2013 war das Internet Neuland. 2026 ist das Internet Neuland, mit Kontrollinstanz.
Und weil das Wort Fortschritt sich in Brüssel anders konjugiert als im Rest der Welt, wollen wir die Architektur unter die Lupe nehmen. Denn die Panne, liebe Freunde, ist nicht das Problem. Die Panne ist das Symptom. Das Problem ist, dass eine Verwaltung, die niemandem mehr Rechenschaft schuldet, an einer Infrastruktur baut, die dir den Widerspruch selbst entzieht.
Ein Entwickler namens Paul Moore brauchte keine Stunde, um das technische Wunderwerk der EU zu hacken.
Die EU-Kommission hatte im April eine App veröffentlicht, die digitale Pflichtidentität für 450 Millionen Bürger, Ursula von der Leyen hatte sie persönlich vor dem Parlament angekündigt, mit diesem bemerkten Schmunzeln, als hätte ein Boomer das HDMI-Kabel ganz alleine gefunden. Open Source, hatte sie gesagt. Jeder könne den Code prüfen. Man muss sich an dieser Stelle einmal vorstellen, wie überzeugt jemand von der Sicherheit einer App sprechen muss, der noch nie in seinem Leben eine Zeile Code gelesen hat. Moore hat nachgeschaut. Biometrische Bilddaten aus dem Ausweis-Scan: geschrieben als verlustfreie PNG auf das Gerät. Gelöscht nur bei erfolgreichem Scan. Bei Abbruch, Fehler, Absturz bleibt das vollständige biometrische Bild im Cache, unverschlüsselt. Selfie-Fotos: abgelegt in externem Dauerspeicher. Nie gelöscht. Das, sagt Moore auf X, sei so, als würde man ein Foto seines Reisepasses aufnehmen und es für alle Zeit auf dem Gerät lassen.
Die Kommission antwortet mit Schweigen. Die App mit den höchsten Sicherheitsstandards bleibt im Testbetrieb. Weil sie vermutlich von einem überbezahlten Unternehmen gevibecoded wurde.
Stell dir vor, du stehst am Bahnsteig. Der Zug hat Verspätung, wie sollte es in diesem zauberhaften Land auch anders sein. Du weißt nicht, wer neben dir sitzen wird, du weißt nicht, welche Kulturbereicherung noch zusteigt, um lautstark und unbekümmert das Smartphone herauszuholen, es auf Lautsprecher zu stellen und zu telefonieren, lautstark. Du weißt, dass die Tür sich erst öffnet, wenn der Zug steht, und dass der Zug steht, wenn er stehen will. Du kannst dich jederzeit dagegen entscheiden. Niemand zwingt dich, wirklich keiner. Du könntest dir auch ein Auto kaufen, oder zwei, einen Fahrer einstellen. Dem durchschnittlichen Bundesbürger soll eben dies abtrainiert werden. Er hat ein Monatsticket, man hat ihm gesagt, er soll die Umwelt schützen, also fährt er Bahn. Er nimmt die Verspätungen, die Durchsagen über polizeiliche Einsätze im Nachbarwagen, die vollgepissten Bahnhöfe, die hässlichen Sprühereien und das lungernde Gevolk in Kauf, weil der Staat, der ihn freundlich grüßt und versichert, dass natürlich niemand gezwungen werde, gleichzeitig dafür gesorgt hat, dass es neben dieser einen Infrastruktur keine ernstzunehmende andere mehr gibt. Zwischen es ist kein Zwang und es ist die einzige Möglichkeit, genau zwischen diesen beiden Sätzen ruht es, das Ungetüm, der moderne Staat. Und eben dieser muss nicht mehr drohen. Er muss nur die Alternativen aussterben lassen. Das gilt für die Bahn. Das gilt für den Rundfunkbeitrag. Das gilt bald für den digitalen Euro. Und das gilt ab Ende 2026 für die Frage, wer du im Rechtssinne überhaupt noch sein darfst.
Denn die nächste Bahn ist schon eingefahren. Sie heißt EUDI-Wallet. Personalausweis, Führerschein, Bankzugang, Krankenversicherung, Altersverifikation. Eine App für den Pöbel. Im Gesetz steht ein Satz, der in keiner Pressemitteilung vorkommt. Private Anbieter dürfen Wallets ausstellen. Eine Bank. Ein Technologiekonzern. Ein Dienstleister. Zertifiziert von der Kommission, beraten von über 350 Organisationen des öffentlichen und privaten Sektors, keine davon gewählt. Das heißt, dass das alles wieder freiwillig sein wird. Wir kennen das. Aber wie verweigerst du dich, wenn die Bank dich ohne Wallet nicht mehr als Kunden führt, wenn die Versicherung ohne Wallet keinen Vertrag mehr schließt, wenn das Amt ohne Wallet keinen Termin mehr vergibt? Wenn jeder einzelne dieser Schritte dir formal offen steht, du also völlig frei entscheiden kannst, ob du mitmachst oder dein Leben an dieser Stelle einfach selbst massiv einschränkst? Das ist die verfeinerte Form des Zwangs, die diese Ordnung hervorgebracht hat. Sie droht dir nicht. Sie entzieht dir nur die Welt, in der das Nicht-Mitmachen noch möglich wäre. Du kannst jederzeit nein sagen. Und du wirst jeden einzelnen Tag für dieses Nein bezahlen, bis du merkst, dass ein ganzes Leben voller kleiner Freiheiten zu einer großen Unmöglichkeit addiert. Das Recht auf Pseudonymität, sich zu authentifizieren ohne Namen und Geburtsdatum preiszugeben, war ursprünglich im Gesetz vorgesehen. Die Kommission drängt darauf, es zu streichen. Hinter geschlossenen Türen. Keine Schlagzeile.
Die Frau, die uns hier die höchsten Datenschutzstandards verspricht, hat 2020 persönlich mit Pfizer-CEO Albert Bourla verhandelt. Geschätzter Vertragswert: fünfunddreißig Milliarden Euro. Per SMS. Ihr Mann, Heiko von der Leyen, war zum selben Zeitpunkt medizinischer Direktor von Orgenesis, einem Biotechunternehmen, das mit Pfizer-BioNTech an mRNA-Technologien arbeitet. Journalisten haben die SMS-Nachrichten angefordert. Die Kommission weigerte sich. Die Nachrichten seien keine offiziellen Dokumente. Der EU-Ombudsmann rügte das als Missstand. Die Europäische Staatsanwaltschaft eröffnete eine Untersuchung. Die New York Times klagte vor dem EU-Gericht. Die Nachrichten blieben verschwunden. Und nichts davon ist ein Skandal. Ein Skandal wäre es, wenn jemand zurücktreten müsste. Es ist niemand zurückgetreten. Es wird auch niemand zurücktreten, weil das Verfahren nicht vorsieht, dass man für so etwas zurücktritt. Das ist der Punkt, auf den ich hinauswill. Nicht die Panne, nicht der Einzelfall, nicht die moralische Empörung, sondern das Verfahren. Das Verfahren, das solche Vorgänge produziert, registriert, archiviert und weiterlaufen lässt.
Man erinnert sich vielleicht. 2019. Artikel 13. Fünf Millionen Unterschriften, eine Zahl, die in keinem anderen europäischen Gesetzgebungsverfahren je erreicht wurde. Hunderttausende auf der Straße, junge Leute, die zum ersten Mal in ihrem Leben verstanden haben, dass da oben tatsächlich Entscheidungen über sie getroffen werden, die sie betreffen. Das Internet mobilisierte zum ersten Mal in seiner Geschichte für sich selbst. Das Parlament stimmte trotzdem zu. Der verantwortliche Abgeordnete nannte den Protest auf Lügen aufgebaut. Die Kommission nannte die Demonstrierenden einen Mob und löschte den Text zwei Tage später still wieder. Man könnte das eine Niederlage nennen. Aber es war mehr teil des Verfahrens als das. Fünf Millionen Menschen haben Artikel 13 nicht verhindert. Mehr als eine Großstadt in Europa an mobilisierter Unzufriedenheit, und es hat nichts bewirkt, weil die Form, in der diese Unzufriedenheit sich ausdrücken durfte, die Unterschrift, die Demonstration, der empörte Post, genau jene Formen waren, die der Staat zuvor selbst als legitime Beteiligung ausgezeichnet hatte. Das Votum der Fünf Millionen war nicht ein Angriff auf das System. Es war eine Leistung des Systems. Der Bürger hat partizipiert, der Staat hat registriert, und dann ist beschlossen worden, was beschlossen werden sollte. Die Empörung ist nicht, was die Ordnung fürchtet. Die Empörung ist, was die Ordnung anbietet. Denn Empörung, die gewaltfrei und fragmentiert bleibt, die gesetzestreu ins Leere läuft, hat noch jeden Staat stabilisiert, nicht gestürzt. Thukydides beschreibt, wie Athen im Peloponnesischen Krieg zur Kontrolle griff, als die Argumente ausblieben. Tacitus dokumentiert, wie die späte römische Republik Behörden schuf, je weniger sie die Bevölkerung noch einbinden konnte. Die Form ändert sich, die Logik nicht.
Und während die Wallet noch im Testbetrieb dümpelt, arbeitet eine Etage tiefer dieselbe Kommission an einem zweiten Gesetzesvorschlag. Mal heißt er Chatkontrolle, mal Upload-Moderation, mal CSAM-Verordnung, je nachdem, welcher Begriff gerade weniger Widerstand produziert. Gemeint ist immer dasselbe. Die Prüfung deiner Nachrichten, Bilder und Dateien direkt auf deinem Gerät, bevor du sie überhaupt abschickst. Die Technik dahinter heißt Client-Side-Scanning. Die Nachricht wird nicht mehr in der Übertragung gelesen, das wäre ja ein Angriff auf die Verschlüsselung, und das wollen wir doch alle nicht. Die Nachricht wird gelesen, bevor sie verschlüsselt wird. Auf deinem Gerät. In deiner Hand. In dem Moment, in dem du sie noch tippst. Stell dir vor, die Post liefert deine Briefe weiterhin in versiegelten Umschlägen aus, alles ganz nach Gesetz, nur dass vorher ein Beamter in deinem Wohnzimmer stand und mitgelesen hat, was du in den Umschlag gelegt hast. Der Umschlag ist versiegelt. Die Frage, ob der Brief noch privat war, beantwortet sich von selbst. Das Werkzeug in deiner Tasche, das du selbst bezahlt hast, ist kein Werkzeug mehr. Es ist ein Aufseher, der mit dir mitgeht. Heute Pornografie, man muss ja irgendwo anfangen. Morgen Urheberrechtsverletzungen, denn die Rechteverwertungsindustrie wartet mit nassen Augen auf ein solches System, seit Napster das Licht der Welt erblickt hat. Übermorgen Terrorismus, Extremismus, Desinformation, Hassrede, und was die Definitionshoheit derer, die das System kontrollieren, sonst noch hergibt. Kriminelle findet dieses System sowieso nicht. Die benutzen längst abgeschottete Netze, verschlüsselte Container, Systeme, die kein Brüsseler Scanner aufbrechen kann. Wer gefunden wird, ist der normale Nutzer mit seinen normalen Urlaubsbildern in der normalen WhatsApp-Leitung. Das ist nicht ein Designfehler. Das ist das Design. Selbst der Deutsche Kinderschutzbund hat diesen Vorschlag als unverhältnismäßig abgelehnt. Wenn sogar die, die den Titel tragen, für den das Gesetz angeblich gebaut wird, sich öffentlich davon distanzieren, darf man sich fragen, was dort eigentlich gebaut wird.
Und jetzt zum eigentlichen Punkt. Denn wenn du glaubst, die Wallet sei das Problem, hast du nicht verstanden, wo das Problem längst gelöst wurde. Palantir Technologies, gegründet 2003. Startkapital: In-Q-Tel, die Risikokapitalgesellschaft der CIA. Steuergelder. Der Name stammt aus Tolkiens Mythologie. Die Palantíri, Sehsteine, die über weite Distanzen sehen lassen. Tolkien hat gewarnt, sie seien gefährlich in falschen Händen, sie verzerrten die Wahrheit, sie dienten korrumpierenden Kräften. Der Gründer hat den Namen trotzdem gewählt, und es gehört zu den bemerkenswerten Eigenheiten unserer Zeit, dass niemand mehr hinhört, wenn einer sagt, was er vorhat. Zehn Milliarden Dollar für die US-Armee. Über 200 Millionen für ICE, Abschiebungslogistik, automatische Verdachtsprofile. Über 900 Millionen Pfund für den britischen öffentlichen Sektor. Der NHS England, Gesundheitsdaten von 56 Millionen Menschen, hat Palantir den größten IT-Vertrag vergeben, den das englische Gesundheitswesen je geschlossen hat. In Bayern, Hessen und Nordrhein-Westfalen läuft Palantir Gotham bereits in Polizeibehörden. Palantir-Mitarbeiter sitzen physisch in deutschen Dienststellen, um die Software zu betreuen. Lass das einen Moment wirken. Deutsche Polizeibehörden arbeiten mit einer Software, die von einem amerikanischen Unternehmen betreut wird, das mit CIA-Kapital gegründet wurde, und die deutschen Akten werden von amerikanischen Angestellten berührt, bevor sie deutsche Gerichte erreichen. Die Wallet bringt Einsicht innerhalb Europas. Sie füttert die Datenbanken, die Brüssel lesen darf. Das ist nicht die eigentliche Frage. Die eigentliche Frage ist, was längst in Servern in Langley, in McLean, in Palo Alto liegt, gesammelt über zwei Jahrzehnte. Jede E-Mail durch amerikanische Infrastruktur. Jeder Google-Account. Jede Apple-ID. Jede WhatsApp-Nachricht, identifizierbar über Metadaten, auch wenn der Inhalt verschlüsselt ist. Jede Bewegung über Kreditkarte, jeder Flug, jede Hotelbuchung, jede Grenze, die du überquert hast. Die Cloud, in der die deutschen Gesundheitsdaten liegen, gehört amerikanischen Konzernen, die amerikanischen Gesetzen unterliegen, einschließlich jener Gesetze, die den amerikanischen Geheimdiensten Zugriff auf alle Daten in amerikanischem Besitz gestatten, unabhängig davon, wo die Server stehen. Das ist der Cloud Act, 2018 verabschiedet. Und bevor jetzt jemand einwirft, was denn mit der DSGVO sei, jener stolz erklommenen Brüsseler Errungenschaft: Die DSGVO wirkt nach unten. Sie wirkt auf den Friseursalon, der eine Einwilligung für seine Terminerinnerung braucht. Auf den Vereinsvorsitzenden mit seiner ausgedruckten Mitgliederliste. Auf den Kleinunternehmer, der sich von Abmahnanwälten kostenpflichtig erklären lässt, warum ein falsch eingebundener Google-Font einen Grundrechtsverstoß darstellt. Was sie nicht tut, ist das, wofür sie angeblich gebaut wurde. Sie verhindert keinen Cloud-Act-Zugriff. Sie verhindert keinen Palantir in einer Polizeibehörde. Sie verhindert nicht die Wallet. Der Vasall diskutiert über Cookie-Banner. Der Lehnsherr führt die Infrastruktur. Die Wallet, richtig verstanden, ist der letzte fehlende Eintrag in einer Datei, die längst angelegt ist. Sie schließt die europäische Lücke in einem globalen Überwachungsapparat, den amerikanische Dienste seit den neunziger Jahren aufbauen und von dem Snowden uns 2013 erzählt hat, worauf man empört war, bis man es wieder vergessen hat.
Und du sitzt währenddessen im Zug. Du hast dich geärgert, du hast dich beschwert, du hast zum fünfhundertsten Mal gesagt, das sei jetzt wirklich das letzte Mal, und dann werde sich endlich etwas ändern, denn dann werdest du auf die Straße gehen. Und obwohl auch das nur ein verschwendeter Dienstag wäre, bist du natürlich niemals auf die Straße gegangen. Du hast dich über die Pfizer-SMS geärgert, damals, als das in den Nachrichten war. Du ärgerst dich über Moores Befund, jetzt, wo er in deinem Feed vorbeizieht. Du wirst beides vergessen haben, bis die Wallet auf deinem Bildschirm aufleuchtet und die Gemeinde dir freundlich mitteilt, dass sie nun verfügbar sei. Dann wirst du scannen. Weil die nächste Station kommt, und weil Aussteigen keine Option ist, die das System dir lässt. Du rechnest richtig, wenn du das tust. Widerstand ist zu teuer geworden. Und der Staat weiß das. Genau darauf ist die Infrastruktur gebaut. Palantir sagt, sie monetarisieren keine persönlichen Daten. Das mag stimmen. Ein Hammer ist auch neutral, bis man sieht, wer ihn hält. Und der Knüppel liegt ruhig. Er wird nicht jeden Tag benutzt. Er muss es auch nicht. Es reicht, dass er da ist, und dass jeder, der ihn vergisst, daran erinnert werden kann.
Also, auf, auf. Verpass deine Bahn nicht.
