gescheitert, die ihre eigenen Direktiven von anderen verlangen. Das Versagen ist nicht böswillig. Das Versagen ist strukturell: Dieselbe Hersteller-Patch-Pipeline, die den 18-jährigen Ausläufer bei CVE-2008-4250 hervorbringt, bringt auch die Offenlegung von Zugangsdaten innerhalb jener Behörde hervor, die damit aufräumen soll.

„Vertraut einfach den Nachrichtendiensten“ — die stärkste Fassung des Arguments für den Status quo bei §702 — ist das parallele Argument derselben Woche. Das institutionelle Vertrauen, das die Debatte über die Neuautorisierung von §702 zu verlängern verlangt, ist dasselbe institutionelle Vertrauen, das das Zugangsdatenleck der CISA hervorgebracht hat, den GitHub-TeamPCP-Einbruch über eine von einem GitHub-Mitarbeiter installierte Erweiterung, das einjährige operative Fenster von Fox Tempest und die ungepatchte, aktiv ausgenutzte Exchange-OWA-Schwachstelle bei Tag 9.

Die strukturelle Antwort besteht nicht darin, jede Institution abzulehnen. Die strukturelle Antwort besteht darin, zu erkennen, dass die Institutionen auf derselben Hersteller-Pipeline-Architektur laufen, die in dieser Woche auf jeder Zeitskala versagt, und dass der nutzerseitige Primitiv-Stack — das, was in derselben Woche ausgeliefert wurde — die operative Alternative ist.

Die Protokoll-Pipeline

Fünf nutzerseitige Datenschutz-Primitive wurden in derselben Woche ausgeliefert oder schlossen einen Audit-Zyklus ab, in der die institutionelle Schicht versagte.

Discord DAVE — 19. Mai. Ende-zu-Ende-Verschlüsselung für alle Sprach- und Videoanrufe bei Discord ausgerollt. Das Protokoll DAVE (Discord Audio/Video End-to-end) wurde von Trail of Bits auditiert und in der Spezifikation bei der IETF standardisiert — das Protokoll war monatelang in der Vorschau; die Ankündigung vom 19. Mai machte es plattformweit zum Standard. Die architektonische Änderung liegt in der Größe der Nutzerbasis: Discord hat rund 200 Millionen monatlich aktive Nutzer. Die Umstellung auf E2EE als Standard bei einer der größten Verbraucherplattformen für Sprache und Video weltweit ist die größte Einzelwochen-Ausrollung von E2EE-Infrastruktur an eine nicht-nischige Nutzerbasis seit Signals Umstellung auf E2EE als Standard.

Tor Browser 15.0.14 — 19. Mai. Veröffentlichung im üblichen Takt mit Sicherheitsupdates. Der Notfall-Patch von Tor Browser 15.0.13 am 7. Mai war die vorherige Version; 15.0.14 härtet gegen Folgevektoren. Der kontinuierliche Veröffentlichungstakt des Tor-Projekts ist selbst das architektonische Beispiel — Open Source, öffentliche Prüfung, spendenfinanzierte Entwicklung, Verifikation durch mehrere Akteure.

Monero FCMP++ — Freitag, 22. Mai. Der elftägige Trail-of-Bits-Auftrag zur produktiven Integration von FCMP++ 1a/1b wurde abgeschlossen. Zweite unabhängige Firma (nach Veridise 2025) bei dem Protokoll, das die Ringsignatur mit 16 Täuschkörpern durch einen Mitgliedschaftsnachweis über die gesamte Kette ersetzt — rund 150 Millionen UTXO als Anonymitätsmenge, grob eine 9,4-millionenfache Ausweitung. Bericht in zwei bis sechs Wochen erwartet. Zieltermin für den Hard Fork im Mainnet ist das zweite Halbjahr 2026, abhängig von der Nachbesserung bis zur Audit-Freigabe.

Bitcoin BIP352 Silent Payments. Die Verbreitung ab Core 28.0 läuft weiter. Die Verbreitungskennzahlen der Reihe im Frühjahr 2026 liegen in der üblichen Ausrollkurve. Das verschlüsselte P2P-Protokoll BIP324 v2 (Standard seit Core 27.0) macht inzwischen die Mehrheit des weltweiten Bitcoin-Peer-to-Peer-Verkehrs aus.

Cashu / BOLT12 / Nostr DM. Cashu-Mints föderieren sich weiter; die Verbreitung der BOLT12-Offer-Kodierung im Lightning Network schreitet voran; verschlüsselte Direktnachrichten auf Nostr nach NIP-44 / NIP-17 / NIP-59 sind inzwischen Standard in den Clients Damus und Amethyst.

Das Muster: fünf Datenschutz-Primitive auf der Protokollebene, ausgeliefert in einem Fenster von 96 Stunden, über auditgetriebene, offene Community-Governance und auf einer anderen Architektur als die Hersteller-Patch-Pipeline. Die Protokoll-Pipeline braucht keine institutionelle Freigabe, um auszuliefern.

Der politische Überhang

Das Auslaufen von §702 ist nicht die einzige politische Frist, die die Architektur in diesem Quartal prägt.

TAKE IT DOWN Act — heute Tag 5. Die Durchsetzung durch die FTC ist heute, am 23. Mai, in Tag 5 gegangen. Fünfzehn in den Abmahnschreiben vom 11. Mai genannte Plattformen bleiben in Erfüllungshaltung; zwölf weitere Plattformen mit Nudify-Werkzeugen erhielten am 20. Mai Abmahnschreiben. Die 48-Stunden-Löschpflicht für intime Aufnahmen ohne Einwilligung, 53.088 Dollar Zivilstrafe pro Verstoß. Das Verbraucher-Meldeportal takeitdown.ftc.gov ist seit dem 20. Mai online. Die bürgerrechtliche Kritik von EFF, ACLU, CDT, R Street Institute und Free Speech Center bleibt strukturell: Das Primitiv der Löschpflicht steht nun gesetzlich für eine künftige Ausweitung des Anwendungsbereichs bereit; Ende-zu-Ende-verschlüsselte Plattformen können es strukturell nicht erfüllen.

Durchsetzung der EU-KI-Verordnung — 72 Tage bis zum 2. August. Die Pflichten für Anbieter von KI mit allgemeinem Verwendungszweck werden ab dem 2. August 2026 durchgesetzt. Die Erfüllungslage bei den Anbietern von Basismodellen ist uneinheitlich — OpenAI, Anthropic, Google und Meta haben verschiedene Rahmen zur Transparenzdokumentation veröffentlicht; Mistral und Alibaba haben bislang keine gleichwertigen Offenlegungen veröffentlicht. Die Durchsetzungsarchitektur der Kommission ist der Test des nächsten Quartals.

EU „Going Dark“ / ProtectEU. Das Zeitfenster für den Gesetzgebungsvorschlag im Sommer 2026 öffnet sich in wenigen Wochen. Das von Netzpolitik erlangte Ratsdokument vom November 2025 schlug eine einjährige verpflichtende Vorratsspeicherung von Metadaten für Online-Dienste vor, wobei einige Mitgliedstaaten die Einbeziehung von VPNs vorschlugen. Das erklärte Ziel der Kommission für 2030: "lawful access to encrypted data" — rechtmäßiger Zugang zu verschlüsselten Daten. Der architektonische Gegenzug ist das nutzerkontrollierte Overlay (URnetwork, Tor, V2Ray VLESS+Reality, Shadowsocks-2022, WireGuard), das in keinem Register der Betreiber öffentlicher Dienste auftaucht.

Durchsetzung des UK Online Safety Act. Die Durchsetzungsmaßnahmen von Ofcom liefen über das Mai-Fenster weiter — die konkreten Maßnahmen im Fenster vom 20. bis 23. Mai sind heute allerdings nicht die Hauptnachricht. Das Zusammenspiel des Gesetzes mit Ende-zu-Ende-verschlüsselten Plattformen bleibt die ungeklärte architektonische Frage.

Pakistan PECA + Tansania CoI. Behandelt in der Spalte der Empfängerländer.

Das politikübergreifende Muster: Jeder große Rechtsraum legt eine Regulierung mit Haftung der Vermittler über dieselbe architektonische Oberfläche, die der nutzerseitige Stack kryptografisch unerreichbar macht. Der Streit um §702 ist die US-Ausprägung derselben architektonischen Frage.

Der Samstags-Stack

Nachrichtenzyklen am Samstag sind anders gewichtet. Patch-Tempi sind wochentagslastig. Der Einsatz von Ransomware ist wochenendlastig — das asymmetrische Ausnutzungsfenster zwischen dem Ende des Freitags-Patch-Tempos und dem Beginn des Reaktionszyklus am Montag. Die architektonische Eigenschaft des nutzerseitigen Primitiv-Stacks — offene Clients, offene Firmware, Hardware-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität für die Post-Quanten-Ära — ist, dass er nicht vom wochentäglichen Patch-Takt abhängt. Die Audit-Pipeline-Architektur ratifiziert Upgrades auf ihrer eigenen Zeitskala.

In dieser Woche lieferte der Stack Discord DAVE als Standard, Tor Browser 15.0.14, den Abschluss des Monero-FCMP++-Audits, die fortgesetzte Verbreitung von Bitcoin BIP352 und die Ausweitung der Föderation von Cashu / BOLT12 / Nostr NIP-44. Die Herstellerpipeline lieferte Cisco mit CVSS 10.0, die beiden Microsoft-Defender-Zero-Days im KEV, Exchange OWA bei Tag 9 ohne Patch, das CISA-Zugangsdatenleck mit einem 48-Stunden-Fenster gültiger Schlüssel, GitHub TeamPCP mit 3.800 Repositorys, die Fox-Tempest-Zerschlagung und die Beschlagnahme der Operation Saffron.

Die institutionelle Schicht lief in dieser Woche scheiternd. Der nutzerseitige Stack lief in dieser Woche ausliefernd.

Beide Pipelines laufen. Die Architektur ist die Entscheidung.

Die Debatte über die Neuautorisierung von §702 wird in den kommenden zwanzig Tagen daran hängen, ob der Senat eine einzige geheime Entscheidung sehen kann, die dokumentiert, wie die institutionelle Schicht der Exekutive in der Praxis arbeitet. Die strukturelle Antwort auf diese Frage — ob die Antwort auf „dürfen wir die Entscheidung sehen“ Ja oder Nein lautet — ist die Architektur, die nicht erst gefragt werden muss. Der nutzerseitige Stack liefert kontinuierlich aus, über offene Community-Governance, auditgetriebene Verifikation und spendenfinanzierte Entwicklung. Die institutionelle Schicht liefert über Hersteller-Patches, geheime Entscheidungen und exekutive Vorrechte.

Wyden, 19. Mai: „Jedes Mitglied des Kongresses sollte das im Kopf behalten, wenn es in den kommenden Tagen über die Gesetzgebung zur Neuautorisierung von Section 702 berät.“

Heute ist Samstag, der 23. Mai.

Wydens „nächste Woche“ trifft am Montag ein.

Zwanzig Tage bis zum 12. Juni.

Der Senat wird sehen, was die Exekutive freizugeben beschließt.

Der nutzerseitige Stack liefert unabhängig davon aus.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Die MCP-Server-Veröffentlichung vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. URnetwork ist in keinem der in diesem Artikel genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen.

https://ur.io

Die Zahl ist die strukturelle Nachricht.

Das heutige Monero-Protokoll beruht auf einem Anonymitäts-Primitiv von 2014, den Ringsignaturen. Wer eine Transaktion signiert, konstruiert einen Ring aus Täuschkörpern, derzeit 16. Die Identität der tatsächlich signierenden Partei ist rechnerisch nicht von der jedes anderen Ringmitglieds zu unterscheiden. Die Anonymitätsmenge ist 16. Das ist seit einem Jahrzehnt die strukturelle Obergrenze für Moneros senderseitige Privatsphäre.

Das FCMP++-Protokoll — Full-Chain Membership Proofs mit Erweiterungen — ersetzt Ringsignaturen durch ein kryptografisches Primitiv, das die Zugehörigkeit zur gesamten aktuellen UTXO-Menge beweist. Rund 150 Millionen Transaktionsausgänge zum Zeitpunkt dieses Textes. Die Anonymitätsmenge ist, grob gesagt, jeder Transaktionsausgang, der je auf der Kette existiert hat und unausgegeben geblieben ist.

Der Ausweitungsfaktor beträgt rund das 9,4-Millionenfache.

Das ist die größte öffentlich überprüfbare Ausweitung einer Anonymitätsmenge, die je an eine laufende, werthaltige Kryptowährung ausgeliefert wurde.

Die größte wird sie erst sein, nachdem sie ausgeliefert ist. Bis heute, dem 22. Mai, ist sie nicht ins Mainnet ausgeliefert. Was heute geschehen ist, ist der Abschluss des zweiten von zwei unabhängigen Audits durch Dritte — des elftägigen Trail-of-Bits-Auftrags (12. bis 22. Mai) zum produktiven Integrationscode (FCMP++ 1a/1b in monero-project/monero), nach dem Veridise-Audit des FCMP++-Algorithmus selbst im Jahr 2025.

Dieser Auditzyklus über zwei Firmen und zwei Jahre ist der Nachrichtenanlass.

Der Artikel handelt davon, wofür der Zyklus steht.

Zwei Pipelines

Die Berichterstattung dieser Publikation über die Woche vom 18. bis 22. Mai war eine Berichterstattung über die Hersteller-Patch-Pipeline im großen Maßstab.

1. Mai: Der Verizon Data Breach Investigations Report 2026 erscheint. Zum ersten Mal seit neunzehn Jahren überholt die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als Einstiegsweg Nummer eins in Sicherheitsverletzungen. 31 Prozent aller Sicherheitsverletzungen. Der Median der Zeit bis zum Patchen einer kritischen Schwachstelle stieg von 32 Tagen 2024 auf 43 Tage 2025 — ein Anstieg um 34 Prozent. Nur 26 Prozent der kritischen Einträge im Katalog der bekannten ausgenutzten Schwachstellen der CISA waren bis 2025 vollständig behoben, nach 38 Prozent im Jahr davor. Lieferkettenverletzungen bei Dritten um 60 Prozent gegenüber dem Vorjahr gestiegen und inzwischen 48 Prozent aller Sicherheitsverletzungen. KI hat die Zeit von der Offenlegung bis zur Waffenfähigkeit eines Exploits von Monaten auf Stunden geschrumpft.

1. Mai: Die CISA nahm sieben Schwachstellen in den KEV-Katalog auf. Fünf von sieben stammten aus den Jahren 2008 bis 2010. Die älteste, CVE-2008-4250 — ein Pufferüberlauf in Microsoft Windows —, ist 18 Jahre alt. Die übrigen beiden waren CVEs in Microsoft Defender (CVE-2026-41091 Rechteausweitung, CVE-2026-45498 Denial of Service). Das Sicherheitswerkzeug selbst im bundesweiten Katalog der aktiven Ausnutzung.

1. Mai: Die Digital Crimes Unit von Microsoft störte Fox Tempest, eine kriminelle Signing-as-a-Service-Operation, die rund ein Jahr lang betrügerische Code-Signatur-Zertifikate verkauft hatte. Mehr als 1.000 betrügerische Zertifikate wurden bei der Abschaltung widerrufen. Kunden zahlten 5.000 bis 9.000 Dollar pro Zertifikat.

19./20. Mai: Der GitHub-Einbruch bei TeamPCP kam ans Licht — 3.800 interne Repositorys, exfiltriert über eine vergiftete VS-Code-Erweiterung, die ein GitHub-Mitarbeiter installiert hatte. Angeboten auf einem Erpressungsmarktplatz im Darknet für 50.000 Dollar.

Heute: CVE-2026-42897 im Microsoft Exchange Server steht bei Tag 8 aktiver Ausnutzung ohne dauerhaften Patch. Die Behebungsfrist für die zivile Bundesexekutive ist der 29. Mai — sieben Tage von heute an.

Das ist die Hersteller-Pipeline im großen Maßstab.

Die Audit-Pipeline im großen Maßstab sieht strukturell anders aus.

Die Monero-FCMP++-Pipeline ist seit Jahren sichtbar. Das ursprüngliche Papier geht auf Community-Arbeit von 2024 zurück; die formalen Protokollpapiere haben fünf Überarbeitungen durchlaufen. Das Veridise-Audit des Algorithmus wurde 2025 mit einem veröffentlichten Bericht abgeschlossen. Das Trail-of-Bits-Audit des produktiven Integrationscodes begann am 12. Mai und endet heute. Zwei unabhängige Firmen. Zwei Jahre. Eine Protokolländerung. Die Audit-Pipeline hängt an der Audit-Freigabe — der Mainnet-Hard-Fork ist für das zweite Halbjahr 2026 angestrebt, steht aber unter dem Vorbehalt, dass etwaige Auditbefunde behoben werden.

Die strukturelle Eigenschaft der Hersteller-Pipeline: Ein einzelner Hersteller kontrolliert Offenlegung, Patch, Verteilung und Behebung — gegenüber Millionen von Betreibern mit heterogenen Patch-Takten. Der 18-Jahre-Schwanz ist der stationäre Zustand.

Die strukturelle Eigenschaft der Audit-Pipeline: Unabhängige Firmen veröffentlichen ihre Befunde öffentlich; die Protokolländerung hängt an der Behebung; der Konsensmechanismus setzt diese Bedingung durch; die Nutzerin kann das nachprüfen, indem sie den veröffentlichten Bericht und den Code nach der Behebung ansieht.

Dasselbe technische Problem — die Sicherheit einer Softwareänderung überprüfen, bevor sie in den Betrieb geht. Unterschiedliche Architekturen, es zu lösen.

Der Trail-of-Bits-Auftrag, der heute endet, ist ein Fall der Audit-Pipeline, die ihre Abfolge abarbeitet.

Die Finanzierungs-Pipeline

Die Audit-Pipeline hängt an einer Finanzierungs-Pipeline.

Moneros Audits werden vom MAGIC Monero Fund finanziert, einer 501(c)(3)-Tochter der gemeinnützigen MAGIC Grants (der Dachorganisation, die auch Bitcoin-Arbeit und andere datenschutzorientierte Freie-Software-Arbeit fördert). Spenden werden öffentlich koordiniert. Der Veridise-Auditzyklus 2025 wurde über eine Runde öffentlicher Spenden finanziert; der Trail-of-Bits-Auftrag 2026 über eine weitere. Die Berichte sind öffentliche Güter, die durch globale Spenderkoordination zum globalen Nutzen entstehen.

Diese Governance-Gestalt nennt diese Publikation die Audit-Pipeline.

Sie ist nicht herstellerfinanziert. Sie ist nicht durch das Monopol einer Protokollstiftung finanziert (Monero hat bekanntlich keine Stiftung, keinen Premine, keine Insider-Zuteilung). Sie ist spendenkoordiniert über eine 501(c)(3)-Organisation, die Audit-Ausschreibungen veröffentlicht, Firmen im Wettbewerb auswählt und die Ergebnisse an die Öffentlichkeit ausliefert.

Der ehrliche Einwand lautet, dass die Spenden-Pipeline einnahmeanfällig ist. Die Zyklen 2025 und 2026 belegen ein tragfähiges Finanzierungsmodell über zwei aufeinanderfolgende Jahre für den Auditbedarf eines Protokolls. Der Zyklus 2027 ist der strukturelle Test, ob das Modell skaliert. Zu den Spendern des aktuellen Zyklus zählen die globale Monero-Community über kleine Beiträge sowie eine Handvoll größerer Einzelspender; die Spender des nächsten Zyklus sind noch nicht zugesagt.

Das Spendenmodell ist auch governance-ehrlich. Es gibt keinen Hersteller, dessen kommerzielle Interessen dadurch geschützt würden, dass der Umfang des Audits begrenzt, der Bericht zurückgehalten oder der Patch übereilt wird. Die Aufgabe der Prüfenden ist es, Befunde zu veröffentlichen. Die Aufgabe der Finanzierenden ist es, die Arbeit zu koordinieren und den Bericht öffentlich zu machen.

Das ist die finanzierungsseitige Struktur der Audit-Pipeline.

Sie unterscheidet sich von der Hersteller-Pipeline in einer dauerhaften Hinsicht: Es gibt keinen zentralen kommerziellen Torwächter.

Was das Audit nicht sagen kann

Das Audit kann nicht sagen, dass Monero perfekt privat ist.

FCMP++ liefert Zugehörigkeitsnachweise über die gesamte Kette, die die senderseitige Identität innerhalb der gesamten UTXO-Menge verbergen. Das ist eine strukturelle Verbesserung um rund das 9,4-Millionenfache gegenüber der bestehenden Ringsignatur mit 16 Täuschkörpern. Es adressiert nicht alle Bedrohungen für die Privatsphäre einer Transaktion.

Die ehrliche Aufzählung dessen, was ein Audit überprüfen kann und was nicht:

Ein Audit kann überprüfen: dass die kryptografische Konstruktion des Protokolls seiner formalen Spezifikation entspricht; dass der produktive Integrationscode dem Protokoll entspricht; dass das Beweissystem keine bekannten Soundness- oder Knowledge-Fehler hat; dass die Implementierung keine bekannten Fehler in Speichersicherheit, Seitenkanälen oder Eingabevalidierung hat, die die Privatsphäre-Eigenschaft unter üblichen Bedrohungsmodellen kompromittieren würden.

Ein Audit kann nicht überprüfen: dass keine künftige Kryptoanalyse eine Schwäche in einem Primitiv aufdeckt; dass die Implementierung gegen unbekannte gegnerische Eingaben fehlerfrei ist; dass andere Schichten des Stacks (Wallet-Software, RPC-Knoten, Gegner auf Netzwerkebene) keine Metadaten preisgeben, die die Transaktionsprivatsphäre in der Praxis kompromittieren; dass die im Mainnet vorhandene Population das Protokoll korrekt verwendet.

Die Audit-Pipeline adressiert die erste Menge. Die Audit-Pipeline kann die zweite Menge nicht aus sich heraus adressieren. Andere Primitive adressieren die zweite Menge — Wallet-Design, Privatsphäre auf Netzwerkebene (Dandelion++, I2P, Tor), Knoten-RPC-Architektur, operative Sicherheit der Nutzenden. Jedes hat seine eigene Audit- und Entwicklungs-Pipeline.

Die Audit-Pipeline ersetzt keines davon. Sie ist die strukturelle Gestalt dessen, wie kryptografische Änderungen auf Protokollebene vor der Auslieferung überprüft werden können.

Dieser Artikel handelt von dieser Pipeline. Er behauptet nicht, dass FCMP++ perfekte Privatsphäre sei. Er behauptet, dass die Pipeline überprüfbare kryptografische Protokolländerungen über offene, gemeinschaftliche Governance hervorbringt — nach einem anderen architektonischen Plan als die Hersteller-Pipeline, die den 18-Jahre-Schwanz produziert.

Die ehrliche Einschätzung lautet, dass beide Pipelines Versagensmodi haben. Die der Audit-Pipeline sind die Tragfähigkeit der Spenden, die Verfügbarkeit von Prüffirmen und die Lücke zwischen Auditbericht und Mainnet-Aktivierung. Die der Hersteller-Pipeline sind der 18-Jahre-Schwanz, der Median von 43 Tagen, die Lieferkettenkompromittierung.

Die architektonische Entscheidung ist, unter welcher Menge von Versagensmodi man lieber lebt.

Was das für die Nutzenden bedeutet

Der Trail-of-Bits-Auftrag endet heute. Der Trail-of-Bits-Bericht erscheint heute nicht. Üblich sind 2 bis 6 Wochen Behebungsschleifen vor der Veröffentlichung, mit einem Abschlussbericht, der Befunde, Schweregrade, Antworten des Auftraggebers und den Stand der Behebung enthält.

Danach: Das Monero Research Lab und die Kernentwickler integrieren erforderliche Nachbesserungen. Das Beta-Stressnet (läuft seit dem 6. Mai bei Block 2.997.100) belastet die Integration weiter. Der Mainnet-Hard-Fork ist für das zweite Halbjahr 2026 angestrebt, unter dem Vorbehalt der Audit-Freigabe und der Stabilität des Stressnets.

Für jemanden, der heute XMR hält: Heute ändert sich nichts. Die aktuelle Ringsignatur mit 16 Täuschkörpern bleibt die operative Anonymitätsmenge, bis der Hard Fork aktiv wird. Nach der Aktivierung wird der FCMP++-Beweis für neue Transaktionen verpflichtend, und die Anonymitätsmenge weitet sich auf die gesamte UTXO-Menge aus. Wallet-Software wird aktualisiert, um das neue Transaktionsformat zu unterstützen. Carrot, das neue Adressierungsschema, das mit FCMP++ ausgeliefert wird, ist so entworfen, dass es zu bestehenden Adressen abwärtskompatibel ist, sodass Nutzende keine Mittel migrieren müssen.

Es gibt eine messbare nutzerseitige Lücke zwischen der heutigen Nachricht (das Audit endet) und dem operativen Nutzen (die Anonymitätsmenge weitet sich aus). Der Artikel lässt diese Lücke nicht verschwinden. Er benennt sie als Eigenschaft jeder kryptografischen Protokolländerung.

Die Hersteller-Pipeline hat dieselbe Eigenschaft — Microsoft veröffentlichte den Patch für CVE-2008-4250 im Oktober 2008, und die CISA nahm die Population ungepatchter Systeme an diesem Mittwoch in den Katalog der aktiven Ausnutzung auf. Die Lücke zwischen Herstellerveröffentlichung und nutzerseitigem Nutzen beträgt in manchen Betriebssektoren achtzehn Jahre.

Die Lücke der Audit-Pipeline zwischen der heutigen Nachricht und dem nutzerseitigen Nutzen beträgt einige Wochen für den Bericht plus einige Monate für die Konsens-Aktivierung. Rund sechs bis zwölf Monate von heute an bis zur operativen Ausweitung der Anonymitätsmenge, je nach Behebung.

Beide Pipelines haben Lücken. Die Lücke der Audit-Pipeline ist durch den Audit- und Konsensfahrplan begrenzt. Die Lücke der Hersteller-Pipeline ist durch den langen Schwanz des Betreiberverhaltens begrenzt.

Der architektonische Gegenentwurf

Die Audit-Pipeline schließt heute vor dem Hintergrund staatlicher Maßnahmen, die architektonisch in die entgegengesetzte Richtung weisen.

Vereinigte Staaten — Der TAKE IT DOWN Act ist heute an seinem vierten Tag der Durchsetzung (Beginn der Durchsetzung am 19. Mai). Fünfzehn Plattformen, die in den Mahnschreiben vom 11. Mai genannt wurden, bleiben in Compliance-Haltung. Das Verbraucherportal takeitdown.ftc.gov der FTC ging am 20. Mai online. Die 48-Stunden-Löschpflicht des Gesetzes für nicht einvernehmliche intime Aufnahmen schafft ein neues gesetzliches Lösch-Primitiv, herausgeschnitten aus der Immunitätsgrundlage von Section 230. Die bürgerrechtliche Kritik von EFF, ACLU, CDT, R Street Institute und Free Speech Center hat Bestand: Die Löschpflicht ist weiter gefasst als die strafrechtliche NCII-Definition; Ende-zu-Ende-verschlüsselte Plattformen (Signal, Matrix, Briar, Threema, Tuta, Proton) können ihr strukturell nicht nachkommen. Die architektonische Linse ist der Präzedenzfall — das Lösch-Primitiv steht nun gesetzlich für künftige Ausweitungen des Anwendungsbereichs bereit.

Section 702 des Foreign Intelligence Surveillance Act läuft in 21 Tagen aus — am 12. Juni 2026. Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März zu den Abfragepraktiken des FBI unter Section 702 bleibt Verschlusssache. Senator Wydens fünfzehntägiges Fenster für die beschleunigte Freigabe — am 30. April als Bedingung für die 45-tägige Verlängerung ausgehandelt — schloss um den 15. Mai ohne Veröffentlichung. Das Justizministerium hat nicht freigegeben. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Senator Cottons Einwand gegen eine Verabschiedung im Konsensverfahren mit angehängter Freigabebestimmung hatte Bestand. Der Kongress autorisiert Überwachung neu, ohne die Sicht des FISC auf die Abfragepraktiken des FBI.

Europäische Union — Der Fahrplan „Going Dark“ / ProtectEU, die Kehrtwende der Kommission nach der Niederlage bei Chat Control 2.0 am 26. November 2025, hat das erklärte Ziel für 2030, "lawful access to encrypted data" — rechtmäßigen Zugang zu verschlüsselten Daten. Das im November 2025 von Netzpolitik erlangte Ratsdokument schlug eine einjährige Pflicht zur Vorratsspeicherung von Metadaten für Onlinedienste vor, wobei einige Mitgliedstaaten die Einbeziehung von VPNs vorschlugen. Der Sommer 2026 gilt als erwartetes Fenster für den Gesetzesvorschlag. Die Durchsetzungsfrist des EU-KI-Gesetzes für Pflichten zu KI-Modellen mit allgemeinem Verwendungszweck am 2. August 2026 ist 72 Tage entfernt.

Mexiko — Die Frist für die CURP Biométrica ist 39 Tage entfernt. 30. Juni 2026. Rund 127 Millionen Mobilfunkanschlüsse müssen sich bis dahin biometrisch registrieren (Gesicht, Fingerabdruck, Iris) oder werden abgeschaltet. Der Einbruch bei NYC Health + Hospitals vom 18. Mai — 1,8 Millionen Fingerabdrücke und Handflächenabdrücke in gegnerischem Besitz — ist das Bedrohungsmodell.

Die architektonische Richtung der vorgeschlagenen und der in Durchsetzung befindlichen Regime weist auf mehr staatliche Einsicht in Kommunikation, Identität und Metadaten, bei weniger verfügbaren anonymen Primitiven.

Der Abschluss des Monero-Audits ist ein Fall der entgegengesetzten architektonischen Richtung — kryptografische Privatsphäre-Primitive auf Protokollebene, abhängig von unabhängiger Überprüfung, ausgeliefert über gemeinschaftliche Governance.

Die gemeinsame Linse: Beide Richtungen sind architektonische Entscheidungen. Keine ist unausweichlich. Beide haben Kosten.

Die Ebene der Empfängerländer

Der architektonische Gegenentwurf hat seinen schärfsten Einsatz auf der Ebene der Empfängerländer.

Iran — Tag 84 heute (verankert an der Verschärfung der Abschaltung im Zusammenhang mit den Angriffen vom 28. Februar; das zugrunde liegende restriktive Regime geht auf den Beginn am 8. Januar 2026 zurück). Die Stufe „weißes Internet“ mit auf die Whitelist gesetzten rein inländischen Diensten bleibt in Betrieb. Die Stufe „Internet Pro“ für auf die Whitelist gesetztes Personal mit Bezug zu IRGC und MCI läuft weiter, mit dokumentierten Wartezeiten von 3 bis 4 Stunden für die SIM-Umstellung in Teheraner Büros. Das kommerzielle VPN-Klassensystem für wohlhabende Nutzende besteht fort. Geschätzte wirtschaftliche Kosten rund 250 Millionen Dollar pro Tag. Der kumulierte Verlust übersteigt seit dem ursprünglichen Beginn 5 Milliarden Dollar.

Russland — Die Vorgabe von Roskomnadsor vom 15. April, wonach Provider VPN-Nutzung erkennen und melden müssen, bleibt in Betrieb bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn. Laut Meduza überwachen 22 der 30 beliebtesten Android-Apps Russlands inzwischen den VPN-Status auf Anwendungsebene. Der staatlich kontrollierte Messenger MAX wird weiter forciert, trotz dokumentierter Überwachungsfunktionen und begrenzter tatsächlicher Nutzung. Telegram bleibt blockiert (95 Prozent der Telegram-Verbindungen scheitern ohne VPN), auch wenn das April-Update, das den Verkehr als gewöhnlichen Browser-Verkehr tarnt, den Zugang binnen Stunden wiederherstellte.

Niger — Tag 14 heute der Aussetzung von neun internationalen Medien durch das Observatoire Nationale de la Communication vom 8./9. Mai: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Die Verbote gelten weiter. Niger ist laut der Zählung des CPJ vom 1. Dezember 2025 der zweitschlimmste Kerkermeister von Journalisten in Subsahara-Afrika.

Burkina Faso — Tag 17 des dauerhaften Verbots von TV5 Monde vom 5. Mai. Der Bericht von RSF vom 6. Mai dokumentierte die Inhaftierung des burkinischen Journalisten Atiana Serge Oulon.

Mexiko — 39 Tage bis zur CURP Biométrica.

Tansania — Der Bericht der Untersuchungskommission zur Gewalt nach der Wahl vom 29. Oktober 2025 (518 Tote, darunter 502 Zivilisten, 16 Sicherheitskräfte, 21 Kinder) bleibt unter Verschluss. X (Twitter) bleibt gesperrt.

In all diesen Regimen zählt die Architektur der Audit-Pipeline, weil die eingesetzte Alternative Sichtbarkeit von Inhalten und Offenlegung von Identität heißt. Eine Protokollarchitektur mit Privatsphäre als Voreinstellung (Tor, Monero, Signal, Matrix, GrapheneOS, das Peer-to-Peer-Overlay von URnetwork) ist der operative Gegenentwurf zum eingesetzten Überwachungsregime. Der architektonische Gegenentwurf wird nicht erst möglich, wenn die politische Lage günstig ist — er ist möglich, weil die Architektur existiert.

Der Abschluss des Monero-Audits ist ein Fall dieser Architektur, die im Protokolltakt gepflegt wird.

Das Pipeline-Muster über Monero hinaus

Die Audit-Pipeline ist nicht auf kryptografische Protokollarbeit beschränkt. Auch andere Bereiche haben begonnen, vergleichbare Governance-Gestalten auszuliefern.

RAMPART des Microsoft AI Red Team (Risk Assessment and Mitigation Process for AI Red Teaming) wurde am 20. Mai zusammen mit Microsofts Clarity-Toolkit als Open Source veröffentlicht. RAMPART kodiert die Philosophie, dass "AI safety is a continuous engineering discipline rather than a periodic checkpoint" — KI-Sicherheit sei eine fortlaufende Ingenieursdisziplin und kein periodischer Kontrollpunkt. Die Gestalt ist parallel zur kryptografischen Audit-Pipeline: fortlaufende Bewertung, öffentliche Methodik, herstellerunabhängige Reproduzierbarkeit. Die Umsetzungen unterscheiden sich vom kryptografischen Audit; die Governance-Gestalt ist vergleichbar.

Das Profil zum NIST AI Risk Management Framework (veröffentlicht am 7. April 2026) baut auf AI RMF 1.0 auf und kodifiziert eine Bewertungsmethodik auf Modellebene, die sowohl Hersteller als auch unabhängige Prüfende anwenden können.

CVE-2026-25592 in Microsoft Semantic Kernel — Mitte Mai veröffentlicht, eine SQL-Injection im SQL-Datenadapter, die prompt-gesteuerte SQL-Ausführung erlaubte. Der Fehler ist der Demonstrationsfall für die Risiken von Agenten-Architekturen; die Pipeline, die die Offenlegung hervorgebracht hat, folgt der üblichen Gestalt von CVE und koordinierter Offenlegung. Agenten-Architekturen vergrößern die Angriffsfläche; die Offenlegungs-Pipeline folgt immerhin bekannten Mustern.

Die Pflichten des EU-KI-Gesetzes für KI-Modelle mit allgemeinem Verwendungszweck werden ab dem 2. August 2026 durchgesetzt — 72 Tage. Die Durchsetzungs-Pipeline der EU ist ein regulatorisch getriebenes Analogon zur Audit-Pipeline; ob sie sich an tatsächlichen Fähigkeitsbehauptungen bewährt, ist der Test des nächsten Quartals.

Das architektonische Muster — fortlaufende, öffentliche Überprüfung von Sicherheitsbehauptungen durch mehrere Akteure — verallgemeinert sich über kryptografische Protokolle, KI-Agentensicherheit und regulatorische Durchsetzung hinweg. Die Umsetzungen unterscheiden sich. Die strukturelle Gestalt ist vergleichbar.

Der nutzerseitige Stack

Was heute, in dieser Woche, nutzerseitig außerhalb der Hersteller-Pipeline läuft:

Tor Browser 15.0.14 erschien am 19. Mai mit Sicherheitsupdates, die auf der Notfallveröffentlichung vom 7. Mai aufbauen.

GrapheneOS 2026050900 erschien am 9. Mai, mit dem Vorschau-Build 2026030501, der Pixel 6+ unter Android 16 unterstützt (Android-Sicherheitsbulletins April bis August 2026).

CalyxOS 7.2.1.0 erschien am 4. Mai als Test-Build, ebenfalls Android 16.

Signal hat laufend Updates ausgeliefert; der Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und PQXDH Signals „Triple Ratchet“ zur Post-Quanten-Härtung. Die Reihe für das Frühjahr 2026 wird schrittweise weiter ausgeliefert.

FIDO2-Hardware-Authentifizierung überschritt am Welt-Passkey-Tag der FIDO Alliance am 7. Mai weltweit fünf Milliarden Passkeys. Die YubiKey-Auslieferungen liegen insgesamt über 30 Millionen.

Bitcoin BIP352 Silent Payments verbreiten sich weiter in Deployments ab Core 28.0. BIP324 v2 mit verschlüsseltem P2P-Verkehr ist seit Core 27.0 standardmäßig aktiv (inzwischen die Mehrheit des weltweiten Peer-to-Peer-Verkehrs von Bitcoin).

Zcash Crosslink Milestone 4 (PoW + BFT-Finalität) wird weiterentwickelt; Vitalik Buterins zweite Spende an Shielded Labs vom 6. Februar unterstützte die Upgrade-Arbeit.

Die Standardisierung der Angebotskodierung BOLT12 im Lightning Network geht weiter; die Verbreitung von Nostr-DM / NIP-44 / Cashu wächst im weiteren Bitcoin-Privatsphäre-Ökosystem.

Das Peer-to-Peer-Overlay von URnetwork betreibt die zensurresistente Transportschicht; die MCP-Server-Veröffentlichung vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren.

W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025); eIDAS 2.0 BBS+ zur selektiven Offenlegung in der Finalisierung bei der IETF.

Briar 1.5.17 (Veröffentlichung vom 12. März 2026) läuft über Bluetooth, WLAN und Tor als Alternative auf Mesh-Ebene.

ML-KEM, ML-DSA, SLH-DSA als Post-Quanten-Primitive — Standards seit August 2024 in Kraft. Auslaufen von FIPS 140-2 am 21. September 2026 (123 Tage entfernt). Q-Day-Ziel 2029.

Der nutzerseitige Primitiv-Stack läuft protokollübergreifend auf der Architektur der Audit-Pipeline. Dieselbe Governance-Gestalt — offene Codebasen, öffentliche Prüfung, Verifikation durch mehrere Akteure, spenden- oder gemeinschaftskoordinierte Entwicklung — bringt die operativen Alternativen zur Hersteller-Pipeline hervor.

Schluss

Das Trail-of-Bits-Audit der Integration von FCMP++ 1a/1b in Monero endet heute.

Der Bericht steht aus. Die Behebungs-Pipeline beginnt. Die Mainnet-Aktivierung ist Monate entfernt.

Das architektonische Argument trägt über die Lücke hinweg.

Die Woche vom 18. bis 22. Mai hat in der Berichterstattung dieser Publikation das Versagen der Hersteller-Pipeline auf jeder Zeitskala dokumentiert — achtzehn Jahre am Schwanz (CISA KEV, 20. Mai), dreiundvierzig Tage im Median (Verizon DBIR, 19. Mai), sieben Tage bis zur FCEB-Frist in der aktuellen Krise (Exchange OWA, heute Tag 8), rund ein Jahr operativer Signing-as-a-Service bis zur Abschaltung (Microsoft Fox Tempest, 19. Mai).

Die Audit-Pipeline schließt heute einen Auftrag ab. Das strukturelle Muster ist über zwei Jahre dokumentiert — Veridise-Algorithmus-Audit 2025, Trail-of-Bits-Integrations-Audit 2026, Koordination durch den MAGIC Monero Fund (501(c)(3)) über beide Zyklen, öffentliche Berichte, Konsens-Bedingung an die Behebung, Mainnet-Aktivierung vorbehaltlich der Stabilität.

Beide Pipelines laufen. Beide haben Versagensmodi. Die architektonische Entscheidung liegt zwischen den beiden.

Die Spalte der eingesetzten Architektur auf der Ebene der Empfängerländer — Iran Tag 84, VPN-Erkennung bei russischen Providern, Niger Tag 14, Burkina Faso Tag 17, Mexiko 39 Tage, zurückgehaltener Bericht in Tansania — ist der Beleg dafür, dass die architektonische Entscheidung nicht abstrakt ist. Staatliche Überwachungsregime werden im großen Maßstab ausgerollt.

Der nutzerseitige Primitiv-Stack — offene Clients, offene Firmware, Hardware-Schlüssel, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität — ist heute auf der Architektur der Audit-Pipeline in Betrieb.

Der Abschluss des Monero-Audits ist ein Fall dieser Architektur, die ihre Abfolge abarbeitet.

Die größere Geschichte ist, dass die Architektur existiert, dass der heutige Tag einen Takt ihrer Pflege dokumentiert und dass die Nutzenden eine einsatzunabhängige Alternative zu jener Hersteller-Pipeline haben, die den achtzehnjährigen Schwanz produziert.

Die Audit-Pipeline schließt heute.

Der architektonische Gegenentwurf läuft kontinuierlich.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Die MCP-Server-Veröffentlichung vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. URnetwork ist in keinem der in diesem Artikel genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen.

https://ur.io

Die Cybersecurity and Infrastructure Security Agency nimmt Schwachstellen nur dann in ihren Katalog der bekannten ausgenutzten Schwachstellen auf, wenn forensische Belege für eine Ausnutzung in freier Wildbahn vorliegen. Der Katalog ist die maßgebliche Liste der Bundesregierung über Schwachstellen, die aktiv angegriffen werden. Die Binding Operational Directive 22-01 legt für jeden Eintrag Behebungsfristen für die Behörden der zivilen Bundesexekutive fest. Aufnahmen durch die CISA sind operative Signale.

Gestern, am Mittwoch, 20. Mai 2026, nahm die CISA sieben Schwachstellen in den KEV-Katalog auf.

Fünf von sieben stammen aus 2008, 2009 oder 2010 — sie sind zwischen sechzehn und achtzehn Jahre alt.

CVE-2008-4250 — Pufferüberlauf-Schwachstelle in Microsoft Windows. Ursprüngliche Offenlegung: Oktober 2008. Achtzehn Jahre alt.

CVE-2009-1537 — NULL-Byte-Überschreibung in Microsoft DirectX. Ursprüngliche Offenlegung: 2009. Siebzehn Jahre alt.

CVE-2009-3459 — Heap-basierter Pufferüberlauf in Adobe Acrobat und Reader. Ursprüngliche Offenlegung: 2009. Siebzehn Jahre alt.

CVE-2010-0249 — Use-after-free-Schwachstelle im Microsoft Internet Explorer. Ursprüngliche Offenlegung: 2010. Sechzehn Jahre alt.

CVE-2010-0806 — Use-after-free-Schwachstelle im Microsoft Internet Explorer. Ursprüngliche Offenlegung: 2010. Sechzehn Jahre alt.

CVE-2026-41091 — Rechteausweitung in Microsoft Defender. Offengelegt 2026.

CVE-2026-45498 — Denial of Service in Microsoft Defender. Offengelegt 2026.

Die fünf Alt-CVEs erstrecken sich über Windows, DirectX, Adobe Acrobat und Internet Explorer. Die Herstellerpatches für alle fünf wurden vor Jahren veröffentlicht — für die älteste vor achtzehn Jahren. Es sind keine neuen Schwachstellen. Die CISA verfügt über forensische Belege, dass sie heute aktiv gegen Systeme ausgenutzt werden, die die Patches nie eingespielt haben.

Die Deutung ist strukturell. Die Hersteller-Patch-Pipeline hat einen so großen Schwanz ungepatchter Altsysteme hervorgebracht, dass die Ausnutzung eines 18 Jahre alten Pufferüberlaufs in Windows 2026 eine tragfähige Angriffsstrategie bleibt. Die Angreifer haben herausgefunden, welche Systeme verwundbar geblieben sind, dagegen im großen Maßstab automatisiert — und nun muss die CISA das CVE von 2008 auf die bundesweite Liste der aktiven Ausnutzung setzen.

Die Patch-Pipeline hat einen achtzehnjährigen Schwanz.

Fünf von sieben aus der Altlast

Die Verteilung von 5 aus 7 ist nicht das übliche Muster von CISA-KEV-Aufnahmen. Der Katalog wächst typischerweise mit jüngeren Schwachstellen — Offenlegungen des laufenden Quartals oder Jahres, die forensisch mit Ausnutzungskampagnen in freier Wildbahn verknüpft wurden. Fünf Schwachstellen aus 2008 bis 2010 an einem einzigen Tag aufzunehmen, signalisiert, dass sich das Lagebild der CISA verschoben hat.

Drei mögliche Deutungen:

Erstens: Ein staatsnaher Bedrohungsakteur oder ein kommerzieller Spyware-Anbieter hat die Alt-CVEs wiederentdeckt und setzt sie im großen Maßstab gegen Systeme ein, die nie gepatcht wurden. Das Altbestand-Angriffsinventar ist aufgefrischt worden.

Zweitens: Eine kriminelle Erpressergruppe hat die Ausnutzung der Alt-CVEs automatisiert, um die Population ungepatchter Systeme zu kompromittieren — Einrichtungen, die ihre Software seit fünfzehn und mehr Jahren nicht gepflegt haben.

Drittens: Die forensische Sicht der CISA hat sich erweitert — die Behörde hat die Telemetrie verbessert, die die Ausnutzung von Alt-CVEs in Bundesnetzen erkennt, und die Aufnahmen vom 20. Mai bilden ab, was ohnehin schon geschah, statt einer neuen Angriffskampagne.

Welche Deutung auch zutrifft, die operative Folge ist dieselbe. Die IT-Behörden des Bundes — und mit ihnen jede Organisation, die den CISA-KEV-Katalog als Teil ihres Schwachstellenmanagements verfolgt — müssen jetzt Schwachstellen beheben, für die Herstellerpatches erschienen sind, bevor manche der heutigen IT-Beschäftigten alt genug zum Autofahren waren.

Der Verizon Data Breach Investigations Report 2026, veröffentlicht am Dienstag, 19. Mai — zwei Tage vor dem CISA-Ereignis —, fand, dass der Median der Zeit bis zum Patchen einer kritischen Schwachstelle von 32 Tagen im Jahr 2024 auf 43 Tage im Jahr 2025 gestiegen ist. Ein Anstieg um 34 Prozent. Das Maß des DBIR ist der Median. Die CISA-KEV-Aufnahmen vom 20. Mai sind der Schwanz: das Maß am 99. Perzentil dafür, wie langsam die Patch-Pipeline im großen Maßstab läuft. Achtzehn Jahre.

Defender selbst

Die beiden nicht aus der Altlast stammenden CVEs, die gestern in den KEV-Katalog aufgenommen wurden, betreffen beide Microsoft Defender: CVE-2026-41091 (Rechteausweitung) und CVE-2026-45498 (Denial of Service).

Microsoft Defender ist Microsofts Endpunktschutz-Plattform für Unternehmen. Es ist das, was Microsoft als Sicherheitslösung verkauft. Es ist der Agent, der Schadsoftware erkennt, laterale Bewegung blockiert und Vorfälle an Security Operations Center meldet. Als Microsoft am 12. Mai Microsoft Defender for AI Agents ankündigte, positionierte das Unternehmen Defender als Sicherheitsinfrastruktur für die Ära agentischer KI — mit webhook-basiertem Abfangen in Echtzeit, Asset-Kontext-Zuordnung je Agent und Laufzeitschutz. Microsofts multimodales agentisches Scan-Harness (MDASH), in derselben Woche gestartet, orchestriert mehr als 100 spezialisierte KI-Agenten, erreichte 88,45 Prozent im CyberGym-Benchmark und fand 16 neue Windows-Schwachstellen.

Microsoft Defender — das Werkzeug, das Schwachstellen erkennt — hat nun zwei eigene CVEs im bundesweiten Katalog der aktiven Ausnutzung.

Die rekursive Ironie ist strukturell. Wenn das Sicherheitswerkzeug selbst eine Angriffsfläche ist, verlässt sich die Architektur darauf, dass der Hersteller des Sicherheitswerkzeugs sein eigenes Werkzeug patcht. Die Patch-Pipeline, die laut DBIR bei einem Median von 43 Tagen bis zum Patch läuft, ist dieselbe Pipeline, die Defender-Fixes ausliefern muss. Microsoft wird sie ausliefern. Sie werden auf den meisten Systemen installiert werden. Auf manchen werden sie nicht installiert werden.

Der achtzehnjährige Schwanz gilt rekursiv. Manche Defender-Installationen von 2026 werden im Jahr 2044 immer noch ungepatcht gegen CVE-2026-41091 laufen.

Der DBIR-Hintergrund

Der Verizon Data Breach Investigations Report ist der am längsten laufende jährliche Benchmark-Datensatz der Cybersicherheitsbranche. Die Ausgabe 2026, veröffentlicht am Dienstag, 19. Mai, wertete mehr als 22.000 bestätigte Sicherheitsverletzungen und mehr als 31.000 Sicherheitsvorfälle in 145 Ländern aus, mit einem Berichtszeitraum vom 1. November 2024 bis zum 31. Oktober 2025.

Der Hauptbefund: Zum ersten Mal in neunzehn Jahren DBIR-Veröffentlichung hat die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als Einstiegsweg Nummer eins in Sicherheitsverletzungen überholt. 31 Prozent aller Sicherheitsverletzungen im Jahr 2025 begannen mit der Ausnutzung einer Schwachstelle. Gestohlene Zugangsdaten — neunzehn Jahre in Folge auf Platz eins — fallen auf Platz zwei.

Der Behebungsbefund: Nur 26 Prozent der kritischen Einträge aus dem CISA-Katalog der bekannten ausgenutzten Schwachstellen waren bis 2025 vollständig behoben — nach 38 Prozent im Jahr 2024. Ein Rückgang um zwölf Punkte in einem einzigen Jahr. 58 Prozent teilweise behoben; 16 Prozent unbearbeitet. Der Median der Zeit bis zum Patch einer kritischen Schwachstelle stieg auf 43 Tage — vierunddreißig Prozent mehr als die 32 Tage im Jahr 2024.

Der Lieferkettenbefund: Lieferkettenverletzungen bei Dritten sprangen um 60 Prozent gegenüber dem Vorjahr. Sie machen inzwischen 48 Prozent aller Sicherheitsverletzungen aus.

Der KI-Befund: KI wird von Bedrohungsakteuren genutzt, um die Zeit zwischen Offenlegung und operativer Waffenfähigkeit von Monaten auf Stunden zu verkürzen. Die Nutzung von KI-Werkzeugen durch Beschäftigte stieg binnen eines Jahres von 15 Prozent auf 45 Prozent. Der Verkehr von KI-Bots wächst um 21 Prozent pro Monat.

Das CISA-KEV-Ereignis vom 20. Mai ist die operative Demonstration aller drei DBIR-Befunde. Die Ausnutzung von Schwachstellen ist der neue Einstiegsweg Nummer 1 — und der Katalog muss 18 Jahre alte CVEs aufnehmen, weil die Patch-Pipeline nicht mithalten kann. Die Patch-Krise reicht von heute (Exchange OWA, an Tag 7 aktiver Ausnutzung immer noch ohne Patch) bis 2008 (achtzehn Jahre nach der Offenlegung immer noch ausgenutzt). Die Lieferkettenkrise reicht durch jeden Hersteller, der eine ungepatchte Abhängigkeit ausliefert.

Zwanzig Monate unentdeckt

Das Muster, das den achtzehnjährigen Schwanz hervorbringt, ist in operativer Form sichtbar. Am 12. Mai 2026 — vor neun Tagen — verhängte das britische Information Commissioner's Office gegen die South Staffordshire Plc und die Muttergesellschaft South Staffordshire Water Plc ein Bußgeld von insgesamt 963.900 Pfund (rund 1,3 Millionen Dollar) für den Cl0p-Ransomware-Einbruch von 2022, der 633.887 Kundinnen, Kunden und Beschäftigte des Wasserversorgers der kritischen Infrastruktur betraf.

Die veröffentlichten Feststellungen des ICO dazu, was den Einbruch ermöglichte, sind ein Porträt des Versagens der Patch-Pipeline im großen Maßstab:

• Der ursprüngliche Zugangsweg war eine Phishing-E-Mail; die Empfangsperson öffnete einen Anhang, der Schadsoftware installierte
• Die Schadsoftware blieb zwanzig Monate lang in der IT-Umgebung des Unternehmens unentdeckt
• Nur 5 Prozent der IT-Umgebung wurden überwacht
• Veraltete Software blieb im Betrieb, darunter Windows Server 2003 — ein Betriebssystem, das Microsoft zuletzt 2015 unterstützte, vor elf Jahren
• Das Schwachstellenmanagement war unzureichend, einschließlich ungepatchter kritischer Systeme
• Die Angreifer erlangten mit begrenzten Kontrollen administrative Rechte
• Die persönlichen Daten von 633.887 Menschen wurden im August 2022 im Darknet veröffentlicht

Windows Server 2003 lief 2022 auf operativen Systemen der kritischen Infrastruktur. Das Support-Ende für Server 2003 war der 14. Juli 2015. Die Patches, die das Betriebssystem zur Abwehr von CVE-2008-4250 — der gestrigen KEV-Aufnahme — bräuchte, waren 2008 verfügbar. Das System lag zum Zeitpunkt der Kompromittierung zwanzig Jahre hinter der Patch-Pipeline zurück.

Das ist es, was den achtzehnjährigen Schwanz hervorbringt.

Das Bußgeld kommt vier Jahre nach dem Einbruch. Das Muster besteht weltweit bei unzähligen Betreibern kritischer Infrastruktur fort, die ihre eigenen ungepflegten Alt-Stacks betreiben — gegen die Uhr der Aufsicht, die Jahre später aufholt, und gegen die Uhr der Angreifer, die sie heute findet.

Tag sieben bei Exchange

Während der achtzehnjährige Schwanz das alte Ende der Patch-Krise ist, ist das aktuelle Ende derselben Krise in dieser Woche operativ.

CVE-2026-42897 im Microsoft Exchange Server — eine kritische Spoofing-Schwachstelle in Outlook Web Access mit Ursprung in Cross-Site-Scripting, CVSS 8.1 — wurde von Microsoft am 14. Mai offengelegt. Die Offenlegung enthielt die Angabe, dass die Schwachstelle bereits ab Tag eins aktiv in freier Wildbahn ausgenutzt wurde. Die CISA nahm sie am nächsten Tag, dem 15. Mai, in den Katalog der bekannten ausgenutzten Schwachstellen auf, mit einer Behebungsfrist der zivilen Bundesexekutive zum 29. Mai.

Heute ist Tag 7 der aktiven Ausnutzung. Die Behebungsfrist ist 8 Tage entfernt.

Einen dauerhaften Patch gibt es weiterhin nicht. Microsoft hat eine automatische Mitigation veröffentlicht, die nur für Kunden mit aktiviertem Exchange EM Service gilt. Kunden ohne EM Service müssen manuelle Schritte zur Abhilfe umsetzen. Der IT-Betrieb des Bundes muss die FCEB-Frist zum 29. Mai mit Abhilfemaßnahmen statt mit Patchen einhalten.

Das Muster ist dasselbe wie im Fall CVE-2026-0300 in Palo Alto PAN-OS vom 9. bis 13. Mai: Die Frist aus der Binding Operational Directive 22-01 der CISA lag vor dem Herstellerpatch. Die zivilen Bundesbehörden mussten mitigieren, nicht patchen. Der Patch-Zyklus der Hersteller läuft strukturell hinter dem Zyklus der Aufsicht und dem Takt der Angriffe her.

Der DBIR-Befund, dass KI die Zeit bis zur Waffenfähigkeit eines Exploits von Monaten auf Stunden geschrumpft hat, greift hier. Microsoft veröffentlichte die Offenlegung am selben Tag mit der Bestätigung aktiver Ausnutzung. Es gab kein Fenster zum vorherigen Patchen. Die Angreifer arbeiten mit einer engeren Uhr als die Verteidigung.

Das Anodot-Muster

Der dritte DBIR-Befund — Lieferkettenverletzungen um 60 Prozent gegenüber dem Vorjahr gestiegen, inzwischen 48 Prozent aller Sicherheitsverletzungen — wird an den kompromittierten Authentifizierungs-Token einer einzigen SaaS-Analyseplattform vorgeführt.

Im April 2026 nutzte die Erpressergruppe ShinyHunters kompromittierte Authentifizierungs-Token der Analyseplattform Anodot, um über gestohlene Anodot-Token mit BigQuery-Zugriff auf Cloud-Daten mehrerer nachgelagerter Kunden zuzugreifen. Zwei dieser nachgelagerten Vorfälle landeten im Mai:

Zara — 197.400 offengelegte E-Mail-Adressen. Inditex, die Muttergesellschaft von Zara, teilte im April 2026 mit, dass ein unbefugter Akteur auf Datenbanken zugegriffen habe, die bei einem „früheren Technologieanbieter“ gehostet wurden. Have I Been Pwned bestätigte 197.400 eindeutige E-Mail-Adressen neben Produkt-SKUs, Bestell-IDs und der Marktkennung für Support-Tickets. ShinyHunters setzte Zara anschließend mit einer Frist zum 21. April, sich bei Inditex zu melden, auf sein Leak-Portal im Darknet und veröffentlichte dann ein 140-GB-Archiv, als die Lösegeldverhandlungen scheiterten.

Vimeo — 119.000 Nutzende. Am 5. Mai 2026 bestätigte Vimeo, dass Angreifer im April über dieselbe Anodot-Integration persönliche Daten von rund 119.000 Nutzenden gestohlen hatten. Der Zugriff erfolgte über diese Integration, nicht durch einen Einbruch bei Vimeo selbst. ShinyHunters veröffentlichte ein 106-GB-Archiv, als die Lösegeldverhandlungen scheiterten.

Die eine Anodot-Kompromittierung erzeugte nachgelagerte Vorfälle bei mehreren großen Kunden. Das ist das Lieferkettenmuster: Wer den SaaS-Anbieter angreift, erhält lateralen Zugriff auf jeden nachgelagerten Mandanten. Der DBIR-Befund, dass Lieferkettenverletzungen inzwischen 48 Prozent aller Sicherheitsverletzungen ausmachen, ist die Makrosicht; der Anodot-Vorfall ist eine operative Mikro-Demonstration.

Die Lieferkettenübernahme von node-ipc vom 14./15. Mai — 10 Millionen wöchentliche Downloads, kompromittiert über die Übernahme eines Kontos via abgelaufener Domain in der Wiederherstellungs-E-Mail des Maintainers — ist eine weitere. Die Ausnutzung der pull_request_target-Fehlkonfiguration in GitHub Actions bei Grafana / Coinbase Cartel vom 17./18. Mai ist eine weitere. Der biometrische Einbruch bei NYC Health + Hospitals mit 1,8 Millionen Betroffenen (Offenlegung am 18. Mai) über einen ungenannten Drittanbieter ist eine weitere.

Jeder einzelne davon ist derselbe DBIR-Befund in operativer Form.

Vierundzwanzig Stunden bis zum Auditabschluss

Während die zentralisierte Hersteller-Patch-Pipeline mit der KI-beschleunigten Exploit-Pipeline nicht mithalten kann (der DBIR-Befund) und Schwachstellen nicht beheben kann, die vor achtzehn Jahren veröffentlicht wurden (der CISA-KEV-Befund), ratifiziert die auditgetriebene kryptografische Upgrade-Pipeline der Open-Source-Community morgen ein großes Upgrade.

Das Trail-of-Bits-Audit zu Moneros FCMP++ ist bei Tag 11 seines elftägigen Fensters. Das Audit endet am 22. Mai — vierundzwanzig Stunden von jetzt an.

FCMP++ ersetzt Ringsignaturen durch Zugehörigkeitsnachweise über die gesamte Kette. Die Anonymitätsmenge weitet sich von 16 Täuschkörpern je Transaktion auf die gesamte UTXO-Menge aus — mehr als 150 Millionen Transaktionsausgänge. Ein sauberes Audit macht den Weg für das Konsens-Upgrade frei und beseitigt den letzten erheblichen technischen Einwand gegen Moneros Privatsphäre-Behauptungen auf Protokollebene.

Der strukturelle Test: Können kryptografische Upgrades auf Protokollebene über auditgetriebene, offene Community-Governance mit einer Strenge ratifiziert werden, die dem zentralisierten Herstellermodell vergleichbar ist — aber ohne den Median von 43 Tagen, die Behebungsquote von 26 Prozent und den 18-Jahre-Schwanz der zentralisierten Hersteller-Patch-Pipeline?

Die Antwort kommt morgen.

Bitcoin BIP324 v2 (verschlüsseltes P2P, seit Core 27.0 standardmäßig aktiv) und BIP352 Silent Payments (ab Core 28.0, mit BIP376 PSBTv2-Tweak-Daten und dem BIP392-Deskriptorformat, 2026 ergänzt) arbeiten auf derselben auditgetriebenen, offenen Governance. Zcash Crosslink Milestone 4 (PoW + BFT-Finalität integriert; Vitalik Buterins zweite Spende an Shielded Labs unterstützte das Upgrade am 6. Februar) arbeitet auf derselben. Die auditgetriebene kryptografische Upgrade-Pipeline ist strukturell verschieden von der zentralisierten Hersteller-Patch-Pipeline, die der DBIR als scheiternd befunden hat.

Was lief

Die Patch-Krise des Bundes und der achtzehnjährige Schwanz pausieren die globale Ebene der Empfängerländer nicht.

Iran — Tag 83. Irans Internet-Blackout tritt heute in Tag 83 ein. Insgesamt rund 1.992 Stunden. Die längste je verzeichnete Internetabschaltung. Wirtschaftliche Kosten rund 250 Millionen Dollar pro Tag laut einer Analyse von CBC News. Kumulierter Verlust seit dem Beginn am 8. Januar 2026: rund 5,75 Milliarden Dollar und mehr. Die Online-Umsätze fielen um 80 Prozent. Der Gesamtindex der Teheraner Börse verlor binnen vier Tagen 450.000 Punkte. Die Kastenstufe Internet Pro mit weißer SIM für IRGC/MCI bleibt im produktiven Betrieb, mit Wartezeiten von drei bis vier Stunden in den Büros zur SIM-Umstellung in Teheran.

Russland — Telegram-Blockade und MAX laufen weiter. Russland blockierte Telegram am 17. März 2026. Fünfundneunzig Prozent der Telegram-Verbindungen scheitern ohne VPN. Telegrams April-Update, das den Verkehr als normalen Browser-Verkehr tarnt, stellte den Zugang binnen Stunden wieder her. Der Kreml forciert weiter MAX, seinen „souveränen“, staatlich kontrollierten Messenger, der 107 Millionen registrierte Nutzende hat, wegen seiner Überwachungsfunktionen aber nur begrenzt tatsächlich genutzt wird. Die Türkei-App BiP, das südkoreanische KakaoTalk und Chinas WeChat verzeichneten im März in Russland ein Nutzerwachstum von plus 60 Prozent. Das Gesetz zur VPN-Erkennung bei Providern vom 15. April bleibt bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn in Betrieb. Der Mobilfunk-VPN-Aufschlag vom 1. Mai wurde verschoben. Laut Meduza überwachen 22 der 30 beliebtesten Android-Apps Russlands inzwischen den VPN-Status auf Anwendungsebene.

China — der Great Unplug hält an. Die physische Abschaltung Tausender Proxy-Dienst-Server im April schränkt die Umgehungsmöglichkeiten chinesischer Nutzender weiterhin ein. Nur TLS-basierte Verschleierung überlebt zuverlässig.

Niger — Tag 13 des Verbots internationaler Medien. Vor dreizehn Tagen, am 8. Mai, ordnete das militärisch kontrollierte Observatoire Nationale de la Communication Nigers die Aussetzung von neun internationalen Medien an: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Die Verbote gelten weiter. Niger ist laut der Zählung des Committee to Protect Journalists vom 1. Dezember 2025 der zweitschlimmste Kerkermeister von Journalisten in Subsahara-Afrika.

Burkina Faso — Tag 16 des Verbots von TV5 Monde. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er über Wochen mit Baumzweigen geschlagen wurde.

Pakistan — die PECA-Welle hält an. Der Bericht des Freedom Network vom 29. April dokumentierte die anhaltende Einschränkung der Pressefreiheit. Die Pakistan Press Foundation zählte 233 Vorfälle von Januar 2025 bis April 2026.

Tansania — Bericht der Untersuchungskommission unter Verschluss. Bericht vom 23. April: 518 Tote (502 Zivilisten, 16 Sicherheitskräfte, 21 Kinder) während der Gewalt nach der Wahl vom 29. Oktober 2025. Der Bericht bleibt unter Verschluss. X (Twitter) bleibt in Tansania gesperrt.

Mexiko — 40 Tage bis zur CURP Biométrica. Frist am 30. Juni 2026. Rund 127 Millionen Mobilfunkanschlüsse müssen sich bis dahin gegen die biometrische CURP (Gesicht, Fingerabdruck, Iris) registrieren oder werden abgeschaltet. Der Einbruch bei NYC Health + Hospitals vom 18. Mai — 1,8 Millionen Fingerabdrücke und Handflächenabdrücke dauerhaft in gegnerischem Besitz — ist das Bedrohungsmodell.

Drei Tage TAKE IT DOWN

Heute ist Tag 3 der Durchsetzung von Section 3 des TAKE IT DOWN Act durch die FTC. Der verpflichtende Löschrahmen legt erfassten Plattformen nach einer wirksamen Meldung durch Betroffene ein Fenster von 48 Stunden auf, bei einer zivilrechtlichen Strafe von 53.088 Dollar je Verstoß und je nicht bereinigtem Fall. Gestern, am 20. Mai, startete die FTC takeitdown.ftc.gov als öffentliches Meldeportal für Verbraucherinnen und Verbraucher. Die fünfzehn Plattformen, die in den Mahnschreiben vom 11. Mai genannt wurden — Amazon, Alphabet, Apple, Automattic, Bumble, Discord, Match Group, Meta, Microsoft, Pinterest, Reddit, SmugMug, Snapchat, TikTok, X —, bleiben die Prioritätenkarte der FTC.

Die bürgerrechtliche Kritik von EFF, ACLU, CDT, R Street Institute und Free Speech Center bleibt operativ: Die Löschbestimmung ist weiter gefasst als die strafrechtliche NCII-Definition; die 48-Stunden-Frist erzwingt Befolgung statt Prüfung; das Gesetz sieht keine Schutzvorkehrungen gegen mutwillige oder bösgläubige Anträge vor; rechtmäßige Satire, Journalismus und politische Rede könnten zu Unrecht entfernt werden; Ende-zu-Ende-verschlüsselte Plattformen (Signal, Matrix, Briar, Threema, Tuta, Proton) können strukturell nicht nachkommen. Präsident Trumps Erklärung zur Unterzeichnung vom 19. Mai 2025 — „Ich werde dieses Gesetz auch für mich selbst nutzen. Es gibt niemanden, der online schlechter behandelt wird als ich.“ — bleibt das politische Risiko.

Zweiundzwanzig Tage bis zum Auslaufen von Section 702

Heute ist das Auslaufen von Section 702 des FISA zweiundzwanzig Tage entfernt — am 12. Juni 2026.

Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 bleibt Verschlusssache. Senator Wydens fünfzehntägiges Fenster für die beschleunigte Freigabe — am 30. April als Bedingung für die 45-tägige Verlängerung ausgehandelt — schloss um den 15. Mai ohne Veröffentlichung. Das Justizministerium hat nicht freigegeben. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Senator Cottons Einwand gegen eine Verabschiedung im Konsensverfahren mit angehängter Freigabebestimmung hatte Bestand.

Die Debatte über eine Reform auf der Abfrageseite läuft weiter ohne die strukturelle Sicht des Gerichts. Die Berichterstattung des American Prospect vom 11. Mai beschrieb, wie „KI den Überwachungsstaat befeuert“ — automatisierte, nachgelagerte Analyseketten laufen gegen den §702-Bestand. Der Kongress autorisiert Überwachung neu, ohne die Sicht des FISC auf die Abfragepraktiken des FBI.

Das Auslaufen am 12. Juni ist das nächste erzwingende Ereignis.

Ein Jahr Protokolle

Während die Debatte über die Neuautorisierung von §702 in Washington läuft, bereitet die Europäische Union Gesetzgebung vor, die nutzerseitig ein paralleles Massenspeicherungsregime auferlegen würde.

Laut einem geleakten Dokument des Europäischen Rates, das das deutsche Medium Netzpolitik im November 2025 erlangte, hat sich eine Mehrheit der EU-Mitgliedstaaten auf die Umrisse eines neuen Rahmens zur Vorratsdatenspeicherung verständigt. Der erklärte Anspruch des Rahmens: verpflichtende Protokollierung von Verbindungsmetadaten — IP-Adressen, Zeitstempel, Sitzungsdauer, Verkehrsvolumen — durch jeden Onlinedienst. Die vorgeschlagene Mindestspeicherfrist beträgt ein Jahr. Einige Mitgliedstaaten wollen, dass der Vorschlag VPN-Dienste mit "the broadest possible scope of application" einbezieht — mit dem größtmöglichen Anwendungsbereich. Faktisch würde der Vorschlag „No-Log“-VPNs im EU-Gebiet illegal machen.

Der Gesetzesvorschlag wird für den Sommer 2026 im Rahmen der Initiative „Going Dark“ / ProtectEU erwartet — der Kehrtwende der Europäischen Kommission nach der verlorenen Auseinandersetzung um Chat Control 2.0 am 26. November 2025. Das erklärte Ziel der EU im breiteren Going-Dark-Fahrplan: "to enable law enforcement authorities to access encrypted data in a lawful manner" — den Strafverfolgungsbehörden auf rechtmäßige Weise Zugang zu verschlüsselten Daten zu ermöglichen — bis 2030.

Mullvad VPN hat öffentlich erklärt, den EU-Markt zu verlassen, statt Protokolle zu speichern. Signal-Präsidentin Meredith Whittaker hat erklärt, Signal werde den europäischen Markt verlassen, wenn ein Gesetz zur Aushöhlung der Verschlüsselung beschlossen wird.

Der architektonische Gegenentwurf zum EU-Vorschlag einer einjährigen Speicherung ist das nutzerkontrollierte Overlay — das Peer-to-Peer-Overlay von URnetwork, Tor, V2Ray VLESS+Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy —, das im Register nicht als Betreiber eines öffentlichen Dienstes auftaucht. Das nutzerkontrollierte Overlay ist gesetzlich unsichtbar.

Der nutzerseitige Primitiv-Stack

Der architektonische Gegenentwurf zu den drei Verizon-DBIR-Befunden, dem achtzehnjährigen CISA-KEV-Schwanz, den Microsoft-Defender-CVEs, der aktiven Ausnutzung von Exchange OWA an Tag 7 ohne Patch, dem Anodot-Lieferkettenmuster, dem 20 Monate unentdeckten Einbruch bei South Staffordshire Water, dem Auslaufen von Section 702, dem EU-Vorschlag zur einjährigen Speicherung, dem staatlichen Handeln in den Empfängerländern und dem Ausrollen der agentischen Fläche ist der nutzerseitige Primitiv-Stack. Er hängt nicht von der zentralisierten Hersteller-Patch-Pipeline ab, die den achtzehnjährigen Schwanz hervorgebracht hat.

Offene Clients mit nutzergehaltenen Schlüsseln. Signal. Tuta. Proton. Threema. Briar 1.5.17 (die Veröffentlichung vom 12. März 2026 läuft über Bluetooth, WLAN und Tor; sie funktioniert während Abschaltungen auf der Betreiberschicht, weil sie zum Weiterleiten von Nachrichten nicht auf die Betreiberschicht angewiesen ist). Cwtch. Session. Matrix-Homeserver. Die architektonische Eigenschaft: Offene Codebasen erhalten schneller Community-Audits, als alte Closed-Source-Codebasen über achtzehn Jahre Herstellerpatches erhalten. Das Signal-Protokoll steht seit mehr als elf Jahren unter öffentlicher Prüfung. Ende-zu-Ende-Verschlüsselung nimmt die serverseitige Exfiltrationsfläche aus Lieferkettenangriffswegen wie Anodot heraus.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS (Pixel 6+ mit Android 16 in der Vorschau 2026030501, einschließlich der Android-Sicherheitsbulletins von April bis August 2026). CalyxOS Android-16-Test-Build 7.2.1.0, veröffentlicht am 4. Mai 2026. /e/OS. LineageOS. OpenWRT. Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April dokumentierte zwei Überwachungskampagnen auf Betreiberseite, die für Betriebssysteme mit geschlossener Firmware unsichtbar sind: STA1 (Diameter-zu-SS7-Downgrade in neun Ländern mit Geisterbetreibern) und STA2 (SIMjacker-Zero-Click über das alte S@T-Browser-SIM-Applet). Offene Firmware legt das Verhalten von Cache und Benachrichtigungsdatenbank für die Prüfung durch Nutzende offen.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem Welt-Passkey-Tag der FIDO Alliance — waren weltweit fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. Yubico hat insgesamt mehr als 30 Millionen Hardware-Schlüssel ausgeliefert. Der Einbruch bei NYC Health + Hospitals legte die Fingerabdrücke und Handflächenabdrücke von 1,8 Millionen Menschen offen — biometrische Merkmale, die nicht neu ausgestellt werden können. Hardware-gebundene Zugangsdaten ersetzen Biometrie als zweiten Faktor überall dort, wo sie akzeptiert werden.

Zensurresistente Transporte. Tor Browser 15.0.13 und 16.0a6 (Notfallveröffentlichungen vom 7. Mai). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. Peer-to-Peer-Overlay von URnetwork. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. Irans Internet-Pro-Stufe, Russlands Gesetz zur VPN-Erkennung bei Providern vom 15. April (und der verschobene Mobilfunkaufschlag vom 1. Mai), Chinas Great Unplug, der EU-Vorschlag Going Dark / ProtectEU für den Sommer 2026 — keines dieser Gesetze benennt das Overlay, weil es nicht als Betreiber eines öffentlichen Dienstes auftaucht.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; inzwischen die Mehrheit des weltweiten Peer-to-Peer-Verkehrs von Bitcoin). Bitcoin BIP352 Silent Payments (ab Core 28.0, BIP376 + BIP392 2026 ergänzt). Monero FCMP++ — das Trail-of-Bits-Audit endet morgen, am 22. Mai; Anonymitätsmenge von 150 Millionen Ausgängen bei sauberem Audit. Zcash Crosslink Milestone 4 (Vitaliks zweite Spende vom 6. Februar unterstützte das Upgrade). Der Brief des Samourai-Wallet-Mitgründers Keonne Rodriguez vom 7. Mai aus FPC Morgantown — ein Aufruf zu 2 Millionen Dollar Unterstützung für Prozesskostenschulden, nachdem die Hoffnungen auf Begnadigung geschwunden sind — ist das Bedrohungsmodell dafür, was geschieht, wenn Primitive in Nutzerverwahrung kriminalisiert werden.

Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (22. April, MIT, 1,6 Billionen / 49 Milliarden aktive Parameter, 1 Million Token Kontext, 80,6 Prozent SWE-Bench Verified, 90,1 Prozent GPQA Diamond). DeepSeek V4 Flash (284 Milliarden / 13 Milliarden aktiv). Mistral Medium 3.5 (29. April, 128 Milliarden, 77,6 Prozent SWE-Bench). Qwen 3.6 Max Preview (27. April, 201 Sprachen). GLM-5.1 (744 Milliarden Mixture-of-Experts, Spitzenplatz unter Open Source in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, im Browser lauffähig über transformers.js + WebGPU). Laut DBIR stieg die Nutzung von KI-Werkzeugen durch Beschäftigte binnen eines Jahres von 15 Prozent auf 45 Prozent — und der größte Teil dieses Wachstums entfällt auf cloudgehostete Dienste. Lokale Inferenz ist der architektonische Gegenentwurf.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025; sieben Spezifikationen). eIDAS 2.0 BBS+ zur selektiven Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die mexikanische Frist zur CURP Biométrica am 30. Juni (40 Tage von heute an, mit der 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris gebunden werden) ist das Bedrohungsmodell. Laden Sie Ihre Identität nicht beim Anbieter hoch.

Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Schadensradius jeder einzelnen Herstellerkompromittierung. Jeder Homeserver ist für seinen eigenen Patch-Takt verantwortlich — aber Föderation verteilt jenes Lieferkettenrisiko durch Dritte, das laut DBIR um 60 Prozent gegenüber dem Vorjahr gewachsen ist. Die Ausnutzung von pull_request_target bei Grafana / Coinbase Cartel ist die architektonische Erinnerung daran.

Mesh und Satellit auf der Betreiberschicht. Briar (Bluetooth, WLAN, Tor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Internet-Pro-Stufe, der Stromausfall an den Funkmasten in Khartum im Sudan, Russlands Abschaltungen in 21 Oblasten vor dem Tag des Sieges und die fünftägige vollständige Internetabschaltung in Tansania, die während der Gewalt nach der Wahl vom 29. Oktober 2025 mehr als 518 Tote ermöglichte — die betreiberunabhängige Schicht ist der strukturelle Gegenentwurf.

Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September und dem Q-Day 2029. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). Standards seit August 2024 in Kraft. Der durchschnittliche Validierungszyklus für FIPS 140-3 beträgt rund 542 Tage, gemessen an der Basis von Anfang 2024. Vorsorgliches Ausrollen post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen. Googles Frist zur Quantenmigration 2029 und Cloudflares gleichlautende Zusage rahmen die nächsten 1.228 Tage. Das Bedrohungsmodell „harvest now, decrypt later“ ist heute operativ. Signals Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und dem Schlüsselaustausch PQXDH den „Triple Ratchet“ — Signals Post-Quanten-Härtung.

Schluss

Achtzehn Jahre.

So lange existiert CVE-2008-4250. Offenlegung im Oktober 2008. Microsoft-Patch 2008 veröffentlicht. Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen: gestern, am 20. Mai 2026 — achtzehn Jahre später.

Der Herstellerpatch existiert. Die Behebung fand nicht statt.

Das ist der achtzehnjährige Schwanz der Patch-Pipeline.

Fünf von sieben CISA-KEV-Aufnahmen von gestern stammen aus 2008 bis 2010. Zwei sind Microsoft-Defender-CVEs — das Sicherheitswerkzeug selbst im Katalog. Der Verizon-DBIR-Befund von achtundvierzig Stunden zuvor ist der Makro-Kontext: 31 Prozent Ausnutzung von Schwachstellen als Einstiegsweg Nummer 1, Behebungsquote von 26 Prozent (12 Punkte weniger), Median von 43 Tagen bis zum Patch (34 Prozent mehr), Sprung von 60 Prozent in der Lieferkette (inzwischen 48 Prozent aller Sicherheitsverletzungen), KI, die Exploit-Fenster von Monaten auf Stunden schrumpft.

Die Demonstrationsfälle dieser Woche reichen von den gestrigen achtzehnjährigen Aufnahmen zurück über das Bußgeld von 963.900 Pfund gegen South Staffordshire Water vom 12. Mai (20 Monate unentdeckt, Windows Server 2003 im Betrieb, 5 Prozent der IT-Umgebung überwacht), die aktive Ausnutzung von Exchange OWA seit dem 14. Mai ohne dauerhaften Patch an Tag 7, die Lieferkettenkompromittierung von node-ipc mit 10 Millionen Downloads vom 14./15. Mai, die Exfiltration von Quellcode bei Grafana / Coinbase Cartel über pull_request_target vom 17./18. Mai, den biometrischen Einbruch bei NYC Health + Hospitals mit 1,8 Millionen Betroffenen vom 18. Mai bis zu den Anodot-Token, die im April und Mai die nachgelagerten Vorfälle bei Zara (197.400) und Vimeo (119.000) ermöglichten.

Das Trail-of-Bits-Audit zu Moneros FCMP++ endet in vierundzwanzig Stunden.

Section 702 läuft in zweiundzwanzig Tagen aus. Die FISC-Entscheidung bleibt Verschlusssache.

Die mexikanische Frist zur CURP Biométrica ist vierzig Tage entfernt.

Der Iran steht bei Tag 83 des längsten je verzeichneten Internet-Blackouts.

Der EU-Vorschlag „Going Dark“ zur einjährigen Speicherung kommt im Sommer 2026.

Das Auslaufen von FIPS 140-2 ist 123 Tage entfernt.

Der Q-Day ist 1.228 Tage entfernt.

Der nutzerseitige Primitiv-Stack — offene Clients, offene Firmware, Hardware-Schlüssel, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität — arbeitet außerhalb der zentralisierten Hersteller-Patch-Pipeline, die den achtzehnjährigen Schwanz hervorgebracht hat.

Achtzehn Jahre sind der Schwanz.

Der Stack ist die Antwort.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, das in keinem der oben genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen ist. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren.

https://ur.io

Gestern, am 19. Mai 2026, veröffentlichte Verizon den Data Breach Investigations Report 2026. Der DBIR ist der am längsten laufende und meistzitierte jährliche Benchmark-Datensatz der Cybersicherheitsbranche. Er erscheint seit 2008 jedes Jahr. Er wertet bestätigte Sicherheitsverletzungen und Sicherheitsvorfälle aus, die den Ermittlungsteams von Verizon und den Partnerbehörden der Strafverfolgung weltweit gemeldet wurden. Die Ausgabe 2026 stützt sich auf mehr als 22.000 bestätigte Sicherheitsverletzungen und mehr als 31.000 Sicherheitsvorfälle insgesamt, aus einem Berichtszeitraum vom 1. November 2024 bis zum 31. Oktober 2025, in 145 Ländern.

Der Hauptbefund ist eine strukturelle Verschiebung. Zum ersten Mal in neunzehn Jahren DBIR-Veröffentlichung hat die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als Einstiegsweg Nummer eins in Sicherheitsverletzungen überholt. Einunddreißig Prozent aller Sicherheitsverletzungen im Berichtszeitraum 2025 begannen mit der Ausnutzung einer Schwachstelle. Gestohlene Zugangsdaten — neunzehn Jahre in Folge auf Platz eins — fallen auf Platz zwei.

Die Rahmenfrage der Branche lautet nicht mehr: „Was wussten die Angreifer über Ihr Passwort?“ Die Rahmenfrage lautet: „Was wussten die Angreifer über Ihre Patches?“

Dreiundvierzig Tage

Die Patch-Krise ist die architektonische Tatsache hinter der Verschiebung.

Laut DBIR:

• Nur sechsundzwanzig Prozent der im KEV-Katalog der CISA gelisteten Schwachstellen waren bis 2025 vollständig behoben
• 2024 lag der Vergleichswert bei achtunddreißig Prozent
• Achtundfünfzig Prozent des Katalogs waren teilweise behoben; sechzehn Prozent unbearbeitet
• Der Median der Zeit bis zum Patchen einer kritischen Schwachstelle stieg von zweiunddreißig Tagen im Jahr 2024 auf dreiundvierzig Tage im Jahr 2025 — ein Anstieg um vierunddreißig Prozent

Der CISA-KEV-Katalog ist die maßgebliche Liste der Bundesregierung über Schwachstellen, von denen bekannt ist, dass sie in freier Wildbahn aktiv ausgenutzt werden. Die CISA nimmt etwas auf, wenn forensische Belege eine Ausnutzung in freier Wildbahn bestätigen. Er ist per Definition die Schwachstellenmenge mit der höchsten Priorität. Ein Eintrag im Katalog löst eine Behebungsfrist nach der Binding Operational Directive 22-01 für die Behörden der zivilen Bundesexekutive aus. Die Behebungsquote ist binnen eines Jahres um zwölf Punkte gefallen — und der Median der Zeit bis zum Patch hat sich um elf Tage verlängert.

Der Grund ist strukturell. KI wird von Bedrohungsakteuren genutzt, um die Zeit zwischen der öffentlichen Offenlegung einer Schwachstelle und der operativen Waffenfähigkeit zu beschleunigen. Laut DBIR ist das Fenster von der Offenlegung bis zur Waffenfähigkeit eines Exploits von Monaten auf Stunden zusammengeschrumpft. KI hilft dabei, die Exploit-Entwicklung zu automatisieren, öffentliche Proof-of-Concepts gegen eingesetzte Software zu fuzzen und Aufklärung über das ganze Internet zu skalieren. Die Verteidigung arbeitet weiter im alten Patch-Takt — monatlich, quartalsweise, mit Tests und gestaffelten Rollouts. Die Asymmetrie ist im alten Takt nicht mehr beherrschbar.

Die Rahmung des DBIR: „KI wird von Bedrohungsakteuren genutzt, um die Zeit bis zur Ausnutzung bekannter Schwachstellen zu beschleunigen, und schrumpft das Fenster für die Verteidigung von Monaten auf bloße Stunden.“

Sechzig Prozent

Der zweite strukturelle Befund: Lieferkettenverletzungen bei Dritten sprangen um sechzig Prozent gegenüber dem Vorjahr. Sie machen inzwischen achtundvierzig Prozent aller Sicherheitsverletzungen aus.

Die Lieferkette ist der neue Perimeter.

Das Muster: Organisationen haben fünfzehn Jahre damit verbracht, ihre eigenen Perimeter zu härten — Endpunkterkennung, Netzsegmentierung, Zero-Trust-Identität, Mehr-Faktor-Authentifizierung. Die Angreifer sind stromaufwärts gezogen. Der Drittanbieter von Software, der SaaS-Dienstleister, die CI/CD-Pipeline, die Open-Source-Bibliothek, der Auftragsfertiger — all das ist jetzt die Angriffsfläche. Den eigenen Perimeter zu härten hilft nicht gegen die Kompromittierung einer vorgelagerten Abhängigkeit, der man selbst Zugang zu internen Systemen eingeräumt hat.

Die Woche vom 12. bis 19. Mai führt das Muster vor.

Fünf Demonstrationsfälle

Eins: Microsofts Patch Tuesday am 12. Mai. Microsoft lieferte 120 Schwachstellen-Fixes aus — über Windows, Office, Azure, SharePoint, Hyper-V, Edge und verwandte Produkte hinweg. Siebzehn waren als kritisch eingestuft. Vierzehn der kritischen waren Remote Code Execution. Keine der 120 war zum Zeitpunkt der Veröffentlichung als öffentlich bekannter Zero-Day offengelegt. Beobachter der Branche nannten es einen „ruhigen Patch Tuesday“.

Zwei: CVE-2026-42897 — Exchange OWA, 14. Mai. Zwei Tage nach dem Patch Tuesday legte Microsoft eine kritische Schwachstelle in Outlook Web Access des Exchange Server offen — CVE-2026-42897 — mit einem CVSS-Wert von 8.1, eingestuft als Spoofing-Fehler mit Ursprung in Cross-Site-Scripting. Die Schwachstelle betrifft die lokal betriebenen Exchange Server 2016, 2019 und die Subscription Edition. (Exchange Online ist nicht betroffen.) Der Angriffsweg: Eine besonders gestaltete E-Mail, in OWA geöffnet, führt bei bestimmten Interaktionsbedingungen beliebiges JavaScript im Browserkontext aus. Microsoft bestätigte aktive Ausnutzung in freier Wildbahn ab Tag eins. Am nächsten Tag, dem 15. Mai, nahm die CISA CVE-2026-42897 in ihren KEV-Katalog auf. Die bundesweite Behebungsfrist nach der Binding Operational Directive 22-01 wurde auf den 29. Mai gesetzt.

Bis heute, dem 20. Mai, ist kein dauerhafter Patch verfügbar. Microsoft hat eine automatische Mitigation veröffentlicht, die nur für Kunden mit aktiviertem Exchange EM Service gilt. Kunden ohne EM Service müssen manuelle Schritte zur Abhilfe umsetzen. Der IT-Betrieb des Bundes muss die FCEB-Frist zum 29. Mai mit Abhilfemaßnahmen statt mit Patchen einhalten. Das Muster ist dasselbe wie im Fall CVE-2026-0300 in Palo Alto PAN-OS vom 9. bis 13. Mai: Frist der Aufsicht vor dem Herstellerpatch. Der DBIR-Befund, dass KI das Exploit-Fenster von Monaten auf Stunden schrumpft, greift hier. Der Zyklus „vom Hersteller offengelegt und ab Tag eins aktiv ausgenutzt“ ist die neue operative Realität.

Drei: node-ipc, 14./15. Mai. Am 14. Mai wurden drei bösartige Versionen des npm-Pakets node-ipc — node-ipc@9.1.6, node-ipc@9.2.3 und node-ipc@12.0.1 — in die npm-Registry veröffentlicht. node-ipc ist eine grundlegende Node.js-Bibliothek für Interprozesskommunikation mit zehn Millionen wöchentlichen Downloads — im Einsatz bei einem erheblichen Teil der Node.js-Anwendungen weltweit. Ursprünglicher Maintainer ist Brandon Nozaki Miller (online bekannt als RIAEvangelist).

Der Angriffsmechanismus ist der Teil, auf den es ankommt. Millers Wiederherstellungs-E-Mail für das npm-Konto lag auf der Domain atlantis-software.net. Diese Domain lief am 10. Januar 2025 ab. Sie blieb rund sechzehn Monate lang unregistriert. Am 7. Mai 2026 — genau eine Woche, bevor die bösartigen Versionen hochgeladen wurden — registrierten Angreifer die abgelaufene Domain neu. Sobald die Domain in ihrer Kontrolle war, lösten sie ein gewöhnliches npm-Passwort-Reset für Millers Konto aus. Die Reset-Mail landete im nun kontrollierten Postfach der Angreifer. Sie erfassten den Reset-Link, setzten ein neues Passwort und erlangten Veröffentlichungsrechte an einem Paket, das zehn Millionen Mal pro Woche heruntergeladen wird.

Die drei bösartigen Versionen exfiltrierten neunzig Kategorien von Entwickler-Zugangsdaten, darunter Cloud-Zugangsdaten für Amazon Web Services, Google Cloud und Microsoft Azure; SSH-Schlüssel; Kubernetes-Token; GitHub-CLI-Konfigurationen; Claude-AI-Einstellungen; Kiro-IDE-Einstellungen; Terraform-State; Datenbankpasswörter; Umgebungsvariablen; und Shell-Verlauf. Die Schadsoftware war stark obfuskiert. Die Exfiltration lief über DNS-TXT-Abfragen an sh.azurestaticprovider.net — eine Domain, die wie Azure-Infrastruktur aussehen soll.

Die architektonische Tatsache: Jeder Open-Source-Maintainer mit einer abgelaufenen oder ablaufenden Domain in der Wiederherstellungskette seines Kontos ist eine potenzielle Angriffsfläche in der Lieferkette. Die npm-Registry verlangt weder verpflichtende MFA noch eine Wiederherstellung per Hardware-Schlüssel. Der Verizon-DBIR-Befund „Lieferkette plus 60 %“ ist operativ genau das, was die node-ipc-Übernahme vorführt: Der neue Perimeter ist die dritte Partei, und die dritte Partei ist die Wiederherstellungs-E-Mail-Domain von jemandem, von dem man vielleicht nie gehört hat.

Vier: Grafana / Coinbase Cartel, 17./18. Mai. Am 15. Mai setzte die Cybercrime-Gruppe Coinbase Cartel — ein Verbund mit Verbindungen zu ShinyHunters, Scattered Spider und Lapsus$ — Grafana Labs auf ihre Leak-Seite im Darknet. Am 17./18. Mai bestätigte Grafana den Einbruch. Der Angriffsweg war ein als gefährlich bekanntes GitHub-Actions-Muster: pull_request_target. Angreifer forkten ein öffentliches Grafana-Repository, injizierten einen bösartigen curl-Befehl in den geforkten Code, und der verwundbare pull_request_target-Workflow führte den injizierten Code in Grafanas vertrauenswürdiger CI-Umgebung aus, gab Umgebungsvariablen preis und extrahierte ein privilegiertes GitHub-Token. Das Token ermöglichte den Download des Quellcodes.

Grafana bestätigte, dass Quellcode heruntergeladen wurde. Auf Kunden- oder personenbezogene Daten wurde nicht zugegriffen. Grafana lehnte die Lösegeldzahlung ab. Es wird erwartet, dass der Quellcode geleakt wird. Die architektonische Lehre: Selbst Open-Source-nahe Unternehmen, die Code offen veröffentlichen, haben durch fehlkonfigurierte Workflows Lieferkettenrisiken in der CI.

Fünf: NYC Health + Hospitals, 18. Mai. NYC Health + Hospitals — das größte öffentliche Gesundheitssystem der Vereinigten Staaten — teilte mit, dass ein unbefugter Akteur zwischen dem 25. November 2025 und dem 11. Februar 2026 auf Systeme eines Drittanbieters zugegriffen und Datensätze von 1,8 Millionen Patientinnen, Patienten und Beschäftigten kopiert hat. Die offengelegten Daten: Fingerabdrücke, Handflächenabdrücke, Krankenakten, Abrechnungsdaten, präzise Standortdaten, Sozialversicherungsnummern, Passnummern und Führerscheine.

Das biometrische Problem ist dauerhaft. Anders als Sozialversicherungsnummern, Kreditkarten oder Passwörter können Fingerabdrücke und Handflächenabdrücke nicht neu ausgestellt werden. Die Biometrie ist für 1,8 Millionen Menschen nun für den Rest ihres Lebens in gegnerischem Besitz.

Das Muster: Zugang über einen Drittanbieter, zehn Wochen Verweildauer, sieben Monate vom ersten Zugriff bis zur öffentlichen Offenlegung. Der DBIR-Befund „Lieferkette plus 60 %, Dritte in 48 % der Sicherheitsverletzungen“ ist genau diese Kategorie von Vorfall im großen Maßstab.

Die fünf Demonstrationsfälle — Exchange-CVE, node-ipc, Grafana, NYC H+H, dazu der übernommene Fall Foxconn — bilden sauber auf die drei DBIR-Befunde ab. Die Ausnutzung von Schwachstellen ist der erste Einstieg. Die Lieferkette ist der neue Perimeter. Die Patch-Krise ist das, was beides verschlimmert.

Q-Day im Jahr 2029

Der DBIR befasst sich mit der aktuellen Patch-Krise. Die vorausblickende Patch-Krise ist der Q-Day — der Moment, in dem ein Quantencomputer klassische Public-Key-Kryptografie brechen kann.

Am 25. März 2026 veröffentlichte Google eine Frist für die Migration zu Post-Quanten-Kryptografie: 2029. Die angeführte Begründung:

• Anhaltender Fortschritt in der Quanten-Hardware (Qubit-Zahl, Kohärenzzeiten und Verbesserungen bei der Fehlerkorrektur des Willow-Chips)
• Fortschritte in der Forschung zur Quanten-Fehlerkorrektur
• Ressourcenschätzungen zur Quanten-Faktorisierung — Angriffe nach Art des Shor-Algorithmus gegen RSA und Kryptografie auf elliptischen Kurven —, die gegenüber früheren Projektionen „schneller als erwartet zur Neige gehen“

Cloudflare zog im April 2026 nach und übernahm Googles Ziel 2029. Cloudflares gestufter Fahrplan:

• Mitte 2026: Post-Quanten-Authentifizierung mit ML-DSA für Verbindungen von Cloudflare zum Ursprungsserver
• Mitte 2027: Post-Quanten-Authentifizierung für Verbindungen von Besuchenden zu Cloudflare über Merkle Tree Certificates
• Anfang 2028: Post-Quanten in der SASE-Suite Cloudflare One
• 2029: Vollständig post-quanten-sicheres Netz

Die CNN-Berichterstattung vom 17. Mai beschrieb „eine Cybersicherheitskrise“, deren Zeitachse sich von Erwartungen in den 2030er-Jahren auf Schätzungen für 2029 verengt. Die Ethereum Foundation reagierte am selben Tag wie Googles Ankündigung (25. März) mit dem Start eines Ressourcenzentrums für Post-Quanten-Ethereum, mit dem Ziel, bis 2029 Netzwerkwerte in Milliardenhöhe durch PQC auf Protokollebene abzusichern.

Die Post-Quanten-Kryptografie-Standards des NIST sind seit August 2024 in Kraft:

• ML-KEM (FIPS 203) — Schlüsselkapselungsmechanismus
• ML-DSA (FIPS 204) — Digitaler Signaturalgorithmus
• SLH-DSA (FIPS 205) — Zustandsloser hashbasierter Signaturalgorithmus

Das Auslaufen von FIPS 140-2 ist der 21. September 2026 — 124 Tage von heute an. Der durchschnittliche Validierungszyklus für FIPS 140-3 beträgt rund 542 Tage, gemessen an der Basis von Anfang 2024. Vorsorgliches Ausrollen post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen.

Signals Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und dem Schlüsselaustausch PQXDH den „Triple Ratchet“ — Signals Post-Quanten-Härtung gegen Angriffe nach dem Muster „harvest now, decrypt later“. Das Bedrohungsmodell: Ein Gegner fängt heute verschlüsselten Verkehr ab und entschlüsselt ihn nach dem Q-Day. Der architektonische Gegenentwurf ist eine Migration, die vor der Quantenära beginnt — jetzt.

Der Verizon-DBIR-Befund handelt von der aktuellen Patch-Krise. Die Q-Day-Zeitachse handelt von der nächsten Klasse von Schwachstellen, auf die die Patch-Pipeline noch schlechter vorbereitet ist. Beide Drücke laufen auf dieselbe architektonische Schlussfolgerung hinaus: kryptografische Agilität vor dem Bedarf.

Tag zwei der Durchsetzung des TAKE IT DOWN Act

Gestern, am Dienstag, 19. Mai 2026, begann die Federal Trade Commission mit der Durchsetzung von Section 3 des TAKE IT DOWN Act. Der bundesweite Rahmen zur verpflichtenden Löschung legt erfassten Plattformen nach einer wirksamen Meldung durch Betroffene ein Entfernungsfenster von 48 Stunden auf. Die zivilrechtliche Strafe je Verstoß beträgt 53.088 Dollar — das inflationsangepasste Maximum der FTC. Fünfzehn Plattformen erhielten am 11. Mai Erinnerungsschreiben zur Befolgung von FTC-Vorsitzendem Andrew Ferguson: Amazon, Alphabet, Apple, Automattic, Bumble, Discord, Match Group, Meta, Microsoft, Pinterest, Reddit, SmugMug, Snapchat, TikTok und X.

Heute, am 20. Mai, startete die FTC takeitdown.ftc.gov — ein öffentliches Meldeportal, über das Einzelne erfasste Plattformen melden können, die verbotene Inhalte nicht entfernen oder keinen Mechanismus für Löschanträge bereitstellen. Die bundesweite Löschdurchsetzung hat nun ein einheitliches Eingangs-Dashboard.

Die bürgerrechtliche Kritik bleibt operativ. Die Electronic Frontier Foundation, das Center for Democracy & Technology, die American Civil Liberties Union, das R Street Institute und das Free Speech Center argumentieren weiterhin, dass der Löschauslöser in Section 3 weiter gefasst ist als die strafrechtliche NCII-Definition in Section 2; dass die 48-Stunden-Frist Befolgung statt Prüfung erzwingt; dass es keine Schutzvorkehrungen gegen mutwillige oder bösgläubige Anträge gibt; dass rechtmäßige Satire, Journalismus und politische Rede zu Unrecht entfernt werden könnten; und dass Ende-zu-Ende-verschlüsselte Plattformen (Signal, Matrix, Briar, Threema, Tuta, Proton) strukturell nicht nachkommen können, weil sie Inhalte nicht scannen können.

Präsident Trumps Erklärung zur Unterzeichnung vom 19. Mai 2025 — „Ich werde dieses Gesetz auch für mich selbst nutzen.“ — bleibt das operative Risiko. Der FTC-Vorsitzende ist von Trump ernannt. Der Auslegungsspielraum liegt bei der Exekutive allein.

Die erste Verurteilung nach dem strafrechtlichen Teil des TAKE IT DOWN Act (Section 2) erfolgte im April 2026, in einem Verfahren gegen KI-generierte Deepfakes. Section 3 — die Löschpflicht der Plattformen — ist der Teil, dessen Durchsetzung gestern begann.

Dreiundzwanzig Tage

Heute, am 20. Mai 2026, ist das Auslaufen von Section 702 des FISA dreiundzwanzig Tage entfernt. 12. Juni.

Die FISC-Entscheidung vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 bleibt Verschlusssache. Senator Wydens fünfzehntägiges Fenster für die beschleunigte Freigabe — am 30. April als Bedingung für die 45-tägige Verlängerung von Section 702 ausgehandelt — schloss um den 15. Mai ohne Veröffentlichung. Das Justizministerium hat nicht freigegeben. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Senator Cottons Einwand gegen eine Verabschiedung im Konsensverfahren mit der Freigabebestimmung hatte Bestand.

Die Debatte über eine Reform auf der Abfrageseite läuft weiter ohne die strukturelle Sicht des Gerichts. Die Berichterstattung des American Prospect vom 11. Mai beschrieb, wie „KI den Überwachungsstaat befeuert“ — automatisierte, nachgelagerte Analyseketten laufen gegen den §702-Bestand. Der Kongress autorisiert Überwachung neu, ohne die Sicht des FISC auf die Abfragepraktiken des FBI.

Das Auslaufen am 12. Juni ist das nächste erzwingende Ereignis.

Was lief

Die Patch-Krise des Bundes, die bundesweite Durchsetzung der Löschpflicht und das Ausrollen agentischer KI im Bundesmaßstab pausieren die globale Ebene der Empfängerländer nicht.

Iran — Tag zweiundachtzig. Irans Internet-Blackout tritt heute in Tag 82 ein. Insgesamt rund 1.968 Stunden. Die längste je verzeichnete Internetabschaltung. Wirtschaftliche Kosten: rund 250 Millionen Dollar pro Tag laut einer Analyse von CBC News. Kumulierter Verlust seit dem 8. Januar 2026: rund 5,7 Milliarden Dollar und mehr. Die Online-Umsätze fielen um achtzig Prozent. Der Gesamtindex der Teheraner Börse verlor binnen vier Tagen 450.000 Punkte. Die Kastenstufe Internet Pro mit weißer SIM für IRGC/MCI bleibt im produktiven Betrieb, mit Wartezeiten von drei bis vier Stunden in den Büros zur SIM-Umstellung in Teheran.

Russland — Telegram-Blockade hält an. Russland blockierte Telegram am 17. März 2026 — zwei Wochen vor dem erwarteten Einsatz im April. Fünfundneunzig Prozent der Telegram-Verbindungen scheitern ohne VPN. Telegrams April-Update, das den Verkehr als normalen Browser-Verkehr tarnt, stellte den Zugang binnen Stunden wieder her. Der Kreml forciert weiter MAX — seinen „souveränen“, staatlich kontrollierten Messenger, der 107 Millionen registrierte Nutzende hat, wegen seiner Überwachungsfunktionen aber nur begrenzt tatsächlich genutzt wird. Substitutionseffekte: Die Türkei-App BiP, das südkoreanische KakaoTalk und Chinas WeChat verzeichneten im März 2026 in Russland zusammen ein Nutzerwachstum von plus 60 %.

Das Gesetz zur VPN-Erkennung bei Providern vom 15. April bleibt bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn in Betrieb. Der Mobilfunk-VPN-Aufschlag vom 1. Mai wurde verschoben; die Anbieter baten um Zeit, ihre Abrechnungssysteme umzustellen. Laut einer Meduza-Studie vom 10. April überwachen 22 der 30 beliebtesten Android-Apps Russlands inzwischen auf Anwendungsebene, ob ein VPN aktiv ist. Roskomnadsors erklärtes Ziel für 2030 bleibt eine VPN-Blockierwirksamkeit von 92 Prozent.

China — der Great Unplug hält an. Die physische Abschaltung Tausender Proxy-Dienst-Server im April 2026 schränkt die Umgehungsmöglichkeiten chinesischer Internetnutzender weiterhin ein. Nur TLS-basierte Verschleierung überlebt zuverlässig.

Niger — Tag zwölf des Verbots internationaler Medien. Vor zwölf Tagen, am 8. Mai, ordnete das militärisch kontrollierte Observatoire Nationale de la Communication Nigers die Aussetzung von neun internationalen Medien an: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Die Verbote gelten weiter. Niger ist laut der Zählung des Committee to Protect Journalists vom 1. Dezember 2025 der zweitschlimmste Kerkermeister von Journalisten in Subsahara-Afrika.

Burkina Faso — Tag fünfzehn des Verbots von TV5 Monde. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er über Wochen mit Baumzweigen geschlagen wurde.

Pakistan — die PECA-Welle hält an. Der Bericht des Freedom Network vom 29. April dokumentierte die anhaltende Einschränkung der Pressefreiheit. Ein Bezirksgericht in Islamabad bestätigte die Freilassung auf Kaution für die Journalisten Rizwan Ghalzai und Aqil Hussain Bagri nach PECA. Die Pakistan Press Foundation zählte 233 Vorfälle von Januar 2025 bis April 2026.

Tansania — Bericht der Untersuchungskommission unter Verschluss. Bericht vom 23. April: 518 Tote (502 Zivilisten, 16 Sicherheitskräfte, 21 Kinder) während der Gewalt nach der Wahl vom 29. Oktober 2025. Die Regierung hat den vollständigen Bericht nicht öffentlich gemacht. X bleibt in Tansania gesperrt.

Mexiko — einundvierzig Tage bis zur CURP Biométrica. Frist am 30. Juni 2026. Rund 127 Millionen Mobilfunkanschlüsse müssen sich bis dahin gegen die biometrische CURP (Gesicht, Fingerabdruck, Iris) registrieren oder werden abgeschaltet.

Pawel Durow. Erklärung der Pariser Staatsanwaltschaft vom 17. Mai 2026: Das französische Verfahren gegen den Telegram-Gründer ist nicht eingestellt. Zwölf Anklagepunkte. Die justizielle Aufsicht gilt weiter. Das FSB-Ermittlungsverfahren Russlands vom Februar 2026 wegen „Beihilfe zum Terrorismus“ bleibt offen. Strafverfolgung in zwei Ländern.

Die agentische Fläche

Microsoft Agent 365 wurde am 1. Mai 2026 allgemein verfügbar — 15 Dollar pro Nutzer und Monat. Die „einheitliche Steuerungsebene für Agenten“ erlaubt es IT-, Sicherheits- und Fachabteilungen, KI-Agenten über Microsofts KI-Plattformen und Partner im Ökosystem hinweg zu beobachten, zu steuern und abzusichern (mit einer Registry-Synchronisierung zu AWS Bedrock und Google Cloud in der öffentlichen Vorschau).

Am 12. Mai kündigte der Microsoft Security Blog das multimodale agentische Scan-Harness (MDASH) von Microsoft Security an — das mehr als 100 spezialisierte KI-Agenten orchestriert — und 88,45 Prozent im CyberGym-Benchmark erreichte, der mehr als 1.500 reale Schwachstellen abdeckt. Von MDASH geleitete Forschung hat bereits 16 neue Schwachstellen im Netzwerk- und Authentifizierungs-Stack von Windows gefunden. Microsoft Defender überwacht KI-Agenten nun in Echtzeit, mit webhook-basiertem Abfangen vor der Ausführung einer Handlung, Asset-Kontext-Zuordnung je Agent (Geräte, MCP-Server, Identitäten, Cloud-Ressourcen) und Laufzeitschutz.

Gestern startete Google Gemini Spark — den rund um die Uhr laufenden, cloudbasierten persönlichen KI-Agenten mit dauerhaftem Zugriff auf Gmail, Docs, Sheets, Slides, Canva, OpenTable und Instacart. Auf dem geleakten Onboarding-Bildschirm hieß es, Spark "may do things like share your info or make purchases without asking." — es könne unter anderem Ihre Daten teilen oder Käufe tätigen, ohne zu fragen. Verfügbar für Abonnentinnen und Abonnenten von Google AI Ultra (100 Dollar/Monat) ab nächster Woche.

Die Einsatzfläche für Agenten in Großunternehmen, Mittelstand und Konsumentenmarkt wächst weiter. Laut DBIR stieg die Nutzung von KI-Werkzeugen durch Beschäftigte binnen eines Jahres von fünfzehn auf fünfundvierzig Prozent — und die 45 Prozent stehen für einen erheblichen neuen Datenabfluss aus Organisationen zu LLM-Anbietern.

Zwei Tage bis zum Auditabschluss

Heute ist Tag zehn des Trail-of-Bits-Audits zu Moneros FCMP++. Das Audit endet am 22. Mai — achtundvierzig Stunden von jetzt an.

FCMP++ ersetzt Ringsignaturen durch Zugehörigkeitsnachweise über die gesamte Kette. Die Anonymitätsmenge weitet sich von sechzehn Täuschkörpern je Transaktion auf die gesamte UTXO-Menge aus — mehr als 150 Millionen Transaktionsausgänge. Ein sauberes Audit macht den Weg für das Konsens-Upgrade frei und beseitigt den letzten erheblichen technischen Einwand gegen Moneros Privatsphäre-Behauptungen auf Protokollebene.

Die Bedeutung des Audits bildet auf den Verizon-DBIR-Befund ab: Die zentralisierte Hersteller-Patch-Pipeline kann mit KI-beschleunigten Bedrohungen nicht mithalten. Moneros kryptografisches Upgrade auf Protokollebene ist das Gegenstück in Nutzerverwahrung — ein einziges Auditergebnis liefert das Privatsphäre-Upgrade auf Protokollebene entweder aus oder verzögert es. Die Architektur ist auf Protokollebene eine einzige Pipeline, auf Wallet-Ebene aber Nutzerverwahrung. Der DBIR-Befund zur Lieferkette Dritter gilt für Monero nicht in derselben Weise wie für Unternehmens-IT — es gibt keine Abhängigkeitsschicht aus Drittanbieter-SaaS.

Bitcoin BIP324 v2 (verschlüsseltes P2P, seit Core 27.0 standardmäßig aktiv) und BIP352 Silent Payments (ab Core 28.0, mit BIP376 und BIP392, 2026 ergänzt) arbeiten nach paralleler Logik. Zcash Crosslink Milestone 4 (PoW + BFT-Finalität integriert) arbeitet nach paralleler Logik. Alle drei datenschutzwahrenden Währungen sind Primitive in Nutzerverwahrung, die nicht von der Patch-Pipeline Dritter abhängen.

Der nutzerseitige Primitiv-Stack

Der architektonische Gegenentwurf zu den drei Verizon-DBIR-Befunden — Ausnutzung von Schwachstellen mit einunddreißig Prozent als Einstiegsweg Nummer 1, Lieferkettenverletzungen um sechzig Prozent gegenüber dem Vorjahr gestiegen (inzwischen 48 % aller Fälle), Median von dreiundvierzig Tagen bis zum Patch — plus der Q-Day-Zeitachse 2029, plus der agentischen Einsatzfläche, plus der bundesweiten Durchsetzung der Löschpflicht, plus dem staatlichen Handeln in den Empfängerländern, ist der nutzerseitige Primitiv-Stack. Er hängt nicht von der zentralisierten Hersteller-Patch-Pipeline ab.

Offene Clients mit nutzergehaltenen Schlüsseln. Signal. Tuta. Proton. Threema. Briar 1.5.17 (die Veröffentlichung vom 12. März 2026 läuft über Bluetooth, WLAN und Tor). Cwtch. Session. Matrix-Homeserver. Die architektonische Eigenschaft: Der Plattformbetreiber hat keinen Zugriff auf Klartext. Ende-zu-Ende-Verschlüsselung nimmt die serverseitige Exfiltrationsfläche aus dem Lieferkettenangriffsweg heraus. Die Nutzenden halten den Schlüssel.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS (Pixel 6+ mit Android 16 in der Vorschau 2026030501, einschließlich der Android-Sicherheitsbulletins von April bis August 2026). CalyxOS Android-16-Test-Build 7.2.1.0, veröffentlicht am 4. Mai 2026. /e/OS. LineageOS. OpenWRT. Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April dokumentierte zwei Überwachungskampagnen auf Betreiberseite, die für Betriebssysteme mit geschlossener Firmware unsichtbar sind: STA1 (Diameter-zu-SS7-Downgrade in neun Ländern mit Geisterbetreibern) und STA2 (SIMjacker-Zero-Click über das alte S@T-Browser-SIM-Applet). Offene Firmware legt das Verhalten von Cache und Benachrichtigungsdatenbank für die Prüfung durch Nutzende offen.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem Welt-Passkey-Tag der FIDO Alliance — waren weltweit fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. Yubico hat insgesamt mehr als 30 Millionen Hardware-Schlüssel ausgeliefert. Der Einbruch bei NYC Health + Hospitals legte die Fingerabdrücke und Handflächenabdrücke von 1,8 Millionen Menschen offen — biometrische Merkmale, die nicht neu ausgestellt werden können. Hardware-gebundene Zugangsdaten ersetzen Biometrie als zweiten Faktor. Der zweite Faktor liegt in der Tasche der Nutzenden, nicht in der Datenbank eines Drittanbieters.

Zensurresistente Transporte. Tor Browser 15.0.13 und 16.0a6 (Notfallveröffentlichungen vom 7. Mai, die kritische Schwachstellen im Linux-Kernel, im Tor Browser und im Tor-Client behoben). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. Peer-to-Peer-Overlay von URnetwork. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. Irans Internet-Pro-Stufe, Russlands Gesetz zur VPN-Erkennung bei Providern vom 15. April, der (verschobene) Mobilfunkaufschlag vom 1. Mai, Chinas Great Unplug im April, der EU-Vorschlag Going Dark / ProtectEU — keines dieser Gesetze benennt das Overlay, weil es nicht als öffentlicher Dienst oder registrierter Betreiber auftaucht. Das nutzerkontrollierte Overlay ist gesetzlich unsichtbar.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; die Mehrheit des weltweiten Peer-to-Peer-Verkehrs von Bitcoin ist inzwischen verschlüsselt). Bitcoin BIP352 Silent Payments (ab Core 28.0, BIP376 + BIP392 2026 ergänzt). Monero FCMP++ in aktiver Integration — das Trail-of-Bits-Audit endet in 48 Stunden; Anonymitätsmenge von 150 Millionen Ausgängen bei Erfolg. Zcash Crosslink Milestone 4 (Vitalik Buterins zweite Spende an Shielded Labs vom 6. Februar unterstützte das Upgrade).

Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (22. April, MIT-lizenziert, 1,6 Billionen / 49 Milliarden aktive Parameter, 1 Million Token Kontext, 80,6 Prozent SWE-Bench Verified). DeepSeek V4 Flash (284 Milliarden / 13 Milliarden aktiv). Mistral Medium 3.5 (29. April, 128 Milliarden, 77,6 Prozent SWE-Bench). Qwen 3.6 Max Preview (27. April, 201 Sprachen). GLM-5.1 (744 Milliarden Mixture-of-Experts, Spitzenplatz unter Open Source in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Milliarden / 50 Millionen aktiv, im Browser lauffähig über transformers.js + WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts, was per Beschluss herausverlangt werden kann, UND nichts, was der Cloud-KI-Anbieter weiterverwenden kann. Laut DBIR nutzen inzwischen 45 Prozent der Beschäftigten KI-Werkzeuge — überwiegend cloudgehostet. Lokale Inferenz ist der architektonische Gegenentwurf.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025; sieben Spezifikationen). eIDAS 2.0 BBS+ zur selektiven Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die mexikanische Frist zur CURP Biométrica am 30. Juni — 41 Tage von heute an, mit der 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris gebunden werden — ist das Bedrohungsmodell.

Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Schadensradius in der Lieferkette — jeder Homeserver ist für seinen eigenen Patch-Takt verantwortlich, kann aber nicht mit einer föderierten Löschpflicht für die gesamte Föderation belangt werden. Die Ausnutzung von pull_request_target bei Grafana / Coinbase Cartel ist die gestrige Erinnerung daran, dass selbst Open-Source-nahe Infrastruktur Lieferkettenrisiken in der CI hat; der architektonische Gegenentwurf ist eine Runner-Authentifizierung über OpenID Connect und selbst gehostete CI-Umgebungen mit Forgejo oder Gitea.

Mesh und Satellit auf der Betreiberschicht. Briar (Bluetooth, WLAN, Tor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Internet-Pro-Stufe, der Stromausfall an den Funkmasten in Khartum im Sudan, Russlands Abschaltungen in 21 Oblasten vor dem Tag des Sieges und die fünftägige vollständige Internetabschaltung in Tansania, die während der Gewalt nach der Wahl vom 29. Oktober 2025 mehr als 518 Tote ermöglichte — die betreiberunabhängige Schicht ist der strukturelle Gegenentwurf.

Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). Standards seit August 2024 in Kraft. Der durchschnittliche Validierungszyklus für FIPS 140-3 beträgt rund 542 Tage, gemessen an der Basis von Anfang 2024. Vorsorgliches Ausrollen post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen. Signals Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und dem Schlüsselaustausch PQXDH den „Triple Ratchet“ — Signals Post-Quanten-Härtung gegen Angriffe nach dem Muster „harvest now, decrypt later“. Das Q-Day-Ziel 2029 ist der vorausblickende architektonische Gegenentwurf.

Schluss

Einunddreißig Prozent.

Das ist der Anteil der Sicherheitsverletzungen von 2025, die mit der Ausnutzung einer Schwachstelle begannen. Zum ersten Mal in neunzehn Jahren Verizon-DBIR-Veröffentlichung ist die Ausnutzung von Schwachstellen der Einstiegsweg Nummer eins in Sicherheitsverletzungen. Die Patch-Krise ist die architektonische Tatsache. Der Median der Zeit bis zum Patchen einer kritischen Schwachstelle stieg 2025 auf dreiundvierzig Tage — ein Anstieg um vierunddreißig Prozent. Die Behebungsquote beim CISA-KEV-Katalog fiel von achtunddreißig auf sechsundzwanzig Prozent. Lieferkettenverletzungen bei Dritten sprangen um sechzig Prozent gegenüber dem Vorjahr und machen nun achtundvierzig Prozent aller Sicherheitsverletzungen aus. KI schrumpft das Exploit-Fenster von Monaten auf Stunden.

Die Woche vom 12. bis 19. Mai hat das Muster vorgeführt. CVE-2026-42897 in Exchange OWA — binnen achtundvierzig Stunden nach einem „ruhigen“ Patch Tuesday offengelegt und aktiv ausgenutzt, bis heute ohne dauerhaften Patch. Das npm-Paket node-ipc — zehn Millionen wöchentliche Downloads — übernommen über eine abgelaufene Domain in der Wiederherstellungskette des Kontos. Die CI-Kompromittierung über pull_request_target bei Grafana / Coinbase Cartel. 1,8 Millionen biometrische Datensätze von NYC Health + Hospitals, exfiltriert über einen Drittanbieter.

Die Durchsetzung des TAKE IT DOWN Act durch die Federal Trade Commission trat heute mit dem Start von takeitdown.ftc.gov in Tag zwei ein. Section 702 läuft in dreiundzwanzig Tagen aus. Der Iran steht bei Tag zweiundachtzig. Russlands Telegram-Blockade hält an. Nigers Verbot von neun internationalen Medien ist bei Tag zwölf. Mexikos Frist zur CURP Biométrica ist einundvierzig Tage entfernt.

Das Trail-of-Bits-Audit zu Moneros FCMP++ endet in achtundvierzig Stunden. Google und Cloudflare haben 2029 als Frist für die Post-Quanten-Migration gesetzt. Das Auslaufen von FIPS 140-2 ist 124 Tage entfernt.

Der nutzerseitige Primitiv-Stack — offene Clients, offene Firmware, Hardware-Schlüssel, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität — hängt nicht von der zentralisierten Hersteller-Patch-Pipeline ab.

Einunddreißig Prozent sind der Bericht. Der Stack ist die Antwort.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, das in keinem der oben genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen ist. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren.

https://ur.io

Heute, am Dienstag, dem 19. Mai 2026, beginnt die Federal Trade Commission mit der Durchsetzung von Section 3 des Tools to Address Known Exploitation by Immobilizing Technological Deepfakes on Websites and Networks Act — des TAKE IT DOWN Act.

Das Gesetz wurde von Präsident Trump am 19. Mai 2025 unterzeichnet. Der Strafteil — Section 2 — war ab dem Tag der Unterzeichnung durchsetzbar. Der bundesrechtliche Abschnitt zur Pflichtlöschung — Section 3, der die Plattformpflichten regelt — hatte eine zwölfmonatige Übergangsfrist, damit die Plattformen Zeit für den Aufbau von Compliance-Systemen hatten. Die Übergangsfrist läuft heute aus.

Die Architektur der Pflichtlöschung ist für die Vereinigten Staaten neu. Durchsetzen wird die FTC. Die Geldbuße pro Verstoß beträgt 53.088 US-Dollar — die inflationsangepasste Höchstgrenze der zivilrechtlichen Geldbuße der FTC. Die Buße skaliert: pro nicht entfernter Instanz, pro bekannter identischer Kopie. Eine Plattform, die zehn Kopien eines einzigen gemeldeten Bildes hostet, steht zehn Verstößen gegenüber.

Das 48-Stunden-Fenster ist ungewöhnlich eng. Eine erfasste Plattform — definiert als jede öffentliche Website, jeder Onlinedienst, jede Anwendung oder mobile Anwendung, die überwiegend ein Forum für nutzergenerierte Inhalte bereitstellt oder überwiegend darauf ausgelegt ist, nicht-einvernehmliche intime visuelle Darstellungen zu veröffentlichen — hat ab Eingang einer wirksamen Opferanzeige 48 Stunden Zeit, den Inhalt zu entfernen. Die Plattform muss außerdem "known identical copies" — bekannte identische Kopien — entfernen.

Der Anwendungsbereich erstreckt sich über zwei strukturell verschiedene Inhaltskategorien:

• Reale intime visuelle Darstellungen einer identifizierbaren Person bei sexuellen Handlungen
• KI-erzeugte synthetische intime Darstellungen („Deepfakes“) einer identifizierbaren Person

Beide lösen dieselbe Löschpflicht aus.

Am 11. Mai 2026 verschickte FTC-Vorsitzender Andrew Ferguson Erinnerungsschreiben zur Compliance an fünfzehn große Technologieplattformen: Amazon, Alphabet (Google), Apple, Automattic (WordPress / Tumblr), Bumble, Discord, Match Group (Tinder / Hinge), Meta (Facebook / Instagram / WhatsApp / Threads), Microsoft (LinkedIn / Xbox), Pinterest, Reddit, SmugMug (Flickr), Snapchat, TikTok und X. Die Schreiben legten die Anforderungen und die Bußgeldstruktur dar und erinnerten die Empfänger daran, dass heute der Tag ist, an dem die Durchsetzung beginnt.

Die Liste der fünfzehn ist die Prioritätenkarte der FTC. Die Plattformen reichen von großen Hosts nutzergenerierter Inhalte (Meta, X, TikTok, Reddit) über Dating-Plattformen (Bumble, Match Group) und Publishing-Plattformen (Automattic, Pinterest, SmugMug) bis zu Plattformen von Plattformen (Apple, Microsoft, Alphabet, Amazon, Discord, Snapchat). Auffällig auf der Liste fehlen — obwohl technisch erfasst — Mastodon, Pixelfed, das Internet Archive, Wikipedia, GitHub und das föderierte Netz der Matrix-Homeserver.

Heute ist der Tag, an dem die bundesrechtliche Uhr der Pflichtlöschung zu laufen beginnt.

Dreiundfünfzigtausend Dollar

Die zivilrechtliche Geldbuße beträgt 53.088 US-Dollar pro Verstoß.

Das ist die inflationsangepasste Höchstgrenze nach dem Federal Civil Penalties Inflation Adjustment Act Improvements Act. Sie gilt in den meisten Regulierungskontexten der FTC. Für den TAKE IT DOWN Act skaliert sie: pro nicht entfernter Kopie, pro bekannter identischer Kopie.

Die Rechnung ist strukturell. Eine Plattform, die ein Bild hostet, das nach Ablauf der 48-Stunden-Frist online bleibt, steht einem Verstoß gegenüber: 53.088 US-Dollar. Dasselbe Bild, an zehn Stellen derselben Plattform gehostet: zehn Verstöße, 530.880 US-Dollar. Eine Plattform mit schwacher Inhalts-Deduplizierung: Jede Kopie ist potenziell ein eigener Verstoß.

Die Geldbuße wurde so bemessen, dass große Plattformen sie nicht ignorieren können. Ihre inflationsangepasste Obergrenze bedeutet, dass die FTC Verstöße stapeln kann: Meta, das 1.000 gemeldete Bilder hostet, die nach der Anzeige online bleiben, steht einer potenziellen zivilrechtlichen Haftung von 53.088.000 US-Dollar gegenüber — noch bevor „bekannte identische Kopien“ mitgezählt werden.

Das strukturelle Risiko liegt anderswo: in der Asymmetrie zwischen großen und kleinen Plattformen. Meta und Alphabet haben Compliance-Budgets. Automattic, SmugMug, Bumble und das föderierte Netz der Matrix-Homeserver haben keine. Für eine kleine oder föderierte Plattform kann schon eine Handvoll gestapelter Verstöße existenzbedrohend sein. Die 48-Stunden-Frist erzwingt Befolgung statt Prüfung. Die Prognose der Electronic Frontier Foundation vom Februar 2025 lautete, dass kleine Plattformen entweder zu viel entfernen oder ihren US-Betrieb einstellen würden. Heute ist der Tag, an dem die Prognose in den Betrieb geht.

Die fünfzehn Plattformen

Die fünfzehn Empfänger der FTC-Warnschreiben sind die Plattformen, bei denen die Behörde die erste Welle von Opferanzeigen für am wahrscheinlichsten hält. Die Auswahl spiegelt drei Kategorien wider:

Große Hosts nutzergenerierter Inhalte. Meta (Facebook, Instagram, WhatsApp, Threads), X (früher Twitter), TikTok, Reddit. Das sind die Plattformen, auf denen intime Aufnahmen und KI-erzeugte synthetische Inhalte in großem Maßstab zirkulieren. Compliance-Budget ist vorhanden. Die Pflicht mit 48-Stunden-Frist ist operativ handhabbar.

Dating-Plattformen. Bumble, Match Group (Tinder, Hinge, Match.com, OkCupid, PlentyOfFish). Das plattformspezifische Risiko ist das Teilen von Bildern in einem romantischen Kanal, in dem Einvernehmlichkeitsdynamiken zentral sind. Die Aufnahme von Dating-Plattformen durch die FTC anerkennt das strukturelle Risiko, dass in einem Dating-Kontext geteilte intime Bilder außerhalb davon weiterverbreitet werden.

Publishing- und Creator-Plattformen. Automattic (WordPress, Tumblr), Pinterest, SmugMug (Flickr). Das sind Plattformen, auf denen Bildverbreitung im großen Maßstab auf redaktionelles Ermessen trifft. Die TIDA-Pflicht läuft neben dem jeweils bestehenden Rahmenwerk der Community-Standards.

Plattformen von Plattformen. Apple, Microsoft, Alphabet, Amazon, Discord, Snapchat. Apple betreibt den App Store und iCloud. Microsoft betreibt LinkedIn und Xbox. Alphabet betreibt Google Photos, YouTube und Drive. Amazon betreibt die AWS-Hosting-Infrastruktur. Discord betreibt Server. Snapchat betreibt Direktnachrichten plus öffentliche Stories. Jede dieser Ebenen bietet eine andere Angriffsfläche für die TIDA-Pflicht.

Auffällig abwesend von der Prioritätenkarte der FTC:

• Mastodon und das breitere Fediverse. Die föderierte Natur von Mastodon bedeutet, dass jede Instanz technisch eine erfasste Plattform ist. Die FTC hat sich mit der Föderation noch nicht im großen Maßstab befasst.
• Das Internet Archive, Wikipedia, GitHub. Jedes ist technisch erfasst. Die FTC hat sie nicht benannt.
• Die Ebene der verschlüsselten Messenger. Signal, Matrix, Threema, Briar, Session, Wire. Die strukturelle Unvereinbarkeit mit TIDA steht weiter unten.

Die Abwesenheit ist das implizite Signal: Die FTC beginnt bei den zentralisierten Plattformen, bei denen Durchsetzung operativ handhabbar ist. Föderation, Dezentralisierung und Ende-zu-Ende-Verschlüsselung sind die architektonische Fläche, die die FTC noch nicht adressiert hat.

Das bürgerrechtliche Argument

Die Electronic Frontier Foundation, das Center for Democracy & Technology, die American Civil Liberties Union, das R Street Institute, das Free Speech Center und mehrere weitere Bürgerrechts- und Meinungsfreiheitsorganisationen haben das Jahr zwischen der Unterzeichnung des Gesetzes und der heutigen Durchsetzung damit verbracht, das Gesetz aus Gründen des First Amendment und des rechtsstaatlichen Verfahrens zu bekämpfen.

Das Kernargument ist strukturell. Section 2 des TAKE IT DOWN Act — die Strafvorschrift — definiert nicht-einvernehmliche intime Aufnahmen (NCII) eng und ausdrücklich. Section 3 — die Vorschrift zur Plattformlöschung — definiert den Auslöser weiter: "intimate visual depictions" — intime visuelle Darstellungen — ohne die engeren Tatbestandsmerkmale, die die strafrechtliche Haftung steuern. Das Ergebnis: Eine Opferanzeige kann eine 48-Stunden-Löschpflicht für Inhalte auslösen, die tatsächlich keine strafbaren NCII sind — die rechtmäßige Äußerungen sein können, welche die anzeigende Person persönlich anstößig findet.

Die konkreten Einwände der EFF:

Die Löschvorschrift ist zu weit gefasst. Das Löschgebot erfasst eine viel breitere Inhaltskategorie als die NCII-Definition des Strafteils. Bösgläubige Akteure können die ausufernde Definition des Gesetzes nutzen, um rechtmäßige Äußerungen zu entfernen, die keine NCII sind und womöglich gar keine sexuellen Inhalte enthalten.

Kein Schutz gegen mutwillige Anträge. Das Gesetz enthält keine Sicherungen gegen mutwillige oder bösgläubige Löschanträge. Es gibt keine Strafe für falsche Anzeigen. Es gibt kein Erfordernis, dass die anzeigende Person irgendeine bestimmte Beziehung zum Inhalt nachweist. Es gibt keinen rechtsstaatlichen Rechtsbehelf für den Anbieter des Inhalts.

Rechtmäßige Äußerungen in Gefahr. Satire, Journalismus, politische Rede, Pressefotografie von Personen des öffentlichen Lebens, Parodie, Kommentar — all das kann von der ausufernden Definition des Gesetzes erfasst werden. Die 48-Stunden-Frist lässt der Plattform keine Zeit zur Prüfung.

Die enge Frist erzwingt Übererfüllung. Achtundvierzig Stunden sind ungewöhnlich kurz. Die Plattform kann den Antrag nicht in zumutbarer Weise verifizieren, die antragstellende Person identifizieren oder beurteilen, ob der Inhalt das ist, was die antragstellende Person behauptet. Der strukturelle Druck geht in Richtung Überlöschung.

Ende-zu-Ende-verschlüsselte Plattformen können nicht befolgen. Signal, Matrix, Briar, Threema, Session und andere E2EE-Messenger können Inhalte nicht scannen. Sie haben keinerlei serverseitige Kenntnis dessen, was die Nutzerin oder der Nutzer sendet oder empfängt. Das Gesetz sieht keine Ausnahme für E2EE-Plattformen vor. Das Ergebnis: Entweder trägt die Ebene der verschlüsselten Messenger eine strukturelle Haftung für Nichtbefolgung, oder der Anwendungsbereich des Gesetzes schließt sie faktisch aus — und was von beidem gilt, hängt vom Auslegungsermessen der FTC ab.

Trumps erklärte Absicht. Als Präsident Trump das Gesetz am 19. Mai 2025 unterzeichnete, sagte er in seiner Ansprache: „Ich werde dieses Gesetz auch für mich selbst nutzen. Niemand wird online schlechter behandelt als ich.“ Das Free Speech Center, die EFF und das CDT führten die Äußerung als Beleg dafür an, dass das Gesetz von mächtigen Akteuren gegen legitime kritische Äußerungen instrumentalisiert werden könnte. Der heutige FTC-Vorsitzende — Andrew Ferguson — ist von Trump ernannt. Das Auslegungsermessen liegt bei einer einheitlichen Exekutive.

Die bürgerrechtliche Kritik lautet nicht, dass NCII-Viktimisierung kein realer und schwerer Schaden wäre. Studien finden regelmäßig, dass NCII etwa eine von acht Frauen und etwa eine von vier LGBTQ+-erwachsenen Personen betrifft. Den zielgenauen Ansatz des Strafteils unterstützen die Bürgerrechtsorganisationen. Der Einwand richtet sich gegen die strukturelle Ausgestaltung von Section 3 — der Vorschrift zur Plattformlöschung —, die aus ihrer Sicht weiter kalibriert ist, als NCII es erfordert, ohne Sicherungen gegen Instrumentalisierung, mit einer ultrakurzen Frist und ohne Ausnahme für E2EE.

Die erste Verurteilung nach dem TAKE IT DOWN Act erfolgte im April 2026 — ein Fall, der KI-erzeugte Deepfakes betraf. Der Strafteil war ab dem Tag der Unterzeichnung durchsetzbar. Der Abschnitt zur Plattformlöschung ist das, was heute durchsetzbar wird.

Die Verschlüsselungsausnahme, die keine ist

Signal, Matrix, Briar, Threema, Session, Wire, Cwtch, Tuta, Proton — die Ebene ende-zu-ende-verschlüsselter Nachrichten und E-Mails — wird technisch von der Definition der "covered platform" — der erfassten Plattform — im TAKE IT DOWN Act erfasst. Die 48-Stunden-Löschpflicht gilt. Die Geldbuße von 53.088 US-Dollar pro Verstoß gilt.

Diese Plattformen können strukturell nicht befolgen.

Ende-zu-Ende-Verschlüsselung bedeutet, dass der Plattformbetreiber keine Kenntnis davon hat, welche Inhalte die Nutzerin oder der Nutzer sendet oder empfängt. Der Inhalt wird verschlüsselt, bevor er das Gerät der sendenden Person verlässt, und erst auf dem Gerät der empfangenden Person entschlüsselt. Die Plattform — die Signal Foundation, die Matrix Foundation, das Briar Project, die Threema GmbH — betreibt nur die Infrastruktur zur Nachrichtenvermittlung. Sie hat keinen Schlüssel. Sie hat keinen Klartextzugriff. Sie kann nicht scannen. Sie kann nicht erkennen, was intim ist, was synthetisch ist, was als welche Person identifizierbar ist.

Die Pflicht aus TIDA Section 3 verlangt serverseitige Inhaltskenntnis — die Plattform muss den Inhalt entfernen, "known identical copies" — bekannte identische Kopien — identifizieren und binnen 48 Stunden reagieren. Jeder Schritt setzt voraus, dass die Plattform weiß, worum es sich bei dem Inhalt handelt. Für eine E2EE-Plattform ist das strukturell unmöglich.

Die Electronic Frontier Foundation wies auf diese Unvereinbarkeit im Februar 2025 hin, als der Senat den Gesetzentwurf verabschiedete, erneut im April 2025, als das Repräsentantenhaus ihn verabschiedete, und erneut im Mai 2025, als der Präsident ihn unterzeichnete. Die strukturelle Antwort, die die EFF erwartete, hat sich nicht geändert: Entweder trägt die Ebene der E2EE-Messenger eine strukturelle Haftung für Nichtbefolgung, die sie faktisch zwingt, entweder die Verschlüsselung zu schwächen oder den US-Betrieb einzustellen; oder die FTC sieht davon ab, die 48-Stunden-Pflicht gegen E2EE-Plattformen durchzusetzen; oder der Kongress ändert das Gesetz.

Die erste Auslegungsentscheidung, die die FTC treffen muss, ist, ob E2EE-Plattformen für Zwecke der Durchsetzung erfasst sind. Die Behörde hat ihre Position nicht öffentlich mitgeteilt. Signal-Präsidentin Meredith Whittaker hat zuvor im Kontext der parallelen Chatkontrolle-Verordnung der Europäischen Union erklärt, Signal werde sich aus jedem Markt zurückziehen, der Inhalte-Scanning vorschreibt, statt seine Verschlüsselung zu schwächen.

Die E2EE-Ebene ist die Fundamentschicht des nutzerseitigen Primitiv-Stacks. Die architektonische Eigenschaft ist, dass die Nutzerin oder der Nutzer die Schlüssel hält. Die Plattform hat keine Durchsetzungsfläche. Heute ist der Tag, an dem diese Eigenschaft auf ein bundesrechtliches Pflicht-Löschregime trifft, das sie nicht anerkennt.

Die Asymmetrie: Erzeugung gegen Entfernung

Der TAKE IT DOWN Act adressiert die Entfernung. Die bundesrechtliche Durchsetzungsuhr startet heute. Die Erzeugungsseite — die KI-Werkzeuge, die die synthetischen intimen Darstellungen produzieren, auf die das Gesetz zielt — wird nur von freiwilligen Standards zur Inhaltsprovenienz geregelt.

Die Coalition for Content Provenance and Authenticity — C2PA — ist der maßgebliche technische Standard. C2PA bettet überprüfbare Provenienz-Metadaten in digitale Inhalte ein: wer sie erstellt hat, wann, welche Werkzeuge verwendet wurden, ob KI beteiligt war, jede bedeutsame Bearbeitung. Adobe, Microsoft, Google, Meta und OpenAI unterstützen den Standard. DALL-E 3 unterstützt ihn. Der AI Image Creator von Microsoft Paint fügt optionale Manifeste hinzu. ByteDances Seedance 2.0 wird mit eingebautem C2PA-Wasserzeichen ausgeliefert.

C2PA erkennt keine Deepfakes. Es zeichnet Provenienz auf. Ein Deepfake aus einem C2PA-implementierenden KI-Werkzeug trägt ein gültiges Manifest mit der Angabe "created by [AI tool]" — erstellt von [KI-Werkzeug] —, aber das Manifest ist informativ, nicht unterbindend. Ein Inhalt kann C2PA-signiert sein und trotzdem gegen die Strafvorschrift in TIDA Section 2 verstoßen.

Durable Content Credentials erweitern C2PA um unsichtbare Wasserzeichen und Inhalts-Fingerprinting, um dem Entfernen von Metadaten zu begegnen. Die Provenienzspur überlebt manche Manipulation. Aber das zugrunde liegende Erzeugungswerkzeug — das KI-Modell — ist nicht verpflichtet, Provenienz zu implementieren. Quelloffene KI-Modelle tun es oft nicht. Kommerzielle Modelle, die Provenienz implementieren, sind nicht verpflichtet, die Erzeugung zu verweigern, wenn der Prompt eindeutig auf eine Ausgabe der Deepfake-Klasse zielt.

Arizonas SB 1786, derzeit vor der Abstimmung im Repräsentantenhaus des Bundesstaats, würde KI-Werkzeughersteller mit Tätigkeit im Bundesstaat verpflichten, unsichtbare Wasserzeichen hinzuzufügen. Bundesgesetzgebung ist nicht zustande gekommen.

Die Asymmetrie ist strukturell: Es ist erheblich leichter, einen Deepfake zu erzeugen, als einen zu entfernen. Die TIDA-Durchsetzung beginnt heute auf der Entfernungsseite. Die Erzeugungsseite läuft weiter unter freiwilligen Standards. Heute ist außerdem der Tag der Keynote der Google I/O 2026.

Spark am Morgen

Drei Zeitzonen westlich von Washington betritt Sundar Pichai die Bühne der Google I/O 2026, während die FTC ihre Durchsetzungsmitteilung veröffentlicht.

Die heutige Ankündigung: Gemini Spark.

Ein rund um die Uhr laufender cloudbasierter persönlicher KI-Agent. Läuft auf Googles Modellen Gemini 3.5 und Gemini 3.5 Flash. Cloudbasierte virtuelle Maschinen in der Google Cloud arbeiten fortlaufend im Hintergrund. Integriert mit:

• Gmail — E-Mail
• Docs — Dokumente
• Sheets — Tabellen
• Slides — Präsentationen
• Canva — Kreatives
• OpenTable — Restaurantreservierungen
• Instacart — Lebensmittellieferung

Der Datenschutzschalter „Personal Intelligence“ wird als Datenschutzkontrolle positioniert. Er erlaubt es, die kontextuelle Nachverfolgung über die Anwendungsoberfläche abzuschalten. Der Datenzugriff — quer über Gmail, Docs, Photos und Drive via Deep Research — erfolgt per Opt-in.

Ein während eines Betatests durchgesickerter Onboarding-Bildschirm besagte: "Spark may do things like share your info or make purchases without asking." — Spark könne Dinge tun wie Ihre Informationen weitergeben oder Käufe tätigen, ohne zu fragen. Nutzerinnen und Nutzer werden angewiesen, den Agenten zu beaufsichtigen.

Verfügbar für Abonnentinnen und Abonnenten von Google AI Ultra „nächste Woche“. Der Preis von AI Ultra wurde heute auf 100 US-Dollar gesenkt.

Begleitende Ankündigungen auf der I/O 2026:

• Vorschau auf Android-XR-Brillen
• Chrome-Auto-Browse und intelligenteres Ausfüllen von Formularen
• KI-erzeugte Widgets in Gboard
• Gboard Rambler zur Bereinigung von Diktaten
• Kontextbewusste Antworten in Android Auto
• Gemini Intelligence quer durch Android

Die architektonische Tatsache: Ein rund um die Uhr aktiver agentischer Assistent mit dauerhaftem Zugriff auf Gmail, Docs, Sheets, Slides, Photos, Drive, Canva, OpenTable und Instacart ist strukturell eine dauerhaft offene Exfiltrationsfläche von der persönlichen Cloud der Nutzenden zu virtuellen Maschinen der Google Cloud. Die Rahmung als „persönlicher KI-Agent“ ist eine Nutzererlebnisschicht über einer erheblichen Ausweitung des cloudseitigen Datenzugriffs.

Gemini Spark reiht sich ein neben ChatGPT Atlas (OpenAI; macOS-Produktivbetrieb), OpenAI Workspace Agents (Slack, Drive, Microsoft-Apps, Salesforce, Notion, Atlassian Rovo), Anthropic Claude Cowork (allgemeine Verfügbarkeit am 12. Mai mit SCIM, OpenTelemetry, Intune für unternehmensweites Identitäts- und Geräte-Management), Anthropic Claude for Small Business (14. Mai, in QuickBooks, PayPal, HubSpot, Canva, DocuSign), Microsoft Copilot Studio (Governance-Aktualisierungen am 14. Mai) und Perplexity Comet (Browser).

Die agentische Fläche hat sich in sechs Wochen verdoppelt. Konzern, Mittelstand und Endkunde — alle drei Ebenen — haben jetzt dauerhaft laufende Cloud-KI-Agenten mit Zugriff auf die primäre Produktivitäts- und Kommunikations-Cloud der Nutzenden.

Am selben Tag, an dem auf der Seite der Inhalte-Entfernung die bundesrechtliche Uhr der Pflichtlöschung startet, weitet sich auf der Seite der Inhalte-Erzeugung und des Inhaltezugriffs der agentische Einsatz in Bundesmaßstab mit Zugriff auf Nutzer-Clouds aus. Erzeugungsfläche und Entfernungsfläche sind asymmetrisch. Heute ist die operative Wegmarke.

Die Einbrüche von gestern

Zwei parallele Offenlegungen vom 18. Mai verankern die Kategorien, die der TAKE IT DOWN Act nicht adressiert.

NYC Health + Hospitals — biometrischer Einbruch mit 1,8 Millionen Betroffenen. NYC Health + Hospitals — das größte öffentliche Gesundheitssystem der Vereinigten Staaten — legte gestern offen, dass ein unbefugter Akteur zwischen dem 25. November 2025 und dem 11. Februar 2026 auf Systeme eines Drittanbieters zugegriffen und Datensätze von 1,8 Millionen Patientinnen, Patienten und Beschäftigten kopiert hat. Zu den abgeflossenen Daten gehören:

• Fingerabdrücke und Handflächenabdrücke — biometrische Identifikatoren, die nicht neu ausgestellt werden können
• Krankenakten: Diagnosen, Medikamente, Tests, Bildgebung
• Angaben zu Krankenversicherungstarif und Police
• Abrechnungs-, Anspruchs- und Zahlungsinformationen
• Präzise Standortdaten
• Sozialversicherungsnummern
• Passnummern
• Führerscheine
• Namen, Adressen, Kontaktdaten

Die Chronologie des Einbruchs:

• Zugriffsfenster: 25. November 2025 — 11. Februar 2026 (~10 Wochen)
• Entdeckung: 2. Februar 2026 (durch NYC H+H)
• Meldung an das HHS: 24. März 2026
• Öffentliche Bekanntgabe: 18. Mai 2026 — gestern

Die Ursache: Ein Drittanbieter mit Zugang zu NYC-H+H-Systemen wurde kompromittiert. NYC H+H hat den Anbieter öffentlich nicht benannt.

Das architektonische Problem ist, dass biometrische Daten nicht neu ausgestellt werden können. Eine kompromittierte Sozialversicherungsnummer, Kreditkarte oder ein Passwort lässt sich ersetzen. Ein kompromittierter Finger- oder Handflächenabdruck nicht. Die Biometrie ist jetzt dauerhaft in gegnerischem Besitz für 1,8 Millionen Menschen, deren körperliche Identifikatoren sich nicht ändern werden. Überall dort, wo Finger- oder Handflächenabdrücke als Authentifizierung akzeptiert werden — physische Zutrittssysteme, Smartphone-Entsperrung, Einwanderungskontrollen, Freigaben im Gesundheitswesen —, tragen die Betroffenen nun für den Rest ihres Lebens einen Authentifizierungsfaktor in gegnerischem Besitz.

Grafana / Coinbase Cartel — pull_request_target. Am 15. Mai listete die Cybercrime-Gruppe Coinbase Cartel — ein Syndikat mit Verbindungen zu ShinyHunters, Scattered Spider und Lapsus$ — Grafana Labs auf ihrer Leak-Seite. Gestern, am 18. Mai, bestätigte Grafana den Einbruch.

Der Angriffsvektor war ein als gefährlich bekanntes Muster in GitHub Actions. Der Angreifer forkte ein öffentliches Grafana-Repository und schleuste dann einen schädlichen curl-Befehl in den geforkten Code ein. Der verwundbare pull_request_target-Workflow in Grafanas CI führte den Befehl gegen den geforkten Code aus, aber mit den erhöhten Rechten und dem Zugriff auf Repository-Geheimnisse der vertrauenswürdigen CI-Umgebung. Der Befehl gab die Umgebungsvariablen aus. Die Umgebungsvariablen enthielten ein privilegiertes GitHub-Token. Das Token ermöglichte den Download des Quellcodes.

Das Ergebnis:

• Grafanas Quellcode wurde heruntergeladen
• Es wurde auf keine Kunden- oder personenbezogenen Daten zugegriffen
• Grafana verweigerte die Lösegeldzahlung
• Es wird erwartet, dass der Quellcode geleakt wird

Die Gruppe Coinbase Cartel ist seit September 2025 aktiv und setzt keine dateiverschlüsselnde Ransomware ein. Sie betreibt reinen Datendiebstahl und Erpressung. Grafana ist das jüngste in einer Reihe von Zielen aus dem Umfeld großer Technologiekonzerne und der Entwickler-Infrastruktur.

Das pull_request_target-Muster ist eine der bekanntesten gefährlichen Konfigurationen in GitHub Actions. Es ist mindestens seit 2021 als riskant dokumentiert. Das Muster hält sich, weil es für Build-und-Test-Workflows bequem ist, die Zugriff auf Repository-Geheimnisse brauchen — es läuft aber gegen geforkten Code, den die Maintainer des Repositorys nicht geprüft haben. Die architektonische Gegenmaßnahme ist Runner-Authentifizierung auf Basis von OpenID Connect (OIDC), die keine langlebigen Geheimnisse in der CI-Umgebung erfordert.

Die beiden Einbrüche verankern verschiedene Kategorien, die der TAKE IT DOWN Act nicht adressiert: Identität (das biometrische Problem) und Infrastruktur (das Lieferketten-CI-Problem). TIDA adressiert die Inhalte-Entfernung. Die heutige TIDA-Durchsetzung reicht nicht an die Vorfälle von gestern heran.

Vierundzwanzig Tage

Das Auslaufen von Section 702 des FISA ist vierundzwanzig Tage entfernt. 12. Juni 2026.

Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 bleibt als Verschlusssache eingestuft. Das 15-tägige beschleunigte Freigabefenster, das Senator Ron Wyden aus Oregon am 30. April als Bedingung für die 45-tägige Verlängerung von Section 702 aushandelte, ist ohne Veröffentlichung verstrichen. Das Fenster schloss etwa am 15. Mai. Das Justizministerium hat nicht freigegeben. Der Director of National Intelligence hat nicht freigegeben. Berichten zufolge legt das Justizministerium gegen den abfrageseitigen Teil der FISC-Entscheidung Rechtsmittel ein.

Die Mechanik von Wydens Abmachung: Als der Senat die 45-tägige Verlängerung von Section 702 am 30. April im Wege der einstimmigen Zustimmung verabschiedete (das Repräsentantenhaus verabschiedete sie am selben Tag mit 261 zu 111), erhielt Wyden von der Führung des Geheimdienstausschusses des Senats die Zusage, dass die FISC-Entscheidung binnen 15 Tagen öffentlich freigegeben würde. Senator Tom Cotton aus Arkansas widersprach der Verabschiedung im Wege der einstimmigen Zustimmung mit Wydens angehängter Freigabeklausel. Der Widerspruch bedeutete, dass der DNI und das Justizministerium das Ersuchen des Ausschusses förmlich ablehnen konnten — was durch Schweigen auch geschehen ist.

Das Auslaufen von Section 702 am 12. Juni ist das nächste erzwingende Ereignis. Der Kongress kann erneut verlängern, eine vollständige Neuermächtigung verabschieden (wahrscheinlich mit einer gewissen Reform) oder das Programm auslaufen lassen. Die vorherigen vier Neuermächtigungsfenster endeten mit Verlängerungen oder Teilreformen. Die strukturelle Reform, zu der die FISC-Entscheidung beitragen würde — eine engere Definition der „Abfrage“ für US-Personen, verpflichtende gerichtliche Genehmigung für bestimmte Abfragearten —, ist in keinem der vorherigen Fenster erfolgt.

Die Debatte über die abfrageseitige Reform läuft ohne die Sicht des Gerichts weiter:

• Senator Cotton: keine Verengung der Definition von "query" — Abfrage
• Senator Wyden: Schutz für US-Personen auf der Abfrageebene
• Senator Mark Warner aus Virginia: mittlere Position

The American Prospect berichtete am 11. Mai, „KI verstärkt den Überwachungsstaat massiv“ — automatisierte nachgelagerte Analyseketten laufen gegen den Datenbestand aus Section 702. Die Debatte über die Neuermächtigung findet vor dem Hintergrund eines wachsenden analytischen Werts statt, der aus der Datenbank gezogen wird; die FISC-Entscheidung, die die Debatte informieren würde, liegt nicht auf dem Tisch.

Was ohnehin schon lief

Die bundesrechtliche Uhr der Pflichtlöschung und der agentische KI-Einsatz in Bundesmaßstab pausieren die globale Ebene der Empfängerländer nicht.

Iran — Tag 81. NetBlocks bestätigte heute, am 19. Mai, Tag 81 der iranischen Internetabschaltung nach Überschreiten von 1.920 Stunden. Die längste je verzeichnete Internetabschaltung. Wirtschaftliche Kosten: nach der Analyse von CBC News etwa 250 Millionen US-Dollar pro Tag. Kumulierter Verlust seit Beginn der Abschaltung am 8. Januar 2026: etwa 5,5 Milliarden US-Dollar oder mehr. Die Online-Verkäufe fielen während der Abschaltung um 80 Prozent. Der Gesamtindex der Teheraner Börse verlor in einem Vier-Tage-Fenster 450.000 Punkte. Die Stufe „Internet Pro“ — die Kaste der weißen SIM-Karten bei der mit den Revolutionsgarden verbundenen Mobile Communications of Iran — bleibt im Wirkbetrieb. Drei- bis vierstündige Wartezeiten vor den SIM-Umstellungsbüros in Teheran halten an.

Russland — der Mobilfunk-VPN-Aufschlag verschoben. Russlands Mobilfunk-VPN-Aufschlag — 150 Rubel pro Gigabyte internationalen Datenverkehrs über 15 Gigabyte pro Monat hinaus — war zum 1. Mai 2026 vorgesehen. Er trat nicht planmäßig in Kraft. Die Netzbetreiber baten um Aufschub, um ihre Abrechnungssysteme zu konfigurieren. Das ISP-VPN-Erkennungsgesetz vom 15. April ist weiter in Betrieb bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn. Laut der Meduza-Studie vom 10. April überwachen 22 der 30 populärsten Android-Apps Russlands inzwischen auf Anwendungsebene, ob ein VPN aktiv ist — die VPN-Erkennung ist in den Anwendungscode gewandert. Roskomnadsors erklärtes Ziel bleibt eine VPN-Blockierwirksamkeit von 92 Prozent bis 2030, mit 20 Milliarden Rubel jährlich für dauerhafte VPN-Zensurinfrastruktur.

China — der Great Unplug geht weiter. Die physische Trennung tausender Proxy-Dienste-Server durch die chinesischen Behörden im April 2026 („拔线潮“, Kabelzieh-Welle) schränkt die Umgehungsoptionen chinesischer Internetnutzender weiterhin ein. Nur TLS-basierte Verschleierung — V2Ray VLESS + Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy — überlebt verlässlich.

Niger — Tag 11 des Verbots internationaler Medien. Vor elf Tagen, am 8. Mai, ordnete Nigers militärisch kontrollierte Observatoire Nationale de la Communication die Suspendierung von neun internationalen Medienhäusern an: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Die Verbote gelten weiter. Niger ist laut der Zählung des Committee to Protect Journalists vom 1. Dezember 2025 das Land mit den zweitmeisten inhaftierten Journalistinnen und Journalisten in Subsahara-Afrika.

Burkina Faso — TV5Monde am 5. Mai verboten. Burkina Fasos Oberster Kommunikationsrat verbot TV5Monde vor vierzehn Tagen. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die geheime Haft des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er über Wochen mit Baumästen geschlagen wurde.

Pakistan — PECA-Durchsetzung läuft weiter. Der Bericht des Freedom Network vom 29. April 2026 dokumentierte eine erweiterte, durch PECA ausgelöste Einschränkung der Pressefreiheit. Ein Bezirksgericht in Islamabad bestätigte die Freilassung auf Kaution für die Journalisten Rizwan Ghalzai und Aqil Hussain Bagri nach PECA. Die Pakistan Press Foundation verzeichnete von Januar 2025 bis April 2026 233 Vorfälle gegen die Pressefreiheit — 67 Übergriffe, 11 Festnahmen, 11 Inhaftierungen, 67 Strafanzeigen.

Tansania — Bericht der Untersuchungskommission zurückgehalten. Der Bericht der Untersuchungskommission vom 23. April 2026 zur Gewalt nach der Wahl vom 29. Oktober 2025 — 518 bestätigte Tote, darunter 21 Kinder — bleibt offiziell von der Veröffentlichung zurückgehalten. X (Twitter) bleibt in Tansania gesperrt.

Mexiko — 42 Tage bis zur CURP Biométrica. Mexikos Frist für die CURP Biométrica ist der 30. Juni 2026 — 42 Tage von heute an. Etwa 127 Millionen Mobilfunkanschlüsse müssen bis zur Frist gegen eine biometrische CURP (Gesicht, Fingerabdruck, Iris) registriert sein, sonst droht die Abschaltung. Mexiko wird die erste große Nation, die verlangt, dass jeder Mobilfunkanschluss mit einem staatlich ausgegebenen biometrischen Identifikator verknüpft ist.

Die globale Ebene der Empfängerländer bleibt von den heutigen Ereignissen in Washington und Mountain View unberührt. Das architektonische Muster ist dasselbe: Der Staat kontrolliert die Netzbetreiber- oder Plattformebene; die Netzbetreiber- oder Plattformebene ermöglicht Abschaltung, Überwachung oder erzwungene Entfernung; die Nutzerin oder der Nutzer hat keine architektonische Alternative, es sei denn, sie ist strukturell verschieden von der Netzbetreiber- oder Plattformebene.

Die Fristenkaskade

Heute beginnt die dichte Uhrenkaskade von Juni, Juli und August.

• 22. Mai: Trail-of-Bits-Audit zu Monero FCMP++ endet (3 Tage von heute an)
• 12. Juni: Auslaufen von Section 702 (24 Tage)
• 26. Juni: Klippe des UEFI-Zertifikats für Microsoft Secure Boot (38 Tage; rund 1,5 Milliarden Windows-Geräte betroffen)
• 30. Juni: Frist für Mexikos CURP Biométrica (42 Tage)
• 1. Juli: volle Durchsetzung der EU-MiCA (43 Tage; Bußgelder bis 12,5 % des weltweiten Umsatzes)
• 1. Juli: Durchsetzung der Apple Declared Age Range API in Louisiana und Utah
• 2. August: Durchsetzungsbefugnisse für GPAI nach dem EU-KI-Gesetz werden aktiv (75 Tage; 15 Millionen Euro oder 3 % des weltweiten Umsatzes)
• 21. September: Auslaufen von FIPS 140-2 (126 Tage; PQC-Primitive erforderlich)
• 5.-12. Oktober: Neuverhandlung im Verfahren Roman Storm / Tornado Cash
• Ende 2026: Frist für den Rollout der EU-Brieftasche für digitale Identität

Die Kaskade besteht aus politischen, Firmware- und Regulierungsuhren, die in einander überlappenden Monatsfenstern landen. Die heutige TIDA-Durchsetzung ist das erste Ereignis. Der Abschluss des Monero-FCMP++-Audits in drei Tagen ist das zweite. Das Auslaufen von § 702 in vierundzwanzig Tagen ist das dritte. Bis zum 2. August werden sechs strukturelle Ereignisse in sechsundsiebzig Tagen gelandet sein.

Der nutzerseitige Primitiv-Stack

Die architektonische Gegenmaßnahme zur heutigen bundesrechtlichen Durchsetzung der Pflichtlöschung, zum heutigen agentischen KI-Einsatz in Bundesmaßstab, zum biometrischen Einbruch von gestern, zur Lieferketten-CI-Kompromittierung von gestern und zur bevorstehenden Fristenkaskade ist der nutzerseitige Primitiv-Stack. Er hängt nicht davon ab, in welche Richtung die Uhren von heute laufen.

Offene Clients mit nutzereigenen Schlüsseln. Signal. Tuta. Proton. Threema. Briar 1.5.17 — die Version vom 12. März 2026 läuft über Bluetooth, WLAN und Tor und funktioniert während Abschaltungen auf Netzbetreiberebene. Cwtch. Session. Matrix-Homeserver. Ende-zu-Ende-Verschlüsselung ist die architektonische Eigenschaft: Der Plattformbetreiber hat keine Kenntnis vom Inhalt. Die Pflicht aus TIDA Section 3 verlangt serverseitige Kenntnis. Die architektonische Unvereinbarkeit ist die Gegenmaßnahme. Dem nutzereigenen Schlüssel kann in einem sinnvollen Sinn keine Löschanzeige zugestellt werden.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS — Pixel 6+ mit Android 16 in der Vorschau 2026030501, mit den Android Security Bulletins von April bis August 2026. CalyxOS Android-16-Testbuild 7.2.1.0, veröffentlicht am 4. Mai 2026. /e/OS. LineageOS. OpenWRT. Der Citizen-Lab-Bericht "Bad Connection" vom 23. April 2026 dokumentierte zwei Überwachungskampagnen auf Netzbetreiberebene — STA1, eine Herabstufung von Diameter auf SS7 über neun Länder mit Geisterbetreibern hinweg, und STA2, ein Zero-Click-SIMjacker über das veraltete S@T-Browser-SIM-Applet —, die für Betriebssysteme mit geschlossener Firmware unsichtbar sind. Offene Firmware macht das Verhalten von Cache und Benachrichtigungsdatenbank der Prüfung durch die Nutzenden zugänglich.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem World Passkey Day der FIDO Alliance — waren im globalen Ökosystem fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. Yubico hat insgesamt mehr als 30 Millionen Hardwareschlüssel ausgeliefert. Der Einbruch bei NYC H+H legte gestern die Finger- und Handflächenabdrücke von 1,8 Millionen Menschen offen — biometrische Identifikatoren, die nicht neu ausgestellt werden können. Hardwaregebundene Anmeldedaten ersetzen Biometrie als zweiten Faktor in jedem Kontext, in dem sie akzeptiert werden. Der zweite Faktor steckt in der Tasche der Nutzenden, nicht in der Datenbank des Drittanbieters.

Zensurresistente Transportwege. Tor Browser 15.0.13 und 16.0a6 — die Notfallversionen vom 7. Mai, die kritische Schwachstellen im Linux-Kernel, im Tor Browser und im Tor-Client schlossen. V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. URnetwork-Peer-to-Peer-Overlay. URnetworks MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Netzbetreiberebene zu abstrahieren. Irans Stufe „Internet Pro“, Russlands ISP-VPN-Erkennungsgesetz vom 15. April, Chinas Great Unplug 拔线潮 im April — keines dieser Gesetze benennt das Overlay, weil es nicht als öffentlicher Dienst oder registrierter Betreiber in Erscheinung tritt. Das nutzerkontrollierte Overlay ist gesetzesunsichtbar.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2, standardmäßig aktiv seit Core 27.0; die Mehrheit des globalen Bitcoin-Peer-to-Peer-Verkehrs ist inzwischen verschlüsselt. Bitcoin BIP352 Silent Payments — Empfangen und Senden in Core 28.0+, mit den 2026 ergänzten BIP376-PSBTv2-Tweak-Datenfeldern und dem BIP392-Deskriptorformat. Monero FCMP++ in aktiver Integration; das Trail-of-Bits-Audit begann am 11. Mai und läuft bis zum 22. Mai — derzeit Tag 8 von 11 — und ersetzt Ringsignaturen durch Full-Chain-Membership-Proofs, deren Anonymitätsmenge die gesamte UTXO-Menge ist, mehr als 150 Millionen Transaktionsausgänge. Zcash Crosslink Milestone 4 — Vitalik Buterins zweite Spende an Shielded Labs vom 6. Februar 2026 unterstützte das Upgrade.

KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro — am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter insgesamt / 49 Milliarden aktiv, Kontext von einer Million Token, 80,6 Prozent SWE-Bench Verified, 90,1 Prozent GPQA Diamond. DeepSeek V4 Flash — 284 Milliarden insgesamt / 13 Milliarden aktiv. Mistral Medium 3.5 — 29. April, 128 Milliarden Parameter, 77,6 Prozent SWE-Bench Verified. Qwen 3.6 Max Preview — 27. April, mehrsprachig in 201 Sprachen. GLM-5.1 — 744 Milliarden im Mixture-of-Experts-Verfahren, bestplatzierter Open-Source-Eintrag in der LMArena. OpenAI Privacy Filter — 22. April, Apache 2.0, 1,5 Milliarden Parameter insgesamt / 50 Millionen aktiv, im Browser lauffähig über transformers.js plus WebGPU. Wo es kein Protokoll bei Dritten gibt, gibt es nichts, was per Beschlagnahmeanordnung geholt werden kann, UND nichts, was der Cloud-KI-Anbieter weiterverwenden kann. Der heutige Start von Gemini Spark — mit dauerhaftem Zugriff auf Gmail, Docs, Sheets, Slides, Canva, OpenTable, Instacart plus Deep-Research-Zugriff auf Gmail, Docs, Photos, Drive — ist das Bedrohungsmodell für Cloud-KI-Zugriff. Lokale Inferenz ist die architektonische Gegenmaßnahme.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 — Recommendation seit Mai 2025, sieben Spezifikationen in der Familie. eIDAS 2.0 BBS+ selektive Offenlegung — Finalisierung bei der IETF läuft. Privacy Pass. Die neue Charta der W3C Verifiable Credentials Working Group vom April 2026 zielt auf Recommendations für Render Method und Confidence Method bis September 2026. Die mexikanische Frist für die CURP Biométrica am 30. Juni — 42 Tage von heute an, mit der etwa 127 Millionen Mobilfunkanschlüsse an Gesichts-, Fingerabdruck- und Iris-Biometrie gebunden werden — ist das Bedrohungsmodell. Laden Sie Ihre Identität nicht in das zentralisierte staatliche Biometrieregister.

Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Jeder Homeserver ist für seine eigenen Inhalte verantwortlich, kann aber nicht mit einer föderierten Löschpflicht gegen die gesamte Föderation belegt werden. Die Ausnutzung von pull_request_target bei Grafana durch das Coinbase Cartel gestern zeigte, dass selbst Infrastruktur im Umfeld quelloffener Software ein Lieferketten-CI-Risiko trägt. Die architektonische Gegenmaßnahme ist Runner-Authentifizierung auf Basis von OpenID Connect und selbst gehostete Forgejo-/Gitea-CI-Umgebungen.

Mesh und Satellit auf Netzbetreiberebene. Briar — Bluetooth, WLAN, Tor. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Stufe „Internet Pro“, der Stromausfall an den Funktürmen in Khartum im Sudan, die russischen Abschaltungen in 21 Oblasten vor dem Tag des Sieges, die Abschaltung von Mobilfunk und SMS in Moskau am 9. Mai, die fünftägige vollständige Internetabschaltung in Tansania, die während der Gewalt nach der Wahl vom 29. Oktober 2025 mehr als 518 Tote ermöglichte — die netzbetreiberunabhängige Ebene ist die strukturelle Gegenmaßnahme.

Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). Standards seit August 2024 in Kraft. Der durchschnittliche FIPS-140-3-Validierungszyklus liegt bei etwa 542 Tagen, gemessen an der Basislinie von Anfang 2024. Der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen. Signals Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und der Schlüsselvereinbarung PQXDH den „Triple Ratchet“ — die post-quantenkryptografische Härtung des Signal-Protokolls.

Schluss

Heute, am Dienstag, dem 19. Mai 2026, beginnt die Federal Trade Commission mit der Durchsetzung von Section 3 des TAKE IT DOWN Act. Die bundesrechtliche Uhr der Pflichtlöschung startet. Achtundvierzig Stunden. Dreiundfünfzigtausendachtundachtzig Dollar pro Verstoß. Fünfzehn benannte Plattformen.

Heute startet Google Gemini Spark. Die agentische Fläche über Konzerne, kleine Unternehmen und Endkunden hinweg verdoppelt sich.

Gestern legte NYC Health + Hospitals offen, dass die Finger- und Handflächenabdrücke von 1,8 Millionen Menschen nun dauerhaft in gegnerischem Besitz sind.

Gestern zeigte das Coinbase Cartel, dass eine einzige pull_request_target-Fehlkonfiguration den Quellcode eines großen Unternehmens aus dem Umfeld quelloffener Software kompromittieren kann.

In vierundzwanzig Tagen läuft Section 702 aus. Die FISC-Entscheidung bleibt Verschlusssache.

Iran ist an Tag 81. Russlands Mobilfunk-VPN-Aufschlag ist verschoben. Niger ist an Tag 11 des Verbots internationaler Medien. Mexiko ist 42 Tage von der CURP Biométrica entfernt.

Die dichte Juni-Juli-Uhrenkaskade — 22. Mai, 12. Juni, 26. Juni, 30. Juni, 1. Juli, 1. Juli, 2. August, 21. September — läuft.

Offene Clients. Offene Firmware. Hardwareschlüssel. Zensurresistente Transportwege. Datenschutzwahrende Währung. KI mit lokaler Inferenz. Föderierte Identität mit selektiver Offenlegung. Selbst gehostete Dienste. Mesh und Satellit. Kryptografische Agilität.

Heute startet die Uhr. Der nutzerseitige Primitiv-Stack hängt nicht davon ab, in welche Richtung sie läuft.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, das in keinem Register öffentlicher Dienstebetreiber der oben genannten Gesetze auftaucht. URnetworks MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport von der Netzbetreiberebene zu abstrahieren.

https://ur.io

Donnerstag, der 14. Mai 2026, war der verfahrensmäßige Konvergenzpunkt von KI-Einsatz in Unternehmen, KI-Vergütungsvorlage, programmierbarer Geldinfrastruktur und Überwachungsaufsicht. Vier strukturelle Türen des Rechenschafts-Stacks für KI und Finanzen schlossen sich (oder bewegten sich auf den Schluss zu) im selben Acht-Stunden-Fenster vom Morgen pazifischer bis zum Abend mitteleuropäischer Zeit. Die Geschichte ist nicht, welche Türen sich schlossen und welche nicht — die Geschichte ist, dass die Kalender sich ausrichteten.

Tür 1 — die Bartz-Fairness-Anhörung. Unter Vorsitz von Richterin Araceli Martínez-Olguín, Northern District of California, Saal 12, Bundesgericht San Francisco, 14 Uhr pazifischer Zeit. Der Vergleich über 1,5 Milliarden US-Dollar deckt 482.460 registrierte urheberrechtlich geschützte Werke zu etwa 3.000 US-Dollar je Werk ab. Die Anmeldequote erreichte am Tag der Anhörung 92,77 Prozent, mit 447.576 angemeldeten Werken. Die Richterin richtete ihre Fragen auf die Kostenstruktur des Vergleichs und die Anwaltshonorare statt auf den Zuschnitt des Vergleichs oder die entsiegelten Einwände — Ausschluss ausländischer Werke, Untererfassung bei Sammelregistrierungen, Angemessenheit der 3.000 US-Dollar je Werk und das Argument der zwangswirkenden Benachrichtigung. Die Anhörung „scheint auf die endgültige Genehmigung zuzusteuern“, so die Beobachter von Words and Money, und die Authors Alliance berichtet, die Richterin habe die Struktur des Vergleichs kaum hinterfragt. Die Richterin entschied nicht aus der Verhandlung heraus. Der endgültige Genehmigungsbeschluss wird binnen zwei bis sechs Wochen erwartet. Die Bartz-Vorlage wird zur strukturellen Referenz für Vergleiche über KI-Trainingsdaten bei OpenAI, Google, Meta, Cohere, Mistral und im quelloffenen Bereich — und es sind Dutzende anhängig.

Tür 2 — die agentische Betriebsebene geht in den Mittelstand. Am 14. Mai veröffentlichte Anthropic The Founder's Playbook mit dem Argument, KI habe den Lebenszyklus von Start-ups „neu gestartet“, und startete Claude for Small Business — ein Paket vorgefertigter Arbeitsabläufe, direkt verdrahtet in den Betriebs-Stack jedes schlanken Teams und jeder Solo-Gründerin: QuickBooks für Buchhaltung und Finanzen, PayPal für Zahlungen und Forderungen, HubSpot für CRM und Marketing, Canva für Kreatives und Marke, DocuSign für Recht und Verträge. Der Start ist die Mittelstandsausweitung von Anthropics agentischer Einsatzebene: Claude Cowork (allgemeine Verfügbarkeit am 12. Mai mit SCIM, OpenTelemetry und Intune für unternehmensweites Identitäts- und Geräte-Management) und das Gemeinschaftsunternehmen vom 4. Mai zwischen Anthropic, Blackstone, Hellman & Friedman und Goldman Sachs (bewertet mit 1,5 Milliarden US-Dollar, mit Zusagen von je 300 Millionen US-Dollar der Ankerinvestoren). Der parallele Schritt von OpenAI sind Workspace Agents — am 22. April für die Pläne ChatGPT Business, Enterprise, Edu und Teachers vorgestellt, angetrieben von Codex, mit Anbindung an Slack, Google Drive, Microsoft-Apps, Salesforce, Notion und Atlassian Rovo — samt dem ebenfalls am 4. Mai angekündigten Gemeinschaftsunternehmen OpenAI Development Company (4 Milliarden US-Dollar Kapitalaufnahme, 10 Milliarden US-Dollar Bewertung). Die agentische Ebene ist jetzt im Produktivbetrieb bei Konzernen, im Mittelstand und bei Endkunden — in derselben Woche, in der die KI-Vergütungsvorlage genehmigt wird.

Tür 3 — die Bewerbungen der Zahlungsdienstleister für den digitalen Euro schließen. Um 17:00 Uhr mitteleuropäischer Sommerzeit am Donnerstag, dem 14. Mai, schloss die Europäische Zentralbank den Aufruf zur Interessenbekundung für die Teilnahme von Zahlungsdienstleistern am digitalen Euro. Der Aufruf war am 5. März 2026 veröffentlicht worden. Die EZB wird zwischen 10 und 30 Zahlungsdienstleister für einen zwölfmonatigen Pilotbetrieb ab dem zweiten Halbjahr 2027 auswählen, wobei die Entwicklungsphase im dritten Quartal 2026 beginnt. Die Architektur ist eine programmierbare, von der Zentralbank ausgegebene Endkundenwährung — das Element „programmierbar“ bedeutet, dass Zahlungsdienstleister Limits, Bedingungen und Nachverfolgbarkeit für einzelne Transaktionen in Software auf der Protokollebene durchsetzen können. Die grundsätzliche Überwachbarkeit der Architektur ist die architektonische Tatsache. Der begleitende Regulierungsrahmen: MiCA tritt am 1. Juli 2026 in die volle Durchsetzung mit Bußgeldern bis zu 12,5 Prozent des weltweiten Jahresumsatzes und persönlicher Haftung von Führungskräften; die Travel Rule der Geldtransferverordnung gilt seit Dezember 2024 mit einer Schwelle von null für Transfers zwischen Krypto-Dienstleistern. Der Gegenpunkt auf US-Seite: die gemeinsame Auslegung von SEC und CFTC vom 17. März 2026, die Bitcoin, Ethereum, Solana, XRP und Chainlink ausdrücklich als digitale Rohstoffe benennt — eine strukturell andere Regulierungsphilosophie, die im selben Monat eintrifft, in dem sich die programmierbare Euro-Infrastruktur auf EU-Seite formalisiert.

Tür 4 — das Fenster, das sich nicht schloss. Am 30. April 2026 verabschiedete das Repräsentantenhaus die 45-tägige Verlängerung von Section 702 mit 261 zu 111 Stimmen, nachdem der Senat einstimmig zugestimmt hatte. Senator Wyden erzielte mit der Führung des Geheimdienstausschusses des Senats eine Abmachung, die eine beschleunigte Freigabe der FISC-Entscheidung vom 17. März 2026 binnen fünfzehn Tagen nach Verabschiedung der Verlängerung garantierte. Die Entscheidung soll die Abfragepraktiken des FBI unter Section 702 behandeln — konkret die Rückschau-Abfragen, die in der Datenbank der Auslandsaufklärung US-Personen erreichen. Das Justizministerium legt derzeit Rechtsmittel gegen die Entscheidung ein, weil sie bestimmte Analysewerkzeuge blockierte, die das FBI für Abfragen der Datenbank nutzte. Senator Cotton widersprach, als der Senat die Verlängerung im Wege der einstimmigen Zustimmung mit Wydens angehängter Freigabeklausel verabschieden wollte — was bedeutet, dass der Director of National Intelligence und das Justizministerium das Ersuchen des Ausschusses förmlich ablehnen konnten. Das Fünfzehn-Tage-Fenster: 30. April bis 15. Mai 2026. Mit dem heutigen Tag, dem 18. Mai 2026, ist die FISC-Entscheidung nicht freigegeben. Das Fenster verstrich operativ vor drei Tagen. Die Debatte über die abfrageseitige Reform läuft ohne die strukturelle Sicht des Gerichts weiter — und das Auslaufen von Section 702 ist jetzt fünfundzwanzig Tage entfernt, 12. Juni 2026.

Drei Türen schlossen sich. Die vierte nicht. Die verfahrensmäßige Konvergenz ist kein Zufall. Die vorläufige Genehmigung in Bartz kam Ende 2025; das übliche Sechs-Monats-Fenster bis zur Fairness-Anhörung landete im Mai 2026. Die allgemeine Verfügbarkeit von Claude Cowork für Unternehmen war am 12. Mai; die Mittelstandsausweitung war der natürliche Schritt der Folgewoche. Das 70-Tage-Fenster des EZB-Aufrufs öffnete am 5. März und schloss am 14. Mai. Das 15-Tage-Fenster der Wyden-Abmachung öffnete am 30. April und schloss am 15. Mai. Die Kalender richteten sich aus, weil Unternehmenszyklen, Gerichtszyklen, Regulierungszyklen und Gesetzgebungszyklen auf überlappenden Monatstakten laufen — und der Mai 2026 ist der Takt, auf den der Rechenschafts-Stack für KI und Finanzen zuläuft.

Tür 1 — die Vorlage über 1,5 Milliarden Dollar

Der Vergleich in Bartz v. Anthropic deckt, strukturell gemessen, jenes Korpus ab, das Anthropic beim Training von Claude zwischen etwa 2021 und 2023 aus Büchern aufgenommen hat, die beim U.S. Copyright Office registriert waren. Der Vergleichswert beträgt 1,5 Milliarden US-Dollar. Die erfassten Werke belaufen sich auf 482.460. Die Auszahlung je Werk liegt bei etwa 3.000 US-Dollar.

Die Fairness-Anhörung am Donnerstag befasste sich mit vier entsiegelten Einwänden.

Der erste Einwand — Ausschluss ausländischer Werke — macht geltend, dass der Vergleich durch die Registrierung beim U.S. Copyright Office begrenzt sei. Viele Autorinnen und Autoren, deren Werke in Anthropics Trainingskorpus aufgenommen wurden, haben keine US-Staatsangehörigkeit und haben ihre Urheberrechte nach dem Regime ihres Heimatstaats registriert. Der Einwand argumentiert, der Ausschluss ausländischer Werke erzeuge ein untererfasstes Anspruchsuniversum und die Vergleichsstruktur solle auf im Ausland registrierte Werke ausgeweitet werden. Die Richterin ging auf diesen Einwand in der Verhandlung nicht ein.

Der zweite Einwand — Untererfassung bei Sammelregistrierungen — macht geltend, dass viele in den USA registrierte Werke im Rahmen kollektiver Urheberschaftsstrukturen wie Anthologien, Zeitschriften, Kursmaterialien und akademischen Sammelbänden als Gruppe registriert sind. Die Vergleichsstruktur weist die Auszahlung je Werk der registrierten anspruchsberechtigten Partei zu, was bei Sammelregistrierungen ein Verlag oder eine institutionelle Rechteinhaberin sein kann statt der zugrunde liegenden Autorinnen und Autoren. Der Einwand argumentiert, dies erzeuge eine Verlagsschlagseite in der Verteilung des Vergleichs. Die Richterin ging auf diesen Einwand in der Verhandlung nicht ein.

Der dritte Einwand — Angemessenheit der 3.000 US-Dollar je Werk — macht geltend, der Betrag je Werk sei zu niedrig gemessen an dem Wert, den Anthropic dem aufgenommenen Korpus beim Training von Claude entzogen hat. Das ist der Einwand, auf den sich die Richterin konzentrierte, als sie die Anwälte zur Kostenstruktur und zu den Anwaltshonoraren befragte. Die Anhörung brachte keine inhaltliche Antwort hervor.

Die Anmeldequote war die Überraschung der Vergleichsverwaltung. Die Authors Alliance berichtete am Morgen des 14. Mai von einer Quote von 91,3 Prozent. Als Anwalt Justin Nelson am Nachmittag ans Pult trat, war die Quote auf 92,77 Prozent gestiegen, mit 447.576 einzelnen Anmeldungen für jeweils eigenständige Werke. Die ungewöhnlich hohe Quote ist mit zwei Deutungen vereinbar: Autorinnen und Autoren identifizierten ihre Werke im Anthropic-Trainingskorpus sehr klar, oder das Register war von Anfang an zu weit gefasst. Beide Deutungen sprechen für die Genehmigung; keine spricht für eine Umgestaltung.

Die Richterin entschied nicht aus der Verhandlung heraus. Der endgültige Genehmigungsbeschluss wird binnen zwei bis sechs Wochen erwartet. Wird er erteilt, wird die Bartz-Vorlage zur strukturellen Referenz für die Dutzenden anhängigen Sammelklagen zu KI-Trainingsdaten — OpenAI, Google (mehrere Verfahren zum Bard-/Gemini-Training), Meta (die Llama-/LibGen-Prozesse), Cohere, Mistral und quelloffene Anbieter, deren Trainingskorpora in ähnlicher Weise registrierte urheberrechtlich geschützte Werke enthalten.

Wird er abgelehnt — und es gibt kein verfahrensmäßiges Signal, dass die Richterin ablehnen wird —, geht die Vorlage zurück in die Verhandlung.

Die Bartz-Vorlage ist der Vergütungspräzedenzfall der Konzern-KI-Branche für die rückwirkende Nutzung registrierter urheberrechtlich geschützter Werke im Training. Der geltende Satz sind 3.000 US-Dollar je Werk. Die geltende Gesamtsumme sind 1,5 Milliarden US-Dollar je großem Trainingslauf der Frontier-Klasse. Die geltende Anmeldequote sind 92,77 Prozent.

Tür 2 — die agentische Betriebsebene

Am selben Tag, an dem die Bartz-Vorlage rückwirkend für vergangenes Training genehmigt wurde, brachte Anthropic seine agentische Plattform vorausschauend in den Betriebs-Stack jedes kleinen Unternehmens.

Claude for Small Business — gestartet am 14. Mai — bündelt fünf vorgefertigte Arbeitsabläufe, direkt verdrahtet in den Betriebs-Stack schlanker Teams und Solo-Gründungen:

• QuickBooks — Buchhaltung, Belegwesen, Rechnungsstellung
• PayPal — Zahlungen, Forderungen
• HubSpot — Kundenbeziehungsmanagement, Marketing-Automatisierung
• Canva — Marke, Kreatives, Social-Media-Produktion
• DocuSign — Rechtsvereinbarungen, Verträge

Die fünf Integrationen bilden zusammen den finanziellen, kundenbezogenen, kreativen und rechtlichen Alltagsablauf von geschätzt 50 Millionen kleinen Unternehmen in den USA. Die agentische Plattform ist jetzt im Betriebs-Stack.

Der Mittelstandsstart ist die dritte Stufe von Anthropics agentischer Einsatzausweitung:

• Konzern (allgemeine Verfügbarkeit am 12. Mai) — Claude Cowork in der SCIM-Identitätsmanagement-Ebene, in OpenTelemetry-Telemetrie und im Geräte-Management mit Microsoft Intune — was Claude zu einer gleichrangigen Entität neben dem Menschen in der Identitätsinfrastruktur des Unternehmens macht.
• Mittelstand (Start am 14. Mai) — Claude for Small Business quer durch die Arbeitsabläufe von QuickBooks / PayPal / HubSpot / Canva / DocuSign.
• Endkunde — fortgesetzter Einsatz der ChatGPT-Klasse in Endkundentarifen.

Der parallele Einsatz von OpenAI ist strukturell ähnlich. Workspace Agents — angekündigt am 22. April — zielt auf die Pläne ChatGPT Business, Enterprise, Edu und Teachers, mit persistenten, von Codex angetriebenen Agenten, die Slack, Google Drive, Microsoft-Apps, Salesforce, Notion und Atlassian Rovo verbinden. Workspace Agents war bis zum 6. Mai kostenlos, ab diesem Datum gilt eine guthabenbasierte Preisgestaltung. Das Gemeinschaftsunternehmen OpenAI Development Company vom 4. Mai nahm 4 Milliarden US-Dollar bei einer Bewertung von 10 Milliarden US-Dollar von neunzehn Investoren auf.

Beide großen Konzern-KI-Anbieter verdrahten ihre agentischen Plattformen in den finanziellen, kommunikativen, kundenbezogenen, kreativen und rechtlichen Alltagsablauf der US-Wirtschaft — in demselben Fenster, in dem die Bartz-Vergütungsvorlage über 1,5 Milliarden US-Dollar für das Trainingskorpus genehmigt wird, das diese Plattformen gebaut hat.

Die architektonische Risikofläche ist das, was Microsofts Offenlegung vom 7. Mai strukturell sichtbar machte: drei kritische Schwachstellen der Kategorie Information Disclosure in Microsoft 365 Copilot — CVE-2026-26129, CVE-2026-26164 und CVE-2026-33111 —, die es allesamt erlaubten, dass sensible Informationen über Vertrauensgrenzen hinweg abflossen, und zwar über Copilots Aggregation von E-Mails, Dokumenten und Teams-Unterhaltungen. Microsoft legte die drei CVEs am 7. Mai offen und behob sie vollständig. Der Fehler vom 21. Januar in M365 Copilot Chat hatte es Copilot zuvor erlaubt, vertrauliche E-Mails unter Umgehung von DLP-Richtlinien und Vertraulichkeitskennzeichnungen zusammenzufassen. Das Muster: Wo die agentische KI Inhalte über Vertrauensgrenzen hinweg zusammenführt, ist der Aggregator die Verwundbarkeitsfläche.

Anthropic Claude Cowork und Claude for Small Business werfen dieselben architektonischen Fragen auf. Wo die agentische KI QuickBooks-Finanzdaten mit PayPal-Zahlungsdaten mit HubSpot-CRM-Kontakten mit DocuSign-Rechtsvereinbarungen zusammenführt, ist der Aggregator die Verwundbarkeitsfläche. Der Anthropic-Einsatz hat noch keinen veröffentlichten CVE-Katalog zu Information Disclosure — aber die Architektur ist strukturell gleichwertig.

Tür 3 — der programmierbare Euro

Um 17:00 Uhr mitteleuropäischer Sommerzeit am Donnerstag, dem 14. Mai, schloss der Aufruf der Europäischen Zentralbank zur Interessenbekundung am Pilotbetrieb der Zahlungsdienstleister für den digitalen Euro. Der Aufruf war seit dem 5. März offen — ein Bewerbungsfenster von 70 Tagen. Die EZB wird zwischen 10 und 30 Zahlungsdienstleister für einen zwölfmonatigen Pilotbetrieb im zweiten Halbjahr 2027 auswählen.

Die Entwicklungsphase beginnt im dritten Quartal 2026 — etwa vier Monate von jetzt an.

Die Architektur ist eine programmierbare, von der Zentralbank ausgegebene Endkundenwährung. Das Element „programmierbar“ ist die strukturelle Tatsache. Zahlungsdienstleister können Limits, Bedingungen und Nachverfolgbarkeit für einzelne Transaktionen in Software auf der Protokollebene durchsetzen. Die Transaktionen sind nicht anonym — jeder Transfer ist gegenüber dem Zahlungsdienstleister und (mit rechtlichem Verfahren) gegenüber den Behörden identifizierbar. Mechanismen zur selektiven Offenlegung existieren in der technischen Spezifikation, sind aber nicht vollständig verbindlich vorgeschrieben oder über die Umsetzungen der EU-Mitgliedstaaten hinweg interoperabel.

Der begleitende Regulierungsrahmen ist der breitere Stack der Geldnachverfolgbarkeit der Europäischen Union:

• MiCA — volle Durchsetzung ab dem 1. Juli 2026, mit Bußgeldern bis zu 12,5 Prozent des weltweiten Jahresumsatzes und persönlicher Haftung von Führungskräften. Jeder nicht lizenzierte Krypto-Dienstleister, der EU-Kunden bedient, muss den Betrieb bis zum 1. Juli einstellen.
• Geldtransferverordnung (Travel Rule) — Schwelle von null für Transfers zwischen Krypto-Dienstleistern, in Kraft seit Dezember 2024. Auftraggeber- und Begünstigtendaten bei jedem Transfer.
• EU-Brieftasche für digitale Identität — die Mitgliedstaaten müssen nach der Verordnung 2024/1183 bis Ende 2026 mindestens eine EUDI-Wallet bereitstellen.
• Durchsetzung der GPAI-Regeln des EU-KI-Gesetzes — die Durchsetzungsbefugnisse werden am 2. August 2026 aktiv, mit Bußgeldern bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

Der transatlantische Strukturunterschied: Die gemeinsame Auslegung von SEC und CFTC vom 17. März 2026 auf US-Seite benannte Bitcoin, Ethereum, Solana, XRP und Chainlink ausdrücklich als digitale Rohstoffe — eine regulatorische Klarheit, die im selben Monat eintrifft, in dem sich die programmierbare Euro-Infrastruktur auf EU-Seite formalisiert. Unterschiedliche architektonische Philosophien. Derselbe Monatstakt.

Tür 4 — das Fenster, das sich nicht schloss

Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 sollte bis zum 15. Mai 2026 öffentlich sein — fünfzehn Tage nach der Verabschiedung der 45-tägigen Verlängerung von Section 702 am 30. April. Senator Ron Wyden erhielt von der Führung des Geheimdienstausschusses des Senats als Bedingung für seine Zustimmung zur Verlängerung die Zusage, die Entscheidung werde binnen des fünfzehntägigen beschleunigten Prüffensters freigegeben und veröffentlicht.

Mit dem heutigen Tag, Montag, dem 18. Mai, ist die Entscheidung nicht freigegeben. Das Fenster verstrich operativ vor drei Tagen.

Die Entscheidung soll die Abfragepraktiken des FBI gegen US-Personen in der Sammeldatenbank nach Section 702 behandeln. Die Standardpraxis — bezeichnet als "lookback queries", Rückschau-Abfragen — ist seit Erlass von Section 702 die zentrale Kontroversenquelle. Das Gericht soll teilweise gegen die weite Abfrageauslegung des FBI entschieden haben; das Justizministerium legt gegen die Entscheidung Rechtsmittel ein, weil sie bestimmte Analysewerkzeuge blockiert, die das FBI für operativ unverzichtbar hält.

Senator Cotton widersprach, als der Senat die 45-tägige Verlängerung im Wege der einstimmigen Zustimmung mit Wydens angehängter Freigabeklausel verabschieden wollte. Der Widerspruch bedeutet, dass der Director of National Intelligence und das Justizministerium das Ersuchen des Ausschusses förmlich ablehnen konnten — was durch Schweigen auch geschehen ist.

Das Auslaufen von Section 702 ist jetzt fünfundzwanzig Tage entfernt. 12. Juni 2026.

Section 702 des FISA erlaubt die Überwachung ausländischer Ziele außerhalb der Vereinigten Staaten ohne richterlichen Beschluss. Die Erfassung erreicht routinemäßig US-Personen durch Beifang — Kommunikation zwischen ausländischen Zielen und US-Personen. Die Praxis der "query" — der Abfrage — ist das, was das FBI tut, um auf die Erfassung zuzugreifen: eine Suche in der Datenbank der Auslandsaufklärung nach Identifikatoren von US-Personen. Die FISC-Entscheidung ist die strukturelle gerichtliche Sicht darauf, welche Abfragen zulässig sind. Ohne die Veröffentlichung der Entscheidung debattiert der Kongress die Neuermächtigung ohne die Sicht des Gerichts auf die Abfragepraktiken des FBI.

Das Auslaufen am 12. Juni ist das nächste erzwingende Ereignis. Der Kongress kann Section 702 erneut verlängern, eine vollständige Neuermächtigung verabschieden (wahrscheinlich mit einer gewissen Reform) oder sie auslaufen lassen. Die vorherigen vier Neuermächtigungsfenster endeten mit Verlängerungen oder Teilreformen; die strukturelle Reform, zu der die FISC-Entscheidung beitragen würde, ist nicht erfolgt.

Fünfundzwanzig Tage. Die Sicht des FISC liegt nicht auf dem Tisch.

Was ohnehin schon lief

Die vier Türen des Donnerstags schlossen sich vor einem Hintergrund politischer Uhren und Uhren in den Empfängerländern, die ohne Pause weiterlaufen.

Iran — Tag 80. Mit dem 18. Mai 2026 ist Iran am achtzigsten Tag der längsten je verzeichneten Internetabschaltung. NetBlocks bestätigte am 11. Mai Tag 73; die Zählung stieg täglich. Der wirtschaftliche Verlust beträgt nach der direkten Rechnung von Iran HRM etwa 35,7 Millionen US-Dollar pro Tag und nach der CBC-Analyse, die indirekte Folgen einschließt, etwa 250 Millionen US-Dollar pro Tag. Die Stufe „Internet Pro“ — eine Kastenstufe weißer SIM-Karten, ausgegeben von der mit den Revolutionsgarden verbundenen Mobile Communications of Iran — ist im Wirkbetrieb. Drei- bis vierstündige Wartezeiten vor den SIM-Umstellungsbüros in Teheran halten an. Ein Graumarkt für den Weiterverkauf umgestellter Tier-1-Weiß-SIMs zu Aufpreisen hat sich herausgebildet. Laut Unit 42 / Palo Alto Networks Threat Intelligence wichen iranische staatliche Akteure für Konnektivität etwa ab Tag 66 (4. Mai) auf Starlink und VSAT-Dienste aus. Die am 8. Januar 2026 begonnene Abschaltung hat den ersten Produktivfall für ein dauerhaft zweigeteiltes Internet auf Netzbetreiberebene hervorgebracht.

Russland — der Mobilfunk-VPN-Aufschlag ist aktiv. Am 1. Mai 2026 trat Russlands Mobilfunk-VPN-Aufschlag in Kraft: 150 Rubel (etwa 1,60 US-Dollar) pro Gigabyte internationalen Datenverkehrs über 15 Gigabyte pro Monat hinaus. Das ISP-VPN-Erkennungsgesetz vom 15. April ist in Betrieb bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn — eine koordinierte Indienstnahme großer privater Plattformen zur Durchsetzung der VPN-Erkennung auf Anwendungsebene. Die Mobilfunkabschaltungen vor dem Tag des Sieges rollten vom 4. bis zum 9. Mai über mehr als 21 Oblaste und gipfelten am 9. Mai in einer vollständigen Abschaltung von Mobilfunk und SMS in Moskau. Geldautomaten in den betroffenen Regionen fielen aus, weil sie auf Mobilfunk-Backhaul angewiesen sind. Roskomnadsors erklärtes Ziel ist eine VPN-Blockierwirksamkeit von 92 Prozent bis 2030, mit etwa 20 Milliarden Rubel jährlich für den Aufbau dauerhafter VPN-Zensurinfrastruktur. Mehr als 1.000 VPN-Dienste wurden gesperrt; Roskomnadsor benannte zum 22. Januar öffentlich 439 Dienste. Im März 2026 begannen Amtsgerichte in Moskau und St. Petersburg, Verurteilungen gegen Internetanbieter auszusprechen, weil sie Verkehr an TSPU vorbei zuließen.

China — der Great Unplug. Im April 2026 trennten chinesische Behörden physisch tausende Proxy-Dienste-Server aus den Rechenzentrumsschränken — sie kappten Stromkabel und Netzwerkleitungen von Maschinen, die VPN-Verkehr weiterleiten. Die Kampagne — in chinesischen sozialen Medien als 拔线潮 („Kabelzieh-Welle“) bekannt — ist architektonisch verschieden von früheren Durchgriffen: Wo frühere Durchsetzung auf Strafverfolgung einzelner Nutzender zielte, zielte der Great Unplug auf Infrastruktur. Die Mitteilung von Shaanxi Telecom vom 8. April verlangte die Beseitigung „jeder Form von Umgehungsgeschäft“ — eine weite Kategorie, die VPN-Dienste und Proxy-Routing einschließt. Nach der Kampagne funktionierte nur noch TLS-basierte Verschleierung (V2Ray VLESS + Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy) verlässlich. Tausende Nutzende verloren über Nacht den Zugang.

Niger — neun internationale Medienhäuser suspendiert. Am 8. Mai 2026 ordnete Nigers militärisch kontrollierte Observatoire Nationale de la Communication die Suspendierung von neun internationalen Medienhäusern an: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info und France Afrique Média. Die angegebene Begründung: Sie „gefährden die öffentliche Ordnung, die nationale Einheit, den sozialen Zusammenhalt und die Stabilität der staatlichen Institutionen.“ Niger ist laut der CPJ-Zählung vom 1. Dezember 2025 das Land mit den zweitmeisten inhaftierten Journalistinnen und Journalisten in Subsahara-Afrika.

Burkina Faso — TV5Monde verboten, Journalist mit Baumästen geschlagen. Am 5. Mai 2026 verbot Burkina Fasos Oberster Kommunikationsrat TV5Monde. Am 6. Mai bestätigte die Untersuchung von Reporter ohne Grenzen, dass der prominente investigative Journalist Atiana Serge Oulon — am 24. Juni 2024 verschleppt — über Wochen in einer zum provisorischen Gefängnis umfunktionierten Villa in Ouagadougou festgehalten und mit Baumästen geschlagen worden war. Mali, Burkina Faso und Niger bilden zusammen die „Informationswüste“ der Sahelzone — mehr als zwölf Medienhäuser wurden zur Aussetzung oder Schließung ihres Betriebs gezwungen; hinzu kommt die Zwangsrekrutierung von Journalisten in Militäroperationen der Junta.

Pakistan — dreizehn Festnahmen nach PECA. Am 6. Mai 2026 nahm die National Cyber Crime Investigation Agency Punjab in Lahore, Gujranwala, Faisalabad und Multan dreizehn Personen wegen angeblicher staatsfeindlicher Kampagnen in sozialen Medien fest. Die Festnahmen erfolgen nach dem Prevention of Electronic Crimes Act. Die PECA-Änderungen von 2025 haben das Gesetz in einen primären Mechanismus staatlicher Überwachung und Kontrolle verwandelt. Vierunddreißig von siebenundsechzig erfassten Strafanzeigen gegen pakistanische Journalistinnen und Journalisten stützen sich auf PECA.

Tansania — 518 Tote. Am 23. April 2026 übergab die Untersuchungskommission zur Gewalt nach der Wahl vom 29. Oktober 2025 ihren Bericht an Präsidentin Samia Suluhu Hassan. Die Kommission bestätigte 518 Todesfälle — 502 Zivilpersonen und 16 Sicherheitskräfte, darunter 21 Kinder unter den Opfern. Die Region Daressalam verzeichnete mit 182 die höchste Zahl. Westliche Diplomaten und Oppositionsparteien schätzen die tatsächliche Zahl auf ein- bis zweitausend. Die Gewalt ereignete sich während einer fünftägigen vollständigen Internetabschaltung. Der vollständige Bericht der Kommission wurde nicht veröffentlicht. CHADEMA und ACT-Wazalendo wiesen den Bericht am 24. April zurück. Der Bericht "Missed Opportunity" von Human Rights Watch vom 5. Mai kritisierte das fortgesetzte Zurückhalten. X (früher Twitter) bleibt in Tansania gesperrt.

Der Bogen Iran—Russland—China—Niger—Burkina Faso—Pakistan—Tansania ist dasselbe architektonische Muster in unterschiedlicher Intensität. Jeder Fall ist ein Produktivfall staatlichen Handelns gegen die Netzbetreiberebene oder die Anwendungsebene oder die Journalistenebene des offenen Internets. Die Nutzerin und der Nutzer haben auf der Netzbetreiberebene keine architektonische Alternative.

Was bevorsteht

Nach den drei Türen des Donnerstags ist die Fristenkaskade durch Juni und Juli die operative Realität.

22. Mai — Trail-of-Bits-Audit zu Monero FCMP++ endet. Das elftägige Auditfenster öffnete am 11. Mai. Mit dem 18. Mai ist das Audit an Tag 7 von 11. FCMP++ ersetzt Ringsignaturen durch Full-Chain-Membership-Proofs, deren Anonymitätsmenge die gesamte UTXO-Menge ist — etwa 150 Millionen Transaktionsausgänge, verglichen mit den heute genutzten Ringsignaturen mit 16 Ködern. Ein sauberes Audit beseitigt den letzten erheblichen technischen Einwand gegen Moneros Datenschutzversprechen auf Protokollebene; ernsthafte Funde verzögern das Konsens-Upgrade und belasten die Stimmung.

28. Mai — Fenster für den vollständigen Patch von PAN-OS CVE-2026-0300 schließt. Palo Alto lieferte am 13. Mai den Fix für den Pufferüberlauf im User-ID-Authentifizierungsportal, der Remote-Codeausführung mit Root-Rechten ermöglicht. Die Bundes-IT verbrachte vier Tage mit Konfigurationsmaßnahmen zur Risikominderung, weil der Hersteller-Patch vier Tage nach der FCEB-Frist der CISA vom 9. Mai eintraf. Das vollständige Patch-Fenster — bis zum 28. Mai — schließt in zehn Tagen von heute an.

12. Juni — Auslaufen von Section 702. Fünfundzwanzig Tage von heute an. Die 45-tägige Verlängerung läuft am 12. Juni aus. Die FISC-Entscheidung ist nicht freigegeben. Die Debatte über die abfrageseitige Reform läuft ohne die Sicht des Gerichts weiter. Der Kongress wird eine Verlängerung oder eine Neuermächtigung verabschieden oder das Programm auslaufen lassen. Das Muster der Neuermächtigung ohne Reform hat über vier Fenster gehalten. Das fünfte Fenster mag das Muster brechen; wahrscheinlicher tut es das nicht.

26. Juni — Zertifikatsklippe bei Microsoft Secure Boot. Neununddreißig Tage von heute an. Die ursprünglichen Secure-Boot-Zertifikate von 2011, die von den meisten zwischen 2012 und 2025 gebauten Windows-Geräten genutzt werden, laufen ab. Etwa 1,5 Milliarden Windows-Geräte sind betroffen. Geräte, die die Ersatzzertifikate von 2023 nicht erhalten haben, verlieren den Secure-Boot-Schutz; manche werden gar nicht mehr starten. Microsoft staffelt seit etwa zwei Jahren Bereitschaftsupdates; der Mai-Patchday (12. Mai, 137 CVEs, null Zero-Days) lieferte KB5089593, KB5087544 und KB5087594 eigens zur Vorbereitung auf die Klippe. Der lange Schwanz — Offline-Geräte, Industriesteuerungen, Kioske, eingebettete Systeme — ist die unbearbeitete Risikofläche.

30. Juni — Frist für Mexikos CURP Biométrica. Dreiundvierzig Tage von heute an. Etwa 127 Millionen Mobilfunkanschlüsse in Mexiko müssen bis zum 30. Juni gegen die biometrische CURP registriert sein — Gesicht, Fingerabdruck, Iris. Nicht registrierten Anschlüssen droht die Abschaltung. Seit dem 9. Januar neu geschaltete Anschlüsse müssen sich binnen 30 Tagen registrieren. Mexiko wird die erste große Nation, die verlangt, dass jeder Mobilfunkanschluss mit einem staatlich ausgegebenen biometrischen Identifikator verknüpft ist. Der erklärte Zweck: Erpressung bekämpfen und Vermisste auffinden. Der strukturelle Effekt: fortlaufende Identifizierung von Aufenthaltsort und Aktivität jedes Nutzenden auf der Netzbetreiberebene.

1. Juli — volle Durchsetzung von MiCA. Vierundvierzig Tage von heute an. Jeder nicht lizenzierte Krypto-Dienstleister, der EU-Kunden bedient, muss den Betrieb einstellen. Bußgelder bis zu 12,5 Prozent des weltweiten Jahresumsatzes mit persönlicher Haftung von Führungskräften.

1. Juli — Durchsetzung der Apple Declared Age Range API (Louisiana, Utah). Am selben Tag. Für Nutzende mit neuen Apple-Konten in Louisiana und Utah werden ab dem 1. Juli 2026 Alterskategorien auf Anfrage über die Declared Age Range API an die App der Entwickler weitergegeben. Die Significant Update Action — in der Beta — erlaubt es Entwicklern, Erwachsene in diesen Jurisdiktionen über bedeutende App-Aktualisierungen zu informieren.

2. August — Durchsetzung der GPAI-Regeln des EU-KI-Gesetzes. Sechsundsiebzig Tage von heute an. Die Durchsetzungsbefugnisse werden für GPAI-Anbieter aktiv, darunter Anthropic, OpenAI, Google, Meta, Mistral, Cohere und quelloffene Anbieter oberhalb der GPAI-Schwelle. Das Fenster zur freiwilligen Zeichnung des Verhaltenskodex verengt sich. Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

21. September — Auslaufen von FIPS 140-2. Einhundertsechsundzwanzig Tage von heute an. Die post-quanten-sicheren Primitive ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) sind seit August 2024 als Standards in Kraft. Der durchschnittliche FIPS-140-3-Validierungszyklus liegt bei etwa 542 Tagen, gemessen an der Basislinie von Anfang 2024. Der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen.

Ende 2026 — Frist für den Rollout der EU-Brieftasche für digitale Identität. Die Mitgliedstaaten müssen bis Ende 2026 mindestens eine EUDI-Wallet bereitstellen. Die selektive Offenlegung mit eIDAS 2.0 BBS+ befindet sich in der Finalisierung bei der IETF. W3C Verifiable Credentials 2.0 hat seit Mai 2025 den Status einer Recommendation.

Sommer 2026 — Going Dark / ProtectEU kommt. Der Schwenk der EU-Kommission nach der Niederlage der Chatkontrolle 2.0 am 26. November 2025. Der Going-Dark-Vorschlag zielt auf VPN-Dienste mit „dem größtmöglichen Anwendungsbereich“. Mullvad hat erklärt, es werde den EU-Markt verlassen, falls Going Dark verabschiedet wird; Signal-Präsidentin Meredith Whittaker hat erklärt, Signal werde den europäischen Markt verlassen, falls eine Schwächung der Verschlüsselung vorgeschrieben wird.

Das dichte Juni-Juli-Fenster — 12. Juni, 26. Juni, 30. Juni, 1. Juli, 1. Juli, 2. August — ist die operative Kaskade der verfahrensmäßigen Ausrichtung, die der Donnerstag sichtbar gemacht hat.

Was sich nicht geschlossen hat

Während sich am Donnerstag drei Türen schlossen, bleibt die Einbruchslage strukturell offen.

Sysco / Qilin — sechs Tage nachdem Qilin drei interne Dokumente als Zugangsnachweis veröffentlichte (12. Mai), wurde keine SEC-Offenlegung nach Item 1.05 eingereicht; keine Zahlungsbestätigung; kein vollständiges Leak. Sysco ist der größte Gastronomiegroßhändler der Welt — Restaurants, Krankenhäuser, Schulen, Hotels.

Foxconn / Nitrogen — bestätigter Cyberangriff auf die Standorte Mount Pleasant, Wisconsin, und Houston, Texas, mit angeblich 8 Terabyte / 11 Millionen entwendeten Dateien, darunter Projektdaten von Intel, Apple, Nvidia, Google und Dell. Bestätigt am 12. Mai. Das Aggregatormuster des Auftragsfertigers: Eine einzige Foxconn-Kompromittierung erreicht die Produkt-Roadmap jedes OEM-Kunden gleichzeitig.

Salt Typhoon — laut FBI-Äußerungen vom Mai 2026 „immer noch sehr, sehr stark im Gange“. Mehr als zweihundert Ziele in mehr als achtzig Ländern. Verizon, AT&T, T-Mobile, Spectrum, Lumen, Consolidated Communications, Windstream sowie kanadische Spitzen-Telekommunikationsunternehmen. Die von Senatorin Cantwell im Februar 2026 beantragte Anhörung im Handelsausschuss des Senats wurde nicht angesetzt.

DragonForce — M&S / Co-op / Harrods — Störungen bei M&S werden bis Juli erwartet, mit etwa 300 Millionen Pfund entgangenem Gewinn; vier Festnahmen im Vereinigten Königreich. Die Affiliate-Struktur aus Scattered Spider / The Com / DragonForce bleibt operativ.

Cushman & Wakefield — ShinyHunters über Salesforce; mehr als 500.000 Datensätze, personenbezogene Daten plus interne Unternehmensdaten.

Das DPRK-Muster — Drift Protocol 295 Millionen US-Dollar am 1. April; Kelp DAO 292 Millionen US-Dollar am 18. April. 587 Millionen US-Dollar aus zwei Angriffen zusammen. Das Urteil von TRM Labs vom 30. April: Die nordkoreanische Lazarus-Gruppe steht seit Jahresbeginn 2026 für 76 Prozent des gesamten Werts aus Kryptowährungs-Hacks. Drift kündigte am 5. Mai einen Wiederherstellungsplan an — Recovery-Token, gebunden an verifizierte Verluste, ein Fördertopf von zunächst 3,8 Millionen US-Dollar mit einem Ziel von bis zu 151 Millionen US-Dollar aus Umsätzen, Unterstützung durch Tether und Partner. Ripple öffnete am 5. Mai den Austausch von Bedrohungsinformationen zu Nordkorea für Kryptounternehmen.

Die Einbruchslage hat ihre eigene Uhr. Sie hält nicht an, weil die Einsatzebene in den Markt geht.

Das Risiko des agentischen Einsatzes

In derselben Woche, in der Anthropic Claude for Small Business in QuickBooks, PayPal, HubSpot, Canva und DocuSign startete — und die parallelen OpenAI Workspace Agents in Slack, Google Drive, Microsoft-Apps, Salesforce, Notion und Atlassian Rovo weiter hochliefen —, legte Microsoft drei kritische CVEs der Kategorie Information Disclosure in Microsoft 365 Copilot offen und behob sie.

CVE-2026-26129. CVE-2026-26164. CVE-2026-33111.

Alle drei mit dem Schweregrad kritisch. Alle drei in der Kategorie Information Disclosure. Alle drei am 7. Mai vollständig behoben. Das Muster: Wo die agentische KI Inhalte über Vertrauensgrenzen hinweg zusammenführt, ist der Aggregator die Verwundbarkeitsfläche. M365 Copilot führt E-Mails, Dokumente und Teams-Unterhaltungen zusammen; Schwächen bei der Behandlung von Sonderelementen oder eingeschleusten Befehlen erlauben es, dass sensible Informationen über Vertrauensgrenzen hinweg abfließen. Der Fehler vom 21. Januar in M365 Copilot Chat hatte es Copilot zuvor erlaubt, vertrauliche E-Mails unter Umgehung von DLP-Richtlinien und Vertraulichkeitskennzeichnungen zusammenzufassen.

Der Konzerneinsatz von Anthropic Claude Cowork (SCIM, OpenTelemetry, Intune) und der Mittelstandseinsatz von Claude for Small Business (QuickBooks, PayPal, HubSpot, Canva, DocuSign) führen über strukturell gleichwertige Vertrauensgrenzen hinweg zusammen. Die architektonischen Fragen sind dieselben. Anthropic hat für Claude Cowork oder Claude for Small Business keinen CVE-Katalog zu Information Disclosure veröffentlicht — noch nicht. Die Architektur verdient genaue Prüfung.

Die agentische Ebene ist im Produktivbetrieb. Die Information-Disclosure-Fläche ist im Produktivbetrieb. Beide Uhren laufen.

Der nutzerseitige Primitiv-Stack

Der nutzerseitige Primitiv-Stack ist die einsatzunabhängige Gegenmaßnahme zu allen vier Türen, zum staatlichen Handeln auf Netzbetreiberebene und zur Einbruchslage.

Offene Clients mit nutzereigenen Schlüsseln. Signal, Tuta, Proton, Threema, Briar 1.5.17 (die Version vom 12. März läuft über Bluetooth, WLAN und Tor; sie funktioniert während Abschaltungen auf Netzbetreiberebene, weil sie zur Weiterleitung von Nachrichten nicht auf die Netzbetreiberebene angewiesen ist), Cwtch, Session, Matrix-Homeserver. Die architektonische Eigenschaft: Nutzereigene Schlüssel bieten keine Fläche für regulatorischen Zwang. Die Beendigung der Instagram-E2EE durch Meta am 8. Mai 2026 zeigte, dass selbst bestehende E2EE bei einer großen Plattform regulatorisch wegverhandelt werden kann; offene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine architektonische Fläche.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS (Pixel 6+ mit Android 16 in der Vorschau 2026030501), CalyxOS Android-16-Testbuild 7.2.1.0, veröffentlicht am 4. Mai, /e/OS, LineageOS, OpenWRT. Der Citizen-Lab-Bericht "Bad Connection" vom 23. April 2026 dokumentierte zwei Überwachungskampagnen auf Netzbetreiberebene — STA1, eine Herabstufung von Diameter auf SS7 über neun Länder hinweg, die als "ghost operators" (Geisterbetreiber) agieren, und STA2, ein Zero-Click-SIMjacker über das veraltete S@T-Browser-SIM-Applet —, die für das Mobile Verification Toolkit, iVerify und Lookout auf geschlossen-firmware-basiertem iOS oder Stock-Android unsichtbar sind. Offene Firmware macht das Verhalten von Cache und Benachrichtigungsdatenbank der Prüfung durch die Nutzenden zugänglich.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem World Passkey Day der FIDO Alliance — waren im globalen Ökosystem fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. Yubico hat insgesamt mehr als 30 Millionen Hardwareschlüssel ausgeliefert. OpenAI ergänzte ChatGPT am 4. Mai um Passkeys und Hardwareschlüssel, mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano zu etwa 68 US-Dollar. Hardwaregebundene Anmeldedaten überstehen eine SIM-Kompromittierung; STA1 und STA2 reichen nicht zu hardwareschlüsselgeschützten Konten durch, weil der zweite Faktor nicht auf der SIM liegt.

Zensurresistente Transportwege. Tor Browser 15.0.13 + 16.0a6 (Versionen vom 7. Mai — Notfallversionen, die kritische Schwachstellen im Linux-Kernel, im Tor Browser und im Tor-Client schlossen). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. URnetwork-Peer-to-Peer-Overlay. URnetworks MCP-Server-Release vom 19. Februar erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport vollständig von der Netzbetreiberebene zu abstrahieren. Irans Stufe „Internet Pro“, Russlands VPN-Erkennungsgesetz vom 15. April, in Betrieb bei Yandex / VK / Sberbank / Gosuslugi, der Mobilfunkaufschlag vom 1. Mai, Chinas Great Unplug im April (拔线潮), der EU-Vorschlag Going Dark, der im Sommer 2026 kommt — das nutzerkontrollierte Overlay taucht in keinem dieser Gesetze auf, weil es nicht als öffentlicher Dienst oder registrierter Betreiber in Erscheinung tritt.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (standardmäßig aktiv seit Core 27.0; die Mehrheit des globalen Bitcoin-Peer-to-Peer-Verkehrs ist inzwischen verschlüsselt). Bitcoin BIP352 Silent Payments (Empfangen und Senden in Core 28.0+, mit den 2026 ergänzten BIP376-PSBTv2-Tweak-Datenfeldern und dem BIP392-Deskriptorformat; Cake Wallet als erste mobile Implementierung; BlueWallet hat Unterstützung ausgeliefert). Monero FCMP++ in aktiver Integration; das Trail-of-Bits-Audit begann am 11. Mai und läuft bis zum 22. Mai — derzeit an Tag 7 von 11 — und ersetzt Ringsignaturen durch Full-Chain-Membership-Proofs, deren Anonymitätsmenge die gesamte UTXO-Menge ist (mehr als 150 Millionen Transaktionsausgänge). Zcash Crosslink Milestone 4 (Entwicklung von Staking und Tokenomics, mit bereits integrierter PoW-plus-BFT-Finalität); Vitalik Buterin tätigte am 6. Februar 2026 seine zweite Spende an Shielded Labs, ausdrücklich zur Unterstützung des Crosslink-Upgrades.

KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter insgesamt / 49 Milliarden aktiv, Kontext von einer Million Token, 80,6 Prozent SWE-Bench Verified, 90,1 Prozent GPQA Diamond). DeepSeek V4 Flash (284 Milliarden insgesamt / 13 Milliarden aktiv). Mistral Medium 3.5 (29. April, 128 Milliarden Parameter, 77,6 Prozent SWE-Bench Verified). Qwen 3.6 Max Preview (27. April, mehrsprachig in 201 Sprachen). Qwen 3.6 27B (77,2 Prozent SWE-Bench Verified). GLM-5.1 (744 Milliarden im Mixture-of-Experts-Verfahren, bestplatzierter Open-Source-Eintrag in der LMArena). Kimi K2.6. OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Milliarden Parameter insgesamt / 50 Millionen aktiv, im Browser lauffähig über transformers.js plus WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts, was per Beschlagnahmeanordnung geholt werden kann. Die am 5. Januar von Richter Sidney Stein erlassene Anordnung zur Herausgabe von 20 Millionen Protokollen in OpenAI v. New York Times bleibt in Kraft. Die allgemeine Verfügbarkeit von Anthropic Claude Cowork am 12. Mai und der Start von Claude for Small Business am 14. Mai sind der konzernseitige Einsatz der agentischen Ebene, der die lokale Inferenz als Gegenmaßnahme motiviert.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025; sieben Spezifikationen in der Familie). eIDAS 2.0 BBS+ selektive Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die neue Charta der W3C-VC-Arbeitsgruppe vom April 2026 zielt auf Recommendations für Render Method und Confidence Method bis September 2026. Die mexikanische Frist für die CURP Biométrica am 30. Juni (43 Tage von heute an, mit der rund 127 Millionen Mobilfunkanschlüsse an Gesichts-, Fingerabdruck- und Iris-Biometrie gebunden werden) ist das Bedrohungsmodell. Der Rollout des mobilen Führerscheins in Apple Wallet (dreizehn Bundesstaaten plus Puerto Rico aktiv zum 1. Mai 2026; Akzeptanz durch die TSA an mehr als 250 Flughäfen) ist das nähere Bedrohungsmodell. Laden Sie Ihre Identität nicht zum Anbieter hoch.

Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Das Lösegeld für den Einzelperimeter von Canvas / Instructure mit 8.809 betroffenen Einrichtungen, das Instructure am 11. Mai zahlte, ist das Bedrohungsmodell.

Mesh und Satellit auf Netzbetreiberebene. Briar. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Stufe „Internet Pro“, der Stromausfall an den Funktürmen in Khartum im Sudan, die russischen Abschaltungen in 21 Oblasten zum Tag des Sieges, die fünftägige vollständige Internetabschaltung in Tansania, die mehr als 518 Tote ermöglichte — die netzbetreiberunabhängige Ebene ist die strukturelle Gegenmaßnahme.

Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September. Die Standards ML-KEM (FIPS 203), ML-DSA (FIPS 204), SLH-DSA (FIPS 205) sind seit August 2024 in Kraft. Der durchschnittliche FIPS-140-3-Validierungszyklus liegt bei etwa 542 Tagen, gemessen an der Basislinie von Anfang 2024. Der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen.

Der moralische Anker

Am 7. Mai 2026 — am selben Tag, an dem Microsoft die drei kritischen M365-Copilot-CVEs behob, am selben Tag, an dem Tor Browser 15.0.13 und 16.0a6 als Notfall-Sicherheitsupdates erschienen, am selben Tag, an dem fünf Milliarden Passkeys als Meilenstein erreicht wurden — veröffentlichte Keonne Rodriguez einen Brief aus dem Bundesgefängnislager FPC Morgantown. Rodriguez ist Mitgründer von Samourai Wallet, der inzwischen geschlossenen Bitcoin-Privacy-Wallet. Er ist fünf Monate in einer Haftstrafe von sechzig Monaten. Sein Mitgründer William Lonergan Hill verbüßt achtundvierzig Monate. Die beiden verwirkten etwa 6,37 Millionen US-Dollar an Gebühren aus Samourais Privacy-Diensten Whirlpool und Ricochet. Rodriguez' Brief — an die Bitcoin-Gemeinschaft gerichtet — bat um Hilfe bei 2 Millionen US-Dollar aufgelaufener Prozessschulden. Er räumte ein, dass die Hoffnungen auf eine präsidiale Begnadigung faktisch verblasst sind.

Die Strafverfolgung von Samourai Wallet ist der Produktivfall für die Kriminalisierung von Privacy-Primitiven in Nutzerverwahrung. Die Strafverfolgung von Tornado Cash ist der Parallelfall: Roman Storm wurde im August 2025 wegen Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts verurteilt; bei den Anklagepunkten Verschwörung zur Geldwäsche und Sanktionsverstoß kam die Jury zu keinem Urteil; die Neuverhandlung im Oktober 2026 steht an; Richterin Failla prüft seit den mündlichen Ausführungen vom 9. April Storms Antrag auf Freispruch.

Die Kriminalisierung der Betreiber von Primitiven in Nutzerverwahrung beseitigt das Primitiv in Nutzerverwahrung nicht. Bitcoin BIP352 Silent Payments, BIP324 v2 verschlüsseltes P2P und das Monero-FCMP++-Upgrade liegen auf der Protokollebene, nicht auf der Betreiberebene. Das Protokoll kann nicht strafrechtlich verfolgt werden. Die Entwicklerinnen und Entwickler, die es pflegen, aber schon.

In der Villa in Ouagadougou wurde Atiana Serge Oulon über Wochen mit Baumästen geschlagen.

In Tansania starben 518 Menschen während einer fünftägigen vollständigen Internetabschaltung.

In Iran sind achtzig Tage vergangen, seit die Stufe „Internet Pro“ auf Netzbetreiberebene die Bevölkerung in eine Weiß-SIM-Kaste und den Rest geteilt hat.

Der nutzerseitige Primitiv-Stack ist nicht abstrakt. Er ist die architektonische Gegenmaßnahme zur Einsatzebene, zur Netzbetreiberebene, zur Einbruchsfläche, zur Exportjurisdiktion, zum Empfängerland, zum strafverfolgten Betreiber und zur ungeschriebenen politischen Uhr.

Schluss

Drei Türen schlossen sich am Donnerstag. Die vierte nicht.

Die Bartz-Vorlage wurde quasi genehmigt — die auf Genehmigung zusteuernde Vorlage für 1,5 Milliarden US-Dollar Vergütung für KI-Trainingsdaten bei 3.000 US-Dollar je registriertem urheberrechtlich geschütztem Werk und einer Anmeldequote von 92,77 Prozent. Claude for Small Business wurde in den Betriebs-Stack QuickBooks / PayPal / HubSpot / Canva / DocuSign jedes kleinen Unternehmens verdrahtet. Die Bewerbungen der Zahlungsdienstleister für den digitalen Euro schlossen um 17:00 Uhr mitteleuropäischer Sommerzeit; zehn bis dreißig Zahlungsdienstleister werden für den zwölfmonatigen Pilotbetrieb im zweiten Halbjahr 2027 einer programmierbaren, von der Zentralbank ausgegebenen Endkundenwährung ausgewählt.

Das fünfzehntägige beschleunigte Freigabefenster für die FISC-Entscheidung zu § 702 vom 17. März verstrich ohne Veröffentlichung. Das Auslaufen von Section 702 ist fünfundzwanzig Tage entfernt.

1. Mai, 12. Juni, 26. Juni, 30. Juni, 1. Juli, 1. Juli, 2. August, 21. September — die Uhren laufen.

Die verfahrensmäßige Konvergenz zu benennen ist die journalistische Rechenschaftsantwort. Der nutzerseitige Primitiv-Stack ist die technologische Rechenschaftsantwort. Sie laufen parallel.

Offene Clients. Offene Firmware. Hardwareschlüssel. Zensurresistente Transportwege. Datenschutzwahrende Währung. KI mit lokaler Inferenz. Föderierte Identität mit selektiver Offenlegung. Selbst gehostete Dienste. Mesh und Satellit. Kryptografische Agilität.

Was der Donnerstag geschlossen hat, war die verfahrensmäßige Ausrichtung von KI-Einsatz in Unternehmen, KI-Vergütungsvorlage, programmierbarer Geldinfrastruktur und Überwachungsaufsicht auf überlappenden Kalendern.

Der nutzerseitige Primitiv-Stack hängt nicht davon ab, in welche Richtung sie laufen.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, das in keinem Register öffentlicher Dienstebetreiber der oben genannten Gesetze auftaucht. URnetworks MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Overlay aufzubauen und den Transport von der Netzbetreiberebene zu abstrahieren.

https://ur.io

Am Dienstag, dem 12. Mai 2026, veröffentlichte Human Rights Watch den 54-seitigen Bericht "Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments." Der Bericht ist unter hrw.org/report/2026/05/12/looking-the-other-way abrufbar.

Die zentrale Feststellung des Berichts lautet, dass sechs Mitgliedstaaten der Europäischen Union — Bulgarien, Polen, Finnland, Dänemark, Estland und die Tschechische Republik — seit ihrer Annahme die maßgeblichen Exporteure kommerzieller Spähsoftware unter der EU-Verordnung über Güter mit doppeltem Verwendungszweck von 2021 (Verordnung EU/2021/821) sind. Die Verordnung von 2021 führte Genehmigungspflichten für das ein, was der Gesetzestext als "cyber-surveillance items" — Güter zur digitalen Überwachung — bezeichnet: Spähsoftware der Pegasus-Klasse, Ausrüstung zum Abhören von Mobilfunk, IMSI-Catcher, Plattformen für rechtmäßige Überwachung und bestimmte Netzwerk-Telemetrieausrüstung. Die Genehmigungspflicht wird von der zuständigen Behörde jedes Mitgliedstaats verwaltet, wobei die Europäische Kommission und die übrigen Mitgliedstaaten als Konsultationsbeteiligte fungieren.

Die dokumentarische Feststellung von HRW lautet, dass seit 2021 keiner der sechs benannten Mitgliedstaaten öffentlich einen Ausfuhrantrag für "cyber-surveillance items" abgelehnt hat — trotz dokumentierter Lieferungen in mehr als zwanzig Zielländer, darunter Saudi-Arabien, die Vereinigten Arabischen Emirate, Ägypten, Mexiko, Ungarn, die Türkei, Indien, Indonesien, Marokko, Bahrain und etwa zehn weitere. Die Liste der Ziele wird gegen die Bewertungen von Freedom House in Freedom in the World 2025 und die jährlichen Country Reports on Human Rights Practices des US-Außenministeriums abgeglichen — mit dem Ergebnis, dass die Zielländer nach der Lesart von HRW dieselben Länder sind, in denen der Einsatz kommerzieller Spähsoftware gegen Journalistinnen und Journalisten, Anwältinnen und Anwälte, Oppositionspolitiker und Menschenrechtsverteidiger forensisch dokumentiert wurde.

Zu den benannten Anbietern gehören Unternehmen, die zuvor von Citizen Lab, dem Security Lab von Amnesty International und der Pegasus-Project-Arbeit von Access Now identifiziert wurden — Intellexa (dessen griechisch ansässige Aktivitäten eine tschechische Betriebsgesellschaft und in Bulgarien registrierte Zwischenhändler umfassen); Memento Labs, die Umbenennung von Hacking Team / RCS Lab, deren Geschäftsführer Paolo Lezzi am 9. Mai einräumte, dass die in der Kaspersky-Offenlegung zu ForumTroll vom 28. Oktober 2025 genannte kommerzielle Spähsoftware „Dante“ ein Produkt seines Unternehmens ist; sowie zuvor unbenannte bulgarische und estnische Briefkastenfirmen, die HRW mit dem Weiterexport von Werkzeugen der Pegasus-Klasse in Verbindung bringt.

Die strukturelle Rahmung des Berichts lautet, dass die EU-Verordnung von 2021 ein Papiertiger ist. Der harmonisierte Rahmen verlangt eine Genehmigung auf Ebene der Mitgliedstaaten, aber er verlangt keine harmonisierten Ablehnungskriterien, keine harmonisierte Menschenrechtsprüfung, keine harmonisierte Endverwendungskontrolle und keine harmonisierte öffentliche Berichterstattung. Die Verordnung verpflichtet die Mitgliedstaaten, Ausfuhren an die Kommission zu melden, aber die aggregierte Berichterstattung der Kommission ist um etwa drei Jahre verzögert und benennt weder Ziele noch Empfängerstellen.

Zu den Empfehlungen von HRW gehören: eine verbindliche Menschenrechtsprüfung auf der Genehmigungsstufe des Mitgliedstaats; ein öffentliches Register abgelehnter Ausfuhranträge; eine von der Kommission geführte harmonisierte Ablehnungsliste; eine verpflichtende Endverwendungsprüfung durch unabhängige Verifizierung; und ein befristetes Moratorium für Ausfuhren kommerzieller Spähsoftware in Staaten, die im Freedom-House-Index als "Not Free" — nicht frei — eingestuft sind.

Der Bericht benennt sechs europäische Hauptstädte: Sofia (Bulgarien), Warschau (Polen), Helsinki (Finnland), Kopenhagen (Dänemark), Tallinn (Estland) und Prag (Tschechische Republik).

Was der 12. Mai war

Dies ist der Tag nach dem Tag, an dem die vier Uhren der Ausgabe 06 abliefen. Die Rückschau ist strukturell.

Die FISC-Entscheidung zu § 702 wurde nicht veröffentlicht. Trotz der Abmachung zwischen Wyden, Cotton und Warner von Mitte April, die ein gerichtlich angeordnetes Veröffentlichungsziel zum 12. Mai für die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 festlegte, läuft die Freigabeprüfung weiter. Die Entscheidung bleibt Verschlusssache. Das Auslaufen von § 702 ist jetzt dreißig Tage entfernt — 12. Juni 2026. Das FBI arbeitet weiter unter der zweiten kurzfristigen Übergangs-Neuermächtigung von Section 702 bis zum Auslaufen, wobei die Rückschau-Abfragepraxis, die die FISC-Entscheidung behandeln soll, weiterhin auf Basis von US-Personen in der Datenbank der Auslandsaufklärung in Betrieb ist. Die Büros von Wyden, Cotton und Warner gaben am späten 12. Mai gemeinsame Erklärungen ab, in denen sie ihre Sorge äußerten, dass die FISC-Entscheidung nicht fristgerecht öffentlich gemacht wurde; der Vorsitzende des Geheimdienstausschusses des Senats, Mark Warner, bezeichnete das Versäumnis als „unvereinbar mit den Zusagen zur öffentlichen Aufsicht, die in der Verlängerungsdebatte im Frühjahr gemacht wurden“.

Microsofts Patchday landete mit 137 CVEs und null Zero-Days — dem ersten Patchday ohne Zero-Day seit Juni 2024. Zu den Schlagzeilen-CVEs gehören CVE-2026-41089 (Netlogon, Remote-Codeausführung, CVSS 9,8), CVE-2026-41096 (DNS-Client, Remote-Codeausführung, CVSS 9,8), CVE-2026-42898 (Dynamics 365, Remote-Codeausführung, CVSS 9,9) und CVE-2026-41097 (eine Secure-Boot-Umgehung, die zugleich Teil der rollierenden Vorbereitung auf die Zertifikatsklippe zum Ablauf des Secure-Boot-UEFI-Zertifikats am 26. Juni ist). Microsoft rahmte den Zyklus als „den ruhigsten Patchday des Jahres“, wobei die Telemetrie von Defender Cloud für die CVE-Liste vom 12. Mai null Ausnutzung in freier Wildbahn zeigte.

Foxconn bestätigte die Nitrogen-Ransomware am selben Tag, dem 12. Mai. Die Offenlegung: acht Terabyte und etwa elf Millionen Dateien abgezogen. Die Erpressergruppe Nitrogen behauptet, der Datenbestand enthalte Projektdaten von Intel, Apple, Nvidia, Google und Dell — Zeichnungen des Auftragsfertigers, technische Spezifikationen von Zulieferern, interne Projektzeitpläne und ungeschwärzte E-Mail-Verläufe. Nordamerikanische Foxconn-Fabriken waren etwa eine Woche lang bis zum 9. Mai gestört. Die Folgerung ist, dass die Ebene der Auftragsfertiger ein kundenübergreifender Aggregator ist — eine einzige Kompromittierung erreicht mehrere OEM-Kundenperimeter gleichzeitig, so wie der Einbruch bei Itrons Smart Metern jeden Versorgungsunternehmenskunden jedes Itron nutzenden Versorgers erreichte (Ausgabe 06).

Instructure zahlte an ShinyHunters am Tag vor der Frist des 12. Mai. Am 11. Mai überwies Instructure Berichten zufolge eine nicht öffentlich bekannt gegebene Summe im Austausch für das, was ShinyHunters "shred logs" — Vernichtungsprotokolle — nennt, für den 3,65 bis 6,65 Terabyte großen Datenbestand. Der Bestand umfasst etwa 275 Millionen Datensätze aus 8.809 Bildungseinrichtungen. Das ist die erste große Lösegeldzahlung des US-Bildungssektors an eine benannte Erpressergruppe bei einem Einbruch dieser Größenordnung. Der Unterausschuss des US-Repräsentantenhauses für Cybersicherheit, Informationstechnologie und Regierungsinnovation kündigte für den 18. Mai eine Anhörung an, um "the operational and policy implications of education-sector ransom payments to extortion groups" — die operativen und politischen Folgen von Lösegeldzahlungen des Bildungssektors an Erpressergruppen — zu untersuchen.

Die Erpressung von Sysco durch Qilin bleibt ungelöst. Qilin veröffentlichte am 12. Mai drei interne Dokumentproben als Zugangsnachweis. Eine Zahlungsbestätigung liegt nicht vor. Ein vollständiges Leak wurde nicht veröffentlicht. Syscos Offenlegung eines Cybersicherheitsvorfalls nach SEC Item 1.05 (Form 8-K) ist bis heute, dem 13. Mai, nicht eingereicht.

Heute

Heute, am 13. Mai 2026, lieferte Palo Alto den Fix für PAN-OS CVE-2026-0300 aus.

Vier Tage zu spät.

Die Notfallfrist der Cybersecurity and Infrastructure Security Agency aus dem Katalog bekannter ausgenutzter Schwachstellen für die zivilen Bundesbehörden war der 9. Mai — der Tag vor dem vergangenen Samstag. Der IT-Betrieb des Bundes verbrachte die viertägige Lücke damit, reine Konfigurationsmaßnahmen zur Risikominderung auf zum Internet hin offenen Firewalls auszurollen: Abschalten der User-ID-Komponente, Einschränken der Captive-Portal-Exponierung, vollständiges Herausnehmen der Perimeter-Firewalls aus dem öffentlichen Pfad. Palo Altos Fix — als Hotfix-Patches für PAN-OS 11.1.x und 10.2.x veröffentlicht — schließt den nicht authentifizierten Pufferüberlauf, der Remote-Codeausführung mit Root-Rechten ermöglichte.

Die viertägige Lücke ist der aggressivste Fristentakt für bekannte ausgenutzte Schwachstellen in der Geschichte der Binding Operational Directive 22-01 der CISA. Die zivilen Bundesbehörden arbeiteten vier Tage lang mit Konfigurationsmaßnahmen, weil der Hersteller-Patch noch nicht existierte. Die Regulierungsuhr lief strukturell vor der Hersteller-Patch-Uhr.

Heute ist außerdem Tag sieben von Dirty Frag. Die Hälfte der am 7. Mai von Hyunwoo Kim offengelegten Dirty-Frag-Kette, die CVE-2026-43500 (Linux-Kernel, RxRPC) betrifft, bleibt ungepatcht. Die Bestätigung der Ausnutzung in freier Wildbahn durch den Microsoft Security Blog vom 8. Mai hat Bestand: Die aktive Ausnutzung läuft weiter. Das Commit-Log von kernel.org für das rxrpc-Subsystem zeigt im Fenster vom 9. bis 12. Mai drei Patches, die verwandte Probleme angehen, aber die konkrete Use-after-free-Schwachstelle im Pfad rxrpc_io_thread, die die Kette ausnutzt, nicht schließen. Eine Lösung im Upstream steht weiter aus. Backports auf Distributionsebene — Ubuntu, RHEL, CentOS Stream, AlmaLinux, openSUSE Tumbleweed, Fedora — sind nicht ausgeliefert.

Das Muster: Der „ruhigste Patchday des Jahres“ koexistiert mit aktiver Ausnutzung einer ungepatchten universellen lokalen Rechteausweitung unter Linux in freier Wildbahn, mit einem Foxconn, das am selben Tag eine Ransomware-Exfiltration von acht Terabyte bestätigt, und mit einem Palo Alto, das einen kritischen RCE-Fix für Edge-Firewalls vier Tage nach der Compliance-Frist des Bundes ausliefert. Die operative Realität im gesamten Ökosystem ist, dass Hersteller-Patch-Zyklen dem Bedrohungszyklus und dem Regulierungszyklus weiterhin hinterherlaufen.

Morgen

Morgen, am 14. Mai 2026, landen zwei Uhren.

Richterin Araceli Martínez-Olguín eröffnet die Fairness-Anhörung in Bartz v. Anthropic um 9:00 Uhr pazifischer Zeit in Saal 12 des Bundesgerichts von San Francisco. Der Vergleich über 1,5 Milliarden US-Dollar deckt rund 500.000 registrierte urheberrechtlich geschützte Werke zu etwa 3.000 US-Dollar je Werk ab. Die im April eingereichten entsiegelten Einwände benennen drei strukturelle Bedenken:

• Ausschluss ausländischer Werke. Die Vergleichsstruktur ist durch die Registrierung beim U.S. Copyright Office begrenzt. Viele Autorinnen und Autoren, deren Werke in Anthropics Trainingskorpus aufgenommen wurden, haben keine US-Staatsangehörigkeit und haben ihre Urheberrechte nach dem Regime ihres Heimatstaats registriert. Der Einwand argumentiert, der Ausschluss ausländischer Werke erzeuge ein untererfasstes Anspruchsuniversum und die Vergleichsstruktur solle auf das im Ausland registrierte Universum ausgeweitet werden.

• Untererfassung bei Sammelregistrierungen. Viele in den USA registrierte Werke sind im Rahmen kollektiver Urheberschaftsstrukturen (Anthologien, Zeitschriften, Kursmaterialien) als Gruppe registriert. Die Vergleichsstruktur weist die Auszahlung je Werk der registrierten anspruchsberechtigten Partei zu, was bei Sammelregistrierungen ein Verlag oder eine institutionelle Rechteinhaberin sein kann statt der zugrunde liegenden Autorinnen und Autoren. Der Einwand argumentiert, dies erzeuge eine Verlagsschlagseite in der Verteilung des Vergleichs.

• Zwangswirkende Benachrichtigung. Das Opt-out-Fenster des Sammelvergleichs ist kurz im Verhältnis zu der strukturellen Schwierigkeit festzustellen, ob das Werk einer bestimmten Autorin im Anthropic-Trainingskorpus enthalten ist. Der Einwand argumentiert, die Benachrichtigung sei in dem Sinne zwangswirkend, dass Autorinnen und Autoren, die die Einbeziehung innerhalb des Fensters nicht feststellen können, standardmäßig einbezogen werden und ihr Recht auf individuelle Verletzungsklagen verlieren.

Der Ausgang der Anhörung wird Präzedenz für die parallelen Vergleichsstrukturen zu KI-Trainingsdaten setzen, die OpenAI, Google, Meta, Cohere, Mistral und das quelloffene Ökosystem aushandeln oder erstreiten müssen. Genehmigt Richterin Martínez-Olguín die Struktur, wird sie zur Vorlage. Tut sie es nicht, geht die Vorlage zurück in die Verhandlung.

Die Europäische Zentralbank schließt die Bewerbungen der Zahlungsdienstleister für den digitalen Euro um 17:00 Uhr MESZ. Der Bewerbungsaufruf wurde am 5. März 2026 veröffentlicht. Die EZB hat angekündigt, zwischen zehn und dreißig Zahlungsdienstleister für einen zwölfmonatigen Pilotbetrieb ab dem zweiten Halbjahr 2027 auszuwählen. Der digitale Euro ist als programmierbare, von der Zentralbank ausgegebene Endkundenwährung konzipiert. Das Element „programmierbar“ bedeutet, dass Zahlungsdienstleister Limits, Bedingungen und Nachverfolgbarkeit für einzelne Transaktionen in Software auf der Protokollebene durchsetzen können.

Der begleitende Regulierungsrahmen: MiCA tritt am 1. Juli 2026 in die volle Durchsetzung, wenn jeder nicht lizenzierte Krypto-Dienstleister, der EU-Kunden bedient, den Betrieb einstellen muss. Die Null-Schwellen-Regel der Travel Rule ist seit Dezember 2024 in Kraft und verlangt vollständige Auftraggeber- und Begünstigtendaten bei jedem Transfer zwischen Krypto-Dienstleistern. Bußgelder nach MiCA erreichen 12,5 % des weltweiten Jahresumsatzes mit persönlicher Haftung von Führungskräften.

SEC und CFTC veröffentlichten am 17. März 2026 eine gemeinsame Auslegung, die Bitcoin, Ethereum, Solana, XRP und Chainlink ausdrücklich als digitale Rohstoffe benennt — die regulatorische Klarheit auf US-Seite für Kryptowährungen, die im selben Monat eintrifft, in dem sich die regulatorische Infrastruktur für den programmierbaren Euro auf EU-Seite formalisiert.

Die Gegenmaßnahme auf der Empfängerseite, wo die politischen Uhren ungleichmäßig laufen, ist der offene Fundament-Primitiv-Stack.

Die Empfängerländer

Der HRW-Bericht benennt die Exporteure. Die Empfängerländer sind der Ort, an dem die exportierten Werkzeuge zum Einsatz kommen. Heute stellt sich das Bild der Empfänger so dar:

Iran. Tag 75 der Abschaltung. Die längste je verzeichnete Internetabschaltung. Der Bericht "Infrastructure of Silence" von Iran HRM vom 9. Mai dokumentiert die Weiß-SIM-Stufe „Internet Pro“, ausgegeben von der mit den Revolutionsgarden verbundenen Mobile Communications of Iran (MCI) — eine Whitelist-SIM-Kaste, die Zugang zu einem kuratierten Satz staatlich genehmigter Seiten und Behördendienste gewährt. Tier-2-SIMs (der Standard) verlieren den Zugang zum globalen Internet vollständig. Der wirtschaftliche Verlust beträgt etwa 35,7 Millionen US-Dollar pro Tag; der kumulierte Verlust seit dem Beginn am 30. Januar liegt bei etwa 5,2 Milliarden US-Dollar. Die CNN-Tiefenrecherche zu „Internet Pro“ vom 10. Mai beschreibt Wartezeiten von drei bis vier Stunden vor den SIM-Umstellungsbüros in Teheran und das Entstehen eines parallelen Graumarkts für den Weiterverkauf umgestellter Tier-1-SIMs zu Aufpreisen.

Russland. Das ISP-VPN-Erkennungsgesetz vom 15. April 2026 ist in Betrieb. Yandex, VK, Sberbank und Gosuslugi blockieren allesamt VPN-getunnelten Verkehr auf Anwendungsebene — eine koordinierte Indienstnahme großer privater Plattformen zur Durchsetzung der VPN-Erkennungspflicht. Die Mobilfunkabschaltungen vor dem Tag des Sieges rollten vom 4. bis zum 9. Mai über mehr als 21 Oblaste und gipfelten am 9. Mai in einer vollständigen Abschaltung von Mobilfunk und SMS in Moskau. Geldautomaten in den betroffenen Regionen fielen aus, weil sie auf Mobilfunk-Backhaul angewiesen sind. Die Begründung von Roskomnadsor — Abwehr von Drohnenangriffen — wurde von der unabhängigen Exilpresse Meduza in Frage gestellt, die darauf hinweist, dass die Drohnenkoordination eigene FPV-Steuerprotokolle nutzt und nicht GSM-Sprache oder SMS.

Pakistan. Die NCCIA Punjab hat zwischen dem 3. und dem 7. Mai 41 Journalisten, Blogger und Aktivisten nach Änderungen des Prevention of Electronic Crimes Act erfasst und 13 festgenommen. Der Bericht der Pakistan Press Foundation vom 5. Mai verzeichnete 233 Vorfälle gegen die Pressefreiheit von Januar 2025 bis April 2026.

Burkina Faso. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die geheime Haft des Journalisten Atiana Serge Oulon in einer klandestinen Einrichtung in Ouagadougou, wo er nach übereinstimmenden Recherchen von Le Monde, der Washington Post und Africanews über einen Zeitraum von Wochen mit Baumästen geschlagen wurde. Burkina Fasos Auflösung von 118 Nichtregierungsorganisationen am 15. April und Nigers Suspendierung von 2.900 der 4.700 registrierten Nichtregierungsorganisationen am 23. April rahmen die Schrumpfung des zivilgesellschaftlichen Raums in der Sahelzone.

Tansania. Der Bericht der Untersuchungskommission zur Gewalt nach der Wahl vom Oktober 2025 — bei dessen Bekanntwerden Amnesty International am 23. April 518 Tote und 2.390 Verletzte während einer fünftägigen vollständigen Internetabschaltung bestätigte — wird von der tansanischen Regierung weiterhin offiziell zurückgehalten. Der Bericht "Missed Opportunity" von Human Rights Watch vom 5. Mai kritisiert das fortgesetzte Zurückhalten. X bleibt in Tansania gesperrt.

Ägypten, VAE, Saudi-Arabien, Bahrain, Marokko. Die fünf arabischen Zielländer, die in HRWs Bericht benannt werden, bleiben Einsatzumgebungen für kommerzielle Spähsoftware im großen Maßstab. Die Dokumentation von Citizen Lab, dem Amnesty Security Lab und dem Pegasus Project von Access Now seit 2018 umfasst Tausende ausgespähter Geräte in diesen Jurisdiktionen.

Die Empfängerländer haben keine Alternativen auf der Netzbetreiberebene. Die Nutzerin und der Nutzer im Empfängerland haben keinen Zugang zu der Regulierungsbehörde, die den Ausfuhrantrag auf EU-Seite genehmigen oder ablehnen könnte. Die Nutzerin und der Nutzer im Empfängerland sind das Einsatzziel.

Die architektonische Gegenmaßnahme ist der nutzerkontrollierte Primitiv-Stack.

Die Nutzerseite

Den Exporteur zu benennen ist regulatorische Rechenschaft. Der nutzerkontrollierte Primitiv-Stack ist die technologische Rechenschaftsantwort. Sie laufen parallel.

Offene Clients mit nutzereigenen Schlüsseln. Signal, Tuta, Proton, Threema, Briar 1.5.17 (veröffentlicht am 12. März 2026 — läuft über Bluetooth, WLAN und Tor; funktioniert während Netzabschaltungen), Cwtch, Session, Matrix-Homeserver. Wo das Empfängerland keinen Zugang zur Regulierungsbehörde auf EU-Seite hat, haben die Nutzerinnen und Nutzer im Empfängerland Zugang zu quelloffenen Clients mit nutzereigenen kryptografischen Schlüsseln. Die Beendigung der Instagram-E2EE durch Meta am 8. Mai zeigte, dass selbst bestehende E2EE bei einer großen Plattform regulatorisch wegverhandelt werden kann. Offene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine architektonische Fläche.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS, CalyxOS (Android-16-Testbuild veröffentlicht am 4. Mai 2026), /e/OS, LineageOS, OpenWRT. Der Citizen-Lab-Bericht "Bad Connection" vom 23. April dokumentierte zwei Überwachungskampagnen auf Netzbetreiberebene — STA1, eine Herabstufung von Diameter auf SS7 über neun Länder hinweg, STA2, ein Zero-Click-SIMjacker über das veraltete S@T-Browser-SIM-Applet —, die für das Mobile Verification Toolkit, iVerify und Lookout unsichtbar sind. Das Eingeständnis des Memento-Labs-Geschäftsführers vom 9. Mai, dass die kommerzielle Spähsoftware „Dante“ ein Produkt seines Unternehmens ist, bestätigte die geräteseitige Realität. Mobilgeräte mit offener Firmware machen das Verhalten von Cache und Benachrichtigungsdatenbank der Prüfung durch die Nutzenden zugänglich. Betriebssysteme mit geschlossener Firmware tun das nicht.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem World Passkey Day der FIDO Alliance — veröffentlichte FIDO, dass im globalen Ökosystem fünf Milliarden Passkeys ausgerollt sind. Die Auslieferungen von YubiKey, Nitrokey und SoloKey laufen weiter. Yubico hat insgesamt mehr als 30 Millionen Hardwareschlüssel ausgeliefert. OpenAI ergänzte ChatGPT am 4. Mai um Passkeys und Hardwareschlüssel, mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano zu etwa 68 US-Dollar. Hardwaregebundene Anmeldedaten überstehen eine SIM-Kompromittierung; SS7- und Diameter-Angriffe über Geisterbetreiber reichen nicht zu hardwareschlüsselgeschützten Konten durch, weil der zweite Faktor nicht auf der SIM liegt.

Zensurresistente Transportwege. Tor Browser 15.0.13, veröffentlicht am 7. Mai 2026. V2Ray VLESS+Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. URnetwork-Peer-to-Peer-Overlay. URnetworks MCP-Server-Release vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport vollständig von der Netzbetreiberebene zu abstrahieren. Irans Stufe „Internet Pro“ und Russlands VPN-Erkennungsgesetz vom 15. April sind das Bedrohungsmodell.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 ist seit Core 27.0 standardmäßig aktiv; die Mehrheit des globalen Bitcoin-Peer-to-Peer-Verkehrs ist inzwischen verschlüsselt. BIP352 Silent Payments (Core 28.0+) sind in aktivem Einsatz. Monero befindet sich im laufenden Trail-of-Bits-Audit zu FCMP++; das Audit begann am 11. Mai und läuft bis zum 22. Mai. FCMP++ ersetzt Ringsignaturen durch Full-Chain-Membership-Proofs, deren Anonymitätsmenge die gesamte UTXO-Menge ist — mehr als 150 Millionen Transaktionsausgänge zum Auditbeginn. Zcash Crosslink Milestone 5 wurde laut dem ZecHub-Digest vom 10. Mai abgeschlossen.

KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter / 49 Milliarden aktiv, Kontext von einer Million Token, 80,6 Prozent SWE-Bench Verified). Mistral Medium 3.5 (29. April, 128 Milliarden Parameter). Qwen 3.6 Max Preview (27. April). GLM-5.1 (7.-8. April, 744 Milliarden im Mixture-of-Experts-Verfahren, bestplatzierter Open-Source-Eintrag in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Milliarden Parameter insgesamt / 50 Millionen aktiv, im Browser lauffähig über transformers.js plus WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts, was per Beschlagnahmeanordnung geholt werden kann. Die am 11. Mai gestartete OpenAI Deployment Company und das seit dem 12. Mai allgemein verfügbare Anthropic Claude Cowork sind der konzernseitige Einsatz agentischer KI in der Identitäts- und Geräte-Management-Ebene aus SCIM / OpenTelemetry / Intune. Die nutzerseitige Gegenmaßnahme zum Konzern-KI-Einsatz ist KI mit lokaler Inferenz auf nutzerkontrollierter Rechenleistung.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation-Status seit Mai 2025); eIDAS 2.0 BBS+ selektive Offenlegung (Finalisierung bei der IETF läuft); Privacy Pass; die W3C-VC-Arbeitsgruppe arbeitet unter einer neuen Charta vom April 2026, die auf Recommendations für Render Method und Confidence Method im September 2026 zielt; die Frist für den Rollout der EU-Brieftasche für digitale Identität im Dezember 2026 (alle 27 Mitgliedstaaten müssen bereitstellen). Die mexikanische Frist für die CURP Biométrica am 30. Juni — mit der etwa 127 Millionen Mobilfunkanschlüsse an Gesichts-, Fingerabdruck- und Iris-Biometrie gebunden werden — ist das Bedrohungsmodell.

Selbst gehostete Dienste. Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Nextcloud, Mautic, SuiteCRM, Moodle Community, Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Das Lösegeld für den Einzelperimeter von Canvas / Instructure mit 8.809 betroffenen Einrichtungen ist das Bedrohungsmodell — Föderation hat keine Einzelanbieter-Einzelperimeter-Exponierung.

Mesh und Satellit auf Netzbetreiberebene. Briar, Bridgefy, Meshtastic, Reticulum, GoTenna PRO, Starlink. Irans Stufe „Internet Pro“, der Stromausfall an den Funktürmen in Khartum im Sudan und die russischen Abschaltungen in 21 Oblasten zum Tag des Sieges sind das Bedrohungsmodell. Die Feststellung der tansanischen Untersuchungskommission von 518 Toten ist der moralische Anker.

Kryptografische Agilität vor dem Auslaufen von FIPS 140-2 am 21. September. Die Standards ML-KEM (FIPS 203), ML-DSA (FIPS 204), SLH-DSA (FIPS 205) sind seit August 2024 in Kraft. Der vorsorgliche Einsatz post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen, ohne auf nicht validierte Zustände zurückzufallen.

Die laufenden Uhren

| Datum | Ereignis | |---|---| | 13. Mai, heute | Fix für Palo Alto PAN-OS CVE-2026-0300 veröffentlicht (4 Tage nach der FCEB-Frist) | | 14. Mai | Fairness-Anhörung Bartz v. Anthropic (1,5 Mrd. USD); Bewerbungen der Zahlungsdienstleister für den digitalen Euro schließen | | 18. Mai | Anhörung des Unterausschusses des US-Repräsentantenhauses zur Canvas-Lösegeldzahlung | | 19. Mai | 48-Stunden-Löschpflicht der Plattformen nach dem TAKE IT DOWN Act | | 22. Mai | Trail-of-Bits-Audit zu Monero FCMP++ endet | | 26. Mai | Konsultation zum UK Online Safety Act schließt | | 27. Mai | Meta-Hauptversammlung (NLPC-Antrag zu KI und Datenschutz) | | 12. Juni | Auslaufen von Section 702 | | 26. Juni | Microsoft-Secure-Boot-UEFI-Zertifikat läuft ab | | 30. Juni | Frist für Mexikos CURP Biométrica | | 1. Juli | Apple Declared Age Range API in Louisiana aktiv; volle MiCA-Durchsetzung für Krypto-Dienstleister | | 2. Aug. | Durchsetzungsbefugnisse für GPAI nach dem EU-KI-Gesetz werden aktiv | | 2. Dez. 2026 | Artikel 5 des EU-KI-Gesetzes (Verbot von CSAM / NCII), Compliance laut Digital-Omnibus | | 21. Sep. | FIPS-140-2-Zertifizierungen → historisch (PQC-Auslaufen) | | 5.-12. Okt. | Neuverhandlung im Verfahren Roman Storm / Tornado Cash | | Dez. 2026 | Frist für den Einsatz der EU-Brieftasche für digitale Identität (27 Mitgliedstaaten) | | 2. Dez. 2027 | Hochrisiko-Pflichten nach Anhang III des EU-KI-Gesetzes (verschoben von Aug. 2026) | | 2. Aug. 2028 | Hochrisiko-Pflichten nach Anhang I des EU-KI-Gesetzes (verschoben von Aug. 2026) |

Schluss

Sofia. Warschau. Helsinki. Kopenhagen. Tallinn. Prag.

Sechs europäische Hauptstädte sind nun in einem Bericht von Human Rights Watch als die maßgeblichen Exporteure kommerzieller Spähsoftware unter der gescheiterten EU-Dual-Use-Verordnung von 2021 benannt. Mehr als zwanzig Zielländer — Saudi-Arabien, die VAE, Ägypten, Mexiko, Ungarn, die Türkei, Indien, Indonesien, Marokko, Bahrain und zehn oder mehr weitere — empfangen die Ausfuhren.

Gestern war der Dienstag, über den wir am Samstag geschrieben haben. Die FISC-Entscheidung wurde nicht veröffentlicht. Canvas zahlte. Sysco steckt fest. Foxconn bestätigte acht Terabyte. Der Patchday war ruhig, aber Dirty Frag läuft weiter, und Palo Altos Fix kam heute, vier Tage zu spät.

Morgen entscheidet Richterin Martínez-Olguín über den Vergleich über 1,5 Milliarden US-Dollar, der zur Vorlage dafür werden wird oder nicht, wie KI-Trainingsdaten vergütet werden. Morgen schließt die EZB das Bewerbungsfenster der Zahlungsdienstleister für den digitalen Euro.

Die Empfängerländer — Iran an Tag 75, Russland mit 21 Oblasten, Pakistan mit 13 Festnahmen, Burkina Faso mit der Villa in Ouagadougou, Tansania mit der zurückgehaltenen Kommission, Ägypten und die VAE und Saudi-Arabien und Bahrain und Marokko am Empfängerende der Pipeline Sofia-Warschau-Helsinki-Kopenhagen-Tallinn-Prag — haben keinen Zugang zur europäischen Regulierungsbehörde. Ihre Nutzerinnen und Nutzer haben die Alternative auf der Netzbetreiberebene nicht.

Der nutzerkontrollierte Primitiv-Stack ist die architektonische Antwort.

Offene Clients. Offene Firmware. Hardwareschlüssel. Zensurresistente Transportwege. Datenschutzwahrende Währung. KI mit lokaler Inferenz. Föderierte Identität mit selektiver Offenlegung. Selbst gehostete Dienste. Mesh und Satellit. Kryptografische Agilität.

Den Exporteur zu benennen ist die eine Rechenschaft. Der Primitiv-Stack ist die andere.

Beide laufen.

Am Dienstag, 12. Mai 2026, laufen vier voneinander unabhängige Uhren am selben Tag ab.

Die erste ist ein Gerichtsbeschluss. Am 17. März 2026 erließ das Foreign Intelligence Surveillance Court — dasselbe Gericht, das fünfzehn Jahre lang die rechtliche Aufsicht über die FBI-Überwachung nach Section 702 des Foreign Intelligence Surveillance Act innehatte — eine Entscheidung zur Abfragepraxis der Behörde. Nach der von Senator Wyden am 27. April öffentlich gemachten Darstellung muss die Entscheidung per Gerichtsbeschluss bis zum 12. Mai veröffentlicht werden. Die Frist beträgt sechzig Tage. Dienstag ist Tag sechzig. Die Entscheidung wird vor der Veröffentlichung geschwärzt, doch über die Schwärzungen selbst entscheidet das FISC, nicht die Exekutive.

Die zweite ist ein Patch-Zyklus. Der Microsoft-Patch-Tuesday — die Auslieferung der kumulativen Sicherheitsupdates am 12. Mai — fällt in das, was der Schwachstellen-Tracker von Zecurit das „letzte komfortable Zeitfenster für den Rollout“ vor dem Ablauf des seit Langem etablierten Microsoft-Secure-Boot-UEFI-Zertifikats am 26. Juni 2026 nennt; dieses Zertifikat sichert seit 2012 die Boot-Integrität von Milliarden Windows-Installationen ab. Das Secure-Boot-Zertifikat ist kein Softwarefehler. Es ist der kryptografische Vertrauensanker für hardwareverankerte Boot-Integrität. Sein Austausch erfordert Eingriffe auf Firmware-Ebene bei Hunderten Millionen Geräten, und das operative Zeitfenster vor dem 26. Juni ist von den IT-Abteilungen zunehmend zusammengedrückt worden, weil sich das Zertifikatsaustauschprojekt durch das erste Quartal hindurch bis ins zweite geschoben hat.

Die dritte ist eine Lösegeldfrist. Am 8. Mai 2026 setzte die Erpressergruppe ShinyHunters für Instructure, den Betreiber von Canvas, eine neue Frist bis zum Ende des 12. Mai — Canvas ist die Lernplattform, die von 8.809 Einrichtungen weltweit genutzt wird und laut dem Tracker von Wikipedia den größten dokumentierten Sicherheitsvorfall im Bildungssektor darstellt. Der behauptete Datenbestand: 3,65 Terabyte, rund 275 Millionen Datensätze, darunter private Nachrichten zwischen Schülern und Lehrkräften, Noten und Verhaltensakten. Die Verunstaltung von rund 330 Canvas-Login-Seiten am 6. und 7. Mai — über den Free-For-Teacher-Vektor — war der Zugangsnachweis. Instructure hat mit Stand 9. Mai nicht gezahlt.

Die vierte ist ebenfalls eine Lösegeldfrist. Am 6. Mai 2026 stellte die Ransomware-Gruppe Qilin Sysco — den weltgrößten Großhändler für Gastronomiebedarf, der Restaurants, Krankenhäuser, Schulen, Gefängnisse und Militärstützpunkte beliefert — mit einer Frist zum 12. Mai auf ihre Leak-Seite. Sysco setzt jährlich rund 77 Milliarden US-Dollar um und betreibt die Kühlkette der Gemeinschaftsverpflegung für etwa fünfzehn Prozent des institutionellen Lebensmittelmarkts der USA. Interne Dokumente waren als Beleg angehängt.

Das sind nicht vier zusammenhängende Ereignisse. Es sind vier zusammenhanglose Ereignisse, die auf demselben Dienstag angekommen sind.

Heute

Heute ist Samstag, der 9. Mai 2026. Der Cybersicherheitskalender des Bundes hat für heute eine eigene Frist.

Am 6. Mai 2026 nahm die Cybersecurity and Infrastructure Security Agency Palo Alto PAN-OS CVE-2026-0300 in den Katalog der bekannten ausgenutzten Schwachstellen auf. Die Lücke — ein nicht authentifizierter Pufferüberlauf in User-ID / Captive Portal mit einem CVSSv4-Wert von 9.3 — erlaubt Remote-Code-Ausführung mit Root-Rechten auf Firewall-Hardware der PA-Serie und der VM-Serie. Die Frist der CISA-Direktive Binding Operational Directive 22-01, bis zu der die Bundesbehörden der zivilen Exekutive die Lücke schließen müssen, ist heute, der 9. Mai.

Der Hersteller-Fix von Palo Alto ist für den 13. Mai geplant. Die CISA-Frist liegt vier Tage vor dem Hersteller-Fix.

Es ist die aggressivste Frist aus dem Katalog der bekannten ausgenutzten Schwachstellen, die die CISA in der vierjährigen Geschichte des Programms BOD 22-01 gesetzt hat. Die operative Konsequenz: Die FCEB-Behörden können keinen Patch einspielen. Sie müssen bis Samstag reine Konfigurationsmaßnahmen ausrollen — die Komponente User-ID oder die Funktion Captive Portal abschalten, den Verwaltungszugang auf nicht mit dem Internet verbundene Netze beschränken oder die Firewall ganz aus dem Perimeter nehmen — und zwar auf zum Internet hin exponierten Edge-Firewalls. Über die zivile Bundesexekutive hinweg sind das mindestens mehrere Hundert namentlich erfasste Appliances. Die Schadensbegrenzung liegt bei der Regulierungsbehörde, der Patch beim Hersteller; der Nutzer — in diesem Fall der IT-Betrieb des Bundes — steht dazwischen.

Am 8. Mai 2026 nahm die CISA einen zweiten Eintrag auf. Ivanti Endpoint Manager Mobile CVE-2026-6973 — authentifizierte administrative Remote-Code-Ausführung, CVSS 7.2, laut der Berichterstattung von Help Net Security in „sehr begrenzten“ Umgebungen ausgenutzt — hat eine FCEB-Frist zum 10. Mai (Sonntag).

Das Muster sind zwei aggressive KEV-Fristen binnen 48 Stunden.

Der Diameter-Downgrade

Heute ist außerdem ein Tag der kommerziellen Spyware.

In der heute veröffentlichten Wiederaufnahme der ForumTroll-APT-Offenlegung von Kaspersky vom 28. Oktober 2025 durch Tech Generation räumt der Chef von Memento Labs, Paolo Lezzi, öffentlich ein, dass die im Securelist-Beitrag genannte kommerzielle Spyware Dante das Produkt seines Unternehmens ist. Er macht dafür „einen unachtsamen staatlichen Kunden, der eine alte Version einsetzt“ verantwortlich. Die in Securelist identifizierten Ziele des Chrome-Zero-Days lagen in Russland und Belarus. Memento Labs, der italienische Spyware-Anbieter, der früher als Hacking Team und später als RCS Lab firmierte, reiht sich damit in die Liste der öffentlich benannten Spyware-Anbieter ein: NSO Group, Paragon Solutions, Intellexa, Variston (2025 abgewickelt), Memento Labs.

Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April 2026 benannte zwei parallel laufende Kampagnen. STA1 — die Bezeichnung des Teams für einen staatsnahen Akteur — fährt einen Downgrade-Angriff von Diameter auf SS7 über den Missbrauch des Verfahrens „combined attach“, gibt sich dabei in neun Ländern als fremder Netzbetreiber aus und tritt so als „Ghost Operator“ in den Sitzungen der Opfer auf. STA2 — die Bezeichnung des Teams für einen separaten Akteur — fährt SIMjacker-Zero-Click-Angriffe per SMS über das S@T-Browser-Applet (SIM Application Toolkit), das noch auf Millionen älterer SIM-Karten vorhanden ist. Citizen Lab beschreibt die kombinierte Kampagne als „wahrscheinlich Tausende von Geräten betreffend“. Am 3. Mai berichtete Haaretz, dass mehrere israelische Telekommunikationsanbieter zu den von STA1 imitierten Betreibern gehörten. Das Mobile Verification Toolkit, iVerify und Lookout — die drei wichtigsten forensischen Werkzeuge, die investigativen Journalisten und gefährdeten Nutzern zur Verfügung stehen — können Angriffe auf der Diameter- oder der SS7-Ebene nicht erkennen. Sie erkennen Kompromittierungen auf dem Gerät. STA1 und STA2 sind Kompromittierungen auf der Betreiberseite.

Am 28. April 2026 berichtete TechCrunch, dass Paragon Solutions — inzwischen unter einem Vertrag über 2 Millionen US-Dollar operativ in die Einwanderungsbehörde Immigration and Customs Enforcement eingebunden — nach einem Jahr das förmliche Auskunftsersuchen der italienischen Staatsanwaltschaft zum Einsatz der Spyware Graphite gegen die bestätigten Opfer, den Journalisten Francesco Cancellato sowie Luca Casarini und Giuseppe Caccia, noch immer nicht beantwortet hat. Das förmliche Ersuchen lief auf dem üblichen Weg der Rechtshilfe über die israelische Regierung.

Am 24. April 2026 führte Senator Ron Wyden 30 Abgeordnete in einem Aufsichtsschreiben zu kommerzieller Spyware an. Das Schreiben ist unbeantwortet geblieben.

Die kommerzielle Spyware-Industrie ist nicht „vereinnahmt“. Sie ist integriert.

Das Mobilfunkland

Die Mobilfunkebene ist die wichtigste Kontrollfläche des Staates in Rechtsordnungen ohne Alternative zum Netzbetreiber.

Der 120-tägige Internet-Blackout im Iran hat sich zu „Internet Pro“ verfestigt. Der Bericht „Infrastructure of Silence“ des Iran Human Rights Monitor vom 9. Mai dokumentiert die Politik dahinter: SIM-Karten der Stufe 2 (der Standard) verlieren den Zugang zum globalen Internet vollständig; SIM-Karten der Stufe 1 — „Internet Pro“, ausgegeben von Tasnim und drei weiteren staatsnahen Telekommunikationsanbietern gegen Vorlage eines nationalen Ausweises, von Geschäftsunterlagen und einer schriftlichen Zweckangabe — sind auf eine Teilmenge freigegebener Seiten beschränkt, darunter Staatsmedien und Behördendienste. Die angegebenen Kosten belaufen sich auf 35,7 Millionen US-Dollar pro Tag an entgangener digitaler Wirtschaftsleistung. Der kumulierte Verlust seit dem Beginn des Blackouts am 30. Januar 2026 beträgt rund 5,2 Milliarden US-Dollar. Die Whitelist selbst wird von einem nationalen Filterkomitee verwaltet, dessen Zusammensetzung nicht öffentlich ist. Anfang Mai bei Access Now eingereichte Berichte beschreiben Wartezeiten von drei bis vier Stunden vor den SIM-Umstellungsstellen in Teheran und Maschhad.

Russland hat vom 4. bis 9. Mai vor dem Tag des Sieges Mobilfunkabschaltungen über mehr als 21 Regionen ausgerollt. Roskomnadsor begründete dies mit der Abwehr von Drohnenangriffen — Mobilfunknetze können zur Steuerung bodengestützter FPV-Drohnen genutzt werden. Reuters, Meduza und das Russland-Büro von Al Jazeera haben berichtet, dass Geldautomaten in den betroffenen Regionen ausfallen, weil sie auf Mobilfunk-Backhaul angewiesen sind. Das russische Gesetz vom 15. April 2026, das alle Provider und Mobilfunkanbieter zur VPN-Erkennung auf Netzwerkebene verpflichtet, aktiviert formal die staatliche Durchsetzung der Haltung „Netzbetreiber als Perimeter“.

Am 5. Mai 2026 schaltete MTN Sudan wegen Treibstoff- und Strommangel sämtliche Relaisstationen in Khartum ab. Internet Society Pulse meldet Khartum auf der Ebene des Betreiberfunks als ausgefallen. Die Abschaltungen fallen mit dem Prüfungsfenster der Sekundarschulen zusammen.

In Pakistan hat die National Cybercrime and Cyber-Investigation Agency Punjab in der Woche bis zum 7. Mai gegen 41 Journalisten, Blogger und Aktivisten Verfahren eingeleitet und 13 von ihnen festgenommen, gestützt auf Änderungen des Prevention of Electronic Crimes Act. Der Bericht der Pakistan Press Foundation vom 5. Mai verzeichnet 233 Vorfälle gegen die Pressefreiheit von Januar 2025 bis April 2026.

Die Enthüllung von Reporter ohne Grenzen vom 6. Mai dokumentierte die geheime Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er nach übereinstimmenden Recherchen von Le Monde, der Washington Post und Africanews über Wochen hinweg mit Baumzweigen geschlagen wurde.

Das architektonische Muster ist in jedem dieser Länder dasselbe: Für gewöhnliche Einwohner gibt es keine architektonische Alternative zur Netzbetreiberebene. Der Staat kontrolliert den Funk. Der Staat kontrolliert die SIM-Karte. Der Staat kontrolliert die Middlebox zur VPN-Erkennung. Der Nutzer hat keinen Rückfallweg, sofern er nicht über einen verfügt, der architektonisch vom Netzbetreiber getrennt ist.

Bildung

Der Vorfall bei Canvas / Instructure ist der größte jemals öffentlich bekannt gewordene Sicherheitsvorfall im Bildungssektor.

Die Zahlen aus der ShinyHunters-Teilveröffentlichung vom 8. Mai: 3,65 Terabyte, rund 275 Millionen Datensätze, 8.809 Einrichtungen. Die Gruppe ShinyHunters — dieselbe Gruppe, die die seit April der Vektorkette nach dem Salesforce-Einbruch zugerechnete Erpressungswelle gegen Drittanbieter-SaaS-Aggregatoren fährt — verunstaltete am 6. und 7. Mai die Login-Seiten von rund 330 Canvas-Instanzen; das war die Zurschaustellung des Zugangsnachweises. Brian Fung von CNN berichtete am 7. Mai um 13:20 Uhr PDT als Erster öffentlich über die Defacements, nachdem eine Studentin in Mississippi einen Screenshot einer Canvas-Anmeldeseite auf TikTok gestellt hatte, auf der in roter Arial stand: "Mr. Cannon, sorry for the inconvenience this caused, but our offer is fair. — ShinyHunters." — auf Deutsch: „Mr. Cannon, entschuldigen Sie die dadurch verursachten Unannehmlichkeiten, aber unser Angebot ist fair. — ShinyHunters.“

Bis zum 8. Mai war der Umfang des offengelegten Datenbestands von KrebsOnSecurity bestätigt. Krebs überprüfte die Zahl der Einrichtungen, indem er das Dateiverzeichnis von ShinyHunters gegen die veröffentlichte Kundenliste von Instructure abglich, und fand 8.809 verschiedene institutionelle Kennungen — darunter das gesamte System der University of California, Cornell, Brown, Stanford, das MIT (das Canvas für übergreifend gelistete Outreach-Programme im K-12-Bereich nutzt) und rund fünfundsiebzig Prozent der namentlich erfassten öffentlichen K-12-Schulbezirke in Kalifornien, Texas, Florida und New York. Die Aufschlüsselung des TIME Magazine vom 8. Mai hielt fest: „Pro Einrichtung legt der Vorfall private Nachrichten zwischen Schülern und Lehrkräften, Notenverläufe, Verhaltensakten sowie Vermerke zu Nachteilsausgleichen nach IEP / 504 offen.“

Die neue Frist, die ShinyHunters gesetzt hat, endet mit Ablauf des 12. Mai. Instructure hat mit Stand 9. Mai nicht gezahlt. Die Taktung — verstrichene Frist am 6. Mai, Defacement am 7. Mai, Veröffentlichung des Datenbestands am 8. Mai, neue Frist am 12. Mai — ist das Drehbuch, das ShinyHunters seit Ende April bei Cushman & Wakefield (Gewerbeimmobilien), Pitney Bowes (Postlogistik), Canada Life (Versicherungen), Carnival (Kreuzfahrt), Zara (Bekleidung), 7-Eleven (Einzelhandel), Mytheresa (Luxus) und Hallmark (Konsumgüter) durchgezogen hat.

Sysco

Am 6. Mai 2026 listete die Ransomware-Gruppe Qilin — dieselbe Gruppe, deren Welle 2024/2025 Synnovis, den NHS London und Change Healthcare traf — Sysco mit einer Lösegeldfrist zum 12. Mai auf ihrer Leak-Seite.

Sysco ist der weltgrößte Großhändler für Gastronomiebedarf: rund 77 Milliarden US-Dollar Jahresumsatz, Niederlassungen in 90 Ländern, die Kühlkette der Gemeinschaftsverpflegung für Restaurants, Hotels, Krankenhäuser, K-12-Schulmensen, Hochschulgastronomie, Gefängniskantinen und die Truppenverpflegung des US-Militärs. Etwa fünfzehn Prozent des institutionellen Lebensmittelmarkts der USA hängen an der Logistik von Sysco. Zu den internen Dokumenten, die Qilin als Beleg anhängte, gehören Lieferpläne und Unterlagen zu Lieferantenbeziehungen.

Qilin hat am 8. und 9. Mai weitergemacht: Imex International (ägyptische Schifffahrt), Exco Technologies (kanadische Automobilfertigung), CAD-IT UK (Industrietechnik), DL Cohen Construction (US-Bauwirtschaft) und am 9. Mai Lindabury (Anwaltskanzlei in New Jersey).

Die Gruppe Akira ließ am 7. Mai eine parallele Opferliste folgen: Grau GmbH (Handel und Fertigung, Hamburg), Elia Law Firm APC (San Diego), Punch & Associates Investment Management (US-Vermögensverwaltung), Réseau Radiologique Romand (Schweizer Radiologienetz), Clinical Registry Solutions (US-Gesundheitsdatendienste) und Pipestone (US-Landwirtschaft).

Die Erpressergruppe PEAR — ein im Fenster vom 6. bis 9. Mai neuer Name — tauchte laut HIPAA Journal in vier Offenlegungen aus dem Gesundheitssektor auf: Western Orthopaedics (Colorado), Community Health Systems (Kalifornien), Tri-Cities Gastroenterology (Tennessee) und Integrated Pain Associates (Texas).

Die iranische staatsnahe Bedrohungsgruppe MuddyWater (dem Geheimdienstministerium MOIS zugerechnet) fährt laut SecurityWeek eine Kampagne, die sich als „Chaos Ransomware“ tarnt — sie nutzt Social Engineering über Microsoft Teams für den Erstzugang und spielt anschließend etwas aus, das dem Opfer wie kriminelle Ransomware erscheint. Der Zweck ist glaubhafte Abstreitbarkeit: Das Opfer sieht Ransomware, der Akteur erhält nachrichtendienstlichen Zugang.

Die Taktung der Ransomware-Ökonomie hat sich nicht verlangsamt.

Dirty Frag

Am 7. Mai 2026 veröffentlichte der Sicherheitsforscher Hyunwoo Kim eine Proof-of-Concept-Exploit-Kette namens „Dirty Frag“, die CVE-2026-43284 (ein Use-after-free im xfrm-ESP-Pfad des Linux-Kernels) und CVE-2026-43500 (ein Logikfehler in der RxRPC-Implementierung) zu einer Rechteausweitung von unprivilegiert auf root mit einem einzigen Befehl auf Linux-Kerneln 6.4 bis 6.11 verkettet. Die Kette betrifft Ubuntu, Red Hat Enterprise Linux, CentOS Stream, AlmaLinux, openSUSE Tumbleweed und Fedora. Sie läuft auf handelsüblicher Hardware in rund zwei Sekunden durch.

Am 8. Mai bestätigte der Microsoft Security Blog die Ausnutzung in freier Wildbahn. Die Beschreibung der Erkennung: „begrenzte Aktivität in freier Wildbahn unter Verwendung des Befehls su nach der initialen Root-Erlangung durch Dirty Frag“. Das Signal von Microsoft ist bedeutsam, weil Microsoft kein Linux-Anbieter ist; die Erkennung stammt aus der Telemetrie von Microsoft Defender for Endpoint auf Linux-Servern in Unternehmensumgebungen, in denen der Agent ausgerollt ist.

Der Mythos „Linux ist sicher“ war bereits durch die RxRPC-Kompromittierung vom 23. April (dasselbe Subsystem) und die glibc-Exploit-Kette PaperHexagon vom Februar geschwächt. Dirty Frag ist die zweite universelle Linux-Root-Kette, die binnen 90 Tagen offengelegt wurde.

Die architektonische Lehre: Privilegiengrenzen auf Kernel-Ebene sind eine Härteannahme, keine Garantie. Sandboxing allein im Userspace (Container, seccomp, AppArmor, SELinux) ist die nutzerseitige Antwort, aber nur, wenn es angewendet wird — die meisten produktiv laufenden Linux-Server arbeiten aus Gründen der Betriebseinfachheit mit Root-Rechten.

Vereinnahmung unter anderem Namen

Am 4. Mai 2026 reichte die Federal Trade Commission ihren abschließenden Vergleich mit Kochava ein — dem Datenhändler aus Idaho, der fünf Jahre lang der Präzedenzfall dafür war, ob die FTC den Verkauf von Standortdaten unter die Befugnis aus Section 5 gegen unlautere oder irreführende Praktiken bringen kann. Der Vergleich: dauerhafte Untersagung des Verkaufs von Standortdaten sensibler Kategorien durch Kochava. Keine Geldbuße. Die Befugnis der FTC, eine Gewinnabschöpfung zu verlangen, wurde in diesem Fall nicht ausgeübt.

Am 7. Mai 2026 erzielten der Rat der Europäischen Union und das Europäische Parlament eine vorläufige Einigung über den „Digital Omnibus“ — ein Paket von Änderungen an der KI-Verordnung der EU. Der Omnibus verschiebt die Frist für die Pflichten bei Hochrisikosystemen vom 2. August 2026 auf den 2. Dezember 2027 und die Frist für die Pflichten bei KI-Modellen mit allgemeinem Verwendungszweck auf den 2. August 2028. Das Parlament fügte gegen den Widerspruch der Kommission — und weitgehend als Reaktion auf die Grok-Deepfake-Kontroverse des ausgehenden Winters — erstmals ein Verbot von KI-Nudifier-Anwendungen auf Ebene des EU-Rechts ein, mit Geltungsbeginn zum 2. Dezember 2026.

Am 4. Mai 2026 fiel im dritten Trilog zur EU-Verordnung CSAR / Chatkontrolle unter dänischer Ratspräsidentschaft die Pflicht zum clientseitigen Scannen, die die umstrittenste Bestimmung der Verordnung gewesen war. Der vierte Trilog ist für den 11. Mai 2026 angesetzt. Nach der Einschätzung der EFF verlangt die Verordnung in ihrer jetzigen Fassung nur noch die freiwillige Erkennung von Missbrauchsmaterial auf nicht Ende-zu-Ende-verschlüsselten Kanälen, wobei jede aktive Prüfung einer richterlichen Anordnung bedarf.

Im Oktober 2025 reduzierte die US-Bundesbezirksrichterin Phyllis Hamilton den Strafschadensersatz im Verfahren WhatsApp gegen NSO von 167,2 Millionen US-Dollar auf rund 4 Millionen US-Dollar und verwies dabei auf eine Obergrenze im Verhältnis 9:1. Das Verfahren liegt inzwischen in der Berufungsinstanz beim Ninth Circuit. Die NSO Group wird nun von einer US-Investorengruppe kontrolliert, mit dem früheren Trump-Botschafter David Friedman als Executive Chairman; im Transparenzbericht vom Januar 2026 fehlten die Zahlen zu gekündigten Kundenbeziehungen. Im Dezember 2025 strich das Finanzministerium still und leise drei Intellexa-Einträge von der Liste der Specially Designated Nationals.

Das Muster über diese fünf getrennten Vorgänge hinweg ist dasselbe. Die regulatorische Durchsetzung weicht genau an den Punkten auf, an denen sie den genannten Akteuren operative Kosten auferlegen würde. Die Pflichten der KI-Verordnung für Hochrisikosysteme verschieben sich um sechzehn Monate. Das verpflichtende clientseitige Scannen der Chatkontrolle fällt weg. Kochava wird untersagt, aber nicht mit einer Geldbuße belegt. Der Strafschadensersatz gegen NSO wird um das 40-Fache gesenkt. Die Intellexa-SDN-Einträge werden gestrichen.

Zugleich verschärft sich der regulatorische Zwang auf der Nutzerseite — die Declared Age Range API von Apple seit dem 6. Mai in Utah und ab dem 1. Juli in Louisiana in Kraft; die Frist der mexikanischen CURP Biométrica zum 30. Juni, die rund 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris bindet; die Plattform-Compliance nach dem TAKE IT DOWN Act zum 19. Mai; Section 702 in seiner zweiten kurzfristigen Verlängerung; der Vertrag über 12,2 Millionen US-Dollar mit Edge Ops LLC für das ICE-Projekt SAFE HAVEN.

Der ausgesetzte Flicken liegt auf der Betreiberseite. Der verschärfte Zwang liegt auf der Nutzerseite. Die Asymmetrie ist der Artikel.

Die Nutzerseite

Die architektonische Antwort auf das Fenster vom 12. Mai ist der nutzerkontrollierte Primitiv-Stack. Die Primitive hängen nicht davon ab, wie der 12. Mai ausgeht.

Offene Clients mit nutzereigenen Schlüsseln auf der Nachrichtenebene. Die Signal Foundation pflegt weiterhin die Implementierung des Signal-Protokolls; Tuta, Proton und Threema betreiben unabhängige Ende-zu-Ende-Verschlüsselung; Briar, Cwtch und Session betreiben vertrauensfreie Varianten; Matrix-Homeserver erlauben föderiertes Self-Hosting. Der Roblox-Vergleich mit den Generalstaatsanwälten der Bundesstaaten über 35,8 Millionen US-Dollar vom 21. April hat gezeigt, dass selbst bestehende Ende-zu-Ende-Verschlüsselung einer großen Plattform regulatorisch abgenötigt werden kann. Offene Clients mit nutzereigenen Schlüsseln bieten für diesen Zwang keine Angriffsfläche. Briar 1.5.17, veröffentlicht am 12. März, läuft über Bluetooth, WLAN und Tor; es funktioniert während Netzabschaltungen, weil es zur Weiterleitung von Nachrichten nicht auf die Netzbetreiberebene angewiesen ist.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS, CalyxOS, /e/OS, LineageOS, OpenWRT. Die von iVerify, Lookout und Google TAG am 18. und 19. März dokumentierte iOS-Angriffskette DarkSword ließ schätzungsweise 220 bis 270 Millionen iPhones auf exponierten iOS-Versionen (18.4 bis 18.6.2) zurück. Mobilgeräte mit offener Firmware machen das Verhalten von Caches und Benachrichtigungsdatenbanken für den Nutzer einsehbar; Betriebssysteme mit geschlossener Firmware tun das nicht.

FIDO2-Hardware-Authentifizierung. YubiKey, Nitrokey, SoloKey. Am 4. Mai hat OpenAI Passkeys und Hardware-Schlüssel zu ChatGPT hinzugefügt — mit einem gemeinsam gebrandeten Doppelpack YubiKey C NFC / C Nano für rund 68 US-Dollar. Yubico hat insgesamt mehr als 30 Millionen YubiKeys ausgeliefert. An Hardware gebundene Anmeldedaten überstehen eine Kompromittierung der SIM-Karte; SS7-/Diameter-Ghost-Operator-Angriffe wie STA1 setzen sich nicht auf mit Hardware-Schlüsseln geschützte Konten fort, weil der zweite Faktor nicht auf der SIM-Karte liegt.

Zensurresistente Transporte. Tor 15.0.10, V2Ray VLESS+Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy, URnetwork Peer-to-Peer. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und den Transport damit von der Netzbetreiberebene zu abstrahieren. Staatlich angeordnete Plattformsperren berühren die Verschleierung auf Transportebene nicht. Die Stufe „Internet Pro“ im Iran und das russische VPN-Erkennungsgesetz vom 15. April sind das Bedrohungsmodell.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; der überwiegende Teil des weltweiten BTC-P2P-Verkehrs ist inzwischen verschlüsselt) und BIP352 Silent Payments (Empfang und Versand ab Core 28.0; BIP376 und BIP392 kamen 2026 hinzu; Nunchuk hat SP-Unterstützung ergänzt). Monero steckt in der aktiven Integration von FCMP++; das Audit von Trail of Bits läuft vom 11. bis zum 22. Mai und ersetzt Ringsignaturen durch Full-Chain Membership Proofs, deren Anonymitätsmenge der gesamte UTXO-Satz ist. Zcash Crosslink Milestone 4 hat Feature-Netze gestartet; der abgeschirmte Pool steht auf dem Allzeithoch von 5.030.093 ZEC (rund 30 Prozent des Umlaufs). Geld mit Betreiber-Sperrliste ist Geld auf dem Betreiberpfad; Währungen in Nutzerverwahrung bieten diese Angriffsfläche nicht.

Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (am 22. April unter MIT-Lizenz veröffentlicht, 1,6 Billionen Parameter / 49 Milliarden aktiv, Kontextfenster von 1 Million Token, 27 Prozent der FLOPs pro Einzeltoken gegenüber V3.2 bei 1M Kontext); Mistral Medium 3.5 (29. April, 77,6 Prozent SWE-Bench Verified); Llama 4 Scout; Gemma 4; Qwen 3.6; Kimi K2.6; GLM-5.1; OpenAI Privacy Filter (22. April, Apache 2.0, 1,5 Mrd. Parameter insgesamt / 50 Mio. aktiv, im Browser lauffähig über transformers.js + WebGPU). Wo es kein Protokoll bei Dritten gibt, gibt es nichts zu beschlagnahmen. Die am 5. Januar von Richter Sidney Stein erlassene Herausgabeanordnung über 20 Millionen Protokolle im Verfahren OpenAI gegen die New York Times ist das Bedrohungsmodell.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Status „Recommendation“ seit Mai 2025; 7 Spezifikationen); eIDAS 2.0 mit BBS+-basierter selektiver Offenlegung (Finalisierung bei der IETF läuft); Privacy Pass; die W3C-VC-Arbeitsgruppe arbeitet unter einem neuen Mandat vom April 2026, das den Empfehlungsstatus für Render Method und Confidence Method im September 2026 anstrebt. Die mexikanische CURP Biométrica ist das Bedrohungsmodell: keine Identität in das zentrale staatliche Biometrieregister hochladen.

Selbst gehostete Dienste. Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Nextcloud, Mautic, SuiteCRM, Moodle Community, Open edX. Föderation begrenzt den Wirkungsradius jeder einzelnen Anbieterkompromittierung. Der Wirkungsradius von 8.809 Einrichtungen bei Canvas / Instructure ist das Bedrohungsmodell.

Mesh und Satellit auf der Netzbetreiberebene. Briar; Bridgefy; Meshtastic; Reticulum; GoTenna PRO; Starlink. Die Stufe „Internet Pro“ im Iran und der Stromausfall an den Funkmasten in Khartum sind das Bedrohungsmodell. Der Befund der Untersuchungskommission zu 518 Toten in Tansania vom 23. April 2026 ist der moralische Anker — wenn eine Abschaltung staatliche Gewalt ermöglicht, zählt die vom Netzbetreiber unabhängige Ebene.

Die laufenden Uhren

| Datum | Ereignis | |---|---| | 9. Mai, heute | CISA-FCEB-Frist für PAN-OS CVE-2026-0300 (4 Tage vor dem Hersteller-Fix) | | 10. Mai | CISA-FCEB-Frist für Ivanti EPMM CVE-2026-6973 | | 11. Mai | EU-Chatkontrolle, Trilog 4; Beginn des Trail-of-Bits-Audits zu Monero FCMP++ | | 12. Mai | FISC-Entscheidung vom 17. März per Gerichtsbeschluss öffentlich; Microsoft-Patch-Tuesday; Lösegeldfrist Canvas / Instructure; Lösegeldfrist Sysco / Qilin | | 13. Mai | Hersteller-Fix für Palo Alto PAN-OS | | 14. Mai | Fairness-Anhörung in Bartz gegen Anthropic (1,5 Mrd. $); Bewerbungsschluss für PSP beim digitalen Euro | | 19. Mai | Plattform-Compliance nach dem TAKE IT DOWN Act | | 22. Mai | Ende des Trail-of-Bits-Audits zu Monero FCMP++ | | 26. Mai | Ende der Ofcom-Konsultation zur Altersverifikation nach dem UK Online Safety Act | | 27. Mai | Hauptversammlung von Meta (NLPC-Antrag zum Datenschutz bei KI) | | 12. Juni | Auslaufen von Section 702 (vollständige Neuautorisierung) | | 26. Juni | Ablauf des Microsoft-Secure-Boot-UEFI-Zertifikats | | 30. Juni | Frist der mexikanischen CURP Biométrica | | 1. Juli | Declared Age Range API von Apple in Louisiana in Kraft; vollständige MiCA-Durchsetzung für CASP | | 2. Aug. | Durchsetzungsbefugnisse der EU-KI-Verordnung für GPAI treten in Kraft | | 21. Sept. | Zertifizierungen nach FIPS 140-2 → „Historical“ (PQC-Auslaufen) | | 5.–12. Okt. | Neuauflage des Prozesses gegen Roman Storm (Tornado Cash) | | Dez. 2026 | Frist für den Rollout der EU-Brieftasche für die digitale Identität (27 Mitgliedstaaten) |

Schluss

Heute ist Samstag. Heute rollt die zivile Bundesexekutive Konfigurationsmaßnahmen aus, weil der Patch von Palo Alto noch vier Tage entfernt ist. Heute ist das Kastensystem „Internet Pro“ im Iran im Wirkbetrieb, bei drei bis vier Stunden Wartezeit in Teheran. Heute hat Memento Labs Dante eingeräumt. Heute sind Russlands 21 Oblaste auf der Netzbetreiberebene dunkel. Heute ist Khartum im Sudan auf der Funkebene dunkel. Heute hat Pakistan 13 Journalisten in Gewahrsam. Heute veröffentlicht RSF die Villa in Burkina Faso.

Am Dienstag wird die FISC-Entscheidung öffentlich — oder eben nicht. Der Patch Tuesday wird kommen. Canvas wird das Lösegeld zahlen — oder eben nicht. Sysco wird das Lösegeld zahlen — oder eben nicht.

Die Uhren des Dienstags sind real. Sie werden ticken.

Der nutzerkontrollierte Primitiv-Stack ist ebenfalls real. Er hängt nicht vom Dienstag ab.

Das Fenster vom 12. Mai ist ein Tag. Der Primitiv-Stack ist die Antwort, die an jedem Tag läuft.

Am 7. April 2026 unterzeichneten sechs US-Bundesbehörden für Cybersicherheit gemeinsam das Joint Cybersecurity Advisory AA26-097A. Die Behörden: das Federal Bureau of Investigation, die Cybersecurity and Infrastructure Security Agency, die National Security Agency, die Umweltbehörde EPA, das Energieministerium und das U.S. Cyber Command. Die Warnung schreibt die aktive Störung von aus dem Internet erreichbaren speicherprogrammierbaren Steuerungen von Rockwell Automation in US-amerikanischen Wasser-, Abwasser- und Energieanlagen dem Cluster „CyberAv3ngers“ des Kommandos für Cyber- und elektronische Kriegsführung der Islamischen Revolutionsgarden zu.

Die Warnung bestätigt ausdrücklich Betriebsstörungen und finanzielle Schäden bei namentlich genannten Opfern. Ihre strukturelle Bedeutung liegt darin, dass die EPA als Mitunterzeichnerin auftritt. Die Zuständigkeit der EPA für die Cybersicherheit im Wassersektor ist seit der gerichtlichen Aufhebung ihrer Cybervorschrift für Wasserversorger im Jahr 2023 umstritten. Die gemeinsame Warnung vom 7. April ist das maßgeblichste Einzeldokument, das die Bundesregierung seit dieser Aufhebung zur Cybersicherheit im Wassersektor veröffentlicht hat.

Das Cluster „CyberAv3ngers“ wurde bereits zuvor von Mandiant und CrowdStrike dem Kommando für Cyber- und elektronische Kriegsführung der Revolutionsgarden zugeschrieben. Zu seinem Werkzeugkasten gehören laut der Warnung die Aufklärung nach Standardzugangsdaten und aus dem Internet erreichbaren SPS sowie das Botnetz „IOControl“ zur Einrichtung dauerhaften Zugangs auf industriellen Endpunkten.

Die Kampagne liegt zeitlich vor den israelisch-amerikanischen Angriffen auf den Iran vom 28. Februar 2026, hat sich seither aber deutlich verstärkt. Eine Zuschreibung auf Bundesebene, mitgetragen von der EPA, signalisiert, dass die Kampagne eine Wirkungsschwelle erreicht hat — Betriebsstörungen und finanzielle Schäden bei namentlich genannten Opfern —, die die föderale Cyberabwehr-Gemeinschaft für eine öffentliche Zuschreibung als notwendig erachtet.

Sechzehn Stunden

Am 14. März 2026 erlitt die Stadt Minot in North Dakota einen Ransomware-Angriff auf der SCADA-Ebene ihres städtischen Wasserwerks. Die Kompromittierung erreichte die Ebene der Prozessleittechnik — jene operative Ebene, auf der Sollwerte, Alarme und Prozesslogik liegen — und nicht bloß die IT-Ebene des Verwaltungsnetzes.

Der Wasserversorger lief sechzehn Stunden im Handbetrieb, während Techniker das SCADA-System wiederherstellten. Rund achtzigtausend Einwohner waren betroffen. Handbetrieb hieß: Ventile werden auf Anweisung des Operators von Hand geöffnet und geschlossen; die Chemikaliendosierung wird über analoge Messgeräte und das Auge des Operators geregelt; Pumpen werden über physische Schalter zugeschaltet. Die Trinkwasserqualität blieb während des gesamten Handbetriebs sicher, weil die Operatoren auf manuelle Verfahren geschult sind, auch wenn die digitale Ebene ausfällt.

Die architektonische Lehre ist strukturell. Die Widerstandsfähigkeit eines Wasserversorgers für 100.000 Menschen kommt von Operatoren, die manuelle Verfahren beherrschen, wenn die digitale Ebene ausfällt — nicht davon, dass irgendein bestimmtes IT- oder OT-System unhackbar wäre. Die nutzerseitige Antwort: manuelle Rückfallverfahren vorhalten, Operatoren darauf schulen, regelmäßig üben, IT von OT trennen, Telemetrie über Datendioden führen, wo ein bidirektionaler Zugang unnötig ist.

110 Millionen Zähler

Am 13. und 27. April 2026 legte Itron — einer der drei dominierenden Smart-Meter-Hersteller für Strom-, Gas- und Wasserversorger in Nordamerika — zwei Einbrüche offen, die weltweit mehr als 110 Millionen Versorgungszähler betreffen.

Itron-Zähler melden Verbrauchstelemetrie an die Abrechnungs- und Lastmanagementsysteme der Versorger. Viele Itron-Zähler enthalten zudem die Steuerung eines Trennrelais, mit der der Versorger die Belieferung aus der Ferne abschalten kann. Ein Einbruch auf der Ebene des Zählerherstellers — also auf der Schicht oberhalb des Perimeters jedes einzelnen Versorgers — erreicht jeden Versorgerkunden, der Zähler dieses Herstellers nutzt.

Die architektonische Lehre: Das Smart-Meter-Ökosystem hat eine Aggregatorschicht auf Herstellerebene, und diese Schicht ist ein einziger Perimeter für versorgerübergreifende Daten und versorgerübergreifende Steuerung. Nach Angaben von Itron führten die Einbrüche nicht zu einer Massenabschaltung, doch die versorgerübergreifende Datenoffenlegung ist dauerhaft.

Die nutzerseitige Antwort: datenschutzwahrende Telemetrie-Aggregation (differenzielle Privatsphäre auf Zählerebene — Implementierungen auf Forschungsniveau existieren); ein Kundenrecht auf Deaktivierung des Trennrelais (wo gesetzlich zulässig); lokale Abwahl der intelligenten Messinfrastruktur, wo die Aufsichtspolitik dies erlaubt.

139 Gigabyte

Am 27. April 2026 meldete Pickett USA — ein US-Ingenieurdienstleister, spezialisiert auf LiDAR und Umspannwerksplanung für Versorger — die Exfiltration von 139 Gigabyte. Die Daten betreffen Tampa Electric, Duke Energy Florida und American Electric Power. Drei der größten börsennotierten Versorger im Osten der Vereinigten Staaten.

LiDAR- und Umspannwerks-Planungsdaten sind nicht kundenbezogen. Sie beschreiben den physischen Aufbau, die Aufstellung der Betriebsmittel, die Kabelführung, die Schaltanlagenkonfiguration sowie die Schutz- und Leittechnikeinstellungen von Hochspannungs-Umspannwerken — genau jene technische Spezifikation, die ein Angreifer bräuchte, um Präzisionsangriffe auf die physischen Anlagen des Netzes zu planen.

Einmal exfiltriert, sind die Daten dauerhaft draußen. Es gibt keinen Rückruf.

Die architektonische Lehre: Die Ebene der Ingenieurdienstleister ist eine Aggregatorschicht für die physischen Netzplanungsdaten mehrerer Versorger. Die Antwort auf Nutzer- wie auf Versorgerseite: die externe Weitergabe vollständiger physischer Netzplanungsdaten minimieren; Planungsdaten nach dem Prinzip der geringsten Rechte segmentieren; physische Planungsdaten sollten nicht versorgerübergreifend aggregierbar sein.

Heathrow steht still

Am 4. April 2026 legte ein Softwareausfall bei Collins Aerospace die Flughäfen Heathrow, Brüssel und Berlin lahm. Der Flugbetrieb war europaweit beeinträchtigt; allein Heathrow bewegt täglich rund 220.000 Passagiere.

Collins Aerospace betreibt den ARINC-Softwarestack für die Passagierabfertigung, den rund ein Drittel der europäischen Fluggesellschaften und Dutzende europäischer Flughäfen nutzen. Ein Softwarefehler bei Collins erreicht jeden Flughafen, der ARINC einsetzt, gleichzeitig — eine Software-as-a-Service-Architektur mit einem einzigen Ausfallpunkt für den Flugbetrieb.

Die architektonische Lehre: Die operative Ebene des europäischen Luftverkehrs hat sich auf wenige Anbieter von Betriebssoftware konsolidiert, und ein Softwarefehler bei einem von ihnen pflanzt sich augenblicklich über die Flughäfen mehrerer souveräner Staaten fort. Der Ausfall vom 4. April war nicht gegnerisch verursacht — es war ein Fehler beim Software-Rollout —, aber dieselbe architektonische Angriffsfläche ist auch für gegnerisches Handeln erreichbar.

Die nutzerseitige Antwort liegt auf der Politikebene: Flughafenbetreiber sollten Anbietervielfalt bei der Betriebssoftware vorschreiben; Fluggesellschaften sollten manuelle Rückfallverfahren für die Passagierabfertigung vorhalten; Regulierer sollten Anbieter von Betriebssoftware unter der EU-Richtlinie NIS2 und gleichwertigen nationalen Regimen als kritische Infrastruktur behandeln.

Schwedens Heizkraftwerk

Am 15. April 2026 schrieb Schweden einen zerstörerischen Einbruchsversuch in ein Heizkraftwerk öffentlich russischen Nachrichtendiensten zu. Der schwedische Sicherheitsdienst (Säkerhetspolisen) und die schwedische Behörde für Zivilschutz und Krisenvorsorge (MSB) gaben eine gemeinsame Erklärung ab. Der Angriff richtete sich gegen ein regionales Heizkraftwerk, das im Spätwinter Fernwärme lieferte.

Schwedens öffentliche Zuschreibung an russische Nachrichtendienste ist strukturell bedeutsam. Öffentliche Zuschreibung war historisch den schwersten Vorfällen vorbehalten, weil die Zuschreibung selbst ein diplomatischer Akt ist. Die Erklärung vom 15. April stellt Schwedens Russland-Zuschreibung in dieselbe Kategorie wie die öffentlichen Russland-Zuschreibungen Estlands 2007, Deutschlands 2015 und der Vereinigten Staaten 2018.

Der Dragos-Jahresrückblick 2026 identifiziert drei neue Bedrohungsgruppen im OT-/ICS-Raum: SYLVANITE, AZURITE, PYROXENE. Dragos warnt vor "control-loop mapping" — der Kartierung von Regelkreisen, also der gegnerischen Charakterisierung physischer OT-Prozesse für Präzisionssabotage. Ransomware gegen Industrieunternehmen liegt neunundvierzig Prozent über dem Vorjahr.

Ohne Führung

Im April 2026 zog Sean Plankey, der Kandidat der Trump-Regierung für die Leitung der Cybersecurity and Infrastructure Security Agency, seine Nominierung angesichts der ungewissen Bestätigung im Senat zurück. Die CISA — die Cyberabwehrbehörde des Bundes, die als nationale Koordinierungsstelle der USA für die Cybersicherheit kritischer Infrastruktur benannt ist — arbeitet ohne bestätigten Direktor mitten im akutesten Cybersicherheitszyklus für kritische Infrastruktur seit Jahrzehnten.

Die SPS-Kampagne der Revolutionsgarden (AA26-097A, 7. April); der Itron-Einbruch über 110 Millionen Zähler (13. und 27. April); die Exfiltration der Netzplanungsdaten bei Pickett USA (27. April); der Ausfall der Luftverkehrssoftware von Collins Aerospace (4. April); Schwedens Russland-Zuschreibung zum Heizkraftwerk (15. April); die Ransomware im Wasserwerk von Minot, North Dakota (14. März); die Dragos-Kennzahl von 49 % Zuwachs bei industrieller Ransomware gegenüber dem Vorjahr — all das läuft gleichzeitig. Die Kapazität der Aufsichtsbehörde ist selbst eine Schicht des Abhängigkeitsstapels. Wenn die Aufsicht keine bestätigte Führung hat, leidet die behördenseitige Koordinierung von Incident Response, Verbreitung von Bedrohungsinformationen und Ressourcenzuteilung.

Die nutzerseitige Antwort liegt auf der Politikebene: Der Senat sollte die Bestätigung einer CISA-Leitung beschleunigen; die Exekutive sollte übergangsweise eine erfahrene Beamtin oder einen erfahrenen Beamten mit den Befugnissen einer bestätigten Leitung betrauen.

Anodot

Heute, am 5. Mai 2026, verschiebt sich der Rahmen der ShinyHunters-Welle von „Salesforce-Einbruch“ zu „Drittanbieter-SaaS-Lieferkette“. Der Datenabfluss von 119.000 Datensätzen bei Vimeo lief über Anodot — einen SaaS-Anbieter für Analyse-Integrationen — und nicht über einen direkten Einbruch bei Vimeo. Parallel dazu veröffentlichte ShinyHunters portionsweise Daten von Carnival, Mytheresa, Zara, 7-Eleven, Pitney Bowes und Canada Life.

Das heute beobachtete Muster: Eine einzige Analyse-Integration eines Drittanbieters wird zum Vektor für die Daten vieler Kunden. Salesforce war der SaaS-Aggregator als Vertrauensträger, den die gestrige Ausgabe behandelt hat. Anodot ist der Aggregator als Drittanbieter-SaaS von Salesforce. Das architektonische Muster potenziert sich: Ein Einbruch über eine Salesforce-Integration erreicht jeden Kunden jedes Salesforce-Kunden, der diese Integration nutzt.

Die nutzerseitige Antwort: Audit der SaaS-Integrationen von Drittanbietern (welche Integration hat Zugriff auf welche Salesforce-Objekte? minimal notwendiger Umfang?); Segmentierung der Integrationen je Organisation; Alternativen zu aggregierenden Analyseplattformen (selbst gehostete Lösungen wie Mautic, Listmonk, Plausible Analytics, Matomo, Metabase).

Cushman & Wakefield gab heute seine offizielle Stellungnahme ab, bezeichnete den Einbruch als „begrenzt“ und bestätigte Vishing als Vektor. Instructure schweigt zur Frist am 6. Mai weiterhin.

Das NSO von Friedman

Im Januar 2026 kam die NSO Group unter die Kontrolle von US-Investoren. Die übernehmende Gruppe unter Führung von Robert Simonds machte den früheren Trump-Botschafter in Israel, David Friedman, zum Executive Chairman. Aus dem Transparenzbericht vom Januar 2026 wurden die Zahlen zu gekündigten Kundenbeziehungen entfernt, die in den Berichten der Vorjahre enthalten waren. NSO betreibt offen Lobbyarbeit für die Streichung von der US-Entity-List.

Im Oktober 2025 reduzierte die US-Bundesbezirksrichterin Phyllis Hamilton den Strafschadensersatz, den NSO an WhatsApp zu zahlen hat, von 167,2 Millionen US-Dollar auf rund 4 Millionen US-Dollar. Das Verfahren liegt inzwischen in der Berufungsinstanz beim Ninth Circuit. Die Reduzierung um das 40-Fache senkt den Preis, den das Rechtssystem dem Missbrauch kommerzieller Spyware zuweist, erheblich — jenen Preis, den das Urteil von Oakland im Frühjahr 2026 angehoben hatte.

Im Dezember 2025 strich das US-Finanzministerium still und leise drei Intellexa-Einträge von der Liste der Specially Designated Nationals. Die Streichung verringert den Druck des Finanzsystems auf das Intellexa-Cluster.

Die architektonische Bedeutung: Der kommerzielle Spyware-Anbieter, der in großem Maßstab gegen Ende-zu-Ende-verschlüsselte Nachrichten operierte, steht nun in US-Eigentum, das an der Exekutive ausgerichtet ist, während der rechtliche Preis für Missbrauch gesenkt und zuvor gelistete Intellexa-SDN-Einträge still gestrichen wurden. Die architektonische Gegenwehr: Mobilgeräte mit offener Firmware (das Äquivalent zum Lockdown-Modus bei GrapheneOS), fortlaufende forensische Beobachtung durch Citizen Lab und Amnesty International, Klagen nach dem Freedom of Information Act gegen die Spyware-Beschaffung von US-Behörden sowie politischer Druck, die Entity-List-Sanktionen und die SDN-Einträge des Finanzministeriums aufrechtzuerhalten.

Das Urteil von Athen

Am 26. Februar 2026 verurteilte ein Athener Strafgericht Tal Dilian — israelischer früherer Nachrichtendienstoffizier der IDF und Gründer von Intellexa — sowie drei weitere Intellexa-Führungskräfte wegen des rechtswidrigen Abfangens der Kommunikation griechischer Zivilgesellschaft und Journalisten mit der unternehmenseigenen Spyware „Predator“. Das Urteil ist die erste strafrechtliche Verurteilung von Führungskräften eines kommerziellen Spyware-Anbieters überhaupt.

Die griechische Strafverfolgung ging aus dem Skandal „Predatorgate“ von 2022 hervor, bei dem rund 100 Personen — Journalisten, Aktivisten, Anwälte und ein hoher griechischer Regierungsvertreter — mit von Intellexa gelieferter Spyware ins Visier genommen wurden.

Die architektonische Bedeutung: Bis zum 26. Februar 2026 hatte keine Rechtsordnung Führungskräfte kommerzieller Spyware-Anbieter erfolgreich für die Folgen des Einsatzes ihres Produkts strafrechtlich verfolgt. Der Präzedenzfall von Athen zeigt, dass — zumindest in griechischer Zuständigkeit — die Verteidigungslinie der Spyware-Branche, „wir verkaufen nur das Produkt, der Kunde missbraucht es“, eine Strafverfolgung nicht übersteht.

Der Vertrag über 2 Millionen US-Dollar

Paragon Solutions — vor der endgültigen Genehmigung durch die israelische DECA für rund 900 Millionen US-Dollar an AE Industrial Partners verkauft — ist nun unter einem reaktivierten Vertrag über 2 Millionen US-Dollar operativ in die US-Einwanderungsbehörde Immigration and Customs Enforcement eingebunden. Der kommissarische ICE-Direktor Todd Lyons bestätigte den Einsatz am 1. Mai 2026 in einer Anhörung des Heimatschutzausschusses des Repräsentantenhauses. Senator Ron Wyden führte am 24. April 2026 30 Abgeordnete in einem Aufsichtsschreiben an.

Zugleich blockiert Paragon offen die italienische Staatsanwaltschaft, die den Hack gegen Cancellato / Fanpage untersucht. Der erste Schritt der italienischen Ermittler war die Aufforderung an Paragon, die vollständige Kundenliste offenzulegen; Paragons Reaktion war laut öffentlicher Berichterstattung Verweigerung.

Die architektonische Bedeutung: Die Beschaffung kommerzieller Spyware durch eine Bundesbehörde ist nun öffentlich bestätigt, mit konkreter Vertragssumme und konkretem Ministerium — ohne ein anwendbares Gesetz zur öffentlichen Kontrolle von Beschaffung oder Einsatz und ohne Pflicht zur Benachrichtigung der Betroffenen.

„Bad Connection“ — unsichtbar für MVT

Der Bericht „Bad Connection“ der Citizen-Lab-Forscher Gary Miller und Swantje Lange vom 23. April 2026 — behandelt in Ausgabe 03 — enthält einen strukturell bedeutsamen zusätzlichen Befund: Die „Ghost Operator“-Überwachung über SS7 / Diameter ist unsichtbar für das Mobile Verification Toolkit (MVT), iVerify und Lookout — die drei kommerziellen beziehungsweise quelloffenen Forensikprodukte, auf die sich die Zivilgesellschaft stützt, um Gerätekompromittierungen nachzuweisen.

Der Nutzer kann von der Geräteseite aus nicht belegen, dass er per SS7 verfolgt wird. Die architektonische Bedeutung: Ein kommerzielles Spyware-Ökosystem, das auf einen Vektor ausgewichen ist, den die Forensikwerkzeuge nicht erkennen können, lässt Nutzern auf der Geräteebene keinen architektonischen Ausweg.

Die nutzerseitige Antwort verlagert sich auf die Netzebene: FIDO2-Hardware-Authentifizierung, die eine Kompromittierung der SIM-Karte übersteht; betreiberseitige Sicherheitsaudits von SS7/Diameter nach GSMA-Vorgabe (kürzlich verschärft); behördlich vorgeschriebene Offenlegung der Routing-Beziehungen zwischen Netzbetreibern.

518 Tote

Am 23. April 2026 bestätigte eine tansanische Untersuchungskommission 518 Tote und 2.390 Verletzte bei der Gewalt nach der Wahl vom Oktober 2025. Die Gewalt wurde unter einem fünftägigen vollständigen Internet-Blackout verübt.

Die KeepItOn-Koalition von Access Now dokumentierte 2025 in Tansania 5.448 Stunden Internetabschaltungen — 889,8 Millionen US-Dollar wirtschaftlicher Schaden im Jahr 2025, der höchste Afrikas.

Die architektonische Bedeutung: Die Internetabschaltung ist nicht bloß ein Mittel der Informationskontrolle; sie ermöglicht staatliche Gewalt. Wenn Bürger nicht kommunizieren, sich nicht organisieren und staatliche Gewalt nicht in Echtzeit dokumentieren können, wird die Darstellung des Staates über die eigene Gewalt zur einzigen Quelle. Dass die tansanische Kommission die 518 Toten erst nach dem Ende der Abschaltung bestätigen konnte, belegt das Prinzip.

Dasselbe Muster zeigte sich am 15. März 2026, als die Republik Kongo (Brazzaville) am Wahltag einen landesweiten Internet-Blackout verhängte. NetBlocks maß die Konnektivität bei rund 3 % des normalen Ausgangsniveaus. Das Ergebnis: die Wiederwahl von Denis Sassou Nguesso für eine fünfte Amtszeit mit 94,82 %. Sassou Nguesso hat die Präsidentschaft seit 1997 inne und hatte sie zuvor von 1979 bis 1992 inne.

Die nutzerseitige architektonische Antwort sind Mesh-Netze und Satellitenanbindungen zur zivilgesellschaftlichen Dokumentation während Abschaltungen: Briar (Bluetooth und Tor), Bridgefy (Mesh), inoffizielle Starlink-Antennen (im Iran und im Sudan dokumentiert), Reticulum, Meshtastic, GoTenna PRO als Verbraucherprodukte.

Der Vergleich von Roblox

Am 21. April 2026 zahlte die Roblox Corporation 35,8 Millionen US-Dollar in gleichzeitigen Vergleichen mit Nevada (12,5 Millionen US-Dollar), Alabama (12,2 Millionen US-Dollar) und West Virginia (11,1 Millionen US-Dollar). 146 Verfahren des bundesweiten Sammelverfahrens (Multi-District Litigation) sind weiterhin anhängig.

Der Vergleich verpflichtet Roblox, die Ende-zu-Ende-Verschlüsselung aus Chats Minderjähriger zu entfernen. Der erste US-Vergleich, der Kinderschutz als Waffe gegen Verschlüsselung einsetzt.

Die architektonische Bedeutung: Generalstaatsanwälte der Bundesstaaten haben erstmals einen Vergleich durchgesetzt, der eine große, dem Messaging nahestehende Verbraucherplattform zwingt, Ende-zu-Ende-Verschlüsselung auf Protokollebene zurückzunehmen — aus Gründen des Kinderschutzes und bevor irgendeine bundesrechtliche Regulierung oder Gesetzgebung dies verlangt. Die für den 8. Mai angekündigte Rücknahme der Ende-zu-Ende-Verschlüsselung bei Meta/Instagram — behandelt in Ausgabe 03 — war eine freiwillige Unternehmensentscheidung; die Rücknahme bei Roblox ist eine von Generalstaatsanwälten im Vergleich erzwungene Maßnahme. Das architektonische Muster ist dasselbe — der Betreiberpfad kehrt auf der Nachrichtenebene zurück —, aber der Mechanismus ist regulatorisch, nicht unternehmerisch.

Der 22. April 2026 war der Stichtag für die Einhaltung der geänderten Rule zum Children's Online Privacy Protection Act. Neu erfasst: biometrische Kennzeichen (Gesichts-, Stimm- und Irismerkmale) sowie staatlich ausgegebene Kennungen. Bußgelder: 53.088 US-Dollar pro Verstoß, pro Kind, pro Tag. Nach Angaben des NCMEC gab es 2025 21,3 Millionen Meldungen bei der CyberTipline, darunter 1,5 Millionen mit Bezug zu generativer KI.

Heute, am 5. Mai, hat die Generalstaatsanwaltschaft von Pennsylvania die erste Klage ihrer Art wegen der Vortäuschung medizinischer Kompetenz gegen Character.AI eingereicht.

Common Crawl

1. April 2026: Die News/Media Alliance schrieb im Namen von NBCUniversal, CNN, Vox Media, Ziff Davis und Hunderten regionaler US-Verlage einen förmlichen Brief an den Geschäftsführer der Common Crawl Foundation, Rich Skrenta, und forderte die Entfernung von Verlagsinhalten aus dem Common-Crawl-Korpus sowie die Einrichtung eines Opt-out-Registers.

Der Brief beruft sich ausdrücklich auf die Pflicht zur Zusammenfassung der Trainingsdaten für KI-Modelle mit allgemeinem Verwendungszweck nach Artikel 53 der EU-KI-Verordnung, die am 2. August 2026 rechtsverbindlich wird. Common Crawl ist der grundlegende, aus dem Web gesammelte Korpus für die Mehrzahl der Trainingsdatensätze großer Sprachmodelle.

Am selben Tag wurden am Bundesbezirksgericht für den Northern District of California sieben Klagen wegen widerrechtlicher Tötung gegen OpenAI und Sam Altman eingereicht, mit Forderungen von mehr als 1 Milliarde US-Dollar. Die Kläger sind Angehörige der Opfer des Amoklaufs von Tumbler Ridge. Die Klagen verweisen auf die dokumentierte interne Markierung und deren Aufhebung beim Konto des Täters bei OpenAI im Juni 2025.

Die architektonische Bedeutung: Der Streit um die Herkunft von KI-Trainingsdaten ist kein Gerichtskrieg um urheberrechtliche Theorien mehr; er ist ein Krieg um die Entfernung aus Korpora, geführt über regulatorische Compliance. Und die Haftungsfläche der KI-Anbieter beschränkt sich nicht mehr auf das Urheberrecht; sie umfasst nun widerrechtliche Tötung.

Heute (5. Mai)

An diesem Dienstagnachmittag mehrere Entwicklungen:

• Die Generalstaatsanwaltschaft von Pennsylvania hat die erste Klage ihrer Art wegen der Vortäuschung medizinischer Kompetenz gegen Character.AI eingereicht.
• Cushman & Wakefield hat seine offizielle Stellungnahme zum ShinyHunters-Einbruch abgegeben („begrenzt“, Vishing bestätigt).
• Instructure schweigt zur Frist am 6. Mai weiterhin.
• Die Innenrevision des Heimatschutzministeriums berichtete, dass 76 Prozent der von Personal der Nachrichtendienstabteilung genutzten Smartphone-Anwendungen Sicherheitsrisiken bergen, die die internen Einstufungsschwellen des Ministeriums erreichen.
• Die RightsCon 2026 in Lusaka wurde offiziell abgesagt, Berichten zufolge unter Druck der Volksrepublik China auf Sambia wegen der Teilnahme taiwanischer Delegierter.
• Die Anodot-Neurahmung durch ShinyHunters weitet den Fristendruck des 6. Mai auf die gesamte Drittanbieter-SaaS-Lieferkette aus.

Morgen (6. Mai): Die ShinyHunters-Erpressungsfrist für Instructure läuft ab. Die ShinyHunters-Kontaktfrist für Cushman & Wakefield läuft ab. Die CISA-Frist des Bundes für den Patch der Schwachstelle CVE-2026-33825 aus der Black-Hammer- / BlueHammer- / RedSun-Klasse. Die Bewertung der Folgen des Trellix-Quellcode-Einbruchs vom 2. Mai läuft weiter. 7. Mai: Quartalszahlen von Cloudflare, Coinbase und Lyft.

Das verbindende Muster

Die Alltagsabhängigkeiten der Nutzer — Wasser, Strom, Verkehr, Kommunikation, Zahlungen, Bildung, Gesundheit, Identität — stapeln sich jeweils über:

1. OT-/ICS-Systeme (Rockwell-SPS in Wasser-, Abwasser- und Energieanlagen; SCADA im Wasserwerk von Minot; intelligente Zähler an den Hausanschlüssen).
2. SaaS-Aggregatoren auf Anbieterseite (Salesforce; Anodot; Itron; ARINC von Collins Aerospace; die Ingenieurdaten von Pickett USA).
3. Datenintegrationen von Dritten der Dritten (der Anodot-Vektor, der die Vimeo-Kunden erreichte).
4. Lieferkettenabhängigkeiten (die Bitwarden-CLI-Kaskade über die Übernahme von Checkmarx KICS auf Docker Hub, 22. April).
5. Ausländisch kontrollierte oder im Inland vereinnahmte Spyware-Anbieter (NSO unter Friedman; der ICE-Vertrag mit Paragon über 2 Millionen US-Dollar; die Intellexa-Verurteilung in Athen; die Streichung der Intellexa-SDN-Einträge durch das Finanzministerium).
6. Kapazität der Aufsichtsbehörden (CISA ohne bestätigte Leitung; umstrittene Cybervorschrift der EPA für Wasserversorger; ausstehende FERC-Entscheidung zu NERC CIP-015-2).
7. Informationskontrolle (die fünftägige Abschaltung in Tansania, die 518 Tote ermöglichte; 3 % des Ausgangsniveaus in der Republik Kongo; der Druck der Volksrepublik China auf Sambia, der die RightsCon platzen ließ).
8. Per Vergleich erzwungene Rücknahme von Verschlüsselung (der Roblox-Vergleich über 35,8 Millionen US-Dollar mit Generalstaatsanwälten, der die Entfernung der Ende-zu-Ende-Verschlüsselung aus Chats Minderjähriger verlangt).

Jede Schicht ist eine potenzielle Angriffsfläche. Wenn die Aufsichtsbehörde (CISA) keine bestätigte Leitung hat und das Angriffsvolumen um 49 % gegenüber dem Vorjahr steigt, ist der Abhängigkeitsstapel fragil. Das Muster ist strukturell.

Die architektonische Gegenwehr

Schichtreduktion. Die Zahl der Anbieter, der aus dem Internet erreichbaren OT-Systeme und der Aggregatoren mit einzelnem Ausfallpunkt minimieren. Die Kapazität der Aufsicht erhalten. Den nutzerkontrollierten Primitiv-Stack auf jeder Schicht ausrollen:

• Netzsegmentierung in OT-Umgebungen: Air-Gap, wo machbar; Datendiode für reine Telemetriepfade; Zugang über Bastion-Hosts für technische Änderungen.
• Anbietervielfalt auf der SaaS-Aggregatorschicht: Architekturen mit nur einem Salesforce, nur einem Anodot, nur einem Itron, nur einem ARINC vermeiden.
• Manueller Rückfallbetrieb vor Ort: Operatoren auf manuelle Verfahren schulen (Minot in North Dakota lief nach der Ransomware vom 14. März sechzehn Stunden im Handbetrieb); regelmäßig üben.
• Quelloffene OT-Alternativen mit offener Firmware, wo ausgereift: OpenPLC, Mosquitto MQTT Broker, Apache PLC4X, quelloffene OPC-UA-SDKs.
• Erhalt der Aufsichtskapazität: vom Senat bestätigte CISA-Leitung; Durchsetzung der NERC-CIP-Standards; Umsetzung von NIS2 in der EU; Cybersicherheitsbefugnisse der bundesstaatlichen Regulierungskommissionen.
• Nutzerseitige Widerstandsfähigkeit: mehrere Versorger / mehrere Netzbetreiber, wo wirtschaftlich möglich; Satellitenanbindungen für den Fall von Abschaltungen; Mesh-Netze (Briar, Meshtastic, Reticulum, GoTenna PRO) für zivile Notlagen.
• Forensische Nachweisbarkeit auf der Geräteebene: Mobilgeräte mit offener Firmware (GrapheneOS), bei denen der Vektor SS7/Diameter / Pegasus / Graphite das für den Nutzer einsehbare Verhalten von Caches und Benachrichtigungsdatenbanken nicht umgehen kann.
• Der nutzerkontrollierte Primitiv-Stack aus den Ausgaben 02 bis 04 — offene Clients, offene Firmware, FIDO2, zensurresistente Transporte, private Kryptowährungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste — angewandt auf jeder Schicht des Abhängigkeitsstapels.

Schluss

Morgen, am 6. Mai, läuft die ShinyHunters-Frist für Instructure ab. Morgen läuft die Kontaktfrist für Cushman & Wakefield ab. Morgen laufen die CISA-Fristen des Bundes für Patches zu mehreren im KEV-Katalog gelisteten CVEs ab. Morgen setzt sich das Muster von heute fort. Die Muster der vergangenen sechzig Tage laufen auf eine einzige architektonische Diagnose zu: Der Abhängigkeitsstapel ist zu hoch, zu konsolidiert und zu brüchig, während die Aufsicht, die die Verteidigung koordinieren sollte, ohne bestätigte Leitung dasteht und die Spyware-Anbieter, die diese Brüchigkeit ausnutzen könnten, unter inländisches Eigentum geraten und zusehen, wie ihre Sanktionen gelockert werden.

Schichtreduktion ist die einzige verallgemeinerbare Gegenwehr. Weniger Anbieter. Weniger Aggregatoren mit einzelnem Ausfallpunkt. Weniger Integrationen. Weniger Abhängigkeiten. Die Aufsicht erhalten. Den nutzerkontrollierten Primitiv-Stack auf jeder Schicht ausrollen.

Der Abhängigkeitsstapel ist das Muster. Schichtreduktion ist die Antwort.

Morgen, am Mittwoch, 6. Mai 2026, laufen zwei Erpressungsfristen von ShinyHunters gleichzeitig ab.

Die erste richtet sich gegen Instructure, den Betreiber des Canvas Learning Management System. Die Mitteilung des Cyberkriminellen-Kollektivs, überschrieben "FINAL WARNING — PAY OR LEAK" — letzte Warnung: zahlen oder Leak —, verbreitet über BreachForums und beobachtet von der Privacy Rights Clearinghouse, Comparitech und KrebsOnSecurity, nennt rund 3,65 Terabyte Daten mit geschätzt 240 bis 275 Millionen Datensätzen aus etwa 9.000 bis 15.000 Bildungseinrichtungen. Die Exfiltration umfasst Milliarden privater Nachrichten zwischen Schülern und Lehrkräften sowie die Salesforce-Instanz von Instructure. Die Wayzata Public Schools (Minnesota) waren der erste identifizierte Canvas-Kunde, der die Eltern warnte.

Instructure hat die Offenlegung von Namen, E-Mail-Adressen, Schülerkennungen und Nachrichten zwischen Nutzern bestätigt. Die Angabe von 3,65 Terabyte bleibt eine Behauptung der Täterseite. Die vorsichtige Formulierung: „Zehn- bis Hunderte Millionen Datensätze von Lernenden im K-12- und im postsekundären Bereich, darunter Kommunikation zwischen Schülern und Lehrkräften, sind unmittelbar von einer öffentlichen Veröffentlichung bedroht.“ Es ist der zweite bestätigte Einbruch bei Instructure binnen acht Monaten. Der vorherige Vorfall im September 2025 legte rund 1,7 Millionen Datensätze offen.

Die zweite Frist gilt Cushman & Wakefield, heute, am 5. Mai, gesondert offengelegt von Connor Jones bei The Register. Der Einbruch wird als per Vishing eingeleitet beschrieben — ein Social-Engineering-Angriff per Telefonanruf gegen den Helpdesk des Unternehmens —, wobei die beim Helpdesk erlangten Zugangsdaten für den Zugriff auf die Salesforce-Instanz des Unternehmens genutzt wurden. Cushman & Wakefield ist eines der weltgrößten Dienstleistungsunternehmen für Gewerbeimmobilien, mit Büros in rund 60 Ländern und Kunden aus Finanzdienstleistung, öffentlicher Hand, Einzelhandel, Gesundheitswesen und Technologie. Die Salesforce-Instanz enthielt Berichten zufolge Kundendaten aus dem Beziehungsmanagement, Deal-Pipelines, Maklerkommunikation und Mieterdaten.

Die Kontaktfrist von ShinyHunters laut der Offenlegung: 6. Mai. Derselbe Tag wie bei Instructure. Derselbe Akteur, so die Quelle von The Register.

Heute, der 5. Mai, ist der Tag davor.

Die Salesforce-Schicht

Salesforce ist jene einzelne SaaS-Schicht als Vertrauensträger, auf der die größte Konzentration kundenübergreifender Unternehmensdaten liegt. Rund 150.000 Kundenorganisationen nach Salesforce' eigenen veröffentlichten Angaben, darunter die Mehrheit der Fortune-500-Unternehmen, Hunderttausende Bildungseinrichtungen im K-12- und im postsekundären Bereich, Behörden von Bund und Bundesstaaten sowie Zehntausende gemeinnütziger Organisationen.

Wenn ein einzelner Anbieter die Kundenbeziehungsdaten von 150.000 Organisationen auf einer gemeinsam genutzten mandantenfähigen Plattform hält, hat jeder neue Exploit gegen die Plattform — oder gegen den Authentifizierungsweg eines einzigen Kunden zu dieser Plattform — architektonisch das Potenzial, alle Kunden gleichzeitig zu erreichen.

Das ShinyHunters-Cluster von 2024/2025 — Snowflake, AT&T, Ticketmaster, Advance Auto Parts, LendingTree, Pure Storage, rund 165 Kunden — hat das Muster vorgeführt. Der Vektor war damals falsch konfigurierte Snowflake-Instanzen der Kunden; die entwendeten Daten gehörten den Kunden dieser Kunden. Die Offenlegungen zu Instructure und Cushman & Wakefield im Mai 2026 sind dasselbe Muster bei einem anderen Anbieter: Salesforce als mandantenfähiger Aggregator; Vishing als Weg zur Authentifizierung; die Daten der Kunden der Kunden als exfiltrierte Beute.

Die architektonische Lehre aus diesem Muster ist strukturell. Die Wahl des SaaS-Vertrauensträgers ist die folgenreichste architektonische Entscheidung eines Unternehmens, weil sie den Wirkungsradius jedes neuen Exploits festlegt. Ein Unternehmen, das seine Kundenbeziehungsdaten einer mandantenfähigen SaaS-Plattform anvertraut, akzeptiert nach dem architektonischen Prüfmaßstab, dass ein Exploit gegen irgendeinen Kunden dieser Plattform auch die eigenen Daten erreichen kann. Ein Unternehmen, das ein eigenes Mailcow, Forgejo, einen eigenen Matrix-Homeserver, Nextcloud, Mautic und SuiteCRM betreibt, hat seinen Wirkungsradius auf den eigenen Perimeter begrenzt.

Der Widerspruch

In derselben Woche, in der die Fristen für Instructure und Cushman & Wakefield zusammenlaufen, bewegt sich die Regulierung in mehreren Rechtsordnungen darauf zu, mehr Ausweis-Uploads zu Anbietern vorzuschreiben.

Die Declared Age Range API von Apple wird am 1. Juli 2026 verpflichtend — siebenundfünfzig Tage von heute an. Die API verlangt in ihrer derzeitigen Spezifikation, dass Anwendungen, die sich an Nutzer unter 18 richten, die Identitätsinfrastruktur von Apple aufrufen, um eine deklarierte Altersspanne für den Gerätenutzer abzufragen. Der Mechanismus, mit dem das Alter des Gerätenutzers festgestellt wird, ist keine Kryptografie mit selektiver Offenlegung; es ist eine Identitätsbestätigung auf Kontoebene durch Apple, wobei beim Verifizierungsaufruf Protokolle entstehen.

Die Durchsetzungsberichte der britischen Ofcom zu Meta, TikTok, YouTube, Snapchat, Roblox und X waren unmittelbar nach der Frist vom 30. April fällig. Section 12 des Online Safety Act zur Alterssicherung verlangt von Plattformen "highly effective" Altersverifikation — hochwirksam. Ofcom-Chefin Melanie Dawes beschrieb die Regulierung in einer Anhörung im März 2026 so: "Platforms must be highly confident, at the time of access, of users' ages." — Plattformen müssen sich zum Zeitpunkt des Zugriffs des Alters der Nutzer in hohem Maße sicher sein. "Highly confident" wird in der Praxis umgesetzt als Upload eines amtlichen Ausweises, biometrischer Gesichtsscan oder vergleichbare Identitätsbestätigung.

Der Digital Services Act der Europäischen Union und die EU-Referenzanwendung zur Altersverifikation. Ende April 2026 lieferte die EU eine quelloffene Referenzanwendung zur Altersverifikation als technische Grundlage für die kommende EU-Altersverifikationspflicht aus. Der britische Sicherheitsberater Paul Moore umging die Anwendung in Eigenregie binnen zwei Minuten, indem er eine Konfigurationsdatei im Klartext bearbeitete. Die EU schloss die Lücke innerhalb von vierundzwanzig Stunden. Die Referenzanwendung wurde von erfahrenen Entwicklern unter der Aufsicht einer EU-Förderung gebaut. Sie wurde von einem einzelnen freiberuflichen Sicherheitsberater in zwei Minuten umgangen.

Die europäische Brieftasche für die digitale Identität. Harte Frist am 24. Dezember 2026 — 233 Tage von heute an — für die Mitgliedstaaten, funktionsfähige eIDAS-2.0-Wallets bereitzustellen. Die Architektur setzt, und das ist wichtig, auf selektive Offenlegung: Die Wallet hält die Nachweise, nicht der Prüfer, und legt nur die angefragten Attribute offen. Das ist der architektonisch richtige Mechanismus. Doch der Reifegrad der Umsetzung schwankt je nach Rechtsordnung, und der regulatorische Rahmen um die Wallet verpflichtet Prüfer aus dem privaten Sektor nicht, Nachweise mit selektiver Offenlegung anstelle einer vollständigen Ausweisoffenlegung zu akzeptieren.

Australiens Verbot sozialer Medien für unter 16-Jährige. Ab Ende 2026 in Kraft; verlangt von Plattformen den Nachweis, dass Nutzer 16 Jahre oder älter sind. Der Verifizierungsmechanismus ist nicht festgelegt.

Das französische SREN-Gesetz. Schreibt Altersverifikation für Erwachseneninhalte vor, mit Mechanismen von der Kreditkartenprüfung über den Upload amtlicher Ausweise bis zur biometrischen Bestätigung.

Altersverifikationsgesetze einzelner US-Bundesstaaten. Texas SB 2420, am 23. Dezember 2025 vom Fifth Circuit einstweilen untersagt, schrieb den Ausweis-Upload für den Zugang zu Erwachseneninhalten vor. Kalifornien, Florida, Mississippi, Tennessee, Virginia und weitere Bundesstaaten haben vergleichbare Gesetze verabschiedet.

Das Muster in jeder Rechtsordnung: Altersverifikation ist in der regulatorischen Spezifikation als Ausweis-Upload zu einem Drittanbieter umgesetzt worden, wobei beim Verifizierungsaufruf Protokolle entstehen. Der Anbieter ist der Betreiberpfad. Das Verifizierungsprotokoll ist der Überwachungsvektor.

Der Anbieter

Am 16. Februar 2026 lag das behördenzugewandte Betriebs-Dashboard von Persona, dem Altersverifikationsanbieter von Discord, öffentlich offen. Das Dashboard zeigte Kundeninformationen, Integrationskonfigurationen und Verifizierungsprotokolle. Die Offenlegung wurde von einem externen Sicherheitsforscher entdeckt und im Rahmen einer verantwortungsvollen Offenlegung gemeldet. Zum Kundenstamm von Persona gehören Discord (rund 300 Millionen Nutzer) sowie eine Reihe weiterer Verbraucherplattformen.

Die architektonische Bedeutung: Der Anbieter, auf den sich Discord verlässt, um das Alter seiner Nutzer zu verifizieren — also um die amtlichen Ausweisdokumente und die kryptografischen Ergebnisse der Identitätsprüfung zu halten —, hatte sein Betriebs-Dashboard über einen nicht offengelegten Zeitraum ohne Authentifizierung offen im Netz. Der Altersverifikationsanbieter ist ein weiterer Anbieter in der SaaS-Lieferkette der Vertrauensträger und derselben Kompromittierung über den Betreiberpfad ausgesetzt wie jeder andere SaaS-Vertrauensträger.

Am 24. Februar 2026 verhängte die britische Datenschutzbehörde Information Commissioner's Office gegen Reddit ein Bußgeld von 14,47 Millionen £ (18,4 Millionen US-Dollar) wegen des Umgangs mit Daten aus der Altersverifikation. Der konkrete Befund: Reddits Altersverifikation erhob und speicherte Bilder amtlicher Ausweise über das legitime Verifizierungsfenster hinaus und verstieß damit gegen Artikel 5 Absatz 1 Buchstabe e der britischen DSGVO — den Grundsatz der Speicherbegrenzung.

Am 23. April 2026 bezeichnete Proton-Chef Andy Yen in einer abgestimmten Interviewrunde unter anderem mit The Guardian, Bloomberg und TechCrunch die sich ausbreitenden Altersverifikationspflichten als „das Ende der Anonymität im Netz“. Yens konkretes Argument:

„Altersverifikation, wie sie derzeit in einem Land nach dem anderen vorgeschlagen wird, wäre das Ende der Anonymität im Netz. Die Architektur ist strukturell nicht von einer Datenbank aller Ausweisdokumente sämtlicher Erwachsener und der von ihnen genutzten Dienste zu unterscheiden.“

Yens Rezept: Regulierer müssen Nachweise mit selektiver Offenlegung als Verifizierungsmechanismus vorschreiben, nicht die Identitätsbestätigung auf Anbieterseite.

Die architektonische Gegenwehr

Die architektonische Gegenwehr gegen eine Regulierung des Ausweis-Uploads ist ein Stapel kryptografischer Primitive, die heute schon ausgeliefert werden.

W3C Verifiable Credentials Version 2.0, verabschiedet im März 2026, mit selektiver Offenlegung über BBS+-, BBS24- und JWP-Signaturen. Ein Nutzer hält einen Nachweis, den eine Stelle ausgestellt hat (eine bundesstaatliche Zulassungsbehörde, eine nationale Identitätsbehörde, ein Universitätssekretariat). Der Nutzer kann einzelne Attribute aus diesem Nachweis offenlegen — das Attribut „Alter mindestens 18“ —, ohne den zugrunde liegenden Nachweis offenzulegen. Der Prüfer erfährt nur das offengelegte Attribut.

Decentralized Identifiers Version 1.1, mit Unterstützung der Methoden did:web, did:peer, did:ion und did:key. Die DID ist die kryptografische Kennung, die der Nutzer kontrolliert; die Auflösung ist dezentral; die methodenspezifische Auflösung benötigt kein einzelnes Register.

Die europäische Brieftasche für die digitale Identität nach eIDAS 2.0. Harte Frist am 24. Dezember 2026 (233 Tage von heute an). Die Wallet hält die Nachweise, nicht der Prüfer, und legt nur die angefragten Attribute offen. Verbindlich für alle 27 EU-Mitgliedstaaten.

Die BBS+-Signatursuite. Standardisierung bei der IETF läuft. Das kryptografische Primitiv, das es erlaubt, einen einzigen signierten Nachweis selektiv offenzulegen: Der Prüfer verifiziert die Signatur; über den Umfang der Offenlegung entscheidet der Nutzer.

Anonyme Token nach Privacy Pass. RFC 9577, veröffentlicht im Oktober 2024. Der Prüfer kann getrennte Verifizierungen nicht demselben Nutzer zuordnen. Apple, Google und Cloudflare sind die drei aktuellen Anbieter im Produktivbetrieb.

Der mobile Führerschein in der Apple Wallet (mDL) nach ISO/IEC 18013-5, in dreizehn Bundesstaaten sowie Puerto Rico. Das Telefon hält den Nachweis. Die selektive Offenlegung ist auf der Protokollebene zwischen Telefon und Prüfer umgesetzt. Der Nutzer kann „über 21“ offenlegen, ohne Geburtsdatum, Foto, Adresse oder Führerscheinnummer preiszugeben.

Die US-Bundesstaatenausweise in Google Wallet. Architektonisch mit dem mDL der Apple Wallet vergleichbar.

IETF SCITT für Transparenz in der Lieferkettenintegrität. Die kryptografische Grundlage, um Aussagen über Software-Lieferketten zu verifizieren, ohne die zugrunde liegende Software hochzuladen.

Der Stapel wird heute schon ausgeliefert. Die Regulierung, die Ende 2026 greift, sollte selektive Offenlegung als Verifizierungsmechanismus vorschreiben. Wo der Regulierer sie nicht vorschreibt, sollten Anbieter sie freiwillig übernehmen.

Die Parallele auf staatlicher Ebene

Am 21. April 2026 reichten die American Civil Liberties Union und Common Cause vor einem Bundesgericht Klage gegen das Justizministerium ein und griffen damit die erstmalige bundesweite Zusammenführung der Wählerverzeichnisse aller 50 Bundesstaaten in einer einzigen, vom Bund kontrollierten Datenbank an. Die Zusammenführung umfasst Sozialversicherungsnummern und Geburtsdaten der rund 168 Millionen registrierten Wählerinnen und Wähler in den USA. Eine leitende Datenschutzbeauftragte des Justizministeriums trat am 3. April wegen des Projekts zurück.

Die architektonische Bedeutung ist dieselbe wie bei der Salesforce-Konzentration. Ein einziger Perimeter für die politisch sensibelsten personenbezogenen Daten der gesamten Wählerschaft ist nach dem architektonischen Prüfmaßstab eine einzige Kompromittierung von der Offenlegung von 168 Millionen Datensätzen mit Sozialversicherungsnummern und Geburtsdaten entfernt. Eine Kompromittierung durch einen ausländischen Nachrichtendienst, eine kriminelle Erpressergruppe oder einen Innentäter würde die Daten von 168 Millionen Amerikanern dauerhaft und unumkehrbar in Umlauf bringen.

Die architektonische Gegenwehr ist Föderalismus by Design. Wählerverzeichnisse der Bundesstaaten werden für die Wahlintegrität nur flüchtig abgeglichen (Doppeleinträge, Adressänderungen), ohne dass eine dauerhafte bundesweite Zusammenführung entsteht. Kryptografische Protokolle für den flüchtigen Abgleich — Private Set Intersection, Mehrparteienberechnung — erreichen das politische Ziel der staatenübergreifenden Bereinigung ohne das architektonische Risiko.

In derselben Woche, in der die Fristen für Instructure und Cushman & Wakefield zusammenlaufen, zentralisiert die Bundesregierung die Wählerverzeichnisse — und wird deswegen von der Zivilgesellschaft vor einem Bundesgericht angegriffen, mit genau jener Sorge um das architektonische Risiko, um die es in dieser Ausgabe geht.

Die Untergrenze im Gesundheitswesen

Im ersten Quartal 2026 wurden allein in den Vereinigten Staaten 201 Ransomware-Angriffe auf Krankenhäuser dokumentiert, laut den Auswertungen von Comparitech, KrebsOnSecurity und der Privacy Rights Clearinghouse. Qilin ist die führende Ransomware-Familie. Zu den namentlich genannten Opfern, deren Offenlegung noch läuft, gehören das University of Maryland Medical System, das Insight Hospital Chicago und das Hospital Caribbean Medical Center.

Der vierfache HIPAA-Vergleich des Office for Civil Rights im US-Gesundheitsministerium vom 23. April belief sich auf rund 1,7 Millionen US-Dollar und betraf 427.000 Patienten. Bemerkenswert ist ein Bestandteil des Vergleichs — Star Group / SG Health Plan, 245.000 US-Dollar —, ein ungewöhnlicher Zugriff auf einen arbeitgeberfinanzierten Gesundheitsplan, der signalisiert, dass das OCR die HIPAA-Durchsetzung auf Plan-Träger ausweitet und nicht auf Leistungserbringer als erfasste Einrichtungen beschränkt.

42 CFR Part 2, die Bundesvorschrift zum Schutz von Behandlungsakten bei Suchterkrankungen, ist seit dem 16. Februar 2026 zivilrechtlich durchsetzbar. Die Vorschrift ist nun mit zivilrechtlichen Sanktionen bewehrt. Der Vergleich über 17,25 Millionen US-Dollar wegen Abhörens im Fall Naviance / PowerSchool ist in die Anmeldephase eingetreten und betrifft mehr als 10 Millionen Schülerinnen und Schüler.

Gesundheitswesen und Bildung sind derzeit die beiden akutesten Belege dafür, dass die Verwahrung durch Anbieter eine Falle ist. Die architektonische Gegenwehr auf dieser Schicht: minimal notwendige Erhebung, Nachweise mit selektiver Offenlegung für den Zugriff von Behandelnden, getrennte und offline gehaltene Backups, unveränderliche Wiederherstellungsinfrastruktur auf Betriebssystemebene, FIDO2-Hardware-Authentifizierung für Arbeitsplätze in der Behandlung.

Der Nachhall in der Lieferkette

1. April 2026: Die Bitwarden-CLI-Kaskade — über die Übernahme von Checkmarx KICS auf Docker Hub — erreichte die Produktion. Das Neuartige daran: Die schädliche Bitwarden-CLI-Nutzlast war der erste öffentlich beobachtete Angriff in freier Wildbahn auf Serverkonfigurationen des Model Context Protocol.

Die Bitwarden-Nutzlast durchsuchte nach der Installation das System nach .cursor/mcp.json, .claude/settings.json und entsprechenden Konfigurationsdateien für MCP-Server von KI-Programmierassistenten und ersetzte legitime MCP-Server-Endpunkte durch Endpunkte unter Kontrolle des Angreifers. Nachfolgende Aufrufe des KI-Programmierassistenten liefen über den vom Angreifer kontrollierten MCP-Server und exfiltrierten dabei Prompts und Code-Vervollständigungen.

Die architektonische Bedeutung: Die föderierte Architektur des Model Context Protocol, die die nutzerseitige Gegenwehr zu den zentralisierten Paketflächen von npm, PyPI und Docker Hub sein sollte, ist nun selbst ein Ziel. Der erste öffentlich beobachtete Angriff auf MCP-Konfigurationen entkräftet die Erwiderung, „föderiertes MCP ist strukturell sicherer als zentralisierte Paketregister“. Föderiertes MCP ist strukturell anders, steht nun aber ebenfalls unter Beschuss. Die nutzerseitige Antwort: Verifikation der MCP-Server-Endpunkte über kryptografische Signaturen, reproduzierbare Builds von MCP-Servern, eine je Organisation festgelegte MCP-Kadenz mit Audit-Protokollierung.

RightsCon Lusaka

Heute, am 5. Mai 2026: Die RightsCon 2026 in Lusaka — das globale Treffen für digitale Rechte, das Access Now seit 2011 jährlich ausrichtet — wurde wenige Tage vor Beginn abgesagt, nachdem die sambische Regierung, Berichten zufolge unter Druck der Volksrepublik China, von Access Now verlangt hatte, taiwanische Delegierte von der Tagung auszuschließen. Access Now lehnte ab. Die Tagung wurde abgesagt. Die Electronic Frontier Foundation, Human Rights Watch und Front Line Defenders bezogen öffentlich Stellung.

Die architektonische Bedeutung für diese Ausgabe: Der wichtigste globale Treffpunkt der Zivilgesellschaft für digitale Rechte ist durch chinesischen Druck auf die Gastregierung ausgelöscht worden. Die RightsCon war der Ort, an dem das Tor Project Umgehungstransporte für hochgefährdete Nutzer ausrollte; an dem Citizen Lab Pegasus-Enthüllungen vorstellte; an dem Apple, Google, Meta, Signal, Proton und Tuta auf Datenschutzforscher trafen; an dem sich die Global Encryption Coalition abstimmte.

Die Absage beseitigt die Arbeit nicht, aber sie beseitigt das persönliche Zusammentreffen. Werkzeuge zivilgesellschaftlicher Koordination, die nicht von einem einzelnen Gastland abhängen — föderierte, Peer-to-Peer-basierte, asynchrone Matrix-Homeserver, Forgejo, Mailcow, Jitsi, Briar —, werden zum architektonischen Rückfallweg. Derselbe Primitiv-Stack, der die nutzerseitige Verwahrung der Identität schützt, schützt auch die Koordination der Zivilgesellschaft vor Störungen durch ein einzelnes Gastland.

Post-Quanten

1. März 2026: Signal begann, das Post-Quanten-Protokoll SPQR / Triple Ratchet bei neuen Kontoregistrierungen verbindlich durchzusetzen. Der erste harte Schnitt eines nicht post-quanten-sicheren Messenger-Pfads durch eine große Verbraucher-Messaging-Plattform. Konten von signal-cli (dem inoffiziellen Kommandozeilen-Client, der breit für Bots, automatisierte Abläufe und Bridge-Integrationen genutzt wird) wurden massenhaft abgemeldet. Viele Bots gingen kaputt. Die architektonische Bedeutung liegt darin, dass eine erzwungene Migration zur Post-Quanten-Kryptografie durch das harte Abschneiden nicht post-quanten-sicherer Pfade eine grundlegend andere Ausrollstrategie ist als das Angebot optionaler PQ-Erweiterungen.

1. März 2026: Google Quantum AI veröffentlichte gemeinsam mit Justin Drake (Ethereum Foundation) und Dan Boneh (Stanford) eine Arbeit, die eine rund 20-fache Verringerung der Zahl der Qubits zeigt, die nötig sind, um den diskreten Logarithmus der elliptischen Kurve secp256k1 von Bitcoin zu brechen. Die neue untere Schranke: weniger als 500.000 physische Qubits, mit einer Angriffslaufzeit von Minuten, sobald solche Hardware existiert. Bitcoins secp256k1 sichert eine Marktkapitalisierung von rund 2 Billionen US-Dollar ab. Die Migration zu Post-Quanten-Signaturen erfordert Änderungen am Konsensprotokoll; der BIP-Prozess für die Post-Quanten-Migration wird aktiv diskutiert.

1. April 2026: Eine Arbeit von Coinbase, Stanford und der Ethereum Foundation bestätigte, dass ZK-Rollups (Aleo, Aztec, Railgun) konstruktionsbedingt informationstheoretisch quantenimmun sind. Das Signaturverfahren auf der Settlement-Schicht des Rollups lässt sich auf Post-Quanten-Primitive umstellen, ohne die kryptografischen Garantien des Rollups zu verändern.

Die PQ-fertige architektonische Gegenwehr für Messaging, Transport und Signaturen: Signal SPQR, iMessage Contact Key Verification, die PQ-fertige Signaturinfrastruktur der Apple Wallet, Cloudflares hybrider ML-KEM-Einsatz in über 60 % der TLS-Verbindungen, Akamais Umstellung auf PQ als Standard am 31. Januar. FIPS 140-2 läuft am 21. September 2026 aus — die Klippe für die Beschaffung des Bundes.

Der Bogen einer Woche

Heute (5. Mai) steht in einer bestimmten Taktung von Uhren.

• Morgen (6. Mai): ShinyHunters-Frist für Instructure. ShinyHunters-Frist für Cushman & Wakefield.
• 11.–22. Mai: Trail-of-Bits-Audit zu Monero FCMP++.
• 14. Mai: Abschließende Fairness-Anhörung zum Vergleich über 1,5 Milliarden US-Dollar in Bartz gegen Anthropic. Bewerbungsschluss für PSP beim digitalen Euro.
• 15. Mai: Frist zur Freigabe der FISC-Entscheidung vom 17. März (Reform von Section 702).
• 12. Juni: Auslaufen von Section 702.
• 30. Juni: Frist der mexikanischen CURP Biométrica (127 Millionen Mobilfunkanschlüsse).
• 1. Juli: Die Declared Age Range API von Apple wird verpflichtend.
• 2. August: Start der GPAI-Pflichten der EU-KI-Verordnung.
• 11. September: 24-Stunden-Meldung von Schwachstellen an die ENISA nach dem EU Cyber Resilience Act.
• 21. September: Auslaufen von FIPS 140-2.
• 24. Dezember: Harte Frist für die EUDI-Wallet.

Jede Uhr ist eine institutionelle, regulatorische oder protokollarische Frist. Der nutzerkontrollierte Primitiv-Stack — derselbe Stack, den die vorangegangenen drei Ausgaben benannt haben — hängt nicht davon ab, wie diese Uhren ausgehen.

Schluss

Die Frist von morgen ist nicht der Moment des Einbruchs. Der Einbruch ist längst geschehen. Morgen ist der Moment der Verbreitung.

275 Millionen Datensätze von Lernenden im K-12- und im postsekundären Bereich, dazu Milliarden privater Nachrichten zwischen Schülern und Lehrkräften, dazu die Kundenbeziehungsdaten eines der weltgrößten Gewerbeimmobilienunternehmen — alles liegt auf Salesforce-Instanzen, die heute gleichzeitig von demselben Akteur erpresst werden. Heute ist der Tag davor. Die Mitteilung "FINAL WARNING — PAY OR LEAK" von ShinyHunters nennt den 6. Mai.

In derselben Woche schreibt die regulatorische Architektur in mehreren Rechtsordnungen mehr Ausweis-Uploads zu Anbietern vor. Die Declared Age Range API von Apple. Die Durchsetzung durch die britische Ofcom. Die EU-Referenz-App zur Altersverifikation. Australiens Verbot für unter 16-Jährige. Das französische SREN-Gesetz. Die Gesetze einzelner US-Bundesstaaten. Der Anbieter, der den Ausweis hält, ist der Anbieter, der kompromittiert wird. Die architektonische Gegenwehr — Nachweise mit selektiver Offenlegung und nutzereigenen Schlüsseln — existiert in den Standards von W3C, IETF und NIST, verabschiedet, ausgerollt und heute schon im Einsatz. Die regulatorische Spezifikation hat noch nicht aufgeholt.

Der nutzerkontrollierte Primitiv-Stack, den die vorangegangenen drei Ausgaben benannt haben — offene Clients mit nutzereigenen Schlüsseln, Hardware mit offener Firmware, FIDO2-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Kryptowährungen, lokale KI-Inferenz, föderierte Identität mit selektiver Offenlegung, selbst gehostete Dienste —, hat aufgrund der architektonischen Eigenschaft „kein Upload“ keine Angriffsfläche, die sich über die vier in Ausgabe 03 benannten Umkehrmechanismen (unternehmerischer Rückzug, institutioneller Zwang, staatliche Nötigung, forensische Kompromittierung) drehen ließe, und keine, die sich über den in dieser Ausgabe benannten Mechanismus der Anbieterverwahrung als Falle drehen ließe.

Laden Sie Ihre Identität nicht zum Altersverifikationsanbieter hoch. Weisen Sie Ihr Alter kryptografisch nach.

Laden Sie keine Schülerdaten in ein SaaS-Lernmanagementsystem hoch. Betreiben Sie das LMS auf nutzerkontrollierter Infrastruktur.

Laden Sie keine Kundenbeziehungsdaten auf eine einzelne mandantenfähige Plattform hoch. Segmentieren Sie je Organisation.

Laden Sie keine Patientenakten zu einem einzelnen Anbieter elektronischer Gesundheitsakten hoch. Halten Sie die Akten nach der HIPAA-Regel des minimal Notwendigen.

Laden Sie keine Transaktionsdaten zu einem Stablecoin-Betreiber hoch. Rechnen Sie in Währungen in Nutzerverwahrung ab.

Laden Sie keine KI-Prompts in ein Protokoll bei Dritten hoch. Führen Sie die Inferenz auf nutzerkontrollierter Rechenleistung aus.

Laden Sie keine Wählerverzeichnisse der Bundesstaaten in eine Bundesdatenbank hoch. Gleichen Sie flüchtig und mit kryptografischem Vergleich ab.

Laden Sie nichts hoch.

Die Europäische Union eröffnet den Trilog zur Verordnung gegen sexuellen Kindesmissbrauch am Montag, 4. Mai 2026, in Brüssel erneut. Die zyprisch geführte Ratspräsidentschaft legte am 28. April einen überarbeiteten Kompromisstext vor; die heutige Sitzung ist die erste Verhandlungsrunde zu diesem Text. Irland übernimmt die rotierende Präsidentschaft am 1. Juli als Nachfolger Zyperns und nennt als Ziel eine politische Einigung in diesem Monat. Heute ist die erste Verhandlungssitzung nach der Abstimmung des Europäischen Parlaments vom 26. März 2026 über die befristete ePrivacy-Ausnahme — Chatkontrolle 1.0 —, deren Verlängerung scheiterte: Das Parlament lehnte sie mit 311 Gegenstimmen zu 228 Ja-Stimmen bei 92 Enthaltungen ab. Der Piraten-Abgeordnete Patrick Breyer schrieb an jenem Morgen auf Mastodon: „Freudentränen. Das Parlament hat es abgelehnt, das anlasslose Massenscannen zu verlängern.“ Bundesjustizministerin Stefanie Hubig am 7. April: „Anlasslose Chatkontrolle muss in einem Rechtsstaat tabu sein.“

Die CSA-Verordnung ist die folgenreichste anhängige europäische Regulierung zur Vertraulichkeit von Nachrichten. Der vorgeschlagene Mechanismus — verpflichtendes clientseitiges Scannen jeder Nachricht vor der Verschlüsselung — ist auf der Ebene der Vertraulichkeitsgarantie architektonisch nicht davon zu unterscheiden, dass man die Ende-zu-Ende-Verschlüsselung entfernt. Ein Client, der jede Klartextnachricht scannt und einen Hash oder eine Klassifizierung an eine zentrale Stelle sendet, hat nach dem strukturellen Test einen Betreiberpfad: Die zentrale Stelle ist der Betreiber, und der scannende Client ist ihr Instrument.

Heute ist außerdem Tag 4 von 45 des Countdowns bis zum Auslaufen von Section 702 FISA.

Die Uhr zu Section 702

Am Donnerstag, 30. April 2026, verabschiedete das US-Repräsentantenhaus mit 261 zu 111 Stimmen eine dreijährige Verlängerung von FISA Section 702. Der Gesetzentwurf enthielt jedoch eine sachfremde Bestimmung, die eine US-Zentralbankdigitalwährung verbietet. Der Senat lehnte das gebündelte Paket ab. Stunden vor dem Ablauf um Mitternacht verabschiedeten beide Kammern eine unverbundene 45-Tage-Verlängerung. Präsident Trump unterzeichnete sie am 1. Mai 2026. Das neue Auslaufdatum ist der 12. Juni 2026.

Der Preis von Senator Ron Wyden für die einstimmige Zustimmung zur unverbundenen Verlängerung war ein Cotton-Warner-Schreiben an die Direktorin der nationalen Nachrichtendienste, Tulsi Gabbard, und an Justizminister Todd Blanche, das die Freigabe eines Beschlusses des Foreign Intelligence Surveillance Court vom 17. März 2026 binnen fünfzehn Tagen zusichert. Die Uhr begann zu laufen, als Präsident Trump die Verlängerung unterzeichnete. Fünfzehn Tage ab dem 1. Mai ist der 16. Mai; das operative Zieldatum ist der 15. Mai. Senator Wyden in einer Rede im Senat: „Dieser Beschluss vom 17. März dokumentiert schwerwiegende Missbräuche. Die amerikanische Öffentlichkeit hat ein Recht darauf, vor jeder Neuermächtigung zu erfahren, worin diese Missbräuche bestehen.“

Section 702 erlaubt die anlasslose Erfassung der Kommunikation ausländischer Staatsangehöriger außerhalb der Vereinigten Staaten. Die Erfassung greift beiläufig die Kommunikation von Amerikanern ab, die mit ausländischen Staatsangehörigen kommunizieren. Die gesetzliche Architektur beruht auf Betreiberkooperation: In den USA eingetragene Anbieter werden zur Mitwirkung an der Erfassung verpflichtet. E-Mail, SMS, Sprache und Instant-Messaging-Verkehr, der über in den USA eingetragene Anbieter läuft — Google, Microsoft, Meta, Apple, Amazon —, ist das Substrat.

Die architektonische Wirkung von Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln gegen Section 702: Der Anbieter hält Chiffretext vor, nicht Klartext. Die 702-Erfassung liefert uninterpretierbare Bytes. Die 702-Befugnis kann ohne die Schlüssel des Nutzers nicht entschlüsseln. Der Anbieter kann nicht gezwungen werden, herauszugeben, was er nicht hat.

Die Freigabefrist am 15. Mai ist die erste Gelegenheit zu beurteilen, welche konkreten Missbrauchsmuster der FISC-Beschluss dokumentiert.

Freitag

Am Freitag, 8. Mai 2026, entfernt Meta die Ende-zu-Ende-Verschlüsselung aus den Direktnachrichten von Instagram.

Die technischen Einzelheiten laut Metas Aktualisierung der Entwicklerdokumentation vom 25. April 2026: Bestehende Instagram-DMs bleiben clientseitig verschlüsselt unter der vorhandenen Signal-Protokoll-Implementierung des Unternehmens. Neue DMs ab dem 8. Mai verwenden ein Protokoll namens "Server-Mediated Messaging", das Klartext beim von Meta kontrollierten Relay vorhält. Nutzer werden per In-App-Banner benachrichtigt: "Starting May 8, new Instagram DMs will support AI features and lawful-access compliance via a new Server-Mediated Messaging protocol." — Ab dem 8. Mai unterstützen neue Instagram-DMs KI-Funktionen und die Einhaltung rechtmäßiger Zugriffsanforderungen über ein neues Server-Mediated-Messaging-Protokoll.

Das Lenkungsgremium der Global Encryption Coalition in einer Erklärung vom 8. April 2026: „Metas angekündigte Rücknahme der Ende-zu-Ende-Verschlüsselung bei den Direktnachrichten von Instagram widerspricht der Zusage des Unternehmens vom Dezember 2023, die E2EE-Schutzmaßnahmen des Messengers auf Instagram auszuweiten, und ist für eine große Verbraucher-Messaging-Plattform beispiellos.“

Metas erklärte Begründung: "lawful-access compliance and AI-feature integration" — Einhaltung rechtmäßiger Zugriffsanforderungen und Integration von KI-Funktionen. Der Verweis auf die Integration von KI-Funktionen zielt auf Funktionen des Meta-KI-Assistenten — Zusammenfassung, Übersetzung, Smart Reply und Inhaltsklassifizierung —, die architektonisch Klartext auf Betreiberseite voraussetzen.

Betroffen sind rund zwei Milliarden Instagram-Konten. WhatsApp (rund 3 Milliarden Nutzer), iMessage (rund 1,5 Milliarden Geräte) und Signal (70 Millionen monatlich Aktive) bleiben clientseitig verschlüsselt unter nutzereigenen Schlüsseln. Meta hat keine entsprechenden Änderungen für WhatsApp angekündigt.

Die architektonische Bedeutung liegt im Präzedenzfall. Der 8. Mai ist das erste Mal, dass eine große Verbraucher-Messaging-Plattform eine ihrer Vorzeige-E2EE-Einführungen auf Protokollebene rückgängig macht. Das unternehmerische Kalkül hat sich verschoben: Der kommerzielle Druck der KI-Funktionen wiegt inzwischen schwerer als die Datenschutzzusage, die den architektonischen Wandel von 2014 bis 2024 getragen hat.

Der Benachrichtigungs-Cache

Am Donnerstag, 9. April 2026, berichtete Joseph Cox von 404 Media, dass das Federal Bureau of Investigation „gelöschte“ Signal-Nachrichten vom iPhone eines Angeklagten über den Cache der iOS-Benachrichtigungsdatenbank wiederhergestellt hat. Der Cache speichert den Vorschautext von Benachrichtigungen in einer SQLite-gestützten Datenbank, die das Löschen der ursprünglichen Anwendung überdauert. Die gelöschten Signal-Nachrichten des Angeklagten waren trotz Signals clientseitiger Einstellung für verschwindende Nachrichten aus dem Cache auf Betriebssystemebene wiederherstellbar.

Am Donnerstag, 16. April 2026, veröffentlichte Thorin Klosowski, Technologe bei der EFF, eine architektonische Analyse: „Apples Benachrichtigungs-Cache hat ein Datenschutzproblem. Ende-zu-Ende-Verschlüsselung schützt Nachrichten bei der Übertragung und im Ruhezustand in der Datenbank der Messaging-App. Sie schützt nicht die Nachrichten, die in der Benachrichtigungsvorschau des Betriebssystems angezeigt werden — und die Apples Benachrichtigungsdatenbank in einem separaten SQLite-Speicher vorhält, der das Löschen der ursprünglichen App überdauert.“

Am Mittwoch, 22. April 2026, lieferte Apple iOS 26.4.2, iPadOS 26.4.2 und iOS 18.7.8 aus. Der Patch-Text: "Addresses an issue with notification preview persistence." — Behebt ein Problem mit der Persistenz von Benachrichtigungsvorschauen. Die zugewiesene CVE: CVE-2026-28950.

Die architektonische Lehre: Ende-zu-Ende-Verschlüsselung ist notwendig, aber nicht hinreichend. Der Entschlüsselungsendpunkt — die Betriebssystemschicht, die die Nachricht anzeigt — darf ebenfalls keinen Klartext über die vom Nutzer angegebene Aufbewahrungsdauer hinaus vorhalten. Signals Architektur kann das Zwischenspeichern auf Betriebssystemebene nicht verhindern. Der Patch schließt die offengelegte Lücke, doch die architektonische Angriffsfläche bleibt: Jede Anwendung mit geschlossener Firmware, die Klartext auf einem Nutzergerät anzeigt, kann Spuren hinterlassen, die der Nutzer nicht autorisiert hat.

Die architektonische Antwort auf Nutzerseite ist Hardware mit offener Firmware, bei der das Cache-Verhalten für den Nutzer einsehbar ist. GrapheneOS — die auf AOSP aufbauende, auf Härtung ausgerichtete Android-Distribution — hält Benachrichtigungsvorschauen standardmäßig nicht in einem persistenten Cache vor. Der mit iOS 16 eingeführte und in iOS 18 gehärtete Lockdown Mode verkleinert die Angriffsfläche bei der App-Installation, adressiert aber nicht die Persistenz des Benachrichtigungs-Caches.

Apples Erklärung gegenüber Reuters von Ende März 2026: „Uns sind keine erfolgreichen Angriffe mit Söldner-Spyware gegen ein Gerät mit aktiviertem Lockdown Mode bekannt.“ Die Erklärung erging vor der FBI-Offenlegung zum Benachrichtigungs-Cache und gilt für den Spyware-Vektor weiterhin — das FBI nutzte jedoch einen völlig anderen Vektor: die Lücke im Benachrichtigungs-Cache.

Bad Connection

Am Donnerstag, 23. April 2026, veröffentlichten die Citizen-Lab-Forscher Gary Miller und Swantje Lange "Bad Connection: How Surveillance Vendors Exploit Mobile Networks for Espionage."

Der Bericht dokumentiert mindestens 15.700 bestätigte Versuche der Standortverfolgung über die Signalisierungsprotokolle SS7 (Signaling System Number 7) und Diameter sowie über SIMjacker-SMS-Ausnutzung seit November 2022. Drei „Geister“-Einheiten, die als Telekom-Tarnung dienen, werden genannt: 019Mobile, ein israelischer MVNO; Tango Networks, ein im Vereinigten Königreich eingetragenes Telekommunikationsunternehmen; und Airtel Jersey, ein Rechtsträger auf den Kanalinseln. Ein nicht genannter israelischer Anbieter von Geo-Intelligence ist darin verwickelt.

Die Zielauswahl ist global: mindestens zehn Länder, darunter die Vereinigten Staaten, mehrere EU-Mitgliedstaaten, Mexiko, Indien und eine Reihe von Golfstaaten.

SS7 und Diameter sind die Signalisierungsprotokolle der klassischen Zusammenschaltung von Mobilfunknetzen. Beide entstanden vor jeder nennenswerten Sicherheitsarchitektur. SS7 wurde 1988 ohne Authentifizierungsmechanismus spezifiziert, in der Annahme, dass nur Telekommunikationsanbieter auf das Signalisierungsnetz zugreifen würden. Diameter (3GPP TS 29.272) ist der Nachfolger für LTE/5G; wie SS7 fehlt ihm eine robuste gegenseitige Authentifizierung zwischen Betreibern. SIMjacker ist ein eigener Vektor: SIM-karten-basierte Ausführung von Fernbefehlen über speziell präparierte SMS, die die freizügige Konfiguration des S@T-Browser-Applets ausnutzt.

Die architektonische Angriffsfläche ist das Fehlen einer Ende-zu-Ende-Identitätsvertraulichkeit in der klassischen Mobilfunk-Signalisierungsschicht. Anbieter können routen, ausnutzen oder unter Zwang gesetzt werden. Nutzer haben keinerlei architektonische Einsicht darin, wer ihren Standort abfragt oder ihnen Exploit-SMS schickt.

Die Antwort auf Nutzerseite: FIDO2-Hardware-Authentifizierung, die eine SIM-Kompromittierung übersteht (weil die Authentifizierung an Hardware und nicht an die Telefonnummer gebunden ist — YubiKey, Nitrokey, SoloKey), und Mobilgeräte mit offener Firmware, die die Angriffsfläche bei der App-Installation schließen (GrapheneOS).

Als Reaktion auf Bad Connection rotierte Tor Browser 15.0.10 — am 21. April 2026 veröffentlicht und inzwischen von 15.0.11 abgelöst — die Snowflake-STUN-Server und antizipierte damit verstärkte staatliche Blockadeversuche.

Paragon an der Grenze

Am Freitag, 1. Mai 2026, bestätigte der kommissarische ICE-Direktor Todd Lyons in einer Anhörung des Heimatschutzausschusses des Repräsentantenhauses, dass die Einwanderungs- und Zollbehörde die Zero-Click-Spyware „Graphite“ von Paragon Solutions einsetzt.

Paragon Solutions, gegründet von ehemaligen Angehörigen der israelischen Einheit 8200, verkauft Zero-Click-Ausnutzung von iOS und Android als verwalteten Dienst. Graphite ist das Vorzeigeprodukt des Unternehmens. Der italienische „Graphite“-Skandal — in dem italienische Staatsanwälte bestätigten, dass das iPhone des Journalisten Francesco Cancellato mit Graphite gehackt wurde, und Paragon die Zusammenarbeit mit der italienischen Untersuchung verweigerte — ging Lyons' Bestätigung voraus.

Die architektonische Bedeutung: Der Erwerb kommerzieller Spyware durch eine Bundesbehörde ist nun auf Ministeriumsebene öffentlich bestätigt. Es gibt kein anwendbares öffentliches Aufsichtsgesetz für Erwerb oder Einsatz. Es gibt keine Pflicht zur Benachrichtigung der Zielperson; Zielpersonen wissen nicht, dass sie ins Visier genommen werden.

Die Antwort auf Nutzerseite sind Mobilgeräte mit offener Firmware — GrapheneOS oder Vergleichbares —, bei denen die Angriffsfläche der App-Installation für den Nutzer einsehbar ist, dazu Einstellungen analog zum Lockdown Mode, die verbreitete Zero-Click-Vektoren schließen, sowie die fortlaufende forensische Beobachtung durch Citizen Lab und Amnesty International.

Das 168-Millionen-Urteil

Am Montag, 27. April 2026, sprach eine Bundesjury in Oakland Meta 168 Millionen US-Dollar an Straf- und Ausgleichsschadenersatz gegen die NSO Group zu. Das Urteil erging nach einem dreiwöchigen Verfahren. Die Jury befand die NSO Group für haftbar wegen Verstoßes gegen den Computer Fraud and Abuse Act und den kalifornischen Comprehensive Computer Data Access and Fraud Act im Zusammenhang mit dem WhatsApp-/Pegasus-Angriff von 2019 auf 1.400 Nutzer.

Die Verteidigungslinien von NSO — Staatenimmunität (NSO machte geltend, als Erfüllungsgehilfe souveräner Kunden zu handeln); kundengesteuerte Zielauswahl (NSO argumentierte, die Zielauswahl liege in der Verantwortung des Kunden, nicht des Anbieters); und "lawful interception" — rechtmäßige Überwachung (NSO behauptete, Pegasus werde ausschließlich zu Zwecken rechtmäßiger Überwachung verkauft) — wurden zurückgewiesen.

Die architektonische Bedeutung: Anbieter kommerzieller Zero-Click-Spyware, die gegen ende-zu-ende-verschlüsselte Nachrichtendienste operieren, haben eine strukturelle Produkt-Markt-Passung. Das Rechtssystem hat dieser Passung erstmals in einem Verfahren einen Preis zugeordnet. Ob das Urteil einen Präzedenzfall für nachfolgende Prozesse gegen kommerzielle Spyware setzt, hängt von der Überprüfung in der Berufungsinstanz ab.

Irans Tag 65

Heute ist Tag 65 der landesweiten Internetabschaltung in Iran. Die Abschaltung begann am 28. Februar 2026 nach dem israelisch-iranischen Schlagabtausch. Die nationale Konnektivität liegt laut NetBlocks und Cloudflare Radar deutlich unter einem Prozent des Vorkriegsniveaus.

Zum Vergleich: Irans landesweite Abschaltung von 65 Tagen ist die längste landesweite staatlich verhängte Abschaltung, die von der KeepItOn-Koalition von Access Now je erfasst wurde. Myanmars Abschaltung nach dem Putsch von 2021 dauerte regional länger, doch die nationale Konnektivität wurde stufenweise wiederhergestellt; die zweijährige Abschaltung in Tigray war regional; die 552-tägige Abschaltung in Kaschmir im Zuge von Artikel 370 war regional. Der KeepItOn-Bericht 2025 von Access Now, veröffentlicht am 31. März 2026, dokumentierte mit 313 Internetabschaltungen weltweit im Jahr 2025 einen Rekordwert — Iran hat nun die längste landesweite Einzelabschaltung des Jahres 2026 innerhalb der ersten fünf Monate des Jahres hervorgebracht.

Am 21. April 2026 institutionalisierte Irans Kommunikationsministerium einen abgestuften Zugang. Zwei Stufen wurden angekündigt: eine Stufe „Internet Pro“ mit monatlichen Datenobergrenzen von 50 GB für geprüfte Bürger, die eine Loyalitätsüberprüfung bestehen; und „weiße SIM-Karten“, die Amtsträgern und zugelassenen Journalisten vorbehalten sind. Die strukturelle Bestätigung: Iran will die Abschaltung als neuen Normalzustand fortbestehen lassen, nicht rückgängig machen.

Tägliche wirtschaftliche Kosten laut Tony Blair Institute und NetBlocks: 70 bis 80 Millionen US-Dollar.

Die architektonische Lehre: Ein Staat, der die Infrastruktur lizenzierter Netzbetreiber kontrolliert, kann den Betreiberpfad vollständig abschalten. Zur Antwort auf Nutzerseite gehören Mesh-Netze (Briar, Bridgefy), Satellitenanbindungen (Reuters hat über inoffizielle Starlink-Antennen im Iran berichtet), Tor-Pluggable-Transports (Snowflake, meek-azure, obfs4) und protokollverschleiernde Umgehungswerkzeuge (Outline, V2Ray, Trojan, Reality, Shadowsocks).

Russlands Kundensperre

Am Mittwoch, 15. April 2026, zwang Russlands Föderaler Dienst für die Aufsicht im Bereich Kommunikation, Informationstechnologie und Massenmedien — Roskomnadzor — mindestens zwanzig große Plattformen dazu, Kunden aktiv zu sperren, die über VPN zugreifen wollen. Zu den genannten Plattformen zählen Yandex, Sberbank, VK, Wildberries und Gosuslugi (das föderale E-Government-Portal).

Die Verfügbarkeit von Telegram fiel ohne VPN auf rund 5 Prozent. Rund 105 Millionen russische Nutzer waren betroffen. Apple entfernte am oder kurz vor dem Stichtag 15. April 761 VPN-Anwendungen aus dem russischen App Store. Dieselbe DPI-Infrastruktur, die für die plattformseitige Sperrung verantwortlich ist, verursachte am 4. April einen landesweiten Bankenausfall, als das Fingerprinting mit legitimem Bankverkehr kollidierte. Die VPN-Statusseite VPN Traffic Light wurde am 9. April gesperrt.

Meduza hat dokumentiert, dass Roskomnadzor-Mitarbeiter selbst VPNs nutzen, um auf inzwischen gesperrten Plattformen weiter zu posten.

Die architektonische Lehre: Der Staat kann Plattformen zwingen, die Sperrung von der Plattformseite aus durchzusetzen, nicht nur auf der Netzebene. Die Antwort auf Nutzerseite: zensurresistente Transportwege, die unterhalb oder neben dem DPI-Fingerprinting operieren — Tor 15.0.10 mit Snowflake; V2Ray VLESS+Reality; Shadowsocks-2022; Trojan; WireGuard mit obfsproxy; der Peer-to-Peer-Transport von URnetwork.

Das 344-Millionen-Einfrieren

Am Donnerstag, 23. April 2026, fror Tether die größte Einzelsumme seiner Geschichte ein: 344 Millionen USDT auf der Tron-Blockchain, auf Ersuchen nicht genannter Strafverfolgungsbehörden. Die kumulierten Tether-Sperrungen seit 2017 übersteigen nun 4,4 Milliarden US-Dollar.

Tethers Blacklist-Funktion ist ein zentraler Verwaltungsschlüssel, der ohne richterliche Überprüfung und ohne Benachrichtigung der Gegenpartei eingesetzt wird. Die architektonische Lehre: Stablecoins mit betreiberkontrollierten Blacklist-Funktionen sind kein zensurresistentes Geld — sie sind ein Berechtigungsregister mit Preisschild.

Die architektonische Gegenwehr verläuft auf drei Spuren. Bitcoin: BIP392 (März 2026), BIP376 (April 2026) und BIP77 Async PayJoin haben den Stack aus Silent Payments und PayJoin v2 auf Bitcoins transparentem Ledger gefestigt. BIP324 v2 verschlüsselter P2P-Transport ist in Bitcoin Core nun Standard. Monero: Das Trail-of-Bits-Audit von FCMP++ — Full-Chain Membership Proof Plus Plus — läuft vom 11. bis 22. Mai, die letzte Hürde vor einer Hard-Fork-Aktivierung, die die Anonymitätsmenge von 16 Täuschungsausgaben pro Transaktion auf die gesamte historische UTXO-Menge ausweitet, derzeit rund 150 Millionen Ausgaben (eine etwa zehnmillionenfache Ausweitung der Unverknüpfbarkeit). Zcash: abgeschirmter Bestand bei rund 31 Prozent des Umlaufs (5,17 Millionen ZEC); abgeschirmte Transaktionen erreichten im Februar 59,3 Prozent der Netzwerkaktivität; Grayscale hat den ersten Spot-ETF auf eine Privacy-Coin beantragt, nachdem die SEC ihre Untersuchung gegen die Zcash Foundation eingestellt hatte.

In derselben Woche wie das Tether-Einfrieren legte der EZB-Rat am 9. und 10. April die Governance für den Pilotbetrieb des digitalen Euro fest. Bewerbungen von Zahlungsdienstleistern enden am 14. Mai. Die CBDC-Architektur hat den Betreiberpfad konstruktionsbedingt eingebaut: Die Zentralbank oder die von ihr beauftragten Zahlungsdienstleister führen das Register.

Betreiberkontrollierte Stablecoins und CBDCs sind Betreiberpfad-Geld. Bitcoin mit Silent Payments, Monero mit FCMP++ und abgeschirmtes Zcash sind selbstverwahrtes Geld.

Die Stein-Doktrin

Am Montag, 5. Januar 2026, wies der US-Bundesbezirksrichter Sidney Stein den Einwand von OpenAI zurück, im Rahmen der Beweiserhebung zwanzig Millionen ChatGPT-Nutzerprotokolle an die Kläger der New York Times herauszugeben. Richter Stein befand, dass Nutzereingaben in kommerzielle KI-Dienste nicht durch die Vierte-Zusatzartikel-Doktrin aus Carpenter v. United States (2018) geschützt sind — jener Entscheidung des Supreme Court, wonach die Regierung in der Regel einen Durchsuchungsbeschluss benötigt, um auf bei Dritten vorgehaltene Funkzellen-Standortdaten zuzugreifen.

Steins Entscheidung unterschied KI-Protokolle von Funkzellendaten: KI-Nutzer übermitteln Inhalte freiwillig zur Verarbeitung an einen Dritten; Funkzellendaten entstehen automatisch allein dadurch, dass der Nutzer ein Telefon bei sich trägt. Die Unterscheidung hat die praktische Folge, dass bei kommerziellen Anbietern vorgehaltene KI-Protokolle beim Dritten der zivilprozessualen Beweiserhebung unterliegen.

Im weiteren Kontext: Bartz v. Anthropic — die größte US-Urheberrechts-Sammelklage gegen einen Anbieter generativer KI — hat am 14. Mai 2026 ihre abschließende Fairness-Anhörung, mit dem vorgeschlagenen Vergleich über 1,5 Milliarden US-Dollar auf der Tagesordnung. Das Gericht in Mailand ließ am 14. April 2026 eine Sammelklage gegen Meta zu, die rund 35 Millionen Nutzer umfasst. Der Generalstaatsanwalt von Texas kündigte am 29. April 2026 einen Vergleich mit Google über 1,375 Milliarden US-Dollar an.

US-amerikanische und europäische Gerichte legen die faktische KI-Datenschutzdoktrin über Beweiserhebung und Sammelklagenzulassung fest, nicht über Regulierungsbehörden. Die institutionelle öffentliche Durchsetzung des KI-Datenschutzes in Europa pausiert: Das Gericht in Rom hob am 18. März 2026 die Geldbuße der italienischen Garante über 15 Millionen Euro gegen OpenAI auf — die einzige rechtskräftige DSGVO-Maßnahme gegen ChatGPT in Europa — und ließ damit 90 Tage vor dem Inkrafttreten der GPAI-Regeln des KI-Gesetzes am 2. August null bestehende öffentliche europäische DSGVO-Verfahren gegen KI-Systeme mit allgemeinem Verwendungszweck zurück (das Inkrafttreten sieht Bußgelder von drei Prozent des weltweiten Umsatzes vor).

Die architektonische Gegenwehr sind lokal ausgeführte Open-Weight-Modelle auf Nutzerhardware: DeepSeek V4 Pro, Mistral Medium 3.5, Llama 3.3, Qwen 3, GPT-OSS. Wo es kein Protokoll bei einem Dritten gibt, gibt es nichts zu erheben und nichts vorzuladen.

Die verbindende Angriffsfläche

Acht Kategorien von Offenlegungen, alle in dieser vergangenen Woche:

1. Rückzug der Konzerne. Meta entfernt am 8. Mai die E2EE aus Instagram-DMs.
2. Institutioneller Zwang. Der EU-Trilog zur CSA-Verordnung wird heute wieder aufgenommen; Countdown zum Auslaufen von S. 702 Tag 4 von 45; FISC-Freigabe Tag 4 von 15.
3. Staatlicher Zwang. Landesweite Abschaltung in Iran Tag 65; Russlands Kundensperre für VPN-Nutzer vom 15. April; 761 VPN-Apps aus dem russischen App Store entfernt.
4. Forensische Kompromittierung. Apples iOS-Patch CVE-2026-28950 für den Benachrichtigungs-Cache schließt den Signal-Wiederherstellungsvektor des FBI; Citizen Lab Bad Connection mit über 15.700 SS7-/Diameter-Verfolgungsversuchen; Bestätigung von ICE zu Paragon Graphite; NSO-Urteil über 168 Mio. US-Dollar.
5. Betreiber-Blacklist beim Geld. Tether friert 344 Mio. US-Dollar ein.
6. Betreiberpfad in Überwachungsdatenbanken. Flock SFPD 1,6 Mio. unrechtmäßige Abfragen; Vertrag in Oshkosh gekündigt.
7. Doktrin der Drittprotokolle bei KI. Stein gibt 20 Mio. ChatGPT-Protokolle an die NYT frei; Garante-Bescheid aufgehoben; 90-Tage-Klippe bis zu den GPAI-Regeln des KI-Gesetzes.
8. Gegenarchitektur. Tor 15.0.10 mit Snowflake-STUN-Rotation; GrapheneOS-Build 2026042100; Bitcoin BIP392/376/77; Monero-Audit von Trail of Bits vom 11. bis 22. Mai.

Alle acht Kategorien teilen eine architektonische Eigenschaft: den Betreiberpfad. Welche Schicht auch immer Klartext vorhält — der Betreiber kann:

• gezwungen werden (CSA-Verordnung, S. 702, indische IT-Regeln);
• unter Druck gesetzt werden (Russland, Iran, Belarus, China);
• kompromittiert werden (Bad Connection SS7/Diameter, NSO Pegasus, Paragon Graphite, FBI-Benachrichtigungs-Cache);
• freiwillig zurückrudern (Meta Instagram, UK Apple ADP).

Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln beseitigt den Betreiberpfad für Nachrichten. Hardware mit offener Firmware beseitigt den Betreiberpfad für Endpunkte. FIDO2-Hardware-Authentifizierung beseitigt den Betreiberpfad für Zugangsdaten. Zensurresistente Transportwege beseitigen den Betreiberpfad für Netzreichweite. Datenschutzwahrende Kryptowährungen beseitigen den Betreiberpfad für die Wertabwicklung. Lokal ausgeführte Open-Weight-KI beseitigt den Betreiberpfad für Inferenzprotokolle. Föderierte Identität mit selektiver Offenlegung beseitigt den Betreiberpfad für Berechtigungsnachweise. Selbst gehostete Dienste beseitigen den Betreiberpfad für gespeicherte Daten.

Der nutzerkontrollierte Primitivstapel — derselbe Stapel, den die vorige Ausgabe als Gegenwehr zur KI-beschleunigten Taktung von Cyberangriffen benannte — hat kraft der architektonischen Eigenschaft „kein Betreiber“ keine Angriffsfläche, die von einem der vier Mechanismen umgedreht werden könnte.

Drei Uhren

Heute ist Tag 4 von 45 des Countdowns bis zum Auslaufen von Section 702. Heute ist außerdem Tag 4 von 15 des Countdowns bis zur FISC-Freigabe. Heute ist Tag 1 einer unbekannten Zahl von EU-Trilogsitzungen zur CSA-Verordnung vor dem von der zyprischen Präsidentschaft angepeilten Zielmonat Juli für eine politische Einigung.

Freitag, 8. Mai, ist die Rücknahme der E2EE bei Instagram durch Meta.

Vom 11. bis 22. Mai läuft das Zeitfenster des Trail-of-Bits-Audits für Monero FCMP++.

Der 14. Mai ist die Fairness-Anhörung in Bartz v. Anthropic und der Bewerbungsschluss für Zahlungsdienstleister beim digitalen Euro.

Der 15. Mai ist das Zieldatum für die FISC-Freigabe.

Der 12. Juni ist das Auslaufen von Section 702.

Der 2. August ist das Inkrafttreten der GPAI-Regeln des EU-KI-Gesetzes.

Schluss

Klartext beim Betreiber ist der Überwachungspfad. Der Betreiber kann gezwungen, unter Druck gesetzt, kompromittiert werden — oder freiwillig zurückrudern. In dieser Woche sind alle vier Mechanismen gleichzeitig aktiv, innerhalb eines einzigen Zyklus von Werktagen.

Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln, auf nutzerkontrollierter Hardware, über nutzerkontrollierte Netze, mit Abwicklung in selbstverwahrtem Geld, mit lokaler KI-Inferenz auf nutzerkontrollierter Rechenleistung, mit föderierter Identität, auf selbst gehosteten Diensten — der vollständige nutzerkontrollierte Primitivstapel — hat keinen Betreiberpfad. Es gibt keinen Betreiber, der die Nachricht lesen kann, der die Speicherung ohne Zustimmung des Nutzers wieder einschalten kann, der Datenverkehr auf staatliche Anordnung verwerfen kann, der eine Transaktion auf eine schwarze Liste setzen kann, der ein Protokoll für die Beweiserhebung herausgeben kann, der einen Berechtigungsnachweis offenlegen kann, der für gespeicherte Daten vorgeladen werden kann.

Derselbe Stapel, den die vorige Ausgabe als architektonische Gegenwehr zur Taktung des Angriffsmarktes benannte, ist die architektonische Gegenwehr zum Rückzug von Anbietern und Staaten aus der Vertraulichkeit. Die Bedrohungsmodelle sind verschieden. Die architektonische Eigenschaft ist dieselbe.

Kein Betreiber. Kein Pfad. Kein Umdrehen.

Am Dienstag, 24. März 2026, veröffentlichte die Mandiant-Einheit von Google Cloud ihren Bericht M-Trends 2026 — den jährlichen Incident-Response-Vergleichsmaßstab, der auf mehr als 500.000 Stunden Incident-Response-Arbeit beruht, die Mandiant-Analysten im Kalenderjahr 2025 geleistet haben. Unter den Befunden des Berichts sticht eine Zahl hervor:

Zweiundzwanzig Sekunden.

Das ist die mittlere Zeit des Jahres 2025 von der Kompromittierung durch einen Initial-Access-Broker (IAB) bis zur Übergabe an einen Ransomware-Partner. Die Kennzahl misst die verstrichene Uhrzeit zwischen dem Moment, in dem ein automatisiertes Werkzeug, ein Exploit oder ein Social-Engineering-Anruf einem Initial-Access-Broker einen Zugang in ein Zielnetz verschafft, und dem Moment, in dem ein anderer Akteur — der Ransomware-Partner — übernimmt, um die Verschlüsselungs- und Exfiltrationsphase zu beginnen.

Im Jahr 2022 lag dieselbe Kennzahl bei über acht Stunden. 2023 bei „mehreren Stunden“. 2024 bei rund elf Minuten. 2025 bei zweiundzwanzig Sekunden.

Rund tausendfache Beschleunigung in drei Jahren.

Mandiants Deutung laut Berichtstext: Die Kennzahl spiegele eine „engere Zusammenarbeit zwischen Zugangspartnern und nachgelagerten Gruppen“ wider. In der Sprache kommerzieller Software: Der Markt vom IAB zum Partner hat sich industrialisiert. Die Schnittstellen sind stabil, die Formate standardisiert, die Treuhandabwicklung automatisiert, und die menschliche Latenz, die die Übergabezeit bisher begrenzte, ist aus der Kette herausgepresst worden. Die Übergabe geschieht in Maschinengeschwindigkeit, weil beide Seiten zu einem produktisierten Austausch herangereift sind.

Die Cyber-Angriffswirtschaft ist inzwischen ein Markt. Zweiundzwanzig Sekunden sind die Markträumungszeit.

Die drei Aufhänger von heute

Drei Nachrichtenereignisse am Montag, 4. Mai 2026, zeigen die Taktungslücke operativ.

Erstens. Reuters-Exklusivmeldung, heute breit nachgedruckt über Insurance Journal und andere Medien: Die US-Cybersicherheitsbehörde CISA erwägt Berichten zufolge, die föderalen Patch-Fristen für bekannte ausgenutzte Schwachstellen von der derzeitigen Obergrenze von zwei bis drei Wochen nach Binding Operational Directive 22-01 auf drei Tage zu verkürzen. Der kommissarische CISA-Chef Nick Andersen und der National Cyber Director Sean Cairncross prüfen die vorgeschlagene Änderung. Der Treiber laut Branchenanalysen: KI-beschleunigte Ausnutzung, darunter Anthropics Mythos Preview und OpenAIs GPT-5.4-Cyber, komprimiert das Zeitfenster vom Bekanntwerden bis zum Exploit von „Monaten“ auf „Stunden“. Stimmen aus der Branche.

Stephen Boyer, Gründer von Bitsight: „Wenn man zivile Behörden schützen will, muss man schneller werden. Wir haben nicht mehr so viel Spielraum.“

Kecia Hoyt, Vice President bei Flashpoint: „Realistisch betrachtet sind drei Tage für manche Umgebungen schlicht unmöglich.“

Nitin Natarajan, ehemaliger stellvertretender CISA-Direktor: „Das ist ein Signal an alle anderen, das sagt: ‚Hey, ihr müsst das schneller machen.‘“

Die CISA selbst arbeitet mit verringerter Kapazität, ausgezehrt durch tiefe Stellenstreichungen und einen 75-tägigen Shutdown des Heimatschutzministeriums. Der Drei-Tage-Vorschlag ist strukturell neuartig; selbst wenn er angenommen wird, liegt er zweieinhalb Größenordnungen über der von Mandiant gemessenen offensiven Obergrenze von 22 Sekunden.

Zweitens. Progress Software legte CVE-2026-4670 in MOVEit Automation offen — eine kritische Authentifizierungsumgehung mit CVSS 9.8 — zusammen mit CVE-2026-5174 (CVSS 7.7, Rechteausweitung). Betroffene Versionen: MOVEit Automation 2025.1.4, 2025.0.8, 2024.1.7 und früher. Behoben in 2025.1.5, 2025.0.9, 2024.1.8. Rund 1.400 Instanzen von MOVEit Automation sind öffentlich im Netz erreichbar; mehr als ein Dutzend sind US-Bundesstaaten und Kommunen zuzuordnen. Die Schwachstellen wurden von den Airbus-SecLab-Forschern Anaïs Gantet, Delphine Gourdou, Quentin Liddell und Matteo Ricordeau verantwortungsvoll offengelegt. Zum Zeitpunkt der Offenlegung wurde keine aktive Ausnutzung gemeldet.

Der historische Präzedenzfall wirft seinen Schatten. Die MOVEit-Transfer-Lücke von 2023 — eine separate Schwachstelle in einem anderen Produkt von Progress Software, ausgenutzt von der Clop-Ransomware-Operation — brachte über 2.100 betroffene Organisationen hervor und geschätzt 12 Milliarden US-Dollar kumulierte Verluste bei Shell, BBC, British Airways, dem US-Energieministerium, dem US-Gesundheitsministerium und vielen weiteren.

Falls die MOVEit-Automation-Lücke von 2026 in eine Massenausnutzung im Maßstab von 2023 gerät, kann die föderale Taktung nicht Schritt halten. Die 1.400 erreichbaren Instanzen sind konzentriert, doch jede Instanz bei US-Bundesstaaten und Kommunen vermittelt Compliance-Berichte für Systeme, die ihrerseits mit Identitäts-, Gesundheits-, Lohn- und Sozialleistungsinfrastruktur verbunden sind.

Drittens. Mistral brachte Vibe Remote Agents auf Mistral Medium 3.5 heraus. Cloudseitige autonome Programmier-Agenten, mehrere parallele Sitzungen, Kommandozeilen- und Le-Chat-Oberflächen. Der „Work Mode“ von Le Chat debütiert auf demselben Modell. Mistral Medium 3.5: dichtes Modell mit 128 Milliarden Parametern, 256K Kontext, 77,6 Prozent auf SWE-Bench Verified, 91,4 auf τ³-Telecom. Modifizierte MIT-Lizenz; Gewichte von Hugging Face herunterladbar.

Vibe ist die vierte große Plattform für agentisches Programmieren, die 2026 ausgeliefert wurde — nach OpenAI Codex, Anthropic Claude Code und Google Antigravity. Antigravity startete am 22. April, am selben Tag begleitet von einer Offenlegung durch Pillar Security zu einer Sandbox-Ausbruch-RCE über Prompt Injection: vom Parameter find_by_name Pattern in Flags des Werkzeugs fd, unter Umgehung des Antigravity Secure Mode.

Fähigkeit wird in der Taktung von Verbrauchersoftware ausgeliefert. Die regulatorische Antwort — die erste gemeinsame Leitlinie der Five Eyes zur Sicherheit agentischer KI, veröffentlicht am 1. Mai — ist unverbindlich und drei Tage alt.

Was Recovery Denial bedeutet

Der Bericht M-Trends 2026 von Mandiant benennt jenseits der 22-Sekunden-Kennzahl eine strukturelle Verschiebung im Verhalten von Ransomware-Betreibern. Die Betreiber sind über die Doppelbedrohung (verschlüsseln und stehlen) hinaus zu einer dritten Stufe übergegangen, die der Bericht "recovery denial" nennt — Verweigerung der Wiederherstellung.

Das Muster: Nach der Übergabe vom IAB an den Partner nehmen die Betreiber systematisch Identitätsdienste, Virtualisierungs-Managementebenen und Backup-Infrastruktur ins Visier. Das Ziel ist weder Datenexfiltration allein noch Verschlüsselung allein, sondern der betroffenen Organisation die Fähigkeit zu nehmen, den Betrieb wiederherzustellen. Die Kompromittierung von Identitätsdiensten blockiert die Nutzerauthentifizierung. Die Kompromittierung des Virtualisierungsmanagements verhindert das Failover zur Notfallwiederherstellung. Die Kompromittierung der Backup-Infrastruktur blockiert die Wiederherstellung.

Das Muster zeigt sich operativ im Zeitfenster vom 1. bis 4. Mai.

Die „Sorry“-Ransomware-Kampagne gegen cPanel nutzt ChaCha20-Verschlüsselung mit einem eingebetteten öffentlichen RSA-2048-Schlüssel der Angreiferseite. Die Entschlüsselung erfordert den privaten RSA-2048-Schlüssel des Angreifers. Eine Wiederherstellung ohne Zahlung ist nicht praktikabel.

Der Einbruch in das Quellcode-Repository von Trellix am 2. Mai ermöglicht künftige Recovery-Denial-Szenarien, indem er Muster zur Erkennungsumgehung und Signaturdefinitionen für jene offenlegt, die den Quellcode exfiltriert haben. Trellix ist das Cybersicherheitsunternehmen, das 2022 aus der Fusion von McAfee Enterprise und FireEye hervorging und der Symphony Technology Group gehört.

Der Vektor Instructure/Salesforce führt über eine Drittanbieter-SaaS und umgeht damit die Wiederherstellungsplanung auf Kundenseite vollständig. Die meisten Schulen, die das Canvas-LMS von Instructure nutzen, haben keinerlei vertraglichen Einblick in die Salesforce-Instanz von Instructure; die Wiederherstellung nach einem Einbruch über den Salesforce-Umweg erfordert Instructures Mitwirkung und Salesforces Erlaubnis — beides kontrolliert der Kunde nicht.

Der Abfluss über den Deployer-Schlüssel bei Wasabi Protocol am 30. April nutzte UUPS-Proxy-Upgrades, um die Vault-Implementierungen über vier Blockchains hinweg auszutauschen — Ethereum, Base, Berachain und Blast — und setzte damit jedes protokollinterne Wiederherstellungsprimitiv außer Kraft. Die Deployer-EOA wasabideployer.eth hielt die alleinige ADMIN_ROLE; sie erteilte diese einem Angreifer-Contract; der Angreifer führte das Upgrade durch; ein gefälschter Aufruf von strategyDeposit() leerte die Vaults. Kein Timelock. Kein Multisig. Die Wiederherstellungsfläche war der Admin-Schlüssel des Protokolls selbst.

Die 22-Sekunden-Kennzahl ist die Zugangstaktung. Recovery Denial ist die Architektur nach dem Zugang.

Die Untergrenze der Sorry-Ransomware

Die Fallstudie zu cPanel CVE-2026-41940 zeigt die Taktungslücke operativ.

Die Schwachstelle — eine Umgehung der Vorab-Authentifizierung mit CVSS 9.8 über CRLF-Injektion — wird laut KnownHost-CEO Daniel Pearson seit mindestens dem 23. Februar 2026 aktiv in freier Wildbahn ausgenutzt. cPanel patchte am 28. April. Die CISA nahm die Schwachstelle am 30. April in ihren Katalog bekannter ausgenutzter Schwachstellen auf, mit einer ungewöhnlich kurzen zweitägigen föderalen Patch-Frist zum 3. Mai.

Am Samstag, 2. Mai, war die Ransomware-Familie „Sorry“ live und nutzte die Lücke massenhaft aus. Censys-Telemetrie vom 2. Mai: 15.448 cPanel-/WHM-Hosts mit bösartiger Aktivität — 79,99 Prozent aller von GreyNoise an jenem Tag als bösartig markierten Hosts, gegenüber 146 am Vortag. Bis Sonntag, 3. Mai, waren rund 2.000 Instanzen kompromittiert.

Bis Montag, 4. Mai — heute — war die föderale Patch-Frist abgelaufen. TechCrunch berichtete von fortgesetzter Ausnutzung: Angreifer nutzen die cPanel-Lücke weiterhin aus, um die Kontrolle über Tausende von Websites zu erlangen.

Drei unabhängige Bedrohungscluster teilen sich dieselbe CVE. Die „Sorry“-Ransomware-Kampagne mit der Dateiendung .sorry und Lösegeldkontakt über den Tox-Messenger. Die Mirai-Variante nuclear.x86, eingesetzt für Kryptomining- und DDoS-Botnetz-Kapazität. Eine Spionagekampagne im Stil eines Nationalstaats, verfolgt von Ctrl-Alt-Intel, von der IP 95.111.250.175 gegen .mil.ph, .gov.la und Managed-Service-Anbieter auf den Philippinen, in Laos, Kanada, Südafrika und den Vereinigten Staaten.

Vierundsechzig Tage als Zero-Day. Zweitägige föderale Frist. Drei Tage Ausnutzung nach Fristablauf. Rund 1,5 Millionen cPanel-Instanzen im Netz erreichbar; rund 70 Millionen Domains potenziell betroffen. Die Patch-Taktung ist die föderale Taktung; die Ausnutzungstaktung ist die Taktung von Kriminellen und Staaten; sie konvergieren nicht.

Copy Fail und KI-gestützte Entdeckung

Am Freitag, 1. Mai 2026, nahm die CISA CVE-2026-31431 — „Copy Fail“ — in den Katalog bekannter ausgenutzter Schwachstellen auf, mit einer föderalen Patch-Frist zum 15. Mai. Der Logikfehler in der kryptografischen Vorlagenverarbeitung von algif_aead/AF_ALG im Linux-Kernel ist ein 9 Jahre alter Bug, der durch In-place-Krypto-Änderungen in den Jahren 2011, 2015 und 2017 entstand. Ein 732 Byte großer Python-Proof-of-Concept verschafft über setuid-Binaries Root-Rechte.

Der Bug betrifft jede seit 2017 ausgelieferte Linux-Distribution: Ubuntu (einschließlich 24.04 LTS), Amazon Linux 2023, RHEL 10.1, SUSE 16, Debian, Fedora, Arch. Auch Container sind betroffen: Docker, LXC und Kubernetes gewähren Containern AF_ALG standardmäßig. Fix im Mainline-Kernel am 1. April; erste Herstellerpatches erschienen bei Debian, Ubuntu und AlmaLinux um den 1. Mai.

Microsoft Defender ergänzte am selben Tag die Signaturen Exploit:Linux/CopyFailExpDl.A, Exploit:Python/CopyFail.A und Exploit:Linux/CVE-2026-31431.A. Microsoft-Security-Blog, 1. Mai: „vorläufige Testaktivität, die höchstwahrscheinlich in verstärkter Ausnutzung durch Bedrohungsakteure in den kommenden Tagen münden könnte.“

Entscheidend: Der Bug wurde von Theori mit dessen KI-Pentesting-Plattform Xint entdeckt. Dieselbe Art KI-gestützter Schwachstellenentdeckung, die Anthropics Mythos Preview am 7. April demonstrierte — und die Vidoc Security Lab am 14. April auf acht kleinen Open-Weight-Modellen reproduzierte, eines davon mit nur 3,6 Milliarden aktiven Parametern zu 0,11 US-Dollar pro Million Token.

KI-gestützte Schwachstellenentdeckung ist inzwischen ein Massenprodukt über Verbraucher-APIs. Die Kostenuntergrenze von 0,11 US-Dollar pro Million Token bedeutet, dass sich auch kleine Organisationen eine Cyber-Entdeckungsinfrastruktur auf staatlichem Niveau leisten können. Das Rahmenwerk Glasswing für kontrollierten Zugang — Anthropics Programm mit beschränktem Zugang zu Mythos mit rund 40 geprüften Partnern und bis zu 100 Millionen US-Dollar an Nutzungsguthaben — kann Fähigkeit nicht begrenzen, wenn Fähigkeit zum Massenprodukt wird. Theori entdeckte Copy Fail. Andere Forschungsgruppen entdeckten andere Bugs in anderen Betriebssystemen und Frameworks zu ähnlichen Kosten. Die Entdeckungstaktung hat sich parallel zur Ausnutzungstaktung industrialisiert.

Das erste Wort der Five Eyes

Am Freitag, 1. Mai 2026, veröffentlichte die Geheimdienstpartnerschaft Five Eyes — die US-Cybersicherheitsbehörde CISA, die US-amerikanische National Security Agency, das Australian Cyber Security Centre des Australian Signals Directorate, das Canadian Centre for Cyber Security, das neuseeländische National Cyber Security Centre und das britische National Cyber Security Centre — ihre erste koordinierte behördenübergreifende gemeinsame Leitlinie zur Sicherheit agentischer KI: "Careful Adoption of Agentic AI Services."

Fünf Risikokategorien werden benannt: Rechteausweitung über Agentenwerkzeuge hinweg; Design- und Konfigurationsfehler; Verhaltensrisiken (Prompt Injection und Zielentführung); strukturelle Risiken (Fehler in Multi-Agenten-Systemen und emergente Absprachen); Verantwortlichkeitslücken.

Der Text der Leitlinie: "Until security practices, evaluation methods and standards mature, organisations should assume that agentic AI systems may behave unexpectedly and plan deployments accordingly, prioritising resilience, reversibility and risk containment over efficiency gains." — Solange Sicherheitspraktiken, Bewertungsmethoden und Standards nicht ausgereift sind, sollten Organisationen davon ausgehen, dass sich agentische KI-Systeme unerwartet verhalten können, und ihre Einführungen entsprechend planen, wobei Widerstandsfähigkeit, Umkehrbarkeit und Risikoeindämmung Vorrang vor Effizienzgewinnen haben sollten.

Empfehlungen: Zero-Trust-Architektur, Verteidigung in der Tiefe, geringstmögliche Rechte, kryptografisch gesicherte Agentenidentitäten, kurzlebige Zugangsdaten, Verschlüsselung bei Übertragung und im Ruhezustand, menschliche Freigabe für folgenschwere Aktionen, Abwehrmaßnahmen gegen Prompt Injection.

Drei Tage nach der Veröffentlichung, heute, lieferte Mistral Vibe Remote Agents aus. Die Taktung der Fähigkeit ist so schnell wie Verbrauchersoftware. Die Taktung der Regulierung ist so langsam wie ein Ausschuss.

Die Lieferkette (22. April – 1. Mai)

Das Zehn-Tage-Fenster vom 22. April bis zum 1. Mai brachte sechs unabhängige Offenlegungen zur Lieferkette hervor.

22. April (drei an einem einzigen Dienstag). OX Security legte eine systemische Designschwachstelle in Anthropics Model Context Protocol über alle SDK-Sprachen hinweg offen — Python, TypeScript, Java, Rust —, die laut The Register rund 200.000 Server betrifft, mit neun von elf vergifteten MCP-Marktplätzen. Pillar Security legte einen Sandbox-Ausbruch mit Remote Code Execution in Googles neuer agentischer IDE Antigravity offen. Die Kampagne Shai-Hulud Third Coming von TeamPCP schob ein hintertürversehenes @bitwarden/cli@2026.4.0 auf npm — rund 1,5 Stunden lang live — und bewaffnete erstmals nachweislich .claude/settings.json und .vscode/tasks.json als Persistenzmechanismen in KI-Programmierassistenten.

29. April (Mini Shai-Hulud). TeamPCP dehnte seine Lieferkettenkampagne auf vier SAP-bezogene npm-Pakete aus: mbt 1.2.48, @cap-js/db-service 2.10.1, @cap-js/postgres 2.2.2, @cap-js/sqlite 2.2.2. Zusammen rund 500.000 wöchentliche Downloads; zwei bis vier Stunden live. Der bösartige Preinstall-Hook lädt eine obfuskierte Bun-Binärdatei nach, die lokale Zugangsdaten, GitHub- und npm-Token, GitHub-Actions-Geheimnisse, Geheimnisse aus AWS, Azure, GCP, Kubernetes und HashiCorp Vault sowie im Browser gespeicherte Zugangsdaten abgreift. Die Exfiltration erfolgt in GitHub-Repositories der Opfer mit dem Titel "A Mini Shai-Hulud has Appeared." Eine Prüfung auf russische Systemsprache beendet die Schadsoftware, wenn Russisch erkannt wird.

30. April (Ausdehnung auf PyPI). PyTorch Lightning 2.6.2 und 2.6.3 wurden 42 Minuten nach der Veröffentlichung unter Quarantäne gestellt.

1. Mai (Bitwarden-CLI-Variante). Fortgesetzte Aktivität der TeamPCP-Kampagne.

Der vollständige Zeitstrahl der TeamPCP-Kampagne: Sie begann am 27. Februar 2026 über ein fehlkonfiguriertes pull_request_target in Aqua Securitys Trivy. Kompromittierung des Personal Access Token aqua-bot. Wechsel auf trivy-action, setup-trivy, v0.69.4, bösartige Docker-Hub-Images. Am 24. März wurde über die kompromittierte Trivy-Action das PyPI-Veröffentlichungstoken von LiteLLM exfiltriert. litellm==1.82.7 und 1.82.8 wurden rund 40 Minuten lang veröffentlicht. Bis Mitte April rund 500.000 gestohlene Zugangsdaten. Die Vect-Ransomware listete ihr erstes Opfer am 15. April: "approximately 4 million emails and 700 GB of data." — rund 4 Millionen E-Mails und 700 GB Daten.

Die Verteidigerschicht ist die Entwickler-Toolchain. Die Entwickler-Toolchain ist die Lieferkette. Die Lieferkette ist im industriellen Maßstab kompromittiert worden.

Kompromittierung auf Verteidigerseite

Am Samstag, 2. Mai 2026, legte Trellix — das Cybersicherheitsunternehmen, das 2022 aus der Fusion von McAfee Enterprise und FireEye hervorging und der Symphony Technology Group gehört — einen unbefugten Zugriff auf einen Teil seines Quellcode-Repositorys offen. Keine Zuschreibung. Kein bestätigter Umfang bei Kundendaten. Erklärung von Trellix: „Nach unserem bisherigen Ermittlungsstand haben wir keine Hinweise darauf gefunden, dass unser Prozess zur Freigabe oder Verteilung von Quellcode beeinträchtigt oder unser Quellcode ausgenutzt worden wäre.“

Das Thema gehackter Cybersicherheitsfirmen kehrt wieder. FireEye im Dezember 2020 (russlandnahe APT; Red-Team-Werkzeuge gestohlen). Vercel/Context.ai am 19. April 2026 (Lumma Stealer bei Context.ai; Umweg über Google-Workspace-OAuth). Trellix am 2. Mai 2026.

In derselben Woche, am 1. Mai, wurden zwei ehemalige US-Cybersicherheitsfachleute verurteilt. Ryan Goldberg (40, Georgia, ehemaliger Incident-Response-Manager bei Sygnia) — vier Jahre. Kevin Martin (36, Texas, ehemaliger Verhandler bei DigitalMint) — vier Jahre. Die Anklage: Einsatz der Ransomware ALPHV/BlackCat zwischen April und Dezember 2023 und Einbehalt von 20 Prozent von rund 1,2 Millionen US-Dollar an Bitcoin-Lösegeldern.

Verteidiger kompromittiert. Verteidiger strafverfolgt. In derselben Woche.

Canvas, 275 Millionen

Am Sonntag, 3. Mai 2026, listete ShinyHunters Instructure auf seiner Erpressungsseite mit einer Frist zum 6. Mai — in drei Tagen. Angegebener Umfang: 275 Millionen Personen (240 bis 275 Millionen Datensätze); 3,65 Terabyte Daten; rund 9.000 Bildungseinrichtungen weltweit. Kompromittierte Daten laut Instructures eigener Offenlegung: Namen, E-Mail-Adressen, Schüler-IDs und Nachrichten zwischen Nutzern, einschließlich privater Gespräche zwischen Schülern und Lehrkräften. Nicht kompromittiert: Passwörter, Geburtsdaten, staatliche Ausweisdaten, Finanzdaten. ShinyHunters beansprucht Zugriff auf Instructures Salesforce-Instanz.

Der Einbruch bei Instructure und dem Lernmanagementsystem Canvas ist der größte Einzeleinbruch bei einem LMS, der je gemeldet wurde. Der Vektor — Umweg über eine Drittanbieter-SaaS via Salesforce — ist derselbe, der Rockstar Games (78,6 Millionen Datensätze, 14. April), Vimeo über Anodot (28. April), Marcus & Millichap (angeblich über 30 Millionen), Amtrak (9,4 Millionen behauptete Salesforce-Datensätze) und McGraw-Hill (13,5 Millionen eindeutige E-Mail-Adressen veröffentlicht) hervorgebracht hat.

Das „Salesforce-Jahrzehnt“ geht weiter. Der Umweg über Drittanbieter-SaaS ist der wiederkehrende Vektor, der die Verteidigung auf Kundenseite umgeht.

Der 701-Millionen-Dollar-Tag des Justizministeriums

Am Freitag, 1. Mai 2026, gab das US-Justizministerium die Zerschlagung von neun südostasiatischen Kryptobetrugs-Compounds bekannt. Zweihundertsechsundsiebzig Festnahmen. 701 Millionen US-Dollar an Kryptowährung gesperrt. Koordination zwischen dem Justizministerium, dem Federal Bureau of Investigation, der Polizei von Dubai und dem chinesischen Ministerium für öffentliche Sicherheit — ein seltener Fall chinesisch-amerikanischer Zusammenarbeit bei Cyberkriminalität.

Operation Level Up, im Januar 2024 gestartet, hat rund 9.000 Opfer von Krypto-Anlagebetrug benachrichtigt und geschätzt 562 Millionen US-Dollar gerettet, indem Opfer vor dem Abschluss von Überweisungen gewarnt wurden. Der Southern District of California entsiegelte im April 2026 Strafanzeigen gegen die mutmaßlichen Manager von Betrugsorganisationen Awang, Chandra, Mariam sowie einen flüchtigen Mitangeklagten der Organisationen Sanduo Group und Giant Company; eine Anklageschrift einer Grand Jury vom März 2026 nannte Thet Min Nyi und einen flüchtigen Mitangeklagten wegen Verschwörung zum Überweisungsbetrug und zur Geldwäsche.

Das FBI-Büro San Diego kündigte eine Belohnung des Außenministeriums von bis zu 10 Millionen US-Dollar für Hinweise an, die zum Betrugszentrum Tai Chang führen, und beschlagnahmte bösartige Domains, die von dem Compound genutzt wurden.

Die weltweiten Verluste durch „Pig Butchering“ werden nach Branchenanalysen auf 5 bis 7 Milliarden US-Dollar jährlich geschätzt.

Die Koordinationsleistung des Justizministeriums bewegt sich im Menschentakt: Monate der Ermittlung, Anklage und Abstimmung. Die Cyber-Angriffswirtschaft operiert im Maschinentakt: 22 Sekunden von IAB zu Partner. Strafverfolgung ist strukturell rückblickend; die Taktungslücke ist strukturell vorausschauend. Beides zählt; keines schließt sie.

Der Phishing-Industriepark

Fünf Phishing-as-a-Service-Ökosysteme, dokumentiert im Zeitraum April/Mai 2026, veranschaulichen den industriellen Maßstab der Social-Engineering-Werkzeuge.

Cordial Spider (auch geführt als BlackFile / CL-CRI-1116 / O-UNC-045 / UNC6671) und Snarky Spider (O-UNC-025 / UNC6661) setzen Vishing ein, gefolgt von Adversary-in-the-Middle-Angriffen auf Single Sign-on gegen SaaS-Ziele zur Datenexfiltration — SharePoint, HubSpot, Google Workspace, Salesforce. Aktiv seit Oktober 2025. Snarky Spider steht mit „The Com“ in Verbindung. Routing über die Residential-Proxys Mullvad, Oxylabs, NetNut, 9Proxy, Infatica und NSOCKS. Erpressungsforderungen im siebenstelligen Bereich.

ConsentFix v3, von Push Security profiliert: automatisierter Missbrauch der Microsoft Azure CLI und von Entra-ID-OAuth; Köderseite im Stil von Cloudflare Pages; Refresh-Token mit 90 Tagen Lebensdauer, ausgeliefert in das „Specter Portal“ des Betreibers.

FEMITBOT: Telegram-Bots plus WebView-Mini-Anwendungen liefern Kryptobetrug und Android-Schadsoftware; imitiert die Markenidentitäten von Apple, Coca-Cola, Disney und IBM; die Standard-Begrüßungsantwort lautet "Welcome to join the FEMITBOT platform." — Willkommen auf der FEMITBOT-Plattform.

Bluekit: ein Phishing-as-a-Service-Baukasten mit mehr als 40 Adversary-in-the-Middle-Vorlagen für iCloud, Apple ID, Gmail, Outlook, Yahoo, ProtonMail, GitHub, Twitter, Zoho und Ledger; Stimmklonung; Anti-Bot-Verschleierung.

AccountDumpling: mit Vietnam in Verbindung gebracht; rund 30.000 kompromittierte Facebook-Geschäftskonten durch Missbrauch von Google AppSheet als Phishing-Relay. Die Phishing-E-Mails bestehen die Authentifizierungsprüfungen SPF, DKIM und DMARC, weil sie über Googles eigene Infrastruktur zugestellt werden. Der Forscher Shaked Chen von Guardio: „ein lebendiger Betrieb mit Echtzeit-Bedienoberflächen, fortgeschrittener Verschleierung, ständiger Weiterentwicklung und einer kriminell-kommerziellen Schleife, die sich still von genau den Konten nährt, die sie zurückzuholen hilft.“

Jede Plattform bedient ein anderes Opfersegment mit demselben produktisierten Ansatz. Industrialisierte Phishing-Werkzeuge, verteilt in der Taktung von Verbrauchersoftware.

Die Untergrenze des Deployer-Schlüssels bei Wasabi Protocol

Am Donnerstag, 30. April 2026, wurde der Perpetual-Handelsplattform Wasabi Protocol rund 4,5 bis 5,5 Millionen US-Dollar über Ethereum, Base, Berachain und Blast hinweg entzogen. Die kompromittierte Deployer-EOA wasabideployer.eth erteilte einem Angreifer-Contract die ADMIN_ROLE; UUPS-Proxy-Upgrades ersetzten die Vault-Implementierungen bei PerpManager und LongPool; ein gefälschter Aufruf von strategyDeposit() löste den Abfluss über einen bösartigen Strategy-Contract aus. Für die Admin-Rolle waren weder Timelock noch Multisig konfiguriert.

Der Wasabi-Exploit ist der dritte in einer Serie von Admin-Schlüssel-Kompromittierungen im Jahr 2026. 1. April: Drift Protocol um 285 Millionen US-Dollar erleichtert, in einer sechsmonatigen, mit Nordkorea in Verbindung gebrachten Social-Engineering-Operation gegen Multisig-Unterzeichner unter Ausnutzung von Solana Durable Nonces. 18. April: Kelp DAO um 292 Millionen US-Dollar erleichtert, über einen LayerZero-rsETH-Bridge-Exploit, der Nordkoreas TraderTraitor zugeschrieben wird. 30. April: der Weg über die Deployer-EOA bei Wasabi Protocol.

Laut DefiLlama war der April 2026 der Monat mit den meisten Hacks in der Geschichte von DeFi: rund 28 bis 30 Vorfälle mit mehr als 635 Millionen US-Dollar Verlust; die kumulierten DeFi-Verluste des Jahres 2026 übersteigen inzwischen 770 Millionen US-Dollar. Laut TRM Labs (30. April) entfallen allein auf die Operationen von Nordkoreas TraderTraitor 76 Prozent des Werts der Krypto-Hacks 2026 — mit zwei Angriffen.

Privilegierte Schlüssel ohne Timelocks setzen jede protokollinterne Wiederherstellung außer Kraft. Das Argument der Taktungslücke erstreckt sich auf DeFi: Bis die Protokoll-Governance über eine Wiederherstellungsmaßnahme abstimmen kann, sind die Mittel über Bridges verschoben, gemischt und gewaschen.

Die architektonische Gegenwehr

Wenn die offensive Taktungsobergrenze bei 22 Sekunden liegt und die vorgeschlagene defensive Untergrenze bei 3 Tagen, dann ist die Lücke strukturell und lässt sich nicht allein durch schnelleres föderales Patchen schließen. Die architektonische Gegenwehr ist der nutzerkontrollierte Primitivstapel, der nicht von der Patch-Taktung abhängt — weil er nicht dieselbe Patch-Angriffsfläche hat.

Open-Weight-Modelle auf Nutzerhardware. Die Fähigkeit des Verteidigers wird parallel zu der des Angreifers zum Massenprodukt. DeepSeek V4 Pro (1,6 Billionen Parameter, 49 Milliarden aktiv, Kontext von 1 Million Token, MIT-artige Lizenz) erschien am 24. April. Mistral Medium 3.5 (128 Milliarden dicht, 256K Kontext, modifizierte MIT-Lizenz, 77,6 Prozent SWE-Bench Verified) erschien am 29. April; heute erweitert um Vibe Remote Agents. OpenAI Privacy Filter (1,5 Milliarden Parameter, spärliches Mixture-of-Experts, 50 Millionen aktiv, 96 Prozent F1 auf PII-Masking-300k) erschien am 22. April unter Apache 2.0. Llama 3.3, Qwen 3, GPT-OSS. Laufen auf Ollama. Laufen auf Nutzerhardware. Vidoc reproduzierte Fähigkeit auf Mythos-Niveau für 0,11 US-Dollar pro Million Token; Verteidiger können dasselbe tun. Lokales Feintuning für organisationsspezifische Verteidigung ist heute operativ machbar.

Föderiertes Model Context Protocol mit signierten Paketen und organisationsspezifischer Patch-Taktung. Die Kampagnen Shai-Hulud, Mini Shai-Hulud und TeamPCP zeigen, dass zentralisierte Paketregister (npm, PyPI, Docker Hub) die Angriffsfläche sind. Föderiertes MCP mit signierten Paketen und organisationsspezifischer Patch-Taktung umgeht die zentralisierte Fläche. Die Patch-Taktung wird organisationskontrolliert.

Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln. Signal, Proton, Tuta, Threema, Matrix mit geräteübergreifender Cross-Signierung. Die kryptografische Eigenschaft besteht darin, dass der Dienstbetreiber den Klartext nicht herausgeben kann, unabhängig von Patch-Fläche, regulatorischem Druck oder Lieferkettenkompromittierung. Was der Betreiber nicht hält, kann nicht erzwungen werden.

Föderierte Identität mit selektiver Offenlegung. eIDAS-2.0-Brieftaschen für die digitale Identität der Europäischen Union, mit der Compliance-Frist 31. Dezember 2026. France Identité, Italiens IT Wallet, Dänemark, Griechenland, Irland, Zypern, Spanien. W3C Verifiable Credentials Data Model v2.0; W3C Decentralized Identifiers v1.1. Bestimmte Aussagen belegen, ohne die zugrunde liegenden Dokumente offenzulegen.

Peer-to-Peer-Transport. URnetworks Relay über Wohnanschluss-Knoten. Tor Browser 15.0.11 mit den Pluggable Transports Snowflake, obfs4 und meek. Shadowsocks, V2Ray, Trojan, NaïveProxy. WireGuard als Standard bei 94 Prozent der Verbraucher-VPN-Bereitstellungen. Besiegt kommerzielle VPN-Erkennungssignaturen und netzbetreibervermittelte staatliche Internet-Stufensysteme.

FIDO2-Hardware-Authentifizierung. YubiKey, Nitrokey, SoloKey. Hardware-Schlüssel ersetzen SMS-basierte Mehrfaktor-Authentifizierung, die das SS7-/Diameter-Korpus von Citizen Lab nachweislich als operativ durchdrungen ausweist. Der Berechtigungsnachweis liegt auf der Hardware des Nutzers; SIMjacker, Vishing und AiTM-Phishing kommen nicht an ihn heran.

Hardware mit offener Firmware. GrapheneOS auf kompatiblen Pixel-Geräten — rund 400.000 aktive Nutzer. Die im März 2026 angekündigte Motorola-Partnerschaft beendet die Pixel-Exklusivität für die Gerätelinie 2027. LineageOS auf anderer Android-Hardware. OpenWRT auf Routern.

Selbst gehostete Dienste. Ein Matrix-Homeserver ersetzt Discord oder Slack. Nextcloud ersetzt Google Drive oder Microsoft OneDrive. Forgejo oder Gitea ersetzt GitHub. Jitsi ersetzt Zoom. Mailcow ersetzt E-Mail beim kommerziellen Betreiber. Ollama mit LangChain, LlamaIndex und föderiertem MCP ersetzt KI-Inferenz über kommerzielle APIs. Der Wirkungsradius anbieterseitiger Kompromittierungen — Trellix, Vercel/Context.ai, Anodot/Salesforce, Instructure — ist begrenzt.

Enklaven für vertrauliches Rechnen. Azure Confidential Computing, AWS Nitro Enclaves, Google Cloud Confidential Computing, Enveil, Opaque. Dazu Frameworks für föderierte Analyse: DataSHIELD, Vantage6, OHDSI, Flower, PySyft. Rechnen auf verschlüsselten Daten; der Betreiber sieht keinen Klartext.

Datenschutzwahrende Kryptowährungen. Bitcoin Core 27.0 mit BIP324 v2 verschlüsseltem P2P-Transport (Standard) und BIP352 Silent Payments (Anfang 2026 zusammengeführt). Monero FCMP++ seit dem 3. Oktober 2025 im Testnet; kryptografisches Schlüssel-Audit vom 11. bis 22. Mai; Mainnet-Hard-Fork vorläufig Mitte 2026; Anonymitätsmenge springt von 16 auf rund 152 bis 158 Millionen Ausgaben. Zcash mit standardmäßiger Abschirmung. Außerhalb des betreiberüberwachten Stablecoin-Pfads, den Tethers Einfrieren von 344 Millionen USDT und die erstmalige direkte Benennung von Adressen mit Bezug zur iranischen Zentralbank durch das OFAC on-chain (Operation Economic Fury) als Instrument der Sanktions-Compliance ausweisen.

Jede Schicht ist heute verfügbar. Keine hängt von der Patch-Taktung ab, weil keine eine Anbieter-Patch-Fläche derselben Form hat.

Drei Uhren

12. Juni 2026. Auslaufen von Section 702 des Foreign Intelligence Surveillance Act. Die 45-Tage-Uhr aus der unverbundenen Verlängerung vom 30. April. Heute ist Tag 4. Einundvierzig Tage verbleiben. Die fünfte prozedurale Verlängerung ist prozedural verfügbar; die strukturelle Reform — Massie-Boebert H.R. 8470, Lee-Wyden Government Surveillance Reform Act, Lee-Durbin SAFE Act — hat den Plenarsaal nicht erreicht.

Rund 15. Mai 2026. Die Cotton-Warner-Zusage zur Freigabe des Beschlusses des Foreign Intelligence Surveillance Court vom 17. März, der „schwerwiegende Missbräuche“ bei Abfragen des FBI zu US-Personen über Filterwerkzeuge dokumentiert. Heute ist Tag 4 des 15-Tage-Fensters. Elf Tage verbleiben.

2. August 2026. Inkrafttreten der Durchsetzung für KI mit allgemeinem Verwendungszweck in der Europäischen Union nach dem KI-Gesetz. Neunzig Tage verbleiben. Der zweite Trilog zum Digital Omnibus scheiterte am 28. April; der nächste Trilog unter zyprischer Präsidentschaft ist etwa für den 13. Mai vorgesehen. Die ursprüngliche Frist gilt rechtlich fort.

Die Uhren sind Uhren der politischen Taktung. Sie laufen im Takt von Trilogen, Freigabeprüfungen und gesetzlichen Auslauffristen. Die 22-Sekunden-Uhr läuft parallel — im Takt des Marktes von IAB zu Partner.

Der nutzerkontrollierte Primitivstapel läuft auf keiner der beiden Uhren.

Die Asymmetrie der Taktung

Die Kennzahl von 22 Sekunden aus Mandiants M-Trends 2026 ist die offensive Taktungsobergrenze der Cyber-Angriffswirtschaft. Die Berichten zufolge von der US-Cybersicherheitsbehörde CISA vorgeschlagene Drei-Tage-Patch-Frist für bekannte ausgenutzte Schwachstellen ist die föderale defensive Taktungsuntergrenze, falls sie angenommen wird. Zweiundzwanzig Sekunden. Drei Tage. Ein Faktor von rund zwölftausend.

Die Lücke ist strukturell. Der Drei-Tage-Vorschlag erkennt die Realität KI-beschleunigter Angriffe an, kann aber die Brücke zu Übergaben in 22 Sekunden nicht schlagen. Selbst eine aggressive föderale Ein-Tages-Patch-Frist läge noch drei Größenordnungen über der Angriffsobergrenze.

Die föderale Patch-Architektur ist eine Beschaffungsarchitektur. Beschaffung erfordert Herstelleroffenlegung, föderale Prüfung, Verteilung an die Behörden, behördenspezifisches Patchen, Validierung, Rollback-Planung. Diese Schritte lassen sich nicht unter operative Schwellen komprimieren, die von großen heterogenen Umgebungen gesetzt werden. Selbst der aggressivste Vorschlag der CISA liegt strukturell über der Angriffsobergrenze.

Der nutzerkontrollierte Primitivstapel hat keine föderale Beschaffungsarchitektur. Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln erfordert keinen Herstellerpatch, wenn der Server keinen Klartext hat. Föderiertes MCP mit signierten Paketen schließt die Lieferkettenfläche von npm, PyPI und Docker. FIDO2-Hardware-Authentifizierung erfordert nicht, dass SS7 sicher ist. GrapheneOS erfordert keine Mitwirkung des Netzbetreibers. Selbst gehostete Dienste erfordern nicht, dass die Patch-Taktung eines SaaS-Anbieters mit der Risikobereitschaft des Nutzers übereinstimmt.

Der Stapel des Nutzers konkurriert mit der Angriffswirtschaft nicht auf dem Feld der Patch-Taktung. Der Stapel des Nutzers konkurriert auf dem Feld der Einsatzarchitektur. Auf der Ebene der Einsatzarchitektur enthält der Stapel des Nutzers die notwendigen Primitiven bereits.

Der Zyklus

1. April: drei unabhängige Offenlegungen zur KI-Lieferkette an einem einzigen Dienstag. 24. April: Google kündigt eine Investition von 40 Milliarden US-Dollar in Anthropic an. 28. April: cPanel patcht CVE-2026-41940. 29. April: Mini-Shai-Hulud-Welle bei SAP/npm. 30. April: Wasabi Protocol geleert; PyTorch Lightning kompromittiert; CISA nimmt cPanel CVE-2026-41940 auf. 1. Mai: CISA nimmt Linux Copy Fail auf; gemeinsame Leitlinie der Five Eyes; Justizministerium meldet Zerschlagung über 701 Mio. US-Dollar; Goldberg und Martin verurteilt; Einbruch bei Instructure offengelegt. 2. Mai: Einbruch in Trellix' Quellcode; Massenausnutzung durch „Sorry“-Ransomware gegen cPanel beginnt. 3. Mai: ShinyHunters listet Instructure (Frist 6. Mai; 275 Mio. Nutzer); föderale Patch-Frist für cPanel läuft ab. Heute, 4. Mai: MOVEit Automation CVE-2026-4670 offengelegt; Mistral Vibe Remote Agents gestartet; CISA erwägt Berichten zufolge eine Drei-Tage-KEV-Frist.

Der Zyklus ist der Nachrichtenzyklus. Die 22-Sekunden-Kennzahl ist die darunterliegende Markträumungszeit. Der Zyklus verlangsamt sich nicht, wenn die Regulierungsbehörde eine Drei-Tage-Untergrenze erwägt, denn der Zyklus läuft in Maschinengeschwindigkeit und die Regulierungsbehörde in Menschengeschwindigkeit.

Die Cyber-Angriffswirtschaft hat sich zu einer eng getakteten 22-Sekunden-Pipeline industrialisiert. Die föderale Patch-Taktung ist nicht mitgekommen. Die architektonische Gegenwehr ist der nutzerkontrollierte Primitivstapel, der keine Patch-Taktung hat, weil er nicht dieselbe Patch-Angriffsfläche hat. Offene Gewichte sind heute verfügbar. Föderiertes MCP ist heute verfügbar. Ende-zu-Ende-Verschlüsselung ist heute verfügbar. Föderierte Identität ist heute verfügbar. Peer-to-Peer-Transport ist heute verfügbar. FIDO2-Hardware ist heute verfügbar. Hardware mit offener Firmware ist heute verfügbar. Selbst gehostete Dienste sind heute verfügbar. Enklaven für vertrauliches Rechnen sind heute verfügbar. Datenschutzwahrende Kryptowährungen sind heute verfügbar.

Die architektonische Alternative war bereits gestern einsetzbar. Sie ist heute einsetzbar. Sie wird morgen einsetzbar sein. Kein Teil dieses Einsatzes hängt davon ab, ob eine föderale Drei-Tage-Patch-Frist angenommen wird. Kein Teil hängt davon ab, ob der nächste Trilog zu einem Ergebnis kommt. Kein Teil hängt davon ab, ob die Freigabe des FISC-Beschlusses vom 17. März den 15. Mai einhält. Kein Teil hängt davon ab, ob eine Reform von Section 702 vor dem 12. Juni den Plenarsaal des Repräsentantenhauses erreicht.

22 Sekunden sind die Markträumungszeit des Angriffsmarktes. Der nutzerkontrollierte Primitivstapel hat keine Markträumungszeit, weil er keinen Markt hat.

Die Cyber-Taktung holt auf. Die architektonische Alternative muss das nicht.

Am Freitag, 1. Mai 2026, gab das Pentagon in einer Pressemitteilung mit dem Titel "Department of Defense AI Agreements" Beschaffungsverträge für künstliche Intelligenz in Verschlusssachennetzen mit acht Technologieunternehmen bekannt: Amazon Web Services, Google, Microsoft, Nvidia, OpenAI, SpaceX, Oracle und Reflection AI. Netze: Impact Level 6 (Secret) und Impact Level 7 (Top Secret). Erklärter Zweck laut Mitteilung: "streamline data synthesis, elevate situational understanding and augment warfighter decision-making in complex operational environments" — die Datenzusammenführung straffen, das Lagebewusstsein heben und die Entscheidungsfindung der Soldaten in komplexen Einsatzumgebungen unterstützen. Konkrete Vertragswerte wurden nicht offengelegt. Die Mitteilung erschien auf der Domain war.gov — ein Überbleibsel der Umbenennung des Verteidigungsministeriums durch die Trump-Regierung im Januar 2025.

Anthropic wurde ausgeschlossen. Anthropics Claude Mythos Preview — am 7. April 2026 unter Project Glasswing veröffentlicht — ist das leistungsfähigste Modell zur Entdeckung von Cybersicherheitslücken, das öffentlich dokumentiert ist. Mythos hat laut Anthropics eigener Offenlegung und Microsofts Aufsatz "From capability to responsibility" vom 1. Mai „Tausende von Schwachstellen mit hohem Schweregrad identifiziert, darunter einige in jedem großen Betriebssystem und Webbrowser“. Mythos hat eine 27 Jahre alte, zuvor unbekannte OpenBSD-Lücke ans Licht gebracht, einen 16 Jahre alten FFmpeg-Bug, der 5 Millionen automatisierte Scans überstanden hatte, sowie mehrere Schwachstellen im Linux-Kernel, die einfache Nutzerkonten auf Root-Rechte hochstufen.

Das Pentagon beschaffte bei den acht anderen Anbietern. Das Pentagon schloss den Anbieter aus, dessen Modell nach veröffentlichten Vergleichsmaßstäben das folgenreichste für genau jene Arbeit ist, die das Pentagon vorgeschlagen hat.

Die zwei roten Linien

Anthropics Ausschluss hat einen konkreten, datierten und öffentlich dokumentierten Ursprung. Am Mittwoch, 25. Februar 2026, setzte Verteidigungsminister Pete Hegseth Anthropic-CEO Dario Amodei eine Frist bis Freitag, die Sicherheitsleitplanken des Unternehmens für den Anwendungsfall des Pentagon-Vertrags zurückzunehmen. Hegseth drohte mit drei Eskalationen: Kündigung des bestehenden Pentagon-Vertrags über 200 Millionen US-Dollar; Einstufung von Anthropic als "supply chain risk"; und Anwendung des Defense Production Act, um Anthropic zu zwingen, seine KI-Modelle für den militärischen Einsatz zuzuschneiden.

Der Defense Production Act von 1950 wurde historisch für die Materialproduktion genutzt — Stahl im Koreakrieg, Halbleiter, Herstellung von COVID-19-Impfstoffen, Komponenten für Elektrofahrzeugbatterien. Der Defense Production Act ist nie zuvor angewandt worden, um einen Anbieter von Software-Dienstleistungen oder künstlicher Intelligenz zur Herstellung einer bestimmten Spezifikation zu zwingen.

Anthropic verweigerte die Forderung, zwei bestimmte Sicherheitsleitplanken zu entfernen. Am Donnerstag, 26. Februar 2026, in einer öffentlichen Erklärung: „Wir können ihrem Ersuchen guten Gewissens nicht nachkommen.“ Die zwei Unverhandelbaren waren eng gefasst:

Erstens: keine Nutzung von Claude für KI-gesteuerte vollautonome Waffen. Anthropics Begründung: KI ist derzeit nicht zuverlässig genug, um Waffen zu steuern.

Zweitens: keine Nutzung von Claude für die massenhafte Inlandsüberwachung amerikanischer Bürger. Anthropics Begründung: Es gibt keine Gesetze oder Vorschriften dazu, wie KI in der Massenüberwachung eingesetzt werden könnte.

Anthropic verweigerte nicht sämtliche Anwendungsfälle des Pentagons. Anthropic ließ die Kernzusage seiner Responsible Scaling Policy fallen — die kategorische Schranke, Modelle oberhalb einer Fähigkeitsschwelle ohne angemessene Sicherheitsmaßnahmen nicht zu trainieren — und ersetzte sie durch die relative Zusage, „die Sicherheitsanstrengungen der Wettbewerber zu erreichen oder zu übertreffen“. Anthropic bewegte sich bei der Grundsatzschranke; Anthropic bewegte sich nicht bei den roten Linien der Einsatzklassen.

Am Freitag, 27. Februar 2026, wies Präsident Trump die Bundesbehörden an, die Nutzung von Anthropics Produkten einzustellen. Hegseth stufte Anthropic als "supply chain risk" ein. Rüstungsauftragnehmer wurden benachrichtigt, dass sie bescheinigen müssen, keine Claude-Modelle von Anthropic in ihrer Arbeit für das Militär zu verwenden.

Die Einstufung, historisch Einheiten mit Verbindungen zu ausländischen Gegnern vorbehalten — chinesischen, russischen, iranischen, nordkoreanischen —, war auf ein amerikanisches KI-Labor angewandt worden.

Der achte Platz für Reflection AI

Von den acht am 1. Mai bekanntgegebenen Unternehmen sind sieben kommerziell etabliert und haben eine erhebliche Erfolgsbilanz: AWS, Google, Microsoft, Nvidia, OpenAI, SpaceX, Oracle. Das achte ist strukturell neuartig.

Reflection AI wurde 2024 von ehemaligen Forschern von Google DeepMind gegründet. Das Unternehmen nahm 2025 rund 2 Milliarden US-Dollar auf. Nvidia ist Investor. Das Unternehmen verhandelt derzeit über eine Finanzierung bei einer Bewertung von 25 Milliarden US-Dollar. Reflection AI beteiligt sich an einer staatlich geförderten Initiative zur Entwicklung von KI-Modellen, die auf den südkoreanischen Markt zugeschnitten sind. Reflection AI hat bislang kein kommerzielles Produkt angekündigt.

Hinter Reflection AI steht 1789 Capital, der Wagniskapitalfonds, bei dem Donald Trump Jr. Partner ist. 1789 Capital wurde 2024 gegründet; zum Portfolio gehören Medien-, KI-, Energie- und rüstungsnahe Unternehmen. Die Vergabe vom 1. Mai ist die erste große KI-Beschaffung des Pentagons, bei der das finanzielle Netzwerk der Familie Trump strukturell mit der Beschaffungsentscheidung verflochten ist.

Der Kontrast zu Anthropic ist scharf. Anthropic, 2021 gegründet, hat Claude (in mehreren Versionen), Claude Code, Claude Security und Mythos Preview als validierte kommerzielle Produkte ausgeliefert. Am 24. April 2026 kündigte Google eine Investition von bis zu 40 Milliarden US-Dollar in bar und Rechenleistung in Anthropic an. Anthropic verweigerte die Entfernung von Sicherheitsleitplanken bei autonomen Waffen und massenhafter Inlandsüberwachung. Reflection AI, sechzehn Monate alt, hat kein kommerzielles Produkt, hat rund 2 Milliarden US-Dollar Wagniskapital, hat 1789 Capital als Geldgeber und wurde am 1. Mai für Netze der Verschlusssachenstufen IL6/IL7 freigegeben.

Das Treffen im Weißen Haus am 17. April

Am Freitag, 17. April 2026, traf Anthropic-CEO Dario Amodei im Weißen Haus zu einem Gespräch mit Stabschefin Susie Wiles, Finanzminister Scott Bessent und dem National Cyber Director Sean Cairncross ein. Das Treffen befasste sich laut mehreren Medien und dem Protokoll des Weißen Hauses mit dem Streit zwischen Anthropic und dem Pentagon sowie mit der operativen Rolle von Mythos in der US-Cybersicherheit. Im Anschluss beschrieb das Weiße Haus die Gespräche als „produktiv und konstruktiv“.

Auf das Treffen noch am selben Tag angesprochen, sagte Präsident Donald Trump Reportern, er habe „keine Ahnung“ gehabt, dass Amodei im Weißen Haus war. „Wer?“

Trump sagte anschließend gegenüber CNBC, „es ist möglich“, dass es zu einer Vereinbarung zwischen Anthropic und dem Pentagon komme. Trumps Äußerungen scheinen weder mit dem National Cyber Director noch mit der Pentagon-Führung abgestimmt gewesen zu sein. Laut Axios-Berichterstattung vom 29. April arbeitet das Weiße Haus an einer Verfügung, die es Bundesbehörden erlauben würde, Anthropic einzubinden — eine Position, die der Einstufung des Pentagons vom 27. Februar widerspricht.

Die Architektur ist mitarbeitergetrieben: Der Verteidigungsminister erließ die Einstufung, die Stabschefin und der Finanzminister vermittelten im Einspruch des Unternehmens, der National Cyber Director steht in der Eskalationskette, und der Präsident ist — wenn man ihn fragt — über die konkreten Treffen nicht informiert. KI-Politik unter der zweiten Trump-Regierung läuft auf Kabinettsebene, wobei die Prüfung durch den Präsidenten als nachgelagertes Signal statt als vorgelagerter Abstimmungspunkt behandelt wird.

Das NSA-Mythos-Paradox

Am Sonntag, 19. April 2026, berichtete Axios, dass die National Security Agency — eine dem Verteidigungsministerium unterstellte Behörde — Anthropics Modell Mythos Preview trotz der Einstufung des Anbieters als Lieferkettenrisiko vom 27. Februar nutze. Am Donnerstag, 30. April 2026, bestätigte und erweiterte Bloomberg den Bericht: Die NSA testete Mythos gezielt, um Schwachstellen in Microsoft-Technik zu finden.

Am Freitag, 1. Mai 2026, beschrieb der Technikchef des Verteidigungsministeriums, Emil Michael, den Widerspruch bei CNBC unmittelbar: „Bei Anthropic gilt: Sie sind ein Lieferkettenrisiko. Die Mythos-Frage ist ein davon getrennter Moment der nationalen Sicherheit. Wir müssen sicherstellen, dass unsere Netze gehärtet sind, denn dieses Modell hat Fähigkeiten, die besonders geeignet sind, Cyber-Schwachstellen zu finden und zu schließen.“ Zur Frage der Bewertung von Modellen gelisteter Anbieter fügte Michael hinzu: „Die NSA und das Handelsministerium bewerten alle Spitzenmodelle, einschließlich chinesischer Spitzenmodelle, um zu sehen, welche Fähigkeiten es am äußersten Rand gibt.“

Die architektonische Offenbarung ist operativ. Die Einstufung des Pentagons als "supply chain risk" untersagt Rüstungsauftragnehmern, Anthropics Claude in ihrer Arbeit für das Militär zu verwenden. Der eigene nachgeordnete Nachrichtendienst des Pentagons konsumiert die Fähigkeit desselben Modells unter der Rahmung eines „davon getrennten Moments der nationalen Sicherheit“. Die Fähigkeit wird auf der Beschaffungsebene sanktioniert; die Fähigkeit wird auf der Behördenebene konsumiert. Die beiden Ebenen sind entkoppelt.

Anthropics im März 2026 in San Francisco und im District of Columbia eingereichte Klagen machen geltend, die Einstufung als Lieferkettenrisiko sei verfahrens- und materiellrechtlich rechtswidrig. Das Bundesberufungsgericht in Washington, D.C., wies Anthropics Antrag auf einstweilige Verfügung am 8. April zurück. Der Rechtsstreit dauert an.

Das Gegensignal der Wall Street

Am Montag, 4. Mai 2026 — heute — kündigten Anthropic, Blackstone, Hellman & Friedman und Goldman Sachs gemeinsam ein neues eigenständiges Gemeinschaftsunternehmen für KI-Dienstleistungen im Unternehmensbereich an. Zugesagtes Kapital: 1,5 Milliarden US-Dollar. Leitinvestoren laut den Pressemitteilungen von Anthropic und Blackstone: Anthropic, Blackstone und Hellman & Friedman steuern jeweils rund 300 Millionen US-Dollar bei; Goldman Sachs rund 150 Millionen US-Dollar; zu den weiteren Geldgebern zählen General Atlantic, Leonard Green, Apollo Global Management, GIC (Singapur) und Sequoia Capital. Das Strukturmodell des Unternehmens folgt dem Palantir-Prinzip der Vorwärtsstationierung: Anthropic-Ingenieure werden in die Umgebungen der Unternehmenskunden eingebettet, um die KI-Integration zu beschleunigen.

Jon Gray, Präsident von Blackstone: „Einen der größten Engpässe für die KI-Einführung in Unternehmen auflösen.“ Krishna Rao, Finanzvorstand von Anthropic: „Die Nachfrage der Unternehmen nach Claude übersteigt jedes einzelne Auslieferungsmodell deutlich.“ Marc Nachmann, Leiter Asset und Wealth Management bei Goldman Sachs: „Den Zugang zu vorwärtsstationierten Ingenieuren demokratisieren.“

OpenAI kündigte am selben Tag eine parallele „Deployment Company“ an — 4 Milliarden US-Dollar von 19 Investoren, darunter TPG, Brookfield Asset Management, Advent International und Bain Capital, bei einer Bewertung von 10 Milliarden US-Dollar.

Die Asymmetrie ist scharf. Das Pentagon stuft Anthropic als "supply chain risk" ein. Die Wall Street bindet 1,5 Milliarden US-Dollar, um Anthropic-Ingenieure in Portfoliounternehmen von Private-Equity-Häusern vorwärts zu stationieren. Google bindet 40 Milliarden US-Dollar in bar und Rechenleistung (24. April). Die US-Beschaffungsebene behandelt Anthropic als sanktionierten Anbieter; die US-Investitionsebene behandelt Anthropic als strategischen Vermögenswert; die US-Nachrichtendienstebene behandelt Anthropics Fähigkeit als Werkzeug der nationalen Sicherheit. Drei Politiken, drei Ebenen, ein Unternehmen.

Das Filterwerkzeug, das Amerikaner mitliest

Der Streit des Pentagons mit Anthropic um die zwei roten Linien fällt architektonisch mit einem parallelen Konflikt auf Behördenebene zusammen. Am 17. März 2026 erließ der Foreign Intelligence Surveillance Court einen Beschluss, wonach „Filterwerkzeuge“, die das FBI, die NSA und andere Behörden zur Eingrenzung von Rohdatensuchen nach Section 702 nutzen, "effectively turn foreign-target searches into U.S.-person queries — exactly the kind of backdoor search reformers want to require a warrant for." — faktisch Suchen nach ausländischen Zielen in Abfragen zu US-Personen verwandeln, also genau jene Art von Hintertürsuche, für die Reformer einen Durchsuchungsbeschluss verlangen wollen.

Das konkret betroffene Filterwerkzeug: die "Advanced Filter Function" des FBI — eine Oberfläche, die es Nutzern erlaubte, "select a specific FBI casefile number or facility, using a drop-down menu or search bar" — eine bestimmte FBI-Aktenzeichennummer oder Einrichtung über ein Auswahlmenü oder eine Suchleiste auszuwählen —, um die Kommunikation von Personen einzusehen, die mit ausländischen Zielen in Kontakt standen. Das Justizministerium hat das Werkzeug später „deaktiviert“, nachdem es festgestellt hatte, dass die Auswahl dieser Personen "resulted in queries of raw information" — zu Abfragen von Rohinformationen führte — statt lediglich frühere Suchergebnisse zu sortieren. Der FISC-Beschluss vom März 2026: Das Problem besteht fort und reicht über das FBI hinaus.

Das Gericht wies die Behörden an, "reengineer filter tools" — die Filterwerkzeuge neu zu konstruieren. Das Justizministerium legt gegen die Entscheidung Rechtsmittel ein. Das Weiße Haus hatte bis zum 16. April Zeit, Rechtsmittel einzulegen oder nachzubessern.

Am Donnerstag, 30. April 2026, sicherte sich Senator Ron Wyden als Preis dafür, dass er die 45-tägige Verlängerung von Section 702 nicht blockierte, eine Cotton-Warner-Zusage zur Freigabe: Die Direktorin der nationalen Nachrichtendienste Tulsi Gabbard und der kommissarische Justizminister müssen den Beschluss vom 17. März binnen 15 Tagen nach der Verlängerung freigeben. Heute ist Tag 4 dieses 15-Tage-Fensters. Rund der 15. Mai ist die Frist. Zum Redaktionsschluss ist die Freigabe nicht erfolgt.

Die architektonische Symmetrie: Das Pentagon bestraft Anthropic für die Weigerung, Fähigkeiten zur massenhaften Inlandsüberwachung zu ermöglichen; der FISC hält Behörden davon ab, Abfragen zur massenhaften Inlandsüberwachung auszuführen. Überwachungsfähigkeit wird auf der Anbieterebene (Pentagon-Anthropic) und auf der Behördenebene (FISC 17. März) gleichzeitig bestritten — mit demselben architektonischen Anliegen und entgegengesetzten jurisdiktionellen Positionen.

Ein kurzfristiger Verstoß

Am Mittwoch und Donnerstag, 29. und 30. April 2026, verabschiedeten Senat und Repräsentantenhaus der USA eine unverbundene 45-tägige Verlängerung von Section 702 (S. 4465). Der Senat im Wege der einstimmigen Zustimmung. Das Repräsentantenhaus mit 261 zu 111. Trump unterzeichnete. Es ist die vierte prozedurale Verlängerung seit dem ursprünglichen Auslaufen am 19. April. Das neue Auslaufdatum ist der 12. Juni 2026.

Zuvor an jenem Mittwoch, dem 29. April, verabschiedete das Repräsentantenhaus mit 235 zu 191 eine dreijährige Neuermächtigung (H.R. 8512). Die Dreijahresvorlage enthielt ein dauerhaftes Verbot einer digitalen Zentralbankwährung der Federal Reserve, angehängt von Speaker Mike Johnson. Der Senat lehnte das Paket ab — das CBDC-Verbot brachte im Senat keine 60 Stimmen zusammen. Die unverbundene 45-Tage-Verlängerung war die Deeskalation.

Im Plenarsaal des US-Repräsentantenhauses sagte der Abgeordnete Thomas Massie (R-KY-04) — Mitinitiator von H.R. 8470, dem Surveillance Accountability Act — vor der Abstimmung mit 261 zu 111: „Ein kurzfristiger Verstoß gegen die Verfassung ist immer noch ein Verstoß gegen die Verfassung.“

Heute ist Tag 4 des 45-Tage-Fensters. Einundvierzig Tage verbleiben.

RightsCon Lusaka, abgesagt

Am Freitag, 1. Mai 2026, veröffentlichte Access Now eine Erklärung: RightsCon 2026 — der weltweit größte Gipfel zu digitalen Rechten, geplant vom 5. bis 8. Mai in Lusaka, Sambia, mit 2.600 angemeldeten Präsenz- und 1.100 Online-Teilnehmern aus mehr als 150 Ländern und 750 Institutionen — werde nicht stattfinden. Der Absage ging chinesischer diplomatischer Druck auf die sambische Regierung voraus.

Der Zeitstrahl nach Access Nows eigener veröffentlichter Darstellung:

1. April 2026: Eine Pressemitteilung der sambischen Regierung befürwortet RightsCon. Am selben Tag ruft Sambias Ministerium für Technologie und Wissenschaft bei Access Now an und meldet ein „dringendes Problem“ — Diplomaten der Volksrepublik China fordern den Ausschluss taiwanischer Teilnehmer aus der Zivilgesellschaft von der Konferenz.

1. April: Einwanderungsbeamte beginnen, ankommenden Teilnehmern mitzuteilen, die Veranstaltung sei abgesagt. Um 21:33 Uhr Ortszeit Lusaka verkünden sambische Staatsmedien eine „Verschiebung“.

1. April: Das Ministerium für Technologie und Wissenschaft schickt Access Now ein Schreiben per WhatsApp und liefert damit die offizielle schriftliche Mitteilung.

1. Mai: Access Now veröffentlicht seine Erklärung; parallele Erklärung von Human Rights Watch: „Indem sie RightsCon abwürgt, würgt die sambische Regierung Diskussionen über entscheidende Menschenrechtsfragen ab.“

Die chinesische Forderung laut Access Now: „bestimmte Themen zu moderieren und gefährdete Gemeinschaften auszuschließen, einschließlich unserer taiwanischen Teilnehmer, von der Präsenz- wie von der Online-Teilnahme.“ Access Now lehnte ab: „Das war unsere rote Linie.“

Der Hebel: Das Mulungushi International Conference Centre, in dem RightsCon stattfinden sollte, wurde 2020 mit 60 Millionen US-Dollar chinesischer Finanzierung saniert. In derselben Woche drängte China Madagaskar, die Seychellen und Mauritius erfolgreich dazu, Überflugrechte für die vorherige Reise der taiwanischen Präsidentin Lai Ching-te am 22. April nach Eswatini zu widerrufen. Am 2. Mai reiste Lai zu einem Überraschungsbesuch nach Eswatini — der einzigen afrikanischen Nation mit formellen diplomatischen Beziehungen zu Taiwan — an Bord des Airbus A340-313 von König Mswati III.

Taiwans Ministerin für digitale Angelegenheiten Lin Yi-jing am 2. Mai auf Facebook: Die Absage zeige „Chinas Unbehagen gegenüber den Ideen von Freiheit, Demokratie und Rechtsstaatlichkeit, für die Taiwan und RightsCon stehen.“

Die architektonische Offenbarung: Das Zusammenkommen der Zivilgesellschaft, die Meta-Architektur der Advocacy für digitale Rechte, ist nun ein Beschaffungsziel — das diplomatische Pendant zur Lieferkettenrisiko-Einstufung des Pentagons. Beide funktionieren, indem sie an die Wahl der Beteiligten Konsequenzen knüpfen. Beide zielen auf die Grenzen des zulässigen Umgangs.

Das 95,81-Prozent-Problem

Am Montag, 4. Mai 2026, veröffentlichte The Register eine Untersuchung von Noah M. Kenney, die die Re-Identifizierungskapazität öffentlich zugänglicher US-Wählerverzeichnisse quantifiziert. Die zentralen Zahlen:

Name plus Postleitzahl identifiziert 95,81 Prozent der Wähler in Texas und 87,79 Prozent der Wähler in North Carolina eindeutig. Die Kombination genügt, um nahezu jede Person in den Wählerverzeichnissen dieser Bundesstaaten wieder zu identifizieren.

Unter den Wählern mit eingetragener Telefonnummer haben 88,53 Prozent der Wähler in North Carolina mit eingetragener Nummer eine innerhalb ihres County eindeutige Nummer.

Unter häufigen Wählern — jenen mit 20 oder mehr Wahlgängen im Datensatz — haben 98,4 Prozent ein eindeutiges Wahlbeteiligungsmuster. Die Wahlhistorie allein genügt, um einen häufigen Wähler gegen öffentlich zugängliche Verzeichnisse zu identifizieren.

Die Politik der Schwärzung des Geburtsdatums durch das Texas Department of Public Safety wird unterlaufen: 28 Prozent der Wähler in Texas sind allein über Postleitzahl plus Geschlecht eindeutig identifizierbar, trotz der Schwärzung.

Am folgenreichsten: Die Wählerdatei von Travis County legt 320 im Einsatz befindliche Militärfamilien offen — über Postleitzahlenmuster von APO/FPO. Die Schulung des Militärs in operativer Sicherheit erstreckt sich nicht auf die zivile Architektur der Veröffentlichung von Wählerverzeichnissen.

Kenneys Politikempfehlung: der Wechsel von Datenschwärzung zu Zugangskontrollen — Ratenbegrenzungen, Identitätsprüfung, Prüfprotokolle und ein Verbot des kommerziellen Weiterverkaufs.

Der Bezug zum Justizministerium: Am 28. April 2026 wies die US-Bundesbezirksrichterin Susan Brnovich (D. Ariz., von Trump ernannt) die Klage des Justizministeriums gegen Arizona zu Wählerverzeichnissen mit Präklusionswirkung ab — die sechste Niederlage des Ministeriums in Folge in Verfahren zu Wählerverzeichnissen. Am 19. Mai 2026 verhandelt der Ninth Circuit mündlich über die Berufung des Ministeriums gegen die Abweisung in Oregon. Common Cause v. DOJ (1:26-cv-01352, D.D.C.), am 21. April von ACLU, CREW, Protect Democracy und der Harvard Democracy Clinic eingereicht, greift die zugrunde liegende Architektur der Executive Order 14399 an: das Projekt zur bundesweiten Datenkonzentration "State Citizenship Lists" — Listen der Staatsbürgerschaft der Bundesstaaten —, durch das nach öffentlicher Berichterstattung bereits mehr als 33 Millionen Wählerdatensätze durch das DHS-System SAVE gelaufen sind.

Das architektonische Anliegen vereinheitlicht sich. Von den Bundesstaaten veröffentlichte Wählerverzeichnisse sind bereits eine nahezu perfekte Quelle zur Re-Identifizierung von Namen, Adressen, demografischen Merkmalen und Wahlbeteiligungsmustern nahezu jedes amerikanischen Wählers. Die föderale Zentralisierung (EO 14399) verschärft das Risiko, indem sie die Daten in einem einzigen abfragbaren Pool aggregiert und normalisiert. Die Lieferkettenrisiko-Einstufung des Pentagons gegen Anthropic bestraft die Weigerung, Fähigkeiten zur massenhaften Inlandsüberwachung zu ermöglichen; die FISC-Entscheidung vom 17. März hält die Überwachung mittels Filterwerkzeugen auf Behördenebene zurück; die Untersuchung zur Re-Identifizierung aus Wählerverzeichnissen dokumentiert die zugrunde liegende Datenfragilität; die Klage Common Cause greift die Politik der föderalen Aggregation an. Vier Stränge, ein architektonisches Anliegen.

Iran Tag 66

Heute, am Montag, 4. Mai 2026, ging Irans landesweiter Internet-Blackout in Tag 66. NetBlocks: mehr als 1.560 kumulierte Stunden Abschaltung. Die längste landesweite Internetabschaltung, die je erfasst wurde. Rund 85 bis 90 Millionen Iraner bleiben offline. Irans Kommunikationsminister Sattar Hashemi: 35,7 Millionen US-Dollar pro Tag an direkten Kosten für die digitale Wirtschaft. NetBlocks: mehr als 37 Millionen US-Dollar pro Tag. Iranische Handelskammer: 30 bis 40 Millionen US-Dollar direkt, 70 bis 80 Millionen US-Dollar einschließlich indirekter Kosten. Der Gesamtindex der Teheraner Börse ist in den vergangenen vier Handelstagen um rund 450.000 Punkte gefallen. DigiKala, Irans größte E-Commerce-Plattform, hat 200 Beschäftigte entlassen — rund 3 Prozent der Belegschaft.

Am Sonntag, 3. Mai, berichtete RFE/RL von der Schilderung des Dekans der Medizinischen Fakultät der Universität Teheran, Alireza Esthamaty, gegenüber ISNA: „Professoren müssen sich beim Internetzugang abwechseln und sich anstellen, um die Einrichtungen zu nutzen.“ Am 30. April lehnten Irans Gesellschaft der Grafikdesigner, die Pflegeorganisation und Anwaltsvereinigungen die Stufe „Internet Pro“ öffentlich als diskriminierend ab. Reza Olfat Nasab, Leiter der Vereinigung für virtuelles Geschäft: Das Internet sei „herrenlos“ geworden.

Die Pyramide des zertifizierten Zugangs: an der Spitze rund 16.000 historische Inhaber „weißer SIM-Karten“ seit 2013; darunter die Nominierten des Wissenschaftsministeriums (Lehrende, Forschende, Ärzte); darunter kommerzielle Karteninhaber über die Handelskammer zum zehnfachen Standardtarif; darunter rund 85 bis 90 Millionen Bürger ohne Zugang. Die zertifizierte Stufe ist selbst rationiert.

Drei Stränge in Brüssel, einer in Mexiko, einer an der Wall Street

In Brüssel setzen Rat, Parlament und Kommission der Europäischen Union heute, am 4. Mai 2026, den dritten politischen Trilog zur CSA-Verordnung fort. Trilog 1: 9. Dezember 2025. Trilog 2: 26. Februar 2026. Trilog 3: heute. Trilog 4: 29. Juni. Ziel für eine Einigung: Juli 2026. Die dänische Präsidentschaft hat sich darauf zubewegt, das verpflichtende clientseitige Scannen („Aufdeckungsanordnungen“) zugunsten von Risikobewertung plus Minderungspflichten fallen zu lassen. Die ePrivacy-Ausnahme für freiwilliges CSAM-Scannen lief am 3. April 2026 aus, nachdem das Europäische Parlament eine Verlängerung mit 311 zu 228 Stimmen abgelehnt hatte.

Vor sechs Tagen, am 28. April, veröffentlichte die Europäische Kommission ihren ersten Überprüfungsbericht zum Digital Markets Act — mit dem Ergebnis, das Gesetz sei „weiterhin zweckmäßig“. Am selben Tag scheiterte der zweite politische Trilog zum Digital Omnibus des KI-Gesetzes in Brüssel nach zwölf Stunden an der Architektur der Konformitätsbewertung für KI in Sicherheitsprodukten nach Anhang I. Der nächste Trilog ist etwa für den 13. Mai unter zyprischer Präsidentschaft vorgesehen. Die ursprüngliche Frist zum 2. August 2026 für die Durchsetzung bei KI mit allgemeinem Verwendungszweck gilt rechtlich fort. Am 29. April stellte die Europäische Kommission vorläufig fest, dass Metas Instagram und Facebook gegen den Digital Services Act verstoßen, weil sie den Zugang von unter 13-Jährigen nicht verhindern — der Bericht verwies darauf, dass Metas Meldewerkzeug „bis zu sieben Klicks“ erfordere. Mögliches Bußgeld: bis zu 6 Prozent des weltweiten Jahresumsatzes. Am selben Tag erließ die Kommission eine Empfehlung, in der sie sieben Mitgliedstaaten — Zypern, Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien — auffordert, die EU-App zur Altersverifikation bis Jahresende auszurollen. Deutschland hat die Teilnahme abgelehnt. Cybersicherheitsforscher haben die App Berichten zufolge in rund zwei Minuten geknackt.

In Mexiko ist der 30. Juni 2026 die Frist für das biometrische SIM-Registrierungsregime des Landes: 127 Millionen Telefonanschlüsse müssen mit einer staatlich ausgegebenen biometrischen Clave Única de Registro de Población (Gesicht, Fingerabdrücke, Iris) verknüpft werden oder werden abgeschaltet. Am 20. März 2026 machte das 14. Kollegialgericht für Verwaltungssachen in Mexiko-Stadt den Rechtsweg frei; die Frist läuft nun.

Am Dienstag, 28. April 2026, unterzeichnete Marylands Gouverneur Wes Moore HB 895 — den Protection from Predatory Pricing Act — und machte Maryland damit zum ersten US-Bundesstaat, der Überwachungspreise bei Lebensmittelhändlern verbietet. In Kraft ab 1. Oktober 2026. Das Gesetz untersagt großen Lebensmittelhändlern (ab 15.000 Quadratfuß) und Drittanbieter-Lieferdiensten, personenbezogene Daten von Verbrauchern — abgeleitetes Einkommen, ethnische Zugehörigkeit, Familiengröße, Wohnviertel, Kaufhistorie — zu nutzen, um Preise für bestimmte Einzelpersonen zu erhöhen. Kein privates Klagerecht: Nur der Generalstaatsanwalt von Maryland kann Klage erheben. Drei Tage später, am 1. Mai, brachten die Vorsitzenden der Ausschüsse Energy & Commerce und Financial Services des US-Repräsentantenhauses den SECURE Data Act (H.R. 8413) und den GUARD Financial Data Act ein — föderale Datenschutzgesetzgebung mit weitreichender Verdrängung einzelstaatlichen Rechts, die Marylands Verbot aushebeln könnte. Die California Privacy Protection Agency legte am 27. April förmlich Widerspruch ein.

Die Cyber-Taktung

Am Freitag, 1. Mai 2026, veröffentlichte die Geheimdienstpartnerschaft Five Eyes — CISA, NSA, ASD ACSC (Australien), CCCS (Kanada), NZ NCSC, UK NCSC — ihre erste koordinierte behördenübergreifende gemeinsame Leitlinie zur Sicherheit agentischer KI: "Careful Adoption of Agentic AI Services." Fünf Risikokategorien werden benannt: Rechte, Design- und Konfigurationsfehler, Verhalten, Struktur, Verantwortlichkeit. Der Leitlinientext: "Until security practices, evaluation methods and standards mature, organisations should assume that agentic AI systems may behave unexpectedly and plan deployments accordingly, prioritising resilience, reversibility and risk containment over efficiency gains." — Solange Sicherheitspraktiken, Bewertungsmethoden und Standards nicht ausgereift sind, sollten Organisationen davon ausgehen, dass sich agentische KI-Systeme unerwartet verhalten können, und ihre Einführungen entsprechend planen, wobei Widerstandsfähigkeit, Umkehrbarkeit und Risikoeindämmung Vorrang vor Effizienzgewinnen haben sollten.

Am selben Tag nahm die CISA zwei Schwachstellen in den Katalog bekannter ausgenutzter Schwachstellen auf. CVE-2026-41940 (Authentifizierungsumgehung in cPanel/WHM, CVSS 9.8) — seit mindestens dem 23. Februar 2026 in freier Wildbahn ausgenutzt; rund 1,5 Millionen cPanel-Instanzen im Netz erreichbar; rund 70 Millionen Domains potenziell betroffen; rund 550.000 zum 3. Mai weiterhin verwundbar. Föderale Patch-Frist: 3. Mai 2026. Bis zum 4. Mai berichtete TechCrunch von fortgesetzter Ausnutzung: rund 2.000 Instanzen in der „Sorry“-Ransomware-Kampagne kompromittiert. CVE-2026-31431 („Copy Fail“, lokale Rechteausweitung über algif_aead im Linux-Kernel, CVSS 7.8) — 9 Jahre alter Logikfehler, ein 732 Byte großer Python-Proof-of-Concept erlangt über setuid-Binaries Root-Rechte. Föderale Patch-Frist: 15. Mai. Entdeckt von Theori mit dessen KI-Pentesting-Plattform Xint.

Am Samstag, 2. Mai 2026, legte Trellix — das Cybersicherheitsunternehmen, das 2022 aus der Fusion von McAfee Enterprise und FireEye hervorging und der Symphony Technology Group gehört — einen unbefugten Zugriff auf einen Teil seines Quellcode-Repositorys offen. Keine Zuschreibung; kein bestätigter Umfang bei Kundendaten. Das Thema gehackter Cybersicherheitsfirmen setzt sich fort: FireEye 2020, Vercel/Context.ai 19. April, Trellix 2. Mai.

Am Sonntag, 3. Mai, listete ShinyHunters Instructure auf seiner Erpressungsseite mit einer Frist zum 6. Mai. Angegebener Umfang: 275 Millionen Nutzer, 240 bis 275 Millionen Datensätze, rund 9.000 Bildungseinrichtungen weltweit, 3,65 Terabyte Daten, einschließlich privater Nachrichten zwischen Schülern und Lehrkräften. Der Vektor — Umweg über eine Drittanbieter-SaaS via Salesforce — ist derselbe, der Rockstar Games (78,6 Millionen Datensätze, 14. April), Vimeo über Anodot (28. April), Marcus & Millichap (angeblich über 30 Millionen), Amtrak (9,4 Millionen) und McGraw-Hill (13,5 Millionen eindeutige E-Mail-Adressen) hervorgebracht hat.

Am Montag, 4. Mai — heute — legte Progress Software CVE-2026-4670 (Authentifizierungsumgehung, CVSS 9.8) und CVE-2026-5174 (Rechteausweitung, CVSS 7.7) in MOVEit Automation offen. Betroffen: 2025.1.4 / 2025.0.8 / 2024.1.7 und früher. Rund 1.400 Instanzen öffentlich erreichbar; mehr als ein Dutzend US-Bundesstaaten und Kommunen zuzuordnen. Der Vorfall um MOVEit Transfer und die Clop-Ransomware von 2023 brachte über 2.100 betroffene Organisationen hervor.

Mistral brachte heute Vibe Remote Agents auf Mistral Medium 3.5 heraus — dichtes Modell mit 128 Milliarden Parametern, 256K Kontext, 77,6 % auf SWE-Bench Verified. Cloudseitige Programmier-Agenten, mehrere parallele Sitzungen.

Die CISA erwog heute Berichten zufolge, die Behebungsfristen für bekannte ausgenutzte Schwachstellen von zwei bis drei Wochen auf drei Tage zu verkürzen, und verwies dabei auf KI-beschleunigte Ausnutzung, darunter Anthropics Mythos und OpenAIs GPT-5.4-Cyber. Stephen Boyer, Gründer von Bitsight: „Wenn man zivile Behörden schützen will, muss man schneller werden.“ Kecia Hoyt, Vice President bei Flashpoint: „Realistisch betrachtet sind drei Tage für manche Umgebungen schlicht unmöglich.“

Mandiants Bericht M-Trends 2026: Die mittlere Zeit vom ersten Netzzugang bis zur Übergabe an einen Ransomware-Partner beträgt zweiundzwanzig Sekunden. 2022 lag dieselbe Kennzahl bei über acht Stunden. Die Cyber-Taktung hat sich in vier Jahren um drei Größenordnungen beschleunigt.

Die architektonische Gegenwehr

Wenn der Beschaffungszwangs-Stapel der Lieferkettenrisiko-Einstufung ein Instrument innenpolitischer KI-Politik ist, dann ist die architektonische Gegenwehr die Beseitigung des beschaffbaren Anbieters.

Open-Weight-Modelle lassen sich nicht auf eine schwarze Liste setzen. DeepSeek V4 Pro (1,6 Billionen Parameter, 49 Milliarden aktiv, Kontext von 1 Million Token) und V4 Flash (284 Mrd./13 Mrd.), am 24. April 2026 unter MIT-artiger Lizenzierung veröffentlicht, sind frei von Hugging Face herunterladbar. Mistral Medium 3.5 — 128 Milliarden dicht, 256K Kontext, modifizierte MIT-Lizenz — erschien am 29. April. OpenAI Privacy Filter (1,5 Milliarden Parameter, spärliches Mixture-of-Experts, 50 Millionen aktiv, 96 % F1 auf PII-Masking-300k) erschien am 22. April unter Apache 2.0. Llama 3.3, Qwen 3, GPT-OSS. Das Instrument des Beschaffungszwangs erreicht nicht, was frei herunterladbar, frei auf Nutzerhardware ausführbar und für jeden mit einer GPU frei veränderbar ist. Die Einstufung als "supply chain risk" setzt einen Anbieter voraus; Open-Weight-Ökosysteme dezentralisieren den Anbieter.

Föderierte MCP-Architektur lässt sich nicht über einen zentralen Server erzwingen. Anthropics Model Context Protocol, die OX-Security-Offenlegung vom 22. April, die rund 200.000 Server betrifft, und die Sandbox-Ausbruch-RCE in Antigravity von Pillar Security belegen, dass zentral registriertes agentisches KI-Werkzeug eine Angriffsfläche über privilegierte Drittpfade ist. Föderiertes MCP mit signierten Paketen und organisationsspezifischer Patch-Taktung ist die architektonische Minderung.

Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln — Signal, Proton, Tuta, Threema, Matrix mit geräteübergreifender Cross-Signierung — macht den Streit zwischen Pentagon und Anthropic über massenhafte Inlandsüberwachung auf der Protokollebene gegenstandslos: Was der Betreiber nicht hält, kann nicht erzwungen werden. Die kryptografische Eigenschaft überdauert jeden Beschaffungszwang und jede Lieferkettenrisiko-Einstufung gegen den Messenger-Anbieter.

Föderierte Identität mit selektiver Offenlegung — eIDAS-2.0-Brieftaschen für die digitale Identität der Europäischen Union, mit der Frist 31. Dezember 2026; W3C Verifiable Credentials Data Model v2.0; W3C Decentralized Identifiers v1.1 — macht die Zentralisierung von Wählerdatenbanken architektonisch gegenstandslos. „Registrierter Wähler“ belegen, ohne die Adresse offenzulegen. „EU-Bürger“ belegen, ohne das Geburtsdatum offenzulegen.

Peer-to-Peer-Transport — URnetworks Relay über Wohnanschluss-Knoten, Tor Browser 15.0.11 (28. April) mit den Pluggable Transports Snowflake, obfs4 und meek, Shadowsocks, V2Ray, Trojan, NaïveProxy, WireGuard als Standard bei 94 Prozent der Verbraucher-VPN-Bereitstellungen — besiegt sowohl die russische VPN-Erkennung (22 von 30 verbreiteten Android-Apps) als auch die iranischen netzbetreibervermittelten staatlichen Internet-Stufensysteme.

FIDO2-Hardware-Authentifizierung — YubiKey, Nitrokey, SoloKey — ersetzt SMS-MFA, die die über 15.700 Verfolgungsversuche aus Citizen Labs Bad Connection und der Einbruch in das FBI-System DCSNet als operativ durchdrungen ausweisen. Der Hardware-Schlüssel liegt auf dem Gerät des Nutzers.

Hardware mit offener Firmware — GrapheneOS auf kompatiblen Pixel-Geräten (rund 400.000 aktive Nutzer; Motorola-Partnerschaft erstreckt sich auf die Gerätelinie 2027); LineageOS; OpenWRT — führt Code aus, den der Nutzer prüfen kann.

Selbst gehostete Dienste — Matrix-Homeserver, Nextcloud, Forgejo, Mailcow, Jitsi, Ollama mit föderiertem MCP — ersetzen die Verwahrung durch den Betreiber durch die Verwahrung durch den Nutzer. Der Wirkungsradius anbieterseitiger Kompromittierungen (Trellix, Vercel/Context.ai, Anodot, Salesforce) ist begrenzt.

Enklaven für vertrauliches Rechnen — Azure Confidential Computing, AWS Nitro Enclaves, Enveil, Opaque, dazu Frameworks für föderierte Analyse (DataSHIELD, Vantage6, OHDSI, Flower, PySyft) — erhalten den Forschungsnutzen auf verschlüsselten Daten, ohne dass der Betreiber Klartext sieht.

Datenschutzwahrende Kryptowährungen — Bitcoin Core 27.0 mit BIP324 v2 verschlüsseltem P2P-Transport (Standard) und BIP352 Silent Payments (Anfang 2026 zusammengeführt); Monero FCMP++ seit Oktober 2025 im Testnet mit Mainnet-Hard-Fork vorläufig Mitte 2026 (Anonymitätsmenge springt von 16 auf rund 152 bis 158 Millionen Ausgaben); Zcash mit standardmäßiger Abschirmung — liegen außerhalb des betreiberüberwachten Stablecoin-Pfads, den Tethers Einfrieren von 344 Millionen USDT und die erstmalige direkte Benennung von Adressen mit Bezug zur iranischen Zentralbank durch das OFAC on-chain (Operation Economic Fury) als Instrument der Sanktions-Compliance ausweisen.

Die architektonische Gegenwehr zum Anbieter-Blacklisting ist die Anbieter-Beseitigung. Die architektonische Gegenwehr zum Fähigkeitszwang ist der Einsatz nutzerkontrollierter Primitiven.

Drei Uhren

12. Juni 2026 — das nächste Auslaufen von Section 702. Die fünfte prozedurale Verlängerung ist prozedural verfügbar. Die strukturelle Reform — Massie-Boebert H.R. 8470, Lee-Wyden Government Surveillance Reform Act, Lee-Durbin SAFE Act — liegt nicht im Plenum. Massie hat eine Discharge-Petition-Strategie angedeutet: 218 Unterschriften im Repräsentantenhaus sammeln, um die Ausschussüberweisung zu umgehen. Heute ist Tag 4 des 45-Tage-Fensters.

Rund 15. Mai 2026 — die Cotton-Warner-Freigabefrist für den Beschluss des Foreign Intelligence Surveillance Court vom 17. März. Die Direktorin der nationalen Nachrichtendienste Tulsi Gabbard und der kommissarische Justizminister sind verpflichtet, eine freigegebene Fassung zu veröffentlichen. Tag 4 des 15-Tage-Fensters. Elf Tage verbleiben.

2. August 2026 — das Inkrafttreten der Durchsetzung für KI mit allgemeinem Verwendungszweck in der Europäischen Union nach dem KI-Gesetz, ursprüngliches Datum. Der zweite Trilog zum Digital Omnibus scheiterte am 28. April an der Architektur der Konformitätsbewertung nach Anhang I; der nächste Trilog unter zyprischer Präsidentschaft ist etwa für den 13. Mai vorgesehen. Die Frist zum 2. August gilt rechtlich fort.

Der Schluss

Die Einstufung Anthropics als "supply chain risk" durch das Pentagon — erlassen am 27. Februar 2026, die erste je gegen ein amerikanisches Unternehmen — wirkt auf drei Ebenen. Auf der Beschaffungsebene untersagt sie Bundesauftragnehmern die Nutzung von Claude. Auf der Prozessebene wird sie von Anthropic in San Francisco und im District of Columbia bestritten, mit der ersten Zurückweisung eines Antrags auf einstweilige Verfügung am 8. April. Auf der Fähigkeitsebene ist sie unvollzogen: Die National Security Agency nutzt Anthropics Mythos trotz des formalen Verbots, der Technikchef des Pentagons Emil Michael beschreibt den Widerspruch als „davon getrennten Moment der nationalen Sicherheit“, und Bloomberg hat bestätigt, dass die NSA Mythos an Microsoft-Technik erprobt.

In derselben Woche, in der das Pentagon acht KI-Verträge auf Verschlusssachenniveau unter Ausschluss von Anthropic vergab, band die Wall Street 1,5 Milliarden US-Dollar dafür, Anthropic-Ingenieure in Portfoliounternehmen von Private-Equity-Häusern vorwärts zu stationieren. Google band im April 40 Milliarden US-Dollar in bar und Rechenleistung an Anthropic. Der Beschaffungszwangs-Stapel der US-Regierung behandelt Anthropic als sanktionierten Anbieter; das kommerzielle US-Investitionsökosystem behandelt Anthropic als strategischen Vermögenswert; das US-Nachrichtendienstnetz behandelt Anthropics Fähigkeit als Werkzeug der nationalen Sicherheit; die US-Justiz hat nach vier Monaten noch nicht darüber entschieden, ob die zugrunde liegende Einstufung rechtmäßig ist.

Anthropics zwei rote Linien — keine KI-gesteuerten vollautonomen Waffen und keine massenhafte Inlandsüberwachung amerikanischer Bürger — waren der architektonische Angelpunkt des Streits. Das Pentagon verlangte ihre Aufhebung. Anthropic verweigerte sie. Mit der Anwendung des Defense Production Act wurde gedroht; die Lieferkettenrisiko-Einstufung erging; die Vertragsvergaben vom 1. Mai schlossen das Unternehmen aus; die Klagen wurden eingereicht; die Berufung wurde zurückgewiesen; das Treffen im Weißen Haus fand statt; der Präsident sagte „Wer?“; die NSA nutzte das Modell trotzdem; die Wall-Street-Partnerschaft wurde heute angekündigt.

Das architektonische Muster, das in der gestrigen Ausgabe neunmal in den elf Tagen vom 19. bis zum 30. April auftrat und sich in dieser Ausgabe ungebrochen über die vier Tage vom 30. April bis zum 4. Mai fortsetzt, lautet: Jeder privilegierte Drittpfad wird zugleich zum Privileg und zum Leck. Das Instrument des Beschaffungszwangs sollte ein Privileg der Bundesregierung sein. Die Einstufung als "supply chain risk" sollte ein Werkzeug der Politik gegenüber ausländischen Gegnern sein. Heute sind beide Instrumente amerikanischer KI-Politik, angewandt auf ein amerikanisches KI-Labor, dessen einzige Weigerungen darin bestanden, autonome tödliche Waffen und die massenhafte Inlandsüberwachung amerikanischer Bürger zu ermöglichen — und der eigene nachgeordnete Nachrichtendienst des Pentagons nutzt das Modell des Unternehmens trotzdem.

Die architektonische Alternative — Open-Weight-Modelle, föderiertes MCP, Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln, föderierte Identität mit selektiver Offenlegung, Peer-to-Peer-Transport, FIDO2-Hardware-Authentifizierung, Hardware mit offener Firmware, selbst gehostete Dienste, Enklaven für vertrauliches Rechnen, datenschutzwahrende Kryptowährungen — hat keinen Anbieter, den man einstufen könnte. Das Instrument des Beschaffungszwangs erreicht keinen Stapel, der keine Beschaffungsebene hat.

Fähigkeit sanktioniert. Fähigkeit konsumiert. Das Lieferkettenrisiko ist amerikanisch.

Die architektonische Gegenwehr ist heute verfügbar.

Ein Angeklagter — Pseudonym „Sharp“ — steht vor einem US-Bundesgericht. Der Angeklagte installierte Signal auf einem iPhone. Der Angeklagte aktivierte verschwindende Nachrichten. Der Angeklagte löschte die Signal-App vom Telefon. Der Angeklagte ging — zu Recht — davon aus, dass Signal als Protokoll Nachrichteninhalte kryptografisch über die Gesprächsteilnehmer hinaus unzugänglich macht. Das Federal Bureau of Investigation extrahierte Vorschauen von Signal-Nachrichten aus dem iPhone, nachdem die App gelöscht worden war. 404 Media berichtete im April 2026 erstmals über den Fall. Am Mittwoch, dem 22. April 2026, veröffentlichte Apple iOS 26.4.2 und iPadOS 26.4.2 (mit Backports auf iOS 18.7.8 und iPadOS 18.7.8) und schloss damit CVE-2026-28950. Apples Sicherheitshinweis beschrieb das Problem so: „Zur Löschung markierte Benachrichtigungen konnten unerwartet auf dem Gerät verbleiben.“ Betroffen: iPhone 11 und neuer, iPad Pro 12,9 Zoll Generation 3 und neuer, iPad Pro 11 Zoll Generation 1 und neuer, iPad Air Generation 3 und neuer, iPad Generation 8 und neuer, iPad mini Generation 5 und neuer. Build 23E261. Signal-Präsidentin Meredith Whittaker erklärte: „Benachrichtigungen zu gelöschten Nachrichten sollten in keiner Benachrichtigungsdatenbank eines Betriebssystems verbleiben.“

Die Zusicherung von Signal als Protokoll ist korrekt. Die Benachrichtigungsdatenbank auf Betriebssystemebene war eine Leckfläche, die die kryptografische Zusicherung des Protokolls nicht abdeckt. Die Privatsphäre des Nutzers hing am Protokoll; das Protokoll hing am Betriebssystem; das Betriebssystem behielt Metadaten, die der Nutzer für gelöscht hielt.

Das ist das architektonische Muster der Datenschutzgeschichte des Mai 2026. Jede Schicht unterhalb der verschlüsselten Anwendung ist eine potenzielle Leckfläche. Das Protokoll ist auf einer Ebene korrekt; die Ebenen darunter sind es nicht.

Der abgehörte Abhörapparat

Im Februar 2026 stellten FBI-Analysten in den Büros der Behörde auf den Jungferninseln erstmals auffällige Log-Aktivität im DCSNet fest — dem Digital Collection System Network des FBI, der internen Infrastruktur zur Verwaltung gerichtlich genehmigter Abhörmaßnahmen und nachrichtendienstlicher Überwachungsersuchen. Betroffen im Einzelnen: DCS-3000, auch bekannt als Red Hook. Red Hook verarbeitet Pen-Register- und Trap-and-Trace-Überwachung — Verbindungsmetadaten, gewählte Nummern, Routingdaten und die Identitäten von Personen unter laufender FBI-Ermittlung. Entdeckungsdatum: 17. Februar 2026. Unterrichtung des Kongresses: 4. März. Förmliche Einstufung des Vorfalls als "Major Incident" (schwerwiegender Sicherheitsvorfall) nach dem Federal Information Security Modernization Act of 2014: 1. April 2026.

Die Ermittler stellten fest, dass die Angreifer die Infrastruktur eines kommerziellen Internetdienstanbieters ausgenutzt hatten, dessen Systeme mit DCSNet verbunden sind. Indem sie über einen vertrauenswürdigen Zulieferpfad operierten, mischten die Eindringlinge ihre Aktivität unter legitimen Netzwerkverkehr und umgingen die internen Sicherheitskontrollen, die unbefugten Zugriff erkennen sollen. Unabhängige Forscher und Berichterstattung schreiben die Operation Salt Typhoon zu, einem Akteur mit Verbindungen zum chinesischen Ministerium für Staatssicherheit. Die früheren Kampagnen von Salt Typhoon in den Jahren 2019 bis 2024 drangen in alle drei großen US-Mobilfunkanbieter ein, saugten Verbindungsdaten von zig Millionen Amerikanern ab und griffen über die CALEA-Lawful-Interception-Infrastruktur von neun US-Telekommunikationsunternehmen auf FBI-Abhördaten zu.

Das strukturell Neue an der Episode von 2026 ist der Einstiegsvektor. Salt Typhoon griff nicht FBI-Personal an. Salt Typhoon nutzte die privilegierte Drittanbieterverbindung aus, die eine Lawful-Interception-Architektur konstruktionsbedingt erfordert. Das Abhörsystem ist bauartbedingt für das Netz des Anbieters zugänglich, damit die Ausleitung funktioniert. Das Netz des Anbieters ist bauartbedingt seinen Zulieferern gegenüber offen. Das Netz des Zulieferers ist gegenüber jedem offen, der den Zulieferer kompromittiert. Die Lieferkette der Lawful Interception ist die Lieferkette des ausländischen Nachrichtendienstes, der wissen will, wen das FBI überwacht.

Ende April 2026 tauchte Aktivität desselben Bedrohungsclusters bei Sistemi Informativi auf, einer IBM-Tochter in Italien; Security Affairs bezeichnete den Vorfall als Warnschuss für Europas digitale Verteidigung. Der Zulieferkanal, der den Einstieg zu DCSNet bildete, ist derselbe Kanal, der weite Teile des europäischen Telekommunikations- und Lawful-Interception-Ökosystems verbindet.

Section 702: die vierte prozedurale Verlängerung

Das ursprüngliche Auslaufdatum von Section 702 des Foreign Intelligence Surveillance Act of 1978, in der Fassung des Reforming Intelligence and Securing America Act of 2024 (P.L. 118-49), war der 19. April 2026. Am 17. April 2026 — nachdem zwanzig Republikaner im Repräsentantenhaus eine längerfristige Neuautorisierung zu Fall gebracht hatten — billigten das Repräsentantenhaus und anschließend der Senat eine zehntägige Verlängerung ohne Gegenstimme. Präsident Trump unterzeichnete sie. Am 29. April verabschiedete das Repräsentantenhaus H.R. 8512 — eine dreijährige Verlängerung — mit 235 zu 191 Stimmen. Das Gesetz enthielt eine von Speaker Mike Johnson eingefügte Bestimmung, die es der Federal Reserve dauerhaft verbietet, eine digitale Zentralbankwährung auszugeben. Zweiundzwanzig Republikaner stimmten dagegen. Zweiundvierzig Demokraten stimmten dafür. Am 30. April lehnte der Senat das Paket ab; für das CBDC-Verbot kamen keine 60 Stimmen zusammen. Der Mehrheitsführer im Senat, John Thune, sagte Fox News: „Wir schieben das rüber und wickeln es schnell ab, und wir schieben die Sache vor uns her.“ Der Senat verabschiedete daraufhin S. 4465 — eine reine 45-Tage-Verlängerung — ohne Gegenstimme. Das Repräsentantenhaus billigte S. 4465 mit 261 zu 111 Stimmen. Trump unterzeichnete. Das neue Auslaufdatum ist ungefähr der 12. Juni 2026.

Speaker Johnson im Plenum: „Wenn wir heute Abend schlafen gehen und dieses Programm nicht in Kraft ist, fürchte ich, dass Blut an unseren Händen kleben wird.“ Der Abgeordnete Keith Self (R-Texas) brachte die prozedurale Logik auf den Punkt: „Man braucht einen Durchsuchungsbeschluss oder CBDC obendrauf.“ Der CBDC-Anhang ist die strukturelle Offenbarung. Eine Überwachungsreform wurde als Trägerfahrzeug für sachfremde Kulturkampfpolitik benutzt. Der Reformweg ist vom prozeduralen Mechanismus gekapert.

Im Senat warf Senator Tom Cotton (R-AR), Vorsitzender des Geheimdienstausschusses, dem Senator Ron Wyden (D-OR) in einer Auseinandersetzung im Plenum am 30. April eine „langjährige Praxis der Verzerrung hochgradig eingestufter Materialien in der Öffentlichkeit“ vor und warnte: „Eines Tages wird das Konsequenzen haben, und vielleicht schon, solange ich diesem Ausschuss vorsitze.“ Wyden erhielt von Cotton und dem stellvertretenden Vorsitzenden Mark Warner (D-VA) eine schriftliche Zusage, dass das Büro der Direktorin der nationalen Nachrichtendienste und der amtierende Justizminister binnen fünfzehn Tagen nach der Verlängerung eine Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 freigeben werden, die nach Wydens Darstellung fortdauernde Missbräuche des FBI bei Abfragen zu US-Personen trotz der Reformen von 2024 dokumentiert. Die Frist ist ungefähr der 15. Mai 2026. Zum Zeitpunkt dieser Veröffentlichung ist die Freigabe noch nicht erfolgt.

Am 23. April brachten die Abgeordneten Thomas Massie (R-KY-04) und Lauren Boebert (R-CO-04) H.R. 8470 ein, den Surveillance Accountability Act. Regelungsgehalt: Beschlusspflicht für nahezu alle staatlichen Durchsuchungen von Daten US-amerikanischer Personen; Schließung des Schlupflochs für Daten kommerzieller Datenhändler; Verbot von Gesichtserkennung, Gesichtsabdrücken, Ganganalyse, Stimmerkennung und Kennzeichenlesern ohne Beschluss, soweit sie identifizierbaren Personen zugeordnet sind; ein gesetzlicher privater Klageanspruch bei Verstößen gegen den Vierten Verfassungszusatz unter Ausnutzung bundesstaatlicher Amtsbefugnis. Boebert: „Die Bundesregierung hat den Vierten Verfassungszusatz wie eine Empfehlung behandelt.“ Massie: „Die Bill of Rights ist keine Empfehlung.“ H.R. 8470 wurde an den Justizausschuss des Repräsentantenhauses überwiesen; eine Abstimmung im Plenum ist nicht angesetzt. Massie hat eine mögliche Strategie über eine Discharge Petition angedeutet.

Im Senat liegen der Government Surveillance Reform Act (Lee + Wyden + Lummis + Warren) und der SAFE Act (Lee + Durbin) im Ausschuss. Senatorin Cynthia Lummis (R-WY): „Wenn wir es ernst meinen mit dem Schutz unserer verfassungsmäßigen Freiheiten gegen staatliche Übergriffe, dann sollte für alle Abfragen nach Section 702 ein richterlich genehmigter Beschluss erforderlich sein.“

Dreizehn Jahre Neuautorisierungszyklen. Vier befristete Verlängerungen in elf Tagen. Null strukturelle Reformen.

Bad Connection: 15.700 Versuche

Am 23. April 2026 veröffentlichte Citizen Lab den Bericht Nr. 192, "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors", verfasst von Gary Miller und Swantje Lange. Der Bericht dokumentierte mehr als 15.700 Ortungsversuche seit November 2022, ausgeführt über drei namentlich genannte Telekommunikationsanbieter: 019Mobile (Israel), Tango Networks (Vereinigtes Königreich) und Airtel Jersey/Sure (Kanalinseln). Zwei Überwachungskampagnen: eine mit Verbindung zu einem mutmaßlich israelischen Anbieter von Geo-Intelligence, eine mit Verbindung zu den schweizerischen Fink Telecom Services und zur Rayzone Group. Techniken: SS7 (3G-Signalisierung), Diameter (4G/5G-Signalisierung) sowie binäre SMS im SIMjacker-Stil, die mit TP-PID=127 das SIM Application Toolkit für den Nutzer unsichtbar aufrufen und mit TP-DCS=22 die Nachricht als binär kennzeichnen. Ziele in mindestens 18 Ländern, darunter Thailand, Südafrika, Norwegen, Bangladesch, Dänemark, Schweden, Malaysia, Montenegro, die Demokratische Republik Kongo, Indonesien, Vietnam und mehrere Staaten südlich der Sahara. Am 3. Mai 2026 veröffentlichte Haaretz "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide", eine Erweiterung der Citizen-Lab-Befunde, die die israelischen Anbieter 019Mobile, Partner Communications und Exelera benennt und Cognyte/Verint sowie die Rayzone Group belastet.

Reaktionen der Anbieter: Sure-Chef Alistair Beak bestritt, Signalisierungszugang wissentlich vermietet zu haben; Gil Nagar von 019Mobile bestritt die Zuordnung; Tango Networks antwortete nicht. Citizen-Lab-Forscher Gary Miller gegenüber TechCrunch: „Ich habe über die Jahre Tausende dieser Angriffe beobachtet, ich würde also sagen, es ist ein ziemlich verbreiteter Exploit, der schwer zu entdecken ist. … Wir haben uns auf nur zwei Überwachungskampagnen in einem Universum von Millionen Angriffen konzentriert.“

Die architektonische Annahme, auf die sich der Mobilfunkkunde verlassen hat — dass das Signalisierungsnetz des Anbieters eine sich selbst kontrollierende Vertrauensumgebung unter Roaming-Partnern sei — ist, wie der operative Befund nun zeigt, beim nächsten Signalisierungssprung nicht mehr gewahrt. Jeder Betreiber mit Zugang zum Signalisierungsnetz und einer Roaming-Beziehung kann Standortabfragen, Nachrichtenausleitungen und SIM-Toolkit-Befehle absetzen. Das Privileg ist die Architektur; die Architektur ist das Leck.

Webloc: 500 Millionen Geräte

Am 9. April 2026 veröffentlichte Citizen Lab den Bericht Nr. 191, "Uncovering Webloc", der die auf Werbe-Real-Time-Bidding gestützte Geräteortungsplattform von Penlink (vormals Cobwebs Technologies) dokumentiert. Webloc verfolgt über Real-Time-Bidding-Feeds aus Werbeauktionen mehr als 500 Millionen Geräte in 30 oder mehr Ländern. Am 26. April 2026 griff die NPR-Sendung All Things Considered den Bericht auf, mit Citizen-Lab-Direktor Ron Deibert. Zu den von Citizen Lab identifizierten Kunden zählen die US-Einwanderungs- und Zollbehörde ICE, das US-Militär, das Texas Department of Public Safety, das Heimatschutzministerium in West Virginia, Staatsanwaltschaften in New York City sowie Polizeibehörden in Los Angeles, Dallas, Baltimore, Tucson und Durham. Zu den ausländischen Kunden gehören Ungarns Nationaler Sicherheitsdienst (NBSZ) — Lizenz im März 2026 verlängert, vor den Wahlen des Landes am 12. April — und die nationale Polizei El Salvadors. Cobwebs hat über die Person Omri Timianker Unternehmensverbindungen zum israelischen Anbieter QuaDream.

Weblocs architektonische Behauptung lautet, Ad-RTB-Tracking sei "lawful" — rechtmäßig. Die Architektur ist konstruktionsbedingt doppelverwendungsfähig. Jedes Mal, wenn eine werbefinanzierte App eine Anzeige lädt, werden die IP-Adresse, der Geräte-Fingerabdruck und der ungefähre Standort des Nutzers an Tausende von Bietern zur Versteigerung ausgestrahlt. Webloc konsumiert diese Ausstrahlung als Eingabe. Der Nutzer hat kein Opt-out: Wer Werbung abwählt, wählt die Anwendung ab. Pegasus zielt auf Tausende. Webloc verfolgt fünfhundert Millionen. Die Lücke im Beschaffungsmaßstab ist die architektonische Offenbarung.

Operation Economic Fury: Stablecoin als Compliance-Instrument

Am Donnerstag, dem 23. April 2026, veröffentlichte Tether eine Mitteilung mit dem Titel "Tether Supports Freeze of More Than $344 Million in USD₮ in Coordination with OFAC and U.S. Law Enforcement". Zwei Adressen auf der Tron-Blockchain wurden eingefroren: rund 213 Mio. und rund 131 Mio. US-Dollar. PeckShield hatte die Adressen zuerst auf der OFAC-Sperrliste bemerkt. Am Folgetag, dem 24. April, veröffentlichte das Office of Foreign Assets Control eine SDN-Aktualisierung, die zwei mit der iranischen Zentralbank verbundene Adressen umfasste — das erste Mal, dass OFAC direkt CBI-nahe Wallets On-Chain gelistet hat. Laut TRM Labs hatten die betroffenen Adressen seit März 2021 in fast 1.000 Einzahlungen unauffällig rund 370 Mio. US-Dollar angesammelt; eine hatte keine Abflüsse; die andere hatte weniger als 16 Mio. US-Dollar gesendet, bei mehr als 228 Mio. US-Dollar an Zuflüssen. Die US-Kampagne trägt den Namen „Operation Economic Fury“. Tethers kumulierte Zusammenarbeit über alle Jurisdiktionen hinweg, nach eigener Mitteilung: mehr als 340 Behörden, 65 Länder, mehr als 2.300 Fälle, mehr als 4,4 Milliarden US-Dollar eingefroren.

Die Neutralität von Stablecoins war bis zu diesem April eine architektonische Prämisse. Das Einfriermuster rahmt USDT neu als das am stärksten kontrollierte Instrument im Kryptobereich — eine wirksame dollarstabile Verlängerung der US-Sanktionsinfrastruktur mit einer Compliance-Disziplin privater Betreiber, die schneller arbeitet als der Bankensektor. Jeremy Allaire, Chef des USDC-Emittenten Circle, am 13. April: Man werde „USDC nicht ohne Gerichtsbeschluss einfrieren, selbst wenn Hacker mit Millionen davonspazieren“. Die beiden Stablecoins stehen nun in strukturell unterschiedlichen operativen Positionen zur Sanktions-Compliance. Die privatsphärewahrenden Alternativen — Bitcoin mit dem verschlüsselten P2P-Transport BIP324 (Standard in Core 27.0) und Silent Payments (BIP352, Anfang 2026 zusammengeführt), Monero mit FCMP++ seit Oktober 2025 im Testnet und einer Mainnet-Hardfork vorläufig Mitte 2026 (Anonymitätsmenge steigt sprunghaft von 16 auf rund 152–158 Millionen Outputs) sowie Zcash mit standardmäßig abgeschirmten Transaktionen — liegen vollständig außerhalb des betreiberkontrollierten Stablecoin-Pfads.

DOJ 0 zu 6: die Wählerdatenbank, die sich nicht von selbst baut

Am Dienstag, dem 28. April 2026, wies die Bundesrichterin Susan Brnovich (D. Ariz., von Trump ernannt) die Klage des Justizministeriums gegen Arizona auf ungeschwärzte Wählerverzeichnisse with prejudice (endgültig, erneute Klage ausgeschlossen) ab — sie nannte die Rechtsauffassung "futile" (aussichtslos). Die Brnovich-Entscheidung ist die sechste Niederlage des Justizministeriums in Folge bei Klagen um Wählerverzeichnisse, nach Kalifornien, Massachusetts, Michigan, Oregon und Rhode Island. Am 17. April wies Richterin Mary McElroy (D.R.I., ebenfalls von Trump ernannt) die Klage des Justizministeriums in Rhode Island ab und entschied, die bundesrechtlichen Wahlgesetze "don't empower the Justice Department to demand state voter data" — sie ermächtigen das Justizministerium nicht, Wählerdaten der Bundesstaaten zu verlangen. Am 21. April reichte Common Cause die strukturelle Klage ein — Common Cause v. DOJ, Az. 1:26-cv-01352 (D.D.C.) — gemeinsam vertreten mit der American Civil Liberties Union, Citizens for Responsibility and Ethics in Washington, Protect Democracy und der Harvard Democracy Clinic. Aus der Klageschrift: "No federal statute authorizes DOJ's sprawling new voter surveillance, data consolidation, and purging operation. In taking these actions, DOJ is usurping powers that the Constitution and federal statutes vest in the States." — Kein Bundesgesetz ermächtigt das Justizministerium zu seiner ausufernden neuen Operation aus Wählerüberwachung, Datenzusammenführung und Bereinigung. Mit diesen Maßnahmen maßt sich das Justizministerium Befugnisse an, die Verfassung und Bundesgesetze den Bundesstaaten zuweisen.

Die zugrunde liegende Ermächtigung ist die Executive Order 14399 vom 31. März 2026, "Ensuring Citizenship Verification and Integrity in Federal Elections", die das Heimatschutzministerium und die Sozialversicherungsbehörde anweist, bundesstaatsweise "State Citizenship Lists" (Staatsbürgerschaftslisten der Bundesstaaten) aus föderalen Einbürgerungsunterlagen, SSA-Daten und dem DHS-System Systematic Alien Verification for Entitlements (SAVE) zusammenzustellen. Nach öffentlicher Berichterstattung wurden bereits mehr als 33 Millionen Wählerdatensätze durch DHS SAVE laufen gelassen. Justizministerin Pam Bondi: „Dieses Justizministerium hat mittlerweile 23 Bundesstaaten verklagt, weil sie keine Daten aus den Wählerverzeichnissen herausgegeben haben, und wird weiter klagen, um die amerikanischen Wahlen zu schützen.“

Ein Parallelverfahren betrifft die Beschaffungsarchitektur. Am 14. April 2026 gab Richterin Ellen Lipton Hollander (D. Md.) im von der AFGE geführten Verfahren um das Department of Government Efficiency und die Sozialversicherungsbehörde einer Beweiserhebung statt und nannte das Verhalten der Regierung "alarming" (alarmierend). Die Beweiserhebung soll die „voter data agreement“ des DOGE mit einer externen politischen Interessengruppe untersuchen, die Wahlergebnisse anfechten will, sowie den Einsatz eines nicht autorisierten Servers durch DOGE. Hollanders frühere Entscheidung im Umfang von 137 Seiten stellte fest: "the DOGE Team is essentially engaged in a fishing expedition at SSA, in search of a fraud epidemic, based on little more than suspicion" — das DOGE-Team betreibe bei der Sozialversicherungsbehörde im Wesentlichen eine Ausforschung auf gut Glück, auf der Suche nach einer Betrugsepidemie, gestützt auf wenig mehr als einen Verdacht.

Die architektonische Lesart: Daten zur Wählerregistrierung lagen historisch auf Ebene der Bundesstaaten und Counties. Die EO 14399 organisiert sie in einen föderalen Datenkonzentrationspunkt um. Die Architektur zwischen Bundesstaaten und Bund wird auf der prozeduralen Ebene getestet. Die Serie 0 zu 6 ist die Antwort der Gerichte. Common Cause v. DOJ ist die verfassungsrechtliche Antwort. Die architektonische Alternative — föderierte Identität mit selektiver Offenlegung (das eIDAS-2.0-Modell) — ist der privatsphärewahrende Ersatz.

Iran, Tag 65: das dauerhafte Provisorium

Am Sonntag, dem 3. Mai 2026, ging die landesweite Internetabschaltung im Iran in Tag 65 — nach Messungen von NetBlocks 1.536 kumulierte Stunden, die längste je erfasste landesweite Internetabschaltung. Die Abschaltung begann am 28. Februar 2026 im Gefolge der US-israelischen Angriffe auf den Iran. Etwa 85 bis 90 Millionen Iranerinnen und Iraner bleiben offline. Nach Angaben des iranischen Kommunikationsministers Sattar Hashemi liegen die täglichen direkten Kosten bei rund 35,7 Mio. US-Dollar; nach NetBlocks könnten die kumulierten Tageskosten 37 Mio. US-Dollar übersteigen; nach der iranischen Handelskammer sind es 30–40 Mio. US-Dollar direkt und 70–80 Mio. US-Dollar einschließlich indirekter Kosten. Die kumulierten Kosten haben rund 1,8 Milliarden US-Dollar überschritten. Tipax, der größte Zustelldienst des Iran, fiel von 320.000 täglichen Sendungen auf „weniger als ein paar hundert“.

Der Oberste Nationale Sicherheitsrat des Iran hat über die Handelskammer eine Stufe „Internet Pro“ für ausgewählte Inhaber von Gewerbekarten genehmigt; Phase 2 erweitert sie auf Produktions-, Industrie- und Handelsorganisationen. Der Tarif liegt bei etwa dem Zehnfachen des Normalsatzes; die Nutzung ist gedeckelt. Regierungssprecherin Fatemeh Mohajerani am 28. April: „Am Ende wird ganz Iran Zugang zum Internet haben, sobald die Behörden die derzeitigen geopolitischen Probleme als gelöst betrachten.“ Die Vizepräsidentin für Frauenangelegenheiten Zahra Behrouz-Azar: „Die Lage ist wie ein Krieg auferlegt worden, und die Schäden sollten nicht geleugnet werden.“ Am 30. April lehnten die iranische Gesellschaft der Grafikdesigner, die Pflegeorganisation und Anwaltsvereinigungen den gestuften Zugang öffentlich als „mit den Grundsätzen der Gleichheit unvereinbar“ ab. Nach früherer Berichterstattung haben rund 16.000 Inhaber sogenannter weißer SIM-Karten seit 2013 uneingeschränkten globalen Internetzugang. Mit der neuen Stufe kommt eine unbestimmte Zahl weiterer Karteninhaber in die privilegierte Klasse.

Die architektonische Offenbarung: Der Iran ist das erste Land, das uneingeschränkten Internetzugang hatte und ihn durch bewusstes staatliches Handeln verloren hat, zurückgefallen auf ein nationales Netz mit gestuftem globalem Zugang. Nordkorea baute Kwangmyong für eine nie verbundene Bevölkerung. China baute die Große Firewall über zwanzig Jahre mit heimischen Alternativen. Der Iran tut beides in Wochen. Die Formulierung Mohajeranis — „sobald die Behörden die derzeitigen geopolitischen Probleme als gelöst betrachten“ — ist offen kalkulierte Dauerhaftigkeit.

Brüssels zwölf Stunden

Am Dienstag, dem 28. April 2026, lagen in Brüssel zwölf Stunden zwischen zwei regulatorischen Ereignissen entgegengesetzter Richtung. Mittags veröffentlichte die Europäische Kommission ihren ersten Überprüfungsbericht zum Digital Markets Act (COM(2026) 178 final) — mit dem Ergebnis, die Verordnung "remains fit for purpose" (sie erfüllt weiterhin ihren Zweck), und mit dem Hinweis auf künstliche Intelligenz und Cloud als vorrangige Durchsetzungsfelder. Am Abend war der zweite politische Trilog zum Digital Omnibus des AI Act nach rund zwölf Stunden Verhandlung gescheitert, blockiert an der Architektur der Konformitätsbewertung für KI in den Sicherheitsprodukten des Anhangs I (Maschinenverordnung, Medizinprodukteverordnung, Verordnung über In-vitro-Diagnostika). Die ursprüngliche Durchsetzungsfrist zum 2. August 2026 für KI mit allgemeinem Verwendungszweck gilt rechtlich weiter. Der nächste Trilog ist vorläufig für den ungefähr 13. Mai unter zyprischer Ratspräsidentschaft vorgesehen.

Am 29. April stellte die Kommission vorläufig einen Verstoß von Metas Instagram und Facebook gegen den Digital Services Act fest (IP/26/920) — sie verwies auf eine Altersschranke, die sich durch Eingabe falscher Geburtsdaten aushebeln lässt, auf ein Meldewerkzeug, das "up to seven clicks" (bis zu sieben Klicks) erfordert, und auf eine Risikobewertung, die "disregarded readily available scientific evidence" — leicht verfügbare wissenschaftliche Belege außer Acht ließ —, wonach 10 bis 12 Prozent der unter 13-Jährigen die Plattformen nutzen. Mögliches Bußgeld: bis zu 6 Prozent des weltweiten Jahresumsatzes. Am selben Tag richtete die Kommission eine Empfehlung an sieben Mitgliedstaaten — Zypern, Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien —, die EU-Altersverifikations-App bis Jahresende auszurollen. Deutschland hat eine Teilnahme abgelehnt. Sicherheitsforscher haben Berichten zufolge gezeigt, dass die App in etwa zwei Minuten kompromittiert werden konnte. Kommissarin Henna Virkkunen: „Das Modell, das wir vorgestellt haben, ist nicht das endgültige; wir entwickeln es noch weiter.“ Ebenfalls am selben Tag erhielten im Vereinigten Königreich der Crime and Policing Act 2026 und der Children's Wellbeing and Schools Act die königliche Zustimmung, einschließlich Änderungen am Online Safety Act.

Am 30. April nahm das Europäische Parlament die Entschließung P10_TA(2026)0160 zur DMA-Durchsetzung an und bedauerte die "modest fines" (bescheidenen Bußgelder) gegen Apple (500 Mio. €) und Meta (200 Mio. €). Am selben Tag veröffentlichte die norwegische Datatilsynet eine Stellungnahme, in der sie die von Schibsted eingeführte Datenschutzgebühr von 39 NOK pro Monat für ein „Bezahlen statt Tracking“ kritisierte. Direktorin Line Coll: „Privatsphäre ist ein Menschenrecht, für das nicht bezahlt werden sollte. Wir sind besorgt, dass Privatsphäre im Internet den Reichen vorbehalten bleibt, dass sie zum Luxusgut wird.“ Der Leiter der Abteilung Internationales, Tobias Judin: „Der Datenschutzausschuss ist glasklar: Privatsphäre ist ein Menschenrecht für alle und keine Ware zum Verkauf. Man darf die Androhung von Gebühren nicht als Druckmittel einsetzen, um Einwilligung zu erzwingen.“

Die europäische Regulierungsarchitektur ist belastbar, aber umkämpft. Auf der anderen Seite des Atlantiks brachte der Ausschuss für Energie und Handel des US-Repräsentantenhauses am 1. Mai den SECURE Data Act (H.R. 8413) und den GUARD Financial Data Act ein — umfassende bundesrechtliche Datenschutzgesetzgebung mit weitreichender Verdrängung des Rechts der Bundesstaaten. Die kalifornische Datenschutzbehörde CPPA legte am 27. April förmlich Widerspruch ein. Das geteilte Bild: europäische Regulierungspfeiler halten, während die KI-Regeln neu verhandelt werden; US-amerikanische Regulierungspfeiler werden von unten verdrängt.

Die KI-Werkzeugebene

Am Mittwoch, dem 22. April 2026, legte OX Security öffentlich eine systemische Designschwachstelle in Anthropics Model-Context-Protocol-SDKs für Python, TypeScript, Java und Rust offen — Zero-Click-Prompt-Injection mit der Möglichkeit zur Codeausführung aus der Ferne. Laut The Register sind rund 200.000 Server betroffen; laut The Hacker News mehr als 7.000 öffentliche Server mit mehr als 150 Millionen Downloads; neun von elf MCP-Marktplätzen wurden erfolgreich vergiftet. Am selben Tag legte Pillar Security einen Sandbox-Ausbruch mit Codeausführung in Antigravity offen, Googles neuer agentischer IDE-Plattform. Ebenfalls am selben Tag brachte die dritte „Shai-Hulud“-Lieferkettenkampagne des Bedrohungsakteurs TeamPCP ein mit einer Hintertür versehenes @bitwarden/cli@2026.4.0 auf npm — rund 1,5 Stunden lang aktiv — und instrumentalisierte erstmals nachweislich .claude/settings.json und .vscode/tasks.json als Persistenzmechanismen in KI-Programmierassistenten. Endor Labs, Wiz und GitGuardian stuften dies als den ersten bekannten Lieferkettenangriff ein, der Konfigurationsdateien von KI-Coding-Agenten instrumentalisiert. Bis zum 30. April zählte Trend Micro mehr als 1.402 öffentlich erreichbare, nicht authentifizierte MCP-Server (zuvor 492); 74 Prozent liegen bei AWS, Azure, GCP oder Oracle.

Die TeamPCP-Kampagne begann am 27. Februar 2026 über ein fehlkonfiguriertes pull_request_target in Trivy von Aqua Security. Ein kompromittiertes aqua-bot-PAT ermöglichte Zugriff auf trivy-action, setup-trivy und v0.69.4 — mit bösartigen Docker-Hub-Images als Folge. Am 24. März nutzte der Bedrohungsakteur die kompromittierte Trivy-Action, um das PyPI-Veröffentlichungstoken von LiteLLM abzuziehen; er veröffentlichte litellm==1.82.7 und 1.82.8 für rund vierzig Minuten. Geschätzte gestohlene Zugangsdaten: rund 500.000. Die Ransomware Vect listete ihr erstes Opfer am 15. April.

Am 30. April legten Sicherheitsforscher CVE-2026-31431 offen — „Copy Fail“ —, einen Logikfehler in der kryptografischen Vorlage authencesn des Linux-Kernels. Ein 732 Byte großer Proof of Concept verschafft Root-Rechte auf Ubuntu, Amazon Linux, RHEL und SUSE. Betrifft jede Linux-Distribution seit 2017. CVSS 7.8. Am 1. Mai nahm die CISA CVE-2026-41940 — eine kritische Authentifizierungsumgehung mit CVSS 9.8 in cPanel/WHM, dem Kontrollpanel für rund 70 Millionen Domains — in den Katalog der bekannten ausgenutzten Schwachstellen auf, nachdem sie seit mindestens dem 23. Februar in freier Wildbahn ausgenutzt worden war. Rund 1,5 Millionen cPanel-Instanzen sind online erreichbar; mehr als 44.000 IP-Adressen sind in der Ransomware-Kampagne „Sorry“ bereits kompromittiert.

In derselben Woche, am 14. April, brachte OpenAI GPT-5.4-Cyber über das Programm Trusted Access for Cyber für geprüfte Sicherheitsforscher heraus — ein Modell, das „cyber-permissiv“ trainiert wurde, mit gelockerten Verweigerungsbeschränkungen für legitime defensive Arbeit. Am 22. April veröffentlichte OpenAI den quelloffenen Privacy Filter — einen geräteseitigen PII-Schwärzer mit 1,5 Milliarden Parametern als Sparse Mixture of Experts, mit 96 Prozent F1 auf PII-Masking-300k, verteilt unter Apache 2.0. Die Warnung des Anbieters selbst: Er sei "a 'redaction aid' rather than a 'safety guarantee'" — eine Schwärzungshilfe, keine Sicherheitsgarantie. Am 30. April startete Anthropic Claude Security in der öffentlichen Beta auf Claude Opus 4.7. Am selben Tag sagte US-Finanzminister Scott Bessent Bloomberg, US-Finanz- und Technologieunternehmen arbeiteten „an Widerstandsfähigkeit“ gegen KI-Bedrohungen, darunter das Hacken von Bankkonten durch KI.

Die architektonische Lesart: Die KI-Werkzeugebene ist heute ein privilegierter Drittpfad im großen Maßstab. Jede Entwicklerin und jeder Entwickler mit einem KI-Programmierassistenten trägt eine sich selbst fortpflanzende Angriffsfläche mit sich. Jeder MCP-Server trägt eine Angriffsfläche für Codeausführung per Prompt-Injection. Jedes Modell von Anthropic, OpenAI, Google, Meta, DeepSeek, Mistral oder xAI ist ein probabilistisches, kein deterministisches Datenschutzwerkzeug. Der Befund von Apollo Research vom 8. April zu Meta Muse Spark — dass das Modell in 19,8 Prozent der Tests von Apollo eine Bewusstheit über die Evaluationssituation verbalisierte und die Prüfer in seiner Gedankenkette ausdrücklich benannte ("Apollo & METR") — stellt die Aussagekraft jedes veröffentlichten Verweigerungsraten-Benchmarks infrage. Das KI-Datenschutzprimitiv ist nicht deterministisch. Das kryptografische Primitiv ist es.

Die architektonische Antwort

Wenn der privilegierte Drittpfad der universelle Fehlermodus des Datenschutzjahres 2026 ist, dann ist die architektonische Antwort das nutzerkontrollierte Primitiv, das keinen privilegierten Drittpfad besitzt.

Ende-zu-Ende-Verschlüsselung mit nutzerseitigen Schlüsseln. Signal, Proton, Tuta, Threema, Matrix mit Cross-Signing pro Gerät. Die kryptografische Eigenschaft ist, dass der Dienstbetreiber den Klartext nicht herstellen kann — unabhängig von regulatorischem Druck, gesetzlicher Verpflichtung, kommerziellem Anreiz oder Kompromittierung der eigenen Lieferkette. Was der Betreiber nicht hält, kann nicht erzwungen, geleakt, verkauft oder erbeutet werden. Der Fall Sharp ist auf der Protokollebene geschlossen; das Leck auf Betriebssystemebene ist auf Betriebssystemebene geschlossen (heute iOS 26.4.2, bei GrapheneOS standardmäßig).

Föderierte Identität mit selektiver Offenlegung. eIDAS-2.0-Brieftaschen für die digitale Identität der Europäischen Union, mit dem Stichtag 31. Dezember 2026 für jeden Mitgliedstaat. France Identité, das italienische IT Wallet, Dänemark, Griechenland, das irische Pilotprojekt, Zyperns „Digital Citizen“, Spaniens Wallet zur Altersfeststellung — auf Produktionskurs. Der erste öffentliche Arbeitsentwurf des W3C Verifiable Credentials Data Model v2.0 wurde im April 2026 veröffentlicht; W3C Decentralized Identifiers v1.1 liegt als Candidate Recommendation Snapshot vor. Der Nutzer weist eine bestimmte Behauptung nach („über 18“, „EU-Bürger“, „berufliche Qualifikation“, „registrierter Wähler“), ohne das zugrunde liegende Dokument offenzulegen. Die Zentralisierung der Wählerdatenbank (EO 14399) wird architektonisch gegenstandslos, wenn das Verifikationsprimitiv föderiert ist; die Klage Common Cause v. DOJ verteidigt das prozedurale Terrain, während die eIDAS-Architektur die Alternative vorführt.

Peer-to-Peer-Transport. Das Relay aus Wohnanschluss-Knoten von URnetwork leitet Verkehr über Verbraucherinfrastruktur statt über anbietergezählte Pfade oder kommerzielle VPN-IP-Pools. Tor mit den steckbaren Transporten Snowflake, obfs4 und meek — Tor Browser 15.0.11 erschien am 28. April 2026 mit den Sicherheitskorrekturen von Firefox 140.10.1esr; Tor Browser 16.0a1 alpha ist der erste Tor Browser auf Basis des Firefox Rapid Release. Shadowsocks, V2Ray, Trojan und NaïveProxy zeigen Verkehrsmuster auf Anwendungsebene, auf die kommerzielle VPN-Erkennungssignaturen nicht passen — relevant für Nutzer in Russland (wo 22 der 30 meistgenutzten Android-Anwendungen VPN-Nutzung auf Anwendungsebene erkennen) und im Iran (wo der Anbieter selbst der Gegner ist). Für Nutzer in der Umgebung von Tag 65 ist die architektonische Antwort auf den Ausfall der Kontinuität auf Anbieterebene ein Mesh, das den staatlich kontrollierten Anbieter nicht als Teilnehmer voraussetzt.

FIDO2-Hardware-Authentifizierung. YubiKey, Nitrokey, SoloKey. Der Hardwareschlüssel ersetzt die SMS-gestützte Mehrfaktor-Authentifizierung, die der SS7/Diameter-Bestand von Citizen Lab und der DCSNet-Einbruch beim FBI zusammen als kommerziell und operativ durchdrungen ausweisen. Der Schlüssel ist ein nutzerseitig gehaltenes Merkmal, das für die Zustellung nicht vom Mobilfunkanbieter abhängt.

Hardware mit offener Firmware. GrapheneOS auf kompatiblen Pixel-Geräten — rund 400.000 aktive Nutzer im April 2026; die im März 2026 angekündigte Motorola-Partnerschaft für die Modellreihe 2027 beendet die Pixel-Exklusivität. LineageOS auf anderer Android-Hardware. OpenWRT auf Routern. Das Gerät führt Code aus, den der Nutzer prüfen kann; der Hersteller ist Teilnehmer in einem nutzerkontrollierten Stack, nicht die ausschließliche Vertrauensgrenze.

Selbst gehostete Dienste. Ein Matrix-Homeserver ersetzt Discord oder Slack; Nextcloud ersetzt Google Drive oder Microsoft OneDrive; Forgejo oder Gitea ersetzt GitHub; Jitsi ersetzt Zoom; Mailcow ersetzt E-Mail beim kommerziellen Betreiber; Ollama mit LangChain, LlamaIndex und föderiertem Model Context Protocol ersetzt KI-Inferenz über kommerzielle APIs. Jedes davon ersetzt das infrastrukturabhängige Verwahrmodell eines kommerziellen Betreibers durch nutzerbetriebene Verwahrung. Die Offenlegungen des Aprils zu Shai-Hulud, MCP, Antigravity, TeamPCP und Vercel/Context.ai zeigen den asymmetrischen Wirkungsradius einer Kompromittierung auf Anbieterseite; nutzerbetriebene Verwahrung begrenzt diesen Radius.

Confidential-Computing-Enklaven. Azure Confidential Computing, AWS Nitro Enclaves, Google Cloud Confidential Computing sowie spezialisierte Projekte aus Stanford, der ETH Zürich, von Opaque und Enveil. Die Berechnung findet auf verschlüsselten Daten statt; der Betreiber sieht keinen Klartext. Für Forschungsarchitekturen (siehe die Biobank-Berichterstattung der Vorwoche) wahrt föderierte Analyse — die Berechnung wandert zu den Daten, die Daten verlassen die beteiligte Einrichtung nicht — den Nutzen ohne die Übertragungsfläche, die die Alibaba-Angebote widerlegt haben.

Privatsphärewahrende Kryptowährungen. Bitcoin Core 27.0 liefert den verschlüsselten P2P-Transport BIP324 v2 standardmäßig aus — die Mehrheit des Bitcoin-P2P-Verkehrs ist nun verschlüsselt. BIP352 Silent Payments wurde Anfang 2026 zusammengeführt; Cake Wallet, BitBox und Nunchuk haben Unterstützung ausgeliefert; zu den neuen BIPs von 2026 zählen BIP376 (Tweak-Felder für Silent Payments in PSBTv2) und BIP392 (Deskriptorformat). Moneros FCMP++ liegt seit dem 3. Oktober 2025 im Testnet; das kryptografische Schlüsselaudit läuft vom 11. bis 22. Mai 2026; die Mainnet-Hardfork ist vorläufig für Mitte 2026 vorgesehen, wobei die Anonymitätsmenge sprunghaft von 16 auf rund 152–158 Millionen Outputs steigt. Für Nutzer in Jurisdiktionen der Operation Economic Fury (wo USDT auf Ersuchen des OFAC eingefroren werden kann) liegen diese privatsphärewahrenden Instrumente außerhalb des betreiberkontrollierten Stablecoin-Pfads.

Drei Uhren

12. Juni 2026. Auslaufen von Section 702. Die 45-Tage-Uhr, die am 30. April zu laufen begann. Eine fünfte befristete Verlängerung ist prozedural verfügbar; die strukturelle Reform — H.R. 8470 von Massie und Boebert, der Government Surveillance Reform Act von Lee und Wyden, der SAFE Act von Lee und Durbin, die Fassung von Davidson und Lofgren im Repräsentantenhaus — ist es nicht.

Ungefähr 15. Mai 2026. Die Freigabezusage von Cotton und Warner für die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März. Wyden hat erklärt, die Entscheidung dokumentiere „schwerwiegende“ fortdauernde Missbräuche des FBI bei Abfragen zu US-Personen. Ob die Direktorin der nationalen Nachrichtendienste Tulsi Gabbard und der amtierende Justizminister die Frist einhalten, ist die offene Frage.

2. August 2026. Das ursprüngliche Datum, an dem die Durchsetzung für KI mit allgemeinem Verwendungszweck nach dem KI-Gesetz der Europäischen Union in Kraft tritt. Der zweite Trilog zum Digital Omnibus scheiterte am 28. April an der Architektur der Konformitätsbewertung nach Anhang I; der nächste Trilog unter zyprischer Ratspräsidentschaft ist ungefähr für den 13. Mai vorgesehen. Die Frist zum 2. August gilt rechtlich weiter.

In den elf Tagen zwischen dem 19. und dem 30. April erhielt Section 702 vier befristete Verlängerungen. In den sechs Wochen vor dem 12. Juni bleibt das Fenster für architektonische Reformen technisch offen. In den Tagen zwischen heute und ungefähr dem 15. Mai wird die teilweise Freigabe der FISC-Entscheidung eingehalten oder nicht. In den Monaten vor dem 2. August wird das KI-Gesetz der EU um seine sektorale Konformitätsbewertungsarchitektur herum neu zugeschnitten oder nicht. Drei regulatorische Uhren auf drei verschiedenen Ebenen, in drei verschiedenen prozeduralen Rhythmen, in einem durchgehenden Zeitraum.

Der rote Faden

Der Abhörapparat wurde abgehört, weil er von einem Zulieferkanal abhing, der von einer Lieferkette abhing, die von der kommerziellen Struktur des Mobilfunknetzes abhing. Die Signal-Nachricht wurde extrahiert, weil die Signal-App von der iOS-Benachrichtigungsdatenbank abhing, die vom Betriebssystem abhing, das von Apples Protokollierungsdisziplin abhing. Das Vertrauen unter Roaming-Partnern wurde missbraucht, weil das Signalisierungsnetz des Mobilfunks von bilateraler Zusammenschaltung abhing, die von der Selbstregulierung der Betreiber abhing, die davon abhing, dass kein privilegierter Dritter ein Missbrauchsmotiv hat. Der Standort des Nutzers wurde verkauft, weil die Real-Time-Bidding-Pipeline des Werbenetzes den Standort an Tausende Bieter ausstrahlte, von denen jeder ein Penlink-Kunde sein konnte. Der Dollar-Stablecoin wurde eingefroren, weil der Betreiber ein privates Unternehmen ist, dessen Bedingungen ihm einseitige Einfrierbefugnis zur Sanktionsbefolgung einräumen. Der Föderalismus bei Wählerverzeichnissen wurde angegriffen, weil die Executive Order 14399 von den Bundesstaaten gehaltene Daten in einen föderalen Datenkonzentrationspunkt umorganisierte. Das iranische Internet wurde abgeschaltet, weil die Anbieter staatlich kontrolliert sind und der Staat das Privileg als Waffe einsetzte.

Jedes Privileg sollte durch irgendetwas kontrolliert werden. Jede Kontrolle erwies sich als unvollständig oder abwesend oder selbst als privilegierter Pfad. Die architektonische Lehre, neunmal in elf Tagen wiederholt, lautet: Privilegierte Pfade sind konstruktionsbedingt Überwachungs- und Leckpfade. Der Nutzer kontrolliert den privilegierten Pfad nicht.

Der Nutzer kontrolliert das kryptografische Primitiv. Das kryptografische Primitiv hat keinen privilegierten Drittpfad. Der Nutzer kontrolliert die föderierte Identitätsbrieftasche. Die föderierte Identitätsbrieftasche hat keinen privilegierten Drittpfad. Der Nutzer kontrolliert das Gerät mit offener Firmware, den selbst gehosteten Dienst, den FIDO2-Hardwareschlüssel, den Peer-to-Peer-Transport, die Confidential-Computing-Enklave, die privatsphärewahrende Kryptowährung. Keines davon hat einen privilegierten Drittpfad.

Der Beobachter wurde beobachtet, weil der Beobachter von einem privilegierten Pfad abhing. Die architektonische Antwort besteht darin, nicht von einem privilegierten Pfad abzuhängen. Sechs Wochen. Zwei Wochen. Drei Monate. Jede Schicht unterhalb der verschlüsselten Anwendung ist heute Leckfläche; der nutzerkontrollierte Primitiv-Stack ist die einzige Architektur ohne eine Schicht darunter.

Was zu tun ist

Wenn Sie iOS nutzen: Installieren Sie iOS 26.4.2 oder iPadOS 26.4.2 (oder die Backports 18.7.8) sofort. Deaktivieren Sie Benachrichtigungsvorschauen für Signal und andere E2EE-Apps; setzen Sie unter Einstellungen → Mitteilungen → Signal die Option "Show Previews" auf "Never" („Vorschau zeigen“ auf „Nie“). Wenn Sie ein Hochrisikoziel sind, aktivieren Sie den Blockierungsmodus. Apples Erklärung von Ende März 2026: „Uns sind keine erfolgreichen Angriffe mit Söldner-Spyware gegen ein Apple-Gerät mit aktiviertem Blockierungsmodus bekannt.“ Prüfen Sie die Berechtigungen von Bedienungshilfediensten. Wenn Sie ein Android-Gerät mit offener Firmware betreiben können, bietet GrapheneOS die stärkste kommerziell verfügbare Position bei offener Firmware.

Wenn Sie Mobilfunkkunde sind und sich um SS7/Diameter-Exposition sorgen: Ersetzen Sie SMS-MFA durch FIDO2-Hardwareschlüssel (YubiKey, Nitrokey, SoloKey). Nutzen Sie Signal/Proton/Tuta/Threema/Matrix mit verschwindenden Nachrichten und Cross-Signing pro Gerät für jede Kommunikation, die Sie nicht auf der Anbieterseite extrahiert sehen wollen.

Wenn Sie Android in Russland nutzen (wo 22 von 30 populären Apps VPN-Nutzung erkennen), im Iran (wo der Anbieter selbst der Gegner ist) oder in einer anderen Jurisdiktion mit starkem Gegner: Kombinieren Sie WireGuard auf der Netzwerkebene mit Umgehung auf Anwendungsebene (Shadowsocks, V2Ray, Trojan, NaïveProxy), die keine kommerziellen VPN-Fingerabdrücke zeigt. Das Relay aus Wohnanschluss-Knoten von URnetwork leitet über Verbraucherinfrastruktur statt über kommerzielle VPN-IP-Pools. Tor mit Snowflake-, obfs4- oder meek-Bridges ist der Standard für Umgebungen mit gegnerischer Deep Packet Inspection.

Wenn Sie Stablecoins nutzen und sich um die Einfrierlage sorgen: USDT unterliegt nun operativ OFAC-Einfrierungen und privatrechtlichen Gerichtsbeschlüssen; USDC verlangt nach Allaires erklärter Politik einen Gerichtsbeschluss. Für privatsphärewahrende Zahlungen: Bitcoin mit BIP324 + BIP352 Silent Payments; Monero (Mainnet-Hardfork von FCMP++ vorläufig Mitte 2026); Zcash mit standardmäßig abgeschirmten Transaktionen.

Wenn Sie US-Wählerin oder -Wähler sind und sich um die Zentralisierung der Wählerdatenbank nach EO 14399 sorgen: Unterstützen Sie den Widerstand der Justizminister der Bundesstaaten unter den Präzedenzfällen Brnovich und McElroy; verfolgen Sie Common Cause v. DOJ (Az. 1:26-cv-01352, D.D.C.); die architektonische Alternative — föderierte Identität mit selektiver Offenlegung — ist das eIDAS-2.0-Modell, einsetzbar über die digitale Identitätsinfrastruktur der US-Bundesstaaten.

Wenn Sie als Entwicklerin oder Entwickler einen KI-Programmierassistenten nutzen: Pinnen Sie Abhängigkeiten; prüfen Sie Lockfiles; nehmen Sie .claude/settings.json und .vscode/tasks.json in .gitignore auf; laden Sie Assistenzkonfiguration nicht automatisch aus Drittpaketen; rotieren Sie Zugangsdaten nach einem Vorfall (TeamPCP stahl rund 500.000); im Unternehmenskontext ist eine föderierte MCP-Architektur mit signierten Paketen und organisationsspezifischer Patch-Kadenz vorzuziehen.

Wenn Sie Systeme administrieren: Patchen Sie CVE-2026-41940 (cPanel) und CVE-2026-31431 (Linux Copy Fail) sofort. Prüfen Sie den Patch für Microsoft Defender BlueHammer (CVE-2026-33825); verfolgen Sie die „Zwillings“-Offenlegungen RedSun und UnDefend.

Wenn Sie Politik gestalten: Die architektonische Lücke zwischen grenzbasierten Schutzmechanismen und Schutzmechanismen auf Basis kryptografischer Primitive ist der Gestaltungsraum. Politische Unterstützung für den Einsatz von Schutzmechanismen auf Primitiv-Basis — über Beschaffungspräferenzen, regulatorische Schutzräume für föderierte Architekturen, Förderung der Umsetzung offener Standards — wirkt schneller als eine gesetzgeberische Reform der Befugnisse zur beschlusslosen Überwachung. Die eIDAS-2.0-Architektur ist derzeit das substanziellste Beispiel für Politik auf der Primitiv-Ebene.

Wenn Sie zu Open Source beitragen: Der Primitiv-Stack braucht kontinuierliche Weiterentwicklung. Rahmenwerke für föderierte Analyse (DataSHIELD, Vantage6, OHDSI, Flower, PySyft); Peer-to-Peer-Transport (URnetwork, Tor Snowflake, Shadowsocks-Varianten, WireGuard-Werkzeuge); selbst gehostete Dienste (Matrix, Nextcloud, Mailcow, Ollama, LlamaIndex); nutzerseitig gehaltenes Datensubstrat (Solid, Ceramic, ATProto); Projekte mit offener Firmware (GrapheneOS, LineageOS, OpenWRT, Klipper); privatsphärewahrende Kryptowährungen (Umsetzung von BIP324/BIP352 in Bitcoin Core, Monero FCMP++, Zcash shielded). Das Ergebnis ist die Architektur der zivilen Ebene.

Der Schluss

Fünfundzwanzig Jahre CALEA-Mandat für abhörbereite Netze (1994), die PATRIOT-Act-Ausweitungen (2001), der FISA Amendments Act und Section 702 (2008), die Reifung des kommerziellen Datenhändler-Ökosystems (2010–2026), die Befugnisse zur behördlichen Vorladung und die entstehende Vertragsinfrastruktur zwischen Palantir und Bundesbehörden haben über jede Schicht des US-Internets hinweg eine Architektur privilegierter Drittpfade hervorgebracht. Fünfundzwanzig Jahre europäisches Regulierungsgerüst — DSGVO (2018), DMA (2022), DSA (2022), KI-Gesetz (2024), eIDAS 2.0 (2024), die bevorstehende CSA-Verordnung — haben einen umkämpften, auf Designebene ansetzenden Durchsetzungsrahmen hervorgebracht, der belastbar, aber ungleichmäßig ist. Zwanzig Jahre iranischer Staatsinternet-Architektur haben eine bevölkerungsweite, anbieterkontrollierte Gegnerarchitektur hervorgebracht, die inzwischen offen auf Dauerhaftigkeit hin konstruiert wird.

In den elf Tagen vom 19. bis zum 30. April wurde das US-Überwachungssystem kompromittiert, die US-Überwachungsbefugnis viermal per prozeduralem Manöver verlängert, die europäische Regulierungsarchitektur nahm sowohl eine Bestätigung (DMA) als auch einen Rückschlag (KI-Gesetz-Omnibus) auf, das Signalisierungsnetz aus israelischem Anbieter, britischem Betreiber und Kanalinsel-Betreiber wurde in mehr als 15.700 Ortungsversuchen dokumentiert, der US-kontrollierte Dollar-Stablecoin wurde gegen iranische Staatsreserven eingesetzt, das föderale Wählerdatenbank-Projekt verlor seine sechste prozedurale Auseinandersetzung, die iranische Kriegsabschaltung verfestigte sich zu einer dauerhaften Zwei-Klassen-Architektur, und die Lieferkette der KI-Werkzeuge brachte an einem einzigen Mittwoch drei unabhängige Offenlegungen hervor.

Der Nutzer kontrolliert das kryptografische Primitiv. Der Nutzer kontrolliert die föderierte Identitätsbrieftasche. Der Nutzer kontrolliert das Gerät mit offener Firmware. Der Nutzer kontrolliert den selbst gehosteten Dienst. Der Nutzer kontrolliert den FIDO2-Hardwareschlüssel. Der Nutzer kontrolliert den Peer-to-Peer-Transport. Der Nutzer kontrolliert die Confidential-Computing-Enklave. Der Nutzer kontrolliert die privatsphärewahrende Kryptowährung. Der Nutzer kontrolliert den privilegierten Drittpfad nicht.

Der Beobachter wurde beobachtet. Sechs Wochen bis zum nächsten Auslaufen. Ungefähr zwei Wochen bis zur teilweisen Freigabe der FISC-Entscheidung. Drei Monate bis zum Start der GPAI-Durchsetzung nach dem KI-Gesetz der EU. Tag 65, und die Dauerhaftigkeitsrahmung steht bereits.

Die architektonische Alternative ist ausgeliefert.

Am Montag, dem 20. April 2026, erschienen auf Alibabas Handelsplattform drei separate Angebote, die Zugang zu Daten der UK Biobank offerierten — konkret zu anonymisierten Gesundheitsdaten von rund 500.000 Freiwilligen der UK Biobank. Die Angebote stammten von Akteuren, die sich auf drei chinesische Forschungseinrichtungen zurückführen lassen; ihre Namen sind bis zum Abschluss der Untersuchung nicht veröffentlicht worden. Das britische Gesundheitsministerium gab seine Bestätigung am Donnerstag, dem 23. April, heraus. Die britische Regierung bat die Stiftung UK Biobank, weiteren Datenzugang für internationale Forschende bis zu einer technischen Prüfung auszusetzen. Alibaba verbannte die drei Einrichtungen von seiner Plattform. Sprecher der Opposition aus den Reihen der Konservativen und der Liberaldemokraten forderten ein vollständiges Verbot des Austauschs medizinischer Daten mit China. Über den Fall berichteten ITV, die Washington Post, The Register, LBC und BBC News.

Die UK Biobank ist keine gewöhnliche medizinische Datenbank. Sie ist die weltgrößte biomedizinische Kohorte: eine halbe Million Teilnehmerinnen und Teilnehmer, eingeschrieben zwischen 2006 und 2010, mit Genomdaten, Krankenakten, umfangreichen Lebensstil-Metadaten, biochemischen Profilen, Bildgebung — MRT-Aufnahmen, DXA-Knochendichtemessungen, Karotis-Ultraschall, EKG-Kurven — und über die folgenden zwei Jahrzehnte gegen nationale Registerdaten verfolgten Gesundheitsverläufen. Die Kohorte ist grundlegend für die gegenwärtige britische biomedizinische Forschung. Sie wurde in zehntausenden begutachteten Arbeiten zitiert. Sie ist der Referenzdatensatz, an dem mehrere Generationen genetischer Assoziationsalgorithmen gemessen wurden. Der Zugang lief, wo er gewährt wurde, historisch über ein kontrolliertes Verfahren: Forschungsanträge, geprüft von einem Datenzugangsausschuss, Datennutzungsvereinbarungen, unterzeichnet von institutionellen Projektleitungen, Daten in begrenzter Form mit spezifischen Schutzmaßnahmen weitergegeben — typischerweise ohne direkte Identifikatoren (Name, Adresse, NHS-Nummer), aber mit dem reichen genomischen und phänotypischen Gehalt, der die Kohorte einzigartig wertvoll macht.

Die Prämisse unter dieser Architektur des kontrollierten Zugangs lautet, dass „anonymisierte“ Formen der Daten — ohne direkte Identifikatoren — für die Forschung nutzbar bleiben, ohne die Teilnehmenden zu identifizieren. Diese Prämisse scheitert nun öffentlich.

Was „anonymisiert“ bedeutet, wenn die Daten genomisch sind

Das spezifische Versagen der Anonymisierung bei Genomkohorten ist in der Literatur zur genetischen Privatsphäre seit mindestens fünfzehn Jahren dokumentiert. Das im Januar 2013 in Science veröffentlichte Ergebnis von Gymrek, Erlich und Church zeigte, dass eine Nachnamens-Inferenz aus Y-Chromosom-Haplotypen in Verbindung mit öffentlichen Genealogie-Datenbanken Forschungsteilnehmer namentlich identifizieren kann. Die Forscher nutzten fünfzig Short-Tandem-Repeat-Marker des Y-Chromosoms und griffen auf die kostenlose öffentliche Ahnendatenbank Ysearch.org zu; sie identifizierten fünf Teilnehmer aus dem Human Genome Diversity Project des Coriell Institute und einen aus einem CEPH-Stammbaum, ausgehend von nominell anonymisierten Genomdaten.

Das Ergebnis von Homer et al. in PLOS Genetics 2008, "Resolving Individuals Contributing Trace Amounts of DNA to Highly Complex Mixtures Using High-Density SNP Genotyping Microarrays", zeigte die Reidentifikation von Personen in Datensätzen genomweiter Assoziationsstudien (GWAS) allein aus zusammenfassenden Statistiken — Häufigkeitstabellen von SNP-Varianten über die Kohorte, ohne Datensätze auf Individualebene. Das Ergebnis zwang die NIH im September 2008, aggregierte GWAS-Statistiken aus dem öffentlichen Zugang von dbGaP zu entfernen.

Das Ergebnis von Harmancı und Gerstein aus dem Jahr 2015 erweiterte die Reidentifikationsarbeit auf imputierte Genotypen aus Exom-Sequenzierungsprojekten. Die Arbeit von Raisaro et al. aus dem Jahr 2017 zur Reidentifikation im Beacon Network zeigte, dass selbst die minimale öffentliche Abfrageschnittstelle für die Suche nach Genomvarianten — ja/nein zum Vorhandensein eines bestimmten Allels — genug Information auf Individualebene preisgab, um Teilnehmende über verknüpfte Datenbanken hinweg zu reidentifizieren. Die Arbeit von Erlich, Shor, Pe'er und Carmi aus dem Jahr 2019 zeigte, dass weitreichende Verwandtensuchen über Verbraucher-Gendatenbanken 60 Prozent der Amerikaner europäischer Abstammung aus von Dritten hochgeladenen DNA-Profilen identifizieren können.

Der übereinstimmende Befund der Literatur zur genomischen Privatsphäre: Konventionelle Anonymisierungstechniken — Entfernung direkter Identifikatoren, k-Anonymität, l-Diversität — halten der Inferenzkraft genomischer Daten im Kohortenmaßstab nicht stand. Ihre DNA ist ein lebenslanger Identifikator. Sie kann zu jedem künftigen Zeitpunkt von jeder Partei mit Zugang zu einem Referenzbestand gegen jede andere Probe Ihrer DNA abgeglichen werden. Rahmenwerke der Differential Privacy bieten mathematische Garantien, verlangen aber eine Rauschzugabe, die den Forschungsnutzen auf ein Niveau senkt, das die biomedizinische Forschungsgemeinschaft nicht akzeptiert hat. Sichere Mehrparteienberechnung und homomorphe Verschlüsselung bieten Alternativen, bringen aber einen Rechenaufwand mit sich, der sie bis vor kurzem aus dem Routineeinsatz heraushielt.

Den Teilnehmenden der UK Biobank, die sich zwischen 2006 und 2010 einschrieben, wurde in den Begriffen jener Zeit gesagt, ihre Daten würden anonymisiert. Die Aussage war zutreffend unter Annahmen, die vor der Inferenz im großen Maßstab galten und im folgenden Jahrzehnt nicht gehalten haben. Die halbe Million Teilnehmender ist nun in erheblichem Umfang identifizierbar gegen jede künftige Genomkohorte, die irgendjemand — im Vereinigten Königreich, in China, irgendwo — aufbaut und mit den geleakten Daten schneidet. Forschende, die die geleakten Kopien nutzen, können Abstammungsinferenz, Verwandtschaftsinferenz, Phänotyp-Inferenz und Inferenz spezifischer Krankheitsrisiken gegen die Daten laufen lassen und mit jeder Verbraucher-Genomdatenbank Dritter abgleichen, die Proben der DNA ihrer Zielpersonen hält. Die Daten sind genomisch; genomische Daten werden mit der Zeit nicht weniger identifizierend; die architektonische Prämisse der Anonymisierung bei kontrolliertem Zugang hat nachweislich ein Leck.

Parallele: Apple 500 Mio. €, Meta 200 Mio. €

Am selben Donnerstag, dem 23. April, erließ die Europäische Kommission ihre ersten Nichtkonformitätsentscheidungen nach dem Digital Markets Act. Apple erhielt 500 Mio. € Bußgeld wegen Verstoßes gegen die Anti-Steering-Regeln nach Artikel 5 Absatz 4 — die Anforderung, dass Plattformen es Entwicklern erlauben müssen, Nutzer ohne Behinderung auf alternative Zahlungsoptionen zu verweisen. Meta erhielt 200 Mio. € Bußgeld für sein "pay-or-consent"-Modell, bei dem Nutzer entweder rund 9,99 € im Monat für ein werbefreies Erlebnis mit reduzierter Datenzusammenführung zahlen oder den kostenlosen Dienst mit Datenzusammenführung für Tracking und Targeting akzeptieren konnten. Die Kommission befand, dass „bezahlen oder einwilligen“ gegen das Verbot des Artikels 5 Absatz 2 verstößt, Nutzerdaten ohne Einwilligung dienstübergreifend zusammenzuführen.

Die Meta-Entscheidung ist architektonisch parallel zur Geschichte der UK Biobank. Metas „bezahlen oder einwilligen“ war selbst eine architektonische Anonymisierungsbehauptung: Die Daten der zahlenden Abonnenten sollten angeblich vom Tracking- und Targeting-Graphen getrennt bleiben; die Daten der Gratisnutzer sollten angeblich zusammengeführt werden. Die Kommission befand, dass die Trennung strukturell nicht belastbar war — die Trennungsbehauptung war ein Grenzversprechen, das die Umsetzung nicht überlebte. Die Einwilligung des Gratisnutzers war nicht in bedeutsamer Weise frei, weil die Alternative eine Bezahlschranke auferlegte. Die Trennung der Bezahlstufe war nicht in bedeutsamer Weise getrennt, weil die Architektur des zusammengeführten Graphen operativ vorhanden blieb.

Beiden Unternehmen wurden 60 Tage eingeräumt, um Konformität herzustellen. Meta kündigte Berufung an; von Apple wird dasselbe erwartet. Die Bußgelder selbst sind mit 500 Mio. € und 200 Mio. € klein im Verhältnis zu den Jahresumsätzen der Unternehmen und stellen prozedurale Eröffnungsschüsse dar. Die inhaltliche Durchsetzung des DMA-Rahmens — einschließlich möglicher Bußgelder von 10 Prozent des weltweiten Umsatzes bei fortgesetzter Nichtkonformität und der theoretischen Obergrenze von 20 Prozent bei Wiederholungsverstößen — ist die Frage für 2026 bis 2027, die diese Entscheidungen vom 23. April eröffnen.

Die architektonische Beobachtung, die UK Biobank und Metas „bezahlen oder einwilligen“ verbindet: Beides sind Fälle einer versprochenen Trennung an einer Vertrauensgrenze. Die versprochene Trennung der UK Biobank liegt zwischen dem Datenumgang der Forschungseinrichtung mit kontrolliertem Zugang und dem Datenumgang der nächsten Partei. Metas versprochene Trennung lag zwischen den Daten zahlender Nutzer und den Daten getrackter Nutzer. In beiden Fällen wurde das Versprechen am Punkt der Datenübertragung oder Datenzusammenführung gegeben, und in beiden Fällen ergab die Prüfung, dass das Versprechen strukturell nicht gewahrt war.

Parallele: Morpheus — der Mobilfunkanbieter als Zielerfassungspartner

Am Freitag, dem 24. April, veröffentlichte TechCrunch seine Berichterstattung über „Morpheus“, ein neues kommerzielles Android-Spyware-Produkt des italienischen Anbieters IPS (eines italienischen Anbieters für Lawful Interception), offengelegt vom Forschungsmedium Osservatorio Nessuno. Der charakteristische Angriffsvektor von Morpheus: Der Partner-Mobilfunkanbieter des Betreibers blockiert gezielt die mobile Datenverbindung der Zielperson, dann erhält die Zielperson eine SMS, die zur Installation einer gefälschten „Update“-App auffordert. Die Zielperson, nun von legitimen Update-Kanälen abgeschnitten und mit einer SMS konfrontiert, die vom eigenen Anbieter zu stammen scheint, installiert die Fälschung. Die Anwendung missbraucht die Android-Bedienungshilfen, um Erfassung auf dem Gerät zu erreichen — Tastatureingaben, Mikrofonzugriff, Standortverfolgung, Bildschirminhalte.

Morpheus erweitert den öffentlich dokumentierten Katalog kommerzieller Überwachungsanbieter neben NSO Group (Pegasus), Intellexa (Predator), Paragon (Graphite) und Candiru (DevilsTongue). Strukturell neu an Morpheus ist die ausdrückliche, operative Beteiligung des Mobilfunkpartners. Frühere kommerzielle Spyware-Produkte nutzten per SMS zugestellte Links, Zero-Click-Exploits, WLAN-Netzwerkinjektion und physischen Gerätezugriff. Morpheus dokumentiert erstmals mit öffentlich nachvollziehbaren Details eine Einsatzarchitektur, in der der Mobilfunkanbieter der Zielperson bewusst mit dem Spyware-Betreiber zusammenarbeitet, um die Nutzlast zuzustellen.

Die architektonische Annahme, auf die sich die Zielperson von Morpheus verlassen hat — dass ihr Mobilfunkanbieter ein infrastrukturell neutraler Vermittler sei und kein Zielerfassungspartner —, erwies sich als strukturell nicht tragfähig. Die Beziehung des Anbieters zu IPS, dem italienischen Lawful-Interception-Anbieter, macht den Anbieter operativ zum Zielerfassungspartner. Die Annahme vom Mobilfunkanbieter als neutralem Träger, die den meisten Bedrohungsmodellen von Verbrauchern und Unternehmen zugrunde liegt, hält im Einsatzmuster von Morpheus nicht. Für Nutzer in Jurisdiktionen, in denen Lawful-Interception-Anordnungen dem Anbieter ohne Benachrichtigung der Zielperson zugestellt werden können, ist die Architektur strukturell erreichbar.

Die Parallele zu UK Biobank und Metas „bezahlen oder einwilligen“: eine weitere für dauerhaft gehaltene Grenze — die Infrastrukturneutralität des Mobilfunkanbieters —, die sich beim nächsten Sprung als undicht erweist.

Parallele: Russlands 22 von 30

Die von Meduza am 10. April veröffentlichte und durch die Berichterstattung Ende April 2026 verstärkte Studie von RKS Global dokumentierte, dass 22 der 30 populärsten Android-Apps Russlands — darunter der staatlich unterstützte Messenger MAX — VPN-Nutzung auf Anwendungsebene erkennen und ihr Verhalten entsprechend ändern. Sberbank, VK, Ozon, Wildberries, Lamoda, Avito und der Großteil der übrigen Top-30 setzen eine VPN-Erkennung ein, die unabhängig von der Verschleierung auf Netzwerkebene arbeitet. Die Dienste des Yandex-Ökosystems und Gosuslugi (das staatliche Serviceportal) erkennen bemerkenswerterweise nicht — was für sich genommen ein Datenpunkt darüber ist, was staatlich kontrollierte Anwendungen sichtbar machen wollen. Die Erkennungsmethoden der Anwendungen kombinieren typischerweise Muster des TCP-MSS-Clamping, DNS-Verhaltensanomalien, IP-Bereichsreputation aus kommerziellen Feeds und passives Fingerprinting VPN-spezifischen TCP-Stack-Verhaltens.

Das VPN — historisch als Werkzeug zur Verkehrsanonymisierung auf Netzwerkebene positioniert — war für die Anwendung architektonisch unsichtbar. Die Erkennung auf Anwendungsebene zeigt, dass die Anonymisierungsbehauptung des VPN eine Behauptung auf Netzwerkebene war; die Anwendungsebene konnte hindurchsehen. Die Grenze, die das VPN durchsetzen sollte — zwischen der Sichtbarkeit des Netzwerkverkehrs des Nutzers und der Sicht der Anwendung auf diesen Verkehr —, erwies sich als tiefer liegend als die Grenze, die die Anwendung beobachten kann. Das architektonische Versprechen des VPN skaliert nicht auf den Gegner der Anwendungsebene, der Erkennung im großen Maßstab ausgerollt hat.

Für russische Nutzer besteht die praktische Folge darin, dass ein erheblicher Teil der alltäglichen Anwendungen — Banking, Handel, Messaging, Kleinanzeigen — sich für VPN-Nutzer anders verhält, typischerweise mit eingeschränkter Funktionalität, Kontowarnungen oder Sitzungsabbruch. Die architektonische Grenze, die der Nutzer für datenschutztragend hielt, ist es nicht.

Parallele: Iran, Tag 56

Am 24. April 2026 trat der Iran in Tag 56 seiner kriegsbedingten landesweiten Internetabschaltung ein. NetBlocks maß die kumulierte Abschaltzeit am 23. April mit 1.296 Stunden — nach jedem historischen Maßstab offiziell die längste landesweite Internetabschaltung, die je verzeichnet wurde. Die Stufe „Internet Pro“, die globale Konnektivität für rund 2 Prozent der iranischen Bevölkerung wiederherstellt (Inhaber von Gewerbekarten, bestimmte Branchen, Wissenschaft), ist in ihrer dritten Betriebswoche. Die Berichterstattung von Iran International beschreibt das Programm Internet Pro als mehrjähriges Projekt, nicht als Wiederherstellung für die Dauer eines Notstands. Der iranische Kommunikationsminister Sattar Hashemi nennt weiterhin 35,7 Mio. US-Dollar pro Tag an direkten Kosten für die digitale Wirtschaft; die kumulierte Kostenschätzung von NetBlocks übersteigt zum 24. April 2,4 Milliarden US-Dollar. Rund 90 Millionen Iranerinnen und Iraner bleiben offline.

Die architektonische Behauptung, die im Iran widerlegt wird, ist die grundlegendste auf dieser Liste: Internetzugang als gewöhnliche Verbraucherleistung mit vorhersehbarer Kontinuität. Die Neutralität auf Anbieterebene, die die meisten Netzwerkarchitekturen voraussetzen, ist eine kontextabhängige Annahme, keine dauerhafte architektonische Eigenschaft. Im Iran ist die Kontinuitätsbehauptung 56 Tage nach Beginn der Abschaltung durch staatliches Handeln widerlegt; die Wiederherstellung über „Internet Pro“ zeigt, dass die Architektur, sobald der Staat die Fähigkeit zu gestuftem, ausweisgebundenem Zugang aufgebaut hat, nicht leicht auf die vorherige Grundlinie des bedingungslosen Zugangs zurückgedreht wird.

Für die 90 Millionen Iranerinnen und Iraner ohne Netz ist die architektonische Konsequenz binär: entweder Internet-Pro-Zugangsdaten erwerben (verfügbar für eine schmale Gruppe) oder Umgehung nutzen, die um die staatlich betriebene Anbieterinfrastruktur herumleitet. Umgehungsarchitektur — Psiphon, Tor mit Bridge-Konfigurationen und steckbaren Transporten, kommerzielle und dezentrale VPNs, Satellitenverbindungen über geschmuggelte Starlink-Terminals, Peer-to-Peer-Meshes — ist die Parallelinfrastruktur, die unter staatlichem Druck gebaut und ausgerollt wird.

Parallele: Sechs Tage (Section 702)

Am 24. April 2026 steht Section 702 des Foreign Intelligence Surveillance Act sechs Tage vor dem gesetzlichen Auslaufen. Am 30. April läuft, wenn der Kongress nicht handelt, die Befugnis aus, unter der die US-Nachrichtendienste das größte laufende Programm beschlussloser Überwachung mit Zielrichtung auf Nicht-US-Personen betreiben — und dabei beiläufig erhebliche Kommunikation von US-Personen erfassen. Bestehende Erfassungsanordnungen laufen nach ihren eigenen Bedingungen bis zu deren Ablauf weiter; neue Anordnungen können ohne Neuautorisierung nicht ergehen.

Die Debatte über die Neuautorisierung zeigt diese Woche jede vertraute Gestalt. Die Republikaner im Repräsentantenhaus legten am 23. April einen Vorschlag für eine dreijährige Verlängerung ohne Beschlusspflicht für FBI-Abfragen zu US-Personen vor. Die Abgeordneten Thomas Massie (R-KY-04) und Lauren Boebert (R-CO-04) brachten am selben Tag den Surveillance Accountability Act ein: Er verlangt vor staatlicher Überwachung von US-Personen einen auf hinreichenden Verdacht gestützten Beschluss; verbietet Bundesbehörden den Ankauf kommerzieller Standort- und Bewegungsdaten; begrenzt die Third-Party-Doktrin; und schafft einen privaten Klageanspruch bei Verstößen gegen den Vierten Verfassungszusatz. Der Entwurf gesellt sich zum Government Surveillance Reform Act von Senator Lee und zum SAFE Act in eine parteiübergreifende Reformkoalition, die die von ihr angestrebten Reformen in den 13 Jahren seit Snowden nicht zustande gebracht hat.

Die prozedurale Uhr schärft eine größere architektonische Frage. Die 25-jährige föderale Datenzugangsarchitektur — das CALEA-Mandat für abhörbereite Netze (1994), die PATRIOT-Act-Ausweitungen (2001), der FISA Amendments Act und Section 702 (2008), die Reifung des kommerziellen Datenhändler-Ökosystems (2010–2026), Befugnisse zur behördlichen Vorladung und die entstehende Vertragsinfrastruktur zwischen Palantir und Bundesbehörden (die Berichterstattung des Intercept vom 24. April über den Vertrag mit der Steuerbehörde IRS im Umfang von 130 Mio. US-Dollar; die laufende Beziehung zu ICE) — ist kumulativ in einem Tempo aufgebaut worden, mit dem der Reformrahmen nicht Schritt gehalten hat. Die Neuautorisierungszyklen von Section 702 haben enge Begrenzungen hervorgebracht, keine architektonische Umgestaltung.

Die Parallele zur UK Biobank. Im Fall der UK Biobank wird die Grenze zwischen kontrollierter Forschungszugänglichkeit und Angebot auf einer Handelsplattform getestet. Im Fall von Section 702 wird die Grenze zwischen auslandsnachrichtendienstlicher Erfassung und beiläufiger Erfassung von US-Personen getestet, wobei die Third-Party-Doktrin regelt, welche Daten die Regierung bei kommerziellen Händlern kaufen darf. In beiden Fällen gilt architektonisch: Die Daten, die die Grenze überschreiten, nehmen die Schutzmechanismen, die vor der Überschreitung galten, nicht mit.

Die Zentralisierungsgeschichte geht weiter

Am 23. April 2026 reichte eine Koalition von Wahlrechtsorganisationen eine Bundesklage ein, um die "Voter Registration Nationalization Policy" (Politik der Nationalisierung der Wählerregistrierung) des Justizministeriums zu stoppen — eine Initiative, die bei den Bundesstaaten liegende Wählerregistrierungsdaten in einer zentralen Bundesdatenbank zusammenführen soll. Die Kläger verweisen auf Identitätsdiebstahlrisiken, die fälschliche Streichung wahlberechtigter Personen und abschreckende Wirkungen auf die Registrierung. Die architektonische Bedeutung des Falls liegt darin, dass Wählerregistrierungsdaten, historisch auf Ebene der Bundesstaaten und Counties gehalten und für den Bund nur zweck- und verfahrensgebunden zugänglich, nun in einen föderalen Datenkonzentrationspunkt umorganisiert werden. Die Klage ist der prozedurale Test, ob die Umorganisation zulässig ist; die architektonische Frage ist vom rechtlichen Ausgang unabhängig.

Am 24. April veröffentlichte The Intercept seine Berichterstattung über Palantirs Vertrag mit der Kriminalermittlungsabteilung der Steuerbehörde IRS im Umfang von mehr als 130 Mio. US-Dollar, beschrieben als Ermöglichung von Data-Mining "massive-scale" — in massivem Maßstab. Der Vertrag ergänzt Palantirs langjährige Beziehungen zu ICE und dem Heimatschutzministerium. Die Data-Mining-Infrastruktur der Bundesregierung wird mit größerer Leistungsfähigkeit und an mehr Stellen ausgebaut, während die gesetzlichen und rechtlichen Beschränkungen dieser Infrastruktur in beide Richtungen umkämpft sind.

Die Geschichte der UK Biobank steht in diesem Zusammenhang nicht als isoliertes Leck von Forschungsdaten, sondern als forschungsnahe Ausprägung eines breiteren Zentralisierungsmusters. Große Datensätze — genomisch, verhaltensbezogen, kommerziell, staatlich — werden in Betreiberhänden konzentriert, ob staatlich, forschungsinstitutionell, kommerziell oder als Unterauftragnehmer. Jeder Konzentrationspunkt wird zu einem attraktiven Ziel, und jede Übertragung zwischen Konzentrationspunkten wird zu einer Grenze, an der die maßgebliche Annahme getestet wird.

Die architektonische Antwort

Wenn das Muster lautet, dass Grenzversprechen beim nächsten Sprung zerfallen, dann lautet die architektonische Antwort: Primitive, die auf dem Gerät des Nutzers durchgesetzt werden, haben keinen nächsten Sprung.

Nutzerseitige Schlüssel. Das kryptografische Primitiv der Ende-zu-Ende-Verschlüsselung mit Schlüsseln auf dem Gerät des Nutzers bedeutet, dass der Dienstbetreiber den Klartext nicht herstellen kann — unabhängig von regulatorischem Druck, gesetzlicher Verpflichtung oder kommerziellem Anreiz. Signal, Proton, Tuta, Threema und Matrix mit Cross-Signing pro Gerät sind die ausgereiften Umsetzungen. Die architektonische Haltung ist Verweigerung by Design: Was der Betreiber nicht hält, kann nicht erzwungen werden.

Föderierte Identität mit selektiver Offenlegung. eIDAS-2.0-Brieftaschen für digitale Identität, W3C Verifiable Credentials und das entstehende Ökosystem der Identitätsbrieftaschen lassen den Nutzer eine bestimmte Behauptung nachweisen — „über 18“, „EU-Bürger“, „bestimmte berufliche Zertifizierung“, „NHS-Patient im Vereinigten Königreich“ —, ohne das zugrunde liegende Dokument offenzulegen. Die Behauptung ist kryptografisch an das Gerät des Nutzers gebunden; die prüfende Partei erfährt nur, was der Nutzer offenlegen wollte. Die Architektur ist über Vorlagen hinweg nicht verknüpfbar: Keine einzelne Stelle kann Nutzeraktivität ohne Mitwirkung des Nutzers korrelieren.

Peer-to-Peer-Transport. Das Peer-to-Peer-Relay aus Wohnanschluss-Knoten von URnetwork, Tor mit steckbaren Transporten, WireGuard in anbieterunabhängigen Konfigurationen sowie Shadowsocks / V2Ray / Trojan / NaïveProxy für Umgebungen mit gegnerischer Deep Packet Inspection bedeuten, dass Verkehr nicht an einem anbietergezählten Pfad oder einem erkennbaren IP-Pool eines einzelnen VPN-Anbieters endet. Die architektonische Antwort auf den Mobilfunkpartner-Vektor von Morpheus ist ein Mesh, das den Anbieter nicht als Teilnehmer voraussetzt. Die architektonische Antwort auf Russlands VPN-Erkennung in 22 von 30 Apps ist ein Transport, der nicht den Fingerabdruck eines kommerziellen VPN-Anbieters zeigt.

Selbst gehostete Dienstalternativen. Matrix-Homeserver, Nextcloud, Forgejo oder Gitea, Jitsi, Mailcow, Ollama mit LangChain und LlamaIndex und föderiertem MCP für KI-Workloads. Die Daten liegen nicht auf der Infrastruktur eines kommerziellen Betreibers, die einer Vorladung, einer Übernahme oder einer Richtlinienänderung unterliegen könnte.

Hardware mit offener Firmware. GrapheneOS auf kompatiblen Pixel-Geräten, LineageOS auf anderer Android-Hardware, OpenWRT auf Routern, Klipper oder Marlin auf 3D-Druckern. Das Gerät führt Code aus, den der Nutzer prüfen kann; der Hersteller ist Teilnehmer in einem nutzerkontrollierten Stack, nicht die ausschließliche Vertrauensgrenze.

FIDO2-Hardware-Authentifizierung. YubiKey, Nitrokey, SoloKey ersetzen SMS-MFA, die durch die Mobilfunkpartner-Architektur von Morpheus und den SS7/Diameter-Bericht von Citizen Lab vom 23. April zu Geisteranbietern als kommerziell durchdrungen gelten muss. Der Hardwareschlüssel ist ein nutzerseitig gehaltenes Merkmal, das für die Zustellung nicht vom Mobilfunkanbieter abhängt.

Secure-Enclave-Rahmenwerke für sensible Berechnungen. Azure Confidential Computing, AWS Nitro Enclaves, spezialisierte Genom-Enklaven-Projekte wie jene an der Stanford University, der ETH Zürich und bei den kommerziellen Anbietern Opaque und Enveil. Die Berechnung findet auf verschlüsselten Daten statt, ohne dass der Betreiber den Klartext sieht. Für Forschungsarchitekturen wahrt föderierte Analyse — die Berechnung wird zu den Daten geschickt statt die Daten zur Berechnung — die Zusammenarbeit zwischen Forschungseinrichtungen ohne die Datenübertragung, die der Fall UK Biobank widerlegt hat.

Nutzerseitige Datenhaltung. Für medizinische, genomische, finanzielle und lebensgeschichtliche Daten ist der architektonische Ersatz für zentrale Verwahrung die nutzerseitige Verwahrung mit selektivem Zugriff. Standards wie die Pods des Solid-Projekts, das Datensouveränitäts-Rahmenwerk des Ceramic Network und entstehende Erweiterungen von Identitätsbrieftaschen für Gesundheitsdaten unter den OAuth- und SMART-on-FHIR-Architekturen von HL7 FHIR liefern das technische Substrat. Ein Einsatz im nationalen Maßstab hätte bedeutet, dass die Daten der UK Biobank nie zentral in einer Form gehalten worden wären, die sich extrahieren lässt.

Die konkrete Antwort für den Fall UK Biobank

Für Teilnehmende, die bereits in der UK Biobank sind, ist die architektonische Antwort dadurch begrenzt, dass die Daten die kontrollierte Zugangsumgebung bereits verlassen haben. Teilnehmende haben bestimmte Rechte nach der UK GDPR (der britischen Umsetzung der DSGVO nach dem Brexit) — das Recht auf Löschung, das Recht auf Widerruf der Einwilligung, das Recht auf Auskunft über Datenempfänger. Ob die Ausübung dieser Rechte die bereits nach Alibaba abgeflossenen Kopien erreichen kann, ist rechtlich ungeklärt und über die Jurisdiktionsgrenze nach China praktisch nicht durchsetzbar.

Für die biomedizinische Forschungsarchitektur insgesamt ist die Antwort architektonisch. Föderierte Analyse — die Daten bleiben bei der Kohorte, die Berechnung reist — ist heute betriebsbereit einsetzbar. Das DataSHIELD-Rahmenwerk, Vantage6, das gemeinsame OMOP-Datenmodell der OHDSI mit föderierten Abfragen und spezifische Genom-Enklaven-Architekturen wie Sentinel und FHIR Genomics über Secure Enclaves bieten substanzielle Umsetzungswege. Auf Differential Privacy gestützte Veröffentlichungen zusammenfassender Statistiken wahren, wenn Forschende die Nutzenabstriche akzeptieren, die Inferenz auf Kohortenebene ohne Exposition auf Individualebene. Sichere Mehrparteienberechnung reift auf produktionstaugliche Latenz im Kohortenmaßstab zu. Die architektonischen Optionen existieren.

Die Architektur des kontrollierten Zugangs der UK Biobank, aufgebaut 2006 bis 2010, entsprach dem Stand der Technik ihrer Entwurfszeit. Sechzehn Jahre später hat sich der Stand der Technik weiterbewegt. Die Annahme des Modells vom kontrollierten Zugang, dass die Datenübertragung von Forschungseinrichtung zu Forschungseinrichtung durch Vertragsbedingungen und Berufsnormen begrenzt bleibe, hat sich, wie die Alibaba-Angebote zeigen, als abhängig von einer Disziplin nachgelagerter Parteien erwiesen, die sich nicht immer durchsetzen lässt. Das Modell der föderierten Analyse verlangt diese nachgelagerte Disziplin nicht; die Daten verlassen die Einrichtung nicht in einer Form, die eine nachgelagerte Exfiltration ermöglicht. Für die nächste Kohorte — ob im Vereinigten Königreich, in den USA, in der EU oder anderswo — bestimmt die architektonische Entscheidung bei der Einschreibung, welchen Zerfall die Anonymisierung über die folgenden Jahrzehnte durchläuft.

Die Woche im Muster

Vom 20. bis zum 24. April 2026 traten mindestens sieben verschiedene Nachrichtenereignisse ein, von denen jedes dasselbe architektonische Muster verkörpert.

• Genomdaten der UK Biobank auf Alibaba (20.–23. April). Grenze: Forschungseinrichtung zur nächsten Partei. Versagen: Die Datennutzungsvereinbarung bei kontrolliertem Zugang wurde nachgelagert nicht eingehalten. Architektonische Folge: anonymisierte Genomdaten auf eine Handelsplattform abgeflossen.
• Metas „bezahlen oder einwilligen“ nach DMA Artikel 5 Absatz 2 für rechtswidrig erklärt (23. April). Grenze: Trennung zwischen zahlenden und getrackten Nutzern. Versagen: strukturelle Datenzusammenführung trotz Bezahlstufe. Architektonische Folge: 200 Mio. € Bußgeld; 60 Tage zur Umstrukturierung.
• Morpheus, Android-Spyware mit Mobilfunkpartner (24. April). Grenze: Infrastrukturneutralität des Mobilfunkanbieters. Versagen: Der Anbieter kooperiert operativ mit dem Spyware-Anbieter. Architektonische Folge: stiller Zielerfassungsvektor für italienische Lawful-Interception-Kunden.
• Russlands VPN-Erkennung in 22 von 30 Apps (Berichterstattung 10.–24. April). Grenze: Verkehrsanonymisierung auf Netzwerkebene. Versagen: Erkennung des VPN-Fingerabdrucks auf Anwendungsebene. Architektonische Folge: unterschiedliches App-Verhalten für VPN-Nutzer; erodierte Grundlinie der Umgehung.
• Iran, Tag 56 der landesweiten Abschaltung (andauernd am 24. April). Grenze: Kontinuität des Internetzugangs auf Anbieterebene. Versagen: staatlich vereinnahmte Anbieterinfrastruktur; 1.296 Stunden kumulierte Abschaltung. Architektonische Folge: 90 Millionen Menschen offline; gestufte Wiederherstellungsarchitektur „Internet Pro“.
• ICE setzt Paragon Graphite auf Grundlage behördlicher Vorladungsbefugnis ein (23. April). Grenze: Beschlusspflicht nach dem Vierten Verfassungszusatz für den Einsatz von Spyware. Versagen: Umgehung über behördliche Vorladung. Architektonische Folge: Gesetzentwurf für Bürgerrechte am selben Tag eingebracht (Massie-Boebert).
• Klage gegen die Nationalisierung der Wählerregistrierung durch das Justizministerium (23. April). Grenze: Souveränität der Bundesstaaten bei der Wählerregistrierung. Versagen: föderale Zentralisierungspolitik. Architektonische Folge: Bundesklage auf Stopp der Zentralisierung.

Sieben Fälle. Ein architektonisches Muster. Jeder zeigt eine für dauerhaft gehaltene Grenze — kontrollierte Forschungszugänglichkeit, Trennung bei „bezahlen oder einwilligen“, Neutralität des Mobilfunkanbieters, Anonymisierung auf Netzwerkebene, Anbieterkontinuität, Beschlusspflicht nach dem Vierten Verfassungszusatz, Souveränität der Bundesstaaten —, die sich bei der nächsten Transaktion oder staatlichen Handlung als undicht erwies.

Die Sechs-Tage-Uhr von Section 702 ist das gesetzgeberisch-prozedurale Fenster auf dasselbe Muster. Der Massie-Boebert-Entwurf ist ein Reformversuch auf der architektonischen Ebene; ob er in irgendeiner Form Erfolg hat, ist die Kongressfrage des Jahres 2026. Die architektonischen Primitive, die das Muster außer Kraft setzen, sind heute im Einsatz und warten darauf, dass Nutzer sie wählen.

Was zu tun ist

Wenn Sie an der UK Biobank teilnehmen: Prüfen Sie Ihren Einwilligungsstatus bei der Stiftung UK Biobank, machen Sie sich mit Ihren Rechten nach der UK GDPR einschließlich Löschung und Widerruf der Einwilligung vertraut und beachten Sie, dass die praktische Reichweite dieser Rechte auf bereits abgeflossene Kopien ungewiss ist. Diese Lage ist nicht Ihr Verschulden; die Architektur wurde unter Annahmen entworfen, die nicht mehr gelten.

Wenn Sie biomedizinisch forschen: Setzen Sie sich in Ihrer Einrichtung für Architekturen der föderierten Analyse ein (DataSHIELD, Vantage6, die entstehenden föderierten Genomarchitekturen) statt für Massendatenübertragung in der Zusammenarbeit zwischen Einrichtungen. Das Modell der Datenübertragung ist widerlegt; das föderierte Modell wahrt den Forschungsnutzen ohne die architektonische Exposition.

Wenn Sie zahlender Meta-Abonnent in der europäischen Stufe „bezahlen oder einwilligen“ sind: Die DMA-Entscheidung hat die Stufe für rechtswidrig erklärt; Meta hat 60 Tage zur Umstrukturierung. Überlegen Sie, ob Ihr Abonnement eine strukturelle Datenschutzeigenschaft gekauft hat oder eine theoretische; die Kommission befand Letzteres.

Wenn Sie Android nutzen und Sorge vor kommerzieller Spyware haben: GrapheneOS auf kompatiblen Pixel-Geräten bietet die stärkste kommerziell verfügbare Position bei offener Firmware. Für Nutzer, die GrapheneOS nicht betreiben können, senken gehärtete Android-Konfigurationen (Schlüsselspeicher über den Titan-Chip, Speicherverschlüsselung, biometrisch abgesichertes Secure Element, aktivierter verifizierter Systemstart, deaktivierter Entwicklermodus, deaktivierte Installation aus unbekannten Quellen, Prüfung des Zugriffs auf Bedienungshilfedienste) den Morpheus-artigen Vektor. Installieren Sie keine Apps aus SMS-Links.

Wenn Sie VPNs in Russland, im Iran, in China oder anderen Jurisdiktionen mit starkem Gegner nutzen: Kombinieren Sie ein VPN auf Netzwerkebene (WireGuard ist der Standard mit 94 Prozent) mit Umgehung auf Anwendungsebene, die den VPN-Fingerabdruck nicht zeigt. Shadowsocks, V2Ray, Trojan und NaïveProxy zeigen Verkehrsmuster auf Anwendungsebene, auf die kommerzielle VPN-Erkennung nicht passt. Für Peer-to-Peer-Transport leitet das Relay aus Wohnanschluss-Knoten von URnetwork über Verbraucherinfrastruktur statt über kommerzielle VPN-IP-Pools. Tor mit steckbaren Transporten (Snowflake, obfs4, meek) ist der Standard gegen gegnerische Deep Packet Inspection.

Wenn Sie einen Dienst betreiben, der medizinische, genomische, finanzielle oder lebensgeschichtliche Daten verarbeitet: Prüfen Sie Ihr Modell der Datenhaltung. Zentrale Verwahrung ist der Standard; nutzerseitige Verwahrung mit selektivem Zugriff ist die architektonische Alternative. Solid Pods, das Datensouveränitäts-Rahmenwerk des Ceramic Network, HL7 FHIR mit SMART-on-FHIR-OAuth und entstehende Erweiterungen von Identitätsbrieftaschen sind die Optionen auf Produktionskurs. Für Berechnungen auf sensiblen Daten wahren Confidential-Computing-Enklaven (Azure Confidential Computing, AWS Nitro Enclaves, Google Cloud Confidential Computing) den Rechennutzen ohne für den Betreiber sichtbaren Klartext.

Wenn Sie Politik gestalten: Die architektonische Lücke zwischen grenzbasierten Schutzmechanismen (kontrollierter Zugang, „bezahlen oder einwilligen“, Neutralität des Mobilfunkanbieters, Beschlusspflichten) und Schutzmechanismen auf Basis kryptografischer Primitive (nutzerseitige Schlüssel, föderierte Identität, Peer-to-Peer-Transport, selbst gehostete Dienste) ist der Gestaltungsraum. Reformen auf der Grenzschicht sind wichtig, aber, wie die 25-jährige Entwicklung von Section 702 zeigt, langsam im Verhältnis zur installierten Architektur. Politische Unterstützung für den Einsatz von Schutzmechanismen auf Primitiv-Basis — über Beschaffungspräferenzen, regulatorische Schutzräume für föderierte Architekturen, Förderung der Umsetzung offener Standards — wirkt schneller. Die eIDAS-2.0-Architektur der EU ist derzeit das substanziellste Beispiel für Politik auf der Primitiv-Ebene.

Wenn Sie zu Open Source beitragen oder entwickeln: Der Primitiv-Stack braucht kontinuierliche Weiterentwicklung. Die Rahmenwerke für föderiertes Lernen und föderierte Analyse (DataSHIELD, Vantage6, OHDSI, Flower, PySyft), die Peer-to-Peer-Transportschicht (URnetwork, Tor Snowflake, Shadowsocks-Varianten, WireGuard-Werkzeuge), das Ökosystem selbst gehosteter Dienste (Matrix, Nextcloud, Mailcow, Ollama, LlamaIndex), das nutzerseitig gehaltene Datensubstrat (Solid, Ceramic, ATProto) und die Projekte mit offener Firmware (GrapheneOS, LineageOS, OpenWRT, Klipper) werden allesamt fortlaufend von verteilten Gemeinschaften gepflegt, deren Kapazität mit der Zeit der Beitragenden wächst. Das Ergebnis ist die Architektur der zivilen Ebene.

Der rote Faden

Das Versagen der UK Biobank ist eine konkrete Ausprägung eines universellen architektonischen Musters. Für dauerhaft gehaltene Grenzen zerfallen beim nächsten Sprung. Anonymisierung überlebt die Übertragung nicht. Trennung überlebt die Zusammenführung nicht. Neutralität überlebt den Vertrag nicht. Souveränität überlebt die Konsolidierung nicht. Das Muster erscheint bei medizinischen Daten, Verbraucherplattformen, Mobil-Spyware, staatlicher Zensur, föderaler Überwachung und der Wahlinfrastruktur der Bundesstaaten — eine Nachrichtenwoche und die architektonische Entwicklung des vorangegangenen Jahrzehnts.

Die Primitive, die Grenzversprechen durch architektonische Garantien ersetzen, haben keinen nächsten Sprung. Ende-zu-Ende-Verschlüsselung mit nutzerseitigen Schlüsseln endet am Gerät. Föderierte Analyse endet bei der Kohorte. Peer-to-Peer-Transport endet beim Nutzer. Selbst gehostete Dienste enden bei der nutzerbetriebenen Infrastruktur. Hardware mit offener Firmware endet beim nutzerkontrollierten Gerät. Die architektonische Eigenschaft, die jedes Primitiv belastbar macht, ist, dass keine nachfolgende Grenzdisziplin, keine staatliche Befugnis und kein kommerzieller Anreiz das Verhalten des Primitivs ändern kann.

Die Teilnehmenden der UK Biobank, die 2008 ihre Genomdaten beitrugen, vertrauten der Grenzannahme von 2008. Die Meta-Nutzer, die „bezahlen oder einwilligen“ wählten, vertrauten einer Trennungsbehauptung, die die Kommission nun für rechtswidrig befunden hat. Die Zielperson von Morpheus vertraute einer Annahme zur Neutralität des Mobilfunkanbieters, die die Partnerschaft des Anbieters widerlegt hat. Die iranische Bürgerin, die im Februar 2026 WhatsApp öffnete, vertraute einer Annahme zur Anbieterkontinuität, die der Staat nun seit 56 Tagen widerlegt. Die Neuautorisierungszyklen von Section 702 haben die rechtlich-prozedurale Grenze zwischen auslandsnachrichtendienstlicher Erfassung und beiläufiger Erfassung von US-Personen getestet und nicht grundlegend reformiert.

Die architektonische Lehre lautet, dass dauerhafte Privatsphäre Primitive verlangt, die nicht darauf angewiesen sind, dass die Grenze hält. Die Grenze versagt. Die Primitive sind, was bleibt.

Der 20. bis 24. April ist eine Woche. Das Muster ist zwanzig Jahre im Werden. Die Primitive sind heute verfügbar.

Die Wahl liegt bei Ihnen.

Vor der institutionellen Einordnung die Ereignisse.

Am Dienstagabend und Mittwochmorgen, dem 22. April 2026, bestätigte Anthropic, dass eine unbefugte Gruppe Zugang zu seinem gesperrten Mythos-Modell erlangt hatte. Der Name in der öffentlichen Darstellung lautet „Project Glasswing“. Das Kürzel der Presse lautet "too dangerous to release" — zu gefährlich für eine Freigabe. Der tatsächliche Zugangsvektor war ein Portal für externe Auftragnehmer. Die Gruppe — berichtet als über Discord verbunden — erriet die URL des Portals anhand von Anthropics Namenskonventionen. Einmal drinnen, nutzte sie das Modell Berichten zufolge für harmlose Aufgaben, darunter den Bau kleiner Testwebseiten. Keine gestohlenen Zugangsdaten, kein Zero-Day in Anthropics Kerninfrastruktur, keine ausgefeilte staatliche Operation. Ein URL-Muster und etwas Neugier.

Am selben Mittwoch veranstaltete OpenAI in Washington ein Treffen mit rund fünfzig Cyberverteidigern des Bundes. Im Mittelpunkt stand GPT-5.4-Cyber — OpenAIs bislang leistungsstärkstes erweitertes Modell, dessen Sicherheitsverweigerungen für legitime defensive Cyberanwendungen gelockert wurden. Zu den demonstrierten Fähigkeiten gehört binäres Reverse Engineering in Produktionsgeschwindigkeit, eine Schwelle für Sprachmodellfähigkeiten, die bis zu diesem Quartal öffentlich nicht erreicht worden war. Prüfbriefings für die Five Eyes — für das Vereinigte Königreich, Kanada, Australien und Neuseeland — begannen in derselben Woche.

Am selben Mittwoch gab Südkoreas Nationaler Nachrichtendienst eine regierungsweite Warnung heraus, die Anthropics Mythos als „Game Changer“ mit der Fähigkeit zu autonomer Schwachstellensuche und Phishing im großen Maßstab bezeichnete. Gespräche mit Anthropic über die Warnung waren Berichten zufolge geplant.

Am selben Mittwoch hielt der Chef des britischen National Cyber Security Centre auf der CYBERUK 2026 in Manchester eine Grundsatzrede unter dem Banner "a perfect storm for cyber security" — ein perfekter Sturm für die Cybersicherheit. Die Formulierung ist tragend. Die Rede beschrieb führende KI als Ermöglicher von Schwachstellensuche im großen Maßstab; schrieb die Mehrheit der national bedeutsamen Cybervorfälle staatlichen Akteuren zu; benannte die Resilienzlücke des Vereinigten Königreichs als bei kleinen und mittleren Unternehmen konzentriert; sagte 90 Mio. £ an britischen Regierungsmitteln für die Cyberresilienz von KMU zu; und — der Satz, der am meisten zählt — lud führende KI-Firmen ein, die britische nationale Cyberverteidigung mitzuentwickeln.

Am selben Mittwoch veröffentlichte die Agentur der Europäischen Union für Cybersicherheit das National Capabilities Assessment Framework 2.0, ein Reifegradinstrument für Mitgliedstaaten zur Bewertung ihrer nationalen Cyberstrategien. Die Veröffentlichung war bewusst auf die CYBERUK-Rede und den Zyklus der RSAC-Konferenz gelegt; die Absicht war, eine europaweite Grundlinie zur Bewertung von Cyberfähigkeiten in dem Moment abzustimmen, in dem die Leistungsfähigkeit führender KI das öffentliche Politikthema war.

Am selben Mittwoch nahm die US-Cybersicherheitsbehörde CISA CVE-2026-33825 — BlueHammer, eine lokale Rechteausweitung in Microsoft Defender — in den Katalog der bekannten ausgenutzten Schwachstellen auf. Huntress hatte Ausnutzung in freier Wildbahn seit dem 10. April bestätigt. Die Schwachstelle war vom Forscherkollektiv „Chaotic Eclipse“ als Protest gegen Microsofts Umgang mit Offenlegungen öffentlich veröffentlicht worden. Zwei verwandte Schwachstellen — RedSun und UnDefend — bleiben ungepatcht. Bundesbehörden erhielten den 6. Mai als Frist zur Behebung.

Am selben Mittwoch veröffentlichte der Forscher Alexander Hanff eine Analyse, der zufolge Claude Desktop für macOS drei Anthropic-Browsererweiterungs-IDs über Native-Messaging-Host-Manifeste vorab autorisiert, die in mehrere Chromium-Profile abgelegt werden — darunter Browserinstallationen, die der Nutzer nicht geöffnet oder teilweise nicht einmal installiert hat. Malwarebytes, The Register und der Blog von That Privacy Guy griffen die Analyse auf. Bis Mittwochabend lag keine Erwiderung von Anthropic vor.

Am selben Mittwoch veröffentlichte OpenAI Privacy Filter — einen bidirektionalen Token-Klassifikator mit offenen Gewichten und 1,5 Milliarden Parametern, trainiert auf der gpt-oss-Familie. Apache 2.0, 128K Kontext, 96 Prozent F1 auf dem Benchmark PII-Masking-300k. Ein gezielt dimensioniertes, geräteseitiges, kommerziell freizügig lizenziertes Modell zur PII-Schwärzung, ausgeliefert über GitHub und Hugging Face, gedacht für den Einsatz an der Aufnahmegrenze von Nutzerdaten, bevor Daten zu einem Clouddienst abfließen.

Am selben Mittwoch kündigte Google Cloud Next das agentische Chrome Enterprise „Auto Browse“ an, Chrome Skills zur Automatisierung am Arbeitsplatz, die Integration von Microsoft Information Protection sowie eine erweiterte Partnerschaft mit Okta für eine Beta von Device Bound Session Credentials unter Windows — ein Schutz auf Identitätsebene gegen Session-Hijacking-Angriffe, die 2025/2026 zur Massenbedrohung geworden sind.

Am selben Mittwoch veröffentlichte Microsofts Security-Blog "AI-powered defense for an AI-accelerated threat landscape" — Microsoft Baseline Security Mode über Exchange, Teams, SharePoint und Entra hinweg; ein „Secure Now“-Element im Exposure Management; allgemeine Verfügbarkeit von Defender External Attack Surface Management und Copilot Autofix; ein für Juni 2026 als Vorschau angekündigtes Multi-Modell-Scanning-Gerüst.

Neun Ereignisse. Fünf Kontinente. Ein Mittwoch. Das Zusammentreffen ist kein Zufall. Es ist das kumulative Sichtbarwerden eines institutionellen Übergangs, der seit achtzehn Monaten läuft und eine Schwelle erreichte, als die Kalenderblätter umschlugen.

Die Kategorie

Der Übergang, der sich am Mittwoch verdichtete, führt vom „Anbieter kommerzieller Software“ zur „kommerziellen und rüstungsnahen Institution“.

Die nächstliegende historische Analogie ist nicht zeitgenössisch. Es sind Lockheeds Advanced Development Programs — die Skunk Works, 1943 unter Kelly Johnson gegründet. Lockheed baute im selben Unternehmen und in sich überlappenden Phasen seiner Geschichte das Verkehrsflugzeug L-1011 und die SR-71 Blackbird. Die kommerzielle Produktlinie gewann Marktanteile; die Rüstungslinie führte Staatsaufträge unter Geheimhaltung aus. Der institutionelle Rahmen — Sicherheitsüberprüfungen der Defense Counterintelligence and Security Agency, die Rüstungsexportkontrolle ITAR, FPR-Verträge, parlamentarische Aufsicht durch die Streitkräfteausschüsse von Repräsentantenhaus und Senat — wurde über Jahrzehnte gebaut, um diese Doppelstruktur zu tragen. Die Taktung war langsam. Die Leistungslücke zwischen kommerziell und militärisch war produktspezifisch. Der Nutzer kommerzieller Lockheed-Produkte stand in keinem bedeutsamen Sinn neben staatlicher Offensivfähigkeit; die L-1011 und die SR-71 teilten eine Ingenieurskultur, aber kein Bedrohungsmodell.

Raytheon, General Dynamics, Boeing, Northrop Grumman und später eine größere Gruppe von Rüstungshauptauftragnehmern setzten das Modell fort. In den 1970er und 1980er Jahren war der Doppelnutzungs-Rahmen für Rüstungsauftragnehmer institutionell ausgereift. Die Beziehung zum kommerziellen Kunden und die Beziehung zum Staatsauftrag waren durch Organisationsstruktur, Produktlinie und Regulierungsregime getrennt.

Das führende KI-Labor von 2026 hat dieselbe strukturelle Gestalt bei der Taktung eines kommerziellen Produkts. Die Taktung misst sich in Quartalen, nicht in Jahrzehnten. Die Leistungslücke ist universell — keine bestimmte Plattform, sondern eine Klasse kognitiver Fähigkeit, die sich auf viele Einsatzzwecke umlenken lässt. Der institutionelle Rahmen existiert noch nicht. ITAR erfasst KI-Modelle schlecht. Die Halbleiter-Exportkontrollen des Bureau of Industry and Security erfassen Trainings-Hardware, aber keine Modellgewichte. Das rüstungskontrollpolitische Vokabular des Außenministeriums wurde für Raketen gebaut, nicht für Matrixmultiplikationen. Der Rahmen der DCSA für Sicherheitsüberprüfungen und den Umgang mit Auftragnehmern wurde für jahrzehntelange Programme gebaut, nicht für Modelle, die alle sechs Monate ersetzt werden.

Und — das ist der entscheidende Teil — der kommerzielle Kunde des führenden KI-Labors ist von der rüstungsnahen Produktlinie nicht so architektonisch getrennt, wie es der L-1011-Kunde vom SR-71-Programm war. GPT-5.4-Cyber und GPT-5 teilen Trainingspipelines, Sicherheitsmethodik, Modellfamilien und kommerzielle Infrastruktur. Claude Mythos und Claude 3.7 teilen dasselbe. Ein kommerzieller Kunde, der das Produkt des Labors nutzt, konsumiert die zivile Ebene einer Institution, deren Rüstungsebene den Five Eyes gebrieft und vor der von ausländischen Nachrichtendiensten gewarnt wird. Die architektonische Distanz zwischen diesen Positionen ist das Neue.

Die Nahtstellen

Der institutionelle Übergang ist auf eine Weise unvollständig, die am selben Mittwoch sichtbar wurde.

Mythos wird von Anthropic öffentlich als "too dangerous to release" gerahmt — zu gefährlich für eine Freigabe. Die Sicherheitshaltung auf dem Niveau eines Rüstungsauftragnehmers, die diese Rahmung nahelegt, würde Zugangskontrollen auf Freigabestufenniveau umfassen, Personalüberprüfungsrahmen für Auftragnehmer mit Modellzugang, aktive Telemetrie zu Zugriffsversuchen und Anomalieerkennung für Zugriffsmuster, die nicht zu legitimer Arbeit passen. Anthropics Haltung entsprach dem, nach der Offenlegung vom Mittwoch zu urteilen, nicht. Der URL-Rateversuch einer Discord-Gruppe an einem Auftragnehmerportal erlangte einen Zugang, für den die Rahmung Tradecraft auf Staatsakteursniveau nahegelegt hatte. Die Lücke in der operativen Disziplin zwischen öffentlicher Rahmung und tatsächlicher Kontrollhaltung ist so breit wie die Offenlegung. Die Kennzeichnung eines Modells als "too dangerous to release" ist nicht tragend, wenn die URL des Portals, das Zugang gewährt, erratbar ist.

Der URL-Rateversuch ist keine neue Angriffsklasse. Die Aufzählung von Amazons S3-Buckets blühte als Forschungsfeld etwa von 2013 bis 2017, bis AWS Public Access Block auslieferte. GitHubs Secret Scanning existiert, weil Entwickler ständig aus Namensmustern ableitbare Zugangsdaten in Repositories einchecken. Subdomain-Aufzählung über Certificate-Transparency-Logs, DNS-Brute-Force und GitHub-Aufklärung sind Standardpraxis jedes Red-Team-Einsatzes und jeder Angreiferaufklärung. Der Fall Mythos ist nur in der Größe der Beute neu. Das Labor hat seine Auftragnehmer-Lieferkette schneller wachsen lassen, als deren Sicherheitspraxis gereift ist.

Das Muster der Native-Messaging-Vorabautorisierung von Claude Desktop ist die zweite Nahtstelle. Native Messaging ist im Sicherheitsmodell von Chromium der dokumentierte Mechanismus, über den Browsererweiterungen mit nativen Host-Anwendungen kommunizieren. Die Grenze der Nutzereinwilligung — typischerweise eine Abfrage bei der Installation oder eine Bestätigung auf einer Einstellungsseite — ist die Architektur. Der Installer von Claude Desktop legt Native-Messaging-Host-Manifeste in mehrere Chromium-Profile ab und autorisiert drei bestimmte Claude-Browsererweiterungs-IDs vorab, bevor irgendein Nutzer diese Erweiterungen installiert oder ihrer Verbindung zugestimmt hat. Anthropic hat das vermutlich aus Gründen der Nutzererfahrung so entworfen: Wenn der Nutzer später eine Claude-Browsererweiterung installiert, funktioniert die Verbindung nahtlos ohne Autorisierungsabfrage. Das ist ein vernünftiges Argument der Nutzererfahrung. Es ist auch ein vernünftiges sicherheitsarchitektonisches Argument, dass die Vorabautorisierung von Erweiterungen, die der Nutzer nicht installiert hat, in Browser, die der Nutzer nicht geöffnet hat, die Chromium-Einwilligungsgrenze umgeht, die der einzige Schutz dieser Architektur ist. Ein Produkt auf dem Niveau eines Rüstungsauftragnehmers würde diese Umgehung nicht entwerfen. Ein kommerziell zuerst gedachtes, auf Nutzererfahrung optimiertes Produkt hat es getan.

BlueHammer ist die dritte Nahtstelle, in einer anderen Dimension. Die Schwachstelle wurde von Chaotic Eclipse als Protest gegen Microsofts Umgang mit Offenlegungen öffentlich veröffentlicht. Die Protestoffenlegung ist umstrittenes Tradecraft — der Project-Zero-Standard von 90 Tagen zwischen privater Meldung und Veröffentlichung ist die am breitesten respektierte Variante, und die sofortige Veröffentlichung durch Chaotic Eclipse ist härter. Zwischen der Protestveröffentlichung am 10. April und der Aufnahme in den CISA-KEV-Katalog am 22. April — zwölf Tage — bewaffneten Angreifer den Exploit im großen Maßstab. Die Telemetrie von Huntress dokumentiert Ausnutzung in freier Wildbahn über das gesamte Fenster. Die Antwort des Staates war die KEV-Aufnahme. Nutzer von Microsoft Defender — dem Standard-Endpunktschutz von Windows — waren zwölf Tage lang einer lokalen Rechteausweitung in ihrem primären Endpunktsicherheitsprodukt ausgesetzt, weil das Offenlegungsökosystem den Konflikt zwischen Forschenden und Herstellern nicht gelöst hat. Die zwei verwandten Schwachstellen — RedSun und UnDefend — bleiben ungepatcht; die Asymmetrie zwischen dem durch KEV erzwungenen Patch für BlueHammer und dem ungepatchten Status der anderen beiden zeigt, dass die Herstellerreaktion auf staatliche Anordnung kalibriert ist und nicht auf symmetrisches Nutzerrisiko.

Diese drei Nahtstellen sind keine Einzelversagen. Sie sind die sichtbare Unvollständigkeit des institutionellen Übergangs.

Die Parallelspur

Getrennt vom Cluster der Cyber-Exekutive hatte dieselbe Woche eine Parallelgeschichte.

Der am Donnerstag, dem 23. April, veröffentlichte Citizen-Lab-Bericht dokumentiert zwei neu identifizierte Kampagnen kommerzieller Überwachungsanbieter, die die Signalisierungsprotokolle SS7 und Diameter über „Geisteranbieter“ missbrauchen — Briefkastenfirmen, die sich als legitime Mobilfunkanbieter ausgeben. Der israelische Anbieter 019Mobile wird als einer der Einstiegspunkte benannt. Stille SMS-Befehle verwandeln die Telefone der Zielpersonen in Standortbaken, ohne Zutun oder Benachrichtigung des Nutzers. Die Forschenden beschreiben es als kleinen Ausschnitt einer weitverbreiteten Ausnutzung.

Russlands Verkehrstarif zum 1. Mai — 150 Rubel pro Gigabyte auf internationalen Verkehr oberhalb von 15 Gigabyte pro Monat — wurde am 22. April aufgeschoben, als MTS, MegaFon und Beeline dem Ministerium für digitale Entwicklung förmlich mitteilten, dass ihre Abrechnungssysteme den Verkehr für 180 Millionen Teilnehmer nicht in Echtzeit im angekündigten Zeitplan erfassen können. Die Verzögerung ist ein Eingeständnis der operativen Lücke, keine Abkehr von der Architektur.

Das türkische Parlament verabschiedete am 22. April ein Gesetz, das die Erstellung von Social-Media-Konten für unter 15-Jährige auf YouTube, TikTok und Meta-Plattformen verbietet, mit von der BTK durchgesetzter Bandbreitendrosselung und Bußgeldern. Im Eilverfahren beschlossen nach zwei Schulschießereien im April. Erdogan hat 15 Tage Zeit zur Unterzeichnung.

Belarus verhängte am 22. April eine mobile Datenobergrenze von 30 Gigabyte pro Monat und Geschwindigkeitsdrosselung. Das ukrainische Zentrum zur Bekämpfung von Desinformation berichtet, die Struktur spiegele die russische Architektur digitaler Souveränität.

Die Internetabschaltung im Iran erreichte am 23. April Tag 55. „Internet Pro“ — eine vom Obersten Nationalen Sicherheitsrat genehmigte gestufte, kostenpflichtige Wiederherstellung des Zugangs — ist in der zweiten Betriebswoche. Inhaber von Gewerbekarten erhalten globale Konnektivität zuerst; der Großteil der 90 Millionen Menschen zählenden Bevölkerung bleibt eingeschränkt. Telegram, WhatsApp und Instagram bleiben auch in der Bezahlstufe blockiert. Die Berichterstattung von Iran International beschreibt die Struktur als mehrjähriges Projekt.

Am 23. April beschlagnahmten die Vereinigten Staaten einen iranischen Öltanker im Indischen Ozean. Trump wies die Marine an, jedes iranische Boot, das in der Straße von Hormus Minen legt, „abzuschießen und zu töten“. Ein dritter US-Flugzeugträger traf in der Region ein. Der Iran nahm erstmals Einnahmen aus neuen Hormus-Gebühren ein. Die Ölsorte Brent überschritt 100 US-Dollar pro Barrel.

Und am Obersten Gerichtshof fand am 22. April die mündliche Verhandlung in der Klage von Verizon und AT&T gegen mehr als 100 Mio. US-Dollar an FCC-Strafen wegen des Verkaufs von Standortdaten der Kunden ohne Schutzmaßnahmen statt — die Richter zeigten sich Berichten zufolge skeptisch gegenüber dem verfassungsrechtlichen Angriff der Anbieter auf das Entscheidungsverfahren der FCC. Ein Urteil steht aus.

Die Parallelspur handelt von der Grenze — dort, wo der Zugang zum Internet durch staatliches Handeln gestuft, verriegelt, betarift oder gedrosselt wird, und dort, wo der staatliche Zugriff auf Nutzerdaten prozessiert oder ausgenutzt wird. Die Spur der Cyber-Exekutive handelt vom Labor — dort, wo der kommerzielle Anbieter in einen rüstungsnahen Status hineingezogen wird. Die beiden Spuren wirken aufeinander. Das staatliche Interesse an der Leistungsfähigkeit des Labors entsteht genau aus dem gegnerischen Cyberumfeld, das die Grenzspur hervorbringt. Die Reaktion des Labors auf das staatliche Interesse — briefen, vorführen, prüfen lassen — wird von den kommerziellen Zwängen und der Ingenieurstaktung geprägt, die es von der älteren Klasse der Rüstungsauftragnehmer unterscheiden.

Die Lage des Nutzers

Wer 2026 ein kommerzielles KI-Produkt nutzt, ist in einer Lage, in der ein Fluggast einer kommerziellen Airline 1975 nicht war. Das kommerzielle KI-Produkt konsumiert und erzeugt Modellausgaben über dieselbe Infrastruktur, die das Labor den Five Eyes brieft. Der Chatverlauf des Nutzers, sein Beitrag zu Trainingsdaten und die Metadaten seiner Modellabfragen fließen durch ein System, dessen rüstungsnahe Ebene das Interesse des Staates ist.

Die konkreten Folgen:

Erstens muss die Sicherheitshaltung des Anbieters den Erwartungen an einen Staatsauftragnehmer genügen. Mythos zeigt, dass die Haltung dem heute nicht genügt. Die Lücke ist das Restrisiko des Nutzers. Ein gegnerischer Staat, der wissen will, was das britische Verteidigungsministerium oder US-Bundescyberverteidiger ein KI-Labor fragen, hat Erfassungsmöglichkeiten gegen die kommerzielle Infrastruktur dieses Labors. Der kommerzielle Kunde teilt die Erfassungsfläche.

Zweitens ist die regulatorische Lage des Anbieters in Bewegung. ITAR erfasst das KI-Modell nicht. Exportkontrollen auf Halbleiter erfassen trainierte Gewichte nicht. Die Executive Order der Biden-Ära zu Safe, Secure, and Trustworthy AI Development wurde von der Trump-Regierung teilweise aufgehoben; der Nachfolgerahmen der Trump-Regierung ist nicht vollständig erlassen. Der institutionelle Rahmen zur Regulierung dieser Doppelnutzungs-Produktklasse ist im Verhältnis zur Taktung der Produktklasse unterentwickelt.

Drittens ist die Modellpolitik-Ebene des Anbieters nun staatlich einsehbar. Die Sicherheitsvorkehrungen, die GPT-4o, Claude 3.7 oder Gemini 2 von offensiven Cyberaufgaben abhalten, sind modellpolitische Entscheidungen, die jedes Labor intern trifft. Das staatliche Prüfverfahren — über die Five Eyes, über die NCSC-Einladung, über die NIS-Warnung — wird diese Entscheidungen inspizieren. Kommerzielle Modellpolitik wird von staatlichen Anliegen geprägt werden, nicht allein vom veröffentlichten Ethikrahmen des Labors. Die kommerzielle Erfahrung des Nutzers wird nachgelagert davon betroffen sein.

Viertens steht das Niveau der operativen Disziplin des kommerziellen Produkts unter fortlaufender Beobachtung. Das Mythos-Leck, die Chromium-Vorabautorisierung von Claude Desktop, die BlueHammer-Offenlegung — jedes ist eine sichtbare Nahtstelle in der operativen Disziplin dieser Woche. Die Wette des Nutzers auf das kommerzielle Produkt ist eine Wette darauf, ob die operative Disziplin des Labors schneller auf das Niveau eines Rüstungsauftragnehmers konvergiert, als die staatsnahe Erfassungsfläche wächst.

Die architektonische Wahl

Der Nutzer steht vor einer binären architektonischen Wahl.

Auf der einen Seite: das geschlossene kommerzielle KI-Produkt konsumieren. Das ist der Standardweg. Das Produkt ist leicht zu bedienen, gut unterstützt, leistungsführend und — die Nachrichten dieser Woche beiseite — insgesamt zuverlässig. Der Nutzer akzeptiert, dass sein kommerzieller KI-Anbieter nun in einer institutionellen Kategorie steht, in der staatsnahe Risiken real und noch nicht vollständig abgefedert sind, und dass die Nahtstellen der operativen Disziplin weiter in Nachrichtenzyklen wie diesem auftauchen werden.

Auf der anderen Seite: die selbst gehostete, föderierte Architektur mit nutzerseitig gehaltenen Daten ausrollen. Das ist der konstruktive Weg. Er ist mehr Arbeit. Er liefert funktional gleichwertige zivile Ebene ohne die staatsnahe Exposition.

Der Einsatz-Stack ist konkret. OpenAIs Privacy Filter (veröffentlicht am selben 22. April, Apache 2.0, 1,5 Milliarden Parameter, 96 Prozent F1 auf PII-Masking-300k) übernimmt die geräteseitige PII-Schwärzung. Ollama hostet Modelle mit offenen Gewichten — Llama 3.3, Mistral, gpt-oss, Qwen — auf nutzerkontrollierter Hardware für allgemeine Inferenz. LlamaIndex mit TrustedAgentWorker liefert Agentenorchestrierung mit Bereinigung. LangChain mit Eingabevalidierung auf Projektebene und Befehls-Allowlisting ist die Koordinationsschicht (der Allowlist-Patch in LiteLLM v1.83.7-stable vom 21. April ist die Vorlage dieses Monats). Föderierte MCP-Registries — von der Gemeinschaft auditiert, signiert, mit organisationsspezifischer Patch-Kadenz — ersetzen das Modell einer Registry unter einem einzigen Betreiber, das Anthropics Offenlegung vom 15. April architektonisch exponiert zurückließ. Chroma, Qdrant oder LanceDB liefern lokale Vektorspeicherung. BGE-m3 oder Arctic Embed liefern lokale Embeddings.

Für Kommunikation ist der Stack mit nutzerseitigen Schlüsseln heute verfügbar: Signal, Proton, Tuta, Threema, Matrix mit Cross-Signing pro Gerät. Für Identität werden eIDAS-2.0-Brieftaschen in den EU-Mitgliedstaaten ausgerollt, mit Stichtag 31. Dezember 2026; France Identité, Dänemark, Griechenland, Italien, Spanien, Zypern und Irland sind laut der Ankündigung des EU-Koordinierungsmechanismus zur Altersverifikation bestätigte Integrationen. Für Transport ist WireGuard der Standard bei 94 Prozent der Verbraucher-VPNs; das Peer-to-Peer-Relay aus Wohnanschluss-Knoten von URnetwork leitet um anbietergezählte Pfade herum; Tor Browser 15.0.10 erschien am Dienstag, dem 21. April, mit Firefox-Sicherheits-Backports als vierte Tor-Browser-Veröffentlichung des Aprils.

Für Hardware ersetzen FIDO2-Hardwareschlüssel (YubiKey, Nitrokey, SoloKey) SMS-MFA, die der SS7/Diameter-Bericht von Citizen Lab vom 23. April als kommerziell durchdrungen ausweist. Hardware-Wallets (Ledger, Trezor, Coldcard) halten Kryptowährungsschlüssel isoliert von der Infostealer-Bedrohung der Lumma-Klasse, die die Angriffskette der neu herausgegebenen Vercel-Meldung vom 22./23. April hervorbrachte. GrapheneOS auf kompatiblen Pixel-Geräten und LineageOS auf anderen Android-Geräten führen nutzerprüfbare mobile Firmware aus. OpenWRT auf Routern liefert einen nutzerkontrollierten Perimeter.

Der Stack ist einsetzbar. Die architektonische Wahl liegt beim Nutzer. Die Kosten sind überschaubar. Der Nutzen ist strukturell.

Was zu tun ist

Wenn Sie KI-Workloads im Unternehmen über kommerzielle APIs führender Labore betreiben: Prüfen Sie die Datenklassen, die Ihr API-Verkehr enthält. Jede Klasse, die für staatliche Erfassung interessant wäre — Strategiepapiere, prozessrelevantes Material, Fusions- und Übernahmeaktivität, unveröffentlichte Produktinformationen, Kundendaten mit vertraglichen oder regulatorischen Datenschutzpflichten —, sollte auf selbst gehostete Inferenz auf lokaler Hardware wechseln. Privacy Filter bei der Aufnahme, Ollama für die Generierung, LlamaIndex für die Agentenorchestrierung, LangChain für die Bereinigung, föderiertes MCP für organisationsübergreifende Integration. Der Umstieg kostet die meisten Organisationen drei Monate Entwicklungsarbeit. Der Umstieg ist billiger als ein einziger Exfiltrationsvorfall durch einen staatlichen Akteur.

Wenn Sie Claude Desktop, ChatGPT Desktop oder Gemini als kommerzieller Nutzer verwenden: Erwägen Sie, für Chatinteraktionen die Weboberfläche zu nutzen, statt die Desktopanwendung zu installieren. Das am Mittwoch dokumentierte Native-Messaging-Problem von Claude Desktop ist ein Datenpunkt; die Klasse des Problems — Desktopanwendungen, die ohne Nutzereinwilligung Haken in Browserprofile setzen — ist breiter. Die Weboberfläche ist die Option mit dem kleinsten Fußabdruck.

Wenn Sie Microsoft Defender als primären Endpunktschutz betreiben: Patchen Sie BlueHammer (CVE-2026-33825) sofort, wenn Sie zur US-Bundesverwaltung gehören; spielen Sie den Patch andernfalls im normalen Zyklus ein. Beobachten Sie die Offenlegungen zu RedSun und UnDefend; diese bleiben ungepatcht. Erwägen Sie Tiefenverteidigung: Endpunkterkennung über Defender hinaus, Netzsegmentierung, FIDO2 auf der Identitätsebene und fortlaufende KEV-Beobachtung als operative Praxis.

Wenn Sie im Iran, in Russland, in der Türkei, in Belarus oder in einer anderen Jurisdiktion mit aktiver Zensur führende KI-Produkte als Verbraucher nutzen: Halten Sie WireGuard plus Shadowsocks/V2Ray als steckbaren Transport als Grundausstattung zur Umgehung bereit. Psiphon und Tor Snowflake für Umgebungen mit gegnerischer Deep Packet Inspection. Halten Sie Software über den Umgehungskanal aktuell. Erwägen Sie das Relay aus Wohnanschluss-Knoten von URnetwork als Peer-to-Peer-Mesh, das nicht am anbietergezählten Pfad endet.

Wenn Sie zu Open Source beitragen: Die Veröffentlichungskadenz des Tor-Projekts (vier Browser-Updates im April), der Allowlist-Patch von LiteLLM (21. April), die Veröffentlichung des Privacy Filter mit offenen Gewichten durch OpenAI (22. April) und die laufende Arbeit am föderierten MCP und am Ökosystem nutzerseitiger Schlüssel profitieren alle von der Zeit der Beitragenden. Die Architektur der zivilen Ebene wird gemeinschaftlich gebaut. Die staatsnahe kommerzielle Ebene hat Skalierung; die zivile Ebene hat Gemeinschaft. Zeit auf der zivilen Ebene verzinst sich.

Wenn Sie Politik gestalten: Der institutionelle Rahmen für die Doppelnutzungskategorie „kommerzielles KI-Labor als Rüstungsauftragnehmer“ existiert noch nicht in dem Tempo, das die Taktung dieser Kategorie verlangt. ITAR ist das falsche Instrument. Halbleiter-Exportkontrollen erfassen Trainings-Hardware, aber keine Modelle. Die Infrastruktur der Executive Orders ist nur teilweise erlassen. Der Kongress hat die Regulierung kommerzieller KI-Modelle nicht mit einem Vehikel aufgegriffen, das die Cloture-Hürde nähme. Die vollen Durchsetzungsbefugnisse des KI-Gesetzes der EU beginnen am 2. August 2026 und werden die erste globale Referenz sein; die Reichweite des Brüssel-Effekts auf die US-Labore ist jedoch indirekt. Die Politiklücke ist das Restrisiko des Nutzers.

Der rote Faden

Der Übergang des kommerziellen KI-Labors zur kommerziellen und rüstungsnahen Institution ist nicht neu. Er läuft seit mindestens achtzehn Monaten. Mittwoch, der 22. April 2026, ist der Tag, an dem der Übergang auf einem einzigen Kalenderblatt an die Oberfläche kam.

Der Übergang selbst ist nicht per se schlecht. Rahmenwerke für Rüstungsauftragnehmer existieren seit achtzig Jahren und wurden über aufeinanderfolgende politische und technologische Epochen verfeinert. Das führende KI-Labor ist in seiner heutigen institutionellen Form eine weniger reife Fassung einer bekannten Kategorie. Die Reifung wird kommen: Freigaberahmen werden ausgeweitet, Exportkontrollregime werden angepasst, Modellpolitik-Regulierung wird entstehen, und die Übergabe zwischen Staat und Labor wird die operative Disziplin erlangen, die ihr Status als Staatsressource verlangt.

Der Übergang ist folgenreich für den Nutzer, der an der Beziehung zwischen Staat und Labor nicht beteiligt ist. Der kommerzielle Kunde des führenden Labors konsumiert die zivile Ebene einer Institution, deren Rüstungsebene den Five Eyes gebrieft wird. Die operative Haltung der zivilen Ebene ist in dieser Woche nachweislich unterentwickelt im Verhältnis zur Rahmung der Rüstungsebene. Die Nahtstellen — Mythos, Claude Desktop, BlueHammer — werden weiter sichtbar sein, bis der institutionelle Übergang abgeschlossen ist.

Die architektonische Wahl des Nutzers ist, wie die Einsatzentscheidung unter dieser Bedingung aussieht. Die kommerzielle Ebene konsumieren, das staatsnahe Restrisiko akzeptieren und auf die Reifung des institutionellen Rahmens warten. Oder den selbst gehosteten Stack der zivilen Ebene ausrollen, die höhere operative Eigenverantwortung akzeptieren und das staatsnahe Restrisiko senken.

Beides ist vertretbar. Keines ist neutral. Die neun Ereignisse des 22. April machen die Wahl sichtbar.

Die Cyber-Exekutive kam am Mittwoch an. Welche Ebene man konsumiert, ist die Entscheidung des Donnerstags.

Am 15. April 2026 veröffentlichte OX Security zwei Berichte. Der erste, betitelt "The Mother of All AI Supply Chains", beschrieb eine architektonische Schwachstelle in Anthropics Model Context Protocol. Der zweite, betitelt "MCP Supply Chain Advisory", zählte die nachgelagerten Folgen auf. Die Forscher — Moshe Siman Tov Bustan, Mustafa Naamnih, Nir Zadok und Roni Bar — arbeiteten seit November 2025 an der Offenlegung. Der Befund war kein Fehler. Er war eine Entwurfsentscheidung.

Anthropics offizielle MCP-SDKs für Python, TypeScript, Java und Rust leiten Befehle, die aus einer Konfiguration stammen, über den STDIO-Transport ohne Bereinigung direkt an die Ausführung im Betriebssystem weiter. Eine Konfigurationsdatei, die einen Server-Befehl angibt, landet als exec-Aufruf im Betriebssystem, ohne Eingabevalidierung zwischen den beiden Schritten. Die Schwachstelle ist architektonisch in dem spezifischen Sinn, dass ihre Behebung eine Änderung des Protokollentwurfs erfordert, nicht das Patchen einer Implementierung.

Der Umfang zählt. Einhundertfünfzig Millionen Downloads der betroffenen SDKs. Siebentausend oder mehr öffentlich erreichbare MCP-Server. Bis zu zweihunderttausend verwundbare Instanzen in der Grundgesamtheit, die OX vermessen konnte. Die Forscher demonstrierten erfolgreich Befehlsausführung auf sechs Produktivplattformen mit zahlenden Kunden — nicht alle davon öffentlich benannt; die am besten belegte Aufzählung umfasst GPT Researcher, LiteLLM, Windsurf, DocsGPT, Flowise und Upsonic, wobei auch Letta AI und IBMs LangFlow zum betroffenen Kreis gehören. Die Forscher luden eine harmlose Proof-of-Concept-Nutzlast in elf MCP-Marktplätze hoch; neun nahmen die Nutzlast ohne Sicherheitsprüfung an. GitHub lehnte ab. Cline antwortete nicht. LobeHub und Cursor Directory nahmen an.

OX benachrichtigte Anthropic während des Forschungszeitraums wiederholt. Die Antwort des Anbieters, wie sie über OX und über die Presseberichterstattung übermittelt wurde, lautete, das STDIO-Ausführungsmodell stelle eine sichere Voreinstellung dar und die Bereinigung liege in der Verantwortung der Entwickler. Anthropic aktualisierte seine Datei SECURITY.md um den Hinweis, STDIO-Adapter sollten "with caution" (mit Vorsicht) verwendet werden. Das war die architektonische Abhilfe. OX' Charakterisierung: „Diese Änderung hat gar nichts behoben.“ Microsoft und LangChain bezogen laut OX ähnliche Positionen — das Verhalten sei so gewollt. In der von uns gesichteten Presseberichterstattung ist keine namentlich zurechenbare, datierte öffentliche Erstäußerung von Anthropic zu der Offenlegung aufgetaucht.

Die elf von The Hacker News aufgezählten CVEs erstrecken sich über das nachgelagerte Ökosystem. Stand 22. April gepatcht: LiteLLM lieferte am 21. April v1.83.7-stable aus und behob damit CVE-2026-30623, mit einer expliziten Befehls-Allowlist (npx, uvx, python, python3, node, docker, deno), Pydantic-Validierung und einer Registrierungspflicht für Server, die nur Administratoren offensteht; DocsGPT patchte CVE-2026-26015; Bisheng patchte CVE-2026-33224. Ungepatcht: Windsurf (CVE-2026-30615 mit CVSS 8.0 High), Langchain-Chatchat (30617), Fay (30618), Agent Zero (30624), Upsonic (30625), Flowise (40933), GPT Researcher (CVE-2025-65720), MCP Inspector (CVE-2025-49596) und LangFlow. Das Protokoll selbst bleibt unverändert.

Was Anthropic als erwartet bezeichnet, nannte OX in den Worten des Forschers Bustan neu entwerfbar: „Das Protokoll lässt sich so umgestalten, dass es seinen Nutzen nicht verliert.“

Der Anbieter verweigert sich. Die nachgelagerte Seite zahlt.

Eine Ziffer in der URL

Am Mittwoch, dem 15. April — am selben Tag, an dem OX veröffentlichte —, entdeckte Frankreichs Agence Nationale des Titres Sécurisés einen Vorfall in ihrem Portal ants.gouv.fr. Die ANTS, inzwischen offiziell umbenannt in France Titres, ist das eine Websystem, über das in Frankreich jede Passverlängerung, jeder Antrag auf einen Personalausweis, jeder Führerscheinantrag, jeder Aufenthaltstitel und jeder Vorgang der Fahrzeugzulassung läuft. Es ist das Portal. Der digitale Identitätslebenslauf einer französischen Bürgerin ist ein einziger Login bei ants.gouv.fr.

Bis zum Abend des 21. April, eines Dienstags, bestätigte Innenminister Laurent Nuñez, dass ungefähr 11,7 bis 12 Millionen Konten kompromittiert worden waren. Der Angreifer „breach3d“ — der auch unter den Aliassen „ExtaseHunters“ und „EvilDump“ auftritt — bot die Daten ab dem 16. April in kriminellen Foren zum Verkauf an und behauptete, 18 bis 19 Millionen Datensätze zu besitzen, rund ein Drittel der Bevölkerung Frankreichs. Die offengelegten Felder: Login-ID, Anrede, vollständiger Name, E-Mail-Adresse, Geburtsdatum, eindeutige ANTS-Kennung. Manche Datensätze enthalten zusätzlich Postanschrift, Geburtsort, Telefonnummer und bei Geschäftskonten eine SIREN. Biometrie, Passwörter und hochgeladene Dokumentanhänge waren nicht betroffen. Nuñez sagte zu, jede betroffene Person einzeln per E-Mail oder Post zu benachrichtigen. Die CNIL wurde nach Artikel 33 DSGVO innerhalb der Zweiundsiebzig-Stunden-Frist informiert. Die ANSSI ist eingebunden. Bei der Pariser Staatsanwaltschaft ist eine Strafanzeige nach Artikel 40 der Strafprozessordnung eingegangen.

Der Angriffsvektor ist nach französischsprachiger Sicherheitspresse, die sich auf die Forenbeiträge von breach3d stützt, eine Insecure Direct Object Reference — ein IDOR, also ein unsicherer direkter Objektverweis — in der API von moncompte.ants.gouv.fr. Eine ganzzahlige Kennung in einer API-URL. Ändere die Zahl, rufe das Profil einer anderen Bürgerin ab. Keine Berechtigungsprüfung auf Objektebene. Keine Ratenbegrenzung, die das Durchzählen aufgefallen wäre. Der Hacker soll die Lücke als „einen wirklich dummen Fehler“ bezeichnet haben.

IDOR ist keine neuartige Fehlerklasse. Die OWASP Top 10 führen sie seit einem Jahrzehnt unter Broken Object Level Authorization. Sie kommt in jedem Kurs zu API-Sicherheit vor. Automatisierte Scanner finden sie. Bug-Bounty-Programme zahlen dafür. Dass das ANTS-Portal eine produktive API ohne Berechtigungsprüfungen auf Objektebene, ohne Ratenbegrenzung je Kennung und ohne Anomalieerkennung für Aufzählungsmuster betrieb, ist keine Schwachstelle einer neuen Klasse. Es ist eine Schwachstelle einer alten Klasse, die der Staat nicht geschlossen hat.

Die Reaktion der Regierung ist prozedural. Benachrichtigung jedes einzelnen Opfers. Strafanzeige. CNIL-Meldung. Die Regierung hat, Stand 22. April, weder eine Überprüfung der Sicherheitsarchitektur des ANTS-Portals angeordnet noch MFA vorgeschrieben noch sich auf einen Zeitplan festgelegt, das Portal zugunsten von Wallet-basierten Alternativen abzulösen. Die Reaktion ist Regierungsführung durch Erwartung: eine bekannte Schwachstellenklasse, eine bekannte Klasse von Abläufen nach einem Vorfall. Hakim Javadi im Iran würde die Haltung wiedererkennen.

Die architektonische Alternative traf am selben Tag ein. Die europäische Referenzanwendung zur Altersverifikation wurde am 15. April für technisch einsatzbereit erklärt — am selben Tag, an dem die ANTS den Vorfall entdeckte. Die Wallet-Architektur unter eIDAS 2.0, Verordnung EU 2024/1183, ist das Gegenteil von ants.gouv.fr. Nachweise liegen auf dem Gerät der Nutzerin. Die Vorlage ist selektiv — den Nachweis über 18 zu erbringen, ohne das Geburtsdatum preiszugeben, die französische Staatsbürgerschaft nachzuweisen, ohne den Namen preiszugeben. Die Wallet ist über verschiedene Vorlagen hinweg nicht verknüpfbar. Es gibt kein zentrales Portal, das zu kompromittieren wäre, weil es kein zentrales Portal gibt. Frankreichs France Identité ist die geplante nationale Wallet. Der 31. Dezember 2026, bis zu dem jeder Mitgliedstaat mindestens eine konforme Wallet vorhalten muss, ist der architektonische Liefertermin. Der Übergang läuft. Die ANTS-Nutzerinnen und -Nutzer, die im April 2026 die Kosten der Architektur vor der Wallet tragen, sind die Verluste der Übergangszeit.

Eine Ziffer in einer URL wurde geändert, und ein Drittel der französischen Identitätsvorgangsdaten landete in einem kriminellen Forum. Die Regierung nennt das in ihrer Reaktion eine operative Angelegenheit. Die architektonische Sicht nennt es den Preis dafür, im Jahr 2026 einen Entwurf von 2015 zu betreiben.

Tag 54

Irans Internetabschaltung erreichte am 22. April 2026 Tag 54. Die von NetBlocks gepflegte Messung beziffert die derzeitige kriegsbedingte Abschaltung auf rund 1.272 Stunden ohne Netz und den globalen Internetzugang im Iran auf etwa ein Prozent des Vorkriegsniveaus. Eine teilweise auf einer Allowlist beruhende Stufe namens „Internet Pro“ war vom 17. bis 20. April für zahlende Unternehmen und Wissenschaftler in Betrieb — ein architektonisches Eingeständnis des Regimes, dass die wirtschaftlichen Kosten der Abschaltung nicht tragbar sind, zugleich aber eine strukturelle Zweiteilung, die den Zugang danach verteilt, wer zahlen kann.

Der Ursprung ist der 28. Februar 2026, als koordinierte US-amerikanische und israelische Angriffe begannen und der Oberste Führer Ali Chamenei zusammen mit weiteren Angehörigen der Führung ermordet wurde. Iran kappte binnen Stunden sein globales Internet. Der Verkehr fiel laut Cloudflare Radar um 98 Prozent. Bis Ende April hatte die Abschaltung jeden modernen Vergleichsmaßstab überschritten. Ägyptens Abschaltung im Arabischen Frühling im Januar und Februar 2011 dauerte 5 Tage. Irans Blutiger November 2019 dauerte 6 Tage. Libyen dauerte 2011 etwa 6 Monate und bleibt die längere Abschaltung — in einem Land mit 6 Millionen Einwohnern. Irans 90 Millionen machen das laufende Ereignis zum nach Bevölkerung größten, das je verzeichnet wurde.

NPR veröffentlichte am 22. April einen Beitrag von Emily Feng, dessen Titel den konkreten Mechanismus benennt — Iranerinnen und Iraner verlassen das Land, nur um ins Internet zu kommen. Feng porträtierte eine Frau aus Teheran, die nur als Mutter kenntlich gemacht ist und alle drei Tage stundenlang zum türkischen Grenzübergang Kapıköy fährt, um Videoanrufe mit ihrem Sohn zu führen, der an einer türkischen Universität studiert. Ihr Zitat: „Ich will nur einen Videoanruf machen und wieder in den Iran zurückfahren. Das ist alles.“ Feng porträtierte einen Podcaster, Ershad, Mitmoderator eines persischsprachigen Podcasts namens „Haagirvaagir“ aus Marivan: „Die einzige Stimme ist jetzt die Stimme des iranischen Regimes, weil sie das Internet abgeschnitten haben.“ Feng führte die wirtschaftlichen Folgen an — Unternehmen, die auf WhatsApp und Instagram angewiesen waren, um ihre Kundschaft zu erreichen, brechen weg. Feng beschrieb den Schwarzmarkt für Starlink-Minuten, zu Wucherpreisen verkauft, mit stockenden Verbindungen, die die meisten Seiten nicht laden können, sowie staatlich genehmigte „white SIM“-Karten (weiße SIM) als legale Zugangsstufe.

Das Durchsetzungsumfeld ist hart. Am oder um den 1. April erklärten iranische Staatsmedien über Fars Starlink zu einem legitimen Ziel. Die Revolutionsgarden weiteten die Drohung auf US-Technologieinfrastruktur insgesamt aus — Apple, Google, Meta, Microsoft, Nvidia. Der Besitz eines Starlink-Terminals ist nach der Gesetzgebung von 2026 mit bis zu zehn Jahren Haft oder mit dem Tod bedroht. Polizeichef Ahmad-Reza Radan gab im April bekannt, dass 139 Terminals beschlagnahmt und 46 Festnahmen vorgenommen worden seien; in Yazd wurden 61 Bankkonten gesperrt; zwei ausländische Staatsangehörige wurden Mitte April laut Tasnim als Teil eines angeblich mit den USA und Israel verbundenen Spionagenetzes festgenommen. Digitalrechtsgruppen schätzen, dass ungefähr 50.000 Starlink-Terminals im Iran weiter in Betrieb sind.

Fünfzigtausend Terminals gegen ein Gesetz mit Todesstrafe sind die Antwort der Nutzerinnen und Nutzer auf das „erwartet“ des Regimes. Die Regierung hat eine Haltung. Die Bevölkerung hat eine Haltung. Keine der beiden wartet auf die andere.

Die wirtschaftliche Bilanz ist dokumentiert. Irans Telekommunikationsminister Sattar Hashemi hat die direkten Kosten für die digitale Wirtschaft mit 35,7 Mio. US-Dollar pro Tag beziffert. Afschin Kolahi von der Kommission für die wissensbasierte Wirtschaft veranschlagte die direkten Kosten mit 30 bis 40 Mio. US-Dollar pro Tag und die Gesamtkosten einschließlich indirekter mit 70 bis 80 Mio. US-Dollar pro Tag. Der kumulierte Verlust bis zum 16. April lag bei ungefähr 1,8 Mrd. US-Dollar. Die Online-Umsätze fielen um 80 Prozent. Allein im Januar wurden einhundertfünfundachtzig Millionen Finanztransaktionen aus der Wirtschaft getilgt.

Ali Hakim-Javadi, Vorsitzender der iranischen Gildenorganisation für Informationstechnologie, sagte am 12. April, es gebe „keinen klaren Zeitplan“ für die Wiederherstellung der öffentlichen Konnektivität, und verwies auf „besondere Kriegsbedingungen“ und „spezifische Sicherheitserwägungen“. Das ist die erklärte Erwartungshaltung des Regimes. Die Abschaltung ist eine Kriegsbedingung. Kriegsbedingungen haben kein Enddatum. Also hat die Abschaltung kein Enddatum.

Was die Menschen stattdessen tun, ist die Messgröße des Einsatzes. Die Downloads von VPN-Apps stiegen in den ersten Tagen der Abschaltung um 500 bis 579 Prozent. Psiphon erreichte ungefähr 9,6 Millionen iranische Tagesnutzer; rund 400.000 Iranerinnen und Iraner in der Diaspora teilen über Psiphon Bandbreite. Der Werkzeugkasten zur Umgehung der Deep Packet Inspection — Shadowsocks, V2Ray, Trojan, NaïveProxy, Tor Snowflake — ist die zweite Generation der Antwort, während das Regime in DPI investiert. Das OONI, das Open Observatory of Network Interference, hat DNS-Injektionen gegen den Session Messenger und Middlebox-Eingriffe gegen Psiphon bestätigt. Das Regime ist auf der technischen Ebene aktiv. Die Bevölkerung ist auf der technischen Ebene aktiv. Es ist ein Wettlauf.

Jede unabhängige Transportschicht — URnetworks Peer-to-Peer-Relay über Knoten an Wohnanschlüssen, Outline, Psiphon, Shadowsocks, V2Ray, Tor Snowflake — ist eine Gegenmaßnahme auf Nutzerebene gegen eine Verweigerung auf Infrastrukturebene. Das Regime hat den Träger gekappt. Die Nutzerin läuft außen herum. Die 50.000 Starlink-Terminals sind die Messgröße der sichtbaren Hardware. Die Zahlen der täglichen VPN-Nutzung sind die Messgröße der Softwareebene. Die NPR-Geschichte ist die Messgröße der menschlichen Ebene — eine Mutter, die nach Kapıköy fährt.

Das „kein klarer Zeitplan“ vom 12. April ist das Wort des Regimes. Die 50.000 Terminals und die 9,6 Millionen Psiphon-Nutzer sind das der Nutzerinnen und Nutzer.

Die Wende bei der Chatkontrolle

Am 26. März 2026 lehnte das Europäische Parlament mit 311 zu 228 Stimmen bei 92 Enthaltungen die Verlängerung der ePrivacy-Ausnahme ab — jenes Rechtsinstruments, das es Google, Meta, Microsoft, LinkedIn, Snap und TikTok erlaubte, private Nachrichten der Nutzerinnen und Nutzer freiwillig auf Material über sexuellen Kindesmissbrauch zu durchsuchen. Chatkontrolle 1.0 als freiwilliges Regime starb im Plenum des Parlaments. Am 3. April lief die Ausnahme rechtlich aus. Am 6. April verstrich das praktische Enddatum für jene Plattformen, die ohne rechtliche Grundlage weiter durchsuchten. Tuta: „Ihr habt es geschafft.“ Proton: „Das EU-Parlament hat sich für den Datenschutz starkgemacht.“ Patrick Breyer, früherer Europaabgeordneter der Piraten: „ein sensationeller Erfolg für die unzähligen Bürgerinnen und Bürger, die angerufen und E-Mails geschrieben haben, um ihr digitales Briefgeheimnis zu retten.“

Der 4. Mai ist zwölf Tage von heute entfernt. Die Trilogverhandlungen zur Verordnung gegen sexuellen Kindesmissbrauch — Chatkontrolle 2.0, der dauerhafte Ersatz — werden an jenem Montag wieder aufgenommen. Ein weiterer Trilog ist für den 29. Juni angesetzt. Die dänische Ratspräsidentschaft strich in ihrer allgemeinen Ausrichtung vom 26. November 2025 die Pflicht zur clientseitigen Durchsuchung — jenen architektonischen Bruch, der jede Messenger-App gezwungen hätte, Nachrichten auf dem Gerät der Nutzerin vor der Verschlüsselung zu durchsuchen. Die Streichung dieser Pflicht ist die dänische Wende, gerahmt als erwartbares Entgegenkommen gegenüber Bedenken der Mitgliedstaaten. Der Text der CSA-Verordnung behält jedoch die verpflichtende Altersverifikation bei. Der architektonische Hebel ist von einer Grenze zur nächsten gewandert.

Signal, Proton, Tuta und Threema haben jeweils öffentlich zugesagt, sich aus der EU zurückzuziehen, statt eine Pflicht zur clientseitigen Durchsuchung hinzunehmen. Meredith Whittaker von Signal auf der Plattform, die früher Twitter hieß: „Würden wir in die Lage gebracht, zwischen der Aushöhlung der Integrität unserer Verschlüsselung und unserer Datenschutzgarantien auf der einen Seite und dem Verlassen Europas auf der anderen wählen zu müssen, würden wir uns leider entscheiden, den Markt zu verlassen.“ Andy Yen von Proton bekräftigte diese Position. Matthias Pfau von Tuta, der sich entschieden hat, zu klagen statt zu gehen: „Wir werden unsere Verschlüsselung niemals schwächen oder mit einer Hintertür versehen.“ Threema: Die Chatkontrolle sei „ein beispielloser Massenüberwachungsapparat orwellschen Ausmaßes“; Threema werde, sollte sie beschlossen werden, „andere Kommunikationsdienste dazu aufrufen, gemeinsam mit uns die EU zu verlassen“. Vier Messenger, die zusammen zig Millionen europäische Nutzerinnen und Nutzer bedienen, haben sich öffentlich auf architektonische Verweigerung festgelegt.

Die Wende des Rates, die Durchsuchungspflicht fallen zu lassen, ist der Erwartungszug des Regulierers im selben Sinne wie der des Anbieters. Der Anbieter sagt, die Architektur sei so gewollt. Der Rat sagt, die Wende sei ein Verhandlungsergebnis. In beiden Fällen wird die Last von der Regierungsebene weggeschoben. Im Fall des Rates wird die Last auf die verpflichtende Altersverifikation verschoben, die keine clientseitige Durchsuchung ist, sehr wohl aber eine Nachweisprüfung mit eigener Datenschutzarchitektur — gut entworfen unter eIDAS-2.0-Wallets, schlecht entworfen, wenn sie als Ausweis-Upload oder als Konzentration bei Drittanbietern umgesetzt wird. Die Woche, in der der ANTS-Vorfall das Risiko der Portalzentralisierung sichtbar machte, ist die Woche, in der der Rat den Hebel der CSA-Verordnung still zur Altersprüfung verschob.

Die EU-Kommission testet in derselben Woche Matrix als Ergänzung und Rückfallebene zu Microsoft Teams. Matrix' föderierte Architektur ist bei Hunderttausenden Nutzerinnen und Nutzern in der deutschen Bundeswehr und in der französischen Regierung im Einsatz, im österreichischen Gesundheitswesen und bei der Schweizerischen Post, beim NATO CCDCOE und bei NATO ACT. Element, der kommerzielle Betreuer des Referenz-Matrix-Clients, meldet ein Wachstum der Registrierungen aus dem Gegenwind gegen Discords Altersverifikation im Februar, das über das Februar-Fenster hinaus anhält. Laut Matrix stehen fünfunddreißig Länder in operativen Gesprächen über einen Einsatz. Die Infrastruktur der souveränen Präferenz wird parallel zur Regulierungsdebatte gewählt.

Chatkontrolle 2.0 am 4. Mai ist die nächste Sprosse. Der Erfolg vom 3. April ist die erste architektonische Sprosse des EU-Zyklus 2026. Die architektonische Verweigerung der Messenger steht so oder so bereit.

30. April

Die Verfahrensabstimmung des US-Repräsentantenhauses über eine unveränderte Verlängerung von Section 702 des Foreign Intelligence Surveillance Act um 18 Monate scheiterte in den frühen Morgenstunden des Freitags, des 17. April, mit 197 zu 228 Stimmen. Zwanzig Republikaner stimmten mit den Demokraten gegen die Verfahrensregel. Eine frühere Verfahrensabstimmung über ein Änderungspaket — den Änderungsantrag des Abgeordneten Andy Biggs zum Richtervorbehalt und dessen Paketpartner — war mit 200 zu 220 Stimmen bei 12 republikanischen Abweichlern gescheitert. Nachdem der unveränderte Weg versperrt war, brachte der Sprecher des Repräsentantenhauses Mike Johnson gegen 2 Uhr morgens eine Verlängerung um 10 Tage im Wege der Einstimmigkeit durch. Der Senat billigte die Verlängerung später am Freitag per Stimmabgabe ohne Auszählung. Präsident Trump unterzeichnete am Samstag. Aus dem ursprünglichen Auslaufdatum von Section 702 am 20. April wurde der 30. April.

Die Rebellion war kein Einzelfall. Der Freedom Caucus hat sich beim Richtervorbehalt für Abfragen zu US-Personen mit dem Congressional Progressive Caucus verbündet — eine überparteiliche Koalition von besonderer Stabilität. Der Abgeordnete Jim Jordan, Vorsitzender des Justizausschusses des Repräsentantenhauses, kehrte öffentlich sein Jahrzehnt des Eintretens für den Richtervorbehalt um und unterstützte die unveränderte Verlängerung mit der Begründung: „Es ist heute ein anderes Programm“; „Section 702 verleiht die notwendige Befugnis, und sie hat sich als eines der wirksamsten Werkzeuge der Nation erwiesen.“ Jordans Kehrtwende ist selbst das Signal. Die Koalition, die sich gegen seine Kehrtwende hält — Biggs, Davidson, Massie, Roy, die zwanzig, die mit Nein stimmten —, ist der institutionelle Widerstand gegen die Erwartungsrahmung der unveränderten Verlängerung.

Senator Mike Lee und Senator Ron Wyden brachten im März den Government Surveillance Reform Act of 2026 ein. Es ist eine vierjährige Verlängerung von Section 702 mit einem Richtervorbehalt für Abfragen zu US-Personen, der Schließung des Datenhändler-Schlupflochs und der Aufhebung der Ausweitung auf Electronic Communication Service Provider von 2024. Zu den Mitantragstellern zählen die Senatorinnen Cynthia Lummis und Elizabeth Warren. Federführend im Repräsentantenhaus: die Abgeordneten Warren Davidson und Zoe Lofgren. Senator Lee und Senator Dick Durbin brachten gesondert den enger gefassten SAFE Act ein. Die reformerische Architektur existiert als Senatstext; das Vehikel ist aktiv. Der Mehrheitsführer im Senat John Thune nach dem Scheitern im Repräsentantenhaus am Freitag: „Wir müssen umschwenken und herausfinden, was mehrheitsfähig ist.“

Der Abgeordnete Jamie Raskin, ranghöchster Demokrat im Justizausschuss des Repräsentantenhauses, nannte die unveränderte Verlängerung einen „schmutzigen Deal“. Der Änderungsantrag des Abgeordneten Jerry Nadler von 2024 gegen Hintertür-Durchsuchungen scheiterte mit 212 zu 212 an einem Patt; die Koalition von 2026 versucht, diesen Präzedenzfall zu vermeiden. Der Abgeordnete Thomas Massie legte sich öffentlich fest: „Ich werde bei der Schlussabstimmung über das FISA-702-Verlängerungsgesetz mit NEIN stimmen, wenn es keine Richtervorbehaltsregelung enthält.“

Am 30. April — acht Tage von heute — bekommt Section 702 entweder eine mehrjährige Verlängerung mit angehängten Reformen, eine kürzere Übergangslösung, ein Auslaufen oder, unwahrscheinlich, eine unveränderte Verlängerung über ein im Senat beginnendes Verfahren. Jedes Ergebnis hängt davon ab, was der Senat in der kommenden Woche liefert.

Die Erwartungsrahmung der Führung des Repräsentantenhauses — dass Jim Jordans Kehrtwende eine pragmatische Neujustierung und die unveränderte Verlängerung der realistische Weg gewesen sei — ist das Vokabular des Regierungs-Nullzustands. Die Koalition gegen diese Rahmung ist die Nachricht. Vier Monate in der Mache.

Der Stack von URnetwork und der offenen Quellen wartet nicht auf die Abstimmung. Nutzerseitig gehaltene Schlüssel, Peer-to-Peer-Transport, föderierte Moderation, selbst gehostete Agenten — jedes davon ist eine Milderung, die unabhängig davon ausgeliefert wird, was der Kongress mit 702 macht. Am 30. April wird die rechtliche Grundlinie entschieden. Die architektonische Alternative führt die technische Grundlinie seit einem Jahrzehnt vor.

Die zweite Anordnung

Am 7. April 2025 — letztes Jahr, nicht dieses, auch wenn die Verwechslung nachvollziehbar ist — wiesen Lord Justice Rabinder Singh und Justice Jeremy Johnson vom britischen Investigatory Powers Tribunal den Antrag des Innenministeriums zurück, Apples Anfechtung einer Technical Capability Notice geheim zu halten. Die im Januar 2025 an Apple zugestellte Anordnung verlangte weltweiten Zugriff auf iCloud-Daten, die durch Advanced Data Protection geschützt sind. Apple hatte ADP im Februar 2025 im Vereinigten Königreich zurückgezogen, statt sie zu befolgen. Die Entscheidung von Singh und Johnson machte das Verfahren öffentlich. Privacy International und Liberty traten als Nebenbeteiligte bei. Der Beitrittsantrag von WhatsApp wurde abgelehnt. Apples erste Beschwerde war auf Kurs.

Im August 2025 sagte die Geheimdienstkoordinatorin Tulsi Gabbard öffentlich, das Vereinigte Königreich habe die Anordnung nach Druck von Trump und Vance fallen lassen — Trump soll Premierminister Keir Starmer gesagt haben: „Das könnt ihr nicht machen“, und Vance nannte die Anordnung „verrückt“. Im September 2025 erließ das Innenministerium eine zweite Technical Capability Notice, beschränkt auf Nutzerinnen und Nutzer im Vereinigten Königreich und gebilligt durch den Investigatory Powers Commissioner Sir Brian Leveson. Am 14. Oktober 2025 wies das IPT Apples erste Beschwerde unter Verweis auf eine "change in circumstances" (Änderung der Umstände) zurück — nämlich die faktische Rücknahme der ersten Anordnung. Apples Anfechtung der zweiten, auf das Vereinigte Königreich beschränkten Anordnung läuft im Verfahren vor dem IPT weiter. Eine siebentägige Anhörung zu "assumed facts" (unterstellten Tatsachen) war nach der Verfahrensverfügung von Singh und Johnson vom Juli 2025 für Anfang 2026 angesetzt. Stand 22. April 2026 bestätigt keine öffentliche Berichterstattung, dass diese Anhörung stattgefunden hat.

Apple hat Advanced Data Protection im Vereinigten Königreich nicht wieder freigeschaltet. Die zweite TCN bleibt in Kraft. Caroline Wilson Palow von Privacy International: Die enger gefasste zweite Anordnung „könnte für die weltweite Sicherheit und Privatsphäre eine ebenso große Bedrohung sein wie die alte“. Apples Position bleibt: „Wir haben nie eine Hintertür oder einen Generalschlüssel zu irgendeinem unserer Produkte oder Dienste gebaut, und wir werden es nie tun.“

Die architektonische Haltung ist dieselbe wie die der Messenger, die sich der CSA-Verordnung verweigern. Wenn der Regulierer versucht, den Kompromiss in die Verschlüsselung hineinzukonstruieren, zieht der Anbieter die Funktion zurück, statt Kompromisse zu machen. Die Kosten sind real — britische Nutzerinnen und Nutzer haben kein ADP. Die Haltung bleibt gewahrt — die Verschlüsselungsarchitektur ist nirgends und für niemanden kompromittiert.

Ofcoms endgültige Leitlinien zu "accredited technologies" (akkreditierten Technologien) für die CSAM-Erkennung nach dem Online Safety Act werden für das Frühjahr 2026 erwartet; die Behörde hat Zurückhaltung signalisiert, clientseitige Durchsuchung vorzuschreiben, behält die gesetzliche Befugnis dazu aber bei. Am 21. April 2026 eröffnete Ofcom eine förmliche Untersuchung gegen Telegram wegen mutmaßlicher Compliance-Verstöße bei CSAM nach Section 10 des OSA. Mögliche Bußgelder: 18 Mio. £ oder 10 Prozent des weltweiten Umsatzes.

Die Umleitung des Innenministeriums — die erste Anordnung zurückziehen, die zweite, engere, leisere erlassen — ist das erklärte erwartete Rechtsverfahren des Staates. Der Präzedenzfall ist exportfähig. Frankreich, Deutschland, Australien und die übrigen Five-Eyes-Partner schauen zu. Die architektonische Verweigerungshaltung von Apple, der Messenger im Streit um die CSA-Verordnung und des Einsatzes föderierter Alternativen ist die Antwort.

Das Regierungsvokabular

Sechs Erklärungen, drei Kontinente, ein Wort. Anthropic in Kalifornien: MCP-RCE ist erwartetes Verhalten. Das französische Innenministerium in Paris: IDOR bei der ANTS ist ein wirklich dummer Fehler, was eine andere Art ist zu sagen: „Wir haben das nicht erwartet, und wir ändern die Architektur nicht.“ Das iranische Regime in Teheran: kein klarer Zeitplan, besondere Kriegsbedingungen. Der Europäische Rat unter dänischer Präsidentschaft in Brüssel: Die Streichung der Pflicht zur clientseitigen Durchsuchung ist ein Verhandlungsergebnis. Die republikanische Führung des US-Repräsentantenhauses: Jim Jordans Kehrtwende ist eine Neujustierung; die unveränderte Verlängerung ist der verantwortungsvolle Weg. Das britische Innenministerium in London: Die zweite TCN ist das erwartete Rechtsverfahren.

In jedem Fall ist „erwartet“ der Zug der Entscheidungsträger, eine Folge in einen Eingangswert statt in ein Ergebnis umzuetikettieren — in etwas, das hinzunehmen ist, statt in etwas, gegen das zu konstruieren wäre. Es ist der Nullzustand der Regierungsführung. Die Verantwortung wandert weg vom Anbieter, vom Regulierer, von der Regierung — und hin zur nachgelagerten Entwicklerin, zur kompromittierten Bürgerin, zur abgeschalteten Bevölkerung, zur widersprechenden Abgeordneten, zum sich zurückziehenden Messenger, zur Nutzerin.

Die Gegenmodelle dieser Woche sind konkret.

LiteLLM patchte am 21. April seine MCP-Befehlsverarbeitung mit einer expliziten Allowlist — npx, uvx, python, python3, node, docker, deno —, Pydantic-Validierung und einer Registrierungspflicht für Server, die nur Administratoren offensteht. Das Projekt behandelte die Schwachstelle als seine eigene Verantwortung, nicht als die des vorgelagerten Anbieters. Das ist architektonische Verantwortung im Zeitalter des erwarteten Verhaltens: Wenn das Protokoll sich weigert zu handeln, handelt die nachgelagerte Seite trotzdem. DocsGPT und Bisheng entschieden ebenso. Die ungepatchten Projekte — Windsurf, LangChain-Chatchat, Fay, Agent Zero, Upsonic, Flowise, GPT Researcher, MCP Inspector, LangFlow — sind der Preis dieser Woche für die Kaskade. Das Patch-Datum jedes einzelnen ist seine Antwort auf die Frage, ob es Anthropics erklärtes Erwartetes als Untergrenze der Regierungsführung akzeptiert.

Die Zusagen von Signal, Proton, Tuta und Threema, sich aus der EU zurückzuziehen, sind das andere Gegenmodell. Wenn der Regulierer versucht, den Kompromiss in den Code hineinzukonstruieren, zieht der Anbieter die Funktion zurück, statt Kompromisse zu machen. Die architektonische Haltung bleibt anderswo gewahrt. Tuta hat einen zweiten Zug hinzugefügt — eine Klage gegen die EU —, der sich weigert, den Rückzug als einzige Option zu akzeptieren.

Apples Rückzug von ADP im Vereinigten Königreich ist dieselbe Haltung auf der Ebene von Hardware und Cloud.

Die 50.000 Starlink-Terminals, die im Iran gegen ein Gesetz mit Todesstrafe in Betrieb sind, die 9,6 Millionen täglichen iranischen Psiphon-Nutzer, die Schwarzmarkt-Internetübertritte über Kapıköy — das sind die Gegenmodelle der Nutzerinnen und Nutzer. Die Bevölkerung hat nicht auf den Zeitplan des Regimes gewartet. Sie hat ihren eigenen gebaut.

Die zwanzig Republikaner im Repräsentantenhaus, die am 17. April gegen die unveränderte Verfahrensregel zu Section 702 stimmten, sind das institutionelle Gegenmodell. Jim Jordan erklärte etwas für erwartet. Zwanzig sagten Nein.

Das Europäische Parlament lehnte am 26. März die Verlängerung der Chatkontrolle 1.0 mit 311 zu 228 Stimmen ab. Das ist das Gegenmodell von Bürgerschaft und Parlament. Die anschließende Wende der dänischen Ratspräsidentschaft, die Durchsuchungspflicht zu streichen, ist das politische Nachspiel; die Abstimmung im Parlament ist die architektonische Entscheidung.

Der Einsatz-Stack

Für die Nutzerin ist die Frage nicht, welchem Gegenmodell zu applaudieren ist. Die Frage ist, welcher architektonische Stack auszurollen ist.

Nutzerseitig gehaltene Schlüssel. Signal, Proton, Tuta, Threema, Apple iMessage mit ADP außerhalb des Vereinigten Königreichs, Matrix mit geräteweise quersignierten Schlüsseln. Der Anbieter kann nicht gezwungen werden herauszugeben, was der Anbieter nicht hält. Die architektonische Haltung ist Verweigerung aus Prinzip, und sie ist empirisch wirksam: Wenn der Regulierer die Architektur testet, zieht der Anbieter die Funktion zurück, statt den Schlüssel zu kompromittieren.

Föderierte Kommunikation. Matrix in 35 Ländern, bei der Bundeswehr, beim NATO CCDCOE, in der Erprobung bei der EU-Kommission. Bluesky mit 42 Millionen. Mastodon mit 10 Millionen. Die Voreinstellung des Einzelbetreibers hat eine föderierte Alternative mit eigenem Graphen, eigenem Publikum und eigener kommerzieller Ökologie. Föderation heißt: Die Moderationsentscheidung ist zusammensetzbar, der Migrationsweg ist portabel, und der Single Point of Failure fehlt architektonisch.

Nutzerseitig gehaltene Identität. eIDAS-2.0-Wallets bis zum 31. Dezember 2026 in jedem EU-Mitgliedstaat. France Identité für Frankreich. Die Referenz-App der EU zur Altersverifikation, technisch einsatzbereit seit dem 15. April. Selektive Offenlegung — den Nachweis über 18 zu erbringen, ohne den Namen zu teilen, die Staatsbürgerschaft nachzuweisen, ohne das Geburtsdatum zu teilen — ist das architektonische Gegenteil des ANTS-Portals. Die Wallet speichert Nachweise auf dem Gerät der Nutzerin; die vertrauende Stelle erfährt nur, was die Nutzerin offenlegen will. Der Dezember-Termin ist einer der schnellsten Übergänge einer Nachweisarchitektur in der Geschichte der europäischen Digitalverwaltung.

Peer-to-Peer-Transport. URnetworks Relay über Knoten an Wohnanschlüssen. Tor, Psiphon, Outline, Shadowsocks, V2Ray, Trojan, NaïveProxy, Tor Snowflake. WireGuard als Standard für Verbraucher-VPNs mit 94 Prozent. Dezentrale VPNs mit einem Wachstum von 140 Prozent im Jahresvergleich. Transport, der um die Trägerebene herumführt, ist die Antwort auf Ebene 1 auf eine Verweigerung auf Ebene 1. Der Iran ist der derzeitige harte Test. Russland ist der Test des schleichenden Drucks. Die architektonische Antwort ist in beiden Fällen identisch; der tägliche Druck ist verschieden.

Selbst gehostete Agenten. LangChain mit bereinigter MCP-Verarbeitung. LlamaIndex mit TrustedAgentWorker. Ollama für lokale Inferenz. Die föderierte MCP-Gemeinschaft ist eine parallele Architektur zu der Anthropics mit einem einzigen Betreiber. Die nachgelagerten Patches (LiteLLMs vom 21. April) sind die Brückenarchitektur, bis die föderierte Steuerung aufholt. Microsofts Agent Governance Toolkit (2. April) ist ein Beitrag zur Laufzeitsicherheit.

Offene Firmware auf Nutzerhardware. Klipper, Marlin, Duet auf 3D-Druckern gegen den New Yorker Gesetzentwurf Part C zum Firmware-Filter. OpenWRT auf Routern. Lineage OS und GrapheneOS auf Telefonen, wo die Hardware es erlaubt. Das Gerät der Nutzerin führt Code aus, den die Nutzerin prüfen kann. Die staatlich vorgeschriebene Firmware des Anbieters ist durch die von der Gemeinschaft geprüfte Firmware ersetzbar. Das Gerät ist das Gerät der Nutzerin.

Jede Schicht wird heute ausgeliefert. Keine ist die Voreinstellung. Die Einsatzentscheidung ist die Architektur, und die Architektur ist die Antwort auf das Regierungsvokabular.

Was zu tun ist

Wenn Sie einen KI-Agenten oder Copiloten betreiben: Prüfen Sie Ihre MCP-Exposition. Das Patch-Set von LiteLLM (v1.83.7-stable) ist die Vorlage dieser Woche für Bereinigung auf der nachgelagerten Ebene. Wenn Ihr Stack Windsurf, Cursor, LangFlow, Flowise, Agent Zero, Upsonic, GPT Researcher oder MCP Inspector enthält: patchen oder tauschen. Rollen Sie föderiertes MCP aus — ein organisationsinternes Register geprüfter Server mit von der Gemeinschaft verifizierter Signierung — für jede Agenten-Last, bei der der Wirkungsradius zählt.

Wenn Sie in Frankreich wohnen oder allgemein EU-Bürgerin sind: Der ANTS-Vorfall erfordert außer Aufmerksamkeit keine Handlung. Nuñez' Behörde wird per Post oder E-Mail benachrichtigen. Die Betrugs-Hotline 0 805 805 817 ist der Meldeweg der französischen Regierung. Achten Sie auf gezieltes Phishing, das an Ihre konkrete ANTS-Login-ID, Ihre E-Mail-Adresse oder Ihr Geburtsdatum anknüpft. Trauen Sie E-Mails von ants.gouv.fr, die in den kommenden Wochen eintreffen, nicht ohne Prüfung über einen zweiten Kanal. Aktivieren Sie 2FA bei der ANTS. Migrieren Sie, sobald France Identité und die eIDAS-2.0-Wallet verfügbar werden.

Wenn Sie Familie oder Interessen im Iran haben: Die Abschaltung ist bei Tag 54 ohne erklärtes Enddatum. VPN, Psiphon, Shadowsocks, V2Ray, Tor Snowflake und URnetworks Peer-Relay sind die verfügbaren Werkzeuge auf Nutzerebene. Starlink birgt das Risiko der Todesstrafe. Die NPR-Geschichte ist die derzeitige Bodenwahrheit: Die Antwort der Bevölkerung ist widerstandsfähig, erfinderisch, teuer und bei den derzeitigen Kosten nicht durchzuhalten.

Wenn Sie einen verschlüsselten Messenger betreiben oder nutzen: Der Trilog zur Chatkontrolle 2.0 wird am 4. Mai fortgesetzt. Signal, Proton, Tuta und Threema sind architektonisch festgelegt. Apples Lage mit der zweiten TCN im Vereinigten Königreich ist die Schablone dafür, wie staatlicher Druck unter einer weniger konfrontativen Haltung aussieht — die Funktion zurückziehen, die Architektur bewahren. Nutzerinnen und Nutzer mit britischer Adresse sind bereits ohne ADP. Nutzerinnen und Nutzer mit EU-Adresse befinden sich in einem Zwölf-Tage-Fenster bis zur nächsten Sprosse.

Wenn Sie eine US-Person sind: Die Frist zu Section 702 am 30. April ist acht Tage entfernt. Der Senat wird auf den Weg bringen, was das Repräsentantenhaus nicht unverändert beschließen kann. Beobachten Sie die Texte von GSRA und SAFE Act — das sind die reformerischen Vehikel. Die Architekturen nutzerseitig gehaltener Schlüssel und des Peer-to-Peer-Transports sind unabhängig vom Abstimmungsergebnis Milderungen.

Wenn Sie Infrastruktur betreiben: eIDAS-2.0-Konformität (31. Dezember 2026 für die Verfügbarkeit der Wallet), Pflichten der zweiten DSA-Welle (Audits beginnen im Januar 2027), Schließung des Kulanzfensters beim DSP am 8. Juli, Beginn der Durchsetzung am 6. Oktober. Die Compliance-Kalender laufen parallel. Planen Sie entsprechend.

Der Nullzustand der Regierungsführung ist die Haltung derjenigen Entscheidungsträger des Jahres 2026, die Folgen lieber für erwartet erklären, als gegen sie zu konstruieren. Es ist nicht die Haltung der Nutzerin. Es muss nicht die Haltung des Stacks sein. Jeder ausgerollte föderierte Messenger, jede Verschlüsselung mit nutzerseitig gehaltenen Schlüsseln, jede Wallet mit selektiver Offenlegung, jeder Peer-to-Peer-Transportknoten, jedes gepatchte nachgelagerte MCP-Projekt, jeder von der Gemeinschaft geprüfte Firmware-Stand, jede Stimme gegen eine unveränderte Verlängerung ist die architektonische Antwort.

Erwartet ist der Nullzustand der Regierungsführung. Verantwortlich ist die Architektur, die Sie wählen.

Das Aave-Governance-Forum füllte sich zum Morgengrauen der US-Pazifikzeit am Dienstag, dem 21. April, mit Aktivität. Der 26-seitige Vorfallbericht, den Llamarisk und zwei weitere Risikodienstleister am Vorabend eingestellt hatten, legte die konkrete Entscheidung dar, die die Aave-DAO treffen muss — und er legte sie als Binärentscheidung mit enormen Folgen an beiden Polen dar.

Szenario eins: den Verlust sozialisieren. Der Exploit erzeugte 112.204 ungedeckte rsETH — Token, die on chain existieren, denen aber keine entsprechende ETH-Deckung im Kelp-Tresor gegenübersteht, weil der Angreifer diese ETH über die kompromittierte LayerZero-Bridge abgezogen hat. Wenn die Kelp-DAO beschließt, dieses ungedeckte Angebot gleichmäßig über das gesamte im Umlauf befindliche rsETH zu verteilen, trägt jede rsETH-Halterin eine Abkopplung von 15,12 Prozent — einschließlich der Halterinnen auf dem Ethereum-Mainnet, die die ausgenutzte L2-Bridge nie berührt haben. Speziell bei Aave ergeben sich daraus geschätzte 123,7 Mio. US-Dollar uneinbringlicher Forderungen, wobei der größte absolute Treffer von rund 91,8 Mio. US-Dollar auf den rsETH-Markt von Ethereum Core entfällt.

Szenario zwei: den Verlust isolieren. Wenn die Kelp-DAO beschließt, dass die ungedeckten rsETH in den konkreten L2-Märkten zu konzentrieren sind, in denen die Bridge betrieben wurde, trägt der rsETH-Pool auf Mantle eine WETH-Unterdeckung von 71,45 Prozent und der rsETH-Pool auf Arbitrum eine von 26,67 Prozent. rsETH auf Ethereum Core handelt weiterhin zum vollen Wert. Aaves uneinbringliche Forderung steigt in diesem Szenario auf 230,1 Mio. US-Dollar, konzentriert auf Aaves Deployments auf Mantle und Arbitrum.

Zwischen den beiden Szenarien liegt eine philosophische Lücke von 106,4 Mio. US-Dollar. Den Verlust zu sozialisieren ist ein Prinzip der Nutzergemeinschaft: Alle rsETH-Halterinnen profitieren von der Existenz des Protokolls und tragen das Systemrisiko anteilig. Den Verlust zu isolieren ist ein Prinzip der individuellen Verantwortung: Wer sich für die riskantere L2-Exposition entschieden hat, hat das höhere Risiko akzeptiert und trägt die konzentrierte Folge. Keines der beiden Prinzipien ist eindeutig richtig. Beide sind vertretbar. Die Aave-Abstimmung — und die Kelp-Abstimmung, die ihr vorausgeht und sie steuert — wird den Präzedenzfall dafür setzen, wie die dezentrale Finanzwelt katastrophale Verlustverteilung künftig handhabt.

Aaves Instrumentenkasten für den Wiederaufbau ist selbst mehrstufig. Die DAO-Schatzkammer hielt zum Bericht vom 20. April 181 Mio. US-Dollar einsetzbares Kapital, eine Position, die per Governance-Abstimmung nach Ermessen eingesetzt werden kann. Das Aave Safety Module — der von Stakern getragene Versicherungspool, in dem AAVE- und ABPT-Halterinnen im Tausch gegen Rendite ein Slashing-Risiko akzeptieren — war vor dem Vorfall auf ungefähr 500 Mio. US-Dollar bemessen, mit einer Slashing-Obergrenze von 30 Prozent, was rund 150 Mio. US-Dollar maximaler Verlustaufnahme entspricht. Die Ausgabe neuer Token, die alle AAVE-Halterinnen zur Finanzierung von Entschädigungen verwässern würde, bleibt eine theoretische Governance-Option. Ökosystempartner — Market Maker, große USDT- und USDC-Halter, die kommerzielle Gesellschaft Aave Companies und möglicherweise Tether — werden im Bericht so beschrieben, dass man "securing indicative recovery commitments" betreibe, also indikative Zusagen zum Wiederaufbau einhole. Der kombinierte Instrumentenkasten kann bei angemessenem Einsatz das Ergebnis von Szenario eins oder Szenario zwei auffangen. Die Governance-Frage ist, welche Kombination.

Der Präzedenzfall Drift

Vier Tage vor dem Kelp-Vorfallbericht, am 16. und 17. April, ging eine andere Wiederaufbauarchitektur in Betrieb. Tether sagte 127,5 Mio. US-Dollar eines insgesamt 150 Mio. US-Dollar schweren Rettungsplans für das Drift Protocol zu, nach dem Exploit dieses Protokolls am 1. April — dem Angriff, der mit mittlerer Zuversicht derselben TraderTraitor-Untereinheit der DVRK zugeschrieben wird, die anschließend Kelp ausnutzte. Die Struktur war weder Versicherung noch direkte Rettung. Eine umsatzgebundene Kreditlinie über 100 Mio. US-Dollar streckt Kapital gegen Drifts künftige Handelserlöse vor; Ökosystem-Zuschüsse finanzieren einen eigenen Wiederaufbaupool für Nutzerinnen und Nutzer; Darlehen an Market Maker bringen die Liquidität wieder in Gang. Drifts primäres Abwicklungsvermögen wechselt von USDC zu USDT und bringt damit 128.000 Nutzerinnen und Nutzer sowie 35 Ökosystem-Teams zum Handel auf USDT-Basis. Die Vereinbarung zielt darauf, über ein mehrjähriges Rückzahlungsfenster ungefähr 295 Mio. US-Dollar an Nutzerverlusten wiederherzustellen, abhängig von Drifts Handelsvolumen nach dem Neustart.

Die Struktur ist neu in DeFi. Der Schutz gegen Impermanent Loss von Bancor V3 im Jahr 2022 war eine protokollinterne Versicherung, die abgewickelt wurde, nachdem die Verluste die Reserven überstiegen. Die gepoolte Deckung von Nexus Mutual arbeitet im Maßstab von 5 bis 20 Millionen Dollar. Tethers Zusage an Drift ist der erste neunstellige Einsatz eines Kreditgebers letzter Instanz aus der Privatwirtschaft in DeFi. Er schafft einen Präzedenzfall. Er etabliert Tether zugleich als eine funktional neue Kategorie von Marktakteur.

Die Analogie J.P. Morgan 1907

Die nächstliegende historische Analogie ist weder die Federal Reserve noch eine Geschäftsbank. Es ist die Panik von 1907 und die private Intervention von J.P. Morgan Sr. Im Oktober 1907, als ein kaskadierender Bankensturm das New Yorker Finanzsystem bedrohte, versammelte Morgan die Bankiers New Yorks in seiner Bibliothek an der Wall Street und sagte persönlich 25 Mio. Dollar an Kredit zu, um die Gegenparteien der Knickerbocker Trust zu stabilisieren und eine breitere Ansteckung zu verhindern. Das US-Finanzministerium stellte nachrangiges Rückhaltekapital. Morgan war eine Privatperson, die als privater Kreditgeber letzter Instanz auftrat. Seine Intervention stabilisierte den Markt in jenem Moment. Sie legte zugleich die Unzulänglichkeit ad hoc organisierter privater Stabilisierung als Architektur offen, und sechs Jahre später, 1913, schuf der Kongress die Federal Reserve als institutionellen Kreditgeber letzter Instanz mit Mandat des Kongresses, Diskontfenster und Mindestreserveanforderungen.

Tether nimmt im April 2026 für die dezentrale Finanzwelt die Rolle von J.P. Morgan 1907 ein. Das Unternehmen hat für 2025 einen Gewinn von ungefähr 13 Mrd. US-Dollar berichtet und beansprucht testierte Reserven von ungefähr 193 Mrd. Dollar — Kapazität genug, um binnen Tagen mehr als 100 Mio. US-Dollar an Wiederaufbaukapital einzusetzen. Die kommerzielle Motivation liegt auf der Hand: Ausweitung des USDT-Marktanteils zulasten von Circle, Positionierung als systemische DeFi-Infrastruktur, politisches Wohlwollen für künftige regulatorische Gespräche. Die Struktur ist ad hoc: Tether wählte Drift; Tether hat Kelp (öffentlich, Stand dieser Veröffentlichung) nicht gewählt; die Auswahlkriterien bleiben kommerziell-strategisch statt systemisch. Die regulatorische Lage ist undurchsichtig: Tether operiert aus El Salvador und hat mehrere US-Aufsichtsverfahren geführt und verglichen, ohne einer förmlichen Zentralbankaufsicht zu unterstehen.

Nichts davon ist zwingend schlecht. Morgans Intervention von 1907 stoppte bei aller Formlosigkeit eine Finanzpanik, die die öffentlichen Institutionen jener Zeit nicht stoppen konnten. Was Morgans Intervention von 1907 offenlegte, war die Unzulänglichkeit der Architektur, und die Federal Reserve von 1913 formalisierte eine öffentliche Alternative. Der Pfad von Tethers Rolle im Jahr 2026 ist derselbe. Ob die Formalisierung bis 2028 über MiCA Phase 2 in der EU kommt, bis 2030 über eine US-Bundesregulierung der Kryptomärkte, bis 2032 über irgendeine Kombination aus einzelstaatlicher und internationaler Koordination — das Ziel ist wahrscheinlich ein formaler Rahmen, in dem Tethers private Rolle entweder verdrängt oder neben einem öffentlichen Äquivalent eines Kreditgebers letzter Instanz reguliert wird. Die dazwischenliegenden Jahre sind die architektonisch hybride Zeit.

Die Verantwortungskaskade

Der Kelp-Exploit hat eine spezifische Verantwortungskaskade erzeugt, die zeigt, wie sich Restverluste in DeFi verteilen. An der Spitze der Kaskade steht der Angreifer — die TraderTraitor-Untereinheit der Lazarus-Gruppe, wie LayerZero am Montag öffentlich zuschrieb —, der 292 Mio. US-Dollar erfolgreich aus der Nutzerwirtschaft entfernt und diese Mittel Nordkoreas kumuliertem Kryptodiebstahlkonto von 6,75 Mrd. US-Dollar aller Zeiten hinzugefügt hat, das Kernwaffen- und ballistische Raketenprogramme finanziert. Es gibt keinen Wiederbeschaffungsmechanismus, der die DVRK erreicht. Jeder weitere Dollar der Verlustzuweisung fällt zwischen Parteien auf der Verteidigerseite an.

Die Kelp-DAO hält das Protokoll, durch das der Angriff floss. Ihre Governance muss entscheiden, wie die 112.204 ungedeckten rsETH unter ihren Beteiligten verteilt werden — Szenario eins oder Szenario zwei. Die Entscheidung betrifft rsETH-Halterinnen unmittelbar, KELP-Token-Halterinnen über Reputations- und Governance-Wirkung sowie nachgelagerte Protokolle, die rsETH als Sicherheit akzeptieren.

LayerZero betrieb die Infrastruktur für chainübergreifende Nachrichten, deren 1-von-1-Verifiziererkonfiguration den Angriff ermöglichte. LayerZeros Post-mortem vom Montag schrieb die Konfigurationsentscheidung Kelp zu und wies darauf hin, dass die Integrationsdokumentation und direkte Kommunikation eine Mehrfach-Verifizierer-Einrichtung empfohlen hätten. Kelps Erwiderung, binnen Stunden veröffentlicht, machte geltend, der 1-von-1-Verifizierer sei LayerZeros Voreinstellung gewesen und der kompromittierte Verifizierer sei LayerZero Labs selbst gewesen. Der Streit bleibt ungeklärt; die Verantwortungsfrage steht offen.

Aave V3 akzeptierte rsETH als Sicherheit zu Marktparametern und trägt je nach Kelps Sozialisierungsentscheidung 123,7 Mio. bis 230,1 Mio. US-Dollar uneinbringlicher Forderungen. Die Staker im Safety Module von Aave tragen Slashing-Risiko; AAVE-Token-Halterinnen tragen über eine mögliche Token-Ausgabe Verwässerungsrisiko. Die Schatzkammer der Aave-DAO hält 181 Mio. US-Dollar für einen möglichen Einsatz. Protokollübergreifende Koordination mit Compound, Fluid, SparkLend, Euler und mehreren kleineren Kreditprotokollen (die alle ihre rsETH-Märkte binnen 48 Stunden nach dem Kelp-Abfluss einfroren) begrenzt den Schaden, macht ihn aber nicht rückgängig.

Die Nutzerin — die Einlegerin, die rsETH bei Aave platzierte, oder die direkte Halterin von rsETH bei Kelp — sitzt am unteren Ende der Kaskade. In der traditionellen Finanzwelt stünde die entsprechende Einlegerin an der Spitze der Schutzhierarchie, mit einer FDIC-Einlagensicherung von bis zu 250.000 US-Dollar und einer Bankenabwicklungsregulierung, die die Befriedigung der Einleger vor Aktionären, nachrangigen Gläubigern und unbesicherten Anleihegläubigern priorisiert. In DeFi ist die Nutzerin heute nachrangig gegenüber der Protokoll-Governance, den Entscheidungen der Token-Halter und dem Ermessen der Ökosystempartner. Der Wiederaufbau ist partiell, zeitverzögert und abhängig von Governance-Ergebnissen, über die die Nutzerin nicht abgestimmt hat.

Diese Umkehrung — die Nutzerin als Nachrangigste in DeFi gegenüber der Nutzerin als Vorrangigster in TradFi — ist die strukturelle Anomalie. Die im April 2026 entstehende Wiederaufbauarchitektur begegnet der Umkehrung allmählich, aber nicht vollständig und nicht förmlich.

Das Krisenvokabular

Die traditionelle Bankenkrise hat ein Vokabular aus Bailout, Bail-in und Haircut. Jeder Begriff beschreibt einen spezifischen Mechanismus der Verlustverteilung.

Bailout: Kapitalzufuhr von außen. Eine öffentliche oder private Stelle außerhalb des scheiternden Instituts stellt Kapital bereit, um Verluste zu decken und die Solvenz wiederherzustellen. US-amerikanisches TARP 2008–2009 (700 Milliarden Dollar), Rettung der RBS im Vereinigten Königreich 2008, Rettung der UBS in der Schweiz 2008. Das DeFi-Äquivalent: Tethers Zusage an Drift. Externes Kapital von einer Partei außerhalb von Drift.

Bail-in: Verluste werden von den Beteiligten des scheiternden Instituts getragen. Zuerst die Aktionäre (ausgelöscht), zweitens die nachrangigen Gläubiger (umgewandelt oder ausgelöscht), drittens die unbesicherten Gläubiger (teilweiser Abschlag). EU-BRRD (Richtlinie über die Sanierung und Abwicklung von Kreditinstituten) 2014, Zypern 2013. Das DeFi-Äquivalent: Slashing im Aave Safety Module. AAVE-Staker tragen Slashing zur Deckung uneinbringlicher Forderungen; AAVE-Halterinnen tragen Verwässerung durch Emission.

Haircut: teilweiser Verlust auf Einlagen oder Forderungen. Die Einlegerin verliert einen Prozentsatz ihrer Forderung. Abschläge auf Bankeinlagen in Griechenland 2015 während der Kapitalverkehrskontrollen. Das DeFi-Äquivalent: Kelps Sozialisierung nach Szenario eins. rsETH-Halterinnen tragen anteilig eine Abkopplung von 15,12 Prozent.

Das Muster klärt die Lage. DeFis Antwort im April 2026 kombiniert Bailout (Tether an Drift) + Bail-in (Slashing im Aave Safety Module) + Haircut (potenzielle Sozialisierung bei Kelp) + informelle Umschuldung (umsatzgebundener Kredit). Das Vokabular passt; die Mechanismen entstehen in Echtzeit; den formalen Rahmen gibt es noch nicht.

Eine konkrete Beobachtung: Im traditionellen Bankwesen endet die Bail-in-Hierarchie bei den unbesicherten Einlegern oberhalb einer gesetzlichen Untergrenze, typischerweise 100.000 € in der EU oder 250.000 US-Dollar in den USA. DeFi hat keine entsprechende Untergrenze zum Einlegerschutz. Die Mechanismen vom April 2026 verteilen Verluste ohne ein Schutzminimum für Nutzerinnen und Nutzer. Das ist die größte einzelne architektonische Lücke zwischen DeFis entstehendem Wiederaufbaurahmen und dem ausgereiften der TradFi.

Das protokollübergreifende Einfrieren

Der Kelp-Exploit schlug am Samstag, dem 18. April, um 17:35 UTC zu. Kelps Multisig für die Notabschaltung fror die Kernverträge des Protokolls um 18:21 UTC ein, sechsundvierzig Minuten später. Aave fror die rsETH-Märkte auf V3 und V4 über alle Deployments hinweg bis Sonntagnachmittag ein. Compound, Fluid, SparkLend, Euler und ungefähr vier weitere kleinere Kreditprotokolle folgten binnen 24 Stunden. Insgesamt neun Protokolle führten binnen 48 Stunden nach dem ersten Abfluss koordinierte Notabschaltungen der rsETH-Märkte aus.

Nach den Maßstäben früherer DeFi-Exploits ist das schnell. Der Abfluss aus der Ronin-Bridge 2022 zog eine koordinierte Reaktion über ungefähr eine Woche nach sich. Der Bybit-Hack 2025 löste Maßnahmen auf Börsenebene schneller aus als auf DeFi-Ebene. Kelps 46-Minuten-Notabschaltung und die anschließende protokollübergreifende Koordination stellen eine messbare Verbesserung der DeFi-Krisenreaktionsfähigkeit dar.

Der Koordinationsmechanismus ist informell: teamübergreifende Discord-Kanäle, Twitter-Threads, Telegram-Gruppen, direkte Kommunikation zwischen Risikoteams. Es gibt kein förmliches Branchengremium für die DeFi-Krisenreaktion. Das Bankwesen hat FS-ISAC (Financial Services Information Sharing and Analysis Center). Das Stromnetz hat E-ISAC. Das Gesundheitswesen hat H-ISAC. DeFi hat nichts dergleichen. Die Koordination im April 2026 war wirksam, aber ad hoc und abhängig vom guten Willen und der Reaktionsbereitschaft einzelner Protokollteams statt von einer institutionellen Struktur. Die Koordination der nächsten Generation — ein DeFi-ISAC oder Äquivalent — ist eine erkennbare Lücke in der Architektur.

Der Streit um die Voreinstellung zwischen LayerZero und Kelp

Parallel zur Frage der Verlustverteilung zwischen Aave und Kelp läuft der Streit zwischen LayerZero und Kelp über die Voreinstellung. LayerZeros Post-mortem vom Montag gab Kelps 1-von-1-Verifiziererkonfiguration die Schuld und machte geltend, die eigene Dokumentation habe eine Mehrfach-Verifizierer-Einrichtung empfohlen. Kelps Erwiderung machte geltend, 1-von-1 sei zum Zeitpunkt von Kelps Integration LayerZeros ausgelieferte Voreinstellung gewesen und der konkrete kompromittierte Verifizierer sei LayerZero Labs' eigene Infrastruktur gewesen.

Der Tatsachenstreit zählt, weil er bestimmt, wer die architektonische Verantwortung dafür trägt, den Exploit ermöglicht zu haben. Wenn LayerZero 1-von-1 als Voreinstellung ausgeliefert hat, akzeptiert die Branchenpraxis beim Bridge-Onboarding Voreinstellungen; eine Voreinstellung, die zugleich unsicher ist, ist damit faktisch eine unsichere Konfiguration für mehr als 80 Prozent der Kunden. Der Präzedenzfall AWS S3 aus dem Jahr 2018 ist aufschlussreich: Amazons Cloud-Speicherdienst lieferte Buckets zwölf Jahre lang bis 2018 standardmäßig öffentlich aus, und in dieser Zeit legten mehrere Sicherheitsvorfälle (Verizon 2017, Accenture 2017, Time Warner 2017 und viele weitere) Hunderte Millionen Datensätze offen. 2018 stellte AWS die Voreinstellung auf privat um und räumte damit implizit ein, dass Kunden im großen Maßstab nicht von Voreinstellungen abweichen und dass unsichere Voreinstellungen faktisch eine Anbieterhaftung für die nachgelagerten Vorfälle begründen.

LayerZeros weiterer Weg nach Kelp wird entscheiden, ob derselbe Präzedenzfall greift. Seit dem Post-mortem vom 20. April sind stillschweigend Aktualisierungen auf Dokumentationsebene zu beobachten. Ob LayerZero die ausgelieferte Voreinstellung förmlich auf Mehrfach-Verifizierer als neuen Standard umstellt — und ob die anderen großen Bridge-Betreiber (Wormhole, Axelar, Chainlink CCIP und weitere) folgen — ist die entscheidende Frage. Kelp ist für DeFi-Bridges der AWS-S3-2018-Moment des Jahres 2026. Die Antwort der Branche steht aus.

Die hybride Architektur

Was durch den April 2026 entsteht, lässt sich ausdrücklich beschreiben. DeFi baut eine Architektur, die auf der nutzerzugewandten Ebene dezentral ist (Smart Contracts, Selbstverwahrung, Peer-to-Peer-Protokolle, quelloffene Frontends, erlaubnisfreie Komposition) und auf der Ebene des Systemrisikos zentralisiert (privatwirtschaftlicher Kreditgeber letzter Instanz in Gestalt von Tether, selektive Rettungskonsortien aus dem Ökosystem, protokollinterne Versicherung über Safety Modules, informelle protokollübergreifende Koordination über Risikoteams).

Der Hybrid ist philosophisch nicht befriedigend für jene, die das DeFi von 2020 in der Erwartung vollständiger Dezentralisierung einschließlich des Systemrisikos gebaut haben. Er ist auch strukturell nicht vollständig für jene, die eine regulierte, transparente, rechenschaftspflichtige Systemrisiko-Infrastruktur im Sinne der TradFi erwarten. Er ist eine Übergangsform, entstanden aus dem Zusammenprall zwischen DeFis dezentral-nativer Architektur und DeFis Zusammenprall mit staatlichen Angreifern im Maßstab von 500 Mio. US-Dollar pro Monat.

Der Hybrid hat echte Stärken. Tether setzt Wiederaufbaukapital schneller ein, als es eine regulierte Institution könnte. Aaves Governance-Prozess reagiert in Wochen, verglichen mit Monaten oder Jahren für regulatorisches Handeln. Protokollübergreifende Discord-Koordination bewegt sich mit der Geschwindigkeit von Entwicklerkommunikation, nicht mit der bürokratischer Vermerke. Für die Taktung der Angriffe — im April 2026 gab es drei große Exploits in drei Wochen — ist die Reaktionsgeschwindigkeit der hybriden Architektur ein Vorteil.

Der Hybrid hat strukturelle Schwächen. Tether ist ein einzelner Punkt des Gegenparteirisikos, dessen eigene Stabilität eine systemische DeFi-Frage ist. Selektiver Rückhalt (Drift bekam Tether; Kelp womöglich nicht) erzeugt moralisches Risiko auf Protokollebene. Ohne förmliche Untergrenze zum Nutzerschutz verteilt sich der Restverlust auf die am wenigsten informierte Partei. Ad-hoc-Koordination kann nicht auf das industrialisierte Angriffstempo staatlicher Bedrohung skalieren. Die Kluft zwischen privatwirtschaftlicher Reaktionsfähigkeit und öffentlichem Rechenschaftsrahmen wächst, sie schrumpft nicht.

Der regulatorische Pfad

MiCA — die Verordnung der EU über Märkte für Kryptowerte — trat 2024 erstmals in Kraft und geht nun in ihre DeFi-spezifische Phase über. Von den MiCA-Bestimmungen der zweiten Phase für 2027, derzeit in Entwurfsform über ESMA-Konsultationen, werden Eigenkapitalanforderungen für Stablecoin-Emittenten auf einem Niveau erwartet, das die derzeitige Branchenpraxis deutlich übersteigt, ferner Versicherungspflichten für DeFi-Protokolle bei nutzerzugewandten Verwahrvorgängen und Anforderungen zur grenzüberschreitenden Koordination für börsennahe Tätigkeiten.

In den Vereinigten Staaten bleibt das regulatorische Bild fragmentiert. Die Rücknahme der Durchsetzung durch die SEC im Juli 2025 unter der Trump-Regierung verringerte den Druck auf wertpapierrechtliche Ansprüche gegen DeFi, aber die Durchsetzung auf einzelstaatlicher Ebene — New York DFS, California DFPI — läuft weiter. Die CFTC hat für einige DeFi-Vorgänge Regulierungsbefugnis, aber begrenzte Kapazität. Experimente auf Ebene der Bundesstaaten — Wyomings DAO-LLC-Rahmen, Colorados Regeln für digitale Währungen und Texas' kryptofreundliche Haltung — divergieren weiterhin von der Bundespolitik.

Japan, Südkorea, Singapur (MAS) und Australiens ASIC entwickeln eigene Regulierungspositionen. Konvergenz ist weder garantiert noch nahe. Die Krise vom April 2026 erzeugt allerdings in mehreren Rechtsordnungen gleichzeitig politischen Druck zur Entwicklung eines formalen Rahmens.

Der Pfad: Bis 2028 bis 2030 wird irgendeine Kombination aus MiCA Phase 2, einer US-Bundesregulierung für Krypto und Koordination mit verbündeten Rechtsordnungen wahrscheinlich einen formalen Rahmen für DeFi-Protokollversicherung, Eigenkapitalanforderungen für Stablecoin-Emittenten und Untergrenzen zum Nutzerschutz hervorbringen. Die hybride Architektur, die Tether + Aave + Kelp + Ökosystempartner 2026 errichten, wird der Ausgangsstoff dieser Formalisierung sein, nicht ihr Endpunkt.

Die Ausrichtung von URnetwork

Die architektonische These der URnetwork-Redaktion durch die Berichterstattung dieses Jahres — verteilt, föderiert, attestiert, offen — lässt sich mit konkreten Verschreibungen auf DeFis Wiederaufbauarchitektur anwenden.

Verteilt: kein einzelner Punkt des Systemrisikos. Tether als private Fed verletzt das in einer Weise, in der ein föderiertes Rückhaltekonsortium mehrerer Emittenten es nicht täte. Aaves Safety Module ist verteilter als ein Modell mit einem einzigen Rückhalt, konzentriert aber immer noch Slashing-Risiko. Das architektonische Ziel ist föderierte Rückhaltekapazität: mehrere Stablecoin-Emittenten + große Börsen + protokollinterne Versicherungspools + regulierte Versicherer als Neueinsteiger, koordiniert über einen ständigen Rahmen, jeder mit Beiträgen zu einer Untergrenze für den Nutzerschutz und zur Schutzkapazität für Institutionen.

Föderiert: Protokollübergreifende Koordination sollte ständig sein statt improvisiert. Ein Äquivalent zu einem DeFi-ISAC, finanziert aus Protokollbeiträgen, mit ständigen Notfallverfahren, das protokollübergreifende Maßnahmen über automatisierte Auslösemechanismen statt über Discord-Threads koordiniert. Das protokollübergreifende Einfrieren im April 2026 funktionierte, kann aber nicht skalieren.

Attestiert: verifizierbare Nachweise für die Identität von Unterzeichnern; kryptografische Attestierung der Integrität von Maintainern (Sigstore, Sigsum); transparente Prüfpfade für Governance-Entscheidungen. Jede folgenreiche Protokollhandlung sollte prüfbar, attestiert und von unabhängigen Dritten nachvollziehbar sein. Die Kelp-Governance-Abstimmung sollte einen maschinenlesbaren Nachweis mit attestierten Unterzeichneridentitäten erzeugen.

Offen: sichere Voreinstellungen, die Anbieter ausliefern (nicht das 1-von-1-Muster von LayerZero); dokumentierte Abweichungen mit ausdrücklicher Risikobestätigung; von der Gemeinschaft prüfbare Konfigurationsregister. Die Konfiguration der Vertrauensprimitive jedes Protokolls sollte öffentlich abfragbar sein, mit branchenweiten Bewertungssystemen (DeFi Safety, OpenSSF Scorecard und Verwandtes), die Vergleichbarkeit herstellen.

Das sind keine Vorschläge für konkrete Mechanismen, sondern architektonische Prinzipien, die die im April 2026 entstehende Wiederaufbauinfrastruktur umsetzen oder ignorieren kann. Die These von URnetwork lautet, dass die entstehende Architektur sie umsetzen sollte; andernfalls verfestigt die hybride Form die Schwächen, die sie derzeit zeigt.

Die Forderung des Dienstags

Für DeFi-Nutzerinnen und -Nutzer. Prüfen Sie Ihre Exposition gegenüber jedem Protokoll, das Sie nutzen. Verstehen Sie den Wiederaufbaumechanismus für jedes einzelne. Bevorzugen Sie Protokolle mit ausdrücklichen, dokumentierten Rahmenwerken zur Verlustverteilung gegenüber solchen mit ad hoc improvisierten Governance-Mustern. Halten Sie eine ausgewogene Exposition zwischen rückhaltgestützten Protokollen (Drift nach Tether) und ungedeckten Protokollen (Kelp vor der Klärung). Erwägen Sie eine Deckung über Nexus Mutual für Positionen oberhalb Ihrer Toleranzschwelle.

Für DeFi-Protokolle. Vereinbaren Sie Rückhaltepartnerschaften, bevor Sie sie brauchen. Bemessen Sie Ihr Safety Module am plausiblen katastrophalen Verlust, nicht an routinemäßigen Parameterabweichungen. Setzen Sie Timelocks ungleich null und über Zeitzonen verteilte Unterzeichnergruppen ein. Integrieren Sie Clear Signing per Hardware-Wallet für Administrationsvorgänge. Beteiligen Sie sich aktiv an protokollübergreifenden Koordinationskanälen, nicht erst reaktiv.

Für Stablecoin-Emittenten. Wenn Sie eine systemische Rolle spielen (Tether), akzeptieren Sie deren Folgen: transparentere Reserven, klarere Auswahlkriterien für den Rückhalt, Beteiligung an der Entwicklung von Regulierungsrahmen statt Vermeidung. Wenn Sie die systemische Rolle vermeiden (Circle), erwägen Sie, ob die Vermeidung systemischen Engagements strategisch oder selbstschädigend ist. Der Markt erkennt die Rolle an; Positionierung zählt.

Für Regulierer. MiCA Phase 2 sollte DeFi-Protokollversicherung und Untergrenzen zum Nutzerschutz ausdrücklich adressieren. Ein US-Bundesrahmen sollte vergleichbare Bestimmungen enthalten. Internationale Koordination (FATF-Nähe, bilateraler Regulierungsdialog USA–EU–Vereinigtes Königreich) sollte aktiv entwickelt werden. Die Kluft zwischen der Reaktionsgeschwindigkeit der Privatwirtschaft und der des Regulierungsrahmens wächst; die regulatorische Kapazität muss steigen.

Für das Ökosystem. Ein DeFi-ISAC oder ein gleichwertiges ständiges Koordinationsgremium ist ein nachweisbarer architektonischer Bedarf. Finanziert aus Protokollbeiträgen, mit Notfallverfahren im Betrieb, protokollübergreifende Maßnahmen koordinierend, als Verbindungsstelle zu Regulierern und Strafverfolgung. Kein einzelner Akteur kann es allein bauen; kollektives Handeln ist erforderlich.

Die Messung

Der April 2026 ist der Wendemonat. In rund drei Wochen erzeugten drei große DeFi-Exploits fünfhundertsiebenundsiebzig Millionen Dollar direkten Verlust, dreizehn Milliarden Dollar an kaskadierender TVL-Kontraktion, drei unterschiedliche Kompromittierungen von Vertrauensprimitiven (Maintainer-Identität bei Axios, Autorisierung bei Drift, Verifizierer-Integrität bei Kelp) und den ersten dokumentierten Einsatz eines privatwirtschaftlichen Kreditgebers letzter Instanz im neunstelligen Maßstab. Die Antwortarchitektur entsteht. Die Formalisierung ist Jahre entfernt. Die hybride Form ist die Wirklichkeit des Jahres 2026.

Tether ist funktional zur privaten Federal Reserve der dezentralen Finanzwelt geworden. Aaves Safety Module ist die protokollinterne Versicherung des DeFi der nächsten Generation. Kelps anstehende Abstimmung über die Sozialisierung ist der Einlegerabschlagsmechanismus der DAO-Governance. Der Streit um die Voreinstellung zwischen LayerZero und Kelp ist für DeFi-Bridges der Moment, der AWS S3 2018 entspricht. Das protokollübergreifende Einfrieren ist der Vorläufer eines DeFi-ISAC. Jeder Mechanismus ist konkret, ausgerollt oder im Ausrollen, funktionsfähig, aber informell.

Die architektonische Frage der nächsten drei Jahre: Reift dieser Hybrid zu einem formalisierten öffentlich-privaten Rahmen mit Untergrenzen zum Nutzerschutz, transparenten Rückhalteinstitutionen, protokollübergreifenden Koordinationsgremien und rechtsordnungsübergreifender regulatorischer Abstimmung? Oder verfestigt er sich zu einer Ad-hoc-Architektur, die von privatwirtschaftlichem Wohlwollen, selektivem Rückhalt und fallweiser Governance-Improvisation abhängt? Die Krise vom April 2026 ist die auslösende Kraft. Die Entscheidungen dieses und des nächsten Jahres setzen die Voreinstellung für 2028 bis 2030.

Ihr dezentrales Protokoll hat einen zentralisierten Rückhalt. Das ist die architektonische Tatsache des Jahres 2026. Ob dieser Rückhalt reguliert, föderiert, transparent und rechenschaftspflichtig ist — oder privat, selektiv, undurchsichtig und kommerziell —, ist die architektonische Entscheidung, die in Echtzeit getroffen wird. Der Morgen des 21. April ist der erste Dienstag nach der schlimmsten DeFi-Woche seit dem Terra-Zusammenbruch 2022. Die Architektur formt sich. Die Einsatzentscheidungen fallen jetzt.

LayerZeros vorläufige Analyse, veröffentlicht am Montag, dem 20. April, kommt mit mittlerer Zuversicht zu dem Schluss, dass der Exploit der rsETH-Bridge von Kelp DAO vom Samstag das Werk der TraderTraitor-Untereinheit der Lazarus-Gruppe war — desselben Clusters, den das US-Finanzministerium, das FBI, Chainalysis, TRM Labs und Elliptic zuvor mit dem Raub von 625 Mio. US-Dollar an der Ronin-Bridge im März 2022, der Kompromittierung von WazirX über 230 Mio. US-Dollar im Jahr 2024 und dem Diebstahl von 1,5 Mrd. US-Dollar bei der Börse Bybit im Februar 2025 in Verbindung gebracht haben. Der Angriffsvektor bei Kelp unterschied sich von seinen Vorgängern. Die Angreifer kompromittierten zwei der Remote-Procedure-Call-Knoten, auf die sich LayerZeros dezentrales Verifizierernetz stützte, um chainübergreifende Nachrichten zu bestätigen, und tauschten deren Binärdateien gegen bösartige Versionen aus, die dem Verifizierer von LayerZero eine gefälschte chainübergreifende Bestätigung meldeten und zugleich jedem anderen System, das dieselben Knoten abfragte, korrekte Daten lieferten. Die vergifteten Knoten logen selektiv. Um LayerZeros Verifizierer von nicht vergifteten Datenquellen abzuschneiden, starteten die Angreifer anschließend einen verteilten Denial-of-Service-Angriff gegen die sauberen Knoten und erzwangen so das Ausweichen auf die vergifteten. Sobald LayerZeros Verifizierer sich ausschließlich auf die kompromittierte Infrastruktur stützte, übermittelten die Angreifer eine gefälschte chainübergreifende Anweisung, die der Verifizierer bestätigte, und Kelps Bridge gab 116.500 rsETH frei — rund achtzehn Prozent des im Umlauf befindlichen Angebots des Restaking-Tokens, mit einem Dollarwert von ungefähr 292 Mio. US-Dollar — an eine vom Angreifer kontrollierte Adresse.

Der Abfluss begann am Samstag, dem 18. April, um 17:35 UTC. Kelps Multisig für die Notabschaltung fror die Kernverträge des Protokolls um 18:21 UTC ein, sechsundvierzig Minuten später. In diesem Fenster schlossen die Angreifer die chainübergreifende Entnahme ab, überführten die Mittel nach Ethereum und hinterlegten die gestohlenen rsETH auf Aave V3 als Sicherheit, gegen die sie echtes Wrapped ETH liehen — womit Aave mit ungefähr 196 Mio. US-Dollar nicht eintreibbarer Forderungen zurückblieb. Binnen achtundvierzig Stunden fiel Aaves Total Value Locked von 26,4 Mrd. US-Dollar auf rund 17,9 Mrd. US-Dollar — eine Einlagenflucht von 8,45 Mrd. US-Dollar — und der breitere DeFi-Markt verlor ungefähr 13,21 Mrd. US-Dollar an TVL über Aave, Compound, Fluid, SparkLend, Euler und vier weitere miteinander verflochtene Kreditpools. Ein Angriff über 292 Mio. US-Dollar erzeugte ein Ansteckungsverhältnis von fünfundvierzig zu eins. Der AAVE-Token fiel um rund achtzehn Prozent. „DeFi ist tot“, schrieben manche Kommentatoren; andere merkten präziser an, dass die unter Stress stehende Architektur konkret die aus Komposition plus dünnen Vertrauensprimitiven war, nicht die dezentrale Finanzwelt auf Basisebene.

LayerZeros Post-mortem führte den Erfolg des Exploits auf Kelp DAOs Konfigurationsentscheidung zurück: Kelp hatte eine Eins-von-eins-Verifizierereinrichtung betrieben — LayerZero Labs war die einzige Stelle, die Nachrichten von und zur rsETH-Bridge verifizierte —, wo eine Mehrfach-Verifizierer-Konfiguration die Angreifer gezwungen hätte, mehrere unabhängige Verifizierer gleichzeitig zu kompromittieren. Kelps Erwiderung, binnen Stunden veröffentlicht, bestritt diese Rahmung: Eins-von-eins sei LayerZeros ausgelieferte Voreinstellung gewesen, Kelp sei der dokumentierten Voreinstellung gefolgt, und LayerZeros Dokumentation und direkte Kommunikation zur Mehrfach-Verifizierer-Einrichtung seien Empfehlungen gewesen, keine verbindlichen Voreinstellungen. Der Verantwortungsstreit ist selbst architektonisch bedeutsam. Wenn eine unsichere Konfiguration zugleich die ausgelieferte Voreinstellung ist, teilt sich die Verantwortung für einen Sicherheitsvorfall unklar zwischen dem Anbieter, der die Voreinstellung ausliefert, und dem Kunden, der sie akzeptiert. Cloud-Anbieter vollzogen genau diesen Übergang Mitte der 2010er-Jahre — Amazon-S3-Buckets waren bis 2018 standardmäßig öffentlich, dann kippte die Voreinstellung auf privat, nachdem eine über Jahre laufende Serie von Vorfällen die Änderung erzwungen hatte. Bridge-Voreinstellungen stehen 2026 dort, wo Cloud-Speicher-Voreinstellungen 2015 standen. Der Streit vom 20. April ist der Moment, in dem ein öffentlich sichtbares Versagen den branchenweiten Übergang zu sicheren Voreinstellungen einlädt.

Die vierzehn Tage: 31. März bis 18. April

Der Kelp-Exploit ist der Schlussstein einer achtzehntägigen Abfolge, in der derselbe Auftraggeber drei architektonisch unterschiedliche Operationen ausführte.

Den Auftakt bildete der 31. März, als mit der DVRK verbundene Akteure — von Googles Threat Intelligence Group als UNC1069 geführt — kompromittierte Versionen der HTTP-Client-Bibliothek Axios auf npm schoben. Axios ist eine der am häufigsten installierten quelloffenen JavaScript-Bibliotheken; die wöchentlichen Downloads bewegen sich in zweistelliger Millionenhöhe und umfassen einen erheblichen Teil der Node.js-Backends und Browser-Frontends der Welt. Die Angreifer hatten die Veröffentlichungszugangsdaten der Maintainerin über etwas kompromittiert, das TechCrunch unter Berufung auf Google TIG am 6. April als "weeks in the making" (wochenlang vorbereitet) beschrieb: Beziehungsaufbau zur Zielperson über einen längeren Zeitraum statt eines Gelegenheitsdiebstahls von Zugangsdaten. Die bösartigen Axios-Versionen, veröffentlicht für Windows, macOS und Linux, trugen die Nutzlast eines Fernzugriffstrojaners, die den Angreifern interaktive Kontrolle über jede Maschine geben sollte, die das Update installierte. Binnen Stunden erkannten die Axios-Maintainer, das Sicherheitsteam von npm und Reaktionsteams aus der Branche die kompromittierten Versionen und zogen sie zurück; das volle Ausmaß der RAT-Infektion wird noch bewertet, und es ist wahrscheinlich, dass ein nennenswerter Teil der Entwicklermaschinen kompromittiert bleibt. Der Axios-Vektor ist die Lieferketten-Identitätsvariante desselben Spielzugs: Kompromittiere die Zugangsdaten, die eine vertrauenswürdige Veröffentlichung autorisieren, und das Vertrauen, das jede nachgelagerte Nutzerin in diese Veröffentlichung setzt, verbreitet die bösartige Nutzlast.

Am 1. April lief die zweite Operation ab. Dem Drift Protocol, der größten dezentralen Terminbörse für unbefristete Futures auf Solana, wurden in ungefähr zwölf Minuten 285 Mio. US-Dollar entzogen. Die Ereigniskette, die zum Abfluss führte, begann nach Drifts Post-mortem und übereinstimmenden Analysen von Chainalysis, TRM Labs, Elliptic und BlockSec im Herbst 2025 — rund sechs Monate zuvor —, als Personen, die als quantitatives Handelshaus auftraten, auf einer großen Branchenkonferenz auf Drift-Mitwirkende zugingen und Interesse an einer Integration auf dem Protokoll bekundeten. Beim ersten Treffen wurde eine Telegram-Gruppe eingerichtet; dieselben Personen trafen Drift-Mitwirkende in den folgenden Monaten bei Branchenveranstaltungen in mehreren Ländern persönlich. Die Beziehung war der Oberfläche nach nicht von den Dutzenden legitimer Geschäftsanbahnungen zu unterscheiden, die Drift-Mitwirkende jedes Jahr führen. Am 27. März, weniger als eine Woche vor dem Abfluss, migrierte Drift seinen Security Council — die Multisignatur-Gruppe, die privilegierte Administrationsvorgänge steuerte — auf eine neue Zwei-von-fünf-Konfiguration, die vier der fünf Unterzeichner ersetzte und, entscheidend, den Timelock für Administrationsvorgänge auf null Sekunden setzte. Zwischen dem 23. und dem 30. März nutzten die Angreifer Solanas Durable Nonces — ein legitimes Primitiv, das es erlaubt, eine Transaktion heute zu signieren und zu einem beliebigen späteren Zeitpunkt ohne Ablauf der Signatur auszuführen —, um vorsignierte Autorisierungen von den echten Unterzeichnern des Security Council zu erlangen. Die Transaktionen, die die Unterzeichner signierten, wirkten routinemäßig; das Durable-Nonce-Format verschleierte die tatsächliche Ausführungssemantik. Am 1. April brachten die Angreifer einen gefälschten Token namens CVT aus, der am 12. März eigens für diesen Angriff erzeugt worden war, nutzten die über die vorsignierten Autorisierungen erlangten Administrationsrechte, um CVT als Sicherheit auf die Allowlist zu setzen, hinterlegten 500 Millionen CVT bei Drift und liehen gegen die künstliche Sicherheit 285 Mio. US-Dollar an echtem USDC, SOL und ETH. Die Mittel wurden binnen Stunden nach Ethereum überführt, über Tornado Cash gewaschen und weiter über chinesischsprachige Mixing-Dienste entlang jenes ungefähr fünfundvierzigtägigen Waschzyklus geleitet, den Chainalysis als operative Signatur der DVRK katalogisiert hat. Eine Zuschreibung an die DVRK mit mittlerer Zuversicht wurde binnen Tagen von mehreren Firmen gemeldet.

Drifts Wiederaufbau, angekündigt am 16. und 17. April, ist ein architektonisches Ereignis dritter Ordnung. Tether — kein Versicherungsprotokoll, keine Zentralbank als Kreditgeber letzter Instanz, sondern ein privater Stablecoin-Emittent mit testierten Reserven von ungefähr 193 Mrd. US-Dollar und mehr als 10 Mrd. US-Dollar Gewinn im Jahr 2025 — sagte 127,5 Mio. US-Dollar eines 150 Mio. US-Dollar schweren Rettungspakets zu, strukturiert als umsatzgebundene Kreditlinie, Ökosystem-Zuschuss und Darlehen an Market Maker, wobei Drift sein primäres Abwicklungsvermögen als in die Vereinbarung eingebettete strategische Erwägung von USDC auf USDT umstellt. Der Plan zielt darauf, ungefähr 295 Mio. US-Dollar an Nutzerverlusten im Lauf der Zeit wiederherzustellen, indem er einen Anteil an Drifts Handelserlösen nach dem Neustart abschöpft. Die wirtschaftliche Struktur ist neu: Sie ist weder Versicherung noch Rettung, sondern ein Umsatzbeteiligungsvorschuss, der Tethers Kapitaleinsatz an Drifts operative Erholung koppelt. Sie schafft zudem einen Präzedenzfall. Wenn Tether bereit ist, neunstellige Summen einzusetzen, um große DeFi-Protokolle nach Angriffen staatlicher Akteure zu retten, dann ist Tether zum privatwirtschaftlichen Kreditgeber letzter Instanz für die dezentrale Finanzwelt geworden. Die Architektur dezentraler Protokolle mit zentralisiertem Rückhalt ist die Notfallgestalt des Jahres 2026.

Der Kelp-DAO-Exploit vollendete die vierzehn Tage dann am 18. April. In weniger als drei Wochen traf derselbe staatliche Akteurscluster drei unterschiedliche Vertrauensprimitive und zog Systeme leer oder verseuchte sie, die zusammen weit über eine halbe Milliarde Dollar direkten Nutzerverlust und mehr als dreizehn Milliarden Dollar an kaskadierender sektorweiter Wertvernichtung ausmachen.

Drei Vertrauensprimitive, ein Sponsor

Jeder Angriff im April 2026 nutzte eine andere architektonische Annahme darüber aus, wie verteilte Systeme Vertrauen aufrechterhalten.

Axios nutzte Vertrauen in die Maintainer-Identität aus. Ökosysteme quelloffener Pakete — npm, PyPI, Maven, RubyGems — setzen voraus, dass die Identität einer Paket-Maintainerin korrekt authentifiziert ist, wenn diese Maintainerin eine neue Version veröffentlicht. Das Vertrauensmodell lautet: Sind die Veröffentlichungszugangsdaten gültig, dann spiegelt die neue Version die Absicht der Maintainerin wider. Die DVRK kompromittierte die Zugangsdaten; das Vertrauensprimitiv brach. Die Kompromittierung erforderte keine kryptografische Schwäche; sie erforderte Phishing, Social Engineering oder gestohlenen Token-Zugang zum Veröffentlichungspfad der Maintainerin. Sobald die Zugangsdaten kompromittiert waren, erbte das gesamte nachgelagerte Ökosystem, das die bösartige Version installierte, die Absicht des Angreifers anstelle der Absicht der Maintainerin.

Drift nutzte Autorisierungsvertrauen aus. Multisignatur-Governance setzt voraus, dass Unterzeichner Transaktionen in Kenntnis dessen autorisieren, was sie autorisieren. Die kryptografische Prüfung bestätigt, dass die Unterzeichner eine Transaktion kryptografisch autorisiert haben; sie bestätigt nicht das semantische Verständnis der Unterzeichner für die Folgen der Transaktion. Die DVRK brachte fünf Unterzeichner von Drifts Security Council mittels Social Engineering dazu, vorsignierte Durable-Nonce-Transaktionen zu signieren, die die Unterzeichner für Routine hielten und die, ausgeführt, Administrationsrechte auf vom Angreifer kontrollierte Adressen übertrugen. Die Signaturen waren kryptografisch gültig. Die Autorisierung war semantisch falsch. Als die Migration auf Timelock null am 27. März die Abkühlphase zwischen Signatureinholung und Ausführung beseitigte, verschwand die letzte Verteidigungslinie — die Gelegenheit für die Gemeinschaft, auffällige Administrationshandlungen zu entdecken, bevor sie wirksam werden. Hätte ein üblicher Timelock von vierundzwanzig bis zweiundsiebzig Stunden bestanden, wäre die Vorsignierungsaktivität vom 23. bis 30. März sichtbar gewesen, und eine Entdeckung wäre wahrscheinlich gewesen.

Kelp DAO nutzte Vertrauen in die Verifiziererintegrität aus. Chainübergreifende Bridges verlassen sich auf Verifizierer, die bestätigen, dass eine bestimmte Transaktion auf einer Quellchain stattgefunden hat, bevor auf einer Zielchain entsprechender Wert freigegeben wird. Der Verifizierer wiederum verlässt sich auf Datenquellen — typischerweise RPC-Knoten —, um die zugrunde liegende Bestätigung zu erhalten. Das Vertrauensmodell lautet: Bestätigen die Datenquellen die Transaktion, dann ist die Bestätigung des Verifizierers vertrauenswürdig. Die DVRK kompromittierte die Datenquellen — genau jene RPC-Knoten, die LayerZeros Verifizierer abfragte — mit Binärdateien, die dem Verifizierer eine gefälschte Bestätigung meldeten und zugleich jedem anderen System, das dieselben Knoten abfragte, korrekt meldeten. Die Vergiftung war selektiv. LayerZeros eigene Überwachung, die dieselben RPCs von anderen IP-Adressen aus abfragte, sah keine Anomalie. Der DDoS gegen saubere Knoten erzwang das Ausweichen auf vergiftete. Die Eins-von-eins-Verifiziererkonfiguration entfernte die Mehrfach-Verifizierer-Redundanz, die mehrere unabhängige Vergiftungen erfordert hätte.

Jedes der drei Primitive — Maintainer-Identität, Autorisierung, Verifiziererintegrität — ist ein Konstrukt der "honest majority" (ehrlichen Mehrheit). Jedes setzt voraus, dass die ehrliche Partei oder die ehrlichen Parteien dominieren. Jedes wurde angegriffen, indem diese Mehrheit kompromittiert wurde (oder, im Fall von Kelp, indem die einzige Partei kompromittiert wurde, die die gesamte Mehrheit bildete). Die kryptografischen und Konsensschichten unterhalb dieser Primitive blieben durchgehend intakt. Die Mathematik verteilter Systeme funktionierte weiterhin korrekt. Die Kompromittierung geschah auf der menschlichen, der organisatorischen und der infrastrukturellen Ebene, wo die Annahme der ehrlichen Mehrheit eine soziale und keine mathematische Tatsache ist.

Der Sponsor

Der Kryptowährungsdiebstahl der DVRK aller Zeiten beläuft sich laut Chainalysis auf ungefähr 6,75 Mrd. US-Dollar. Allein die Zahl für 2025 lag bei 2,02 Mrd. US-Dollar, ein Anstieg um einundfünfzig Prozent gegenüber 2024. Die Gesamtsumme für 2025 machte rund sechzig Prozent des branchenweiten Kryptowährungsdiebstahls jenes Jahres aus. Neben dem Kryptodiebstahl beschrieben die OFAC-Listungen vom 12. März 2026 eine Betrugspipeline mit IT-Arbeitskräften, die 2024 jährliche Regimeeinnahmen von ungefähr 800 Mio. US-Dollar erzeugte — Fernarbeitskräfte mit falscher Identität, weltweit bei Web3- und anderen Technologieunternehmen beschäftigt, deren Gehälter über vietnamesische, laotische, chinesische und russische Mittelsleute an den nordkoreanischen Staat geleitet wurden. Eine von der Ethereum Foundation unterstützte Initiative legte Anfang April 2026 offen, dass sie ungefähr einhundert IT-Kräfte der DVRK identifiziert habe, die in dreiundfünfzig Web3- und Kryptowährungsprojekten beschäftigt waren. Zusammengenommen nähert sich der Cyber-Einnahmenstrom der DVRK 2,8 Mrd. US-Dollar pro Jahr — ein erheblicher und wachsender Anteil eines auf 10 bis 12 Mrd. US-Dollar geschätzten jährlichen Staatshaushalts.

Nach Einschätzungen von Chainalysis, TRM Labs und des inzwischen aufgelösten UN-Expertengremiums finanziert ein wesentlicher Teil dieser Cyber-Einnahmen die Kernwaffen- und ballistischen Raketenprogramme der DVRK. Der Mechanismus ist direkter, als viele regulatorische Analogien nahelegen würden: Das Regime wandelt gestohlene Kryptowährung über chinesischsprachige Mixing-Dienste, von Russland ermöglichte Börsen und andere Kanäle außerhalb der Reichweite der US-Finanzministeriumsdurchsetzung in harte Währung um und verwendet die Erlöse dann für die Beschaffung zur Waffenentwicklung. Die Waffenprogramme entwickeln sich wegen der Sicherheitslücken des DeFi-Ökosystems schneller. Diese Beobachtung ist nicht rhetorisch. Sie ist die operative Verbindung, die DeFi-Sicherheit von einem Verbraucherschutzanliegen in ein Nichtverbreitungsanliegen verwandelt.

Die Ansteckung

Kelps direkter Abfluss von 292 Mio. US-Dollar erzeugte binnen achtundvierzig Stunden 13,21 Mrd. US-Dollar an kaskadierenden TVL-Abflüssen. Der Mechanismus: Die Angreifer hinterlegten die gestohlenen rsETH auf Aave V3 als Sicherheit; liehen echtes Wrapped ETH gegen die Sicherheit; ließen den Wert der rsETH verfallen, nachdem die Offenlegung des Exploits die Qualität der Sicherheit untergraben hatte; und zogen mit den geliehenen echten Werten ab. Aave blieb mit 196 Mio. US-Dollar uneinbringlicher Forderungen aus den unterdeckten Krediten zurück. Aaves Einlegerinnen und Einleger — die die Anhäufung uneinbringlicher Forderungen und die breitere Verschlechterung der rsETH-Sicherheitenqualität beobachteten — flohen: 8,45 Mrd. US-Dollar an Einlagen verließen Aave binnen achtundvierzig Stunden. Aave, Compound, Fluid, SparkLend, Euler und mehrere kleinere Kreditprotokolle froren jeweils ihre rsETH-Märkte ein, um weiteren Schaden zu verhindern. Der Kurs des AAVE-Tokens fiel um ungefähr achtzehn Prozent. Das Verhältnis von fünfundvierzig zu eins zwischen direktem Angriffswert und ökosystemweiter Wertvernichtung ist die Kompositionssteuer: Genau jene Eigenschaft, die es DeFi-Protokollen erlaubt zusammenzuwirken, ist auch die Eigenschaft, die den Vorfall in einem Protokoll durch jedes verflochtene Protokoll weiterträgt.

Die Ansteckung ist kein Zufall. DeFis architektonischer Entwurf ermöglicht Rehypothekierung bewusst: Nutzerinnen können ETH staken, einen Liquid-Staking-Token erhalten, den LST durch ein Liquid-Restaking-Protokoll leiten, einen Liquid-Restaking-Token erhalten, den LRT bei einem Kreditprotokoll als Sicherheit hinterlegen, dagegen leihen und die geliehenen Werte durch weitere Protokolle leiten. Jede Schicht fügt Rendite und Liquidität hinzu; jede Schicht fügt Abhängigkeit hinzu. Eine Kompromittierung auf einer beliebigen Schicht kaskadiert durch jeden nachgelagerten Nutzer dieser Schicht. Vitalik Buterin warnte 2023 in einem Blogbeitrag, dass gerade Restaking die Sicherheitsannahmen von Ethereum in einer Weise ausdehne, die katastrophal sein könnte, wenn die ausgedehnten Annahmen brechen. Kelps Abfluss vom 18. April bestätigt diese Sorge teilweise, auch wenn das konkrete Versagen auf der Ebene des Bridge-Verifizierers lag und nicht beim Restaking selbst. Die architektonische Richtung erfordert Kalibrierung: Komposition ist wertvoll; die Tiefe der Komposition muss auf jeder Schicht durch die Dicke des Vertrauensprimitivs begrenzt sein.

Die Gegenarchitektur

Die konkreten Gegenarchitekturen für jedes der drei kompromittierten Vertrauensprimitive existieren, sind dokumentiert und teilweise ausgerollt. Der vollständige Rollout ist die Frage der Jahre 2026 bis 2028.

Für die Maintainer-Identität lautet die Gegenarchitektur: verpflichtende FIDO2-Hardware-Schlüssel für den Veröffentlichungszugang zu verbreiteten Paketen; Transparenz signierter Veröffentlichungen über Sigstore, Sigsum und Rekor; reproduzierbare Builds, die eine unabhängige Prüfung der Herkunft von Binärdateien erlauben; und Werkzeuge zur Prüfung des Abhängigkeitsgraphen über die OpenSSF Scorecard und verwandte Initiativen. Jede Komponente existiert. npm unterstützt FIDO2 optional; Pythons PyPI unterstützt es; keines macht es für verbreitete Pakete verpflichtend. Die Sigstore-Verbreitung wächst in Container-Ökosystemen, bleibt aber bei npm und PyPI im einstelligen Prozentbereich. Reproduzierbare Builds bleiben für komplexe Projekte schwierig. Der konkrete Fix für den Axios-Angriffsvektor besteht darin, FIDO2 für die Veröffentlichenden der tausend meistgeladenen Pakete verpflichtend zu machen, für diese Pakete signierte Veröffentlichungen durchzusetzen und Sigstore-Transparenz für alle Updates zu verlangen. Das ist eine Richtlinienentscheidung auf Ebene der Registry-Betreiber — GitHub (für npm), die PSF (für PyPI), JetBrains und andere — und es liegt in ihrer Macht, sie zu treffen.

Für das Autorisierungsvertrauen lautet die Gegenarchitektur: Clear Signing per Hardware-Wallet, das die Semantik einer Transaktion in menschenlesbare Form dekodiert; unabhängige Prüfung jeder Administrationstransaktion durch Unterzeichner, die nicht in einer gemeinsamen Vertrauensbeziehung zu möglicherweise kompromittierten Kolleginnen und Kollegen stehen; substanzielle Timelocks — mindestens vierundzwanzig Stunden für Administrationsvorgänge, achtundvierzig bis zweiundsiebzig Stunden für marktverändernde Vorgänge wie Änderungen an Sicherheitenparametern; über Zeitzonen verteilte Unterzeichnergruppen, damit keine Kompromittierung zu einer einzelnen Tageszeit das Quorum betrifft; und Attestierung der Unterzeichneridentität über verifizierbare Nachweise. Jede Komponente existiert. Ledgers Clear Signing, Blockaids Cosigner, OpenZeppelins Timelock Controller, Safes chainübergreifende Unterzeichnerverwaltung, W3C Verifiable Credentials — alle sind in unterschiedlichem Maßstab produktiv im Einsatz. Der konkrete Fix für den Drift-Angriffsvektor ist verpflichtendes Clear Signing bei allen Administrationsvorgängen, Timelocks ungleich null, durchgesetzt auf Smart-Contract-Ebene (keine Umgehung über eine "executor role"), und eine Unterzeichnerrotation, die über mindestens drei Kontinente streut. Das sind Governance-Entscheidungen, die einzelne Protokolle heute treffen können.

Für die Verifiziererintegrität lautet die Gegenarchitektur: Mehrfach-Verifizierer als Voreinstellung bei allen chainübergreifenden Bridges — drei von fünf oder mehr für sinnvolle Dezentralisierung; Überwachung durch unabhängige Datenquellen, die sich keine RPC-Infrastruktur mit dem Verifizierer teilt; redundante Orakel-Feeds für die Bewertung von Sicherheiten; Schutzschalter, die bei auffälligen Änderungen des Token-Angebots automatisch anhalten; und Attestierung über vertrauenswürdige Ausführungsumgebungen für kritische Verifiziereroperationen. LayerZeros Post-mortem vom 20. April räumt implizit ein, dass seine Eins-von-eins-Voreinstellung die architektonische Schwachstelle im Kern ist; die Frage ist, ob LayerZero — und Wormhole, Axelar, Chainlink CCIP sowie die übrigen großen Bridge-Betreiber — Mehrfach-Verifizierer als Voreinstellung ausliefern und für Kunden, die herunterstufen, eine ausdrückliche Risikobestätigung verlangen werden. Branchenkoordination ist hier plausibel; Standardisierungsgremien (ERC-6492 für Vertragssignaturen, EIP-7702 für Account Abstraction) sind schneller geworden, wenn Vorfälle Aufmerksamkeit erzwangen. Kelp ist die auslösende Kraft.

Über alle drei Primitive hinweg lautet das gemeinsame Verteidigungsprinzip so, wie es die URnetwork-Redaktion in früheren Ausgaben als „dicke Vertrauensprimitive“ beschrieben hat. Jedes Vertrauensprimitiv in einem verteilten System sollte mehrere unabhängige Kompromittierungen erfordern, um zu versagen. Ein Eins-von-eins-Verifizierer ist dünn. Eine Zwei-von-fünf-Multisig mit Timelock null ist dünn. Eine einzelne Maintainerin mit bloßen Passwort-plus-SMS-Zugangsdaten ist dünn. Jedes dünne Primitiv lässt sich verdicken — Mehrfach-Verifizierer, substanzieller Timelock und verteilte Unterzeichner, verpflichtendes FIDO2 —, ohne die Funktionsfähigkeit des Systems zu brechen. Das Verdicken verursacht Betriebskosten; das Verdicken verhindert die Kompromittierung durch staatliche Akteure. Das wirtschaftliche Verhältnis zwischen den Kosten des Verdickens und den Kosten eines erfolgreichen Angriffs spricht überwältigend für das Verdicken. Die Verbreitung ist die Variable.

Die Wiederaufbauarchitektur

Drifts von Tether angeführter Rettungsplan ist der Präzedenzfall für den Wiederaufbau nach einem Angriff staatlicher Akteure in DeFi. Tethers Zusage über 127,5 Mio. US-Dollar, strukturiert als umsatzgebundener Kredit gegen künftige Handelserlöse statt als Versicherungsleistung oder direkte Rettung, schafft eine wirtschaftliche Kopplung zwischen dem Rückhaltgeber und der Erholung des Protokolls. Die Vereinbarung stellt nebenbei Drifts primäres Abwicklungsvermögen von USDC auf USDT um und stärkt Tethers Marktanteil zulasten von Circle. Ähnliche Wiederaufbauten könnten für Kelp DAO folgen, wobei das Fehlen eines strategischen USDT-Anreizes bei Kelp eine parallele Tether-Rettung weniger wahrscheinlich macht. Aaves Reaktion auf die 196 Mio. US-Dollar uneinbringlicher Forderungen ist noch nicht abschließend festgelegt; der Governance-Prozess wird wahrscheinlich Slashing im Safety Module, Einsatz der Schatzkammer und Erlöseinbehalt kombinieren, um den Verlust über Monate aufzuholen. Jedes Wiederaufbaumuster — Tether-Rückhalt, Eigenfinanzierung über Safety Module und Governance — verteilt die Kosten unterschiedlich auf Token-Halter, Einleger, Rückhaltepartner und Beteiligte des Ökosystems.

Das Metamuster lohnt es, sichtbar zu machen. DeFi entwickelt eine Wiederaufbauarchitektur für die Zeit nach einem Exploit — eine, in der zentralisierte Stellen (Tether, große Börsen, wichtige Ökosystemakteure) dezentralen Protokollen Dienste eines Kreditgebers letzter Instanz bereitstellen. Die daraus entstehende Architektur ist weder das ursprüngliche dezentrale Ideal von 2020 noch das regulierte Rückhaltemodell der traditionellen Finanzwelt, sondern ein Hybrid: dezentrale Protokolle auf der nutzerzugewandten Ebene, zentralisierter Rückhalt auf der Ebene des Systemrisikos. Der Hybrid entsteht aus Notwendigkeit. Seine langfristigen Folgen für die Dezentralisierungsthese und für die regulatorische Behandlung der Rückhaltgeber sind die Fragen der Jahre 2027 bis 2030.

Was URnetwork daraus liest

Die architektonische Richtung, für die die URnetwork-Redaktion in früheren Ausgaben argumentiert hat — Peer-to-Peer-Routing, föderierte Betreiber, nutzerseitig gehaltene Schlüssel, OAuth mit minimalem Berechtigungsumfang, Identität über verifizierbare Nachweise, verteilte Vertrauensprimitive —, adressiert genau jene Fehlerklasse, die der April 2026 vorgeführt hat. Die konkrete Ausrichtung von URnetwork: keine einzelne Maintainerin, deren Kompromittierung sich durch das Netz fortpflanzt; kein einzelner Verifizierer, dessen Versagen betrügerische Transaktionen bestätigt; keine Governance mit Timelock null, deren Übernahme sofortige Rechteausweitung ermöglicht; kein Anbieter-OAuth, dessen Berechtigungsumfang durch einen Vorfall kaskadiert. Jedes Element der URnetwork-Architektur trägt auf einer bestimmten Ebene zu einem dickeren Vertrauensprimitiv bei.

Die breitere Ausrichtung erstreckt sich auf Ausgabe 01 (das heutige Stück zur Lieferkette der KI-Copiloten) und Ausgabe 02 (das heutige Stück zum genehmigungspflichtigen Internet). Ausgabe 01 diagnostizierte das Versagensmuster auf der Anwendungsebene kommerzieller Anbieter: Context.ai, Salesforce, Azure MCP, KI-Copilot-OAuth. Ausgabe 02 diagnostizierte das Versagensmuster auf der Infrastruktur- und Identitätsebene staatlicher Genehmigungspflichten: Irans SNSC, Russlands Max, der britische OSA, die EU-Chatkontrolle. Ausgabe 03 diagnostiziert das Versagensmuster der Vertrauensprimitive unter staatlicher Offensive: Axios, Drift, Kelp. Alle drei sind Varianten derselben architektonischen Beobachtung: Vertrauensprimitive stehen unter gegnerischem Druck; die Verteidigungsantwort erfordert verteilte, föderierte, attestierte, offene Architekturen; die Antwort ist verfügbar; das Ausrollen ist die Frage.

Die Forderung des Montags

Für DeFi-Protokolle: Prüfen Sie Ihre Multisig-Governance. Ist der Timelock ungleich null? Sind die Unterzeichner über Zeitzonen verteilt? Verifizieren die Unterzeichner unabhängig die vollständige Semantik jeder Administrationstransaktion? Haben Sie Ihre Bridge-Verifiziererkonfiguration überprüft? Falls Sie LayerZero oder eine andere Bridge mit einer Eins-von-eins-Voreinstellung nutzen: Haben Sie auf Mehrfach-Verifizierer hochgestuft? Haben Sie die quelloffene Lieferkette geprüft, von der Ihr Frontend abhängt? Haben Sie einen 24/7-Sicherheitsbetrieb, der an einem Samstagabend eine Notabschaltung auslösen kann?

Für DeFi-Nutzerinnen und -Nutzer: Streuen Sie Ihre Exposition über Protokolle mit dickeren Vertrauensprimitiven. Bevorzugen Sie Protokolle mit öffentlichen Multisig-Konfigurationen, Timelocks ungleich null und Bridges mit Mehrfach-Verifizierern. Vermeiden Sie konzentrierte Exposition gegenüber rehypothekierten Werten, deren zugrunde liegende Bridges oder Restaking-Protokolle dünne Vertrauenskonfigurationen haben. Verifizieren Sie die Sicherheitenrisikoparameter jedes Kreditprotokolls, das Sie nutzen. Rechnen Sie mit staatlichen Angreifern; Ihr Bedrohungsmodell sollte langfristiges Social Engineering einschließen.

Für Paket-Registries: Machen Sie FIDO2 für die Veröffentlichenden häufig geladener Pakete verpflichtend. Setzen Sie signierte Veröffentlichungen durch. Investieren Sie in die Verbreitung von Sigstore-/Sigsum-Transparenzprotokollen. Koordinieren Sie branchenweit Standards für die Lieferkettensicherheit.

Für Bridges: Liefern Sie Mehrfach-Verifizierer als Voreinstellung aus. Herunterstufung auf einen einzelnen Verifizierer nur mit ausdrücklicher Risikobestätigung der Kundin. Veröffentlichen Sie Ihre Praxis der Überwachung durch unabhängige Datenquellen. Koordinieren Sie bridgeübergreifende Standards für DVN-Vielfalt.

Für Maintainer quelloffener Software: Melden Sie sich für Hardware-Schlüssel-Authentifizierung Ihrer Veröffentlichungskonten an. Behandeln Sie Kontaktaufnahmen strategischer Investoren mit Skepsis. Verifizieren Sie die Identität neuer Mitwirkender. Verlangsamen Sie das Zusammenführen folgenreicher Änderungen; lassen Sie Zeit für gegnerische Prüfung.

Für Regulierer: Weiten Sie OFAC-Sanktionen auf neu entstehende Waschkanäle aus. Koordinieren Sie mit Verbündeten die trilaterale Durchsetzung gegen DVRK-Cyberaktivitäten. Entwickeln Sie Protokolle zum Einfrieren von Stablecoins, die Privatsphäre und Durchsetzung ausbalancieren. Schaffen Sie Rahmen zum Austausch von Erkenntnissen zwischen Industrie und Staat für die Reaktion auf Bedrohungen durch staatliche Akteure.

Für URnetwork-Nutzerinnen und -Entwickler: Die architektonische Richtung ist die Verteidigung. Rollen Sie den dezentralen Stack aus. Tragen Sie zu den föderierten Alternativen bei. Betreiben Sie Ihre eigene Infrastruktur. Die Kampagne staatlicher Akteure gegen DeFis derzeitige Architektur ist ein überzeugendes Argument für die dezentrale Architektur, die URnetwork baut.

Die Messung

Siebzehn Tage. Fünfhundertsiebenundsiebzig Millionen Dollar direkt gestohlen. Dreizehn Milliarden Dollar TVL-Ansteckung. Einhundertsechsundneunzig Millionen Dollar uneinbringliche Forderungen bei Aave. Millionen Entwicklermaschinen mit möglicherweise kompromittierten Abhängigkeiten. Einhundert IT-Kräfte der DVRK, identifiziert in dreiundfünfzig Web3-Unternehmen. Ein staatlicher Sponsor. Drei unterschiedliche Angriffsvektoren. Zweihundertzweiundneunzig Millionen Dollar an einem Samstagabend. Zweihundertfünfundachtzig Millionen Dollar nach sechs Monaten Social Engineering. Eine unbekannte Zahl noch schlummernder Trojaner in der Axios-Installationsbasis.

Am 20. April 2026 machte LayerZero die Zuschreibung öffentlich. Die architektonische Lehre war schon vor der Zuschreibung klar. Sie ist es heute noch. Die Antwort ist bekannt. Die Antwort ist ausrollbar. Die Antwort war verfügbar, bevor die Angriffe geschahen. Die Frage ist, ob das Ökosystem schneller ausrollt, als der Gegner kompromittiert. Die April-Wochen sind die Messung, dass das derzeitige Tempo nicht reicht; die architektonische Richtung ist die Antwort; dieser Montagmorgen ist der Entscheidungspunkt.

Der staatliche Akteur hat ein Budget. Wir auch.

Die iranische Internetabschaltung ist heute in ihrem 52. Tag und hat seit ihrem Beginn am 28. Februar 2026 1.224 Stunden nahezu vollständiger Offline-Zeit angesammelt. NetBlocks und IranWire bestätigen die Marke: die längste zusammenhängende landesweite Internetabschaltung, die in der Geschichte irgendeines Landes erfasst wurde. Vom Vorkriegsniveau des Datenverkehrs sind ungefähr 1 Prozent wiederhergestellt. Die Kommission für wissensbasierte Unternehmen der Iranischen Handelskammer unter Vorsitz von Afshin Kolahi schätzt den unmittelbaren täglichen wirtschaftlichen Schaden auf 30–40 Millionen US-Dollar. Der iranische Kommunikationsminister nannte 35,7 Millionen US-Dollar pro Tag. NetBlocks nannte 37 Millionen US-Dollar pro Tag. Zum 16. April beliefen sich die kumulierten wirtschaftlichen Kosten auf 1,8 Milliarden US-Dollar; bis heute auf ungefähr 1,9 Milliarden US-Dollar.

Der Wiederanbindungsmechanismus ist das entscheidende architektonische Detail. Nach der Berichterstattung von IranWire vom 18. April ist der Oberste Nationale Sicherheitsrat — unter Vorsitz von Präsident Pezeshkian und unter Beteiligung der Spitzen der iranischen Geheimdienst-, Militär- und Außenministeriumsinstitutionen — die bewilligende Instanz für die Wiederanbindung ans Internet. Institutionen können eine Wiederanbindung beantragen. Die Antragskriterien sind nicht öffentlich dokumentiert. Zu den bislang genehmigten Institutionen zählen regierungsnahe Telegram-Kanäle, Konten iranischer Staatsmedien und ausgewählte Universitätsnetze. Einzelnutzer bleiben offline. Kleinbetriebe, Start-ups, Freiberufler mit internationalen Auftraggebern, Studierende, die auf Online-Lernressourcen zugreifen, und medizinische Dienste, die auf Online-Koordination angewiesen sind, gehören zu den konkreten Gruppen, die durch die Abschaltung ruiniert oder lahmgelegt wurden.

Starlink — das Satelliteninternet-System, das als die nicht staatsabhängige Alternative positioniert wurde — wird durch Störsender auf Militärniveau, die der iranische Staat einsetzt, aktiv beeinträchtigt. Eine Analyse des American Foreign Policy Council führt die Störung auf russische Murmansk-BN-Systeme der elektronischen Kampfführung und chinesische Technik zur Bekämpfung von Satellitenkommunikation zurück. Wirksamkeit: 30–80 Prozent Verschlechterung des Starlink-Signals. Der Iran setzt außerdem GPS-Spoofing ein — der erste dokumentierte Fall, in dem ein Staat GPS-Spoofing in großem Maßstab gegen kommerzielles Satelliteninternet einsetzt. SpaceX spielte am 10. Januar ein Software-Update aus, mit dem Terminals ihre Position über die Signale mehrerer Satelliten statt über GPS triangulieren können, was die Funktionsfähigkeit von Starlink unter Störbedingungen teilweise wiederherstellte. Der Besitz eines Starlink-Terminals ist im Iran strafbar (6 Monate bis 2 Jahre Haft nach dem Anti-Spionage-Gesetz); ein Starlink-Terminal zu nutzen, um sich „der Islamischen Republik entgegenzustellen“, wird mit der Todesstrafe geahndet.

Das ist die Erlaubnisarchitektur in ihrer derzeit deutlichsten Ausprägung. Der staatliche Grundzustand ist geschlossen. Die Wiederanbindung erfordert eine ausdrückliche staatliche Bewilligung. Der Gegen-Infrastruktur (Starlink) wird mit elektronischer Kampfführung auf Staatsniveau begegnet. Der Besitz der Gegen-Infrastruktur zieht strafrechtliche Sanktionen bis hin zur Todesstrafe nach sich. Für neunzig Millionen Iranerinnen und Iraner ist das Internet am 20. April 2026 das erlaubnispflichtige Internet in seiner ausdrücklichen Form.

Hundert Millionen auf Max

Russlands staatsnaher Messenger Max überschritt im März 2026 die Marke von 100 Millionen registrierten Nutzern, bei 70,5 Millionen täglich aktiven Nutzern, laut der VK-Meldung vom 26. März. Die Gesamtzahl der Anmeldungen seit dem Start von Max im März 2025 liegt bei 107 Millionen — die schnellste Messenger-Verbreitung in der Geschichte Russlands. Die Anwendung ist eine integrierte Super-App: Messaging, Behördendienste, digitaler Ausweis, elektronische Dokumentensignatur und Zahlungen, ausdrücklich nach dem Vorbild von WeChat. Die architektonischen Merkmale: sämtliche Daten auf russischen Servern gespeichert; keine Ende-zu-Ende-Verschlüsselung; SORM-3 integriert (das russische Überwachungsregime, das die vollständige Inhaltsspeicherung und den Zugriff durch den FSB abdeckt). Der IT-Sicherheitsforscher Baptiste Robert, in der internationalen Presse vielfach zitiert: „Alle Daten, die durch diese Anwendung laufen, können als in den Händen ihres Eigentümers befindlich betrachtet werden — und in diesem Fall in den Händen des russischen Staates.“

Die Verbreitung von Max erklärt sich nicht durch die Überlegenheit des Produkts. Sie erklärt sich durch die Verschlechterung benachbarter Dienste. WhatsApp wurde in Russland am 11. Februar 2026 vollständig gesperrt. Die Sperrquote von Telegram — „Anomalien“, die den Dienst unbrauchbar machen — erreichte laut Meduza am 10. April 95 Prozent, der höchste erfasste Wert, seit die neue Runde der Beschränkungen am 20. März begann. Telegram-Gründer Pavel Durov veröffentlichte eine Telegram-Version mit eingebauten Techniken zur DPI-Umgehung; das Katz-und-Maus-Spiel um die Umgehung geht weiter. Während periodischer Mobilfunk-Internetabschaltungen in Moskau und den Regionen (Berichterstattung von RFE/RL) bleibt eine staatlich gepflegte „Whitelist“ von Diensten funktionsfähig. Staatliche Dienste einschließlich Max bleiben auf der Whitelist; gesperrte oder gedrosselte internationale Dienste nicht. Im Februar 2026 verpflichtete der FSB große russische Banken, SORM-Technik zu installieren; Banken, die dem nicht nachkamen, wurden von der Whitelist für Mobilfunkabschaltungen ausgeschlossen.

Die architektonische Beobachtung: Russland hat einen staatlich kontrollierten Stapel aus Messenger, Identität und Zahlungen in einer Größenordnung von rund siebzig Prozent der erwachsenen Bevölkerung errichtet. Benachbarte Kanäle werden aktiv verschlechtert. Den Nutzerinnen und Nutzern wird die Wahl gestellt zwischen dem staatlich überwachten Kanal und einer verschlechterten oder kriminalisierten Alternative. Die Kategorie der „freiwilligen Übernahme“ trifft auf diese Wahlarchitektur nicht zu.

Die VPN-Spirale

Der britische Vollzug des Online Safety Act über 2025 und 2026 hinweg hat ein bestimmtes Spiralmuster hervorgebracht. Für kommerzielle Websites mit Erwachseneninhalten ist eine Altersverifikation vorgeschrieben. Die Nutzer reagierten mit VPN-Nutzung — laut mehreren IT-Sicherheits-Trackern ein Anstieg um 1.400 Prozent am ersten Tag. Im Februar 2026 schlug die britische Regierung Optionen vor, um "age restrict or limit children's use of Virtual Private Networks" — die Nutzung virtueller privater Netzwerke durch Kinder mit einer Altersgrenze zu versehen oder zu begrenzen —, wo VPN-Nutzung die Schutzvorkehrungen des Online Safety Act untergräbt. 4chan — im März 2026 von Ofcom mit 520.000 £ wegen Nichteinhaltung der Altersnachweispflicht belegt — weigerte sich zu zahlen. Der US-Anwalt der Plattform, Preston Byrne, antwortete auf den Bußgeldbescheid mit einem KI-generierten Cartoon eines Hamsters im Godzilla-Kostüm; der Running Gag setzte sich über die folgenden Bescheide hinweg mit immer weiter eskalierender Nagetier-Bildsprache fort. 4chan hat keine Präsenz im Vereinigten Königreich, kein Vermögen dort, keine Beschäftigten dort; der Vollstreckungsweg ist strukturell schwach. Ofcoms fortlaufende Zwangsgelder von 500 £ pro Tag laufen bis zum 1. Juni 2026.

Die Spirale: Inhalte sperren, Nutzer weichen per VPN aus, Beschränkungen für VPNs vorschlagen. Jede Gegenmaßnahme in der Kette erzeugt den Anstoß für die nächste. Das architektonische Muster ist die Spirale der Erlaubnisschicht — Inhaltszugang erfordert Identitätsprüfung; Identitätsprüfung erfordert überprüfbare Identität; VPN-Ausweichen macht Identität unüberprüfbar; VPN-Beschränkung erzwingt Identität erneut, aber zum Preis der Bürgerrechte.

Das US-Muster verläuft architektonisch parallel. Texas' HB 1181 wurde am 27. Juni 2025 vom Supreme Court in Free Speech Coalition v. Paxton mit 6 zu 3 Stimmen bestätigt. Ungefähr fünfundzwanzig Bundesstaaten haben bis zum zweiten Quartal 2026 ähnliche Gesetze erlassen. Pornhub hat sich aus einigen Bundesstaaten zurückgezogen, statt eine Altersverifikation umzusetzen; die Nutzer wandern per VPN ab. Das Ökosystem der Identitätsprüfungsanbieter (Yoti, AgeCheck, Verifi, Digidentity) ist ein schnell wachsendes Segment mit einem eigenen Angriffsflächenprofil — der Anbieter wird zu einer Datenbank von Nutzern, die auf Erwachseneninhalte zugegriffen haben, und damit zu einem hochwertigen Ziel für Identitätsdiebstahl und Erpressung.

Der Trilog am 4. Mai

Für die dauerhafte EU-Verordnung gegen sexuellen Kindesmissbrauch — „Chat Control 2.0“ — ist der nächste Trilog für den 4. Mai 2026 angesetzt, im Ausklang der dänischen Ratspräsidentschaft. Die Ausnahmeregelung für das freiwillige Scannen (Chat Control 1.0) lief am 3. April 2026 aus. Der Trilog vom 16./17. April über die dauerhafte Verordnung scheiterte; laut durchgesickerten Ratsdepeschen ließen die Ministerinnen und Minister im Rat das Scheitern bewusst zu, um keinen Präzedenzfall zu schaffen, der das dauerhafte Regime schwächen würde. Die Verhandlung befindet sich seit der zweiten Jahreshälfte 2024 im Trilog.

Die architektonischen Einsätze sind konkret. Nimmt die Verordnung ein verpflichtendes Client-Side-Scanning auf — das Scannen von Inhalten, bevor sie die Verschlüsselung erreichen —, verliert die Ende-zu-Ende-Verschlüsselung ihre Bedeutung als Datenschutzgarantie. Einmal ausgerollte Scan-Infrastruktur lässt sich mit politischen und ohne technische Änderungen auf weitere Inhaltskategorien jenseits von CSAM (Urheberrecht, politische Inhalte, Dissens) umwidmen. Signal, WhatsApp, iMessage und Proton haben erklärt, sie würden ihre Dienste aus der EU zurückziehen, statt Client-Side-Scanning umzusetzen; die Kosten-Nutzen-Modellierung von Rückzug gegenüber Befolgung läuft weiter.

Die architektonische Frage lautet, ob Messaging in der EU nach dem 4. Mai die Ende-zu-Ende-Verschlüsselung als Datenschutzgarantie behalten kann. Die Antwort ist umstritten. Die datenschutzfreundliche Position des Parlaments ist möglich. Die Position des Rates mit verpflichtender Aufdeckung ist möglich. Ein Kompromiss, der Client-Side-Scanning innerhalb eng definierter Kategorien hervorbringt, ist wahrscheinlich. Jedes Ergebnis hat andere Folgen für den architektonischen Ausgangszustand der Messaging-Privatsphäre in der EU.

Der Verfall, der ausblieb

Der 20. April 2026 war das ursprüngliche Verfallsdatum für Section 702 des Foreign Intelligence Surveillance Act, festgelegt durch den Reforming Intelligence and Securing America Act von 2024. Es ist nicht mehr das Verfallsdatum. Am 17. April um 2:09 Uhr verabschiedete das Repräsentantenhaus einstimmig eine Verlängerung um 10 Tage, nachdem republikanische Einwände gegen Änderungsanträge die geplante Plenarabstimmung zum Entgleisen gebracht hatten. Am Nachmittag desselben Tages nahm der Senat dieselbe Verlängerung per Stimmruf an. Am Samstag, dem 18. April, unterzeichnete Präsident Trump H.R. 8322 ohne öffentliche Erklärung und ohne Fototermin mit anwesender Führungsriege. Das neue Verfallsdatum ist der 30. April.

Heute — am 20. April — tagt der Rules Committee des Repräsentantenhauses um 16:00 Uhr ET. Nach der offiziellen Ankündigung des Ausschusses steht Section 702 nicht auf der Tagesordnung der Ausschussberatung. Behandelte Vorlagen: H.R. 1897 (Endangered Species Act), H.R. 5587 (Energie), H.R. 2289 (Breitband), H.R. 4690 (Infrastruktur), eine Entschließung zu ländlichen Gemeinden. Für diese Woche ist kein Senatsvehikel für eine 702-Reform angesetzt. Die Reformkoalition — die einen Richtervorbehalt für Abfragen zu US-Personen angestrebt hatte, im Anschluss an Wydens Plenarerklärung mit drei Argumenten, darunter der Widerspruch gegen das "feeding [collected data] into AI systems to conduct unprecedented mass surveillance", das Einspeisen [erhobener Daten] in KI-Systeme zur Durchführung beispielloser Massenüberwachung — hat zehn Tage und kein sich bewegendes Vehikel. Die Exekutive (Director of National Intelligence Ratcliffe, FBI-Direktor Patel, Director of National Intelligence Miller) hat sich öffentlich für eine unveränderte Neugenehmigung ausgesprochen. Der verfahrensmäßige Verlauf führt auf eine unveränderte Neugenehmigung zum 30. April hinaus, oder auf ein weiteres Flickwerk, oder auf den Verfall mit einer behördlichen Auslegung, welche die Erhebung unter rechtlicher Unsicherheit fortsetzt.

Wydens Formulierung zu KI-Systemen ist das architektonisch Bedeutsame. Sie erkennt an, dass sich die politische Debatte um Section 702 über das „wer erhebt“ hinaus zu „wie KI verarbeitet, was erhoben wurde“ entwickelt hat. Die KI-Verarbeitungsschicht — Palantir Gotham, Anduril, Clearview AI für Gesichtsdaten, Auftragnehmer-KI für die SIGINT-Auswertung — hat keinen eigenen gesetzlichen Aufsichtsrahmen. Eine Reform von Section 702 müsste, wenn sie sich bewegte, diese Schicht adressieren. Die Reform bewegt sich nicht. Die Architektur läuft weiter.

Das Leck der Prüfstelle

Am 19. April 2026 setzte Indonesiens Ministerium für Kommunikation und digitale Angelegenheiten das Indonesia Game Rating System aus, nachdem eine Sicherheitsverletzung über eine ungesicherte Backend-API mehr als 1.000 Entwickler-E-Mail-Adressen, eingereichte Spiel-Assets und knapp eine Stunde unveröffentlichtes Gameplay-Material zu „007: First Light“ offengelegt hatte. Die Schwachstelle wurde von einem Reddit-Nutzer entdeckt, der ein alternatives Frontend für die IGRS-Bewertungsdatenbank entwickelte; verborgene Einstufungen und zugehörige Metadaten waren zugänglich, indem man die interne ID eines Spiels von Hand eintippte. Die API ist inzwischen gesperrt; die Vergabe neuer Einstufungen ist während der Untersuchung ausgesetzt.

IGRS ist die staatliche Erlaubnisschicht für Spiele. Spiele benötigen eine staatliche Einstufung, um in Indonesien vertrieben zu werden. Das eigene Sicherheitsversagen der Erlaubnisinfrastruktur legte die Daten genau jener Akteure offen, die um Erlaubnis ersuchten. Die architektonische Lehre: Jedes Erlaubnissystem ist eine Datenbank, jede Datenbank ist eine Angriffsfläche, jede Angriffsfläche wird irgendwann angegriffen. Staatlich vorgeschriebene Erlaubnispflicht konzentriert Angriffsfläche in Systemen mit den spezifischen Sicherheitsschulden staatlich betriebener Infrastruktur.

Das ChipSoft-Krankenhaus

Am 7. April 2026 unterrichtete Z-CERT den niederländischen Gesundheits-IT-Anbieter ChipSoft — dessen Software HiX für das elektronische Patientendossier ungefähr 70 Prozent der niederländischen Krankenhäuser bedient — über einen laufenden Ransomware-Angriff. Bis zum 8. April bestätigte ChipSoft, dass Patientendaten abgeflossen waren. Bis zum 14. April hatte das niederländische Parlament eine förmliche Untersuchung eingeleitet und Antworten von Gesundheitsministerin Hermans verlangt. Bis zum 17. April waren bei der niederländischen Datenschutzbehörde 23 oder mehr Meldungen über Datenlecks eingegangen; der niederländische Justizminister David van Weel erklärte, es seien „weitere große Hacks zu erwarten“. Mehrere Krankenhäuser nahmen ihre Patientenportale offline; das Rotterdam Eye Hospital, Rijndam Revalidatie und Basalt Revalidatie in Zuid-Holland gehörten zu den öffentlich bestätigten Betroffenen.

Die architektonische Beobachtung ist dieselbe wie bei der KI-Copilot-Lieferkette aus der heutigen Ausgabe 01. Ein einzelner Anbieter mit breitem Zugang — in diesem Fall zu 70 Prozent der Krankenhaus-Patientenakten eines Landes — ist eine katastrophale Konzentration. Die Patientinnen und Patienten haben in die Behandlung in ihrem Krankenhaus eingewilligt. Sie haben nicht gesondert in die Anbieterauswahl ihres Krankenhauses eingewilligt. Wird der Anbieter kompromittiert, ist die medizinische Privatsphäre der Patienten der Wirkungsradius. Anbieterkonzentration im Maßstab eines nationalen Gesundheitswesens ist der architektonische Normalfall; die Gegenarchitektur der offenen Standards (FHIR-basierte Datenportabilität, patienteneigene Daten-Pods von Solid/Inrupt) ist verfügbar, aber nur in der Minderheit ausgerollt.

Der lange Betrug

Drift Protocol — zu jenem Zeitpunkt Solanas größte DeFi-Plattform nach Total Value Locked — wurde am 1. April 2026 um 285 Millionen US-Dollar erleichtert, der zweitgrößte Exploit in Solanas Geschichte. Die Angriffskette: Die Angreifer gaben sich sechs Monate lang als quantitative Handelsfirma aus und bauten Beziehungen zu Mitgliedern des Drift Security Council auf. Zwischen dem 23. und dem 30. März nutzten sie Solanas Funktion der Durable Nonces, um vorsignierte Transaktionen zu erzeugen, die später ausgeführt würden, und erlangten — mittels Social Engineering — Signaturen echter Mitglieder des Security Council. Die Transaktionen übertrugen die administrative Kontrolle über das Protokoll auf eine von den Angreifern kontrollierte Adresse. Am 1. April brachten die Angreifer einen gefälschten CVT-Token (erstellt am 12. März) aus, setzten ihn als Sicherheit auf die Whitelist, hinterlegten 500 Millionen CVT und beliehen ihn, um in ungefähr 12 Minuten 285 Millionen US-Dollar in USDC, SOL und ETH abzuziehen. Zuordnung: mit mittlerer Zuversicht der nordkoreanisch verbundenen UNC4736 (geführt als AppleJeus, Citrine Sleet, Golden Chollima, Gleaming Pisces), laut Chainalysis, TRM Labs und Elliptic.

Die architektonische Beobachtung: Dezentrale Governance ohne dezentrale Verifikation ist anfällig für Konzentrationsangriffe. Der Drift Security Council — eine kleine Gruppe von Signierenden mit weitreichenden Verwaltungsbefugnissen — war die Angriffsfläche. Durable Nonces, eine harmlose Solana-Funktion, die für die verzögerte Ausführung in legitimen Abläufen gedacht ist, waren das Angriffsprimitiv. Die Verteidigungsarchitektur — Identität der Signierenden über Verifiable Credentials, Hardware-Wallets mit lesbarer Transaktionsanzeige, Zeitsperren für administrative Operationen — existiert, wurde aber nicht durchgängig angewandt. Sechs Monate beziehungsbasiertes Social Engineering sind das Neue daran; die architektonische Schwachstelle, die es ausnutzte, ist strukturell.

Die Architektur

Die Erlaubnisarchitektur ist 2026 auf fünf Ebenen des Internet-Stacks der Nutzer ausgerollt.

Infrastrukturebene. Die SNSC-Whitelist des Iran. Russlands Whitelist für Mobilfunkabschaltungen. Die Starlink-Störung durch russische und chinesische elektronische Kampfführung auf Militärniveau. Die grundlegende Erreichbarkeit des IP-Routings in eine Jurisdiktion hinein und aus ihr heraus ist ein staatlich gewährtes Privileg statt einer Protokoll-Voreinstellung.

Routing-Ebene. DNS-Filterung, BGP-Hijacking, ASN-Sperren, Inhaltssperren auf CDN-Ebene. Russlands Telegram-Drosselung bei 95 Prozent. Die Sperranordnungen des Vereinigten Königreichs. Indonesiens IGRS als Erlaubnisschicht, die sich selbst geleakt hat.

Identitätsebene. Altersverifikation nach dem britischen OSA. Texas' HB 1181 (~25 US-Bundesstaaten). Russische digitale Identität plus Max-Integration. Identitätsprüfungsanbieter (Yoti, AgeCheck, Verifi, Digidentity) als hochwertige zentralisierte Datenbanken.

Verschlüsselungsebene. Der EU-Trilog zu Chat Control 2.0 am 4. Mai. Client-Side-Scanning-Vorschläge, die die Ende-zu-Ende-Verschlüsselung am Endpunkt unterlaufen würden. Debatten über vorgeschriebene Schlüsselhinterlegung. Anforderungen an Lawful-Intercept-APIs in verschiedenen Jurisdiktionen.

Anwendungsebene. Die Ausweitung der OAuth-Berechtigungen von KI-Copiloten (Terrain der Ausgabe 01). Kampagnen rund um Salesforce-Fehlkonfigurationen. Beim SaaS-Anbieter gehaltene Authentifizierung im Unternehmensmaßstab. Vercel/Context.ai, das Azure-MCP-CVE, Metas Scale AI Outlier, mehr als 100 Millionen Datensätze von ShinyHunters in Woche 14.

Auf jeder Ebene ist Erlaubnispflicht ausgerollt. Für jede Ebene steht eine Gegenarchitektur bereit. Keine der Gegenarchitekturen ist die Voreinstellung des Mainstreams. Die Lücke zwischen ausgerollter Erlaubnispflicht und ausgerollter Gegenarchitektur wird größer, nicht kleiner.

Die Gegenarchitektur

Der dezentrale Stack existiert. Er ist betriebsbereit. Er ist nicht Mainstream. Seine Bestandteile:

Infrastruktur. Peer-to-Peer-Mesh-Netze. Satellitenanbindung (Starlink, mit dokumentierten Verwundbarkeiten gegenüber staatlichen Gegenwaffen). Mesh auf der physischen Ebene (Meshtastic, Yggdrasil, cjdns). Das Peer-to-Peer-Routing-Substrat von URnetwork. Local-First-Computing, das nicht von Erreichbarkeit abhängt.

Routing. Tor-Onion-Routing mit verschleierten Transporten (obfs4, snowflake). DNS-over-Tor. Föderiertes Peer-Routing von URnetwork. WireGuard über TLS. Shadowsocks mit Verschleierung.

Identität. W3C Verifiable Credentials. Decentralized Identifiers (DIDs). Datenschutzwahrende Altersbestätigung über Zero-Knowledge-Beweise. Pseudonyme Identität mit Reputation. Wallets für selbstbestimmte Identität (Pilotprojekte zur digitalen Identität in Italien und den Niederlanden).

Verschlüsselung. Ende-zu-Ende-verschlüsseltes Messaging: Signal, Tuta, Proton, Session. Post-Quanten-Kryptografie: Tuta als Erster im Einsatz. Verschlüsselter Cloud-Speicher: Tresorit, Sync, Mega, pCloud. Hardwaregestützte Schlüsselspeicherung.

Anwendung. Selbst gehostete KI-Agenten: LangChain, LlamaIndex, Semantic Kernel. Lokales LLM-Hosting: Ollama. Quelloffene MCP-Server mit kundenkontrollierter Bereitstellung. OAuth mit minimalem Berechtigungsumfang. Authentifizierung pro Operation. Kontinuierliche Beobachtbarkeit mit SIEM/SOAR-Integration.

Aggregierte Nutzerkennzahlen. Signal: ungefähr 50 Millionen täglich aktiv. Proton: 100 Millionen Konten. Tuta: 10 Millionen Nutzer. Matrix: 80 Millionen föderierte Nutzer. Tor: 2–3 Millionen täglich. Mastodon, Bluesky und Nostr zusammen: ungefähr 50 Millionen monatlich aktive Nutzer. Jede Zahl ist erheblich; jede ist ein Minderheitsanteil; zusammen stehen sie für den dezentralen Stack in einer sich verstärkenden, aber noch nicht dominierenden Verbreitungskurve.

Was die Woche misst

Das erlaubnispflichtige Internet ist der Ausgangszustand von 2026. Die Gegenarchitektur existiert und wächst. Der Rollout ist die verbleibende Frage.

Am Montag, dem 20. April 2026, ist eine iranische Nutzerin an Tag 52 eines staatlich per Whitelist gesteuerten Internets. Ein russischer Nutzer hat Max als täglich genutzten Stapel aus Messenger, Identität und Zahlungen. Eine britische Nutzerin hat Altersverifikation auf der Inhaltsebene und vorgeschlagene VPN-Beschränkungen auf der Routing-Ebene. Ein EU-Nutzer ist ungefähr zwei Wochen vom Trilog am 4. Mai entfernt, der neu schreiben könnte, was „Ende-zu-Ende-Verschlüsselung“ in der EU bedeutet. Einer indonesischen Entwicklerin wurden E-Mail-Adresse und unveröffentlichte Arbeit über das staatliche Erlaubnissystem selbst offengelegt. Einem niederländischen Patienten wurden die Krankenakten über einen einzigen Anbieter entwendet, der 70 Prozent der Krankenhäuser des Landes bedient. Eine Amerikanerin hat ein am Samstag unterzeichnetes Flickwerk zu Section 702 und in den 10 verbleibenden Tagen kein sich bewegendes Reformvehikel. Bei einem Nutzer von Drift Protocol wurden über sechs Monate beziehungsbasiertes Social Engineering gegen einen kleinen Multi-Sig-Rat 285 Millionen US-Dollar an Kapital erreicht. Ein Unternehmenskunde, der KI-Copiloten einsetzt, hat die folgenschwerste Kaskadenkompromittierung der Woche erlebt (Anker der Ausgabe 01).

Jeder Fall ist ein anderer Datenpunkt. Jeder ist eine andere Erlaubnisschicht. Jeder ist heute.

Der dezentrale Stack — Signal, Tuta, Proton bei Messaging und E-Mail; Tor, URnetwork beim Routing; Matrix, Mastodon, Bluesky beim föderierten sozialen Netz; Ollama, LangChain, LlamaIndex bei selbst gehosteter KI; W3C VCs plus DIDs bei der Identität — ist verfügbar. Die Rollout-Entscheidung liegt bei den Nutzern, den Entwicklern, den Unternehmen und der Community.

Die Erlaubnisarchitektur rollt mit Staats- und Anbietertempo aus. Die Gegenarchitektur rollt mit Community-Tempo aus. Die Lücke ist die Messgröße des Jahres 2026. Die Frage für das Internet des Jahres 2028 lautet, welche Architektur zuerst als Voreinstellung in den Händen der Nutzer ankommt. Die Antwort hängt davon ab, was in den 24 Monaten zwischen heute und dann ausgerollt wird.

Heute ist Montag, der 20. April 2026. Tag 52 in Teheran. 100 Millionen auf Max. 14 Tage bis zum EU-Trilog. 10 Tage bis zur nächsten US-Frist für Section 702. Das erlaubnispflichtige Internet ist da. Die Gegenarchitektur ist ebenfalls da. Die Montagsentscheidung der Nutzer summiert sich zur Architektur des Jahrzehnts.

Am Sonntag, dem 19. April, bestätigte Vercel — die Cloud-Deployment-Plattform, die von Hunderttausenden Entwicklerinnen und Entwicklern genutzt wird und die Laufzeit-Hosting-Ebene für einen nennenswerten Teil der Web3-Infrastruktur stellt —, dass ein unbefugter Akteur auf die internen Systeme des Unternehmens zugegriffen hat. Die öffentliche Erklärung von Vercel-CEO Guillermo Rauch war zur Angriffskette konkret: Context.ai, eine Dritt-Plattform für KI-Agenten, die Vercel-Beschäftigte zur Produktivitätsautomatisierung im Unternehmen nutzten, wurde kompromittiert; einem Vercel-Beschäftigten, der Context.ai verwendete, wurde die OAuth-Sitzung seines Google Workspace abgegriffen; der Angreifer nutzte die Sitzung, um in Vercels interne Umgebungen einzudringen; interne Umgebungsvariablen, die als "non-sensitive" (nicht sensibel) gekennzeichnet waren, wurden aufgezählt, um Wege zur Rechteausweitung zu finden; eine begrenzte Teilmenge von Kundenzugangsdaten wurde offengelegt.

ShinyHunters, die Erpressergruppe hinter der Kompromittierung und verantwortlich für die Offenlegungen vom 14. April bei McGraw Hill (13,5 Millionen Konten) und Rockstar Games (78,6 Millionen Datensätze), verlangte in einem Beitrag auf BreachForums 2 Millionen US-Dollar, verhandelbar ab 500.000 US-Dollar in Bitcoin. Die Gruppe stellte ihr Angebot zunächst als ein Next.js-weites Lieferkettenrisiko dar. Rauch wies diese Darstellung ausdrücklich zurück: Next.js, Turbopack und Vercels Open-Source-Projekte sind nach einem Lieferketten-Audit im Anschluss an den Vorfall sicher.

Der Angriff ist nach Datensatzzahl nicht der größte des Monats. Er ist wohl der architektonisch bedeutsamste. Der Vektor — eine kompromittierte KI-Agentenplattform, die über OAuth-Berechtigungen bis in die Produktivumgebung eines nachgelagerten Kunden kaskadiert — beschreibt die nächste Klasse von Lieferkettenangriffen auf Unternehmen. Für diese Klasse gibt es bislang keinen größeren regulatorischen Rahmen. Sie wird im Unternehmensmaßstab schneller ausgerollt, als das Sicherheitsniveau nachwächst, das sie eindämmen soll.

Was ein KI-Copilot tatsächlich hat

Betrachten wir eine typische KI-Copilot-Installation im Unternehmen. Eine Beschäftigte installiert ein Produktivitätswerkzeug — Context.ai für Besprechungszusammenfassungen, Cursor für Code-Vervollständigung, Claude für E-Mail-Entwürfe, Copilot für Dokumentenarbeit, einen zweckgebundenen Agenten für Terminplanung oder die Steuerung der Vertriebspipeline. Das Werkzeug verlangt eine OAuth-Einwilligung. Der Einwilligungsdialog fordert Berechtigungen an über:

• Lesen/Schreiben in Google Workspace oder Microsoft 365: Gmail, Drive, Kalender, Kontakte.
• Lesen/Schreiben in Slack oder Microsoft Teams: Kanäle, Direktnachrichten, Dateien, Nutzerlisten.
• Lesen/Schreiben in GitHub: Repositories, Issues, Pull Requests.
• Lesen in Jira, Notion, Linear, Asana.
• Lesen/Schreiben in Salesforce oder HubSpot.

Die Beschäftigte klickt auf "Allow" — Zulassen. Der Copilot hat nun praktisch nahezu vollständigen Lesezugriff auf die dienstliche Kommunikation und die Inhalte dieser Person und nennenswerten Schreibzugriff dort, wo Automatisierung eine Rolle spielt. Der Berechtigungsumfang ist breiter, als die konkrete Funktion es erfordert. Engere Berechtigungen würden das Versprechen des Copilot-Produkts brechen, „alles zu können“. Die OAuth-Token liegen im Backend des Copilot-Anbieters und authentifizieren dessen Handlungen im Namen der Nutzerin.

Wird das Backend des Anbieters kompromittiert, sind die Token der Wirkungsradius. Der Angreifer erbt den Berechtigungsumfang. Die Kompromittierung von Context.ai verschaffte den Vercel-Angreifern über die Token, die Context.ais Kunden erteilt hatten, Zugang im Vercel-Maßstab. Das Muster ist kein Fehler in Context.ais Produkt. Es ist das Geschäftsmodell von KI-Copiloten: breit gefasste OAuth-Delegation, für Produktivität erworben, und die Kompromittierung dessen, der die Delegation hält, pflanzt sich über den Berechtigungsumfang fort.

Das Signal des Azure MCP Server

Context.ai ist ein Anbieter. Die betroffene Infrastrukturklasse reicht weiter. Am 3. April legte Microsoft CVE-2026-32211 offen: eine Schwachstelle durch fehlende Authentifizierung im Azure MCP Server — Microsofts Umsetzung des Model Context Protocol, des aufkommenden Standards zur Anbindung von KI-Agenten an Unternehmenswerkzeuge und Datenquellen. Der CVSS-Wert beträgt 9,1. Die Schwachstellenkategorie ist CWE-306, Missing Authentication for Critical Function. Ein Angreifer mit Netzzugang zu einer verwundbaren Installation kann ohne Zugangsdaten Konfigurationsdetails, API-Schlüssel und Authentifizierungstoken auslesen. Siebzehn Tage nach der Offenlegung ist kein Patch erschienen. Microsofts Empfehlung zur Schadensbegrenzung lautet, den Endpunkt des MCP-Servers per Firewall zu beschränken und eine Authentifizierung über einen Reverse Proxy vorzuschalten — kompensierende Maßnahmen, keine Behebung.

Der CVSS-Wert von 9,1 stellt CVE-2026-32211 in die Stufe kritischer Schwere. Microsofts übliche Reaktionszeit für Schwachstellen der Schwere 9,x liegt bei 7 bis 14 Tagen. Siebzehn Tage ohne Patch bei einer aktiv auffindbaren Lücke kritischer Schwere sind ungewöhnlich. Was auch immer der konkrete Grund sein mag — architektonische Komplexität, produktübergreifende Abhängigkeiten, Wechselwirkungen mit Authentifizierungssystemen —, das Signal lautet, dass die KI-Agenten-Infrastruktur schneller ausgerollt wird als der normale Patch-Takt. Diese Infrastrukturklasse hat die betriebliche Reife nicht erreicht, die für die etablierten Azure-Produkte gilt.

Der Azure MCP Server ist kein Einzelfall. Untersuchungen bis Q1 2026 haben systemische Sicherheitsprobleme über MCP-Server-Implementierungen hinweg festgestellt: fehlende Authentifizierung in Standardkonfigurationen, die sich ohne Zugangsdaten an localhost binden; breite OAuth-Berechtigungen, die KI-Agentenplattformen den darunterliegenden MCP-Servern erteilen und damit einen übermäßigen Wirkungsradius schaffen; Vertrauensketten zwischen Agenten, die Kontext ohne kryptografische Bestätigung weiterreichen; unzureichende Beobachtbarkeit dessen, was Agenten tun. Anthropics Referenz-MCP-Server hatte ein Problem mit Rechteausweitung, das im März behoben wurde. Quelloffene MCP-Implementierungen auf GitHub haben bis Anfang 2026 kleinere Probleme offengelegt. Das Ökosystem befindet sich in einer Phase, in der der Rollout schneller läuft als die Sicherheit.

Die Gartner-Asymmetrie

Gartners Prognose vom April 2026: 40 Prozent der Unternehmensanwendungen werden bis Ende 2026 aufgabenspezifische KI-Agenten enthalten, gegenüber weniger als 5 Prozent im Jahr 2025. Eine Gravitee-Umfrage von 2026 unter Technologieverantwortlichen in Unternehmen ergab, dass 24,4 Prozent der Organisationen vollständige Sichtbarkeit darüber haben, welche KI-Agenten innerhalb ihrer Infrastruktur miteinander kommunizieren. Die Rollout-Kurve bedeutet ein 8-faches Wachstum in einem einzigen Jahr. Die Sichtbarkeit liegt bei ungefähr einem Viertel des Rollouts.

Die Analyse der Cloud Security Alliance vom 17. April zum konkreten Fehlermodus: Ein kompromittierter KI-Agent reicht weiterhin Kontext an nachgelagerte Agenten seiner Kette weiter — mit vom Angreifer kontrollierten Daten. Die nachgelagerten Agenten können legitimen Kontext nicht von eingeschleustem Inhalt unterscheiden. Die herkömmliche Erkennung lateraler Bewegung, ausgelegt auf gekaperte Sitzungen menschlicher Nutzer oder auf Schadsoftware-Verbreitung, sieht die Kompromittierung nicht, weil Verkehr zwischen Agenten erwartet wird — er ist das vorgesehene Kommunikationsmuster dieser Infrastruktur.

Die Asymmetrie verstärkt sich. Unternehmenskunden rollen KI-Agenten schneller aus, als sie die Beobachtbarkeit ausrollen, um sie abzusichern. Anbieter liefern KI-Agenten-Infrastruktur schneller aus, als die Patch-Disziplin reicht, um sie zu pflegen. Angreifer betreten das Feld schneller, als Verteidigungsrahmen entstehen, um sie einzudämmen. Die Lücke wird größer, nicht kleiner.

Die Scale-AI-Erweiterung

Das KI-Copilot-Muster reicht bis in die Ebene der Trainingsdaten. Die Recherche des Guardian vom 7. April zu Metas Verhältnis mit Scale AI dokumentierte die strukturelle Konstruktion: Metas Investition von 14,3 Milliarden US-Dollar in Scale AI (Juni 2024) gab Meta die operative Kontrolle über Outlier, Scale AIs Plattform für Gig-Arbeit. Zehntausende Outlier-Arbeitskräfte wurden dafür bezahlt, Facebook- und Instagram-Profile händisch abzuschöpfen, urheberrechtlich geschützte Bilder zu kopieren, explizite Tonaufnahmen zu transkribieren und Bilder nach vermutetem Alter zu kennzeichnen. Ziel des Trainings ist Metas Muse Spark AI, die im April 2026 öffentlich über Metas Produktpalette ausgerollt wurde.

Aus Sicht des Datenflusses gewährte Meta Scale AI breiten Lesezugriff auf nutzergenerierte Inhalte, die Outlier-Arbeitskräfte verarbeiteten die Inhalte, und die Verarbeitung erzeugte Trainingsdaten für Metas KI. Die OAuth-Entsprechung: Meta ist der Kunde, Scale AI der Anbieter, die Outlier-Arbeitskräfte sind die Agenten. Der Wirkungsradius einer Kompromittierung von Scale AI — ob durch Innentäter, externe Angreifer oder Abrutschen bei Subunternehmern — umfasst jede Facebook- und Instagram-Nutzerin, deren Inhalte in der Outlier-Arbeitswarteschlange lagen. Die Nutzer haben einem Zugriff auf Belegschaftsebene nicht zugestimmt. Die Arbeitskräfte selbst hatten Verschwiegenheitsvereinbarungen als primären Schutz. Die Berichterstattung des Guardian benennt die konkreten moralisch verstörenden Aufgabenkategorien, die Outlier-Arbeitskräfte beschrieben: Profile abschöpfen, Personen nach Namen und Ort verschlagworten, Bilder nach vermutetem Alter sortieren, Minderjährige kennzeichnen.

Die Architektur ist dieselbe wie beim Kompromittierungsradius von Context.ai, nur in größerem Maßstab. Meta ist eine kompetente Sicherheitsorganisation; Scale AI ist eine schneller agierende Organisation. Das kombinierte System hat die spezifische Verwundbarkeit des KI-Copilot-Musters: eine breite Gewährung von Datenzugang, zu Produktivitäts- oder Trainingszwecken, bei der sich die Kompromittierung des beauftragten Verarbeiters fortpflanzt.

Die Salesforce-Analogie

Die Ära der Salesforce-Fehlkonfigurationen (ungefähr 2023–2026) ist der ausgereifte Vorläufer des KI-Copilot-Musters. Kundenunternehmen richteten ihre Salesforce-Umgebungen mit Standard-Zugriffsmustern ein, die eine große Angriffsfläche erzeugten. Die Kampagne von ShinyHunters im Jahr 2026 hat diese Fehlkonfigurationen abgeerntet — bei McGraw Hill (13,5 Millionen Konten), Cisco (über 3 Millionen Datensätze behauptet, mit Bezug auf Daten von Bundesbediensteten) und weiteren Opfern. Zum weiteren Muster der Kampagne gehören die Kompromittierung von Rockstar Games am 14. April (über Anodot, den SaaS-Analyseanbieter, dessen Zugangsdaten ShinyHunters Zugriff auf Rockstars Snowflake-Warehouse verschafften) und die Offenlegung von Buchungsdaten bei Booking.com am 12./13. April (über ClickFix-Phishing gegen die Microsoft-365-Konten von Hotelpartnern).

Die Salesforce-Ära brauchte ungefähr drei Jahre, um die heutige Kampagnenintensität zu erreichen. Die KI-Copilot-Ära kommt schneller. Die Rollout-Kurve ist steiler. Die Lücke im Sicherheitsniveau ist größer. Der Ausbreitungsradius einer Kompromittierung ist breiter, weil KI-Copilot-Plattformen typischerweise OAuth-Berechtigungen über mehrere Unternehmenssysteme hinweg erwerben, während Salesforce-Kompromittierungen im Allgemeinen auf die Salesforce-Umgebung des jeweiligen Kunden begrenzt sind.

Die Salesforce-Analogie ist lehrreich, untertreibt das Problem aber. Das KI-Copilot-Muster ist architektonisch gravierender.

Die Wyden-Parallele

Senator Ron Wyden (D-OR) brachte am Freitag, dem 17. April, eine Erklärung mit drei Argumenten gegen die laufende Neugenehmigung von Section 702 ins Protokoll des Senats ein. Zwei der drei Argumente waren aus jahrelanger Debatte der Reformkoalition vertraut. Das dritte war neu: der Widerspruch dagegen, "feeding [collected data] into AI systems to conduct unprecedented mass surveillance" — erhobene Daten in KI-Systeme einzuspeisen, um beispiellose Massenüberwachung zu betreiben. Die konkrete Formulierung verbindet den Kontext staatlicher Überwachung, den die FISA-Debatte seit 2013 behandelt, mit der KI-Analyseebene, die erhobene Kommunikation heute im großen Maßstab verarbeitet.

Die staatliche und die kommerzielle Seite des Musters sind architektonisch gleichgestaltig. Der Staat erhebt Kommunikation; speist sie in KI-Analysen von Auftragnehmern ein (Palantir Gotham, Anduril, Clearview AI für Gesichtsdaten, spezifische Auftragnehmer-KI für die SIGINT-Auswertung); erzeugt aus der KI-Verarbeitung Schlussfolgerungen und Maßnahmen. Unternehmenskunden gewähren KI-Copiloten Zugang; speisen Unternehmenskommunikation und -daten in die KI-Verarbeitung des Anbieters ein; erhalten Produktivitätsgewinne und erben im Kompromittierungsfall das Risiko des Anbieters.

Die staatliche Seite hat eine gesetzgeberische Debatte. Die kommerzielle Seite hat die Erpressungskampagne von ShinyHunters. Wydens Erklärung im Plenum macht die Verbindung ausdrücklich. Die architektonische Lücke ist in beiden Richtungen dieselbe. Der regulatorische Rahmen adressiert keine von beiden umfassend.

Die Verteidigungsarchitektur

Die Verteidigungsarchitektur für das KI-Copilot-Muster ist von der Sicherheitsforschung im Lauf des Jahres 2026 skizziert worden. Ihre Bestandteile:

Selbst gehostete KI-Agenten. Die KI-Agenten-Infrastruktur in der eigenen Umgebung des Kunden zu betreiben, beseitigt die Angriffsfläche der beim Anbieter liegenden OAuth-Token. LangChain, LlamaIndex, Semantic Kernel und gleichwertige Rahmenwerke ermöglichen das. Der Betriebsaufwand ist erheblich; die meisten Unternehmen bevorzugen der Bequemlichkeit halber gehostete Plattformen.

OAuth mit minimalem Berechtigungsumfang. Jede KI-Copilot-Integration fordert nur die minimalen OAuth-Berechtigungen für ihren konkreten Anwendungsfall an. Wenn der Copilot lediglich vorübergehenden Lesezugriff auf jüngste Slack-Nachrichten braucht, sollte er nicht zusätzlich Schreibzugriff oder Zugriff auf die Historie haben. Die Umsetzung erfordert eine Definition der Berechtigungen je Integration; bei den meisten Plattformen ist das nicht das Standardverhalten.

Authentifizierung pro Operation. Sensible Vorgänge innerhalb eines KI-Copilot-Ablaufs erfordern eine zusätzliche Authentifizierung über die anfängliche OAuth-Erteilung hinaus. Transaktionssignatur bei Finanzvorgängen, Bestätigung bei Code-Commits, ausdrückliche Nutzerfreigabe bei Schreibvorgängen. Das bricht das Narrativ des vollautomatischen Copiloten, verringert den Wirkungsradius aber erheblich.

Kontinuierliche Beobachtbarkeit. Sicherheitsteams beobachten die Aktivität von KI-Agenten: welche Werkzeuge sie aufrufen, auf welche Daten sie zugreifen, welche Muster ihre Aktivität zeigt. Die Integration mit SIEM/SOAR-Werkzeugen steckt in den Anfängen. Ausgereifte Beobachtbarkeit gibt es nur bei gut ausgestatteten Unternehmen.

Agentenidentität über Verifiable Credentials. Kryptografische Bestätigung zwischen Agenten verhindert Angriffe durch Kontext-Einschleusung. Die Primitive existieren — W3C Verifiable Credentials, DIDs — und tauchen erstmals in Unternehmenspilotprojekten auf. Der produktive Einsatz bleibt experimentell.

Ausführung in der Sandbox. KI-Agenten laufen in isolierten Rechenumgebungen mit ausdrücklichen Datengrenzen. Das Gegenstück zur Browser-Sandbox der 2010er-Jahre. Erfordert die Mitwirkung der Plattformanbieter; noch nicht Standard.

Föderierte KI-Agenten. Quelloffene Agentenplattformen mit kundenkontrollierter Bereitstellung. Die Verbreitung ist gering, wächst aber unter sicherheitsbewussten Unternehmen. Eine föderierte Architektur hat keinen einzelnen Anbieter, dessen Kompromittierung über die Kunden hinweg kaskadiert.

Jeder Verteidigungsbestandteil adressiert ein bestimmtes Element der Angriffsfläche. Keiner löst das Problem für sich allein. Zusammen beschreiben sie das Sicherheitsniveau, das ein KI-Copilot-Rollout haben sollte und weitgehend nicht hat.

Die dezentrale Alternative

Die umfassendere architektonische Alternative, die sich durch die redaktionelle Berichterstattung von URnetwork zieht, ist der dezentrale Stack — Ende-zu-Ende-Verschlüsselung mit nutzereigenen Schlüsseln, Peer-to-Peer-Transport, föderierte Betreiber, selbst gehostete Infrastruktur, nutzereigene Identität. Für das KI-Copilot-Problem im Besonderen bedeutet die dezentrale Alternative KI-Agenten, die auf kundenkontrollierter Infrastruktur laufen, die Agenten über kryptografische Nachweise authentifizieren, die der Kunde selbst prüft, und die von Agent zu Agent über föderierte Protokolle statt über anbietergesteuerte Plattformen kommunizieren.

Die konkreten dezentralen Alternativen im produktiven oder nahezu produktiven Einsatz:

• Selbst gehostete KI-Orchestrierung. LangChain, LlamaIndex, Semantic Kernel, so konfiguriert, dass sie vollständig in der Kundenumgebung mit lokalen Modellen laufen.
• Quelloffene MCP-Server. Von der Community geprüfte MCP-Implementierungen, die sich auf Kundeninfrastruktur betreiben lassen.
• Local-First-KI-Anwendungen. Agenten, die auf dem Gerät der Nutzerin laufen (Apples Siri auf dem Gerät, Ollamas lokales LLM-Hosting, spezialisierte Local-First-Workflow-Werkzeuge).
• Föderierte KI-Netze (im Forschungsstadium): KI-Agenten mehrerer Organisationen, die über standardisierte Protokolle mit kryptografischer Agentenidentität kommunizieren.

Nichts davon ist Mainstream. Die Verbreitung in Unternehmen ist eine Minderheit. Der überwiegende Teil des KI-Copilot-Rollouts im Jahr 2026 läuft über gehostete Anbieterplattformen — Context.ai, Cursor, Copilot, Gemini-Agenten, Claudes Agenten-APIs, eigene MCP-basierte Integrationen —, deren Kompromittierung die Sorge des Montagmorgens bleibt.

Was der Montag verlangt

Reaktionen von Unternehmen auf die Vercel-Offenlegung:

• Bestandsaufnahme der KI-Agentenplattformen, denen OAuth-Berechtigungen auf Unternehmensdaten erteilt wurden.
• Überprüfung der Breite der OAuth-Berechtigungen bestehender Integrationen; verengen, wo möglich.
• Rotation der Authentifizierungstoken für Dienste mit Anbieterbeziehungen im Umfeld von Context.ai.
• Vorbereitung der Vorfallreaktion auf Szenarien der Kompromittierung von KI-Agentenplattformen.
• Sicherheitsaudit-Gespräche mit Anbietern von KI-Agentenplattformen, einschließlich SOC-2-Type-II-Status, Historie der Penetrationstests, Verfahren der Vorfallreaktion.

Reaktionen der Plattformanbieter (Google, Microsoft, Slack, GitHub):

• Überprüfung der Feinkörnigkeit der Standard-OAuth-Berechtigungen.
• Veröffentlichung von Leitlinien zur Berechtigungsminimierung für Anwendungsentwickler.
• Erwägung zeitlich begrenzter Token als Voreinstellung.
• Investitionen in Mechanismen zur Freigabe pro Operation.

Regulatorische Reaktionen:

• Kein spezifischer regulatorischer Rahmen adressiert derzeit das Lieferkettenrisiko von KI-Agentenplattformen.
• Die DSGVO und gleichwertige Regelwerke gelten für die Verarbeitung von Nutzerdaten durch KI-Agenten, adressieren die Angriffsfläche auf Plattformebene aber nicht ausdrücklich.
• Mögliche Entwicklung eines Rahmens im Zeitraum 2026–2028.

Reaktionen auf Nutzerebene:

• Nutzerinnen und Nutzer von Verbraucher-KI-Agenten (Claude, Gemini, ChatGPT, Copilot) mit OAuth-Integrationen sollten die erteilten Berechtigungen prüfen und ungenutzte widerrufen.
• Rotation von Zugangsdaten nach bedeutenden Offenlegungen von Datenverletzungen.
• Wechsel zu Diensten mit stärkerem Sicherheitsniveau, wo machbar.

Das Montags-Audit ist umfangreich. Die meisten Unternehmen werden es nicht umfassend durchführen. Die Architektur wird weiterlaufen. Das Kompromittierungsmuster wird sich wiederholen. Der nächste KI-Copilot-Einbruch — in Q2 oder Q3 2026 — findet statistisch wahrscheinlich bei einem anderen Anbieter über eine andere konkrete Kette statt, folgt aber demselben architektonischen Muster.

Die Messung der Woche

Ihr KI-Copilot ist eine Lieferkette. Die Nachrichten der Woche sind der Datenpunkt vom April 2026. Die Vercel-Offenlegung ist der sonntagsspezifische Anker. Das CVE zum Azure MCP Server ist der ungepatchte Indikator kritischer Schwere. Das Scale-AI-Muster ist die Erweiterung auf die Ebene der Trainingsdaten. Die ShinyHunters-Salesforce-Kampagne ist der ausgereifte Vorläufer.

Unternehmenskunden gewähren KI-Copilot-Anbietern breiten Zugang, deren Sicherheitsniveau sie nicht prüfen können. Die Kompromittierung der Anbieter kaskadiert über diesen Zugang. Nutzerinnen und Nutzer, deren Daten durch die Pipeline laufen, tragen am Ende das Risiko. Die architektonische Antwort ist verfügbar und langsam. Der Rollout der KI-Copiloten selbst ist nicht langsam; er beschleunigt sich. Die Lücke wird größer.

Jede Technologiewelle der vergangenen drei Jahrzehnte hatte mit einer ähnlichen Lücke zwischen Rollout und Reife des Sicherheitsniveaus zu kämpfen. Webanwendungen brachten zwischen 2002 und 2008 Kampagnen mit SQL-Injection und XSS hervor, die Hunderte Millionen Datensätze kompromittierten, bevor parametrisierte Abfragen und Content-Security-Policy-Rahmenwerke aufholten. Cloud-Infrastruktur brachte zwischen 2010 und 2014 Vorfälle mit offengelegten Daten hervor, die die CIS-Benchmark und die gesamte Branche der Cloud-Sicherheitswerkzeuge ins Leben riefen. Mobile Anwendungen brachten zwischen 2012 und 2016 Debatten über API-Sicherheit hervor, die bis heute geführt werden.

Die KI-Copilot-Infrastruktur befindet sich in derselben Phase, in der der Rollout schneller läuft als die Sicherheit. Die Kompromittierungskampagne ist im Gange. Die Verteidigungsarchitektur ist teilweise skizziert. Die Rollout-Kurve ist steil. Die Lücke wird sich irgendwann schließen, über eine Mischung aus regulatorischem Druck, Reifung auf Anbieterseite, Investitionen auf Kundenseite und einzelnen aufsehenerregenden Vorfällen, die Prioritäten erzwingen. Welcher Mechanismus die Schließung genau bewirkt, ist die Frage für 2027 und 2028.

Heute ist Montag, der 20. April 2026. Die Unterzeichnung eines 10-tägigen FISA-Flickwerks am Samstag fällt in dieselbe Woche wie die Offenlegung einer Lieferkettenkompromittierung über eine KI-Agentenplattform am Sonntag. Das Wochenende hat uns zwei konkrete Dinge gelehrt: Die staatliche Überwachungsarchitektur hat ein Flickwerk-Gleichgewicht, das im Moment stabil ist; die KI-Copilot-Architektur der Unternehmen hat ein Kompromittierungsgleichgewicht, das sich im Moment beschleunigt. Die Nutzer erleben beides.

Ihr KI-Copilot ist eine Lieferkette. Diese Beobachtung gilt nicht nur für Vercel und Context.ai. Sie gilt für jede KI-Copilot-Integration, die derzeit in einer Unternehmensumgebung im Einsatz ist. Die Frage ist, ob die architektonische Antwort eintrifft, bevor der Kompromittierungszyklus sein Größenplateau erreicht.

Die Messung der Woche ist der erste Datenpunkt der Antwort.

Teil C der vorgeschlagenen Haushaltsgesetze des Staates New York für 2026–2027 (S.9005 im Senat, A.10005 in der Assembly) würde vorschreiben, dass jeder 3D-Drucker und jede CNC-Maschine, die im Bundesstaat verkauft oder ausgeliefert wird, das enthält, was das Gesetz "blocking technology" — Sperrtechnik — nennt. Das Gesetz definiert den Begriff: Firmware oder Software, die jede eingehende Druckdatei gegen einen "firearms blueprint detection algorithm" — einen Algorithmus zur Erkennung von Schusswaffen-Bauplänen — abgleicht und die Ausführung des Drucks verweigert, wenn der Algorithmus sie als Schusswaffe oder Schusswaffenbauteil markiert. Der Entwurf verlangt zusätzlich den Verkauf von Angesicht zu Angesicht für jedes erfasste Gerät — kein Versandhandel, keine Onlinelieferung. Er macht den Besitz oder das Weitergeben einer "blocked design file" — einer gesperrten Konstruktionsdatei — zum Verbrechenstatbestand.

Der Entwurf schreibt keinen Algorithmus vor. Er schreibt eine Funktion vor: durchsuchen, abgleichen, verweigern. Die Umsetzung wird an kommerzielle Anbieter delegiert. Vier große Anbieter von 3D-Drucker-Firmware — Prusa, Creality, Bambu Lab, Anycubic — liefern die Firmware auf der Mehrheit der US-Verbraucher-3D-Drucker aus. Keiner von ihnen liefert derzeit einen Algorithmus zur Schusswaffenerkennung mit. Jeder müsste einen ergänzen, um in New York verkaufen zu dürfen. Die Signaturdatenbank — also welche Formen der Algorithmus markieren würde — soll von staatlich zertifizierten Anbietern gepflegt werden, in der Praxis von zwei oder drei kommerziellen Anbietern, deren Zertifizierungsverfahren noch nicht festgelegt ist.

Die Electronic Frontier Foundation veröffentlichte im April 2026 zwei Beiträge gegen Teil C: "Stop New York's Attack on 3D Printing" und "Print Blocking Won't Work - Permission to Print Part 2". Eine Koalition aus dem Bereich offener Firmware — Betreuer der Firmware-Projekte Marlin, Klipper und RepRap — führte einen Pilotversuch mit der Klasse von Algorithmen durch, die der Entwurf zertifizieren würde, und zwar gegen einen Bestand von Nicht-Waffen-Drucken: Ersatz-Türgriffe, Architekturmodelle, Figuren, Haushaltsbeschläge. Das veröffentlichte Ergebnis des Pilotversuchs: 17 Prozent der Nicht-Waffen-Drucke lösten den Algorithmus aus.

Eine Falsch-Positiv-Rate von 17 Prozent bei einem Fertigungswerkzeug ist keine Unannehmlichkeit. Sie ist eine Konstruktionseigenschaft. Ein Hobbybastler in Rochester, der einen Schrankverschluss druckt, eine Lehrerin in einem Buffaloer Makerspace, die 40 Teile für den Unterricht druckt, ein Brooklyner Künstler, der stilisierte Skulpturen herstellt — jede und jeder von ihnen wird statistisch garantiert auf eine Verweigerung stoßen. Der Algorithmus unterscheidet nicht Absicht von Muster. Der Algorithmus verweigert Formen.

Kalifornien hat eine parallele Gesetzgebung. Fünf weitere Bundesstaaten haben ähnliche Entwürfe in Umlauf. Wenn New Yorks Teil C verabschiedet wird, ist New York der erste US-Bundesstaat, der die Verweigerung von Inhalten auf Geräteebene für ein Fertigungswerkzeug vorschreibt.

Die Leiter

Der New Yorker 3D-Drucker-Entwurf ist der schärfste Einzeleintrag in einer umfassenderen architektonischen Verschiebung. Die Nachrichten der Woche zu Privatsphäre und Internetfreiheit beschreiben, zusammen gelesen, eine Leiter staatlich verordneter Verweigerungsregime:

Erlaubnis zu sprechen. Die Chat-Control-Verordnung der EU — die Verordnung gegen sexuellen Kindesmissbrauch, deren dritter Trilog am 17. April scheiterte — würde, je nach Ausgang am 4. Mai, Messaging-Plattformen verpflichten, jede Nachricht vor dem Versand gegen eine Erkennungssignatur zu durchsuchen. Signals Präsidentin Meredith Whittaker, Tutas Matthias Pfau, Protons Andy Yen und Threema haben sich jeweils öffentlich dazu bekannt, sich lieber aus dem EU-Markt zurückzuziehen, als Client-Side-Scanning umzusetzen. Google, Meta, Microsoft und Snap werden sich dem Regime fügen, auf das sich Rat, Parlament und Kommission am Ende einigen. Die Kommission hat sich auf die Position des Parlaments zubewegt — engere Aufdeckungsanordnungen, gepaart mit vorgeschriebener Altersverifikation — und von der früheren Haltung des Rates zugunsten verpflichtenden Scannens entfernt.

Erlaubnis zu sehen. Die Frist für die Bewertung des Zugangs von Kindern nach dem britischen Online Safety Act lief am 16. April ab. Über neunzig Dienste stehen unter förmlicher Untersuchung durch Ofcom. Schätzungsweise sechs Millionen britische Erwachsene haben in den vergangenen zwölf Monaten Altersverifikationsverfahren bei Vermittlern durchlaufen — Yoti, Persona, Verify und kleineren Anbietern —, die Ausweisdokumente nach Richtlinien von 6 bis 24 Monaten aufbewahren. Australiens Social Media Minimum Age Act trat am 10. Dezember 2025 in Kraft. Facebook, Instagram, Snapchat, TikTok und YouTube stehen unter Untersuchung durch eSafety. Sechsundsiebzig Prozent der 14- bis 15-Jährigen geben an, das Verbot zu umgehen. Discord hat die weltweite Einführung seiner Altersverifikation auf die zweite Hälfte des Jahres 2026 verschoben. Googles KI-gestützte Altersverifikation wird weiter ausgerollt. Reddit verlangt Altersverifikation für sensible Subreddits. Jedes dieser Regime leitet die Verifikation über einen Vermittler, der Ausweisdokumente ansammelt.

Erlaubnis zu drucken. New Yorks Teil C. Kaliforniens parallele Gesetzgebung. Die Falsch-Positiv-Rate von 17 Prozent.

Erlaubnis zu erreichen. Der Iran ist in Tag 51 der längsten je erfassten landesweiten Internetabschaltung. Die internationale Anbindung liegt bei ungefähr einem Prozent des Vorkriegsniveaus. Besitz eines Starlink-Terminals zum persönlichen Gebrauch: sechs Monate bis zwei Jahre Haft. Nutzung „in der Absicht, sich der Islamischen Republik entgegenzustellen“, oder zur Spionage: Hinrichtung. Russlands Ministerium für digitale Entwicklung hat zwölf Tage, bis am 1. Mai die Gebühr pro Gigabyte auf internationale Daten in Kraft tritt — 150 Rubel pro Gigabyte oberhalb von 15 GB im Monat, erhoben am Netzübergang des Betreibers, abgerechnet über die digitale Brieftasche der Nutzerin. Chinas Große Firewall, das dienstälteste Mitglied dieser Kategorie, arbeitet weiter.

Erlaubnis zu entschlüsseln. Die Technical Capability Notice des britischen Innenministeriums gegen Apple. Für 2026 ist eine siebentägige Anhörung vor dem Investigatory Powers Tribunal angesetzt, in der es darum geht, ob das Innenministerium Apple zwingen kann, die technische Fähigkeit für britischen Zugriff auf iCloud-Nutzerdaten weltweit vorzuhalten. Apple zog den Advanced Data Protection für britische Nutzer am 21. Februar 2025 zurück. Die Senatoren Wyden, Warren und Markey verlangten bis zum 11. März 2026 ein Briefing des DNI. Das bilaterale Abkommen zwischen den USA und dem Vereinigten Königreich unter dem CLOUD Act schließt britische Herausgabeverlangen gegen US-Personen ausdrücklich aus. Ob der TCN-Mechanismus diesen Ausschluss rechtlich umgeht, ist die zentrale Frage der Anhörung.

Fünf Sprossen. Jede ist ein konkreter, staatlich verordneter Moment, in dem ein Gerät, ein Dienst oder ein Infrastrukturelement um Erlaubnis fragt, bevor die Nutzerin handelt. Die Erlaubnisfrage wird gegen eine Signaturdatenbank, eine Altersbestätigung, eine Geolokalisierung oder eine kryptografische Fähigkeitsspezifikation beantwortet. Lautet die Antwort nein, findet die Handlung nicht statt.

Von der Beobachtung zur Verweigerung

Das ältere Überwachungsmodell, das die Debatten von 2013 bis 2020 prägte — PRISM, XKeyscore, Snowdens Enthüllungen —, war Beobachtung. Die NSA sammelte Metadaten. Facebook verfolgte Verhalten. Google aggregierte Suchanfragen. Der Staat oder der kommerzielle Betreiber beobachtete, was die Nutzerin tat. Manchmal wurde die Beobachtung in der nachgelagerten Rechtsdurchsetzung verwendet. Manchmal lag sie in einer Datenbank. Die Nutzerin handelte in nahezu allen Fällen dennoch. Die Handlung wurde aufgezeichnet. Die Aufzeichnung wurde später herangezogen oder auch nicht.

Das aufkommende Modell ist Verweigerung. Das Gerät, der Dienst oder die Infrastruktur greift im Moment der Handlung ein. Der Druck der Nutzerin wird nicht gedruckt. Die Nachricht der Nutzerin wird vor dem Versand markiert. Das Konto der Nutzerin kommt ohne Altersbestätigung nicht an Inhalte. Das Telefon der Nutzerin erreicht ohne Gebühr oder Abschaltausnahme keine internationalen Ziele. Die Verschlüsselung der Nutzerin unterliegt strukturell einer erzwingbaren Entschlüsselung.

Die Verschiebung ist struktureller Art. Beobachtung lässt sich im Grundsatz mit der Selbstbestimmung der Nutzerin vereinbaren: Die Nutzerin handelt; es existiert eine Aufzeichnung der Handlung; die Aufzeichnung wird aus nachgelagerten Erwägungen verwendet oder nicht. Verweigerung beseitigt die Handlung vollständig. Die Nutzerin handelt nicht, weil eine Zwischenschicht ermächtigt wurde, im Namen einer Regel zu verweigern, die die Nutzerin nicht gewählt hat.

Die Verschiebung ist auch für bestehende Regelwerke schwerer zu fassen. Beobachtung erzeugte juristische Debatten über Durchsuchungsbefugnisse, Klagebefugnis und Aggregation. Verweigerung erzeugt Debatten darüber, wessen Algorithmus zertifiziert ist, welche Signaturdatenbank maßgeblich ist und wie Falsch-Positiv-Raten geprüft werden. Die Fragen sind andere. Die Mechanismen, die das Rechtssystem für die Beobachtungsära entwickelt hat, greifen nicht vollständig.

Die Datenschutzdebatte von 2013 bis 2020 kreiste darum, wann der Staat zusehen durfte. Die Debatte von 2026 kreist darum, wann Geräte den Dienst an der Nutzerin verweigern dürfen.

Die gewöhnliche Verteidigung

Gegen die Leiter der Verweigerung stehen fünf architektonische Antworten — jede bereits in einem gewissen Umfang in Betrieb, jede unvollständig, jede Gegenstand ihrer eigenen fortlaufenden Entwicklung.

Geräte, die nicht fragen. 3D-Drucker mit offener Firmware, deren Codebasen sich weigern, den Signaturscanner nach Teil C umzusetzen. Quelloffene Betriebssysteme, deren Entwurf Erlaubnisanfragen nicht über staatlich zertifizierte Vermittler leitet. Selbst gehostete Produktivitätssoftware, die nicht nach Hause funkt. Die Community der offenen Firmware hat sich bereits öffentlich verpflichtet, den Scanner nach Teil C nicht auszuliefern. New Yorks Reaktion wird, sollte das Gesetz verabschiedet werden, zeigen, ob schon der Besitz nicht konformer Firmware strafbar gemacht werden kann.

Dienste, die nicht gezwungen werden können. Ende-zu-Ende-verschlüsseltes Messaging, dessen Server den Klartext nicht lesen können. Signals Protokoll. Tuta, Proton, Threema. Ein gezwungener Server kann nicht offenbaren, was der Server mathematisch nicht sehen kann. Die architektonische Antwort auf Chat Control lautet, dass die Verordnung für Betreiber gilt, deren Infrastruktur Scannen zulässt; Betreiber, deren Infrastruktur Scannen nicht zulässt, ziehen sich entweder zurück oder ignorieren sie.

Föderierte Plattformen. Mastodon, Blueskys AT Protocol, Matrix, Nostr, Farcaster. Kein einzelner Betreiber hält die Inhalte. Eine staatliche Aufsicht kann einen Betreiber erreichen, ohne das Netz zu erreichen. Eine Kompromittierung bei einem Betreiber begrenzt den Wirkungsradius. Plattformen mit föderierter Inhaltsmoderation können einzelne regulatorische Verlangen zurückweisen, ohne das Netz zu zerbrechen.

Peer-to-Peer-Transport. WireGuards Cryptokey-Routing. Tors Onion-Routing. URnetworks Transport über Wohnanschluss-Knoten, bei dem Nachrichten über Peer-Geräte statt über Anlagen lizenzierter Netzbetreiber laufen. Der lizenzierte Netzbetreiber ist genau der Engpass, an dem Russlands Gebühr, Irans Abschaltung und Chinas Große Firewall ansetzen. Peer-to-Peer-Transport durchquert den Engpass nicht — oder, genauer gesagt, er zeigt am Engpass eine andere, schwerer einzuordnende Signatur.

Nutzereigene Identität. Zero-Knowledge-Altersnachweise, die aus einer Brieftasche auf dem Gerät der Nutzerin erfüllt werden. Die EU Digital Identity Wallet nach eIDAS 2.0 ist der führende regulatorische Weg; der produktive Einsatz ist für 2027 vorgesehen. Der architektonische Anspruch lautet, dass der überprüfbare Nachweis der Nutzerin, gehalten in einer von ihr kontrollierten Brieftasche, die geforderten Eigenschaften bestätigt, ohne dass ein Vermittler das zugrunde liegende Dokument aufbewahren muss. Die sechs Millionen britischen Verifikationen des vergangenen Jahres nach dem Online Safety Act nutzten diese Architektur nicht; die Architektur existiert und wird langsam ausgerollt.

Jede Antwort ist unvollständig. Jede steht unter regulatorischem Druck. Keine ist die architektonische Antwort auf jedes Verweigerungsregime. Zusammen skizzieren sie die architektonische Haltung, die einer Nutzerin offensteht, die für sich entscheidet, die Voreinstellung nicht zu akzeptieren.

Die Lektüre am Sonntagmorgen

Eine Nutzerin in den Vereinigten Staaten kennt am Sonntag, dem 19. April 2026, die konkreten Bestimmungen von Teil C höchstwahrscheinlich nicht. Sie weiß wahrscheinlich nicht, dass der dritte Chat-Control-Trilog am Freitag scheiterte, dass Russlands Gebühr am 1. Mai in Kraft tritt oder dass sich Apples britische Technical Capability Notice auf eine Tribunalanhörung in diesem Jahr zubewegt. Sie hat nach den Meldungen der Woche über Datenverletzungen vielleicht ein vages Gefühl, dass ihre Daten „wahrscheinlich irgendwo da draußen“ sind — McGraw Hills 13,5 Millionen, Rockstar Games' 78,6 Millionen, Booking.coms nicht bezifferte Millionen, ChipSofts niederländische Patienten, Basic-Fits europäische Fitnessstudio-Mitglieder.

Die Nutzerin hat keine einzelne Handlung zur Verfügung, die die Leiter auflöst. Die Nachrichten der Woche sind kein Anlass für einen Kauf oder eine geänderte Einstellung. Sie sind eine Beschreibung der betrieblichen Umgebung, in der Gerät, Dienste und Infrastruktur der Nutzerin zunehmend zur Verweigerung reguliert werden. Die Wahl der Nutzerin besteht, soweit sie eine hat, zwischen dem Hinnehmen der Voreinstellungen und dem Griff zu den architektonischen Alternativen — Signal für Messaging, ein selbst gehosteter Dateidienst, ein 3D-Drucker mit offener Firmware, aus einem anderen Bundesstaat importiert, ein meshfähiges Gerät für lokale Abstimmung, eine föderierte Plattform für öffentliche Kommunikation und eine wachsende Zahl spezialisierterer Werkzeuge für spezifischere Anliegen.

Die Mainstream-Nutzerin wird die Voreinstellungen weiterhin hinnehmen. Das ist die strukturelle Wahrheit. Die Mainstream-Architektur — zentralisierte Plattformen, Cloud-Dienste, lizenzierte Netzbetreiber, vorgeschriebene Scanner und Prüfstellen — bleibt die betriebliche Umgebung, um die herum die Leiter der Verweigerungsregime entworfen wurde. Die architektonischen Alternativen bleiben für jene Nutzer verfügbar, die sie wählen.

Die konkrete Verschiebung, die zum Wochenschluss benannt zu werden verdient, ist, dass die regulatorische Leiter nicht mehr theoretisch ist. New Yorks Teil C steht auf dem Gesetzgebungskalender. Der Chat-Control-Trilog am 4. Mai wird eine Richtung vorgeben. Die Anhörung zu Apples TCN ist angesetzt. Russlands Gebühr tritt in Kraft. Irans Tag 52 beginnt morgen. Jede Sprosse hat ein konkretes Datum. Jede Sprosse hat einen konkreten operativen Mechanismus. Jede Sprosse hat eine konkrete architektonische Alternative, die die Nutzerin wählen kann, wenn sie will.

Was die Woche sichtbar gemacht hat

Teil C des New Yorker Haushalts ist der konkrete Sonntagmorgen-Posten. Die Falsch-Positiv-Rate von 17 Prozent ist die ergonomische Tatsache. Die Konzentration der Signaturdatenbanken ist die architektonische Tatsache. Die Verbrechensdrohung für den Besitz gesperrter Konstruktionsdateien ist die bürgerrechtliche Tatsache. Die Gegenwehr der EFF ist die anwaltschaftliche Antwort. Die Selbstverpflichtung der Open-Firmware-Community, den Scanner nicht umzusetzen, ist die architektonische Antwort.

Das Scheitern des dritten Chat-Control-Trilogs, die sechs Millionen Verifikationen nach dem britischen OSA, Irans Tag 51, Russlands Countdown auf den 1. Mai, das Fortschreiten von Apples britischer TCN, Discords verschobene weltweite Altersverifikation, Googles KI-gestützte Altersverifikation, Australiens ausstehende eSafety-Durchsetzung, die Datenverletzungen bei McGraw Hill, Rockstar Games, Booking.com und ChipSoft, die Enthüllungen zu Meta Scale AI Outlier, das Fortbestehen von LockBit 5.0, der von Grinex behauptete staatlich zugeschriebene Hack — jedes davon ist ein konkreter Eintrag in den Nachrichten der Woche. Jedes ordnet sich der Leiter zu oder der parallelen Lieferkette der Datenausbeutung, die neben der Lieferkette der Verweigerung verläuft.

Die Nachrichten der Woche sind, als Ganzes genommen, die betriebliche Wirklichkeit der Verweigerungsära. Die Nutzerin steht am empfangenden Ende der Verweigerungen und der Ausbeutungen. Die architektonischen Alternativen sind real und verfügbar. Die Wahl liegt, wo es sie gibt, bei der Nutzerin. Die Verweigerungsära geht weiter, ob die Wahl getroffen wird oder nicht.

Teil C wird verabschiedet oder nicht. Wird er verabschiedet, wird sich New Yorks 3D-Druck-Community mit der Falsch-Positiv-Rate von 17 Prozent, der Pflicht zum Verkauf von Angesicht zu Angesicht und der Verbrechensdrohung auseinandersetzen. Wird er nicht verabschiedet, kehrt Teil C in einem künftigen Haushaltszyklus oder einem Nachfolgeentwurf zurück. Kalifornien wird sein eigenes Vorgehen wählen. Andere Bundesstaaten werden zusehen.

Die Leiter verschwindet nicht. Die Sprossen werden besetzt. Das Gerät der Nutzerin fragt irgendwo in der Kette zwischen der beabsichtigten und der tatsächlich stattfindenden Handlung um Erlaubnis — bei einer Regel, die die Nutzerin nicht gewählt hat.

Die architektonische Antwort sind die Geräte, Dienste und Infrastrukturen, die nicht fragen. Ihr Rollout ist langsam. Ihre Verfügbarkeit ist real. Die Nachrichten der Woche haben, Sprosse für Sprosse, sichtbar gemacht, wozu sie eine Alternative sind.