Wettlauf im All: Wie kommerzielle Satelliten die Kriegführung verändern

Militärs nutzen verstärkt die Mega-Konstellationen privater Tech-Konzerne. Privacy International warnt vor dramatischen Folgen für das Völkerrecht und die weltweite Sicherheit.

Das All ist längst kein friedlicher Ort der reinen Wissenschaft mehr, sondern hat sich zum Schauplatz geopolitischer Machtkämpfe entwickelt. Wo einst staatliche Raumfahrtagenturen das Monopol innehatten, bestimmen heute private Tech-Giganten und Risikokapitalgeber das Geschehen in der Umlaufbahn. Eine Analyse der Bürgerrechtsorganisation Privacy International zeichnet ein besorgniserregendes Bild dieser Entwicklung: Unter dem Deckmantel ziviler und humanitärer Zwecke entsteht in der erdnahen Umlaufbahn eine kritische Infrastruktur, die primär militärischen Interessen dient und künftige Kriege grundlegend verändert.

Die schiere Masse an Flugkörpern im Orbit hat in den vergangenen Jahren massiv zugenommen. Gab es im Jahr 2014 gerade einmal rund 1000 aktive Satelliten, kreisten zehn Jahre später bereits mehr als 10.000 künstliche Trabanten um die Erde. Treibender Motor dieser Entwicklung sind private Anbieter von erdnahen Kommunikationsnetzen. Allen voran dominiert das Unternehmen SpaceX von Elon Musk mit seinem Starlink-Netzwerk den Markt. Mit Tausenden Satelliten kontrolliert der Konzern einen Großteil der funktionierenden Erdtrabanten. Und die Expansion geht ungebremst weiter: China hat bei der Internationalen Fernmeldeunion bereits Frequenzanträge für ein System aus über 200.000 geplanten Satelliten eingereicht.

Diese kommerziellen Megakonstellationen sind keineswegs nur für mobiles Internet auf Kreuzfahrtschiffen oder in entlegenen Regionen gedacht. Längst hat etwa das US-Verteidigungsministerium die enorme Bedeutung dieser privaten Infrastruktur erkannt und Verträge mit zahlreichen Anbietern geschlossen, um hochentwickelte Satellitendienste direkt in militärische Befehlsketten einzubinden. Die Grenzen zwischen ziviler Nutzung und militärischer Aufklärung verschwimmen dabei zusehends. Hochauflösende optische Sensoren, Radar-Technologien und Infrarotsysteme privater Anbieter liefern Daten in Echtzeit, die für Zielerfassungen und Truppenbewegungen genutzt werden.

Besonders problematisch ist laut Privacy International das sogenannte Dual-Use-Narrativ, das viele Betreiber pflegen. Firmen betonten nach außen hin gern den humanitären Nutzen ihrer Systeme – etwa bei der Katastrophenhilfe oder der Dokumentation von Menschenrechtsverletzungen. Doch dieselben hochauflösenden Aufnahmen und Datenströme fließen nahtlos in militärische Lagezentren und Grenzsicherungssysteme. Wer die Hoheit über diese Sensoren besitzt, entscheidet maßgeblich darüber, welche Konflikte beleuchtet werden und welche im Verborgenen bleiben. Zivile Hilfe und militärische Kontrolle basieren somit auf derselben technologischen Grundlage.

Diese Entwicklung birgt gravierende rechtliche und politische Risiken. Das bestehende Völkerrecht wie der Weltraumvertrag von 1967 stammt aus einer Ära, in der ausschließlich Staaten im All agierten. Es fehlt an klaren Regeln für den Umgang mit privaten Akteuren, die in bewaffneten Konflikten Partei ergreifen. Wenn kommerzielle Satellitensysteme für militärische Operationen genutzt werden, können sie nach dem Humanitären Völkerrecht zu legitimen militärischen Zielen werden. Dies erhöht der Untersuchung zufolge die Gefahr, dass globale Kommunikationsnetze, von denen auch das zivile Leben abhängt, in bewaffneten Auseinandersetzungen ins Visier geraten.

Gleichzeitig wird die Macht einzelner Tech-Milliardäre zu einer geopolitischen Unbekannten. Die Entscheidung, ob ein Satellitennetzwerk über einem Kriegsgebiet aktiviert oder abgeschaltet wird, liegt mitunter in den Händen einzelner Firmenchefs. Diese immense Ballung von Macht entzieht sich weitgehend demokratischer Kontrolle und staatlicher Regulierung. Während Regierungen versuchen, mit neuen Raumfahrtstrategien auf die Dynamik der Industrie zu reagieren, hinkt die internationale Gesetzgebung der Realität im Orbit weit hinterher. Der neue Wettlauf im All ist so längst kein ziviles Abenteuer mehr, sondern ein hochgefährliches Wettrüsten unter privater Regie.

Stefan Krempl

Altersverifizierung: Kontrollinfrastruktur unter dem Deckmantel des Jugendschutzes

Die EU plant ein Altersnachweis-System für Online-Dienste. Bürgerrechtler warnen vor massiven Mängeln beim Datenschutz und drohender Dauerüberwachung.

EU-Kommissionspräsidentin Ursula von der Leyen kündigte bereits im Sommer an, im Rahmen der jährlichen Rede zur Lage der EU einen Gesetzesvorschlag für ein Verbot sozialer Medien ohne Altersverifikation vorzulegen. Das Vorhaben stützt sich auf eine App zur Altersbestimmung, die von der Kommission kurz zuvor als technisch ausgereift und einsatzbereit angepriesen wurde. Fachleute und Öffentlichkeit begegneten diesem Vorstoß aber rasch mit Spott, denn statt einer fertigen Anwendung lieferte die Brüsseler Behörde nur eine Blaupause. Dieser Entwurf, die sogenannte Mini-Wallet, soll den Mitgliedstaaten als Vorlage dienen, um eigene Apps zu entwickeln, ergänzt durch eine recht rudimentäre Demo-Version.

Technisch basiert diese Initiative auf der eID-Wallet, die von den EU-Staaten bis Ende 2026 für alle Bürger bereitgestellt werden muss. Die Bürgerrechtsorganisation European Digital Rights weist jedoch eindringlich darauf hin, dass effektiver Jugendschutz im Netz auch ohne flächendeckende und verpflichtende Identitätskontrollen möglich sei. Sollte die Politik dennoch auf technischen Zugangssperren bestehen, müssten höchste Maßstäbe an Datenschutz, IT-Sicherheit und Diskriminierungsfreiheit angelegt werden. Die aktuelle Realität sieht anders aus, denn die geplante Kontrollarchitektur entfaltet sich rasant und weist fundamentale Schwachstellen auf.

Bereits das Fundament des Systems wirft laut EDRi gravierende Fragen auf. Gesetzlich ist für die eID-Wallet vorgeschrieben, dass die Unverknüpfbarkeit von Daten gewährleistet sein muss. Konkret bedeutet das, dass niemand in der Lage sein darf, die Nutzung von altersbeschränkten Online-Diensten mit der realen Identität einer Person zusammenzuführen. Die EU-Kommission schwächt diesen Standard aber ab und strebt in ihren Spezifikationen nur an, eine Verknüpfung zu erschweren, anstatt sie konsequent technisch zu verhindern.

Dazu kommt ein systemischer Ausschluss: Die verlässliche Altersverifikation erfordert eine Vertrauensquelle in Form des Personalausweises, der über biometrische Verfahren wie Gesichtserkennung mit der Mini-Wallet gekoppelt wird. Wer über keine passenden Ausweisdokumente oder ein kompatibles Smartphone verfügt oder sich schlicht der Gesichtserkennung verweigert, wird von der Nutzung ausgeschlossen.

Zwar existieren kryptografische Verfahren wie Zero-Knowledge-Proofs (ZKP), mit denen die Volljährigkeit nachgewiesen werden kann, ohne persönliche Daten preiszugeben. Doch die Richtlinien der Kommission schreiben deren Einsatz nicht zwingend vor. Während die Bereitstellung von Identitätsnachweisen verbindlich vorgegeben wird, bleibt die Nutzung datenschutzfreundlicher Kryptografie für App-Entwickler und Plattformanbieter eine bloße Empfehlung.

Anstelle moderner ZKP setzt die Kommission primär auf ein Verfahren zur stapelweisen Ausstellung von Nachweisen (Batch Issuance). Dabei erhält der Nutzer ein Paket einmaliger Zertifikate. Obwohl dies das Tracking zwischen verschiedenen Webseiten erschwert, sind in diesen Dokumenten weiterhin eindeutige Parameter wie Zeitstempel, Hashes und digitale Signaturen enthalten. Sollten der Zertifikate-Aussteller und die genutzten Plattformen zusammenarbeiten, lässt sich das Nutzerverhalten über verschiedene Dienste hinweg lückenlos nachverfolgen. Eine echte Anonymität wird dadurch keineswegs garantiert.

Selbst wenn der Einsatz von Zero-Knowledge-Proofs verpflichtend wäre, blieben erhebliche Risiken bestehen, warnt EDRi. Die Blaupause der Kommission sieht vor, dass der Aussteller der Altersnachweise zugleich als Anbieter der Verifikations-App fungieren kann. Diese Verknüpfung der Kontrolle bei einer einzigen Instanz wie dem Staat erleichtert die Überwachung der Bürger. Ferner fehlt eine strikte Verpflichtung zur Datenminimierung, die das Speichern von Transaktionsdaten ausdrücklich untersagt. IT-Sicherheitsexperten warnen davor, dass zentrale Systeme bei Sicherheitslücken, behördlichen Anordnungen oder missbräuchlicher Nutzung schnell zu einer Katastrophe für den Privatsphärenschutz werden.

Die Problematik beschränkt sich nicht auf die Kinderkrankheiten und Sicherheitsmängel der ersten Demo-App. Gemäß der eIDAS-Verordnung müssen die Mitgliedstaaten den Quellcode ihrer Wallet-Apps zwar grundsätzlich als Open Source offenlegen. Doch das gilt nicht zwingend für Hintergrundbibliotheken, Serverstrukturen oder eigenständige Jugendschutz-Apps.

In Dänemark kommt bereits eine Anwendung mit proprietärem Code auf der Nutzerseite zum Einsatz, was eine unabhängige Überprüfung durch Fachleute unmöglich macht. Zudem weichen mehrere EU-Länder von den technischen Vorgaben der Kommission ab. Es droht ein Flickenteppich aus 27 unterschiedlichen nationalen Systemen mit schwankenden Datenschutzstandards. Ist diese digitale Kontrollinfrastruktur erst einmal etabliert, kann das Versprechen einer anonymen Verifikation jederzeit gekippt werden.

In Belgien und Österreich werde bereits darüber diskutiert, den Zugang zu sozialen Medien und Videoplattformen an die Feststellung der realen Identität zu knüpfen, moniert EDRi. Die flächendeckende Altersverifikation drohe damit zum Beschleuniger für den Verlust des freien, anonymen Internetzugangs zu werden.

Stefan Krempl

Totalüberwachung im Dönerbetrieb: Gericht billigt Verwarnung plus Bußgeld

Ein Fleischproduzent ließ Belegschaft und Areal lückenlos filmen. Das Verwaltungsgericht Hannover bestätigte nun die Rechtmäßigkeit doppelter Datenschutz-Sanktionen.

Ein Großbetrieb für Dönerfleisch wollte ganz genau wissen, was auf dem Werksgelände geschieht, und installierte dafür ein engmaschiges Kamerasystem. Ob in den Hallen der Fertigung, in Büroräumen, auf den Außenflächen oder mitten im Pausenraum – in nahezu jedem Winkel des Betriebes zeichneten Linsen das Geschehen auf. Das Videomaterial, ergänzt um mehr als 76.000 Standbilder, wanderte auf einen internen Server und blieb dort über Jahre hinweg ohne Löschkonzept gespeichert. Aufgedeckt wurde die umfassende Überwachung schließlich durch Zufall: Prüfer des Gewerbeaufsichtsamtes stießen bei einer gewöhnlichen Begehung in den Räumen der Geschäftsführung und einzelner Angestellter auf Monitore, auf denen Live-Streams aus sämtlichen Betriebsteilen liefen.

Die zuständige Datenschutzaufsichtsbehörde schaltete sich ein und stellte die Rechtswidrigkeit der Datenverarbeitung sowie erhebliche Verstöße gegen den Grundsatz der Speicherbegrenzung fest. Da die Unternehmensleitung zudem kein Verzeichnis von Verarbeitungstätigkeiten vorgelegt hatte, erging zunächst eine offizielle Verwarnung. In einem separaten Verfahren folgte später ein Bußgeld, das nach einer gerichtlichen Auseinandersetzung rechtskräftig auf 8000 Euro festgesetzt wurde. Der Betreiber wollte diese Entscheidung jedoch nicht akzeptieren und zog vor das Verwaltungsgericht Hannover.

Vor Gericht argumentierte die Firma, dass die flächendeckende Videoüberwachung zur Sicherung der strengen Hygieneanforderungen in der Lebensmittelverarbeitung unverzichtbar sei. Die Kameras auf dem Außengelände wurden mit vergangenem Vandalismus begründet. Ferner berief sich der Betreiber darauf, dass die Belegschaft schriftliche Einwilligungserklärungen unterzeichnet habe. Nicht zuletzt stellte sich das Unternehmen auf den Standpunkt, dass nach der bereits ausgesprochenen Verwarnung kein Bußgeld mehr hätte verhängt werden dürfen, da dies dem Verbot der Doppelbestrafung widerspreche.

Das Verwaltungsgericht Hannover erteilte dieser Argumentation mit seinem Urteil vom 7. August 2026 (Az.: 10 A 5144/23), über das der Fachdienst Beck berichtet, eine deutliche Absage und wies die Klage ab. Die Richter stellten fest, dass es für die Vollüberwachung an jeglicher rechtlichen Grundlage fehlte. Der im Beschäftigtenkontext maßgebliche Paragraf 26 des Bundesdatenschutzgesetzes decke eine derart einschneidende Maßnahme nicht ab. Die Einhaltung von Hygienevorschriften habe über Personalschulungen zu erfolgen, keinesfalls aber über eine permanent mitlaufende Überwachung, die insbesondere in Pausenräumen unzulässig ist. Auch die Aufdeckung von Straftaten rechtfertige keine pauschale Überwachung, da hierfür konkrete Verdachtsmomente vorliegen müssten.

Ebenso wenig konnten die vorgelegten Einwilligungen der Mitarbeitenden den Verstoß heilen. Das Gericht äußerte erhebliche Zweifel an der Freiwilligkeit, da die Erklärungen bereits beim Abschluss der Arbeitsverträge gefordert wurden. Das Ausräumen eines Generalverdachts stellt für Beschäftigte keinen Vorteil dar. Auch ein berechtigtes Interesse an der Überwachung des Außenbereichs verneinte das Gericht, da Schutzmaßnahmen eine Gefährdungslage erfordern, die über das allgemeine Lebensrisiko hinausgeht. Subjektive Befürchtungen reichen dafür nicht aus.

Als besonders bedeutsam erweisen sich die Ausführungen des Gerichts zur Kombination von Verwarnung und Bußgeld: Das Verbot der Doppelbestrafung greife nicht, da eine Verwarnung keine Sanktion darstelle, sondern nur den Rechtsverstoß feststelle. Demgegenüber besitzen Geldbußen einen echten Strafzweck. Die DSGVO erlaubt es ausdrücklich, Geldbußen zusätzlich zu Verwarnungen zu verhängen. Für Betroffene liegt darin ein klarer Mehrwert: Der rechtskräftige Verwarnungsbescheid stellt das Unrecht verbindlich fest und erleichtert dadurch die Durchsetzung von Schadensersatzansprüchen.

Stefan Krempl

Schimmel, Kot und TikTok-Videos: Datenschutz-Bußgeld gegen irischen Gesundheitsdienst HSE

Wegen verrottender Papierakten in verfallenen Kliniken verhängt die irische Datenschutzbehörde 645.000 Euro Strafe. Eindringlinge filmten sensible Patientendaten.

Der irische Gesundheitsdienst Health Service Executive (HSE) sieht sich mit gravierenden Datenschutzverstößen und nun auch einem Bußgeld konfrontiert. Die irische Datenschutzkommission hat nach einer umfassenden Untersuchung eine Strafe in Höhe von insgesamt 645.000 Euro gegen die staatliche Gesundheitsbehörde verhängt. Neben der Geldbuße sprach die Data Protection Commission (DPC) eine offizielle Verwarnung aus und erließ weitreichende Korrekturanweisungen. Grund für die harten Maßnahmen sind erschreckende Missstände bei der Lagerung und Aufbewahrung von Papierakten mit sensiblen medizinischen Patientendaten in externen Einrichtungen der Behörde.

Der Fall nahm im Herbst 2023 seinen Anfang, als die HSE der Aufsichtsbehörde zwei Datenpannen melden musste. Im Oktober 2023 verschafften sich Unbefugte Zugang zu Akten im St. Loman’s Hospital im County Westmeath – einem stillgelegten, asbestbelasteten ehemaligen psychiatrischen Krankenhaus. Nur einen Monat später folgte eine weitere Meldung über einen unbefugten Zutritt zu Dokumenten im New Building des St. Conal’s Hospital im County Donegal, einer ebenfalls verfallenen und stark verschimmelten ehemaligen Nervenklinik.

Aufmerksam wurden Öffentlichkeit und Behörden auf die Sicherheitslücken unter anderem durch Videos in sozialen Medien. Eindringlinge hatten dort Aufnahmen hochgeladen, die offen herumliegende Krankenakten in den verlassenen Gebäudekomplexen zeigten. Im April 2024 musste der HSE zudem einräumen, dass über Online-Netzwerke ein weiterer Einbruch in den Keller des St. Loman’s Hospital bekannt geworden war, wo unter anderem ältere Akten aus der psychiatrischen Versorgung lagerten.

Diese Vorfälle veranlassten die DPC im Mai 2024 zur Einleitung einer förmlichen Untersuchung. Um zu klären, ob es sich um Einzelfälle oder ein systemisches Versagen handelt, führten ermächtigte Inspektoren der Datenschutzbehörde landesweit zwölf Standortprüfungen durch. Das Ergebnis dieser Inspektionen zeichnet ein verheerendes Bild von der Verwaltung und den physischen Bedingungen der HSE-Lagerstätten.

Der stellvertretende Leiter der DPC, Graham Doyle, beschrieb die Zustände schonungslos. Bei den Begehungen stießen die Prüfer auf Dokumente, die durch Schimmelfrass zerstört, mit Tierkot kontaminiert, von Bauschutt bedeckt oder durch Feuchtigkeit und Fäulnis unlesbar geworden waren. Von einer geordneten oder zugänglichen Archivierung konnte keine Rede mehr sein. Unterlagen lagerten in ungenutzten Badezimmern, Duschkabinen, einem Frachtcontainer in einem Torfschuppen, unbeleuchteten und ungeheizten Räumen sowie in baufälligen Gebäuden an verschiedensten Orten.

Nach Auffassung der Aufsichtsbehörde birgt diese unsichere und unbegrenzte Aufbewahrung über die zulässigen Fristen hinaus ein dauerhaftes Risiko, dass unbefugte Dritte Zugriff auf hochsensible Gesundheitsdaten erlangen. Zudem bestehe die Gefahr, dass notwendige Unterlagen für spätere medizinische Behandlungen oder rechtliche Belange schlicht nicht mehr auffindbar sind.

In ihrer Entscheidung stellt die DPC fest, dass die HSE gleich gegen mehrere Kernbestimmungen der europäischen Datenschutz-Grundverordnung (DSGVO) verstoßen hat. Die Behörde verletzte den Grundsatz der Integrität und Vertraulichkeit sowie die Pflicht zu angemessenen Sicherheitsmaßnahmen. Weder existierten funktionierende Archivierungs- und Kontrollsysteme, noch gab es adäquate technische und organisatorische Schutzvorkehrungen. Zudem verstieß die HSE gegen das Gebot der Speicherbegrenzung, indem sie Personenbezogene Daten weit über den erforderlichen Zeitraum hinaus aufbewahrte. Erschwerend kam hinzu, dass die Meldefristen von 72 Stunden bei Datenpannen gegenüber der DPC verletzt wurden und die betroffenen Patientinnen und Patienten gar nicht über den Abfluss ihrer Daten informiert wurden.

Das Bußgeld setzt sich aus mehreren Teilbeträgen zusammen: Jeweils 300.000 Euro entfallen auf die Mängel bei den Sicherheitsvorkehrungen sowie auf die Überschreitung der Aufbewahrungsfristen. Weitere 30.000 Euro wurden wegen der verspäteten Meldung der Datenpannen fällig, und 15.000 Euro kostete die unterlassene Benachrichtigung der Betroffenen. Bei der Bemessung der Strafe wertete die DPC die Tatsache als erschwerend, dass der Gesundheitsdienst in der Vergangenheit bereits ähnliche Pflichtverletzungen beim Schutz analoger Patientenakten begangen hatte.

Neben der Geldstrafe muss der HSE nun Reformen umsetzen. Die DPC ordnete eine vollständige Überprüfung aller Lagerstätten an. Nicht zweckmäßige Standorte müssen umgehend geräumt und die Akten in sichere Archive überführt werden. Nicht mehr benötigte Dokumente sind sofort vernichten zu lassen. Ferner ist der HSE angewiesen, ein lückenloses System zur Rückverfolgung aller Papierakten zu etablieren und ihre Aufbewahrungspraktiken künftig regelmäßig auf Regelkonformität zu testen.

Stefan Krempl

Vorratsdatenspeicherung: EuGH-Generalanwalt erteilt belgischem Sonderweg eine Absage

Generalanwalt Maciej Szpunar sieht das neue belgische Gesetz zum Protokollieren von Nutzerspuren im Widerspruch zum EU-Recht. Anbieter dürften keine eigenständigen Vorratsdatenspeicherungen zur Betrugsbekämpfung durchführen.

Die juristische Auseinandersetzung über die Speicherung von Verbindungs- und Standordaten geht in eine neue Runde. In seinen aktuellen Schlussanträgen vor dem Europäischen Gerichtshof (EuGH) nimmt Generalanwalt Maciej Szpunar die jüngste Gesetzgebung Belgiens unter die Lupe. Das Urteil des EuGH wird mit Spannung erwartet, da die Empfehlungen des Generalanwalts zwar nicht bindend sind, den Luxemburger Richtern in der Praxis aber sehr häufig als Leitfaden für ihre spätere Entscheidung dienen. Szpunar stellt klar, dass auch der jüngste Anlauf des belgischen Gesetzgebers nicht mit dem EU-Recht vereinbar sein dürfte.

Der belgische Sonderweg im Visier der Justiz

Der Ausgangspunkt des Verfahrens liegt im Jahr 2022. Nach einer vorangegangenen Klage und der Aufhebung älterer Bestimmungen erließ Belgien eine neue gesetzliche Grundlage für den Telekommunikationssektor. Das erklärte Ziel der Brüsseler Politik war es, Betreiber von Kommunikationsdiensten zur Speicherung bestimmter Identifizierungs- und Metadaten zu verpflichten. Damit sollten Betrug, missbräuchliche Netznutzung und Angriffe auf die IT-Sicherheit bekämpft werden.

Gegen dieses Regelwerk zogen mehrere Bürgerrechtsorganisationen und Anwaltsvereinigungen vor den belgischen Verfassungsgerichtshof. Die Kläger sahen in der Pflicht zur Vorhaltung von Verkehrs- und Standortdaten einen unzulässigen Eingriff in die Grundrechte. Der Verfassungsgerichtshof setzte das Verfahren daraufhin aus und legte dem EuGH mehrere Fragen zur Auslegung der europäischen Datenschutzrichtlinie für elektronische Kommunikation im Lichte der EU-Grundrechtecharta vor.

Strenge Grenzen für Eingriffe in die Privatsphäre

In seinem Plädoyer betont der Generalanwalt die fundamentale Bedeutung des Schutzes personenbezogener Daten und des Rechts auf Achtung des Privatlebens. Wenn der Staat oder Telefondienste Daten über Kommunikationsverbindungen und Standorte speichern, stellt dies einen erheblichen Eingriff in die Privatsphäre dar. Nach gefestigter europäischen Rechtsprechung ist ein solcher Schritt nur unter außerordentlich strengen Voraussetzungen denkbar: Er muss gesetzlich klar verankert, strikt erforderlich und verhältnismäßig sein.

Szpunar greift in seiner Begründung die jüngere EuGH-Rechtsprechung auf. Diese erlaubt unter gewissen Umständen eine feinere Abstufung bei der Beurteilung, wie schwer ein Eingriff wiegt – etwa wenn es um Straftaten geht, die ausschließlich online begangen werden. Unter sehr speziellen Voraussetzungen kann demnach eine verdachtsunabhängige Speicherung von Verkehrs- und Standortdaten zulässig sein. Doch der Generalanwalt formuliert dafür eine entscheidende Hürde: Die Daten müssen technisch so getrennt gespeichert werden, dass eine Zusammenführung während des gesamten Aufbewahrungszeitraums ausgeschlossen ist. Nur wenn verhindert wird, dass Behörden oder Anbieter genaue Rückschlüsse auf das Privatleben der Nutzer ziehen können, bleibt das Maß des absolut Notwendigen gewahrt.

Belgische Regelung schießt deutlich über das Ziel hinaus

Bei der Anwendung dieser Kriterien auf das umstrittene belgische Gesetz stellt Szpunar erhebliche Mängel fest. Das nationale Recht erlaubt die Aufbewahrung eines extrem breiten Datensatzes über Verkehrs- und Standortdaten. Vorgaben für technische Schutzmaßnahmen, die eine verlässliche Kategorientrennung erzwingen würden, fehlen im Gesetzestext hingegen. Der damit verbundene Grundrechtseingriff überschreitet laut dem Gutachter das zur Erreichung der Sicherheitsziele erforderliche Maß deutlich.

Besonders kritisch bewertet der Generalanwalt die Rolle, die das Gesetz den Telefondiensten und Netzanbietern zuweist. Mehrere zentrale Aspekte der Datenspeicherung wurden schlicht in das Ermessen der Telekommunikationsanbieter gelegt. So sieht das belgische Recht vor, dass Unternehmen in Eigenregie entscheiden können, welche Daten sie für notwendig halten, und bei Bedarf sogar die Speicherfristen eigenmächtig verlängern dürfen. Szpunar stellt fest, dass es einer solchen Konstruktion an der nötigen Klarheit und Präzision fehlt. Gesetzliche Garantien, die das EU-Recht zum Schutz der Bürger verlangt, werden damit übergangen. Die Regelung verstoße folglich gegen den Verhältnismäßigkeitsgrundsatz.

Keine nachträgliche Heilung durch nationale Gerichte

Abschließend erteilt der Generalanwalt auch Versuchen eine Absage, die Rechtsfolgen eines unionsrechtswidrigen Gesetzes vorübergehend aufrechtzuerhalten. Das belgische Gericht hatte gefragt, ob unberechtigt gespeicherte Daten im Sinne der Rechtssicherheit vorerst weiter verwendet werden dürften. Szpunar erinnert daran, dass ausschließlich der EuGH in Ausnahmefällen die zeitlichen Wirkungen einer Urteilsauslegung beschränken darf. Einem nationalen Gericht sei es untersagt, mit dem EU-Recht unvereinbare Regelungen vorläufig in Kraft zu belassen.

Mit den Schlussanträgen liegt der Ball nun beim Richterkollegium des Europäischen Gerichtshofs, das in den kommenden Monaten sein Urteil fällen wird.

Stefan Krempl

Studie zum AI Act: Wie viel KI-Wissen Beschäftigte wirklich brauchen

Forscher der Denkfabrik Interface fordern einen Drei-Stufen-Rahmen für KI-Kompetenz in Unternehmen, um Schwächen in der KI-Verordnung zu beheben.

Seit Februar 2025 stellt der AI Act Unternehmen sowie öffentliche Einrichtungen vor eine neue gesetzliche Pflicht: Sie müssen ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitenden sicherstellen. Was auf den ersten Blick wie eine vernünftige Richtlinie klingt, sorgt in der Praxis teils für Orientierungslosigkeit. Weder im Gesetzestext noch in den begleitenden Leitlinien der EU-Kommission ist klar definiert, was genau als ausreichend gilt. Viele Firmen schulen inzwischen ihre Belegschaften bereits in der Nutzung von generativer KI. Doch diese Trainings konzentrieren sich meist auf Produktivitätsgewinne und effizienteres Prompting. Das eigentliche Ziel der europäischen Regulierung – das Erkennen von Systemfehlern, Verzerrungen und rechtlichen Risiken – bleibt oft auf der Strecke.

Eine aktuelle Studie der Denkfabrik Interface adressiert diesen blinden Fleck der KI-Verordnung. Die Autorinnen Siddhi Pal und Catherine Schneider haben gemeinsam mit der Ökonomin und KI-Arbeitsexpertin Lucia Velasco einen konkreten, sektorübergreifenden Rahmen erarbeitet. Dieser soll Politik und Verwaltung dabei unterstützen, Artikel 4 der Verordnung praxistauglich auszugestalten. Anstatt starr nach Jobtiteln, Hierarchieebenen oder technischem Vorwissen zu unterscheiden, schlagen die Autorinnen eine Aufteilung nach der tatsächlichen Interaktionsintensität und dem jeweiligen Risikoprofil vor.

Das Herzstück des Papiers bildet ein dreistufiges Rollenmodell, das Anforderungen an das KI-Verständnis kumulativ strukturiert. Die unterste Ebene, bezeichnet als L0 oder Baseline, richtet sich an alle Personen, die im Verantwortungsbereich einer Organisation tätig sind, einschließlich externer Dienstleister und Vertragspartner. Hier geht es um ein grundlegendes Verständnis dafür, was KI ist und was nicht, welche Systeme in der Einrihtung eingesetzt werden und welche allgemeinen Risiken wie Falschinformationen oder Datenschutzverstöße existieren. Als Vorbild dient das finnische Bildungsmodell Elements of AI, das breiten Bevölkerungsschichten ein solides Basiswissen vermittelt.

Die zweite Stufe, L1 oder Operational, betrifft Beschäftigte, die im Arbeitsalltag gezielt KI-Systeme verwenden – etwa im Marketing oder zur Textverarbeitung. Sie müssen nicht nur die Fähigkeiten, sondern vor allem die Grenzen und typischen Fehlermodi der Werkzeuge kennen. Dazu gehört die Fähigkeit, Ausgaben kritisch zu hinterfragen, Urheberrechte zu wahren und zu wissen, wann ein Ergebnis an Experten eskaliert werden muss.

Die höchste Stufe, L2 oder Oversight, richtet sich an Personen, die für den Betrieb oder die Überwachung von Hochrisiko-KI-Systemen verantwortlich sind. Hierunter fallen Anwendungen bei der Personalauswahl, der Kreditwürdigkeitsprüfung oder in der Polizeiarbeit. In diesem Bereich verlangt das Modell ein tiefes, dokumentiertes Systemwissen, um Fehlfunktionen, Leistungseinbußen oder Diskriminierungen frühzeitig zu erkennen und im Notfall manuell einzugreifen.

Die Autorinnen weisen darauf hin, dass Unternehmensschulungen derzeit meist am eigentlichen Gesetzeszweck vorbeigehen. Während der Markt voll von ungeprüften Schulungsangeboten ist, fehlt es an wissenschaftlich validierten Messinstrumenten, die tatsächlich belegen, ob ein Training das Verständnis verbessert hat. Das Papier warnt daher ausdrücklich davor, voreilig Zertifikate oder Qualifikationsnachweise einzuführen. Ohne verlässliche Kriterien würde eine Zertifizierung lediglich zu einem reinen Formalismus verkommen, der zwar Aufwand erzeugt, aber keine tatsächliche Sicherheit bietet.

Stattdessen fordern die Verfasserinnen die politischen Entscheidungsträger auf, gemeinsam mit der Industrie und der Wissenschaft standardisierte Evaluierungsmethoden zu entwickeln. Der internationale Vergleich zeigt, dass andere Regionen zwar Bildungsinitiativen fördern, die EU jedoch der weltweit einzige Rechtsraum mit einer verbindlichen Pflicht zur KI-Kompetenz am Arbeitsplatz ist. Mit ihrem Stufenmodell liefert der Think Tank einen pragmatischen Leitfaden, der den AI Act von einer vagen Rechtsvorschrift in einen messbaren, zukunftsfähigen Standard für die europäische Arbeitswelt übersetzen kann.

Stefan Krempl

Große KI-Modelle im Datenschutz-Check: Gemini und Copilot fallen durch

Ein Datenschutz-Vergleich von 13 führenden KI-Plattformen bescheinigt den Branchengrößen mangelnde Transparenz und gierigen Umgang mit Nutzerdaten. Vibe und ChatGPT belegen die vordersten Plätze.

Immer mehr Menschen vertrauen KI-Chatbots hochsensible Informationen an – von geschäftlichen Interna bis hin zu persönlichen Sorgen. Doch der Schutz dieser Eingaben unterscheidet sich je nach Anbieter gewaltig. Eine Untersuchung des Datenschutzdienstes Incogni zeigt: Gerade die prominentesten Plattformen schneiden beim Datenschutz erschreckend schlecht ab. Für die Studie analysierten die Forscher 13 Systeme wie ChatGPT, Claude, Gemini, Grok, Vibe (ehemals Le Chat), Perplexity, Qwen, DeepSeek, Z.ai, Kimi, Meta AI, Pi und Copilot. Anhand von elf gewichteten Kriterien aus den Bereichen Datenverarbeitung, Transparenz sowie Datenerhebung und -weitergabe ermittelten die Experten ein Risiko-Ranking.

Das Ergebnis verweist auf ein deutliches Gefälle im Markt. Die größten Datenschutzrisiken gehen ausgerechnet von den Angeboten der IT-Schwergewichte aus. Microsoft Copilot, Meta AI sowie der chinesische Bot Kimi von Moonshot AI belegen die schlechtesten Plätze im Testfeld. Hauptgrund für das miese Abschneiden von Copilot und Meta AI sind die extrem weit gefassten Datenschutzbestimmungen der Mutterkonzerne.

Statt klar verständliche Regeln für die KI-Dienste bereitzustellen, gelten oft die allgemeinen Richtlinien des gesamten Ökosystems. Dadurch bleibt für Nutzer unklar, welche Daten exklusiv für den Chatbot erfasst oder womöglich mit Datenhändlern und Werbenetzwerken verknüpft werden. Überdies sammeln die iOS-Apps von Gemini und Meta AI laut App-Store-Angaben besonders sensible Daten wie ethnische Herkunft, sexuelle Orientierung, religiöse Überzeugungen oder politische Ansichten.

Ganz anders präsentiert sich der Spitzenreiter des Rankings. Das französische Modell Vibe von Mistral AI erzielt den niedrigsten Risikowert und sichert sich damit den Titel der datenschutzfreundlichsten Plattform. Die Anwendung überzeugt durch eine sparsame Weitergabe von Eingaben an Dritte sowie eine der datensparsamsten mobilen Apps im gesamten Feld. Direkt dahinter landet der Marktführer ChatGPT von OpenAI auf dem zweiten Platz. OpenAI punktet vor allem in der Kategorie Transparenz und bietet die mit Abstand verständlichste Datenschutzerklärung. Dank ausführlicher Hilfeseiten erfahren Nutzer hier am ehesten, was mit ihren Dialogen geschieht.

Trotz der guten Ränge für Vibe und ChatGPT offenbart die Untersuchung eine grundlegende Schwachstelle der gesamten Branche: Keines der untersuchten Unternehmen legt offen, aus welchen konkreten Datensätzen die Basismodelle ursprünglich trainiert wurden. Die Beschreibungen verharren durchweg in vagen Formulierungen wie „öffentlich zugängliche Informationen“, „private Datensätze“ oder „Social-Media-Daten“. Was genau im Trainingsmaterial landete, bleibt für Außenstehende unüberprüfbar.

Gravierend ist dieser Umstand beim nachträglichen Schutz der eigenen Privatsphäre. Zwar bieten die meisten Plattformen wie ChatGPT, Claude, Vibe, Copilot oder Grok in den Einstellungen einen einfachen Schalter, um künftige Unterhaltungen vom Modelltraining auszunehmen. Doch diese Opt-out-Optionen wirken ausschließlich in die Zukunft. Keine einzige Plattform ermöglicht es Nutzern, einmal verarbeitete Daten wieder aus einem trainierten KI-Modell entfernen zu lassen. Wurden vertrauliche Details erst einmal von den neuronalen Netzen absorbiert, sind sie dort dauerhaft verankert.

Die Experten warnen daher eindringlich davor, Chatbots als digitale Beichtstühle zu missbrauchen. Wer intime Details oder Unternehmensgeheimnisse in ein Eingabefeld tippt, läuft Gefahr, dass diese Informationen dauerhaft in den Gewichtungen des Modells verbleiben und womöglich künftige Antworten für andere Personen beeinflussen.

Zudem erschweren einige Anbieter den Widerspruch ereblich. Bei Googles Gemini ist die Deaktivierung des Trainings an die übergreifende Aktivitätshistorie gekoppelt. Wer das Lernen stoppt, verliert den Zugriff auf seinen bisherigen Chat-Verlauf. Bei Meta AI bleibt in den Richtlinien unklar, wie Nutzer überhaupt widersprechen können. Moonshot AI und Qwen reagieren erst auf E-Mail-Anfragen oder Formulare. Z.ai bietet nicht einmal eine funktionierende Opt-out-Option fürs Modelltraining. Wer KI-Tools nutzt, muss sich so in der Regel weiterhin selbst durch komplexe Menüs kämpfen, da die Anbieter die Verantwortung weitgehend auf ihre Kundschaft abwälzen.

Stefan Krempl