Staatliche Hacks: Warum Deutschland Regeln für IT-Sicherheitslücken braucht

Ein Rechtsgutachten verweist auf Verfassungsverstöße beim Umgang mit Zero-Days. Ein neuer Gesetzentwurf soll dem BND sogar den Eil-Zugriff auf Systeme erlauben.

Wer im digitalen Raum unterwegs ist, verlässt sich tagtäglich auf die Sicherheit von Betriebssystemen, Apps und Netzinfrastrukturen. Doch wenn IT-Sicherheitslücken entdeckt werden, die den Herstellern noch unbekannt sind – sogenannte Zero-Days –, gerät der Staat in ein Dilemma. Auf der einen Seite steht das berechtigte Interesse, Bürger, Unternehmen und staatliche Einrichtungen vor Cyberangriffen, Erpressungs-Software und Wirtschaftsspionage zu schützen. Dafür müssten Schwachstellen umgehend den Herstellern gemeldet werden, damit diese Patches bereitstellen können. Auf der anderen Seite wollen Sicherheitsbehörden und Nachrichtedienste genau diese Lücken geheim halten und als Einfallstor nutzen, um Verdächtige zu überwachen oder offensive Cyberoperationen durchzuführen.

Ein Rechtsgutachten im Auftrag der Gesellschaft für Freiheitsrechte (GFF) erläutert, wie brisant dieser Zielkonflikt auf verfassungsrechtlicher Ebene ist. Ergebnis der juristischen Analyse von Thomas Wischmeyer und Paul Friedl (beide HU Berlin): Deutschland verstößt gegen das Grundgesetz, weil eine formell-gesetzliche Regelung für ein staatliches Schwachstellenmanagement bis heute fehlt. Bereits im Juni 2021 stellte das Bundesverfassungsgericht im Beschluss zu IT-Sicherheitslücken klar, dass aus dem Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme eine konkrete Schutzpflicht des Staates erwächst. Sobald staatliche Stellen von einer unbekannten Schwachstelle erfahren, verengt sich der allgemeine Schutzauftrag zu einer Handlungspflicht. Der Gesetzgeber muss laut den Verfassern verfassungsrechtlich zwingend vorgeben, wie Behörden diesen Zielkonflikt aufzulösen haben.

Dass es bisher an einem transparenten, gesetzlich verankerten Kriterienkatalog fehlt, ist aus rechtsstaatlicher Sicht fatal. Aktuell entscheiden Behörden weitgehend in Eigenregie und intransparent im Exekutivbereich, ob eine Lücke geschlossen oder für eigene Zwecke bevorratet wird. Dabei birgt das Offenhalten immenses Schadenspotenzial. Einem Staat gelingt es selten, exklusiv im Besitz einer Schwachstelle zu bleiben. Ein prominentes Beispiel zeigt die Gefahr: 2016 entwendete die Hackergruppe Shadow Brokers hocheffektive Zero-Day-Exploits des US-Geheimdiensts NSA. Kurz darauf richtete die Ransomware WannaCry weltweite Verheerungen in Hunderttausenden Systemen an.

Die Autoren erläutern daher die verfassungsrechtlichen Mindestanforderungen an ein künftiges Gesetz. Grundsätzlich müsse das Prinzip gelten, dass Schwachstellen im Regelfall unverzüglich an Hersteller gemeldet werden. Die temporäre Geheimhaltung dürfe nur eine absolute Ausnahme sein. Voraussetzung sei ein strukturierter, nachvollziehbarer Abwägungsprozesses, bei dem der Nutzen für eine konkrete Ermittlung gegen die diffusen Gefahren für die Allgemeinheit aufgewogen werde. Diese Entscheidung gehört nach Ansicht der Gutachter nicht in die Hände einzelner Polizeibehörden oder Geheimdienste. Sie müsse durch ein unabhängiges, interministerielles Gremium mit klarer rechtlicher und unabhängiger Kontrolle getroffen werden.

Besonders drängend wird die Debatte durch ein neues Gesetzgebungsvorhaben der Bundesregierung, das genau in die entgegengesetzte Richtung zu steuern scheint. Im Regierungsentwurf zur Reform des Nachrichtendienstrechts offenbart sich, wie intensiv Behörden künftig Schwachstellen und IT-Daten austauschen und ausnutzen wollen. So sieht der Entwurf in Paragraph 11 Absatz 1 Satz 2 vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet werden soll, Informationen und personenbezogene Daten an den Bundesnachrichtendienst (BND) zu übermitteln. Wenn das BSI Kenntnis von Schwachstellen erhält, könnten diese Informationen genutzt werden, um Datenströme gezielt nach Suchbegriffen zu durchsuchen. Diese müssten durch eben jene Schwachstellen angezeigt werden, um laufende Angriffe im Bundesgebiet aufzuklären.

Noch weiter geht Absatz 5 des Entwurfs: Damit soll eine explizite Ausnahme von dem Grundsatz geschaffen werden, dass ein Eingriff in IT-Systeme vorab angeordnet werden muss. Dem BND würde damit die Befugnis zur sogenannten Zugangssicherung eingeräumt. Die Begründung verweist auf eine extreme zeitliche Dringlichkeit. Oft vergingen zwischen dem Bekanntwerden einer technischen Realisierungsmöglichkeit und dem Schließen einer Lücke nur wenige Stunden. Um den Zugriff nicht zu verlieren, soll der BND ein Zielsystem sofort sichern dürfen – noch bevor eine richterliche oder unabhängige Anordnung vorliegt. Zwar betont die Regierung, dass bis zur Bestätigung durch den Unabhängigen Kontrollrat keine über die reine Zugangsschaffung hinausgehende Datenverarbeitung stattfinden dürfe. Trotzdem zeigt sich hier ein gravierender Eingriff in die Systemintegrität: Der Staat schafft sich im Eilverfahren Zugang zu Geräten, ohne dass die betroffenen Bürger oder unabhängige Stellen im Moment des Zugriffs eingreifen können.

Auch der Ankauf kommerzieller Spyware von privaten Anbietern sowie die Zusammenarbeit mit ausländischen Geheimdiensten verschärft die Lage. Wenn der Staat Trojaner von Drittanbietern erwirbt, deren Funktionsweise oder gar dahinterliegende Sicherheitslücken er nicht vollumfänglich kontrollieren kann, umgeht er potenziell das verfassungsrechtlich gebotene Schwachstellenmanagement. Auch hier fordern die Gutachter strikte gesetzliche Leitplanken, etwa durch streng gehandhabte Whitelists oder gar ein vollständiges Verbot kommerzieller Überwachungssoftware.

Der Gesetzgeber steht damit vor einer doppelten Aufgabe. Er darf sich nicht darauf beschränken, den Sicherheitsbehörden immer schnellere und tiefere Zugriffsrechte auf digitale Systeme einzuräumen. Er muss gleichzeitig seiner Schutzpflicht nachkommen und ein verfassungskonformes Schwachstellenmanagement etablieren. Nur wenn klare Gesetze festlegen, wann Sicherheitslücken gemeldet werden müssen und wie geheim gehaltene Exploits gesichert werden, lässt sich das Vertrauen in die digitale Infrastruktur aufrechterhalten.

Stefan Krempl

Palantir: US-Datenriese zahlt in Europa kaum Steuern

Trotz Milliardengewinnen drückte Palantir 2025 effektiv nur 1,4 Prozent an Steuern ab. Eine Studie enthüllt die Methoden des Big-Data-Konzerns, die für Kritik sorgen.

Der US-amerikanische Big-Data-Konzern Palantir gilt in Verteidigungskreisen, bei Ermittlungsbehörden, im Polizeiwesen und im Gesundheitswesen weltweit als zentraler, aber auch umstrittener Akteur. Doch während europäische Regierungen von Deutschland über Großbritannien bis hin zu den Niederlanden kontinuierlich Steuergelder in Verträge mit dem Konzern pumpen, verbleibt von dessen Milliardengewinnen in den Finanzkkassen des Kontinents kaum mehr als ein symbolischer Betrag. Eine jetzt veröffentlichte Untersuchung offenbart das Ausmaß der Steueroptimierung des Tech-Riesen und sorgt politisch für Gesprächsstoff.

Wie aus der Studie des Centre for International Corporate Tax Accountability and Research (CICTAR) hervorgeht, die der europäische Gewerkschaftsdachverbands EPSU in Auftrag gegeben hat, lag Palantirs effektiver globaler Ertragsteuersatz im Jahr 2025 bei nur 1,4 Prozent. Bei einem weltweiten Vorsteuergewinn von rund 1,66 Milliarden US-Dollar überwies das Unternehmen gerade einmal 22,7 Millionen US-Dollar an Steuern. Damit unterbietet der Konzern die von mehr als 145 Staaten im Rahmen der OECD vereinbarte globale Mindeststeuer von 15 Prozent drastisch. Begünstigt wird dies durch Sonderregeln, die sich die USA gesichert haben.

Die extrem niedrige Steuerlast ist das Ergebnis ausgeklügelter Gewinnverlagerung, schreibt die Plattform Follow the Money, der die Untersuchung vorab vorlag. Laut den Analysten werden Verträge mit europäischen Kunden und Behörden häufig direkt über die US-Konzernzentrale abgewickelt. Europäische Niederlassungen in Ländern wie Deutschland oder Großbritannien fungieren bilanziell primär als Dienstleister für das US-Mutterhaus. Sie erhalten dafür lediglich überschaubare Aufwandsentschädigungen, was die ausgewiesenen Gewinne vor Ort künstlich nach unten drückt. Während Palantir in den USA im Jahr 2025 eine Gewinnspanne von 47,7 Prozent verzeichnete, lag die Marge im internationalen Geschäft außerhalb der USA bei durchschnittlich 6,3 Prozent. In manchen europäischen Ablegern fiel sie sogar auf rund 3 Prozent.

In Spanien wiederum nutzt Palantir ein weiteres Instrument: Die dortige Tochtergesellschaft zahlt erhebliche Lizenzgebühren für Immaterialgüterrechte an die US-Zentrale. Diese Aufwendungen zehren über 70 Prozent der lokal erwirtschafteten Einnahmen auf und reduzieren den steuerpflichtigen Gewinn drastisch. Ein gern genutzter Trick zu Steueroptimierung.

Ein weiterer Hebel betrifft die aktienbasierte Vergütung. Mitarbeiter und Führungskräfte erhalten signifikante Gehaltsbestandteile in Form von Unternehmensaktien. Diese Praxis wird als Personalaufwand verbucht und mindert den steuerpflichtigen Gewinn der Tochtergesellschaften in Ländern wie Großbritannien, Spanien und Norwegen massiv. In Großbritannien schlug dies bei 749 Beschäftigten im Jahr 2024 mit durchschnittlichen Personalkosten von über 270.000 Euro pro Kopf zu Buche.

Frankreich bildet eine Ausnahme auf dem Kontinent. Weil die dortigen Finanzbehörden durchsetzten, dass lokale Einnahmen auch vor Ort verbucht werden müssen, zahlte Palantir dort 2024 immerhin 1,6 Millionen Euro Ertragsteuer bei einem effektiven Satz von 33 Prozent. In Deutschland überwies der Konzern dagegen im selben Jahr bei einem formalen Steuersatz von 31 Prozent nur rund 641.000 Euro, weil der Großteil der Umsätze direkt in die USA floss.

Gewerkschaften wie die niederländische FNV zeigen sich empört über diese Praktiken. Es sei nicht vermittelbar, dass ein Unternehmen aus öffentlichen Aufträgen europäischer Staaten profitiere und Infrastruktur sowie Bildungssysteme nutze, sich seiner gesellschaftlichen Verantwortung aber durch undurchsichtige Konstrukte entziehe. Die Last trage am Ende der normale Steuerzahler.

Zudem verschärft die Steuerpraxis das Problem der digitalen Souveränität in Europa. Wenn US-Giganten dank gewaltiger Steuervorteile ihre Gewinne maximieren, fällt es europäischen Anbietern schwer, wettbewerbsfähig zu bleiben. Dazu kommt, dass die Gründer Peter Thiel und Alex Karp trotz des Börsengangs über spezielle Stimmrechtsstrukturen die uneingeschränkte Macht im Konzern halten. Unabhängige Aufsichtsorgane fehlen weitgehend.

Palantir betonte auf Anfrage von Politico, man erfülle alle steuerlichen Pflichten in jedem Markt und erwirtschafte den Großteil der Gewinne schlicht im US-Geschäft. Dennoch wächst der Druck auf europäische Regierungen, bei Vergaben künftig nicht nur Softwarefunktionen, sondern auch verantwortungsvolle Steuerpraktiken zur Bedingung zu machen.

Stefan Krempl

Datenschutz-Beschwerde gegen dict.cc: Über 170 Stunden Lesezeit für ein Cookie-Banner

Einwilligungen im Netz sind oft eine Illusion: dict.cc verlangt die Zustimmung für 1741 Partner. Noyb hat Beschwerde bei der Datenschutzbehörde eingelegt.

Wer im Internet nach einer Übersetzung sucht, erwartet ein schnelles Ergebnis und keine juristische Mammutaufgabe. Beim Aufrufen des populären Online-Wörterbuchs dict.cc werden Nutzer aber vor eine Entscheidung gestellt, die in der Praxis kaum realistisch zu bewältigen ist. Über ein Pop-up-Banner verlangt die Betreiberin die Zustimmung zur Speicherung und Verarbeitung personenbezogener Daten für Online-Werbung. Das Besondere daran ist der Umfang: Insgesamt 1741 Werbepartner und Dienstleister sollen Zugriff auf das Endgerät sowie die Surfaktivitäten der Betroffenen erhalten.

Die Wiener Datenschutzorganisation Noyb bewertet diese Praxis als klaren Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Nach Ansicht der Juristen ist eine wirksame und informierte Einwilligung unter diesen Bedingungen schlicht unmöglich. Selbst bei einer extrem optimistischen Kalkulation von lediglich sechs Minuten Lese- und Verstehenszeit pro Datenschutzerklärung summiert sich der Aufwand für ein einziges Cookie-Banner auf über 172 Stunden.

Um die Konsequenzen eines einzigen Klicks auf „Alle akzeptieren“ vollständig zu durchdringen, müssten Verbraucher so mehr als eine ganze Woche ununterbrochen juristische Fachtexte studieren. In der Realität dauern manche Erklärungen einzelner Partner bereits für sich genommen mehr als eine halbe Stunde. Dazu kommt, dass viele dieser Drittanbieter die Daten wiederum an eigene Netzwerke weiterreichen, womit die Kette der Datenempfänger rasch in die Hunderte von Tausenden geht.

Nach der DSGVO ist das Tracking von Nutzerprofilen und Surfverhalten ohne eine freiwillige, spezifische, unmissverständliche und eben informierte Einwilligung grundsätzlich verboten. Wenn Informationen intransparent aufbereitet sind oder der Umfang den Rahmen des Verstandes sprengt, verkommt die Kontrolle über die eigenen Daten zur reinen Illusion. Noyb-Jurist Felix Mikolasch betont, wie abwegig die bisherige Praxis ist: Es sei lächerlich anzunehmen, dass jemand auf dieser Grundlage eine informierte Entscheidung treffen könnte.

In der eingereichten Beschwerde fordert Noyb die österreichische Datenschutzbehörde auf, der unrechtmäßigen Datenverarbeitung ein Ende zu setzen. Das Online-Wörterbuch soll angewiesen werden, die betroffenen Daten unverzüglich zu löschen und sämtliche Empfänger darüber zu informieren. Ferner regt die Organisation das Verhängen einer wirksamen Geldbuße an, um eine abschreckende Wirkung für die gesamte Branche zu erzielen. Über den konkreten Fall hinaus könnte die Aufsichtsbehörde wegen der grundsätzlichen Bedeutung auch ein umfassenderes Verbot aussprechen oder die Angelegenheit zur Stellungnahme an den Europäischen Datenschutzausschuss (EDSA) weiterleiten.

dict.cc steht mit dieser Vorgehensweise keineswegs allein da. Invasive Tracking-Mechanismen und undurchsichtige Banner-Systeme gehören auf zahlreichen namhaften Informations- und Medienportalen zum Alltag. Die erhobenen Verhaltens- und Standortdaten dienen nicht nur der Personalisierung von Werbeanzeigen, sondern gelangen häufig über Datenbroker an Dritte oder sogar an staatliche Überwachungsbehörden.

Stefan Krempl

US-Visa-Erpressung: EU droht Grundrechte in Biometriedeal mit den USA zu opfern

Ein geleakter Entwurf legt nahe: Die EU-Kommission knickt beim verstärkten Grenzschutz vor Washingtons Überwachungsdruck ein und riskiert ein juristisches Fiasko vor dem EuGH.

Die EU-Kommission steht in der Kritik, bei den geheimen Verhandlungen über ein neues Sicherheits- und Datenabkommen mit den USA grundlegende europäische Rechtsstandards aufzugeben. Ein geleakter Entwurf des Rahmenabkommens für die „Enhanced Border Security Partnerships“ (EBSP) zeigt, dass die Brüsseler Unterhändler den weitreichenden Überwachungsforderungen Washingtons fast vollständig nachgegeben haben.

Die Bürgerrechtsorganisation European Digital Rights (EDRi) warnt in einer juristischen Analyse eindringlich vor den Folgen. Gemeinsam mit einem breiten Bündnis aus Zivilgesellschaft und Wissenschaft fordert EDRi in einem offenen Brief die EU-Institutionen auf, dem amerikanischen Druck standzuhalten und die europäischen Datenschutzgarantien nicht für das visumfreie Reisen zu opfern. Zu den prominenten Erstunterzeichnern des Appells gehören internationale Organisationen wie Access Now und das Centre for Democracy and Technology (CDT) sowie renommierte Bürgerrechtsgruppen wie Statewatch, Digitalcourage, die Digitale Gesellschaft und die Deutsche Vereinigung für Datenschutz (DVD).

Der Ursprung des Konflikts liegt im Jahr 2022, als die US-Regierung ankündigte, die Beibehaltung der Visumfreiheit im Rahmen des Visa-Waiver-Programms an eine neue Bedingung zu knüpfen: Partnerländer müssen den US-Behörden den automatisierten Zugriff auf nationale biometrische Datenbanken gewähren. Dieses EBSP-Verfahren dient der massenhaften Überprüfung und Risikobewertung von Reisenden noch vor deren Einreise in die USA. Obwohl die Gespräche bereits seit Jahren im Geheimen laufen, erhielt die EU-Kommission erst im Dezember 2025 ein offizielles Mandat des EU-Rates, um ein einheitliches Rahmenabkommen auszuhandeln. Auf dessen Basis sollen die Mitgliedstaaten dann bilaterale Verträge schließen.

Die nun vorliegenden Details aus dem im Mai durch Statewatch geleakten Entwurf zeigen indes eine drastische Abweichung von diesem Verhandlungsmandat der Mitgliedstaaten. Laut EDRi verstößt der ausgehandelte Text in weiten Teilen gegen europäisches Primär- und Sekundärrecht, insbesondere gegen die Grundrechtecharta. Im Kern geht es um einen systematischen Transfer sensibler Daten, der laut Kritikern einer Erpressung gleicht. Trifft eine automatisierte US-Abfrage bei der ESTA- oder Visumbeantragung auf einen Treffer in einer europäischen Datenbank, müssten die EU-Staaten in Fast-Echtzeit nicht nur Biometrie- und Identitätsdaten übermitteln, sondern auch subjektive Risikoeinschätzungen liefern.

Durch die geforderte Geschwindigkeit wird eine effektive menschliche Überprüfung der Datenqualität in Europa praktisch unmöglich gemacht. Das wiegt umso schwerer, als die US-Behörden Reisende im Vorfeld über ein automatisiertes System durchleuchten, das auch öffentlich zugängliche Social-Media-Profile auswertet. Besonders pikant ist, dass der vorliegende Entwurf keinen Schutz vor Diskriminierung aufgrund politischer Meinungen enthält. Angesichts des harten Vorgehens der Trump-Administration gegen politischen Protest befürchten die Bürgerrechtler, dass Social-Media-Beiträge gegen die US-Regierung, die Unterstützung von Transgender-Rechten oder die Teilnahme an Protestsituationen über den europäisch-amerikanischen Datenabgleich zu direkten Einreiseverweigerungen oder Inhaftierungen an den US-Grenzen führen könnten.

Zudem hebelt das Abkommen der Analyse zufolge fundamentale Datenschutzprinzipien aus. Die Zweckbindung werde nahezu komplett aufgelöst, da US-Strafverfolgungsbehörden und Geheimdienste die Daten für beliebige andere Ermittlungen nutzen und sie sogar an lokale Polizeibehörden weitergeben dürften, für die die Schutzregeln des Abkommens gar nicht gelten. Auch bei den Speicherfristen drohe ein uferloser Zustand: das EU-Recht verlangt eine strikte Begrenzung. Die US-Rechtslage erlaubt es dagegen dem Department of Homeland Security (DHS), die Daten im Automated-Targeting-System für bis zu 75 Jahre aufzubewahren – weit über die eigentliche Reise hinaus.

Ein echter Rechtsschutz für betroffene EU-Bürger sei im Entwurf nicht vorgesehen, heißt es. Die Rechte auf Auskunft, Benachrichtigung und Löschung richteten sich rein nach US-Recht, wobei der US Judicial Redress Act für diese Art von Grenzkontroll- und Visadaten explizit nicht greife. Betroffene erführen meist nicht einmal, dass sie Opfer einer fehlerhaften automatisierten Entscheidung wurden. Sie hätten aufgrund der US-Rechtsprechung kaum Chancen, vor einem amerikanischen Gericht zu klagen. Da auch eine unabhängige Datenschutzkontrolle in den USA nach jüngsten Urteilen des Supreme Courts als verfassungswidrig gilt, fehle jegliche wirksame Aufsicht.

EDRi und die Mitunterzeichner warnen die EU-Länder vor einem juristischen Fiasko. Sollte das Abkommen in dieser Form verabschiedet werden, dürfte es vor dem Europäischen Gerichtshof (EuGH) wegen eklatanter Mängel beim Datenschutzniveau scheitern. Die Zivilgesellschaft fordert daher einen sofortigen Stopp der Verhandlungen, bis die USA rechtsstaatliche Garantien und einen echten Grundrechteschutz nachweisen können – kein Abkommen sei besser als ein Deal, der die Rechte der Bürger leichtfertig verscherbelt.

Stefan Krempl

Digitaler Datenschutz: US Supreme Court stuft virtuelle Rasterfahndung als Verfassungskonflikt ein

Der Oberste Gerichtshof der USA entscheidet im Fall Chatrie, dass die massenhafte Absaugung von Handy-Standortdaten eine staatliche Durchsuchung darstellt und strengen Regeln unterliegt.

In einem richtungsweisenden Urteil hat der Oberste Gerichtshof der Vereinigten Staaten den Schutz digitaler Privatsphäre gestärkt und der massenhaften, verdachtsunabhängigen Überwachung enge verfassungsrechtliche Grenzen gesetzt. Im Fall Chatrie vs. United States entschied das Gericht am 29. Juni 2026 mehrheitlich, dass das behördliche Absaugen von Handy-Standortdaten in einem bestimmten Umkreis eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und damit grundsätzlich richterlich genehmigt sein muss. Das Urteil weitet den Schutz der Bürger im digitalen Raum aus, da sie festlegt, dass Menschen auch bei kurzfristigen Bewegungen in der physischen Welt ein berechtigtes Interesse auf Privatsphäre haben. Bisherige Argumente von Strafverfolgern, dass Nutzer durch das Akzeptieren von Geschäftsbedingungen freiwillig auf diesen Schutz verzichten würden, wies der Supreme Court zurück.

Der Fall geht auf einen Bankraub im Mai 2019 im US-Bundesstaat Virginia zurück. Da die lokalen Ermittler kaum Hinweise auf den Täter hatten, beantragten sie eine virtuelle Rasterfahndung bei Google in Form eines sogenannten Geofence Warrant. Über diesen Beschluss zwangen sie den Tech-Riesen, die Standortdaten sämtlicher Smartphones herauszugeben, die sich zum Tatzeitpunkt in einem Umkreis von 150 Metern um den Tatort befunden hatten.

Google durchsuchte daraufhin die Konten von Hunderten Millionen Nutzern, um Geräte in diesem Gebiet zu identifizieren. In einem dreistufigen Verfahren wurden die Daten schrittweise de-anonymisiert, bis die Polizei schließlich die Klarnamen von drei Personen erhielt. Einer von ihnen war Okello Chatrie, dessen Bewegungsprofil ihn kurz vor dem Raub in der Nähe der Bank zeigte. Er wurde angeklagt, forderte jedoch die Unzulässigkeit der Beweismittel, da die Methode seine verfassungsmäßigen Rechte verletze.

Ein Bezirksgericht stufte die Methode zwar als verfassungswidrig ein, ließ die Beweise aber wegen des „guten Glaubens“ der Beamten zu. Das zuständige Berufungsgericht zeigte sich daraufhin gespalten. Die US-Regierung argumentierte vor dem Supreme Court, dass eine nur zweistündige Überwachung von Standortdaten keinen tiefen Eingriff darstelle und die sogenannte Dritte-Partei-Doktrin greife, weil Nutzer ihre Daten freiwillig mit Google teilten.

Dem widersprach die Mehrheit der Supreme-Court-Richter unter der Federführung von Elena Kagan. Das Gericht knüpfte an sein Urteil Carpenter vs. United States aus dem Jahr 2018 an, das die langfristige Überwachung von Mobilfunkdaten betraf. Dessen Prinzipien weitete es auf moderne, hochpräzise App-Daten aus. Selbst eine kurzfristige Überwachung kann laut dem Urteil intimste Details über das familiäre, politische, berufliche, religiöse oder sexuelle Leben eines Menschen offenbaren.

Ferner hob das Gericht hervor, dass Standortdaten, die von Smartphone-Apps aufgezeichnet werden, digitalen Tagebüchern, E-Mails oder Fotos ähneln. Diese Daten verbleiben im virtuellen Besitz des Nutzers, auch wenn sie auf den Servern von Drittanbietern in der Cloud liegen. Ein Smartphone zu verwenden und den Bedingungen zuzustimmen bedeute nicht, dass man der Weitergabe an den Staat zustimme.

Die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF), die das Verfahren mit einer Stellungnahme begleitet hatte, feiert das Urteil als wichtigen Erfolg. Aus ihrer Sicht sind diese digitalen Schleppnetzfahndungen das Äquivalent dazu, dass die Polizei ohne konkreten Verdacht von Haus zu Haus geht und unschuldige Passanten zu Verdächtigen macht, nur weil sie zur falschen Zeit am falschen Ort waren. Das Urteil schiebe dieser uferlosen Überwachung nun endlich einen Riegel vor.

Die praktischen Auswirkungen des Beschlusses auf Abfragen gegen Google halten sich zwar in Grenzen, da der Konzern seine Speicherpraxis bereits im Juli 2025 grundlegend geändert hat und Standortverläufe seither nur noch lokal auf den Endgeräten der Nutzer aufbewahrt. Dadurch sind Massenabfragen technisch unmöglich geworden. Die Signalwirkung des Urteils ist trotzdem groß. Der Supreme Court hat klargestellt, dass App-Daten umfassend durch die Verfassung geschützt sind. Dies dürfte erhebliche Konsequenzen für Datenhändler haben, die weiterhin massenhaft Bewegungsdaten über dubiose Werbe-Apps aggregieren und an Behörden verkaufen.

Ob die gegen Chatrie erlangten Beweise im konkreten Strafverfahren verwertet werden dürfen, hat der Supreme Court noch nicht abschließend entschieden. Das Verfahren hat er an das zuständige Berufungsgericht zurückverwiesen. Dieses muss nun prüfen muss, ob der konkrete Haftbefehl verhältnismäßig war und ob die Ermittler tatsächlich in gutem Glauben handelten. Unabhängig vom Ausgang dieses Einzelfalls hat der Supreme Court aber ein Fundament für die digitale Ära gegossen: Das Smartphone darf nicht zum unkontrollierten Spionagewerkzeug des Staates werden.

Stefan Krempl

KI-Plattform und Ticket-System: Wie die Polizei das „Datenhaus“ P20 umbaut

Die Bundesregierung erläutert den Fahrplan beim Umbau der Polizei-IT: Das Mammutprojekt P20 setzt neuerdings auf eine eigene KI-Plattform.

Der politische Streit über neue digitale Ermittlungsbefugnisse und den biometrischen Internetabgleich läuft seit Monaten. Doch während die rechtlichen Rahmenbedingungen der Kabinettsentwürfe längst öffentlich diskutiert werden, schreitet die technische und organisatorische Umsetzung im Hintergrund zügig und mit neuen Strukturen voran. Eine Antwort der Bundesregierung auf eine Anfrage der Fraktion Die Linke legt nun den konkreten, aktualisierten Fahrplan sowie tiefere technische Details offen, wie die Sicherheitsbehörden das milliardenschwere Mammutprojekt „Programm P20“ zur Vereinheitlichung der polizeilichen Datenverarbeitung umgestalten.

Überraschend kommt dabei eine grundlegende Neustrukturierung des zentralen Elements ans Licht: Der sogenannte Release Train für das geplante „Datenhausökosystem“ wurde reformiert und in sechs neue Unterstrukturen aufgeteilt. In diesem Zuge wird deutlich, wie tief moderne Technologien bereits verankert sind. So listet die Bundesregierung im Bereich der Querschnittsservices nun offiziell den aktiven Betrieb eines „Minimum Viable Product für eine KI-Plattform“ sowie einen Querschnittsservice für Spracherkennung auf.

Zwar betont das federführende Bundesinnenministerium an anderer Stelle, dass bei den aktuellen P20-Projekten noch keine Künstliche Intelligenz im Sinne der strengen europäischen KI-Verordnung zum Einsatz kommt. Die Infrastruktur für deren Einzug wird jedoch sichtlich im Hintergrund hochgezogen.

Auch bei der hochgradig umstrittenen Verknüpfung von Ermittlungsdaten mit sensiblen Grundrechtseingriffen gibt es technologische Neuigkeiten. Die Exekutive konkretisiert erstmals das Konzept der sogenannten „hypothetischen Datenneuerhebung“ innerhalb des polizeilichen Informationsverbundes. Um rechtlich sauber zu kennzeichnen, wie tief eine polizeiliche Maßnahme in die Grundrechte eingegriffen hat, wird ein technisches System namens „Ticket-Label-Abgleich“ etabliert. Jede spezifische Ermittlungsmaßnahme erhält dabei ein farbliches Label von Grün über Gelb und Orange bis Rot, das die grundrechtliche Eingriffsschwere symbolisiert.

Startet ein Beamter eine Abfrage, wird ein digitales Ticket generiert, das strikt zwischen repressiven und präventiven Gründen unterscheidet. Diese Funktionsweise wurde laut der Bundesregierung bereits mit dem Bundesdatenschutzbeauftragten abgestimmt.

Ebenfalls neu sind die harten Fristen für die Migration der alten, stark fragmentierten Datenbestände. Die Modernisierung der klassischen Verbunddaten aus dem Polizeilichen Informations- und Analyseverbund (PIAV) und INPOL hat gerade begonnen. Für das zweite Halbjahr 2027 ist die Überführung der operativen PIAV-Daten ins Datenhausökosystem geplant, um das bisherige Altsystem abzulösen.

Zeitgleich sollen in der zweiten Jahreshälfte 2027 erste neue Services für die Fahndung und den Erkennungsdienst im INPOL-System live gehen. Dass dieser Prozess extrem komplex ist, zeigen die eingeräumten Abhängigkeiten: Der Austausch mit internationalen Partnern erfordert den Neuaufbau von Schnittstellen. Die Transformation in die endgültige Zielarchitektur wird sich voraussichtlich bis mindestens 2030 hinziehen.

Auch eine klare Absage an langjährige Pläne steckt in dem Papier: Eine flächendeckende Umstellung auf ein einziges, einheitliches Vorgangsbearbeitungssystem der Länder ist offiziell nicht mehr geplant. Stattdessen setzt der Bund nun auf eine Koexistenz von drei voranschreitenden Interimssystemen.

Währenddessen läuft das beschleunigte Verfahren, um überhaupt erst einmal die Landespolizeibehörden in das gemeinsame Datenhaus einziehen zu lassen. Bislang sind lediglich Rheinland-Pfalz und das Saarland produktiv angebunden. Der neue, verbindliche Zielbeschluss des Verwaltungsrats des Polizei-IT-Fonds sieht vor, dass die Daten aller übrigen Bundesländer bis Mitte 2027 vollständig eingepflegt sein müssen.

Stefan Krempl

Weiterer Anstieg: Gerichte erlaubten 2024 in 129 Fällen das Hacken von IT-Geräten

Ermittler haben die Telekommunikationsüberwachung und Abfragen von Verkehrsdaten 2024 ausgeweitet. Vor allem Drogendelikte begründen das Abhören von Smartphones.

Die Polizei hat die Telekommunikationsüberwachung sowie die Abfrage von Verkehrs- und Nutzungsdaten zahlenmäßig weiter ausgebaut. Auch heimliche Eingriffe in IT-Systeme durch Ermittler haben weiterhin Konjunktur. Im Jahr 2024 erteilten Gerichte Ordnungshütern und anderen Strafverfolgungsbehörden in Deutschland insgesamt 129 Mal die Erlaubnis, Smartphones und Computer etwa mithilfe von Staatstrojanern zu infiltrieren und Daten abzufischen. Diese Zahl setzt sich aus 97 Anordnungen zur Quellen-Telekommunikationsüberwachung und 32 Anordnungen zur Online-Durchsuchung zusammen.

Das geht aus den neuen Statistiken zur Telekommunikationsüberwachung nach den Paragrafen 100a und 100b der Strafprozessordnung (StPO) hervor, die das Bundesamt für Justiz (BfJ) veröffentlicht hat. Die Statistik für das Jahr 2024 zu Paragraf 100a StPO weist für die sogenannte Quellen-Telekommunikationsüberwachung (TKÜ) insgesamt 97 im richterlichen Beschluss ergangene Anordnungen aus – im Vergleich zu 96 im Vorjahr. Bei dieser Maßnahme wird die Kommunikation direkt auf einem Endgerät vor einer Ver- beziehungsweise nach einer Entschlüsselung abgegriffen. Tatsächlich durchgeführt wurde ein derartiger Eingriff in ein IT-System per Quellen-TKÜ im Jahr 2024 bundesweit in 64 Fällen, während dies 2023 noch 57 Mal der Fall war. Die Ermittler scheinen demnach mehr Übung und Erfahrung beim Verwenden entsprechender Abhörwerkzeuge erlangt zu haben.

Allein 25 erfolgreich durchgeführte Maßnahmen gehen hierbei auf das Konto der Behörden in Nordrhein-Westfalen. Es folgen Rheinland-Pfalz mit neun, der Generalbundesanwalt mit acht, Bayern und Niedersachsen mit jeweils sieben sowie Baden-Württemberg und Sachsen mit je drei Maßnahmen. In Schleswig-Holstein wurde ein derartiger Trojaner einmal erfolgreich eingesetzt. Als Grund gaben die Behörden in allen TKÜ-Bereichen erneut primär Drogendelikte an: Wie in den vergangenen Jahren begründete vor allem der Verdacht einer Straftat nach dem Betäubungsmittelgesetz die Ausforschung, was sich allein in 6450 erfassten Anlassstraftaten im Bereich des § 100a Abs. 2 Nr. 7 Buchstabe b StPO widerspiegelt.

Ebenfalls gestiegen ist die Zahl der Verfahren, in denen Richter heimliche Online-Durchsuchungen gemäß Paragraf 100b StPO anordneten. Bundesweit wurden sie 2024 in 16 Verfahren bewilligt, was gegenüber den zehn Verfahren im Jahr 2023 eine deutliche Steigerung darstellt. Bei dieser Form der Maßnahme dürfen die Fahnder mithilfe von Spionagesoftware etwa auch Festplatten tiefgreifend inspizieren und nicht nur die laufende Kommunikation mitschneiden. Die Gesamtzahl der Erst- und Verlängerungsanordnungen lag in diesem Bereich 2024 bei 32, aufgeteilt auf 22 Erstanordnungen und zehn Verlängerungsanordnungen. Von diesen richterlichen Erlaubnissen wurden insgesamt 15 tatsächlich in die Praxis umgesetzt und durchgeführt.

Einen starken Anstieg gab es bei den allgemeinen Maßnahmen zur Überwachung der Telekommunikation nach Paragraf 100a StPO insgesamt, zu denen auch das klassische Abhören von Telefonaten ohne spezielle Spionagesoftware gehört. Im Jahr 2024 wurden derartige Maßnahmen bundesweit in 5538 Verfahren angeordnet, was einem Plus von 11,4 Prozent gegenüber dem Vorjahr (4970 Verfahren) entspricht. Die Zahl der Überwachungsanordnungen lag mit insgesamt 16.868 – bestehend aus 13.779 Erstanordnungen und 3.089 Verlängerungsanordnungen – um knapp 5,9 Prozent über den Werten von 2023.

Auch die Abfrage von Nutzungsdaten inklusive Passwörtern bei Telemediendiensten wie Messenger-Diensten, Plattformen oder sozialen Netzwerken gemäß Paragraf 100k StPO ist bei den Behörden stark gefragt. Im Jahr 2024 sind bundesweit in 254 einschlägigen Verfahren insgesamt 319 Anordnungen ergangen. Dies setzt sich aus 304 Erstanordnungen und 15 Verlängerungsanordnungen zusammen und bedeutet gegenüber dem Vorjahr ein deutliches Plus bei den Anordnungen in Höhe von 29,7 Prozent. Nach Paragraf 100k Absatz 2 StPO sind die Verfahren mit acht zwar exakt auf dem Niveau des Vorjahres geblieben. Allerdings stieg die Zahl der Anordnungen hier leicht auf zwölf (elf Erstanordnungen und eine Verlängerung).

Publiziert hat das Bundesamt für Justiz ferner die Statistik zur Abfrage von Verbindungs- und Standortdaten gemäß Paragraf 100g StPO. Demnach ist die Anzahl der Verfahren, in denen derartige Maßnahmen angeordnet wurden, 2024 leicht auf 22.749 gestiegen. Betreffend Maßnahmen nach Paragraf 100g Absatz 1 StPO ergingen in 10.035 Verfahren insgesamt 14.838 Anordnungen, bestehend aus 14.083 Erstanordnungen und 755 Verlängerungen. Zu Maßnahmen nach Absatz 2 ergingen in 1484 Verfahren insgesamt 2443 Anordnungen, die sich auf 2260 Erstanordnungen und 183 Verlängerungen stützen. Maßnahmen nach Absatz 3 wurden in 15.956 Verfahren stolze 17.382 Mal angeordnet. Die Gesamtzahl der Erst- und Verlängerungsanordnungen aller Verkehrsdatenabfragen lag damit bei 34.663, was gegenüber dem Vorjahr einen nur moderaten Anstieg von rund 0,6 Prozent bedeutet.

Das BfJ versieht einen Teil der Zahlen diesmal mit einem deutlichen Caveat, nachdem es in den vergangenen Jahren wiederholt zu fehlerhaften Behördenangaben vor allem rund um den Staatstrojaner-Einsatz gekommen ist: Die aufgezeigten Veränderungen seien "nur mit Vorsicht zu interpretieren", heißt es in dem Hinweis: "So kommt es bei Statistiken in den ersten zwei bis drei Jahren mangels entsprechender Praxis häufiger zu Fehlern bei der Erfassung. Insoweit bleibt die künftige Entwicklung abzuwarten."

Stefan Krempl

Mehr Macht für Europol: EU plant großen Umbau der Verbrechensbekämpfung

Die EU-Kommission will Europol und Eurojust zu digitalen Daten-Hubs aufrüsten. Das Gesetzespaket verspricht Sicherheit, wirft aber viele Datenschutzfragen auf.

Kriminelle Netzwerke agieren zunehmend grenzüberschreitend, digital und hochgradig vernetzt. Um mit dieser Entwicklung Schritt zu halten, hat die EU-Kommission am Mittwoch ein weitreichendes Gesetzespaket vorgestellt, das die Befugnisse der europäischen Polizei- und Justizbehörden deutlich erweitern soll. Im Zentrum der Reform stehen die Agenturen Europol und Eurojust, die von reinen Unterstützungsplattformen zu operativen und technologischen Schaltzentralen umgebaut werden sollen. Begleitet wird das von einer Anpassung der Datenschutzverordnung für die EU-Institutionen, die eine reibungslose Zusammenarbeit garantieren soll.

Für Europol bedeutet der Entwurf einen regelrechten Paradigmenwechsel. Die Polizeibehörde mit Sitz in Den Haag soll künftig als zentraler europäischer Informations- und Technologie-Hub fungieren. Geplant ist etwa der Aufbau eines "Police Shared Data Space" auf Basis einer eigenen, skalierbaren Cloud-Infrastruktur. Hier sollen Ermittler aus verschiedenen Mitgliedstaaten virtuell an gemeinsamen Fällen arbeiten und riesige Datenmengen durchsuchen können. Zudem will die Kommission Europol zum Vorreiter bei der Entwicklung neuer Polizei-Technologien machen, einschließlich der Analyse verschlüsselter Daten. Künftig sollen sogar Europol-Beamte direkt in den Mitgliedstaaten vor Ort in speziellen Büros eingesetzt werden, um nationale Ermittlungen eng mit den europäischen Systemen zu verzahnen.

Flankiert wird diese polizeiliche Aufrüstung durch eine Stärkung der Justizbehörde Eurojust. Auch ihr Handlungsspielraum soll größer werden, sodass die Institution künftig aus eigener Initiative tätig werden könnte, um Zusammenhänge zwischen grenzüberschreitenden Fällen zu erkennen und Koordinierungsbedarf anzumelden. Über automatisierte Hit/No-Hit-Systeme sollen die Datenbanken von Europol, Eurojust und der Europäischen Staatsanwaltschaft (EPPO) engmaschig verknüpft werden, um in Echtzeit Treffer bei länderübergreifenden Ermittlungen zu erzielen.

Der Fahndungs- und Datenverarbeitungsdruck würde mit einem Beschluss des Pakets erheblich steigen. In der modernen Strafverfolgung werden immer häufiger gigantische, unstrukturierte Datenmengen beschlagnahmt, etwa aus Messenger-Diensten oder von Cloud-Anbietern. Bisher durfte Europol prinzipiell nur Daten von Personen verarbeiten, die eindeutig einer bestimmten Kategorie zuzuordnen waren wie Verdächtige.

Die Initiative weicht diese strikte Trennung auf. Europol müsste künftig nur noch "soweit möglich" zwischen Verdächtigen, Opfern oder unbeteiligten Zeugen unterscheiden. Die Agentur dürfte ausdrücklich auch Daten von Personen außerhalb dieser vordefinierten Kategorien verarbeiten, um aus riesigen Datensätzen überhaupt erst verwertbare Informationen zu extrahieren. Für die Bürger bedeutet das, dass ihre Informationen weitaus schneller in den Analyse-Mühlen von Europol landen können. Das gilt selbst dann, wenn sie nicht Beschuldigte einer Straftat sind, sondern lediglich Teil eines unstrukturierten Massendatensatzes.

Die EU-Kommission beteuert, dass der Datenschutz durch die Überarbeitung der entsprechenden EU-Datenschutzverordnung gewahrt bleibe. Juristisch betrachtet bemüht sie sich tatsächlich um eine Harmonisierung. Die Verordnung wird nun verbindlich auf alle Akteure im Justiz- und Innenbereich, einschließlich der EPPO, ausgeweitet. Der Europäische Datenschutzbeauftragte, der gegen die Big-Data-Analysen von Europol seit Jahren vorgeht, erhält einheitliche Kontrollbefugnisse.

Doch die vorgesehenen materiellen Befugnisse würden den Ermittlungsspielraum deutlich ausweiten. Wenn Europol legal massenhaft unstrukturierte Daten filtern darf, nützt auch die beste Datenschutzaufsicht nur bedingt etwas, da der rechtliche Rahmen diese weitreichende Verarbeitung explizit legitimieren würde. Zugleich sieht die reformierte Datenschutzverordnung vor, dass Entscheidungen unter bestimmten Bedingungen "ausschließlich auf einer automatisierten Verarbeitung" basieren dürfen , #und verlängert die Frist zur Meldung von schwerwiegenden Datenschutzverletzungen an die Aufsichtsbehörde von 72 auf 96 Stunden.

Das zivilgesellschaftliche Bündnis "Protect Not Surveil" warnte postwendend, die Reformen bei Europol würden die Privatsphäre auf gefährliche Weise aushöhlen, die Überwachung automatisieren und die Kontrolle aushebeln.

Statewatch monierte, die Vorschläge zum automatischen Datenaustausch würden die Rechtsstaatlichkeit in der EU untergraben. Sie widersprächen den EU-Vorgaben, wonach Europol nationale Polizeibehörden nur bei der Bekämpfung spezifischer schwerer Straftaten unterstützen dürfe.

Die belgische EU-Abgeordnete Saskia Bricmont von den Grünen betonte, ihre Fraktion unterstütze die justizielle Zusammenarbeit in Europa. Doch dürfe die weitreichende Reform von Europol weder zu Massenüberwachung führen noch einen uneingeschränkten Zugriff auf personenbezogene Daten ermöglichen.

Stefan Krempl

Bulgariens brisante Deals: Spionagesoftware für autokratische Regime

Exportlizenzen enthüllen: Ein in Sofia sitzendes Tochterunternehmen der berüchtigten NSO-Group lieferte Überwachungstechnik in Staaten mit dubioser Menschenrechtsbilanz.

Die EU rühmt sich gerne ihrer strengen Exportkontrollen, doch die Realität hinter den Kulissen sieht teils anders aus. Neue Enthüllungen zeigen, wie europäische Überwachungstechnologie gezielt in Länder gelangt, die für die Unterdrückung von Oppositionellen, Journalisten und der Zivilgesellschaft bekannt sind. Im Zentrum des Geschehens steht Bulgarien. Die dortigen Behörden haben über Jahre hinweg den Export hochentwickelter Spionagesoftware und Überwachungsinfrastruktur an Geheimdienste und Sicherheitsbehörden weltweit genehmigt. Betroffen sind Staaten wie Aserbaidschan, Serbien, Malaysia und Mexiko – allesamt Länder, die von internationalen Beobachtern immer wieder wegen Menschenrechtsverletzungen und demokratischer Rückschritte kritisiert werden.

Details dieser Geschäfte gehen aus offiziellen Exportlizenzen hervor, die die Nichtregierungsorganisation Human Rights Watch in einem Bericht offengelegt und das Online-Magazin Politico ausgewertet hat. Die Spur führt direkt zu einem Unternehmen namens Circles BG mit Sitz in der bulgarischen Hauptstadt Sofia. Circles ist kein unbeschriebenes Blatt, sondern ein Tochterunternehmen der israelischen NSO Group. Letztere erlangte weltweite, zweifelhafte Berühmtheit durch ihre Spionagesoftware Pegasus, mit der Politiker wie der französische Präsident Emmanuel Macron oder der indische Politiker Imran Khan ausgespäht wurden. Einer der Gründer von Circles, ein ehemaliger Kommandeur des israelischen Militärgeheimdienstes, wurde zudem von den USA sanktioniert. Er steht auch hinter dem Konsortium, das die umstrittene Predator-Software entwickelte, die 2022 in Griechenland einen massiven Abhörskandal auslöste.

Zwischen 2018 und 2023 flossen die bulgarischen Exporte fast ungehindert. So kaufte der aserbaidschanische Auslandsgeheimdienst im Sommer 2022 Server- und Speicherinfrastruktur sowie ein System zur Handy-Ortung über Mobilfunkmasten. Die Laufzeit dieser Lizenz deckte ausgerechnet jene kritischen Monate ab, in denen der Konflikt um Berg-Karabach eskalierte. Unabhängige Forscher wiesen später nach, dass in diesem Zeitraum armenische Persönlichkeiten des öffentlichen Lebens mit Pegasus-Spyware ins Visier genommen wurden.

Ähnlich brisant ist ein Deal mit Serbien: Wenige Monate vor den dortigen Wahlen im Dezember 2023 erwarb das serbische Innenministerium ein tragbares Gerät zur Überwachung und Standortbestimmung von Mobiltelefonen. Menschenrechtsorganisationen warfen Belgrad später vor, Spionagesoftware gegen Aktivisten eingesetzt zu haben, was die Regierung bestreitet.

Die Liste der Endabnehmer ist lang und liest sich wie ein globales Who's Who der Überwacher. Neben den Vereinigten Arabischen Emiraten und Malaysia tauchen in den Dokumenten auch Länder wie Bahrain, Brasilien, Marokko, Jordanien und mehrere lateinamerikanische Staaten auf. In Mexiko ging die taktische Aufklärungstechnik an die Regierung des Bundesstaates Michoacán, einer Region, die seit Jahren massiv unter der Gewalt von Drogenkartellen leidet.

Die Frachtpapiere zeigen, dass die Lieferungen stets den Flughafen Sofia verließen, teils geschickt über Zwischenstationen in Luxemburg geschleust, um Verbindungen zur NSO-Muttergesellschaft zu verschleiern. Auch direkte finanzielle Verflechtungen sind dokumentiert: So kaufte die NSO Group selbst Technologie bei ihrer bulgarischen Tochter ein, die letztlich beim Heimatfrontkommando des israelischen Verteidigungsministeriums landete.

Rechtlich bewegen sich die Exporte in einer Grauzone. Das bulgarische Außenministerium betont, dass alle Anträge streng geprüft würden und die Technologie laut den eingereichten Dokumenten ausschließlich der Kriminalitäts- und Terrorismusbekämpfung sowie humanitären Rettungseinsätzen diene. Auch gibt es keine Hinweise darauf, dass Circles gegen geltendes Recht verstoßen hat; das Unternehmen selbst schweigt zu den Vorwürfen. Dennoch wirft der Fall ein Schlaglicht auf die eklatanten Schwächen der europäischen Exportkontrolle für sogenannte Dual-Use-Güter, also Produkte, die sowohl zivil als auch militärisch genutzt werden können.

Das Problem ist struktureller Natur: Moderne Überwachungssysteme bestehen oft aus einer Mischung aus Software, Ortungstools und handelsüblicher Computerhardware. Für Behörden ist es schwer zu differenzieren, wo normale Telekommunikation aufhört und digitale Spionage beginnt. Die EU-Kommission steht nun unter Zugzwang. Sie bereitet eine Reform der Exportregeln für Anfang 2027 vor. Kritiker von Human Rights Watch bemängeln, dass Brüssel trotz voller Sichtbarkeit der Exporte jahrelang tatenlos zugesehen habe, wie europäische Technik zur weltweiten Repression beigetragen hat.

Stefan Krempl

Drucker-Forensik und Videoüberwachung: EU-Gremium jagt anonyme Informanten

Eine Korruptionsaffäre erschüttert einen EU-Ausschuss. Statt den Vorwürfen nachzugehen, suchte die Führung panisch nach der Quelle der Lecks.

Wenn in den Korridoren der Brüsseler Bürokratie anonyme Briefe auftauchen, die Korruption anprangern, sollte die Priorität eigentlich auf der Aufklärung liegen. Beim Europäischen Wirtschafts- und Sozialausschuss (EWSA), einem Beratungsgremium der EU, tickten die Uhren jedoch anders. Als dort anonyme Schreiben auftauchten, die der Generalsekretärin Isabelle Le Galo Flores die unrechtmäßige Vergabe öffentlicher Aufträge an Freunde vorwarfen, reagierte die Führungsspitze mit einer groß angelegten Jagd auf den Whistleblower. Ein vertrauliches Dokument, das Euractiv einsehen konnte, enthüllt nun die drastischen Methoden, mit denen der Ausschuss die Quelle der Enthüllungen mundtot zu machen versuchte.

Der EWSA verfügt über ein jährliches Budget von 165 Millionen Euro. Die Vorwürfe wiegen schwer, denn es geht um den Verdacht der Vetternwirtschaft bei der Verteilung von Steuergeldern. Doch anstatt das EU-Betrugsbekämpfungsamt OLAF sofort einzuschalten, wies EWSA-Präsident Séamus Boland die Sicherheitskräfte an, alle im Umlauf befindlichen Briefe einzusammeln. Ziel der internen Operation war eindeutig: Es sollten Beweise gesichert werden, die zur Identifizierung des Absenders beitragen könnten. Für diesen Zweck erteilte der Präsident den Ermittlern ein umfassendes Mandat.

Die Sicherheitsbeamten wurden etwa aufgefordert, forensische Untersuchungen an den Druckern des Hauses vorzunehmen. Damit sollten sie feststellen können, ob die Briefe auf internen Geräten gedruckt wurden. Zudem müssten sie prüfen, ob die Texte auf Computern des Ausschusses verfasst worden waren. Sogar die Auswertung von Videoaufnahmen aus den Überwachungskameras gab Boland frei. Falls die eigenen Kapazitäten nicht ausreichen würden, stellte der Präsident die Unterstützung durch Forensik-Spezialisten der EU-Kommission in Aussicht. Die gesamte Operation sollte unter absoluter Geheimhaltung stattfinden. Die Berichte durften ausschließlich an Boland selbst und seinen Stabschef übermittelt werden.

Die Jagd auf den Informanten blieb innerhalb der Belegschaft nicht unbemerkt und löste Proteste aus. Drei Gewerkschaften, die die Interessen der 700 Mitarbeiter des Ausschusses vertreten, warfen der Führung eine regelrechte Hexenjagd vor. Sie kritisierten Widersprüche in den Erklärungen des Stabschefs darüber, ob die Identifizierung des Absenders das eigentliche Ziel der Sicherheitsüberprüfung gewesen sei. Der EU-Abgeordnete Daniel Freund von den Grünen, dem eine Kopie der vertraulichen Anweisung zugespielt wurde, zeigte sich gegenüber Euractiv fassungslos. Er forderte klare Konsequenzen und betonte, dass Menschen, die Missstände, Betrug oder Fehlverhalten aufdecken, geschützt und gefeiert werden müssten, anstatt sie disziplinarisch zu verfolgen. Eine Führung, die so agiere, sei ungeeignet für ihr Amt.

Die offizielle Reaktion des Ausschusses auf die schweren Vorwürfe folgt dem klassischen Muster der Schadensbegrenzung. Eine Sprecherin wies den Vorwurf einer Hexenjagd zurück. Die Untersuchung sei auf Wunsch von Mitarbeitern eingeleitet worden, die besorgt über die unregelmäßige Verteilung von Briefen auf ihren Schreibtischen gewesen seien. Die Entscheidung des Präsidenten sei primär durch die Sorge um die Sicherheit des Personals im globalen Kontext motiviert gewesen. Bei der Überprüfung seien weder E-Mails durchsucht noch Videoüberwachungen ausgewertet worden. Am Ende habe das Gremium lediglich Empfehlungen zur Verbesserung des Postsystems erarbeitet.

Der Fall liegt nun bei der Betrugsbekämpfungsbehörde OLAF an die mindestens drei Mitarbeiter bereits in den vergangenen zwei Jahren unabhängig voneinander Hinweise auf ein Fehlverhalten der Generalsekretärin übermittelt hatten. Da die Prüfungen noch andauern, lehnt die Institution inhaltliche Kommentare ab. Der Vorfall wirft jedoch erneut ein Schlaglicht auf die mangelhafte Whistleblower-Kultur in einigen EU-Institutionen, in denen der Schutz von Informanten offenbar hinter dem Wunsch zurücksteht, unliebsame Kritiker intern aufzuspüren.

Stefan Krempl

Chinas digitale Rasterfahndung: Wie Peking nun auch Ausländer schier lückenlos überwacht

Ein von Bloggern entdecktes Datenleck enthüllt ein gigantisches KI-Überwachungssystem, das gezielt westliche Journalisten, Touristen und Geschäftsleute durchleuchtet.

Die Perfektionierung des chinesischen Überwachungsstaates ist längst kein Geheimnis mehr. Was in der Uigurenregion Xinjiang als digitales Freiluftgefängnis begann, weitet sich rasant zu einem landesweiten Kontrollnetz aus, das vor den Staatsgrenzen keinen Halt macht. Ein Fund von IT-Sicherheitsexperten des Investigativ-Blogs NetAskari belegt nun erstmals schwarz auf weiß, wie akribisch und lückenlos die Volksrepublik inzwischen auch ausländische Staatsbürger ins Visier nimmt.

Durch eine Unvorsichtigkeit chinesischer Softwareentwickler geriet ein Prototyp einer polizeilichen Benutzeroberfläche ungesichert ins Internet. Die darin enthaltenen Datensätze stammen nicht aus einer Simulation, sondern von realen Ausländern, die sich im Land aufhalten. IT-Analysten gehen daher mit an Sicherheit grenzender Wahrscheinlichkeit davon aus, dass solche Überwachungs-Dashboards in verschiedenen Modifikationen bereits landesweit im Einsatz sind.

Die Blogger haben sich auf die digitale Überwachung in China spezialisiert und nutzen vorwiegend Open-Source-Intelligence-Methoden. Betrieben wird die Plattform von Marc Hofer, einem erfahrenen Cybersicherheits-Analysten und Journalisten des Netzwerks Organized Crime and Corruption Reporting Project. Er kennt die Verhältnisse vor Ort durch seine frühere Tätigkeit als Kameramann für die britischen Fernsehsender Sky News und ITV in Peking bestens.

Die offen gelegte Benutzeroberfläche war konkret für die Sicherheitsorgane der kreisfreien Stadt Zhangjiakou konzipiert. Das ist eine Region nahe Peking, die als Skigebiet und olympischer Austragungsort dient. Das System teilt ausländische Besucher in feingliedrige Kategorien ein. Erfasst werden Geschäftsleute, Angestellte ausländischer Firmen samt Angehörigen, Techniker, Lehrer, Ehepartner, Sprachschüler sowie Personen auf Familienbesuch. Besonders brisant ist ein separater Menüpunkt für Journalisten. Anders als beim Rest der Datenbank sind hier nicht nur lokale Besucher hinterlegt, sondern die Daten aller in ganz China registrierten ausländischen Berichterstatter. Die Polizei kann so bei einer Einreise in den Bezirk sofort ein umfassendes Profil abrufen. Ein weiterer Fokus liegt auf Bürgern der „Five Eyes“-Staaten sowie auf Personen mit Verbindungen nach Hongkong, Macau und Taiwan.

Das System fungiert laut dem Bericht als gigantischer Datenstaubsauger. Den Grundpfeiler bilden Millionen Überwachungskameras, die Passanten mittels Gesichts- und Gangarterkennung permanent identifizieren. In Zhangjiakou gehen die Behörden sogar so weit, die Passfotos der Skipässe direkt mit der Polizeidatenbank abzugleichen. Dazu kommt die lückenlose digitale Erfassung des analogen Lebens: Jeder Krankenhausbesuch, jede elektronische Bezahlung, die Nutzung von Verkaufsautomaten, der Benzinverbrauch und selbst Toilettengänge werden registriert. Kombiniert wird dies mit Smartphone-Daten wie GPS-Positionen, Websuchen, App-Aktivitäten und Telefonaten, um tägliche Routinen millimetergenau zu protokollieren.

Aus dieser Datenfusion strickt eine Künstliche Intelligenz, die stark an die US-Polizeisoftware Palantir erinnert, ein sogenanntes holografisches Profil. Das System analysiert Handy-Nachrichten, Mails und persönliche Treffen, um komplexe Beziehungsgeflechte visuell darzustellen. Die KI soll automatisch erkennen, wer mit wem befreundet ist, wer zusammenwohnt oder dieselbe Schule besucht. Ziel ist es, das künftige Verhalten der Zielpersonen vorherzusagen. Sogar das automatisierte Verfassen von Polizeiberichten übernimmt die Software bereits über eine integrierte Funktion.

In der finalen Version soll das System jedem Einwohner automatisch ein individuelles Risikolevel zuweisen (Citizen Score). Während diese Funktion im geleakten Prototyp noch fehlte, zeigt das Projekt die Ambition Chinas, eigene Sicherheits-KI-Lösungen auf Weltniveau zu etablieren. Solche Systeme sind zwar bei der klassischen Kriminalitätsbekämpfung effektiv. In den Händen eines autoritären Regimes dienen sie jedoch primär der sozialen und politischen Kontrolle. Die größte Gefahr lauert in einer künftigen Vermarktung an Drittstaaten: Als schlüsselfertiges Exportprodukt weckt die KI-Überwachung bereits Begehrlichkeiten bei Autokraten weltweit.

Stefan Krempl