Wer hier regelmässig mitliest, kennt die Richtung: Beim Start der KI-Videoüberwachung in Berlin ging es darum, wie Kameras im öffentlichen Raum zu Sensoren werden. Netzpolitik.org hat am 29. September unter dem Titel „Diese Geheimdienstreform betrifft uns alle" aufgezählt, wen das Vorhaben trifft: Ärzte, Journalisten, Autowerkstätten, Betreiber von Kameras, Internetnutzer. Der Aufzählung ist nichts hinzuzufügen. Wohl aber eine Frage, die in der Liste untergeht: Was wird aus einem Nachrichtendienst, wenn er handeln darf?

Geheimdienstreform: was der Regierungsentwurf ändert

Der Gesetzentwurf trägt den Titel „Entwurf eines Gesetzes zur Reform des Nachrichtendienstrechts", Drucksache 21/7868 vom 7. September 2026, eingebracht von der Bundesregierung. Unter „Alternativen" steht dort ein einziges Wort: „Keine." Kanzleramtsministerin Nina Warken (CDU) nannte das Vorhaben in der ersten Lesung laut Textarchiv des Bundestags „die grösste Novellierung des Nachrichtendienstrechts in der Geschichte des Landes". Wer einen Rekord ankündigt, sollte damit rechnen, dass jemand nachmisst.

Neu geschrieben werden das Bundesverfassungsschutzgesetz und das BND-Gesetz, dazu kommt ein eigenes Gesetz für den Unabhängigen Kontrollrat. Laut Bundestag sieht der Entwurf unter anderem vor:

• dass der BND „erhobene Daten ohne vorherige Sichtung für einen Zeitraum von sechs Monaten (Inhaltsdaten) beziehungsweise bis zwölf Monaten (Metadaten) speichern darf",
• dass Bundesamt für Verfassungsschutz (BfV) und BND „tatbestandlich eng begrenzte Interventionsbefugnisse bei bestimmten Gefahrensituationen" erhalten,
• neue Befugnisse zur Auswertung technischer Spuren in der Infrastruktur von Cyberangriffen,
• dass der Unabhängige Kontrollrat sowohl die Vorabkontrolle von Anordnungen als auch die Datenschutzkontrolle übernimmt.

Dazu kommen Pflichten für Dritte, die im Entwurf selbst stehen: Videoanlagen sollen dem Verfassungsschutz auf Ersuchen zur Verfügung stehen, Autohersteller und Werkstätten sollen Telemetriedaten liefern. Dazu gleich mehr. Federführend ist der Innenausschuss.

Innenminister Alexander Dobrindt (CSU) fasste den Zweck in der Debatte in einen Satz, der mehr verrät, als ihm vermutlich lieb ist: „Aus Informationsbeschaffung über Bedrohungen wird echte Abwehr von Gefahren." So zitiert ihn das Textarchiv des Bundestags. Genau dieser Satz ist das Problem.

Das Trennungsgebot: warum Beobachten und Eingreifen getrennt sind

In Deutschland gilt seit der Nachkriegszeit das sogenannte Trennungsgebot: Nachrichtendienste sammeln Informationen, die Polizei greift ein. Netzpolitik.org erinnert in seinem Bericht zur ersten Lesung daran, woher es kommt: aus der Erfahrung mit einer Geheimpolizei, die beides in einer Hand hatte. Das ist keine historische Fussnote, sondern eine Konstruktionsregel. Wer im Verborgenen ermittelt, soll nicht zugleich durchgreifen dürfen.

Diese Trennung hat einen Preis, und den zahlt der Bürger bereits heute. Nachrichtendienste dürfen früher und breiter Daten erheben als die Polizei. Sie brauchen keine konkrete Gefahr, ihnen genügen „tatsächliche Anhaltspunkte" für eine Bedrohung. Das Bundesverfassungsgericht hat diese niedrigere Schwelle nicht einfach hingenommen, sondern begründet. Die Gesellschaft für Freiheitsrechte (GFF) zitiert in ihrer Stellungnahme zum Referentenentwurf das Urteil zum Bayerischen Verfassungsschutzgesetz vom 26. April 2022 (1 BvR 1619/17, Randnummer 156) im Wortlaut:

„Dass eine Verfassungsschutzbehörde nicht über eigene operative Anschlussbefugnisse verfügt, rechtfertigt es im Grundsatz, die ihr zur Wahrnehmung ihrer Beobachtungsaufgaben eingeräumten Datenerhebungsbefugnisse im Vergleich zu den Befugnissen einer Polizeibehörde wegen des geringeren Eingriffsgewichts an modifizierte Eingriffsschwellen zu knüpfen."

Lest den Satz zweimal. Die niedrige Schwelle ist erlaubt, weil der Dienst nicht handeln darf. Sie ist der Ausgleich für die fehlende Hand, nicht ein Vorrecht an sich. Wer die Hand nachliefert, entzieht der Schwelle ihre Begründung.

Aus Beobachten wird Eingreifen

Und genau das tut der Entwurf. „Interventionsbefugnisse bei bestimmten Gefahrensituationen" ist Verwaltungsdeutsch für: Der Dienst darf selbst etwas unternehmen. Dobrindt spricht von „echter Abwehr von Gefahren". Gefahrenabwehr ist im deutschen Recht der Inbegriff von Polizeiarbeit. Wer sie einem Nachrichtendienst überträgt, baut keinen moderneren Nachrichtendienst, sondern eine zweite Polizei — eine, die im Verborgenen arbeitet und deren Erhebungsschwellen niedriger liegen.

Die GFF nennt das in ihrer Stellungnahme eine „Verpolizeilichung" und schreibt: „Die strenge Trennung zwischen den nur überwachenden, aber nicht operierenden Nachrichtendiensten und der dann eingreifenden Polizei wird eingerissen." Die Linken-Abgeordnete Clara Bünger sprach im Plenum von einer „neuen deutschen Geheimpolizei". Das ist Opposition, und Opposition übertreibt von Berufs wegen. Hier muss sie allerdings nicht viel übertreiben, denn der Innenminister liefert die Vorlage selbst.

Konstantin von Notz von den Grünen, der eine Stärkung des BND ausdrücklich mitträgt, forderte laut Bundestag, Dobrindts „überzogene Pläne für die Geheimdiensttätigkeit im Inland" zurückzufahren. Dass ausgerechnet der Befürworter eines stärkeren Auslandsdienstes vor dem Inlandsteil warnt, ist der aufschlussreichste Satz der ganzen Debatte.

Wie eng die neuen Eingriffsbefugnisse in der Praxis tatsächlich gefasst sind, lässt sich an dieser Stelle nicht abschliessend sagen. Die Paragrafen dazu stehen im hinteren Teil des Entwurfs, und das Adjektiv „eng" steht in jedem Gesetz am Anfang. Entscheidend ist ein anderer Punkt: Selbst eine eng gefasste Eingriffsbefugnis verändert, was die Erhebungsbefugnisse davor rechtfertigt. Ein Dienst, der eingreifen kann, sammelt nicht mehr nur Lagebilder. Er sammelt für den eigenen Zugriff.

Dazu passt, was der Referentenentwurf vom Juli in § 37 des neuen Verfassungsschutzgesetzes vorsah: eine automatisierte Datenanalyse über die gespeicherten Bestände, die die GFF als „schwerwiegenden Grundrechtseingriff" bewertet. Wer die Debatte um Palantir bei deutschen Polizeibehörden verfolgt hat, weiss, wie schnell aus Analyse ein Werkzeug für Zugriffe wird. Ein Dienst mit Eingriffsbefugnissen und einer Analysemaschine ist nicht mehr der stille Beobachter, für den die alten Regeln geschrieben wurden.

Jede Kamera ein Fenster: § 15 des neuen Verfassungsschutzgesetzes

Am deutlichsten wird die Verschiebung an einer Vorschrift, die auf den ersten Blick technisch klingt. § 15 des neuen Bundesverfassungsschutzgesetzes heisst „Verpflichtende Ersuchen an Verfügungsberechtigte von Einrichtungen zur Videoüberwachung". Der Wortlaut in Absatz 1: „Verfügungsberechtigte privater und öffentlicher Einrichtungen zur Videoüberwachung des öffentlich zugänglichen Raums haben auf Ersuchen des Bundesamtes für Verfassungsschutz 1. die Mitbenutzung der Einrichtung durch das Bundesamt für Verfassungsschutz zu ermöglichen". Dazu kommt die Übermittlung der Bilder in Echtzeit. Zulässig ist das nach Absatz 2 „nur im Fall wenigstens erheblich beobachtungsbedürftiger Bedrohungen".

Übersetzt: Die Kamera über dem Eingang des Supermarkts, die am Bahnhofsvorplatz, die des Parkhauses — sie alle können auf Anfrage zum Auge des Verfassungsschutzes werden. Nicht wegen eines konkreten Verdachts gegen eine bestimmte Person, sondern bei einer „erheblich beobachtungsbedürftigen Bedrohung", also einer nachrichtendienstlichen Schwelle.

Die GFF hält das für verfassungswidrig. Das Eingriffsgewicht der Massnahme, die im Entwurf nicht einmal als nachrichtendienstliches Mittel kategorisiert sei, nennt sie „enorm" und schreibt: „Dies ist auch unter Berücksichtigung der vorgesehenen Eingriffsschwelle der erheblich beobachtungsbedürftigen Bedrohung unverhältnismässig." Netzpolitik.org fasst die Reichweite in einem Satz: „Faktisch alle Menschen, die sich in Deutschland aufhalten, werden von solchen Videoüberwachungen erfasst."

Für diesen Blog ist das kein abstraktes Thema. Im Kaufratgeber zu Überwachungskameras ohne Cloud ging es darum, dass eine Kamera nur so viel preisgibt, wie ihre Architektur zulässt. Mit § 15 kommt eine Ebene dazu, die keine Architektur abfängt: Nicht der Hersteller will mitschauen, sondern der Staat, und er fragt den Betreiber. Der Betreiber muss Ja sagen. Und in Berlin wird gerade vorgeführt, wie aus Bildern Verhaltensdaten werden. Wer beides zusammendenkt, ahnt, wohin die Reise geht — und die Tickets sind schon gelöst.

Das Auto als Informant: § 11 und die Telemetrie

§ 11 verpflichtet eine Reihe von Unternehmen zur Auskunft, wenn der Verfassungsschutz nach § 9 ersucht — also wenn das „auf Grund tatsächlicher Anhaltspunkte im Einzelfall zur Aufklärung von Bedrohungen erforderlich ist". Genannt werden Anbieter von Güter- und Personenverkehr, digitale Dienste, technische Zahlungsdienste, die nach dem Geldwäschegesetz Verpflichteten — und in Nummer 2 „Kraftfahrzeughersteller oder Kraftfahrzeugwerkstätten zu Telemetriedaten". Werkstätten sollen nach Absatz 4 nur dann gefragt werden, wenn die Anfrage beim Hersteller nicht möglich ist oder den Zweck gefährden würde.

Ein modernes Auto weiss, wo es war, wann, wie schnell, und oft auch, wer am Steuer sass. Diese Daten liegen beim Hersteller, weil der Hersteller sie haben wollte. Jetzt will sie auch der Verfassungsschutz. Laut netzpolitik.org warnt der Zentralverband Deutsches Kraftfahrzeuggewerbe, dass „Autohäuser und Kfz-Werkstätten zum verlängerten Arm der Nachrichtendienste werden", und der Verband der Automobilindustrie hält fest: „ein etwaiger direkter Zugriff in das Auto ist aus Sicherheitsgründen abzulehnen". Wenn die Autoindustrie beim Datenschutz bremst, ist das ungefähr so, als würde der Fuchs um bessere Zäune für den Hühnerstall bitten. Recht hat sie trotzdem.

Der Punkt ist derselbe wie bei den Kameras: Private Infrastruktur, die für ganz andere Zwecke gebaut wurde, wird zur Quelle des Nachrichtendienstes. Jede Datensammlung, die ein Unternehmen aus Bequemlichkeit oder Geschäftsinteresse anlegt, wird so zur Vorratskammer für Behörden. Das ist der Grund, warum Datensparsamkeit keine Marotte ist, sondern Sicherheitsarchitektur. Wie viel schon die Umstände einer Kommunikation verraten, ohne dass jemand den Inhalt kennt, steht im Beitrag zu Metadaten bei Messengern; Bewegungsdaten eines Autos sind dieselbe Sorte Information auf vier Rädern.

BND-Gesetz: sechs Monate auf Vorrat, ungesichtet

Beim Auslandsnachrichtendienst geht es um eine andere Grössenordnung. Der BND soll laut Bundestag Inhaltsdaten sechs Monate und Metadaten bis zu zwölf Monate speichern dürfen, ohne sie vorher zu sichten. Erst sammeln, dann schauen, was drin ist — das ist die Logik der Vorratsdatenspeicherung, verlegt in einen Dienst, dessen Arbeit niemand von aussen sieht.

Dazu kommt die Frage, wie viel er überhaupt abgreifen darf. Der frühere Ministerialdirektor Peter Schantz schreibt in seiner Stellungnahme für die GFF zum Referentenentwurf, die neue Volumengrenze von 15 Prozent beziehe sich auf alle Telekommunikationsnetze und nicht auf einzelne Leitungen. Sein Befund: „Selbst am grössten deutschen Internetknotenpunkt werden in der Regel nicht mehr als 15 Prozent der Kapazitäten genutzt." Eine Grenze, die über der tatsächlichen Auslastung liegt, begrenzt nichts. Sie sieht nur aus wie eine.

Wer den Beitrag zu FISA Section 702 gelesen hat, erkennt das Muster wieder: Die Erfassung am Backbone unter dem Etikett der Auslandsaufklärung, und die Inländer, die dabei „nebenbei" im Netz hängen bleiben. Die Empörung über amerikanische Praktiken war in Berlin immer gross. Beim Nachbauen ist sie es offenbar weniger.

Schantz kritisiert ausserdem die Weitergabe „ungefilterter Kommunikation" an die Bundeswehr und ausländische Dienste und die Regeln zu aktiven Cybermassnahmen, bei denen er „ein autonomes Handeln der automatisierten Systeme" für möglich hält. Seine Stellungnahme bezieht sich auf den Referentenentwurf vom Juli; welche dieser Punkte im Regierungsentwurf unverändert stehen, lässt sich ohne Lektüre des vollständigen BND-Teils nicht für jeden einzeln bestätigen. Die Speicherfristen und die Interventionsbefugnisse bestätigt der Bundestag selbst.

Ärzte zweiter Klasse

Einen Bereich gibt es, in dem die Reform nicht mehr erlaubt, sondern weniger schützt: die Berufsgeheimnisträger. Nach dem Referentenentwurf, so die Bundesärztekammer in ihrer Stellungnahme vom 27. Juli 2026, sollen Geistliche, Verteidiger und Abgeordnete nach § 32 Absatz 1 des neuen Verfassungsschutzgesetzes absolut geschützt sein. Ärzte stehen nur unter relativem Schutz nach Absatz 2. Relativ heisst: Im Einzelfall wägt die Behörde ab, ob ihr Aufklärungsinteresse schwerer wiegt als das Vertrauensverhältnis.

Die Bundesärztekammer fordert: „Die Arzt-Patienten-Beziehung muss absolut vor Massnahmen der Nachrichtendienste geschützt werden." Netzpolitik.org berichtet am 29. September, dass es auch im Regierungsentwurf bei der Abwägung bleibt, und zitiert aus der Ärzteschaft: „Wenn intimste Informationen betroffen sein können, darf das nicht einer Abwägungsentscheidung einer Behörde überlassen sein." Bei Journalisten sieht es nicht besser aus. Auch ihr Schutz ist relativ, und gerade ihre internationalen Kontakte machen sie für einen Auslandsdienst interessant.

Wer die Abwägung allein der Behörde überlässt, die etwas wissen will, hat die Abwägung bereits entschieden. Es mag Behörden geben, die gegen ihr eigenes Interesse entscheiden. Auf diese Seltenheit sollte kein Grundrecht gebaut sein.

Die Gegenposition: Bedrohung, Kontrolle, Karlsruhe

Es wäre billig, das Vorhaben nur als Machtgier abzutun. Die Befürworter haben Argumente, und drei davon verdienen eine Antwort.

Die Bedrohungslage ist real

Sabotage an Infrastruktur, Cyberangriffe staatlicher Akteure, Terror — der Entwurf begründet sich mit einer verschärften Bedrohungslage, und die ist nicht erfunden. Aus der SPD-Fraktion hiess es in der Debatte laut Bundestag, es gehe darum, „Gefahren abzuwehren und die Bevölkerung zu schützen". Nur: Für Gefahrenabwehr gibt es eine Behörde, die dafür gebaut ist, mit Schwellen, Richtervorbehalten und Rechtsschutz, die dafür gebaut sind. Wenn der Verfassungsschutz eine Gefahr erkennt, kann er sie übermitteln. Dass die Übermittlung an Voraussetzungen hängt, ist kein Fehler im System, sondern das System. Die Bedrohung rechtfertigt bessere Werkzeuge. Sie rechtfertigt nicht, die Werkzeuge in die Hand zu legen, die dafür die niedrigsten Hürden hat.

Der Kontrollrat wird gestärkt

Richtig ist: Der Unabhängige Kontrollrat soll künftig Vorabkontrollen und Datenschutzkontrolle bündeln. Das ist ein Fortschritt gegenüber dem bisherigen Flickenteppich. Aber Kontrolle prüft, ob eine Massnahme die gesetzlichen Voraussetzungen erfüllt. Sie kann keine Voraussetzung anheben, die das Gesetz zu niedrig ansetzt. Schantz bemängelt zudem, dass dem Kontrollrat nach dem Wegfall der Zuständigkeit der Bundesdatenschutzbeauftragten die technische Expertise fehle. Ein Kontrolleur, der den Maschinenraum nicht lesen kann, kontrolliert die Formulare.

Karlsruhe verlangt eine Reform

Ebenfalls richtig: Das Bundesverfassungsgericht hat am 8. Oktober 2024 Teile der strategischen Inland-Ausland-Fernmeldeüberwachung des BND beanstandet. Laut Legal Tribune Online hat der Bundestag „Zeit bis zum 31. Dezember 2026, um die Mängel zu beheben". Die Frist ist ein Grund, das Gesetz zu reformieren. Sie ist kein Grund, dabei Interventionsbefugnisse für den Inlandsdienst, den Zugriff auf private Kameras und Telemetriedaten von Autos gleich mit durchzuwinken. Karlsruhe hat Mängel beim Schutz der Grundrechte festgestellt, nicht einen Mangel an Befugnissen.

Der Blick über die Grenze: die Schweiz und ihr eigenes NDG

Für Leser in der Schweiz liegt der Gedanke nahe, das sei ein deutsches Problem. Das stimmt nur halb. Wer in Deutschland unterwegs ist, an Kameras vorbeigeht oder ein Auto fährt, das Telemetrie an einen deutschen Hersteller funkt, ist von § 11 und § 15 genauso betroffen wie ein Einheimischer. Und auch in Bern wird gerade am Nachrichtendienstrecht gebaut.

Der Bundesrat hat die Botschaft zum Grundpaket der NDG-Revision am 28. Januar 2026 verabschiedet. Auch sie erweitert Befugnisse: Der Nachrichtendienst des Bundes soll bei schweren Bedrohungen Daten bei Finanzintermediären erheben können, und Massnahmen, die bisher dem Terrorismus vorbehalten waren, sollen auch gegen gewalttätigen Extremismus möglich werden. Die Digitale Gesellschaft und ihre Partner fordern in einer gemeinsamen Mitteilung vom 2. Juni 2026, die Vorlage zurückzuweisen, und erinnern daran, dass das Bundesverwaltungsgericht die Kabelaufklärung im November 2025 für nicht grundrechtskonform erklärt hat. Das bestätigt auch das VBS selbst: Das Urteil A-6444/2020 vom 19. November 2025 hält fest, dass die gesetzlichen Grundlagen der Funk- und Kabelaufklärung „in bestimmten Bereichen nicht grundrechtskonform sind". Die Schweiz ist also kein Gegenmodell.

Aber an zwei Stellen hat sie anders entschieden, und genau an den Stellen, um die es hier geht. Erstens hat der Bundesrat laut seiner Mitteilung darauf verzichtet, die Überwachung von Berufsgeheimnisträgern wie Anwälten und Ärzten als Drittpersonen zu ermöglichen — wegen der Rückmeldungen aus der Vernehmlassung. Zweitens hat der Ständerat am 16. September 2026 die Vorlage zwar mit 41 zu 1 Stimmen bei 2 Enthaltungen angenommen, aber laut der Nachrichtenagentur SDA, wie Radio Central meldet, mit 24 zu 15 Stimmen die Befugnis gestrichen, Informationen über die politische Tätigkeit von Personen und Organisationen zu bearbeiten. Laut VBS hat er ausserdem mit einem Einzelantrag von Beat Rieder bewusst eine Differenz zum Nationalrat geschaffen, damit Zeit bleibt, die Wahrung von Berufsgeheimnissen klar zu regeln.

Das ist kein Grund zum Feiern. Aber es zeigt, dass ein Parlament die Frage nach den Berufsgeheimnissen stellen kann, bevor das Gesetz verabschiedet ist, und nicht erst danach vor Gericht.

Wie es weitergeht

Das Verfahren in Berlin hat einen engen Takt, und die nächsten Termine stehen fest.

• 7. Oktober 2026: Der Innenausschuss berät in seiner 45. Sitzung über den Entwurf und laut Tagesordnung über die „Durchführung einer öffentlichen Anhörung am Montag, dem 12. Oktober 2026".
• 12. Oktober 2026: Öffentliche Anhörung der Sachverständigen im Innenausschuss. Erfahrungsgemäss werden dort die Stellungnahmen von GFF, Bundesärztekammer und Medienverbänden noch einmal vorgetragen; spannend wird, ob die Koalition danach am Arztgeheimnis, an § 15 oder an den Interventionsbefugnissen etwas ändert.
• 31. Dezember 2026: Ablauf der Frist aus dem Beschluss des Bundesverfassungsgerichts vom 8. Oktober 2024. Bis dahin muss zumindest der beanstandete Teil der BND-Überwachung neu geregelt sein. Die Frist erzeugt Zeitdruck, und Zeitdruck ist erfahrungsgemäss der beste Freund grosser Befugnisse.
• Nach der Verabschiedung: Von Notz rechnet laut netzpolitik.org damit, dass das Gesetz in Karlsruhe landet. Die GFF hält den Entwurf in ihrer Stellungnahme für „in weiten Teilen verfassungswidrig".

In der Schweiz geht die NDG-Revision nach der Ständeratsdebatte vom 16. September 2026 zurück in den Nationalrat. Offen sind dort unter anderem die Bearbeitung politischer Tätigkeiten und die Regelung der Berufsgeheimnisse.

Fazit: Wer Gefahren abwehrt, braucht Polizeischwellen

Die Geheimdienstreform ist kein Sammelsurium einzelner Zumutungen, auch wenn sie sich so liest. Sie folgt einem Plan, und Dobrindt hat ihn ausgesprochen: Aus Informationsbeschaffung soll Gefahrenabwehr werden. Das Bundesverfassungsgericht hat Nachrichtendiensten niedrigere Schwellen zugestanden, weil sie nicht eingreifen dürfen. Der Entwurf behält die niedrigen Schwellen und gibt die Eingriffe dazu. Damit fällt die Begründung weg, auf der das ganze Gefüge ruht.

Was danach übrig bleibt, ist eine Behörde, die mit nachrichtendienstlichen Hürden sammelt und mit polizeilicher Wirkung handelt, die auf private Kameras und Autodaten zugreift und bei der das Arztgeheimnis zur Verhandlungsmasse wird. Die Bundesregierung nennt das Modernisierung. Die Generation, die das Trennungsgebot erfunden hat, hätte dafür ein anderes Wort gehabt, und es stand nicht in einer Pressemitteilung.

Will der Gesetzgeber Gefahren abwehren, soll er es der Polizei erlauben, mit Polizeischwellen und Richtervorbehalt. Will er Nachrichtendienste, die mehr sehen, soll er sie sehen lassen und das Handeln bei denen belassen, die dafür kontrolliert werden. Beides in eine Hand zu legen, ist keine Modernisierung. Es ist der Rückbau einer Lehre, die Deutschland teuer bezahlt hat.

Quellen und weiterführende Links

1. Bundestag: Drucksache 21/7868, Entwurf eines Gesetzes zur Reform des Nachrichtendienstrechts, 07.09.2026 — dserver.bundestag.de
2. Bundestag, Textarchiv: Gesetzentwurf zur Reform des Nachrichtendienstrechts beraten, 24.09.2026 — bundestag.de
3. Bundestag, Innenausschuss: Mitteilung zur 45. Sitzung am 07.10.2026 — bundestag.de
4. Gesellschaft für Freiheitsrechte: Stellungnahme zum Referentenentwurf (Verfassungsschutz), 14.07.2026 — freiheitsrechte.org
5. Peter Schantz für die GFF: Stellungnahme zur Reform des BND-Gesetzes, 14.07.2026 — freiheitsrechte.org
6. Bundesärztekammer: Stellungnahme zum Nachrichtendienstrecht, 27.07.2026 — bundesaerztekammer.de
7. netzpolitik.org: Ärzte, Aktivistinnen und Internetnutzer: Diese Geheimdienstreform betrifft uns alle, 29.09.2026 — netzpolitik.org
8. netzpolitik.org: Bundestagsdebatte zur Geheimdienstreform: Zwischen Schreddern und Nachbessern, 24.09.2026 — netzpolitik.org
9. Legal Tribune Online: BVerfG zur strategischen BND-Überwachung (1 BvR 1743/16) — lto.de
10. Schweizerischer Bundesrat: Revision des Nachrichtendienstgesetzes, Botschaft vom 28.01.2026 — admin.ch
11. VBS: Nachrichtendienstgesetz, Grundpaket im Parlament — vbs.admin.ch
12. VBS: Urteil des Bundesverwaltungsgerichts zur Funk- und Kabelaufklärung — vbs.admin.ch
13. Digitale Gesellschaft: Revision Nachrichtendienstgesetz: Rückweisen statt Massenüberwachung ausbauen, 02.06.2026 — digitale-gesellschaft.ch
14. Radio Central (SDA): Ständerat genehmigt revidiertes Nachrichtendienstgesetz deutlich, 16.09.2026 — radiocentral.ch

The post Geheimdienstreform: Polizeibefugnisse ohne Polizeischwelle appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Google-Suche und DMA: was die Kommission im Juli verlangt hat

Am 23. Juli 2026 hat die Kommission Google mit 890 Millionen Euro gebüsst. 460 Millionen davon betreffen die Suche: Google habe eigene Dienste für Shopping, Hotels, Verkehr und Sportresultate bevorzugt, «including at the top of the search results page or by using enhanced visuals and filters». Die übrigen 430 Millionen betreffen Google Play und sind nicht Thema dieses Beitrags. Laut Pressemitteilung IP/26/1670 hatte Google 60 Tage Zeit, danach drohen Zwangsgelder von bis zu fünf Prozent des weltweiten Tagesumsatzes.

Wichtig für alles Folgende: Der DMA verbietet Selbstbevorzugung. Er schreibt nicht vor, wie eine gute Suchergebnisseite auszusehen hat. Diese Lücke füllt Google selbst — und nutzt sie, wie sich zeigt, auch für die Öffentlichkeitsarbeit.

Was Google am 8. September in der EU-Suche umgebaut hat

Google hat den Umbau am 8. September ausgerollt, knapp zwei Wochen vor Fristende. Die technische Beschreibung steht nicht in einer Pressemitteilung, sondern in Googles Dokumentation für Website-Betreiber. Zwei neue Elemente tragen den Umbau.

Erstens die Aggregator Unit, ein Block für Vergleichsdienste. Sie erscheint laut Google bei Anfragen «related to hotels, flights, long distance trains or buses, products, and local businesses». Der bestplatzierte Vergleichsdienst wird ausgeklappt, weitere lassen sich aus einer Liste wählen. Aufgenommen wird nur, wer von Google als «Vertical Search Service» anerkannt ist und seine Daten per Feed oder Echtzeit-Schnittstelle liefert.

Zweitens die Supplier Unit für direkte Anbieter, also einzelne Hotels, Fluggesellschaften oder Handwerksbetriebe. Für sie braucht es keine Datenlieferung, das normale Crawling genügt. Bedingung ist, dass die Website «must serve users in the EEA».

Dazu kommt, was wegfällt. Laut einer Reuters-Meldung vom 8. September zeigen die Karussells für Hotels, Airlines und Restaurants keine Echtzeitpreise mehr. Die Plattform E-Commerce Germany hat zudem beobachtet, dass die organischen Produktkarussells um den 15. und 16. September aus den Ergebnissen im EWR verschwunden und durch einen Block mit Vergleichsseiten ersetzt worden sind.

Der grösste Qualitätsverlust in 29 Jahren — sagt Google

Google hat den Umbau nicht still vollzogen, sondern laut angekündigt. Nick Fox, bei Google für Suche zuständiger Senior Vice President, sagte gegenüber Reuters: «These changes degrade the user experience for Europeans — boosting online intermediaries at the expense of local businesses, and removing helpful features people rely on every day.» Google spricht vom grössten Qualitätsverlust in der 29-jährigen Geschichte der Suche und nennt einen Rückgang des Direktbuchungsverkehrs zu europäischen Betrieben um 30 Prozent bei früheren DMA-Anpassungen. Diese Zahl stammt von Google selbst und ist unabhängig nicht überprüft.

Ganz falsch ist der Einwand nicht. Auch der Schweizer Branchendienst Hotel Inside beschreibt das Paradox: Wenn Vergleichsportale oben stehen, wird aus einer möglichen Direktbuchung schnell eine vermittelte, und davon profitiert vor allem Booking, das laut der dort zitierten HOTREC-Studie rund 71 Prozent des Marktes der Online-Reisebüros hält. Ein Torwächter wird zurückgedrängt, ein anderer rückt nach. Das ist ein echtes Problem der Umsetzung.

Beim Absender lohnt sich trotzdem ein genauer Blick. Die «hilfreichen Funktionen», deren Verlust Google beklagt, sind exakt jene Flächen, für die die Kommission Google verurteilt hat: Hotelpreise und Produktkarussells aus Googles eigenen Diensten, prominent über allen anderen. Dass ein Konzern die Entfernung seiner eigenen Bevorzugung als Qualitätsverlust bezeichnet, ist ungefähr so überraschend wie ein Wirt, der das Rauchverbot für einen Angriff auf die Gemütlichkeit hält. Es ist vor allem eine Botschaft an die Politik, rechtzeitig vor der Beurteilung durch die Kommission.

Die Frist ist abgelaufen, die Kommission schweigt

Was am 21. September passiert ist, lässt sich schnell beantworten: öffentlich nichts. Die Nachrichtenseite der Kommission zum DMA führt nach dem Bussenentscheid vom 23. Juli bis heute, 28. September, keinen weiteren Eintrag zu Google. Ob die Kommission den Umbau als ausreichend betrachtet, ob sie Zwangsgelder prüft oder ob sie mit Google noch verhandelt, ist nicht bekannt. Die Pressemitteilung vom Juli kündigt lediglich an, die Kommission werde die Umsetzung überwachen und den Dialog fortsetzen, ausdrücklich auch zur Darstellung in AI Overviews und im AI Mode.

Das Schweigen ist bemerkenswert, weil gerade die Frist der Punkt war, der den DMA vom klassischen Kartellrecht unterscheidet. Eine Uhr, die abläuft, ohne dass jemand auf sie schaut, ist keine Durchsetzung, sondern Dekoration. Wer gewinnt, hängt jetzt davon ab, ob Brüssel Googles Umbau prüft oder Googles Pressearbeit.

Google-Suche in der Schweiz: gilt nur im EWR, und da gehört die Schweiz nicht dazu

Beide Dokumentationsseiten von Google nennen denselben Geltungsbereich: den Europäischen Wirtschaftsraum. Zur Aggregator Unit heisst es: «People in European Economic Area (EEA) countries who are searching for things like 'hotels near me' may notice that the experience has changed.» Die Schweiz gehört nicht zum EWR. Das EDA hält fest: «1992 lehnte die Schweiz den Beitritt zum EWR-Abkommen in einer Volksabstimmung ab.» Vertragsstaaten sind neben den EU-Mitgliedern Norwegen, Island und Liechtenstein.

Daraus folgt nach Googles eigener Darstellung ein Grenzverlauf mitten durchs Rheintal. Wer in Vaduz nach einem Hotel sucht, gehört zum EWR; wer in Buchs SG dieselbe Anfrage stellt, nicht. Ob Google den EWR in der Praxis genau so abgrenzt, haben wir nicht selbst geprüft, und Reuters zitiert Google mit dem leicht abweichenden Satz, Nutzer ausserhalb der EU seien nicht betroffen. Für die Schweiz macht beides keinen Unterschied: Sie liegt weder in der EU noch im EWR.

Auch die Schweizer Fachpresse ist sich nicht sicher. Das IT-Magazine schrieb am 10. September: «Wie sich die Änderungen auf die Schweiz auswirken, muss sich erst noch zeigen. Oft gelten vergleichbare Anpassungen in der EU auch hierzulande.» Die Dokumentation sagt das Gegenteil, und die Erfahrung dieses Sommers ebenfalls.

Zweimal dieselbe Grenze, zweimal verliert die Wahlfreiheit

Im Juli hat Google den Auswahlbildschirm für die Suchmaschine auf Android in der Schweiz abgeschafft. Die WEKO hat in ihrer Medienmitteilung vom 14. Juli genau die Grenze beschrieben, die jetzt wieder auftaucht: Google habe die Funktion «in der Schweiz abgeschafft, während sie im Europäischen Wirtschaftsraum (EWR) weiterhin verfügbar ist». Eine neue Mitteilung zu dieser Vorabklärung gibt es bis heute nicht.

Jetzt also der zweite Fall mit umgekehrtem Vorzeichen. Beim Auswahlbildschirm verloren Schweizer Nutzer etwas, das es im EWR weiter gibt. Bei der Suche behalten sie etwas, das es im EWR nicht mehr gibt: Googles eigene Hotelpreise und Produktkarussells an erster Stelle. Wer das als Glück empfindet, weil die Suche hierzulande «besser» bleibt, übernimmt Googles Lesart. Die andere Lesart lautet: In der Schweiz darf Google weiterhin tun, wofür es in der EU mit 460 Millionen Euro gebüsst wurde.

Beide Fälle beruhen auf derselben Mechanik, und sie ist die gleiche wie im Vorgängerartikel: Wo eine Pflicht besteht, baut Google um. Wo keine besteht, bleibt alles so, wie es für Google am günstigsten ist — mal durch Wegnehmen, mal durch Stehenlassen. Die Schweiz ist in diesem Bild nicht Zuschauerin, sondern Kontrollgruppe.

Eine praktische Randnotiz verdient trotzdem Erwähnung: Schweizer Hotels verschwinden nicht aus der neuen EWR-Suche. Die Supplier Unit verlangt nur, dass die Website Nutzer im EWR bedient — was für jedes Hotel mit Gästen aus Deutschland, Österreich oder Italien zutrifft. Wie sie dort im Vergleich zu Booking abschneiden, entscheidet allerdings wieder Googles Algorithmus.

Was noch offen ist

• Die Beurteilung der Kommission. Ob der Umbau den Entscheid vom 23. Juli erfüllt, hat Brüssel bis heute nicht gesagt. Erst eine Stellungnahme oder ein Zwangsgeldverfahren zeigt, ob die 60-Tage-Frist mehr war als eine Zahl in einer Pressemitteilung.
• Die Rolle von Booking. Wenn Vergleichsdienste die frei gewordenen Flächen besetzen, profitiert vor allem ein Anbieter, den die EU selbst als Torwächter führt und dem die Kommission am 28. September ein eigenes Merkblatt gewidmet hat. Ob die Kommission das in ihrer Beurteilung berücksichtigt, ist offen.
• Die AI Overviews. Die Kommission hat angekündigt, auch über die Darstellung in Googles KI-Antworten zu sprechen. Wird dort Googles eigener Inhalt bevorzugt, verschiebt sich die Selbstbevorzugung nur um ein Stockwerk nach oben.
• Die Grenze in der Praxis. Ob Liechtenstein tatsächlich die neue Ansicht bekommt und die Schweiz ausnahmslos die alte, ist nur über Googles Dokumentation belegt, nicht über einen Test. Wer im Rheintal wohnt, kann das mit zwei Suchanfragen diesseits und jenseits der Grenze nachprüfen.
• Die WEKO. Die Vorabklärung zum Auswahlbildschirm läuft seit dem 14. Juli, ohne Frist und ohne Sanktionsmöglichkeit. Zur Suche hat die Schweiz kein Verfahren, und das KomPG regelt, wie im Vorgängerartikel beschrieben, die Inhalte nach dem Muster des DSA, nicht den Markt.

Unabhängig davon, wie Brüssel entscheidet, bleibt die einfachste Form von Wahlfreiheit in der Schweiz dieselbe wie vorher: Die Standardsuchmaschine lässt sich von Hand ändern, und unsere Übersicht zu den Alternativen zur Google-Suche nennt die Kandidaten. Wer grundsätzlicher ansetzen will, findet im Ratgeber zum Schutz der Privatsphäre den Einstieg.

Fazit: Die Schweiz bleibt Googles Kontrollgruppe

Der Umbau der Google-Suche zeigt zweierlei. Erstens wirkt der DMA: Innert 60 Tagen hat Google Flächen geräumt, die die Kommission im Juli beanstandet hatte. Zweitens ist Wirkung nicht dasselbe wie Erfolg. Ob Nutzer in der EU jetzt die bessere Wahl haben oder nur einen anderen Vermittler vor die Nase gesetzt bekommen, ist offen, und die Kommission trägt mit ihrem Schweigen nichts zur Klärung bei.

Für die Schweiz ist die Lage dagegen eindeutig. Ob Google eine Wahlmöglichkeit streicht oder eine verurteilte Praxis beibehält, hängt hier allein davon ab, was Google gerade nützt. Im Juli war es das Wegnehmen, im September das Stehenlassen. Ein Land, das in beiden Richtungen nur zusieht, reguliert nicht das Falsche. Es reguliert in dieser Frage gar nicht.

Quellen und weiterführende Links

• Europäische Kommission: Commission fines Google €890 million for breaches of the Digital Markets Act, 23. Juli 2026
• Europäische Kommission: Pressemitteilung IP/26/1670 (PDF)
• Europäische Kommission: DMA Latest News, Stand 28. September 2026
• Google Search Central: Aggregator unit in Google Search, zuletzt aktualisiert 18. September 2026
• Google Search Central: Supplier unit in Google Search, zuletzt aktualisiert 18. September 2026
• Reuters (via The Star): Google warns of lower quality as it revamps Europe search results to avoid EU fines, 8. September 2026
• E-Commerce Germany: Google product carousels disappear from search in the EEA
• Hotel Inside: Brüssel gegen Google – und Booking gewinnt?, 15. September 2026
• IT-Magazine: Grösster Qualitätsverlust in 29 Jahren – Google moniert neue EU-Regeln, 10. September 2026
• EDA: Europäische Freihandelsassoziation (EFTA) und Europäischer Wirtschaftsraum (EWR)
• WEKO: Das Sekretariat der WEKO ermittelt gegen Google, 14. Juli 2026

The post Google-Suche nach dem DMA: die Schweiz bleibt draussen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Dieser Blog hat im Februar beschrieben, wie Palantir die Polizeidatenbanken der Länder zusammenführt, und vor einer Woche, wie der EU KIDS Act Anonymität im Netz zum begründungspflichtigen Sonderfall macht. Beides handelte von Daten, die schon irgendwo lagen. Am Kottbusser Tor entstehen sie erst, und zwar über Leute, die nichts anderes tun, als über einen Platz zu gehen. Dieser Kommentar schaut nicht auf die Frage, ob Kameras dort hängen dürfen — das tun sie seit Jahren —, sondern darauf, was das Gesetz mit den Bildern erlaubt, nachdem die Software sie gesehen hat.

KI-Videoüberwachung Berlin: was am Kottbusser Tor läuft

Die Grundlage ist § 24e des Berliner Allgemeinen Sicherheits- und Ordnungsgesetzes, kurz ASOG, in der Fassung nach der Polizeirechtsreform. Absatz 4 erlaubt der Polizei, die Bildaufnahmen von kriminalitätsbelasteten Orten "auch automatisiert auszuwerten". Ausgeschlossen sind die automatisierte biometrische Fernidentifizierung und die Nutzung der Bilder für das Training solcher Programme. Gesichter werden also nicht abgeglichen. Ausgewertet wird, was Menschen tun.

Was das konkret heisst, steht in der Antwort der Senatsverwaltung für Inneres und Sport auf eine schriftliche Anfrage des Grünen-Abgeordneten Vasili Franco (Drucksache 19/26970). An den kriminalitätsbelasteten Orten, im Behördendeutsch kbO, "detektiert das System Gewaltvorfälle (z. B. schlagende oder tretende Personen) sowie Notsituation (z. B. bewegungslos liegende Personen)". Im Normalbetrieb bleibt der Bildschirm in der Leitstelle schwarz. Erst wenn die Software eine vorher definierte Situation erkennt, schaltet er sich ein und zeigt die Szene, eine Einsatzkraft bewertet sie und entscheidet über weitere Massnahmen. Der Senat nennt das Black-Screen-Prinzip und Human-in-the-Loop.

Der Fahrplan steht in derselben Antwort. Nach dem Kottbusser Tor folgt die Warschauer Brücke bis Ende 2026, Alexanderplatz und Görlitzer Park sind für 2027 geplant. Allein für das Kottbusser Tor beziffert der Senat die Investitionskosten auf 1.888.000 Euro, davon 770.000 Euro für Hardware, und die Betriebskosten bis einschliesslich 2029 auf rund 349.000 Euro pro Jahr. Den Zuschlag hat laut netzpolitik.org die adesso SE bekommen, die Software zur Verhaltenserkennung stammt von der Staige GmbH, an der adesso beteiligt ist.

Berlin ist damit nicht Pionier, sondern Nachzügler. In Mannheim läuft eine algorithmenbasierte Bildauswertung seit Dezember 2018, entwickelt vom Fraunhofer IOSB, Hamburg hat am Hansaplatz nachgezogen, und der Bundestag hat im Juli mit dem neuen Bundespolizeigesetz automatisierte Videoanalyse für Bahnhöfe beschlossen. Neu an Berlin ist etwas anderes: Das Land hat seinem Polizeigesetz nicht nur die Auswertung beigebracht, sondern auch gleich geregelt, wie die Software aus den Bildern lernen darf.

Warum der Verzicht auf Gesichtserkennung so bequem ist

Bevor es um das Training geht, lohnt ein Blick auf die Grenze, die das Gesetz so sorgfältig zieht. Der europäische AI Act verbietet in Artikel 5 Absatz 1 Buchstabe h "the use of 'real-time' remote biometric identification systems in publicly accessible spaces for the purposes of law enforcement", mit eng gefassten Ausnahmen. Dieses Verbot gilt nach Artikel 113 seit dem 2. Februar 2025. Eine Software, die erkennt, dass jemand zuschlägt, identifiziert niemanden in Echtzeit. Sie fällt nicht darunter.

Das ist kein Vorwurf an den Berliner Gesetzgeber, sondern eine Beschreibung der Lage. Die einzige rote Linie, die das europäische Recht für Videoanalyse im öffentlichen Raum zieht, verläuft entlang der Identität. Alles, was sich an Verhalten ablesen lässt, ohne einen Namen dazuzuschreiben, liegt diesseits davon. Der Ausschluss der Gesichtserkennung in § 24e ist deshalb weniger eine Selbstbeschränkung als die Beschreibung dessen, was ohnehin verboten ist. Das Gesetz verzichtet auf das, was es nicht haben darf, und nimmt sich den Rest.

Wie weit dieser Rest reicht, zeigt ein zweites Berliner Projekt.

Vom Faustschlag zum Fotografieren: der Katalog im Objektschutz

Neben den kriminalitätsbelasteten Orten will die Polizei KI-Videotechnik auch dort einsetzen, wo sie Gebäude schützt. Das Leistungsverzeichnis für dieses Projekt, das netzpolitik.org veröffentlicht hat, nennt als Erprobungsorte das Alte Stadthaus in der Klosterstrasse, also den Sitz der Innenverwaltung, das Berliner Rathaus und das Abgeordnetenhaus. Stationäre Kameras, mobile Kamerasysteme und ein optionales Drohnenmodul sollen nach denselben Alarmregeln arbeiten.

Gefordert sind dort unter anderem das Erkennen von beschädigten Zäunen, zurückgelassenen Gegenständen über 30 Zentimeter und unzulässig abgestellten Fahrzeugen. Unter der Überschrift "Ungewöhnliche Objektablagen und Verhaltensauffälligkeiten" steht ausserdem:

• "Langes Verharren/Umhergehen ohne Anlass"
• "Langanhaltendes Fotografieren"
• "Wiederholtes Erscheinen (ohne biometrische Identifikation)"

Nach der Auswertung von netzpolitik.org sind diese Punkte keine Pflichtanforderung. Sie stehen aber im Dokument, mit dem die Polizei beschreibt, was sie von einem Anbieter haben möchte. Bemerkenswert ist, dass sie in der Senatsantwort an Vasili Franco nicht vorkommen. Dort erkennt das System im Objektschutz Zonenverletzungen, Vandalismus und zurückgelassene Gegenstände — also genau die harmlos klingenden Punkte. Ob die Verhaltensauffälligkeiten im Zuschlag enthalten sind, geht aus den öffentlich zugänglichen Unterlagen nicht hervor.

Wer vor dem Roten Rathaus lange fotografiert, war bisher Tourist, Architekturstudent oder Hochzeitsgesellschaft. Im Leistungsverzeichnis ist er eine Verhaltensauffälligkeit. Das ist nicht nur eine Pointe, es ist die eigentliche Frage an jede Verhaltenserkennung: Wer definiert "ohne Anlass"? Eine Software kennt keinen Anlass. Sie kennt Dauer, Wege und Wiederholung. Was davon als auffällig gilt, legt jemand fest, bevor die Kamera läuft, und der Mensch am Bildschirm sieht danach nur noch die Fälle, die diese Festlegung ausgesiebt hat. Die Juristin Petra Sussner hat das im Verfassungsblog so formuliert: "Wo Ermächtigungsgrundlagen im Einzelfall wenig Aufschluss über Anlass und Grenzen des behördlichen Handlungsspielraums geben, greifen rasch alltägliche Stereotype."

Und dann ist da der dritte Punkt. "Wiederholtes Erscheinen" zu erkennen, ohne jemanden biometrisch zu identifizieren, verlangt, dieselbe Person an einem anderen Tag wiederzuerkennen, ohne zu wissen, wer sie ist — an Kleidung, Statur, Gang. Wie das technisch gelöst werden soll und ob ein solches Wiedererkennen nicht selbst auf biometrischen Merkmalen beruht, beantwortet das Dokument nicht. Die Klammer "ohne biometrische Identifikation" ist dort eine Zusicherung, keine Beschreibung.

Anonymisiert, pseudonymisiert, personenbezogen: die Treppe in § 42d

Jetzt zum Kern. Die Polizeirechtsreform hat dem ASOG einen Paragrafen gegeben, den es in dieser Form in kaum einem anderen Polizeigesetz gibt: § 42d, "Training und Testung von KI-Systemen". Absatz 1 erlaubt Polizei und Feuerwehr, rechtmässig gespeicherte personenbezogene Daten "auch über die vorgesehene Speicherdauer hinaus weiterzuverarbeiten", wenn das nötig ist, um KI-Systeme zu trainieren und zu testen. Diskriminierende Algorithmen sollen dabei "weder herausgebildet noch verwendet werden".

Absatz 2 regelt, in welcher Form die Daten ins Training gehen, und er ist als Treppe gebaut. Zuerst sind sie zu anonymisieren. Kann der Zweck mit anonymisierten Daten nicht erreicht werden, oder ist die Anonymisierung "nur mit unverhältnismässigem Aufwand möglich", sind sie zu pseudonymisieren. Und wenn auch das nicht reicht: "dürfen personenbezogene Daten verwendet werden". Spätestens nach zwei Jahren sind sie zu löschen oder unumkehrbar zu anonymisieren, "es sei denn, ihre Weiterverarbeitung ist nach anderen Rechtsvorschriften zulässig".

Absatz 3 regelt, wer mitarbeiten darf. Zuerst Auftragsverarbeiter, wenn die Polizei es selbst nicht oder nur mit unverhältnismässigem Aufwand kann. Und wenn auch das nicht reicht, "dürfen Polizei und Feuerwehr personenbezogene Daten auch an Dritte zu dem in Satz 1 genannten Zweck übermitteln", sofern diese ihren Sitz in der EU oder in einem Schengen-assoziierten Staat haben.

Jede Stufe dieser Treppe hat eine Begründung, die für sich genommen vernünftig klingt. Zusammen ergeben sie eine Regel, deren Ausnahme immer dann greift, wenn die Regel stört. Wer einmal versucht hat, Videomaterial wirklich zu anonymisieren, weiss, wo das hinführt: Ein Trainingsbild, auf dem nichts mehr zu erkennen ist, taugt nicht zum Training. Der "unverhältnismässige Aufwand" ist bei Video kein Sonderfall, er ist der Normalfall.

Der Senat beschreibt die Praxis in der Antwort auf eine Anfrage des Linken-Abgeordneten Niklas Schrader (Drucksache 19/26879) beruhigend. Für das Nachtraining würden "wirksam bzw. irreversibel anonymisierte Datenbestände verwendet", bei denen eine Reidentifizierung ausgeschlossen sei — "es sei denn, eine Anonymisierung steht den Zwecken der Testung oder des Trainings entgegen". Das Nachtraining sei vertraglich mit dem Auftragnehmer vereinbart, finde ausschliesslich auf Servern im Rechenzentrum der Polizei statt, und "die Datenhoheit verbleibt uneingeschränkt bei der Polizei Berlin". Die Rohvideos würden einen Monat gespeichert, die abgeleiteten Daten in einer Ereignisdatenbank, "insbesondere Ereignisklasse, Konfidenzwert und Szenenbeschreibungsvektoren", nach den Vorgaben des ASOG.

Das ist die Beschreibung einer Absicht, nicht einer Grenze. Die Grenze setzt das Gesetz, und das Gesetz erlaubt mehr, als der Senat heute zu tun behauptet. Zum Vergleich: In Mannheim werden die Aufnahmen laut Polizei "grundsätzlich für maximal 72 Stunden gespeichert und anschliessend automatisch gelöscht". In Berlin darf, was die Software einmal gesehen hat, über jede Speicherfrist hinaus bis zu zwei Jahre im Trainingsbestand bleiben — und länger, wenn eine andere Vorschrift es erlaubt.

Wer zu Unrecht auffällt, wird zum Lehrmaterial

Welche Bilder dafür infrage kommen, sagt das Leistungsverzeichnis im Objektschutz ohne Umschweife. In Abschnitt 4.1.6 werden "die von der KI falsch als Alarm detektierten Ereignisse (False-Positive) für das Nachtrainieren der KI im Rahmen der rechtlichen Zulässigkeit zur Verfügung gestellt". Unter dem Stichwort Genauigkeit verlangt dasselbe Dokument eine Gesamterkennungsgenauigkeit von mindestens 95 Prozent und hält fest, die "maximale durchschnittliche Fehlalarmrate soll nicht höher als 25 % über alle Szenarien liegen". Wird die Fehlalarmrate als Anteil an allen Alarmen gelesen, darf im Schnitt jeder vierte falsch sein.

Das ist aus Sicht eines Entwicklers folgerichtig. Ein Klassifikator wird besser, wenn er lernt, wo er sich geirrt hat, und die Irrtümer sind die wertvollsten Daten, die ein Betrieb überhaupt liefert. Aus Sicht der Leute auf dem Platz sieht das anders aus. Für das Nachtraining nennt das Leistungsverzeichnis nicht die Fälle, die die Software richtig erkannt hat, sondern ausdrücklich die, bei denen sie danebenlag. Das sind denkbarerweise Leute, die sich stürmisch umarmen, hektisch nach dem Bus rennen oder lange auf jemanden warten — genau die Art Bewegungen, bei denen der CCC fragt, ob sie als verdächtig eingestuft werden. Wer von der Software zu Unrecht verdächtigt wird, liefert ihr damit die Nachhilfe.

Dass es ohne echte Daten schwer wird, zeigt ausgerechnet Mannheim. netzpolitik.org hat dort im Oktober 2025 recherchiert und berichtet, dass gestellte Situationen beim Training eine wichtige Rolle spielen, weil echte Vorfälle auf den Mannheimer Plätzen zu selten sind. Staige hat die Berliner Software laut Senat "ausschliesslich mit synthetisch erzeugten Daten" trainiert. Genau deshalb ist § 42d kein Nebenparagraf. Er ist die Stelle, an der synthetische Daten gegen echte getauscht werden dürfen.

Die Berliner Datenschutzbeauftragte Meike Kamp hat im Interview mit netzpolitik.org vom 22. September gesagt: "Meine Behörde war bei der Auswahl der Software und beim Training nicht eingebunden." Und: "Falschpositive Alarme werden sich nicht vollständig ausschliessen lassen." Beide Sätze zusammen beschreiben die Lage genauer als jede Pressemitteilung. Die Fehlalarme kommen sicher, und die Aufsicht war nicht dabei, als festgelegt wurde, was mit ihnen geschieht.

Polizei und Auftragnehmer benoten sich selbst

Bleibt die Frage, woran Berlin am Ende messen will, ob sich das alles gelohnt hat. Die Antwort an Vasili Franco ist eindeutig: "Eine Beauftragung einer externen wissenschaftlichen Studie zur Evaluation der KI-Videoschutzmassnahme ist derzeit nicht vorgesehen." Die Bewertung erfolge "gemeinsam durch die Polizei Berlin und den Auftragnehmer". Dazu kommt die gesetzliche Pflicht aus § 24e Absatz 1, die Auswirkungen auf die Kriminalität am jeweiligen Ort mindestens alle zwei Jahre zu untersuchen. Ob die Kriminalität an einem Platz sinkt, weil eine Software mitschaut, oder weil die Polizei dort ohnehin häufiger Streife fährt, lässt sich so nicht trennen.

Die Erfahrungen der Vorgänger machen das nicht besser. Die Polizei Mannheim hat netzpolitik.org nach sieben Jahren Betrieb mitgeteilt, der "für das Projekt ablesbare Erfolg besteht in der stetigen Weiterentwicklung des Systems und kann zum derzeitigen Projektstand nicht mit Kennzahlen dargestellt werden". Den Satz würde jedes Start-up unterschreiben, das seine dritte Finanzierungsrunde erklären muss. Zum Hamburger Versuch am Hansaplatz im Sommer 2023 hat der Blog marx.wtf, auf den auch der Chaos Computer Club verweist, die per Informationsfreiheitsanfrage herausgegebenen Evaluationsunterlagen ausgewertet: Die Zahl der Detektionen betrug laut Bericht "etwa eine pro Stunde", als polizeilich relevant eingestuft wurden über den gesamten Versuch elf Ereignisse.

Der CCC hat daraus im März ein knappes Urteil gemacht. Sprecher Matthias Marx: "Automatisierte Verhaltensüberwachung ist teures, aber gefährliches Sicherheitstheater." Das lässt sich polemisch finden. Widerlegt hat es bisher keine der beteiligten Polizeibehörden, und keine hat eine unabhängige Prüfung angekündigt, die es widerlegen könnte.

Was an der Gegenseite stimmt

Drei Argumente der Befürworter verdienen eine ernsthafte Antwort, weil sie nicht falsch sind.

Erstens: Das Black-Screen-Prinzip ist datensparsamer als klassische Videoüberwachung. Bisher konnten Beamte am Kottbusser Tor jede Szene live sehen, jetzt sehen sie nur noch die, die die Software meldet. Das Fraunhofer IOSB wirbt genau damit: "A person's face or identity does not play a role, only their behavioural patterns." Das stimmt für den Bildschirm in der Leitstelle. Es stimmt nicht für den Datenbestand dahinter. Was der Mensch nicht sieht, sieht die Software vollständig, und § 42d regelt, dass sie es behalten darf. Das Versprechen gilt dem Blick, nicht der Speicherung.

Zweitens: Eine Software, die eine bewegungslos liegende Person erkennt, kann Leben retten. Auch das stimmt, und niemand, der das Kottbusser Tor kennt, wird bestreiten, dass dort Notlagen vorkommen. Nur rechtfertigt dieser Anwendungsfall weder den Katalog im Objektschutz noch das Training mit Fehlalarmen. Wer Notfälle erkennen will, braucht keinen Alarm für "langanhaltendes Fotografieren" vor dem Rathaus. Die guten Anwendungsfälle werden hier als Türöffner für die weniger guten benutzt.

Drittens: Die Polizei hat zu wenig Personal. Polizeipräsidentin Barbara Slowik Meisel sagt zum Start, nur mit modernen Technologien werde es "in der Zukunft gelingen, den Schutz der Menschen in dieser Stadt zu gewährleisten". Das Problem ist real. Aber die Rechnung geht nur auf, wenn die Software Arbeit spart. Bei etwa einem Alarm pro Stunde und elf relevanten Ereignissen in knapp zwei Monaten, wie in Hamburg, spart sie keine Arbeit, sie verteilt sie um: vom Beobachten zum Aussortieren. Und jeder aussortierte Fehlalarm ist, siehe oben, ein Datensatz mehr.

Und die Schweiz?

Das ASOG gilt in Berlin, nicht in Bern. Trotzdem gibt es zwei Berührungspunkte. Der erste steht in § 42d Absatz 3 selbst: Auftragsverarbeiter und Dritte, an die Trainingsdaten gehen, müssen ihren Sitz in der EU "oder in einem Schengen-assoziierten Staat" haben. Die Schweiz ist ein solcher Staat. Ein Schweizer Anbieter könnte also Berliner Polizeivideos zum Training bekommen, ohne dass das Gesetz daran etwas auszusetzen hätte.

Der zweite ist die eigene Gesetzgebung. Der Zürcher Kantonsrat hat Anfang 2026 ein revidiertes Polizeigesetz verabschiedet, das der Polizei KI-gestützte Analysesysteme erlaubt, die laut der Digitalen Gesellschaft "sensible Personendaten aus verschiedenen Quellen zusammenführen, analysieren und daraus Aussagen oder Wahrscheinlichkeiten über Personen ableiten". Die Organisation hat am 24. August 2026 zusammen mit anderen Beschwerde beim Bundesgericht eingereicht. Verhaltenserkennung auf Video ist dort nicht der Gegenstand, das Zürcher Gesetz zielt eher auf das, was Palantir in Deutschland tut. Aber die Richtung ist dieselbe, und die Schweiz ist an den AI Act nicht gebunden. Die eine rote Linie, die das EU-Recht immerhin zieht, gibt es hier nicht einmal als Untergrenze.

Wer sich für Kameras im eigenen Garten interessiert, findet die Schweizer Rechtslage für Private in unserem Kaufratgeber zur Überwachungskamera ohne Cloud. Für die Polizei gelten andere Regeln, und sie sind gerade dabei, sich zu verschieben.

Was das für euch heisst

Gegen eine Kamera am Kottbusser Tor könnt ihr als Einzelne wenig ausrichten, und eine Liste mit Alibi-Massnahmen hilft hier niemandem. Was bleibt, ist Einordnung.

Die Bilder, die dort entstehen, gehören nicht euch, und ihr erfahrt nicht, ob eure in einem Trainingsbestand landen. Selbst eine Auskunftsanfrage bei der Polizei setzt voraus, dass ihr wisst, wonach ihr fragt; bei einer Szene, die nach einem Fehlalarm ins Nachtraining gegangen ist, wisst ihr das nicht. Das ist der Unterschied zu der Überwachung, gegen die ihr euch zu Hause selbst schützen könnt — etwa gegen einen Fernseher, der mitschaut. Im öffentlichen Raum gibt es keinen Stecker, den ihr ziehen könnt.

Entschieden wird das deshalb nicht am Platz, sondern vor Gericht. Die Fraktionen von Grünen und Linken im Abgeordnetenhaus haben am 28. August 2026 beim Berliner Verfassungsgerichtshof eine abstrakte Normenkontrolle gegen das neue Polizeigesetz eingereicht. Angegriffen sind unter anderem die KI-gestützte Videoüberwachung und das Training von KI-Systemen mit Polizeidaten samt Weitergabe an Dritte. Mit einer Entscheidung rechnet netzpolitik.org frühestens in ein bis zwei Jahren, einen Eilantrag gibt es nicht. Bis dahin läuft die Software, und sie lernt.

Für Leser in der Schweiz ist Berlin damit eine Vorschau. Der Zürcher Fall liegt beim Bundesgericht, und wie dort über KI-Analysen entschieden wird, bestimmt mit, ob Verhaltenserkennung auf Video hier später als nächster Schritt gilt oder als Grenze.

Fazit: Berlins Verhaltensscanner lernt an denen, die er zu Unrecht verdächtigt

Die KI-Videoüberwachung am Kottbusser Tor ist kein Skandal im Sinne eines Rechtsbruchs. Sie hat eine Rechtsgrundlage, sie identifiziert niemanden, sie zeigt dem Menschen nur, was sie meldet. Gerade deshalb lohnt es, genau hinzusehen, was das Gesetz neben der Auswertung noch erlaubt. § 42d ASOG macht aus einem Überwachungsinstrument ein Trainingsprogramm, und das Leistungsverzeichnis für den Objektschutz sagt offen, welche Bilder es am meisten braucht: die Fehlalarme. Wer unschuldig auffällt, wird nicht einfach aussortiert, sondern verwertet — anonymisiert, wenn es geht, pseudonymisiert, wenn nicht, und personenbezogen, wenn auch das nicht reicht.

Der Satz "Die KI meldet, der Mensch entscheidet" stimmt. Er ist nur unvollständig. Vollständig lautet er: Die KI meldet, der Mensch entscheidet, und wenn der Mensch entscheidet, dass die KI falsch lag, lernt die KI an euch. Evaluiert wird das von denen, die es verkauft haben, und denen, die es gekauft haben. Ein System, das seine Irrtümer an Unbeteiligten korrigiert und seine Erfolge selbst benotet, gehört nicht in einen Probebetrieb, sondern vor ein Gericht. Dort liegt es jetzt immerhin.

Quellen und weiterführende Links

• Polizei Berlin: Berlin startet mit KI-gestütztem Videoschutz, 24.09.2026
• Abgeordnetenhaus Berlin, Drucksache 19/26970: Schriftliche Anfrage von Vasili Franco zur KI-Videoüberwachung an kriminalitätsbelasteten Orten und öffentlichen Gebäuden
• Abgeordnetenhaus Berlin, Drucksache 19/26879: Schriftliche Anfrage von Niklas Schrader zum KI-Training, Antwort vom 08.09.2026
• § 24e ASOG Bln: Datenerhebung an kriminalitätsbelasteten Orten (Wortlaut)
• § 42d ASOG Bln: Training und Testung von KI-Systemen (Wortlaut)
• Polizei Berlin: Leistungsverzeichnis zum Projekt zur Erprobung KI-gestützter Videotechnik im Objektschutz (veröffentlicht von netzpolitik.org)
• netzpolitik.org: Kameras und Drohnen in Berlin: Was Verhaltensscanner erkennen sollen, 07.09.2026
• netzpolitik.org: Interview mit Meike Kamp, 22.09.2026
• netzpolitik.org: Verhaltensscanner in Mannheim, 18.10.2025
• netzpolitik.org: Linke und Grüne ziehen vor den Verfassungsgerichtshof, 28.08.2026
• netzpolitik.org: Neues Bundespolizeigesetz, 10.07.2026
• Polizeipräsidium Mannheim: Infos zum Videoschutz in Mannheim
• Fraunhofer IOSB: Intelligent video surveillance
• marx.wtf: Der Hansaplatz-Versuch war kein Erfolg, 24.12.2024
• Chaos Computer Club: Automatisierte Verhaltensüberwachung: Gefährlichen Mumpitz einstellen, 06.03.2026
• Petra Sussner, Verfassungsblog: Try harder hilft selten, 08.01.2026
• AI Act Service Desk der EU-Kommission: Artikel 5, verbotene Praktiken
• AI Act Service Desk der EU-Kommission: Artikel 113, Inkrafttreten und Geltung
• Digitale Gesellschaft: «Minority Report» in Zürich, Beschwerde gegen das neue Polizeigesetz, 24.08.2026

The post KI-Videoüberwachung Berlin: Ihr seid das Trainingsmaterial appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Chatkontrolle ist damit endgültig das Gesetz, das nie beschlossen wird und nie verschwindet. Wie die freiwillige Variante im Juli per Verfahrenstrick zurückkam, steht in unserem Beitrag EU beschliesst Chatkontrolle Light im Eilverfahren; die Unterscheidung zwischen Chatkontrolle 1.0 und 2.0 ist dort ebenfalls erklärt. Hier geht es um das, was seither dazugekommen ist, und um die Frage, was am Dienstag entschieden werden soll.

Chatkontrolle-Trilog am 29. September: was feststeht

Ein Trilog ist die informelle Verhandlungsrunde, in der Vertreter der drei EU-Institutionen einen gemeinsamen Gesetzestext aushandeln. Protokolle werden nicht veröffentlicht, die Öffentlichkeit erfährt vom Ergebnis erst, wenn es feststeht. Dass am 29. September verhandelt wird, belegt ein internes Papier der irischen Ratspräsidentschaft an die Mitgliedstaaten: Das Ratsdokument 11956/26 vom 10. September 2026, eingestuft als „LIMITE" und von Agence Europe öffentlich gemacht, kündigt den sechsten Trilog „at the Council premises on 29 September 2026" an.

Patrick Breyer, früherer EU-Abgeordneter der Piraten und derjenige, der den Begriff Chatkontrolle geprägt hat, beschreibt die Lage auf seiner laufend aktualisierten Themenseite so: „Am Dienstag, den 29. September findet ein potenziell letzter und entscheidender Trilog statt." Und weiter: „Die EU-Unterhändler stehen unter massivem Druck, einen ‚faulen Kompromiss' zu schliessen, der verdachtslose Massenscans unserer Chats dauerhaft zementieren würde." Verhandlungsführer der Kommission ist Innenkommissar Magnus Brunner.

Seit Juli wieder erlaubt: die freiwillige Chatkontrolle

Der Juli-Beitrag endete mit dem Hinweis, dass der Rat noch zustimmen muss. Das hat er getan: Am 23. Juli 2026 hat der Rat die Übergangsverordnung wieder in Kraft gesetzt. Anbieter dürfen damit erneut freiwillig nach Darstellungen sexuellen Kindesmissbrauchs suchen, und zwar „until 3 April 2028". Laut EDRi gilt die neue Ausnahme seit dem 31. Juli 2026.

Eine Einschränkung hat das Parlament durchgesetzt, und sie ist die wichtigste: Ende-zu-Ende-verschlüsselte Kommunikation ist ausgenommen. Der Rat zitiert die Änderung wörtlich, ausgeschlossen sind Dienste, „to which end-to-end encryption is, has been or will be applied". EDRi hält fest, dass die beiden Änderungsanträge ausdrücklich auch gegen Client-Side-Scanning schützen. Für die Übergangszeit heisst das: Signal bleibt draussen, unverschlüsselte Direktnachrichten grosser Plattformen nicht.

Das verschiebt die Kräfte im Trilog. Die Übergangslösung, die das Parlament im März abgelehnt hatte, gilt jetzt wieder bis 2028. Breyer hatte schon im Juli gewarnt, dass die Regierungen keinen Anreiz haben, sich auf das Konzept des Parlaments einzulassen, solange ihr Status quo immer wieder verlängert wird. Seit dem 31. Juli liegt dieser Status quo für die nächsten zwanzig Monate fest.

Der Kompromiss der Präsidentschaft: zwei Spuren

Wie die irische Präsidentschaft die Verordnung zuschneiden will, hat Agence Europe am 23. September 2026 beschrieben. Der Vorschlag teilt Inhalte in zwei Gruppen:

• Öffentliche Inhalte — also alles, was ohnehin jeder sehen kann — sollen per Aufdeckungsanordnung durchsucht werden können, allerdings nur nach bereits bekanntem Material, ausdrücklich um eine allgemeine Überwachungspflicht zu vermeiden.
• Private Kommunikation — Chats, Direktnachrichten, private Cloud-Ordner — soll weiter freiwillig durchsucht werden, gestützt auf die Ausnahme von der ePrivacy-Richtlinie. Und zwar nach bekanntem und neuem Material sowie nach Anbahnungsversuchen gegenüber Kindern, dem sogenannten Grooming.

Die Reihenfolge ist bezeichnend: Dort, wo ohnehin alles öffentlich ist, gibt es enge Regeln. Dort, wo es um private Nachrichten geht, gibt es die weiteste Befugnis.

Der Unterschied zwischen bekanntem und neuem Material ist dabei nicht nur juristisch. Bekanntes Material lässt sich mit einer Liste von Prüfwerten bereits identifizierter Aufnahmen abgleichen. Neues Material und Grooming dagegen setzen voraus, dass eine Software private Bilder und Unterhaltungen inhaltlich beurteilt, die sie nie zuvor gesehen hat. Das Parlament verlangt deshalb laut Agence Europe, automatisierte Erkennung auf bekanntes Material zu beschränken und dafür die Indikatoren-Datenbank des geplanten EU-Zentrums zu verwenden.

Suchplan statt Verdacht

Der Kern des Streits ist die Frage, wer eine Durchsuchung auslösen darf und für wie lange. Das Ratsdokument 11956/26 nennt als möglichen Kompromiss die „authorisation of search plans for a period of time rather than on a case-by-case basis" — also die Genehmigung von Suchplänen für einen Zeitraum statt im Einzelfall. Der Antrag eines Anbieters könne dabei „the technologies used and other relevant safeguards" enthalten. Was dem Rat dabei am wichtigsten ist, steht im selben Papier: „the most important aspect for the Council is effective detection and removal of content online as provided for through the voluntary regime".

Pikant ist, dass der Plan auch in der Position des Parlaments vorkommt. Es verlangt laut Agence Europe, dass jede Suche einen Plan mit den eingesetzten Technologien und Schutzvorkehrungen voraussetzt und von einer Justiz- oder unabhängigen Verwaltungsbehörde genehmigt und beaufsichtigt wird. Der Rat übernimmt den Begriff, verschiebt aber den Gegenstand: Durchsucht werden sollen laut Agence Europe „specific parts of a service or individual users". Nicht mehr nur einzelne Nutzer also, sondern wahlweise einzelne Nutzer oder ganze Teile eines Dienstes.

Breyer nennt das auf seiner Seite „Schein-Targeting" und fasst den Vorschlag so zusammen: „Sie wollen Behörden dauerhaft erlauben, auf Antrag eines Anbieters ‚Suchpläne' für ‚Teile eines Dienstes' zu genehmigen." Was ein „Teil eines Dienstes" ist, beantragt der Anbieter; genehmigen muss es die Behörde — nur eben nicht mehr im Einzelfall, sondern für einen Zeitraum. Die Direktnachrichten einer Plattform sind ebenso ein Teil des Dienstes wie ihre Gruppenchats. Ein richterlicher Durchsuchungsbefehl nennt eine Person. Ein Suchplan nennt eine Funktion. Das ist kein Durchsuchungsbefehl für eine Wohnung, sondern eine Dauerbewilligung für das ganze Treppenhaus.

Was sonst noch auf dem Tisch liegt

Das Ratsdokument listet als ergänzende Massnahmen „safety by design, facilitating user flagging, metadata analysis and behaviour patterns and age verification systems". Zwei davon verdienen Aufmerksamkeit. Metadaten und Verhaltensmuster fallen auch dort an, wo Inhalte verschlüsselt sind — ihre Analyse wäre also der Weg, auf dem auch verschlüsselte Dienste wieder in den Blick geraten. Warum Metadaten oft mehr verraten als Inhalte, haben wir in Metadaten bei Messengern ausführlich beschrieben. Und die Altersverifikation, die der Rat laut EDRi für riskante Dienste verpflichtend machen will, ist dieselbe Art Werkzeug, die die Kommission parallel im EU KIDS Act vorsieht. Das Parlament lehnt sie in der CSA-Verordnung ab.

Offen ist, ob die Verschlüsselung in der dauerhaften Verordnung so geschützt bleibt wie in der Übergangslösung. Laut netzpolitik.org galt der Ausschluss verschlüsselter Inhalte im Juni nur als „vorläufig" vereinbart. Ob das nach dem Dienstag noch gilt, steht in keinem öffentlich bekannten Dokument.

Was ihr bis Dienstag tun könnt

Ein Trilog ist nicht öffentlich, aber die Verhandler des Parlaments sind gewählt und erreichbar. Viel Zeit bleibt nicht:

• Schreibt euren EU-Abgeordneten, oder ruft an. Das Werkzeug auf fightchatcontrol.eu hilft dabei, die eigenen Abgeordneten zu kontaktieren, und verfolgt die Positionen der Mitgliedstaaten. Betrieben wird es nach eigener Angabe von einem dänischen Softwareentwickler ohne Parteibindung, der keine Spenden annimmt.
• Nennt drei konkrete Punkte, wie Breyer sie formuliert: Das Parlament soll bei seinem Mandat bleiben — Anordnungen nur gegen konkret Verdächtige —, pauschale Suchpläne ablehnen und keine Schlupflöcher für freiwillige Massenscans zulassen.
• Setzt bei den grossen Fraktionen an. Breyer empfiehlt, vor allem Abgeordnete der konservativen EVP und der Sozialdemokraten anzusprechen, weil an ihnen das Ergebnis hängt.
• Lest in der Schweiz mit. Die Schweiz verhandelt nicht mit, eure Abgeordneten sitzen nicht in Strassburg. Die Dienste, um die es geht, sind aber dieselben, die ihr benutzt — teilt die Information mit Bekannten in der EU.
• Schützt eure eigene Kommunikation, unabhängig vom Ausgang: Ende-zu-Ende-verschlüsselte Messenger sind von der freiwilligen Chatkontrolle ausgenommen. Welche sich eignen, steht in unserem Juli-Beitrag.

Fazit: Ein Suchplan ist kein Verdacht

Die Chatkontrolle 2.0 kommt nicht mehr als Scanpflicht für alle zurück, sondern in Einzelteilen: freiwilliges Scannen, das bis 2028 bereits gilt, Suchpläne, die ganze Teile eines Dienstes umfassen dürfen, Metadatenanalyse für das, was verschlüsselt bleibt, und eine Altersprüfung für Dienste, die als riskant gelten. Jedes Einzelteil lässt sich als massvoll verkaufen. Zusammen ergeben sie das, was das Parlament seit 2023 ablehnt: die Durchsuchung privater Kommunikation ohne konkreten Verdacht.

Der Unterschied zwischen dem Parlament und dem Rat lässt sich deshalb auf eine einzige Frage zurückführen, die am Dienstag beantwortet werden soll: Beginnt eine Durchsuchung bei einem Menschen, gegen den etwas vorliegt, oder bei einem Dienst, auf dem viele Menschen sind? Alles andere ist Verpackung. Dass diese Frage hinter verschlossenen Türen entschieden wird, gehört leider zur Tradition des Verfahrens — ebenso wie der Umstand, dass die Öffentlichkeit vom Ergebnis voraussichtlich aus einem geleakten Dokument erfährt.

Quellen und weiterführende Links

• Rat der EU: Dokument 11956/26 (LIMITE), 10.09.2026, via Agence Europe — Stand der Verhandlungen, sechster Trilog am 29.09.2026, Suchpläne für einen Zeitraum, ergänzende Massnahmen
• Agence Europe, 23.09.2026: Irish Presidency seeks to refine approach between public and private content — die zwei Spuren, die Positionen von Rat und Parlament
• Patrick Breyer: Chatkontrolle — laufend aktualisierte Themenseite mit Termin, Einschätzung „Schein-Targeting" und Handlungsaufruf
• Rat der EU, 23.07.2026: Interim measure now reinstated — Wiederinkraftsetzung der Übergangsverordnung bis 03.04.2028, Ausschluss verschlüsselter Kommunikation
• EDRi, 04.08.2026: The Chat Control 1.0 saga — Geltung ab 31.07.2026, Schutz auch gegen Client-Side-Scanning
• EDRi, 25.02.2026: Chat Control is in the final stretch — Positionen von Rat und Parlament zu Scanpflicht, Verschlüsselung und Altersverifikation
• netzpolitik.org, 12.06.2026: Trilog zur Chatkontrolle geht in entscheidende Phase — interne Dokumente, vorläufiger Ausschluss verschlüsselter Inhalte
• Fight Chat Control — Werkzeug zum Kontaktieren der EU-Abgeordneten

The post Chatkontrolle-Trilog: Suchplan statt Verdacht appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Das ist die eigentliche Nachricht. Als wir im August auseinandergenommen haben, warum beim digitalen Euro ein Versprechen kein Protokoll ist, stand am Ende ein Satz: Wenn ihr eine einzige Sache an diesem Projekt verfolgen wollt, dann den Offline-Modus. Er ist der einzige Teil des Entwurfs mit echter Bargeldeigenschaft. Genau dieser Teil wird im Pilot nur in seiner kleinsten Ausbaustufe erprobt. Alles, was an der Ladenkasse passiert, läuft online.

Digitaler Euro Pilot: Händler bewerben sich bis zum 27. Oktober

Der Aufruf an die Händler steht als PDF auf der Dokumentenseite der EZB, zusammen mit einem Bewerbungsfragebogen, einer Unterschriftenerklärung und dem Teilnahmevertrag samt drei Anhängen. Die Fristen sind knapp: eine Informationsveranstaltung am Dienstag, 6. Oktober 2026, Bewerbungsschluss am Dienstag, 27. Oktober 2026 um 17:00 Uhr MEZ.

Bewerben darf sich, wer in der EU niedergelassen ist, Kunden in mindestens zwei der Pilotländer bedient, einen aktiven Online- oder App-Shop betreibt und bereit ist, sowohl mit der EZB als auch mit einem am Pilot beteiligten Acquiring-Dienstleister einen Vertrag zu schliessen. Die Plattform muss flexibel genug sein, um den Beta-Euro einzubinden. Wie viele Händler am Ende genommen werden, legt die EZB nicht fest: Die Zahl hänge von den eingegangenen Bewerbungen ab und davon, was nötig sei, um die Ziele des Pilots abzudecken. Einzelne Branchen werden bevorzugt, andere können ausgeschlossen werden.

Pilotländer sind Belgien, Deutschland, Estland, Finnland, Frankreich, Griechenland, Irland, Italien, Kroatien, Lettland, Litauen, Luxemburg, Niederlande, Österreich, Portugal, Slowakei, Slowenien, Spanien und Zypern — neunzehn Länder, passend zu den neunzehn nationalen Zentralbanken, die laut EZB mittesten.

Bezahlt wird für die Mitarbeit nichts. Im Aufruf steht wörtlich, ausgewählte Händler erhielten keine finanzielle Vergütung über die Zahlungen hinaus, die für die tatsächlich gekauften Waren und Dienstleistungen eingehen. Dafür sollen sie den Beta-Euro einbinden, während der Betriebsphase Live-Transaktionen abwickeln, laufend Rückmeldung geben und über Transaktionsleistung, technische Störungen und Akzeptanzdaten berichten. Die EZB nennt das Freiwilligkeit. Im Handel heisst eine solche Vereinbarung sonst Praktikum.

Wer den digitalen Euro testet — und wer nicht

Auf der Projektseite zum Pilot nennt die EZB die Besetzung: 36 im Euroraum zugelassene Zahlungsdienstleister, ausgewählte Händler sowie Mitarbeiter der EZB und der neunzehn nationalen Zentralbanken, die den Beta-Euro im Alltag ausprobieren sollen — beim Bezahlen in der Kantine etwa oder für andere Dienstleistungen.

Die Öffentlichkeit kommt in dieser Aufzählung nicht vor. Der digitale Euro wird also zunächst von Leuten benutzt, die beruflich an ihn glauben müssen. Das ist für einen technischen Testlauf vertretbar — Lastverhalten, Abstimmungsprozesse und Fehlerbehandlung lassen sich so prüfen. Es heisst aber auch, dass die Fragen, an denen ein Zahlungsmittel im Alltag scheitert, im Pilot gar nicht erst auftauchen: Was passiert bei jemandem ohne Smartphone, ohne Bankkonto, ohne Deutschkenntnisse, mit einer gescheiterten Identitätsprüfung? Die Pilotgruppe besteht aus Zentralbankangestellten. Von denen hat niemand diese Probleme.

Bemerkenswert ist ausserdem, dass der Zahlungsdienstleister-Teil deutlich grösser ausgefallen ist als geplant. Im entsprechenden Aufruf vom 5. März 2026 hatte die EZB zwischen zehn und dreissig Dienstleister gesucht, Bewerbungsschluss war der 14. Mai 2026. Geworden sind es 36. An Interesse aus der Zahlungsbranche mangelt es also nicht.

Vier Anwendungsfälle — und offline ist nur einer davon

Der Aufruf an die Zahlungsdienstleister ist das ergiebigste Dokument des ganzen Vorgangs, weil er den Prüfumfang einzeln auflistet. Vier Anwendungsfälle stehen darin:

• Online zwischen Privatpersonen. Der Zahler überweist an einen anderen Endnutzer und stösst die Zahlung über eine eindeutige Kennung an, einen Alias oder eine DEAN.
• Offline zwischen Privatpersonen über NFC. Der Zahler gibt den Betrag in der Bezahl-App ein, und zwar ausdrücklich, ohne dass eines der beiden Geräte mit dem Internet verbunden sein muss.
• Online an der Ladenkasse über NFC. Bezahlen im Geschäft, technisch über SoftPOS, also ein Händlergerät ohne eigenes Kartenterminal.
• Online im E-Commerce und M-Commerce. Der Zahler überweist an ein Unternehmen als Bezahlung für Waren oder Dienstleistungen auf einer Website oder in einer App.

Der Händleraufruf vom September deckt davon genau einen ab, den vierten: den sogenannten Remote-P2B-Fall, Zahlungen für Waren und Dienstleistungen über Websites und mobile Anwendungen. Wer sich jetzt bewirbt, testet den digitalen Euro also im Online-Shop, nicht an der Theke.

Und der entscheidende Punkt steht in der Aufzählung selbst: Offline kommt genau einmal vor, zwischen zwei Privatpersonen, über NFC. Am Verkaufsort ist jede Zahlung im Pilot eine Online-Zahlung. Dass netzpolitik.org das bereits am 4. August 2026 berichtet hat, lässt sich mit dem Aufruf vom März im Wortlaut bestätigen.

Warum ausgerechnet diese Lücke zählt

Der Offline-Modus ist der einzige Teil des digitalen Euro, bei dem kein zentraler Datensatz entsteht. Der Wert liegt lokal auf einem Gerät, die Übertragung braucht kein Netz, und die Transaktionsdaten kennen nur die beiden Beteiligten. Deshalb gilt dort auch die Bargeldregel: Wer das Gerät verliert, verliert das Geld. Alles, was am digitalen Euro einem Geldschein ähnelt, hängt an diesem Modus.

Die offenen Fragen dazu sind seit Monaten dieselben. Wie hoch darf der Offline-Betrag sein? Wie viele Zahlungen sind hintereinander ohne Netzkontakt möglich, bevor ein Abgleich erzwungen wird? Ist das Speichermedium herstellerunabhängig, und ist seine Firmware offengelegt? Keine dieser Fragen beantwortet ein Pilot, der offline nur zwischen zwei Privatpersonen prüft. Der Alltagsfall — im Laden stehen, kein Netz haben, trotzdem bezahlen können — ist im Prüfplan schlicht nicht vorgesehen.

Das lässt sich nüchtern erklären: SoftPOS ohne Netz ist technisch anspruchsvoll, und ein Pilot muss Prioritäten setzen. Das stimmt. Es bleibt trotzdem der Befund, dass von zwölf Monaten Testbetrieb kein einziger Tag darauf verwendet wird, die einzige bargeldähnliche Eigenschaft des Systems dort zu erproben, wo Bargeld heute tatsächlich benutzt wird. Wer 2028 die Auswertung liest, wird über den Kassenfall nichts darin finden.

Der Zeitplan steht, das Gesetz noch nicht

Die EZB selbst formuliert die Abhängigkeit sauber. Sie wolle für eine mögliche erste Ausgabe des digitalen Euro im Jahr 2029 bereit sein — unter der Annahme, dass die Verordnung 2026 verabschiedet wird. Und weiter: Ob ein digitaler Euro ausgegeben wird, entscheide die EZB erst, wenn die Verordnung verabschiedet ist.

Verabschiedet ist sie nicht. Das Europäische Parlament hat am 9. Juli 2026 mit 416 zu 169 Stimmen bei 22 Enthaltungen beschlossen, Verhandlungen mit dem Rat aufzunehmen; das war das Mandat, nicht das Gesetz. Seither läuft der Trilog. Der Brüsseler Dienst Agence Europe berichtete am 8. September 2026 von der zweiten politischen Verhandlungsrunde und nannte als Themen unter anderem die Einführungsphase samt Pilottests sowie Artikel 23 zu Online- und Offline-Zahlungen. Verhandelt wird also gerade das, was im Pilot schon festgelegt ist.

Das ist kein Skandal, sondern Projektlogik: Wer 2029 liefern will, kann nicht bis zur Unterschrift warten. Es verschiebt aber Gewicht. Eine Infrastruktur, die drei Jahre vor dem Rechtsrahmen gebaut und erprobt wird, setzt Fakten, an denen sich der Rechtsrahmen anschliessend orientiert. Denselben Mechanismus haben wir bei der Schweizer E-ID beschrieben, wo die technische Wahl längst getroffen war, bevor über sie gestritten wurde.

Haltegrenze und Gebühren bleiben ungeklärt

Zwei Streitpunkte hat auch dieser Vorgang nicht bewegt. Der erste ist die Haltegrenze, also die Zahl, die festlegt, wie viele digitale Euro ihr überhaupt halten dürft. Sie ist bis heute nirgends beziffert; auf der Dokumentenseite der EZB, die jedes Papier mit Datum auflistet, taucht keine Zahl auf. Strittig ist nicht einmal die Höhe, sondern wer sie festsetzt: Nach der Analyse der Kanzlei Freshfields vom 15. Juli 2026 will das Parlament einen delegierten Rechtsakt der Kommission auf Empfehlung der EZB, der Rat dagegen einen Durchführungsbeschluss des Rates mit verstärkter qualifizierter Mehrheit. Welche Variante gewinnt, entscheidet darüber, wie leicht sich diese Zahl später ändern lässt — und genau das macht sie zu einem Steuerungsinstrument, wie wir es bei der Spar- und Investitionsunion beschrieben haben.

Der zweite Streitpunkt betrifft die Händler direkt: die Gebühren. Das Fachmagazin etailment berichtete am 21. September 2026, dass Parlament und Rat in der Übergangsphase unterschiedliche Modelle für die Deckelung der Händlergebühren verfolgen und der Verband Ecommerce Europe eine vereinfachte Gebührenberechnung verlangt. Die Position des Verbands ist nachvollziehbar: Ein Zahlungsmittel, das für den Händler teurer ist als die Karte, setzt sich nicht durch — es sei denn, er muss es ohnehin annehmen. Und genau das ist beim digitalen Euro vorgesehen, mit Ausnahmen für Kleinst- und Kleinunternehmen ohne digitale Zahlungsmöglichkeit. Dass Regulierung über Vermittler wirkt statt über Verbote, ist auf diesem Blog kein neues Thema; beim Auslandskonto nach CRD VI lief es genauso.

Wie es weitergeht

Für euch gibt es hier nichts zu installieren und nichts anzumelden. Es gibt aber vier Termine, an denen sich ablesen lässt, wohin das Projekt läuft.

• 6. Oktober 2026: Informationsveranstaltung der EZB für interessierte Händler. Interessant wird, ob dabei Unterlagen öffentlich werden, die über den Aufruf hinausgehen.
• 27. Oktober 2026, 17:00 Uhr: Bewerbungsschluss. Ob die EZB danach nennt, wie viele Händler sich beworben haben, ist die erste belastbare Kennzahl zur Akzeptanz im Handel.
• Ende 2026: Zieltermin der Gesetzgeber für den Abschluss des Trilogs. Die beiden Punkte, auf die es dabei ankommt, sind Artikel 23 zu Online- und Offline-Zahlungen und die Zuständigkeit für die Haltegrenze.
• Zweite Jahreshälfte 2027: Start des zwölfmonatigen Testbetriebs. Wenn bis dahin kein Anwendungsfall für Offline-Zahlungen an der Kasse nachgereicht wird, ist die Frage für diese Projektphase erledigt.

Fazit: Ein Testlauf, der die Streitfragen umgeht

Der Pilot ist gut gebaut für das, was er prüfen soll. Er prüft, ob die Infrastruktur trägt: ob Zahlungen ankommen, ob die Abstimmung zwischen Zentralbank, Dienstleister und Händler funktioniert, ob eine Plattform den Beta-Euro einbinden kann. Das sind reale Fragen, und sie brauchen einen Testlauf.

Nur sind es nicht die Fragen, an denen sich die öffentliche Debatte entzündet. Die drehte sich um Bargeldeigenschaften, um Haltegrenzen, um die Frage, was ohne Netz und ohne Konto noch geht. Der Prüfplan enthält davon: Offline zwischen zwei Privatpersonen, sonst nichts. Getestet wird die Technik, nicht das Versprechen.

Das sollte niemanden überraschen. Ein Pilot beantwortet die Fragen, die seine Auftraggeber gestellt haben, und die EZB hat nie behauptet, etwas anderes zu tun. Die Arbeitsteilung ist nur bemerkenswert sauber: Die technischen Fragen bekommen zwölf Monate Praxis mit 36 Dienstleistern in neunzehn Ländern, die politischen bekommen einen Trilog. Wer wissen will, wie der digitale Euro am Ende aussieht, sollte deshalb weniger auf die Pilotberichte schauen als auf Artikel 23 — und darauf, wer künftig die Haltegrenze festsetzen darf.

Quellen und weiterführende Links

• EZB: Call for expression of interest — Participation of merchants in the digital euro pilot, 15.09.2026 (PDF)
• EZB: Call for expression of interest für Zahlungsdienstleister, 05.03.2026 (PDF) — enthält die vier Anwendungsfälle
• EZB: Projektseite zum Pilotbetrieb des digitalen Euro
• EZB, MIP News: Call for payment service providers to participate in digital euro pilot now open, 05.03.2026
• EZB: Technical documents and research — alle Dokumente zum digitalen Euro mit Datum
• Banca d'Italia: The European Parliament decided to open negotiations on the Digital Euro Regulation, 09.07.2026
• Agence Europe: EU co-legislators seek first political compromises on digital euro, 08.09.2026
• Freshfields: Europe's digital euro heads to last stage of negotiations, 15.07.2026
• netzpolitik.org zum Testbetrieb des digitalen Euro und zur Zusammensetzung der Testgruppe, 04.08.2026
• etailment: Gebührenstreit offen, Pilotversuch 2027 — der digitale Euro rückt näher, 21.09.2026

Stand: 21. September 2026. Die Verordnung zum digitalen Euro ist nicht verabschiedet; alle Angaben zum Zeitplan stehen unter diesem Vorbehalt.

The post Digitaler Euro Pilot: online ja, an der Kasse nein appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Wir haben im April an dieser Stelle beschrieben, wie weltweit Altersverifikation bis auf die Betriebssystemebene wandert, und damals festgestellt, dass es in der EU noch kein Gesetz gibt, das eine flächendeckende Alterskontrolle vorschreibt. Kurz darauf hielt die EU-Altersverifikations-App zwei Minuten. Jetzt gibt es das Gesetz. Die Argumente von damals — Kinder umgehen Sperren, Ausweisdaten werden geleakt, Eltern werden entmündigt — gelten weiter und werden hier nicht wiederholt. Dieser Kommentar schaut auf etwas anderes: auf die Frage, wen der KIDS Act prüft und wen nicht. Die Antwort ist unbequemer als jedes Leak-Szenario.

EU KIDS Act: was die Kommission am 17. September vorgelegt hat

Der Name ist ein Akronym, das sich jemand in Brüssel sehr lange überlegt haben muss: "EU Keeping Internet Digital Spaces Accountable and Trustworthy". Der Verordnungsvorschlag kommt mit einer Mitteilung zum EU-Ansatz für Kinderschutz im Netz und einer Folgenabschätzung. Als Verordnung würde er in allen Mitgliedstaaten unmittelbar gelten, ohne nationale Umsetzung. Laut der Analyse der Kanzlei Reed Smith verbietet er den Mitgliedstaaten sogar ausdrücklich, strengere Mindestalter festzulegen.

Die Alterstreppe: 13, 15 und eine Stunde am Tag

Kommissionspräsidentin von der Leyen hat die Grundregel in ihrer Erklärung auf eine Zeile gebracht: "no social media under the age of 13; no personal account under the age of 15". Dazwischen liegt eine Stufe, die es so bisher nirgends gab. Wer 13 oder 14 ist, bekommt kein eigenes Konto, sondern ein von den Eltern verwaltetes Mini-Konto mit eingeschränkten Funktionen und höchstens einer Stunde Nutzung pro Tag. Kontakte müssen vorab freigegeben werden. Ab 15 ist ein eigenes Konto erlaubt, die Schutzpflichten für Minderjährige gelten aber bis 18 weiter.

Für diese Mini-Konten müssen Eltern nicht nur das Alter des Kindes nachweisen, sondern auch, dass sie überhaupt sorgeberechtigt sind. Die FAQ der Kommission verlangen dafür von jedem Mitgliedstaat "a free, privacy-preserving way to prove parental responsibility". Ein solches Dokument gibt es heute in keinem Mitgliedstaat. netzpolitik.org hat im geleakten Entwurf nachgelesen, wie die Kommission die Lücke überbrücken will: zuerst mit einer Selbstauskunft der Eltern, später mit Abfragen in nationalen Registern und mit Sorgerechtsbescheinigungen, die erst noch geschaffen werden müssen.

Beweislastumkehr und sechs Prozent

Der zweite Pfeiler ist aus Sicht der Kommission der wichtigere. "Now they have to prove to us that they are safe", heisst es in der Erklärung. Sehr grosse Plattformen mit mehr als 45 Millionen Nutzern in der EU müssen vorab einen Plan einreichen, wie sie Minderjährige schützen, von unabhängigen Prüfern bestätigt und auf eigene Kosten. Endloses Scrollen, Benachrichtigungen zur Schlafenszeit, Belohnungen für Serien und Dauerposten werden für Minderjährige untersagt, Empfehlungssysteme sollen für sie auf Sicherheit statt auf Verweildauer optimiert werden. Bei Verstössen drohen laut FAQ Bussen von bis zu sechs Prozent des weltweiten Jahresumsatzes. Die Aufsicht baut auf den Strukturen des Digital Services Act auf, den wir an anderer Stelle bereits als möglichen Zensurmechanismus beschrieben haben.

Bis hierhin ist das ein Gesetz, über das sich streiten lässt, aber nicht zwingend eines, über das sich aufregen muss, wer 40 ist und kein TikTok hat. Die Aufregung beginnt bei der Frage, wie eine Plattform überhaupt weiss, wer 13, 15 oder 40 ist.

Der Satz, um den es geht: "most adults will notice nothing"

Selbstauskunft genügt nicht mehr, das stellt die Kommission ausdrücklich klar. Das Alter muss über zertifizierte Lösungen nachgewiesen werden, die von den Plattformen unabhängig sind — "including a free EU age verification app and, in time, the European Digital Identity Wallet". Die Plattform prüft laut FAQ keine Ausweise und erfährt nicht, wer ihr seid. So weit das Versprechen.

Dann folgt die Frage, die sich alle Erwachsenen stellen: Muss ich jetzt auch mein Alter nachweisen? Die Antwort der Kommission im Wortlaut: "When providers already have an estimation of the user's age based on multiple signals such as account creation date or credit card details, there will be no age verification required for most existing users." Und an anderer Stelle, noch deutlicher: "Where a platform can already tell with high confidence that a user is an adult, no new check is needed, so most adults will notice nothing."

Das ist als Beruhigung gemeint. Lest es trotzdem zweimal. Wer nicht geprüft wird, ist nicht der datensparsame Nutzer, sondern der, über den die Plattform schon genug weiss: ein Konto seit 2012, eine hinterlegte Kreditkarte, dazu die "multiple signals", die nirgends abschliessend aufgezählt werden. Wer der Plattform dagegen wenig verrät — ein junges Konto, keine Zahlungsdaten, kein Klarname, vielleicht bewusst so eingerichtet —, liefert keine Grundlage für eine Schätzung. Für ihn bleibt nur der Nachweis.

Der KIDS Act verteilt die Last der Alterskontrolle damit nicht nach Alter, sondern nach Bekanntheitsgrad. Das Gesetz erklärt die Schätzung, die eine Plattform aus ihren eigenen Daten zieht, zum Freifahrtschein. Die Plattform, die euch am besten ausgeleuchtet hat, erspart euch den Ausweis. Das ist, nüchtern betrachtet, ein Rabatt auf Überwachung.

Die Kommission würde einwenden, dass die Schätzung nur für Bestandskonten gilt und nicht für neue. Das stimmt, macht es aber nicht besser. Wer neu anfängt — ein Konto für ein Projekt, ein zweites Konto, ein Konto nach einem Datenleck, ein Konto von jemandem, der sich bisher ferngehalten hat —, muss sich ausweisen. Wer seit zehn Jahren alles preisgibt, nicht. Anonymität wird damit nicht verboten. Sie wird zu dem Zustand, der sich rechtfertigen muss.

Vom Leak zum Vorschlag: aus "alle" wurde "die meisten"

Wie bewusst dieser Weg gewählt ist, zeigt der Vergleich mit dem Entwurf, den netzpolitik.org zwei Tage vor der Vorstellung in Eckpunkten und einen Tag davor im Detail veröffentlicht hat. Dort stand nach der Auswertung der Redaktion noch, dass auch alle Erwachsenen eine Alterskontrolle durchlaufen müssen, ohne pauschale Ausnahme. Im veröffentlichten Material der Kommission sind es nun "most existing users", die nichts bemerken sollen.

Das lässt sich als Entschärfung lesen, und politisch ist es genau das: Ein Gesetz, das sämtliche Erwachsenen der EU an die Ausweiskontrolle schickt, übersteht keinen Wahlkampf. Aber die Entschärfung ist nicht neutral. Sie nimmt die Zumutung bei denen weg, die ohnehin gläsern sind, und lässt sie bei denen, die es nicht sein wollen. Der Leak war ehrlicher. Er hat alle gleich behandelt, schlecht zwar, aber gleich.

Ob die Formulierung im Verordnungstext selbst so steht wie in den FAQ, konnten wir nicht prüfen: Das PDF des Vorschlags ist über die Seite der Kommission verlinkt, liess sich aus unserer Umgebung aber nicht abrufen. Die FAQ sind allerdings die offizielle Erklärung der Kommission zu ihrem eigenen Vorschlag. Wenn der Text strenger wäre als die FAQ, hätte die Kommission ein anderes Problem.

Zero Knowledge als Gesetzesbegriff

Der zweite Satz, der Beruhigung verspricht, lautet: "The law requires 'zero knowledge proof' technology that cannot identify, locate, track or profile anyone." Das klingt nach dem Stand der Kryptographie. Es lohnt sich, nachzusehen, was dahintersteht.

Die Organisation European Digital Rights hat zehn Tage vor der Vorstellung eine Analyse der EU-Altersverifikations-App veröffentlicht. Darin steht, dass die Vorgaben für die sogenannte Mini-Wallet Zero-Knowledge-Beweise nur mit "SHOULD" verlangen, nicht mit "SHALL", und dass die Kommission die Anforderung an Unverknüpfbarkeit von "ensuring" auf "hindering" heruntergestuft habe. Die stattdessen verwendete Batch Issuance, also ein Stapel Einmalnachweise, mache Verfolgung schwerer: "it does not make tracking impossible". Selbst mit echtem Zero Knowledge, so EDRi, lasse sich eine Verknüpfung über das Backend der App, die Netzwerkebene oder den zeitlichen Zusammenhang von Ausstellung und Vorweisung herstellen.

Das Problem mit dem Stapel Einmalnachweise haben wir beim E-ID-Kommentar ausführlich beschrieben, einschliesslich der Feststellung in der technischen Spezifikation der EUDI-Wallet, dass derzeit kein Zero-Knowledge-Verfahren reif genug für den Einsatz ist. Neu ist hier etwas anderes: Ein Verfahren, das die eigene Referenzimplementierung nur als Empfehlung führt, wird in der Kommunikation zum Gesetz zur Pflicht erklärt. netzpolitik.org ist im Entwurf auf den Satz "Any age assurance measure shall be zero knowledge proof" gestossen und hat trocken angemerkt, dass eine Massnahme kein Beweis sein kann. Wer den Begriff so verwendet, hat ihn als Etikett gekauft, nicht als Bauplan.

Das ist keine Wortklauberei. Ein Gesetz, das "zero knowledge" verlangt, ohne festzulegen, was genau nicht gewusst werden darf und von wem, lässt sich mit fast jeder Implementierung erfüllen, solange irgendwo ein Beweis im kryptographischen Sinn vorkommt. Die Aufsicht prüft dann, ob das Etikett klebt. Und die Nutzer, die ohnehin nicht geprüft werden, weil die Plattform sie kennt, bemerken davon ohnehin nichts.

App-Stores müssen die EU-App mitliefern — und F-Droid?

Für diesen Blog ist ein Absatz der FAQ besonders interessant, weil er in keiner Pressemitteilung vorkommt: "App stores must age-rate every app, including videogames, with a published methodology, they must not let children access or buy apps inappropriate for their age, and must carry the EU age verification app."

Laut der Auswertung des Entwurfs durch netzpolitik.org fallen darunter nicht nur der App Store und Google Play, sondern ausdrücklich auch Anbieter wie F-Droid. Der Entwurf nimmt zwar Plattformen für die Entwicklung von Open-Source-Software aus, also Orte wie Git-Forges, aber eben nicht Stores, die freie Software verteilen. Zwei Kanzleianalysen, von Reed Smith und Osborne Clarke, zählen ausserdem Betriebssysteme zum Anwendungsbereich; in den FAQ der Kommission tauchen sie nicht auf.

Stellt euch diese Pflichten für ein Freiwilligenprojekt vor: jede App nach einer veröffentlichten Methodik altersklassifizieren, Minderjährige an altersungeeigneten Apps hindern — was voraussetzt, dass der Store weiss, wer minderjährig ist —, und die EU-App zur Altersverifikation ausliefern. F-Droid hat keine Konten, keine Nutzerdaten und kein Interesse daran, beides einzuführen. Genau das ist sein Zweck.

Wer diesen Blog liest, kennt das Muster. Google verlangt seit diesem Jahr, dass Entwickler sich registrieren, bevor ihre Apps auf zertifizierten Geräten installiert werden dürfen, und F-Droid hat öffentlich gewarnt, dass das seine Existenz bedroht. Der KIDS Act setzt nun von der anderen Seite an: nicht bei den Entwicklern, sondern beim Store. Das eine ist eine Konzernentscheidung, das andere ein Gesetz — das Ergebnis für alternative Verteilwege ist dasselbe. Wer nicht registriert, klassifiziert und verifiziert, gilt als Risiko.

Was an der Gegenseite stimmt

Ein Kommentar, der nur die Schwächen eines Gesetzes aufzählt, macht es sich zu leicht. Drei Argumente der Befürworter verdienen eine ernsthafte Antwort.

Erstens: Die Plattformen haben es jahrelang selbst in der Hand gehabt und nichts getan. Das stimmt. Die Beweislastumkehr ist der beste Teil dieses Gesetzes, und die Verbote für endloses Scrollen, nächtliche Benachrichtigungen und Belohnungen für Dauerposten gehen in die Richtung, die auch Kritiker seit Jahren fordern. Die Digitale Gesellschaft in der Schweiz hat im Mai in ihrer Position zu Alterskontrollen genau das verlangt: Empfehlungssysteme regulieren, manipulative Muster abschaffen, keine Push-Nachrichten in der Nacht. Nur braucht keine dieser Massnahmen eine Alterskontrolle. Ein Feed, der für 14-Jährige schädlich ist, wird mit 15 nicht gesund; Simeon de Brouwer von EDRi hat genau das gegenüber netzpolitik.org festgehalten.

Zweitens: Die Plattform sieht keinen Ausweis, nur ein Ja oder Nein. Auch das stimmt, soweit es die Plattform betrifft. Es verschiebt die Frage aber nur um eine Station. Wer die Nachweise ausstellt, wer die App betreibt und was auf der Netzwerkebene sichtbar bleibt, ist genau der Punkt, an dem EDRi ansetzt. Und für die Mehrheit der Erwachsenen spielt der Nachweis ohnehin keine Rolle, weil ihre Plattform sie schätzt, statt zu fragen — mit Daten, die sie ohne jedes Zero Knowledge gesammelt hat.

Drittens: Eine EU-weite Regel ist besser als 27 nationale. Das ist das stärkste Argument, und es ist nicht falsch. Frankreich, Spanien, Griechenland und andere hatten, wie im April beschrieben, eigene Verbote angekündigt, jedes mit eigener Technik. Harmonisierung verhindert einen Flickenteppich. Aber sie verhindert auch jede Abweichung nach oben wie nach unten: Wenn Reed Smith recht hat, darf kein Mitgliedstaat strenger sein — und damit auch keiner einen datensparsameren Weg ausprobieren. Ein einheitlicher Fehler ist nicht besser als 27 verschiedene. Er ist nur schwerer zu korrigieren.

Chris Köver hat den Vorschlag auf netzpolitik.org als Gesetz kommentiert, das es für Eltern "nicht besser, sondern schlimmer" macht, und festgestellt: "In der Praxis lösen diese Pläne keines der Probleme". Dem ist aus Sicht dieses Blogs nur eines hinzuzufügen: Sie schaffen ein neues. Sie machen den Datenbestand der Plattformen zur Eintrittskarte.

Wer übrigens glaubt, das sei ein europäisches Sonderproblem: Im US-Kongress liegt ein Paket mit demselben Namen, der KIDS Act H.R. 7757. Die EFF kritisiert dort, dass Pflichten immer dann greifen, wenn ein Dienst weiss "or should have known", dass jemand minderjährig ist. Auf beiden Seiten des Atlantiks läuft es auf dasselbe hinaus: Die Plattform soll über euer Alter Bescheid wissen. Den Namen haben sich die beiden Gesetzgeber offenbar nicht abgesprochen, die Richtung schon.

Und die Schweiz?

Die Schweiz ist nicht Mitglied der EU, der KIDS Act gilt hier nicht. Die Europarechtlerin Helen Keller sagte gegenüber 20 Minuten trotzdem, es könnte "schon aus Gründen der Praktikabilität für die Schweiz das Einfachste sein, sich der neuen Regelung anzuschliessen". Der Bundesrat prüft seit einem Postulat, das der Ständerat im März 2025 überwiesen hat, ein Social-Media-Verbot für unter 16-Jährige; ein Bericht soll laut Keystone-SDA im nächsten Jahr kommen, und die Forderungen sollen auch in die geplante Plattformregulierung einfliessen.

Der Druck kommt also von zwei Seiten: von der Politik, die nachziehen will, und von den Plattformen, die Funktionen im Zweifel europaweit umbauen, statt für die Schweiz eine Ausnahme zu pflegen. Wie schwerfällig die Schweiz gegenüber Plattformen reguliert, haben wir beim Digital Markets Act beschrieben. Hier wäre Langsamkeit ausnahmsweise ein Vorteil.

Was noch offen ist

Der Vorschlag geht jetzt an Parlament und Rat. Vieles, was über seine Wirkung entscheidet, ist noch nicht festgelegt oder für uns nicht prüfbar:

• Der Verordnungstext selbst. Das PDF liess sich aus unserer Umgebung nicht abrufen. Die Aussagen zu Bestandskonten stammen aus den FAQ der Kommission, die zum Leak aus der Auswertung von netzpolitik.org. Ob die Ausnahme für Erwachsene mit bekanntem Alter im Artikeltext genauso weit reicht, ist offen.
• Was ein "Signal" ist. Kontoalter und Kreditkarte sind Beispiele. Ob Plattformen auch Verhaltensanalysen, Gesichtsschätzungen aus Profilbildern oder Kontaktnetze nutzen dürfen, um ein Alter "with high confidence" festzustellen, sagen die FAQ nicht.
• Der Geltungsbeginn. Bekannt ist nur, dass bestehende Konten innerhalb von sechs Monaten nach Anwendbarkeit geprüft werden müssen. Ab wann die Regeln anwendbar sind, nennt keine der abrufbaren Quellen.
• F-Droid und freie Stores. Ob nicht kommerzielle Stores unter die Pflichten für App-Stores fallen oder unter eine Ausnahme, ist nach den öffentlichen Unterlagen nicht eindeutig. Eine Stellungnahme von F-Droid war am 19. September nicht auffindbar.
• Der Nachweis ohne digitale Identität. Jeder Mitgliedstaat soll mindestens einen kostenlosen Weg anbieten, das Alter nachzuweisen, "including for people without digital ID". Wie dieser Weg aussieht und ob er ohne Smartphone funktioniert, ist nicht beschrieben.
• Die Sorgerechtsbescheinigung. Das Dokument, das Eltern für ein Mini-Konto brauchen, gibt es noch nicht. Wer es ausstellt und welche Daten es enthält, entscheidet darüber, ob aus dem Kinderschutz ein Familienregister wird.

Fazit: Der KIDS Act macht Anonymität zur Ausnahme mit Begründungspflicht

Der EU KIDS Act ist kein Gesetz, das alle Erwachsenen zur Ausweiskontrolle schickt. Das wäre einfacher zu kritisieren. Er ist ein Gesetz, das die Erwachsenen durchwinkt, die ihre Plattform ohnehin kennt, und die übrigen prüft. Die Beweislastumkehr für Plattformen ist richtig, die Designverbote sind überfällig. Aber die Alterskontrolle, die daneben entsteht, belohnt genau das Verhalten, vor dem dieser Blog seit Jahren warnt: ein Konto, einen Namen, eine Kreditkarte, alles an einem Ort.

Der Satz "most adults will notice nothing" ist dafür die ehrlichste Beschreibung. Er stimmt. Wer seit Jahren alles preisgibt, merkt nichts. Wer das nicht getan hat, wird es merken. Ein Gesetz, das Kinder schützen soll und dabei Anonymität zum Sonderfall macht, hat seinen Zweck um eine Generation verfehlt — nämlich um die, die jetzt lernt, dass ein Konto ohne Kreditkarte verdächtig ist.

Quellen und weiterführende Links

• EU-Kommission: Proposal for EU KIDS Act, 17.09.2026
• EU-Kommission: The KIDS Act explained (FAQ)
• EU-Kommission: EU KIDS Act to restrict social media platforms’ access to children in the EU
• EU-Kommission: Statement by President von der Leyen with Executive Vice-President Virkkunen on the EU KIDS Act
• netzpolitik.org: Eckpunkte geleakt, 15.09.2026
• netzpolitik.org: EU-Kommission will Netz mit Alterskontrollen zupflastern, 16.09.2026
• netzpolitik.org: Dieses Gesetz macht es für Eltern nicht besser, sondern schlimmer (Kommentar), 17.09.2026
• EDRi: Why the EU age-verification tool does not solve privacy concerns, 07.09.2026
• Reed Smith: The EU KIDS Act has landed
• Osborne Clarke: EU KIDS Act – Commission announces new restrictions
• Digitale Gesellschaft: Macht Plattformen besser, statt exklusiv!, 27.05.2026
• swissinfo.ch / Keystone-SDA: Verbot von sozialen Medien wird auch in der Schweiz diskutiert, 23.07.2026
• 20 Minuten: EU Kids Act – was das für Schweizer Teenager bedeutet, 16.09.2026
• EFF: The KIDS Act Would Require Age Checks To Get Online (USA)

The post EU KIDS Act: Anonym ist jetzt die Ausnahme appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Schweiz hat den Start ihrer E-ID gestoppt, ohne einen neuen Termin zu nennen. Deutschland hat drei Monate später einen Termin genannt, ohne die verbindliche technische Richtlinie dafür veröffentlicht zu haben. Zwei Regierungen, dasselbe Vorhaben, zwei genau entgegengesetzte Entscheidungen – und daran lässt sich ziemlich gut ablesen, wie ernst es einem Staat mit der eigenen Identitätsinfrastruktur ist.

Wir haben an dieser Stelle schon zweimal über die europäische Brieftasche geschrieben, beide Male am Rand: einmal in der Bestandsaufnahme zur Altersverifikation auf Betriebssystemebene, einmal in dem Nachtrag über die EU-App, die zwei Minuten hielt. Dort stand am Schluss die Frage, wie lange die EUDI-Wallet halten wird, wenn es ernst wird. Diesmal geht es nicht um die Frage, sondern um die Technik darunter: was in so einer Brieftasche tatsächlich passiert, was das Gesetz dazu verlangt, und warum genau an dieser Stelle beide Länder gerade ihre Termine verschieben oder eben nicht.

Was die Schweiz am 30. Juni entschieden hat

Am 30. Juni 2026 hat der Bundesrat einen neuen Zeitplan für die Einführung der E-ID und der Vertrauensinfrastruktur bekanntgegeben. Bekanntgegeben ist dabei das freundliche Wort: Ein Einführungsdatum für die E-ID nennt die Mitteilung nicht, es werde später kommuniziert. Fest ist nur, dass die Vertrauensinfrastruktur „im ersten Halbjahr 2027 ihren Betrieb aufnehmen können“ soll.

Als Begründung nennt der Bund zwei Punkte, und beide sind technisch. Erstens: „Neueste Entwicklungen im Bereich der künstlichen Intelligenz bringen zusätzliche Herausforderungen für die Erstellung einer E-ID mit sich.“ Zweitens verstärkt das Bundesamt für Justiz den Online-Ausstellungsprozess mit weiteren technischen Vorkehrungen, um Schadsoftware zu erschweren und die Erkennung von Deepfakes zu stärken.

Das ist ein bemerkenswert unbequemes Eingeständnis. Der heikelste Moment im Leben einer digitalen Identität ist nicht ihre Benutzung, sondern ihre Ausstellung. Wer es schafft, sich mit einem gefälschten Gesicht und einem echten Ausweisfoto eine E-ID auf den Namen einer anderen Person ausstellen zu lassen, hat danach einen staatlich signierten Nachweis in der Hand, dem jeder Prüfer glaubt – weil er genau dafür gebaut wurde. Gegen diese Art von Angriff hilft keine Kryptographie im Nachhinein. Sie hilft nur davor.

Der Vorlauf dazu war knapp. Das E-ID-Gesetz wurde am 28. September 2025 an der Urne angenommen, und zwar, wie das Bundesamt für Justiz selbst festhält, „mit 50,39 Prozent Ja-Stimmen knapp“. Am 25. Februar 2026 kündigte der Bund deshalb vier zusätzliche Massnahmen an, um die Kritikpunkte der Gegnerschaft aufzunehmen – der Start war damals auf den 1. Dezember 2026 angesetzt. Am 21. April 2026 wies das Bundesgericht die Beschwerden gegen die Abstimmung ab; es ging dabei um verspätet gemeldete Zuwendungen von Ringier und der TX Group in der Höhe von rund 163'000 Franken, die dem Gericht nicht schwer genug wogen, wie die Nachrichtenagentur Keystone-SDA berichtete. Und Ende Juni war der Dezembertermin dann weg.

Was Deutschland am 9. September entschieden hat

Am 9. September 2026 hat das deutsche Digitalministerium BMDS Name und Startdatum der deutschen EUDI-Wallet bekanntgegeben. Sie heisst d-you und startet am 2. Januar 2027. Laut netzpolitik.org steht das „d“ für Digital und Deutschland und das „you“ für die einzelnen Nutzer. Über Namen lässt sich streiten, aber wer eine Ausweis-App nach dem Muster einer Streaming-Marke benennt, hat die Rollenverteilung vielleicht schon ganz gut verstanden.

Inhaltlich klingt die Ankündigung erst einmal gut. Die App soll ermöglichen, sich „online wie offline sicher auszuweisen, wichtige Dokumente digital zu verwalten und jederzeit selbstbestimmt über die eigenen Daten zu verfügen“. Sie soll „kostenlos und freiwillig nutzbar sein, während analoge Dienste weiterhin bestehen bleiben“, und persönliche Daten sollen nach Darstellung des Ministeriums ausschliesslich auf dem Smartphone gespeichert und verschlüsselt verarbeitet werden. Rechtsgrundlage ist das Digitale-Identitäten-Gesetz, das das Kabinett am 20. Mai 2026 beschlossen hat. Gebaut wird die App von einem Team aus der Bundesagentur für Sprunginnovationen, dem BSI, der Bundesdruckerei, Fraunhofer AISEC, PwC Deutschland und einer Kommunikationsagentur.

Der interessante Teil steht nicht in der Ankündigung, sondern daneben. Die verbindliche technische Grundlage für die deutsche Wallet ist die Technische Richtlinie TR-03189 des BSI. Sie legt nach eigener Beschreibung „verbindliche technische Vorgaben, Verfahren und Sicherheitsanforderungen“ fest und bestimmt, „wie die EUDI-Wallet gestaltet sein soll und welche Komponenten darin zusammenwirken“. Und sie befindet sich, Stand heute, „noch in Erstellung“ und ist „daher nicht öffentlich verfügbar“.

Rechnet das kurz nach: Knapp vier Monate vor dem Start ist das Dokument, das die Anforderungen an das Produkt definiert, nicht fertig. Die App wird nach Darstellung von netzpolitik.org bislang auch nicht sicherheitsgeprüft, und die Bundesregierung will „unter Berücksichtigung eventueller Restrisiken über den Start“ entscheiden. Die IT-Sicherheitsforscherin Bianca Kastl beschreibt das dort mit dem schönsten Bild, das dieser Text zu bieten hat: „Das ist ein wenig so, als würde man auf einem fahrenden Zug noch ein paar Sicherheitsingenieure holen.“

Zwei Länder, dasselbe Problem, zwei Reaktionen. Die Schweiz hat den Termin dem Sicherheitsstand angepasst. Deutschland passt den Sicherheitsstand dem Termin an. Das ist nicht Ländervergleich um des Vergleichens willen – es ist der einzige Unterschied, den ein Nutzer später überhaupt zu spüren bekommt.

Unverknüpfbarkeit steht in der Verordnung

Damit zur Technik, denn hier liegt der eigentliche Streit. Die europäische Grundlage ist die Verordnung (EU) 2024/1183, allgemein als eIDAS 2.0 bekannt. Sie verlangt von einer Brieftasche nicht nur, dass sie funktioniert, sondern beschreibt in ihren Erwägungsgründen ausdrücklich, wie sie sich zu verhalten hat.

Erwägungsgrund 32 verlangt Unbeobachtbarkeit: Anbieter von Brieftaschen „sollten Unbeobachtbarkeit gewährleisten, indem sie keine Daten erfassen und keinen Einblick in die Transaktionen der Nutzer der europäischen Brieftasche für die Digitale Identität haben“. Erwägungsgrund 59 definiert die selektive Offenlegung als Konzept, „das den Eigentümer von Daten dazu ermächtigt, nur bestimmte Teile grösserer Datensätze offenzulegen, damit der Empfänger nur diejenigen Informationen erhält, die für die Erbringung des von einem Nutzer angeforderten Dienstes notwendig sind“. Erwägungsgrund 56 bindet Abfragen an die Datenminimierung. Und Erwägungsgrund 60 hält fest, dass der Zugang zu Diensten unter Verwendung eines Pseudonyms nicht verboten sein sollte, solange keine Rechtsvorschrift eine Identifizierung verlangt.

Das ist, und das sei ausdrücklich gesagt, ein anständiger Anforderungskatalog. Wer nur die Schlagzeilen liest, erwartet von Brüssel etwas anderes. Datenminimierung, Pseudonyme, keine Einsicht des Betreibers in die Transaktionen – wenn eine Brieftasche das alles einhält, ist sie der Fotokopie eures Ausweises in jeder Hinsicht überlegen. Wer die Debatte um den digitalen Euro verfolgt hat, erkennt an dieser Stelle eine verwandte Frage wieder: Es kommt darauf an, was von einem Erwägungsgrund am Ende in der Spezifikation landet.

Und sie steht nicht im Protokoll

Am 19. Juni 2024 haben 16 international führende Kryptographen – unter ihnen Jan Camenisch, Anna Lysyanskaya und Bart Preneel – dem Architektur- und Referenzrahmen der EUDI-Wallet ein öffentliches Feedback geschrieben. Ihr Befund: Einige der damaligen Designentscheidungen fallen hinter die Datenschutzanforderungen der Verordnung zurück, weil sie auf kryptographischen Methoden beruhen, die für solche Anforderungen nie entworfen wurden.

Konkret geht es um die beiden Nachweisformate, die in Europa gesetzt sind: SD-JWT und die mobile Fahrerlaubnis nach ISO mDL. Beide können selektive Offenlegung – sie können also einzelne Merkmale zeigen und den Rest verbergen. Was sie nicht können, ist Unverknüpfbarkeit. Der Grund ist einfach und hat nichts mit schlampiger Umsetzung zu tun: In beiden Formaten wird eine feste Signatur des Ausstellers mitgeliefert, und diese Signatur ist bei jeder Vorweisung dieselbe Bytefolge. Zwei Prüfer, die ihre Protokolle vergleichen, sehen also nicht nur zwei Altersnachweise, sondern zweimal denselben. Die Kryptographen empfehlen deshalb BBS-Nachweise, eine seit über zwanzig Jahren erforschte Familie anonymer Nachweise, bei der jede Vorweisung eine frische, mathematisch unverknüpfbare Signatur trägt.

Was ist daraus geworden? Es gibt inzwischen eine eigene technische Spezifikation der EU zu Zero-Knowledge-Beweisen, Fassung 1.0 vom 21. Mai 2025, redaktionell aktualisiert am 30. Januar 2026. Ihr erster Absatz beantwortet die Frage vollständig: „At present, no existing ZKP approach can be deemed fully suitable or mature enough for direct integration into the EUDI Wallet.“ Das Dokument prüft die Verfahren, beschreibt die Lücken und ist erklärtermassen beschreibend, nicht vorschreibend.

Damit steht der Befund: Die Verordnung verlangt Unbeobachtbarkeit und Datenminimierung. Die Formate, mit denen sie umgesetzt wird, liefern Datenminimierung – und bei der Unverknüpfbarkeit eine organisatorische Zusage statt einer mathematischen Eigenschaft. Wer schon einmal eine eigene Zertifizierungsstelle für SSH aufgesetzt hat, kennt den Unterschied aus dem eigenen Serverraum: Eine Signatur, die überall gleich aussieht, ist genau deshalb so praktisch – und genau deshalb so gut wiedererkennbar.

Wie die Schweiz das umgeht: mehr Nachweise statt bessere Mathematik

Die schweizerische Vertrauensinfrastruktur benutzt dieselben Bausteine. Auf der Technologieseite des Bundes stehen sie namentlich: „Verifiable Credentials (SD-JWT VC), Decentralised Identifiers (DIDs), sowie OpenID for Verifiable Credential Issuance (OpenID4VCI) and Verifiable Presentations (OpenID4VP)“. Die technische Dokumentation zu swiyu nennt dieselben Formate und dazu Widerrufslisten für den Sperrstatus.

SD-JWT VC ist genau das Format, dessen Verknüpfbarkeit die Kryptographen kritisiert haben. Die Antwort des Bundes darauf ist nicht bessere Mathematik, sondern mehr Nachweise: „Selective disclosure and batch issuance ensure privacy and allow to reduce shared identity data.“ Batch Issuance heisst, dass die Wallet nicht einen Nachweis erhält, sondern einen ganzen Stapel gleichartiger Nachweise mit jeweils eigener Signatur, und für jede Vorweisung einen frischen davon verbraucht. In der Mitteilung vom 25. Februar 2026 steht derselbe Gedanke in Behördendeutsch: Eine Mehrfachausstellung unterschiedlicher E-IDs soll verhindern, dass Transaktionen verfolgt werden können.

Das ist ein ehrlicher Kompromiss, und er funktioniert – bis der Stapel leer ist. Ein Vorrat an Einmalnachweisen ist eine Ressource, und Ressourcen gehen zur Neige, müssen nachgeladen werden und erzeugen dabei wieder Verkehr zum Aussteller. Vor allem aber ist die Eigenschaft, die dabei herauskommt, eine andere als die, die die Verordnung beschreibt. Der Bund formuliert das selbst auffällig vorsichtig: „Linkability of usage across different services is technically restricted.“ Eingeschränkt, nicht ausgeschlossen. Wer solche Sätze schon einmal geschrieben hat, weiss, wie viel Arbeit in der Wortwahl steckt.

Was der Bund sieht und was nicht

Bevor jetzt die falsche Erzählung entsteht: Der Bund baut sich mit der E-ID keine Datenbank eurer Anmeldungen. Er betreibt laut eigener Beschreibung zwei Register, ein Basisregister und ein Vertrauensregister. Darin liegen „the identifiers and public keys of credential issuers and verifiers, information on their trust level, as well as information on a credentials state of revocation“. Und ausdrücklich: „Personal data contained in individual digital credentials is never stored in these registers.“ Auch der Aussteller erfährt aus diesem Aufbau nicht, wo ihr euren Nachweis später vorweist: Der Prüfer fragt nicht bei ihm nach, sondern liest den Sperrstatus aus einer Widerrufsliste, die laut Dokumentation keine Rückschlüsse auf Inhaber oder Inhalt eines Nachweises zulässt.

Dazu kommen die vier Massnahmen vom Februar 2026, und die sind ernst zu nehmen. Nur gesetzlich berechtigte Anbieter dürfen die AHV-Nummer abfragen, unautorisierte Anfragen blockiert die Wallet automatisch. Anbieter müssen ihre Datenabfragen in einem öffentlichen Register eintragen, und bei Verstössen werden Nutzer gewarnt. Das Bundesamt für Justiz kann fehlbare Anbieter aus dem System ausschliessen. Wer die Abstimmungsdebatte von 2025 mitgemacht hat, erkennt in dieser Liste Punkt für Punkt die Argumente der Gegnerschaft wieder – und das ist ein Kompliment, nicht eine Kritik.

Die Stelle, an der Daten zusammenlaufen können, ist damit nicht der Staat, sondern die Prüferseite. Ein Anbieter, der euren Altersnachweis sieht, sieht auch die Signatur, die Kennung des Nachweises und die Abfrage beim Sperrstatus. Mehrere Anbieter, die zusammenarbeiten wollen, brauchen dafür keine Behörde. Es ist derselbe Mechanismus, den wir bei Metadaten in Messengern beschrieben haben: Nicht der Inhalt verrät euch, sondern das Wiedererkennungsmerkmal am Rand.

Freiwillig, kostenlos, analog – und trotzdem die falsche Frage

Beide Länder betonen dasselbe Dreifachversprechen. Die deutsche Wallet soll „kostenlos und freiwillig nutzbar sein, während analoge Dienste weiterhin bestehen bleiben“. Für die Schweiz hält das Bundesamt für Justiz auf seiner Themenseite zur staatlichen E-ID Freiwilligkeit, Kostenlosigkeit, grösstmögliche Kontrolle über die eigenen Daten und Privacy by Design fest.

Diese Zusagen sind echt, und sie sind nicht wenig. Sie beantworten nur eine andere Frage als die, die sich stellt. Freiwilligkeit auf der Ausgabeseite sagt nichts über die Annahmeseite: Entscheidend ist nicht, ob ihr eine E-ID beantragen müsst, sondern ob es Dienste gibt, die ohne sie nicht mehr erreichbar sind. Wie dieser Hebel aussieht, wenn er einmal angesetzt wird, haben wir am Beispiel der Altersverifikation auf Betriebssystemebene in aller Länge beschrieben; das wird hier nicht wiederholt. Der Punkt für heute ist ein anderer und kleiner: Wenn die Verknüpfbarkeit einer Vorweisung nur organisatorisch eingeschränkt ist, dann hängt der Datenschutz eines freiwilligen Systems an dem Verhalten derjenigen, die es verlangen werden.

Nebenbei: Dass Bequemlichkeit die Bindung an eine Plattform erhöht, ist in diesem Feld keine neue Erkenntnis. Bei Passkeys hat genau dieser Mechanismus dazu geführt, dass ein Anmeldeverfahren mit sehr guten Sicherheitseigenschaften nebenher drei Konzern-Ökosysteme zementiert hat. Eine Brieftasche, die auf dem Smartphone lebt und aus dem App-Store zweier amerikanischer Unternehmen kommt, betrachtet ihr besser mit dieser Erfahrung im Hinterkopf.

Die Gegenposition, und was von ihr bleibt

Gegen diesen Text lassen sich mindestens drei gute Einwände formulieren, und sie gehören hierher.

Erstens: Der Vergleichsmassstab ist nicht das Ideal, sondern die Gegenwart. Heute schickt ihr für einen Altersnachweis ein Foto eures Ausweises an einen Drittanbieter, und der speichert es. Eine Brieftasche mit selektiver Offenlegung übermittelt stattdessen ein Merkmal. Selbst mit wiedererkennbarer Signatur ist das eine deutliche Verbesserung, und wer das Gegenteil behauptet, vergleicht mit einer Welt, in der niemand ein Alter nachweisen muss.

Zweitens: Batch Issuance ist keine Ausrede, sondern Stand der Technik. Wenn keine ZKP-Familie reif genug für den Einsatz auf Millionen Geräten mit Secure Elements ist – und das sagt die EU-Spezifikation selbst –, dann ist ein Stapel Einmalnachweise die beste heute lieferbare Annäherung. Eine Infrastruktur auf ein Verfahren zu setzen, dessen Hardwareunterstützung fehlt, wäre der schlechtere Fehler.

Drittens: Verzögerungen kosten auch etwas. Jedes Jahr ohne staatliche E-ID ist ein Jahr, in dem private Identitätsdienste, Ausweis-Uploads und Video-Identifikation weiterlaufen. Wer Sicherheit gegen Termine ausspielt, sollte die Kosten des Wartens mitnennen.

Diese Einwände halten – bis auf eine Stelle. Sie rechtfertigen alle den heutigen technischen Stand. Keiner von ihnen rechtfertigt, ein System als unverknüpfbar zu beschreiben, das es nicht ist. Genau das ist der Unterschied zwischen der schweizerischen und der deutschen Kommunikation: Der Bund schreibt „technically restricted“ und meint es. Das Versprechen „jederzeit selbstbestimmt über die eigenen Daten verfügen“ ist dagegen eine Zusage, die das Protokoll nicht hält, und sie steht in einer Ankündigung, deren technische Richtlinie noch nicht einmal geschrieben ist.

Was ich anders mache

Ich werde die E-ID nicht grundsätzlich ablehnen. Ein staatlich signierter Nachweis, der ein einzelnes Merkmal zeigt, ist mir lieber als ein Ausweisfoto im Kundendienstsystem einer Plattform. Was ich anders mache als die Gebrauchsanleitung es vorsieht, sind drei Dinge.

Ich behandle die Brieftasche als Ausweis, nicht als Konto. Ein Ausweis wird gezeigt, wenn jemand ein Recht hat, ihn zu sehen. Er wird nicht bei jeder Anmeldung vorgelegt, weil es schneller geht. Die Bequemlichkeit ist in diesem System die Falle, nicht das Geschenk.

Ich prüfe bei jeder Abfrage, wer fragt und was er will. Die Schweiz baut genau dafür ein öffentliches Register der Abfragen und eine Sperrmöglichkeit für fehlbare Anbieter. Ein Kontrollinstrument, das niemand benutzt, ist Dekoration. Wer eine Abfrage sieht, die mehr will als nötig, sollte sie ablehnen und melden.

Ich bleibe beim analogen Weg, solange es ihn gibt. Nicht aus Nostalgie, sondern weil die gesetzliche Zusage, dass analoge Dienste bestehen bleiben, nur so lange praktisch gilt, wie es Leute gibt, die sie nutzen. Ein Schalter, an dem niemand steht, wird geschlossen, und danach ist die Freiwilligkeit eine Formulierung im Gesetz und keine Wahlmöglichkeit mehr.

Fazit: Ein Termin ist keine Sicherheitseigenschaft

Die Schweiz hat im Juni ihren eigenen Starttermin gestrichen, weil der Ausstellungsprozess gegen Deepfakes und Schadsoftware nicht fest genug war. Das ist keine Panne, das ist die einzige richtige Reihenfolge: erst die Eigenschaft, dann das Datum. Deutschland macht es umgekehrt und hat dafür ein Datum, eine Kommunikationsagentur und einen Namen, aber keine veröffentlichte technische Richtlinie.

Und darunter liegt in beiden Ländern dieselbe offene Frage. Die Verordnung verlangt Unbeobachtbarkeit, die Formate liefern sie nicht, die zuständige Spezifikation sagt selbst, dass kein verfügbares Verfahren dafür reif ist, und die Praxis behilft sich mit einem Stapel Einmalnachweise. Das ist tragfähig genug für den Anfang und nicht tragfähig genug für die Sätze, die darüber gesagt werden.

Wer wissen will, wie gut eine digitale Identität wirklich ist, schaut deshalb nicht auf die Datenschutzerklärung, sondern auf zwei Dinge: ob die Signatur bei jeder Vorweisung eine andere ist, und ob die Richtlinie, die das vorschreibt, gelesen werden kann. Bei der Schweizer E-ID lautet die Antwort einmal „fast“ und einmal „ja“. Bei d-you lautet sie einmal „fast“ und einmal „noch nicht“. Die Zeit, die die Schweiz sich dafür genommen hat, ist das Billigste an dieser ganzen Infrastruktur.

Quellen und weiterführende Links

• Der Bundesrat: Neuer Zeitplan für die Einführung der E-ID und der Vertrauensinfrastruktur (30.06.2026)
• Bundesamt für Justiz: Akzeptanz der E-ID mit zusätzlichen Massnahmen stärken (25.02.2026)
• Bundesamt für Justiz: Staatliche E-ID
• eid.admin.ch: Technology – Standards der schweizerischen Vertrauensinfrastruktur
• swiyu: Technische Dokumentation, Einführung
• BMDS: EUDI-Wallet – d-you startet am 2. Januar 2027
• DIF-AG: Technische Richtlinie TR-03189 für die EUDI-Wallet
• netzpolitik.org: Neuer Name, alte Baustellen – die Hürden zum Start von d-you (10.09.2026)
• EUR-Lex: Verordnung (EU) 2024/1183 (eIDAS 2.0)
• Cryptographers' Feedback on the EU Digital Identity's ARF (19.06.2024)
• EU Digital Identity Wallet: Technical Specification 4 – Zero-Knowledge Proofs
• Keystone-SDA über swissinfo.ch: Bundesgericht lehnt Aufhebung der Abstimmung zur E-ID ab

The post E-ID Schweiz: verschoben ist besser als kaputt appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Reaktionen waren erwartbar. „Brüssel greift nach euren Ersparnissen", „Zugriff auf euer Konto", „Enteignung durch die Hintertür". Wir haben uns die Vorschläge angesehen, die hinter dem Begriff tatsächlich liegen — und die Antwort ist unbequem für beide Seiten. Niemand nimmt euch etwas weg. Es ist auch gar nicht nötig. Genau das ist der interessante Teil, und er ist derselbe strukturelle Vorgang, den wir vor einer Woche schon bei der Zweigstellenpflicht für Drittstaatsbanken beschrieben haben: eine Regel, die euch gar nicht adressiert, ändert trotzdem, was euch offensteht.

Spar- und Investitionsunion: was tatsächlich auf dem Tisch liegt

Die Spar- und Investitionsunion ist kein neuer Einfall vom August 2026. Die Kommission hat ihre Strategie am 19. März 2025 vorgelegt. Sie ist der Nachfolger dessen, was jahrelang Kapitalmarktunion hiess und wenig bewegt hat. Der Befund darin: Rund 70 Prozent der privaten Ersparnisse in der EU liegen als Bankeinlage, im Gegenwert von etwa zehn Billionen Euro.

Der Rat gliedert das Vorhaben in vier Arbeitsstränge: Bürger und Ersparnisse, Investitionen und Finanzierung, Integration und Skalierung der Märkte, sowie wirksame Aufsicht im Binnenmarkt. Das klingt nach einem Behördenorganigramm und ist auch eines. Wichtiger als die Gliederung ist, welche Rechtsakte darunter tatsächlich liegen. Es sind, Stand heute, im Wesentlichen vier: die Verbriefungsreform vom Juni 2025, eine Empfehlung zu Sparkonten vom September 2025, ein Vorschlag zur europäischen Privatrente vom November 2025 und ein Paket zu Marktintegration und Aufsicht vom Dezember 2025. Dazu kam am 17. Juli 2026 eine Mitteilung zur Wettbewerbsfähigkeit des Bankensektors. Nachzulesen ist die Liste auf der Themenseite der Generaldirektion Finanzstabilität.

In keinem dieser Rechtsakte steht etwas, das einen Sparer zu irgendetwas verpflichtet. Das ist keine Beruhigungsformel, sondern der Befund nach Durchsicht der Primärquellen. Wer daraus eine Zwangsabgabe macht, liegt schlicht falsch — und liefert dabei genau die Munition, mit der sich die berechtigte Kritik anschliessend als Verschwörungserzählung abtun lässt.

Verbriefung: der eigentliche Hebel sitzt bei den Banken

Das Herzstück ist die Verbriefungsreform, die die Kommission am 17. Juni 2025 vorgeschlagen hat. Verbriefung heisst: Eine Bank bündelt Kredite — Firmenkredite, Hypotheken, Leasingforderungen — zu einem Paket, zerlegt dieses Paket in Tranchen unterschiedlichen Risikos und verkauft die Tranchen an Investoren. Das Kreditrisiko wandert aus der Bankbilanz heraus. Dadurch wird Eigenkapital frei, und mit diesem Eigenkapital kann die Bank neue Kredite vergeben.

Geändert werden sollen dafür gleich vier Regelwerke: die Verbriefungsverordnung selbst, die Kapitaladäquanzverordnung CRR, die Liquiditätsdeckungsverordnung und Solvency II für Versicherer. Konkret werden die Sorgfaltspflichten der Investoren „einfacher, verhältnismässiger und stärker prinzipienbasiert", die Zahl der Meldefelder soll um mindestens 35 Prozent sinken, und die Eigenkapitalanforderungen für vorrangige Verbriefungstranchen sollen um etwa ein Drittel fallen. Bei Portfolios aus KMU-Krediten dürfen künftig bis zu 70 Prozent eines Pools als homogen gelten, was die Bündelung erleichtert.

Das ist der Punkt, an dem die Zahl aus Paris herkommt. „Together, these measures could unlock up to EUR 470 billion in additional investment", sagte von der Leyen — bis zu 470 Milliarden Euro zusätzliche Investitionen, und zwar aus der Summe von Verbriefung, Anlagevorschriften für Banken und Versicherer sowie Marktintegration und Aufsicht. Es ist eine Schätzung der Kommission zur Wirkung ihrer eigenen Vorschläge, keine gemessene Grösse. Die Kommission selbst schreibt zur Frage, wie viel zusätzliche Kreditvergabe daraus wird, nüchtern, das hänge von vielen Faktoren ab.

Wer aufmerksam liest, sieht hier bereits, dass das Ersparte des Einzelnen in diesem Mechanismus gar nicht vorkommt. Adressat ist die Bank. Sie entscheidet, ob sie verbrieft. Adressat sind Versicherer und Fonds, die die Tranchen kaufen sollen. Der Kontoinhaber taucht in der ganzen Kette an genau einer Stelle auf: als jemand, dessen Einlage die Bank ohnehin schon weiterverliehen hat.

Zehn Billionen, die niemand herumliegen lässt

Damit sind wir beim schwächsten Satz der ganzen Rede. Ersparnisse auf einem Bankkonto liegen nicht brach. Sie liegen dort überhaupt nicht. Wer Geld auf ein Konto legt, gibt der Bank einen Kredit; die Bank verleiht ihn weiter, in aller Regel noch vor dem Frühstück. Genau darauf beruht die gesamte Verbriefungsreform: Sie will Bankbilanzen entlasten, damit Banken mehr Kredite vergeben können. Beides zugleich geht nicht: behaupten, das Geld liege still, und ein Instrument vorschlagen, dessen ganzer Zweck darin besteht, die bereits vergebenen Kredite weiterzureichen.

Was tatsächlich gemeint ist, ist etwas anderes und weniger griffig: Europäische Haushalte finanzieren Unternehmen überwiegend indirekt über Bankkredite und kaum direkt über Eigenkapital. Wer Wagniskapital braucht, findet in Europa weniger davon als in den USA. Das ist ein reales Problem und der Grund, warum der zweite Satz aus Paris deutlich besser sitzt als der erste: „And a large share of Europe's savings is invested outside our continent." Ein grosser Teil europäischer Ersparnisse wird ausserhalb Europas angelegt. Das stimmt, und es ist ein Befund über Renditeerwartungen, nicht über Faulheit.

Der Unterschied ist nicht sprachliche Feinarbeit. „Brachliegendes Geld" legt nahe, es müsse aktiviert werden — notfalls von aussen. „Geld, das woanders investiert wird" legt nahe, Europa müsse attraktiver werden. Das sind zwei völlig verschiedene politische Programme, und die Rede verwendet beide Bilder in vier Sätzen nacheinander.

Das Sparkonto, das die EU empfiehlt und nicht vorschreibt

Der einzige Teil der Spar- und Investitionsunion, der sich überhaupt an Privatpersonen richtet, ist das sogenannte Spar- und Investitionskonto. Die Kommission hat dazu am 30. September 2025 einen Vorschlag vorgelegt — und zwar in Form einer Empfehlung. Nicht als Verordnung, nicht als Richtlinie. Die Kommission „empfiehlt den Mitgliedstaaten, solche Konten einzuführen, wo es sie noch nicht gibt, und bestehende Modelle zu verbessern".

Eine Empfehlung ist das schwächste Instrument, das das Unionsrecht kennt. Sie ist rechtlich unverbindlich, ungefähr so zwingend wie ein Hinweisschild im Treppenhaus. Inhaltlich geht es um Konten bei Banken und Wertpapierfirmen, über die Privatanleger einfach in Aktien, Anleihen und Fonds investieren können, mit einer einheitlichen Nutzerführung, der Möglichkeit mehrerer Konten bei verschiedenen Anbietern — und, das ist der eigentliche Hebel, mit steuerlichen Anreizen. Steuervorteile seien „entscheidend", schreibt die Kommission. Über die entscheiden allerdings die Mitgliedstaaten, nicht Brüssel.

Auch das deutsche Bundesfinanzministerium beschreibt den eigenen Beitrag in seinem Monatsbericht vom Oktober 2025 ausdrücklich als Arbeit an Rahmenbedingungen und Anreizen: bessere Bedingungen für Start-ups, Bürokratieabbau, Stärkung der Nachfrageseite am Kapitalmarkt, dazu die Initiative „Finance Europe" als „freiwilliger Rahmen, den die Finanzindustrie durch geeignete Investmentlösungen ausfüllen soll". Von Verpflichtungen für Sparer steht dort kein Wort. Wer eine Zwangsanleihe erwartet hat, wird enttäuscht — und sollte den Text trotzdem lesen, denn Anreize sind wirksamer als Gebote und werden seltener beklagt.

Zwischenfazit an dieser Stelle: Von den vier Strängen der Spar- und Investitionsunion adressiert genau einer den Bürger, und der tut es mit dem unverbindlichsten Werkzeug im Schrank. Alles, was rechtlich Zähne hat, richtet sich an Banken, Versicherer, Fonds und Aufsichtsbehörden. Wer nach dem Zwang sucht, wird ihn nicht finden. Wer deshalb aufhört zu lesen, verpasst die Verschiebung.

Der Satz, der aufhorchen lässt, ist ein anderer

In derselben Passage der Pariser Rede steht ein Satz, der in den Empörungsmeldungen nicht vorkam, obwohl er der politisch bemerkenswerteste ist: „We now need to reach an agreement, before the end of the year, ideally with all 27 Member States. But if that doesn't work, if necessary we will do it with those that are ready."

Idealerweise mit allen 27, und wenn das nicht geht, eben mit denen, die bereit sind. Das ist die offene Ankündigung, ein Kernprojekt des Binnenmarkts notfalls in einer Teilmenge der Mitgliedstaaten umzusetzen. Bei einem Kapitalmarktvorhaben ist das keine Kleinigkeit: Ein Binnenmarkt, der für zwölf Länder anders funktioniert als für fünfzehn, ist ein Binnenmarkt mit Naht. Für Anleger heisst das im Zweifel, dass steuerliche Behandlung, Aufsicht und Produktangebot je nach Wohnsitz auseinanderlaufen — genau das, was die Spar- und Investitionsunion eigentlich beseitigen wollte.

Dass der Zeitdruck real ist, lässt sich am Verfahrensstand ablesen. Der Rat hat seine Position zur Verbriefungsreform Ende 2025 festgelegt, der Wirtschafts- und Währungsausschuss des Parlaments die seine am 6. Mai 2026; die Trilogverhandlungen werden für die zweite Jahreshälfte 2026 erwartet. „Vor Jahresende" ist also kein rhetorischer Schwung, sondern der Terminplan.

Der Haushalt, der im selben Atemzug genannt wird

Von der Leyen verband das Thema in Paris mit dem nächsten EU-Haushalt: „With over EUR 450 billion from the European Competitiveness Fund and the Horizon Europe programme, we will support the entire chain." Gemeint ist der Vorschlag für den mehrjährigen Finanzrahmen 2028 bis 2034, den die Kommission am 16. Juli 2025 vorgelegt hat: knapp zwei Billionen Euro für sieben Jahre, 1,26 Prozent des europäischen Bruttonationaleinkommens, darin 409 Milliarden für den Europäischen Fonds für Wettbewerbsfähigkeit und 175 Milliarden für Horizont Europa.

Wer nachrechnet, kommt auf 584 Milliarden und nicht auf „über 450". Die Differenz erklärt sich vermutlich daraus, dass aus dem Wettbewerbsfähigkeitsfonds 131 Milliarden für Verteidigung und Weltraum vorgesehen sind — 584 minus 131 ergibt 453. Ausdrücklich gesagt hat das niemand; es ist unsere Rechnung, nicht die der Kommission, und wer sie nicht tragen will, lässt sie weg.

Unstrittig ist dagegen, dass dieser Haushalt derzeit alles andere als beschlossen ist. Sechs Nettozahler — Deutschland, Österreich, Dänemark, Finnland, die Niederlande und Schweden — fordern Kürzungen um mehrere hundert Milliarden Euro und lehnen neue gemeinsame Schulden ab; die taz beschrieb den Vorstoss am 27. August 2026 als „Gipfel der Geizigen", ein Etikett, gegen das sich die Beteiligten wehren. Das ist der Zusammenhang, der die Rede erklärt: Wenn öffentliches Geld knapp verhandelt wird, wird privates Geld interessant. Von der Leyen sagt das in Paris sogar offen — nicht alles lasse sich aus der öffentlichen Kasse finanzieren. Wer die Haushaltsdebatte für ein Randthema hält, dem sei unser Beitrag „Warum die EU sterben muss, damit Europa leben kann" empfohlen; dort stehen die Zahlen zum europäischen Wachstum, die diesen Streit überhaupt erst erzeugen.

Wo der digitale Euro ins Bild kommt — und wo nicht

Jetzt zu der Frage, die dieses Thema für diesen Blog überhaupt interessant macht. Sie lautet nicht: Steckt der digitale Euro hinter der Spar- und Investitionsunion? Dafür gibt es keinerlei Beleg, und wer es behauptet, muss es belegen. Es sind zwei getrennte Vorhaben mit getrennten Rechtsgrundlagen, getrennten Zeitplänen und getrennten Zuständigkeiten: das eine bei der Kommission und den Finanzministerien, das andere bei der Europäischen Zentralbank. Die Frage lautet: Was wäre, wenn beide kämen?

Zur Erinnerung, ausführlich steht das in unserem Beitrag „Digitaler Euro: ein Versprechen ist kein Protokoll": Der digitale Euro ist als direkte Verbindlichkeit der Zentralbank angelegt, mit einer Haltegrenze, die nicht im Gesetz steht, sondern von der Kommission auf Empfehlung der EZB festgelegt und mindestens alle zwei Jahre überprüft werden soll. Bedingte Zahlungen sind technisch vorgesehen, programmierbares Geld soll untersagt sein. Am Stand hat sich seither wenig getan: Der jüngste Vorgang auf der Projektseite der EZB ist die Rulebook-Fassung 0.91 vom Juli 2026, geprüft am 5. September 2026.

Und hier liegt der Punkt, der sich ohne jede Spekulation formulieren lässt: Eine Haltegrenze ist bereits ein Steuerungsinstrument für private Ersparnisse. Sie legt fest, wie viel Geld ein Bürger in der sichersten verfügbaren Form halten darf. Alles darüber muss anderswohin — auf ein Bankkonto, in einen Fonds, in Wertpapiere. Das ist keine Verschwörung, das ist der erklärte Zweck: Die Haltegrenze soll verhindern, dass Einlagen aus den Geschäftsbanken abfliessen. Aber es ist eben auch eine Zahl, die per Rechtsakt festgelegt und alle zwei Jahre neu bestimmt wird, und die entscheidet, wie viel Erspartes stillstehen darf.

Der Gedanke des Betreibers dieses Blogs, den wir hier ausdrücklich als Gedankenexperiment und nicht als Befund führen, geht einen Schritt weiter: Wäre Geld eines Tages vollständig digital und in der Ausgabe zentralisiert, dann bräuchte es für eine Lenkung privater Ersparnisse weder eine Verbriefungsverordnung noch ein Steuerprivileg noch eine Empfehlung an die Mitgliedstaaten. Es bräuchte einen Parameter. Was heute vier Rechtsakte, zwei Gesetzgebungsorgane und einen Trilog kostet, wäre dann eine Einstellung.

Zwei Dinge sind dazu ehrlicherweise zu sagen. Erstens ist genau dieser Fall nicht geplant: Der Verordnungsentwurf zum digitalen Euro sieht ihn ausdrücklich als Ergänzung zum Bargeld vor, nicht als dessen Ersatz. Zweitens gilt aber auch, was wir zum digitalen Euro schon geschrieben haben — der Schutz besteht aus Paragrafen, nicht aus Physik. Bargeld verhindert Lenkung technisch. Ein digitaler Euro verhindert sie durch einen Satz im Rechtsakt, und wie belastbar solche Sätze über Jahre sind, kann jeder selbst einschätzen, der die Chatkontrolle über die letzten drei Jahre verfolgt hat.

Die Gegenposition, und warum sie zur Hälfte trägt

Die stärkste Erwiderung auf alles bisher Gesagte lautet: Ihr beschreibt ein Problem, das es nicht gibt. Europäische Haushalte legen zu wenig in Eigenkapital an, europäische Unternehmen finden zu wenig Wagniskapital, europäische Gründer gehen nach Amerika. Ein integrierter Kapitalmarkt mit einfachen, steuerlich vernünftigen Anlagekonten nützt genau den Leuten, die sich heute mit dem Zins auf dem Sparkonto abfinden. Wer das bekämpft, verteidigt den Status quo, und der Status quo ist teuer.

Diese Position ist gut, und sie trägt bis zur Hälfte. Ein einfacheres, billigeres, europaweit vergleichbares Anlagekonto wäre ein Fortschritt. Auch dass Verbriefung nicht per se Teufelszeug ist, sondern ein Standardinstrument, das in Europa nach 2008 überreguliert wurde, lässt sich vertreten.

Wo sie aufhört zu tragen, ist die Risikoseite. Verbriefung war 2008 nicht deshalb ein Problem, weil es sie gab, sondern weil niemand mehr wusste, was in den Paketen steckte und wer das Risiko am Ende trug. Die aktuelle Reform senkt Sorgfaltspflichten, kürzt Meldefelder um mindestens 35 Prozent und reduziert Eigenkapitalanforderungen für vorrangige Tranchen um rund ein Drittel. Jede einzelne dieser Massnahmen ist für sich begründbar. Zusammen ergeben sie: weniger Prüfung, weniger Transparenz, weniger Puffer. Wer das für risikolos hält, hat eine bemerkenswert kurze Erinnerung an das letzte Mal, als der Kontinent einen Kreditmarkt entfesselt hat.

Und ein zweiter Punkt: Die Bereitschaft, das Vorhaben notfalls nur mit „denen, die bereit sind" umzusetzen, ist bei einem Projekt, das ausdrücklich Marktfragmentierung beseitigen soll, ein Widerspruch, für den bisher niemand eine Auflösung angeboten hat.

Das Muster, das sich hier wiederholt

Wir haben in den letzten Wochen dreimal denselben Bauplan beschrieben, ohne ihn zu suchen. Bei der Plattformregulierung setzt der Gesetzgeber am Torwächter an, nicht am Nutzer. Bei CRD VI an der Bank, nicht am Kontoinhaber. Bei der Spar- und Investitionsunion an Bilanzregeln, Steuerrecht und Aufsicht, nicht am Sparer. Der Adressat trägt die Pflicht, der Bürger trägt die Folge, und in keinem Fall gibt es ein Verbot, gegen das sich klagen liesse.

Das ist keine Bosheit, es ist einfach die wirksamere Bauart. Ein Gebot an vierhundert Millionen Menschen ist unkontrollierbar. Eine geänderte Eigenkapitalanforderung für ein paar tausend beaufsichtigte Institute wirkt am nächsten Bilanzstichtag. Nur gehört die Debatte dann auch an die richtige Stelle — und nicht zu der Frage, ob jemand ans Sparbuch will.

Was noch offen ist

Eine Handlungsliste wäre an dieser Stelle unehrlich. Gegen einen Trilog über die Verbriefungsverordnung richtet ein einzelner Sparer nichts aus, und „legt euer Geld anders an" ist keine politische Antwort, sondern eine Anlageberatung, die wir nicht geben. Was wir stattdessen anbieten können, ist die Liste der Fragen, die derzeit unbeantwortet sind und an denen sich in den nächsten Monaten ablesen lässt, wohin das läuft.

• Kommt die Einigung vor Jahresende, und mit wie vielen Mitgliedstaaten? Der Satz „mit denen, die bereit sind" ist gefallen. Ob er eine Verhandlungsdrohung war oder ein Plan, entscheidet sich im Trilog.
• Wie weit werden die Sorgfaltspflichten am Ende tatsächlich gesenkt? Der Ausschussbeschluss des Parlaments vom 6. Mai 2026 hat den ursprünglichen Berichtsentwurf verändert; wie der Kompromiss aussieht, ist bis zum Abschluss offen.
• Welche Mitgliedstaaten folgen der Sparkonten-Empfehlung, und mit welchen Steuervorteilen? Hier entscheidet sich, ob das Vorhaben beim Bürger überhaupt ankommt. Eine Empfehlung ohne nationale Umsetzung ist ein Papier.
• Wo landet die Haltegrenze des digitalen Euro? Sie ist die einzige Zahl in diesem ganzen Themenfeld, die direkt bestimmt, wie viel Erspartes ein Bürger in Zentralbankgeld halten darf. Sie steht bis heute nirgends.
• Was passiert mit dem Finanzrahmen 2028 bis 2034? Fällt er deutlich kleiner aus, steigt der Druck, die Lücke privat zu schliessen. Das ist der Zusammenhang, den beide Seiten der Haushaltsdebatte ungern ausbuchstabieren.

Fazit: Wer auf den Zwang wartet, übersieht die Verschiebung

Die Spar- und Investitionsunion nimmt euch nichts weg. Sie kann es nicht, sie will es nicht, und sie hat dafür auch keine Rechtsgrundlage. Wer das behauptet, macht denselben Fehler wie bei der Zweigstellenpflicht für Drittstaatsbanken: Er sucht nach einem Verbot und übersieht dabei, dass moderne Regulierung überhaupt nicht mehr mit Verboten arbeitet.

Was tatsächlich geschieht, ist unspektakulärer und wirksamer. Die Bedingungen werden verschoben, unter denen Geld sich bewegt: Eigenkapitalregeln, Sorgfaltspflichten, Steuervorteile, Meldepflichten, Aufsichtszuständigkeiten. Niemand wird gezwungen. Es wird nur teurer, das eine zu tun, und billiger, das andere. Am Ende ändert sich, wo zehn Billionen Euro liegen, und keine einzige Person hat je eine Entscheidung getroffen, gegen die sie hätte klagen können.

Und die eigentliche Frage stellt sich erst danach. Solange Geld physisch existiert und in Geschäftsbanken liegt, braucht Lenkung Anreize — und Anreize kosten Verhandlungen, Kompromisse und Zeit. Sollte Geld eines Tages vollständig digital und zentral ausgegeben sein, wäre dieser Aufwand nicht mehr nötig. Das ist heute kein Plan, es ist keine Absicht, und es steht in keinem Dokument. Es ist nur die Eigenschaft eines Systems, das gerade gebaut wird. Wer wissen will, ob die Spar- und Investitionsunion gefährlich ist, sollte deshalb nicht auf sie schauen, sondern auf die Zahl, die irgendwann in einem Kommissionsrechtsakt festlegt, wie viele digitale Euro ihr besitzen dürft.

Quellen und weiterführende Links

• Europäische Kommission, SPEECH/26/1765: Rede von Präsidentin von der Leyen bei „La Rencontre des Entrepreneurs de France 2026", Paris, 27.08.2026
• Europäische Kommission: Spar- und Investitionsunion — bessere finanzielle Möglichkeiten, 19.03.2025
• Europäische Kommission, GD FISMA: Savings and Investments Union — Übersicht der Rechtsakte und Termine
• Europäische Kommission: Revitalising EU securitisation, Vorschlag vom 17.06.2025
• Europäische Kommission: Empfehlung zu Spar- und Investitionskonten, 30.09.2025
• Rat der Europäischen Union: Savings and investments union — Arbeitsstränge und Verfahrensstand
• Europäische Kommission: Vorschlag für den mehrjährigen Finanzrahmen 2028–2034, 16.07.2025
• Bundesministerium der Finanzen: Die Weiterentwicklung der europäischen Spar- und Investitionsunion, Monatsbericht Oktober 2025
• Wissenschaftlicher Dienst des Europäischen Parlaments: Savings and investments union — overview and state of play, 19.11.2025
• Orrick: European Parliament Finalises Securitisation Regulation and CRR Reform Proposals Ahead of Trilogue, Mai 2026
• taz: Streit um EU-Budget — Merz prescht mit „Gipfel der Geizigen" vor, 27.08.2026
• Berliner Zeitung: Von der Leyen — Europas Sparer sollen Investoren werden, 30.08.2026
• Europäische Zentralbank: Projektseite zum digitalen Euro

The post Spar- und Investitionsunion: Zwang braucht es nicht appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Harmloser, weil euch niemand etwas verbietet. Der Text adressiert Bankkunden mit keiner Silbe. Unangenehmer, weil das Ergebnis trotzdem dasselbe sein dürfte: Wer in der EU wohnt und ein Konto bei einer Bank ausserhalb des Europäischen Wirtschaftsraums hat, hat gute Aussichten, in den nächsten Monaten Post zu bekommen. Nicht aus Brüssel. Von seiner Bank.

Das ist dasselbe Muster wie vor einer Woche, nur spiegelverkehrt. Beim Digital Markets Act kostet das Fehlen einer Regel Schweizer Nutzer eine Wahl, weil Google freiwillig nichts mehr hergibt. Hier kostet das Vorhandensein einer Regel EU-Nutzer eine Wahl, weil Banken vorsorglich abwinken. Beide Male verschwindet eine Option, ohne dass jemand sie verboten hätte. Und beide Male lohnt es sich, genau hinzusehen, wer die Entscheidung eigentlich trifft — denn davon hängt ab, was ihr dagegen ausrichten könnt.

CRD VI und das Auslandskonto: was Artikel 21c wirklich regelt

CRD VI ist die sechste Fassung der europäischen Eigenkapitalrichtlinie für Banken. Sie ändert die bestehende Richtlinie 2013/36/EU und schiebt dort einen neuen Artikel 21c ein. Der Artikelwortlaut selbst lässt sich über EUR-Lex leider nicht bequem abrufen — die Datenbank liefert bei Rechtsakten dieser Grösse nur die Erwägungsgründe aus. Die sind für unsere Zwecke aber sogar besser, weil sie den Zweck in ganzen Sätzen benennen. Erwägungsgrund 5 lautet:

„Die Erbringung der in Anhang I Nummern 1, 2 und 6 der Richtlinie 2013/36/EU aufgeführten Kernbankdienstleistungen sollte von einer ausdrücklichen und harmonisierten Zulassungsanforderung im Unionsrecht abhängig gemacht werden, die besagt, dass in einem Drittland niedergelassene Unternehmen, die solche Kernbankdienstleistungen in der Union erbringen wollen, zumindest eine Zweigstelle in einem Mitgliedstaat errichten sollten und dass eine solche Zweigstelle nach dem Unionsrecht zugelassen sein muss, es sei denn, das Unternehmen beabsichtigt, Bankdienstleistungen in der Union über ein Tochterunternehmen zu erbringen."

Drei Dinge stehen da, und alle drei sind wichtig. Erstens: Adressat ist das „in einem Drittland niedergelassene Unternehmen", also die Bank. Zweitens: Es geht um Kernbankdienstleistungen, nicht um alles, was eine Bank tut. Gemeint sind die Nummern 1, 2 und 6 des Anhangs I — die Entgegennahme von Einlagen und anderen rückzahlbaren Geldern, die Kreditvergabe sowie Garantien und Zusagen. Drittens: Wer das in der EU anbieten will, braucht dort eine zugelassene Zweigstelle oder ein Tochterunternehmen.

„Drittstaat" heisst in diesem Zusammenhang schlicht: ausserhalb des Europäischen Wirtschaftsraums. Damit sind die USA gemeint, Grossbritannien, Singapur — und die Schweiz. Ein Institut in Zürich, Genf oder Zug ist gegenüber einem Kunden mit Wohnsitz in München oder Wien ein Drittstaatsinstitut im Sinne von Artikel 21c. Das ist der Grund, warum dieses europäische Gesetzgebungsverfahren auf einem Schweizer Blog steht.

Die Termine: 10. Januar 2026, 11. Juli 2026, 11. Januar 2027

Die Richtlinie musste bis zum 10. Januar 2026 in nationales Recht umgesetzt sein. Deutschland hat das mit dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz vom 29. Januar 2026 getan, das die neuen §§ 53c ff. KWG eingefügt hat — dort steht der Verweis auf Anhang I Nummern 1, 2 und 6 wörtlich im Gesetzestext. Irland war deutlich später dran und hat die Umsetzung erst am 10. Juli 2026 nachgereicht. Verlängert hat das nichts: Die Fristen der Richtlinie gelten europaweit unabhängig davon, wie pünktlich ein Mitgliedstaat war.

Angewendet wird die Zweigstellenpflicht ab dem 11. Januar 2027. Und es gibt einen zweiten Stichtag, der bereits verstrichen ist: Verträge, die vor dem 11. Juli 2026 geschlossen wurden, geniessen Bestandsschutz. Das ist der Grund, warum die Diskussion seit dem Sommer laut geworden ist — die Tür für neue Verträge unter altem Recht ist bereits zu.

Die vier Türen, die trotzdem offen bleiben

Wer nur Erwägungsgrund 5 liest, kommt tatsächlich zur Panikversion. Erwägungsgrund 6 ist derjenige, den die Aufregerartikel konsequent weglassen. Er beginnt mit einem Satz, der die ganze Zuspitzung erledigt:

„Die Inanspruchnahme von Bankdienstleistungen ausserhalb der Union, wie im Rahmen der Vereinbarung der Welthandelsorganisation über Verpflichtungen bei Finanzdienstleistungen, bleibt unberührt."

Übersetzt: Ihr dürft weiterhin ein Konto im Ausland haben. Was reguliert wird, ist nicht euer Zugriff nach draussen, sondern das aktive Angebot von draussen nach drinnen. Der Unterschied klingt nach Haarspalterei, ist aber der ganze Artikel — und er entscheidet darüber, ob ihr im Streitfall eine Rechtsposition habt oder keine.

Erste Tür: die Eigeninitiative des Kunden

Derselbe Erwägungsgrund nimmt Fälle aus, in denen sich „ein Kunde oder eine Gegenpartei ausschliesslich auf eigene Initiative an ein in einem Drittland niedergelassenes Unternehmen wendet, um die Erbringung von Bankdienstleistungen, einschliesslich ihrer Fortsetzung, zu erwirken". Im Fachjargon heisst das Reverse Solicitation, umgekehrte Kontaktaufnahme. Ausgenommen sind zusätzlich Bankdienstleistungen, „die eng mit den ursprünglich angefragten verbunden sind".

Zweite und dritte Tür: Interbank, Konzern und MiFID

Geschäfte zwischen Kreditinstituten und Geschäfte innerhalb einer Unternehmensgruppe fallen ebenfalls nicht unter die Zweigstellenpflicht. Und, für Privatkunden das Wichtigste: Wertpapierdienstleistungen nach Anhang I Abschnitt A der Richtlinie 2014/65/EU — kurz MiFID II — bleiben aussen vor. Das steht so ausdrücklich auch im deutschen Umsetzungsgesetz. Depotführung, Anlageberatung und Vermögensverwaltung aus Zürich für einen Kunden in Frankfurt sind damit nicht das Problem. Das reine Girokonto daneben schon.

Vierte Tür: Bestandsschutz für Altverträge

Verträge von vor dem 11. Juli 2026 bleiben geschützt. Das ist die grosszügigste der vier Türen und gleichzeitig die trügerischste, denn sie fällt zu, sobald sich am Vertrag etwas Wesentliches ändert. Die einschlägigen Kanzleianalysen nennen übereinstimmend Laufzeitverlängerungen, Erhöhungen von Kreditlinien, zusätzliche Auszahlungen und Novationen als solche wesentlichen Änderungen — Skadden und Arthur Cox etwa lesen den Punkt gleich. Eine Hypothek, die alle fünf Jahre prolongiert wird, ist damit nicht dauerhaft geschützt, sondern nur bis zur nächsten Verlängerung.

Warum die Ausnahmen dünner sind, als sie klingen

Vier Ausnahmen klingen nach viel Spielraum. In der Praxis sind sie es nicht, und zwar aus einem Grund, der im Gesetzestext gar nicht steht: Die Beweislast liegt bei der Bank. Wer sich auf die Eigeninitiative des Kunden beruft, muss belegen können, dass es tatsächlich der Kunde war, der angefangen hat — und dass ihn niemand aus dem Umfeld der Bank vorher angesprochen, beworben oder angeschrieben hat.

Wie das praktisch aussieht, beschreibt KPMG Law: dokumentierte Kundeninitiative für jeden Einzelfall, keine aktive Ansprache aus dem Drittstaat in die EU, saubere Trennung von Marketing, Vertrieb und Kundenbetreuung, dazu ein eigenes internes Regelwerk für den Umgang mit solchen Fällen. Ashurst formuliert die betriebswirtschaftliche Pointe daraus: Ein Geschäftsmodell, das allein auf umgekehrter Kontaktaufnahme aufbaut, ist nach dieser Richtlinie nicht vorgesehen. Anders gesagt — die Ausnahme ist als Ausnahme gemeint und nicht als Hintertür, und die Aufsicht wird sie auch so behandeln.

Dazu kommt ein Detail, das in der Debatte fast völlig untergeht: Eine Drittstaatszweigstelle bekommt keinen EU-Pass. Eine Zweigstelle in Frankfurt darf Kunden in Deutschland bedienen, nicht aber in Österreich, Frankreich und Italien gleich mit. Wer den europäischen Markt vollständig bedienen will, braucht entweder Zweigstellen in mehreren Mitgliedstaaten oder ein EU-Tochterunternehmen mit eigener Vollbanklizenz. Für eine Handvoll grosser Häuser ist das eine Rechenaufgabe. Für eine mittelgrosse Regionalbank mit dreihundert deutschen Kunden ist es keine.

Und die Zweigstelle ist auch kein Briefkasten. Die Europäische Bankenaufsichtsbehörde hat am 5. März 2026 den finalen Bericht zu den technischen Durchführungsstandards für die Aufsichtsmeldungen von Drittstaatszweigstellen vorgelegt: einheitliche Formate, gestufte Meldepflichten je nach Grösse und Komplexität, Daten auf Ebene der Zweigstelle und des Mutterinstituts. Erster Meldestichtag ist der 31. März 2027. Wer sich also fragt, warum eine Bank lieber kündigt als eine Zweigstelle eröffnet: Das hier ist die Antwort, in Tabellenform.

FATCA hat vorgeführt, wie das ausgeht

Der Mechanismus ist nicht neu, und es gibt einen Präzedenzfall, der auf europäischer Seite sogar amtlich dokumentiert ist. Der amerikanische Foreign Account Tax Compliance Act, kurz FATCA, hat US-Bürgern nie verboten, ein Konto in Europa zu führen. Er hat den Banken lediglich Meldepflichten auferlegt und sie für Verstösse haften lassen. Was daraus wurde, hat das Europäische Parlament in seiner Entschliessung vom 5. Juli 2018 in einem einzigen Satz zusammengefasst. Erwägung F stellt fest, dass Betroffene

„have their savings accounts frozen and are denied access to all banking services, including life insurance, pensions and mortgages, due to the reluctance of financial institutions to follow costly FATCA reporting"

Gesperrte Sparkonten, verweigerte Lebensversicherungen, verweigerte Hypotheken. Nicht wegen eines Verbots, sondern wegen der Unlust der Institute, teure Meldepflichten zu erfüllen. Erwägung E derselben Entschliessung hält zudem fest, die Kommission habe eingeräumt, FATCA und die zugehörigen zwischenstaatlichen Abkommen hätten „the unintended effect of hindering access to financial services in the EU" gehabt. Unbeabsichtigt, aber vorhersehbar.

Genau dieselbe Rechnung stellen jetzt Schweizer, britische und amerikanische Banken auf, nur mit vertauschten Rollen. Sie lautet nicht „dürfen wir noch?", sondern „lohnt es sich noch?". Und wenn ein Compliance-Abteilungsleiter zwischen einer dokumentierten Reverse-Solicitation-Akte für jeden einzelnen Kleinkunden und einem Kündigungsschreiben wählen darf, ist absehbar, wozu er raten wird. Der Fachdienst altii führt den Rückzug aus dem EU-Geschäft offen als dritte strategische Option neben Zweigstelle und Tochtergesellschaft — und hält fest, dass er beim Kunden als Kündigungsschreiben ankommt.

Was sich am 11. Januar 2027 tatsächlich ändert

Es lohnt, den Unterschied nüchtern nebeneinanderzulegen, weil beide Lager ihn übertreiben. Die Panikfraktion behauptet ein Verbot, das es nicht gibt. Die Beschwichtigungsfraktion — meist Beratungshäuser, die am Umsetzungsprojekt mitverdienen — behauptet, für Privatkunden ändere sich praktisch nichts. Beides stimmt nicht.

Was verschwindet, ist die Selbstverständlichkeit. Bis jetzt konnte eine Bank in Zürich einen deutschen Privatkunden betreuen, ohne dass jemand nach einer Zulassung gefragt hätte — in mehreren Mitgliedstaaten gab es dafür nationale Freistellungen, die genau das erlaubten. Ab dem 11. Januar 2027 ist der Vorgang begründungspflichtig, dokumentationspflichtig und aufsichtsrelevant. Das ist kein Verbot. Es ist eine Verteuerung, und Verteuerungen wirken bei kleinen Kunden zuerst.

Der EWR schrumpft nicht, nur der Raum ausserhalb

Eine Einschränkung gehört an dieser Stelle unbedingt dazu, weil sie in den Aufregerartikeln fehlt: Innerhalb des Europäischen Wirtschaftsraums ändert sich gar nichts. Ein Konto in Österreich, Luxemburg, Irland, den Niederlanden oder Liechtenstein ist von Artikel 21c nicht betroffen, weil dort keine Drittstaatsinstitute sitzen. Wer aus Diversifikationsgründen ein zweites Konto ausserhalb seines Heimatlands möchte, kann das weiterhin problemlos tun.

Was schrumpft, ist der Raum ausserhalb — und damit ausgerechnet der Teil, der als Rückversicherung gegen eine europäische Fehlentwicklung gedacht wäre. Wer ein Konto in der Schweiz hält, weil er den europäischen Institutionen nicht über den Weg traut, verliert genau die Absicherung, die er meinte. Wer eines in Luxemburg hält, verliert nichts. Das ist keine Nebenwirkung, es ist die Logik der Sache: Ein Binnenmarkt schützt seinen Rand, nicht seine Ausgänge.

Die Gegenposition — und warum sie nur zur Hälfte trägt

Das beste Argument für Artikel 21c ist kein europapolitisches, sondern ein aufsichtsrechtliches, und es ist ernst zu nehmen. Bis jetzt konnte ein Institut, das keiner europäischen Aufsicht untersteht, in Europa Einlagen einsammeln und Kredite vergeben, ohne dass irgendeine Behörde wusste, in welchem Umfang. Es gab keine einheitliche Meldung, keinen Überblick über die Risiken, und im Fall einer Schieflage keine europäische Einlagensicherung, auf die sich ein Kunde hätte berufen können. Der Kunde trug ein Risiko, das er in aller Regel nicht kannte. Dass eine Aufsichtsbehörde das nicht dauerhaft hinnehmen will, ist nachvollziehbar.

Auch das zweite Argument stimmt: Eine europäische Bank musste sich seit Jahren an Eigenkapitalvorschriften, Meldepflichten und Sanierungsplanung halten, während ein Institut aus einem Drittstaat dieselben Kunden ohne diese Kosten bedienen durfte. Das ist ein Wettbewerbsvorteil, für den es keine sachliche Begründung gibt.

Nur geht die Rechnung eben nur auf, wenn die Zweigstelle am Ende auch entsteht. Ein Aufsichtsregime, das dazu führt, dass die beaufsichtigte Tätigkeit gar nicht mehr stattfindet, hat kein Risiko beseitigt, sondern eine Wahlmöglichkeit. Die Aufsicht bekommt saubere Meldebögen über ein Geschäft, das es nicht mehr gibt. Und der Kunde, dem die Aufsicht das Risiko ersparen wollte, bekommt ein Kündigungsschreiben und die Empfehlung, sich an ein europäisches Institut zu wenden — dessen Konditionen, Datenweitergabe und Gebühren er sich nicht ausgesucht hat. Schutz, den niemand ablehnen kann, ist selten Schutz.

Der Zusammenhang mit dem digitalen Euro — und wo er aufhört

Es liegt nahe, Artikel 21c in dieselbe Reihe zu stellen wie den digitalen Euro, das geplante Vermögensregister und die europaweite Bargeldobergrenze, die wir im grossen EU-Kommentar auseinandergenommen haben. Und ein Zusammenhang besteht durchaus, aber ein anderer als der gern behauptete. Es gibt keinen Beleg dafür, dass CRD VI als Kapitalverkehrskontrolle gemeint wäre; die Richtlinie ist ein Bankenaufsichtsprojekt und liest sich auch so. Wer ihr eine verdeckte Absicht unterstellt, muss das belegen, und diesen Beleg hat bislang niemand geliefert.

Der tatsächliche Zusammenhang ist struktureller Art: Es ist derselbe Vorgang, wie er beim digitalen Euro bei der Haltegrenze auftritt. Eine Regel wird nicht deshalb gefährlich, weil sie euch etwas verbietet, sondern weil sie an einer Stelle ansetzt, an der ihr nicht sitzt. Beim digitalen Euro entscheidet eine Verordnung über die Obergrenze, nicht ihr. Bei Artikel 21c entscheidet die Risikoabwägung einer Bank über euren Zugang, nicht ihr. In beiden Fällen ist die Instanz, die tatsächlich entscheidet, für euch nicht erreichbar.

Der naheliegende Kurzschluss lautet an dieser Stelle: also Bitcoin. Der ist nur zur Hälfte richtig, und die falsche Hälfte kostet Geld. Selbstverwahrtes Geld löst tatsächlich das Problem, dass ein Vermittler eure Guthaben kündigen kann — niemand kann eine Wallet schliessen, deren Schlüssel er nicht hat. Es löst aber nicht das Problem, das ein Auslandskonto löst: Miete zahlen, Gehalt empfangen, eine Lastschrift einziehen lassen, in einer zweiten Währung liquide sein. Wer Bitcoin als Ersatz für ein Girokonto verkauft, verkauft eine Bohrmaschine als Regenschirm. Als Ergänzung, die niemand kündigen kann, ist die Sache dagegen ein sehr ernsthaftes Argument — dann aber bitte mit einem Blick darauf, was KYC und Pseudo-No-KYC in der Praxis wirklich leisten.

Was das für euch heisst

Gegen eine europäische Richtlinie, deren Umsetzungsfrist im Januar 2026 abgelaufen ist, richtet ein einzelner Kontoinhaber nichts mehr aus. Eine Handlungsliste wäre hier gelogen. Was ihr stattdessen habt, ist eine Lage, die sich einordnen lässt — und ein paar Unterschiede, die im Ernstfall zählen.

Ihr seid nur mittelbar betroffen, aber ihr seid es. Der Gesetzestext richtet sich nicht an euch. Das Kündigungsschreiben, das ihr eventuell bekommt, kommt trotzdem. Es ist die Entscheidung eurer Bank, nicht die Anordnung eines Gesetzgebers — genau deshalb ist sie auch verhandelbar, während ein Verbot es nicht wäre.

Das Datum eures Vertrags entscheidet mit. Wer vor dem 11. Juli 2026 abgeschlossen hat, steht anders da als jemand, der danach abgeschlossen hat. Ob der Bestandsschutz im konkreten Fall greift und was als wesentliche Vertragsänderung gilt, ist eine Rechtsfrage — dieser Artikel ist Journalismus und keine Rechtsberatung, und wo es um eine laufende Finanzierung geht, gehört die Frage einem Anwalt vorgelegt und nicht einem Blog.

Depot und Girokonto sind rechtlich zwei verschiedene Dinge. Die MiFID-Ausnahme trägt Wertpapierdienstleistungen weiter, das reine Zahlungsverkehrskonto daneben nicht. Wer beides bei derselben Auslandsbank hat, sollte damit rechnen, dass die Bank die beiden Teile unterschiedlich behandelt.

Innerhalb des EWR bleibt alles, wie es war. Wer Streuung will und nicht Distanz zu Brüssel, hat weiterhin die volle Auswahl.

Die nächsten Termine stehen fest. Am 11. Januar 2027 greift die Zweigstellenpflicht, am 31. März 2027 ist der erste Meldestichtag der EBA-Standards. Zwischen heute und dem Januar entscheiden die Institute, ob sie bleiben oder gehen. Diese Entscheidungen werden nicht in Brüssel verkündet, sondern in Serienbriefen — es lohnt sich, Post von der Bank in dieser Zeit tatsächlich zu lesen.

Fazit: Die Option verschwindet, ohne dass jemand sie verbietet

Artikel 21c CRD VI verbietet euch kein Auslandskonto, und wer das behauptet, hat die Richtlinie nicht gelesen oder verkauft nebenbei Beratung. Erwägungsgrund 6 stellt ausdrücklich klar, dass die Inanspruchnahme von Bankdienstleistungen ausserhalb der Union unberührt bleibt. Diese Klarstellung ist keine Formalie: Solange es die Entscheidung der Bank ist und kein Verbot, habt ihr eine Position — Bestandsschutz, Eigeninitiative, MiFID-Depot, im Zweifel ein Gespräch. Bei einem echten Verbot hättet ihr nichts davon.

Und trotzdem trifft es am Ende die Nutzer. Nicht weil ein Gesetzgeber es angeordnet hätte, sondern weil eine Regel, die einen Vermittler teuer und haftbar macht, diesen Vermittler zuverlässig dazu bringt, die unrentablen Kunden abzustossen. FATCA hat das vorgeführt, das Europäische Parlament hat es 2018 protokolliert, und die Erkenntnis ist offenbar in keine Folgenabschätzung eingeflossen. Der Unterschied zwischen „verboten" und „nicht mehr angeboten" ist juristisch riesig und im Alltag gleich null.

Das ist die eigentliche Lehre, und sie geht über das Bankwesen hinaus. Wirksame Einschränkungen kommen inzwischen selten als Verbot. Sie kommen als Auflage an denjenigen, der euch bedient — als Verifizierungspflicht für App-Entwickler, als Prüfpflicht für Plattformen, als Zulassungspflicht für Banken. Der Adressat trägt das Risiko, ihr tragt die Folge, und im Gesetzestext steht euer Name nirgends. Wer nur nach Verboten sucht, wird die nächsten zehn Jahre nichts finden und trotzdem immer weniger dürfen.

Quellen und weiterführende Links

• Richtlinie (EU) 2024/1619 (CRD VI), EUR-Lex — Erwägungsgründe 5 und 6 zur Zweigstellenpflicht und den Ausnahmen
• § 53c KWG — die deutsche Umsetzung mit dem Verweis auf Anhang I Nummern 1, 2 und 6
• CMS zur deutschen Umsetzung — Bankenrichtlinienumsetzungsgesetz vom 29. Januar 2026, §§ 53c und 53cc KWG
• EBA, Pressemitteilung vom 5. März 2026 — Durchführungsstandards für die Meldungen von Drittstaatszweigstellen, erster Stichtag 31. März 2027
• Entschliessung des Europäischen Parlaments vom 5. Juli 2018 zu FATCA — Erwägungen E und F zu gesperrten Konten und verweigerten Bankdienstleistungen
• Skadden, CRD VI: What US Banks Need to Know — Stichtage, Ausnahmen, wesentliche Vertragsänderungen
• Arthur Cox zu Artikel 21c — Kerndienstleistungen und der Begriff der umgekehrten Kontaktaufnahme
• William Fry zur irischen Umsetzung — verspätete Umsetzung am 10. Juli 2026 ohne Verlängerung der Fristen
• Ashurst zu Drittstaatszweigstellen — Beweislast und Grenzen der Reverse-Solicitation-Ausnahme
• KPMG Law zu den verbleibenden Wegen — Dokumentationspflichten und Meldefrequenzen der Zweigstellenklassen
• Latham & Watkins zur Kreditvergabe an EU-Kreditnehmer — Auswirkungen der Zulassungspflicht auf Finanzierungen
• altii zum Ende der Freistellung — Folgen für Privatkunden, MiFID-Abgrenzung und die Rückzugsoption der Banken

The post CRD VI Auslandskonto: verboten wird gar nichts appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Der Digital Markets Act gilt in der Schweiz nicht. Das ist bekannt. Weniger bekannt ist, was daraus praktisch folgt und wie wenig die Schweiz dagegen in der Hand hat — auch nicht mit den zwei grossen Regulierungsvorhaben, die derzeit laufen. Beide gehen an der Sache vorbei, und zwar nicht aus Versehen.

Was der Digital Markets Act vorschreibt — und was er mit dem DSA nicht zu tun hat

Brüssel hat 2022 zwei Verordnungen beschlossen, die gerne in einem Atemzug genannt und dabei regelmässig verwechselt werden. Der Digital Services Act regelt, was auf Plattformen gesagt und gelöscht werden darf, mit Meldewegen, Moderationspflichten und Trusted Flaggern. Wir haben ihn hier ausführlich und nicht wohlwollend behandelt. Der Digital Markets Act regelt etwas völlig anderes: nicht Inhalte, sondern Marktmacht.

Er benennt eine Handvoll Konzerne als Torwächter und legt ihnen Pflichten auf, die vorher gelten und nicht erst nach jahrelangen Verfahren. Die Kommission fasst sie so zusammen: Torwächter dürfen ihre eigenen Dienste im Ranking nicht bevorzugen, dürfen Nutzer nicht daran hindern, vorinstallierte Software zu deinstallieren, müssen Dritten in bestimmten Fällen Interoperabilität gewähren und müssen Geschäftskunden erlauben, ihre Angebote auch ausserhalb der Plattform zu bewerben. Dazu kommt die Pflicht, Endnutzer bei der ersten Nutzung aktiv wählen zu lassen, welche Suchmaschine, welchen Browser und welchen Sprachassistenten sie wollen, statt ihnen eine Voreinstellung unterzuschieben. Genau das ist der Auswahlbildschirm, den es in der Schweiz seit diesem Sommer nicht mehr gibt.

Der Unterschied zwischen den beiden Verordnungen ist kein juristisches Detail. Der DSA greift in die Rede ein, der DMA in den Markt. Wer beide für dasselbe hält, kann nicht erklären, warum sich das eine ablehnen und das andere trotzdem vermissen lässt.

890 Millionen Euro und 60 Tage: so sieht Durchsetzung im DMA aus

Der Bussenentscheid vom 23. Juli 2026 zerfällt in zwei Teile. 460 Millionen Euro entfallen auf Selbstbevorzugung in der Google-Suche: Google zeigt eigene Dienste prominenter an, «including at the top of the search results page or by using enhanced visuals and filters». 430 Millionen Euro entfallen auf Google Play, weil App-Entwickler ihre Kunden nicht auf «alternative, often cheaper, purchase channels» hinweisen durften und die Gebühren für solche Verweise überhöht waren. Die Pressemitteilung der Kommission hält fest: «Google is required to comply with the Commission's decisions within 60 days.» Danach drohen Zwangsgelder von bis zu fünf Prozent des weltweiten Tagesumsatzes.

Rechnet nach: 60 Tage ab dem 23. Juli endet am 21. September 2026. Bis dahin muss Google die Suchergebnisseite umgebaut haben, oder es wird teuer. Das ist der entscheidende Punkt an diesem Instrument — nicht die Höhe der Busse, sondern die Uhr, die mit ihr zu laufen beginnt.

Der Auswahlbildschirm verschwand, kaum war das Urteil rechtskräftig

Die Vorgeschichte reicht acht Jahre zurück. 2018 verhängte die Kommission gegen Google eine Busse wegen missbräuchlicher Praktiken rund um Android. Der Streit ging durch alle Instanzen und endete am 2. Juli 2026: Der Gerichtshof der Europäischen Union wies das Rechtsmittel in der Rechtssache C-738/22 P ab und bestätigte 4'125'000'000 Euro, davon 1'520'605'895 Euro solidarisch für Alphabet. Beanstandet wurden Vorinstallationsvereinbarungen, Anti-Fragmentierungsklauseln und Umsatzbeteiligungen, die daran hingen, keinen konkurrierenden Suchdienst vorzuinstallieren.

Zwölf Tage nach diesem Urteil meldete das WEKO-Sekretariat, Google habe den Auswahlbildschirm in der Schweiz abgeschafft, während er im Europäischen Wirtschaftsraum weiter besteht. Schweizer Nutzer bekommen bei der Ersteinrichtung keinen Auswahlbildschirm mehr, Google Search ist gesetzt. Ob zwischen dem Urteil und der Abschaffung ein Zusammenhang besteht, hat Google öffentlich nicht erklärt, und wir behaupten es nicht. Die Reihenfolge steht trotzdem fest, und sie ist bemerkenswert: Sobald die europäische Pflicht endgültig geklärt war, verschwand die Wahlmöglichkeit dort, wo keine Pflicht besteht.

Das ist die praktische Bedeutung eines fehlenden Gesetzes. Freiwilligkeit hält genau so lange, wie sie nichts kostet.

Eine Vorabklärung kann gar keine Busse aussprechen

Ein Teil der Berichterstattung im Juli sprach von einer «Untersuchung gegen Google». Das trifft nicht zu, und der Unterschied ist erheblich. Das Sekretariat hat eine Vorabklärung eröffnet. Was das ist, beschreibt die WEKO in ihrem eigenen Merkblatt zum Ablauf einer Vorabklärung mit erfrischender Klarheit.

Zur Frage, ob am Ende eine Sanktion stehen kann, heisst es dort: «Nein. In der Vorabklärung wird nicht abschliessend beurteilt, ob das Verhalten zulässig oder unzulässig ist. Folglich können weder das Sekretariat noch die WEKO eine Geldsanktion aussprechen.» Zur Dauer: «Die Dauer einer Vorabklärung ist je nach Einzelfall ganz verschieden; sie kann von mehreren Monaten bis zu gut über einem Jahr dauern.» Und zum Ausgang: Sie kann folgenlos eingestellt werden, in einer einvernehmlichen Verhaltensanpassung enden oder in eine förmliche Untersuchung nach Art. 27 ff. Kartellgesetz münden — die dann ihrerseits Jahre dauert.

Stellt das neben die 60 Tage aus Brüssel. Auf der einen Seite ein Verfahren mit Frist, Busse und Zwangsgeld. Auf der anderen ein Vorverfahren ohne Frist, ohne Sanktionsmöglichkeit und mit offenem Ausgang, das schon vom Namen her nur klärt, ob überhaupt ein Verfahren zu eröffnen wäre. Das ist kein Vorwurf an die WEKO. Sie tut, was ihr das Gesetz erlaubt. Das Gesetz erlaubt nur wenig.

Kartellrecht kommt hinterher, der DMA kommt vorher

Hier liegt der strukturelle Kern. Kartellrecht arbeitet im Nachhinein: Ein Unternehmen verhält sich, eine Behörde stellt Jahre später fest, ob das zulässig war. Der Android-Fall ist das Lehrstück dazu — acht Jahre von der Kommissionsentscheidung bis zur Rechtskraft, und in dieser Zeit hat sich das beanstandete Geschäftsmodell längst weiterentwickelt.

Der DMA dreht das um. Er stellt keine Missbrauchsfrage, sondern eine Statusfrage: Wer als Torwächter benannt ist, muss bestimmte Dinge tun und andere lassen, unabhängig davon, ob im Einzelfall ein Missbrauch nachweisbar wäre. Deshalb dauert die Durchsetzung Monate statt Jahre. Das lässt sich als gefährliche Machtverschiebung zugunsten der Kommission lesen — dieses Argument nehmen wir ernst und kommen darauf zurück. Es funktioniert aber nachweislich dort, wo Kartellrecht seit zwei Jahrzehnten nicht mehr rechtzeitig ankommt.

Die Schweiz hat 2022 immerhin einen Schritt in diese Richtung getan: Seit dem 1. Januar 2022 kennt das Kartellgesetz in Art. 4 Abs. 2bis und Art. 7 den Begriff der relativen Marktmacht. Sie liegt laut dem Merkblatt der WEKO vor, wenn «Nachfrager und Nachfragerinnen oder Anbieter und Anbieterinnen von Waren und Dienstleistungen mangels angemessener Alternativen von einem Unternehmen abhängig sind». Das klingt zunächst brauchbar. Nur steht im selben Merkblatt der entscheidende Satz: «Auf die Vorschriften zur relativen Marktmacht können sich Unternehmen im Sinne des Kartellgesetzes berufen» — Konsumenten ausdrücklich nicht. Wer als Privatperson keinen Auswahlbildschirm mehr bekommt, hat aus diesem Instrument nichts.

Die Kartellgesetz-Revision regelt Fusionen, nicht Plattformen

Das Kartellgesetz wird gerade revidiert, und wer nun hofft, dort komme die Antwort auf die Plattformfrage, wird enttäuscht. Das Parlament hat die Teilrevision am 19. Dezember 2025 verabschiedet. Am 27. Mai 2026 hat der Bundesrat die Vernehmlassung zu den Ausführungsverordnungen eröffnet, die noch bis zum 17. September 2026 läuft. Umgesetzt wird laut Mitteilung «die vom Parlament beschlossene Gesetzesrevision im Hinblick auf die neue Zusammenschlusskontrolle, Parteienentschädigungen, das angepasste Widerspruchsverfahren und die Compliance Defense».

Das sind vernünftige Anliegen. Ein neuer Prüfmassstab für Unternehmenszusammenschlüsse, ein entschärftes Widerspruchsverfahren, eine Anrechnung von Compliance-Anstrengungen. Digitale Plattformen, Selbstbevorzugung, Interoperabilität oder Voreinstellungen kommen darin nicht vor. Die Revision modernisiert das Werkzeug, das ohnehin erst nach dem Schaden greift. Sie schafft kein Werkzeug, das vorher greift.

Das KomPG holt eine Hälfte der EU-Regulierung — die falsche

Das zweite grosse Vorhaben ist das Bundesgesetz über Kommunikationsplattformen und Suchmaschinen, kurz KomPG. Der Bundesrat hat den Vorentwurf am 29. Oktober 2025 in die Vernehmlassung geschickt, die Frist lief bis zum 16. Februar 2026. Erfasst werden «sehr grosse Kommunikationsplattformen und Suchmaschinen, weil diese aufgrund ihrer Reichweite die öffentliche Debatte und Meinungsbildung stark beeinflussen». Als sehr gross gilt, wer «monatlich durchschnittlich von zehn Prozent der ständigen Schweizer Wohnbevölkerung genutzt» wird, also rund 900'000 Nutzer.

Und was verlangt das Gesetz von diesen Diensten? Ein Meldeverfahren für mutmasslich rechtswidrige Inhalte. Eine Begründungspflicht bei Löschungen und Kontosperrungen. Ein internes Beschwerdeverfahren und aussergerichtliche Streitbeilegung. Transparenzvorgaben für Werbung und Empfehlungssysteme. Ein öffentliches Werbearchiv. Datenzugang für Verwaltung und Forschung. Eine Rechtsvertretung in der Schweiz.

Das ist, Punkt für Punkt, die Logik des Digital Services Act. Es ist die Regulierung der Rede. Von Selbstbevorzugung, Auswahlbildschirmen, Deinstallierbarkeit, alternativen App-Kanälen oder Interoperabilität steht nichts drin — nicht in abgeschwächter Form, sondern gar nicht. Die Schweiz übernimmt in eigener Fassung genau jenen Teil der europäischen Plattformregulierung, den auch wir hier für gefährlich halten, und lässt jenen Teil weg, der Nutzern Wahlmöglichkeiten zurückgibt.

In der Vernehmlassung wurde der Entwurf breit kritisiert, allerdings fast durchweg entlang der DSA-Achse. AlgorithmWatch CH fordert vier Ergänzungen, darunter, generative KI dort zu erfassen, «wo sie als Suchmaschinen oder Social-Media-Plattformen genutzt» wird, und eine Pflicht zur Risikominderung. Die Digitale Gesellschaft hält fest, «der zweite Teil – die Pflicht zu Risikominderungsmassnahmen – freiwillig» bleibe, und nennt die Werberegulierung «viel zu zahnlos». Beides sind berechtigte Einwände. Nur verhandelt auch diese Kritik über Moderation und Transparenz. Die Frage, warum die Vorlage kein einziges marktöffnendes Element enthält, hat in der Debatte kaum jemand gestellt.

Was Schweizer Nutzer heute schon nicht bekommen

Das bleibt abstrakt, solange es nicht auf konkrete Geräte heruntergebrochen ist. Also konkret. Apple beschreibt auf seiner eigenen Entwicklerseite, welche Änderungen der DMA ausgelöst hat: alternative App-Marktplätze und Web-Distribution, Frameworks für andere Browser-Engines als WebKit, ein Auswahlbildschirm für den Standardbrowser, NFC-Zugriff für Drittanbieter. Und dazu den Geltungsbereich: «The changes are available for developers who distribute apps in any of the 27 EU member countries and only apply to apps available and distributed to users in the EU.» Die Schweiz kommt in dem Dokument nicht vor.

Noch deutlicher steht es in Apples Support-Artikel zu alternativen App-Marktplätzen, in der Schweizer Fassung: «Alternative App-Anbieter sind in Brasilien, Japan und den Ländern bzw. Regionen der Europäischen Union verfügbar.» Wer sie nutzen will, dessen Apple-Konto muss auf ein solches Land eingestellt sein, und er muss sich physisch dort aufhalten. Die Schweiz steht nicht auf dieser Liste. Ein iPhone in Zürich installiert keine Apps ausserhalb des App Store, ein iPhone in Konstanz schon. Der Unterschied ist nicht technisch. Er ist rechtlich — und Apple erklärt ihn Schweizer Nutzern auf einer Seite, die ausdrücklich für sie geschrieben ist.

Dasselbe Muster bei Messengern. Meta hat im November 2025 Drittanbieter-Chats für WhatsApp angekündigt und schreibt dazu unmissverständlich: «The DMA requires Meta to give people using WhatsApp in Europe the option to connect with people using third-party messaging services», verfügbar «in line with DMA requirements» für Nutzer in der «European Region». Ob und wann Schweizer Konten dazugehören, sagt Meta in dieser Mitteilung nicht — was für sich genommen schon die Antwort ist, denn die Pflicht endet an der Grenze des Geltungsbereichs.

Drei Beispiele, ein Mechanismus: Wo eine Pflicht besteht, öffnen die Konzerne. Wo keine besteht, öffnen sie nicht, oder sie schliessen wieder.

Japan hat gezeigt, dass es auch ohne Brüssel geht

An dieser Stelle kommt üblicherweise der Einwand, die Schweiz könne eben nicht anders, weil sie nicht in der EU sei und keinen Binnenmarkt von 450 Millionen Menschen in die Waagschale werfe. Japan widerlegt das.

Japan hat mit dem Mobile Software Competition Act ein eigenes Gesetz geschrieben, dessen Leitlinien die Wettbewerbsbehörde JFTC im Juli 2025 veröffentlicht hat. In Kraft ist es seit dem 17. Dezember 2025. Google hat am selben Tag in seinem eigenen Unternehmensblog mitgeteilt, was das bedeutet: «Under the MSCA, we will show choice screens that prompt you to select a search engine and browser.» Dazu alternative Bezahloptionen für Entwickler und Käufe digitaler Inhalte ausserhalb von Google Play.

Lest den Satz noch einmal. «Under the MSCA» — wegen des Gesetzes. Nicht wegen Kundenwünschen, nicht wegen Marktdruck, nicht aus Einsicht. Und deshalb steht Japan heute in Apples Länderliste für alternative App-Marktplätze neben der EU und Brasilien, während die Schweiz fehlt. Japan hat 124 Millionen Einwohner, die Schweiz neun. Der Grössenunterschied ist real. Aber die Behauptung, ein Land ausserhalb der EU könne in dieser Frage grundsätzlich nichts ausrichten, ist damit widerlegt. Es ist eine Frage des politischen Willens, nicht der Grösse.

Die Gegenposition: Braucht die Schweiz das wirklich?

Gegen einen schweizerischen DMA lassen sich drei ernstzunehmende Argumente vorbringen, und sie verdienen eine Antwort statt eines Achselzuckens.

Erstens: Das Kartellgesetz reicht. Die WEKO ist tätig geworden, das Verfahren läuft, abwarten genügt. Der Einwand scheitert an den eigenen Unterlagen der Behörde. Eine Vorabklärung kann laut ihrem Merkblatt keine Sanktion aussprechen, hat keine Frist und kann folgenlos eingestellt werden. Selbst im günstigsten Fall — Untersuchung, Verfügung, Beschwerde ans Bundesverwaltungsgericht, Weiterzug ans Bundesgericht — reden wir über Jahre. Der Auswahlbildschirm ist inzwischen weg. Recht, das erst nach dem Ende des beanstandeten Verhaltens ankommt, ist für die Betroffenen kein Recht, sondern Statistik.

Zweitens: Regulierung schadet dem Standort. Auch dieses Argument hat Substanz — nur trifft es hier den Falschen. Die Adressaten des DMA sind sechs bis acht Konzerne mit weltweiter Marktmacht, kein Schweizer KMU. Und die Schweiz reguliert ohnehin bereits, das KomPG liegt vor. Zur Debatte steht nicht, ob reguliert wird, sondern was. Wer Regulierung grundsätzlich ablehnt, müsste konsequenterweise auch gegen das KomPG sein, das Plattformen Moderations- und Berichtspflichten auferlegt. Wer das KomPG für nötig hält, aber marktöffnende Pflichten für Teufelszeug, hat sich für die eingriffsintensivere Hälfte entschieden.

Drittens: Das wäre autonomer Nachvollzug und damit EU-Hörigkeit. Das ist der stärkste Einwand, und er verdient Respekt. Die Antwort steht im vorigen Abschnitt: Japan hat kein EU-Recht nachvollzogen, sondern ein eigenes Gesetz mit eigenen Kriterien und einer eigenen Behörde geschrieben. Ein schweizerischer Ansatz müsste den DMA nicht kopieren. Er müsste nur überhaupt existieren.

Wer die EU kritisiert, muss beim DMA trotzdem genau hinsehen

An dieser Stelle ist eine Selbstauskunft fällig, denn dieser Blog ist in EU-Fragen alles andere als unverdächtig. Wir haben die Chatkontrolle, die Altersverifikation, den digitalen Euro und den DSA scharf angegriffen und in einem eigenen Kommentar die These vertreten, dass dieser Apparat Demokratie als Fremdwort behandelt. An keinem Wort davon ist etwas zurückzunehmen.

Trotzdem gilt: Der DMA ist nicht der DSA. Der eine gibt der Kommission Zugriff darauf, was gesagt werden darf. Der andere zwingt Konzerne, Nutzern eine Wahl zu lassen, die sie ihnen sonst nehmen. Das eine lässt sich bekämpfen und das andere für richtig halten, ohne inkonsequent zu sein — vorausgesetzt, die Unterscheidung läuft nach Wirkung und nicht nach Absender. Die berechtigte Sorge bleibt, dass eine Behörde, die Marktstrukturen per Verordnung setzt, dieselbe Macht später anders einsetzt. Deshalb ist die entscheidende Frage an ein schweizerisches Pendant nicht, ob es kommt, sondern wer es durchsetzt und mit welcher gerichtlichen Kontrolle. Diese Frage wird derzeit gar nicht gestellt, weil das Thema nicht auf der Traktandenliste steht.

Das ist der eigentliche Befund dieses Sommers. Nicht, dass die Schweiz die falsche Antwort gegeben hätte. Sondern dass sie die Frage nicht stellt, während im selben Monat 890 Millionen Euro Busse, ein 60-Tage-Ultimatum und ein stillschweigend entfernter Auswahlbildschirm zeigen, worum es geht. Der Kommentar zur Kampagne Keep Android Open hat vor einem halben Jahr beschrieben, wie sich das Ökosystem schliesst. Der fehlende DMA ist der Grund, warum die Schweiz dabei nicht einmal zusieht, sondern schlicht nicht vorkommt.

Was ihr tun könnt

Politisch ist die Lage unbefriedigend, praktisch könnt ihr trotzdem einiges selbst in die Hand nehmen.

• Standardsuchmaschine von Hand setzen. Der fehlende Auswahlbildschirm nimmt euch nur die Frage ab, nicht die Möglichkeit. In Chrome unter Einstellungen, Suchmaschine, und in Firefox unter Einstellungen, Suchen lässt sich der Standard weiterhin ändern. Welche Anbieter dafür taugen, haben wir in unserer Übersicht zu den Alternativen zur Google-Suche zusammengestellt.
• App-Bezug vom Play Store lösen. Was der DMA in der EU erzwingt, könnt ihr euch in der Schweiz selbst bauen. Obtainium holt Apps direkt von den Release-Seiten der Entwickler, und die alternativen App-Stores decken den Rest ab. Wer weiter gehen will, findet im GrapheneOS-Einsteiger-Guide den Weg zu einem System, das gar nicht erst voreinstellt.
• An der laufenden Vernehmlassung teilnehmen. Die Verordnungen zum revidierten Kartellgesetz stehen noch bis zum 17. September 2026 offen. Stellungnahmen sind nicht Verbänden vorbehalten; jede Person und jede Organisation kann eine einreichen. Wer festhält, dass die Vorlage digitale Torwächter nicht erfasst, bringt diese Lücke wenigstens ins Protokoll.
• Der WEKO Sachverhalte melden. Das Sekretariat wird auch auf Hinweise Dritter tätig. Wer den Wegfall des Auswahlbildschirms auf einem konkreten Gerät dokumentiert hat, mit Modell, Datum und Screenshot, liefert brauchbares Material. Für Unternehmen gibt es zusätzlich das Meldeformular zur relativen Marktmacht — Privatpersonen können sich auf diese Bestimmung nicht berufen, Hinweise geben aber sehr wohl.
• Beim Gerätekauf mitdenken. Wenn Öffnung an Rechtsräumen hängt, ist die Plattformwahl eine politische Entscheidung. Ein Android-Gerät mit entsperrbarem Bootloader lässt euch Alternativen offen. Ein Gerät, das Software ausschliesslich aus einem Store des Herstellers annimmt, überlässt eure Wahlfreiheit einer Rechtsordnung, in der ihr nicht wohnt.

Fazit: Die Schweiz reguliert die Rede und lässt den Markt laufen

Es gibt in der schweizerischen Digitalpolitik derzeit zwei grosse Baustellen. Das KomPG regelt, wie Plattformen mit Inhalten umgehen müssen. Die Kartellgesetz-Revision regelt Unternehmenszusammenschlüsse. Beides ist begründbar. Beides hilft niemandem, dem Google im Juli die Suchmaschinenauswahl weggenommen hat.

Die Schweiz hat sich damit, ohne dass es je zur Debatte stand, für die eingriffsintensive Hälfte der europäischen Plattformregulierung entschieden und gegen die befreiende. Sie übernimmt Meldeverfahren, Löschbegründungen und Werbearchive nach dem Muster des DSA — und lässt Selbstbevorzugung, Voreinstellungen, Interoperabilität und alternative Vertriebswege unberührt. Das Ergebnis ist ein Land, in dem Konzerne sagen müssen, warum sie einen Beitrag gelöscht haben, aber niemandem erklären müssen, warum sie eine Wahlmöglichkeit gestrichen haben.

Am 21. September läuft in Brüssel die Frist für Google ab. In Bern läuft am 17. September die Vernehmlassung zu Verordnungen aus, in denen digitale Plattformen nicht vorkommen. Zwei Termine in derselben Woche, zwei Vorstellungen davon, was Wettbewerbsrecht im Jahr 2026 leisten soll. Es steht zu befürchten, dass nur eine davon Wirkung zeigt.

Quellen und weiterführende Links

• SECO/WEKO: Das Sekretariat der WEKO ermittelt gegen Google, Medienmitteilung vom 14. Juli 2026
• WEKO: Merkblatt zum Ablauf einer Vorabklärung (PDF)
• WEKO: Merkblatt und Meldeformular relative Marktmacht (PDF, Art. 4 Abs. 2bis und Art. 7 KG)
• Europäische Kommission: Commission fines Google €890 million for breaches of the Digital Markets Act, 23. Juli 2026
• Europäische Kommission: Pressemitteilung IP/26/1670 (PDF)
• Gerichtshof der EU: Pressemitteilung zum Urteil C-738/22 P (Google Android), 2. Juli 2026 (PDF)
• Verordnung (EU) 2022/1925 (Digital Markets Act) auf EUR-Lex
• Europäische Kommission: About the Digital Markets Act
• Bundesrat: Neues Gesetz über Kommunikationsplattformen und Suchmaschinen — Start der Vernehmlassung, 29. Oktober 2025
• Bundesrat: Kartellgesetz — Vernehmlassung zur Revision der Verordnungen, 27. Mai 2026
• AlgorithmWatch CH: Vernehmlassungsantwort zum KomPG
• Digitale Gesellschaft: Plattformregulierung — der späte und zahme Aufbruch des Bundesrats, 30. Oktober 2025
• AlgorithmWatch CH: Regulierung von Online-Plattformen — was tut die Schweiz?
• Apple Developer: Changes for apps in the European Union
• Apple Support: Informationen zu alternativen App-Anbietern (Schweizer Fassung)
• Meta: Messaging Interoperability — WhatsApp enables third-party chats for users in Europe, November 2025
• Google: Complying with Japan's Mobile Software Competition Act, 17. Dezember 2025
• JFTC: Mobile Software Competition Act Guidelines, Juli 2025 (PDF, englische Arbeitsübersetzung)

The post Digital Markets Act: Die Schweiz reguliert das Falsche appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Debatte darüber verläuft bislang schlecht. Auf der einen Seite steht eine Beruhigungskommunikation, die Fragen mit Zusicherungen beantwortet. Auf der anderen ein Reflex, der jeden digitalen Euro sofort zum Sozialkreditsystem erklärt und dabei mit Behauptungen arbeitet, die einer Prüfung nicht standhalten. Beides hilft euch nicht. Deshalb hier der Versuch, das entlang der Dokumente auseinanderzunehmen: was das Ding ist, was tatsächlich beschlossen wurde, was mit der Programmierbarkeit wirklich passiert ist und wo die realen Risiken liegen.

Was der digitale Euro überhaupt ist

Um das Risiko einzuschätzen, müsst ihr wissen, welche Art von Geld hier entsteht. Und das ist tatsächlich eine neue.

Das Guthaben auf eurem Bankkonto gehört euch nicht in dem Sinn, in dem euch ein Zwanziger im Portemonnaie gehört. Es ist eine Forderung gegen eure Bank. Geht die Bank pleite, ist diese Forderung nur so viel wert, wie die Einlagensicherung hergibt. Bargeld dagegen ist eine direkte Verbindlichkeit der Zentralbank. Kein Dritter steht dazwischen, keine Bonität, kein Ausfallrisiko, keine Zustimmung nötig.

Der digitale Euro ist der Versuch, diese zweite Eigenschaft in die digitale Welt zu bringen: Zentralbankgeld, das ihr direkt haltet, nur ohne Papier. Fachlich heisst so etwas Central Bank Digital Currency, kurz CBDC. Ausgegeben würde er von der EZB, verteilt aber über eure Bank oder einen anderen Zahlungsdienstleister. Ein Konto bei der EZB bekommt ihr also nicht, die Kundenbeziehung bleibt, wo sie ist. Für Privatpersonen sollen die Grundfunktionen kostenlos sein.

Was der digitale Euro ausdrücklich nicht ist: eine Kryptowährung. Es gibt keine feste Obergrenze der Geldmenge, keine offene Teilnahme am Netzwerk und keine Möglichkeit für euch, die Regeln durch den Betrieb einer eigenen Node mitzubestimmen. Ein digitaler Euro ist immer genau ein Euro und unterliegt derselben Geldpolitik wie der auf eurem Konto. Wer ihn als europäische Antwort auf Bitcoin verkauft, verkauft eine Kategorienverwechslung.

Das eigentliche Motiv ist ohnehin ein anderes. Der europäische Zahlungsverkehr läuft im Alltag über Visa, Mastercard, PayPal, Apple Pay und Google Pay, also über amerikanische Infrastruktur mit amerikanischer Rechtsanbindung. Der digitale Euro ist in erster Linie ein Souveränitätsprojekt, und das ist ein nachvollziehbares Ziel. Es sagt nur nichts darüber aus, wie das Ergebnis gebaut wird. Souveränität nach aussen und Kontrolle nach innen schliessen sich nicht aus.

Das zweistufige Modell und wer welche Daten sieht

Der Aufbau ist zweistufig, und das ist für die Datenschutzfrage entscheidender als jede Absichtserklärung.

Stufe eins ist die EZB. Sie gibt das Geld aus und betreibt die Abwicklung im Hintergrund. Stufe zwei sind die Zahlungsdienstleister, also Banken und ähnliche Anbieter, die euch das Wallet bereitstellen, euch identifizieren, die Geldwäscheprüfung durchführen und die Zahlungen initiieren. Genau dort liegt die Verknüpfung zwischen eurer Person und euren Transaktionen. Nicht bei der EZB.

Wenn die EZB also sagt, sie könne Transaktionen nicht bestimmten Personen zuordnen, dann ist das im Rahmen dieses Modells korrekt. Es beschreibt aber nur die eine Stufe. Die andere Stufe kennt euch mit Namen, Adresse, Ausweisnummer und vollständiger Zahlungshistorie, und sie unterliegt derselben Aufsicht, denselben Auskunftspflichten und denselben Melderegimes wie heute schon euer Bankkonto. Die Aussage „das Eurosystem kann euch nicht identifizieren" ist deshalb kein Datenschutzversprechen, sondern eine Beschreibung der Zuständigkeitsverteilung.

Der Unterschied zu heute ist trotzdem real, nur an anderer Stelle: Heute verteilen sich eure Zahlungsdaten auf Bank, Kartenanbieter, PayPal und Bargeld. Beim digitalen Euro entsteht ein einheitliches, europaweit standardisiertes Format über ein Zahlungsmittel, das per Gesetz überall akzeptiert werden muss. Einheitliche Formate sind gut für Interoperabilität und gut für Auswertung. Beides gleichzeitig.

Was im Juni tatsächlich beschlossen wurde

Vier Punkte aus dem Ausschussbeschluss sind für euch relevant, und sie werden in der öffentlichen Debatte selten zusammen genannt.

Erstens die Haltegrenze. Wie viel digitale Euro ihr besitzen dürft, wird gedeckelt. Die konkrete Zahl steht nicht im Gesetz, sondern soll von der Kommission auf Empfehlung der EZB festgelegt und mindestens alle zwei Jahre überprüft werden. Der offizielle Grund ist die Sorge vor einem digitalen Bankrun: Wenn bei der ersten Krisenmeldung alle ihr Geld aus der Geschäftsbank in Zentralbankgeld umschichten, kippt das Bankensystem innerhalb von Stunden statt Tagen. Das Argument ist ernst zu nehmen, es beschreibt ein echtes Problem. Es bedeutet aber auch, dass eine per Rechtsakt änderbare Zahl darüber bestimmt, wie viel ausfallsicheres Geld ihr halten dürft.

Zweitens der Status als gesetzliches Zahlungsmittel. Die meisten Unternehmen müssen den digitalen Euro annehmen. Ausgenommen sind Selbständige sowie Klein- und Kleinstunternehmen ohne bestehende digitale Zahlungsmöglichkeit. Annahmepflicht heisst: Die Verbreitung entsteht nicht durch Nachfrage, sondern durch Vorschrift. Ein Produkt, das sich am Markt durchsetzen müsste, würde anders gebaut als eines, das ohnehin akzeptiert werden muss.

Drittens der Offline-Modus. Gezahlt wird dabei über ein lokales Speichermedium, also Hardware, die den Betrag ohne Netzverbindung hält. Geht das Gerät verloren, ist das Geld weg, eine Erstattung ist nicht vorgesehen.

Viertens der Zeitplan. Nach der Zulassung folgt eine Einführungsphase von mindestens 24 Monaten. Der Rat hatte seine Verhandlungsposition bereits im Dezember 2025 festgelegt, der Verfahrensstand lässt sich im Legislative Train des Parlaments nachverfolgen.

Die Programmierbarkeit ist nicht verschwunden, sie wurde umbenannt

Das ist der Punkt, an dem es wirklich interessant wird, und der Punkt, den die Beruhigungskommunikation am gründlichsten verfehlt.

Die offizielle Aussage lautet: Der digitale Euro wird kein programmierbares Geld. Das stimmt, aber nur, weil „programmierbares Geld" sehr eng definiert wurde. Die Begründung des Verordnungsvorschlags COM(2023) 369 formuliert es so: Gemeint sind Einheiten, die aufgrund ihnen innewohnender Ausgabebedingungen nur für bestimmte Waren oder Dienstleistungen verwendet werden können, oder die zeitlichen Beschränkungen unterliegen, nach denen sie nicht mehr nutzbar sind. Verboten ist also Geld mit eingebautem Verfallsdatum oder eingebauter Verwendungsbindung. Nicht mehr und nicht weniger.

Was ausdrücklich nicht verboten, sondern vorgesehen ist, steht wenige Seiten weiter. Der Vorschlag widmet den bedingten Zahlungstransaktionen einen eigenen Artikel. Und in den Erwägungsgründen benennt die Verordnung selbst, dass es um dieselbe Sache geht: Dort ist von der Nachfrage nach „programmierbaren Zahlungen" die Rede, die im Kontext dieser Verordnung als bedingte Zahlungen bezeichnet werden. Auch die EZB selbst beschreibt, dass Zahlungsdienstleister auf dieser Basis Mehrwertdienste entwickeln könnten, ausdrücklich genannt: bedingte Zahlungen.

Damit liegt die Sache offen. Die Fähigkeit, Bedingungen auszuwerten und Zahlungen nur bei deren Erfüllung auszulösen, ist Bestandteil des Systems. Sie muss es sein, sonst gäbe es keine bedingten Zahlungen. Der Unterschied zwischen erlaubt und verboten liegt nicht in der Technik, sondern allein darin, wo die Bedingung angeschrieben steht: an der Zahlung oder an der Geldeinheit. Das ist keine technische Grenze, das ist eine juristische Kategorie über einer Infrastruktur, die beides kann.

Der Wirtschaftsjournalist Norbert Häring hat das im Juni 2026 als Mogelpackung bezeichnet und den Kern in einem Satz zusammengefasst: Die interessanten und die gefährlichen Anwendungsfälle sind die, bei denen sich die Programmierung auf den Besitzer des Geldes bezieht. Seine Schlussfolgerungen muss niemand teilen, um zu sehen, dass die Beobachtung sitzt. Ob eine Sozialleistung nur für Heizkosten verwendbar ist, weil das Geld es so vorschreibt, oder weil die auszahlende Stelle eine entsprechende Bedingung an die Zahlung geknüpft hat, macht für den Empfänger keinen Unterschied.

Und selbst wenn das Verbot programmierbaren Geldes im endgültigen Text als eigener, verbindlicher Absatz stehen bleibt: Ein Verbot in einer Verordnung ist ein Satz in einer Verordnung. Verordnungen werden im selben ordentlichen Gesetzgebungsverfahren geändert, in dem sie entstanden sind. Wie belastbar dieses Verfahren gegen politischen Druck ist, liess sich im Juli bei der Abstimmung zur Chatkontrolle in Echtzeit beobachten.

Der entscheidende Satz lautet deshalb: Nicht die Funktion wurde entfernt, sondern ihre Nutzung untersagt. Das ist ein gewaltiger Unterschied. Eine Funktion, die nicht existiert, muss neu gebaut werden, und das fällt auf, das kostet Jahre und es gibt eine Debatte darüber. Eine Funktion, die existiert und nur nicht verwendet werden darf, muss lediglich freigeschaltet werden, wenn die Umstände es angeblich erfordern.

Der Blick nach China korrigiert die Debatte, statt sie zu bestätigen

An dieser Stelle kommt in fast jeder Diskussion der Verweis auf den digitalen Yuan mit Verfallsdatum. Der ist so verbreitet wie falsch, und wer die Kritik am digitalen Euro ernst meint, sollte ihn nicht wiederholen.

Der e-CNY der chinesischen Zentralbank hat kein Verfallsdatum. Das Department of Economics der Iowa State University stellt ausdrücklich klar, dass die offizielle digitale Währung der chinesischen Zentralbank kein Ablaufdatum trägt und dass sich die verbreitete Behauptung auf etwas anderes bezieht: auf digitale Konsumgutscheine, die von Lokalregierungen ausgegeben wurden und die tatsächlich verfielen.

Und genau deshalb ist das Beispiel trotzdem lehrreich, nur anders als gedacht. Die Sicherheitsforscher Frank Stajano, Ferdinando Samaria und Shuqi Zi haben 2025 im Journal of Risk and Financial Management unter dem Titel On the Nature and Security of Expiring Digital Cash ein Experiment der chinesischen Zentralbank aus dem Jahr 2020 untersucht, bei dem digitale Zahlungsmittel an 50'000 Bürger verteilt wurden, die nach wenigen Tagen ihre Gültigkeit verloren. Ihr Befund ist bemerkenswert: Verfallendes Geld ist konzeptionell kein Geld, weil niemand einen rationalen Grund hat, es als Zahlung anzunehmen.

Was in China verfiel, war also nicht die Währung, sondern eine Zahlung auf derselben Infrastruktur. Die Grenze zwischen Geld und Gutschein verlief nicht durch die Technik, sondern durch die Etikettierung. Das ist exakt die Unterscheidung, mit der auch der digitale Euro arbeitet. Wer nach dem Risiko sucht, muss also nicht nach programmierbarem Geld suchen, sondern nach dem Punkt, an dem eine auszahlende Stelle beginnt, Bedingungen an Zahlungen zu knüpfen. Diese Fähigkeit ist eingeplant, und sie ist der eigentliche Hebel.

Das Datenschutzversprechen und was daran nicht stimmt

„Wir können nicht" und „wir dürfen nicht" sind zwei völlig verschiedene Dinge, und in der Kommunikation zum digitalen Euro steht durchgehend ein Dürfen, das wie ein Können klingt.

Bei Bargeld existiert kein Datensatz. Nicht, weil es verboten wäre, einen anzulegen, sondern weil das Medium selbst keinen erzeugt. Das ist eine physikalische Eigenschaft, und deshalb ist sie stabil gegen Gesetzesänderungen. Beim digitalen Euro entstehen Transaktionsdaten zwangsläufig, sie werden bei Zahlungsdienstleistern verarbeitet, die euch identifizieren müssen. Ob und wer darauf zugreift, ist eine Frage der Rechtslage und der Zugriffsberechtigungen. Beides ist änderbar, ohne dass eine einzige Zeile der technischen Infrastruktur angefasst werden müsste.

Dass Zahlungsmetadaten das eigentlich Interessante sind, ist keine neue Erkenntnis. Wer wann wo wie viel ausgibt, ergibt ein Profil, das jede Inhaltsanalyse schlägt: Wohnort, Arbeitsweg, Gesundheitszustand, Konfession, politische Beteiligung, Beziehungsstatus. Wir haben das für Messenger bereits beschrieben, Metadaten verraten mehr als Inhalte. Für Zahlungen gilt es genauso, nur mit besserer Auflösung und ohne Interpretationsspielraum.

Der Offline-Modus ist der ehrlichste Teil des Entwurfs

Ausgerechnet die Funktion, die am meisten nach Bastellösung klingt, ist die einzige mit echter Bargeldeigenschaft. Der Wert liegt lokal auf einem Gerät, die Übertragung braucht kein Netz, es entsteht kein zentraler Datensatz. Die EZB beschreibt für diesen Fall, dass die Transaktionsdaten nur den beiden Beteiligten bekannt wären. Und deshalb gilt dort auch die Bargeldregel: Wer das Gerät verliert, verliert das Geld.

Das ist konsequent, und es ist der Punkt, an dem sich der ganze Entwurf entscheidet. Wie hoch die Obergrenze für Offline-Beträge liegt, wie viele Zahlungen ohne Netzkontakt hintereinander möglich sind, bevor ein Abgleich erzwungen wird, ob das Speichermedium herstellerunabhängig ist und ob seine Firmware quelloffen und reproduzierbar baubar ist — daran hängt, ob der Offline-Modus digitales Bargeld wird oder ein Notbehelf für den Fall, dass das Mobilfunknetz ausfällt.

Diese Details stehen im Rechtsrahmen nicht. Sie werden in der technischen Umsetzung und im Regelwerk festgelegt, also dort, wo kein Parlament mehr hinschaut und keine Abstimmung mehr stattfindet. Wenn ihr eine einzige Sache an diesem Projekt verfolgen wollt, dann diese.

Welche Risiken tatsächlich auf euch zukommen

Sortiert nach Wahrscheinlichkeit, nicht nach Dramatik.

Die Verdrängung von Bargeld durch Bequemlichkeit. Das ist das wahrscheinlichste Szenario und kommt ganz ohne Verbot aus. Wenn ein Zahlungsmittel per Gesetz überall angenommen werden muss, kostenlos ist und auf jedem Gerät funktioniert, sinkt die Bargeldnutzung von selbst. Sinkende Nutzung macht Bargeldinfrastruktur teuer, teure Infrastruktur wird abgebaut, Automaten verschwinden, Filialen schliessen, Händler stellen um. Irgendwann existiert die Wahlfreiheit nur noch auf dem Papier. Bargeld wird nicht abgeschafft, es trocknet aus.

Der Ausschluss vom Zahlungsverkehr. Wer heute sein Bankkonto verliert, hat ein schweres Problem, aber Bargeld funktioniert weiter. In einer Welt mit ausgetrocknetem Bargeld ist der Ausschluss aus dem digitalen Zahlungssystem gleichbedeutend mit dem Ausschluss aus der Wirtschaft. Dafür braucht es keine böse Absicht, ein fehlerhafter Geldwäsche-Score genügt. Solche Fälle gibt es heute schon, sie sind nur noch nicht existenziell.

Die Ausweitung der Zugriffsrechte. Nicht die EZB ist hier das Risiko, sondern der Kranz aus Steuerbehörden, Strafverfolgung und Geldwäscheaufsicht, dem der Zugriff auf Zahlungsdaten bei den Dienstleistern eingeräumt werden kann. Jede Erweiterung wird einzeln begründet und einzeln als verhältnismässig verteidigt. Dasselbe Muster liess sich beim Digital Services Act beobachten.

Die Haltegrenze als Steuerungsinstrument. Eine Obergrenze, die die Kommission per Rechtsakt anpassen kann, ist heute ein Instrument der Finanzstabilität. Sie ist gleichzeitig ein fertiger Hebel. Negativzinsen auf Guthaben oberhalb einer Schwelle wären technisch trivial, sobald das Guthaben zentral bekannt ist.

Die nachträgliche Bedingungsknüpfung. Auf kurze Sicht das unwahrscheinlichste Szenario, auf lange das folgenreichste. Es setzt keine neue Technik voraus, sondern nur eine politische Entscheidung darüber, wer Bedingungen an Zahlungen knüpfen darf. Wer glaubt, dass so etwas nicht passiert, sollte sich ansehen, wie oft in den letzten fünf Jahren Dinge beschlossen wurden, die kurz zuvor noch als undenkbar galten.

Was ausdrücklich nicht auf dieser Liste steht: die Vorstellung, der digitale Euro werde von Beginn an als Kontrollinstrument ausgerollt. Danach sieht der Entwurf nicht aus. Das Problem ist nicht die Absicht heute, sondern die Fallhöhe morgen.

Was das mit Bitcoin zu tun hat, und was nicht

Der Unterschied zwischen beiden Systemen ist nicht die Technik, sondern die Frage, wer die Regeln ändern darf.

Bei Bitcoin liegt diese Frage bei den Nutzern, die ihre eigenen Regeln durchsetzen, indem sie eine Node betreiben. Wir haben ausführlich dargelegt, warum sich Bitcoin staatlich kaum zensieren lässt. Beim digitalen Euro liegt sie bei Kommission, Rat und Parlament, und die Haltegrenze zeigt exemplarisch, wie das in der Praxis aussieht: eine Zahl, die alle zwei Jahre neu festgesetzt wird.

Gleichzeitig ist Vorsicht vor der einfachen Gegenerzählung angebracht. Bitcoin ist nicht automatisch privat. Wer über Clearnet-Dienste kauft und eine fremde Node nutzt, hinterlässt eine mindestens so gute Datenspur, wie sie ein digitaler Euro erzeugen würde, nur eben zusätzlich öffentlich einsehbar. Wir haben das in Ist no-KYC wirklich eine Garantie für Anonymität auseinandergenommen. Wer die Kritik am digitalen Euro ernst meint, muss beim eigenen Umgang mit Bitcoin-Privacy denselben Massstab anlegen.

Was ihr tun könnt

Der Rechtsrahmen ist noch nicht endgültig. Was jetzt in den Verhandlungen festgeschrieben wird, entscheidet über die nächsten Jahrzehnte, und an ein paar Stellen lässt sich das beeinflussen oder wenigstens beobachten.

• Nutzt Bargeld weiter aktiv, auch wenn Karte bequemer ist. Die Verdrängung läuft über Nutzungsstatistiken, nicht über Gesetze. Jede Bargeldzahlung ist ein Datenpunkt gegen den Abbau der Infrastruktur.
• Prüft im endgültigen Verordnungstext, ob das Verbot programmierbaren Geldes als eigener, verbindlicher Absatz in einem Artikel steht und nicht nur in der Begründung oder in Erwägungsgründen, die rechtlich schwächer wiegen.
• Achtet darauf, wie eng „bedingte Zahlung" definiert wird und vor allem, wer die Bedingung setzen darf: nur der Zahlende, oder auch eine auszahlende Stelle.
• Verfolgt die Offline-Obergrenze und die Spezifikation des Speichermediums. Fordert offengelegte Firmware, sobald konkrete Geräte diskutiert werden.
• Fragt bei euren Abgeordneten nach, ob die Haltegrenze per Gesetz oder per Kommissionsrechtsakt festgelegt wird. Das ist eine konkrete, beantwortbare Frage, und die Antwort sagt viel.
• Verlangt eine ausdrückliche Versorgungspflicht für Bargeld, nicht nur eine Annahmepflicht. Ohne garantierte Verfügbarkeit ist Wahlfreiheit rhetorisch.
• Und verbreitet keine falschen Argumente. Der Verweis auf den angeblich verfallenden digitalen Yuan diskreditiert die berechtigte Kritik, sobald ihn jemand nachprüft.

Fazit: Der digitale Euro ist so sicher wie der Satz, der ihn begrenzt

Der digitale Euro ist kein Überwachungsprojekt, und wer ihn als solches bezeichnet, macht es sich zu leicht. Er ist etwas Unangenehmeres: ein System, dessen Datenschutz und dessen Nicht-Programmierbarkeit aus Paragrafen bestehen statt aus Physik.

Die Fähigkeit, Bedingungen an Zahlungen zu knüpfen, wird gebaut. Die Transaktionsdaten entstehen. Die Haltegrenze ist per Verwaltungsakt änderbar. Alles, was zwischen dieser Infrastruktur und ihrer problematischen Nutzung steht, sind Sätze in einer Verordnung, die im selben Verfahren geändert werden kann, in dem sie beschlossen wurde. Wie belastbar dieses Verfahren ist, hat das Jahr 2026 mehrfach vorgeführt.

Bei Bargeld hängt eure Freiheit an nichts. Kein Gesetz muss sie schützen, weil das Medium sie nicht preisgeben kann. Diesen Unterschied solltet ihr kennen, bevor 2029 die erste digitale Zahlung läuft — und ihn nicht mit dem Argument abtun, dass heute ja niemand etwas Böses vorhat. Das ist noch nie die Frage gewesen. Wer daraus die grundsätzlichere Konsequenz ziehen will, findet unsere Position im Beitrag Warum die EU sterben muss, damit Europa leben kann.

Quellen und weiterführende Links

• Verordnungsvorschlag COM(2023) 369 zur Einführung des digitalen Euro, EUR-Lex
• Verfahrensstand im Legislative Train des Europäischen Parlaments
• Projektseite der Europäischen Zentralbank zum digitalen Euro
• Häufig gestellte Fragen zum digitalen Euro, EZB
• Bericht zur Abstimmung im Wirtschafts- und Währungsausschuss vom 23. Juni 2026
• Norbert Häring: Der „nicht-programmierbare" digitale Euro ist eine Mogelpackung
• Stajano, Samaria, Zi: On the Nature and Security of Expiring Digital Cash, Journal of Risk and Financial Management 2025
• Iowa State University, Department of Economics: Zum angeblichen Verfallsdatum des digitalen Yuan

Stand: 8. August 2026. Der Rechtsrahmen ist noch nicht endgültig verabschiedet. Die Angaben beziehen sich auf den Kommissionsvorschlag COM(2023) 369, den Ausschussbeschluss vom 23. Juni 2026 und die Verhandlungsposition des Rates von Dezember 2025.

The post Digitaler Euro: ein Versprechen ist kein Protokoll appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Ein Wort vorab

Dieser Artikel ist anders als das meiste, was ihr sonst hier lest. Es geht nicht um GrapheneOS, nicht um eine bessere Linux-Distribution, nicht um die nächste Bitcoin-Node. Es geht um eine Meinung — und um eine Schlussfolgerung, die sich aus lauter einzelnen Beobachtungen zusammensetzt, die wir hier über Monate dokumentiert haben. Über die Chatkontrolle. Über die Altersverifikation. Über den digitalen Euro. Über Vermögensregister und Vorratsdaten.

Nimmt man diese Beobachtungen einzeln, wirkt jede für sich verkraftbar. Legt man sie nebeneinander, ergibt sich ein Bild. Und dieses Bild führt in dystopische Zeiten — in eine Welt, die man seinen Kindern nicht zumuten will. Eine Welt, in der jede Nachricht gescannt, jede Zahlung protokolliert, jeder Ausweis verlangt und jedes Vermögen erfasst wird. Nicht von einer fremden Diktatur, sondern von einer Institution, die vorgibt, uns zu beschützen.

Die These dieses Textes ist unbequem: Die Europäische Union, so wie sie heute funktioniert, ist zu einem Apparat geworden, für den Demokratie ein Fremdwort ist. Nicht Europa. Europa — der Kontinent, die Völker, die Kultur, die Idee eines freien Zusammenlebens — ist das Wertvollste, was wir haben. Aber der bürokratische Überbau, der sich diesen Namen angeeignet hat, arbeitet zunehmend gegen genau das, was er zu vertreten behauptet. Und deshalb, so die Zuspitzung im Titel, muss diese EU in ihrer jetzigen Form sterben, damit Europa leben kann.

Ihr müsst das nicht teilen. Aber lest, was folgt — und urteilt selbst.

Das Prinzip Juncker: Schritt für Schritt, bis es kein Zurück mehr gibt

Es gibt ein Zitat, das wie kein zweites die Methode beschreibt, mit der in Brüssel Politik gemacht wird. Es stammt vom langjährigen Kommissionspräsidenten Jean-Claude Juncker, und es steht schwarz auf weiss im Spiegel 52/1999:

Man muss fair sein: Juncker hat dieses Zitat später als kritisch gemeint verteidigt — als Beschreibung eines Missstands, nicht als Programm. Doch genau hier liegt der Punkt: Ob Juncker es als Programm meinte oder als Diagnose — die Praxis der EU sieht Jahr für Jahr genau so aus. Ein Vorschlag wird "in den Raum gestellt". Man wartet ab. Regt sich Widerstand, zieht man zurück, benennt um, verpackt neu. Regt sich keiner, macht man weiter. Schritt für Schritt.

Derselbe Juncker prägte auf dem Höhepunkt der Griechenland-Krise den Satz, es könne "keine demokratische Wahl gegen die europäischen Verträge geben". Man lasse sich das auf der Zunge zergehen: Ein gewähltes Volk trifft eine Entscheidung — und die höchste Ebene der EU erklärt, dass diese Entscheidung an den Verträgen nichts ändere. Und derselbe Mann formulierte in der Euro-Krise jenen berühmten Satz, den man kaum überbieten kann: "Wenn es ernst wird, muss man lügen."

Wenn ein einzelner Politiker einmal so etwas sagt, ist das ein Ausrutscher. Wenn diese Sätze aber die Methode beschreiben, nach der ein ganzer Kontinent regiert wird, dann haben wir ein Problem. Und genau dieses Muster — beschliessen, abwarten, weitermachen — zieht sich durch alle Vorgänge, die dieser Artikel behandelt.

Es ist das Prinzip aus George Orwells 1984: nicht der eine grosse Knall, sondern die schleichende Gewöhnung. Die langsame Verschiebung dessen, was normal ist. Big Brother kommt nicht mit Getöse. Er kommt mit einem Gesetzentwurf, den kaum jemand liest, mit einer Übergangsregelung, die niemand hinterfragt, mit einer App, die man ja "freiwillig" nutzt.

Die Chatkontrolle: Neusprech in Reinkultur

Kein Vorhaben zeigt das Prinzip Juncker so deutlich wie die Chatkontrolle — offiziell die CSA-Verordnung zur Bekämpfung von sexuellem Kindesmissbrauch. Der Name ist Programm: Wer könnte gegen den Schutz von Kindern sein? Genau darin liegt die Perfidie. Denn hinter dem edlen Etikett verbirgt sich der Versuch, jede private Nachricht in Europa noch vor der Verschlüsselung durchsuchen zu lassen — das sogenannte Client-Side-Scanning.

Der Begriff "Chatkontrolle" stammt übrigens nicht von der EU. Er wurde vom ehemaligen Europaabgeordneten und Datenschützer Patrick Breyer geprägt, der seit Jahren vor diesem Vorhaben warnt. Die EU selbst spricht lieber von "Aufdeckungsanordnungen" und "Kinderschutz". Das ist Neusprech im Sinne Orwells: eine Sprache, die dazu dient, den Gedanken an das eigentliche Geschehen gar nicht erst aufkommen zu lassen.

Was das technisch bedeutet, haben 617 der weltweit führenden Kryptografen und Sicherheitsforscher im September 2025 in einem offenen Brief unmissverständlich erklärt: Es gebe schlicht keinen Algorithmus, der unbekanntes Missbrauchsmaterial zuverlässig und ohne eine grosse Zahl von Fehlern erkennen könne. Die Verordnung, so die Forscher, schaffe "beispiellose Möglichkeiten für Überwachung, Kontrolle und Zensur". Und sie hätten es wissen müssen, denn die Praxis liefert die Zahlen gleich mit.

Nach Angaben des Bundeskriminalamts waren im Jahr 2024 von 205.728 automatisiert weitergeleiteten Verdachtsmeldungen 99.375 strafrechtlich nicht relevant — eine Fehlerquote von rund 48 Prozent. Fast jede zweite Meldung ein Fehlalarm. Das bedeutet: Familienfotos vom Strand, ärztliche Aufnahmen, Flirts zwischen Erwachsenen, Sarkasmus zwischen Jugendlichen — all das landet potenziell bei Behörden, weil eine Maschine den Kontext nicht versteht. Es ist die Orwellsche Gedankenpolizei in Software gegossen: ein System, das Absicht unterstellt, wo keine ist, und das jeden unter Generalverdacht stellt.

Wenn "freiwillig" Dauerüberwachung bedeutet

Und hier zeigt sich das Prinzip Juncker in Aktion. Nach massivem öffentlichem Druck — getragen von Zivilgesellschaft, Fachleuten und einer blockierenden Minderheit von Staaten — strich der Rat am 26. November 2025 die verpflichtende Aufdeckung. Ein Erfolg? Ja. Aber lest genau: Gestrichen wurde die Pflicht. Geblieben ist das "freiwillige" Scannen — und eine Überprüfungsklausel, die die Pflicht jederzeit zurückbringen kann. Breyer warnt bereits, die Zwangsüberwachung solle "durch die Hintertür" zurückkehren, "getarnt, gefährlicher, umfassender als je zuvor".

Das ist das Muster. Man beschliesst etwas Radikales, wartet auf das Geschrei, zieht die schärfste Klinge zurück — und lässt die Architektur bestehen. Beim nächsten Mal fehlt die Aufregung, weil "das haben wir doch schon". Schritt für Schritt, bis es kein Zurück mehr gibt.

Wie ernst die Lage ist, zeigt die Reaktion der Anbieter. Meredith Whittaker, Chefin des Messengers Signal, hat mehrfach und unmissverständlich erklärt: "We will leave the EU market rather than undermine our privacy guarantees." Signal würde also lieber den europäischen Markt verlassen, als eine Überwachungsmaschine in seine App einzubauen. Sie nannte den Vorschlag treffend "surveillance wine in safety bottles" — Überwachungswein in Sicherheitsflaschen. Auch der verschlüsselte Mail-Anbieter Tuta kündigte Klage an. Wenn die vertrauenswürdigsten Anbieter sicherer Kommunikation lieber gehen als bleiben, sollte das jedem zu denken geben.

Wer treibt das eigentlich an?

Besonders bitter wird es, wenn man fragt, wer hinter dieser Gesetzgebung steht. Recherchen von Follow the Money und EDRi haben ein Geflecht offengelegt, in dem die Organisation Thorn — mitgegründet vom Hollywood-Schauspieler Ashton Kutcher — eine tragende Rolle spielt. Thorn kämpft nicht nur gegen Missbrauch, sondern verkauft zugleich die Scan-Software, die eine solche Verordnung nötig machen würde. Im EU-Transparenzregister ist die Organisation als Wohltätigkeit eingetragen. Innenkommissarin Ylva Johansson schrieb der Thorn-Chefin kurz vor Veröffentlichung des Entwurfs vertraulich: "We have shared many moments on the journey to this proposal."

Man stelle sich das vor: Eine Firma, die von einem Gesetz finanziell profitieren würde, sitzt bei der Entstehung dieses Gesetzes mit am Tisch. Und das Ganze läuft unter der Flagge des Kinderschutzes. Das ist kein Verschwörungsgerücht, das sind dokumentierte Vorgänge. Es ist der Vorwand in Reinform: Ein unangreifbares Ziel wird vorgeschoben, um eine Infrastruktur zu errichten, die mit dem Ziel nur am Rande zu tun hat.

Pfizergate: Manche sind gleicher als andere

In Orwells Farm der Tiere verkünden die Schweine am Ende jenen Satz, der die ganze Verlogenheit auf den Punkt bringt: "Alle Tiere sind gleich, aber manche Tiere sind gleicher." Wenn man einen einzigen Vorgang bräuchte, um diesen Satz auf die heutige EU anzuwenden, dann diesen.

Während der Corona-Pandemie verhandelte Kommissionspräsidentin Ursula von der Leyen persönlich per SMS mit dem Chef des Pharmakonzerns Pfizer, Albert Bourla, über Impfstoffverträge — über bis zu 1,8 Milliarden Dosen im Wert von rund 35 Milliarden Euro. Als die New York Times Einsicht in diese Nachrichten verlangte, geschah etwas Bemerkenswertes: Die Kommission konnte die SMS nicht vorlegen. Sie existierten angeblich nicht mehr, seien nicht "archivierungswürdig" gewesen.

Das Gericht der Europäischen Union sah das anders. Am 14. Mai 2025 annullierte es die Weigerung der Kommission — auf ganzer Linie. Die Begründung ist vernichtend: Die Kommission habe keine plausible Erklärung geliefert, warum sie die Dokumente nicht besitze, und damit gegen den Grundsatz der guten Verwaltung verstossen. Die Kommission legte nicht einmal Berufung ein — die Frist verstrich, das Urteil wurde rechtskräftig.

Bleiben wir fair und präzise: Gerichtlich festgestellt ist ein Transparenzbruch, nicht Korruption. Ob die SMS bewusst gelöscht wurden, um etwas zu verschleiern, ist ein Vorwurf, den die Europäische Staatsanwaltschaft weiter untersucht, aber nicht bewiesen. Doch der Kern bleibt ungeheuerlich: Die höchste Repräsentantin der EU handelt einen der grössten Beschaffungsverträge der europäischen Geschichte per Handy aus — und dann sind die Nachrichten weg, und alles ist in bester Ordnung.

Man vergleiche das mit dem, was von uns verlangt wird. Der normale Bürger soll bald jede Nachricht scannen lassen (Chatkontrolle), sein gesamtes Vermögen erfassen lassen (dazu gleich mehr), seinen Ausweis vorzeigen, um ins Netz zu dürfen (Altersverifikation). Totale Transparenz für die Bürger, Aktenvernichtung an der Spitze. Manche Tiere sind eben gleicher.

Qatargate: Koffer voller Geld — während sie euer Bargeld an der Grenze zählen

Und dann ist da noch der Moment, in dem die Farm der Tiere zur Realsatire wird. Seit dem 3. Juni 2021 gilt in der gesamten EU eine verschärfte Regel: Wer 10.000 Euro oder mehr über eine EU-Aussengrenze bringt, muss das anmelden. Neuerdings zählt sogar Gold ab einem Feingehalt von 99,5 Prozent als "Bargeld". Der Bürger, der sein eigenes, versteuertes Geld transportiert, steht unter Generalverdacht der Geldwäsche und Terrorfinanzierung. Der Zoll darf schon bei Beträgen unter 10.000 Euro tätig werden, wenn ihm etwas verdächtig vorkommt.

Und was passiert derweil im Herzen dieser Institution? Im Dezember 2022 flog der grösste Korruptionsskandal in der Geschichte des EU-Parlaments auf — später bekannt als Qatargate. Bei Razzien in Brüssel stellten die Ermittler insgesamt rund 1,5 Millionen Euro Bargeld sicher. Bei der damaligen Vizepräsidentin des Parlaments, Eva Kaili, fanden die Fahnder 600.000 Euro in Taschen in ihrer Wohnung. Ihr Vater wurde mit einem Koffer voller Geld erwischt. Das Geld soll, so die Ermittler, aus Katar geflossen sein — als Gegenleistung für wohlwollende Einflussnahme im Parlament.

Man muss sich diese Szene bildlich vorstellen, um die ganze Doppelmoral zu erfassen: Ein Kontinent, der seinen Bürgern vorschreibt, jeden Fünfhunderter über einer bestimmten Summe an der Grenze zu deklarieren, in dessen Parlamentsführung aber Koffer und Taschen voller ausländischem Bargeld kursieren. LobbyControl brachte es auf den Punkt: Das Parlament rühmt sich seiner vorbildlichen Transparenzregeln — aber die schönsten Regeln nützen nichts, wenn ihre Einhaltung nicht kontrolliert und ihre Verletzung nicht sanktioniert wird. Die Kontrolle der Abgeordneten liegt weitgehend bei den Abgeordneten selbst. Selbstkontrolle, die an ihre Grenzen gerät.

Transparenz für die Bürger, Immunität und Selbstkontrolle für die eigene Kaste. Das ist zweigleisig. Das ist zweierlei Mass. Und es ist kein Einzelfall, sondern System.

Der digitale Euro: "Nicht programmierbar" — eine Mogelpackung

Wenn die Chatkontrolle unsere Worte lesen will, dann zielt der digitale Euro auf etwas womöglich noch Intimeres: unser Geld — und damit unser gesamtes Verhalten. Denn Geld ist geronnene Freiheit. Wer kontrolliert, wofür ihr euer Geld ausgeben dürft, kontrolliert euer Leben.

Zunächst die Fakten, nüchtern: Die Europäische Zentralbank hat Ende Oktober 2025 die nächste Projektphase für den digitalen Euro beschlossen. Eine erste Ausgabe wird frühestens 2029 erwartet, sofern die EU-Gesetzgeber 2026 grünes Licht geben. Der ECON-Ausschuss des Parlaments hat im Juni 2026 seine Verhandlungsposition angenommen. Diskutiert werden Haltelimits zwischen 500 und 3.000 Euro pro Person, unverzinst. Die EZB betont bei jeder Gelegenheit, das Bargeld bleibe erhalten und die Nutzung sei freiwillig.

Und hier kommt der entscheidende Punkt — und zwar der sachlich präziseste. Die EZB verspricht, der digitale Euro werde "niemals programmierbares Geld" sein. Das klingt beruhigend. Aber der Wirtschaftsjournalist Norbert Häring hat den Trick entlarvt: Es handelt sich um eine Mogelpackung. Ausgeschlossen wird nämlich nur programmierbares Geld — also Guthaben mit Verfallsdatum oder Zweckbindung. Was aber ausdrücklich vorgesehen ist, sind programmierbare Zahlungen: bedingte Transaktionen, die an Regeln geknüpft werden können.

Der Unterschied ist ein Wortspiel — und ein Abgrund. Denn die technische Infrastruktur für bedingte Zahlungen ist genau die Infrastruktur, die man bräuchte, um Verhalten zu steuern: ein CO2-Budget, das an der Zapfsäule automatisch greift. Ein Sozialpunktesystem, das bestimmte Käufe blockiert. Eine Leistung, die nur für "genehmigte" Waren ausgegeben werden darf. Nichts davon ist heute geplant. Aber die Schienen werden verlegt. Und wer die Schienen legt, entscheidet später allein, welche Züge darauf fahren.

Das ist wieder Neusprech: "nicht programmierbar" als beruhigende Formel, während im Kleingedruckten das Gegenteil steht. Und es ist wieder das Prinzip Juncker: Man baut die Fähigkeit auf, verspricht, sie nie zu nutzen — und wartet ab. Selbst die EZB räumt ein, dass digitales Zentralbankgeld datenreicher bleibt als physisches Bargeld. Bargeld ist anonym. Der digitale Euro ist es strukturell nicht — egal, welche Datenschutzversprechen man ihm heute umhängt.

Genau deshalb ist selbstverwahrtes, dezentrales Geld wie Bitcoin keine Spielerei, sondern eine Notwendigkeit. Es ist die einzige Form von Geld, die keiner zentralen Stelle die Macht gibt, eure Zahlungen zu bedingen, zu limitieren oder abzuschalten.

Das Vermögensregister: der gläserne Bürger

Bleiben wir beim Geld — genauer: bei eurem Besitz. Hier ist Ehrlichkeit besonders wichtig, denn zu diesem Thema kursiert viel Panik, die den berechtigten Kern beschädigt. Also klipp und klar: Ein zentrales EU-Vermögensregister existiert nicht. Es ist nicht beschlossen. Wer das Gegenteil behauptet, liefert der Gegenseite die Munition, alles als Verschwörungstheorie abzutun. Das Thema ist zu wichtig, um es mit Übertreibung zu verspielen.

Was es gibt, ist Folgendes — und das ist beunruhigend genug. Das Europäische Parlament hat eine Machbarkeitsstudie in Auftrag gegeben, die 2024 vorgelegt wurde. Sie prüft, wie man Vermögen europaweit erfassen könnte, und skizziert drei Szenarien — bis hin zu einem zentralen EU-Register. Erfasst werden sollen in den Überlegungen nicht nur Bankkonten, sondern Immobilien, Unternehmensbeteiligungen, Fahrzeuge, Boote, Flugzeuge, Krypto-Werte, Gold und Rohstoffe bis hin zu Kunstwerken — im Gespräch war eine Schwelle ab 200.000 Euro. Parallel ist seit dem 1. Juli 2025 die neue Anti-Geldwäsche-Behörde AMLA mit Sitz in Frankfurt operativ, die bestehende Konten- und Eigentümerregister vernetzen soll.

Die Kommission beteuert, sie habe keinerlei Absicht, eine zentrale Vermögensdatenbank aufzubauen (ungefähr genau so, wie man keine Absichten hatte, eine Mauer zu bauen). Und die Studie selbst hält ein zentrales Register für rechtlich heikel. Gut. Aber warum lässt man dann eine solche Studie überhaupt anfertigen? Warum werden die Register vernetzt? Man kennt die Antwort inzwischen: weil man die Fähigkeit aufbaut und abwartet. Der Vorwand ist auch hier fertig konfektioniert — "Kampf gegen Geldwäsche". Wer könnte dagegen sein? Doch was als Werkzeug gegen Kriminelle beginnt, endet als Werkzeug gegen alle. Der gläserne Bürger entsteht nicht durch ein Gesetz, sondern durch die geduldige Vorbereitung seiner Voraussetzungen.

Altersverifikation und eIDAS: das Ende der Anonymität

Wir haben das Thema hier bereits ausführlich behandelt: Die Altersverifikation ist der wohl eleganteste Trick, um das freie, anonyme Internet zu beenden. Wieder mit einem edlen Vorwand — dem Schutz von Kindern vor pornografischen Inhalten.

Die EU-Kommission hat eine eigene Age-Verification-App entwickeln lassen. Im April 2026 verkündete von der Leyen deren "technische Bereitschaft"; die Verteilung in den Pilotländern läuft. Und das Entscheidende: Diese App baut auf denselben Standards auf wie die European Digital Identity Wallet (EUDI-Wallet), die nach der eIDAS-2.0-Verordnung bis Ende 2026 in allen Mitgliedstaaten verfügbar sein muss. Der Ausweis fürs Internet, sozusagen.

Offiziell verspricht man, das Ganze sei datensparsam und anonym — die Plattform erhalte nur ein "Ja" oder "Nein". Doch die Bürgerrechtsorganisationen EDRi und EFF warnen vor dem klassischen "Mission Creep": Heute nur für Pornografie und 18+, morgen für 16, 13, für "jugendgefährdende" Inhalte, für kontroverse Meinungen. Die Infrastruktur, einmal etabliert, lässt sich beliebig ausweiten. Sogar die deutsche Bundesdatenschutzbeauftragte fürchtet eine "weitgehende Abschaffung der Anonymität im Netz".

Und Anonymität ist kein Luxus für Kriminelle. Sie ist die Voraussetzung dafür, dass ein Whistleblower Missstände melden kann, dass eine Frau in einer Notlage Rat sucht, dass ein politisch Verfolgter kommuniziert. Wer die Anonymität abschafft, schafft die Freiheit ab, unbeobachtet zu denken und zu suchen. Es ist Orwells Big Brother, diesmal nicht am Fernseher, sondern an jeder Login-Maske.

Und wenn die Bürger ausweichen? Das VPN-Verbot als nächster Schritt

Hier zeigt sich die innere Logik des Überwachungsdenkens in Reinform — und ihre ganze Absurdität. Kaum ist die Altersverifikation da, stellt sich die Frage: Was, wenn die Leute sie einfach umgehen? Mit einem VPN, einem verschlüsselten Tunnel, der die eigene Herkunft verschleiert, ist das trivial. In Grossbritannien schossen die VPN-Downloads nach Einführung der dortigen Alterskontrolle um bis zu 1.800 Prozent nach oben. Die Menschen wichen aus, sofort und massenhaft.

Und prompt geriet das Werkzeug des Ausweichens ins Visier. EU-Vizekommissionspräsidentin Henna Virkkunen erklärte bei der Vorstellung der Altersverifikation, man müsse verhindern, dass Schutzmassnahmen mit VPNs umgangen würden, und werde sich mit solchen "risikoreichen Diensten" befassen — wie genau, konnte sie nicht erklären. Der Wissenschaftliche Dienst des EU-Parlaments stufte VPNs in einer Analyse als Gefahr für den Jugendschutz ein und nannte sie eine "Regelungslücke, die geschlossen werden muss". Im Raum stehen Ideen wie eine Altersprüfung für VPN-Anbieter — man müsste also seinen Ausweis vorzeigen, um ein Anonymisierungswerkzeug nutzen zu dürfen.

An dieser Stelle die notwendige Ehrlichkeit, denn hier wird viel übertrieben: Ein beschlossenes EU-VPN-Verbot gibt es nicht. Es existiert kein Gesetz und kein Legislativvorschlag dafür; entsprechende Behauptungen gehen über die Faktenlage hinaus, und Virkkunen ruderte später zurück, es gehe nicht um ein Verbot. Dänemark nahm einen eigenen Anlauf im Dezember 2025 nach öffentlicher Kritik wieder zurück. Es sind bisher politische Signale, ein Hintergrundpapier, eine unverbindliche Entschliessung — nicht mehr. Wer von einem fertigen Verbot spricht, hat unrecht.

Aber genau deshalb greift hier wieder das Prinzip Juncker: Man stellt die Idee in den Raum, wartet auf das Geschrei, rudert zurück — und lässt den Gedanken reifen. Und der Gedanke selbst ist schlicht hirnrissig, aus drei Gründen. Erstens ist er selbstzerstörerisch: Um zu verhindern, dass ein paar Jugendliche eine Sperre umgehen, müsste man das Anonymisierungswerkzeug ausweispflichtig machen — und zerstört damit genau die Anonymität, die der einzige Sinn eines VPN ist. Man würde die Anonymität von Millionen Erwachsenen opfern, um theoretisch einige Minderjährige zu bremsen. Zweitens ist er technisch naiv: Ein VPN ist nur ein verschlüsselter Tunnel. Wer ein Spiel installieren kann, kann sich für drei Euro im Monat einen eigenen WireGuard-Server auf einem beliebigen Mietserver aufsetzen — komplett ausserhalb jeder Anbieter-Regulierung. Getroffen werden nur die Gutwilligen, die legalen Nutzer, die Unternehmen im Homeoffice; die Umgehung bleibt für jeden halbwegs Versierten trivial. Drittens ist er entlarvend: VPN-Beschränkungen sind das Markenzeichen autoritärer Staaten — China, Russland, Iran. Wenn die EU auch nur laut darüber nachdenkt, den Zugang zu Verschlüsselung an einen Ausweis zu knüpfen, stellt sie sich in genau diese Reihe. Und sie verrät damit, worum es in Wahrheit nie ging: nicht um Kinderschutz, sondern um Kontrolle. Denn Kinderschutz liesse sich über die Geräte der Eltern regeln — ganz ohne die Anonymität der gesamten erwachsenen Bevölkerung zu schleifen.

Es ist Orwells Neusprech, wieder einmal: Das Werkzeug, das Bürger vor Überwachung schützt, wird zum "Schlupfloch" umgedeutet, das man "schliessen" muss. Wer die Sprache so dreht, hat die Freiheit schon zum Problem erklärt.

Der Digital Services Act: die Wächter der erlaubten Meinung

Wenn Chatkontrolle und Altersverifikation regeln, wer wie kommuniziert, dann regelt der Digital Services Act (DSA), was gesagt werden darf. Offiziell ist der DSA ein Gesetz für mehr Transparenz und Verantwortung grosser Plattformen wie Facebook, TikTok oder X — gegen illegale Inhalte, Betrug und Desinformation. Das klingt vernünftig, und ein Teil davon ist es auch. Doch im Detail steckt ein Mechanismus, der zum wohl umstrittensten Instrument der europäischen Netzpolitik geworden ist: die sogenannten Trusted Flagger — auf Deutsch "vertrauenswürdige Hinweisgeber".

Nach Artikel 22 des DSA können bestimmte Organisationen von einer nationalen Behörde — in Deutschland der Bundesnetzagentur — als Trusted Flagger zertifiziert werden. Melden sie einen Inhalt, muss die Plattform diese Meldung vorrangig und beschleunigt bearbeiten. Man muss hier fair bleiben: Diese Stellen haben selbst keine Löschbefugnis; die Entscheidung trifft am Ende die Plattform. Verteidiger des DSA betonen zu Recht, dass die Trusted Flagger juristisch eher "zahnlose Papiertiger" seien und Meinungsfreiheit nicht bedeute, auf jeder privaten Plattform unbegrenzte Reichweite zu haben.

Und doch liegt genau hier das Problem. Wie der Verfassungsblog analysiert, entsteht bereits durch die bevorzugte Behandlung ein Gefährdungspotenzial für die Meinungsfreiheit: Eine Plattform, die von einer staatlich lizenzierten und oft auch staatlich finanzierten Meldestelle einen Hinweis erhält, wird im Zweifel eher löschen — schon um mögliche Sanktionen zu vermeiden. Das ist der klassische Chilling Effect, das Overblocking: Im Zweifel wird weggeklickt, was Ärger machen könnte. Und "im Zweifel" trifft oft legale, nur unbequeme Meinungen.

Die entscheidende Frage lautet: Wer bestimmt, was "Desinformation" ist? Was ein "systemisches Risiko"? Wenn eine staatlich anerkannte und mit öffentlichen Geldern geförderte Organisation darüber wacht, welche Meinungen als schädlich gelten, ist die Grenze zur politischen Einflussnahme schnell überschritten. Ein Beispiel, das für Diskussionen sorgt: Die Organisation HateAid wurde im Juni 2025 als Trusted Flagger zertifiziert und hatte bis dahin nach Angaben von Kritikern Millionen an öffentlichen Fördermitteln erhalten. Ob die einzelnen Vorwürfe gegen ihre Meldepraxis zutreffen, ist umstritten — der Kern des Problems bleibt aber unabhängig vom Einzelfall bestehen: Sobald der Staat mitfinanziert, wer im Netz was melden darf, verschwimmt die Grenze zwischen Rechtsdurchsetzung und Meinungslenkung.

Auch hier greift das Neusprech. Wenn Befürworter davon sprechen, Trusted Flagger leisteten einen Beitrag zur "Demokratiehygiene", dann sollte man hellhörig werden. Denn wer entscheidet, was "hygienisch" ist und was nicht? Begriffe wie "Desinformation", "Hass" und "Delegitimierung" sind dehnbar — und genau diese Dehnbarkeit macht sie zum idealen Werkzeug. Es ist Orwells Wahrheitsministerium in institutioneller Form: ein Apparat, der nicht die Wahrheit findet, sondern festlegt, welche Aussagen als wahr gelten dürfen.

Richter, Ankläger und Vollstrecker in einer Hand

Doch der Trusted Flagger ist nur die sichtbare Spitze. Das eigentliche Machtproblem des DSA liegt eine Ebene höher — und es rührt an ein Fundament jeder freien Ordnung: die Gewaltenteilung. Seit Montesquieu ruht der freiheitliche Staat auf der Trennung dreier Gewalten. Wer die Gesetze macht (Legislative), wer sie ausführt (Exekutive) und wer über ihre Einhaltung richtet (Judikative), soll nicht dieselbe Instanz sein — sonst gibt es niemanden mehr, der die Macht kontrolliert. Genau diese Trennung verschwimmt beim DSA auf bedenkliche Weise.

Für die grossen Plattformen — die "Very Large Online Platforms" mit über 45 Millionen EU-Nutzern, also praktisch das gesamte öffentliche Netz — liegt die Aufsicht unmittelbar bei der EU-Kommission. Und dort ist die Kommission alles zugleich: Sie legt über Leitlinien und delegierte Rechtsakte fest, was als "systemisches Risiko" oder "Desinformation" gilt — sie setzt also die Regel. Sie eröffnet die Verfahren und ermittelt — sie ist Anklägerin, aktuell etwa gegen X, TikTok, Meta und Shein. Sie verhängt am Ende die Strafe: Bussgelder bis zu sechs Prozent des weltweiten Jahresumsatzes — sie ist Richterin und Vollstreckerin. Und sie finanziert ihre eigene Aufsicht über eine Gebühr, die sie den Beaufsichtigten selbst abverlangt — sie ist obendrein Kassiererin.

Regelsetzer, Ermittler, Richter, Vollstrecker und Finanzier in einer einzigen Behörde. Das ist keine Gewaltenteilung mehr, das ist Gewaltenbündelung. Und die Drohkulisse ist real: Sechs Prozent des Weltumsatzes sind für einen Konzern existenzbedrohend. Eine Plattform, die zwischen "eine unbequeme, aber legale Meinung stehen lassen" und "ein Milliarden-Bussgeld riskieren" wählen muss, entscheidet sich im Zweifel für die Löschung. So wird aus einer Institution, die offiziell nur Transparenz durchsetzt, faktisch der Entscheider und Vollstrecker darüber, was im europäischen Netz gesagt werden darf. Genau das ist der Punkt: Die EU macht sich hier zugleich zum Gesetzgeber, zum Ausführenden und zum Richter der Meinungsregulierung — und schleift damit die Grenze, die den Bürger vor der geballten Staatsmacht schützen soll.

Ein verbreiteter Irrtum sei an dieser Stelle ausgeräumt: Die berüchtigten Uploadfilter sind nicht Teil des DSA. Sie stammen aus Artikel 17 der Urheberrechtsrichtlinie von 2019 — einem eigenen Gesetz, das wir weiter unten behandeln. Dass beide oft in einen Topf geworfen werden, hat einen nachvollziehbaren Grund: Beide verlagern die Kontrolle über Inhalte weg vom Richter, hin zu automatisierten Systemen und privaten Plattformen unter staatlichem Druck. Der Mechanismus ist verwandt — die Rechtsgrundlage ist es nicht.

Fairerweise gehört die andere Seite dazu: Hass, Gewaltaufrufe und illegale Inhalte sind reale Probleme, Plattformen behalten formal das letzte Wort, und die Justiz bleibt die letzte Instanz — sie funktioniert auch. Als die Kommission die DSA-Aufsichtsgebühren zu nachlässig festlegte, kassierte das Gericht der EU 2025 ihre Bescheide wegen eines Formfehlers. Der DSA gibt Nutzern zudem neue Rechte gegen die Willkür der Konzerne — ein Beschwerde- und Schlichtungssystem gegen ungerechtfertigte Löschungen. Bemerkenswert dabei: Im ersten Halbjahr 2025 erfolgten 99 Prozent der Eingriffe gar nicht wegen des DSA, sondern wegen der oft schwammigen Hausregeln der Plattformen selbst. Das Problem ist also nicht der DSA allein, sondern die Kombination: private Konzerne mit vagen Regeln, staatlich finanzierte Melder und eine Kommission mit der Bussgeld-Keule. Doch genau in dieser Bündelung liegt die Gefahr. Eine Ordnung, in der legale, nur missliebige Äusserungen unter gebündeltem Druck vorsorglich verschwinden und die Gerichte erst Jahre später korrigieren, wenn der Chilling Effect längst gewirkt hat, ist kein Zeichen einer selbstbewussten Demokratie. Eine solche verträgt Widerspruch. Sie muss ihn nicht wegmoderieren.

Das Muster der Vorwände

Man könnte all das für eine Reihe unglücklicher Einzelfälle halten. Aber es ist ein Muster. Immer dasselbe: ein unangreifbares Ziel — Kinderschutz, Terrorabwehr, Geldwäschebekämpfung — dient als Vorwand für den Aufbau von Überwachungs- und Kontrollstrukturen, die weit über das Ziel hinausgehen.

Die Vorratsdatenspeicherung ist das Lehrstück. Der Europäische Gerichtshof hat die anlasslose, allgemeine Speicherung von Verbindungsdaten wiederholt für rechtswidrig erklärt, zuletzt 2022 im Fall der deutschen Regelung. Und was macht die EU? Sie hält an der Idee fest, sucht neue Wege, weicht auf. In der "Going Dark"-Arbeitsgruppe — hinter verschlossenen Türen, unter Ausschluss der Zivilgesellschaft — wurden 2024 sage und schreibe 42 Empfehlungen erarbeitet, die auf Verschlüsselungs-Hintertüren und ausgeweitete Datenspeicherung hinauslaufen. Der Name selbst ist Neusprech: "Going Dark", das Dunkelwerden — als seien die Behörden blind, während sie in Wahrheit über beispiellosen Datenzugriff verfügen.

Dasselbe bei den Uploadfiltern: Mit Artikel 17 der Urheberrechtsrichtlinie wurde eine Vorabkontrolle von Inhalten eingeführt, die der EuGH 2022 zwar für zulässig erklärte — aber nur unter strengen Schutzvorkehrungen für die Meinungsfreiheit. Dasselbe bei eIDAS Artikel 45, wo Mozilla und Hunderte Sicherheitsexperten warnten, die geplanten Zertifikatsregeln würden die Sicherheit des gesamten Webs untergraben und staatliches Mitlesen ermöglichen. Und dasselbe bei der Bargeldobergrenze von 10.000 Euro, die ab Juli 2027 EU-weit gilt.

Jede dieser Massnahmen ist für sich begründbar. In Summe ergeben sie das Bild eines Kontinents, der seine Bürger lückenlos erfassen, lesen, protokollieren und kontrollieren will — Schritt für Schritt, bis es kein Zurück mehr gibt.

Zweierlei Mass: die Regeln gelten für euch, nicht für sie

Kehren wir zu Orwells Schweinen zurück. Der eigentliche Skandal ist nicht allein die Überwachung — es ist die Doppelmoral. Für den Bürger gelten eiserne Regeln; für die Kaste gelten sie flexibel oder gar nicht.

Man denke an José Manuel Barroso, den früheren Kommissionspräsidenten, der 2016 zum Chairman von Goldman Sachs International wurde — jener Bank, die eine zentrale Rolle in der Finanzkrise spielte, die Europa in die Austerität stürzte. Formal brach Barroso keine Regel; die Karenzzeit war abgelaufen. Doch eine Petition von EU-Bediensteten sammelte über 154.000 Unterschriften. Barroso ist kein Einzelfall — die Drehtür zwischen Brüsseler Amt und Konzernvorstand dreht sich munter weiter.

Man denke an die schiere Dimension des Lobbyismus in Brüssel: rund 25.000 Lobbyisten, nach Washington die zweitgrösste Konzentration der Welt. Allein die grössten Konzerne geben inzwischen über 380 Millionen Euro pro Jahr für Lobbyarbeit aus. Wer in diesem Ohr flüstert, hat Einfluss. Der Bürger flüstert nicht — er zahlt und gehorcht.

Man denke an den monatlichen Wanderzirkus des Parlaments zwischen Brüssel und Strassburg: eine sinnlose Pendelei, die den Steuerzahler nach der verlässlichsten Schätzung des Rechnungshofs rund 114 Millionen Euro im Jahr und über 20.000 Tonnen CO2 kostet — nur, weil Frankreich auf seinem Standort besteht und eine Änderung Einstimmigkeit erfordert.

Und man denke an den Umgang mit Ungarn: Im Dezember 2023 gab die Kommission rund 10,2 Milliarden Euro eingefrorene Mittel frei — ausgerechnet, kurz bevor Viktor Orban auf einem Gipfel gebraucht wurde. Das Parlament klagte dagegen und nannte es politisch motiviert. Die Kommission bestreitet einen Deal, und das Verfahren ist noch offen — der Vorwurf des zweierlei Masses bleibt Interpretation. Aber es ist eine Interpretation, die sich aufdrängt: Wo der Rechtsstaatsmechanismus als Druckmittel gegen Unbequeme dient und als Ware, wenn man etwas braucht, ist er kein Prinzip mehr, sondern Taktik.

Für uns: Chatkontrolle, Vermögensregister, Bargeldgrenzen, Ausweispflicht. Für sie: gelöschte SMS, Koffer voller Geld, Goldman-Sachs-Posten und Milliardendeals mit Handschlag. Alle Tiere sind gleich. Aber manche sind eben gleicher.

Die Folgen: ein Kontinent, der nicht mehr wächst

Bis hierher ging es um Überwachung und Doppelmoral. Doch all das geschieht nicht im luftleeren Raum. Es geschieht vor dem Hintergrund eines Kontinents, der wirtschaftlich den Anschluss verliert und dessen Gesellschaften auseinanderdriften. Und beides hängt mit der Art zusammen, wie in Brüssel regiert wird.

Beginnen wir mit den harten Zahlen. Deutschland — jahrzehntelang der Wirtschaftsmotor Europas — hat gerade das hinter sich, was es in seiner Nachkriegsgeschichte noch nie gab: drei Jahre Rezession und Stagnation in Folge. Das Bruttoinlandsprodukt schrumpfte 2023 um 0,9 Prozent, 2024 um weitere 0,5 Prozent, und 2025 kletterte es gerade eben um mickrige 0,2 Prozent — statistisch das Ende der Rezession, gefühlt ein Stillstand. Das Institut der deutschen Wirtschaft brachte es im Dezember 2025 auf den Punkt: Selbst das erwartete Mini-Wachstum von knapp einem Prozent für 2026 sei "keine wirkliche Aufschwungsqualität" — eine echte Trendwende sei nicht in Sicht. Der ganze Euroraum dümpelt bei gut einem Prozent Wachstum vor sich hin.

Das ist kein Ausrutscher, sondern ein struktureller Absturz. Man muss es nicht von EU-Kritikern hören — man kann es bei jemandem nachlesen, der der EU denkbar nahesteht: Mario Draghi, ehemaliger EZB-Chef, in seinem Bericht zur europäischen Wettbewerbsfähigkeit von 2024, in Auftrag gegeben von der Kommission selbst. Draghis Befund ist verheerend: Das Bruttoinlandsprodukt der EU liegt inzwischen rund 30 Prozent hinter dem der USA zurück — 2002 waren es erst 15 Prozent. Europa fällt seit den 2000er-Jahren immer weiter zurück, vor allem, weil es die Produktivität nicht steigert und bei Zukunftstechnologien den Anschluss verpasst hat. Draghi nennt das eine "existenzielle Herausforderung" — und warnt, dass Europa ohne drastisch besseres Wachstum bald nicht mehr in der Lage sein werde, seinen eigenen Sozialstaat zu finanzieren.

Und was empfiehlt ausgerechnet Draghi, der Insider? Unter anderem: weniger und bessere Regulierung. Man lasse das wirken. Der Kronzeuge der EU selbst diagnostiziert, dass der Regulierungsapparat, den wir in diesem Artikel Kapitel für Kapitel beschrieben haben, das Wachstum erstickt. Natürlich hat die Schwäche viele Ursachen — teure Energie, der demografische Wandel, die Konkurrenz aus China, die US-Zölle. Aber der Reflex Brüssels, auf jedes Problem mit einem neuen Gesetz, einer neuen Meldepflicht, einer neuen Kontrollbehörde zu antworten, ist ein Teil davon. Ein Kontinent, der seine Bürger scannt, ihr Vermögen katalogisiert und ihre Zahlungen bedingt, ist kein Kontinent, der Unternehmer, Erfinder und Investoren anzieht. Er ist einer, den sie verlassen.

Deindustrialisierung mit Ansage

Nirgends wird dieser Absturz greifbarer als bei jenem Konzern, der jahrzehntelang für das deutsche Wirtschaftswunder stand: Volkswagen. Der Autobauer verzeichnete 2025 den grössten Gewinneinbruch seit dem Dieselskandal — der Nettogewinn brach um fast die Hälfte ein. Nach einem ersten Abbauprogramm von rund 35.000 Stellen in Deutschland folgte 2025 die Ankündigung von konzernweit rund 50.000 gestrichenen Arbeitsplätzen bis 2030. Und im Juni 2026 berichtete das "Manager Magazin" unter Berufung auf Insider von bis zu 100.000 wegfallenden Stellen weltweit und der drohenden Schliessung von vier Werken — Hannover, Zwickau, Emden und das Audi-Werk Neckarsulm. Der Konzern bestätigte die 100.000 nicht, sprach aber von "tiefgreifenden" Veränderungen. Die Begründung des VW-Sprechers ist bezeichnend: Das Modell, "Autos in Deutschland zu entwickeln, in Europa zu produzieren und weltweit zu exportieren", funktioniere nicht mehr.

Das ist mehr als eine Firmenkrise — es ist ein Symbol. Und die Ironie ist bitter: Während Brüssel per Verordnung das Aus für den Verbrennungsmotor ab 2035 beschloss, dominiert längst China den Weltmarkt für Elektroautos. Man hat die eigene Schlüsselindustrie einer Ideologie unterworfen, ohne die industrielle Basis zu schaffen, die diese Ideologie tragen könnte. Die Politik gab das Ziel vor, den Weg dorthin überliess sie dem Markt — nur dass der Markt inzwischen in Shenzhen sitzt, nicht in Wolfsburg.

Und wo bleiben die neuen Champions, die den Verlust ausgleichen? Sie entstehen woanders. Draghi hat den Kern benannt: Der Produktivitätsrückstand Europas ist weitgehend ein Rückstand im Techsektor — Europa hat kein Google, kein Amazon, keinen globalen Techgiganten hervorgebracht. Es gibt europäische Fintechs und Startups, gewiss, doch die wirklich grossen Erfolgsgeschichten wandern nach Übersee, wo Kapital, Skalierung und schlankere Regeln locken. Statt Innovation zu ermöglichen, produziert Europa Verordnungen: DSGVO, DSA, DMA, AI Act, Lieferkettengesetz, Taxonomie. Jede einzelne mag gut gemeint sein. In Summe ergeben sie ein Klima, in dem der Gründer erst einen Compliance-Beauftragten braucht, bevor er das erste Produkt baut. Bürokratie ohne Ende — und am Ende wundert man sich, dass die Klügsten ihre Firmen nicht hier gründen.

Eine gespaltene Gesellschaft — und eine Politik, die es anfeuert

Wirtschaftliche Perspektivlosigkeit bleibt nie ohne gesellschaftliche Folgen. Wenn Menschen das Gefühl haben, dass es bergab geht und niemand sie hört, wächst die Wut. Und die Zahlen sind alarmierend: Nur noch 14 Prozent der Deutschen glauben, dass es der nächsten Generation besser gehen wird als der heutigen. Vierzehn Prozent. Ein Land, das den Glauben an die eigene Zukunft verloren hat.

Das Vertrauen in die Institutionen — die Bundesregierung, die EU — ist auf einem Tiefpunkt, und die Forscher benennen die Ursachen klar: die wirtschaftliche Rezession und die zunehmende Polarisierung, in deren Folge sich viele Bürger nicht mehr repräsentiert fühlen. Diese Polarisierung ist messbar: Studien zeigen, dass die gesellschaftliche und politische Spaltung in Europa seit 2019 weiter zunimmt. Sogar der Europäische Wirtschafts- und Sozialausschuss — ein EU-Organ — warnt vor einer "zunehmenden gesellschaftlichen Fragmentierung" und davor, dass Polarisierung, wenn sie in Feindseligkeit umschlägt, "die Grundfesten unserer Demokratien" bedrohe.

Und hier schliesst sich der Kreis. Eine Politik, die nicht liefert, die Wohlstand verwaltet statt schafft, die den Bürger überwacht statt ihm zu vertrauen, treibt genau jene Spaltung voran, über die sie sich dann öffentlich empört. Man baut Überwachungsinfrastruktur gegen die eigene Bevölkerung, weil man sie zunehmend als Risiko begreift — und wundert sich, dass diese Bevölkerung das Vertrauen verliert. Man schürt mit immer neuen Verboten und Belehrungen den Frust — und beklagt dann den "Rechtsruck" und den "Extremismus", den man selbst mitgezüchtet hat. Wer die Mitte der Gesellschaft dauerhaft bevormundet und ihr das Gefühl gibt, dass ihre Sorgen nicht zählen, muss sich nicht wundern, wenn sie an die Ränder wandert.

Das ist die eigentliche Tragödie. Die Werkzeuge, die angeblich Sicherheit und Zusammenhalt schaffen sollen — Chatkontrolle, digitaler Euro, Vermögensregister —, bewirken das Gegenteil: Sie zerstören Vertrauen, ersticken Wachstum und vertiefen die Gräben. In Orwells Welt hält die Angst das System zusammen. In unserer droht die Angst, es zu zerreissen.

Die Bar, in die niemand freiwillig ginge

Das Problem an all dem ist, dass es so schwer zu fassen ist. Das Digitale ist schwammig, unsichtbar, abstrakt. Ein Algorithmus, der Nachrichten scannt, ein Haltelimit im digitalen Euro, ein Trusted Flagger — das sind Begriffe, unter denen sich kaum jemand etwas Konkretes vorstellt. Also übersetzen wir es einmal in die echte Welt. Stellt euch vor, all das gälte nicht im Netz, sondern an einem ganz normalen Freitagabend, wenn ihr euch mit ein paar Freunden auf ein Bier trefft.

Ihr kommt an der Bar an. Bevor ihr hinein dürft, müsst ihr an der Tür euren Ausweis vorzeigen — und es wird ein Gesichtsscan gemacht, eure biometrischen Daten werden erfasst und gespeichert. Das ist die Altersverifikation, die digitale Identität an der Eingangstür.

Ihr setzt euch an einen Tisch. In der Mitte steht ein Mikrofon. Es nimmt alles auf, jedes Wort, jeden Witz, jede hitzige politische Diskussion — und eine künstliche Intelligenz hört live mit und wertet aus, noch während ihr redet. Das ist die Chatkontrolle: Jede Äusserung wird durchleuchtet, bevor sie überhaupt bei eurem Gegenüber ankommt.

An den Nebentischen sitzen unauffällige Gäste. Sie sehen aus wie ihr, aber es sind zertifizierte Spitzel — für den Fall, dass die KI etwas übersieht, hören sie mit und melden, was ihnen missfällt. Das sind die Trusted Flagger: staatlich anerkannte Denunzianten, deren Meldung bevorzugt behandelt wird.

Sagt jetzt einer von euch etwas Falsches — eine unbequeme Meinung, einen derben Scherz —, dann steht Sekunden später die Polizei am Tisch. Ohne richterlichen Beschluss, ohne Verfahren, sofort. Und das Bemerkenswerte: Der Wirt dieser Bar hat die Hausordnung selbst geschrieben, entscheidet allein, was verboten ist, ruft die Polizei und kassiert am Ende auch noch das Bussgeld. Ankläger, Richter und Vollstrecker in einer Person. Das ist die Welt ohne Gewaltenteilung, wie sie der DSA für das Netz anlegt.

Und wenn ihr euch danach mit einem weiteren Bier beruhigen wollt? Der Barkeeper verweigert es. Ihr habt euer Limit überzogen — mehr ist heute nicht vorgesehen. Oder ihr bekommt von vornherein gar nichts, weil ihr längst geflaggt seid und euer Geld für Alkohol schlicht nicht mehr funktioniert. Das ist der digitale Euro/Franken mit seinen Haltelimits und bedingten Zahlungen: Geld, das nur noch das kauft, was erlaubt ist, und dem, der auffällt, den Dienst verweigert.

In eine solche Bar würde kein Mensch freiwillig gehen. Ihr würdet auf dem Absatz kehrtmachen, es einen Polizeistaat nennen, euch fragen, in welchem Albtraum ihr gelandet seid. Niemand würde diese Zustände auch nur eine Minute hinnehmen.

Und doch ist es exakt diese Bar, die gerade Raum für Raum im Digitalen gebaut wird. Die Chatkontrolle ist das Mikrofon. Die Altersverifikation ist die Tür. Die Trusted Flagger sind die Spitzel. Der DSA ist der Wirt, der zugleich Richter und Polizei ist. Der digitale Euro ist der Barkeeper, der euch abschneidet. Der einzige Unterschied zur Bar: Im Netz seht ihr das Mikrofon nicht auf dem Tisch, den Spitzel nicht am Nebentisch, das Limit nicht auf der Rechnung. Alles ist unsichtbar, in Code gegossen, hinter freundlichen Worten versteckt. Genau deshalb ist es so schwer zu greifen — und genau deshalb ist es so gefährlich.

Warum die EU sterben muss, damit Europa leben kann

Nun die notwendige Fairness — denn ein Argument ist nur so stark wie sein Umgang mit dem Gegenargument. Der Schutz von Kindern vor Missbrauch ist ein reales, drängendes Anliegen. Geldwäsche und Terrorfinanzierung sind reale Probleme. Die EZB hat reale Gründe, angesichts der Dominanz amerikanischer Zahlungsdienstleister über eine europäische Alternative nachzudenken. Und die EU hat Europa Jahrzehnte des Friedens, offener Grenzen und eines Binnenmarkts gebracht, von dem gerade ein Exportland wie die Schweiz mittelbar profitiert. Das alles gehört auf den Tisch.

Aber genau darum geht es. Man kann all diese legitimen Ziele verfolgen, ohne jeden Bürger unter Generalverdacht zu stellen. Man kann Kinder schützen, ohne die Verschlüsselung zu brechen. Man kann Geldwäsche bekämpfen, ohne das Vermögen jedes Einzelnen zu katalogisieren. Man kann eine europäische Währung wollen, ohne die Infrastruktur zur Verhaltenssteuerung mitzuliefern. Der Weg, den diese EU wählt, ist nicht der einzige Weg. Er ist eine Entscheidung. Und es ist immer dieselbe Entscheidung: mehr Erfassung, mehr Kontrolle, weniger Anonymität, weniger Selbstbestimmung.

Der Titel dieses Artikels ist bewusst zugespitzt. "Die EU muss sterben" heisst nicht: zurück zu Nationalismus und geschlossenen Grenzen. Es heisst: Dieser bürokratische, kontrollversessene, sich selbst über die Demokratie stellende Apparat muss sterben — damit die eigentliche europäische Idee leben kann. Die Idee eines Kontinents freier Menschen, die einander vertrauen, statt einander zu überwachen. Die Idee, dass der Staat dem Bürger dient und nicht umgekehrt. Die Idee, dass Grundrechte keine Verhandlungsmasse sind, die man Schritt für Schritt abträgt, bis es kein Zurück mehr gibt.

Orwell hat "1984" nicht als Anleitung geschrieben, sondern als Warnung. Er hat "Farm der Tiere" nicht geschrieben, damit wir uns bequem zurücklehnen, sondern damit wir die Schweine erkennen, wenn sie beginnen, auf zwei Beinen zu gehen. Die Werkzeuge, die uns bleiben, sind konkret und in unserer Hand: Verschlüsselung nutzen und verteidigen. Bargeld erhalten. Selbstverwahrtes Geld wie Bitcoin lernen und verwenden. Freie Software und dezentrale Infrastruktur aufbauen. Und laut sein — denn das Prinzip Juncker funktioniert nur, solange es "kein grosses Geschrei gibt".

Die Chatkontrolle wurde vorerst gestoppt, weil es Geschrei gab. Das ist der Beweis: Es funktioniert. Aber sie kommt zurück, getarnt und umbenannt. Wie all das andere. Wer digitale Souveränität ernst nimmt, hat keine Wahl, als wachsam zu bleiben. Nicht aus Paranoia — sondern weil man das, was man kommen sieht, seinen Kindern nicht zumuten will.

Europa ist es wert, verteidigt zu werden. Auch — und gerade — gegen die, die in seinem Namen sprechen.

Dieser Artikel ist ein Meinungsbeitrag. Wo Vorgänge gerichtlich festgestellt sind (etwa das Pfizergate-Urteil oder die EuGH-Urteile zur Vorratsdatenspeicherung), ist das kenntlich gemacht; wo es um Vorwürfe, Befürchtungen oder Interpretationen geht (etwa mögliche Korruption oder die Zukunft des Vermögensregisters), ebenso. Alle Fakten sind verlinkt — bildet euch euer eigenes Urteil.

The post Warum die EU sterben muss, damit Europa leben kann appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

• Es geht um die freiwillige „Chatkontrolle 1.0" – eine Ausnahme von den EU-Datenschutzregeln, die Anbietern wie Meta, Google oder Microsoft erlaubt, unverschlüsselte Inhalte freiwillig nach Missbrauchsdarstellungen zu durchsuchen. Ende-zu-Ende-verschlüsselte Messenger wie Signal, Threema oder Element sind ausdrücklich ausgenommen.
• Es geht nicht um die verpflichtende „Chatkontrolle 2.0" mit Client-Side-Scanning. Die steckt weiter im Trilog.

Trotzdem ist der Vorgang ein Lehrstück darüber, wie in Brüssel ein einmal gefälltes „Nein" über Verfahrenstricks in ein „Ja" verwandelt wird. Genau deshalb schauen wir hier genauer hin.

Was am 9. Juli tatsächlich passiert ist

Rein rechnerisch hat eine relative Mehrheit der Abgeordneten gegen die Verlängerung der Ausnahme gestimmt. Laut netzpolitik.org und dem früheren EU-Abgeordneten Patrick Breyer waren es 314 Gegenstimmen. Der Haken: Um den Ratsvorschlag endgültig zu begraben, wäre eine absolute Mehrheit von 361 Stimmen nötig gewesen. Diese Hürde wurde verfehlt – und damit gilt der Vorschlag als angenommen.

Anders gesagt: Nicht die Befürworter mussten eine Mehrheit organisieren, sondern die Gegner. Die Beweislast wurde umgekehrt. Wer die Überwachung stoppen wollte, musste dafür die absolute Mehrheit des gesamten Parlaments mobilisieren – mitten in der beginnenden Sommerpause, in der ein Teil der Abgeordneten gar nicht mehr anwesend war.

Ein Änderungsantrag der liberalen Renew-Fraktion, der die Ende-zu-Ende-Verschlüsselung explizit ausnimmt, ging durch. Wie das technisch sauber umgesetzt werden soll, bleibt allerdings offen. Formal ist die Sache damit noch nicht abgeschlossen: Das Parlament hat seine Position gebilligt und Änderungen verlangt, Kommission und Rat müssen abschliessend zustimmen, bevor die Regel wieder greift.

Der Verfahrenstrick im Detail: So wurde aus einem „Nein" ein „Ja"

Der eigentliche Skandal steckt nicht im Ergebnis, sondern im Weg dorthin. Kritiker aus mehreren Fraktionen sprechen von einem „Taschenspielertrick", einem „illegalen Geschäftsordnungstrick" und einem „demokratiepolitischen Foulspiel". Der Mechanismus lässt sich in drei Bausteinen erklären:

1. Die Verschiebung in die „zweite Lesung". Das Dossier wurde formal in die zweite Lesung des ordentlichen Gesetzgebungsverfahrens gehoben. Und genau hier greift die entscheidende Umkehr: In der zweiten Lesung kann der Standpunkt des Rates nur noch mit einer absoluten Mehrheit von 361 der 719 Abgeordneten abgelehnt oder geändert werden. Wird diese Schwelle innerhalb der Frist nicht erreicht, gilt der Ratsstandpunkt automatisch als angenommen. Normalerweise braucht ein Gesetz eine Mehrheit dafür. Hier war es umgekehrt: Der Vorschlag war durch, solange ihm nicht 361 Abgeordnete aktiv widersprechen. Jede leere Stelle im Plenarsaal spielte damit dem Vorschlag in die Hände.

2. Eine eigens dafür erstellte Ratsstellungnahme. Damit diese zweite Lesung überhaupt ausgelöst werden konnte, brachten die EU-Staaten formell noch einmal eine Position ein – eine Stellungnahme, die von Kritikern als eigens zu diesem Zweck angefertigt beschrieben wird. Angestossen hatte das Ganze Parlamentspräsidentin Roberta Metsola, die sich Mitte Juni beim EU-Gipfel überraschend dafür einsetzte, erneut an einer Übergangslösung zu arbeiten – und sich dabei die Rückendeckung der Mitgliedstaaten und der EVP holte, nicht aber die der übrigen Fraktionen.

3. Das Dringlichkeitsverfahren und das perfekte Timing. Die EVP beantragte ein Dringlichkeitsverfahren, das den sonst zuständigen Innenausschuss (LIBE) umging. Am 7. Juli stimmte das Parlament mit 331 zu 304 Stimmen für dieses beschleunigte Verfahren. Die entscheidende Sachabstimmung wurde dann auf den 9. Juli gelegt – den letzten Sitzungstag vor der Sommerpause. An diesem Tag waren nur noch rund 600 der 719 Abgeordneten anwesend. Die Rechnung dahinter ist simpel: Wer für eine Ablehnung 361 aktive Gegenstimmen organisieren muss, während ein Teil der Kollegen schon auf dem Weg in den Urlaub ist, hat kaum eine Chance. Die fraktionslosen Abgeordneten Sibylle Berg und Martin Sonneborn hatten Metsola vorab schriftlich aufgefordert, das Dringlichkeitsverfahren gar nicht erst zuzulassen – die Geschäftsordnung sehe ein solches Verfahren in der zweiten Lesung nicht vor.

Das Ergebnis vom 9. Juli

Und genau so kam es: Änderungsanträge, die die Ratsinitiative ganz abgelehnt hätten, verfehlten gleich zu Beginn mit 314 zu 276 Stimmen bei 17 Enthaltungen die nötige absolute Mehrheit von 361 – so die Zählung von heise online und Patrick Breyer. Damit steht fest: Eine Mehrheit der tatsächlich anwesenden Abgeordneten stimmte gegen die Vorlage – und sie kam trotzdem durch. Reaktiviert wird die Chatkontrolle 1.0 damit für rund zwei Jahre, also bis etwa 2028.

Der komplette Ablauf im Zeitraffer:

1. 26. März 2026: Das Parlament lehnt die Verlängerung der freiwilligen Ausnahme ab – mit 311 Gegenstimmen zu 228 Ja-Stimmen und 92 Enthaltungen. Die Übergangsregelung läuft am 3. April 2026 aus.
2. Mitte Juni 2026: Metsola bringt das Thema beim EU-Gipfel zurück auf die Agenda.
3. Anfang Juli: Der Rat holt die Ausnahme über einen formal neuen Entwurf zurück; die EU-Staaten ermöglichen dem Parlament damit, ein drittes Mal abzustimmen.
4. 7. Juli: Das Parlament billigt mit 331 zu 304 Stimmen das Dringlichkeitsverfahren.
5. 9. Juli: Die Ablehnung scheitert an der 361-Stimmen-Hürde – die Chatkontrolle 1.0 ist zurück.

Scharfe Kritik – bis in die eigenen Reihen

Der Widerstand kam quer durch die Fraktionen. Berichterstatterin Birgit Sippel (SPD) verurteilte das kurzfristig anberaumte Eilverfahren ohne Einbindung des Fachausschusses als „unlautere Manöver". Der Grünen-Abgeordnete Erik Marquardt sprach von einem schwarzen Tag für die Bürgerrechte und warf Metsola vor, ihre Rolle massiv überschritten zu haben. Selbst innerhalb der liberalen Renew-Fraktion regte sich Widerstand: Die Abgeordnete Irena Joveva betonte, das Haus könne die Massenüberwachung der Bevölkerung nicht einfach durchwinken. Und Patrick Breyer, der den Begriff „Chatkontrolle" einst prägte, bringt das eigentliche Muster auf den Punkt: Solange die von US-Konzernen umworbenen EU-Regierungen ihren bequemen Status quo der freiwilligen Massenscans immer wieder per Verfahrenstrick verlängert bekommen, haben sie keinen Anreiz, sich auf das zielgerichtete Kinderschutz-Konzept des Parlaments einzulassen.

Bemerkenswert am Rande: Das oft bemühte Argument, das Auslaufen der Regel im April habe eine gefährliche Rechtslücke gerissen, widerlegen neue Zahlen – das Bundeskriminalamt stellte nach dem Auslaufen keinen Einbruch der Verdachtsmeldungen fest.

Chatkontrolle 1.0 vs. Chatkontrolle 2.0 – bitte nicht verwechseln

Weil hier oft alles in einen Topf geworfen wird, lohnt die klare Trennung:

Chatkontrolle 1.0 ist eine seit 2020/2021 bestehende, befristete Ausnahme von der ePrivacy-Richtlinie. Sie erlaubt Anbietern, unverschlüsselte Kommunikation freiwillig auf bekanntes Missbrauchsmaterial zu scannen. Verschlüsselte Chats sind aussen vor. Genau diese Ausnahme wurde jetzt reaktiviert.

Chatkontrolle 2.0 ist die geplante, dauerhafte CSA-Verordnung (Child Sexual Abuse Regulation, CSAR), die die EU-Kommission im Mai 2022 vorgelegt hat. In ihrer ursprünglichen Fassung hätte sie Anbieter verpflichtet, sämtliche Kommunikation – auch verschlüsselte – per Client-Side-Scanning direkt auf dem Gerät zu durchleuchten, bevor Nachrichten überhaupt verschlüsselt werden. Diese Verordnung ist nicht beschlossen. Sie befindet sich weiter im Trilog zwischen Parlament, Rat und Kommission.

Der Grund, warum die Unterscheidung sicherheitstechnisch entscheidend ist: Client-Side-Scanning bricht das Sicherheitsmodell von Ende-zu-Ende-Verschlüsselung. Eine Hintertür für den Staat ist immer eine Hintertür für alle – ein Punkt, den die Kryptografie-Community seit Jahren einhellig betont. Signal-Präsidentin Meredith Whittaker hat mehrfach angekündigt, den europäischen Markt eher zu verlassen, als die Integrität der Verschlüsselung zu untergraben.

Die Vorgeschichte: ein „meistkritisiertes Gesetz aller Zeiten"

Die Chatkontrolle hat eine lange Geschichte des Scheiterns – und das ist der Kern dessen, was viele am aktuellen Vorgehen empört. Ein kompakter Zeitstrahl:

• 2020: Die EU führt eine befristete ePrivacy-Ausnahme ein, damit Anbieter freiwillig nach CSAM suchen dürfen. Ursprünglich als Sechs-Monats-Massnahme gedacht, danach wiederholt verlängert.
• Mai 2022: Die Kommission legt die CSAR vor. Der Begriff „Chatkontrolle", geprägt von Patrick Breyer, wird zum Sammelbegriff der Kritik.
• Juli 2022: Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) kritisieren den Entwurf scharf.
• November 2023: Das Parlament legt seine Position fest – mit grundrechtsschonenderen Vorschlägen und dem klaren Ausschluss des Scannens verschlüsselter Inhalte.
• Juni 2024: Unter belgischer Ratspräsidentschaft wird eine Abstimmung im Rat in letzter Minute abgesagt, weil die Mehrheit fehlt.
• 2024: Der Wissenschaftliche Dienst des EU-Parlaments kommt zum Schluss, dass die CSAR gegen die Artikel 7 und 8 der EU-Grundrechtecharta verstösst.
• Oktober 2025: Der dänische Vorstoss für verpflichtendes Client-Side-Scanning findet im Rat keine ausreichende Unterstützung.
• November 2025: Der Rat einigt sich unter dänischer Präsidentschaft auf eine gemeinsame Position – und streicht die verpflichtenden Aufdeckungsanordnungen. Geblieben sind freiwilliges Scannen, Risikominderungspflichten, eine Altersverifikation und ein neues EU-Zentrum gegen Kindesmissbrauch.
• 26. März 2026: Das Parlament lehnt die Verlängerung der freiwilligen Ausnahme ab.
• 9. Juli 2026: Per Eilverfahren kehrt genau diese Ausnahme zurück.

Kurz: Seit 2022 ist der Entwurf trotz zahlreicher Anläufe von Ungarn, Schweden, Belgien und Dänemark nie regulär als verpflichtendes Gesetz verabschiedet worden. Dass eine bereits abgelehnte Regel nun über ein beschleunigtes Verfahren zurückkommt, reiht sich in dieses Muster ein.

Warum Datenschützer weiter Alarm schlagen

Auch wenn diesmal „nur" die freiwillige Variante betroffen ist und Verschlüsselung formal ausgenommen bleibt – die grundsätzlichen Einwände bleiben bestehen:

• Anlasslose Massenkontrolle: Ein flächendeckendes Scannen privater Nachrichten stellt Millionen Unverdächtige unter Generalverdacht. Kritiker halten dem das Konzept des Parlaments entgegen: Kinder würden durch zielgerichtete, anlassbezogene Strafverfolgung wirksamer geschützt als durch das Durchleuchten der Kommunikation Unschuldiger.
• Fragwürdige Trefferquote: Breyer verweist auf Zahlen der deutschen Bundespolizei, wonach ein grosser Teil der Meldungen von vornherein nicht strafrechtlich relevant ist.
• Die Architektur ist eine Blaupause: Auch ohne Scan-Zwang gilt – einmal gebaut, lässt sich eine Überwachungsinfrastruktur politisch ausweiten. Der EDSA warnt genau davor: Ein „freiwilliges" Scannen in Kombination mit weit gefassten Risikominderungspflichten ist funktional kaum von verpflichtendem Scannen zu unterscheiden.
• Der neue Schauplatz Altersverifikation: Während der Scan-Zwang vorerst vom Tisch ist, rückt eine verpflichtende Altersverifikation in den Vordergrund – die in der Praxis schnell zu einer faktischen Ausweispflicht für weite Teile des Internets führen kann und anonyme Kommunikation gefährdet.

Was ihr jetzt konkret tun könnt

Panik hilft nicht, Vorsorge schon. Solange kein Scan-Zwang gilt, bleibt eure Kommunikation über Ende-zu-Ende-verschlüsselte Dienste privat – und ihr macht euch unabhängiger von einzelnen Plattformen und deren freiwilligen Scans:

• Setzt auf konsequent verschlüsselte Messenger wie Signal oder Element statt auf Dienste, deren Datenschutz von einer politischen Ausnahmeregel abhängt.
• Nutzt selbstgehostete Infrastruktur, wo es geht – von der eigenen Cloud bis zur eigenen Mail. Wer die Kontrolle über die eigenen Daten behalten will, gibt sie nicht freiwillig an Grosskonzerne ab, die morgen zum Scannen verpflichtet oder ermächtigt werden könnten.
• Bleibt informiert und laut: Der Streit um die dauerhafte Chatkontrolle 2.0 hat, wie Breyer sagt, „erst begonnen". Die Trilog-Verhandlungen laufen weiter.

Fazit

Die Schlagzeile „EU beschliesst Chatkontrolle im Eilverfahren" ist zugespitzt, aber im Kern nicht falsch: Das Parlament hat eine erst im März abgelehnte Überwachungsregel über einen Verfahrenstrick zurückgeholt, der die Beweislast umkehrt und die Sommerpause ausnutzt. Dass es dabei „nur" um die freiwillige Chatkontrolle 1.0 für unverschlüsselte Inhalte geht und Verschlüsselung ausgenommen bleibt, ist ein wichtiger Unterschied – aber kein Grund zur Entwarnung. Denn das eigentliche Signal ist ein anderes: Wenn ein demokratisch gefälltes „Nein" per Eilverfahren in ein „Ja" verwandelt werden kann, dann ist digitale Souveränität keine Frage des Vertrauens in Institutionen, sondern eine Frage der eigenen Infrastruktur. Verschlüsselung, Selbsthosting und Unabhängigkeit von Plattformen sind keine Nische mehr – sie sind die Versicherung gegen genau solche Kehrtwenden.

Dieser Beitrag fasst den Stand vom 10. Juli 2026 zusammen. Das Gesetzgebungsverfahren läuft weiter; Kommission und Rat müssen der Parlamentsposition noch abschliessend zustimmen.

The post EU beschliesst Chatkontrolle Light im Eilverfahren appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Höchste Zeit für ein Update. Wir schauen uns an, was konkret behauptet wird, wie das zu den Lücken passt, die wir damals schon beschrieben haben – und vor allem: was davon belegt ist und was reine Behauptung bleibt.

Worum geht es? Gleich mehrere Verfahren auf einmal

Wer die Schlagzeilen verfolgt, verliert schnell den Überblick, weil mehrere Sachen parallel laufen. Eine Übersicht des Strafverteidigers Jens Ferner bringt etwas Ordnung hinein – es sind im Kern diese Stränge:

Die internationale Sammelklage in San Francisco. Eingereicht Ende Januar 2026 von der Kanzlei Quinn Emanuel vor einem Bundesgericht im Nordbezirk Kalifornien. Geklagt hat eine Gruppe von Nutzern aus Australien, Brasilien, Indien, Mexiko und Südafrika, stellvertretend für die über drei Milliarden WhatsApp-Nutzer. Die Klage spricht von einer „kleptographischen Backdoor" und wirft Meta irreführende Geschäftspraktiken vor.

Eine Whistleblower-Klage seit September 2025. Hier geht es um einen ehemaligen WhatsApp-Mitarbeiter.

Eine Untersuchung des US-Handelsministeriums. Sie prüfte Aussagen ehemaliger Content-Moderatoren, die über den Dienstleister Accenture für Meta gearbeitet haben sollen. Pikant: Diese Untersuchung wurde im April 2026 laut Bloomberg abrupt eingestellt – ein Ermittler hatte zuvor über zehn Monate Material gesammelt und intern festgehalten, Meta speichere verschlüsselte WhatsApp-Nachrichten und könne sie lesen.

Die Klage des Bundesstaats Texas. Im Mai 2026 reichte das Büro von Generalstaatsanwalt Ken Paxton eine eigene Klage unter dem Texas Deceptive Trade Practices Act ein und fordert Zivilstrafen pro Verstoss.

Es ist also kein einzelner Querulant, sondern eine ganze Welle. Das macht die Sache interessant – sagt aber für sich genommen noch nichts über den Wahrheitsgehalt aus.

Der Kern des Vorwurfs: das „Task"-System

Im Zentrum aller Vorwürfe steht ein angeblicher interner Mechanismus. Laut Klageschrift müsse ein Meta-Mitarbeiter lediglich einen „Task", also eine Anfrage über ein internes System, an ein Engineering-Team senden, um Zugriff auf Chats zu erhalten. Dieser Zugriff werde dann oft „ohne jegliche Prüfung" gewährt.

Besonders brisant: Laut Darstellung der Kläger liessen sich die Nachrichten danach nahezu in Echtzeit und auch rückwirkend einsehen – ohne zusätzlichen Entschlüsselungsschritt. Genau das ist der Punkt, der über alles hinausgeht, was wir im Ursprungsartikel beschrieben haben. Es wäre eben nicht „nur" das bekannte Backup-Loch oder die Meldefunktion, sondern ein direkter Live-Zugriff auf laufende, eigentlich Ende-zu-Ende-verschlüsselte Kommunikation.

Wie passt das zu den Lücken, die wir längst beschrieben haben

Wer unseren ersten Artikel gelesen hat, kennt die realen Schwachstellen schon. Und genau hier wird es spannend, weil die Klage teils auf bekanntem, belegtem Terrain aufbaut – und teils weit darüber hinausschiesst.

Belegt und unbestritten:

• Unverschlüsselte Backups. Wer die E2EE-Backups nicht aktiv einschaltet, hat seinen Chatverlauf in Google Drive oder iCloud in einer Form liegen, auf die der Anbieter zugreifen kann. WhatsApp schreibt selbst in den Support-Dokumenten, dass Backups in der Cloud nicht durch die WhatsApp-E2EE geschützt sind. Verschlüsselte Backups gibt es zwar seit Ende 2021 – aber standardmässig sind sie nicht aktiv.
• Die Meldefunktion (Message Franking). Wird eine Nachricht gemeldet, werden die letzten fünf Nachrichten im Klartext an WhatsApp übertragen. Das ist ein bekannter, dokumentierter Mechanismus – und genau hier liegt der wahre Kern hinter der Accenture-Geschichte: Moderatoren sichten gemeldete Inhalte.
• Metadaten. Wer mit wem, wann, wie oft, von welcher IP – das alles wird erhoben und fällt nicht unter „Inhalt".

Behauptet, aber unbewiesen:

• Der angebliche Live-Zugriff per „Task" auf beliebige laufende Chats. Hier ist die zentrale Frage, ob die Aussagen der ehemaligen Moderatoren auf einem Missverständnis über den legitimen Melde-Mechanismus beruhen oder tatsächlich einen darüber hinausgehenden systematischen Zugang beschreiben. Das ist bislang ungeklärt.

Was ist belegt – und was nicht

An dieser Stelle lohnt sich Ehrlichkeit statt Empörung. Die Sammelklage stützt sich auf anonyme Whistleblower und liefert keinen technischen Beweis – keinen Code, keine Netzwerk-Mitschnitte, kein Audit, das eine kryptografische Hintertür belegt. Die Behauptungen sind zum jetzigen Zeitpunkt also unbewiesen.

Meta weist die Vorwürfe entsprechend scharf zurück und nennt die Klage „kategorisch falsch" und ein „absurdes Werk der Fiktion"; man setze seit einem Jahrzehnt auf das Signal-Protokoll.

Auch unabhängige Stimmen sind skeptisch. Kryptografie-Fachleute geben zu bedenken, dass eine Hintertür, die Milliarden Nachrichten entschlüsselt, extrem komplex und kaum zu verbergen wäre – Sicherheitsforschende analysieren regelmässig die Binärdateien der App. Eine flächendeckende Backdoor müsste irgendwann auffallen.

Das heisst aber nicht, dass „alles gut" ist. Die Trennung ist entscheidend:

• Die starke These (ein Knopf für Live-Zugriff auf jeden Chat) ist denkbar, aber nicht erhärtet.
• Das abgeschwächte Bild (Meta und Google kommen bei sehr vielen Nutzern faktisch an Inhalte – über unverschlüsselte Backups, über die Moderationspipeline, über Metadaten) ist dagegen belegt und kein Verschwörungsszenario.

Genau diese Vermengung ist es, die solche Klagen plausibel wirken lässt: Wer sagt „Meta kann meine Nachrichten lesen", liegt für die meisten Standard-Setups praktisch richtig – auch ohne dass die Live-E2EE selbst geknackt sein muss.

Der wunde Punkt bleibt: Closed Source

Warum lässt sich der Vorwurf nicht einfach widerlegen? Weil WhatsApp proprietäre Software ist. Ihr könnt den Quellcode nicht einsehen und nicht überprüfen, ob das ausgelieferte Programm wirklich das tut, was das Whitepaper behauptet. Das Signal-Protokoll selbst ist solide und öffentlich dokumentiert – aber das Vertrauen endet bei der konkreten Implementierung von Meta.

Genau das ist der Unterschied zu echten Privacy-Messengern: Bei Signal beziehungsweise dem Fork Molly ist der Code offen und nachvollziehbar, bei Matrix ebenso. Vertrauen muss man sich verdienen – und Nachprüfbarkeit ist die einzige seriöse Grundlage dafür.

Fazit: Ob die Klage gewinnt oder nicht – euer Risiko bleibt gleich

Spannend an den Verfahren ist weniger das Urteil, das ohnehin Jahre dauern kann, sondern was sie ans Licht bringen. Aber für die Praxis ändert das Ergebnis erstaunlich wenig: Solange ihr WhatsApp mit Standard-Einstellungen nutzt, sind eure Inhalte über unverschlüsselte Backups und die Meldefunktion ohnehin angreifbar – ganz unabhängig davon, ob es das „Task"-System in der behaupteten Form gibt.

Unsere Empfehlung ist deshalb dieselbe geblieben:

• Aktiviert mindestens die verschlüsselten Backups (und denkt daran: das bringt nur etwas, wenn auch euer Gegenüber es tut – sonst liegt euer Chat in dessen unverschlüsseltem Backup).
• Schränkt die Berechtigungen ein und nutzt auf GrapheneOS die Storage Scopes.
• Und wenn euch Privatsphäre wirklich wichtig ist: wechselt zu einem offenen, nachprüfbaren Messenger wie Signal/Molly oder Matrix.

Die ganzen praktischen Tipps haben wir im ursprünglichen Artikel zusammengefasst. Die Klagen sind ein gutes Druckmittel und ein wichtiges Signal – aber das eigentliche Problem ist und bleibt: Eine App, die ihr nicht überprüfen könnt, müsst ihr glauben. Und Glauben ist im Datenschutz die schwächste aller Garantien.

The post WhatsApp-Verschlüsselung vor Gericht: Aus „theoretischer Hintertür" wird ein Gerichtsfall appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Es kommt, wie es die „Schwurbler" vor langer Zeit vorausgesehen haben: Eine App zur Alters- und Identitätsverifikation, damit ihr überhaupt noch Zugriff aufs Internet bekommt. Und alles natürlich nur zum Schutze der Kinder. Wer damals gewarnt hat, wurde als paranoid belächelt. Heute ist die App da – und es läuft ziemlich genau so, wie die Skeptiker es prophezeit haben.

Das Ganze hat einen unangenehmen Beigeschmack von Animal Farm. Auch dort hiess es am Anfang, die neuen Regeln seien zum Schutz aller Tiere nötig. Niemand solle sich Sorgen machen, die Schweine wüssten schon, was sie täten. Später standen sie dann auf zwei Beinen und sahen aus wie die Menschen, gegen die sie ursprünglich angetreten waren. Wer heute „zum Schutz der Kinder" staatliche ID-Infrastruktur auf jedes Gerät schrauben will, erzählt strukturell dieselbe Geschichte – nur mit WLAN.

Erinnert ihr euch noch an die grossen Worte? „Technisch ausgereift." „Höchste Datenschutzstandards der Welt." „Open Source, jeder kann den Code prüfen." Genau das hat Ursula von der Lügen am Mittwoch, dem 16. April 2026, über die frisch vorgestellte EU-App zur Altersverifikation verkündet. Einen Tag später war das Ding kaputt. Ursula Von der Lügen steht dann noch stolz da und faselt etwas von "Kinderschutz sei Aufgabe der Eltern", doch präsentiert eine App, die diese Kontrolle genau den Eltern entreisst. Ich komme mir immer mehr vor wie im falschen Film.

Der britische Sicherheitsberater Paul Moore hat sich den Code tatsächlich angeschaut – so, wie man das bei Open Source halt machen darf. Er hat zwei Minuten gebraucht. Zwei. Minuten.

Was die EU-Entwickler gebaut haben

Damit ihr eine Vorstellung bekommt, über welches Qualitätsniveau wir hier reden:

• Die PIN liegt verschlüsselt auf dem Gerät – aber die Verschlüsselung ist nicht an den Identitätsspeicher gekoppelt. Wer ein paar Werte in der Konfigurationsdatei löscht und die App neu startet, kann eine neue PIN vergeben und behält trotzdem Zugriff auf die vorher hinterlegten Identitätsdaten. Mit anderen Worten: Ein Minderjähriger erstellt einmal einen verifizierten Altersnachweis, ein Erwachsener übernimmt die PIN – fertig ist der Schwarzmarkt für „über 18"-Tokens.
• Der Zähler für fehlgeschlagene PIN-Eingaben liegt als simpler Wert in derselben, editierbaren Konfigurationsdatei. Brute-Force-Schutz? Einfach den Zähler auf Null setzen. Wiederholen bis die PIN passt.
• Die biometrische Authentifizierung lässt sich mit einem einzigen true → false komplett abschalten.
• Secure Enclave auf iOS oder Trusted Execution Environment auf Android? Fehlanzeige. Die Hardware-Sicherheitsmodule, die seit Jahren in jedem Smartphone stecken und exakt für solche Aufgaben gebaut wurden, wurden nicht verwendet. Stattdessen: Klartext-Konfigurationsdatei. Ernsthaft.

Moores Kommentar dazu: Dieses Produkt wird irgendwann der Auslöser für eine massive Datenpanne sein. Es sei nur eine Frage der Zeit.

Das sind die Leute, die über eure Identität entscheiden wollen

Haltet euch das kurz vor Augen: Dieselbe EU, die euch erklärt, dass ihr euer Alter künftig digital nachweisen müsst, bevor ihr das Internet benutzen dürft – dieselbe EU, die mit der EUDI-Wallet den europaweiten Identitäts-Hub aufbaut, an den später Zahlungen, Führerschein, Krankenkasse und irgendwann wahrscheinlich euer Einkaufsverhalten angeflanscht werden – diese EU liefert als Referenz-Implementierung einen Prototyp, der an den grundlegendsten Konzepten der Mobile-App-Security scheitert.

Keine Hardware-Sicherheit. Editierbare Config-Files für sicherheitskritische Zustände. Brute-Force-Schutz, den man mit einem Texteditor aushebelt.

Das sind keine subtilen Fehler, die nur Spezialisten entdecken. Das ist das Niveau eines Security-Kurses aus dem ersten Semester. Und genau diese Leute wollen, dass ihr eurer Regierung, eurem Betriebssystem-Hersteller und einer Handvoll Grossunternehmen eure biometrischen Daten und eure Identität anvertraut. Jedes Mal, wenn ihr etwas online tun wollt.

Das Muster ist immer dasselbe

Zur Erinnerung: Discord wurde im September 2025 am Kundendienst gehackt – dabei gingen Scans von Ausweisen und Führerscheinen der Nutzer flöten. Genau das, was Altersverifikations-Gesetze jetzt noch flächendeckender einfordern. Im Februar 2026 haben 405 Sicherheitsforscher aus aller Welt einen offenen Brief unterschrieben, der exakt vor diesen Szenarien warnt. Gebracht hat es: nichts.

Jede Altersverifikation, jedes Identitätssystem, jede zentrale Datensammlung, die in den letzten Jahren eingeführt wurde, ist früher oder später gebrochen worden. Das ist keine Verschwörungstheorie, das ist Empirie. Und trotzdem bekommen wir jedes halbe Jahr ein neues System präsentiert, das dieses Mal ganz sicher sicher ist. Ehrlich. Versprochen.

Was ihr tun könnt

Jedes zusätzliche Verifikationssystem, das ihr ablehnt, ist ein Sieg. Jeder Dienst, den ihr durch eine selbstgehostete Alternative ersetzt, ist ein Datenpunkt weniger, den sie verlieren können. Jedes GrapheneOS statt Stock-Android, jedes Linux statt Windows, jeder Matrix-Server statt WhatsApp – das sind keine paranoiden Spielereien, das ist praktische Selbstverteidigung in einem Umfeld, in dem die Gegenseite nachweislich nicht weiss, was sie tut.

Die EU-Altersverifikations-App war zwei Minuten lang sicher. Zwei Minuten. Fragt euch, wie lange die EUDI-Wallet halten wird, wenn es ernst wird.

Wer freie Software, GrapheneOS-Geräte oder selbstgehostete Infrastruktur sucht: yourdevice.ch hilft weiter.

Quelle: Tarnkappe.info – EU-App zur Altersüberprüfung in zwei Minuten gehackt!

The post Zwei Minuten. So lange hielt die EU-Altersverifikations-App appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

QR-Codes sind technisch gesehen nur eine Weiterentwicklung des klassischen Barcodes und keine inhärente Bedrohung. Der QR-Code (englisch Quick Response – „schnelle Antwort“) ist ein zweidimensionaler Code aus schwarzen und weißen Quadraten, der Daten speichert (iqual.chkrone.at). Im Prinzip funktioniert er wie der Strichcode auf Produktverpackungen im Supermarkt – nur dass ein QR-Code viel mehr Informationen fasst und speziell fürs Auslesen mit Kameras (z. B. im Smartphone) entwickelt wurde. Man kann also sagen: Ein QR-Code ist das Äquivalent des Barcodes für Smartphones.

Wie QR-Codes funktionieren

Ein QR-Code besteht aus einem Muster kleiner Quadrate, das von Scannern oder Smartphone-Kameras gelesen werden kann. Während herkömmliche Barcodes nur in einer Richtung Information durch unterschiedlich breite Striche codieren, nutzen QR-Codes eine zweidimensionale Matrix aus Pixeln. Dieses Design erlaubt es, deutlich mehr Daten auf kleinem Raum zu speichern – zum Beispiel Text, Webseiten-Adressen (URLs), Kontaktdaten (vCards), WLAN-Zugangsdaten oder andere kurze Informationen. Beim Scannen entschlüsselt die QR-Code-Software das Muster mithilfe eines Algorithmus und wandelt es zurück in lesbaren Text bzw. einen Link.

Besondere Muster im Code sorgen für schnelle Erkennbarkeit und Fehlertoleranz: Die drei markanten Quadrate in den Ecken eines QR-Codes dienen z. B. als Positionsmuster zur Orientierung für den Scanner. Zusätzlich enthält der Code Bereiche für Synchronisation und Fehlerkorrektur. Dank dieser Fehlerkorrektur können QR-Codes sogar dann noch gelesen werden, wenn Teile beschädigt oder verdeckt sind – ein Vorteil gegenüber einfachen Strichcodes. Das erklärt, warum man QR-Codes in der Praxis oft trotz Kratzern oder ungünstigen Winkeln noch scannen kann.

Zum Auslesen genügt heute meist ein Smartphone. Moderne Smartphones erkennen QR-Codes direkt über die eingebaute Kamera-App – man richtet die Kamera einfach auf den Code und erhält eine Meldung mit dem entschlüsselten Inhalt (z. B. eine URL zum Antippen). Alternativ gibt es spezialisierte QR-Scanner-Apps und sogar Online-Tools oder Browser-Erweiterungen, mit denen man einen QR-Code aus einem Bild heraus auslesen kann. In jedem Fall sollte die Scanner-App den gefundenen Text oder Link anzeigen, bevor man ihn öffnet. Gute Scanner bieten genau diese Vorschau an, sodass die Ziel-Internetadresse zunächst sichtbar ist und man den Vorgang abbrechen kann, falls einem die Adresse verdächtig vorkommt.

Nützliche Anwendungen im Alltag

QR-Codes sind heute äußerst praktisch und effizient, was ihren Siegeszug im Alltag erklärt (ncsc.admin.ch). Man begegnet ihnen in den unterschiedlichsten Bereichen: auf Plakaten, Flyern oder Produktverpackungen, wo sie als Brücke vom echten in das virtuelle Leben dienen. Statt eine lange Webadresse abzutippen, scannt man einfach den Code und gelangt in Sekundenschnelle zur gewünschten Webseite. Unternehmen nutzen das z. B. in der Werbung – ein Scan liefert mehr Infos zum Produkt oder führt direkt zur Bestellseite.

Tickets und Zugangskarten funktionieren inzwischen oft per QR-Code. Ob Bordkarte am Flughafen, Bahn- und Konzertticket oder der Impf- bzw. Testnachweis – all diese enthalten einen QR-Code, der beim Einlass oder Check-In einfach gescannt wird. Für Nutzer ist das bequem, und den Veranstaltern ermöglicht es eine schnelle, automatisierte Prüfung. Reisende können so ihre Tickets digital vorzeigen und verifizierentest.de, ohne Papier zu benötigen.

Bezahlen und Bankgeschäfte sind ein weiteres Feld: In der Schweiz findet man z. B. auf Rechnungen einen QR-Code (die QR-Rechnung), den man mit der Banking-App scannt, um alle Überweisungsdaten automatisch einzulesen – kein mühsames Eintippen von IBAN mehr. Ähnlich wird in anderen Ländern per QR-Code bezahlt, etwa mit Bezahldiensten oder Wallet-Apps im Laden. An Parkscheinautomaten kann man per QR-Code zu einer Bezahlseite gelangen (ncsc.admin.ch), und Restaurants bieten seit der Pandemie oft digitale Speisekarten via QR-Code an Tischaufstellern an. Selbst für den schnellen Austausch von Kontaktinfos oder WLAN-Zugang gibt es QR-Codes: So kann ein Visitenkartencode das lästige Abtippen ersparen, und ein WLAN-QR-Code loggt Gäste mit einem Scan ins Netzwerk ein. Kurzum – QR-Codes sind vielseitige Helfer, die Prozesse beschleunigen und Fehler vermeiden helfen.

Beispiel: Zwei Besucher scannen im J.N. “Ding” Darling National Wildlife Refuge (Florida) einen QR-Code mit dem Smartphone, um vor Ort mehr über die Natur zu erfahren (commons.wikimedia.org). QR-Codes auf Informationstafeln verbinden Ausflügler schnell mit weiterführenden Inhalten, ohne lange Links abtippen zu müssen.

Gefahren, Missbrauch und Verschwörungsmythen

Auch wenn QR-Codes uns den Alltag erleichtern, empfinden manche Menschen sie als unheimlich. Das liegt vor allem daran, dass wir mit bloßem Auge nicht erkennen können, was in einem QR-Code steckt. Wo ein normaler Text oder Link für uns lesbar wäre, sehen wir bei QR-Codes nur ein wirres Muster. Dieses Unwissen schafft Unsicherheit – und bietet Raum für wilde Spekulationen. So ranken sich tatsächlich einige Verschwörungstheorien um Strich- und QR-Codes . Manche selbsternannten „Aufklärer“ behaupten zum Beispiel, QR-Codes seien Werkzeuge einer totalen Überwachung oder ein Bestandteil finsterer Kontrollagenden. Besonders im Zusammenhang mit COVID-Impfzertifikaten und Einlass-Systemen wurde von solcher Seite suggeriert, hinter den Codes stecke ein Plan zur globalen Kontrolle.. Fakt ist jedoch: Ein QR-Code enthält meist nur einen Verweis – etwa auf eine Website oder auf einen verschlüsselten Datensatz – nicht die eigentliche persönliche Information selbst. Die Daten liegen auf dem Server, der durch den Code aufgerufen wird, und Zugriffe lassen sich dort normalerweise nachvollziehen. Mit anderen Worten: Ein QR-Code ist letztlich nur ein Träger von Informationen, kein geheimnisvolles Senderchen.

Andere krude Mythen behaupten gar, QR-Codes seien gesundheitsschädlich oder „strahlten etwas aus“. In esoterischen Kreisen gibt es z. B. Leute, die glauben, das Scannen von Strichcodes oder QR-Codes setze negative Energien oder gefährliche Strahlung frei – und sie versuchen dann, durch Durchstreichen oder Symbole die angebliche Strahlung zu „entstören“ (channelpartner.de). Dafür gibt es keinerlei wissenschaftlichen Beleg. Scanner lesen lediglich Hell-Dunkel-Kontraste – keine Frequenzen, keine Strahlen. Ebenso unbegründet sind Behauptungen, QR-Codes hätten irgendeinen satanischen Hintergrund oder gar außerirdischen Ursprung – all das entbehrt jeder Grundlage und entspringt einer übersteigerten Fantasie.

Ein besonders absurdes Beispiel kursierte während der Pandemie: Da wurde ernsthaft behauptet, geimpfte Menschen hätten unsichtbare QR-Codes unter der Haut und man könne diese per Smartphone auslesen (channelpartner.de). Ein im Netz verbreitetes „Beweisvideo“ dafür war natürlich eine plumpe Fälschung. QR-Codes bestehen aus gedruckten Kontrasten auf Oberflächen, nicht aus irgendwelchen versteckten Implantaten – man kann keinen QR-Code aus einem Arm herausleuchten, das ist technisch unmöglich (channelpartner.de). Solche Geschichten mögen spektakulär klingen, sind aber blanker Unsinn.

Missbrauch ist möglich – der Code an sich bleibt trotzdem neutral

Abgesehen von verrückten Mythen gibt es reale Gefahren im Umgang mit QR-Codes, über die man sachlich Bescheid wissen sollte. Wichtig ist dabei zu verstehen: Nicht der QR-Code selbst ist die Bedrohung, sondern was er beinhalten kann. Ein QR-Code kann zum Beispiel eine Webadresse enthalten – und wie jeder Link im Internet kann diese Adresse auf etwas Schädliches zeigen. Der Code an sich kann Eurem Smartphone keinen Schaden zufügen (test.de). Aber hinter einem QR-Code können sich eben auch Links zu betrügerischen Webseiten verstecken (test.de). Öffnet man eine solche Seite arglos, könnte sie versuchen, Schadsoftware (etwa einen Trojaner) aufs Gerät zu schleusen oder persönliche Daten abzugreifen (test.de). Kurz gesagt: QR-Codes haben keine inhärenten gefährlichen Eigenschaften – wohl aber können sie von Betrügern missbraucht werden, um Sie auf gefährliche Inhalte zu lotsen, genau wie ein manipulativer E-Mail-Link das könnte. Genauso wie ihr also auf gefälschte Email Links hereinfallen können, kann man also auch auf bösartiges Inhalte in QR Codes reinfallen.

Und tatsächlich nutzen Kriminelle diese Methode immer häufiger aus. Das Phänomen wird auch “Quishing” genannt – eine Wortmischung aus QR und Phishing. Betrüger erzeugen eigene QR-Codes, die auf ihre Fallen-Seiten führen, und platzieren sie dort, wo ahnungslose Nutzer sie scannen. Da immer mehr Menschen gegenüber dubiosen E-Mails misstrauisch geworden sind, weichen Betrüger auf QR-Codes aus, die z. B. im öffentlichen Raum aufgehängt oder aufgeklebt werden – das wirkt auf den ersten Blick vertrauenswürdiger (ncsc.admin.ch). Ein typisches Beispiel sind gefälschte QR-Codes an Parkautomaten: Hier kleben Täter einfach einen Aufkleber mit ihrem QR-Code über den echten Code der Parkuhr. Scannt ein Autofahrer diesen, landet er auf einer Phishing-Webseite, die täuschend echt vorgibt, eine Online-Bezahlseite für das Parkticket zu sein. Gibt man dort seine Kreditkartendaten ein, wird sofort ein hoher Betrag abgebucht – und da die echte Parkgebühr nie bezahlt wurde, bekommt man obendrein noch eine Strafgebühr wegen Falschparkens (ncsc.admin.ch). Solche Betrugsmaschen sind perfide, aber mit etwas Wachsamkeit durchschaubar und vermeidbar. In der Schweiz zum Beispiel würde Parkingpay niemals Kreditkartendaten abfragen! Im nächsten Abschnitt daher einige Tipps, wie man QR-Codes sicher nutzt.

Tipps für den sicheren Umgang mit QR-Codes

Wie gezeigt, liegt die potenzielle Gefahr bei QR-Codes in böswilligen Inhalten. Mit den folgenden einfachen Vorsichtsmaßnahmen Könnt Ihr diese Risiken minimieren, ohne auf die nützlichen Vorteile verzichten zu müssen:

• Unbekannte QR-Codes mit Vorsicht behandeln: Scannt nicht wahllos irgendwelche QR-Codes, deren Herkunft unklar ist – zum Beispiel wild im Stadtbild herumklebende Codes. Achtet darauf, ob ein Code vielleicht nur ein Sticker ist, der über einen offiziellen Code geklebt wurde (ncsc.admin.ch)(test.de). Im Zweifel lieber nicht scannen.
• Vorsicht bei QR-Codes auf unverlangt verteilten Flyern oder E-Mails: Wenn Euch auf der Straße Gratis-Gutscheine mit QR-Code in die Hand gedrückt werden oder Ihr per Mail/Chat einen QR-Code erhalten, den Ihr nicht erwartet habt, seid skeptisch. Solche Codes könnten auf Phishing-Seiten führen.
• Nutzt sichere Scanner mit Vorschau: Verwendet eine QR-Code-Scanner-App (oder die Smartphone-Kamera), die zuerst die entschlüsselte Webadresse anzeigt, bevor sie öffnet. So könnt Ihr das Ziel überprüfen. Erscheint eine kryptische Kurz-URL oder eine unbekannte Website, brecht einfach ab. Viele Smartphone-Kameras und gute Scanner-Apps machen dies ohnehin standardmäßig.
• Keine vertraulichen Daten preisgeben: Gebt niemals persönliche Daten, Passwörter oder Zahlungsinformationen auf einer Website ein, die Ihr über einen QR-Code erreicht habt, wenn Ihr der Seite nicht absolut vertraut (ncsc.admin.ch). Seriöse Anwendungen wie Banking nutzen QR-Codes nur zum Datentransport, nicht zum Abfragen sensibler Daten. Fordert eine Seite nach dem Scan z. B. Eure Login-Daten – Alarmzeichen!
• Apps nur aus vertrauenswürdigen Quellen installieren: Manche QR-Codes können auf App-Download-Seiten verweisen. Installiert Apps möglichst nur über offizielle App-Stores und nicht direkt von einer unbekannten QR-Code-Webseite. Andernfalls könntet Ihr Euch Schadsoftware einfangen. Im Zweifel sucht die App selbst im App Store, statt einem unbekannten QR-Link zu folgen.

Fazit

Befolgt man diese Tipps, ist das Risiko durch QR-Codes verschwindend gering. Millionenfach am Tag werden QR-Codes völlig problemlos genutzt – beim Bezahlen, beim Einchecken, beim Abrufen von Infos. Lasst Euch also nicht von unbegründeter Panikmache verunsichern: Ein QR-Code ist erstmal nichts weiter als ein moderner, Barcode. Er kann Euch das Leben vereinfachen, wenn Ihr ihn mit gesundem Menschenverstand einsetzt. Scannt bewusst und achtsam, wie Ihr auch auf einen Link im Internet nur mit Bedacht klicken würdet. Dann sind QR-Codes keine Bedrohung, sondern ein praktischer Helfer in unserer digital vernetzten Welt – schnell, effizient und an sich völlig harmlos.

The post Sind QR Codes wirklich böse appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Bedeutung von Werbeblockern

Werbeblocker sind ein zentrales Instrument für Sicherheit und Privatsphäre im Internet. Werbenetzwerke fungieren de facto als Datensammler: Sie analysieren Nutzerverhalten und erstellen umfangreiche Profile. Das Blockieren von Werbung schützt daher nicht nur vor aufdringlichen Anzeigen, sondern gilt als eine Form digitaler Selbstverteidigung. Zusätzlich sorgt es für ein schnelleres und ruhigeres Browsererlebnis.

Technische Grenzen und zusätzliche Erweiterungen

Die Blocking-API hat jedoch funktionale Beschränkungen. Einige Lösungen – etwa AdGuard für Safari oder Wipr – installieren deshalb ergänzende Erweiterungen. Diese haben Zugriff auf den gesamten Browserverlauf, um die Limitierungen der API zu umgehen. Wird die Zusatz-Erweiterung deaktiviert, sinkt die Blockierleistung spürbar.
Ob die Anbieter tatsächlich Daten sammeln, lässt sich von außen nicht belegen. Rein technisch besteht aber das Risiko, dass der Browserverlauf erfasst werden könnte – ein besonders schützenswerter Bereich für viele Anwender.

Vertrauensfragen bei den Anbietern

Die Auswahl eines Adblockers ist somit immer auch eine Frage des Vertrauens. Ein Beispiel: AdGuard liefert seit Jahren gute Ergebnisse und ist kostenlos, die Firmenstruktur sorgt jedoch regelmäßig für Diskussionen. Das ursprünglich russische Entwicklerteam hat seinen Geschäftssitz im Zuge der Sanktionen gegen Russland nach Zypern verlegt – ein Standort, der häufig als Sitz für Briefkastenfirmen dient. Diese Umstände sind kein Beweis für Fehlverhalten, erhöhen aber die Notwendigkeit einer kritischen Abwägung.

Marktübersicht: Vier etablierte Lösungen

Aktuell haben sich vier Safari-Adblocker als leistungsfähig etabliert:

1. uBlock Origin Lite
   • Nutzt nicht die Safari-Blocking-API, sondern Googles Manifest v3.
   • Entwickler gilt als vertrauenswürdig, der Funktionsumfang ist jedoch durch Manifest v3 eingeschränkt.
2. AdGuard
   • Kostenlose Lösung mit sehr guten Filterergebnissen.
   • Setzt für volle Funktionalität auf eine zusätzliche Erweiterung mit Zugriff auf den Browserverlauf.
   • Ob man dem Anbieter diese Berechtigung einräumt, muss individuell entschieden werden.
3. Wipr
   • Produkt eines unabhängigen Entwicklers.
   • Bietet eine schlanke, weitgehend wartungsfreie Lösung ohne komplexe Konfigurationsoptionen.
4. 1Blocker
   • Abo-Modell mit vergleichsweise hohem Preis.
   • Gilt als besonders effektiver Werbeblocker mit exzellenten Bewertungen.

Alle vier Lösungen setzen eine App-Installation voraus, die technisch den Browserverlauf mitschneiden könnte – auch wenn es dafür keine konkreten Belege gibt.

Ergänzende Schutzmaßnahmen

Mit Apps

Für weitergehenden Schutz lässt sich netzwerkweite Überwachung und Filterung durch Tools wie Little Snitch oder Little Snitch Mini einsetzen. Diese Programme können Tracking auch außerhalb des Browsers, also in anderen Apps, blockieren.

Via DNS

Werbung kann auch mit bestimmten DNS Servern verhindert werden, welche Werbe oder Tracking Domains per se blockiert, ohne dass man sich Extensions installiert. Dafür nimmt man sich eines der folgenden DNS Server die von Haus aus Werbung und Tracking herausfiltern:

Mullvad DoT- und DoH-Server mit Werbe- und Trackingfilter: IPv4: 194.242.2.3
IPv6: 2a07:e340::3 Servername für DNS-over-TLS: adblock.dns.mullvad.net
Adresse für DNS-over-HTTPS:  https://adblock.dns.mullvad.net/dns-query für iOS 14+: DoT-Server-Konfiguration (signiert, von Mullvad)

Mullvad DoT- und DoH-Server mit Werbe-, Tracking- und Malwarefilter: IPv4: 194.242.2.4
IPv6: 2a07:e340::4 Servername für DNS-over-TLS: base.dns.mullvad.net
Adresse für DNS-over-HTTPS:  https://base.dns.mullvad.net/dns-query für iOS 14+: DoT-Server-Konfiguration (signiert, von Mullvad)

Mullvad DoT- und DoH-Server mit Werbe-, Tracking-, Malware- und Socialmediafilter: IPv4: 194.242.2.5
IPv6: 2a07:e340::5 >Servername für DNS-over-TLS: extended.dns.mullvad.net
Adresse für DNS-over-HTTPS:  https://extended.dns.mullvad.net/dns-query für iOS 14+: DoT-Server-Konfiguration (signiert, von Mullvad)

Mullvad Server mit Werbe-, Tracking-, Malware-, Socialmedia-, Porno- und Gamblingfilter: IPv4: 194.242.2.9
IPv6: 2a07:e340::9 Servername für DNS-over-TLS: all.dns.mullvad.net
Adresse für DNS-over-HTTPS:  https://all.dns.mullvad.net/dns-query

DNS-Server auf dem Mac ändern

1. Systemeinstellungen öffnen
   Klicke oben links auf das Apple-Menü  → Systemeinstellungen (bzw. „Systemeinstellungen“ in älteren Versionen).
2. Netzwerk auswählen
   Wähle links in der Seitenleiste Netzwerk aus.
   Klicke beim gerade aktiven Anschluss (z. B. WLAN oder Ethernet) auf Details … bzw. Weitere Optionen ….
3. DNS konfigurieren
   Gehe zum Reiter DNS.
4. Einträge anpassen
   • Mit + fügst du neue DNS-Server hinzu (z. B. 1.1.1.1, 9.9.9.9).
   • Mit – entfernst du alte Einträge, falls gewünscht.
5. Übernehmen
   Klicke auf OK und dann auf Übernehmen, damit die neuen DNS-Server sofort aktiv werden.

Hinweise:

• Die Einstellung gilt nur für das jeweilige Netzwerkprofil (z. B. aktuelles WLAN oder Ethernet).
• Möchtet Ihr mehrere Netzwerke anpassen, wiederholt die Schritte pro Netzwerk.
• Bei Problemen könnt Ihr jederzeit über denselben Dialog die Option Standard wiederherstellen nutzen.

DNS Server auf iOS ändern

Hier eine kurze Schritt-für-Schritt-Anleitung, um auf iOS den DNS-Server zu ändern:

1. Einstellungen öffnen
   Tippt auf Einstellungen → WLAN.
2. Aktuelles WLAN auswählen
   Tippt auf das i-Symbol neben dem gerade verbundenen WLAN-Netzwerk.
3. DNS konfigurieren
   Scrollt zu DNS konfigurieren und tippt darauf.
   Wähle Manuell.
4. Alte Einträge löschen
   Tippe auf das – neben den bestehenden DNS-Adressen und entfernt sie.
5. Neue DNS-Server eintragen
   Tippe auf Server hinzufügen und gib die gewünschten DNS-Adressen ein.
6. Speichern
   Tippt oben rechts auf Sichern (bzw. Fertig).

Hinweis:
Bis heute erlaubt es Apple nicht, für seine iPhones die DNS Server Systemweit zu ändern (man möchte ja stets informiert sein, was die eigenen User im Netz so alles treiben). Die Einstellung gilt leider nur für dieses WLAN. Für jedes weitere Netzwerk müsst Ihr den DNS-Server separat anpassen. Mobile Daten (LTE/5G) lassen sich auf iOS nicht systemweit mit einem eigenen DNS konfigurieren – dafür wäre ein VPN notwendig.

Fazit

Trotz Apples Blocking-API bleibt die Wahl des Safari-Adblockers ein Balanceakt zwischen Funktionsumfang, Kosten und Vertrauen. Nutzer sollten nicht nur auf die Effektivität der Filter achten, sondern auch auf die jeweilige Datenzugriffsarchitektur und die Seriosität des Anbieters.

The post Safari-Adblocker im Vergleich: Funktionsweise, Risiken und Anbieter appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was bedeutet echte Ende-zu-Ende-Verschlüsselung

• Bei echter E2EE wird eine Nachricht auf deinem Gerät (Client) verschlüsselt und erst auf dem Gerät des Empfängers wieder entschlüsselt. Dazwischen (auch auf den WhatsApp-Servern) ist die Nachricht unlesbar.
• WhatsApp nutzt das Signal-Protokoll, das weithin als sicher gilt und auch in Signal selbst zum Einsatz kommt.

Wie funktioniert das bei WhatsApp

1. Verschlüsselungsschlüssel: Jede Konversation hat eigene Schlüssel, die auf den Geräten der Nutzer generiert und gespeichert werden. WhatsApp selbst hat keinen Zugriff auf diese Schlüssel.
2. Nachrichtenfluss: Nachrichten sind während der Übertragung zwischen den Geräten verschlüsselt. Auf den WhatsApp-Servern sind sie nur in verschlüsselter Form gespeichert.

Warum gibt es Kritik an der E2EE von WhatsApp

1. Meta-Daten:
   • Obwohl die Inhalte verschlüsselt sind, sammelt WhatsApp Meta-Daten (z. B. wer mit wem wann kommuniziert hat, IP-Adressen, Gerätetypen usw.). Diese Daten können Rückschlüsse auf eure Aktivitäten und Kontakte ermöglichen.
   • Meta (die Muttergesellschaft von WhatsApp) nutzt diese Daten für Werbezwecke und teilt sie mit Behörden.
2. Cloud-Backups:
   • WhatsApp bietet die Möglichkeit, Nachrichten in der Cloud (Google Drive oder iCloud) zu sichern. Diese Backups sind standardmäßig nicht E2EE-geschützt, es sei denn, ihr aktiviert die "E2EE-Backups"-Option. Ohne diesen Schutz könnten Dritte (z. B. Cloud-Provider, Behörden, oder gar Whatsapp/Facebook selber durch Umwege) auf die Nachrichten zugreifen.
3. Implementierung und Vertrauen:
   • Obwohl das Signal-Protokoll sicher ist, ist WhatsApp eine proprietäre Software. Das bedeutet, ihr kannst den Quellcode nicht überprüfen, um sicherzustellen, dass alles korrekt implementiert ist.
   • Es besteht immer die theoretische Möglichkeit, dass WhatsApp eine Hintertür eingebaut hat, um bestimmte Nachrichten zu entschlüsseln. Beispielsweise könnte die Melde Funktion missbraucht werden, und teile eurer Chats an Facebook in Klartext übermittelt werden. Dies könnte auf staatlichen Druck geschehen.
4. Clientseitige Überwachung:
   • Es gibt Berichte, dass WhatsApp (wie andere Plattformen auch) Algorithmen verwendet, um Inhalte auf eurem Gerät zu überprüfen, beispielsweise um Missbrauch oder illegale Inhalte zu erkennen. Dies könnte potenziell die Privatsphäre beeinträchtigen. Dies erfordert gewisse Hintertüren die eingebaut sind, um die Chats clientseitig vor der Verschlüsselung zu analysieren.

Warum unverschlüsselte Backups die Ende-zu-Ende-Verschlüsselung aushebeln

Ein zentraler Kritikpunkt an WhatsApp ist die Möglichkeit, Chatverläufe in Cloud-Diensten wie Google Drive oder iCloud zu sichern, die nicht standardmäßig Ende-zu-Ende verschlüsselt sind. Dieses "Feature" macht die ganze E2EE-Implementierung im Grunde genommen hinfällig – und das ist tatsächlich ein großer Kritikpunkt.

Was passiert mit unverschlüsselten Backups

• Wenn ihr ein Backup erstellt, werden alle Nachrichten, Bilder und Videos in einer Datei gespeichert und in die Cloud hochgeladen.
• Standardmäßig sind diese Backups nicht Ende-zu-Ende verschlüsselt, es sei denn, ihr aktiviert explizit die entsprechende Option in den Einstellungen (was nur wenige Nutzer wissen oder tun).

Wie wird die E2EE dadurch ausgehebelt

• Entschlüsselung bei Backup-Erstellung: Auf eurem Gerät werden die Nachrichten entschlüsselt und im Klartext ins Backup geschrieben. Das bedeutet, dass diese Daten in der Cloud liegen, ohne die Sicherheit der ursprünglichen Verschlüsselung.
• Angreifbarkeit der Cloud:
  • Google Drive und iCloud sind nicht für den Schutz sensibler Daten konzipiert. Sollte jemand Zugriff auf dein Cloud-Konto erhalten (z. B. durch Phishing oder Sicherheitslücken), sind eure Nachrichten leicht zugänglich.
  • Selbst Strafverfolgungsbehörden können oft relativ einfach auf diese Backups zugreifen, da sie entweder direkt von den Cloud-Anbietern herausgegeben werden oder durch rechtliche Anordnungen (z. B. bei iCloud in den USA) zugänglich sind.
• Schlüsselverwaltung: Da die Verschlüsselung der Backups nicht automatisch durch WhatsApp erfolgt, sondern von den Cloud-Anbietern abhängt, hat Meta keinen Einfluss mehr darauf, wer diese Daten entschlüsseln kann.

Warum ist das ein Problem

• Die Nutzer werden in falscher Sicherheit gewiegt: WhatsApp preist seine Ende-zu-Ende-Verschlüsselung als ultimativen Schutz an. Doch durch unverschlüsselte Backups werden diese Versprechen ins Gegenteil verkehrt, weil Nachrichten über Umwege wieder im Klartext verfügbar sind.
• Unwissenheit der Nutzer: Viele Menschen gehen davon aus, dass ihre Daten immer sicher sind, weil sie den Begriff "Ende-zu-Ende-Verschlüsselung" hören. Dass sie ein Backup manuell verschlüsseln müssen, ist den meisten nicht bewusst.
• Fehlende Transparenz: WhatsApp könnte die E2EE-Backups standardmäßig aktivieren, tut es aber nicht. Es liegt allein am Nutzer, diese Option zu finden und einzuschalten.

Warum ist es eine Schande, dass E2EE-Backups nicht standardmäßig aktiviert sind

• WhatsApp hat die technische Möglichkeit: Die Funktion, Backups mit Ende-zu-Ende-Verschlüsselung zu sichern, existiert bereits. Es wäre ein einfacher Schritt, diese Option per Default zu aktivieren, sobald der Nutzer ein Backup einrichtet.
• Meta hat die Ressourcen, den Standard zu setzen: Als einer der größten Messenger-Dienste der Welt könnte WhatsApp ein Vorbild für andere sein. Stattdessen zwingen sie die Nutzer, aktiv ihre Privatsphäre einzufordern – eine bewusste Entscheidung, die Bequemlichkeit über Sicherheit stellt.
• Nutzerfreundlichkeit wird vorgeschoben: Der Grund, warum E2EE-Backups nicht standardmäßig aktiviert sind, könnte sein, dass es zusätzlichen Aufwand erfordert, wie die Erstellung eines eigenen Passworts oder Schlüssels. Doch Bequemlichkeit auf Kosten der Sicherheit ist keine Entschuldigung für eine derart weit verbreitete App.

Wie könnte es besser sein

• Automatische Aktivierung: E2EE-Backups sollten standardmäßig aktiviert werden, und WhatsApp sollte klar darauf hinweisen, dass ein starkes Passwort notwendig ist.
• Transparenz erhöhen: WhatsApp sollte deutlicher kommunizieren, dass unverschlüsselte Backups ein massives Sicherheitsrisiko darstellen.
• Keine halben Versprechen: Wenn eine App mit E2EE wirbt, sollte sie sicherstellen, dass diese Verschlüsselung durchgängig ist – ohne Hintertüren wie unverschlüsselte Backups.

Dass WhatsApp so ein riesiges Sicherheitsleck nicht standardmäßig behebt, ist mehr als nur ein Versäumnis – es ist eine Schande. Es sendet die Botschaft, dass Bequemlichkeit und die Kontrolle über Daten wichtiger sind als die Privatsphäre der Nutzer. Echte Sicherheit erfordert, dass solche Funktionen standardmäßig aktiviert sind, und nicht nur als Option für diejenigen, die zufällig in den Einstellungen danach suchen.

Das Melden von Chats in WhatsApp ist ein oft diskutiertes Thema, da es auf den ersten Blick mit der Ende-zu-Ende-Verschlüsselung (E2EE) in Konflikt zu stehen scheint. Aber es gibt eine technische Erklärung, wie das funktioniert, ohne die Grundprinzipien der Verschlüsselung zu verletzen. Lass uns das im Detail betrachten:

Die Chat-Melde Funktion von Whatsapp

Wenn jemand einen Chat meldet, erlaubt WhatsApp, dass eine Kopie der letzten Nachrichten aus dem Chat an WhatsApp weitergeleitet wird. Das heisst also, dass eure verschlüsselten Chats an Whatsapp unverschlüsselt ausgeliefert werden. Diese Nachrichten werden direkt von eurem Gerät entschlüsselt (ohne dass ihr es erfahrt) und dann an die WhatsApp-Server geschickt. Das bedeutet:

• Die Ende-zu-Ende-Verschlüsselung bleibt technisch intakt, jedoch wird eine Kopie in unverschlüsselter Form eurer Chats und der, der gemeldet hat, an Whatsapp gesendet.
• WhatsApp erhält nur die Nachrichten, die ihr selbst entschlüsselt und gemeldet habt, oder wenn jemand eure Nachrichten gemeldet hat, jedoch nicht den gesamten Chatverlauf.

Das Melden ist also im Wesentlichen eine Freigabe von Daten durch den Benutzer, aber ohne Zustimmung des anderen.

Welche Daten werden bei einer Meldung übermittelt

Laut WhatsApp umfasst eine Meldung typischerweise:

• Die letzten 5 Nachrichten des gemeldeten Chats oder der gemeldeten Gruppe.
• Informationen über den Chat, z. B. den Namen des Kontakts oder der Gruppe.
• Meta-Daten wie Zeitpunkt der Nachrichten und möglicherweise Profilinformationen des Kontakts.

Die gemeldeten Nachrichten werden dann überprüft, um Verstöße gegen die Nutzungsbedingungen festzustellen (z. B. Spam, Missbrauch, illegale Inhalte).

Warum ist das ein Problem für die Privatsphäre

Obwohl die technische E2EE erhalten bleibt, gibt es dennoch Kritik:

• Möglichkeit des Missbrauchs: Jeder Nutzer in einem Chat kann Nachrichten weiterleiten oder melden, wodurch die Privatsphäre anderer gefährdet wird.
• Zentralisierung der Daten: Sobald Nachrichten gemeldet werden, landen sie unverschlüsselt auf den WhatsApp-Servern und könnten dort länger gespeichert oder weiterverarbeitet werden.
• Vertrauen in den Nutzer: Die E2EE schützt euch nicht davor, dass eure Chatpartner Nachrichten teilt, meldet oder Screenshots erstellt. Es gibt keine Garantie für Vertraulichkeit im sozialen Kontext.

Was kann ich tun um die Situation zu verbessern

Einen anderen Messenger verwenden! Nein, Spass, wir wissen genau was dies für eine Hürde darstellt, deshalb geben wir auch Tipps, und motzen nicht nur, um die Situation etwas zu entschärfen. Aktiviert die Verschlüsselung für die Chat Backups, benutzt wenn möglich einen Whatsapp Proxy wie unseren Servern um eure IP zu verstecken, und entfernt unnötige Berechtigungen wie Standort, und Geräte in der Nähe. Die Berechtigungen zu entfernen, nicht mehr auf euer Kontaktbuch zuzugreifen nützt nicht mehr viel, den eure Kontakte hat Whatsapp schon, und eure Kontakte tauchen nur noch als Telefonnummern auf. Nutzt wenn möglich auf GrapheneOS Storage Scopes und erlaubt Whatsapp nur Zugriff auf bestimmte Ordner, und nicht all eure Medien! Gegen die Meldefunktion könnt ihr allerdings nicht viel tun. Wann und wie oft sie ausgeführt wird, habt ihr nicht unter Kontrolle.

Fazit

WhatsApp verwendet echte Ende-zu-Ende-Verschlüsselung nach dem Signal-Protokoll, was bedeutet, dass eure Nachrichten für WhatsApp selbst unlesbar sein sollten. Die Kritikpunkte liegen hauptsächlich bei:

• Meta-Daten-Sammlung,
• nicht standardmäßig verschlüsselten Backups,
• mangelnder Transparenz aufgrund proprietärer Software,
• und der Möglichkeit von clientseitiger Überwachung.

Wenn Privatsphäre wirklich ein Anliegen von WhatsApp wäre, gäbe es keine unverschlüsselten Backups – Punkt.

Wenn ihr absolute Sicherheit und Privatsphäre sucht, wäre ein Messenger wie Signal/Molly oder Matrix (mit E2EE standardmässig für Chats und Backups aktiviert) eine bessere Wahl, da diese Plattformen offener und weniger datenhungrig sind.

The post Warum Whatsapp's Verschlüsselung eine verarsche ist appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Wie funktioniert das Fediverse?

Das Fediverse basiert auf offenen Protokollen wie ActivityPub, OStatus und Diaspora, die den Austausch von Daten zwischen verschiedenen Servern und Plattformen ermöglichen. Jede Instanz im Fediverse ist ein eigenständiger Server, der von einer Einzelperson, einer Organisation oder einer Community betrieben wird. Nutzer können sich auf einer beliebigen Instanz registrieren und dann mit Nutzern auf anderen Instanzen interagieren.

Zum Beispiel könnte ein Benutzer auf einer Mastodon-Instanz einem anderen Benutzer auf einer Pleroma-Instanz folgen und dessen Beiträge sehen, obwohl beide auf unterschiedlichen Plattformen sind. Diese Interoperabilität ist das Herzstück des Fediverse und ermöglicht eine grenzenlose Vernetzung.

Plattformen im Fediverse

Das Fediverse umfasst eine Vielzahl von Plattformen, die unterschiedliche Bedürfnisse abdecken:

Mastodon: Wahrscheinlich die bekannteste Plattform im Fediverse. Mastodon ist ein Mikroblogging-Dienst, der oft mit Twitter verglichen wird. Benutzer können kurze Beiträge (genannt „Toots“) veröffentlichen, die andere liken, teilen und kommentieren können.

Pleroma: Ähnlich wie Mastodon, aber ressourcenschonender und oft auf kleinere Communities ausgerichtet. Pleroma bietet mehr Flexibilität in Bezug auf Funktionen und Anpassungsmöglichkeiten.

Pixelfed: Eine Plattform, die sich auf das Teilen von Fotos und Bildern spezialisiert hat, ähnlich wie Instagram.

PeerTube: Eine dezentrale Video-Plattform, die es Nutzern ermöglicht, Videos hochzuladen, zu teilen und zu kommentieren, ohne dass ein zentrales Unternehmen die Kontrolle hat.

Diaspora: Eines der ersten sozialen Netzwerke im Fediverse, das einen besonderen Fokus auf den Schutz der Privatsphäre legt. Diaspora ermöglicht den Nutzern, ihre Beiträge nur mit ausgewählten Kontakten zu teilen.

Friendica: Eine Plattform, die versucht, ein umfassendes soziales Netzwerk zu bieten, das viele der Funktionen traditioneller sozialer Netzwerke integriert.

Vorteile des Fediverse

1. Dezentralisierung: Einer der größten Vorteile des Fediverse ist seine Dezentralisierung. Es gibt keine zentrale Autorität, die das Netzwerk kontrolliert, was Zensur erschwert und den Nutzern mehr Freiheit gibt, wie sie die Plattformen nutzen.
2. Datenschutz: Da jede Instanz unabhängig betrieben wird, haben die Betreiber und Nutzer mehr Kontrolle über ihre Daten. Viele Instanzen legen großen Wert auf Datenschutz und Datensicherheit.
3. Community-Orientierung: Da jede Instanz von einer Community betrieben wird, können sie auf die spezifischen Bedürfnisse und Werte dieser Community zugeschnitten werden. Das ermöglicht eine vielfältige und oft eng verbundene Nutzerbasis.
4. Interoperabilität: Nutzer können unabhängig von der genutzten Plattform miteinander kommunizieren. Diese Offenheit fördert die Vielfalt und ermöglicht es Nutzern, die Plattform zu wählen, die am besten zu ihren Bedürfnissen passt, ohne den Kontakt zu anderen Nutzern zu verlieren.
5. Non-Profit: die meissten Fediverse Plattformen sind nicht aufs Geldverdienen aus, eure Daten und euer Nutzerverhalten werden nicht verkauft.

Herausforderungen des Fediverse

1. Technische Barrieren: Für manche Nutzer kann es schwierig sein, sich in der Welt des Fediverse zurechtzufinden, besonders wenn sie an die benutzerfreundlichen Oberflächen zentralisierter Plattformen gewöhnt sind.
2. Verteilung der Nutzerbasis: Da das Fediverse aus vielen verschiedenen Instanzen besteht, kann es manchmal schwierig sein, große Netzwerkeffekte zu erzielen, die zentralisierte Plattformen bieten.
3. Moderation und Sicherheit: Da jede Instanz ihre eigenen Regeln hat, kann die Qualität der Moderation stark variieren. Einige Instanzen könnten unzureichend moderiert sein, was zu Problemen mit Missbrauch und Belästigung führen kann.
4. Abhängigkeit von Betreibern: Der Erfolg einer Instanz hängt stark von der Kompetenz und dem Engagement ihrer Betreiber ab. Wenn eine Instanz schließt, können Nutzer ihre Netzwerke verlieren, wenn sie nicht rechtzeitig umziehen.

Ist das Fediverse anonym

Das Fediverse ist nicht von Natur aus anonym, aber es bietet mehr Privatsphäre als viele zentralisierte soziale Netzwerke. Da das Fediverse aus vielen unabhängigen Servern besteht, hängt der Grad der Anonymität und Überwachung stark von der jeweiligen Instanz ab, auf der ihr euch registriert. Einige Instanzen legen großen Wert auf Datenschutz und sammeln nur minimale Daten, während andere möglicherweise mehr Informationen speichern.

Allerdings gilt: Wie bei jedem Online-Dienst ist es möglich, überwacht zu werden, besonders wenn eure Aktivitäten von den Betreibern der Instanz oder von externen Akteuren (z.B. Regierungen) ins Visier genommen werden. Um eure Privatsphäre zu maximieren, solltet ihr auch im Fediverse sorgfältig auswählen, auf welcher Instanz iht euch anmeldet, was ihr postet und teilt, und was ihr von euch preisgebt und immer bedenken, dass vollständige Anonymität im Internet schwer zu gewährleisten ist. Verschlüsselte Kommunikation und bewusster Umgang mit persönlichen Daten können helfen, eure Privatsphäre im Fediverse zu schützen.

Ethik und soziale Auswirkungen

Das Fediverse basiert auf Prinzipien, die sich stark von denen zentralisierter sozialer Netzwerke unterscheiden. Während große Plattformen wie Facebook, Twitter oder Instagram auf Gewinnmaximierung, Nutzerdaten und Werbung ausgerichtet sind, steht beim Fediverse die Kontrolle und Autonomie der Nutzer im Vordergrund. Die ethischen Grundsätze des Fediverse lassen sich in einigen Schlüsselbereichen zusammenfassen:

1. Dezentralisierung und Kontrolle: Im Fediverse hat keine zentrale Autorität die Kontrolle über das gesamte Netzwerk. Diese Dezentralisierung bedeutet, dass Nutzer mehr Macht über ihre eigenen Daten und die Art und Weise, wie sie interagieren, haben. Es liegt in der Verantwortung der Instanzbetreiber, ethische Richtlinien festzulegen und durchzusetzen, was oft zu einer vielfältigeren und an die jeweilige Community angepassten Moderation führt.
2. Datenschutz und Privatsphäre: Datenschutz ist ein zentraler ethischer Aspekt des Fediverse. Im Gegensatz zu kommerziellen Plattformen, die oft durch den Verkauf von Nutzerdaten Gewinne erzielen, steht im Fediverse der Schutz der Privatsphäre im Vordergrund. Viele Instanzen legen großen Wert darauf, so wenig Daten wie möglich zu sammeln und Nutzern die Möglichkeit zu geben, ihre Daten vollständig zu kontrollieren.
3. Freiheit der Meinungsäußerung vs. Moderation: Im Fediverse wird die Meinungsfreiheit hoch geschätzt. Allerdings geht diese Freiheit auch mit der Verantwortung einher, respektvoll zu kommunizieren und die Rechte anderer zu achten. Die Herausforderung besteht darin, eine Balance zwischen Meinungsfreiheit und notwendiger Moderation zu finden, um eine respektvolle und sichere Umgebung für alle Nutzer zu gewährleisten.
4. Transparenz und Verantwortung: Da viele Instanzen von Einzelpersonen oder kleinen Gruppen betrieben werden, spielt Transparenz eine große Rolle. Nutzer sollten verstehen, wie ihre Daten verwendet werden und welche Moderationsrichtlinien gelten. Instanzbetreiber haben die ethische Verantwortung, ihre Gemeinschaft offen und fair zu führen.

Soziale Auswirkungen des Fediverse

Das Fediverse hat das Potenzial, tiefgreifende soziale Auswirkungen zu haben, die sich von den Effekten traditioneller sozialer Netzwerke unterscheiden. Diese Auswirkungen lassen sich in mehrere Dimensionen unterteilen:

1. Förderung von Nischen-Communities: Eine der bemerkenswertesten sozialen Auswirkungen des Fediverse ist die Förderung von Nischen-Communities. Da jede Instanz ihre eigenen Regeln und Schwerpunkte setzen kann, sind Plattformen entstanden, die spezifischen Interessen, Kulturen oder Ideologien gewidmet sind. Dies ermöglicht es Menschen, Gemeinschaften zu finden, die wirklich zu ihnen passen, was in großen, zentralisierten Netzwerken oft schwierig ist.
2. Diversität und Inklusion: Das Fediverse fördert eine größere Diversität, da es keine einheitlichen Regeln gibt, die von einer zentralen Autorität festgelegt werden. Unterschiedliche Instanzen können unterschiedliche Kulturen und Werte pflegen, was zu einer inklusiveren digitalen Landschaft führt. Dies bietet marginalisierten Gruppen und Minderheiten eine Plattform, auf der sie sich sicher und gehört fühlen können.
3. Veränderung der sozialen Dynamik: Im Gegensatz zu den Algorithmen, die in zentralisierten Netzwerken oft polarisiertes Verhalten fördern, basiert das Fediverse auf chronologischen Feeds und fördert organische Interaktionen. Diese Struktur kann dazu beitragen, die sozialen Dynamiken im digitalen Raum zu ändern, indem sie weniger auf virale Inhalte und mehr auf sinnvolle, zwischenmenschliche Interaktionen fokussiert.
4. Widerstand gegen Zensur und Kontrolle: Das Fediverse bietet eine Alternative für Menschen, die in Ländern oder Regionen leben, in denen soziale Medien stark zensiert oder überwacht werden. Da Instanzen unabhängig betrieben werden können, ist es schwieriger für Regierungen oder andere Mächte, die Kommunikation zu kontrollieren. Dies macht das Fediverse zu einem wichtigen Werkzeug für die Verteidigung der Meinungsfreiheit weltweit.
5. Potenzial für Fragmentierung: Eine der sozialen Herausforderungen des Fediverse ist das Potenzial für Fragmentierung. Da Instanzen eigenständig agieren, besteht die Gefahr, dass sich Communities isolieren und „Echo-Kammern“ entstehen, in denen nur ähnliche Meinungen und Ideen zirkulieren. Dies kann die gesellschaftliche Spaltung verstärken, wenn nicht bewusst gegen diese Tendenzen angearbeitet wird.
6. Nachhaltigkeit von Gemeinschaften: Die dezentrale Struktur des Fediverse bringt auch die Frage nach der Nachhaltigkeit kleinerer Instanzen mit sich. Communities können von den Fähigkeiten und Ressourcen ihrer Betreiber abhängen. Wenn eine Instanz ausfällt, können Nutzer ihre Netzwerke und Verbindungen verlieren, was soziale Unsicherheiten schaffen kann.

Herausforderungen und Chancen

Das Fediverse stellt ein ethisches und soziales Experiment dar, das zeigt, dass es möglich ist, eine digitale Welt zu schaffen, die auf anderen Prinzipien als Gewinnmaximierung und zentraler Kontrolle basiert. Die größten Herausforderungen liegen in der Moderation, der Fragmentierung und der Nachhaltigkeit. Gleichzeitig bietet das Fediverse immense Chancen, indem es eine vielfältigere, inklusivere und freiere Online-Umgebung fördert.

Der Erfolg des Fediverse hängt letztlich davon ab, wie gut diese ethischen Grundsätze in der Praxis umgesetzt werden und ob es gelingt, eine Balance zwischen Freiheit und Verantwortung zu finden. Es bietet die Möglichkeit, das Internet in eine Richtung zu lenken, die mehr auf den Menschen und weniger auf kommerzielle Interessen ausgerichtet ist – ein Schritt hin zu einem ethischeren digitalen Zeitalter.

Die Zukunft des Fediverse

Das Fediverse ist mehr als nur eine Alternative zu etablierten sozialen Netzwerken; es repräsentiert eine Bewegung hin zu einem offeneren, benutzerfreundlicheren Internet. Während Plattformen wie Facebook und Twitter immer wieder in die Kritik geraten, weil sie die Privatsphäre ihrer Nutzer missachten, Inhalte zensieren oder manipulative Algorithmen verwenden, bietet das Fediverse einen anderen Ansatz: Es gibt die Kontrolle zurück in die Hände zu euch!

Trotz der Herausforderungen, die mit der Dezentralisierung einhergehen, zeigt das Fediverse, dass es möglich ist, ein soziales Netzwerk zu schaffen, das auf Zusammenarbeit, Offenheit und Respekt vor den Rechten der Nutzer basiert. Es ist wahrscheinlich, dass das Fediverse in den kommenden Jahren weiter wachsen und reifen wird, besonders wenn mehr Menschen die Vorteile einer dezentralisierten digitalen Welt erkennen.

Für diejenigen, die bereit sind, sich auf diese neue Art der Vernetzung einzulassen, bietet das Fediverse eine erfrischende Alternative zu den dominanten, gewinnorientierten sozialen Medien der Gegenwart.

Wir sind neuerdings auch im Fediverse vertreten und auf https://mastodon.social vertreten. Schau mal vorbei auf https://mastodon.social/@yourdevice

The post Was ist das Fediverse und welche Vorteile hat es appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist der Digital Services Act

Der Digital Services Act (DSA) repräsentiert die "Bemühungen" der Europäischen Union, das digitale Ökosystem zu regulieren, insbesondere im Hinblick auf Online-Plattformen. Ziel ist es, die Verantwortung von Plattformen zu erhöhen, Transparenz zu gewährleisten und die Sicherheit und Rechte der Nutzer zu schützen. Trotz dieser noblen Absichten gibt es starke demokratische Bedenken hinsichtlich einiger Aspekte des DSA, insbesondere im Hinblick auf die Rolle der "Trusted Flaggers" und die potenzielle Vermischung von judikativen und exekutiven Funktionen im Krisenzeiten welches die EU selber definiert und reguliert.

Die Regulierung des Internets und digitaler Plattformen durch den Digital Services Act (DSA) der Europäischen Union wurde eingeführt, um den digitalen Raum "sicherer und transparenter" zu gestalten. Die Beschreibungen des Gesetzes werden von sämtlichen Staatstreuen Plattformen als wohlwollend dem Individuum gegenüber beschrieben. Der Verbraucher soll vornehmlich geschützt werden. Zwei Aspekte des DSA – das Konzept der Trusted Flaggers und die speziellen Befugnisse der EU in Krisenzeiten – könnten jedoch, wenn sie missbraucht werden, als Instrumente zur Zensur dienen. Wir schauen uns an, wie solch ein hypothetisches Szenario aussehen könnte.

Zu was genau werden die Plattformen verpflichtet

Die Plattformen werden verplfichtet "Illegale" Inhalte, nach Identifzierung durch Benutzer oder sogenannter Truster Flaggers zu entfernen. Laut Europäischer Union geht es wiederum erstmal nur um die Standards wie Hassreden, terroristische Propaganda, kinderpornografische Inhalte und mehr.... Das "und mehr..." ist dabei wieder mal interessant. "Und mehr..." beinhaltet auch "Falschinformationen", "Irreführung" und Ich nenn es mal "andere Ansichten"

Wer legt diese Einstufen fest was illegal ist, und was nicht

1. Staatliche Organe: In den meisten Ländern legen Gesetzgeber und Regulierungsbehörden fest, was als illegaler Inhalt gilt.
2. Gerichte: Oft ist es Aufgabe der Gerichte, in strittigen Fällen zu entscheiden, ob ein bestimmter Inhalt als illegal betrachtet werden sollte oder nicht.
3. Die Plattformen selbst: Neben den gesetzlichen Verpflichtungen haben viele Plattformen ihre eigenen Gemeinschaftsrichtlinien, die festlegen, welche Inhalte akzeptabel sind und welche nicht. Diese Richtlinien können strenger sein als die gesetzlichen Mindestanforderungen.
4. Sogenannte Truster Flaggers - das können Behörden, Faktenchecker, andere Plattformen oder Insitute sein

Trusted Flaggers als priorisierte Kontrollorgane

Einer der umstrittensten Punkte des DSA ist eben das Konzept der "Trusted Flaggers". Dies sind Organisationen oder Einrichtungen, die von Mitgliedstaaten als besonders zuverlässig bei der Meldung illegaler Inhalte anerkannt sind. Der DSA verlangt von Online-Plattformen, diese Meldungen priorisiert zu behandeln.

Das Problem ist, dass die Einrichtung solcher "Trusted Flaggers" einen demokratischen Prozess der Evaluierung von Inhalten potenziell aushebelt da der Prozess zur Ernennung von Trusted Flaggers vollkommen unklar ist. Sogenannte Fakt Checkers, die desöfteren in der Vergangenheit bereits vollkommen falsch lagen, könnten ebenso priviligiert werden. Es besteht die Gefahr, dass diese solche Akteure übermäßigen Einfluss auf den Diskurs oder die Informationsfreiheit ausüben könnten:

1. Mangel an Rechenschaftspflicht: Es gibt keine klaren Mechanismen, um sicherzustellen, dass Trusted Flaggers stets im besten Interesse der Öffentlichkeit handeln. Ihre Entscheidungen könnten von politischen, finanziellen oder anderen Interessen beeinflusst sein.
2. Mangel an Transparenz: Die Kriterien und Prozesse, die zur Identifizierung und Anerkennung von Trusted Flaggers verwendet werden, könnten undurchsichtig sein.
3. Mangel an Überprüfung: Da ihre Entscheidungen als vorrangig betrachtet werden, könnten Fehlentscheidungen oder Missbräuche schwer zu korrigieren sein.

EU als Judikative und Exekutive in Krisenzeiten

Ein weiterer Punkt von Bedenken ist die potenzielle Vermischung von judikativen und exekutiven Funktionen innerhalb der EU-Struktur. In Krisenzeiten sieht der DSA vor, dass die EU-Kommission Maßnahmen ergreifen kann, um die Verbreitung bestimmter illegaler Inhalte zu verhindern oder zu beschränken.

1. Konzentration von Macht: Ein solches Arrangement könnte zu einer unangemessenen Machtkonzentration führen. In demokratischen Systemen wird die Macht oft zwischen verschiedenen Zweigen (Exekutive, Legislative und Judikative) verteilt, um Checks and Balances zu gewährleisten.
2. Mangelnde Überprüfung und Balance: Wenn die EU sowohl die Regeln setzt als auch deren Einhaltung überwacht, könnte dies zu einer unangemessenen Anwendung oder Interpretation dieser Regeln führen, ohne dass effektive Kontrollmechanismen vorhanden sind.

Krisenzeiten könnten sein, Kriege, Pandemien, Umweltkatastrophen, politische Unruhen.

Hohe Strafen führen zur Überregulation

Konzerne, die die Vorschriften des DSA missachten, können mit hohen Geldstrafen belegt werden, die bis zu 8% ihres weltweiten Jahresumsatzes ausmachen können. Bei einem Konzern wie Facebook, mit einem Umsatz von ca 110 Milliarden Euro im Jahr, wären dass schlappe 9 Milliarden Euro Strafe mit nicht Einhaltung der Regularieren und sollten "illegale Inhalte" nicht sofort gelöscht werden. Dies stellt sicherlich einen bedeutenden finanziellen Anreiz für Unternehmen dar, sich an die vorgeschriebenen Regulierungen zu halten. Solch drastische Strafen setzen ein klares Signal, ein Signal sich ganz bestimmt an die Regulationen zu halten.

Stellt Euch vor Ihr seid vor einem Abgrund bei dem es mehrere Hundert Meter den Berg hinunter geht, damit ganz bestimmt nichts passiert, und Ihr nicht die Klippe hinunter stürzt, stellt Ihr sicher, dass Euer Sicherheitsabstand wirklich gross genug ist, um Gefahren aus dem Weg zu gehen. Diese Metapher könne wir auch auf Konzerne übertragen.

Angesichts der potenziellen finanziellen Folgen dieser Strafen könnten Großkonzerne dazu neigen, übermäßige Sicherheitsmaßnahmen zu implementieren, um sicherzustellen, dass sie nicht gegen das DSA verstoßen. Dies könnte dazu führen, dass Inhalte vorschnell entfernt werden, auch wenn sie nicht unbedingt gegen die Bestimmungen verstoßen. Die Gefahr besteht darin, dass Plattformen in ihrer Angst vor Strafen den freien Informationsfluss und den Meinungsaustausch, der für demokratische Gesellschaften von zentraler Bedeutung ist, übermäßig einschränken.

Die Einführung übertriebener Sicherheitsprotokolle und automatisierter Moderationstools könnte zudem das Risiko falsch-positiver Erkennungen erhöhen. Das bedeutet, dass legitime Inhalte fälschlicherweise als problematisch oder regelwidrig eingestuft und somit entfernt werden könnten.

Zusätzlich könnten die Bemühungen von Konzernen, dem DSA gerecht zu werden, kleinere Unternehmen und Start-ups benachteiligen. Große Konzerne haben in der Regel mehr Ressourcen, um in fortgeschrittene Moderationswerkzeuge zu investieren und sich an die Vorschriften anzupassen. Kleinere Unternehmen hingegen könnten Schwierigkeiten haben, die gleichen Standards zu erfüllen, was zu einer ungleichen Wettbewerbslandschaft führen könnte.

Ein hypotetisches Beispiel wie das Gesetz wirken kann

Schauen wir uns an was das Gesetz mit anders denkenden kurzerhand legal tun kann:

Clara ist eine politische Bloggerin aus einem EU-Land und schreibt regelmäßig kritische Beiträge über die Entscheidungen und Maßnahmen der Europäischen Union. Sie hat eine treue Leserschaft, die ihre Analysen und Meinungen schätzt.

Eines Tages veröffentlicht Clara einen besonders kritischen Beitrag, in dem sie eine neue EU-Richtlinie hinterfragt. Der Beitrag wird von ihren Lesern weit verbreitet und erreicht eine große Reichweite auf den sozialen Medien.

Ein "Trusted Flagger", eine von einem EU-Mitgliedstaat offiziell anerkannte Organisation zur Überwachung von Online-Inhalten, sieht Claras Beitrag und interpretiert ihn als Falschinformation. Obwohl die Bloggerin ihre Meinung auf fundierten Recherchen und Fakten basiert, entscheidet der Trusted Flagger, dass der Beitrag entfernt werden soll, da er potenziell schädlich für die öffentliche Ordnung ist.

Clara erhält eine Benachrichtigung von ihrer Blogging-Plattform, dass ihr Beitrag gelöscht wurde, basierend auf den Vorschriften des Digital Services Act. Sie versucht, gegen diese Entscheidung Einspruch zu erheben, stellt jedoch fest, dass der Prozess langwierig und komplex ist. Da der Trusted Flagger Priorität bei seinen Entscheidungen hat, gibt es wenig Raum für eine schnelle Überprüfung oder Revision.

Infolgedessen fühlt sich Clara zensiert und ihre Meinungsfreiheit eingeschränkt. Ihre Leser sind ebenfalls empört über die Entfernung des Beitrags, und es entsteht eine Diskussion über die potenziellen Gefahren des Digital Services Act und wie er die Freiheit des digitalen Diskurses in Europa beeinflussen könnte.

Solche Beispiele geschahen in der Vergangenheit bereits auch schon regelmässig, nur gab es dafür bisher aber keine Legitimation. Dies wurde mit dem DSA jetzt nun nachgereicht.

Schlussfolgerungen

Während der DSA in angeblich guter Absicht entwickelt wurde, um die digitale Landschaft sicherer und transparenter zu gestalten, gibt es legitime demokratische Bedenken. Ein ausgewogener Ansatz, der sowohl den Schutz der Nutzer als auch demokratische Prinzipien gewährleistet, wäre wünschenswert. Stattdessen werden nun zum Artikel 13 Urheberrechtsgesetz weitere Einschränkende Gesetze erlassen die absolut nichts besser machen. Die Rechte des Individuums wurden leider kaum bis garnicht nicht verbessert. Es ist entscheidend, Mechanismen zur Rechenschaftspflicht und Überprüfung in das System zu integrieren, um sicherzustellen, dass die Macht nicht unangemessen konzentriert wird und die Grundrechte gewahrt bleiben. Wie immer, ist das leider wiedermal nicht passiert, und man hat eine Riesenchance vertan, die Demokratie in der digitalen Welt zu bekräftigen.

Quellen

https://www.tichyseinblick.de/daili-es-sentials/dsa-tritt-in-kraft/

https://www.youtube.com/watch?v=e8rV808RFcc&t=10s

The post Der Digital Services Act als Zensur Mechanismus appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.