Überwachung on Arpokrat

SignalTrace: Europa exportiert die Überwachung, die es sich selbst verbietet

Tue, 01 Sep 2026 00:00:00 +0000

Eine graue Limousine fährt mit 110 km/h unter einer Autobahnbrücke hindurch. Die Kamera am Mast liest das Kennzeichen, versieht es mit einem Zeitstempel, speichert es. Nichts Neues: Diese Technik gibt es seit zwanzig Jahren, in Zehntausenden von Exemplaren in Nordamerika wie in Europa.

Doch wenn an diesem Mast das Gerät hängt, das der italienische Konzern Leonardo seit Juni 2026 vertreibt, hat er soeben noch etwas anderes erfasst. Das iPhone des Fahrers. Die kabellosen Ohrhörer der Beifahrerin. Die Smartwatch auf dem Armaturenbrett. Das Autoradio. Den vernetzten Schlüsselanhänger im Handschuhfach. Die Drucksensoren aller vier Reifen. Den Zugangsausweis, der in einer Jacke geblieben ist. Und wenn hinten ein Hund schläft, dessen Identifikationschip.

Ein Dutzend Kennungen, ein Kennzeichen, eine Position, eine Uhrzeit. Wiederholen Sie das an jedem Mast des Netzes, und Sie verfolgen kein Auto mehr: Sie verfolgen Menschen, und Sie wissen, mit wem sie unterwegs sind.

Was das Gerät tatsächlich tut

Das Produkt heißt SignalTrace. Vertrieben von Leonardo US Cyber and Security Solutions, ergänzt es die Reihe ELSAG, eine der am weitesten verbreiteten Baureihen automatischer Kennzeichenlesegeräte auf dem amerikanischen Markt. Seine Existenz wurde am 8. Juni 2026 von Joseph Cox in 404 Media anhand eines Produktdatenblatts des Herstellers öffentlich gemacht.

Der entscheidende Punkt lässt sich in einem Satz sagen: Es handelt sich nicht um neue Kameras. SignalTrace ist ein Funksensor, der bereits installierten Kennzeichenlesern hinzugefügt wird. Der Mast ändert sich nicht, der Standort ändert sich nicht, das äußere Erscheinungsbild der Technik am Straßenrand ändert sich nicht. Was sich ändert, ist das, worauf die Anlage hört.

Der Sensor erfasst die Kennungen, die von den Bluetooth-, WLAN- und RFID-Protokollen der im Fahrzeug befindlichen Geräte im Klartext ausgesendet werden. Ein oft missverstandener technischer Punkt: Kein Gerät wird gehackt, keine Schwachstelle ausgenutzt. Ein Bluetooth- oder WLAN-Gerät sendet ununterbrochen Erkennungspakete, weil diese Protokolle so entworfen wurden. Ihre Ohrhörer kündigen ihre Anwesenheit an, damit Ihr Telefon sie findet, und dieses Telefon fragt seinerseits die Umgebung nach den Netzen ab, die es kennt. Diese Aussendungen sind konstruktionsbedingt öffentlich, und jeder Empfänger in Reichweite hört sie mit.

Leonardo führt im Übrigen aus, dass das System mit oder ohne Kennzeichenleser funktioniert, auch in Innenräumen, und ein Fahrzeug erkennt, dessen Kennzeichen verdeckt oder entfernt wurde.

Die Nachrüstung ist das eigentliche politische Thema. Ein neues Kameranetz zu installieren löst eine Abstimmung aus, eine Beratung, mitunter ein Gerichtsverfahren. Eine Platine in ein bereits genehmigtes Gehäuse einzusetzen löst nichts aus. Die Überwachungsfähigkeit ändert ihre Natur ohne öffentliche Debatte, weil es materiell nichts Neues zu sehen gibt.

Vom Fahrzeug zur Person, und von der Person zur Gruppe

Ein Kennzeichenleser beantwortet eine Frage: Wo war dieses Fahrzeug. SignalTrace fügt zwei weitere hinzu: Wer saß darin, und mit wem.

Leonardo macht daraus keinen Hehl, es ist das Verkaufsargument. Das System bildet, was die Dokumentation einen elektronischen Fingerabdruck nennt, eine Menge von Kennungen, die „häufig gemeinsam ausgesendet" werden. Das Beispiel des Herstellers ist eindeutig: In einer ganzen Stadt wird nur ein einziges Fahrzeug ein iPhone 13rev2, ein Audi-Autoradio, einen Bose-Kopfhörer, eine Garmin-Uhr, einen Schlüsselfinder und das Kennzeichen ABC-1234 zusammenführen.

Das Produkt verfolgt nicht nur Fahrzeuge. Es erzeugt automatisch einen Beziehungsgraphen zwischen Personen, ohne dass irgendjemand auch nur den geringsten Verdacht hätte formulieren müssen.

Hier vollzieht sich der qualitative Sprung. Durch die Korrelation der Geräte, die regelmäßig zusammen unterwegs sind, baut das System zwangsläufig einen sozialen Graphen auf. Zwei Telefone, die sich jeden Morgen im selben Auto wiederfinden, sind eine Fahrgemeinschaft oder eine Beziehung, die keiner der beiden öffentlich machen möchte. Fünfzig Geräte, die am selben Ort zur selben Zeit erfasst werden, sind eine Versammlung: eine Demonstration, ein Gottesdienst, eine Gewerkschaftssitzung oder eine Warteschlange vor einer Klinik.

Keine dieser Schlussfolgerungen erfordert Zugriff auf den Inhalt einer Kommunikation. Sie ergibt sich aus einer Nachbarschaftstabelle, standardmäßig, über die gesamte fahrende Bevölkerung hinweg und nicht über benannte Zielpersonen. Das ist Sippenhaft, industriell erzeugt, vor jeder Ermittlung. Tom Bowman, Jurist beim Center for Democracy & Technology, fasst das Problem in TechNewsWorld zusammen: Was das Werkzeug für die Verfolgung eines tatsächlichen Verdächtigen nützlich macht, macht es ebenso fähig, alle übrigen Autofahrer zu verfolgen, von denen keiner der Erfassung seiner Geräte zugestimmt hat.

Leonardo hält zwei Argumente entgegen: Das System entschlüsselt und liest keine Kommunikationsinhalte, und es identifiziert Personen nicht von sich aus. Beide Aussagen treffen zu, und beide gehen am Thema vorbei. Die gesuchte Erkenntnis war nie der Inhalt, sie liegt in den Standortmetadaten, die aufschlussreicher sind als eine Nachricht. Was die Identifizierung angeht, räumt der Hersteller selbst ein, dass ein Ermittler eine elektronische Signatur mit einem Kennzeichen verknüpfen und über die Zulassungsregister zum Halter zurückverfolgen kann.

Ein amerikanisches Recht, das für etwas anderes geschrieben wurde

In den Vereinigten Staaten gibt es einzelstaatliche Gesetze zu Kennzeichenlesern, und manche stellen hohe Anforderungen an Speicherfristen und Zugriffszwecke. Doch alle wurden um einen präzisen Gegenstand herum verfasst: das Bild eines Nummernschilds. Keines nimmt die Erfassung persönlicher Gerätekennungen durch dieselbe Anlage vorweg.

Diese Verschiebung schafft keine Rechtswidrigkeit, sondern eine Grauzone, die dem Anbieter gelegener kommt. Eine Polizeibehörde kann ohne zu lügen behaupten, ihr Kennzeichenleseprogramm sei genehmigt und rechtskonform, während sie unter demselben Regime nunmehr Daten vollkommen anderer Natur erhebt. Leonardo verfügt zudem über Bundesverträge mit dem Special Operations Command und der General Services Administration, also über einen Beschaffungsweg, der lokale Genehmigungen weitgehend umgeht.

Die Verfassungsdebatte ihrerseits ist gerade in Bewegung geraten, und hier ist Präzision nötig, denn die Rechtslage hat sich in diesem Sommer geändert. Im Januar 2026 entschied ein Bundesgericht in Virginia in der Sache Schmidt v. City of Norfolk, dass das Flock-Kameranetz der Stadt keine Durchsuchung darstellt im Sinne des vierten Verfassungszusatzes, da es nicht die gesamten Bewegungen der Einwohner abdecke. Die Entscheidung liegt im Berufungsverfahren vor dem Fourth Circuit, wo die ACLU beigetreten ist.

Dann erging am 29. Juni 2026 die Entscheidung des Obersten Gerichtshofs in Chatrie v. United States. Mit fünf zu vier Stimmen entschied er, verfasst von Richterin Kagan, dass die Erlangung der Standortdaten eines Telefons durch die Polizei eine Durchsuchung darstellt, da eine Person eine berechtigte Privatsphärenerwartung an diesen Daten behält, selbst wenn sie bei einem Dritten liegen und selbst über einen kurzen Zeitraum. Das Urteil führt Carpenter v. United States von 2018 fort und schwächt die Third-Party-Doktrin, wie das CDT angemerkt hat.

Die genaue Tragweite von Chatrie für SignalTrace ist nicht geklärt, und es wäre unvorsichtig, das Gegenteil zu behaupten: Das Urteil betrifft Daten, die von Google verlangt wurden, nicht die unmittelbare Erfassung durch einen Polizeisensor im öffentlichen Raum. Doch es etabliert die maßgebliche Argumentation, nämlich dass die Sensibilität eines Standortdatums nicht davon abhängt, wer es besitzt.

Die europäische Frage, die die eigentliche Frage ist

Hier wird der Fall für Europa unbequem. Leonardo ist kein amerikanischer Anbieter, sondern ein in Mailand börsennotierter italienischer Konzern, dessen größter Aktionär das italienische Wirtschafts- und Finanzministerium mit rund 30 % des Kapitals ist, mit der Befugnis, die Mehrheit des Verwaltungsrats zu bestellen. Der italienische Staat ist bei diesem Produkt kein passiver Aktionär.

Zunächst der technische Punkt

Im europäischen Recht ist eine Gerätekennung ein personenbezogenes Datum. Das ist keine Lehrmeinung, sondern die ständige Position der Aufsichtsbehörden. Die CNIL behandelt die MAC-Adresse in ihrer Doktrin zu Systemen der Besucherstrommessung ausdrücklich als solches und lässt ihre Erhebung im öffentlichen Raum nur unter engen Bedingungen zu: Anonymisierung binnen weniger Minuten mit hoher Kollisionsrate zwischen Personen oder zuverlässige Pseudonymisierung mit anschließender Löschung binnen vierundzwanzig Stunden, andernfalls wird die Einwilligung zwingend. Dieselbe Doktrin stellt klar, dass die Aufforderung, das WLAN abzuschalten, keine zulässige Form des Widerspruchs ist.

Der Gerichtshof der Europäischen Union hat am 4. September 2025 in der Rechtssache EDSB gegen SRB (C-413/23 P) präzisiert, dass sich der personenbezogene Charakter eines pseudonymisierten Datums nach den vernünftigerweise einsetzbaren Mitteln der Reidentifizierung bemisst. Hier aber ist der Inhaber eine Polizeibehörde, die über die Zulassungsregister verfügt. Die Mittel zur Reidentifizierung sind nicht hypothetisch, sie liegen im Nebenbüro.

Die Nuance, die alles ändert

Es wäre falsch zu schreiben, SignalTrace „wäre in Europa illegal", und ein juristisch geschulter Leser würde das sofort bemerken. Eine Verarbeitung, die von einer zuständigen Behörde zum Zweck der Verhütung und Verfolgung von Straftaten durchgeführt wird, fällt nicht unter die DSGVO. Sie fällt unter die Richtlinie (EU) 2016/680, die sogenannte JI-Richtlinie, die von jedem Mitgliedstaat gesondert umgesetzt wird, in Frankreich in Titel III des Datenschutzgesetzes. Die CNIL erinnert daran, dass dieses Regime eigenständig ist, mit eigenen Rechtsgrundlagen und eigenen Rechten.

Die richtige Frage ist daher nicht die der abstrakten Legalität, sondern die der Bedingungen. Unter diesem Regime setzte ein solches System eine ausdrückliche nationale Rechtsgrundlage voraus, bestimmte Zwecke, eine nachgewiesene Erforderlichkeit, eine begrenzte Speicherfrist, eine Folgenabschätzung und eine unabhängige Kontrolle. In Frankreich sind Kennzeichenleser so geregelt: Die Artikel L233-1 und L233-1-1 des Gesetzbuchs der inneren Sicherheit legen eine abschließende Liste von Straftaten fest, die ihren Einsatz eröffnen, und die Speicherfrist gehört mit grundsätzlich fünfzehn Tagen zu den kürzesten der Union, auch wenn ein Gesetzentwurf des Senats sie verlängern möchte.

Das ist der grundlegende Unterschied zur amerikanischen Lage. In den Vereinigten Staaten regelt das Gesetz einen Gegenstand, das Kennzeichen, und das Schweigen zu Gerätekennungen gilt als Erlaubnis. In Europa regelt das Gesetz Zwecke und Datenkategorien, und dieses Schweigen gilt eher als Verbot, mangels ausdrücklicher Rechtsgrundlage. Die jenseits des Atlantiks festgestellte Lücke besteht hier in dieser Form nicht. Nicht, dass Europa tugendhafter wäre: Seine Rechtstechnik ist umgekehrt.

Was der Schutz dann wert ist

Bleibt die Frage, um die es in diesem Artikel geht. Was ist ein europäischer Regulierungsschutz wert, wenn ein europäisches Unternehmen, kontrolliert von einem Mitgliedstaat, außerhalb Europas eine Fähigkeit verkauft, die es zu Hause ohne ein neues Gesetz nicht einsetzen dürfte?

Die Einwände verdienen es, ernst genommen zu werden. Ein Industrieunternehmen ist nicht für den Rechtsrahmen seines Kunden verantwortlich: Es ist Sache der amerikanischen Behörden zu entscheiden, was sie bei sich erlauben. Das Produkt wird nicht an eine Diktatur verkauft, sondern an einen Rechtsstaat mit einem aktiven obersten Gericht, wie Chatrie gerade in Erinnerung gerufen hat. Und das Argument der industriellen Souveränität ist berechtigt: Wenn sich die europäischen Konzerne diese Märkte verbieten, werden sie von israelischen, amerikanischen oder chinesischen Anbietern übernommen, ohne dass die Überwachung auch nur einen Meter zurückweicht, und Europa verliert dabei seine technologische Basis.

Diese Argumente sind zulässig. Sie beantworten das Problem nicht.

Zunächst, weil die Union bereits anerkannt hat, dass der Export von Überwachungsmitteln kein Handel wie jeder andere ist. Die Verordnung (EU) 2021/821 über Güter mit doppeltem Verwendungszweck hat in ihrem Artikel 5 eine Auffangklausel für Cyberüberwachungsgüter eingeführt, weil der Gesetzgeber anerkannt hat, dass ein legal herstellbares Werkzeug am Bestimmungsort illegitim sein kann. Ihre Grenze ist aufschlussreich: Sie greift bei der Gefahr interner Repression oder schwerer Menschenrechtsverletzungen, Kategorien, die für autoritäre Regime gedacht sind. Ein Verkauf an eine amerikanische Kommunalpolizei fällt nicht darunter. Das europäische Raster prüft die Moral des Kunden, nie die Natur der verkauften Fähigkeit.

Sodann, weil ein solches Produkt kein Lagerbestand ist, den man abverkauft, sondern eine Fähigkeit, die gepflegt wird: Sie finanziert Forschung, bildet Ingenieure aus, häuft Know-how an und schafft eine installierte Basis. An dem Tag, an dem ein schwerer Anschlag einen Mitgliedstaat dazu bringt, diese Fähigkeit zu verlangen, wird die Debatte nicht mehr darüber geführt, ob man sie aufbauen sollte. Sie wird existieren, sie wird europäisch sein, sie wird ausgereift sein, und ihr Anbieter wird teilweise staatlich sein. Das Argument „wir folgen nur dem Markt" wird dann zirkulär, denn der Heimatmarkt wird durch den Export vorbereitet worden sein.

Das ist es, was ein Regulierungsschutz in diesem Szenario wert ist: Er schützt die Europäer vor den Verwendungen, nicht vor der Existenz der Mittel. Er klärt die Frage, wer den Knopf drücken darf, und überlässt es der Industrie, ihn zu bauen, zu verkaufen, zu verbessern und dann zu warten.

Was man tun kann, ohne sich etwas vorzumachen

Die erste genannte Antwort ist immer die MAC-Adress-Randomisierung. Sie verdient eine ehrliche Prüfung, weder Anpreisung noch Herabsetzung. Sie ist real und sie funktioniert.

Android seit Version 10 und iOS seit Version 14 randomisieren standardmäßig die im WLAN verwendete MAC-Adresse, mit einer eigenen Adresse je Netz. In Bluetooth Low Energy senden moderne Geräte auflösbare private Adressen aus, die sich periodisch ändern und nur von einer Gegenstelle mit dem Auflösungsschlüssel dem realen Gerät zugeordnet werden können.

Ihre Grenzen sind ebenso real.

Das Pairing öffnet die Tür wieder. Der Auflösungsschlüssel wird beim Pairing übertragen. Ein bereits gekoppeltes oder ausdrücklich freigegebenes Gerät findet die stabile Identität hinter der wechselnden Adresse wieder. Der Mechanismus ist genau dafür gedacht.
Viele Objekte randomisieren gar nichts. Reifendrucksensoren, RFID-Ausweise, Tieridentifikationschips, Autoradios und billige Peripheriegeräte senden feste Kennungen. Leonardos Produktdatenblatt nennt genau diese Kategorien, was kein Zufall ist.
Die Randomisierung lässt sich abschalten. Sie wird netzweise deaktiviert, und das geschieht oft aus Bequemlichkeit, für eine MAC-Filterung am heimischen Router oder aufgrund von Unternehmensrichtlinien.
Die Gruppe überlebt den Wechsel der Kennungen. Das ist der am wenigsten naheliegende und wichtigste Punkt. SignalTrace sucht keine Kennung, es sucht eine Menge gemeinsam reisender Geräte. Wenn ein einziges Mitglied der Gruppe eine stabile Kennung aussendet, bleibt die gesamte Menge zuordenbar, unabhängig von der Disziplin der übrigen.

Die wirksamste Maßnahme bleibt die langweiligste: nicht senden. Das bedeutet, Bluetooth und WLAN auf Systemebene abzuschalten, in den Einstellungen, und nicht über die Schnellzugriffsleiste. Der Unterschied ist nicht kosmetisch, wir hatten ihn in unserem Artikel über die permanente Ortung des Telefons ausführlich dargelegt: Auf den meisten Verbrauchersystemen unterbricht die Schaltfläche im Schnellzugriff die sichtbare Kopplung, lässt den Software-Stack aber am Leben, und die Nachbarschaftsanalysen laufen weiter. Jener Artikel beschrieb das Bluetooth-Scanning als theoretischen Vektor. SignalTrace ist dessen kommerzielles Produkt, katalogisiert und lieferbar.

Man muss beim Ergebnis ehrlich bleiben: Diese Maßnahmen verringern die Angriffsfläche, sie beseitigen sie nicht. Ein Fahrzeug bleibt ein Kennzeichen, und ein Kennzeichen bleibt lesbar. Der einzige Weg, nichts auszusenden, besteht darin, nichts mitzuführen, und das ist keine öffentliche Politik.

Was das über unsere Entwurfsentscheidungen aussagt

Bei Arpokrat hat uns genau diese Überlegung dazu gebracht, Bluetooth im Core von ArpokratOS zu behandeln statt auf Ebene der Einstellungen. Ein Schalter in einer Oberfläche ist eine Nutzerpräferenz: Ein Update, eine Systemanwendung oder ein Ortungsdienst können sie umgehen oder wieder aktivieren, ohne dass der Nutzer davon erfährt. Ein nicht vorhandener Stack lässt sich nicht wieder aktivieren.

Gegenüber einer Erfassung wie der von SignalTrace macht das ein Gerät natürlich nicht unauffindbar, und wir behaupten das auch nicht: Ein Telefon bleibt in einem Mobilfunknetz, und die übrigen Objekte in einem Fahrzeug senden auf eigene Rechnung. Was es garantiert, ist, dass ein bestimmter Sendevektor konstruktionsbedingt fehlt, statt auf Vertrauensbasis deaktiviert zu sein. Das ist die These, die wir zu 5G und dem Zielfehler des Rechts vertreten haben: Der Rechtsschutz konzentriert sich auf den Zugriff auf die Daten, während er auf die Existenz der Infrastruktur zielen müsste, die sie erzeugt. SignalTrace ist die Veranschaulichung davon, mit dem Unterschied, dass diese Infrastruktur in Europa gebaut wird.

Fazit

Das Auffälligste an diesem Fall ist nicht die technische Fähigkeit, die Forscher seit Jahren beschreiben. Es ist die Methode der Einführung.

Es wird kein neues Kameranetz einzuweihen geben, keine kommunale Beratung anzufechten, keinen öffentlichen Auftrag, der als Wesensänderung erkennbar wäre. Es wird Geräte geben, die an vorhandene Masten gehängt werden, unter bestehenden Verträgen, in bereits genehmigten Programmen. An dem Tag, an dem die öffentliche Debatte beginnt, wird die Infrastruktur installiert, abgeschrieben und in die Ermittlungsverfahren integriert sein. Die Debatte wird dann die Zugangsbedingungen zu einer existierenden Datenbank betreffen, nie die Frage, ob es richtig war, sie anzulegen.

Das ist die übliche Reihenfolge der Dinge in Sachen Überwachung, und sie ist kein Zufall. Bleibt zu klären, ob Europa meint, etwas zu sagen zu haben, wenn seine eigenen Industrieunternehmen, gestützt auf seine eigenen Staaten, diese Infrastruktur für andere bauen. Das europäische Recht hat die Antwort auf die Frage, wer diese Daten bei uns einsehen darf, sorgfältig organisiert. Die Frage, wer das Recht hat, die Maschine zu bauen, hat es nie gestellt.

5G, Standortdaten und der Zielfehler des Rechts

Tue, 18 Aug 2026 00:00:00 +0000

2011 forderte die Polizei von Detroit bei einem Mobilfunkanbieter die Einbuchungshistorie des Telefons von Timothy Carpenter an. Sie erhielt 12 898 Standortpunkte über 127 Tage hinweg, rund hundert pro Tag. Sieben Jahre später entschied der Oberste Gerichtshof der Vereinigten Staaten, dass diese Anfrage eine Durchsuchung darstellte und einen richterlichen Beschluss erforderte.

Diese 12 898 Punkte stammten von Antennen der vierten Generation, von denen jede einen Radius von mehreren Kilometern abdeckte. Dieselbe Anfrage, heute an ein städtisches 5G-Netz gerichtet, würde nicht hundert Punkte pro Tag auf wenige Kilometer genau liefern. Sie würde ein weit größeres Volumen liefern, auf einige Dutzend Meter genau.

Die Technik hat die Größenordnung gewechselt. Die juristische Argumentation ist an derselben Stelle der Kette geblieben.

Ein Rechtsgut, das Gerichte auf beiden Seiten des Atlantiks anerkennen

Es gibt ein Interesse, das fast alle einräumen und fast kein Rechtstext wirksam schützt: das Recht, sich irgendwo aufzuhalten, ohne dass dieser Umstand aufgezeichnet wird.

Die europäische Rechtsprechung hat es unmissverständlich festgestellt. In Digital Rights Ireland (verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014) und anschließend in Tele2 Sverige und Watson (verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016) entschied der Gerichtshof der Europäischen Union, dass diese Daten in ihrer Gesamtheit sehr genaue Schlüsse auf das Privatleben der Betroffenen zulassen: Gewohnheiten des täglichen Lebens, Aufenthaltsorte, Ortsveränderungen, ausgeübte Tätigkeiten und soziale Beziehungen.

Der Oberste Gerichtshof der Vereinigten Staaten kam in Carpenter v. United States, 585 U.S. 296 (2018), zu einem ähnlichen Ergebnis. Er betonte einen Punkt, den die amerikanische Literatur viel kommentiert hat: den unausweichlichen und automatischen Charakter dieser Erhebung. Man willigt nicht ein, an eine Antenne angebunden zu werden, man ist es, weil man ein eingeschaltetes Telefon besitzt.

Das Rechtsgut existiert also und wird von den beiden Gerichten anerkannt, auf die es in dieser Frage ankommt. Das Problem liegt woanders.

Was 5G tatsächlich verändert hat

Eine verbreitete Verwechslung besteht darin, den Standort als Datum zu behandeln, das das Telefon übermittelt, so wie eine Nachricht oder ein Foto. Das ist nicht der Fall. Der Standort ist eine physikalische Folge der Funktionsweise des Netzes. Der Betreiber weiß, an welcher Antenne das Gerät hängt, weil er es wissen muss, um einen Anruf durchzustellen. Es gibt keinen Schlüssel, mit dem sich diese Information verschlüsseln ließe, denn sie ist kein Inhalt, sondern eine Eigenschaft der Verbindung selbst.

Genau das macht 5G in rechtlicher, nicht in technischer Hinsicht bedeutsam.

Frühere Architekturen beruhten auf großen Funkzellen. Eine 4G-Antenne versorgt üblicherweise einen Radius von mehreren Kilometern, und die allein aus der Einbuchung abgeleitete Position bewegte sich in der Stadt im Bereich von Hunderten Metern, auf dem Land bisweilen im Bereich von Dutzenden Kilometern. 5G beruht auf massiver Verdichtung: städtische Zellen decken typischerweise einige hundert Meter ab, und die ingenieurwissenschaftliche Literatur rechnet mit Dichten in der Größenordnung von vierzig bis fünfzig Basisstationen pro Quadratkilometer, gegenüber vier oder fünf zur Zeit von 3G.

Die Folge ist zwangsläufig. Laut dem Ericsson-Whitepaper zur 5G-Positionsbestimmung erreicht die allein für die Konnektivität ausgerollte Infrastruktur eine Genauigkeit von zwanzig bis fünfzig Metern im Freien und von ein bis drei Metern in Gebäuden und sinkt unter günstigen städtischen Bedingungen unter einen Meter. Es handelt sich nicht um eine irgendwo aktivierte Ortungsfunktion, sondern um das, was das Netz bauartbedingt weiß, ohne dass eine App installiert oder eine Berechtigung erteilt wäre. Wir haben all diese Mechanismen samt der tatsächlich wirksamen Gegenmaßnahmen in unserem Artikel über die dauerhafte Ortung des Telefons ausführlich dargestellt.

Der Eingriff hat also um mehrere Größenordnungen zugenommen. Der anwendbare Rechtsrahmen ist der für 2G und 3G gedachte geblieben. Keine normative Anpassung hat diesen Maßstabswechsel begleitet.

Das Recht schützt den Zugriff, nicht die Entstehung

Das europäische Recht regelt sorgfältig, wer unter welchen Voraussetzungen und unter welcher Kontrolle auf Standortdaten zugreifen darf. Die Richtlinie 2002/58/EG stellt den Grundsatz der Vertraulichkeit der Kommunikation auf, und der Gerichtshof entschied in La Quadrature du Net (verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020), dass Artikel 15 Absatz 1 dieser Richtlinie im Licht der Artikel 7, 8, 11 und 52 Absatz 1 der Charta einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten zu präventiven Zwecken entgegensteht. Der Gerichtshof ließ allerdings eng gefasste Ausnahmen zu, wenn ein Mitgliedstaat einer ernsten Bedrohung der nationalen Sicherheit gegenübersteht, die sich als real und aktuell oder vorhersehbar erweist, vorbehaltlich einer wirksamen Kontrolle.

Das sind echte Schutzmechanismen, und es wäre absurd, sie kleinzureden. Aber sie greifen alle erst im Nachhinein. Sie setzen voraus, dass das Datum existiert und gespeichert wird, und regeln danach die Bedingungen seiner Auswertung.

Wenn der Standort jedoch ein unvermeidbares Nebenprodukt des Netzbetriebs ist, dann ist nicht die Vertraulichkeit der richtige Ansatzpunkt. Es ist die Persistenz.

Eine augenblickliche Position, die zur Durchleitung einer Kommunikation nötig ist und sofort danach gelöscht wird, ist kein Überwachungsinstrument. Eine über Monate gespeicherte Positionshistorie ist eines, gleich welche Zugriffsgarantien sie umgeben.

Der Unterschied zwischen beiden ist kein juristischer, sondern ein architektonischer. Und der europäische Zeitplan macht die Frage dringend statt theoretisch. Die Kommission hat den Vorschlag für eine ePrivacy-Verordnung 2025 mangels Einigung zwischen den Mitgesetzgebern zurückgezogen. Sie arbeitet seitdem an einem eigenständigen Instrument zur Datenspeicherung für strafrechtliche Zwecke, das für 2026 angekündigt ist und die seit der Nichtigerklärung der Richtlinie von 2006 uneinheitlich gewordenen nationalen Regelungen harmonisieren soll. Mit anderen Worten: Der Text, der für ein Jahrzehnt das Regime der Standortmetadaten festlegen wird, entsteht gerade jetzt, auf der Grundlage einer Argumentation, die zur Zeit kilometergroßer Funkzellen entwickelt wurde.

Der Präzedenzfall, den 5G selbst geschaffen hat

Das Interessanteste an diesem Vorgang ist, dass die richtige Antwort bereits im technischen Standard steht, dort aber auf einen anderen Gegenstand angewandt wird.

Bis 4G wurde die dauerhafte Teilnehmerkennung, die IMSI, beim Anmelden im Klartext über die Funkschnittstelle übertragen. Das machte IMSI-Catcher möglich, jene falschen Basisstationen, die laut der maßgeblichen Beschreibung der Electronic Frontier Foundation stärker senden als die legitimen Antennen, um Endgeräte anzuziehen und deren Kennung abzugreifen.

Seit Release 15 der 3GPP-Spezifikationen, veröffentlicht 2019, bringt 5G eine elegante Antwort. Die dauerhafte Kennung, nunmehr SUPI genannt, kann auf der Funkschnittstelle durch die SUCI ersetzt werden, eine verborgene Kennung, die entsteht, indem der teilnehmerspezifische Teil mittels Elliptische-Kurven-Kryptografie mit dem öffentlichen Schlüssel des Heimatnetzbetreibers verschlüsselt wird. Nur das Heimatnetz, das den zugehörigen privaten Schlüssel besitzt, kann sie entschlüsseln. Das Ergebnis ist bei jeder Berechnung ein anderes, was die Korrelation von einer Sitzung zur nächsten verhindert.

Die gewählte Logik verdient Hervorhebung, denn sie ist genau jene, die den Gesetzgeber leiten sollte: Man verschlüsselt nicht die Position, was technisch unmöglich wäre, man verschlüsselt die Identität. Eine Position ohne zurechenbare Identität hat für individualisierte Überwachung nur sehr begrenzten Wert.

Die Schwachstelle: ein optionaler Schutz

Es gibt allerdings einen erheblichen Vorbehalt, und das ist aus unserer Sicht der konkreteste Ansatzpunkt des gesamten Vorgangs.

Das Whitepaper NIST CSWP 36A, im März 2026 vom National Institute of Standards and Technology veröffentlicht, benennt ihn unverblümt. Endgeräte und Netzfunktionen, die Release 15 oder später entsprechen, müssen die SUCI unterstützen, ihre Aktivierung bleibt jedoch dem Betreiber freigestellt. Drei Bedingungen müssen zusammentreffen: Der Gerätehersteller muss sie unterstützen, der Betreiber muss sie in seinem Netz aktivieren, und die SIM-Karte muss die für die Berechnung nötigen Elemente tragen.

Hinzu kommt eine Konfigurationsfalle. Der Standard sieht ein Null-Schutzverfahren vor, bei dem das SUCI-Format formal verwendet wird, aber ohne tatsächliche Verschlüsselung, sodass die Kennung im Klartext übertragen wird. NIST schreibt, dass der Betreiber sein Netz mit einem Schutzverfahren ungleich null konfigurieren muss, und erinnert daran, dass ein Bericht des CSRIC, des Beratungsgremiums der Federal Communications Commission, bereits 2021 empfahl, das Nullverfahren allein Notrufen von einem dem Netz unbekannten Endgerät vorzubehalten.

Die Feststellung verdient es, so stehen gelassen zu werden. Der beste verfügbare Schutz gegen die Nachverfolgung von Mobilgeräten existiert im technischen Standard seit 2019. Er beruht auf einer Konfigurationsentscheidung, die im Ermessen des Betreibers liegt. Eine amerikanische Bundesbehörde hält es für sinnvoll, 2026 ein Dokument zu veröffentlichen, um daran zu erinnern, dass man ihn einschalten sollte. Und kein europäisches Rechtsinstrument schreibt ihn vor.

Hinzuzufügen ist, dass die SUCI das Thema nicht abschließt. Die unter dem Titel 5G SUCI-catchers: still catching them all? vorgestellten Arbeiten dokumentieren Verknüpfungsangriffe, die es erlauben, Sitzungen trotz der Verschlüsselung erneut zu korrelieren, und der Schutz fällt vollständig weg, wenn der Angreifer das Endgerät zum Wechsel auf eine ältere Generation zwingt. Eine rechtliche Pflicht würde also nicht alles lösen. Sie würde gleichwohl eine Lücke beseitigen, für die es keine vertretbare Rechtfertigung gibt: die zwischen dem, was der Standard erlaubt, und dem, was kommerzielle Netze tun.

Drei stimmige Eingriffe

Nimmt man den Gedanken ernst, dass Standortdaten durch Technikgestaltung minimiert statt nachträglich geschützt werden sollten, ergeben sich drei Maßnahmen zwangsläufig.

Die wirksame Verbergung der Kennung verpflichtend machen. Die Aktivierung der SUCI vorschreiben und Null-Schutzverfahren in kommerziellen Netzen untersagen, abgesehen vom Restfall der Notrufe. Es geht nicht darum, eine neue Technologie vorzuschreiben oder einen Ausbau zu finanzieren, sondern darum, die Aktivierung einer seit sieben Jahren standardisierten und in den Geräten bereits vorhandenen Funktion zu verlangen.
Die Speicherung als Ausnahme behandeln, nicht als Voreinstellung. Die zur Durchleitung einer Kommunikation nötige Position sollte gelöscht werden, sobald diese Funktion erfüllt ist. Der Aufbau einer Historie sollte eine besondere Rechtfertigung verlangen. Das ist der Unterschied zwischen einem Netz, das weiß, wo Sie sind, und einem Netz, das sich erinnert, wo Sie waren.
Die Schlüsselhoheit zum maßgeblichen Anknüpfungspunkt machen. Der Standort der Server in der Union bedeutet wenig, wenn die Schlüssel, mit denen sich die Daten lesbar machen lassen, anderswo liegen. Das rechtlich erhebliche Kriterium sollte die tatsächliche Verfügungsgewalt über die Entschlüsselungsmittel sein, eine Frage, die wir am Konflikt zwischen Data Act und CLOUD Act ausführlich untersucht haben.

Der Ansatz, dem Arpokrat folgt

Diese Argumentation ist nicht auf das Telekommunikationsrecht beschränkt. Es ist jene, die wir auf unsere eigenen Architekturentscheidungen anwenden, und sie passt in einen Satz: Was nicht erzeugt wurde, muss nicht geschützt werden.

Deshalb entfernt ArpokratOS GPS, Bluetooth und NFC auf Kernel-Ebene, statt sie in einem Menü abzuschalten. Ein Schalter ist eine Richtlinie: Er kann von einer privilegierten Komponente umgangen, durch ein Update wieder eingeschaltet, von einem kompromittierten System ignoriert werden. Den Codepfad zu entfernen, beseitigt die Frage. Das ist auf Geräteebene die Übertragung derselben Verschiebung, die wir auf der Ebene des Rechts fordern: bei der Entstehung ansetzen statt beim Zugriff.

Sogleich ist zu sagen, was das nicht leistet. Kein Betriebssystem entzieht ein Endgerät der Geometrie des Netzes. Solange eine SIM-Karte aktiv ist, kennt der Betreiber die Funkzelle, und die vollständige Leitung des Verkehrs über Tor ändert daran nichts, denn sie schützt Inhalt und Ziel, nicht die Funkschicht. Genau deshalb ist das Thema ein juristisches. Es gibt eine Kategorie von Risiken, die keine individuelle Konfiguration verringert und für die die einzige verfügbare Stellschraube die für den Betreiber geltende Regel ist.

Dieselbe Sorge bestimmt den Rest unserer Arbeit. Ein Datum, das nicht existiert, kann weder beschlagnahmt noch weiterverkauft noch abgezogen noch in zehn Jahren von einer Maschine entschlüsselt werden, über die heute niemand verfügt, eine Frage, die wir unter dem Blickwinkel der heute geernteten und später gebrochenen Verschlüsselung behandelt haben.

Fazit

Die öffentliche Debatte über Mobilfunküberwachung konzentriert sich fast ausschließlich auf den Zugriff: Wer darf die Daten einsehen, auf welcher Grundlage, mit welcher Genehmigung. Diese Debatte ist berechtigt, und die seit 2014 vom Gerichtshof ergangenen Entscheidungen haben spürbare Wirkung entfaltet. Aber sie setzt zu spät in der Kette an.

Die vorgelagerte und entscheidendere Frage lautet, ob die Historie überhaupt existieren soll. Ein heute aus legitimem Grund angelegter Bestand steht morgen für einen anderen zur Verfügung, und die ihn umgebenden Garantien hängen von späteren politischen Entscheidungen ab, die im Moment der Erhebung niemand in der Hand hat. Das ist eine Wette auf die Stabilität der Institutionen, abgeschlossen für eine Dauer, die niemand festlegt.

5G hat die Auflösung dieser Information vervielfacht, ohne dass eine normative Anpassung erfolgt wäre. Zugleich hat es mit dem SUCI-Mechanismus gezeigt, dass der gangbare Weg darin besteht, Position und Identität voneinander zu lösen, statt zu versuchen, eine physikalische Eigenschaft des Netzes zu verschlüsseln. Der technische Standard hat die Antwort sieben Jahre geliefert, bevor das Recht die Frage stellte.

Der europäische Text zur Datenspeicherung entsteht jetzt. Er wird Metadaten betreffen, also Standortdaten, also das, was 5G inzwischen in einer Feinheit erzeugt, die seine Verfasser nicht gekannt haben. Ob er sich damit begnügt, den Zugriff auf eine als gegeben hingenommene Historie zu regeln, oder ob er es wagt, die Notwendigkeit dieser Historie zu hinterfragen, ist wahrscheinlich die wichtigste Datenschutzfrage der kommenden Jahre in Europa. Und es ist eine Frage, die der technische Sektor ausnahmsweise bereits im richtigen Sinne entschieden hat.

Quellen

Gerichtshof der Europäischen Union, Digital Rights Ireland, verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014
Gerichtshof der Europäischen Union, Tele2 Sverige und Watson, verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016
Gerichtshof der Europäischen Union, La Quadrature du Net u. a., verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, März 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Dauerhafte Ortung: Wie Ihr Smartphone Sie verfolgt, auch wenn Sie es längst unterbunden glauben

Sun, 02 Aug 2026 00:00:00 +0000

Zwei Forscher der University of Maryland haben 2024 den WLAN-Ortungsdienst von Apple wiederholt abgefragt, ohne besondere Privilegien und ohne Spezialhardware, und innerhalb eines Jahres die genaue Position von mehr als zwei Milliarden WLAN-Zugangspunkten weltweit rekonstruiert. Ihre Arbeit Surveilling the Masses with Wi-Fi-Based Positioning Systems zeigt, was diese Karte ermöglicht: Material zu verfolgen, das in die Ukraine gelangt und sie wieder verlässt, die Bewegung der Bevölkerung nach den Bränden auf Maui zu beobachten, eine Person über ihren Internetrouter aufzuspüren.

Bei keinem dieser Geräte war GPS aktiviert. Die Position kam von woanders.

Das ist der häufigste blinde Fleck beim Thema mobile Privatsphäre: die Überzeugung, es gebe einen Ortungsschalter, und sobald er aus sei, wisse das Telefon nicht mehr, wo es ist. Diese Überzeugung ist auf sieben verschiedenen Ebenen falsch.

Ortung ist keine Funktion, die Ihr Telefon einschaltet. Sie ist eine Eigenschaft dessen, was es ist.

GPS, der harmloseste Vektor

Der einzige Mechanismus, den alle kennen, ist zugleich derjenige, der Sie am wenigsten beunruhigen sollte.

GNSS, der Oberbegriff für das amerikanische GPS, Galileo, GLONASS und BeiDou, funktioniert durch Zuhören. Die Satelliten senden fortlaufend mit Zeitstempel versehene Signale, der Empfänger fängt mehrere davon auf und berechnet seine Position aus den Laufzeitunterschieden. Übliche Genauigkeit im Freien: drei bis fünf Meter, in der Stadt oft mehrere Dutzend Meter, weil Fassaden die Signale reflektieren.

Entscheidend ist, dass diese Berechnung passiv abläuft. Das Telefon sendet nichts zu den Satelliten, kein Satellitenbetreiber weiß, dass es Sie gibt. Wäre GNSS allein im Spiel, würde das Abschalten von GPS genügen.

Es gibt allerdings eine Einschränkung. Um die erste Positionsbestimmung zu beschleunigen, nutzen Telefone A-GPS: Sie laden die Satellitenbahndaten von einem Server herunter, über das SUPL-Protokoll. Um die passenden Daten zu erhalten, übermittelt das Telefon diesem Server die Kennung der Funkzelle, in die es eingebucht ist. Reines GNSS verrät Sie nicht, aber der Beschleuniger, den man ihm angesetzt hat, sehr wohl.

Das Mobilfunknetz: was der Betreiber prinzipbedingt weiß

Damit ein Anruf Sie erreichen kann, muss das Netz wissen, in welchem Gebiet Sie sich befinden. Das ist keine aktivierbare Option, sondern die Existenzbedingung des Dienstes. Ihr Telefon meldet sich ständig bei der nächstgelegenen Antenne, und diese Einbuchung hinterlässt beim Betreiber eine Spur. Keine installierte App, keine erteilte Berechtigung: eine aktive SIM-Karte genügt.

Die Genauigkeit hängt vom Verfahren ab:

Zellkennung allein: von 200 Metern im dicht bebauten Stadtgebiet bis zu mehr als 30 Kilometern auf dem Land, wo eine Antenne einen sehr großen Radius abdeckt.
Erweiterte Cell ID, die den Antennensektor ergänzt (die meisten Standorte sind in drei Sektoren zu 120 Grad unterteilt) sowie die Signalstärke: von 100 Metern bis zu einigen Kilometern.
Timing Advance, das die Laufzeit hin und zurück zwischen Telefon und Antenne misst: in der Größenordnung von 550 Metern bei GSM, rund 78 Meter bei LTE.
Multilateration über drei oder mehr Antennen: 50 bis 300 Meter im städtischen LTE.

5G verschiebt die Größenordnung aus zwei sich addierenden Gründen. Zunächst die Dichte: 5G-Zellen decken sehr viel kleinere Radien ab, weshalb schon die bloße Einbuchung eine feine Information ist. Dann die Normierung: Seit Release 16 sieht 3GPP native Positionierungssignale vor. Die kommerziellen Zielwerte liegen bei unter 3 Metern in Gebäuden und unter 10 Metern im Freien für 80 % der Endgeräte, und Release 18 geht für bestimmte industrielle Anwendungen bis in den Zentimeterbereich.

Die Infrastruktur, die Sie verbindet, wird damit zu einem Ortungssystem von GPS-vergleichbarer Qualität, ohne dass Sie irgendetwas aktiviert hätten. Diese Daten werden nach nationalen Regeln gespeichert und den Behörden über unterschiedliche Verfahren zugänglich gemacht. Es ist dieselbe Grundsatzdebatte wie beim Thema anwendbare Rechtsordnung für gehostete Daten: Technischer und rechtlicher Schutz decken sich nicht.

WLAN: eine Weltkarte aus Hardwareadressen

Jeder WLAN-Zugangspunkt sendet permanent eine eindeutige Hardwarekennung aus, die BSSID. Diese Kennungen sind fest und geografisch stabil: Ein Router bleibt jahrelang am selben Ort.

Apple, Google und einige spezialisierte Anbieter pflegen Datenbanken, die jede BSSID mit Koordinaten verknüpfen. Aufgebaut werden sie von den Telefonen ihrer eigenen Nutzer, die die Liste der sichtbaren Zugangspunkte zusammen mit einer GNSS-Position melden. Anschließend wird der Vorgang umgekehrt: Ein Telefon, das vier bekannte Zugangspunkte sieht, braucht keinen einzigen Satelliten mehr. In dicht besiedelten Gebieten erreicht die Genauigkeit regelmäßig einige Dutzend Meter und liegt in Gebäuden noch darunter.

Zwei Eigenschaften machen diesen Mechanismus schwer zu neutralisieren. Erstens sucht das Telefon auch dann nach Netzen, wenn WLAN ausgeschaltet zu sein scheint: Seit Android 4.3 behält das System einen periodischen Suchlauf bei, der die Ortung verbessern soll, unabhängig vom Schalter in den Schnelleinstellungen. Dieses Verhalten hängt an einer separaten Einstellung, tief in den Ortungsdiensten vergraben, die so gut wie kein Nutzer je geöffnet hat.

Zweitens ist die Datenbank von außen abfragbar. Genau das ist die Lücke, die Rye und Levin ausgenutzt haben: Die Ortungsschnittstellen liefern nicht nur die angefragte Position zurück, sondern auch die benachbarter Zugangspunkte, was es erlaubt, die Karte abzuernten, ohne den Orten jemals physisch nahe zu kommen.

Bluetooth und BLE: geortet durch die Telefone der anderen

Bluetooth Low Energy fügt eine Näherungsebene hinzu, mit einer Reichweite von wenigen bis einigen Dutzend Metern, also mit einer weit feineren Auflösung als das Mobilfunknetz. Zwei Verwendungen bestehen nebeneinander. Kommerzielle Beacons, aufgestellt in Geschäften, Flughäfen oder Einkaufszentren, senden eine Kennung, die Apps auf dem Telefon erkennen. Damit wird sichtbar, vor welchem Regal Sie stehen geblieben sind und wie lange. Und kollaborative Ortungsnetze, für die Apples Find My das Vorbild ist, inzwischen übernommen von Google und Samsung.

Der zweite Mechanismus kehrt eine stillschweigende Annahme um. Die maßgebliche Analyse Who Can Find My Devices?, veröffentlicht in den Proceedings von PETS 2021 durch Forscher der Technischen Universität Darmstadt, hat Apples Protokoll durch Reverse Engineering rekonstruiert. Ein Gerät ohne Netzverbindung sendet ein BLE-Signal, ein beliebiges Apple-Gerät in der Nähe empfängt es, fügt seine eigene Position hinzu und übermittelt sie verschlüsselt an Apples Server, ohne Wissen des eigenen Besitzers wie auch des Besitzers des georteten Geräts.

Die Folge ist struktureller Natur: Ein Gerät ohne SIM-Karte, ohne WLAN, ohne jede Netzverbindung bleibt ortbar, sofern ein Unbekannter mit einem Telefon in der Tasche vorbeikommt. Ihre Abschottung hängt nicht mehr von Ihren Einstellungen ab, sondern von denen der Passanten.

Die Inertialsensoren: orten ohne Ortungsberechtigung

Ein Telefon enthält einen Beschleunigungssensor, ein Gyroskop, ein Magnetometer und häufig ein Barometer. Diese Sensoren fallen unter eine andere Berechtigungskategorie als die Ortung: Eine App kann sie auslesen, ohne jemals gefragt zu haben, wo Sie sind.

Forscher aus Princeton haben das mit PinMe gezeigt. Ihre App geht von IP-Adresse und Zeitzone für eine grobe Position aus und liest dann die Sensoren: Der Beschleunigungssensor liefert das Beschleunigungs- und Bremsprofil, das Gyroskop die Abfolge der Kurven, das Magnetometer die Fahrtrichtung, das Barometer die Höhenänderungen. Ein neuronales Netz erkennt die Fortbewegungsart, zu Fuß, Auto, Zug oder Flugzeug, und die Strecke wird mit öffentlichen Karten-, Höhen- und Wetterdaten abgeglichen. Ergebnis: eine Bewegungsspur von GPS-vergleichbarer Genauigkeit, ohne Ortungsberechtigung. Das Verfahren hat Grenzen, die die Autoren dokumentieren, denn es scheitert in Gebieten ohne Straßen und verschlechtert sich bei gleichförmigen Schachbrettgrundrissen, wo viele Wege dieselbe Signatur erzeugen. Es bleibt der Beweis, dass eine verweigerte Berechtigung keine geschlossene Tür ist.

Das Barometer liefert zudem die Dimension, mit der GNSS schlecht umgeht, die vertikale. Die amerikanischen Vorgaben für Notrufe verlangen eine Stockwerksgenauigkeit von plus/minus 3 Metern für 80 % der Anrufe aus Gebäuden. Zu wissen, in welchem Stockwerk sich jemand befindet, ist etwas anderes als zu wissen, in welchem Häuserblock.

Der Datenmarkt: der banalste Vektor

Die bisherigen Mechanismen beschreiben, wie eine Position berechnet wird. Offen bleibt, wohin sie geht, und dort liegt der Großteil des alltäglichen Risikos.

Tausende Apps binden Werbe-SDKs ein, Softwarebausteine von Dritten, die ein Entwickler hinzufügt, um seine Arbeit zu monetarisieren oder seine Reichweite zu messen. Diese Bausteine erben die Berechtigungen der Wirt-App: Eine Wetter-App, die Ihre Position berechtigterweise braucht, gibt sie an Akteure weiter, deren Namen Sie nie gelesen haben. Hinzu kommen die Werbe-Auktionsströme, in denen Ihre ungefähre Position bei jeder Bannereinblendung an Dutzende potenzieller Käufer verteilt wird, auch an jene, die nichts kaufen und sich mit Zuhören begnügen.

Dieser Rohstoff nährt eine ganze Industrie. Die Electronic Frontier Foundation hat den Fall Fog Data Science dokumentiert, ein Unternehmen, das Milliarden Datenpunkte zu mehr als 250 Millionen Geräten für sich reklamierte und sie an lokale US-Polizeibehörden verkaufte. Brian Krebs hat Locate X beschrieben, ein Produkt, mit dem sich ein Polygon auf einer Karte ziehen und der Verlauf der Geräte anzeigen lässt, die dieses Gebiet betreten und verlassen haben.

Dieser Vektor verlangt kein technisches Kunststück, sondern nur, dass jemand zu zahlen bereit ist. Der Preis ist bescheiden.

IMSI-Catcher: die aktive Ortung

Die bisher beschriebenen Mechanismen nutzen den Normalbetrieb aus. Daneben gibt es die aktive Ortung, betrieben von einem Dritten, der in das Netz eingreift.

Ein IMSI-Catcher, auch Cell-Site-Simulator genannt, ist ein Gerät, das sich als legitime Antenne ausgibt. Telefone in Reichweite buchen sich dort ein und geben dabei ihre Teilnehmerkennung und ihre Anwesenheit in einem eng begrenzten Umkreis preis.

5G sollte diese Tür schließen, indem die dauerhafte Klartextkennung durch eine verschlüsselte ersetzt wurde, die SUCI. Die Tür ist nur halb zu. Die unter dem Titel 5G SUCI-catchers: still catching them all? vorgestellten Arbeiten dokumentieren Verknüpfungsangriffe, mit denen sich Sitzungen trotz Verschlüsselung wieder korrelieren lassen. Vor allem aber fällt der Schutz vollständig, wenn der Angreifer das Endgerät zwingt, auf eine ältere Generation zurückzufallen, insbesondere 2G, dessen Authentifizierung einseitig ist. Ein 5G-Telefon bleibt für einen Angriff verwundbar, der für ein Netz der 1990er Jahre entworfen wurde, weil es sich immer noch darauf einlässt.

Die Gegenmaßnahmen und ihre tatsächliche Wirkung

Jede der folgenden Maßnahmen bewirkt etwas. Keine bewirkt alles, und die Lücke zwischen dem, was sie leisten, und dem, was man ihnen zuschreibt, führt zu den falschen Entscheidungen.

Der Flugmodus

Der Flugmodus schaltet das Senden von Mobilfunkmodem, WLAN und Bluetooth ab. Das ist real, und es ist das beste Ergebnis für einen so geringen Aufwand.

Was er nicht leistet: Er stoppt die Inertialsensoren nicht, er löscht die bereits zwischengespeicherten Positionen nicht, die beim erneuten Verbinden abgehen, und er erlaubt es auf den meisten Geräten, WLAN oder Bluetooth einzeln wieder zu aktivieren, ohne ihn zu verlassen. Schließlich ist er ein Softwarezustand, keine Stromunterbrechung: Seine Verlässlichkeit hängt von der Integrität des Systems ab, das ihn durchsetzt.

Ein unterschätztes Detail: Das Abmelden und das erneute Anmelden am Netz sind selbst Ereignisse mit Zeitstempel beim Betreiber. Ein Telefon, das um 21 Uhr in einer Zelle verschwindet und um 23 Uhr in einer anderen wieder auftaucht, hat eine Information erzeugt, keine Stille.

Die Randomisierung der MAC-Adresse

Mobile Systeme senden heute bei Suchläufen zufällige MAC-Adressen aus, um die Nachverfolgung von Ort zu Ort zu verhindern. Die Absicht ist gut, das Ergebnis unvollständig. Die maßgeblichen Arbeiten, darunter Why MAC Address Randomization is not Enough, zeigen, dass der Inhalt der Suchpakete oft ausreicht, um das Gerät wiederzuerkennen: Die Anzahl der Informationselemente, ihre Werte und ihre Reihenfolge bilden einen Fingerabdruck. Hinzu kommen die Sequenznummern, die fortlaufend und damit verkettbar sind, sowie die für jedes Modell typische zeitliche Signatur. Manche Studien berichten von einer zuverlässigen Nachverfolgung der Hälfte aller Geräte über mindestens zwanzig Minuten.

Schließlich eine konzeptionelle Grenze: Die Randomisierung betrifft nur die Suchphase. Sobald Sie sich mit einem Netz verbinden, ist die verwendete Adresse für dieses Netz konstruktionsbedingt konstant, damit die Verbindung funktioniert. Das Café, in das Sie jeden Morgen gehen, erkennt Sie wieder.

Die Suchläufe wirklich abschalten

Das ist die lohnendste und zugleich am meisten übersehene Einstellung. Unter Android sind die WLAN-Suche und die Bluetooth-Suche zwei getrennte Optionen, angesiedelt in den Ortungsdiensten, unabhängig von den Schaltern der Schnelleinstellungen. Solange sie aktiv sind, genügt es nicht, WLAN über das Bedienfeld auszuschalten: Der Suchlauf läuft weiter.

Sie zu deaktivieren beseitigt eine ganze Erfassungsebene, ohne anderen Preis als eine etwas langsamere erste Positionsbestimmung. Für die meisten Leser ist das das beste Verhältnis zwischen aufgewendetem Aufwand und erzieltem Ergebnis.

Die App-Berechtigungen

Der Entzug der Ortungsberechtigung bei Apps, die sie offensichtlich nicht brauchen, bleibt sinnvoll, und aktuelle Systeme bieten drei Abstufungen: die einmalige Freigabe, die auf die aktive Nutzung beschränkte Freigabe und den ungefähren Standort, der nur ein Gebiet in der Größenordnung eines Kilometers übermittelt.

Das schützt allerdings weder vor SDKs innerhalb einer App, die einen legitimen Grund für den Zugriff auf Ihre Position hat, noch vor den Inertialsensoren, noch vor den Netzebenen, die über gar keine Berechtigung laufen.

Wovor ein VPN nicht schützt

Ein klärungsbedürftiger Punkt, weil die gegenteilige Annahme sehr verbreitet ist: Ein VPN verbirgt Ihren Standort nicht. Es verbirgt Ihre öffentliche IP-Adresse und verfälscht damit die IP-basierte Ortung, die ohnehin der gröbste Mechanismus der Liste ist.

Ein VPN rührt weder an den GNSS-Empfänger noch an die WLAN-Suche, noch an Bluetooth, noch an die Sensoren. Es ändert nichts an dem, was Ihr Betreiber weiß, denn der verschlüsselte Tunnel läuft über seine Antennen, und die Einbuchung in die Funkzelle bleibt für ihn sichtbar. Es hindert eine App mit Ortungsberechtigung nicht daran, exakte Koordinaten innerhalb des Tunnels zu übermitteln. Ein VPN schützt Inhalt und Ziel Ihrer Kommunikation in einem nicht vertrauenswürdigen Netz, und das ist bereits viel. Die Ortung gehört nicht zu seinem Aufgabenbereich.

Die physischen Grenzen

Eine Faraday-Tasche funktioniert im Wortsinn: Sie blockiert Senden und Empfangen. Das Entfernen des Akkus ebenfalls, wo es noch möglich ist. Ein eigenes Gerät, oder das Telefon einfach woanders zu lassen, bleibt die robusteste Maßnahme.

Diese Lösungen teilen einen Mangel, dem man ins Auge sehen muss: Sie erzeugen eine Auffälligkeit. Ein Telefon, das jeden Dienstagabend zwei Stunden schweigt, sagt etwas aus. Gegen einen Gegner, der Muster analysiert statt Momentaufnahmen, ist die Abwesenheit selbst eine Information.

Drei Gegner, drei Strategien

Das ist die wichtigste Unterscheidung dieses Artikels und diejenige, die man am seltensten liest.

Gegen einen Werbetreibenden oder einen Datenhändler ist der Kampf zu gewinnen. Disziplin bei den Berechtigungen, Abschalten der Suchläufe, ein System ohne proprietäre Ortungsdienste, Zurücksetzen der Werbekennung: Zusammen senkt das die erfasste Menge sehr deutlich. Dieser Gegner sucht billige Masse, nicht Ihren Einzelfall.

Gegen Ihren Netzbetreiber genügt keine Konfiguration. Die Mobilfunkortung ist die Bedingung des Dienstes. Die einzigen realen Stellschrauben sind rechtlicher Natur, also was das Gesetz zu speichern und zu übermitteln erlaubt, und materieller Natur: welches Gerät, welche SIM-Karte, auf welchen Namen, wo eingeschaltet.

Gegen einen gezielt vorgehenden staatlichen Gegner verschiebt sich die Überlegung erneut, denn er kombiniert den rechtlichen Zugriff auf die Betreiberdaten, die aktive Ortung per Cell-Site-Simulator, die Herausgabeanordnung an Plattformen und gegebenenfalls die Kompromittierung des Endgeräts. Softwareseitige Gegenmaßnahmen verkleinern die Angriffsfläche, aber das realistische Ziel ist nicht das Verschwinden: Es besteht darin, genau zu wissen, was exponiert bleibt.

Der Ansatz von ArpokratOS

ArpokratOS beantwortet diese Landschaft mit einer Entscheidung, die aus der obigen Unterscheidung folgt: Was neutralisiert werden muss, wird auf Systemebene neutralisiert, nicht in einem Menü.

Beim GNSS wird der Hardwaretreiber entfernt. Das Gerät verhält sich, als existierte der Chip nicht, für Anwendungen ebenso wie für das System selbst. Der Unterschied zu einem Schalter in den Einstellungen ist nicht kosmetisch. Ein Schalter ist eine Richtlinie: Er wird von einer Schicht durchgesetzt, die von einer hinreichend privilegierten Komponente umgangen, durch ein Update wieder aktiviert oder von einem kompromittierten System ignoriert werden kann. Den Codepfad zu entfernen erledigt die Frage, denn es gibt nichts mehr zu aktivieren.

Bluetooth wird auf Core-Ebene behandelt, nach derselben Logik. Ein in den Einstellungen deaktiviertes Bluetooth lässt den Softwarestack auf vielen Geräten in der Praxis am Leben, um Näherungsdienste und kollaborative Ortungsnetze zu bedienen. Auf Systemebene abwesend, kann es weder mit einem Ladenbeacon sprechen noch an einem Netz vom Typ Find My teilnehmen noch als Angriffsfläche ohne Nutzerinteraktion dienen.

Man muss klar sagen, was das nicht leistet. ArpokratOS macht ein Telefon nicht unauffindbar. Solange eine SIM-Karte aktiv ist, kennt der Betreiber die Funkzelle, in der Sie eingebucht sind, und kein Betriebssystem ändert daran etwas, auch nicht mit dem gesamten Datenverkehr über Tor. Das Routing schützt Inhalt und Ziel, nicht die Funkgeometrie. Wer Unsichtbarkeit verspricht, verkauft eine Geschichte.

Was eine solche Architektur leistet, ist bescheidener: die Beseitigung der Anwendungs- und Näherungsebenen, über die der weit überwiegende Teil der realen Erfassung läuft, und ein ausdrückliches Bedrohungsmodell für das, was bleibt. Es ist dieselbe Überlegung wie bei der Wahl eines Desktop-Systems, ausgeführt in unserem Vergleich der Betriebssysteme: Die nützliche Frage lautet nicht, ob ein Werkzeug schützt, sondern wovor es schützt und zu welchem Preis.

Fazit

Dieser Artikel liefert keine Methode, um zu verschwinden. Diese Methode existiert nicht, und Texte, die das Gegenteil behaupten, erzeugen vor allem falsches Vertrauen, das gefährlicher ist als gar kein Schutz, weil es zu Risiken verleitet.

Das Ziel war, eine binäre Frage, bin ich ortbar oder nicht, durch eine nützliche zu ersetzen: von wem, mit welcher Genauigkeit, zu welchen Kosten für die Gegenseite, und ist mir das wichtig. Die Antwort fällt anders aus für eine Journalistin, die eine Quelle schützt, für eine Führungskraft auf Reisen in einer heiklen Jurisdiktion, für einen Anwalt, dessen Termine eine Strategie verraten, oder für eine Privatperson, die es ärgert, dass ein Werbetreibender ihre Gewohnheiten kennt.

Aufmerksamkeit verdient im Übrigen nicht die Leistungsfähigkeit jedes einzelnen dieser Mechanismen für sich, sondern die Tatsache, dass sie sich überschneiden. Eine auf fünfzig Meter genaue Position ist wenig interessant. Eine auf fünfzig Meter genaue Position, alle Viertelstunde, zwei Jahre lang, zeichnet einen Wohnort, einen Arbeitsplatz, ein Bekenntnis, einen Gesundheitszustand, eine Affäre, eine Quelle. Standortdaten sind das Metadatum, das alle anderen lesbar macht, und genau deshalb sind sie viel wert.

Quellen

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Die Philippinen verbieten Monero und Zcash auf regulierten Plattformen: das Signal eines globalen Trends

Wed, 17 Jun 2026 00:00:00 +0000

Die Zentralbank der Philippinen hat den Kryptowährungen mit erweitertem Datenschutz einen empfindlichen Schlag versetzt. Unter dem Deckmantel der Einhaltung internationaler Standards zur Bekämpfung von Geldwäsche veranschaulicht die Entscheidung eine regulatorische Dynamik, die weit über dieses eine Land hinausgeht – und die jeden aufhorchen lassen sollte, der Vermögenswerte wie Monero oder Zcash hält oder nutzt.

Was das Memorandum besagt

Die Bangko Sentral ng Pilipinas (BSP), die Zentralbank des Landes, hat das Memorandum M-2026-023 genehmigt, das von Vize-Gouverneurin Lyn Javier unterzeichnet wurde. Der Text verpflichtet alle lizenzierten Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASP), das Listing und die Unterstützung von „anonymisierenden virtuellen Vermögenswerten" einzustellen. Das Memorandum nennt keinen Token namentlich, doch die Zielkategorie deckt ohne jeden Zweifel Monero, Zcash und Dash ab – Kryptowährungen, die darauf ausgelegt sind, die Nachverfolgung von Transaktionen zu erschweren oder unmöglich zu machen.

Die Maßnahme trat sofort in Kraft, ohne Übergangsfrist. Über den bloßen Rückzug dieser Vermögenswerte von den Plattformen hinaus müssen VASPs nun jeden gelisteten Token anhand von sechs Compliance-Säulen bewerten: Glaubwürdigkeit des Emittenten, Marktreife, Anwendungsfall, Transparenz und Sicherheit, Liquidität und Reserven sowie rechtliche Konformität. Außerdem müssen sie interne Schwellenwerte definieren, die automatisch ein Delisting auslösen, wenn ein Vermögenswert diese Kriterien nicht mehr erfüllt.

Was sich konkret ändert

Das Memorandum kriminalisiert weder den privaten Besitz von Monero oder Zcash noch Peer-to-Peer-Transfers außerhalb regulierter Plattformen. Was wegfällt, ist der institutionelle Zugang: Die regulierten Ein- und Ausstiegspunkte (Kauf, Verkauf, Einzahlung, Auszahlung auf einer lizenzierten Plattform) können diese Vermögenswerte nicht mehr verarbeiten.

Konkret bedeutet das: Wenn Sie Privacy Coins auf einer philippinischen Plattform mit BSP-Lizenz halten – darunter Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank oder UnionBank – müssen Sie diese in eine persönliche Wallet übertragen oder konvertieren, bevor die Plattform gezwungen ist, sie zu entfernen.

Mit mehr als 16 Millionen Kryptowährungsnutzern im Land werden die Auswirkungen auf dem heimischen Markt spürbar sein, auch wenn der Effekt auf den weltweiten Kurs von XMR oder ZEC begrenzt bleiben dürfte – die Philippinen stellen nur einen marginalen Bruchteil der globalen Liquidität dieser Vermögenswerte dar.

Die FATF-Ausrichtung als universelle Rechtfertigung

Die BSP begründet ihre Entscheidung mit einer expliziten Ausrichtung an den Standards der FATF (Financial Action Task Force), des internationalen Gremiums, das die Regeln zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung festlegt. Für die meisten Zentralbanken ist eine gute Bewertung durch die FATF keine Frage der Wahl – eine schlechte Einstufung kann den Zugang eines gesamten Landes zu den internationalen Finanzkreisläufen beeinträchtigen.

Genau diese Begründung hat in den letzten Jahren bereits die Europäische Union, Japan und Südkorea dazu veranlasst, Privacy Coins schrittweise von ihren regulierten Plattformen auszuschließen. Die philippinische Entscheidung ist daher kein Einzelfall: Sie ist die Bestätigung eines De-facto-Standards, der sich zunehmend durchsetzt – wenn eine Jurisdiktion einen international anerkannten Kryptomarkt betreiben will, haben Vermögenswerte mit erweitertem Datenschutz dort keinen Platz mehr.

Eine Spannung, die niemand wirklich auflöst

Es ist bezeichnend, dass selbst Akteure, die die Entscheidung befürworten, die Legitimität der Nutzung anerkennen, die sie einschränken will. Der Krypto-Verantwortliche von GCash, einem der größten Fintechs des Landes, erkannte ausdrücklich an, dass Monero und Zcash „aus legitimen Gründen existieren" und dass Datenschutz „einen Gründungswert der Krypto darstellt: die Fähigkeit, ohne Überwachung zu transakieren". Er unterstützte die Maßnahme dennoch mit der Begründung, dass die Philippinen – ein Land mit starker Abhängigkeit von Remittance-Strömen – sich nicht als vertrauenswürdige Finanzinfrastruktur positionieren könnten, wenn sie gleichzeitig die freie Zirkulation anonymisierender Vermögenswerte erlaubten.

Diese Spannung wird nicht aufgelöst, sie wird lediglich zugunsten der regulatorischen Optik entschieden: Die Remittance-Volumina und die internationale Glaubwürdigkeit wiegen jedes Mal schwerer als das Argument des legitimen Datenschutzes, wenn die Abwägung ansteht.

Die logische Folge: die Migration zur Selbstverwahrung

Das Muster, das sich von einer Jurisdiktion zur nächsten wiederholt, ist inzwischen klar erkennbar. Das Schema ist fast immer dasselbe: Finanzielle Privatsphäre bleibt auf individueller Ebene legal, wird aber über institutionelle Kanäle schrittweise unmöglich. Die Selbstverwahrung (Self-Custody) ist noch nicht im Visier – aber jede neue Jurisdiktion, die diesem Modell folgt, verkleinert den Raum, in dem diese Vermögenswerte ohne regulatorische Einschränkungen zirkulieren können, ein Stück mehr.

Wir haben die technische Funktionsweise dieser Blockchains und die Gründe, warum sie zu einem bevorzugten Ziel der Regulatoren geworden sind, ausführlich in unserem umfassenden Leitfaden zu anonymen Blockchains erläutert – Ring-Signaturen, zk-SNARKs und die tatsächlichen Grenzen dieser Technologien.

Tauschen außerhalb der sich schließenden Kanäle

Da sich regulierte Plattformen eine nach der anderen aus dem Markt für Privacy Coins zurückziehen, wird die Rolle nicht-verwahrlicher Infrastrukturen ohne Datenerhebung für jeden zentral, der diese Vermögenswerte weiterhin nutzen möchte, ohne von einem VASP abhängig zu sein, der einer Jurisdiktion unterliegt, die ihre Politik von heute auf morgen ändern könnte.

Arpokrat Swap ermöglicht den Tausch von Monero, Zcash und allen Kryptowährungen mit erweitertem Datenschutz ohne Registrierung, ohne IP-Log-Erfassung und ohne Cookies – egal ob Sie die Plattform über Clearnet oder über unsere .onion-Adresse aufrufen. Keine Jurisdiktion kann entfernen, was wir niemals erheben.

Diese philippinische Entscheidung ist wahrscheinlich nicht die letzte ihrer Art in diesem Jahr. Die Frage ist nicht mehr, ob andere Länder denselben Weg einschlagen werden – die jüngste Geschichte legt nahe, dass sie es tun –, sondern wie viel Zeit bleibt, bis der institutionelle Zugang zu Privacy Coins zur Ausnahme statt zur Regel wird.

Das Ende der Privatsphäre? Backdoors, der Online Safety Act und die Antwort souveräner Ökosysteme

Wed, 10 Jun 2026 00:00:00 +0000

London ist zum Epizentrum eines weltweiten Kampfes um die Zukunft der digitalen Privatsphäre geworden. Mit der Verabschiedung des Online Safety Act 2023 (OSA) und den jüngsten Vorschlägen zur Überarbeitung des Investigatory Powers Act (IPA) — von seinen Kritikern als „Spionage-Charta“ bezeichnet — nimmt sich die britische Regierung das Recht heraus, Überwachungspflichten direkt im Kern privater Kommunikation durchzusetzen. Der Bruchpunkt ist die der Aufsichtsbehörde OFCOM verliehene Befugnis, von Plattformen den Einsatz „akkreditierter Technologie“ zur Erkennung von Material über sexuellen Kindesmissbrauch (CSEA) oder Terrorismus zu fordern, selbst innerhalb Ende-zu-Ende-verschlüsselter Kommunikation.

Für die großen digitalen Plattformen ist die Botschaft aus Westminster unmissverständlich: Entweder sie ermöglichen dem Staat den Zugang zu ihren Infrastrukturen, oder ihnen drohen Geldstrafen von bis zu 10 % ihres weltweiten Umsatzes. Die Reaktion kam prompt: Dienste wie Signal und WhatsApp drohten öffentlich mit dem Rückzug aus dem britischen Markt und weigerten sich, die Sicherheit ihrer Nutzer zu gefährden, um eine einzige Gerichtsbarkeit zufriedenzustellen. Das technische Argument lässt sich kaum bestreiten: Es gibt keinen Hauptschlüssel (Master Key), der nur rechtmäßigen Akteuren vorbehalten ist. Eine offene Tür für Strafverfolgungsbehörden ist naturgemäß eine offene Tür für Cyberkriminelle und ausländische Geheimdienste.

Das Geschäftsmodell großer Plattformen: ein strukturelles Hindernis für Zero-Knowledge

Der Widerstand großer Plattformen gegen die Einführung der Zero-Knowledge-Verschlüsselung erklärt sich nicht durch technische Unfähigkeit, sondern durch eine grundlegende wirtschaftliche Unvereinbarkeit. Unternehmen wie Alphabet und Meta verlassen sich auf Monetarisierungsmodelle, die auf der systematischen Erfassung von Verhaltensdaten basieren. Dieses Modell wird übrigens implizit durch das Gesetz über digitale Märkte (DMA) der Europäischen Union anerkannt, das diese „Torwächter“ (Gatekeeper) als Einrichtungen einstuft, deren beherrschende Stellung gerade durch die Anhäufung von Daten in beispiellosem Ausmaß genährt wird. Für diese Akteure würde die Einführung einer Zero-Knowledge-Architektur bedeuten, ihren Werbesystemen die kontinuierliche Identifizierung von Benutzern zu entziehen, die ihren Treibstoff ausmacht. Es handelt sich also nicht um eine technische Entscheidung, sondern um einen Kompromiss zwischen der Privatsphäre der Nutzer und der Tragfähigkeit ihres Geschäftsmodells.

Das strategische Risiko: die Bedrohung durch „Harvest Now, Decrypt Later“

Über die Debatte um die Privatsphäre hinaus wirft die Schwächung der Verschlüsselung eine Frage der nationalen Sicherheit von ganz anderer Tragweite auf. Die als Harvest Now, Decrypt Later (HNDL) bekannte Strategie beinhaltet, dass staatliche Gegner heute massive Mengen verschlüsselter Kommunikation abfangen und speichern, in Erwartung zukünftiger Quanten-Entschlüsselungsfähigkeiten. Durch die Schwächung aktueller Verschlüsselungsstandards erleichtert der britische Rechtsrahmen objektiv diese Art von Operationen gegen Regierungs-, diplomatische oder industrielle Kommunikation.

Genau in diesem Kontext des mangelnden Vertrauens gewinnen Ökosysteme wie das von Arpokrat an operativer Relevanz. Indem Arpokrat unter dem Regime des Schweizerischen Bundesgesetzes über den Datenschutz (DSG) arbeitet, mit einer Architektur, die keine zivilen Identifikatoren sammelt, bietet es einen technischen Bruch mit Infrastrukturen, die der britischen Gerichtsbarkeit unterliegen — was garantiert, dass das System gegenüber den durch das OSA vorgesehenen Anordnungen taub bleibt.

Der Normenkonflikt: OSA und IPA gegen europäisches Recht

Die rechtliche Analyse der neuen britischen Staatsprärogativen offenbart eine direkte Kollision mit den Grundlagen des europäischen Rechts in Bezug auf Datenschutz und die Vertraulichkeit der Kommunikation.

OSA gegen das Verbot der anlasslosen Überwachung

Artikel 121 des OSA führt die Möglichkeit für die OFCOM ein, Anordnungen zu erlassen, die Plattformen zwingen, clientseitiges Scannen (client-side scanning) zu implementieren. Diese Maßnahme verstößt direkt gegen den aus dem europäischen Recht stammenden und in der Rechtsprechung des EuGH verankerten Grundsatz, der allgemeine Überwachungspflichten verbietet. Durch die Durchsetzung einer „Schwachstelle durch Design“ (vulnerability by design) bringt es Unternehmen auch in eine Zwickmühle: Indem sie ihre Sicherheit schwächen, um einem staatlichen Mandat nachzukommen, verletzen sie ihre Verpflichtung, ein der Verarbeitung angemessenes Sicherheitsniveau zu gewährleisten, wie in Artikel 32 der DSGVO verankert.

Die ePrivacy-Richtlinie und die Vertraulichkeit der Kommunikation

Das Scannen privater Nachrichten steht in direktem Widerspruch zu Artikel 5 Absatz 1 der Richtlinie 2002/58/EG (ePrivacy), der die Mitgliedstaaten verpflichtet, die Vertraulichkeit elektronischer Kommunikation zu gewährleisten und jegliche Form des Abfangens oder der Überwachung ohne die ausdrückliche Zustimmung der betroffenen Nutzer verbietet.

Technical Capability Notices und die Blockierung von Sicherheitsupdates

Unter dem Regime des IPA 2016 beabsichtigt die britische Regierung nun, Technical Capability Notices (TCN) zu nutzen, um Sicherheitsupdates vor deren Einsatz zu blockieren. Dieser Mechanismus schafft einen unlösbaren Konflikt mit der durch Artikel 32 der DSGVO festgelegten Verpflichtung, die kontinuierliche Sicherheit der Verarbeitungssysteme zu gewährleisten — eine Verpflichtung, die genau die Fähigkeit erfordert, Patches ohne Verzögerung oder externe Einmischung anzuwenden.

Compliance-Risiken für in Europa tätige Unternehmen

Die Überarbeitungen des IPA zielen darauf ab, Unternehmen zu zwingen, die britische Regierung vor ihrer Umsetzung über jede technische Änderung zu informieren, die sich auf die Sicherheit auswirkt, und ihr somit ein Vetorecht über die Produktentwicklung einzuräumen. Diese Einmischung schafft erhebliche Rechtsunsicherheit für Lieferanten, die auf dem europäischen Markt tätig sind: Die britische Angemessenheit an das europäische Recht — die bereits fragil ist — könnte in Frage gestellt werden, wenn das Vereinigte Königreich keinen im Wesentlichen gleichwertigen Schutz mehr wie die DSGVO garantiert. Datenübermittlungen in das Vereinigte Königreich in diesem neuen Rahmen würden Unternehmen daher wahrscheinlich Sanktionen gemäß der DSGVO aussetzen.

Verteidigung durch technische Unmöglichkeit: das Zero-Knowledge-Prinzip als juristischer Schutzschild

Die internationale Rechtsprechung, gefestigt durch die Schrems I- und Schrems II-Urteile des EuGH, hat ein bestimmendes Prinzip etabliert: Der einzige robuste Schutz gegen unverhältnismäßige Überwachung ist die technische Unmöglichkeit des Zugriffs darauf. Zero-Knowledge-Architekturen wenden dieses Prinzip in drei Schutzschichten an:

Fehlen von Verwahrung: Da die Plattform die Entschlüsselungsschlüssel nicht besitzt, ist jede Anordnung zum Scannen von Nachrichten technisch nicht durchführbar;
Souveränität des Betriebssystems: Die Kontrolle über ArpokratOS eliminiert Telemetrie, die die nachrichtendienstliche Erfassung auf Geräteebene speist;
Schweizerische juristische Verankerung: Indem Arpokrat seine Infrastruktur in der Schweiz hostet, operiert es unter einem Rechtsregime, das individualisierte und begründete Rechtshilfeersuchen erfordert, was die automatisierte Ausführung der durch das OSA vorgesehenen Massenscans neutralisiert.

Fazit

Die Bestimmungen des OSA und die Überarbeitungen des IPA sind nicht nur eine Bedrohung für die Privatsphäre von Einzelpersonen: Sie stellen einen Bruch der Rechtssicherheit für alle europäischen Daten dar, die durch Infrastrukturen fließen, die der britischen Gerichtsbarkeit unterliegen. Indem London die Schwächung der Verschlüsselung im Namen der öffentlichen Sicherheit legitimiert, setzt es seine Verbündeten und Handelspartner paradoxerweise Risiken der Industrie- und Staatsspionage aus, die Zero-Knowledge-Architekturen gerade verhindern sollen.

Die Integrität professioneller und institutioneller Kommunikation erfordert nun eine strukturelle Antwort: die Migration hin zu dezentralen Ökosystemen, die digitale Souveränität garantieren, von der Codeebene bis hin zur juristischen Verankerung.

Das schreiende Schweigen: Was ist ein Warrant Canary und warum sollte sein Verschwinden Sie beunruhigen?

Mon, 01 Jun 2026 00:00:00 +0000

Tief in den Kohleminen des 19. Jahrhunderts nahmen Bergleute Kanarienvögel in Käfigen mit. Diese kleinen Vögel, die extrem empfindlich auf giftige Gase wie Kohlenmonoxid reagierten, starben lange bevor die Bergleute die Gefahr bemerkten. Sie dienten als stilles, aber hochwirksames Frühwarnsystem.

In unserer modernen digitalen Welt ist dieser Vogel in Form des « Warrant Canary » wieder zum Leben erwacht.

Was ist ein Warrant Canary?

Es handelt sich um eine öffentliche Erklärung, die regelmäßig von einem Dienstanbieter (Messenger, VPN, Hoster) veröffentlicht und aktualisiert wird. Darin wird bestätigt, dass bis zu diesem genauen Datum keine geheime rechtliche Aufforderung eingegangen ist, die ihn zwingt, die Daten seiner Nutzer zu kompromittieren — wie etwa ein amerikanischer National Security Letter (NSL) oder eine Anordnung eines FISA-Gerichts.

Die Feinheit — und der Ernst — des Kanarienvogels liegt darin, was passiert, wenn er verschwindet.

Wenn ein Dienst, der jeden Monat den Hinweis “Wir haben keine geheimen Anordnungen erhalten” anzeigte, dies plötzlich nicht mehr aktualisiert, schließt der informierte Nutzer daraus das Offensichtliche: Der Kanarienvogel ist tot.

Das Unternehmen wurde zur Zielscheibe einer Überwachungsmaßnahme, die mit einer Schweigepflichtanordnung (gag order) einhergeht, welche es gesetzlich verbietet, die Existenz dieser Anfrage offenzulegen. Da sie nicht sagen können, dass sie kompromittiert wurden, hören sie einfach auf zu sagen, dass sie es nicht sind.

Die Ära der unsichtbaren Überwachung und die Umgehung des Schweigens

In einer Zeit, in der extraterritoriale Gesetze wie der CLOUD Act und FISA (Foreign Intelligence Surveillance Act) es der US-Regierung ermöglichen, auf Daten zuzugreifen, die von Unternehmen gehostet werden, ohne die Zielpersonen jemals zu informieren, ist der Warrant Canary einer der wenigen Mechanismen, um dieses erzwungene Schweigen zu umgehen.

Mit dem CLOUD Act gibt es die geografische Barriere nicht mehr: Wenn Daten unter der “Kontrolle” eines US-Unternehmens stehen, beansprucht die US-Regierung das Recht auf Zugriff, selbst wenn sich diese Server physisch in Europa befinden. Der Kanarienvogel wird dann zum letzten Warnsignal, bevor die digitale Souveränität eines Nutzers lautlos geopfert wird.

Aus diesem Grund haben wichtige Akteure im Bereich Privacy dieses Werkzeug als Transparenzstandard übernommen:

Proton: Der Schweizer E-Mail- und Nachrichtendienst veröffentlicht einen Transparenzbericht, der einen strengen Warrant Canary enthält.
Riseup: Das sichere Kommunikationskollektiv für Aktivisten unterhält einen der berühmtesten Kanarienvögel im Web.
Arpokrat: Unser eigenes Ökosystem pflegt einen öffentlichen Warrant Canary, der kryptografisch aktualisiert wird, um unserer Community absolute Transparenz zu garantieren.

Die rechtliche Analyse: Das Recht, nicht zu lügen

Die bloße Existenz des Warrant Canary beruht auf einer der faszinierendsten Säulen des Verfassungsrechts: der Doktrin des compelled speech (erzwungene Rede) und deren Kollision mit dem Justizgeheimnis.

Die rechtliche Grundlage beruht auf einem einfachen Prinzip: Wenn der Staat die Macht hat, Ihnen Schweigen aufzuerlegen (über eine Schweigepflichtanordnung), hat er nicht die verfassungsmäßige Macht, Sie zum Lügen zu zwingen.

Gemäß dem Ersten Verfassungszusatz der USA (und ähnlichen Prinzipien in Europa) kann die Regierung ein Unternehmen nicht zwingen, eine sachlich falsche Aussage zu machen. Wenn ein Unternehmen also seinen Kanarienvogel entfernt, verstößt es nicht gegen die Schweigepflicht — da es nicht ausdrücklich ankündigt, einen Befehl erhalten zu haben. Es übt lediglich sein Grundrecht aus, eine Aussage, die nicht mehr wahr ist, nicht mehr zu tätigen.

Der Konflikt mit dem europäischen Recht

Die Relevanz des Kanarienvogels wird heute durch Artikel 32 des Data Act (EU-Verordnung 2023/2854) verstärkt. Diese Bestimmung verpflichtet Dienstleister, technische und rechtliche Maßnahmen zu ergreifen, um den Datenzugriff durch Behörden von Drittstaaten zu verhindern, wenn dies im Widerspruch zum EU-Recht steht. Der Tod eines Kanarienvogels signalisiert sofort diesen Gesetzeskonflikt: Der Anbieter wird wahrscheinlich gezwungen, europäische Garantien zu umgehen, um einer ausländischen Anordnung nachzukommen.

Der Ansatz von Arpokrat: Souveränität durch Design

Im Ökosystem von Arpokrat, das unter der Gerichtsbarkeit des Schweizer DSG (Datenschutzgesetz - SR 235.1) operiert, erhält der Kanarienvogel eine noch stärkere Dimension. Er ist Teil eines ganzheitlichen Ansatzes zur digitalen Souveränität: Zero-Knowledge.

Die Architektur ist so konzipiert, dass das Unternehmen eine technische und mathematische Unmöglichkeit schafft, einem Befehl zu gehorchen. Der Staat oder ein Geheimdienst kann so viele Anordnungen erlassen, wie er möchte, die Antwort bleibt die gleiche: Es gibt keine privaten Schlüssel, keine Identitäten (Zero-ID) und keine zentralisierten Metadaten, die übergeben werden könnten.

In diesem Kontext ist der Kanarienvogel nicht nur eine Warnung vor einer Kompromittierung; er ist der kontinuierliche öffentliche Beweis, dass die Infrastruktur technisch unangreifbar und ihren Prinzipien treu geblieben ist.

Fazit

Letztendlich ist der Warrant Canary das Stück rechtlicher Agilität, das die kryptografische Agilität ergänzt, die erforderlich ist, um dem Horizont moderner Bedrohungen (wie dem Post-Quanten-Computing) zu begegnen. In einer Infrastruktur, in der Daten durch ihr Design souverän sind, ist der Kanarienvogel nicht nur ein Vogel in einem Bergwerk: Er ist der stille Wächter Ihrer digitalen Festung.

Utiq: Der neue 'Super-Cookie' der Telekommunikationsanbieter, der Ihre Privatsphäre bedroht

Mon, 01 Jun 2026 00:00:00 +0000

Das geplante Ende der Drittanbieter-Cookies in Webbrowsern hat ein wahres Wettrüsten in der Branche der gezielten Werbung ausgelöst. Während Google versucht, seine eigenen Standards (wie die Privacy Sandbox) durchzusetzen, hat ein anderer unerwarteter Akteur beschlossen, sich ein Stück vom Kuchen zu sichern: Ihr Internetdienstanbieter (ISP).

So entstand Utiq (früher bekannt als Projekt TrustPid), ein Joint Venture, das von den europäischen Telekommunikationsgiganten gegründet wurde. Der breiten Öffentlichkeit als “transparente und respektvolle” Lösung verkauft, ist Utiq in Wirklichkeit das, was Cybersicherheitsexperten am meisten fürchten: ein “Super-Cookie”, das auf Netzwerkebene funktioniert.

Was ist Utiq und wie funktioniert es?

Traditionell wird Werbe-Tracking (Cookies) von Ihrem Webbrowser (Chrome, Firefox, Safari) verwaltet. Sie konnten es blockieren, indem Sie Erweiterungen (wie uBlock Origin) oder einen datenschutzorientierten Browser (wie Brave) verwendeten.

Utiq verlagert das Problem einen Schritt zurück: auf die Ebene Ihrer Netzwerkverbindung.

So schnappt die Falle zu:

Das Netzwerk-Abfangen: Wenn Sie über Ihre mobile Verbindung (4G/5G) oder Ihre Glasfaser-Box im Internet surfen, verwendet Utiq Ihre IP-Adresse und Ihre Telekommunikations-Abonnementdaten, um Sie zu identifizieren.
Die Zustimmung (die falsche Wahl): Wenn Sie auf einer Partner-Website ankommen, bittet Sie ein Popup-Fenster, Utiq zu akzeptieren. Aufgrund der Ermüdung durch Cookie-Banner (Consent Fatigue) klicken Millionen von Nutzern auf “Akzeptieren”, ohne zu lesen.
Das “Network Signal”: Sobald die Zustimmung erteilt ist, kontaktiert Utiq direkt Ihren Telekommunikationsbetreiber. Dieser generiert ein eindeutiges und pseudonymisiertes Identifikations-Token (das Netzwerksignal), das er an Werbetreibende weiterleitet.

Sie sind nun von Website zu Website nachverfolgbar, nicht durch eine auf Ihrem Computer gespeicherte Datei, sondern durch die Infrastruktur selbst, die Ihnen das Internet bereitstellt.

Warum Utiq ein Albtraum für die Privatsphäre ist (OPSEC)

Die Initiative wirft ernsthafte Probleme für die digitale Souveränität und die Vertraulichkeit Ihrer Daten auf:

Tracking an der Quelle: Im Gegensatz zu klassischen Cookies können Sie nicht einfach “Ihren Verlauf löschen” oder “Ihren Cache leeren”, um Utiq loszuwerden. Das Identifikations-Token wird von Ihrem ISP generiert.
Die Zentralisierung von Profilen: Telekommunikationsbetreiber kennen bereits Ihren Namen, Ihre physische Adresse, Ihre Bankdaten und Ihren Standort in Echtzeit. Indem sie Ihren Web-Browserverlauf über Utiq damit verknüpfen, erstellen sie ein Verhaltensprofiling von erschreckender Präzision.
Die Schwachstelle der Pseudonymisierung: Utiq verteidigt sich damit, Ihren Namen nicht im Klartext zu teilen, und behauptet, “verschlüsselte” Token zu verwenden. In der Welt der Cybersicherheit ist jedoch bewiesen, dass Pseudonymisierung reversibel ist. Der Abgleich dieser Token mit anderen Datenbanken ermöglicht es, Personen leicht zu reidentifizieren.

Welche Betreiber nutzen Utiq?

Utiq wurde von einer Allianz der vier größten europäischen Betreiber gegründet. Wenn Sie Kunde bei einem von ihnen (oder einer ihrer Low-Cost-Tochtergesellschaften) sind, ist Ihre Verbindung möglicherweise bereits “kompatibel” mit diesem Tracking.

Hier sind die Gründer und die Links zu ihren jeweiligen Datenschutzrichtlinien:

Orange (Frankreich, Spanien, Polen, etc.)
Vodafone (Deutschland, Spanien, Großbritannien, etc.)
Telefónica / O2 / Movistar (Spanien, Deutschland, etc.)
Deutsche Telekom (Deutschland, Mitteleuropa)

Der OPSEC-Tipp: Obwohl Utiq ein zentralisiertes Einwilligungsportal (consenthub.utiq.com) anbietet, um den Zugriff zu widerrufen, bleibt die beste Verteidigung technologischer Natur.

Der Zero-Trust-Ansatz gegen Utiq

Die Philosophie der digitalen Souveränität, getragen von Ökosystemen wie Arpokrat, beruht auf einem einfachen Prinzip: Vertrauen Sie niemals der Netzwerkinfrastruktur.

Um Systeme wie Utiq technisch zu neutralisieren, besteht die Lösung darin, Ihren Datenverkehr vor Ihrem eigenen Internetdienstanbieter zu verbergen:

Die Nutzung eines souveränen VPNs: Indem Sie Ihren Datenverkehr verschlüsseln, sobald er Ihr Gerät verlässt, sieht Ihr ISP nur einen unlesbaren Datenstrom, der an einen VPN-Server geleitet wird. Er kann die Utiq-Token nicht mehr injizieren oder lesen.
Das Tor-Netzwerk (Orbot): Das Onion-Routing verhindert jede End-to-End-Identifizierung.
Die DNS-Verschlüsselung (DoH/DoT): Verhindert, dass Ihr Betreiber weiß, welche Websites Sie besuchen möchten.

Zusammenfassend lässt sich sagen, dass Utiq der Beweis dafür ist, dass Internetdienstanbieter sich nicht mehr damit zufrieden geben, bloße “Leitungen” zu sein; sie wollen zu Datenmaklern werden. Mehr denn je ist die Verschlüsselung Ihres Datenverkehrs keine Sicherheitsoption mehr, sondern eine absolute Notwendigkeit, um Ihr digitales Schweigen zu bewahren.

Die Illusion der Souveränität: Der Fall Olvid und die CLOUD Act-Falle

Thu, 21 May 2026 00:00:00 +0000

Die Ankündigung klang wie ein wahrer „Unabhängigkeitsschrei“ in den Fluren von Paris: Der Premierminister ordnete an, WhatsApp und Signal zugunsten von Olvid aufzugeben, einer als „nativ“ präsentierten Messaging-App. Das Ziel war klar: Staatsgeheimnisse vor ausländischen Geheimdiensten zu schützen.

Doch schnell zeigte sich eine bittere Ironie: Das Herz von Olvid – seine Serverinfrastruktur – schlägt bei Amazon Web Services (AWS), einem US-Riesen.

Für die Öffentlichkeit scheint dies eine einfache Hosting-Frage zu sein. Doch für Architekten der souveränen Cybersicherheit und Beobachter der Daten-Geopolitik ist es eine politische Schwachstelle ersten Ranges.

Extraterritorialität und Souveränitätskonflikt

Durch die Nutzung der Amazon-Infrastruktur gerät Olvid automatisch in den Orbit des US-CLOUD Acts.

Die rechtliche Analyse offenbart eine juristische Unsicherheit, die die bloße Einführung einer nationalen „App“ nicht löst. Der Wendepunkt liegt im Konzept „Kontrolle“ versus „Lokalisierung“.

Der CLOUD Act hat das rechtliche Paradigma radikal verändert: Der physische Serverstandort spielt keine Rolle mehr. Die Kooperationspflicht des Providers (hier AWS) ergibt sich allein aus seiner juristischen Bindung an die USA. Washington kann Daten von Unternehmen unter seiner Jurisdiktion anfordern, selbst wenn diese auf europäischem Boden gespeichert sind.

Rechtlich entsteht ein Frontalkonflikt mit der DSGVO. Der EuGH hat (durch die Schrems I und II-Urteile) bereits festgestellt, dass US-Überwachungsgesetze kein mit Europa gleichwertiges Schutzniveau bieten.

Digitale Souveränität ist kein Attribut von Software, sondern eine Eigenschaft der Integrität der Beweiskette.

Das Gespenst von FISA und das falsche Versprechen der Verschlüsselung

Schlimmer noch: Diese Abhängigkeit stellt die Daten unter den Schatten des Foreign Intelligence Surveillance Act (FISA), der elektronische Überwachung für „ausländische Geheimdienstzwecke“ bei Zielen außerhalb der USA erlaubt.

Olvid behauptet, die Ende-zu-Ende-Verschlüsselung sei ein ausreichender Schild. Aus Sicht des Privacy Engineerings ist diese Verteidigung gefährlich unvollständig.

Selbst wenn der Inhalt verschlüsselt ist, legt die zentralisierte AWS-Infrastruktur Metadaten offen. Zu wissen, wer mit wem, wann, wie oft und von wo spricht, ist für Geheimdienste oft wertvoller als der Inhalt selbst.

Verschlüsselung schützt den Text, aber der zentralisierte Server verrät das Kontaktnetzwerk.

Die wahre Gefahr kommt erst noch

Solange die europäische Infrastruktur von Entitäten abhängt, die extraterritorialen Gesetzen unterliegen, bleibt die rechtliche Sicherheit unserer Kommunikation illusorisch.

Nationale Sicherheit erfordert im 21. Jahrhundert völlige Infrastruktur- und Hardware-Unabhängigkeit. Das Abfangen von Metadaten nährt die verheerendste Bedrohung des nächsten Jahrzehnts: „Harvest now, decrypt later“ (Jetzt sammeln, später entschlüsseln).

Ein heute abgefangenes Staatsgeheimnis ist nichts als eine mathematische Zeitbombe.

(Lesen Sie den Rest unserer Analyse in Teil 2: Die Zeitbombe und der Zero-Knowledge-Imperativ)