„Er weiß immer, wo ich bin. Ich habe schon meine Passwörter geändert, aber irgendwie bekommt er trotzdem alles mit.“

Die ersten beiden Septemberwochen standen bei uns und unserem Bildungszweig, der epicenter.academy, ganz im Zeichen eines Themas, das uns sehr am Herzen liegt, seit Langem zunimmt und zuletzt immer mehr öffentliche Aufmerksamkeit erhält. Es geht um Partner:innengewalt, Stalking und übergriffiges Verhalten online, kurz um digitale Kontrolle und Gewalt aus dem nahen sozialen Umfeld.

Wir haben deshalb ein Projekt ins Leben gerufen, dass an unsere langjährige Arbeit für digitale Grundrechte und unsere starke Verankerung in der Zivilgesellschaft anknüpft. Aus der Verbindung von technischer Expertise, politischer Arbeit und engem Austausch mit zivilgesellschaftlichen Organisationen ist unsere Workshopreihe zum digitalen Gewaltschutz entstanden. Durchgeführt wurde sie von den Expert:innen der epicenter.academy GmbH, unserem hauseigenen Bildungsinstitut.

Wir haben Fachkräfte dabei unterstützt, digitale Kontrolle zu erkennen und Betroffene bei möglichen Schutzmaßnahmen zu begleiten. Im Mittelpunkt standen Mitarbeiter:innen von Frauenhäusern, Gewaltschutz- und Beratungsstellen. Das Projekt wurde von ProEuropeanValuesAT gefördert und verbindet unseren Einsatz für digitale Grundrechte mit konkreter Unterstützung für die Beratungspraxis.

Kontrolle beginnt im Alltag

Digitale Kontrolle läuft oft über ganz alltägliche Funktionen, etwa eine Standortfreigabe, ein gemeinsam genutztes Konto oder den Zugriff auf persönliche Nachrichten. Im nahen sozialen Umfeld lassen sich Wissen über die andere Person, Zugang zu ihren Geräten und bestehende Vertrauensverhältnisse leicht zur Überwachung nutzen. Diese Möglichkeiten zu erkennen ist ein wichtiger Schritt für wirksamen Schutz.

127 Fachkräfte in fünf Landeshauptstädten

Insgesamt nahmen 127 Fachkräfte aus 76 Einrichtungen an sechs jeweils vierstündigen Workshops teil. Veranstaltet wurde die Reihe in den fünf Landeshauptstädten Wien, Graz, Klagenfurt, Linz und Salzburg. Erreicht haben wir Mitarbeiter:innen aus Frauenhäusern, Gewaltschutzzentren und Beratungsstellen ebenso wie Fachkräfte aus Berufsberatung, Jugendarbeit, Arbeitnehmer:innenvertretung, Medizin, Recht und Verwaltung, dazu Kinderschutz- und Datenschutzbeauftragte. Sie kamen aus ganz Österreich und darüber hinaus, besonders gefreut haben wir uns über eine Teilnehmerin aus Deutschland. Dass die Teilnahme kostenfrei war, ermöglichte die Förderung durch ProEuropeanValuesAT.

Vom E-Learning zum gemeinsamen Lernen

Die Vorbereitung der Workshopreihe war ein wesentlicher Teil der Projektarbeit. Aufbauend auf dem bestehenden E-Learning der epicenter.academy, welches mit Unterstützung der Abteilung Frauenpolitik der AK Niederösterreich und im Austausch mit Frauenhäusern in Niederösterreich entstanden ist, haben wir ein modulares Präsenzformat für Fachkräfte entwickelt.

Wir haben die Inhalte für die Beratungspraxis aufbereitet und durch Fallbeispiele, Übungen und Arbeitsmaterialien ergänzt. Unser Konzept verbindet jetzt technische Grundlagen mit der Frage, wie mögliche Schutzmaßnahmen gemeinsam mit Betroffenen geplant werden können, und zwar unter Berücksichtigung ihrer jeweiligen Situation.

Wer Sicherheitslücken findet und verantwortungsvoll meldet, macht uns alle sicherer und riskiert in Österreich trotzdem ein Strafverfahren. Beim 77. Netzpolitischen Abend Österreich diskutieren wir deshalb im Österreichischen Parlament, wie Ethical Hacking rechtlich besser abgesichert werden kann.

Im Jänner 2026 hat der Nationalrat die Bundesregierung erstmals aufgefordert, genau das zu evaluieren. Jetzt geht es darum, was daraus werden soll. Wie sieht ein praxistauglicher Rahmen für Responsible Disclosure aus? Was braucht es neben einer Reform des §118a StGB? Und wie können Behörden, Politik und die IT-Community besser zusammenarbeiten?

Im Format einer klassischen Podiumsdiskussion tauschen wir uns mit Vertreter:innen aus Politik, Verwaltung und Zivilgesellschaft aus. Im Anschluss gibt es eine Fragerunde. Rahmen der Veranstaltung ist der traditionelle Netzpolitische Abend Österreich (NetzPAT).

Diese Woche endete die Begutachtungsfrist für den österreichischen Versuch, einen digitalen Ausweiszwang für Social Media einzuführen. Bereits letzte Woche legte die EU-Kommission mit dem KIDS Act nach. Dieser europäische Gesetzesvorschlag überbietet die österreichischen Pläne in ihrem Grundrechtseingriff bei weitem. Zwei unterschiedliche Gesetze, dasselbe Lippenbekenntnis zum Jugendschutz und ein gemeinsamer Denkfehler. Wer Kinder wirklich schützen will, sollte gerade deshalb gegen beide Gesetze sein.

Österreich: Breite Ablehnung in der Begutachtung

Es wurden fast 250 Stellungnahmen abgegeben und davon sind trotz des hehren Ziels des Gesetzes erstaunlich viele kritisch. Der Zweck alleine kann nicht darüber hinweg täuschen, welcher Kollateralschaden für die Gesellschaft durch einen generellen digitalen Ausweiszwang ausgelöst wird, der für viele Menschen den defakto Ausschluss aus dem Internet bedeuten würde. Kritik kam dabei unter anderem von Kinderschutzorganisationen wie WIENXTRA, dem Amt der Wiener Landesregierung, Amnesty International Österreich, dem Chaos Computer Club Wien und der JKU Linz. Unsere ausführliche Analyse dazu findet ihr in unserem letzten Blogpost.

Die EU legt noch einen drauf

Die österreichische Begutachtung war noch nicht einmal abgeschlossen, da veröffentlichte die EU-Kommission letzte Woche den Entwurf für den sogenannten KIDS Act. Unter dem gleichen Jugendschutz-Etikett liegt hier eine noch viel weiterreichendere Umsetzung der selben Idee.

Beide Gesetze schließen Kinder generell von Social Media aus, nur mit unterschiedlichen Altersgrenzen, 14 in Österreich, 13 in der EU. Neu und besonders gefährlich ist im EU Entwurf die Elternüberwachung. Kinder unter 15 sollen „Eltern Accounts" bekommen, über die Mama und Papa jeden Klick, jede Nachricht und jedes Bild sehen können. Damit würden Jugendliche an eine alltägliche Überwachung ihres online Verhaltens gewöhnt und besonders queere Jugendliche massiv in ihrer Selbstentfaltung eingeschränkt werden. Um so einen Überwachungsaccount anlegen zu können, müssen sich auch die Eltern ausweisen.

Aus einer Altersgrenze für Kinder wird, wie wir schon in unserem Blogpost „Digitaler Ausweiszwang für alle" gezeigt haben, ein Ausweiszwang für alle. Mit allen Risiken von Ausweis-Uploads und Gesichtserkennung, während Menschen ohne passende Dokumente einfach ausgeschlossen und Patchwork sowie atypische Familien Modelle dauerhaft benachteiligt werden.

Am zynischsten ließt sich wie so oft der Datenschutz-Teil. Die Kommission verkauft uns angeblich super datensparsame „Zero Knowledge Proofs", plant im selben Atemzug aber Zugriff auf Geburtenregister und Selbstauskünfte der Eltern. Uns ist unklar wie dies praktisch umgesetzt werden soll, da die Plattform ja genau weiß, um welche Accounts es sich handelt.

Eine Folgenabschätzung für diese beispiellose Überwachungsinfrastruktur fehlt dabei gänzlich. Eigentlich wäre eine solche Analyse der Konsequenzen des Gesetz vorgeschrieben doch die EU-Kommission unter Ursula von der Leyen hält sich schon seit geraumer Zeit nicht mehr an die eigenen Vorgaben zur Qualitätssicherung von Gesetzen.

Bye Bye Fediverse

Und als absolute Krönung, werden im Gegensatz zum DSA kleine Plattformen wie Mastodon oder F-Droid nicht verschont. Milliardenkonzerne wie Meta, Google und Apple haben demnach die selben Auflagen zu erfüllen wie kleine, europäische Anbieter. Wikipedia und Codeberg kriegen ihre Ausnahme, ein dezentrales Netzwerk wie Mastodon nicht, obwohl es genauso offen und ehrenamtlich betrieben ist. Das heißt Altersverifikation für jede einzelne Instanz und jeden Software-Marktplatz, mit der ganzen bürokratischen Wucht, die daran hängt. Ein Mastodon-Server mit ein paar hundert Nutzer:innen kann sich diese Infrastruktur schlicht nicht leisten, ein Meta oder TikTok zahlt sie aus der Portokasse. Den kleineren bleibt dann nur Dichtmachen oder Jugendliche aus den datenschutzfreundlichen, offenen Teilen des Internets rauszuwerfen. Am Ende werden nur die größten Big-Tech-Konzerne Bestand haben, während Alternativen verschwinden. Das Fediverse stirbt so nicht an mangelnder Nachfrage, sondern an einem Gesetz, das Kinderschutz verspricht und die einzigen Räume killt, die eine echte Alternative zu Big Tech wären.

Was seit Monaten als Kinderschutz verkauft wurde, liegt jetzt schwarz auf weiß vor. Beim Sommerministerrat in Salzburg hat die Bundesregierung am 28. Juli ihren Gesetzesentwurf zum Social-Media-Verbot in Begutachtung geschickt und gleichzeitig zur Notifizierung nach Brüssel übermittelt. Aus der monatelangen Ankündigung ist damit ein Gesetzestext geworden, und der bestätigt genau das, wovor wir von Anfang an gewarnt haben.

Der digitale Ausweiszwang kommt, auch wenn er nicht so genannt wird.

Seit vielen Jahren veröffentlichen wir im Sommer unseren Transparenzbericht und legen offen, was uns im vergangenen Jahr beschäftigt hat, inhaltlich, organisatorisch und finanziell. Heuer ist dieser Rückblick ein besonderer: 2025 feierte epicenter.works sein 15-jähriges Bestehen.

Am 6. Februar 2010 wurde unser Verein (damals noch als AKVorrat) im Zuge der Studierendenproteste #unibrennt gegründet. Diesen Geburtstag konnten wir, dank der finanziellen Unterstützung der Stadt Wien/Kultur im Juni, gemeinsam mit vielen Wegbegleiter:innen und Freund:innen, im Wiener Ankersaal feiern. 

Unsere Arbeit und Erfolge:

Die erste Großbaustelle zu Jahresbeginn war die Regierungsbildung. Nach 155 Tagen Koalitionsverhandlungen analysierten wir das Regierungsprogramm der neuen Dreier-Koalition mit Fokus auf netzpolitischen Verhaben.

Wie gewohnt begleiteten wir als „Public Watchdog“ jeden Regierungsschritt sehr kritisch und forderten immer wieder lautstark politische Verantwortung ein.

Bundestrojaner: nun wir warten auf das Urteil vom VfGH

Das Jahr 2025 brachte den leider bereits fünften Anlauf für den Bundestrojaner. Trotz eines vernichtenden Begutachtungsergebnisses – 96 % der Stellungnahmen waren negativ – beschloss die Regierung am 9. Juli das Gesetz. Wir haben den Druck weiter hochgehalten und im Jänner 2026 brachte die Opposition mit unserer Hilfe die Drittelbeschwerde beim Verfassungsgerichtshof (VfGH) ein. Im Juni 2026 gab es eine mündliche Verhandlung und aktuell warten wir gespannt auf die Entscheidung des Höchstgerichts.

Innenstadtüberwachung

Die Politik versuchte 2025 erneut, eine Innenstadtüberwachung mit Echtzeit-Zugriff für die Polizei durchzusetzen. Da dies unsere Privatsphäre und die Demonstrationsfreiheit gefährdet, sind wir gemeinsam mit vielen Menschen auf die Straße gegangen, um lautstark zu protestieren. Obwohl noch viele Fragen offen sind, konnten wir mit massivem Druck doch dem Gesetzesvorhaben einige Giftzähne ziehen.

Netzbremse: Widerstand gegen künstliche Engpässe

Unsere Kampagne Netzbremse war eine der größten des Jahres. Gemeinsam mit einem starken Bündnis haben wir eine über 200-seitige Beschwerde bei der Bundesnetzagentur gegen die Deutsche Telekom eingereicht. Der Konzern nutzt seine Marktmacht aus, schafft künstliche Engpässe und kassiert doppelt – von Inhaltsanbietern und Endkund:innen. Wir werden keine Ruhe geben, bis das Internet wieder fair für alle ist.

Ein neues Grundrecht: Informationsfreiheit ist da

Ein historischer Meilenstein wurde am 1. September 2025 erreicht: Das Amtsgeheimnis ist Geschichte. Nach jahrelangem Kampf ist das Informationsfreiheitsgesetz (IFG) offiziell in Kraft getreten. Wir haben bereits die ersten Anfragen gestellt und ermutigen alle Bürger:innen, ihr neues Grundrecht aktiv zu nutzen.

Internationale Fronten: eIDAS & UN-Cybercrime

Auf europäischer Ebene arbeiteten wir am Frühwarnsystem whoidentifies.me, um sichtbar zu machen, wer welche staatlich verifizierten Daten im neuen EU-Wallet-Ökosystem abfragt. Weniger erfreulich verlief das Jahr auf UN-Ebene: Trotz unserer intensiven jahrelangen Lobbyarbeit in New York und Wien wurde die menschenrechtsfeindliche UN-Cybercrime-Convention Ende Oktober von über 70 Staaten unterzeichnet. Wir werden die nationalen Umsetzungen nun umso kritischer begleiten.

epicenter.academy: Bildung als digitale Selbstverteidigung

2025 war auch ein Highlight für unsere epicenter.academy. Im Jubiläumsjahr war die epicenter.academy so aktiv wie nie zuvor: Mit insgesamt 187 Workshops konnte das Team über 3.500 Personen erreichen. Neben der Workshop-Arbeit in Schulen, wo Jugendliche einen selbstbestimmten Umgang mit ihren Daten erlernen, unterstützen wir mit einem völlig neuen Konzept Unternehmen und Organisationen dabei, die Anforderungen des AI-Acts umzusetzen und die rechtlichen Rahmenbedingungen rund um KI & Recht zu meistern. Besonders stolz sind die Kolleg:innen auch auf das E-Learning zum digitalen Gewaltschutz, das sie gemeinsam mit der AK Niederösterreich und den niederösterreichischen Frauenhäusern entwickelt haben.

Das Finanzielle

Dank eures Vertrauens konnten wir unser Jubiläumsjahr finanziell stabil bestreiten. Dafür möchten wir an dieser Stelle ein herzliches Dankeschön an all unsere Unterstützer:innen aussprechen.

Eure Spenden und Fördermitgliedschaften bilden mit 44,90 % der Gesamteinnahmen weiterhin das unverzichtbare Rückgrat unserer Unabhängigkeit. Wir konnten die Lücke nach dem Rückzug einer großen Stiftung 2024 durch neue Partner- und Projektförderungen füllen (insgesamt 51,09 % der Mittel). Unsere Personalressourcen fließen zu 71,65 % direkt in die inhaltliche, statutarische Arbeit.

Das Jahr 2025 konnte der Verein mit einem kleinen Überschuss für die Rücklagen (+1,5%) abschließen. Im Sinne der Transparenz veröffentlichen wir auch weiterhin monatlich unseren Cashflow-Bericht auf der Website.

Die Medien- und Öffentlichkeitsarbeit

Unsere Expertise war 2025 gefragter denn je: Wir erreichten 72,67 Millionen Menschen über alle Medienkanäle und gaben dafür 69 Interviews. 
Erwähnenswert ist, dass wir 18 Auftritte in ORF Nachrichtensendungen hatten.

Enorm intensiv für das Team waren die vielen Gespräche mit Verbündeten und Stakeholdern sowie die öffentlichen Auftritte. Die insgesamt 442 Public-Affairs-Termine und 259 Auftritte national und international zeigen, wie unermüdlich das ganze Team für die Wahrung von digitalen Grundrechten arbeitet.

Auch 2025 erklärten wir wieder komplexe netzpolitische Themen in 27 Blogposts, brachten 13 Stellungnahmen ein und schrieben 7 Policy Papers. Um im politischen Diskurs laut zu bleiben, suchten wir uns oft starke Verbündete und meldeten uns mit 12 offenen Briefen zu Wort.

Wie ihr anhand der Zahlen erkennen könnt, bemühen wir uns sehr, die uns zur Verfügung stehenden Mittel so effizient und zielgerichtet wie möglich einzusetzen, weshalb wir auf Werbung verzichten und das Geld lieber in inhaltliche Arbeit investieren.

Du willst uns auch unterstützen? Hier erfährst du alles zu unseren Fördermitgliedschaften. Für dieses Jahr fehlen uns noch 251 Fördermitglieder!

Der gesamte Transparenzbericht 2025 steht auf Deutsch und Englisch zum Download bereit.

Update: Das Innenministerium hat angekündigt in die nächste Instanz zu gehen und Bescheidbeschwerde einzulegen.

Gerade jetzt, während viele im Urlaub sind, stellt das Finanzministerium ein Gesetz zur Diskussion, das tief in die Struktur des österreichischen Internets eingreift. Unter dem Motto, illegales Glücksspiel einzudämmen, sollen künftig Netzsperren möglich werden. Klingt nach einer technischen Randnotiz, betrifft aber nicht nur ein paar dubiose Casino-Websites. Es betrifft VPN-Anbieter, Internetknoten, Hosting-Firmen, im Prinzip jeden, der irgendwo zwischen dir und dem Internet steht.

Was ist eine Netzsperre?

Eine Netzsperre bedeutet: Der Staat ordnet an, dass eine bestimmte Website in Österreich nicht mehr erreichbar sein darf. Ein Anbieter, egal ob Provider, VPN-Dienst oder Netzknoten, muss diese Anordnung technisch umsetzen. In der Praxis heißt das: Adresse einer Seite eingeben, nichts geht mehr oder es gibt sogar statt der Website ein Stopp-Schild.

Netzsperren treffen aber oft nicht nur das eine Angebot, das gemeint ist. Wer z.B. eine IP-Adresse sperrt, sperrt oft gleich noch hunderte andere Websites mit, die zufällig dieselbe Adresse teilen. Genau deshalb sind Netzsperren europarechtlich als Ultima Ratio gedacht. Eng begrenzt, klar begründet, mit echter gerichtlicher oder behördlicher Kontrolle. Kein Standardwerkzeug, das man einfach an möglichst viele Akteure delegiert, weil es bequem ist.

Der Zweck heiligt nicht alle Mittel

Zuerst die Klarstellung, weil sie in Debatten wie dieser gerne untergeht: Wir sind nicht für illegales Glücksspiel. Suchtprävention und Konsumentenschutz sind legitime, wichtige Ziele. Problematisches Spielverhalten zerstört reale Menschen und Familien.

Der aktuelle Entwurf verfolgt diesen legitimen Zweck aber mit Mitteln, die weit über das hinausschießen, was zur Zielerreichung nötig wäre. Wir haben ihn uns im Detail angeschaut.

Unsere Stellungnahme 

Die grundrechtlichen Probleme finden sich dabei aber nicht im Detail. Es sind Konstruktionsfehler im Kern des Gesetzes: Was gesperrt werden soll, wer sperren muss bis hin zu was passiert wenn zu viel gesperrt wurde.

Heute ist ein guter Tag für die Demokratie in Österreich. Der Verfassungsgerichtshof hat entschieden: Der Ausschluss der Öffentlichkeit von U-Ausschuss-Anhörungen ist verfassungswidrig. Seit Juli 2024 haben wir dieses Recht eingefordert und heute haben wir gewonnen.

Der Ausschluss der Öffentlichkeit von U-Ausschuss-Anhörungen verletzt die Meinungsfreiheit nach Art. 10 EMRK und den Gleichheitsgrundsatz. Das ist ein wichtiger Schritt für die demokratische Kontrolle in Österreich – und einer, den wir gemeinsam mit und für die Zivilgesellschaft erkämpft haben.

Was das konkret ändert

Bislang war der Zugang zu U-Ausschuss-Anhörungen auf akkreditierte Medienvertreter:innen beschränkt. Alle anderen hatten keine Chance: Politisch interessierte Bürger:innen, NGOs, Wissenschafter:innen und sogar Dokumentarfilmer:innen wurden einfach abgewiesen. Ton- und Bildaufnahmen waren generell verboten. Wer wissen wollte, was im COFAG-Ausschuss oder beim Pilnacek-Ausschuss wirklich gesagt wurde, war auf Medienberichte angewiesen. Einen unmittelbaren Eindruck konnte man sich nicht verschaffen.

Zumindest die Einschränkung auf Medienvertreter:innen ist jetzt Geschichte. Künftig müssen Anhörungen in Untersuchungsausschüssen zumindest für public watchdogs zugänglich sein. Wir hoffen, dass schon allein aus Platzgründen die Politik nun auch den Weg für Live-Übertragungen öffnet, wie sie in Deutschland, Frankreich, Portugal, Spanien und dem Europäischen Parlament längst selbstverständlich sind. Endlich ist Österreich in dieser Frage der Informationsfreiheit kein Schlusslicht mehr.

Wie es dazu kam

Den Antrag haben wir gemeinsam mit mehreren politisch interessierten Privatpersonen und mit Unterstützung unseres Anwalts Philipp Schwarz beim VfGH eingebracht. Unser erster Anlauf war bereits 2024 gescheitert, weil der damalige Untersuchungsausschuss zwischenzeitlich beendet worden war und damit die formellen Voraussetzungen für unsere Verfassungsbeschwerde weggefallen sind. Als wir Anfang 2026 erneut zum Pilnacek-Ausschuss nicht zugelassen wurden (Video), haben wir sofort am erst möglichen Tag einen aktualisierten Individualantrag eingereicht. Diesmal mit Erfolg!

Untersuchungsausschüsse sind eines der schärfsten Kontrollinstrumente des Parlaments. Ibiza, COFAG, BVT – all das haben U-Ausschüsse ans Licht gebracht. Dass die Öffentlichkeit da aktiv ausgeschlossen wurde, war ein demokratischer Widerspruch. Den haben wir heute beseitigt.

Was als nächstes kommt

Der VfGH verpflichtet den Gesetzgeber jetzt, die Verfahrensordnung anzupassen. Wir werden diesen Prozess begleiten und uns dafür einsetzen, dass die Umsetzung nicht auf dem kleinstmöglichen Nenner landet. Echte Öffentlichkeit bedeutet: Live-Übertragungen, Aufzeichnungen, niedrigschwelliger Zugang über werbefreie Plattformen für alle. Nicht nur eine halb geöffnete Tür.

Wer heute digital bezahlt, nutzt meist Visa, Mastercard oder PayPal. Alles US-amerikanische Unternehmen. Alle dem CLOUD Act unterworfen, der amerikanischen Behörden erlaubt, auf Nutzerdaten zuzugreifen mit kaum Kontrollmöglichkeiten für Betroffene oder europäische Aufsichtsbehörden.

Europas digitale Zahlungsinfrastruktur liegt weitgehend in US-amerikanischer Hand. Dass das keine abstrakte Bedrohung ist, zeigt ein Beispiel aus dem Jahr 2025: Der Chefankläger des Internationalen Strafgerichtshofs verlor infolge von US-Sanktionen den Zugang zu seinem E-Mail-Konto. Was mit E-Mails möglich ist, ist mit Zahlungen genauso möglich.

Genau deshalb arbeitet die Europäische Union seit 2023 an einem Digitalen Euro. Eine digitale Währung, ausgegeben von der Europäischen Zentralbank, als öffentliche, europäische Alternative zu bestehenden digitalen Zahlungsdiensten. Das Versprechen war von Anfang an klar: Der Digitale Euro soll wie Bargeld sein: genauso privat, genauso zugänglich, genauso unabhängig wie Scheine und Münzen.

Seit mehr als fünf Jahren begleiten wir die Europäische Digitale Identitäts-Wallet. Wir haben Stellungnahmen eingereicht, technische Entwürfe analysiert, zivilgesellschaftliche Koalitionen aufgebaut und für Schutzmaßnahmen gekämpft, die Europas digitale Identitätsinfrastruktur von Grund auf datenschutzfreundlich machen würden.

Im März haben wir gemeinsam mit EDRi, der Arbeiterkammer und Bürgerrechts- und Verbraucherschutzorganisationen einen offenen Brief veröffentlicht: Das neueste Paket der eIDAS-Durchführungsrechtsakte würde zentrale Schutzmaßnahmen in der EU-Wallet aushöhlen. Im Mai kam die Antwort der Europäischen Kommission.

Sie bestätigt leider ein Muster, das wir im gesamten eIDAS-Prozess immer wieder beobachten: Die Kommission bekennt sich zu Datenschutz, Nutzer:innenkontrolle und Datensparsamkeit, und verabschiedet gleichzeitig technische Regeln, die genau diese Ziele in der Praxis untergraben.

Technische Systeme schützen Grundrechte nicht dadurch, dass ein Gesetz es verspricht. Sie schützen sie, indem ihre Architektur Missbrauch von vornherein unmöglich macht.

Unsere Bedenken bleiben unverändert.

Der Instanzenzug ist durch: Datenschutzbehörde, Bundesverwaltungsgericht und Verwaltungsgerichtshof haben alle bestätigt, dass Bürgermeister Schneeberger (ÖVP) 2023 die Daten von 1.800 Unterzeichner:innen einer Petition unrechtmäßig für einen politischen Serienbrief missbraucht hat. Wir feiern diesen Sieg der betroffenen Bürger:innen und stellen fest, was noch immer fehlt.

Stell dir vor, du wartest seit Monaten auf deine Baubewilligung. Der Bescheid kommt: bewilligt. Du planst weiter, unterschreibst Verträge, der Baustart rückt näher.

Monate später wird der Bescheid aufgehoben. Eine Routinekontrolle hat ergeben, dass die automatisierte Entscheidung auf einer fehlerhaften oder halluzinierten KI-Bewertung beruhte. Was als Fortschritt begonnen hat, endet in Rechtsunsicherheit und zusätzlichen Kosten. Das ist der mögliche Alltag, wenn die geplante AVG-Novelle (Allgemeines Verwaltungsverfahrensgesetzes) so beschlossen wird.

Als wir WhoIdentifies.me erstmals vorgestellt haben, stand eine einfache, aber bislang unbeantwortete Frage im Zentrum: Wer greift im entstehenden eIDAS-Ökosystem – also gewissermaßen einer europäischen ID-Austria - eigentlich auf welche Daten zu? Wir freuen uns mit der Veröffentlichung des Prototypen einer Antwort auf diese Frage deutlich näher zu kommen.

Der Hintergrund des Projekts ist unverändert aktuell. Mit der Weiterentwicklung von eIDAS und der Einführung der European Digital Identity Wallet (der europäischen digitalen Brieftasche) entsteht eine Infrastruktur, die weit über klassische Online-Authentifizierung hinausgeht. Digitale Identität wird damit zu einem zentralen Baustein des digitalen Alltags in Europa. Staatlich bestätigte Identitätsmerkmale wie Name, Alter oder nach aktuellem Stand auch biometrische Daten, können in unterschiedlichsten Kontexten verwendet werden - vom Behördenverfahren bis hin zu privaten Online-Diensten. Gerade weil diese Infrastruktur so breit eingesetzt werden soll, stellt sich umso dringlicher die Frage nach Transparenz. Während die technische und rechtliche Ausgestaltung intensiv diskutiert wird, bleibt oft unsichtbar, welche konkreten Datenflüsse tatsächlich im Alltag entstehen.

Genau hier setzt WhoIdentifies.Me an. Die Grundidee, wie in unserer Concept Note beschrieben, besteht darin, öffentlich verfügbare Informationen aus nationalen Registern und anderen Quellen zusammenzuführen und daraus ein verständliches Gesamtbild zu erzeugen. Mit unserem Prototypen machen wir diesen Ansatz erstmals erfahrbar. Er zeigt, wie ein bisher unübersichtliches System künftig in einer einzigen Oberfläche zusammengeführt wird. Dadurch wird klarer erkennbar, welche Unternehmen und staatlichen Stellen überhaupt zum eIDAS-Ökosystem gehören.

Besonders deutlich wird dabei, dass Transparenz nicht nur eine Frage des „Wer“, sondern auch des „Was“ ist. Entscheidend ist nicht allein, welche Organisationen digitale Identitätssysteme nutzen, sondern welche Daten sie in diesem Zusammenhang anfragen. Genau diese Perspektive eröffnet die Möglichkeit, Datenflüsse vergleichbar zu machen und über einzelne Anwendungsfälle hinaus zu denken. Erst dadurch gibt es eine Basis, auf der man Muster erkennen und Entwicklungen verfolgen kann.

Der Prototyp bleibt bewusst auf einer einfachen, grundlegenden Ebene und versucht nicht, schon alle möglichen Analysefunktionen abzubilden. Stattdessen zeigt er, dass die nötigen Daten grundsätzlich vorhanden sind und so aufbereitet werden können, dass sie sowohl für technische als auch für nicht-technische Nutzer verständlich sind. Da eIDAS als europäische Infrastruktur gedacht ist, liegt der Schwerpunkt außerdem darauf, über nationale Grenzen hinauszuschauen und ein gemeinsames, grenzüberschreitendes Gesamtbild zu schaffen.

Hier zeigt sich, wohin sich das Projekt weiterentwickeln kann. Unsere Vision geht über eine reine Darstellung hinaus: Ziel ist ein Werkzeug, das Veränderungen im System frühzeitig sichtbar macht. In einer Umgebung, in der sensible, staatlich bestätigte Daten in immer mehr Bereichen genutzt werden, wächst auch der Bedarf, diese Entwicklungen zu beobachten und kritisch einzuordnen. Transparenz ist dabei eine wichtige Grundlage: Für öffentliche Diskussionen und letztlich auch für wirksame Regulierung.

Gleichzeitig wird deutlich, dass für ein wirkliches Verständnis digitaler Identität mehr nötig ist als nur Gesetze und technische Spezifikationen. Es braucht Werkzeuge, die sichtbar machen, was tatsächlich passiert.

Vor diesem Hintergrund laden wir herzlich zu unserem Workshop ein. Dort stellen wir den aktuellen Stand des Prototyps vor und möchten ihn gemeinsam weiterentwickeln. Die Workshops richten sich an NGOs, Forschende sowie alle, die sich für die praktische Nutzung und die Auswirkungen der europäischen digitalen Identitätsinfrastruktur interessieren. Ziel ist es, Feedback zu sammeln und die Entwicklung des geplanten Piloten aktiv mitzugestalten. Dieser soll reale Daten aus den Mitgliedstaaten einbeziehen und bis Ende 2026 fertig sein.

Es war bereits die dritte Telekom-Hauptversammlung, auf der wir als epicenter.works das Wort ergriffen haben. 2017 und 2019 war unser Thema StreamOn: ein Produkt, das wir damals als klaren Verstoß gegen die Netzneutralität und gegen geltendes EU-Recht bezeichnet haben. 2021 hat der Europäische Gerichtshof bestätigt: Wir hatten Recht. Das Produkt wurde verboten, die Datenvolumen in Deutschland stiegen danach drastisch - ohne Mehrkosten für Kunden.

Das Muster ist immer dasselbe: Die Telekom verschlechtert Angebote und Qualität künstlich, um dann die Ausnahme von dieser Verknappung zu vermarkten. Erst wenn die künstliche Verknappung verboten wird, verbessert sich die Lage für alle. Genau dieses Muster sehen wir jetzt auch bei der Zusammenschaltung.

Zur Rede inkl. Quellen 

Europa steht kurz vor der Einführung einer der zentralen digitalen Infrastrukturen der kommenden Jahre: der europäischen digitalen Brieftasche (EUID). Bis Ende 2026 sollen Bürger:innen damit Ausweise, Führerscheine oder Zeugnisse sicher am Smartphone nutzen können. Ziel ist es, digitale Services zu vereinfachen und gleichzeitig mehr Kontrolle über die eigenen Daten zu ermöglichen.

Doch während auf europäischer Ebene das Gesetz bereits 2024 beschlossen wurde und in vielen EU-Staaten bereits intensiv an dieser Zukunft gearbeitet wird, zeigen wir auf, dass in Österreich wenig passiert. Die Frage ist nicht mehr, ob die digitale Identität kommt – sondern wann die Regierung endlich mit den Vorbereitungen beginnt.

Epicenter.works bringt Expert:innen für Pressekonferenz nach Wien

Die geplante europaweite Wallet soll weit mehr sein als ein digitaler Ausweis. Sie ist als grundlegende Infrastruktur gedacht, die Verwaltung, Wirtschaft und Bildung verbindet – und gleichzeitig Datenschutz, Sicherheit und Vertrauen gewährleisten soll.

Genau hier setzen auch kritische Fragen an: Wie lassen sich diese Versprechen tatsächlich einlösen? Welche technischen und rechtlichen Voraussetzungen fehlen noch? Und welche Rolle spielen dabei nationale Systeme wie die ID Austria?

Diese Fragen standen im Zentrum unserer großen Pressekonferenz mit internationalen Expert:innen in Wien, bei der Chancen, Risiken und offene Punkte der digitalen Identität diskutiert wurden. Das Interesse war enorm, fast alle Tageszeitungen des Landes haben berichtet.

Österreich droht den Anschluss zu verlieren

Parallel dazu zeichnet sich ein zunehmend kritisches Bild der österreichischen Umsetzung. Zwar versteht die Regierung sich gerne und seit Jahren als Vorreiter im E-Government, der Realitätstest durch die kommende europäische digitale Identität zeigt aber ein anderes Bild. Ein zentrales Problem: Die bestehende ID Austria wurde 2017 konzipiert und basiert auf veralteten Standards. Datenschutzfreundliche Neuerungen fehlen und genau die sind für den sicheren Einsatz online aber essentiell. Auch wenn das EU System nicht perfekt ist, zur ID Austria ist es ein großer Schritt nach vorne. Was hier weltweiter Standard ist, haben wir letztes Jahr in einem eLearning-Kurs zusammengefasst.

Zwischen Anspruch und Umsetzung

Die Diskrepanz zwischen europäischem Anspruch und nationaler Umsetzung wirft grundlegende Fragen auf. Bis Ende 2026 hat Österreich Zeit die neuen EU Vorgaben umzusetzen, sonst drohen Strafzahlungen. Dem Vernehmen nach gibt es jedoch immer noch kein Budget für das Projekt, was angesichts der zwei- bis dreistelligen Millionenbeträge, die in anderen EU-Staaten seit mehreren Jahren für die Umsetzung ausgegeben werden, bedenklich ist. Für das Thema zuständig waren nach Ministerin Schramböck die Staatssekretär:innen Tursky, Bauer und aktuell Pröll – alle von der ÖVP.

Wenn die europäische digitale Brieftasche dann mal in Österreich umgesetzt ist, können wir uns vor allem auf eine Neuerung freuen: Ein Recht das System nicht zu verwenden. Anders als in Österreich derzeit üblich dürfen laut dem EU-Gesetz nämlich keine höheren Gebühren für analoge Amtswege eingehoben werden, keine Amtswege nur mittels ID Austria angeboten werden und auch Dienstnehmer:innen dürfen nicht mehr zur ID Austria gezwungen werden. Dieser Schutz vor Diskriminierung garantiert die Freiwilligkeit des Systems und war unsere zentrale Forderung mit der wir uns in jahrelangen zähen Verhandlungen auf EU-Ebene durchgesetzt haben.

Was jetzt zu tun ist

Anfang der 2000er war Österreich wirklich Vorreiter in Sachen eGovernment. Damals wurde Datenschutz noch als Teil der Lösung verstanden, anstatt als Ausrede für das eigene Scheitern verwendet. Digitalisierung sollte wieder als gesamtgesellschaftliche Transformation verstanden werden, die sich nicht nur an den Interessen der Verwaltung und Wirtschaft orientiert. Deswegen machen wir jetzt besonders Druck. Es geht nicht nur um Technologie, sondern um Grundsatzfragen von Datenschutz, Kontrolle und digitaler Souveränität. Dafür braucht es jetzt klare politische Prioritäten der Regierung.

Warum unsere Arbeit jetzt entscheidend ist

Die Arbeit von epicenter.works, die hier endlich sichtbar wird, existiert nur dank unserer Fördermitglieder. Ohne diese Unterstützung gäbe es uns nicht. Als Fördermitglied ermöglichst du, dass Expert:innen hinschauen, recherchieren, aufklären und politischen Druck aufbauen können – gerade bei so zentralen Themen wie der digitalen Identität. Werde jetzt Fördermitglied und hilf uns.

Wir beobachten die Verhandlungen um die EU Digital Identity Wallet seit dem ersten Tag – haben über 20 Statements und sieben offene Briefe verfasst, viereinhalb Jahre lang jeden Entwurf gelesen und jede Änderung verfolgt. Was wir gelernt haben: Die Kommission hat keinerlei Skrupel, Schutzmaßnahmen rückgängig zu machen, die sie gerade erst eingeführt hat. Und genau das passiert jetzt wieder.

Moderne Gesellschaften sind stark von digitalen Systemen abhängig, von Krankenhäusern über Behörden bis zur Energieversorgung. Gleichzeitig sind IT-Systeme aber auch so komplex, dass sie nie vollständig fehlerfrei sein werden.

Damit stellt sich nicht die Frage ob Sicherheitslücken in einem System existieren, sondern wer diese Schwachstellen zuerst entdeckt und was danach passiert?

Update: Die Regierung hat am 27. Juli 2026 ihr Gesetz für ein Social-Media-Verbot vorgestellt. Wir schauen es uns ganz genau an und analysieren. Stellungnahme folgt.

Am 21. Jänner 2026, hat die Europäische Kommission ihren lange erwarteten Vorschlag für einen Digital Networks Act (DNA) veröffentlicht. Verkauft als technische Modernisierung der europäischen Telekom-Regeln, markiert der Vorschlag in Wahrheit eine radikale Abkehr von Grundprinzipien, die ein offenes und neutrales Internet fast zehn Jahre lang geschützt haben.

Angesichts dessen, was auf dem Spiel steht, haben wir uns sofort an eine erste, rasche Analyse gesetzt. Die Kurzversion: Der Digital Networks Act gefährdet in seiner jetzigen Form grundlegende Internetfreiheiten, während er vorgibt, Regulierung zu vereinfachen und zu straffen.

Unsere vollständige Analyse

„Update" heißt nicht gleich Fortschritt

Die Kommission verkauft den DNA als technisches Update veralteter Regeln, notwendig, um Europas Netze für zukünftige Technologien fit zu machen. Diese Prämisse ist irreführend. Europas Netzneutralitäts-Rahmen ist nicht veraltet. Er hat sich über ein Jahrzehnt weiterentwickelt, durch Rechtsprechung des Europäischen Gerichtshofs (EuGH), Entscheidungen nationaler Regulierungsbehörden und wiederholte Leitlinien des Gremiums Europäischer Regulierungsstellen für elektronische Kommunikation (GEREK/BEREC). Diese Schutzmechanismen haben sichergestellt, dass Internetverkehr gleich behandelt wird. Ein Prinzip, das Wettbewerb, Innovation und freie Meinungsäußerung im Netz trägt.

Doch statt auf diesem Fundament aufzubauen, reißt der DNA es ein.

Der Kompass wird entfernt

Eine der folgenreichsten Änderungen ist die Streichung zentraler Erwägungsgründe, die jahrelang als Leitlinien für die Durchsetzung der Netzneutralität gedient haben. Diese Erwägungsgründe waren nicht nur Text. Sie haben geprägt, wie Richter:innen und Regulierungsbehörden das Gesetz in konkreten Fällen ausgelegt haben.

Mit der Streichung von 18 der 19 Erwägungsgründe schafft der DNA weniger Rechtsklarheit und schwächt die Rechte der Bürger:innen. Das Ergebnis ist ein unvorhersehbareres Umfeld, in dem Konzerne leichter bezahlte Priorisierung und andere Formen der Verkehrsdiskriminierung durchsetzen könnten.

Eine Hintertür für bezahlte Überholspuren

Bezahlte „spezialisierte Dienste" (Dienste, die im Netz bevorzugt behandelt werden) waren einer der zentralen Streitpunkte in der ursprünglichen Netzneutralitäts-Debatte. Europas Ansatz hat sie nur dort erlaubt, wo sie technisch notwendig waren und nur, wenn sie dem offenen Internet nicht geschadet haben.

Diese Balance wurde von fachkundigen Regulierungsbehörden aufrechterhalten und aktualisiert. In 2020 zum Beispiel mit Leitlinien dazu, wie Netzneutralität im Kontext von 5G und Network Slicing anzuwenden ist. Aktuell holen Regulierungsbehörden in einer öffentlichen Konsultation Stellungnahmen ein, um den Netzneutralitäts-Rahmen erneut anzupassen, falls neue Technologien das erfordern sollten.

Doch der DNA-Vorschlag würde der Kommission die einseitige Macht geben, zu entscheiden, wann solche Überholspuren erlaubt sind und könnte damit unabhängige Regulierungsbehörden und GEREK-Leitlinien aushebeln. Das ist ein klarer politischer Eingriff in etwas, das eigentlich unparteiische Fachaufsicht sein sollte.

Die Rückkehr des „Fair Share"

Eine weitere gefährliche Idee, die im DNA wiederbelebt wird, ist die Einführung von Netzentgelten (oft als „Fair Share" vermarktet). Dieses Konzept stammt aus der Ära des Festnetztelefons, wo Netzbetreiber Gebühren verlangten, Anrufe zuzustellen. Große Telekom-Konzerne konnten damit verdienen, dass ihre Kund:innen Anrufe entgegennahmen. Aber das Internet hat nie so funktioniert.

Die überwiegende Mehrheit der Peering-Verbindungen (mehr als 99 %) ist gebührenfrei, weil globale Konnektivität selbst das Produkt ist, das Internetanbieter verkaufen. Gebühren für den grundlegenden Zugang würden dieses Modell verzerren, die Kosten für Dienste erhöhen und Hürden für Start-ups und kleinere Anbieter schaffen.

Die Unabhängigkeit der Regulierungsbehörden wird untergraben

Der DNA baut außerdem das Büro von GEREK zu einem Büro für digitale Netze um und verschafft der Kommission Zugang zu internen Diskussionen und Arbeitsgruppen. Das klingt nach einer technischen Reform, verwässert in der Praxis aber genau jene Unabhängigkeit und Vertraulichkeit, die für die wirksame Durchsetzung von Netzneutralität und anderen Telekom-Regeln essenziell waren.

Unabhängige Regulierungsbehörden wie GEREK haben sich Vertrauen erarbeitet, weil sie ihre Entscheidungen auf Evidenz und Fachwissen stützen. Wenn politisch bestellte Beamt:innen mit am Tisch sitzen, droht neutrale Durchsetzung durch politisches Feilschen ersetzt zu werden. Das könnte das Vertrauen in öffentliche Institutionen und die Fähigkeit der Regulierungsbehörden, ihre Arbeit zu tun, ernsthaft untergraben.

Wie geht es weiter?

Der Digital Networks Act ist in seiner jetzigen Form nicht die Reform, die Europa braucht. Statt Klarheit und Rechtssicherheit zu stärken, schwächt er hart erkämpfte Schutzmechanismen, zentralisiert Macht in politischen Gremien und gefährdet das offene und neutrale Internet. Was als Vereinfachung verkauft wird, ist (wieder einmal) Rückbau. Da der Vorschlag nun dem Europäischen Parlament und dem Rat vorgelegt wird, müssen die Gesetzgeber entscheiden, ob sie die grundlegenden Freiheiten im Internet verteidigen oder zulassen wollen, dass diese unter dem Deckmantel einer Reform ausgehöhlt werden.

Wir fordern umgehendes Handeln der Regierung angesichts des potentiellen Skandals um die Kreditauskunftei CRIF: Nach Erkenntnissen unserer Schwesterorganisation noyb.eu werden öffentliche Register scheinbar von privaten Datenhändlern als Quelle für hochsensible personenbezogene Daten genutzt. Diese Daten werden von öffentlichen Stellen immer noch ohne angemessenen Schutz vor Zweckentfremdung oder mit technischen Barrieren gegen Massenabfragen im Internet zugänglich gemacht.

Gratis-Datenquelle für die Privatwirtschaft

Recherchen der Kolleg:innen von noyb.eu zeigen, dass Adresshändler wie der Compass Verlag und DPIT auf offene staatliche Register (z. B. Firmenbuch, Vereinsregister, Gewerberegister, Grundbuch) zugreifen, um Namen, Anschriften und weitere Stammdaten zu aggregieren – die anschließend in Wirtschaftsdatenbanken wie jener der CRIF verwendet werden um z. B. Bonitätsauskünfte zu erteilen. Diese Nutzung geht deutlich über den ursprünglichen Zweck staatlicher Register hinaus und birgt erhebliche Risiken für die informationelle Selbstbestimmung. Technisch ist es möglich, dass über sogenanntes “Scraping” dieser staatlichen Register auch Unmengen an persönlichen Daten der Österreich:innen in die Entwicklung von KI geflossen sind. Unser Geschäftsführer Thomas Lohninger kritisiert, dass der Staat seiner Aufsichtspflicht wieder nicht gerecht wird: 

"Öffentliche Register verfügen vielerorts über keine ausreichenden technischen Schutzmechanismen gegen massenhafte automatisierte Abfragen („Scraping“) und wir vermissen bisher entschiedenes staatliches Handeln gegen diese Zweckentfremdung unserer persönlichen Daten. Verantwortlich für die betroffenen Register sind Wirtschaftsminister Hattmannsdorfer, Finanzminister Marterbauer, Innenminister Karner, Justizministerin Sporrer, sowie die Datenschutzbehörde und technische Dienstleister wie das BRZ.“

Seit dem letzten Skandal nichts dazugelernt

Dieser Datenskandal ist der jüngste in einer erschreckend langen Reihe. Beim ERsB Skandal 2020 etwa wurde von Wirtschafts- und Finanzministerium komplett auf den Datenschutz vergessen. Persönliche Daten von mindestens einer Million Menschen wurden jahrelang ohne jede Schutzmaßnahme öffentlich ins Netz gestellt. Bereits damals wiesen wir in einer Pressekonferenz auf die Datenschutz-Hausaufgaben für die Regierung und mögliche Lösungen hin.

Nur durch konkrete rechtliche Regeln und technische Schutzmaßnahmen kann verhindert werden, dass sensible staatlich erhobene Daten automatisiert in großen Mengen zweckentfremdet werden. Ansonsten drohen staatliche Register zu einer unkontrollierten Gratis-Datenquelle für die Privatwirtschaft zu werden – auf Kosten der Grundrechte der Österreicher:innen.

Mit der eIDAS-Verordnung wird die bisherige ID Austria Teil eines neuen EU-weiten Systems, der European Digital Identity (EUDI) Wallet. Künftig sollen Bürger:innen ihre staatlich beglaubigte Identität und andere Eigenschaften europaweit einsetzen können: bei Behörden, Banken, Versicherungen, Arbeitgebern, Verkehrsunternehmen oder großen Online-Plattformen. 

Der eIDAS Monitor

Was dabei bislang fehlt, ist Transparenz: Wer fragt welche Daten ab, zu welchem Zweck und in welchem Ausmaß? Genau hier setzt unser neues Projekt an; mit der Entwicklung eines eIDAS-Monitors unter dem Namen: Whoidentifies.me

Whoidentifies.me ist eine Open-Data-Transparenzplattform für digitale Identitäts-Wallets. Sie macht sichtbar, welche Unternehmen und staatlichen Stellen digitale Identitätssysteme nutzen, welche personenbezogenen Daten sie abfragen und wofür diese Daten verwendet werden. Grundlage dafür sind die öffentlich zugänglichen und gesetzlich vorgeschriebenen Schnittstellen der nationalen eIDAS-Register in allen EU-Mitgliedsstaaten. Diese bislang fragmentierten und schwer zugänglichen Informationen bereiten wir erstmals europaweit vergleichbar, verständlich und durchsuchbar auf. Das ganze Konzept kannst du hier lesen.

Frühwarnsystem für digitale Grundrechte. 

Mit der Umstellung auf eIDAS werden Nutzer:innen nationaler ID Systeme wie der ID Austria künftig mit Datenanfragen aus dem gesamten EU-Binnenmarkt konfrontiert; häufig nach sensiblen, staatlich beglaubigten personenbezogenen Informationen. Da das eIDAS System in vielen Lebensbereichen von Gesundheit, Verkehr und Telekommunikation eingesetzt werden soll, steigen auch die Risiken von Missbrauch, Diskriminierung, Zweckentfremdung, dem Ausschluss vulnerabler Gruppen und die Gefahr der Diskriminierung von Menschen ohne Smartphone, Pass oder digitaler Identität. Whoidentifies.me schafft hier die notwendige Datenbasis, um problematische Entwicklungen frühzeitig zu erkennen und öffentlich zu diskutieren, bevor Schaden entsteht. Personalisierte Warnmeldungen erlauben der interessierten Öffentlichkeit Echtzeit-Informationen über relevante Entwicklungen im Ökosystem noch lange bevor Nutzer:innen mit Anfragen nach ihren persönlichen Informationen konfrontiert werden.

Die Plattform richtet sich insbesondere an Konsument:innen- und Datenschutzorganisationen. Deren Arbeit soll durch den einfachen Zugang zu Echtzeitinformationen über das gesamte eIDAS Ökosystem künftig einfacher werden, um etwaige Missstände frühzeitig zu erkennen und zu beheben. Auch NGOs, die sich für vulnerable Gruppen wie Senior:innen, Menschen mit Behinderung oder Migrant:innen einsetzen, erhalten einen entscheidenden Informationsvorteil, um relevante Anwendungsfälle frühzeitig zu erkennen und darauf zu reagieren. Gleichzeitig profitieren Wissenschaft und Öffentlichkeit erstmals von einem vollständigen, europaweiten Überblick über das eIDAS-Ökosystem. Auch Unternehmen gewinnen durch ein transparentes und vertrauenswürdiges Umfeld, ohne Missbrauch und Diskriminierung.

Offen & transparent

Seit 2017 arbeiten wir intensiv an digitalen Identitätssystemen auf europäischer Ebene und bringen unser rechtliches wie technisches Fachwissen in Gesetzgebungs- und Standardisierungsprozesse ein. Whoidentifies.me wird als freie Software entwickelt. Der gesamte Quellcode sowie alle gesammelten Daten stehen offen zur Verfügung und können auch dezentral genutzt werden. Die Anforderungen für die Plattform wurden gemeinsam mit betroffenen NGOs und Wissenschaftler:innen verschiedener Sektoren erstellt und werden über die 1,5 jährige Projektlaufzeit kontinuierlich weiterentwickelt.

Digitale Identität wird unsere Internetnutzung nachhaltig verändern. Ob dieses System letztlich Vertrauen und stärkere Selbstbestimmung schafft oder Über-Identifizierung, Kontrolle und Diskriminierung verstärken wird, hängt entscheidend von einer transparenten und grundrechtsbasierten Umsetzung ab. Mit Whoidentifies.me wollen wir dafür sorgen, dass zumindest alle faktenbasiert den Einfluss des Systems auf die Gesellschaft diskutieren können.

Im Zeitalter von AI und Bots, sollen Mensch und Maschine endlich verlässlich unterscheidbar gemacht werden. Weltweit sollen sich Menschen ihre Iris mittels eines kugelförmigen, silbernen Gerätes, sogenannte „Orbs“, scannen lassen und erhalten im Gegenzug ein kleinen Betrag in der zufälligerweise begleitend gegründeten Kryptowährung Worldcoin.

Dieses fragwürdige Geschäftsmodell versucht Worldcoin weltweit hochzubringen. Auf world.org kommen New-age Slogans & Heilsversprechungen im serifenlosen Apple-Design daher und werden mit größtmöglicher Diversity an happy Statist:innen aus Stockmaterial hinterlegt - United Colours of Vertrauenswürdigkeit.

Wer eine Iris und einen Puls hat - ist Geschäftsgrundlage.

Ethische Standards scheinen für Worldcoin zweitrangig zu sein. Ein Irisscan der über 8 Milliarden Menschen ist das Ziel – Ob minderjährig, ahnungslos, oder mit geistigen Beeinträchtigungen. Wer eine Iris und einen Puls hat - ist Geschäftsgrundlage. Bezahlt wird der Scan in der selbstgebauten Währung, die kein Supermarkt oder Vermieter zwischen Bangkok und Kigali nimmt.

In Spanien ist es der Datenschutzbehörde (AEPD) bereits zu viel geworden. Im Frühjahr 2024 wurde eine einstweilige Verfügung gegen Worldcoin erlassen. Sie untersagte dem Unternehmen die weitere Verarbeitung biometrischer Daten, insbesondere von Minderjährigen. Auch in Deutschland, Kenia und Hongkong wurden die Aktivitäten von Worldcoin gestoppt oder eingeschränkt – teils nach massiver Kritik von Datenschutzorganisationen und Menschenrechtsgruppen.

In Herz von Favoriten kann man sich im gleich nach einem Besuch der exotischen Gastroszene ein neues Case fürs Samsung Galaxy gönnen und sich nebenbei die Iris scannen lassen. Die “Handyinsel Favoriten” wird auf world.org als Topspot für die Benutzung eines Orb und den Einstieg in die Gemeinschaft der Kryptowährungbesitzer:innen gelistet. Menschen werden dazu verleitet, ihre höchstpersönlichen biometrischen Merkmale, quasi ihr angeborenes Passwort gegen ein paar Token einzutauschen – häufig ohne zu verstehen, welche weitreichenden und unumkehrbaren Risiken sie damit eingehen.

Biometrische Daten sind nicht austauschbar. Ein Passwort kann man ändern, ein kompromittiertes Irismuster nicht.

Wir sehen darin einen gefährlichen Versuch, die sensibelsten Daten überhaupt – nämlich unveränderliche Körpermerkmale – zu kommerzialisieren und als Zugangsbedingung zu etablieren. Aus diesem Grund haben wir am 3. Oktober 2025 bei der österreichischen Datenschutzbehörde (DSB) eine „Anregung zur amtswegigen Prüfung“ von Worldcoin aka „World“ eingebracht. Wir regen an, dass die Behörde einstweilige Maßnahmen ergreift, um die Erhebung und Verarbeitung dieser Daten in Österreich sofort zu stoppen.Der Umgang mit biometrischen Daten, insbesondere in groß angelegten, kommerziellen Projekten ohne klare Zweckbindung, widerspricht dem Grundprinzip der Datenschutz-Grundverordnung: Verarbeitung nur bei strikter Notwendigkeit und informierter Einwilligung.

DSB muss unverzüglich handeln

Worldcoin sammelt und verarbeitet hochsensible biometrische Daten in einer Form, die weit über herkömmliche Datenverarbeitungen hinausgeht. Betroffen sind auch Jugendliche und Kinder, deren Einwilligung in solchen Kontexten grundsätzlich extrem kritisch zu bewerten ist.

Darüber hinaus sind grundlegende Rechte der Betroffenen – wie Information, Widerruf oder Löschung – in der Praxis kaum durchsetzbar. Sobald die biometrischen Merkmale in die Systeme von Worldcoin eingespielt sind, können Betroffene kaum kontrollieren, was mit ihren Daten geschieht oder ob sie tatsächlich gelöscht werden. Das rechtfertigt aus unserer Sicht ein sofortiges Einschreiten nach Art. 66 Abs. 1 DSGVO. Diese Bestimmung erlaubt es der Datenschutzbehörde, unter außergewöhnlichen Umständen sofortige, befristete Maßnahmen zu erlassen, um die Rechte und Freiheiten von Personen zu schützen.

2025 war ein Jahr, das uns gleich zu Beginn daran erinnert hat, warum es epicenter.works gibt, aber auch warum uns die Arbeit so schnell nicht ausgehen wird. Kaum hatten wir Luft geholt, um auf 15 Jahre zivilgesellschaftliche Erfolge zurückzublicken, macht uns die Politik wieder deutlich, wie viele neue Baustellen sie für uns bereithält. Drei Koalitionsverhandlungen, nationale Regierungsprogramme, europäische Gesetzgebungspakete, Omnibusse soweit das Auge reicht und immer neue Überwachungsfantasien: Wer sich für digitale Grundrechte einsetzt, hat derzeit keine ruhige Minute.

Werft mit uns einen Blick zurück auf die zentralen Themen, Erfolge und offenen Baustellen, die uns auch über dieses Jubiläumsjahr hinaus begleiten werden.

Happy Birthday epicenter.works!

2025 war für uns ein ganz besonderes Jahr. Im Februar feierten wir unser 15-jähriges Jubiläum. Epicenter.works wurde (als AK Vorrat) im Zuge der Studierendenproteste und der Besetzung des Audimax-Hörsaals gegründet, um gegen die Vorratsdatenspeicherung zu protestieren und zu kämpfen. Heute können wir auf eine Erfolgsgeschichte zurückblicken, die genau dort ihren Anfang nahm.

Dieses Jubiläum wollten wir nicht allein feiern. Dank der Unterstützung der Stadt Wien - Kultur konnten wir viele unserer Unterstützer:innen und Wegbegleiter:innen zusammenbringen und gemeinsam zurück – und nach vorne – blicken. Von Politik über Forschung zu Nerds waren im Publikum breit vertreten. Zu wissen, dass Menschen aus so vielen unterschiedlichen Ecken an unserer Seite stehen, gibt uns Rückenwind für alles, was noch kommt.

Zum Abschluss unseres Jubiläumsjahres haben wir gemeinsam mit euch auf 15 Highlights aus 15 Jahren epicenter.works zurückgeblickt.

Regierungsprogramm-Flut

So sehr uns der Jubiläumsstart beflügelt hat – die politische Realität hat nicht lange auf sich warten lassen. Seit Jahren sind Regierungsprogramme für uns eine Art Arbeitsprogramm und eine Vorschau darauf, welche Themen uns in den kommenden Jahren besonders beschäftigen werden.

2025 hatten wir es gleich mit zwei Zukunftsvarianten zu tun: Einem geleakten Verhandlungsprotokoll von FPÖ und ÖVP, das einen düsteren Ausblick auf eine mögliche FPÖVP-Regierung bot und dem schließlich präsentierten Regierungsprogramm von ÖVP, SPÖ und NEOS, das uns an vielen Stellen von Beginn an Bauchweh bereitete. Besonders eine dieser Baustellen hat uns das gesamte Jahr über intensiv beschäftigt.

Täglich grüßt der Bundestrojaner

Seit 2016 begleitet uns die ÖVP mit ihren Überwachungsfantasien. Die wir bereits in jeder Phase einmal erfolgreich bekämpft haben: von der Idee über den Entwurf bis zum Gesetz. Obwohl noch 2018 vor dem Verfassungsgerichtshof erfolgreich bekämpft, fallen SPÖ und NEOS leider kurz nach der Regierungsbildung um und schicken den Bundestrojaner in die Begutachtung. Wir haben sämtliche Stellungnahmen analysiert und eingeordnet. Ob Rechnungshof, Datenschutzbehörde, Österreichischer Rechtsanwaltskammertag oder auch das Amt der Wiener Landesregierung, das Fazit ist klar: 96% sind negativ. Auch das Medienecho war überwältigend, sogar in der ZIB2 konnten wir vor staatlicher Spionagesoftware warnen. Trotz des massiven Gegenwinds beschließt die Regierung am 9. Juli den Bundestrojaner. Aber eines ist klar, in Kraft ist das Gesetz noch lange nicht, es bleibt also noch Zeit sich zu wehren. Und das haben wir auch schon einmal bei einem beschlossenen Gesetz geschafft.

Salamitechnik der nationalen Überwachung

“The Norwegian response to violence is more democracy, more openess and greater political paricipation.” - damaliger Ministerpräsident Norwegens, Jens Stoltenberg, nach einem Gewaltakt 2011.

Die österreichische Antwort lautete 2025 dagegen zu oft: mehr Überwachung.

Neben dem Bundestrojaner kündigte Innenminister Karner an einem Sonntag in der Sommerpause eine Verfünffachung der Videoüberwachung in Österreich an. Ohne öffentliche Debatte, ohne wissenschaftliche Grundlage, ohne nachvollziehbare Begründung.

Im Herbst legte Verkehrsminister Hanke nach und brachte die Innenstadtüberwachung erneut auf den Tisch: mit Live-Zugriff für die Polizei, ohne Schutz für Demonstrationen und mit Kosten in zweistelliger Millionenhöhe.

Unsere Antwort darauf war klar: Wir gehen auf die Straße.

Durch solche Maßnahmen werden unsere Grundrechte scheibchenweise eingeschränkt. Es braucht deshalb dringend eine Überwachungsgesamtrechnung: Gesetze müssen evaluiert, ihre Wirkung gemessen und überflüssige Überwachungsmaßnahmen auch wieder abgeschafft werden.

Verpasste Chance: IT-Sicherheit

Schon letztes Jahr hat uns die Umsetzung der NIS2-Richtlinie viel Arbeit gekostet – mit Erfolg: Ein problematischer Entwurf wurde nicht beschlossen. Mit einer guten Umsetzung könnte man Österreichs Cybersicherheit endlich zukunftsfähig gestalten. Umso ernüchternder war es, das gegen Ende des Jahres ein fast identisches Gesetz im Nationalrat beschlossen wurde. Der Unterschied diesmal: SPÖ und NEOS tragen ihn mit. Aus „hingepfuscht“ wurde Regierungsvorlage.

Wissen & Tools zur freien Verfügung

Auch 2025 haben wir wieder Tools entwickelt, Wissen aufbereitet und niedrigschwellig frei zugänglich gemacht.

DearMEP
DearMEP ist unser frei lizenziertes Tool, mit dem Kampagnen gezielt jene Europaabgeordneten erreichen können, die am ehesten zu überzeugen sind. Dieses Jahr konnten wir es rund um die Debatte zum Lieferkettengesetz, einem der aktuellen Omnibusse (dazu aber später mehr), endlich wieder in Action sehen.

E-Learning
Neben der laufend wachsenden epicenter.academy haben wir neue E-Learning-Materialien mit Videos zur Digital Public Infrastructure veröffentlicht. Denn öffentliche Basisinfrastrukturen wie Identitäts-, Bezahlsysteme oder Datenplattformen prägen unser tägliches Leben zunehmend. Natürlich alles kostenlos und frei lizenziert.

whoidentifies.me
Jahrelang haben wir an dem Regelwerk zur europäischen digitalen Identität (eIDAS) mitgearbeitet. Mit Blick auf das beschlossene Gesetz arbeiten wir jetzt an einem neuen Tool, das sichtbar macht, wer welche staatlich verifizierten Daten abfragt: „whoidentifies.me“. Ziel ist es, NGOs ein Frühwarnsystem für problematische Entwicklungen zu geben. 2026 gehen wir damit live – wir können es kaum erwarten.

epicenter.works vs Deutsche Telekom

Die Netzbremse-Kampagne war eine der größten dieses Jahres. Seit Jahren nutzt die Deutsche Telekom ihre Marktmacht aus, schafft künstliche Engpässe und verlangt doppelt – von Inhalteanbietern und Endkund:innen. Gemeinsam mit dem Verbraucherzentrale Bundesverband, der Gesellschaft für Freiheitsrechte und Stanford-Professorin Barbara van Schewick reichten wir eine über 200-seitige Beschwerde bei der Bundesnetzagenur ein.

Seit dem Launch auf dem 38C3 wurden wir von Zuspruch und Unterstützung nur so überrollt. Die Aufmerksamkeit ging so weit, dass wir uns mit der Telekom auf der re:publica zu einem öffentlichen Streitgespräch getroffen haben. Auf der DENOG17 konnten wir die Kampagne vorstellen und auch am 39C3 hielten wir wieder einen Workshop zum Thema. Alle Infos immer unter netzbremse.de.

Europas digitale Großbaustellen

Auch auf europäischer Ebene hatte uns die Politik 2025 fest im Griff. Zu Jahresbeginn analysierten wir die eIDAS-Novellierung zur Umsetzung der europäischen digitalen Identität, insbesondere mit Blick auf Sicherheit, Datenschutz und die Auswirkungen auf bestehende Systeme wie die ID Austria. Parallel dazu entwickelten wir das oben genannte Transparenz-Tool whoidentifies.me.

Neben der europäischen digitalen Identität begleiteten wir den Digital Fairness Act. Im Call for Evidence zum Digital Fairness Act forderten wir mehr Verantwortung für Online-Plattformen, insbesondere zum Schutz vulnerabler Gruppen wie Minderjähriger.

Die Diskussion um den digitalen Euro nahm nach längerer Pause wieder Fahrt auf. Wir setzten uns weiterhin für eine datenschutz- und privatsphärenfreundliche Ausgestaltung ein – auch vor dem Hintergrund von Studien der Europäischen Zentralbank, die der Privatsphäre einen hohen Stellenwert zuschreiben.

Auch beim Digital Networks Act beteiligten wir uns am Call for Evidence und wandten uns gegen Vorhaben, die die Netzneutralität durch gesetzliche Änderungen gefährden könnten.

Gegen Ende des Jahres holte die EU Kommission dann noch einmal zu einem Rundumschlag unter dem Deckmantel „Vereinfachung“ aus. Mit dem Digital Omnibus sollten bestehende Schutzstandards – von der DSGVO über den AI Act bis hin zu zentralen digitalen Regelungen – aufgeweicht werden. Diese Entwicklung band erhebliche Ressourcen und verdeutlichte die Fragilität digitaler Grundrechte auf europäischer Ebene.

Auch das Thema Altersverifikation wurde intensiv diskutiert. Vor diesem Hintergrund entwickelten wir einen eigenen Vorschlag, der den Schutz Minderjähriger mit digitaler Teilhabe und Grundrechten in Einklang bringen soll.

Schließlich blieb auch die sogenannte Chatkontrolle ein zentrales Thema. Trotz Überarbeitungen enthält der Vorschlag weiterhin problematische Klauseln. Dennoch wird er von den EU-Mitgliedstaaten weiter vorangetrieben. Aus unserer Sicht würde er letztlich auf eine Form der Massenüberwachung privater Kommunikation hinauslaufen – entsprechend setzten wir uns dafür ein, dass er nicht Teil des EU-Rechts wird.

AI goes Austria

Künstliche Intelligenz ist mit ihren Vorteilen ebenso wie mit ihren Risiken längst im Alltag angekommen. Die österreichische Bundesregierung blieb bei der Umsetzung des europäischen AI Acts aber säumig, wodurch es derzeit an einer zuständigen Behörde fehlt, die den Einsatz von KI auf seine Menschenrechts- und Grundrechtskonformität überprüft. Deshalb ergriffen wir selbst die Initiative und reichten bei der Datenschutzbehörde eine Beschwerde gegen den Einsatz von Gesichtserkennungssoftware durch die österreichische Polizei ein. Dabei unterstützen wir einen jungen Klimaschutzaktivisten, der von diesem aus unserer Sicht rechtswidrigen KI-Einsatz betroffen war.

Gleichzeitig sehen wir Europa beim Umgang mit KI klar in der Verantwortung und forderten gemeinsam mit internationalen Partnerorganisationen Digitalkommissarin Henna Virkkunen sowie die Regierungen der Mitgliedsstaaten auf, die Umsetzung des AI Acts konsequent auf Kurs zu halten

Ein neues Grundrecht für Österreich

Seit 1. September ist es offiziell: Das Amtsgeheimnis ist Geschichte. Mit dem Inkrafttreten des Informationsfreiheitsgesetzes sind Behörden jetzt verpflichtet, Auskunft zu geben. Auch wenn manche Ministerien gleich versucht haben, das neue Grundrecht auszuhöhlen, haben wir zusammengefasst, wie ihr es nutzen könnt und selbst auch schon die ersten Anfragen gestellt. Denn Transparenz entsteht nur, wenn wir dieses Recht auch aktiv verwenden.

Demokratie-Index 2025

Gemeinsam mit anderen Organisationen haben wir auch 2025 wieder den Demokratie-Index für Österreich berechnet. Trotz des neuen Grundrechts auf Information hat Österreich insgesamt weiter abgebaut. Besonders im digitalen Bereich führten Bundestrojaner und Überwachungsprojekte zu einem Rückgang um 0,6 Prozentpunkte. Die Ergebnisse präsentierten wir im Rahmen einer Pressekonferenz.

Datenschutz vs. Republik Österreich

Die Datenschutzbehörde kündigte heuer fast nebenbei in ihrem Newsletter an, ihre Tätigkeiten wegen Budgetkürzungen stark einzuschränken. Wir waren angesichts steigender Arbeitslast alarmiert und haben gemeinsam mit noyb eine Beschwerde bei der EU-Kommission gegen die Republik Österreich eingereicht. Ob es zu einem Vertragsverletzungsverfahren kommt, bleibt abzuwarten.

Unsere epicenter.academy

Auch unsere epicenter.academy war 2025 so aktiv wie nie: 190 Workshops, über 3.500 erreichte Personen und ein komplett neues Workshopkonzept zu Künstlicher Intelligenz und wie Unternehmen die Anforderungen des AI-Act umsetzen können. Besonders stolz sind wir auch auf Materialien zum digitalen Gewaltschutz, die wir gemeinsam mit Frauenhäusern und Mädchen-  und Frauenberatungsstellen entwickelt haben und euch dank der Unterstützung der Arbeiterkammer Niederösterreich kostenfrei zur Verfügung stellen können.

UN-Cybercrime-Convention: Grenzenlose Menschenrechtsverletzungen

Seit 2017 begleiten wir schon die Verhandlungen zur UN-Cybercrime-Convention. 2025 begann die Arbeit mit einer Rede vor den Vereinten Nationen, endete aber mit einem ernüchternden Höhepunkt: Ende Oktober unterzeichneten über 70 Staaten den menschrechtsfeindlichen Völkerrechtsvertrag. Trotz letzter Warnungen durch ein gemeinsames Statement, ermöglicht die Konvention weitreichende Überwachung, bietet kaum Menschenrechtsschutz und gefährdet Journalist:innen, Aktivist:innen und kritische Stimmen weltweit.

Ohne euch geht es nicht.

Auch heuer haben wir 12 Mal zum epicenter.connect geladen. Dieses Jahr nicht nur digital sondern auch zu uns im Büro. Es freut uns immer besonders unsere Unterstützer:innen auch persönlich kennenlernen zu können. Wenn du 2026 dabei sein willst: Die Termine findest du wie immer auf unserer Website. Wir freuen uns auf dich!

Immer häufiger berichten Beratungsstellen von Situationen wie dieser: Eine Person trennt sich, doch der Ex-Partner weiß weiterhin genau, wo sie ist, mit wem sie schreibt und wann sie nach Hause kommt. Oft ist das einfach möglich, weil er während der Beziehung Zugriff auf das Smartphone hatte, Passwörter kannte oder sogar Apps installiert hatte, die Standort und Aktivitäten mitschneiden.

Solche Fälle nehmen zu, weil unser Alltag immer stärker digitalisiert ist: Standortfreigaben, geteilte Geräte, gemeinsam genutzte Streaming-Accounts, smarte Haushaltsgeräte – all das kann missbraucht werden.

Was ist eigentlich Cybergewalt?

Unter Cybergewalt versteht man jede Form von Gewalt, die mithilfe technischer Hilfsmittel oder im digitalen Raum stattfindet. Überwachung durch übergriffige Personen ist ein Teilbereich davon. Die Täter:innen können fremd oder bekannt sein, in den meisten Fällen besteht aber ein persönliches Naheverhältnis wie Partner:innen, Ex-Partner:innen, Familienmitglieder oder enge Freund:innen.

Ähnlich wie bei physischer Gewalt sind auch hier besonders häufig Mädchen und Frauen betroffen. Digitale Technologien werden von Täter:innen verwendet, um Kontrolle auszuüben, einzuschüchtern oder ausspionieren.

Dabei kann diese Form der Cybergewalt viele verschiedene Formen annehmen, zum Beispiel:

• Überwachung von Smartphone, Standort oder Online-Aktivitäten
• Zugriff auf private Nachrichten
• Teilen von Intiminhalten
• Kontrolle über Social Media
• Stalking mit Spionagesoftware
• Heimliches Abhören und Filmen mit versteckten Mikrofonen und Kameras
• Manipulation oder Sperrung von Accounts

Solche digitalen Übergriffe haben oft weitreichende Folgen. Was online beginnt, kann psychisch stark belasten und in manchen Fällen sogar in körperliche Gewalt übergehen. Deshalb ist es wichtig, digitale Risiken frühzeitig zu erkennen und so den Gefahren vorzubeugen.

Unsere Arbeit gegen digitale Gewalt

Seit vielen Jahren führen wir mit unserer epicenter.academy Workshops an Schulen, bei NGOs oder Unternehmen durch. So konnten wir schon über 9000 Jugendliche erreichen. Unser Ziel dabei ist es, Bewusstsein für digitale Selbstverteidigung schaffen und konkrete Fähigkeiten zu vermitteln, um sich sicherer im digitalen Raum zu bewegen.

Mit unserer Expertise wollen wir gegen das wachsende Problem von Cybergewalt und digitaler Kontrolle vorgehen. In enger Zusammenarbeit mit Frauenhäusern, Mädchen-  und Frauenberatungsstellen, und der Unterstützung der Arbeiterkammer Niederösterreich haben wir nicht nur Workshops entwickelt und gehalten, sondern auch ein umfassendes eLearning entwickelt, das Informationen, Hintergrundwissen und klare Schritt-für-Schritt-Anleitungen für alle frei zugänglich bereitstellt.

Das Programm zeigt in fünf Kapiteln unter anderem:

• Wie man erkennt, dass man digital überwacht wird,
• welche Konsequenzen digitale Überwachung haben kann,
• wie man Täter:innen den Zugriff entzieht und
• wie man sich am besten davor schützen kann.

Wir wollen Bewusstsein dafür schaffen, wie leicht digitale Mittel missbraucht werden können und wie du dich wehren kannst, wenn es passiert. Dieses Programm unterstützt Betroffene und Mitarbeiter:innen dabei, unbemerkte Zugriffe zu erkennen, Risiken einzuschätzen und konkrete Schutzmaßnahmen zu setzen.

Zum eLearning

Weltweit beobachten wir einen immer stärker werdenden Trend zur Einführung von Altersverifikationssystemen, von Frankreich bis Australien. Solche Systeme sind oft schlecht konzipiert und bringen neben enormen Gefahren für Datenschutz und Meinungsfreiheit auch die Möglichkeit staatlicher Kontrolle über das tägliche Online-Leben der Menschen mit sich. Diese Systeme stützen sich häufig auf von der Regierung ausgestellte (digitale) Identifizierungsmechanismen oder KI-basierte Altersschätzungen, die zu Fehlern, Ausgrenzung, Diskriminierung und Datenschutzverletzungen führen können. Seit langem beschäftigen wir uns mit dem Thema digitale Identität und verfolgen diese Debatte deshalb mit wachsender Besorgnis.

Statt Probleme zu lösen, verschleiern die derzeit diskutierten Maßnahmen zur Altersüberprüfung diese nur. Die negativen Auswirkungen vom Kampf nach Aufmerksamkeit in sozialen Medien betreffen Nutzer:innen aller Altersgruppen gleichermaßen. Viele solcher negativen Folgen sollen bereits durch bestehende digitale Gesetze eingedämmt werden, wie dem Digital Services Act (DSA), der Werbung für Minderjährige verbietet, oder der Datenschutz-Grundverordnung (DSGVO), die in vielen Fällen das Einwilligungsalter vorschreibt. Beide Gesetze sehen umfassende Vorschriften und erhebliche Strafen in Milliardenhöhe vor. Das große Problem bleibt jedoch die mangelnde Durchsetzung. Die DSGVO ist seit fast einem Jahrzehnt in Kraft und bietet Möglichkeiten Unternehmen zu bestrafen, die eine große Menge personenbezogener Daten von Minderjährigen verarbeiten. Jetzt könnte die DSGVO aber abgeschwächt werden, bevor sie jemals zum Schutz von Kindern eingesetzt wurde. Eine Durchsetzung ist schwierig, insbesondere gegenüber reichen, multinationalen Unternehmen. Die geopolitischen Spannungen mit USA und China tragen nicht gerade dazu bei, die Situation zu verbessern. Anstatt sich jedoch dem systematischen Versagen Europas bei der Durchsetzung unserer Vorschriften zu stellen, wollen Gesetzgeber jetzt das Internet mit einer Altersbeschränkung versehen.

Epicenter.works hat mit der epicenter.academy auch einen Bildungszweig, der in den letzten drei Jahren über 500 Workshops für 9.103 Jugendliche durchgeführt hat. In diesen Workshops erzählen viele Schüler:innen, dass sie sich Sorgen machen, wie sich ihr eigener Social Media-Konsum auf sie auswirkt. Spannend dabei: Wenn man fragt, ob sie Social Media für sich selbst verbieten würden, sagen die meisten nein. Aber sobald es um ein Verbot für jüngere Mitschüler:innen geht, ist plötzlich eine klare Mehrheit dafür.

I. Der autoritäre Ansatz

Die Altersüberprüfung wird oft als Teilbereich von digitalen Identitäten verstanden. In diesen Systemen wird die Identität von Benutzer:innen festgestellt, um daraus das Alter abzuleiten und entsprechend den Zugang zu Online-Diensten bereitzustellen oder zu verweigern.

Die lösbaren Probleme

Zuerst zu dem, was einfach zu lösen ist. Der Verifizierungsteil der Altersüberprüfung kann privatsphärefreundlich gestaltet werden. Die Interaktion zwischen den Nutzer:innen muss dafür nach den drei Prinzipien Zero-Knowledge, Unverknüpfbarkeit und Unbeobachtbarkeit ablaufen. So können Nutzer:innen bestätigen, ob sie über oder unter einem bestimmten Alter sind, ohne ihr Geburtsdatum oder andere persönliche Informationen preisgeben zu müssen. Dabei wird jede Interaktion einzeln betrachtet und verhindert so, dass das Nutzerverhalten herausgelesen oder nachverfolgt werden kann. Außerdem, und das ist vielleicht der wichtigste Punkt, der Anbieter oder Betreiber der Altersverifizierung wird technisch daran gehindert zu sehen, wie das System genutzt wird. Die Regierung kann also nicht nachvollziehen, welche sozialen Medien oder Pornoseiten jemand besucht.

So ein System könnte sogar für die Altersverifikation gegenüber den am wenigsten vertrauenswürdigen, böswilligen oder peinlichen Websites genutzt werden - ohne Risiko für die Nutzer:innen. Selbst bei einem Hack der Website gäbe es keinerlei personenbezogene Daten, die zurückverfolgt werden könnten. Die Leitlinien der Europäischen Kommission zum Jugendschutz setzen diese drei Prinzipien recht gut um.

Die unlösbaren Probleme

Wenn digitale Identifizierung zur Voraussetzung wird, würden Millionen Menschen vom Internet ausgeschlossen werden. Nicht alle verfügen über digitale Identitäten, die Name, Alter und andere persönliche Informationen liefern. Viele besitzen kein Smartphone – geschweige denn eines, das digitale IDs sicher verwalten kann. Das Abfotografieren physischer Ausweise in einer App ist ebenfalls manipulierbar. Und vor allem schließt es Menschen aus, die keinerlei Ausweisdokumente besitzen. Viele haben auch nicht die digitale Kompetenz, komplexe Altersverifikationslösungen zu bedienen, insbesondere ältere Generationen oder Haushalte mit geringerem Einkommen. Die Erfahrungen aus anderen Ländern zeigen deutlich, dass Menschen staatliche Systeme ablehnen, wenn diese Voraussetzung dafür sind, sich online äußern zu können. Verpflichtende digitale Ausweise sind also Gift für das Vertrauen in staatliche Institutionen.

Einfache Umgehbarkeit. Verpflichtende Altersverifikation, die als zu tiefgreifend oder weitgehend wahrgenommen wird, führt zu unterschiedlichsten Umgehungsstrategien. VPNs oder Anonymisierungsdienste wie Tor bieten schnelle und einfache Wege daran vorbei. Selbst die offizielle EU-Altersverifikation hat keinen Schutz davor, dass Minderjährige die ID oder das Smartphone eines Erwachsenen benutzen. Die einzigen wirklich wirksamen Jugendschutzmaßnahmen finden auf dem Gerät statt, dazu später mehr. Wer über digitale Kompetenzen verfügt, findet immer Wege, diese Verbote zu umgehen, und die meisten jungen Menschen sind technisch versiert.

Überidentifizierung als Folge. Obwohl datenschutzfreundliche Altersnachweise technisch möglich sind, setzen fast alle existierenden Systeme in der Praxis auf deutlich invasivere Methoden. Diese sind oft günstiger und liefern Unternehmen wertvolle Identitätsdaten. Ohne klare Regulierung folgen technische Implementierungen immer dem Weg des geringsten Widerstands, und der führt selten zum Datenschutz. Selbst wenn ein Gesetz datenschutzfreundliche Lösungen vorschreibt, könnte es leicht geändert werden. Ist erst einmal eine Infrastruktur zur Altersverifikation etabliert, genügt ein Software-Update, um doch die echte Identität der Nutzer:innen abrufen zu können. Damit wäre die technische Grundlage geschaffen, das gesamte Internet zu gatekeepen – mit enormen Risiken für Ausgrenzung, Diskriminierung, Überwachung und Meinungsfreiheit. Einmal etabliert, könnte das System jederzeit erweitert werden, um weitere Personengruppen auszuschließen.

Wir lehnen daher jedes Altersverifikationssystem ab, das an die Identität einer Person gekoppelt ist. Die gesellschaftlichen Risiken überwiegen bei Weitem den potenziellen Nutzen. Solche Systeme sind unausgereift, gefährlich und bringen keine wirkliche Verbesserung. Wir glauben jedoch, dass es eine alternative Idee gibt, über die es sich zu sprechen lohnt.

II. Unser Lösungsvorschlag

Wir möchten eine mögliche Lösung für das Dilemma der Altersüberprüfung diskutieren, die ein besseres Gleichgewicht zwischen dem Schutz von Kindern und dem Schutz des offenen Internets herstellt. Die Grundidee besteht darin, dass wir nicht die Online-Interaktionen aller Personen an ihre Identität binden, sondern einfach die Geräte von Kindern an ihre Altersgruppe. Eltern oder Schulen haben in der Regel die Kontrolle über die Geräte ihrer Kinder. Sie kennen deren Alter und können die Geräte ohne (digitale) Identifizierung einrichten. Was fehlt, ist eine standardisierte Methode, mit der Betriebssysteme und Browser diese Informationen über die Altersgruppe der Nutzer:innen an die Apps und Websites weitergeben können.

Wichtig ist, dass Apps oder Websites, die solche Informationen über das Alter der Nutzer:innen erhalten, entsprechend handeln müssen. Wenn beispielsweise eine Website, die nur für Erwachsene bestimmt ist, von einem Minderjährigen aufgerufen wird, darf es nicht möglich sein eine Sperre durch einen einfachen Klick auf „18+“ zu umgehen. Social-Media-Apps hätten keine Entschuldigung dafür, Minderjährige gezielt anzusprechen oder ihnen zu erlauben, ohne Zustimmung ihrer Eltern Konten zu eröffnen. Es würde in die Verantwortung (und vielleicht sogar in die Haftung) jeder App oder Website fallen, die für Minderjährige in dem Land, aus dem die Anfrage stammt, illegal ist, sich selbst für Kinder auf Geräten, die dieses System verwenden, zu sperren. Das Alterssignal über diese API sollte daher rechtlich anerkannt werden. So würde man die Durchsetzung erleichtern und Schlupflöcher für große Technologieunternehmen beseitigen.

Was wir brauchen, ist ein technischer Standard, um Geräte oder Benutzerkonten auf diesen Geräten speziell für Kinder einzurichten. Ein solcher Standard muss interoperabel und unter freier Lizenz verfügbar sein. Auch freie Betriebssysteme müssen ihn implementieren können. Sowohl Google als auch Apple haben ähnliche Systeme für Smartphones angekündigt, um den lokalen Gesetzen in den USA zu entsprechen. Die EU hätte also gute Gründe, einen solchen Standard zu entwickeln und dessen Verwendung von marktbeherrschenden Betriebssystemen und Webbrowsern zu verlangen. Auch Webbrowser sind wichtige Akteure, da Websites ebenfalls die Altersangaben erhalten sollten. Technisch gesehen kann der Standard sehr einfach gestaltet werden, sodass er auch für ältere Geräte geeignet ist. Eine vollständige Unterstützung aller Smartphones oder Desktop-Betriebssysteme (Versionen) ist nicht erforderlich, da eine Untergruppe von für Kinder geeigneten Geräten ausreichen würde.

Schließlich werden Geräte und Benutzerkonten, die keine Informationen zum Alter an Apps oder Websites senden, wie bisher behandelt. Der Anbieter der Inhalte kann davon ausgehen, dass diese Benutzer:innen volljährig sind, ähnlich wie in der aktuellen Situation. Das bedeutet, dass sich für die Mehrheit der Benutzer:innen und Geräte im Internet nichts ändert.

Die Vor- und Nachteile dieser Lösung

Inklusiv und realistisch. Die vorgeschlagene Lösung ist weitaus inklusiver als alle anderen Modelle, die derzeit diskutiert werden. Menschen ohne technische Fähigkeiten zur Altersverifizierung, Migranten ohne Ausweispapiere oder Menschen, die sich einfach weigern, eine staatliche App zu nutzen, werden nicht vom Internet ausgeschlossen. Die vorgeschlagene Lösung ist auch weitaus realistischer, da sie lediglich einen Schritt bei der Einrichtung eines neuen Geräts oder Benutzerkontos auf einem unterstützten Betriebssystem erfordert.

Die Lösung tragt dazu bei, bestehende Vorschriften gegen große Technologieunternehmen durchzusetzen. Derzeit unternehmen viele Online-Plattformen nicht genug, um Kinder zu schützen, mit der Ausrede, dass sie nicht wissen, welche ihrer Nutzer:innen minderjährig sind. Angesichts der riesigen Datenmengen und der Profilerstellung, die dem Geschäftsmodell der großen Technologieunternehmen zugrunde liegen, ist das schwer zu glauben. Mit der vorgeschlagenen Lösung wird diese Ausrede jedoch hinfällig. Online-Plattformen, die die vorgeschlagenen standardisierten Altersangaben erhalten, würden die Altersgruppe der Nutzer:innen auf rechtlich verbindliche Weise kennen und müssten entsprechend handeln. Das könnte zur Durchsetzung digitaler Vorschriften gegen Online-Plattformen beitragen. Vorschläge für eine umgekehrte Signalübermittlung von der Online-Plattform zum Gerät der Nutzer:innen gibt es bereits.

Eine gemeinsame Nutzung von Geräten lässt sich leichter integrieren. Jede Lösung zur Altersüberprüfung stößt auf Probleme, wenn Kinder einfach die Geräte der Eltern nutzen. Diese gängige Praxis birgt das Risiko, dass Kinder auf Inhalte zugreifen, die nur für Erwachsene zugänglich sein sollten. Auch andere Formen der Altersüberprüfung, wie beispielsweise app-basierte Modelle, haben dieses Problem. Wenn das Betriebssystem separate Konten oder Kindermodi zulässt (wie es bei den meisten Smart-TVs oder Streaming-Apps bereits der Fall ist), kann diese Praxis integriert werden, um den Jugendschutz auch in diesen Fällen sicherzustellen.

Eltern und andere Erziehungsberechtigte müssen eine aktive Rolle übernehmen. Ein Gegenargument zu der vorgeschlagenen Lösung könnte sein, dass Eltern oder Erziehungsberechtigte eine aktive Rolle im digitalen Leben ihres Kindes übernehmen müssen. Die Einrichtung eines Kontos ist ein notwendiger Schritt, damit das gesamte System funktioniert. Theoretisch könnte der Wartungsaufwand weiter reduziert werden, wenn das System die Altersgruppe am jeweiligen Geburtstag des Kindes automatisch erhöht und die Uhr des Systems von den Benutzer:innen nicht verändert werden kann.

Altersgerechte Inhalte sind oft etwas Relatives. Die rechtlichen und kulturellen Rahmenbedingungen für den Jugendschutz sind weltweit, innerhalb Europas und sogar zwischen den einzelnen Staaten sehr unterschiedlich. Zwar gibt es Websites, die eindeutig nur für Erwachsene bestimmt sind, doch der Großteil der nutzergenerierten Inhalte lässt sich nicht so einfach kategorisieren. Feste Altersgrenzen berücksichtigen selten die individuelle Entwicklung von Kindern und Jugendlichen. Jede Technologie, die versucht, den Zugang zu beschränken, wird an ihre Grenzen stoßen. Im besten Fall können Erziehungsberechtigte gemeinsam mit ihrem Kind entscheiden, was angemessen ist, und den Zugang entsprechend personalisieren.

Die Ausweitung über die großen Technologieunternehmen hinaus sollte freiwillig sein und auf offenen Standards basieren. Damit dieses System für Europa von Vorteil ist, muss der zugrunde liegende Standard so transparent, inklusiv und einfach wie möglich gestaltet werden. Die Belastung für die Anbieter von Betriebssystemen und Browsern sollte minimal sein. So kann die Kompatibilität erhöht werden und auch kleinen und mittleren Unternehmen die Möglichkeit geben, den Standard zu integrieren, auch in gepatchten Betriebssystemen oder auf Geräten ohne proprietäre Frameworks wie Google. Dennoch kann es bei älteren Betriebssystemen und Geräten mit längeren Update-Zyklen einige Zeit dauern, bis sie das neue System übernehmen. Aber marktbeherrschende Produkte oder solche, die sich speziell an Kinder richten, sollten diesem Standard entsprechen.

Eine Umgehung ist ab einem bestimmten Alter oder mit bestimmten Fähigkeiten unvermeidlich. Solange die Kindersicherung, die die Installation von Apps und die Nutzung von Kindergeräten einschränkt, in Kraft ist, wird die vorgeschlagene Lösung Bestand haben. Aber für Nutzer:innen mit bestimmten digitalen Fähigkeiten wird es Möglichkeiten geben auch die vorgeschlagene Lösung zu umgehen. Das Starten eines nicht eingeschränkten Betriebssystems, das Erlangen von Administratorrechten zum Erstellen eines nicht eingeschränkten Benutzerkontos, die Verwendung alternativer Browser, das Entfernen der Altersangaben aus der Netzwerkübertragung oder die Verwendung eines VPN oder Tor sind funktionierende Umgehungsstrategien. Die meisten dieser Strategien sind jedoch auch Möglichkeiten, den autoritären Ansatz der Altersüberprüfung zu umgehen. Junge Menschen werden letztendlich Wege finden, das zu tun, was ihnen verboten ist. Das ist kein Argument gegen Altersbeschränkungen, sondern eine warnende Perspektive hinsichtlich der Wirksamkeit jeder Lösung.

Klarer Anwendungsbereich: Dieses System würde Kinder davor schützen, Inhalte zu sehen, die für ihre Altersgruppe verboten sind. Der Vorschlag versucht nicht, Erwachsene daran zu hindern, sich online als Kinder auszugeben, ein Problem, das schwer zu lösen ist, da Erziehungsberechtigte immer die Kontrolle über die Ausweisdokumente ihrer Kinder haben. Der Vorschlag gibt auch keine Garantien hinsichtlich des Alters von Nutzer:innen, die das System nicht verwenden, da dies einfach außerhalb seines Anwendungsbereichs liegt. Zusammenfassend lässt sich sagen, dass dieser Vorschlag versucht,das eine Problem zu lösen, dem die meisten Menschen zustimmen dürften: Der Schutz von Kindern im Internet ist ein erstrebenswertes Ziel, und dies sollte auf Geräten geschehen, die auf einem interoperablen Standard basieren, der Eltern mehr Möglichkeiten gibt und Inhalteanbieter in die Verantwortung zieh. Wir glauben, dass dies der sinnvollste und einzige praktikable Ansatz ist.

Wie geht es nun weiter?

Wir veröffentlichen diesen Beitrag in voller Kenntnis der Kontroversen zu diesem Thema und nachdem wir wiederholt von anderen Organisationen und Politiker:innen dazu aufgefordert wurden. Wir würdigen die hervorragende Arbeit, die die Risiken dieses Problems aufzeigt. Wir sind jedoch der Ansicht, dass Untätigkeit politisch keine Option mehr ist. Wir freuen uns über Feedback und Kritik zu diesen Ideen, sei es privat oder öffentlich.

Die Umsetzung der EU Richtlinie (NIS-2) zur Stärkung der IT-Sicherheit ist sinnvoll und längst überfällig. Österreich hätte diese EU-Vorgaben schon vor Jahren umsetzen müssen. Dieses Versäumnis ist klar beiden letzten Bundesregierungen anzulasten. Nach jahrelanger Verzögerung macht die EU jetzt Druck und Österreich drohen hohe Strafzahlungen. Als Reaktion darauf, wird wohl noch diese Woche ein Gesetz durchs Parlament gedrückt, das zentrale Bedenken ignoriert, demokratische Standards unterläuft und neue Risiken statt echter Sicherheit schafft.

Besonders irritierend: Der neue Entwurf ist nahezu identisch mit dem aus 2024. Damals hatten SPÖ, NEOS und FPÖ uns als Expert:innen im Innenausschuss geladen und sich klar dagegen positioniert. Zwölf Monate und einen Platz in der Regierung später, ist von dieser lauten Kritik, bei nahezu dem gleichen Gesetz, leider wenig übrig.

Statt die lange Verzögerung zu nutzen, um offene Fragen zu klären, echte externe Expertise einzubinden und grundlegende Schwachstellen auszubessern, wird das zentrale Cybersicherheitsgesetz des Landes jetzt unter hohem Zeitdruck und mit minimaler öffentlicher Debatte verhandelt. In einem so hochtechnischen Bereich wie der IT-Sicherheit, in dem parlamentarische Kontrolle naturgemäß an ihre Grenzen stößt, ist das besonders problematisch. Was es gebraucht hätte, wäre Transparenz, Fachdialog und eine breite Einbindung der Zivilgesellschaft. Was wir bekommen, ist ein parlamentarisches Feigenblatt:

Unsere Analyse

Die zentralen Probleme in Kurzfassung

Cybersicherheitsbehörde ohne echte Unabhängigkeit

Ein Gutes hat der aktuelle Entwurf: Die neue Cybersicherheitsbehörde. Weil die aber vollständig dem Innenministerium unterstellt bleibt, kann man erst recht nicht von Unabhängigkeit sprechen. Wie heikel diese Konstruktion ist, zeigt sich besonders bei der Meldung von Sicherheitslücken an den Staat. Diese sollen künftig an das nationale Computer Security Incident Response Team (CSIRT) gemeldet werden, welches unter der Aufsicht der Cybersicherheitsbehörde ist, die (dem Innenministerium) weisungsgebunden ist. Dabei ist das Innenministerium auf genau solche offenen Schwachstellen angewiesen ist, um einen Bundestrojaner zum Einsatz zu bringen. Ein und dasselbe Ministerium ist also für das Schließen solcher Sicherheitslücken zuständig, während es selbst offene nützt. Dieser Zielkonflikt ist unauflösbar und stellt besonders die Grünen vor ein Grundsatzproblem. Denn wer den Bundestrojaner ablehnt, kann keinem Gesetz zustimmen, das Sicherheitslücken beim Innenministerium zentralisiert.

Weitreichende Datenzugriffe des Innenministeriums

Trotz starker Kritik bleiben auch die breiten Datenverarbeitungs- und Übermittlungsbefugnisse des Innenministeriums praktisch unverändert. Ob Früherkennungssysteme, Zweckausweitungen oder unklare Weitergaberegeln: Die Eingriffe sind weit, die Kontrollmechanismen schwach und die neue Berichtspflicht wirkt eher symbolisch als wirksam. Schon 2024 hat die SPÖ dem NIS2-Gesetz „Massenüberwachung“ attestiert und sich klar ausgesprochen dieses „hingepfuschte“ Gesetz im Nationalrat abzulehnen. Auch die Neos halten so eine Konstruktion um das BMI 2024 noch für „bedenklich“. Aber einmal in der Regierung scheinen diese Bedenken wohl verschwunden zu sein.

Überlastung von Bezirksverwaltungsbehörden

Die hohen Sanktionen, die NIS-2 vorsieht, liegen ausgerechnet bei 94 Bezirksverwaltungsbehörden. Diese Stellen verfügen weder über das technische Know-how noch über die Ressourcen, um komplexe IT-Sicherheitsfälle zu beurteilen. Statt Fachkompetenz zu bündeln, wird sie kleinteilig verteilt. Damit riskiert Österreich eine chaotische und ineffiziente Vollzugspraxis, die Unternehmen wie Behörden gleichermaßen belastet.

Fehlende Einbindung externer Expertise

Cybersicherheit ist ein hochkomplexes Thema, das nicht von der Verwaltung allein bewältigt werden kann. Forschung, Wirtschaft und Zivilgesellschaft sollten systematisch eingebunden werden, um eine breitest mögliche Expertenbasis zu schaffen und modernen Bedrohungen auf Augenhöhe zu begegnen. Staaten wie Italien zeigen mit ihrem wissenschaftlichen Beirat wie das ausehen kann. Doch Österreich verpasst auch hier erneut den Anschluss und die Chance, ein modernes, lernendes und offenes Cybersicherheitsökosystem aufzubauen.

Keine Verbesserung für Sicherheitsforschung

Das Auffinden und Schließen von Sicherheitslücken sollte im Rahmen eines Cybersicherheitsgesetzes oberste Priorirät haben und trotzdem fehlen effektive Absicherungen für Sicherheitsforscher:innen im Gesetz. Wer in Österreich Sicherheitslücken an den Staat meldet, riskiert nach wie vor Strafverfolgung und sogar Freiheitsstrafen. Das schwächt nicht nur die Cybersicherheit, sondern auch Österreich als Innovationsstandort.

All das zeigt: Der aktuelle Entwurf ist nicht geeignet die IT-Sicherheit in Österreich zu stärken, sondern riskiert leider genau das Gegenteil. Dabei wäre eine schnelle und gute Umsetzung der NIS2-Richtlinie so dringend notwendig.

Was wird als nächstes passieren?

Das NIS2 Gesetz wurde ohne Begutachtung vor wenigen Wochen als Regierungsvorlage ans Parlament übergeben. Noch diese Woche soll es den Innenausschuss passieren, wo eine einfache Mehrheit reicht. Zwischen 10. und 12. Dezember soll es im Plenum des Nationalrats beschlossen werden und spätestens dort braucht es die Zustimmung von Grünen oder FPÖ für die notwendige Verfassungsmehrheit. Angeblich drohen Österreich im Jänner Strafzahlungen in Millionenhöhe, wenn die NIS2-Richtlinie bis dahin nicht umgesetzt wird. Umso mehr hoffen wir, dass die dringend notwendigen Verbesserungen noch rechtzeitig vorgenommen werden.

Am Donnerstag den 28.11 haben wir zur Demo aufgerufen und viele engagierte Menschen sind trotz Minusgraden vor die SPÖ-Zentrale gekommen. Der Anlass war und ist ernst: Die geplante StVO-Novelle von SPÖ Verkehrsminister Hanke würde einen massiven Ausbau der innerstädtischen Videoüberwachung ermöglichen – und stellt damit eine Gefahr für Grundrechte, Demokratie und Demonstrationsfreiheit dar. Über 100 Kamera alleine nurim ersten Bezirk und Live-Zugriff der Polizei: Das ist keine Verkehrsberuhigung. Das Ist Überwachungsinfrastruktur.

Wir haben frühzeitig Alarm geschlagen, eine Stellungnahme verfasst und umgehend Protest organisiert. An den Reaktionen konnte man schnell erkennen, dass die Kundgebung einen Nerv trifft. Es gibt viele, die sich nicht einfach damit abfinden wollen, dass öffentliche Überwachung in Österreich still und leise aufgerüstet wird. Jan Autrieth von epicenter.works brachte die Stimmung auf den Punkt:

"Die vielen Menschen der aktiven Zivilgesellschaft haben heute klar aufgezeigt, dass die Überwachungspläne der Bundesregierung so nichts in unseren Städten verloren haben!“

Ein starkes Signal der Zivilgesellschaft

Die rege Teilnahme und das Medienecho war überwältigend und zeigt, wie groß die Sorge über diese Infrastrukturen ist: Krone, Kurier, Standard, orf.at, Presse, OÖ Nachrichten, Kleine Zeitung, puls24, servus.tv, vol.at, Tiroler Tageszeitung, vienna.at etc.

Vielen ist bewusst: Videoüberwachung ist nicht einfach ein technisches Werkzeug – sie verändert gesellschaftliches Verhalten und gefährdet zentrale demokratische Grundrechte. Wo Kameras aufgebaut werden, dort bleiben sie. Und sehr rasch werden sie zu einem Instrument der Polizei, egal was versprochen wurde.

Wir bleiben dran – gemeinsam

Der Protest vom 27.11. war nur der Anfang. Die Zivilgesellschaft ist wachsam, laut und entschlossen. Vielen Dank an alle, die mit uns auf der Straße waren. Gemeinsam zeigen wir: Demokratie lebt davon, dass wir hinschauen – und uns wehren, wenn es nötig ist!

In einer globalen Konferenz in Hanoi am 25. und 26. Oktober wurde die Cybercrime Convention der Vereinen Nationen („UNCC“) feierlich zur Unterschrift aufgelegt. Das Ziel: Sämtliche Staaten der Welt sollten sich mit diesem politisch-formalen Zeichen zum jüngsten Vertragstext der UNO bekennen und ihm ehest bald in ihren nationalen Parlamenten auch völkerrechtlich verbindlich und als Teil der nationalen Rechtsordnung Geltung verleihen („ratifizieren“).

Wir sprechen uns bereits seit mehreren Jahren gegen die UNCC aus, haben uns aktiv in den Verhandlungsprozess eingebracht und nun im Vorfeld zur Konferenz in Vietnam ein gemeinsames Statement der Zivilgesellschaft mitunterzeichnet. Darin fordern wir die Staatengemeinschaft nachdrücklich auf, von der Unterzeichnung und Ratifizierung der UNCC abzusehen und die Bedeutung der Wahrung der Menschenrechte bei der Umsetzung dieser Konvention hervorzuheben.

Zur Erinnerung: Warum sind wir gegen dieses Übereinkommen?

Sollte man weltweite Kooperation im Kampf gegen Computerkriminalität nicht unterstützen? Was auf den ersten Blick verwundern mag, lässt sich nachvollziehbar erklären:

Zunächst einmal sind wir der Überzeugung, dass es diesen Vertrag gar nicht braucht. Seit 2001 gibt es nämlich bereits ein Abkommen, das genau denselben Zweck verfolgt: die sogenannte Budapester Konvention. Diese ist unter dem Dach des Europarates entstanden. Und obwohl es auch daran einiges auszusetzen gibt, gilt sie für viele als der Standard im Kampf gegen Computerkriminalität. Das Besondere an ihr ist, dass sie eingebettet ist in das weitaus größere System des Europarates: also jener Organisation, die den Europäischen Menschenrechtsgerichtshof in Straßburg (samt zugehöriger Menschenrechtskonvention) hervor gebracht hat – und damit wichtige Teile des Fundaments unserer liberalen Demokratien. Neben den 46 Mitgliedern des Europarates (davon alle 27 EU-Mitgliedsstaaten) steht die Budapester Konventionauch Staaten aus anderen Teilen der Welt zum Beitritt offen – und davon wurde reichlich Gebrauch gemacht: aktuell haben 35 Staaten aus Lateinamerika, Afrika und Asien die Konvention offiziell angenommen und sich damit verpflichtet sie umzusetzen.

Die Rolle Russlands

Russland – ein ehemaliges, aber seit dem Angriffskrieg auf die Ukraine ausgeschlossenes Mitglied des Europarates – hatte schon immer Vorbehalte gegen die Budapester Konvention und begründete dies mit vermeintlichen „Eingriffen in die staatliche Souveränität“. Also trieb es auf UN-Ebene Bemühungen voran, ein weiteres Abkommen zur Bekämpfung von Computerkriminalität zu schaffen, ganz nach den eigenen Vorstellungen. Was zunächst weitgehend abgelehnt wurde, nahm nach und nach an Fahrt auf. Und gemeinsam mit seinen Verbündeten (Belarus, Nordkorea, Iran, Syrien, Venezuela, Nicaragua, und anderen) gelang es dem Putin-Regime nicht nur, den Start von Verhandlungen zur UN-Cybercrime Convention (UNCC) Realität werden zu lassen, sondern auch, diese erfolgreich zu Ende zu führen. Am 24. Dezember 2024 wurde die UNCC schließlich von der UN-Generalversammlung als offizieller Vertrag der Vereinten Nationen angenommen.

Wie problematisch ist die Konvention wirklich?

Vorweg gesagt: Der beschlossene Vertragstext entspricht nicht 1:1 dem, den Russland als Ausgangsentwurf vorgelegt hatte. Viele der aus Menschenrechtssicht gefährlichsten Bestimmungen (wie z.B. eine umfassende Vorratsdatenspeicherung, nebulös formulierte Tatbestände zur Ahndung von „Extremismus“ oder „Subversion“) wurden „rausverhandelt“.

Dennoch bleibt ausreichend Grund zur Sorge:

• Zunächst einmal geht die UNCC weit über die Bekämpfung von Cyberkriminalität – also böswillige Angriffe auf Computernetzwerke, -systeme und -daten – hinaus. Sie verpflichtet die Staaten nämlich, umfassende elektronische Überwachungsbefugnisse einzurichten, um eine Vielzahl von Straftaten zu untersuchen und bei deren Verfolgung zusammenzuarbeiten. Darunter befinden sich auch solche, die nicht mit Informations- und Kommunikationssystemen in Zusammenhang stehen und das ohne angemessene Schutzmaßnahmen für unsere Menschenrechte.
• Die Konvention verpflichtet Regierungen, elektronische Beweise zu sammeln und diese bei „schweren Straftaten”(solche, die nach innerstaatlichem Recht mit mindestens vier Jahren Freiheitsstrafe geahndet werden) an ausländische Behörden weiterzugeben. Das Problem dabei: Viele Regierungen kriminalisieren Aktivitäten, die durch internationale Menschenrechtsgesetze geschützt sind. ,So könnten beispielsweise Kritik an der Regierung, friedliche Proteste, gleichgeschlechtliche Beziehungen, investigativer Journalismus und Whistleblowing die Voraussetzungen erfüllen und nach UNCC als „schwere Straftat“ eingestuft werden.
• Die Konvention enthält auch keine ausreichenden Bestimmungen zum Schutz von Sicherheitsforscher:innen („white hat hackers“), Whistleblowern, Aktivist:innen und Journalist:innen vor übermäßiger Kriminalisierung. Sie kann also leicht dazu genutzt werden, um gegen geschützte Aktivitäten vorzugehen, die Menschenrechte fördern und die Sicherheit aller im Internet gewährleisten.
• Es fehlen ausdrücklich robuste Menschenrechtsschutzbestimmungen für den gesamten Vertrag. So kann nicht sichergestellt werden, dass die Bemühungen zur Bekämpfung der Cyberkriminalität einen angemessenen Schutz der Menschenrechte bieten und im Einklang mit den wichtigen Grundsätzen der Rechtmäßigkeit, Nichtdiskriminierung, legitimen Zweckmäßigkeit, Notwendigkeit und Verhältnismäßigkeit stehen.
• Die UNCC schafft Rechtsvorschriften zur Überwachung, Speicherung und grenzüberschreitenden Weitergabe von Informationen in einer Weise, die das Vertrauen in sichere Kommunikation untergräbt und die Menschenrechte verletzt.
• Das Übereinkommen erlaubt auch die übermäßige Weitergabe sensibler personenbezogener Daten für die Zusammenarbeit der Strafverfolgungsbehörden, die über den Rahmen spezifischer strafrechtlicher Ermittlungen hinausgeht und auch das ohne spezifische Datenschutz- und angemessene Menschenrechtsschutzmaßnahmen.
• Die Mängel des Übereinkommens lassen sich nicht ohne Weiteres beheben, da es keinen Mechanismus zum Ausschluss von Staaten vorsieht, die Menschenrechte oder Rechtsstaatlichkeit systematisch missachten.
• Die UNCC kann für einige der Menschen, die sie schützen soll sogar gefährlich werden: So könnte das Übereinkommen beispielsweise missbraucht werden, um einvernehmliches Verhalten zwischen Jugendlichen ähnlichen Alters in einvernehmlichen Beziehungen unter Strafe zu stellen. Dazu kommt, dass keine Geschlechtergleichstellung verankert wurde. Es besteht also auch die Gefahr, dass das Übereikommen so zu Verletzungen der Rechte von Frauen und LGBT-Personen beiträgt.

Was wir fordern:

Leider haben sich in Hanoi über 70 Staaten zu einer Unterschrift entschlossen, darunter auch die EU und gut die Hälfte ihrer Mitgliedstaaten. Auch Österreich befindet darunter. Die USA hingegen haben diesen Schritt nicht gesetzt: Ausnahmsweise ein positiver Schritt der aktuellen Administration. Denn die Aussicht auf erleichterten Zugang zu Daten, die sich auf US-Servern befinden, war in den Verhandlungen natürlich ein großer Anreiz für viele Staaten, diesem Übereinkommen überhaupt erst zuzustimmen. Diese Aussicht läuft (vorerst zumindest mal) ins Leere – an den Gefahren, die dieser Vertrag birgt, sobald er einmal in Kraft getreten ist, ändert das aber leider nichts.

Gemeinsam mit unseren Partnerorganisationen rufen wir daher die Unterzeichnerstaaten dazu auf sich zu weigern, das Übereinkommen zu ratifizieren. Sollten sie dies dennoch tun, müssen sie jedenfalls, konkrete Menschenrechtsschutzmaßnahmen gewährleisten und die Bestimmungen des Übereinkommens unter vollständiger Achtung der Menschenrechte umsetzen.

Noch unentschlossene Staaten, die die Menschenrechte achten und trotz der erheblichen Gefahr, die die UNCC für die Menschenrechte darstellt, eine Unterzeichnung in Zukunft in Betracht ziehen, sollten ihre Unterstützung zurückhalten, solange sie nicht garantieren können, dass bestimmte Bedingungen erfüllt sind: nämlich dass sie und andere Unterzeichnerstaaten den Vertrag mit wirksamen Schutzmaßnahmen und anderen rechtlichen Schutzvorkehrungen umsetzen, die Menschenrechtsverletzungen in der Praxis verhindern. Wie diese konkret aussehen können, könnt ihr im Detail in unserem gemeinsamen Statement nachlesen.

Sobald aber einmal 40 Staaten das Übereinkommen ratifiziert haben und dieses damit tatsächlich in Kraft tritt, hängt wie immer viel davon ab, wie die Bestimmungen gelebt und interpretiert werden. Wie bei anderen völkerrechtlichen Verträgen üblich, wird es auch bei der UNCC in regelmäßigen Abständen eine sogenannte „Conference of the States Parties“ (COSP) geben, um die Implementierung des Vertrags zu begleiten. Angesichts der genannten Probleme mit diesem Vertrag geht es hier also weiterhin um viel! Ob und in wieweit die Zivilgesellschaft einbezogen werden soll und welche Befugnisse wir haben werden, ist aktuell Gegenstand von Verhandlungen bei der UNO in Wien. Neben der Unterstützung mancher Staaten gibt es aber auch einiges an Gegenwind – und man muss nicht hellsehen können, um zu ahnen, wer hier wieder die Hauptbetreiber sind…

UPDATE: Die Innenstadtüberwachung wurde am 25.02.2026 im Ministerrat beschlossen. 

Was wir erreicht haben: 

• Kein direkter Polizeizugriff auf die Kameras 
• Keine gespeicherten Gesichter – nur noch Kennzeichen
• Kameras erfassen nur bodennahen Bereich (noch unklar von wo aus)
• Verpflichtende Datenschutzfolgeabschätzung vor dem Einsatz
• Höhere Anforderungen an die Zulässigkeit von Kameras (Verkehrssicherheit, aber keine Verkehrsberuhigung mehr)

Folgende Baustellen bleiben aber offen: 

• Viele neue Kameras im Stadtbild
• Kein Schutz von Demonstrationen  
• KI-gestützte, vollautomatisierte Strafen auf Basis lokaler, unübersichtlicher Regeln

Next Step: Verkehrstausschuss am 19. März sein. Nur mit eurer Unterstützung können wir weiterhin dran bleiben und auch bei der Umsetzung ganz genau hinschauen. Jetzt spenden!

Seit 2022 versucht die EU-Kommission ein Gesetz durchzusetzen, alle privaten Nachrichten, Bilder und E-Mails verpflichtend zu scannen – automatisch, flächendeckend und ohne konkreten Verdacht.

Jede WhatsApp-Nachricht, jedes Babyfoto, jede Mail an den Arzt oder Anwalt soll von Künstlicher Intelligenz (KI) durchsucht werden, bevor sie verschlüsselt wird.

Das offizielle Argument lautet: Kinderschutz. Hinter einem so edlen Ziel kann man sich natürlich gut verstecken. Wer würde denn Kinder nicht schützen wollen? Was aber als Schutzmaßnahme verkauft wird, ist in Wahrheit der größte Angriff auf die Privatsphäre in der Geschichte der EU.

Warum schon eine kleine Fehlerquote katastrophal ist

Was für die KI als „verdächtig“ gilt und deshalb an die zuständigen Behörden weitergeleitet wird, entscheidet ein undurchsichtiger Filter – ohne Transparenz, ohne Kontrolle. Die Fehlerquote solcher Systeme ist dabei enorm.

Bei Milliarden Nachrichten in Europa pro Tag führt selbst eine sehr geringe Fehlerrate dazu, dass Millionen harmloser Inhalte fälschlich als „verdächtig“ markiert und an Strafverfolgungsbehörden weitergeleitet würden. Diese Flut an Fehlalarmen überfordert Ermittlungsbehörden, lenkt Ressourcen von echten Fällen ab und setzt unschuldige Menschen einem Behörden-Stigma aus. Das elektronische Briefgeheimnis würde systematisch millionenfach pro Tag verletzt. Genau das macht die Maßnahme zum Gegenteil eines zielgerichteten Kinderschutzes: statt Prävention entsteht Generalverdacht.

Ein Gesetz das niemand will

Genau diese Bedenken werden seit Beginn der Verhandlungen von allen Seiten geäußert. Datenschutz- und Menschenrechtsorganisationen, Wirtschaftsverbände und technische Expert:innen sprechen sich gleichermaßen gegen dieses Gesetz aus.

Besonders zu denken gebend, sogar Kinderschutzorganisationen wie der Deutsche Kinderschutzbund oder die Möwe aus Österreich kritisieren das Vorhaben stark: Das Gesetz hilft keinem Kind, verletzt aber die Grundrechte von Millionen Menschen.

Auch die Rechtsdienste der EU-Kommission, des EU-Parlaments und sogar der juristische Dienst des Rats der Mitgliedstaaten halten die geplante Verordnung für europarechtswidrig – sie würde vor dem Europäischen Gerichtshof (EuGH) kaum Bestand haben. Die Halbwertszeit dieses Gesetzes wäre also in Monaten zu messen.

Das Ende von Ende-zu-Ende

Ende-zu-Ende-Verschlüsselung sichert uns praktisch das digitale Briefgeheimnis. Ohne Verschlüsselung ist kein sicherer Austausch zwischen Bürger:innen, Journalist:innen, Whistleblowern, Anwält:innen oder Ärzt:innen mehr möglich.

Wenn sich sogar große Anbieter wie Signal, WhatsApp und Threema klar gegen die Chatkontrolle aussprechen, sollte uns das wirklich zu denken geben. Signal Chefin Whittaker kündigt an, lieber den europäischen Markt zu verlassen als die Integrität der Verschlüsselung zu untergraben. Dazu wäre allein der technische und rechtliche Aufwand besonders für kleinere Anbieter ein Todesstoß.

Schlüsselrolle: Österreich

Die Debatte um die Chatkontrolle polarisiert seit Jahren, doch Österreich ist bislang standhaft. Ein Allparteienbeschluss des Nationalrats aus 2022 legt eindeutig fest, dass dieser Massenüberwachung nicht zugestimmt werden darf. Damit gibt das Parlament der Regierung ihre Verhandlungsposition im Rat der EU vor.

Trotz dieser klaren Linie nimmt Österreich in der aktuellen Auseinandersetzung eine besondere Rolle ein. Wir stellen den zuständigen EU-Innenkommissar: Magnus Brunner (ÖVP). Er wurde letztes Jahr von der Volkspartei nach Brüssel entsandt. Dort ist er den gemeinsamen Interessen der EU und zur Einhaltung der Grundrechtecharta verpflichtet.

Trotz der eindeutigen Haltung aller Parteien in Österreich und der durch mehrere Urteile des EuGH bestätigten Ablehnung von Massenüberwachung, hat sich Brunner bisher nicht öffentlich zur Chatkontrolle geäußert. Deshalb fordern wir von Kommissar Brunner endlich Stellung zur Chatkontrolle zu beziehen. Nicht die Bürokratie seines Hauses oder seine Vorgängerin, sondern er trägt aktuell die politische Verantwortung für dieses Gesetz. Entweder er ist der Meinung die Chatkontrolle sei grundrechtskonform und sollte beschlossen werden oder er muss sich von dem Vorschlag distanzieren und Raum für echten Kinderschutz schaffen. Je länger sein Schweigen noch andauert, umso mehr missachtet er seine Verantwortung für die Grundrechte von Millionen Europäier:innen.