Am 26. September 2026 hat Außenminister Johann Wadephul vor der UN-Generalversammlung gesprochen. Er vertrat dabei Bundeskanzler Merz, der selbst nicht nach New York gereist ist. Die Rede ist auf der Seite des Auswärtigen Amts in englischer Fassung nachlesbar, und wer sie liest, findet vor allem eins: Fragen. Wer kontrolliert KI? Wer setzt die Regeln? Wer haftet? Gute Fragen. Ich stelle sie mir beruflich auch, wenn ein Fachverfahrenshersteller mir ein „KI-Feature“ andrehen will.

Ich schreibe hier als IT-Admin einer Kommune. Das färbt den Blick, und das soll man merken. Trotzdem zuerst die Fakten, dann die Meinung. Der Leser soll erkennen können, wo der Bericht aufhört und die Polemik anfängt.

Was Wadephul vor der UN-Generalversammlung 2026 gesagt hat

Die Rede beginnt mit einem Gedankenexperiment: Atomwaffen, entwickelt von Privatfirmen, gelagert auf dem Werksgelände, die Startcodes im Safe des Vorstandsvorsitzenden. Daraus leitet Wadephul die drei Fragen ab, die den Rest der Rede tragen sollen. Dann folgt der übliche Dreiklang einer Generaldebatten-Rede: Frieden und Sicherheit (Ukraine, Haiti, Sudan), faire Kooperation statt Nationalismus, und als drittes die großen globalen Fragen, allen voran KI.

Der KI-Teil ist der einzige Abschnitt mit einem konkreten Vorschlag. Deutschland ruft die UN-Mitgliedstaaten zu gemeinsamen Sicherheitsanforderungen für die leistungsfähigsten KI-Modelle auf: verpflichtende Tests vor der Veröffentlichung, eine Meldepflicht für schwere Sicherheitsvorfälle, nationale und regionale Aufsicht. Freiwillige Selbstverpflichtungen der KI-Unternehmen reichten nicht, es brauche Transparenz und gemeinsame Standards. Der Satz, den man sich merken soll, lautet sinngemäß: Macht muss an Verantwortung gebunden sein.

Zur EU steht in der Rede genau ein Halbsatz, im Kontext von Handelsabkommen. Zur Reform des Sicherheitsrats: Man müsse sie „hoch auf der Agenda halten“. Welche Reform, mit welchem deutschen Ziel, bleibt offen. Der neue UN-Generalsekretär soll einen tiefgreifenden Reformprozess leiten; António Guterres scheidet Ende 2026 aus.

Der Kontext: Trump, Guterres und die Superintelligenz

Man muss die Rede vor dem lesen, was vier Tage vorher passiert ist. Trump sprach am 22. September vor derselben Generalversammlung und lehnte jedes „globalistische Kontrollsystem“ für KI ab. Nebenbei verkündete er, dass Artificial Intelligence künftig „Super Intelligence“ heißen soll, auch in Dokumenten der US-Regierung. Das ist keine Satire, das ist das Protokoll.

UN-Generalsekretär Guterres hatte zur Eröffnung eine strengere Kontrolle von KI gefordert, Macron warb vor der Generalversammlung dafür, dass niemand zum Vasallen einer der Großmächte werden solle, und der Sicherheitsrat beriet am Mittwoch über Grenzen für die Technologie. Laut WirtschaftsWoche hatten Amodei, Altman und Musk gut eine Woche zuvor gemeinsam gefordert, das Entwicklungstempo zu drosseln. Wenn also selbst die Hersteller nach Regeln rufen, ist Wadephuls Forderung nach verbindlichen Tests keine Avantgarde. Sie ist Mainstream mit Verspätung.

Fairerweise: Sie ist trotzdem eine klare Positionierung gegen die US-Linie, ausgesprochen in New York, mit der amerikanischen Delegation im Saal. Das hätte man auch weglassen können. Hat Wadephul nicht.

KI-Regulierung fordern und den AI Act vertagen

Jetzt wird es interessant, denn der Außenminister fordert vor der UN etwas, das die EU längst hat. Die KI-Verordnung, der AI Act, ist seit August 2024 in Kraft. Sie kennt verbotene Praktiken, Pflichten für Anbieter von Basismodellen, Transparenzpflichten und ein Hochrisiko-Regime für Systeme, die zum Beispiel in Behörden über Menschen entscheiden. Genau das, was Wadephul weltweit will: testen, dokumentieren, melden, beaufsichtigen.

Und was hat Europa mit diesem Instrument im Sommer 2026 gemacht? Der Digital Omnibus on AI wurde als Verordnung (EU) 2026/1744 am 8. Juli 2026 erlassen und gilt seit dem 27. Juli 2026. Er hat vier Fristen des AI Act verschoben: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028, die nationalen Reallabore auf den 2. August 2027 und die Inhaltskennzeichnung auf den 2. Dezember 2026. Anhang III, das sind unter anderem die Systeme für Verwaltung, Bildung, Beschäftigung und Strafverfolgung. Also die, die mich betreffen.

Die offizielle Begründung ist nicht erfunden: Die harmonisierten Normen für Konformitätsbewertungen nach Art. 40 waren zur ursprünglichen Frist im August 2026 nicht fertig. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte hatten in ihrer Stellungnahme 1/2026 für eine möglichst kurze Verschiebung plädiert. Herausgekommen sind sechzehn Monate für Anhang III und zwei Jahre für Anhang I. Das ist nicht „möglichst kurz“. Das ist das, was die Wirtschaftsverbände wollten; der BVDW hatte laut Lobbyregister eine planungssichere Verlängerung der Hochrisiko-Frist gefordert und hat sie bekommen.

Ich will hier nicht behaupten, Berlin habe das allein durchgedrückt. Das Europäische Parlament stimmte im März 2026 mit 569 zu 45 Stimmen bei 23 Enthaltungen zu, das war ein breiter Konsens. Aber die Bundesregierung hat auch nicht dagegen gekämpft. Und dann steht ihr Außenminister zwei Monate nach Inkrafttreten der Verschiebung in New York und erklärt der Welt, dass freiwillige Selbstverpflichtungen nicht reichen. Das ist die Pointe, die in keinem Agenturbericht zur Rede steht.

Merz‘ Europapolitik: Führung wird angekündigt, nicht ausgeübt

Der zweite Befund betrifft die EU, und hier lohnt der Blick über die Rede hinaus. Die NZZ beschreibt, wie Merz nach Jahren deutscher Passivität eine Führungsrolle in der EU beansprucht, bislang aber nur eine konkrete Initiative unternommen hat und damit gescheitert ist. Der Föderalist zieht nach einem Jahr Bilanz und nennt Deutschland eine schlafende Mittelmacht, ohne Rückkehr zu einem europapolitischen Leitbild. Das Ifri sieht die deutsch-französischen Beziehungen seit Anfang 2026 in einer Phase grundlegender Divergenzen.

Was der Kanzler stattdessen tut: Bei der Karlspreis-Verleihung an Mario Draghi hat er gemeinsame europäische Schulden erneut ausgeschlossen und die EU-Haushaltspolitik „geradezu planwirtschaftlich“ genannt. Man kann das für richtig halten. Führung ist es nicht. Führung wäre, einen eigenen Vorschlag auf den Tisch zu legen, wie Europa seine KI-Infrastruktur, seine Rechenzentren, seine Modelle finanziert, damit Macrons Satz vom Vasallentum nicht das letzte Wort bleibt. Wadephuls Rede erwähnt Zugang zu Rechenleistung, Daten, Expertise und Infrastruktur als Machtfrage. Richtig erkannt. Und dann kommt: nichts. Kein Betrag, kein Projekt, kein Zeitplan.

Das ist der eigentliche Skandal. Nicht dass Wadephul Fragen stellt, sondern dass die Antworten seit Jahren bekannt sind und in Sonntagsreden gut aufgehoben scheinen: offene Standards, offene Modelle, europäische Cloud-Infrastruktur unter öffentlicher Kontrolle, Beschaffungsregeln, die Herstellerabhängigkeit bestrafen statt belohnen. Nichts davon braucht die UN. Alles davon bräuchte eine Bundesregierung, die will.

Die Gegenposition, fair wiedergegeben

Man kann mir drei Dinge entgegenhalten, und ich nehme sie ernst.

Erstens: Eine Generaldebatten-Rede richtet sich an 193 Staaten, nicht an Brüssel. Wer dort EU-Führungsanspruch erwartet, hat das Format missverstanden. Stimmt. Nur hat Macron in demselben Format eine europäische Position formuliert, und Wadephul hat es nicht getan.

Zweitens: Der KI-Vorschlag ist konkret, gegen Trump gerichtet und international anschlussfähig. Auch das stimmt, und ich habe es oben eingeräumt. Er ist nur nichts, was Deutschland nicht schon in EU-Recht gegossen hätte, bevor es die Fristen verschob.

Drittens: Die Omnibus-Verschiebung war Sachzwang, keine Ideologie, weil Normen und notifizierte Stellen fehlten. Einverstanden. Aber wer die Standards nicht rechtzeitig finanziert und personell hinterlegt, erzeugt den Sachzwang selbst. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde und startet mit 43 neuen Planstellen. Dreiundvierzig. Für die Aufsicht über KI in einem Land mit 84 Millionen Einwohnern. Das ist die Antwort auf „Wer kontrolliert?“, und sie ist kleiner als die IT-Abteilung mancher Kreisverwaltung.

Was das für KI in der Verwaltung bedeutet

Für Kollegen in Kommunen und Fachverfahrensbetreuer heißt das ganz praktisch: Verlassen Sie sich nicht auf die Verschiebung. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026, und die verbotenen Praktiken nach Artikel 5 sind seit August 2025 bußgeldbewehrt. Wenn Ihr Bürgerservice-Chatbot nicht sagt, dass er ein Chatbot ist, ist das heute schon ein Problem, nicht erst 2027.

Zweitens: Hochrisiko-Systeme nach Anhang III kommen im Dezember 2027, und das ist im Beschaffungszyklus einer Verwaltung übermorgen. Wer jetzt ein Fachverfahren mit „KI-gestützter Antragsprüfung“ kauft, sollte im Vertrag stehen haben, dass der Hersteller die Konformität nachweist und die Dokumentation liefert. Sonst sind Sie 2027 der Betreiber eines Hochrisiko-Systems ohne Papiere.

Drittens, und das ist mein Punkt, nicht mein Admin-Punkt: Fragen Sie bei jedem KI-Angebot, wo das Modell läuft, wem es gehört und ob Sie es ohne den Anbieter weiterbetreiben könnten. Wadephul hat vor der UN gesagt, dass Kooperation Fähigkeiten schaffen soll, nicht neue Abhängigkeiten. Das gilt für eine Gemeindeverwaltung genauso wie für einen Staat. Ich habe noch keinen Hersteller erlebt, der diese Frage gern beantwortet.

Fazit

Wadephuls Rede ist als Diagnose brauchbar und als Programm leer. Der KI-Vorschlag ist richtig, aber er beschreibt, was die EU bereits beschlossen und dann um anderthalb Jahre vertagt hat. Zur Führungsrolle Deutschlands in Europa sagt die Rede nichts, und die Bilanz der Regierung Merz nach anderthalb Jahren sagt auch nichts, außer dass Eurobonds ausgeschlossen sind.

Drei Fragen, null Antworten, kein Europa: Das ist nicht böswillig verkürzt, das ist der Text.

Am 21. September 2026 hat noyb zwei interne Ratsdokumente zum Digital Omnibus veröffentlicht, die zuvor von Politico berichtet worden waren: den überarbeiteten Kompromisstext der irischen Ratspräsidentschaft sowie Formulierungsvorschläge der deutschen Bundesregierung. Beide Texte tragen den Vermerk „LIMITE“, sind also eigentlich nicht für die Öffentlichkeit bestimmt. Zusammen zeigen sie, wie weit die DSGVO-Reform inzwischen geht: KI-Training mit personenbezogenen Daten soll per Gesetz als berechtigtes Interesse gelten, ohne Einwilligung und ohne Abwägung im Einzelfall.

Wenn Sie in einer Verwaltung arbeiten, bei einem Dienstleister oder einfach ein Konto bei Meta haben, betrifft Sie das. Ich habe die Dokumente gelesen und mit der Berichterstattung verglichen. Was mich dabei am meisten beschäftigt hat, ist ein Detail, das mit dem Digital Omnibus auf den ersten Blick nichts zu tun hat. Dazu am Ende.

Was der Digital Omnibus ist und warum er die DSGVO-Reform bringt

Der Daten-Omnibus ist Teil einer größeren Vereinfachungs- und Deregulierungsagenda der EU-Kommission. Nachdem unter anderem bereits Umweltberichtspflichten gekappt und KI-Regeln aufgeweicht wurden, ist jetzt die Datenschutzgrundverordnung dran. Der Kommissionsvorschlag stammt vom 19. November 2025. Das Sammelgesetz soll zwar unter anderem auch mehrere Daten-Nutzungs-Gesetze der EU bündeln und Meldewege für Datenpannen vereinheitlichen, was weitgehend unumstritten ist. Der Omnibus soll allerdings auch erstmals weitgehende Änderungen an der DSGVO vornehmen.

Das sollte man sich merken, bevor man sich aufregt: Ein Großteil des Pakets ist technische Bereinigung, und manches davon ist sinnvoll. Der Streit dreht sich um wenige Artikel in einem Dokument von 158 Seiten. In so einem Umfang lässt sich viel verstecken.

Die Kommission hat den Omnibus als Paket kleiner Vereinfachungen verkauft, bei dem das Schutzniveau für Europäer erhalten bleibe. Deshalb wurde ein beschleunigtes Verfahren gewählt, ohne Grundrechtsprüfung und ohne direkte Einbindung der europäischen Datenschutz-Expertengruppe. Das Verfahren passt nicht zum Inhalt. Wer die Rechtsgrundlage für eine ganze Technologie neu schreibt, macht keine Detailkorrektur.

Artikel 88bis: KI-Training mit personenbezogenen Daten als berechtigtes Interesse

Im Zentrum steht ein neuer Artikel, der im Kommissionsvorschlag als Artikel 88c firmiert und im Ratstext nun als Artikel 88 bis geführt wird. Er soll regeln, auf welcher Rechtsgrundlage personenbezogene Daten „im Kontext der Entwicklung und des Betriebs“ von KI-Systemen und KI-Modellen verarbeitet werden dürfen.

Der Text der irischen Präsidentschaft (Ratsdokument 12535/26) formuliert, dass diese Verarbeitung auf das berechtigte Interesse nach Artikel 6 Absatz 1 lit. f DSGVO gestützt werden kann. Eine Abwägung mit den Grundrechten der Betroffenen bleibt im Text grundsätzlich vorgesehen, ebenso ein Verweis darauf, dass die Verantwortlichen weiterhin eine passende Rechtsgrundlage nach Artikel 6 wählen müssen.

Der Artikel war schon einmal weg. Die Kommission hatte ihn im November vorgeschlagen, Zypern hatte ihn während der Ratspräsidentschaft in der ersten Jahreshälfte gestrichen, jetzt ist er wieder da. Zurückgeholt hat ihn Irland, und Irland ist der EU-Sitz der meisten amerikanischen und chinesischen KI-Konzerne. Das muss kein Zusammenhang sein. Ein Zufall, den man einfach übergeht, ist es aber auch nicht.

Im selben Text stecken zwei weitere Änderungen, die weniger Aufmerksamkeit bekommen. Bei der Definition personenbezogener Daten in Artikel 4 soll ergänzt werden, dass Informationen über eine Person nicht für jede andere Stelle personenbezogen sind, nur weil irgendeine Stelle die Person identifizieren könnte. Ob Daten personenbezogen sind, hinge dann von der jeweiligen Stelle und deren Mitteln ab. Und Artikel 12 Absatz 5 soll erlauben, Betroffenenanfragen abzulehnen, wenn jemand seine Rechte für andere Zwecke als den Schutz seiner Daten missbraucht. Wer entscheidet, ob eine Anfrage missbräuchlich ist? Das Unternehmen, das die Anfrage bekommt.

Die deutschen Formulierungsvorschläge: Was das Digitalministerium zusätzlich will

Jetzt zum deutschen Papier, Ratsdokument WK 11020/2026 ADD 4 vom 17. August 2026. LobbyControl zählt die Bundesregierung zu den treibenden Kräften hinter dem Vorhaben, weil sie den Entwurf der Ratspräsidentschaft mit einem eigenen Vorschlag unterstützt. Eine zentrale Rolle spielen dabei das zuständige Digitalministerium unter Karsten Wildberger sowie das Bundesinnenministerium.

Das deutsche Papier geht an mehreren Stellen über den Kompromisstext hinaus. Der zentrale Satz, den Deutschland in Absatz 1 einfügen will: Die Verarbeitung personenbezogener Daten für Training und technischen Betrieb eines KI-Systems oder KI-Modells soll als berechtigtes Interesse vermutet werden. Aus der Möglichkeit, sich auf ein berechtigtes Interesse zu stützen, würde damit eine gesetzliche Vermutung. Zugleich streicht der deutsche Vorschlag in diesem Absatz die Einschränkungen „where appropriate“ sowie den Verweis auf nationale Gesetze, die eine Einwilligung verlangen.

Der Unterschied zwischen „kann“ und „wird vermutet“ ist kein Wortklauberei. Bisher muss ein Unternehmen im Einzelfall abwägen, ob sein Interesse die Grundrechte der Betroffenen überwiegt. Diese Abwägung kann für KI-Training positiv ausgehen, das bestreitet niemand. Aber sie muss stattfinden, und sie ist angreifbar. Eine gesetzliche Vermutung dreht die Beweislast um. Nicht mehr das Unternehmen muss begründen, warum es Ihre Daten nutzen darf. Sie müssten darlegen, warum in Ihrem Fall die Vermutung nicht greift.

Es geht weiter. Eine zweite Vermutung betrifft die Zweckbindung: Daten, die ursprünglich zu ganz anderen Zwecken erhoben wurden, gälten für KI-Training also im Regelfall als zweckkompatibel. Wer vor zehn Jahren einem Onlineshop seine Adresse gegeben hat, dessen Daten wären damit für ein Sprachmodell „kompatibel“. Und dann Absatz 6: Die Pflichten und Rechte aus den Artikeln 14 und 16 bis 18 sollen nicht gelten, wenn die Einhaltung unmöglich ist oder einen unverhältnismäßigen Aufwand bedeuten würde. Betroffen wären damit die Informationspflicht bei nicht direkt erhobenen Daten (Artikel 14), das Recht auf Berichtigung (Artikel 16), das Recht auf Löschung (Artikel 17) und das Recht auf Einschränkung der Verarbeitung (Artikel 18). Als Ersatz sollen Unternehmen vor dem Training öffentlich bekanntgeben, dass Daten genutzt werden. Wer die Bekanntmachung verpasst, hat Pech gehabt.

Auffällig ist außerdem, was Deutschland streichen will: Im Schutzklausel-Absatz 4 entfällt die von der Präsidentschaft vorgesehene Liste an Garantien, darunter die Datenminimierung bei der Quellenauswahl und ausdrücklich das unbedingte Widerspruchsrecht der Betroffenen. Die Iren hatten diese Garantien immerhin vorgesehen. Berlin hält sie für verzichtbar.

Fairerweise: Der deutsche Text enthält auch Einschränkungen zugunsten der Betroffenen. Die Vermutung soll nicht gelten, wenn die Verarbeitung gezielt auf bestimmte Personen gerichtet ist, wenn ein System zur Identifizierung, Überwachung oder Bewertung von Personen ausgelegt ist oder wenn es der synthetischen Erzeugung von Stimme, Bild oder anderen persönlichen Merkmalen einer bestimmten Person dient. Ausdrücklich ausgenommen ist zudem die Verarbeitung durch Behörden. Das sind sinnvolle Grenzen. Für den Normalfall, also das Training großer Modelle auf allem, was irgendwo gespeichert ist, gilt der Freifahrtschein trotzdem.

Wildberger verbirgt seine Linie nicht. Beim EU-Telekommunikationsrat im Juni ging es ihm laut Ministerium darum, wie man Daten besser nutzen könne, auch für KI-Training, und wie man die Wettbewerbsfähigkeit stärke. Man werde sich einbringen, das Ambitionsniveau hochzuhalten. Auf der Digitalministerkonferenz im Mai hatte er den Datenschutz als eines der Hindernisse benannt, die dem Einsatz von KI-Sprachmodellen in der Verwaltung im Weg stünden. Ganz oben auf der Liste: der Datenschutz.

Kritik von noyb und den Aufsichtsbehörden: „digitale Enteignung“

Max Schrems, Vorsitzender von noyb, widerspricht vehement: „Der Vorschlag macht klar, dass die Interessen von KI-Konzernen gegenüber dem Grundrecht auf Datenschutz zukünftig vorgezogen sollen.“ Das sei „nichts anderes als die digitale Enteignung der Europäer“.

Mich überzeugt weniger die Vokabel als der strukturelle Einwand dahinter. Die DSGVO erlaubt Verarbeitungen für bestimmte Zwecke. Der vorgeschlagene Artikel 88bis (früher: 88c) legitimiere jegliche Art von Künstlicher Intelligenz an sich, unabhängig davon, für welchen Zweck man sie einsetze. „Der Artikel könnte damit auch beispielsweise Training und Nutzung von KI für Manipulation, Desinformation oder Killer-Drohnen erlauben – und damit weit über die bisher legale Nutzung hinausgehen.“ Ein Beispiel aus dem Alltag: Personalisierte Werbung ohne Einwilligung ist in der EU derzeit illegal. Wird die Werbung mit KI personalisiert, wäre sie plötzlich legal. Gleiche Handlung, anderes Werkzeug, anderes Recht.

Das zweite Argument von noyb ist industriepolitisch, und das halte ich für das stärkste. Die meisten EU-Unternehmen haben weder Zugang zu vergleichbaren Datenmengen noch das Kapital, um mit US-Konzernen zu konkurrieren. In vielen Fällen könnte das auch bedeuten, dass Daten, die von EU-Unternehmen gesammelt, aber auf Plattformen oder Diensten in den USA verarbeitet werden, an Anbieter in den USA oder China abfließen. Wer die Daten schon hat, gewinnt. Und wer die Daten schon hat, sitzt nicht in Nordhessen.

Die Kritik kommt nicht nur von Aktivisten. Kritik an der Neudefinition personenbezogener Daten kommt auch vom Europäischen Datenschutzausschuss und vom Europäischen Datenschutzbeauftragten. Beide hatten in einer gemeinsamen Stellungnahme erhebliche Bedenken angemeldet, weil das Schutzniveau sinken könnte. EDPB-Vorsitzende Anu Talus forderte die beiden gesetzgebenden Organe nachdrücklich auf, die vorgeschlagenen Änderungen der Definition personenbezogener Daten nicht anzunehmen, da sie den Schutz personenbezogener Daten erheblich schwächen könnten. Dieselben Behörden begrüßen einige Vorschläge, die zu tatsächlichen Vereinfachungen führen, etwa eine Anhebung des Risikoschwellenwerts, ab dem eine Datenschutzverletzung der zuständigen Datenschutzbehörde gemeldet werden muss. Das ist also keine Fundamentalopposition. Es ist Kritik an genau den Punkten, die Berlin noch verschärfen will.

Was die Betroffenen selbst wollen, hat noyb gemessen: Nur 7 Prozent der deutschen Meta-Nutzer stimmen einer Nutzung ihrer Daten für KI-Training zu.

Die Gegenposition: Rechtssicherheit für europäische KI-Anbieter

Die Befürworter nur als Handlanger der Lobby darzustellen, wäre zu einfach. Ihre Argumente sollten Sie kennen, auch wenn ich sie am Ende nicht teile.

Die EU-Kommission begründet den Digital Omnibus damit, Unternehmen, Verwaltungen und Bürger rasch zu entlasten und die Wettbewerbsfähigkeit zu stärken. Aus Sicht der Kommission handelt es sich bei einem Großteil der Änderungen um Klarstellungen, die das Schutzniveau nicht absenken. Der Bitkom etwa fordert „gezielte und verhältnismäßige Anpassungen“, die praktische Reibungen im bestehenden Rechtsrahmen adressieren, ohne Grundrechte oder Schutzstandards zu schwächen. Branchenverbände verweisen darauf, dass europäische Anbieter derzeit im Unklaren darüber sind, auf welcher Rechtsgrundlage sie Modelle trainieren dürfen, während außereuropäische Wettbewerber ihre Modelle anderswo trainieren.

Auch aus der Anwaltschaft gab es zum Kommissionsvorschlag gelassene Stimmen. Auf LTO hieß es im November 2025, in der gelebten Datenschutzpraxis würde sich durch Artikel 88c erst recht nichts ändern, weil die Abwägungspflicht bestehen bleibe.

Das Argument mit der Rechtsunsicherheit ist berechtigt. Es gilt aber nur für die Fassung der Kommission und der Ratspräsidentschaft, denn die lassen die Abwägung stehen. Das deutsche Papier tut das nicht. Es ersetzt die Abwägung durch eine Vermutung und streicht das Widerspruchsrecht aus der Schutzklausel. Wer heute noch sagt, in der Praxis ändere sich nichts, hat den deutschen Vorschlag nicht gelesen. Der ist vom August, die LTO-Einschätzung vom November davor.

Bleibt die Behauptung, europäische Anbieter profitierten. Ein Mittelständler aus Kassel hat keine zwanzig Jahre Nutzerdaten im Archiv. Meta hat sie. Die Vermutungsregel macht aus diesem Archiv einen Rohstoff, und der liegt fast vollständig bei den Konzernen, von denen Europa angeblich unabhängiger werden will.

Die KI-Lobby in Brüssel: Wer den Text mitgeschrieben hat

Dass die Tech-Konzerne das Ergebnis vorgezeichnet haben, ist keine Vermutung mehr. Corporate Europe Observatory und LobbyControl haben in einer Analyse Big Techs Fingerabdrücke auf den Digital-Omnibus-Vorschlägen nachgezeichnet und dazu die Kommissionsvorschläge mit den Lobbypositionen von Big Tech und seinen Verbänden verglichen. Artikel für Artikel.

Google, Meta, Microsoft, Amazon und Apple zählen in Brüssel zu den mächtigsten Konzernen. Aktuell geben die Tech-Konzerne in Brüssel mehr als 39,5 Mio. € pro Jahr für Lobbyarbeit aus. Die rechtliche Anerkennung des Trainings von KI-Modellen mit personenbezogenen Daten als „berechtigtes Interesse“ ist eine zentrale Forderung der Tech-Lobby in Deutschland und Europa. Die Bundesregierung geht mit ihrer Vermutungsregel sogar noch einen Schritt weiter, als die Lobby gefordert hat.

Felix Duffy von LobbyControl benennt den Widerspruch: Von den Plänen würden vor allem die großen US-Tech-Konzerne profitieren. Anstatt Vorteile für europäische Unternehmen zu verschaffen, untergräbt die Bundesregierung damit ihr selbst gesetztes Ziel, unabhängiger von Big Tech und den USA zu werden.

Informationsfreiheitsgesetz-Reform: Berechtigtes Interesse, nur andersherum

Jetzt zu dem Detail, das mich nicht loslässt.

Am 2. Juli 2026 beschloss der Koalitionsausschuss der Bundesregierung, das Informationsfreiheitsgesetz (IFG) erheblich zu ändern. Zivilgesellschaft und Journalisten bekämen damit deutlich schwerer Zugang zu amtlichen Informationen über das, was Regierung und Behörden tun. Im Abschlusspapier heißt es: „Wir wollen die Auskunftsrechte künftig auf natürliche Personen fokussieren, die ein berechtigtes Interesse an einer Auskunft haben und diese nicht durch andere Regelungen erreichen können“. Weiterhin werde geprüft, ob der Kreis der betreffenden Personen auf in Deutschland lebende Deutsche und Unionsbürger beschränkt wird.

Lesen Sie den Satz noch einmal. Berechtigtes Interesse.

Ein KI-Konzern, der die Daten von Millionen Menschen ohne deren Wissen in ein Modell kippt, soll das berechtigte Interesse per Gesetz vermutet bekommen. Ein Bürger, der wissen will, was sein eigenes Innenministerium in seinem Namen tut, soll das berechtigte Interesse künftig nachweisen müssen. Derselbe Rechtsbegriff, entgegengesetzte Richtung. Für Konzerne die Vermutung, für Bürger die Hürde.

Das IFG gewährt seit 2006 einen voraussetzungslosen Anspruch auf Informationen der Behörden des Bundes, unabhängig davon, ob der Fragende ein besonderes Interesse nachweisen kann. Genau das würde umgekehrt. Wenn künftig nur noch Privatpersonen frageberechtigt seien, blieben Organisationen wie die Deutsche Umwelthilfe, Amnesty International und FragDenStaat außen vor, sagt Arne Semsrott von FragDenStaat. Die Recherchen zur gescheiterten Pkw-Maut und zur Maskenaffäre wären ohne IFG-Anfragen möglicherweise nie publik geworden.

Dass es um mehr geht als Bürokratieabbau, zeigt ein Vermerk aus dem Bundesinnenministerium. Der Vermerk stammt bereits aus dem Februar 2026, also von lange vor dem Koalitionsbeschluss, und benennt ein Ziel, das im öffentlichen „Bürokratieabbau“-Vokabular nicht vorkommt: Über FragDenStaat sollen künftig „keine Anfragen nach dem IFG an Bundesbehörden gestellt werden können“. Das Mittel dazu ist eine Identifizierungspflicht. Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider warnte vor einer „Abschaffung der seit zwanzig Jahren bestehenden Informationsfreiheit“. Selbst in der SPD-Fraktion regt sich Widerstand: Der zuständige Berichterstatter Johannes Schätzl bezeichnete das Vorhaben als „De-facto-Abschaffung des Informationsfreiheitsgesetzes“.

Es ist dasselbe Haus. Das Bundesinnenministerium schreibt den Gesetzentwurf zum IFG-Umbau und steht laut LobbyControl zugleich hinter dem deutschen Vorstoß beim Digital Omnibus. Weniger Kontrolle über den Staat, weniger Kontrolle über die eigenen Daten, beides unter dem Etikett „Vereinfachung“.

Was der Digital Omnibus für Kommunen und Verwaltungs-IT bedeutet

Ich schreibe hier als jemand, der Datenschutz in einer Kommunalverwaltung umsetzt und nicht nur darüber liest. Die DSGVO ist im Alltag unbequem. Sie kostet Zeit, zwingt zu Dokumentation, macht Projekte langsamer. Ich verstehe jeden, der sich Vereinfachungen wünscht, und einige im Omnibus sind welche. Artikel 88bis ist keine.

Für die Verwaltungs-IT hat die Sache eine praktische Seite, die in der Debatte kaum vorkommt. Behörden selbst sind im deutschen Vorschlag ausgenommen. Die Daten, die Behörden über ihre Bürger halten, liegen aber zunehmend bei Dienstleistern: in Cloud-Diensten, in Fachverfahren mit KI-Funktionen, bei Anbietern, die ihre Modelle mit dem trainieren, was sie verarbeiten. Auftragsverarbeiter sind keine Behörden. Wenn für sie das berechtigte Interesse vermutet wird und die Zweckbindung als kompatibel gilt, dann ist die Frage, ob Melderegister, Bauakten oder Sozialdaten in Trainingssets landen, keine juristische mehr, sondern eine technische.

Was ich daraus ziehe: Prüfen Sie Ihre Auftragsverarbeitungsverträge daraufhin, ob sie die Nutzung von Daten für Modelltraining ausdrücklich ausschließen. „Verarbeitung nur nach Weisung“ reicht nach geltendem Recht. Ob es nach einer Vermutungsregel noch reicht, weiß ich nicht, und ein Vertrag, der das Training explizit verbietet, ist in jedem Fall die sicherere Seite.

Der Omnibus ist außerdem ein weiteres Argument für On-Premises-Lösungen und europäische Anbieter. Nicht aus Prinzip, sondern weil sich die Rechtslage gerade unter den Füßen wegdreht. Was auf eigenen Servern liegt, landet in keinem fremden Trainingsset.

Und dann die Frage, ob das Ganze überhaupt hält. Offen ist auch, ob eine Regelung dieser Art vor dem Europäischen Gerichtshof Bestand hätte. Der EuGH hat in der Vergangenheit Eingriffe in das Grundrecht auf Datenschutz mehrfach gekippt, etwa bei der Vorratsdatenspeicherung und bei der Übermittlung von EU-Daten in die USA. Wer seine KI-Projekte auf Artikel 88bis aufbaut, baut auf Sand. Für Verwaltungen, die in Zehnjahreszyklen beschaffen, ist das kein theoretisches Risiko.

Wie es weitergeht: Zeitplan und Verfahrensstand

Der Kompromisstext der Präsidentschaft ist ein Verhandlungsdokument, die deutschen Anmerkungen sind Formulierungsvorschläge einer Delegation. Ob und in welcher Fassung Artikel 88 bis in die allgemeine Ausrichtung des Rates gelangt, ist offen. Der Digital Omnibus muss am Ende von Rat und EU-Parlament beschlossen werden, ein Abschluss gilt frühestens für Anfang 2027 als realistisch. Die Position des Parlaments ist noch offen: Teile der Europäischen Volkspartei unterstützen eine weitreichende Vereinfachung, während Abgeordnete der Mitte-links-Fraktionen sowie Teile der rechten Fraktionen dagegenhalten.

Beim IFG ist der Zeitplan enger. Den Gesetzentwurf schreiben soll das Bundesinnenministerium unter Alexander Dobrindt. Verabschiedet werden soll die Änderung von den Fraktionen von Union und SPD bis Ende 2026.

Beides ist also noch nicht entschieden. Und beim IFG hat öffentlicher Druck schon einmal gewirkt. Der Aufschrei über die geleakten Pläne der schwarz-roten Koalitionäre, das IFG abzuschaffen, war groß. Union und SPD nahmen daraufhin Abstand von dem Vorhaben. Das war 2025. Ein Jahr später versuchen sie es erneut, im Windschatten eines Reformpakets.

Fazit

Der Digital Omnibus ist im Kern keine Vereinfachung, sondern ein Tausch: Rechtssicherheit für KI-Konzerne gegen die Zweckbindung, also gegen das Prinzip, das seit den 1980er-Jahren den europäischen Datenschutz trägt. Der Ratstext lässt die Abwägung immerhin stehen. Der deutsche Vorschlag ersetzt sie durch eine Vermutung, streicht das Widerspruchsrecht und setzt Betroffenenrechte aus, sobald ihre Einhaltung aufwendig wird. Und dieselbe Regierung will Bürgern das Auskunftsrecht gegenüber dem Staat nur noch bei nachgewiesenem berechtigtem Interesse gewähren. Man muss beides nebeneinanderlegen, um zu sehen, was hier passiert.

Ursula von der Leyen hat in ihrer Rede zur Lage der Union am 16. September 2026 den EU Kids Act angekündigt, einen Tag später hat die Kommission den Entwurf zusammen mit Henna Virkkunen offiziell vorgelegt. Der volle Name lautet „EU Keeping Internet Digital Spaces Accountable and Trustworthy“, und schon das Akronym verrät, dass hier jemand sehr lange an der Verpackung gearbeitet hat. Zeit, sich den Inhalt anzuschauen: Was will das Gesetz, was kann es, und was wäre klüger gewesen?

Was der EU Kids Act vorsieht

Das Stufenmodell ist inzwischen bekannt: Unter 13 Jahren kein Zugang zu sozialen Netzwerken, zwischen 13 und 15 nur ein von den Eltern eingerichtetes und beaufsichtigtes „Mini-Konto“ mit eingeschränkten Funktionen und Zeitlimit, ab 15 ein eigenes Konto, allerdings nur auf Plattformen, die für Minderjährige „safe by design“ sein müssen. Die Beweislast soll umgedreht werden: Anbieter müssen belegen, dass ihr Dienst sicher ist.

Das Kleingedruckte hat es aber in sich, und das steht nicht in der Rede, sondern im Gesetzestext, den netzpolitik.org vorab veröffentlicht hat. Die wichtigsten Punkte:

• Für riskante Social-Media- und Videoplattformen ist eine echte Altersverifikation vorgesehen, etwa mit der Alterskontroll-App der EU auf Ausweisbasis. Das betrifft alle Nutzer, auch Erwachsene. Ausnahmen gibt es nur für Bestandskonten, bei denen ein Minderjähriger praktisch ausgeschlossen ist.
• Als „riskant“ gilt ein Dienst schon dann, wenn man dort Fremde kontaktieren oder einen personalisierten Feed sehen kann. Das ist so ziemlich jede Plattform.
• Ein zweiter Regelungsblock erfasst den bloßen Zugang ohne Konto: Videoplattformen, Online-Spiele, KI-Chatbots, Software-Marktplätze. Sie dürfen öffentlich nur noch eine kindgerechte Version zeigen, alles andere nur nach „Age Assurance“, worunter auch Schätzverfahren wie Gesichtsscans fallen.
• App Stores müssen ihre Kataloge mit Alterslabels versehen und vor der Installation prüfen.
• Eltern brauchen für ein Mini-Konto drei Nachweise: ihr eigenes Alter, das Alter des Kindes und die Sorgeberechtigung. Die Mitgliedstaaten sollen dafür eine Bescheinigung schaffen.
• Mini-Konten sind auf maximal eine Stunde am Tag begrenzt, Eltern sollen jeden neuen Kontakt vorab freigeben können.
• Bestehende Konten von unter 15-Jährigen müssten innerhalb von sechs Monaten nach Geltung der Regeln abgeschaltet werden.
• Eine Ausnahme für kleine Anbieter gibt es nicht. Ausgenommen sind nur nicht-kommerzielle Enzyklopädien, Bildungs- und Wissenschaftsangebote, Verwaltung und Plattformen für quelloffene Software.

Der Zweck: berechtigt, aber vermischt

Man muss der Kommission zugestehen, dass sie ein reales Problem adressiert. Feeds, die auf maximale Verweildauer optimiert sind, Streaks, Autoplay, Push-Benachrichtigungen im Minutentakt, Kontaktaufnahme durch Fremde, KI-generierte sexualisierte Bilder von Schülerinnen. Wer mit Jugendlichen zu tun hat, weiß, dass das keine Erfindung besorgter Politiker ist. Von der Leyen hat in ihrer Rede den Fall eines 14-jährigen Mädchens aus Belgien erzählt, das nach Online-Mobbing gestorben ist. Solche Geschichten sind wahr, und sie sind furchtbar.

Nur: Der Kids Act packt zwei sehr unterschiedliche Dinge in ein Gesetz. Das eine sind Designpflichten für Plattformen. Das andere ist eine Zugangskontrolle für Menschen. Das Erste ist überfällig. Das Zweite ist der Teil, an dem das Vorhaben scheitern wird, und zwar nicht politisch, sondern technisch.

Was am EU Kids Act sinnvoll ist

Die Designvorschriften sind der stärkste Teil des Entwurfs. Autoplay, Endlos-Scrollen, Belohnungsmechaniken für tägliche Nutzung, Empfehlungssysteme auf Basis von Verhaltensprofilen: All das für Minderjährige zu verbieten, ist konkret, prüfbar und trifft die Geschäftsmodelle dort, wo es wehtut. Bislang standen diese Punkte nur in unverbindlichen Leitlinien zum Digital Services Act. Dass sie Gesetz werden sollen, ist ein echter Fortschritt.

Auch die Beweislastumkehr ist richtig. Seit Jahren behaupten Plattformen, ihre Dienste seien sicher, und liefern dafür Studien, die sie selbst finanziert haben. Wenn künftig der Anbieter nachweisen muss, dass sein Feed 14-Jährige nicht in eine Spirale zieht, ändert das die Verhandlungsposition der Aufsicht grundlegend.

Wo die Alterskontrolle unrealistisch wird

Das Altersnachweis-Trilemma

Der Entwurf verlangt von jeder Altersfeststellung gleichzeitig hohe Genauigkeit, Robustheit, geringe Eingriffstiefe, Datenschutz und Nichtdiskriminierung. Das klingt vernünftig, ist aber nicht lieferbar. Ein Gesichtsscan ist wenig eingriffstief, aber ungenau, und trifft je nach Herkunft und Geschlecht unterschiedlich zu. Ein Ausweisabgleich ist genau, aber ein tiefer Eingriff und schließt Menschen ohne digitale Identität aus. Man kann sich zwei der drei Eigenschaften aussuchen, nie alle. Ein Gesetz, das alle drei fordert, verlagert das Problem in die Durchführungsverordnungen, wo es dann still zugunsten der Genauigkeit entschieden wird.

Der Zero-Knowledge-Satz

Im Entwurf steht, jede Maßnahme zur Alterskontrolle solle „zero knowledge proof“ sein. Wer weiß, was ein Zero-Knowledge-Beweis ist, liest diesen Satz zweimal. Der Begriff wird als Adjektiv verwendet, ist aber ein Substantiv für ein konkretes kryptografisches Verfahren, das nicht einmal die EU-eigene Alterskontroll-App verpflichtend nutzt. Das ist keine Spitzfindigkeit. Es ist ein Indiz dafür, dass an dieser Stelle niemand mit technischem Hintergrund gegengelesen hat. Bei einem Gesetz, dessen Kern eine technische Infrastruktur ist, ist das kein gutes Zeichen.

Der Geltungsbereich

Weil der Entwurf „soziale Medien“ nicht definiert, greift voraussichtlich die Definition aus dem Digital Markets Act: Dienste, in denen Nutzer sich vernetzen, kommunizieren und Inhalte teilen. Das ist jedes Vereinsforum, jedes Hobby-Board, jeder Mastodon-Server. Eine Ausnahme für kleine Anbieter fehlt. Wer ehrenamtlich ein Forum mit 300 Mitgliedern betreibt, müsste dieselbe Verifikationsinfrastruktur aufbauen wie TikTok. In der Praxis heißt das: Er macht zu. Die Folge wäre eine weitere Zentralisierung auf die großen Plattformen, also genau die, gegen die das Gesetz eigentlich gerichtet ist.

Der Sorgeberechtigungsnachweis

Hier lohnt sich der Blick aus der Verwaltungspraxis. Die Mitgliedstaaten sollen eine Bescheinigung schaffen, mit der Eltern gegenüber Instagram belegen, dass sie die Eltern sind. Wer soll die ausstellen? Das Meldeamt? Das Jugendamt? Wie sieht das bei getrennt lebenden Eltern aus, bei Pflegefamilien, bei Geflüchteten ohne Papiere? Der Entwurf nennt als Übergangslösung die Selbsterklärung, also einen Haken in einem Formular. Damit ist der gesamte Nachweisapparat entweder wirkungslos oder ein Bürokratiemonster. Ein Mittelding gibt es nicht.

Die Stunde am Tag

Ein fest im Gesetz verankertes Zeitlimit von 60 Minuten für 13- und 14-Jährige, unabhängig davon, was der Jugendliche dort tut. Eltern sollen darunter bleiben können, nicht darüber. Das nimmt Eltern die Entscheidung ab, statt sie zu unterstützen. Und es ignoriert, dass Jugendliche über soziale Medien auch Hausaufgaben abstimmen, Vereinsgruppen organisieren und Freundschaften pflegen.

Die Umgehung

Australien hat ein Kontoverbot ab 16 eingeführt. Was danach passierte, war absehbar: Konten von Geschwistern, Zweithandys, VPN. Der Kids Act geht noch weiter und reguliert schon den Zugang ohne Konto. Damit wird die Umgehung nicht schwerer, sondern der Anreiz größer, weil auch 16- und 17-Jährige plötzlich vor Ausweisschranken stehen. Eine Altersschranke, die von den Betroffenen als willkürlich empfunden wird, erzeugt nicht Schutz, sondern Kreativität.

Die Sicherheitsfrage

Aus IT-Sicherheitssicht ist der schlimmste Aspekt, dass hier eine Infrastruktur entsteht, die Ausweisdaten, biometrische Merkmale und Plattformnutzung zusammenführt. Jeder Anbieter von Age Assurance wird zum Hochwertziel. Ein australisches Gutachten zu den dortigen Alterskontrollanbietern hat gezeigt, dass biometrische Daten gehortet werden, obwohl sie es nicht sollten. Es gibt keinen Grund anzunehmen, dass das in Europa anders läuft, solange das Gesetz Datensparsamkeit nur fordert, aber nicht technisch erzwingt.

Was besser wäre als eine Altersgrenze

Der Entwurf hat einen richtigen Kern, den man freilegen könnte, wenn man die Zugangskontrolle vom Schutzgedanken trennt.

Sicheres Design als Standard für alle, ohne Altersschranke. Autoplay, Endlos-Scrollen, Streaks und Push-Spam sind nicht nur für Kinder schädlich. Wenn diese Mechaniken standardmäßig aus sind und jeder Nutzer sie aktiv einschalten muss, braucht es dafür keine Altersfeststellung. Die Kommission plant mit dem Digital Fairness Act ohnehin ein solches Gesetz für den Herbst. Es wäre ehrlicher gewesen, den Kids Act als dessen Jugendschutzkapitel zu bauen.

Beweislast statt Ausweis. Man kann die Beweislastumkehr auf die Spitze treiben: Wer nicht sicher weiß, dass ein Nutzer volljährig ist, darf ihn nicht profilieren und muss ihm die sichere Version ausspielen. Das setzt keinen Ausweiszwang voraus. Es zwingt Plattformen dazu, standardmäßig anzunehmen, dass ein unbekannter Nutzer minderjährig sein könnte. Wer den vollen Feed will, kann sich freiwillig verifizieren. Wer nicht, bekommt eine Plattform ohne Tracking. Das wäre für viele Erwachsene sogar ein Gewinn.

Wenn Altersnachweis, dann richtig. Ein anonymes Credential, das nur „über 15: ja“ oder „nein“ ausgibt, technisch auf dem Gerät gehalten, mit echtem Zero-Knowledge-Verfahren, quelloffen und auditierbar, ohne dass die Plattform oder der Ausweisanbieter erfährt, wo das Credential eingesetzt wurde. Das ist mit der EUDI-Wallet grundsätzlich machbar. Der Entwurf müsste das aber als harte technische Anforderung formulieren, nicht als missverstandenes Schlagwort, und Gesichtsscans als Verfahren explizit ausschließen.

Geltungsbereich auf die Großen beschränken. Der Digital Services Act kennt bereits die Kategorie der sehr großen Plattformen. Dort sitzt das Problem, dort sitzt das Geld für Compliance. Kleine Communities, Vereinsforen und dezentrale Netzwerke gehören nicht in dieselbe Pflicht.

Elternkontrolle als Angebot, nicht als Pflicht. Beaufsichtigte Konten sind eine gute Option für Eltern, die sie wollen. Sie sollten aber nicht der einzige Weg für einen 14-Jährigen sein, und das Zeitlimit gehört in die Hände der Eltern, nicht ins Gesetz. Der CCC und D64 weisen zu Recht darauf hin, dass nicht alle Jugendlichen in Verhältnissen leben, in denen elterliche Vollkontrolle über jeden Kontakt ein Schutz wäre. Für manche ist das Netz der einzige Ort, an dem sie Hilfe finden.

Medienkompetenz finanzieren. Jede Altersschranke fällt spätestens am 15. oder 18. Geburtstag weg. Was dann bleibt, ist ein junger Mensch, der entweder gelernt hat, mit Aufmerksamkeitsökonomie umzugehen, oder nicht, und das lernt er nicht durch ein Verbot.

Zwei Hebel, die das Gesetz verwechselt. Es gibt genau zwei Stellen, an denen sich das Problem lösen lässt. Beim Anbieter, indem man ihm Mechaniken verbietet, die auf Abhängigkeit optimiert sind. Und beim Kind, indem man ihm beibringt, was da mit ihm passiert, und zwar altersgerecht ab der Kita, methodisch in der Grundschule, systematisch in der Sekundarstufe. Beides ist mühsam. Das eine kostet Streit mit Konzernen, das andere kostet Lehrpläne, Fortbildung und Geld. Eine Altersschranke kostet nichts davon. Sie greift weder beim Anbieter noch beim Kind ein, sondern schiebt nur den Zeitpunkt nach hinten, an dem ein unvorbereiteter Jugendlicher auf eine unveränderte Plattform trifft. Der Design-Teil des Kids Act zieht den ersten Hebel, und das ist richtig. Der zweite kommt im Entwurf schlicht nicht vor: kein Wort zu Medienpädagogik, keine Förderung, keine Verpflichtung der Mitgliedstaaten. Übrig bleibt das Verbot als das Einzige, was politisch billig ist, weil die Rechnung an Eltern, Forenbetreiber und Jugendliche geht.

Fazit

Der EU Kids Act ist ein Gesetz mit einer guten ersten Hälfte und einer zweiten, die die erste gefährdet. Designpflichten und Beweislastumkehr sind richtig und überfällig. Die flächendeckende Alterskontrolle dagegen ist technisch nicht so lieferbar, wie das Gesetz es verspricht, trifft mit den kleinen Anbietern die Falschen, schafft mit dem Sorgeberechtigungsnachweis eine neue Bürokratie und baut eine Dateninfrastruktur, die in fünf Jahren niemand mehr abbauen wird. Und sie ersetzt das, was wirklich fehlt: die Bereitschaft, Kinder an diese Welt heranzuführen, statt sie nur länger davon fernzuhalten.

Der Entwurf muss noch durch Parlament und Rat. Es wäre nicht das erste Mal, dass dort aus einem Überwachungsgesetz mit Kinderschutz-Etikett am Ende doch etwas Brauchbares wird. Ich würde aber nicht darauf wetten.

FAQ zum EU Kids Act

Ab welchem Alter dürfen Kinder laut EU Kids Act Social Media nutzen?

Unter 13 gar nicht, zwischen 13 und 15 nur über ein von den Eltern eingerichtetes Mini-Konto mit maximal einer Stunde pro Tag, ab 15 mit eigenem Konto auf Plattformen, die für Minderjährige sicher gestaltet sein müssen.

Müssen sich auch Erwachsene ausweisen?

Nach dem Entwurf ja. Riskante Social-Media- und Videoplattformen sollen das Alter aller Nutzer verifizieren. Ausnahmen sind nur für langjährige Bestandskonten vorgesehen.

Gilt der Kids Act auch für kleine Foren und Fediverse-Server?

Voraussichtlich ja. Der Entwurf enthält keine Ausnahme für kleine Anbieter und definiert „soziale Medien“ nicht eigenständig, sodass die weite Definition des Digital Markets Act greifen dürfte.

Ist der EU Kids Act schon beschlossen?

Nein. Es handelt sich um einen Vorschlag der Kommission vom 17. September 2026. Europäisches Parlament und Rat müssen zustimmen und können den Text noch erheblich ändern.

Was ist der Unterschied zwischen Age Verification und Age Assurance?

Age Verification meint den strengen Nachweis über Belege wie Ausweisdaten. Age Assurance ist der Oberbegriff und umfasst auch Schätzverfahren, etwa biometrische Gesichtsscans, die deutlich ungenauer sind.

Es ist wieder so weit. Wie ein Untoter in einem zweitklassigen Horrorfilm kriecht sie aus ihrem Grab, schüttelt sich den Staub der Verfassungswidrigkeit von den Schultern und grinst uns mit der Zahnlücke des autoritären Wahnsinns an: Die Vorratsdatenspeicherung. Oder wie man sie heute nennt, um die Gerichte nicht direkt zu provozieren: „Verkehrsdatenspeicherung“, „Sicherheits-Backup für Deutschland“ oder vielleicht bald „Digitaler Umarmungsservice des Staates“.

Es ist faszinierend und erschreckend zugleich. Seit nunmehr fast zwei Jahrzehnten versuchen wechselnde Bundesregierungen – egal ob unter Merz, Scholz oder Merkel – uns einzureden, dass das Abendland untergeht, wenn der Staat nicht weiß, wann Sie gestern Abend um 23:14 Uhr bei der anonymen Seelsorge angerufen haben oder ob Sie sich öfter auf Seiten für vegane Hardcore-Strickmuster herumtreiben.

Die Definition von Wahnsinn: Immer das Gleiche tun und ein anderes Ergebnis erwarten

Albert Einstein wird oft der Satz zugeschrieben, dass Wahnsinn darin bestehe, immer wieder das Gleiche zu tun und ein anderes Ergebnis zu erwarten. Wenn das stimmt, dann ist das Bundesinnenministerium die größte geschlossene Abteilung der Republik.

Wir haben es schwarz auf weiß. Mehrfach. Das Bundesverfassungsgericht hat nein gesagt. Der Europäische Gerichtshof hat nein gesagt. Sogar die Realität hat nein gesagt. Aber unsere Politiker sind wie bockige Kleinkinder im Supermarkt, die so lange mit den Fäusten auf den Boden trommeln, bis ihnen jemand die Überwachungstüte kauft. Sie ändern ein paar Kommas, taufen das Kind um und präsentieren uns denselben verfassungsfeindlichen Müll als „neuen, grundrechtskonformen Ansatz“. Spoiler-Alarm: Es ist immer noch anlasslose Massenüberwachung. Es ist immer noch der Generalverdacht gegen 84 Millionen Menschen.

„Ich habe doch nichts zu verbergen“ – Der Satz, der Freiheit tötet

Man hört ihn immer wieder, diesen Klassiker der intellektuellen Kapitulation. Doch wer das sagt, hat das Prinzip der Freiheit nicht verstanden. Privatsphäre ist nicht dazu da, um Verbrechen zu verstecken. Sie ist dazu da, um Individualität zu schützen.

Stellen Sie sich vor, der Staat würde verlangen, dass Sie eine Kamera in Ihrem Schlafzimmer installieren, die nur „im Bedarfsfall“ eingeschaltet wird. Würden Sie das akzeptieren? Wahrscheinlich nicht. Aber bei Ihren digitalen Metadaten zucken Sie mit den Schultern? Dabei verraten diese Metadaten mehr über Sie als jedes Schlafzimmervideo. Wer weiß, wen Sie anrufen, wo Sie sich aufhalten und wem Sie schreiben, der weiß, wer Sie sind. Der Staat baut sich eine digitale Voodoo-Puppe von jedem Bürger, an der er nach Belieben Nadeln ansetzen kann.

Die technische Bankrotterklärung: Ein Netz für Goldfische, während die Haie lachen

Aber kommen wir zum amüsantesten Teil dieser ganzen Farce: Der technischen Sinnlosigkeit. Unsere Sicherheitsbehörden verkaufen uns die VDS als das ultimative Werkzeug gegen Terrorismus und schwere Kriminalität. In Wahrheit ist es ein gigantisches Milliarden-Grab, das genau gar nichts bringt. Warum? Weil jeder, der auch nur einen Funken krimineller Energie und den IT-Sachverstand eines zwölfjährigen Minecraft-Spielers besitzt, diese Überwachung in drei Klicks aushebelt.

VPNs: Der digitale Tarnumhang für Einsteiger
Ein VPN (Virtual Private Network) kostet heute fünf Euro im Monat und lässt sich per App mit einem Klick aktivieren. Was sieht der Provider dann noch? Nichts. Er sieht einen verschlüsselten Brei, der zu einem Server nach Island, Panama oder in die Schweiz fließt. Die Vorratsdatenspeicherung speichert in diesem Fall nur eines: Dass Sie eine verschlüsselte Verbindung haben. Herzlichen Glückwunsch, Herr Innenminister, Sie haben gerade fünf Euro Steuergeld pro Bürger investiert, um heiße Luft zu überwachen.

DNS-over-HTTPS: Wenn das Adressbuch verschlüsselt wird
Bisher konnte der Provider sehen, welche Webseiten Sie aufrufen, weil Ihr Computer brav beim DNS-Server des Providers nach der Adresse gefragt hat. Mit DNS-over-HTTPS (DoH) – einer Funktion, die mittlerweile in fast jedem Browser (Chrome, Firefox, Safari) standardmäßig aktiviert werden kann – wird diese Abfrage verschlüsselt. Der Provider weiß nicht einmal mehr, ob Sie auf bundesregierung.de oder wie-baue- ich-eine-guillotine.org surfen.

SSH-Tunnel und ferne Geräte
Für die etwas Fortgeschritteneren: Ein SSH-Tunnel zu einem günstigen Server im Ausland oder einfach zum Router eines Freundes in einem Land ohne Überwachungsfetisch reicht aus, um die gesamte Kommunikation umzuleiten. Das ist keine Raketenwissenschaft. Das ist Basis-Wissen für jeden Informatik-Studenten im ersten Semester.

Die „Störerhaftung“ und das offene WLAN
Erinnern Sie sich noch an die Panik vor offenen WLANs? Das ist vorbei. Dank der Abschaffung der Störerhaftung kann heute jeder sein WLAN öffnen oder sich in eines einwählen. Wenn ich als Krimineller etwas Unrechtes tun will, setze ich mich mit meinem Tablet in ein Café, nutze deren Freifunk oder das WLAN einer Fast-Food-Kette und lache über die VDS meines Heimanschlusses.

Das Ergebnis: Überwachung der Unschuldigen, Freiheit für die Profis

Was bleibt also übrig, wenn man den ganzen politischen Spin abzieht? Ein System, das ausschließlich die „dummen“ Bürger überwacht. Die Oma, die vergisst, ihr VPN einzuschalten. Den Studenten, der sich nicht für IT-Sicherheit interessiert. Den unbescholtenen Bürger, der nichts Böses ahnt.

Die wirklichen Verbrecher, die Terroristen, die organisierten Banden? Die nutzen Ende-zu-Ende-Verschlüsselung, Tor, VPN-Kaskaden und anonyme SIM-Karten aus dem Ausland. Die lachen sich kaputt über ein Deutschland, das Milliarden in eine Infrastruktur pumpt, die sie nicht einmal im Ansatz tangiert.

Es geht bei der Vorratsdatenspeicherung nicht um Sicherheit. Es ging nie um Sicherheit. Es geht um Kontrolle. Es geht um das Gefühl der Macht, auf Knopfdruck in das Leben jedes Bürgers blicken zu können. Es ist der feuchte Traum jedes Bürokraten, der Ordnung über Freiheit stellt.

Ein zynischer Ausblick

Wir können die Uhr danach stellen: In zwei Jahren wird das aktuelle Vorhaben wieder von einem Gericht einkassiert werden. Dann wird ein Politiker mit betroffener Miene vor die Presse treten und behaupten, man habe nun eine „Sicherheitslücke“, die dringend geschlossen werden müsse. Und dann beginnt das Spiel von vorn.

Wie viele Milliarden wollen wir noch in dieses tote Pferd investieren? Wie oft wollen wir uns noch anhören, dass unsere Grundrechte eigentlich nur „lästige Hindernisse“ bei der Verbrechensbekämpfung sind?

Die Vorratsdatenspeicherung ist das Denkmal einer politischen Klasse, die das Internet nicht versteht, die Freiheit für gefährlich hält und die ihre Bürger für so dumm verkauft, dass sie den Unterschied zwischen „Sicherheit“ und „Totalüberwachung“ nicht bemerken sollen.

Schalten Sie Ihr VPN ein. Verschlüsseln Sie Ihr DNS. Zeigen Sie ihnen, dass Ihre Privatsphäre keine Verhandlungsmasse ist. Denn wenn wir nicht aufhören, diesen Unsinn zu tolerieren, wird der Staat nicht aufhören, uns als Verdächtige zu behandeln.

In diesem Sinne: Fröhliches Überwachtwerden – oder eben auch nicht, wenn man weiß, wie man den „Aus“-Knopf drückt.

Ich habe mir die technischen Details der neuen EU-Altersverifikation angesehen, und mein Urteil könnte nicht vernichtender ausfallen. Um es direkt auf den Punkt zu bringen: Wer auch immer als CTO, CIO oder Datenschutzbeauftragter bei der EU für diese Lösung der Altersverifikation verantwortlich ist, sollte sofort entlassen werden. Es ist mir völlig unbegreiflich, wie man mit einer solchen Selbstsicherheit ein Produkt präsentieren kann, das nicht einmal ansatzweise aktuellen technischen Sicherheitsstandards entspricht. Die simplen „Hacks“, die nur Minuten nach der Veröffentlichung publik wurden, sind kein Zufall – sie sind das Ergebnis einer Architektur, die jedes einzelne Prinzip der eigenen EU-DSGVO ignoriert.

Wo bleiben die Datenminimierung oder die Sicherheit als oberste Direktive? Fehlanzeige. Stattdessen sehen wir einen pureren Dilettantismus, der unter dem Deckmantel des Jugendschutzes auf Hunderte Millionen Bürger losgelassen werden soll. Wir reden hier nicht von einem kleinen Bug in einer Gaming-App. Wir reden von der Infrastruktur, die künftig darüber entscheiden soll, wer in Europa welche Inhalte konsumieren darf. Und diese Infrastruktur ist, gelinde gesagt, konzeptionell kaputt.

In diesem massiven Artikel werde ich dieses Kartenhaus Stein für den Stein abtragen. Wir schauen uns an, wie Paul Moore die App in 120 Sekunden lächerlich gemacht hat, warum der „Digital Omnibus“ die DSGVO von innen heraus auffrisst und wie eine echte, technisch saubere Lösung auf Basis von Passkeys und Zero-Knowledge Proofs (ZKP) aussehen müsste, die Anonymität wirklich ernst nimmt.

I. Der regulatorische Masterplan: Schutz als Vorwand für Kontrolle?

Die Europäische Union hat mit dem Gesetz über digitale Dienste (Digital Services Act, DSA) und der novellierten eIDAS-Verordnung (eIDAS 2.0) einen Rahmen geschaffen, der angeblich die Sicherheit im Netz erhöhen soll. Ein zentrales Element ist dabei die Altersverifikation. Ab 2026 sollen Online-Plattformen verpflichtet werden, den Zugriff auf „schädliche“ Inhalte wie Pornografie, Glücksspiel oder den Erwerb von Alkohol für Minderjährige radikal zu reglementieren.

Das Ende des „Ich bin 18“-Buttons

Bisher reichte oft eine einfache Selbstdeklaration. Die Kommission hat jedoch klargestellt, dass das sogenannte „Tick-Box“-Verfahren rechtlich nicht mehr ausreicht. Die neuen Leitlinien fordern „effektive, robuste und nicht-intrusive“ Methoden. Doch was die EU unter „nicht-intrusiv“ versteht, ist ein schlechter Witz. Am 15. April 2026 präsentierte Kommissionspräsidentin Ursula von der Leyen eine Referenz-App als „technisch bereit“ und „datenschutzfreundlich“.

Diese App fungiert als eine Art „Mini-Wallet“, eine Vorstufe zur umfassenden EUDI-Wallet (EU Digital Identity), die bis Ende 2026 für jeden Mitgliedstaat verpflichtend wird. Das Ziel klingt in der Theorie edel: Nutzer sollen beweisen können, dass sie über 18 sind, ohne ihren Namen oder ihr Geburtsdatum preiszugeben. Doch wie wir gleich sehen werden, ist der Weg dorthin gepflastert mit technischer Inkompetenz.

II. Die Anatomie des Versagens: Der Paul Moore Hack

Es dauerte keine zwei Stunden, nachdem die Kommission den Quellcode der App veröffentlicht hatte, bis der Sicherheitsberater Paul Moore demonstrierte, dass das gesamte Sicherheitskonzept ein schlechter Scherz ist. Wenn von der Leyen von „höchsten Datenschutzstandards“ spricht, während ein Profi das System mit einem einfachen Datei-Explorer aushebelt, dann ist das politischer Selbstmord auf Raten.

Die „Clown-Tier“-Designentscheidungen

Moore identifizierte Schwachstellen, die so basal sind, dass man sich fragen muss, ob die Entwickler jemals ein Buch über Mobile Security gelesen haben.

1. Unsichere lokale Speicherung (PIN-Bypass): Die App speichert die PIN des Nutzers in einer einfachen XML-Datei im Verzeichnis shared_prefs. Diese PIN ist nicht kryptografisch an den Datentresor (Vault) gebunden, in dem die Identitätsnachweise liegen. Moore löschte einfach die Einträge PinEnc und PinIV. Nach einem Neustart akzeptierte die App die Erstellung einer neuen PIN und gewährte vollen Zugriff auf die Identität des ursprünglichen Nutzers.
2. Der Biometrie-Schalter: Ob eine biometrische Authentifizierung (Face ID/Fingerabdruck) nötig ist, wird über ein simples Flag gesteuert: UseBiometricAuth. Moore änderte diesen Wert in der Konfigurationsdatei einfach von „true“ auf „false“. Ergebnis: Die App fragte gar nicht erst nach dem Gesichtsscan. Wer das Handy physisch in der Hand hält, ist der Chef – Jugendschutz adé.
3. Manipulation der Ratenbegrenzung: Um Brute-Force-Angriffe auf die PIN zu verhindern, gibt es einen Zähler. Dieser Zähler wurde jedoch als einfache Ganzzahl in derselben ungeschützten Datei gespeichert. Ein Angreifer kann ihn jederzeit manuell auf Null zurücksetzen und unendlich viele Kombinationen testen.
4. Hardware-Sicherheitsanker ignoriert: Moderne Smartphones besitzen eine „Secure Enclave“ (Apple) oder ein „Trusted Execution Environment“ (Android). Das sind physikalisch isolierte Bereiche für kryptografische Schlüssel. Die EU-App nutzt diese jedoch nicht konsequent, sondern lässt sensible Sicherheits-Flags im regulären, editierbaren Dateisystem liegen. Das ist so, als würde man ein Hochsicherheitsschloss kaufen, den Schlüssel aber unter die Fußmatte legen.

III. Biometrie-Lecks: Wenn der Datenschutz zur Falle wird

Ein besonders brisanter Aspekt der App ist das Onboarding. Nutzer müssen ihren Reisepass via NFC scannen und ein Selfie aufnehmen, um die Echtheit ihrer Daten zu beweisen.

Unverschlüsselte Bilder im Cache

Die technische Analyse offenbarte ein Horrorszenario für Datenschützer:

• Die aus dem NFC-Chip extrahierten hochauflösenden Gesichtsbilder (DG2-Daten) werden als unverschlüsselte PNG-Dateien auf dem Gerät abgelegt.
• Diese Bilder werden nur gelöscht, wenn der Verifizierungsprozess erfolgreich abgeschlossen wurde. Stürzt die App ab oder bricht der Nutzer ab, verbleiben diese sensiblen Biometriedaten ungeschützt auf dem Smartphone.
• Selfies werden teilweise im externen Speicher abgelegt und laut Berichten überhaupt nicht gelöscht.

Gemäß Artikel 9 der DSGVO sind biometrische Daten besonders schutzwürdig. Dass eine offizielle EU-App solche Daten unverschlüsselt im Dateisystem „vergisst“, ist ein massiver Verstoß gegen die eigenen Gesetze. Paul Moore warnte Ursula von der Leyen direkt: Dieses Produkt wird der Katalysator für einen gigantischen Daten-Breach sein.

IV. Das legislative Schlupfloch: Der „Digital Omnibus“

Während die Technik versagt, bereitet die EU im Hintergrund eine gesetzliche Aufweichung vor, die noch viel gefährlicher ist. Das am 19. November 2025 vorgestellte „Digital Omnibus“-Paket wird von Organisationen wie noyb (Max Schrems) und EDRi als massiver Angriff auf die digitalen Grundrechte gewertet.

Die subjektive Identifizierbarkeit

Der Kern der Kritik liegt in einer geplanten Neudefinition von „personenbezogenen Daten“ in Artikel 4(1) der DSGVO. Bisher gilt ein objektiver Maßstab: Daten sind personenbezogen, wenn sie irgendjemand einer natürlichen Person zuordnen kann.

Der neue Vorschlag führt einen subjektiven Ansatz ein: Informationen sollen für eine bestimmte Firma dann nicht als personenbezogen gelten, wenn diese Firma die Person mit vernünftigerweise wahrscheinlichen Mitteln nicht identifizieren kann.

Die Gefahr für die Altersverifikation: Plattformen könnten künftig behaupten: „Wir erhalten von der EU-App nur einen kryptografischen Token. Wir wissen nicht, wer dahintersteckt, also ist das für uns kein personenbezogenes Datum.“ Dass Datenbroker im Hintergrund diese Token längst wieder mit Klarnamen verknüpft haben, würde dann keine Rolle mehr spielen. Dies entzieht den Bürgern ihre Rechte auf Auskunft, Löschung und Widerspruch.

KI-Training als „legitimes Interesse“

Zudem soll das Training von KI-Modellen als „legitimes Interesse“ (Art. 88c) eingestuft werden. Das bedeutet das Ende der Opt-In-Kultur. Firmen könnten Ihre Daten ohne explizite Einwilligung für ihre Algorithmen nutzen. Wir bewegen uns weg vom Schutz der Privatsphäre hin zu einem System, in dem der Mensch nur noch als Datenquelle für die europäische KI-Industrie dient.

V. Der dezentrale Ausweg: Anonymität durch Passkeys und ZKP

Es gibt eine Lösung für das Problem der Altersverifikation, die keine Überwachungsinfrastruktur benötigt. Die Technologie ist bereits in unseren Taschen vorhanden: Passkeys auf Basis von FIDO2/WebAuthn kombiniert mit Zero-Knowledge Proofs (ZKP).

Warum Passkeys die Basis sind

Ein Passkey ist ein kryptografisches Schlüsselpaar, das hardwaregebunden auf dem Gerät erzeugt wird. Der private Schlüssel $K_{priv}$ verlässt die „Secure Enclave“ niemals. Im Gegensatz zu Passwörtern sind Passkeys resistent gegen Phishing und Server-Breaches.

Die Magie der Zero-Knowledge Proofs (ZKP)

Der entscheidende Fehler der EU-App ist die Verknüpfung von Identität und Attestierung. Eine Website braucht nicht zu wissen, wer ich bin, sondern nur, was ich bin (über 18).

Ein anonymes System funktioniert in vier Phasen:

1. Einmaliges Onboarding: Der Nutzer weist sein Alter gegenüber einer vertrauenswürdigen Stelle nach (z.B. staatliches Register). Diese stellt ein kryptografisch signiertes Attest aus, das lokal auf dem Handy gespeichert wird.
2. Anonymer Passkey: Für jede Plattform wird ein einzigartiger, domain-spezifischer Passkey generiert. Dies verhindert, dass verschiedene Webseiten Nutzerprofile verknüpfen können.
3. ZKP-Präsentation: Wenn eine Plattform das Alter anfordert, generiert das Handy einen mathematischen Beweis (ZKP). Die Aussage lautet: „Ich besitze ein gültiges Zertifikat für ‚Alter $\geq$ 18‘, ohne das Geburtsdatum zu verraten.“
4. Double-Blind Prinzip: Weder der Staat noch die Plattform wissen alles. Der Staat weiß, wem er das Attest gab, aber nicht, wo es genutzt wird. Die Plattform weiß, dass der Nutzer über 18 ist, aber nicht, wer er ist.

Vergleich der Modelle

VI. Das Scheitern hat Tradition: Von der ID Wallet zum Führerschein-Chaos

Man sollte meinen, die EU hätte aus den Fehlern der Vergangenheit gelernt. Doch weit gefehlt. Das Scheitern der deutschen „ID Wallet“ im Jahr 2021 war eine Vorwarnung. Auch damals wurde eine blockchain-basierte Lösung mit großer Fanfare (Andreas Scheuer, Dorothee Bär) gelauncht, nur um Tage später wegen Sicherheitsmängeln und mangelnder Skalierbarkeit aus den App-Stores entfernt zu werden.

Die Sicherheitsforscherin Lilith Wittmann sprach damals von einem „Kaiser ohne Kleider“. IT-Experten warnten Monate im Voraus, doch die Politik ignorierte die Realität zugunsten von PR-Terminen kurz vor der Wahl. Heute sehen wir dasselbe Muster auf europäischer Ebene: Man forciert einen Rollout, bevor die Wissenschaft konsolidiert ist und bevor die Sicherheitsarchitektur überhaupt den Namen verdient.

VII. Die Rolle von Big Tech und die Souveränitätslüge

Ein weiteres Problem ist die Abhängigkeit von Google und Apple. Die EUDI-Wallet und die Altersverifikations-App sind auf die Betriebssysteme und App-Stores dieser Giganten angewiesen. Wenn die EU-App Sicherheitsstandards fordert, die nur durch die Integration in die proprietären Hardware-Enklaven von Apple oder Google erreicht werden können, zementiert sie die Marktmacht dieser Unternehmen.

Gleichzeitig positionieren sich Konzerne wie Meta als Unterstützer von Initiativen wie OpenAge, um von den eigentlichen Problemen – ihren schädlichen Algorithmen und der Datenausbeutung – abzulenken. Eine Altersverifikation, die lediglich den Zugang regelt, aber das „Engagement-Mining“ der Plattformen unberührt lässt, bekämpft nur die Symptome, nicht die Ursache der Gefährdung von Minderjährigen.

Fazit: Zeit für digitale Notwehr

Die Altersverifikation in der EU befindet sich in einer Sackgasse aus technischer Inkompetenz und legislativer Übergriffigkeit. Das aktuelle Modell hebelt den Datenschutz aus, indem es einerseits unsichere Apps bereitstellt und andererseits durch den „Digital Omnibus“ rechtliche Schlupflöcher schafft, die die Zweckbindung personenbezogener Daten untergraben.

Wer als Verantwortlicher zulässt, dass biometrische Daten unverschlüsselt in Cache-Ordnern liegen, hat jede Glaubwürdigkeit verloren. Wir brauchen keine staatliche App, die unsere Ausweise scannt. Wir brauchen eine Altersverifikation, die nur ein Merkmal bestätigt, aber niemals eine Identität preisgibt.

Forderungen für einen echten Jugendschutz:

1. Sofortiger Stopp der Referenz-App: Keine produktive Nutzung einer App, die lokale Sicherheitsflags in Textdateien speichert.
2. Hardware-Zwang: Altersnachweise dürfen nur in zertifizierten Hardware-Sicherheitsmodulen (HSM/Secure Enclave) verarbeitet werden.
3. ZKP-Standardisierung: Die EU muss offene kryptografische Standards für Zero-Knowledge Proofs forcieren, statt auf „Gaffa-Tape-Lösungen“ zu setzen.
4. Stopp des Digital Omnibus: Die DSGVO darf nicht für die Interessen der KI-Lobby geopfert werden.

Nur durch eine radikale Abkehr vom jetzigen Modell der „staatlich kontrollierten Identitäts-App“ hin zu einer „nutzerzentrierten Attributs-Kryptografie“ kann der Schutz von Kindern im Netz realisiert werden, ohne das Recht auf Anonymität für uns alle zu opfern.

Ein Manifest für die strategische Arroganz eines Kontinents, der sich zu lange unter Wert verkauft hat.

Willkommen in der Realität. Willkommen im Jahr, in dem der „American Dream“ endgültig zum europäischen Albtraum mutiert ist. Während wir uns in Brüssel und Berlin noch immer die Augen reiben und hoffen, dass der orangefarbene Clown im Weißen Haus nur ein schlechter Scherz der Geschichte war, brennt die Hütte bereits lichterloh. Donald Trump ist kein Betriebsunfall – er ist das Symptom eines zerfallenden Imperiums, das seine Verbündeten wie lästige Mieter behandelt, die man nach Belieben erpressen, beleidigen und rausschmeißen kann.

Es ist Zeit, die Scheidung einzureichen. Es ist Zeit für Artikel 13. Es ist Zeit für die Europäische Verteidigungsallianz (EVa).

1. Der toxische Ex-Partner: Warum die USA ein Sicherheitsrisiko sind

Seit Jahrzehnten kuscheln wir uns unter den nuklearen Schutzschirm der USA wie verängstigte Kleinkinder, die Angst vor dem Monster unter dem Bett haben. Doch was tun, wenn der Babysitter plötzlich eine Kettensäge herausholt und droht, das Haus anzuzünden, wenn wir nicht mehr Schutzgeld zahlen?

Trump hat das transatlantische Bündnis zu einem Basar degradiert. Er führt keinen Dialog, er führt einen Tarifkrieg. Er schützt nicht Werte, er schützt seine eigenen Umfragewerte. Ein Mann, der die NATO als „obsolet“ bezeichnet und im nächsten Atemzug völkerrechtswidrige Abenteuer im Iran oder anderswo anzettelt, ist kein Partner. Er ist eine tickende Zeitbombe. Wenn die USA husten, bekommt Europa traditionell eine Lungenentzündung. Wenn die USA aber unter Trump beschließen, dass Europa eigentlich nur ein wirtschaftlicher Feind im Gewand eines Freundes ist, dann ist es lebensgefährlich, die eigene Verteidigung weiterhin in die Hände Washingtons zu legen.

Wir werden täglich beleidigt. Wir werden erpresst. Unsere Wirtschaft wird mit Zöllen überzogen, während man von uns verlangt, Milliarden in US-Rüstungskonzerne zu pumpen. Das ist keine Allianz. Das ist eine Schutzgelderpressung auf globalem Niveau. Wer glaubt, dass ein Land, das seine eigene Kapitol-Ruine kaum sauber halten kann, verlässlich für die Freiheit von Tallinn oder Bukarest einsteht, hat die letzten Jahre im Koma verbracht.

2. Die Strategie des geordneten Rückzugs: Artikel 13 als Befreiungsschlag

Die Lösung liegt direkt vor unserer Nase, vergraben im Kleingedruckten des Nordatlantikvertrags. Artikel 13.

„Nach zwanzigjähriger Geltungsdauer des Vertrags kann jede Partei ein Jahr nach Absendung einer Kündigungsanzeige an die Regierung der Vereinigten Staaten von Amerika aus dem Vertrag ausscheiden…“

Es ist fast poetisch: Wir nutzen die bürokratischen Regeln ihres eigenen Clubs, um ihnen den Rücken zu kehren. Stellen wir uns das Szenario vor: Alle europäischen Staaten – von Portugal bis Polen – reichen kollektiv die Kündigung ein. Das gibt uns genau 365 Tage Zeit. Ein Jahr, um die Trümmer der NATO-Strukturen zu sortieren und das Fundament für die EVa zu gießen.

Dieses Jahr der Wartezeit ist kein Vakuum. Es ist die Geburtsstunde einer neuen Supermacht. Während Trump noch darüber twittert, wie viel Geld er uns angeblich „gespart“ hat, ziehen wir die Experten, die Logistik und vor allem die Gelder ab. Jeder Cent, der bisher in die NATO-Bürokratie in Mons oder Norfolk floss, wandert direkt in den Aufbau der EVa. Wir lassen die USA mit ihren leeren Hangars und ihren überteuerten Flugzeugträgern allein im Nordatlantik dümpeln. Sollen sie doch ihre eigenen Kriege im Pazifik führen – ohne europäisches Kanonenfutter.

3. EVa – Die Europäische Verteidigungsallianz: Struktur einer neuen Ära

Wie soll dieses Gebilde aussehen? Wir machen nicht den Fehler der EU, alles in endlose Debatten zu ersticken. Die EVa muss eine Kampfmaschine sein, kein Debattierclub.

Das Ende des Vetos

Wer in der EVa mitspielen will, muss seine nationale Eitelkeit an der Garderobe abgeben. Wir brauchen Mehrheitsbeschlüsse. Wenn 20 Länder sagen „Wir müssen die Ostgrenze sichern“, dann kann nicht ein einzelner Querschläger das gesamte Projekt blockieren. Das Prinzip der Einstimmigkeit ist der Krebsgang der europäischen Handlungsfähigkeit. In der EVa zählt das Gewicht der Argumente und die Dringlichkeit der Lage, nicht die Erpressbarkeit einzelner Regierungschefs durch externe Mächte. Wir brauchen keine „Orbán-Pause“, wenn der Feind an der Grenze steht.

Der rotierende Vorsitz und das EU-Kommando

Keine Vorherrschaft einer einzelnen Nation. Die Führung rotiert, aber die militärische Struktur ist fest integriert. Ein europäischer Generalstab, der diesen Namen auch verdient, koordiniert die Verteidigung von der Arktis bis zum Mittelmeer. Hier werden keine politischen Gefälligkeiten ausgetauscht, hier werden strategische Imperative exekutiert.

Die totale Unterstellung

Die nationalen Armeen werden der EVa unterstellt. Ja, die Führungsstrukturen bleiben national – für den Fall des inneren Schutzes –, aber die strategische Planung, die Beschaffung und der Einsatzbefehl liegen bei der Allianz. Europa muss lernen, mit einer Stimme zu schießen, wenn es mit einer Stimme sprechen will. Die Zeit der 27 verschiedenen Panzer-Modelle ist vorbei. Wir standardisieren, wir rationalisieren, wir dominieren.

4. Rettung der Vernunft: Das Angebot an Kanada & Co.

Hier wird es politisch brillant: Wir beenden die NATO, aber wir lassen die Vernünftigen nicht im Regen stehen. Während Trump die USA in eine isolationistische, paranoide Festung verwandelt, öffnen wir die EVa für Partner, die unsere Werte teilen, aber das Pech haben, auf dem falschen Kontinent festzusitzen.

Kanada. Unser Nachbar im Geiste. Kanada wird von Washington aus genauso drangsaliert wie wir. Sie werden mit Zöllen belegt, ihre Souveränität wird ignoriert, und sie müssen zusehen, wie ihr südlicher Nachbar moralisch implodiert. Wir bieten Kanada den Beitritt zur EVa an. Ein „EVa+“-Status.

Warum?

1. Strategische Tiefe: Mit Kanada haben wir Zugriff auf die Arktis, die im Klimawandel zum nächsten großen Schlachtfeld wird. Ohne die US-Arroganz können wir dort europäisch-kanadische Interessen sichern.
2. Moralische Isolation Washingtons: Wenn Kanada sich lieber mit Europa verbündet als mit dem Chaos im Süden, ist das der ultimative Mittelfinger in Richtung Trump. Es zeigt der Welt: Die USA sind nicht mehr die Anführer der freien Welt – sie sind das Problem der freien Welt.
3. Rüstungssynergien: Kanada hat eine hochmoderne Industrie, die perfekt in den europäischen Kreislauf passt.

Wir retten die „Sprengsel der Vernunft“ aus dem sinkenden Schiff der NATO. Das ist keine Nächstenliebe, das ist eiskalte strategische Isolation des Trump-Regimes.

5. Warum wir das tun müssen: 2600 Jahre gegen 250 Jahre

Europa ist kein Juniorpartner. Wir sind der Ursprung der modernen Zivilisation. Der Begriff Europa existiert seit dem 6. Jahrhundert v. Chr. Wir haben Imperien aufsteigen und fallen sehen, wir haben Kriege geführt, die länger dauerten als die gesamte Geschichte der Vereinigten Staaten.

Während wir auf diesem Kontinent bereits komplexe Rechtsphilosophien und Demokratien entwickelten, jagten die Vorfahren der heutigen US-Präsidenten noch… nun ja, lassen wir das. Die Überheblichkeit, mit der Washington versucht, einem Kontinent mit dieser kulturellen und historischen Tiefe Vorschriften zu machen, ist lachhaft.

Trump faselt von „America First“? Fein. Dann machen wir „Europe Adult“. 75 Jahre Frieden in Westeuropa waren ein Erfolg der EU – die NATO war dabei lediglich der teure Security-Service, der jetzt den Preis für seine Dienste willkürlich erhöht.

6. Die Facetten der These: Eine Analyse der harten Realität

Die wirtschaftliche Komponente: Der Rüstungs-Euro

Ein Austritt aus der NATO ist der ultimative wirtschaftliche Befreiungsschlag. Wir beenden die fatale Abhängigkeit von der US-Rüstungsindustrie. Warum fliegen wir F-35, wenn wir unsere eigenen Jets bauen können? Die EVa ist ein gigantisches Konjunkturprogramm für die europäische Industrie. Jeder Euro bleibt im Kreislauf. Wir fördern unsere Ingenieure, nicht Washingtons Lobbyisten.

Die geopolitische Autonomie: Kein Blut für Washingtons Öl

Ohne die USA müssen wir uns nicht mehr in Kriege hineinziehen lassen, die nicht die unseren sind. Wenn ein amerikanischer Präsident beschließt, dass der Iran eine Bedrohung für seine Wiederwahl ist, dann ist das sein Problem. Mit der EVa schützen wir europäische Interessen – und nur diese.

7. Vorteile und Nachteile: Ein ehrliches Protokoll

Die Vorteile

1. Souveränität: Wir entscheiden selbst.
2. Militärische Effizienz: Weg mit dem Flickenteppich. Eine Armee, ein Standard.
3. Wirtschaftlicher Multiplikator: Milliardeninvestitionen fließen in europäische Hochtechnologie.

Die Ostflanke: Wer schützt hier eigentlich wen?

Trump behauptet, die USA würden Europa retten. Die Wahrheit: Europa liefert bereits. Bundeskanzler Friedrich Merz hat die Zeitenwende radikalisiert. Die dauerhafte Stationierung einer kompletten Brigade in Litauen ist keine „Unterstützung“, es ist die neue Realität. Wir haben bereits bewiesen, dass wir die Ostflanke halten können. Der Abzug der US-Truppen wäre lediglich der Abzug einer unberechenbaren Komponente. In der EVa übernehmen wir die komplette Verantwortung – ohne das Risiko, dass ein US-Präsident uns für einen Deal mit dem Kreml opfert.

Der nukleare Schirm: Französischer Schutz statt US-Erpressung

Die „nukleare Teilhabe“ mit den USA bedeutet nur, dass wir die Zielscheiben aufstellen, während Washington den Finger am Abzug hat.

• Die Lösung: Deutschland und Frankreich haben bereits Abkommen geschlossen, die den nuklearen Schutz für ganz Europa auf eine neue Ebene heben. Die EVa baut darauf auf: Eine europäische Nukleardoktrin unter dem Schirm der französischen Force de Frappe, finanziert von der gesamten Allianz. Wir brauchen keine amerikanischen Raketen, deren Startbefehl von der Laune eines Mannes abhängt, der seine Informationen aus Reality-TV bezieht.

8. Risiko-Management: Wie wir den „Tag Danach“ überleben

• Geheimdiplomatie: Verhandlungen mit Kanada und anderen „Vernünftigen“ müssen diskret laufen. Trump erfährt es erst, wenn die Artikel-13-Kündigung auf seinem Schreibtisch landet.
• Ostflanken-Garantie: Wir ersetzen US-Truppen durch eine massive, permanente EVa-Präsenz. Wenn 100.000 europäische Soldaten an der Grenze stehen, wird der Kreml die US-GIs nicht vermissen.
• Wirtschaftliche Gegenwehr: Wenn Trump mit Zöllen antwortet, antwortet die EVa kollektiv. Die Zeit der europäischen Zurückhaltung ist vorbei.

9. Fazit: Das Ende der Naivität

Donald Trump hat uns einen Gefallen getan. Er hat die Maske fallen gelassen. Wer jetzt noch von der „ewigen Freundschaft“ faselt, leidet unter dem Stockholm-Syndrom. Es ist Zeit, die Fesseln zu lösen. Es wird wehtun, es wird teuer werden, aber es ist der einzige Weg, wie Europa die nächsten 2600 Jahre überleben kann.

Wir sind kein Anhängsel. Wir sind Europa. Wir nehmen Kanada mit an Bord und lassen den Rest des Chaos hinter uns.

Adieu, NATO. Willkommen, EVa. Es ist Zeit, das Kinderzimmer zu verlassen.

Disclaimer: Dieser Artikel ist eine bewusste Zuspitzung und dient der harten Debatte über die strategische Autonomie Europas.

Quelle: ec.europa.eu

Die digitale Welt von 2026 ist nicht mehr die von 2019. Wo früher einfache Malware dominierte, stehen heute staatlich gesteuerte Ransomware-Gruppen, KI-gestützte Angriffe und die Bedrohung durch Quantencomputer im Vordergrund. Als Reaktion darauf hat die Europäische Kommission am 20. Januar 2026 den Vorschlag für den Cybersecurity Act 2 (CSA 2) vorgelegt.

Wie es im Vorschlag (COM(2026) 11) heißt:

„The cybersecurity threat landscape has significantly evolved in an increasingly complex geopolitical reality. Cyberattacks have surged and became more sophisticated, targeting critical infrastructure.“ > (Die Bedrohungslandschaft der Cybersicherheit hat sich in einer zunehmend komplexen geopolitischen Realität erheblich weiterentwickelt. Cyberangriffe haben zugenommen und sind anspruchsvoller geworden…)

Dieser Artikel analysiert, warum der CSA 2 weit mehr ist als nur ein Update – er ist das Fundament für die digitale Souveränität Europas.

Die 4 Säulen des Cybersecurity Act 2

Der neue Entwurf zielt darauf ab, die Schwachstellen der ersten Verordnung zu beheben und gleichzeitig neue Schutzwälle hochzuziehen.

1. Ein erweitertes Mandat für die ENISA

Die ENISA (EU-Agentur für Cybersicherheit) wird von einer beratenden Rolle stärker in die operative Verantwortung gerückt. Sie soll nicht mehr nur koordinieren, sondern aktiv bei der Identifizierung kritischer Abhängigkeiten helfen.

2. Reform des Zertifizierungsrahmens (ECCF)

Die bisherige Zertifizierung galt oft als zu träge. Der CSA 2 verspricht eine Straffung. Das Ziel ist klar: Sicherheit „by Design“ muss schneller marktfähig sein, ohne die Qualität zu vernachlässigen. Ein wesentlicher Bestandteil ist hier die Einführung von Peer-Reviews zwischen nationalen Behörden.

3. Sicherheit der IKT-Lieferkette: Kampf gegen Hochrisiko-Anbieter

Dies ist das wohl politischste Element des CSA 2. Der Gesetzgeber erkennt an, dass technische Sicherheit allein nicht ausreicht, wenn die Hardware oder Software aus unsicheren Quellen stammt. Der Text betont:

„There is a need to establish a framework to identify and manage ICT supply chain risks related to high-risk suppliers.“ (Es besteht die Notwendigkeit, einen Rahmen zur Identifizierung und Bewältigung von Risiken in der IKT-Lieferkette im Zusammenhang mit Hochrisiko-Anbietern zu schaffen.)

Unternehmen müssen sich darauf einstellen, dass Anbieter, die unter der Kontrolle von Drittstaaten mit Sicherheitsbedenken stehen, in kritischen Sektoren verboten werden könnten.

4. Harmonisierung und „One-in, One-out“

Um den administrativen Aufwand zu begrenzen, wird der CSA 2 eng mit der NIS2-Richtlinie verzahnt. Zertifizierungen unter dem CSA 2 sollen künftig als direkter Nachweis für die Compliance-Anforderungen der NIS2 dienen.

Vergleich: Was ändert sich konkret?

Warum der CSA 2 für Unternehmen entscheidend ist

Besonders für Betreiber kritischer Anlagen und große IKT-Anbieter bedeutet der CSA 2 einen erhöhten Prüfaufwand. Der Impact Assessment Report (SWD(2026) 11) hebt hervor, dass insbesondere die De-Risking-Strategie von entscheidender Bedeutung ist:

„De-risk critical ICT supply chains from entities established in or controlled by entities from third countries posing cybersecurity concerns.“ (Kritische IKT-Lieferketten von Unternehmen entkoppeln, die in Drittländern mit Sicherheitsbedenken ansässig sind oder von dort kontrolliert werden.)

Erleichterungen für KMU

Gleichzeitig gibt es gute Nachrichten für den Mittelstand. Durch vereinfachte Selbstbewertungen für niedrigere Vertrauensstufen sollen die Kosten für Zertifizierungen gesenkt werden. Die Kommission verfolgt hier den „Digital by Default“-Ansatz, um Prozesse schlanker zu gestalten.

Fazit: Ein notwendiger Schritt für Europa

Der Cybersecurity Act 2 ist die Antwort auf eine Welt, in der Technologie zunehmend als geopolitische Waffe eingesetzt wird. Während der alte CSA den Binnenmarkt ordnete, soll der neue CSA die Union verteidigen. Für Unternehmen bedeutet dies: Die Auswahl der Partner in der IKT-Lieferkette wird künftig genauso wichtig wie die technische Firewall.

In einer Welt, die zunehmend von Algorithmen und Datenströmen gesteuert wird, ist die Souveränität eines Staates oder eines Staatenverbundes untrennbar mit seiner technologischen Leistungsfähigkeit verknüpft. Lange Zeit hat Europa den digitalen Wandel zwar reguliert, aber die Hardware und Software dahinter anderen überlassen. Das Ergebnis? Eine gefährliche Abhängigkeit von US-amerikanischen Hyperscalern und chinesischen Hardware-Produzenten.

Doch nun regt sich Widerstand: Das EU-Parlament hat mit dem Bericht A10-2025-0107 einen strategischen Kurswechsel eingeleitet. Es geht nicht mehr nur um Datenschutz, sondern um einen digitalen Befreiungsschlag. In diesem Artikel erfahren Sie, warum die technologische Souveränität das Fundament für unsere zukünftige Wettbewerbsfähigkeit ist und welche konkreten Schritte jetzt folgen müssen, um Europa aus der digitalen Umklammerung zu lösen.

1. Die Bestandsaufnahme: Europa im digitalen Würgegriff

Die aktuelle Lage ist ernüchternd. Ob Cloud-Dienste, Betriebssysteme oder die Prozessoren in unseren Smartphones – europäische Lösungen sind oft nur Randerscheinungen. Diese technologische Abhängigkeit ist kein rein wirtschaftliches Problem; sie ist eine Bedrohung für unsere demokratische Handlungsfähigkeit.

Warum „Souveränität“ mehr als nur ein Schlagwort ist

Wenn kritische Infrastrukturen auf Software basieren, deren Quellcode wir nicht kontrollieren, oder auf Chips, die in geopolitischen Krisenregionen gefertigt werden, verliert Europa seine Autonomie. Echte Souveränität bedeutet, die Wahl zu haben. Aktuell haben viele europäische Unternehmen jedoch keine Alternative zu den großen US-Cloud-Anbietern.

Die Lehren aus der Chip-Krise

Die Vergangenheit hat gezeigt, wie verletzlich Lieferketten sind. Wenn bei Halbleitern und Software die Versorgung stockt, stehen in Europa die Bänder still. Der aktuelle EU-Bericht fordert daher ein radikales Umdenken: Weg vom reinen Konsumenten, hin zum Gestalter digitaler Ökosysteme.

2. Der Bericht A10-2025-0107: Ein Mandat für den Aufbruch

Das Europäische Parlament hat im Januar 2026 ein deutliches Zeichen gesetzt. Mit einer überwältigenden Mehrheit fordern die Abgeordneten eine investitionsorientierte Industriepolitik. Der Fokus verschiebt sich von „verbieten und regulieren“ hin zu „fördern und bauen“.

Investitionsoffensive statt Regulierungsdschungel

Ein zentraler Aspekt des Berichts ist die Forderung nach massiven Investitionen. Europa muss Milliarden in Schlüsseltechnologien wie Quantencomputing und KI lenken. Dabei geht es nicht um staatliche Planwirtschaft, sondern um die Schaffung von Rahmenbedingungen, die privates Kapital mobilisieren.

• Cloud-Computing: Aufbau einer echten europäischen Alternative zu AWS, Azure und Google.
• Halbleiter: Stärkung der heimischen Produktion, um die Abhängigkeit von Taiwan und China zu reduzieren.
• Künstliche Intelligenz: Förderung von Modellen „Made in Europe“, die unsere Werte respektieren, aber global wettbewerbsfähig sind.

3. Digitale Infrastruktur: Das Rückgrat unserer Souveränität

Ohne eine leistungsfähige und sichere digitale Infrastruktur bleibt Souveränität eine Illusion. Der Bericht identifiziert physische und virtuelle Netze als kritische Sicherheitsfaktoren.

Schutz von Unterseekabeln und Satelliten

Ein Großteil des globalen Datenverkehrs läuft über Seekabel. Diese sind physisch verwundbar, wie Sabotageakte der jüngeren Vergangenheit zeigten. Das Parlament fordert einen besseren Schutz dieser Lebensadern sowie den Ausbau eigener Satellitenkonstellationen (wie IRIS²), um unabhängig von Anbietern wie Starlink zu bleiben.

5G und 6G – Die Nervenbahnen der Industrie 4.0

Der Ausbau von 5G und die Forschung an 6G müssen in europäischer Hand bleiben. Hier geht es um die Kontrolle über die Datenströme der Industrie. Wer die Netze baut, bestimmt die Sicherheitsstandards. Hier darf Europa keine Kompromisse mehr bei der Vertrauenswürdigkeit der Ausrüster machen.

4. Innovationsstandort Europa: Den AI Act mit Leben füllen

Ein häufiger Kritikpunkt an der EU ist die „Überregulierung“. Das Parlament hat dies erkannt und fordert im Bericht A10-2025-0107 einen effizienteren Umgang mit bestehenden Gesetzen wie dem AI Act.

Unterstützung für KMU und Start-ups

Regulierung darf kein Innovationskiller sein. Besonders kleine und mittlere Unternehmen (KMU) leiden unter bürokratischen Hürden. Die EU muss hier als Enabler auftreten. Das bedeutet:

1. Reallabore: Räume schaffen, in denen neue Technologien ohne Angst vor sofortigen Sanktionen getestet werden können.
2. Harmonisierung: Schluss mit dem „Gold-Plating“, bei dem Mitgliedstaaten EU-Regeln durch nationale Zusatzhürden verschlimmern.

5. Geopolitische Realitäten: Souveränität als Antwort auf Erpressung

Die Welt ist ungemütlicher geworden. Technologische Abhängigkeit wird zunehmend als Waffe eingesetzt. Der Bericht des Parlaments verurteilt einseitige Maßnahmen von Drittstaaten, wie etwa Reiseverbote für Experten oder den gezielten Abzug von Know-how.

Eine entschlossene Reaktion der Kommission

Europa muss lernen, seine Interessen machtbewusst zu vertreten. Das bedeutet auch, bei technologischen Erpressungsversuchen geschlossen aufzutreten. Souveränität heißt auch, sich gegen unfaire Handelspraktiken im Tech-Sektor zur Wehr zu setzen. Wir benötigen eine „strategische Autonomie“, die es uns erlaubt, Partnerschaften auf Augenhöhe einzugehen, statt als Bittsteller aufzutreten.

6. Zusammenfassung: Was jetzt passieren muss

Der Bericht A10-2025-0107 ist ein wichtiger Meilenstein, aber Papier ist geduldig. Damit die Souveränität zur Realität wird, müssen Taten folgen:

• Finanzielle Mittel: Der „Europäische Fonds für Wettbewerbsfähigkeit“ muss im nächsten EU-Haushalt massiv ausgestattet werden.
• Bürokratieabbau: Genehmigungsverfahren für Infrastrukturprojekte müssen drastisch verkürzt werden.
• Talentförderung: Europa muss der attraktivste Ort für IT-Spezialisten weltweit werden.

Fazit und Call-to-Action

Die technologische Souveränität ist kein Luxusgut, sondern die Basis für unseren Wohlstand und unsere Freiheit im 21. Jahrhundert. Wir müssen uns entscheiden: Wollen wir die digitale Zukunft nur moderieren oder wollen wir sie aktiv mitgestalten?

Donald Trump ist zurück auf der Weltbühne und er bricht radikal mit allen diplomatischen Traditionen. Während die Welt auf etablierte Institutionen wie die Vereinten Nationen blickt, erschafft der US-Präsident seine eigene Realität: Ein exklusives „Friedensgremium“, das nicht auf völkerrechtlichen Verträgen, sondern auf persönlichen Allianzen basiert.

Das Kernstück dieser Strategie ist die Einbindung von Akteuren, die der Westen bisher isoliert hat. Warum setzt Trump auf Wladimir Putin, um den Frieden in Gaza oder der Ukraine zu verhandeln? Es geht nicht um moralische Integrität, sondern um eine eiskalte, transaktionale Machtpolitik. In diesem Artikel analysieren wir die fünf Säulen dieser Strategie und was sie für die zukünftige Weltordnung bedeutet.

1. Die Demontage des UN-Sicherheitsrats: Ein Rivale wird geboren

Seit Jahrzehnten betrachtet Trump die Vereinten Nationen als ein ineffizientes Konstrukt, das die amerikanische Souveränität einschränkt. Seine Strategie zielt darauf ab, den UN-Sicherheitsrat (UNSC) nicht nur zu kritisieren, sondern ihn faktisch zu ersetzen.

Ein Gremium nach Maß

Ein alternatives Gremium ist nur dann glaubwürdig, wenn es über die westliche Einflusssphäre hinausgeht. Trump versteht, dass er Russland und potenziell andere BRICS-Staaten benötigt, um ein Gegengewicht zur UN zu schaffen. Wenn er als „Vorsitzender“ dieses neuen Tisches agiert, verlagert er das globale Entscheidungszentrum direkt in seinen Einflussbereich.

Die Macht des Gastgebers

• Direkte Kontrolle: Anstatt sich dem rotierenden Vorsitz der UN zu beugen, behält Trump die Zügel in der Hand.
• Umgehung von Veto-Mächten: Durch ein informelles Gremium können mühsame Abstimmungsprozesse im Sicherheitsrat ignoriert werden.
• Legitimation durch Präsenz: Allein die Teilnahme von Schwergewichten wie Russland verleiht diesem privaten Club eine globale Relevanz, die der UN den Rang abläuft.

2. Die „Strongman“-Theorie: Warum Putin für Trump unverzichtbar ist

Ein zentraler Aspekt der Außenpolitik von Trump ist der Glaube, dass persönliche Beziehungen zu autoritären Herrschern effektiver sind als institutionelle Diplomatie. Er setzt auf das Prinzip des „Deals“ zwischen starken Männern.

Russland als Hintertür zu den Krisenherden

Russland verfügt über tiefe diplomatische und militärische Verbindungen zum Iran, zu Syrien und indirekt zur Hamas. Dies sind Akteure, gegenüber denen die USA kaum direktes Druckmittel besitzen. Trump sieht in Putin den ultimativen Mittelsmann.

Die transaktionale Logik:

1. Anerkennung als Währung: Putin erhält durch den Sitz am Tisch die lang ersehnte diplomatische Rehabilitation.
2. Die Gegenleistung: Im Austausch für diesen Status erwartet Trump, dass Putin seinen Einfluss nutzt, um etwa den Iran oder die Hamas zu Zugeständnissen zu bewegen, die den US-Interessen im Nahen Osten dienen.

3. Der Weg zum Ukraine-Deal: Normalisierung durch Hintertüren

Das Friedensgremium mag offiziell mit dem Fokus auf Gaza gestartet sein, doch das eigentliche Ziel liegt im Osten Europas. Die Strategie von Trump ist es, Putin schrittweise wieder „salonfähig“ zu machen.

Das Ende der diplomatischen Isolation

Indem Putin als Partner für eine Lösung im Nahen Osten präsentiert wird, sinkt die moralische Hürde für Verhandlungen über die Ukraine. Wenn Putin bereits an einem US-geführten „Friedenstisch“ sitzt, wirkt ein Deal über ukrainisches Territorium für die Weltöffentlichkeit weniger wie ein Verrat und mehr wie eine logische Konsequenz.

Trumps Kalkül für die Ukraine:

• Einfrieren der Frontlinien: Ein Szenario, das Trump bereits mehrfach angedeutet hat.
• Reduzierung der Kosten: Ein Ende der Finanzierung für Selenskyj lässt sich leichter rechtfertigen, wenn ein „globaler Friedensrat“ eine Lösung vorschlägt.
• Pragmatismus vor Prinzipien: Territoriale Zugeständnisse werden als notwendiges Übel für die globale Stabilität verkauft.

4. Business First: Die finanziellen Motive des Gremiums

Man darf niemals vergessen, dass Trump die Welt durch die Brille eines Immobilienentwicklers sieht. Sein „Board of Peace“ folgt einer Business-Logik, die in der klassischen Diplomatie beispiellos ist.

Das „Membership Fee“-Modell

Berichte über eine geforderte „Einkaufsgebühr“ von einer Milliarde Dollar für eine permanente Mitgliedschaft unterstreichen den transaktionalen Charakter. Das Geld soll offiziell in den Wiederaufbau fließen, doch die Symbolik ist klar: Weltpolitik ist ein Country Club, und wer mitspielen will, muss zahlen.

Warum Russland trotz Sanktionen? Obwohl die russische Wirtschaft unter Druck steht, sieht Trump in den Ressourcen des Landes und künftigen Wiederaufbauverträgen (etwa in Syrien oder der Ukraine) einen enormen wirtschaftlichen Hebel. Er möchte Partner, die entweder Kapital oder strategische Ressourcen einbringen – Moral spielt dabei eine untergeordnete Rolle.

5. Optik und Ego: Der historische Friedensstifter

Für Donald Trump ist das Bild oft wichtiger als die Substanz. Die Inszenierung als der einzige Mann, der die „harten Kerle“ der Welt an einen Tisch bringen kann, ist ein zentraler Bestandteil seiner Marke.

Bruch mit der „regelbasierten Ordnung“

Ein Foto von Trump flankiert von Putin, europäischen Staatschefs und arabischen Herrschern sendet eine klare Botschaft an seine Kritiker: Die alte, regelbasierte Weltordnung ist tot. Er ersetzt internationales Recht und Haftbefehle (wie die des IStGH gegen Putin) durch seine eigene Autorität.

• Der „Ultimate Arbiter“: Er positioniert sich über den Institutionen.
• Ablehnung von Political Correctness: Die Zusammenarbeit mit Despoten wird als mutiger Realismus verkauft, der über den „naiven“ Vorstellungen seiner Gegner steht.

Zusammenfassung und Fazit: Eine riskante Wette auf die Zukunft

Zusammenfassend lässt sich sagen: Die Strategie von Trump ist ein radikaler Umbau der globalen Machtarchitektur. Er nutzt Putin als Werkzeug, um die UN zu schwächen, regionale Konflikte durch Hintertür-Deals zu beenden und sich selbst als den größten Friedensstifter der Geschichte zu inszenieren.

Dieser Ansatz birgt jedoch enorme Risiken. Die Aufhebung der Isolation Russlands könnte langfristig das Völkerrecht aushöhlen und Aggressoren weltweit signalisieren, dass Territorialgewinne durch „Deals“ legitimiert werden können.

Wir schreiben den Januar 2026. Die Welt, wie wir sie kennen, steht an einem historischen Wendepunkt. Die globale Sicherheitsarchitektur, die über Jahrzehnte hinweg Stabilität garantierte, droht unter dem Druck einer neuen, radikalen Expansionspolitik der Vereinigten Staaten zu kollabieren. Unter der Führung von Präsident Donald Trump haben die USA eine Ära der „unapologetischen Supermacht-Politik“ eingeläutet. Traditionelle Bündnisse weichen einem strikt transaktionalen Modell, in dem Loyalität durch wirtschaftlichen Nutzen ersetzt wird.

Die Ereignisse der ersten Januartage – insbesondere die gewaltsame Entführung des venezolanischen Präsidenten Nicolás Maduro im Rahmen der „Operation Absolute Resolve“ – waren erst der Anfang. Diese Aktionen dienen als geostrategische Blaupause für weitaus größere Ambitionen in der westlichen Hemisphäre, mit einem klaren Fokus: Grönland.

In dieser umfassenden Geopolitischen Risikoanalyse 2026 untersuchen wir die Triebfedern hinter Trumps aggressiver Strategie, die drohende Eskalation in der Arktis und warum die NATO vor ihrer größten existenziellen Krise steht. Erfahren Sie, warum Europa unter Führung von Kanzler Friedrich Merz, Emmanuel Macron und Keir Starmer nun gezwungen ist, seine Rolle in der Welt neu zu definieren.

1. Die Rhetorik der Expansion: Grönland als „Nationale Sicherheitspriorität“

Die Diskussion um den Kauf Grönlands, die 2019 noch als skurrile Episode der Trump-Präsidentschaft abgetan wurde, hat sich 2026 zu einer harten geopolitischen Forderung gewandelt. Die US-Administration betrachtet die größte Insel der Welt nicht länger als bloßes Immobilienobjekt, sondern als unverzichtbaren Baustein der nationalen Sicherheit.

Das konstruierte Narrativ der „Bedrohung durch Dritte“

Um den Druck auf das Königreich Dänemark zu maximieren, nutzen Präsident Trump und sein Chefberater Stephen Miller ein Narrativ der existenziellen Notwendigkeit. Trump behauptet öffentlich, Grönland sei „übersät mit russischen und chinesischen Schiffen“. Diese Rhetorik zielt darauf ab, Dänemark als unfähigen Verwalter darzustellen, der nicht in der Lage ist, den nordamerikanischen Kontinent vor feindlicher Infiltration zu schützen.

Der Spott des US-Präsidenten, die dänische Verteidigung bestehe lediglich aus „einem weiteren Hundeschlitten“, soll die dänische Souveränität delegitimieren. Doch Experten widersprechen dieser Darstellung vehement. Ulrik Pram Gad, ein renommierter Arktis-Experte, weist darauf hin, dass zwar russische und chinesische Schiffe in der Arktis operieren, jedoch keine unmittelbare Präsenz vor der grönländischen Küste zeigen, die eine militärische Intervention oder Übernahme rechtfertigen würde. Es handelt sich hierbei um ein klassisches geopolitisches Framing, um aggressive Expansionspolitik als Verteidigungsmaßnahme zu verkaufen.

Die „20-Tage-Frist“ und militärische Drohkulissen

Ein zentrales Instrument der aktuellen US-Strategie ist die bewusste Unvorhersehbarkeit. Am 4. Januar 2026 setzte Trump ein Ultimatum: Er werde das „Thema Grönland“ in exakt 20 Tagen wieder aufgreifen. Diese Fristsetzung ist kein diplomatisches Angebot, sondern eine kaum verhüllte Drohung.

Parallel dazu betonte das Weiße Haus, dass der Einsatz des US-Militärs „immer eine Option“ sei. Stephen Miller verschärfte den Ton mit der Aussage, dass „niemand die USA militärisch wegen Grönland bekämpfen werde“, da die USA die einzige wahre Macht innerhalb der NATO seien. Diese Einschüchterungstaktik zielt darauf ab, Kopenhagen zu einem „Deal“ zu zwingen, noch bevor der erste Soldat amerikanischen Boden verlässt. Die Botschaft an Europa ist klar: Widerstand ist zwecklos.

2. Venezuela als Blaupause: Der „Oil Heist“ des 21. Jahrhunderts

Um die Ernsthaftigkeit der Lage in der Arktis zu verstehen, muss man den Blick nach Süden richten. Die Ereignisse in Venezuela sind untrennbar mit den Forderungen gegenüber Grönland verbunden. Die Entführung Maduros am 3. Januar 2026 war kein isolierter Schlag gegen einen Diktator, sondern ein Exempel.

In meinem ausführlichen Blog-Beitrag über den schwarzen Tag für die Demokratie habe ich dargelegt, wie dieser Akt die Grundpfeiler des Völkerrechts erschüttert. Während Washington offiziell von einer „Strafverfolgungsmaßnahme“ spricht, offenbaren die ökonomischen Fakten die wahren Motive.

Kontrolle über PDVSA und die Manipulation des Ölpreises

Unmittelbar nach dem Zugriff auf Maduro verkündete Trump, die USA würden Venezuela nun faktisch „führen“. Das strategische Kernziel ist der Zugriff auf:

• Die staatliche Ölgesellschaft PDVSA.
• Bis zu 50 Millionen Barrel blockiertes Öl.
• Die größten nachgewiesenen Ölreserven der Welt.

Das Ziel dieser Expansionspolitik ist rein wirtschaftlicher Natur: Der Ölpreis soll künstlich auf 50 US-Dollar pro Barrel gedrückt werden. Dies würde nicht nur die US-Wirtschaft massiv stützen, sondern gleichzeitig Russland – dessen Kriegswirtschaft von hohen Energiepreisen abhängt – wirtschaftlich ausbluten lassen.

Rekolonisierung unter dem Deckmantel der Stabilisierung

Die Geschwindigkeit, mit der US-Ölkonzerne in die Planung einbezogen wurden, ist bezeichnend. Führungskräfte von Chevron, ExxonMobil und ConocoPhillips wurden bereits im Weißen Haus empfangen, um den „Wiederaufbau“ der venezolanischen Infrastruktur zu planen. Für Beobachter in Nuuk und Kopenhagen ist dies ein Alarmsignal: Ressourcenreiche Nationen, die sich US-Interessen widersetzen, riskieren ihre staatliche Souveränität. Venezuela dient als Beweis dafür, dass die USA bereit sind, Grenzen neu zu ziehen, um Ressourcen zu sichern.

3. Monroe-Doktrin 2.0: Die totale Hegemonie

Die Außenpolitik des Jahres 2026 folgt einem aggressiven Update der Monroe-Doktrin, oft als „Trump-Korollar“ bezeichnet. Die gesamte westliche Hemisphäre wird als exklusiver Einflussbereich der USA definiert, in dem ausländische Mächte nichts zu suchen haben und lokale Regierungen sich unterzuordnen haben.

• Mexiko: Trump droht offen mit militärischen Landschlägen gegen Drogenkartelle auf mexikanischem Territorium – ein beispielloser Bruch der Souveränität eines Nachbarn und Handelspartners. Strafzölle von 25% sollen politischen Gehorsam erzwingen.
• Kuba: Durch den Wegfall der venezolanischen Öl-Subventionen steht Kuba vor dem Kollaps. Trump kommentierte dies zynisch mit den Worten, das Land sei „am Ende“ („going down for the count“).
• Iran: Die Kampagne „Maximum Pressure 2.0“ (NSPM-2) hat das Ziel, die iranischen Ölexporte auf null zu senken, um einen weiteren Konkurrenten vom Energiemarkt zu drängen.

Es geht Trump weniger um Sicherheit im klassischen Sinne, sondern um die Errichtung einer globalen Energie-Hegemonie.

4. Die Europäische Antwort: Eine Allianz der Entschlossenheit

Lange Zeit verharrte Europa in Schockstarre. Doch die Ereignisse des Januars 2026 haben zu einem Umdenken geführt. Die EU-Mitglieder und das Vereinigte Königreich haben erkannt, dass Beschwichtigungspolitik gegenüber dieser Form der US-Expansionspolitik nicht mehr funktioniert.

Merz, Macron und Starmer: Die „Coalition of the Willing“

Am 6. Januar veröffentlichten der deutsche Bundeskanzler Friedrich Merz, Frankreichs Präsident Emmanuel Macron und der britische Premier Keir Starmer eine historische gemeinsame Erklärung. Der Kernsatz: „Grönland gehört seinem Volk.“

Deutschland, unter der Führung von Kanzler Merz, hat sich hierbei überraschend als diplomatischer Motor erwiesen. Merz verteidigt die Unverletzlichkeit von Grenzen als universelles Prinzip, das nicht verhandelbar ist. In meinem Artikel Meine Meinung: USA noch als Partner tragbar? thematisiere ich genau diese Zerrissenheit. Wir müssen uns der Realität stellen: Der einstige Beschützer der freien Welt ist zur größten Bedrohung für die multilaterale Ordnung geworden.

Die dänische „Shoot first“-Direktive

Die wohl brisanteste Entwicklung findet jedoch vor Ort statt. Dänemark hat seine Verteidigungsbereitschaft in der Arktis drastisch erhöht. Das Verteidigungsministerium in Kopenhagen reaktivierte eine fast vergessene Regelung von 1952. Diese besagt, dass dänische Truppen (die Sirius-Patrouille und Marineeinheiten) bei einer Invasion Grönlands sofort das Feuer eröffnen müssen, ohne auf explizite Befehle aus der Hauptstadt zu warten.

Dies ist ein deutliches Signal an Washington: Dänemark ist bereit, seine Souveränität auch gegen einen (ehemaligen) Verbündeten militärisch zu verteidigen. Die Gefahr eines „Friendly Fire“-Szenarios zwischen NATO-Partnern war noch nie so hoch wie heute.

5. NATO am Abgrund: Artikel 5 in der Sackgasse

Die NATO steht vor ihrem „dunkelsten Kapitel“. Das Bündnis basiert auf Vertrauen und dem Prinzip „Einer für alle, alle für einen“. Was aber passiert, wenn das stärkste Mitglied einem anderen Mitglied mit Annexion droht?

Das rechtliche Dilemma von Artikel 5 und 6

Grönland liegt eindeutig im geografischen Geltungsbereich von Artikel 6 des Nordatlantikvertrags. Ein militärischer Angriff der USA auf Grönland wäre formal ein Angriff auf das Bündnisgebiet, was den Bündnisfall nach Artikel 5 auslösen müsste.

Das Paradoxon ist jedoch offensichtlich: Die NATO basiert auf dem Konsensprinzip im Nordatlantikrat. Die USA könnten jede formale Verurteilung oder Reaktion gegen sich selbst blockieren. Die dänische Ministerpräsidentin Mette Frederiksen warnte treffend: „Wenn die USA ein anderes NATO-Land angreifen, stoppt alles.“

Wie ich bereits in meiner Analyse A Bold Move: Disband NATO? diskutiert habe, könnte das Bündnis in seiner jetzigen Form obsolet sein. Wenn der Garant der Sicherheit zum Aggressor wird, verliert die Organisation ihre Raison d’Être.

Strategische Lähmung und die lachenden Dritten

Generalsekretär Mark Rutte versucht verzweifelt, die Krise hinter verschlossenen Türen zu lösen, wird jedoch von der US-Administration weitgehend ignoriert. Ein gewaltsames Vorgehen der USA würde die NATO nicht nur politisch zerstören, sondern auch Russland und China die Tür zur Arktis weit öffnen. Wenn die westliche Einheit zerbricht, entsteht ein Machtvakuum, das Peking und Moskau nur zu gerne füllen würden.

6. Ressourcenanalyse: Was Trump wirklich will

Warum riskiert Trump den Bruch mit Europa für eine Insel aus Eis? Die Antwort liegt unter dem Eis. Es geht um eine rationale, wenn auch rücksichtslose Kalkulation von Ressourcen und Technologie.

Die strategischen Ziele der US-Expansionspolitik in Grönland:

1. Kritische Mineralien: Grönland verfügt über 25 der 34 kritischsten Rohstoffe, darunter riesige Vorkommen an Seltenen Erden wie Neodym und Gallium. Die Kontrolle darüber würde das chinesische Monopol bei der Produktion von High-Tech-Waffen, Windkraftanlagen und E-Mobilität brechen.
2. KI-Infrastruktur: Das arktische Klima bietet ideale Bedingungen für die natürliche Kühlung riesiger Rechenzentren. Wer die KI-Infrastruktur kontrolliert, kontrolliert die globalen Datenströme und die technologische Zukunft.
3. Fossile Brennstoffe: Ähnlich wie in Venezuela werden vor der Küste Grönlands enorme Öl- und Gasreserven vermutet.
4. Militärische Dominanz: Die Pituffik Space Base (ehemals Thule) ist das Kernstück des „Golden Dome“-Systems zur Abwehr russischer Interkontinentalraketen. Eine vollständige Annexion würde die uneingeschränkte Nutzung ohne Rücksprache mit Dänemark ermöglichen.

Das Muster ist eindeutig: Trump baut die USA zu einer autarken Ressourcen-Supermacht um, die weder auf China noch auf die Stabilität globaler Handelsrouten angewiesen ist.

7. Handlungsoptionen: Wie kann die Eskalation gestoppt werden?

Europa muss über bloße Lippenbekenntnisse hinausgehen, um eine Invasion zu verhindern. Die Zeit der diplomatischen Noten ist vorbei.

Das „Resource-for-Security“-Modell

Das European Policy Centre schlägt eine pragmatische Lösung vor: Ein „Deal“, bei dem Europa und Dänemark den USA verstärkten militärischen Zugang und privilegierte Partnerschaften bei der Rohstoffgewinnung anbieten. Im Gegenzug müssen die USA die dänische Souveränität explizit und dauerhaft anerkennen. Dies würde Trump erlauben, einen „Sieg“ zu verkünden, ohne das Völkerrecht zu brechen.

Wirtschaftliche Gegenmaßnahmen als Abschreckung

Europa verfügt über massive Hebel, die bisher tabu waren:

• Schließung von Basen: Die Androhung, strategische Drehkreuze wie Ramstein (Deutschland) oder Aviano (Italien) zu schließen, würde die globale Operationsfähigkeit der USA empfindlich treffen.
• Sanktionen: Gezielte Handelssanktionen und Zölle könnten die Kosten einer Invasion für die US-Wirtschaft unerträglich machen.
• Logistik: Die Verweigerung der medizinischen Versorgung oder logistischen Unterstützung für US-Truppen in Europa.

Unterstützung der US-Opposition

Nicht alle in Washington unterstützen den aggressiven Kurs. Senatoren wie Lisa Murkowski (Republikanerin) und Rand Paul lehnen eine militärische Übernahme strikt ab. Murkowski betonte, Grönland müsse als „Verbündeter, nicht als Asset“ betrachtet werden. Europa muss diese Stimmen stärken und direkt mit dem US-Kongress verhandeln.

Fazit: Ein Wendepunkt der Weltgeschichte

Die Krise des Jahres 2026 ist weit mehr als ein territorialer Streit um eine Insel. Es ist der Kampf um die Seele der internationalen Ordnung. Donald Trumps Expansionspolitik – von Venezuela bis Grönland – markiert den Versuch, die Welt in die Einflusssphären des 19. Jahrhunderts zurückzuführen, in denen das Recht des Stärkeren gilt.

Für Europa bedeutet dies: Die Ära der bequemen Abhängigkeit ist endgültig vorbei. Wenn die USA als Partner nicht mehr tragbar sind, muss Europa unter Führung von Deutschland, Frankreich und Großbritannien seine eigene Sicherheits- und Ressourcenstrategie entwickeln. Die NATO mag diesen Konflikt auf dem Papier überleben, aber sie wird nie wieder dieselbe sein.

Die Arktis ist heute der ultimative Prüfstein: Fällt die Souveränität Grönlands, fällt das Prinzip der kollektiven Sicherheit weltweit.