Glossar: Handbuch der digitalen Unterdrückung

Mobilfunkgeräte werden dazu gebracht, statt 4G/5G nur noch ältere Netze wie 2G oder 3G zu nutzen.

Das kann durch das Abschalten oder Stören moderner Funkstandards, manipulierte Basisstationen oder Netzkonfigurationen passieren. Besonders 2G ist problematisch, weil Schutzmechanismen schwächer sind und Angriffe wie IMSI-Catcher, Standortermittlung oder Verbindungsstörungen leichter werden.

Inländische oder staatlich genehme Dienste funktionieren besser als internationale Alternativen.

Provider können nationale Dienste bevorzugen, indem sie diese vom Datenvolumen ausnehmen, lokal schneller routen oder während Sperren erreichbar halten. Internationale Plattformen werden parallel gedrosselt, blockiert oder nur instabil angebunden.

Internetzugang wird zeitweise eingeschränkt, etwa nachts oder während erwarteter Proteste.

Solche Sperren können über Provider-Anweisungen, zentrale Gateways, Mobilfunkzellen oder regionale Routing-Regeln umgesetzt werden. Für Betroffene wirkt es oft wie eine wiederkehrende technische Störung.

Der Zugang zum globalen Internet läuft über wenige kontrollierbare Übergänge.

Wenn internationaler Datenverkehr an zentralen Gateways gebündelt wird, lassen sich DNS-Sperren, IP-Blocking, DPI, Drosselung oder komplette Abschaltungen mit weniger Aufwand durchsetzen. Gleichzeitig sinkt die technische Ausweichfähigkeit einzelner Provider.

Mobiles Internet wird abgeschaltet, während Festnetzanschlüsse teilweise weiter funktionieren.

Die Abschaltung kann einzelne Mobilfunkanbieter, Funkzellen, Regionen oder Datenverbindungen betreffen. Telefonie und SMS können weiter funktionieren, während IP-Datenverkehr blockiert wird. Besonders betroffen sind Menschen unterwegs, bei Protesten oder ohne Festnetzanschluss.

Ein Land wird ganz oder fast ganz vom globalen Internet getrennt.

Das kann durch zentrale Gateway-Sperren, Routing-Manipulation, Provider-Anweisungen oder das Abschalten internationaler Transitverbindungen passieren. Häufig laufen nationale Dienste weiter, damit Verwaltung, Banken oder staatlich kontrollierte Plattformen erreichbar bleiben.

Ein staatlich kontrollierter Binnenraum, der wie Internet wirkt, aber vom offenen globalen Netz getrennt werden kann.

Nationale Dienste, Rechenzentren, Suchmaschinen, Messenger und Verwaltungsangebote werden im Inland gehostet und priorisiert. Bei Krisen kann der internationale Zugang gekappt werden, während diese Binneninfrastruktur weiterläuft. Das iranische National Information Network ist ein zentrales Beispiel für diese Architektur.

Nur einzelne Städte, Provinzen oder Konfliktgebiete werden offline genommen.

Die Sperre kann über regionale Provider, Mobilfunkzellen, lokale Gateways oder Routing-Regeln erfolgen. Dadurch kann Repression vor Ort schwerer dokumentiert werden, während der Rest des Landes scheinbar normal online bleibt.

Nicht verbotene Seiten werden gesperrt, sondern nur ausdrücklich erlaubte Dienste funktionieren noch.

Whitelisting kehrt die normale Logik um: Unbekannte Domains, IPs, Protokolle oder verschlüsselte Tunnel werden standardmäßig blockiert. Das ist besonders wirksam gegen neue Umgehungstools, weil diese erst gar nicht auf eine Sperrliste gesetzt werden müssen.

Bestimmte staatliche oder inländische Dienste sind kostenlos oder günstiger nutzbar.

Provider erkennen diese Dienste über IP-Bereiche, Domains oder Plattformvereinbarungen und rechnen deren Nutzung anders ab. So entsteht ein wirtschaftlicher Druck, kontrollierbare Plattformen zu nutzen, während unabhängige oder internationale Angebote teurer oder langsamer bleiben.

Je weniger unabhängige Wege ins Netz existieren, desto leichter lässt sich Zensur durchsetzen.

Wenn Provider, Rechenzentren, Internetknoten, DNS-Resolver und internationale Gateways politisch oder technisch zentral kontrolliert werden, können Sperren schneller, einheitlicher und schwerer umgehbar ausgerollt werden.

Der Weg von Internetdaten wird manipuliert, sodass Dienste nicht mehr erreichbar sind.

BGP steuert, welche Netze über welche Wege erreichbar sind. Werden Routen zurückgezogen, falsch angekündigt oder intern verworfen, können ganze Dienste, Provider oder Regionen aus dem globalen Routing verschwinden. Für Nutzer*innen sieht das oft wie ein Ausfall aus, obwohl die Blockade gezielt gesetzt ist.

Schutzmechanismen wie DNS-over-HTTPS oder DNS-over-TLS werden blockiert, damit klassische DNS-Sperren weiter greifen.

Resolver-Adressen, TLS-Fingerprints oder bekannte DoH-Endpunkte können gesperrt werden. Dadurch werden Nutzer*innen zurück auf kontrollierbare DNS-Resolver gedrängt, deren Antworten manipuliert, protokolliert oder gefiltert werden können.

Geheime Zugangspunkte zu Tor oder anderen Umgehungsdiensten werden systematisch gesucht und anschließend blockiert.

Zensoren versuchen, Bridges über Testzugriffe, Listenlecks, aktive Scans oder Muster im Datenverkehr zu identifizieren. Deshalb wechseln moderne Umgehungssysteme Adressen, Tarnmechanismen und Verteilwege regelmäßig.

Große Infrastruktur-Anbieter werden blockiert, obwohl darüber sehr viele unterschiedliche Webseiten laufen.

CDNs und Cloud-Plattformen teilen IP-Bereiche, Zertifikate, DNS-Strukturen und Hosting-Infrastruktur. Eine Sperre gegen einen Dienst kann dadurch viele unbeteiligte Angebote treffen. Manchmal ist dieser Kollateralschaden unbeabsichtigt, manchmal wird er bewusst in Kauf genommen.

Beim Blockieren eines Ziels werden andere Dienste gleich mit getroffen.

Das passiert, wenn Sperren auf IP-Bereiche, Cloud-Anbieter, CDNs, DNS-Resolver oder Protokolle statt auf einzelne Inhalte angewendet werden. Je grober die Sperre, desto höher der Kollateralschaden.

Datenverkehr wird nicht nur weitergeleitet, sondern inhaltlich und technisch untersucht.

DPI-Systeme analysieren Paketköpfe, Protokollmerkmale, TLS-Metadaten, Paketgrößen, Timing und teilweise unverschlüsselte Inhalte. Damit können VPNs, Tor, Messenger, Streaming, Uploads oder bestimmte Apps erkannt, gedrosselt oder blockiert werden.

Eine Domain wird absichtlich falsch aufgelöst.

Statt der echten IP-Adresse liefert der DNS-Resolver eine falsche Antwort, eine Sperrseite oder gar keine Antwort. So kann eine Webseite unerreichbar wirken, obwohl Server und Internetverbindung funktionieren.

Der Name einer Webseite kann nicht mehr in eine IP-Adresse übersetzt werden.

Provider oder staatliche Resolver verweigern die Antwort, liefern NXDOMAIN, Timeout oder eine Blockseite. DNS-Sperren sind relativ einfach umzusetzen, aber oft durch alternative Resolver oder verschlüsseltes DNS umgehbar, sofern diese nicht ebenfalls blockiert werden.

Eine Tarntechnik wird blockiert, bei der verbotener Datenverkehr wie der Zugriff auf eine erlaubte große Plattform aussieht.

Domain Fronting nutzt Unterschiede zwischen sichtbarer Domain und internem Ziel innerhalb großer Cloud- oder CDN-Infrastrukturen. Zensoren reagieren mit SNI-/Host-Abgleich, CDN-Sperren oder politischen Vorgaben an Plattformbetreiber.

Neue Schutzmechanismen, die den Zielnamen einer HTTPS-Verbindung verbergen sollen, werden blockiert oder gestört.

Encrypted Client Hello soll verhindern, dass der aufgerufene Domainname im TLS-Verbindungsaufbau sichtbar ist. Zensoren können bekannte ECH-fähige Dienste blockieren, Verbindungsaufbau stören oder Nutzer*innen auf ältere, leichter filterbare Varianten zurückdrängen.

Unverschlüsselter Webverkehr wird verändert, blockiert oder umgeleitet.

Bei HTTP ohne TLS können Inhalte direkt gelesen und manipuliert werden. Zensoren können Blockseiten einfügen, Weiterleitungen erzwingen, Downloads verändern oder Verbindungen abbrechen. HTTPS schützt gegen vieles davon, aber nicht gegen alle Metadaten-basierten Sperren.

Bestimmte Serveradressen werden gesperrt.

Router oder Firewalls verwerfen Datenpakete zu einzelnen IP-Adressen, IP-Bereichen oder autonomen Systemen. Weil viele Dienste gemeinsame Infrastruktur nutzen, kann IP-Blocking leicht zu Collateral Blocking führen.

Inhalte mit bestimmten Wörtern werden unterdrückt.

Keyword-Filter können Suchanfragen, Posts, Kommentare, URLs, unverschlüsselten Traffic oder Plattforminhalte prüfen. In autoritären Kontexten betreffen Listen oft Namen politischer Gefangener, Protest-Slogans, Minderheitenrechte oder Hinweise auf Umgehungstechnologien.

Datenverkehr wird absichtlich ins Leere geschickt.

Router akzeptieren eine Route, verwerfen die Pakete aber stillschweigend oder leiten sie an ein nicht erreichbares Ziel. Das kann schwerer zu erkennen sein als eine sichtbare Blockseite, weil es wie Paketverlust oder ein technisches Problem wirkt.

Nur erlaubte Verbindungsarten funktionieren noch.

Firewalls lassen etwa gewöhnliches Web, nationale Apps oder bestimmte Unternehmensprotokolle passieren, blockieren aber unbekannte Tunnel, VPNs, Tor, SSH oder neue Verschlüsselungsprotokolle. Das ist eine besonders harte Form der Zugangskontrolle.

Moderne Webverbindungen über QUIC oder HTTP/3 werden gestört, damit Dienste langsamer oder leichter kontrollierbar werden.

QUIC läuft über UDP und verhält sich anders als klassische HTTPS-Verbindungen über TCP. Zensoren können UDP/443 blockieren oder drosseln, sodass Browser auf ältere Protokolle zurückfallen. Das kann Performance verschlechtern und Filterung erleichtern.

Bestimmte Werkzeuge oder Verbindungsarten werden gezielt unbrauchbar gemacht.

Blockiert werden nicht nur Websites, sondern Protokolle wie OpenVPN, WireGuard, Tor, SSH, Signal-Verkehr oder andere verschlüsselte Tunnel. Erkennung erfolgt über Ports, Paketmuster, Handshakes, IP-Listen oder DPI.

Bestimmte Dienste bleiben erreichbar, werden aber absichtlich langsam.

Provider können Bandbreite, Paketpriorität oder Verbindungsqualität für einzelne Plattformen, Protokolle, IP-Bereiche oder internationale Routen begrenzen. Die Maßnahme ist schwerer nachzuweisen als eine klare Sperre, weil sie wie Überlastung wirken kann.

Eine HTTPS-Verbindung wird anhand des sichtbaren Domainnamens blockiert.

Beim klassischen TLS-Verbindungsaufbau steht im Server Name Indication Feld oft die Ziel-Domain. Firewalls können diese Information lesen und die Verbindung abbrechen, obwohl der eigentliche Inhalt verschlüsselt ist.

Das Internet wird so stark verlangsamt, dass es praktisch kaum nutzbar ist.

Bandbreite, Latenz oder Paketverlust werden künstlich verschlechtert. Webseiten laden minutenlang, Uploads brechen ab, Messenger wirken instabil und Livestreams werden unmöglich, ohne dass eine vollständige Sperre sichtbar ist.

Verschlüsselte Verbindungen werden beim Aufbau gestört.

Firewalls können TLS-Handshakes abbrechen, Zertifikatsfehler provozieren, Verbindungen anhand von SNI, ALPN, Fingerprints oder Zertifikatsmerkmalen filtern oder Nutzer*innen auf unsichere Verbindungswege zurückdrängen.

Der Zugang zum Tor-Netzwerk wird erschwert oder blockiert.

Zensoren sperren öffentliche Relays, bekannte Bridges, Directory Authorities oder typische Tor-Verkehrsmuster. Tor reagiert mit Bridges und Pluggable Transports, die Verkehr tarnen oder über schwerer blockierbare Wege leiten.

Verbindungen werden absichtlich unzuverlässig gemacht.

Statt klar zu blockieren, erzeugt die Infrastruktur Timeouts, Paketverluste, Reset-Pakete, falsche Antworten oder künstliche Fehler. Das erschwert Diagnose und kann Nutzer*innen dazu bringen, sichere Tools aufzugeben.

Nicht die ganze Webseite, sondern einzelne Unterseiten werden blockiert.

Bei unverschlüsseltem HTTP kann der vollständige Pfad sichtbar sein. Bei HTTPS ist URL-Filterung schwieriger, aber über Plattformdruck, Proxy-Systeme, Suchmaschinen, App-interne Sperren oder staatlich kontrollierte Dienste weiterhin möglich.

VPNs werden gesperrt, damit Menschen Zensur nicht umgehen können.

Blockaden kombinieren IP-Listen, DNS-Sperren, App-Store-Einschränkungen, Zahlungsverbote, DPI, Protokoll-Fingerprinting und aktive Tests gegen VPN-Server. Deshalb funktionieren manche VPNs zeitweise, andere gar nicht oder nur mit Tarnmodus.

Apps für sichere Kommunikation oder unabhängige Information sind nicht mehr einfach installierbar.

Regierungen können Druck auf App-Store-Betreiber ausüben, lokale Store-Versionen kontrollieren oder Provider anweisen, Downloads zu blockieren. Betroffen sind häufig VPNs, Messenger, Exilmedien, Nachrichten-Apps oder Sicherheitswerkzeuge.

Plattformen entfernen Inhalte nicht aus eigener Community-Logik, sondern wegen staatlichen Drucks.

Dieser Druck kann über Gesetze, Bußgelder, lokale Vertreterpflichten, Sperrandrohungen oder informelle Kontakte entstehen. Für Nutzer*innen ist oft schwer erkennbar, ob ein Inhalt wegen Regelverstoß, politischer Einflussnahme oder automatisierter Fehler verschwindet.

Kritische Informationen werden nicht gelöscht, sondern im Lärm untergehen gelassen.

Koordinierte Accounts, Bots oder staatlich unterstützte Kampagnen verbreiten Propaganda, irreführende Gegen-Narrative, Spam oder massenhaft irrelevante Inhalte. Ziel ist, Suche, Hashtags, Kommentarspalten und öffentliche Aufmerksamkeit zu überfluten.

Ein Inhalt bleibt online, ist aber aus bestimmten Ländern oder Regionen nicht erreichbar.

Plattformen können Inhalte anhand von IP-Adresse, Account-Region, SIM-Land, Zahlungsdaten oder Standortsignalen ausblenden. Dadurch wirkt die Sperre lokal begrenzt und ist von außen manchmal schwer zu bemerken.

Ein Hashtag existiert noch, verliert aber seine Funktion als öffentlicher Sammelpunkt.

Plattformen oder staatlich beeinflusste Systeme können Hashtags aus Trends entfernen, Suche einschränken, Autovervollständigung deaktivieren oder Beiträge darunter schlechter ausspielen. So wird Mobilisierung erschwert, ohne jeden einzelnen Beitrag zu löschen.

Menschen sehen vor allem noch staatliche oder staatsnahe Informationen.

Ein Informationsmonopol entsteht durch die Kombination aus Sperren unabhängiger Medien, Druck auf Journalist*innen, bevorzugter Behandlung staatlicher Plattformen, Desinformation und rechtlicher Einschüchterung. Technisch kann es durch nationale Plattformen, Suchmaschinen oder Intranets verstärkt werden.

Automatisierte Systeme entscheiden mit, welche Inhalte sichtbar bleiben.

KI- oder regelbasierte Systeme können Texte, Bilder, Videos, Livestreams und Kommentare markieren, herabstufen oder löschen. In autoritären Kontexten lassen sich damit politische Begriffe, Symbole, Gesichter, Protestbilder oder Umgehungshinweise in großer Menge filtern.

Livebilder von Protesten oder Gewalt kommen nicht zuverlässig nach außen.

Livestreams können durch Plattform-Drosselung, Upload-Blockaden, Mobilfunkabschaltungen, Störungen einzelner Apps oder gezielte Sperren von Streaming-Endpunkten unterbrochen werden. Besonders wirksam ist das, weil Livestreams zeitkritisch sind.

Private Kommunikation über Messenger wird erschwert oder unmöglich gemacht.

Blockaden können DNS, IP-Adressen, CDNs, Push-Benachrichtigungen, Medienuploads oder spezifische Protokolle betreffen. Selbst wenn Textnachrichten noch funktionieren, können Sprachanrufe, Gruppen, Dateitransfers oder Registrierungscodes gezielt gestört sein.

Eine Plattform ist nicht gesperrt, funktioniert aber so schlecht, dass sie kaum nutzbar ist.

Provider können Bandbreite, Latenz oder Paketverlust für einzelne Plattformen erhöhen. Das trifft besonders Video, Audio, Uploads, Livestreams und große Chatgruppen. Nach außen wirkt es oft wie Überlastung oder ein Plattformproblem.

Inhalte bleiben online, werden aber kaum noch gesehen.

Beiträge können aus Empfehlungen, Trends, Suche oder Hashtag-Seiten verschwinden, ohne dass der Account offen gesperrt wird. Für Betroffene ist schwer nachweisbar, ob eine algorithmische Entscheidung, koordinierte Meldungen oder politischer Druck dahintersteht.

Große soziale Plattformen sind nicht oder nur eingeschränkt erreichbar.

Blockaden können ganze Plattformen, einzelne Funktionen oder bestimmte Inhalte betreffen. Regierungen nutzen sie häufig in Protestphasen, weil soziale Medien für Mobilisierung, Dokumentation, internationale Aufmerksamkeit und Kontakt zu Exil-Communities wichtig sind.

Unabhängige Nachrichtenquellen werden für Menschen im Land schwer erreichbar.

Betroffen sind Webseiten, Apps, YouTube-Kanäle, Podcasts, Newsletter, Exilmedien, Menschenrechtsorganisationen und investigative Plattformen. Sperren können technisch über DNS, IP, SNI oder Plattformdruck erfolgen und werden oft durch Kriminalisierung ergänzt.

Menschen finden bestimmte Informationen nicht mehr über normale Suche.

Suchergebnisse können entfernt, herabgestuft, lokal ausgeblendet oder durch staatliche Quellen verdrängt werden. In kontrollierten Suchmaschinen kann bereits die Autovervollständigung, Indexierung oder Ergebnisreihenfolge politisch gesteuert sein.

Staatliche Stellen verlangen, dass Inhalte oder Accounts entfernt werden.

Takedowns können sich gegen einzelne Posts, Videos, Domains, Kanäle, Gruppen oder ganze Accounts richten. Oft werden sie mit nationalen Gesetzen begründet, die sehr weit gefasst sind, etwa zu nationaler Sicherheit, Terrorismus, Extremismus oder Falschinformationen.

Menschen können Inhalte noch ansehen, aber keine eigenen Fotos, Videos oder Livestreams hochladen.

Technisch kann Upload-Verkehr stärker gedrosselt oder blockiert werden als Download-Verkehr. Das ist besonders gefährlich bei Protesten und Polizeigewalt, weil Dokumentation verhindert wird, während passive Nutzung scheinbar weiter möglich bleibt.

Inhalte werden geprüft, bevor andere Menschen sie sehen können.

Uploadfilter analysieren Texte, Bilder, Audiodateien oder Videos bereits vor oder unmittelbar nach der Veröffentlichung. In repressiven Kontexten können politische Symbole, Protest-Slogans, Gesichter, Orte, Gewaltaufnahmen oder Hinweise auf Umgehungswerkzeuge herausgefiltert werden.

Angreifer erhalten Zugriff auf Social-Media-, E-Mail- oder Messenger-Konten.

Danach können Kontakte ausgespäht, private Nachrichten gelesen, Inhalte gelöscht, Identitäten imitiert oder Desinformation verbreitet werden. Besonders gefährlich ist das, wenn ein Account als Vertrauensanker für Gruppen, Quellen oder Öffentlichkeitsarbeit genutzt wird.

Apps sammeln Daten darüber, wie, wo und mit welchem Gerät sie genutzt werden.

Telemetrie kann Geräteinformationen, Absturzberichte, Nutzungsverhalten, Kontakte, Standortdaten oder Netzwerkdaten enthalten. In repressiven Kontexten können solche scheinbar technischen Daten Rückschlüsse auf Aktivismus, Aufenthaltsorte oder Kontakte ermöglichen.

Körpermerkmale werden gespeichert, um Menschen später wiederzuerkennen.

Dazu gehören Gesichtsbilder, Fingerabdrücke, Irisdaten, Stimmprofile oder Gangmuster. Wenn solche Daten zentral verfügbar sind, können sie mit Kameras, Grenzkontrollen, Polizeidatenbanken oder Plattformbildern abgeglichen werden.

Ein Browser kann auch ohne Cookies wiedererkannt werden.

Webseiten kombinieren Merkmale wie Bildschirmgröße, Sprache, Zeitzone, installierte Schriftarten, Browser-Version, Grafikfunktionen oder Erweiterungen. Die Kombination kann so eindeutig sein, dass Nutzer*innen über Sitzungen oder Webseiten hinweg verfolgt werden.

Öffentliche oder halböffentliche Netzwerke verlangen beim Einloggen persönliche Daten.

Captive Portals können Telefonnummern, Ausweisdaten, Zimmernummern, Social-Logins oder SMS-Codes abfragen. Dadurch wird die spätere Nutzung eines WLANs oder Hotspots mit einer konkreten Person verknüpfbar.

Kameras beobachten nicht nur, sondern werden automatisch ausgewertet.

KI-Systeme können Gesichter, Kleidung, Bewegungsmuster, Fahrzeuge, Gruppenbildung oder ungewöhnliches Verhalten erkennen. In Protestkontexten kann das helfen, Menschen nachträglich zu identifizieren oder Bewegungen durch eine Stadt zu verfolgen.

Ein Mobiltelefon kann über Mobilfunkmasten ungefähr lokalisiert werden.

Auch ohne GPS weiß das Netz, mit welchen Funkzellen ein Gerät verbunden ist. Über Signalstärke, Timing und mehrere Masten kann der Standort eingegrenzt werden, besonders in Städten mit dichter Mobilfunkinfrastruktur.

Der Zugriff auf Cloud-Konten kann private Kommunikation indirekt offenlegen.

iCloud, Google, E-Mail-Konten oder Backups enthalten oft Kontakte, Fotos, Standortverläufe, Geräteinformationen und manchmal unverschlüsselte Sicherungen. Selbst Ende-zu-Ende-verschlüsselte Messenger können über Backups, Metadaten oder verknüpfte Accounts geschwächt werden.

Ein Gerät wird anhand vieler kleiner technischer Merkmale wiedererkannt.

Neben Browserdaten können Betriebssystem, Hardware, Sensoren, installierte Apps, Netzwerkverhalten, Schriftarten oder Geräteeinstellungen ein Profil bilden. Das kann Tracking ermöglichen, auch wenn Namen, Cookies oder IP-Adressen wechseln.

Netzverkehr wird genutzt, um Verhalten sichtbar zu machen, auch wenn Inhalte verschlüsselt sind.

DPI kann Protokolle, Tools, Plattformen, Timing, Paketgrößen und Verbindungsmuster erkennen. Daraus lassen sich Hinweise ableiten, ob jemand VPNs, Tor, Messenger, Upload-Dienste oder bestimmte Apps nutzt.

Beschlagnahmte Smartphones oder Laptops können systematisch ausgewertet werden.

Forensische Werkzeuge suchen nach Chatverläufen, Fotos, Standortdaten, Kontakten, Browserdaten, gelöschten Dateien, App-Datenbanken und Cloud-Zugängen. Selbst scheinbar gelöschte Informationen können je nach Gerät, Verschlüsselung und Zustand rekonstruierbar sein.

Teilnehmende an Demonstrationen können anhand ihres Gesichts identifiziert werden.

Behörden oder verbundene Akteure können Kameras, Social-Media-Bilder, Livestreams oder Pressefotos mit Ausweis-, Pass-, Schul-, Arbeits- oder Plattformdatenbanken abgleichen. Auch Freundeskreise und wiederkehrende Orte können die Identifizierung erleichtern.

An Grenzen können Geräte und Accounts zum Risiko für Kontakte und Quellen werden.

Reisende können unter Druck gesetzt werden, Smartphones zu entsperren, Messenger zu öffnen, Cloud-Konten zu zeigen oder Passwörter preiszugeben. Gefährdet sind nicht nur eigene Daten, sondern auch Chatpartner*innen, Fotos, Gruppen und berufliche Quellen.

Eine gefälschte Mobilfunk-Basisstation bringt Mobilfunkgeräte in der Nähe dazu, sich mit ihr zu verbinden.

Solche Systeme können Gerätekennungen wie IMSI oder IMEI erfassen, Standortdaten eingrenzen und Verbindungen stören. Je nach Mobilfunkstandard, Netzkonfiguration und eingesetzter Technik können auch Downgrades oder weitere Angriffe erleichtert werden.

Internetzugang oder Online-Dienste werden an eine staatliche Identität gekoppelt.

Wenn Logins, Telefonnummern, Ausweise oder digitale IDs Pflicht werden, lässt sich Online-Verhalten leichter konkreten Personen zuordnen. Anonyme Kritik, Whistleblowing, Recherche und sichere politische Kommunikation werden dadurch stark erschwert.

Fahrzeuge und Bewegungen können automatisch verfolgt werden.

Kamerasysteme erfassen Kennzeichen, Orte und Zeitpunkte und können daraus Bewegungsprofile erstellen. Das kann sichtbar machen, wer zu Protesten, Treffen, Redaktionen, Botschaften oder Wohnungen bestimmter Personen fährt.

Tastatureingaben werden heimlich aufgezeichnet.

Keylogger können Passwörter, Suchanfragen, Nachrichten, Entwürfe und Zwei-Faktor-Codes erfassen. Sie können als Schadsoftware auf dem Gerät laufen, in manipulierten Tastatur-Apps stecken oder über kompromittierte Systeme eingesetzt werden.

Menschen müssen Online-Dienste unter echtem Namen nutzen.

Klarnamenpflichten verbinden politische Äußerungen, Gruppenmitgliedschaften und Mediennutzung direkt mit der bürgerlichen Identität. Selbst ohne technische Überwachung entsteht dadurch ein starker Druck zur Selbstzensur.

Nicht nur einzelne Personen, sondern ihre Beziehungen werden analysiert.

Kontaktlisten, Gruppenmitgliedschaften, Anruflisten, Messenger-Metadaten, E-Mail-Header oder gemeinsame Standorte zeigen, wer mit wem verbunden ist. So lassen sich Organisationen, Vertrauenspersonen, Quellen und informelle Netzwerke rekonstruieren.

Kommunikation wird unterwegs abgefangen oder verändert.

Bei einem Man-in-the-Middle-Angriff steht ein Angreifer zwischen Nutzer*in und Dienst. Besonders gefährlich wird das in unsicheren WLANs, durch manipulierte Zertifikate, kompromittierte Router oder staatlich kontrollierte Netzinfrastruktur.

Auch ohne Nachrichteninhalt kann Kommunikation viel verraten.

Metadaten zeigen, wer wann, wie oft, von wo, mit wem und über welchen Dienst kommuniziert. Für Repression kann das bereits reichen, weil Kontakte, Routinen, Gruppenstrukturen und Krisenmomente sichtbar werden.

Ein kompromittiertes Gerät kann selbst zum Überwachungswerkzeug werden.

Spyware oder missbrauchte Berechtigungen können Mikrofon, Kamera, Standort, Bildschirm oder Dateien auslesen. Der Schutz durch verschlüsselte Messenger hilft dann nur begrenzt, weil die Überwachung direkt auf dem Gerät stattfindet.

Hochentwickelte Spyware kann Smartphones sehr tief kompromittieren.

Pegasus-ähnliche Werkzeuge nutzen oft unbekannte Sicherheitslücken und können teils ohne sichtbare Interaktion installiert werden. Danach sind Nachrichten, Kontakte, Fotos, Standort, Mikrofon, Kamera und Account-Zugänge potenziell gefährdet.

Menschen werden mit gefälschten Links, Dateien oder Login-Seiten in eine Falle gelockt.

Phishing zielt auf Passwörter, Zwei-Faktor-Codes, Cloud-Zugänge oder die Installation von Schadsoftware. Besonders wirksam sind personalisierte Nachrichten, die sich auf echte politische Arbeit, Medienanfragen, Hilfsangebote oder interne Konflikte beziehen.

Datenanalyse wird genutzt, um Proteste oder Aktivismus vorherzusagen.

Behörden können Social-Media-Daten, Standortmuster, Kontaktgraphen, frühere Verhaftungen oder Ereigniskalender auswerten. Das kann zu präventiver Einschüchterung, gezielten Kontrollen oder Überwachung bestimmter Gruppen führen.

Spyware kann sehen, was auf dem Bildschirm steht oder kopiert wurde.

Screenshots und Zwischenablage-Daten können Nachrichten, Passwörter, Einmalcodes, Wallet-Adressen, Kontakte oder interne Dokumente offenlegen. Besonders riskant ist das bei Passwortmanagern, Messenger-Apps und Übersetzungs- oder Notiz-Workflows.

Ein Telefon kann unbemerkt angepingt werden, um seine Erreichbarkeit oder Position zu prüfen.

Silent SMS oder ähnliche Netzsignale erscheinen nicht als normale Nachricht. Sie können aber im Mobilfunknetz Spuren erzeugen, die Ermittlungsbehörden zur Standortbestimmung oder Aktivitätsprüfung nutzen können.

Telefonnummern werden direkt mit Ausweisdaten verknüpft.

Wenn SIM-Karten nur mit Registrierung erhältlich sind, lassen sich Anrufe, SMS, Messenger-Registrierungen, Mobilfunkstandorte und Datenverbindungen leichter einer Person zuordnen. Das schwächt anonyme Kommunikation erheblich.

Eine Telefonnummer wird übernommen, um Accounts anzugreifen.

Angreifer bringen Provider dazu, eine Nummer auf eine neue SIM zu übertragen, oder nutzen kompromittierte Provider-Prozesse. Dadurch können SMS-Codes abgefangen, Passwörter zurückgesetzt und Messenger- oder E-Mail-Konten übernommen werden.

Zwei-Faktor-Codes per SMS sind besser als kein Schutz, aber nicht besonders robust.

SMS-Codes können durch SIM-Swapping, SS7-Angriffe, Providerzugriff, Gerätebeschlagnahmung oder Schadsoftware gefährdet werden. Wo möglich, sind Authenticator-Apps, Passkeys oder Hardware-Sicherheitsschlüssel sicherer.

Öffentliche und halböffentliche Online-Beziehungen werden ausgewertet.

Likes, Shares, Follower, Kommentare, Gruppenmitgliedschaften, gemeinsame Hashtags und Interaktionen zeigen politische Nähe, Sympathien oder Organisationsstrukturen. Sozialgraphen können auch Menschen gefährden, die selbst wenig posten.

Schwächen in alter Mobilfunk-Infrastruktur können für Überwachung missbraucht werden.

SS7 ist ein Signalisierungssystem, das Mobilfunknetze weltweit miteinander verbindet. Angriffe oder privilegierter Zugang können genutzt werden, um Standortdaten abzufragen, SMS umzuleiten oder bestimmte Mobilfunkdienste anzugreifen.

Schadsoftware greift direkt auf das Gerät zu, statt Verschlüsselung zu brechen.

Staatstrojaner und Spyware können Nachrichten, Dateien, Fotos, Standort, Kontakte, Mikrofon, Kamera oder Tastatureingaben auslesen. Ende-zu-Ende-Verschlüsselung wird dadurch umgangen, weil die Daten vor oder nach der Verschlüsselung auf dem Gerät abgegriffen werden.

Mobilfunkdaten zeigen, wo ein Gerät ungefähr war.

Provider speichern oder verarbeiten, wann ein Gerät in welcher Funkzelle eingebucht war. Daraus können Bewegungsprofile, Aufenthaltsorte, Reisewege oder die Teilnahme an Protesten und Treffen abgeleitet werden.

Auch verschlüsselter Datenverkehr kann manchmal am Muster erkannt werden.

Paketgrößen, Timing, Verbindungsdauer, Datenmengen und typische Handshakes können Hinweise auf Apps oder Protokolle geben. So lassen sich etwa Tor, VPNs, Messenger-Anrufe oder Uploads erkennen, ohne den Inhalt zu lesen.

Öffentliche WLANs können Aufenthaltsorte und Online-Aktivitäten sichtbar machen.

Wenn WLANs Registrierung, Telefonnummer, Ausweis oder Captive Portals verlangen, wird Nutzung identifizierbar. Zusätzlich können Betreiber Verbindungszeiten, Gerätekennungen, besuchte Domains oder Bewegungen zwischen Access Points protokollieren.

Aus vielen kleinen digitalen Spuren werden Einschätzungen über eine Person gebildet.

Suchverhalten, Kontakte, Standorte, Plattformnutzung, Käufe, Schlafzeiten oder Interaktionen können zu Profilen kombiniert werden. Daraus lassen sich politische Orientierung, Aktivismus, Gewohnheiten, Verwundbarkeiten oder Risikokategorien ableiten.

Verbindungsdaten werden auf Vorrat gespeichert, auch ohne konkreten Anlass.

Gespeichert werden können etwa Telefonnummern, IP-Adressen, Zeitpunkte, Funkzellen oder Kommunikationspartner. Selbst wenn Inhalte nicht gespeichert werden, können solche Daten später Netzwerke, Bewegungen und Routinen rekonstruieren.

Nutzer*innen sollen Zertifikate installieren, die verschlüsselte Verbindungen schwächen können.

Ein staatliches oder kontrolliertes Root-Zertifikat kann Man-in-the-Middle-Überwachung erleichtern, wenn Geräte oder Apps ihm vertrauen. Dadurch können HTTPS-Verbindungen abgefangen, geprüft oder manipuliert werden, sofern zusätzliche Schutzmechanismen nicht greifen.

Technische Sicherheit wird durch rechtlichen oder physischen Druck ausgehebelt.

Wenn Behörden oder Sicherheitskräfte Passwörter, PINs, Entsperrmuster oder Account-Zugänge verlangen, hilft starke Verschlüsselung nur begrenzt. Betroffen sind nicht nur die eigene Privatsphäre, sondern auch Kontakte, Gruppen, Quellen und gespeicherte Dokumente.

Gesetze gegen digitale Kriminalität werden genutzt, um legitime Kritik zu verfolgen.

Weit gefasste Begriffe wie Falschinformationen, Extremismus, Beleidigung, Cybercrime oder nationale Sicherheit erlauben es, Aktivismus, Journalismus, Satire oder Menschenrechtsarbeit strafrechtlich zu behandeln. Die Grenze zwischen echter Strafverfolgung und politischer Repression wird dadurch bewusst verwischt.

Daten müssen innerhalb des Landes gespeichert oder verarbeitet werden.

Das kann staatlichen Zugriff erleichtern, weil Unternehmen lokalen Gesetzen, Lizenzauflagen und Behördenanfragen unterliegen. Gleichzeitig werden internationale Schutzmechanismen, ausländische Gerichte oder technische Ausweichmöglichkeiten geschwächt.

Webseiten werden durch massenhafte Anfragen lahmgelegt.

DDoS-Angriffe überlasten Server, Netzwerke oder Schutzsysteme gezielt. In politischen Krisen treffen sie häufig unabhängige Medien, NGOs, Kampagnen, Exilgruppen oder Dokumentationsprojekte genau dann, wenn Informationen besonders dringend gebraucht werden.

Eine Webadresse wird entzogen, abgeschaltet oder umgeleitet.

Über Registrare, nationale Domainverwaltungen, Gerichte oder Behörden kann eine Domain beschlagnahmt werden. Die Inhalte können technisch weiterhin auf einem Server liegen, sind aber unter der bekannten Adresse nicht mehr erreichbar oder werden auf eine andere Seite gelenkt.

Politische Kommunikation wird als Sicherheitsbedrohung dargestellt.

Aktivismus, Journalismus, Protestaufrufe oder Kontakte zu Oppositionellen können unter Extremismus- oder Terrorismusvorwürfe gefasst werden. Das schafft eine Begründung für Überwachung, Kontosperren, Inhaltslöschungen, Verhaftungen oder internationale Rechtshilfeersuchen.

Gesetze gegen Desinformation werden gegen unabhängige Informationen eingesetzt.

Statt nachweislich schädliche Falschinformationen eng zu definieren, werden Begriffe wie Fake News oder Gerücht weit ausgelegt. Dadurch können Berichte über Gewalt, Korruption, Proteste, Minderheitenrechte oder staatliches Versagen kriminalisiert werden.

Projekte werden angegriffen, indem Geldflüsse blockiert werden.

Bankkonten, Zahlungsdienste, Crowdfunding, Spendenplattformen, Kreditkarten oder Kryptowährungszugänge können gesperrt oder eingeschränkt werden. So lassen sich Medien, NGOs, technische Infrastruktur oder Hilfsnetzwerke schwächen, ohne Inhalte direkt zu löschen.

Online-Angebote dürfen nur mit Registrierung oder Erlaubnis betrieben werden.

Blogs, Vereine, Medien, Newsletter, Social-Media-Kanäle oder Videoplattformen können genehmigungspflichtig gemacht werden. Nicht registrierte Angebote gelten dann als illegal und können blockiert, gelöscht oder strafrechtlich verfolgt werden.

Inhalte verschwinden, weil der technische Dienstleister unter Druck gesetzt wird.

Staaten oder mächtige Akteure können Hosting-Anbieter, Rechenzentren, Domain-Provider oder Infrastrukturunternehmen rechtlich, wirtschaftlich oder politisch bedrängen. Besonders gefährdet sind kleine Medien, NGOs und Projekte ohne eigene Ausweichinfrastruktur.

Nicht nur verbotene Inhalte, sondern Werkzeuge für freien Zugang werden verfolgt.

VPNs, Tor, Bridges, Proxyserver, Psiphon, Snowflake, Satelliteninternet oder Anleitungen zur Umgehung von Sperren können illegalisiert oder kriminalisiert werden. Das trifft auch Menschen, die solche Werkzeuge nur für Sicherheit, Recherche oder Kontakt zur Familie nutzen.

Internetanbieter dürfen nur arbeiten, wenn sie staatliche Vorgaben erfüllen.

Lizenzen können an Filtertechnik, Überwachungsschnittstellen, Datenweitergabe, lokale Speicherung, Abschaltfähigkeit oder Kooperation mit Sicherheitsbehörden gebunden werden. Provider werden so zu Durchsetzungsstellen staatlicher Kontrolle.

Ausländische Plattformen müssen Personen im Land benennen, die haftbar gemacht werden können.

Lokale Vertreter*innen können mit Bußgeldern, Strafverfahren, Verhaftung oder Lizenzverlust bedroht werden. Dadurch entsteht direkter Druck auf Plattformen, Inhalte zu löschen, Daten herauszugeben oder Sperranordnungen umzusetzen.

Plattformen müssen sich registrieren und staatliche Bedingungen akzeptieren.

Lizenzmodelle können lokale Vertreter, Datenlokalisierung, Löschfristen, Inhaltsfilter, Transparenzpflichten gegenüber Behörden oder technische Schnittstellen verlangen. Wer sich weigert, riskiert Blockaden, Drosselung oder rechtliche Sanktionen.

Online-Journalismus wird an staatliche Erlaubnis gebunden.

Wenn Medienlizenzen auch für Webseiten, Kanäle, Podcasts oder Social-Media-Formate gelten, können kritische Angebote formal illegalisiert werden. Entzug oder Verweigerung einer Lizenz wird dann zum Werkzeug gegen unabhängige Berichterstattung.

Die Nutzung bestimmter Dienste wird verboten, auch wenn sie technisch erreichbar sind.

Menschen können für VPNs, Proxies, ausländische Plattformen, nicht registrierte Messenger oder unabhängige Medienzugänge bestraft werden. Solche Regeln erzeugen Angst und senken die Nutzung selbst dann, wenn eine technische Sperre umgangen werden könnte.

Internationale Beschränkungen können unbeabsichtigt auch freie Kommunikation erschweren.

Sanktionen, Exportkontrollen, Zahlungsblockaden oder Plattformrisikoregeln können dazu führen, dass Menschen keine Sicherheitsupdates, Cloud-Dienste, App-Downloads, Hosting, Zahlungswege oder Schutztools erhalten. Gemeint ist oft ein Regime, getroffen wird aber auch Zivilgesellschaft.

Kritische Stimmen verlieren bezahlte Reichweite und Einnahmen.

Medien, NGOs oder oppositionelle Gruppen können von Werbenetzwerken ausgeschlossen werden oder keine Anzeigen mehr schalten dürfen. Das schwächt Sichtbarkeit, Finanzierung und die Fähigkeit, Zielgruppen außerhalb der eigenen Filterblase zu erreichen.

Eine gesteuerte Kampagne wird als spontane öffentliche Meinung getarnt.

Organisierte Accounts, bezahlte Kommentator*innen, Bots oder staatsnahe Netzwerke erzeugen den Eindruck, eine bestimmte Position werde von vielen unabhängigen Menschen vertreten. Dadurch können Debatten gekippt, Kritik delegitimiert und Betroffene isoliert werden.

Menschen schweigen, weil sie mögliche Folgen fürchten.

Ein Chilling Effect entsteht, wenn Überwachung, Drohungen, Verhaftungen, öffentliche Hetze oder unklare Gesetze das Verhalten verändern. Nicht jede Person muss tatsächlich verfolgt werden. Oft reicht die glaubhafte Möglichkeit, um Posts, Recherchen, Kontakte oder Proteste zu vermeiden.

Private Informationen werden als Druckmittel eingesetzt.

Angreifer drohen damit, Fotos, Chats, Kontakte, intime Inhalte, Aufenthaltsorte oder berufliche Informationen zu veröffentlichen oder an Behörden und Familie weiterzugeben. Ziel ist nicht immer Geld, sondern oft Schweigen, Kooperation, Rückzug aus Öffentlichkeit oder Aufgabe politischer Arbeit.

Persönliche Daten werden veröffentlicht, damit eine Person angreifbar wird.

Doxxing kann Adresse, Telefonnummer, Arbeitsplatz, Familienbezüge, Fotos, Ausweisdaten oder Social-Media-Profile umfassen. Die Veröffentlichung soll Einschüchterung erzeugen und ermöglicht häufig weitere Angriffe wie Drohungen, Stalking, Meldekampagnen oder Druck auf Angehörige.

Familienmitglieder werden bedroht, um Menschen im Ausland oder in der Öffentlichkeit einzuschüchtern.

Bei transnationaler Repression werden Angehörige im Herkunftsland verhört, überwacht, beruflich benachteiligt oder direkt bedroht. Dadurch entsteht Druck auf Exil-Aktivist*innen, Journalist*innen oder Menschenrechtsverteidiger*innen, obwohl sie selbst außerhalb der Reichweite des Staates leben.

Digitale Angriffe nutzen Geschlecht, Sexualität oder Körper als Angriffsfläche.

Besonders Frauen, queere Personen und marginalisierte Gruppen werden mit sexualisierten Drohungen, intimen Fälschungen, moralischer Diffamierung oder Drohungen gegen Familie und Ehre angegriffen. Ziel ist, Menschen aus Öffentlichkeit, Aktivismus und politischer Debatte zu drängen.

Angreifer geben sich online als eine andere Person oder Organisation aus.

Gefälschte Profile, gekaperte Accounts oder nachgebaute Webseiten können genutzt werden, um Vertrauen zu missbrauchen, Kontakte auszuforschen, Falschinformationen zu verbreiten oder Aktivist*innen zu diskreditieren. Besonders gefährlich ist das in Netzwerken, in denen Vertrauen über persönliche Beziehungen entsteht.

Viele koordinierte Meldungen sollen Accounts oder Inhalte zum Verschwinden bringen.

Plattformen reagieren oft automatisiert auf massenhafte Reports. Organisierte Gruppen können dadurch Sperren, Reichweitenverluste, Einschränkungen oder Moderationsprüfungen auslösen, obwohl die gemeldeten Inhalte legitim sind. Das wirkt wie Plattformmoderation, ist aber oft koordinierte Einschüchterung.

Menschen werden online so massiv angegriffen, dass Öffentlichkeit zur Belastung wird.

Koordinierte Angriffe kombinieren Beleidigungen, Drohungen, sexualisierte Gewaltfantasien, rassistische oder politische Hetze, Doxxing, Meldekampagnen und Spam. Ziel ist, Betroffene zu erschöpfen, zu isolieren und aus Debatten oder politischer Arbeit zu verdrängen.

Die Glaubwürdigkeit einer Person oder Organisation wird gezielt beschädigt.

Diffamierung kann über Gerüchte, manipulierte Screenshots, falsche Vorwürfe, staatliche Medien, Bot-Netzwerke oder scheinbar unabhängige Accounts laufen. Besonders wirksam ist sie, wenn sie an bestehende Vorurteile anknüpft und Unterstützer*innen verunsichert.

Menschen sagen, posten oder recherchieren weniger, weil sie Folgen befürchten.

Selbstzensur entsteht nicht nur durch direkte Verbote, sondern durch Angst vor Überwachung, Strafverfolgung, Jobverlust, Angriffen auf Familie, sozialer Ächtung oder digitaler Gewalt. Sie ist für repressive Systeme besonders wirksam, weil Kontrolle dann teilweise von den Betroffenen selbst übernommen wird.

Repression endet nicht an Landesgrenzen.

Staaten oder staatsnahe Akteure überwachen, bedrohen, diffamieren oder verfolgen Kritiker*innen auch im Ausland. Dazu gehören Druck auf Angehörige, Spionage in Diaspora-Communities, Einschüchterung bei Veranstaltungen, digitale Angriffe, Auslieferungsdrohungen oder Kampagnen gegen Exilmedien.

Organisierte Accounts manipulieren Debatten und greifen Kritiker*innen an.

Troll-Armeen können staatlich gesteuert, parteinah, kommerziell bezahlt oder ideologisch motiviert sein. Sie verstärken Propaganda, streuen Zweifel, attackieren Zielpersonen, verschieben Hashtags und erzeugen den Eindruck, Kritik sei isoliert oder gesellschaftlich unerwünscht.