Schimmel, Kot und TikTok-Videos: Datenschutz-Bußgeld gegen irischen Gesundheitsdienst HSE

Wegen verrottender Papierakten in verfallenen Kliniken verhängt die irische Datenschutzbehörde 645.000 Euro Strafe. Eindringlinge filmten sensible Patientendaten.

Der irische Gesundheitsdienst Health Service Executive (HSE) sieht sich mit gravierenden Datenschutzverstößen und nun auch einem Bußgeld konfrontiert. Die irische Datenschutzkommission hat nach einer umfassenden Untersuchung eine Strafe in Höhe von insgesamt 645.000 Euro gegen die staatliche Gesundheitsbehörde verhängt. Neben der Geldbuße sprach die Data Protection Commission (DPC) eine offizielle Verwarnung aus und erließ weitreichende Korrekturanweisungen. Grund für die harten Maßnahmen sind erschreckende Missstände bei der Lagerung und Aufbewahrung von Papierakten mit sensiblen medizinischen Patientendaten in externen Einrichtungen der Behörde.

Der Fall nahm im Herbst 2023 seinen Anfang, als die HSE der Aufsichtsbehörde zwei Datenpannen melden musste. Im Oktober 2023 verschafften sich Unbefugte Zugang zu Akten im St. Loman’s Hospital im County Westmeath – einem stillgelegten, asbestbelasteten ehemaligen psychiatrischen Krankenhaus. Nur einen Monat später folgte eine weitere Meldung über einen unbefugten Zutritt zu Dokumenten im New Building des St. Conal’s Hospital im County Donegal, einer ebenfalls verfallenen und stark verschimmelten ehemaligen Nervenklinik.

Aufmerksam wurden Öffentlichkeit und Behörden auf die Sicherheitslücken unter anderem durch Videos in sozialen Medien. Eindringlinge hatten dort Aufnahmen hochgeladen, die offen herumliegende Krankenakten in den verlassenen Gebäudekomplexen zeigten. Im April 2024 musste der HSE zudem einräumen, dass über Online-Netzwerke ein weiterer Einbruch in den Keller des St. Loman’s Hospital bekannt geworden war, wo unter anderem ältere Akten aus der psychiatrischen Versorgung lagerten.

Diese Vorfälle veranlassten die DPC im Mai 2024 zur Einleitung einer förmlichen Untersuchung. Um zu klären, ob es sich um Einzelfälle oder ein systemisches Versagen handelt, führten ermächtigte Inspektoren der Datenschutzbehörde landesweit zwölf Standortprüfungen durch. Das Ergebnis dieser Inspektionen zeichnet ein verheerendes Bild von der Verwaltung und den physischen Bedingungen der HSE-Lagerstätten.

Der stellvertretende Leiter der DPC, Graham Doyle, beschrieb die Zustände schonungslos. Bei den Begehungen stießen die Prüfer auf Dokumente, die durch Schimmelfrass zerstört, mit Tierkot kontaminiert, von Bauschutt bedeckt oder durch Feuchtigkeit und Fäulnis unlesbar geworden waren. Von einer geordneten oder zugänglichen Archivierung konnte keine Rede mehr sein. Unterlagen lagerten in ungenutzten Badezimmern, Duschkabinen, einem Frachtcontainer in einem Torfschuppen, unbeleuchteten und ungeheizten Räumen sowie in baufälligen Gebäuden an verschiedensten Orten.

Nach Auffassung der Aufsichtsbehörde birgt diese unsichere und unbegrenzte Aufbewahrung über die zulässigen Fristen hinaus ein dauerhaftes Risiko, dass unbefugte Dritte Zugriff auf hochsensible Gesundheitsdaten erlangen. Zudem bestehe die Gefahr, dass notwendige Unterlagen für spätere medizinische Behandlungen oder rechtliche Belange schlicht nicht mehr auffindbar sind.

In ihrer Entscheidung stellt die DPC fest, dass die HSE gleich gegen mehrere Kernbestimmungen der europäischen Datenschutz-Grundverordnung (DSGVO) verstoßen hat. Die Behörde verletzte den Grundsatz der Integrität und Vertraulichkeit sowie die Pflicht zu angemessenen Sicherheitsmaßnahmen. Weder existierten funktionierende Archivierungs- und Kontrollsysteme, noch gab es adäquate technische und organisatorische Schutzvorkehrungen. Zudem verstieß die HSE gegen das Gebot der Speicherbegrenzung, indem sie Personenbezogene Daten weit über den erforderlichen Zeitraum hinaus aufbewahrte. Erschwerend kam hinzu, dass die Meldefristen von 72 Stunden bei Datenpannen gegenüber der DPC verletzt wurden und die betroffenen Patientinnen und Patienten gar nicht über den Abfluss ihrer Daten informiert wurden.

Das Bußgeld setzt sich aus mehreren Teilbeträgen zusammen: Jeweils 300.000 Euro entfallen auf die Mängel bei den Sicherheitsvorkehrungen sowie auf die Überschreitung der Aufbewahrungsfristen. Weitere 30.000 Euro wurden wegen der verspäteten Meldung der Datenpannen fällig, und 15.000 Euro kostete die unterlassene Benachrichtigung der Betroffenen. Bei der Bemessung der Strafe wertete die DPC die Tatsache als erschwerend, dass der Gesundheitsdienst in der Vergangenheit bereits ähnliche Pflichtverletzungen beim Schutz analoger Patientenakten begangen hatte.

Neben der Geldstrafe muss der HSE nun Reformen umsetzen. Die DPC ordnete eine vollständige Überprüfung aller Lagerstätten an. Nicht zweckmäßige Standorte müssen umgehend geräumt und die Akten in sichere Archive überführt werden. Nicht mehr benötigte Dokumente sind sofort vernichten zu lassen. Ferner ist der HSE angewiesen, ein lückenloses System zur Rückverfolgung aller Papierakten zu etablieren und ihre Aufbewahrungspraktiken künftig regelmäßig auf Regelkonformität zu testen.

Stefan Krempl

Vorratsdatenspeicherung: EuGH-Generalanwalt erteilt belgischem Sonderweg eine Absage

Generalanwalt Maciej Szpunar sieht das neue belgische Gesetz zum Protokollieren von Nutzerspuren im Widerspruch zum EU-Recht. Anbieter dürften keine eigenständigen Vorratsdatenspeicherungen zur Betrugsbekämpfung durchführen.

Die juristische Auseinandersetzung über die Speicherung von Verbindungs- und Standordaten geht in eine neue Runde. In seinen aktuellen Schlussanträgen vor dem Europäischen Gerichtshof (EuGH) nimmt Generalanwalt Maciej Szpunar die jüngste Gesetzgebung Belgiens unter die Lupe. Das Urteil des EuGH wird mit Spannung erwartet, da die Empfehlungen des Generalanwalts zwar nicht bindend sind, den Luxemburger Richtern in der Praxis aber sehr häufig als Leitfaden für ihre spätere Entscheidung dienen. Szpunar stellt klar, dass auch der jüngste Anlauf des belgischen Gesetzgebers nicht mit dem EU-Recht vereinbar sein dürfte.

Der belgische Sonderweg im Visier der Justiz

Der Ausgangspunkt des Verfahrens liegt im Jahr 2022. Nach einer vorangegangenen Klage und der Aufhebung älterer Bestimmungen erließ Belgien eine neue gesetzliche Grundlage für den Telekommunikationssektor. Das erklärte Ziel der Brüsseler Politik war es, Betreiber von Kommunikationsdiensten zur Speicherung bestimmter Identifizierungs- und Metadaten zu verpflichten. Damit sollten Betrug, missbräuchliche Netznutzung und Angriffe auf die IT-Sicherheit bekämpft werden.

Gegen dieses Regelwerk zogen mehrere Bürgerrechtsorganisationen und Anwaltsvereinigungen vor den belgischen Verfassungsgerichtshof. Die Kläger sahen in der Pflicht zur Vorhaltung von Verkehrs- und Standortdaten einen unzulässigen Eingriff in die Grundrechte. Der Verfassungsgerichtshof setzte das Verfahren daraufhin aus und legte dem EuGH mehrere Fragen zur Auslegung der europäischen Datenschutzrichtlinie für elektronische Kommunikation im Lichte der EU-Grundrechtecharta vor.

Strenge Grenzen für Eingriffe in die Privatsphäre

In seinem Plädoyer betont der Generalanwalt die fundamentale Bedeutung des Schutzes personenbezogener Daten und des Rechts auf Achtung des Privatlebens. Wenn der Staat oder Telefondienste Daten über Kommunikationsverbindungen und Standorte speichern, stellt dies einen erheblichen Eingriff in die Privatsphäre dar. Nach gefestigter europäischen Rechtsprechung ist ein solcher Schritt nur unter außerordentlich strengen Voraussetzungen denkbar: Er muss gesetzlich klar verankert, strikt erforderlich und verhältnismäßig sein.

Szpunar greift in seiner Begründung die jüngere EuGH-Rechtsprechung auf. Diese erlaubt unter gewissen Umständen eine feinere Abstufung bei der Beurteilung, wie schwer ein Eingriff wiegt – etwa wenn es um Straftaten geht, die ausschließlich online begangen werden. Unter sehr speziellen Voraussetzungen kann demnach eine verdachtsunabhängige Speicherung von Verkehrs- und Standortdaten zulässig sein. Doch der Generalanwalt formuliert dafür eine entscheidende Hürde: Die Daten müssen technisch so getrennt gespeichert werden, dass eine Zusammenführung während des gesamten Aufbewahrungszeitraums ausgeschlossen ist. Nur wenn verhindert wird, dass Behörden oder Anbieter genaue Rückschlüsse auf das Privatleben der Nutzer ziehen können, bleibt das Maß des absolut Notwendigen gewahrt.

Belgische Regelung schießt deutlich über das Ziel hinaus

Bei der Anwendung dieser Kriterien auf das umstrittene belgische Gesetz stellt Szpunar erhebliche Mängel fest. Das nationale Recht erlaubt die Aufbewahrung eines extrem breiten Datensatzes über Verkehrs- und Standortdaten. Vorgaben für technische Schutzmaßnahmen, die eine verlässliche Kategorientrennung erzwingen würden, fehlen im Gesetzestext hingegen. Der damit verbundene Grundrechtseingriff überschreitet laut dem Gutachter das zur Erreichung der Sicherheitsziele erforderliche Maß deutlich.

Besonders kritisch bewertet der Generalanwalt die Rolle, die das Gesetz den Telefondiensten und Netzanbietern zuweist. Mehrere zentrale Aspekte der Datenspeicherung wurden schlicht in das Ermessen der Telekommunikationsanbieter gelegt. So sieht das belgische Recht vor, dass Unternehmen in Eigenregie entscheiden können, welche Daten sie für notwendig halten, und bei Bedarf sogar die Speicherfristen eigenmächtig verlängern dürfen. Szpunar stellt fest, dass es einer solchen Konstruktion an der nötigen Klarheit und Präzision fehlt. Gesetzliche Garantien, die das EU-Recht zum Schutz der Bürger verlangt, werden damit übergangen. Die Regelung verstoße folglich gegen den Verhältnismäßigkeitsgrundsatz.

Keine nachträgliche Heilung durch nationale Gerichte

Abschließend erteilt der Generalanwalt auch Versuchen eine Absage, die Rechtsfolgen eines unionsrechtswidrigen Gesetzes vorübergehend aufrechtzuerhalten. Das belgische Gericht hatte gefragt, ob unberechtigt gespeicherte Daten im Sinne der Rechtssicherheit vorerst weiter verwendet werden dürften. Szpunar erinnert daran, dass ausschließlich der EuGH in Ausnahmefällen die zeitlichen Wirkungen einer Urteilsauslegung beschränken darf. Einem nationalen Gericht sei es untersagt, mit dem EU-Recht unvereinbare Regelungen vorläufig in Kraft zu belassen.

Mit den Schlussanträgen liegt der Ball nun beim Richterkollegium des Europäischen Gerichtshofs, das in den kommenden Monaten sein Urteil fällen wird.

Stefan Krempl

Studie zum AI Act: Wie viel KI-Wissen Beschäftigte wirklich brauchen

Forscher der Denkfabrik Interface fordern einen Drei-Stufen-Rahmen für KI-Kompetenz in Unternehmen, um Schwächen in der KI-Verordnung zu beheben.

Seit Februar 2025 stellt der AI Act Unternehmen sowie öffentliche Einrichtungen vor eine neue gesetzliche Pflicht: Sie müssen ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitenden sicherstellen. Was auf den ersten Blick wie eine vernünftige Richtlinie klingt, sorgt in der Praxis teils für Orientierungslosigkeit. Weder im Gesetzestext noch in den begleitenden Leitlinien der EU-Kommission ist klar definiert, was genau als ausreichend gilt. Viele Firmen schulen inzwischen ihre Belegschaften bereits in der Nutzung von generativer KI. Doch diese Trainings konzentrieren sich meist auf Produktivitätsgewinne und effizienteres Prompting. Das eigentliche Ziel der europäischen Regulierung – das Erkennen von Systemfehlern, Verzerrungen und rechtlichen Risiken – bleibt oft auf der Strecke.

Eine aktuelle Studie der Denkfabrik Interface adressiert diesen blinden Fleck der KI-Verordnung. Die Autorinnen Siddhi Pal und Catherine Schneider haben gemeinsam mit der Ökonomin und KI-Arbeitsexpertin Lucia Velasco einen konkreten, sektorübergreifenden Rahmen erarbeitet. Dieser soll Politik und Verwaltung dabei unterstützen, Artikel 4 der Verordnung praxistauglich auszugestalten. Anstatt starr nach Jobtiteln, Hierarchieebenen oder technischem Vorwissen zu unterscheiden, schlagen die Autorinnen eine Aufteilung nach der tatsächlichen Interaktionsintensität und dem jeweiligen Risikoprofil vor.

Das Herzstück des Papiers bildet ein dreistufiges Rollenmodell, das Anforderungen an das KI-Verständnis kumulativ strukturiert. Die unterste Ebene, bezeichnet als L0 oder Baseline, richtet sich an alle Personen, die im Verantwortungsbereich einer Organisation tätig sind, einschließlich externer Dienstleister und Vertragspartner. Hier geht es um ein grundlegendes Verständnis dafür, was KI ist und was nicht, welche Systeme in der Einrihtung eingesetzt werden und welche allgemeinen Risiken wie Falschinformationen oder Datenschutzverstöße existieren. Als Vorbild dient das finnische Bildungsmodell Elements of AI, das breiten Bevölkerungsschichten ein solides Basiswissen vermittelt.

Die zweite Stufe, L1 oder Operational, betrifft Beschäftigte, die im Arbeitsalltag gezielt KI-Systeme verwenden – etwa im Marketing oder zur Textverarbeitung. Sie müssen nicht nur die Fähigkeiten, sondern vor allem die Grenzen und typischen Fehlermodi der Werkzeuge kennen. Dazu gehört die Fähigkeit, Ausgaben kritisch zu hinterfragen, Urheberrechte zu wahren und zu wissen, wann ein Ergebnis an Experten eskaliert werden muss.

Die höchste Stufe, L2 oder Oversight, richtet sich an Personen, die für den Betrieb oder die Überwachung von Hochrisiko-KI-Systemen verantwortlich sind. Hierunter fallen Anwendungen bei der Personalauswahl, der Kreditwürdigkeitsprüfung oder in der Polizeiarbeit. In diesem Bereich verlangt das Modell ein tiefes, dokumentiertes Systemwissen, um Fehlfunktionen, Leistungseinbußen oder Diskriminierungen frühzeitig zu erkennen und im Notfall manuell einzugreifen.

Die Autorinnen weisen darauf hin, dass Unternehmensschulungen derzeit meist am eigentlichen Gesetzeszweck vorbeigehen. Während der Markt voll von ungeprüften Schulungsangeboten ist, fehlt es an wissenschaftlich validierten Messinstrumenten, die tatsächlich belegen, ob ein Training das Verständnis verbessert hat. Das Papier warnt daher ausdrücklich davor, voreilig Zertifikate oder Qualifikationsnachweise einzuführen. Ohne verlässliche Kriterien würde eine Zertifizierung lediglich zu einem reinen Formalismus verkommen, der zwar Aufwand erzeugt, aber keine tatsächliche Sicherheit bietet.

Stattdessen fordern die Verfasserinnen die politischen Entscheidungsträger auf, gemeinsam mit der Industrie und der Wissenschaft standardisierte Evaluierungsmethoden zu entwickeln. Der internationale Vergleich zeigt, dass andere Regionen zwar Bildungsinitiativen fördern, die EU jedoch der weltweit einzige Rechtsraum mit einer verbindlichen Pflicht zur KI-Kompetenz am Arbeitsplatz ist. Mit ihrem Stufenmodell liefert der Think Tank einen pragmatischen Leitfaden, der den AI Act von einer vagen Rechtsvorschrift in einen messbaren, zukunftsfähigen Standard für die europäische Arbeitswelt übersetzen kann.

Stefan Krempl

Große KI-Modelle im Datenschutz-Check: Gemini und Copilot fallen durch

Ein Datenschutz-Vergleich von 13 führenden KI-Plattformen bescheinigt den Branchengrößen mangelnde Transparenz und gierigen Umgang mit Nutzerdaten. Vibe und ChatGPT belegen die vordersten Plätze.

Immer mehr Menschen vertrauen KI-Chatbots hochsensible Informationen an – von geschäftlichen Interna bis hin zu persönlichen Sorgen. Doch der Schutz dieser Eingaben unterscheidet sich je nach Anbieter gewaltig. Eine Untersuchung des Datenschutzdienstes Incogni zeigt: Gerade die prominentesten Plattformen schneiden beim Datenschutz erschreckend schlecht ab. Für die Studie analysierten die Forscher 13 Systeme wie ChatGPT, Claude, Gemini, Grok, Vibe (ehemals Le Chat), Perplexity, Qwen, DeepSeek, Z.ai, Kimi, Meta AI, Pi und Copilot. Anhand von elf gewichteten Kriterien aus den Bereichen Datenverarbeitung, Transparenz sowie Datenerhebung und -weitergabe ermittelten die Experten ein Risiko-Ranking.

Das Ergebnis verweist auf ein deutliches Gefälle im Markt. Die größten Datenschutzrisiken gehen ausgerechnet von den Angeboten der IT-Schwergewichte aus. Microsoft Copilot, Meta AI sowie der chinesische Bot Kimi von Moonshot AI belegen die schlechtesten Plätze im Testfeld. Hauptgrund für das miese Abschneiden von Copilot und Meta AI sind die extrem weit gefassten Datenschutzbestimmungen der Mutterkonzerne.

Statt klar verständliche Regeln für die KI-Dienste bereitzustellen, gelten oft die allgemeinen Richtlinien des gesamten Ökosystems. Dadurch bleibt für Nutzer unklar, welche Daten exklusiv für den Chatbot erfasst oder womöglich mit Datenhändlern und Werbenetzwerken verknüpft werden. Überdies sammeln die iOS-Apps von Gemini und Meta AI laut App-Store-Angaben besonders sensible Daten wie ethnische Herkunft, sexuelle Orientierung, religiöse Überzeugungen oder politische Ansichten.

Ganz anders präsentiert sich der Spitzenreiter des Rankings. Das französische Modell Vibe von Mistral AI erzielt den niedrigsten Risikowert und sichert sich damit den Titel der datenschutzfreundlichsten Plattform. Die Anwendung überzeugt durch eine sparsame Weitergabe von Eingaben an Dritte sowie eine der datensparsamsten mobilen Apps im gesamten Feld. Direkt dahinter landet der Marktführer ChatGPT von OpenAI auf dem zweiten Platz. OpenAI punktet vor allem in der Kategorie Transparenz und bietet die mit Abstand verständlichste Datenschutzerklärung. Dank ausführlicher Hilfeseiten erfahren Nutzer hier am ehesten, was mit ihren Dialogen geschieht.

Trotz der guten Ränge für Vibe und ChatGPT offenbart die Untersuchung eine grundlegende Schwachstelle der gesamten Branche: Keines der untersuchten Unternehmen legt offen, aus welchen konkreten Datensätzen die Basismodelle ursprünglich trainiert wurden. Die Beschreibungen verharren durchweg in vagen Formulierungen wie „öffentlich zugängliche Informationen“, „private Datensätze“ oder „Social-Media-Daten“. Was genau im Trainingsmaterial landete, bleibt für Außenstehende unüberprüfbar.

Gravierend ist dieser Umstand beim nachträglichen Schutz der eigenen Privatsphäre. Zwar bieten die meisten Plattformen wie ChatGPT, Claude, Vibe, Copilot oder Grok in den Einstellungen einen einfachen Schalter, um künftige Unterhaltungen vom Modelltraining auszunehmen. Doch diese Opt-out-Optionen wirken ausschließlich in die Zukunft. Keine einzige Plattform ermöglicht es Nutzern, einmal verarbeitete Daten wieder aus einem trainierten KI-Modell entfernen zu lassen. Wurden vertrauliche Details erst einmal von den neuronalen Netzen absorbiert, sind sie dort dauerhaft verankert.

Die Experten warnen daher eindringlich davor, Chatbots als digitale Beichtstühle zu missbrauchen. Wer intime Details oder Unternehmensgeheimnisse in ein Eingabefeld tippt, läuft Gefahr, dass diese Informationen dauerhaft in den Gewichtungen des Modells verbleiben und womöglich künftige Antworten für andere Personen beeinflussen.

Zudem erschweren einige Anbieter den Widerspruch ereblich. Bei Googles Gemini ist die Deaktivierung des Trainings an die übergreifende Aktivitätshistorie gekoppelt. Wer das Lernen stoppt, verliert den Zugriff auf seinen bisherigen Chat-Verlauf. Bei Meta AI bleibt in den Richtlinien unklar, wie Nutzer überhaupt widersprechen können. Moonshot AI und Qwen reagieren erst auf E-Mail-Anfragen oder Formulare. Z.ai bietet nicht einmal eine funktionierende Opt-out-Option fürs Modelltraining. Wer KI-Tools nutzt, muss sich so in der Regel weiterhin selbst durch komplexe Menüs kämpfen, da die Anbieter die Verantwortung weitgehend auf ihre Kundschaft abwälzen.

Stefan Krempl

Haushalt 2027: Mehr Geld für IT des Bundes, Dämpfer bei Digitaler Souveränität

Der Regierungsetatentwurf sieht 1,44 Milliarden Euro für das Digitalministerium vor. Trotz Plus drohen beim Verwaltungsumbau und KI-Projekten finanzielle Einbußen.

Der Regierungsentwurf für den Bundeshaushalt 2027 liegt vor und setzt im Einzelplan 24 spürbare finanzielle Akzente für das Bundesministerium für Digitales und Staatsmodernisierung (BMDS). Auf den ersten Blick dürfen sich Digitalpolitiker und Verwaltungsmodernisierer über ein deutliches Plus freuen: Das Budget des Ressorts steigt im Vergleich zum Vorjahr von 1,36 Milliarden Euro um rund 84,6 Millionen Euro auf insgesamt etwa 1,44 Milliarden Euro. Doch eine differenzierte Betrachtung der Zahlen zeigt ein vielschichtiges Bild zwischen gewachsenem Investitionsdruck in der Bundes-IT, Umschichtungen, strukturellen Sparvorgaben und einer starken Abhängigkeit von Mitteln außerhalb des regulären Kernhaushalts.

Innerhalb des Etats verschieben sich die Ausgabenstrukturen signifikant. Den größten Posten im Regierungsentwurf bilden die sächlichen Verwaltungsausgaben, die von bisher 448,3 Millionen Euro kräftig auf rund 588 Millionen Euro aufgestockt werden. Auch die Personalausgaben erfahren einen deutlichen Sprung von 42,9 Millionen Euro auf 76,8 Millionen Euro, was den gewachsenen Personalbedarf und den Ausbau der ministeriellen Strukturen widerspiegelt. Dagegen bleiben die Zuweisungen und Zuschüsse mit rund 543,3 Millionen Euro leicht unter dem Vorjahreswert von 547,5 Millionen Euro, listet Heute im Bundestag auf. Die Investitionen im Kernhaushalt steigen marginal von 321 Millionen auf 326,2 Millionen Euro an.

Ein auffälliges Novum im Einzelplan 24 ist eine global veranschlagte Minderausgabe von 90 Millionen Euro für Effizienzmaßnahmen, die das Ministerium durch interne Einsparungen erst noch erwirtschaften muss. Zudem brechen die Verpflichtungsermächtigungen für die Folgejahre massiv ein: Sie belaufen sich für 2027 nur noch auf rund 382,5 Millionen Euro, nachdem sie 2026 noch bei beeindruckenden 1,78 Milliarden Euro gelegen hatten – ein Indiz dafür, dass langfristige Neuprojekte im Kernetat derzeit verhaltener aufgelegt werden.

Der unangefochtene Schwerpunkt des Budgets liegt auf der Absicherung und Modernisierung der eigenen Systeme des Bundes. Mit knapp 1,09 Milliarden Euro fließt der Löwenanteil des Kapitals in die IT-Infrastruktur des Bundes (Kapitel 2402), was einem Aufwuchs von rund 130 Millionen Euro gegenüber dem Vorjahr entspricht. Das Fundament dieser Aufwendungen bildet unverändert der Schutz der informationstechnischen Systeme mit rund 501 Millionen Euro. Für die Umsetzung der IT-Konsolidierung Bund, die auf Basis des Deutschland-Stacks einheitliche Cloud-, Kommunikations- und Verwaltungslösungen sowie standardisierte IT-Arbeitsplätze für die Bundesverwaltung bereitstellen soll, sind 219,7 Millionen Euro vorgesehen.

Ergänzend wird erstmals die IT-Betriebskonsolidierung Bund mit rund 154,6 Millionen Euro im Einzelplan ausgewiesen. Ziel ist es, cloudfähige Serverlösungen der unmittelbaren Bundesverwaltung auf standardisierten virtuellen Servern der Bundescloud 2.0 in den Rechenzentren des Informationstechnikzentrums Bund zusammenzuführen. Die allgemeine IT des Bundes schlägt mit 210,8 Millionen Euro zu Buche, wovon unter anderem 77,8 Millionen Euro auf KI-Governance und digitale Basisdienste entfallen, 56,6 Millionen Euro auf die Föderale IT-Kooperation und 24 Millionen Euro auf das Plattformökosystem für Genehmigungsverfahren. Neu im Tableau ist ein Posten von sechs Millionen Euro für die Steuerung der Cybersicherheit.

Während die eigene IT-Infrastruktur ausgebaut wird, müssen gesellschaftlich und wirtschaftlich adressierte Segmente Dämpfer hinnehmen. Das Kapitel für Digitalpolitik, digitale Innovationen und Konnektivität (Kapitel 2401) schrumpft um rund 14,1 Millionen Euro auf 208,4 Millionen Euro. Innerhalb der digitalen Innovationen sinken die Mittel für souveräne Dateninfrastrukturen, Datenverfügbarkeit und KI von 89 Millionen auf 81,2 Millionen Euro. Auch der Titel für digitale Souveränität und Ökosysteme digitaler Innovationen, der unter anderem die Sovereign Tech Agency finanziert, verzeichnet einen leichten Rückgang auf 28,3 Millionen Euro.

Ein positives Signal gibt es dagegen bei den Zuschüssen für innovative KI-Anwendungen, die von 26 Millionen auf 35,2 Millionen Euro klettern. Zurückhaltender fällt die Förderung neuer softwaregesteuerter Netztechnologien mit insgesamt 23,4 Millionen Euro aus. Die Mobilfunkinfrastrukturgesellschaft muss eine Reduzierung ihrer Verwaltungsausgaben von 20 auf zwölf Millionen Euro verkraften, während die Mittel für das Gigabitbüro unverändert bei 3,6 Millionen Euro liegen. Nahezu konstant zeigt sich auch das Kapitel Staatsmodernisierung und Bürokratierückbau mit 62,9 Millionen Euro, aus dem unter anderem das Zentrum für Legistik sowie der Effizienzfonds der Modernisierungsagenda finanziert werden.

Dass die Digitalisierung in Deutschland trotz der verhaltenen Dynamik im Kernhaushalt vorankommen könnte, liegt vor allem an den massiven Finanzmittelreserven außerhalb des Einzelplans 24. Im Sondervermögen Infrastruktur und Klimaneutralität (SVIK) stehen in der Titelgruppe Investitionen in die Digitalisierung 2027 insgesamt beeindruckende 9,04 Milliarden Euro bereit. Das BMDS bewirtschaftet davon direkt sechs Titel mit einem Volumen von rund 3,75 Milliarden Euro – eine deutliche Steigerung gegenüber den 3,11 Milliarden Euro des Jahres 2026, abgesichert durch weitere 3,14 Milliarden Euro an Verpflichtungsermächtigungen. Den größten Einzelposten bildet hierbei die Förderung des flächendeckenden Breitbandausbaus, die von 2,26 Milliarden auf rund 2,61 Milliarden Euro aufgestockt wird. Die Förderung des Mobilfunkausbaus sinkt leicht auf 150 Millionen Euro.

Prägnant ist der Aufwuchs bei den Investitionen in die Digitalisierung der Verwaltung aus dem Sondervermögen. Der Ansatz für die Titelgruppe Bürgerkonto, Infrastruktur und KI in Verwaltung und Wirtschaft verdoppelt sich beinahe von 256 Millionen auf rund 495 Millionen Euro. Für die IT-Transformation und Dienstleistungen werden knapp 200 Millionen Euro bereitgestellt, nachdem es 2026 lediglich 45 Millionen Euro waren. Diese Steigerungen resultieren jedoch primär aus der Nachveranschlagung im Jahr 2025 nicht abgeflossener Mittel sowie einer realistischeren Anpassung an prognostizierte Mittelabflüsse. Für die Implementierung des europäischen Identitätsökosystems und der EUDI-Wallet stehen verlässliche 155 Millionen Euro zur Verfügung, während die Budgetierung für die Modernisierung der Registerlandschaft von 194 Millionen auf rund 146,8 Millionen Euro zurückgeht.

Wie ist dieser Budgetentwurf nun zu bewerten, und schafft er die Wende für Deutschlands Digitalisierung? Die Antwort fällt gemischt aus. Positiv ist unstrittig, dass der Bund mit der konsequenten Aufstockung für die IT-Infrastruktur, die Bundescloud 2.0 und den Breitbandausbau technologische Fundamente stärkt. Das Bekenntnis zu verlässlicher Cyber-Sicherheit und die Aufstockung der Mittel für praktische KI-Anwendungen setzen richtige Schwerpunkte. Auch die Bereitstellung immenser Finanzmittel im SVIK-Sondervermögen für Verwaltungsleistungen zeigt, dass der politische Wille vorhanden ist, bestehende Rückstände bei OZG-Folgeprojekten und Bürgerkonten abzutragen.

Kritisch bleibt jedoch die Tatsache, dass das scheinbare Plus der Verwaltungsdigitalisierung zu weiten Teilen auf Reste früherer Jahre zurückgeht – ein deutliches Zeichen dafür, dass das Nadelöhr in Deutschland selten das Geld an sich ist, sondern vielmehr komplizierte Beschaffungswege, behördliche Silos und langwierige Umsetzungsprozesse. Wenn nicht abgeflossene Mittel aufgetürmt und nachveranschlagt werden müssen, fehlt es an der Durchsetzungskraft vor Ort. Zudem schmerzt der Sparstift bei der digitalen Souveränität und den Dateninfrastrukturen, ausgerechnet in einer Phase, in der geopolitische Abhängigkeiten verringert werden müssten.

Die globale Minderausgabe von 90 Millionen Euro erzeugt zusätzlichen Rechtfertigungsdruck im BMDS. Der Haushaltsentwurf 2027 liefert so zwar ein robustes finanzielles Fundament und verhindert Stillstand. Ein dynamischer Befreiungsschlag für den digitalen Staat sähe indes anders aus. Ob die Digitalisierung schneller vorankommt, entscheidet sich 2027 weniger an der Höhe der Zahlen im Einzelplan als vielmehr an der Umsetzungsgeschwindigkeit der Verwaltung.

Stefan Krempl

Millionengrab Mobilfunkinfrastrukturgesellschaft: Erst wenige Masten am Netz

Trotz immenser Steuergelder scheitert die staatliche Anti-Funkloch-GmbH spektakulär. Nun soll die überflüssige Behörde neue Aufgaben bekommen.

Im Mai 2021 kündigte der damalige Bundesverkehrsminister Andreas Scheuer (CSU) mit großen Versprechungen einen entscheidenden Schlag gegen die berüchtigten Funklöcher in Deutschland an. Eine eigens gegründete staatliche Einrichtung, die Mobilfunkinfrastrukturgesellschaft (MIG), sollte den Ausbau in den weißen Flecken bürokratiearm und effizient vorantreiben. Ursprünglich war geplant, mit staatlicher Unterstützung bis zu 5000 neue Mobilfunkmasten vor allem in ländlichen Regionen zu errichten. Die Bundes-GmbH mit Sitz in Naumburg an der Saale sollte Fördergelder aus einer Hand vergeben und als zentraler Kümmerer vor Ort agieren. Das Ziel war klar formuliert: Überall dort nachhelfen, wo private Netzbetreiber aus Mangel an Wirtschaftlichkeit keine eigenen Masten aufstellen wollten.

Fünf Jahre später zeichnet ein aktueller Report des Bundesrechnungshofs, über den der Spiegel berichtet, ein verheerendes Bild dieser staatlichen Intervention. Die Bilanz der Anti-Funkloch-Institution fällt demnach mangelhaft aus. Von den ursprünglich bereitgestellten 300 Millionen Euro Fördergeldern seien zwar Projekte für insgesamt 267 Masten bewilligt worden. Doch die praktische Umsetzung sei nahezu ausgeblieben. Im Mai sollen von diesen geförderten Standorten mickrige fünf Masten tatsächlich im scharfen Betrieb gewesen sein und Signale gesendet haben. Weitere 37 Masten hätten sich zu diesem Zeitpunkt im Bau befunden oder seien immerhin bereits fertig aufgestellt worden. Die überwältigende Mehrheit von 225 Projekten habe nicht einmal die eigentliche Bauphase erreicht. Damit verfehlte die staatliche Taskforce ihre selbstgesteckten Ziele grandios.

Schon der Start der Gesellschaft war von massiven Verzögerungen geprägt. Obwohl die Naumburger Behörde bereits 2020 ihre Arbeit aufnehmen sollte, verzögerte sich der operative Beginn erheblich. Der allererste Förderbescheid konnte erst im Oktober 2022 ausgehändigt werden. Bis schließlich der erste von der Gesellschaft geförderte Mast tatsächlich ein Mobilfunksignal ausstrahlte, vergingen nochmal fast zwei Jahre. Trotz der anhaltend mageren Bilanz verschlang der Verwaltungsapparat der MIG enorme Summen an Steuergeldern. Allein für den laufenden Betrieb, das Personal und die Verwaltung der Gesellschaft flossen zwischen den Jahren 2020 und 2025 insgesamt 97,4 Millionen Euro. Für das laufende Jahr sind weitere 20 Millionen Euro eingeplant. Für 2027 stehen nochmals 12 Millionen Euro im Budget. Das bedeutet, dass knapp 100 Millionen Euro reines Steuergeld aufgewendet wurden, um am Ende lediglich eine Handvoll funktionierender Sendemasten vorzuweisen.

Die Ursachen für das Debakel liegen nicht ausschließlich in der staatlichen Gesellschaft selbst, sondern auch bei den Empfängern der Fördermittel. Die Förderbescheide waren an strikte Vorgaben geknüpft: Nach der Bewilligung hatten die Netzbetreiber 14 Monate Zeit, die Sendeanlagen vollständig aufzubauen und an das Netz anzuschließen. Andernfalls sollte die Förderung verfallen. In der Praxis schaffte kein einziges der 267 geförderten Projekte die Einhaltung dieser Frist. Die Rechnungsprüfer bemängeln in ihrem Bericht teils massiv verspätete Bauanträge sowie eine ausgeprägte Unlust zur Kooperation seitens der Förderempfänger. Statt die Konsequenzen zu ziehen und Förderbescheide aufzuheben, erteilte die staatliche Gesellschaft in sämtlichen Fällen großzügig Ausnahmegenehmigungen und verlängerte die Fristen immer wieder aufs Neue.

Ironischerweise hat sich die Netzabdeckung in Deutschland in den vergangenen Jahren dennoch spürbar verbessert – allerdings fast ausschließlich durch den eigenwirtschaftlichen Ausbau der Netzbetreiber. Die 2021 gesteckten Ziele, mindestens 97,5 Prozent der Fläche sowie 99,95 Prozent der Haushalte mit modernem Mobilfunk zu versorgen, wurden in der Fläche sogar leicht übertroffen. Bei den Haushalten liegt der Wert inzwischen bei 99,93 Prozent. Damit ist die Versorgungslücke auf winzige 0,02 Prozentpunkte geschrumpft, womit der eigentliche Zweck der staatlichen Förderung weitgehend hinfällig geworden ist. Der Bundesrechnungshof stellt daher laut dem Spiegel die Sinnhaftigkeit des gesamten Projekts infrage. Er bezweifle, ob der Einsatz von knapp 300 Millionen Euro Steuermitteln zur Schließung dieser minimalen Restlücke überhaupt gerechtfertigt oder rechtmäßig ist. Die Ampel-Regierung wollte das Scheuer-Projekt auch längst beenden, was Schwarz-Rot aber gar nicht gut fand.

Trotz des offensichtlichen Fehlschlags denkt das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) unter Karsten Wildberger (CDU) weiterhin nicht an eine Abwicklung der Fördergesellschaft. Die Vorgängerregierung sah ein Auslaufen der Gesellschaft Ende 2025 vor. Das BMDS plant nun sogar eine Erweiterung des Aufgabenbereichs. Die Mitarbeiter der Gesellschaft sollen künftig flexibel eingesetzt werden, etwa bei der Mobilfunkversorgung entlang von Bahnstrecken oder bei der Beschaffung von IT-Hardware und Software für den Bund. Für diesen Weiterbetrieb bis 2034 kalkuliert das Ministerium mit weiteren 67 Millionen Euro.

Den Kassenprüfern stößt das übel auf. Das Vorhalten von Personal auf Vorrat für vage zukünftige Aufgaben sei unwirtschaftlich, und angesichts des erreichten Ausbaugrads fehle es an einem erheblichen Bundesinteresse, heißt es. Das mache die Fortführung der Förderung rechtlich äußerst fragwürdig. Auch Oppositionspolitiker fordern den sofortigen Stopp der als überflüssig erachteten Subventionen: Private Investoren schöpften Gewinne ab, während der Steuerzahler für die Ineffizienz aufkommen müsse.

Stefan Krempl

Neue Wege bei Polizeisoftware: Hessen erwägt Abschied von Palantir

Möglicher Kurswechsel in Wiesbaden: Nach knapp zehn Jahren könnte Hessen die Kooperation mit Palantir beenden und auf europäische Alternativen setzen.

Nach fast einem Jahrzehnt intensiver Nutzung steht die hessische Polizei möglicherweise vor einer grundlegenden Wende bei ihrer digitalen Ermittlungsarbeit. Das Land erwägt, die Zusammenarbeit mit dem US-amerikanischen Softwareunternehmen Palantir auslaufen zu lassen und das umstrittene Analysewerkzeug HessenData durch eine europäische Lösung zu ersetzen. Was 2017 als hochmoderne Innovation zur Verbrechensbekämpfung begann, entwickelte sich über die Jahre zu einem dauerhaften politischen wie datenschutzrechtlichen Streitfall. Nun laufen die aktuellen Verträge nach Recherchen der Frankfurter Rundschau bereits im kommenden Jahr aus. Im politischen Wiesbaden verdichten sich parallel die Anzeichen für einen strategischen Neuanfang.

Die Software HessenData versetzt Polizeibehörden in die Lage, innerhalb von Sekunden gewaltige Datenmengen zu durchforsten. Das System verknüpft Informationen aus unterschiedlichen polizeilichen Datenbanken, analysiert Fahndungslisten und stellt komplexe Querverbindungen zwischen Personen her. Trotz dieser Leistungsfähigkeit stand der Einsatz von Beginn an unter starker Kritik. Neben Bedenken hinsichtlich des Datenschutzes stießen vor allem die Gründer des US-Konzerns auf Ablehnung. Insbesondere der rechtslibertäre US-Investor Peter Thiel, der sich wiederholt antidemokratisch geäußert hat, sowie Palantir-Chef Alex Karp gerieten immer wieder ins Visier von Gegnern.

In den vergangenen Monaten hat sich die Haltung der hessischen Landesregierung wahrnehmbar verändert. Hessens Innenminister Roman Poseck (CDU) hatte sich zwar noch im Herbst 2024 begeistert von den analytischen Möglichkeiten des Programms gezeigt. Er deutete aber bereits im Landtag an, dass er einer Alternative aufgeschlossen gegenüberstehe. Voraussetzung sei, dass ein anderes Produkt eine vergleichbare Effektivität und Verlässlichkeit bieten könne. Während eine solche Lösung lange Zeit als kaum verfügbar galt, schlägt der Innenminister inzwischen deutlich optimistischere Töne an. Auf Anfrage teilte Poseck mit, er sei sehr offen dafür, nach Ablauf des Vertrages ein europäisches System zum Einsatz zu bringen. Mittlerweile existierten sowohl auf nationaler als auch auf europäischer Ebene zahlreiche vielversprechende Entwicklungen, die Palantir das Wasser reichen könnten.

Diese Neuausrichtung fügt sich in eine breitere politische Debatte ein. Innerhalb der Innenministerkonferenz herrscht weitgehende Einigkeit darüber, dass Bund und Länder im Bereich der hochsensiblen Sicherheitstechnik eine größere Unabhängigkeit von außereuropäischen Staaten anstreben müssten. Die digitale Souveränität Europas hat in den vergangenen Jahren an strategischer Bedeutung gewonnen. Dies zeigt sich auch auf Bundesebene, wo die Regierung derzeit offenbar Abstand von ursprünglichen Plänen nimmt, Palantir-Software für das Bundeskriminalamt und die Bundespolizei zu beschaffen. Zudem erhöht die politische Konstellation in Hessen den Handlungsdruck: Für den Koalitionspartner SPD, der die Kooperation bereits im Jahr 2017 scharf kritisiert hatte, wäre eine erneute Vertragsverlängerung mit dem US-Anbieter politisch kaum vermittelbar.

Auch die Landtagsopposition verfolgt die Signale aus dem Innenministerium aufmerksam. Vertreter der Grünen und der FDP begrüßen einen potenziellen Ausstieg ausdrücklich. Zwar erkennen sie den funktionalen Nutzen einer übergreifenden Datenanalyse für die Polizeiarbeit an. Die Herkunft der eingesetzten Technologie dürfe aber nicht egal sein. Neben den Vorbehalten gegenüber den Positionen der Firmengründer wiegt vor allem die Sorge vor einem möglichen Abfluss hochsensibler Daten in die USA schwer. Die Liberalen fordern daher einen strukturierten Dialog mit deutschen und europäischen Softwareunternehmen. Parallel wächst auch in anderen Bundesländern der Druck auf Koalitionen, wie Beschlüsse bei den Grünen in Nordrhein-Westfalen zeigen, die weit über die eigenen Landesgrenzen hinausstrahlen.