KI in Asyl- und Visumverfahren: Bundesregierung will Migrationsverwaltung automatisieren

Ein neues Gesetz soll Behörden entlasten und Verfahren bei Asylanträgen mit KI beschleunigen. Fachverbände wie die GI und Datenschützer warnen vor Diskriminierung und Datenschutzverstößen.

Das Bundeskabinett hat am Mittwoch den Regierungsentwurf für das sogenannte KI-Migrationsverwaltungsgesetz (KIMVG) auf den Weg gebracht. Die Vorlage, die vom Bundesinnenministerium unter Führung von Innenminister Alexander Dobrindt (CSU) erarbeitet wurde, soll den Einsatz digitaler Verfahren und Künstlicher Intelligenz in Asyl-, Visum- und Migrationsverfahren rechtlich absichern und regeln. Die Bundesregierung begründet die Initiative mit einem anhaltend hohen Antragsaufkommen sowie akuten personellen Kapazitätsgrenzen in den Behörden. Ziel sei es, durch automatisierte Datenverarbeitung und KI-Systeme die Effizienz, Qualität, Sicherheit und Einheitlichkeit ausländerrechtlicher Verfahren nachhaltig zu steigern und Sachbearbeiter zu entlasten.

Der Gesetzentwurf sieht weitreichende Befugnisse für Behörden wie das Bundesamt für Migration und Flüchtlinge (BAMF), Ausländerämter, das Bundesverwaltungsamt, die Bundespolizei und die Landespolizeibehörden vor. Diese sollen personenbezogene Daten nicht nur verarbeiten, sondern gezielt zum Entwickeln, Trainieren, Validieren und Testen von KI-Anwendungen nutzen dürfen. Der Entwurf erlaubt dazu sogar die Verarbeitung sensibler Echtdaten nach Artikel 9 der DSGVO – etwa zur ethnischen Herkunft, zu religiösen Überzeugungen oder zur sexuellen Orientierung – ohne verpflichtende Anonymisierung oder Pseudonymisierung, sofern dies den Entwicklungsaufwand übersteigen oder die Ergebnisqualität beeinträchtigen würde.

Ferner würde das Gesetz zwei zentrale Mechanismen verankern: Ein datei- und informationssystemübergreifendes automatisiertes Verfahrensmonitoring zum Erfassen von Entscheidungsmustern und Zusammenhängen sowie einen automatisierten Abgleich von Antragsangaben mit öffentlich zugänglichen Internet- und Social-Media-Daten im Zweifelsfall.

Zivilgesellschaft und Fachverbände reagierten mit harter Kritik auf den Kabinettsbeschluss. Die Gesellschaft für Informatik (GI) äußert fundamentale Zweifel an der technischen Machbarkeit und dem Nutzen der Pläne. GI-Expertin Christine Hennig betont, dass KI-Systeme auf Wahrscheinlichkeiten basierten und fehlerhafte Halluzinationen erzeugten. In Kombination mit dem Phänomen des Automation Bias – der Neigung von Menschen, KI-Empfehlungen ungeprüft zu vertrauen – entstehe eine gefährliche Dynamik. Der notwendige manuelle Prüfaufwand würde die erhoffte Effizienzgewinnung wieder zunichtemachen.

Die GI warnt auch vor Diskriminierung durch verzerrte Trainingsdaten, die besonders vulnerable Gruppen wie Frauen, Kinder und People of Color benachteiligen, sowie vor hohen Fehlerraten beim automatisierten Abgleich ungeprüfter Internetdaten und bei der verankerten Ausnahmeregelung zur Verarbeitung biometrischer Daten.

Bereits zum vorherigen Referentenentwurf hatte die Deutsche Vereinigung für Datenschutz (DVD) eine vernichtende Stellungnahme vorgelegt und den vollständigen Rückzug des Vorhabens gefordert. Zwar befürwortet die DVD eine sinnvolle Digitalisierung, sieht in dem Entwurf jedoch eine systematische Missachtung europäischer Datenschutzvorgaben und verfassungsrechtlicher Schranken. Das Aufweichen der Datenminimierung, die fehlende Pseudonymisierung und die Etablierung massiver Generalklauseln seien inakzeptabel. Die Behauptung des Innenministeriums, dass die Letztentscheidung stets beim Menschen verbleibe, nennt die DVD angesichts der angestrebten Beschleunigung ohne Zusatzpersonal eine Illusion. De facto handele es sich um unkontrollierte automatisierte Entscheidungen bei Hochrisiko-KI-Systemen. Zudem verweist die DVD auf eklatante Sicherheitsrisiken beim Social-Media-Abgleich, bei dem Metadaten schutzbedürftiger Personen ungewollt an US-Konzerne fließen könnten.

Ebenfalls deutliche Worte findet AlgorithmWatch. Nora Oppermann, Junior Policy Managerin der zivilgesellschaftlichen Organisation, bemängelt, dass die Regierung Menschen, die auf eine sichere Ankunft hoffen, unausgereiften und fehleranfälligen KI-Systemen aussetze. Geflüchtete würden auf diese Weise zu Versuchskaninchen für evidenzlose Forschung gemacht, was einer Demokratie nicht gerecht werde. AlgorithmWatch kritisiert vor allem das Fehlen differenzierter Schutzmechanismen und wirft der Bundesregierung vor, für eine vermeintliche Entbürokratisierung schwere Folgen für menschliche Schicksale billigend in Kauf zu nehmen.

Zusammenfassend fordern GI, DVD und AlgorithmWatch eine grundlegende Überarbeitung des Gesetzentwurfs im anstehenden parlamentarischen Verfahren. Sie verlangen die strikte Verankerung von Security und Privacy by Design, wirksame Mechanismen gegen Diskriminierung sowie verlässliche rechtsstaatliche Kontrollen und Transparenzrechte für Betroffene.

Stefan Krempl

Biometrie am Gate: Bundestag ebnet Weg für digitalen Check-in via Ausweis-Chip

Der Bundestag hat die Digitalisierung der Fluggastabfertigung beschlossen. Private Luftfahrtunternehmen dürfen künftig Daten aus Pässen und Ausweisen auslesen. Trotz Kritik von Datenschützern und Opposition betonen Befürworter den Komfortgewinn.

Der Bundestag hat am Freitag nach einer 30-minütigen Aussprache den Gesetzentwurf der Bundesregierung zur Ermöglichung der digitalen Fluggastabfertigung beschlossen. Die Koalitionsmehrheit folgte damit einer Empfehlung des Verkehrsausschusses, der die Pläne zuvor mit den Stimmen von CDU/CSU, SPD und AfD gegen das Votum der Grünen und der Linken durchgewinkt hatte. Durch die Anpassung einer Reihe von Gesetzen wie dem Luftverkehrs-, Pass- und Aufenthaltsgesetz wird der Prozess der Passagierabfertigung an deutschen Flugplätzen digitalisiert. Fluglinien, Flughäfen und Bodenabfertigungsdienstleistern wird es so künftig erlaubt, Daten direkt aus dem Chip von Reisepässen oder Personalausweisen auszulesen, um digitale Check-ins und automatisierte Boarding-Prozesse zu ermöglichen.

Die Bundesregierung verspricht sich von der Reform eine erhebliche Vereinfachung und Beschleunigung der Abläufe für Passagiere auf freiwilliger Basis. Zudem soll eine integrierte Echtheitsprüfung die Nutzung gefälschter Dokumente erschweren. Laut dem Entwurf wird eine sichere, datenschonende Datenverarbeitung im nationalen Rahmen gewährleistet. Reisende sollen zugleich weiterhin das Recht behalten, sich für die reguläre, analoge Abfertigung zu entscheiden.

Der Branchenverband Bitkom begrüßte den Beschluss umgehend. Hauptgeschäftsführer Bernhard Rohleder meinte, das Gesetz mache den Flugverkehr komfortabler, spare Zeit und stärke die Wettbewerbsfähigkeit des Luftfahrtstandorts Deutschland. Für Reisende bedeute dies auf Wunsch einen schnellen Weg durch die Kontrollen per Gesichtserkennung ohne das Suchen nach Ausweis und Bordkarte. Da der Chipeinsatz freiwillig sei und klare Löschfristen existierten, sei ein rechtssicherer Rahmen geschaffen worden.

Der Verkehrsausschuss hatte am Vortag noch eine spezifische Änderung in die Vorlage eingebracht. Diese betrifft den neuen Paragrafen 86b des Aufenthaltsgesetzes und stellt klar, dass das Verfahren allen Drittstaatsangehörigen offensteht, die einen tauglichen, mit einem Chip ausgestatteten Pass besitzen. Eine Beschränkung auf Schweizer Pässe ist damit vom Tisch. Da jedoch im Schengen-Raum nur Schweizer Bürger mit einem Personalausweis statt eines Passes reisen dürfen, bleibt das Auslesen von ID-Karten auf Staatsangehörige der Eidgenossenschaft beschränkt.

Ferner hat der Ausschuss den Begriff „Pass“ statt „Reisepass“ gewählt, damit auch Dienst- und Diplomatenpässe sowie entsprechende Passersatzpapiere erfasst werden. Die Gesetzgebungskompetenz begründet der Bund mit seiner Zuständigkeit für das Pass- und Ausweiswesen nach dem Grundgesetz.

Das Vorhaben war im Vorfeld hochgradig umstritten und blickt auf eine lange Vorgeschichte zurück. Schon 2024 lief der damalige Bundesdatenschutzbeauftragte Ulrich Kelber Sturm gegen die Pläne, die ursprünglich im vierten Bürokratieentlastungsgesetz verankert werden sollten. Kelber warnte vor massiven Missbrauchsrisiken, da erstmals nichtöffentliche Stellen ermächtigt würden, auf hoheitlich angefertigte biometrische Lichtbilder in amtlichen Pässen zuzugreifen. Diese Gefahr stehe außer Verhältnis zu einem vermeintlich verbesserten Reiseerlebnis. Technische Schutzmaßnahmen könnten das Risiko nicht ausräumen.

Nach den Plänen der Regierung wird das aus dem Chip ausgelesene biometrische Foto mit einer am Flugplatz erstellten Bildaufnahme des Passagiers abgeglichen. Dieses Live-Bild wird in ein biometrisches Muster umgewandelt und muss spätestens drei Stunden nach dem Abflug wieder gelöscht werden. Die Exekutive rechnet mit rund 37,9 Millionen privaten Flugreisen pro Jahr und beziffert den Zeitgewinn auf magere eine Minute je Fluggast. In der Summe soll dies die Bürger zwar um jährlich rund 631.500 Stunden entlasten. Doch Kritiker bezweifeln den Nutzen. Kelber argumentierte, dass das Auslesen der maschinenlesbaren Zone, das Privaten schon länger erlaubt ist, kaum langsamer sei. Zudem führe die Freigabe hoheitlicher Daten für rein optionale Komfortleistungen von Firmen zu einer gefährlichen Verschiebung des Nutzungsregimes und wecke Begehrlichkeiten bei anderen Wirtschaftszweigen.

Auch im parlamentarischen Verfahren stieß das Gesetz auf heftigen Widerstand. Die Grünen kritisierten im Ausschuss, dass eine sensible Beschränkung aufgeweicht werde, wonach Chipdaten bislang nur behördlich genutzt werden durften. Dass die Koalition eine Expertenanhörung verweigerte, stieß Gegner ebenfalls übel auf. Die Links-Fraktion äußerte ebenfalls datenschutzrechtliche Bedenken und warnte vor einer unverhältnismäßigen biometrischen Überwachungsinfrastruktur an Flughäfen, die vor allem dem Zweck diene, die Fluggesellschaften von Personalkosten zu entlasten.

Beide Oppositionsfraktionen bezweifeln zudem, dass die im Gesetz verankerte Freiwilligkeit in der Praxis Bestand haben wird. Wenn Passagiere bei einer Verweigerung der digitalen Abfertigung mit erheblich längeren Wartezeiten rechnen müssten, werde der organisatorische Druck die Wahlfreiheit faktisch aushöhlen. Sogar die AfD-Fraktion, die dem Gesetz letztlich zustimmte, forderte im Vorfeld vergeblich verbindliche Garantien für eine gleichwertige analoge Abfertigung sowie eine Verlängerung der Datenlöschungsfrist bis zur Landung am Zielflughafen. Die Befürworter von CDU/CSU verwiesen dagegen auf Einsparungen von 63 Millionen Euro für die Luftfahrtwirtschaft. Sie erklärten, dass die technischen Möglichkeiten endlich genutzt werden müssten, um den Luftfahrtstandort Deutschland wieder attraktiver zu machen.

Stefan Krempl

Digitale Rasterfahndung: Datenschützer warnen vor uferloser Überwachung

Biometrischer Abgleich und KI-gestützte Datenanalyse in drei Gesetzesentwürfen gefährden laut der Datenschutzkonferenz die Grundrechte Unbeteiligter und verletzen Verfassungsvorgaben.

Die Bundesregierung forciert derzeit den Ausbau digitaler Überwachungsinstrumente in einem Tempo und Umfang, der bei den deutschen Datenschutzaufsichtsbehörden die Alarmglocken schrillen lässt. Im Zentrum der Kritik stehen drei Gesetzesinitiativen, die der Polizei und den Strafverfolgungsbehörden des Bundes weitreichende neue Befugnisse einräumen sollen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) findet dazu deutliche Worte: In ihrer jetzigen Form seien die Pläne nicht mit den verfassungsrechtlichen Vorgaben vereinbar. Vor allem der Schutz unbeteiligter Bürger stehe auf dem Spiel, da die vorgesehenen Maßnahmen tief in die Privatsphäre eingreifen, ohne dass ein hinreichender Tatverdacht vorliegen muss.

Ein wichtiger Punkt der Kritik ist der geplante biometrische Online-Abgleich. Was in ersten Berichten bereits als „digitale Rasterfahndung“ für Aufsehen sorgte, nimmt nun konkrete Formen an. Ermittler sollen die Erlaubnis erhalten, vorhandene Lichtbilder oder Stimmproben mit sämtlichen im Internet öffentlich zugänglichen Daten abzugleichen. Dabei macht der Entwurf keinen Halt vor sozialen Netzwerken oder gar kostenpflichtigen Diensten, für die ein Benutzerkonto erforderlich ist. Praktisch jedes jemals hochgeladene Urlaubsfoto, jedes Video in sozialen Medien und jede Tonaufnahme könnten zum Gegenstand behördlicher Identifizierungsmaßnahmen werden.

Die DSK warnt, dass dies nicht nur ein diffuses Gefühl des Überwachtwerdens erzeuge, sondern handfeste Risiken berge. Falscherkennungen durch Algorithmen könnten unbescholtene Bürger direkt in den Fokus strafrechtlicher Ermittlungen rücken. Zudem ließen sich mit solchen Werkzeugen mühelos Bewegungs- und Verhaltensprofile erstellen, die weit über den ursprünglichen Zweck der Gefahrenabwehr hinausgehen.

Parallel dazu treibt das Bundesinnenministerium die automatisierte Datenanalyse voran. Dabei sollen polizeiliche Datenbestände auf einer zentralen Analyseplattform zusammengeführt werden. Der Topf, aus dem sich diese Systeme bedienen, ist erschreckend groß: Er umfasst nicht nur klassische Kriminalakten, sondern auch Daten aus Funkzellenabfragen, beschlagnahmte Datenträger aus völlig anderen Verfahren und eben jene Datensätze, die aus dem Internet gefischt wurden. Ziel ist die Erzeugung „neuen Wissens“ durch die Verknüpfung von Personen, Institutionen und Objekten.

Das Problem dabei ist die mangelnde Selektivität. In diesen riesigen Datenpool geraten zwangsläufig auch Zeugen, Geschädigte oder bloße Kontaktpersonen. Wer zur falschen Zeit am falschen Ort mit seinem Smartphone in eine Funkzelle eingeloggt war oder zufällig auf einem beschlagnahmten Foto erscheint, könnte durch die automatisierte Analyse plötzlich als Teil eines kriminellen Netzwerks erscheinen.

Brisanz erhält das Vorhaben durch den geplanten Einsatz Künstlicher Intelligenz (KI). Die DSK unterstreicht, dass der Einsatz von KI-Systemen die Risiken für die Grundrechte nochmals potenziert. Die ohnehin schon schwierige Nachvollziehbarkeit polizeilicher Maßnahmen droht in einer „Black Box“ zu verschwinden. Wenn Algorithmen darüber entscheiden, wer als potenzieller Gefährder gilt, wird es für Betroffene, Gerichte und Aufsichtsbehörden nahezu unmöglich, die zugrundeliegende Logik zu überprüfen. Transparenz und Rechtsstaatlichkeit geraten hier ins Hintertreffen gegenüber einem technokratischen Sicherheitsversprechen.

Tobias Keber, der diesjährige DSK-Vorsitzende, mahnt deshalb eine Rückbesinnung auf das Übermaßverbot an. Der baden-württembergische Datenschutzbeauftragte weiß, dass der Staat zwar digitale Werkzeuge zur Verbrechensbekämpfung benötige. Diese müssten aber die Ausnahme bleiben. Wenn potenziell jeder Bürger jederzeit von einem autonomen System gescannt werden könne, sei die Grenze des Erträglichen überschritten. Die Summe der verschiedenen Gesetzesinitiativen laufe auf eine umfassende Überwachung hinaus, bei der der legitime Wunsch nach Sicherheit den Schutz der Grundrechte unverhältnismäßig verdränge.

Die Datenschützer fordern von der Bundesregierung nun einen grundlegenden Kurswechsel. Anstatt pauschaler Überwachungsbefugnisse müsse ein echter Grundrechtsausgleich her, wie ihn das Bundesverfassungsgericht bereits in früheren Urteilen zur automatisierten Datenanalyse gefordert habe. Dies bedeute konkret: Der Umfang der Daten müsse begrenzt, die Analyse auf schwere Straftaten fokussiert und der Einsatz von KI strikt an menschliche Kontrolle gebunden werden. Nur mit klar definierten Schwellenwerten und einer engen Zweckbindung lasse sich verhindern, dass die digitale Transformation der Polizeiarbeit schleichend das Ende der anonymen Teilhabe am öffentlichen und digitalen Leben einläute.

Erst vor wenigen Tagen verlangte ein breites Bündnis aus Zivilgesellschaft und dem Rechtsbereich den Stopp der Pläne für biometrische Massenauswertung und automatisierte Polizeidatenbanken. 14 Organisationen – darunter Amnesty International, der Chaos Computer Club (CCC), D64, die Digitale Gesellschaft und die Neue Richter*innenvereinigung – sandten damit eine Warnung an das Bundesinnen- und das Bundesjustizministerium. In ihrer gemeinsamen Stellungnahme machen die Unterzeichner gegen die Gesetzentwürfe mobil, die unter dem Schlagwort „Lex Palantir“ für Kritik sorgen. Es gehe um nichts Geringeres als die Legitimierung einer biometrischen Massenüberwachung im Internet und den Aufbau einer „Super-Datenbank“ zur automatisierten Analyse polizeilicher Informationen. Die Exekutive ist jetzt am Zug, die Referentenentwürfe so nachzubessern, dass sie nicht schon bei der ersten Prüfung in Karlsruhe krachend scheitern.

Stefan Krempl

Frontalangriff auf die Anonymität: Verbände warnen vor „Lex Palantir“

Ein breites Bündnis aus Zivilgesellschaft und dem Rechtsbereich fordert den Stopp der Pläne für biometrische Massenauswertung und automatisierte Polizeidatenbanken.

Just am 1. April hat ein Bündnis aus 14 Organisationen – darunter Amnesty International, der Chaos Computer Club (CCC), D64, die Digitale Gesellschaft und die Neue Richter*innenvereinigung – eine Warnung an das Bundesinnen- und das Bundesjustizministerium gesandt. In einer gemeinsamen Stellungnahme fordern die Verbände – ganz ohne Scherz – die sofortige Rücknahme zweier Gesetzentwürfe, die unter dem Schlagwort „Lex Palantir“ für Kritik sorgen. Es geht um nichts Geringeres als die Legitimierung einer biometrischen Massenüberwachung im Internet und den Aufbau einer „Super-Datenbank“ zur automatisierten Analyse polizeilicher Informationen.

Die geplanten Neuregelungen in der Strafprozessordnung und dem Gesetz für das Bundeskriminalamt (BKA) würden es Sicherheitsbehörden erlauben, Fotos und Videos aus dem Internet massenhaft biometrisch abzugleichen. Wer heute ein Bild in sozialen Netzwerken teilt oder auch nur zufällig im Hintergrund eines Urlaubsschnappschusses landet, könnte künftig automatisiert identifiziert werden.

CCC-Sprecher Matthias Marx moniert: Diese Form der Auswertung sei technisch nur als dauerhafte Massenüberwachung umsetzbar. Nur weil etwas technisch möglich sei, dürfe der Staat nicht die Grundrechte „in die Tonne treten“. Auch Erik Tuchtfeld vom D64 warnt, dass der Staat hier zum Kunden privater Anbieter wie PimEyes oder Clearview AI werde, deren Geschäftsmodell auf der massenhaften, oft illegalen Extraktion von Gesichtsprofilen aus dem Netz basiere.

Der Eingriff in das Recht auf informationelle Selbstbestimmung wiegt schwer. Das Gesicht würde zur permanenten Personenkennzahl, was insbesondere die Versammlungsfreiheit bedroht. Wenn jeder Besuch einer Demonstration dazu führen kann, dass Teilnehmer über biometrische Verfahren in polizeilichen Datenbanken landen, entsteht ein Abschreckungseffekt für die demokratische Teilhabe. Zudem belegen Studien eine erhöhte Fehleranfälligkeit dieser Systeme bei People of Colour, was die Gefahr diskriminierender Polizeimaßnahmen drastisch erhöht.

Brisant ist laut den Unterzeichner der am Mittwoch veröffentlichten Stellungnahme die geplante automatisierte Datenanalyse, wie sie etwa die Software des US-Anbieters Palantir ermöglicht. Dabei sollen umfangreiche Datenbestände – von Funkzellendaten über Zeugenaussagen bis hin zu sensiblen Berufsgeheimnissen – zusammengeführt und algorithmisch ausgewertet werden. Es entstünden tiefgreifende Persönlichkeitsprofile, die weit über den ursprünglichen Erhebungszweck hinausgehen. Das Bündnis beklagt, dass dabei auch Daten von völlig unbescholtenen Personen sowie Opfern und Zeugen in den Fokus der Algorithmen gerieten.

Ein weiterer Kritikpunkt ist die vorgesehene Nutzung dieser sensiblen Realdaten zum Training von KI-Systemen durch private Unternehmen. Da Trainingsdaten oft wieder extrahiert werden können, drohe hier ein „Data Leakage“. Besonders scharf verurteilen die Verbände die Ausweitung dieser Befugnisse auf das Asylrecht. Schutzsuchende, die ohnehin vulnerabel sind, würden durch den biometrischen Abgleich einer umfassenden Ausforschung ihrer Identität unterzogen, die bis in kulturelle und religiöse Merkmale reicht.

Die Juristen im Bündnis bemängeln ferner das Fehlen rechtsstaatlicher Sicherungen: Weder ein Richtervorbehalt noch ausreichende Transparenz- und Benachrichtigungspflichten seien in den Entwürfen vorgesehen. Damit fehle den Betroffenen jede Möglichkeit, sich effektiv gegen falsche Verdächtigungen oder rechtswidrige Analysen zu wehren. Das Fazit der Organisationen: Diese Gesetze sind in ihrer jetzigen Form nicht verfassungskonform auszugestalten und müssen daher ersatzlos gestrichen werden.

Stefan Krempl

EUDI-Wallet: Wie die EU-Kommission den Datenschutz per Hintertür aufweicht

Zehn Organisationen schlagen Alarm: Die technische Ausgestaltung der digitalen Brieftasche droht fundamentale Schutzrechte auszuhöhlen.

Diese Idee der EU klingt zunächst vielversprechend: Mit der „EU Digital Identity Wallet“ (EUDI-Wallet) sollen Bürger künftig eine sichere digitale Brieftasche auf ihrem Smartphone mitführen. Ob Online-Behördengänge, das Eröffnen eines Bankkontos oder die Altersverifikation im Netz – die Wallet soll die Identifikation europaweit vereinheitlichen und vereinfachen. Doch während der gesetzliche Rahmen durch die eIDAS-2.0-Verordnung bereits steht, tobt hinter den Kulissen ein erbitterter Streit um die technische Ausgestaltung. In einem offenen Brief an die EU-Kommission schlagen nun zehn Bürgerrechtsorganisationen wie Epicenter.works, European Digital Rights (EDRi) und der Chaos Computer Club (CCC) Alarm. Sie werfen der Kommission vor, durch die derzeitigen Entwürfe der Durchführungsbestimmungen elementare Schutzfaktoren aufzuweichen und die Wallet in ein Instrument der Überwachung zu verwandeln.

Ein Kritikpunkt der Experten betrifft die sogenannte Unverfolgbarkeit. Eigentlich sieht die Verordnung vor, dass Transaktionen mit der Wallet weder vom Staat noch von den genutzten Diensten untereinander verknüpft werden können. Wenn ein Nutzer beispielsweise sein Alter auf einer Webseite nachweist, sollte dies kein digitales Profiling ermöglichen. Die Kritiker bemängeln aber, dass die technische Umsetzung diese strikte „Unlinkability“ auf ein bloßes „Erschweren“ der Rückverfolgbarkeit herabstufen würde. Dies untergrabe das Vertrauen der Bevölkerung massiv, da die Wallet so zum Werkzeug für staatliche oder kommerzielle Kontrolle werden könnte.

Brisant ist die geplante Einführung einer obligatorischen Speicherung biometrischer Gesichtsbilder im Datensatz der Wallet. Die NGOs weisen darauf hin, dass diese invasive Funktion in der ursprünglichen Verordnung gar nicht vorgesehen war und nun quasi durch die Hintertür eingeführt werde. Dies führe zu einer unverhältnismäßigen Ausweitung der Verarbeitung sensibler Daten. Gleichzeitig drohe das Recht auf Pseudonymität ausgehöhlt zu werden. Obwohl das Gesetz die Nutzung von Pseudonymen erlaubt, ermöglichen die technischen Entwürfe es Dienstanbietern, dennoch systematisch die Klarnamen der Nutzer abzufragen, ohne dies rechtfertigen zu müssen.

Ein weiteres Sicherheitsrisiko sehen die Unterzeichner darin, dass Registrierungszertifikate für Dienstanbieter optional bleiben sollen. Diese Zertifikate sind eigentlich dafür gedacht, dass die Wallet den Nutzer automatisch warnt, wenn ein Anbieter mehr Daten abfragt, als er für den jeweiligen Dienst benötigt. Würden diese Zertifikate nicht verpflichtend eingeführt, müssten Nutzer jede einzelne Anfrage mühsam selbst prüfen, um eine Überidentifizierung zu vermeiden – eine Situation, die die Datenschützer mit der bekannten „Cookie-Müdigkeit“ vergleichen.

Besonders bewerten dies die NGOs, da in der Politik bereits diskutiert wird, die Wallet für die Altersprüfung auf Social-Media-Plattformen verpflichtend zu machen. Sie fordern die EU-Kommission daher auf, den Kurs zu korrigieren und den Datenschutz technisch verbindlich zu verankern, bevor die Wallet zum Standard wird.

Gesichtserkennung im Iran: Wie russische KI den Widerstand bricht

Ein Leak enthüllt: Das Mullah-Regime nutzt die mächtige Software FindFace zur Jagd auf Demonstranten und zur Kartierung ihrer sozialen Kontakte.

Während am Morgen des 1. März 2025 die Einschläge israelischer und US-amerikanischer Bomben den Iran erschütterten, flimmerten auf den Smartphones vieler Bürger Drohbotschaften der Revolutionsgarden auf. Jede Aktion, die die Sicherheit störe, werde als Kooperation mit dem Feind gewertet und hart bestraft, hieß es in den SMS. Es war die unmittelbare Reaktion des Regimes auf die Aufrufe von Donald Trump und Benjamin Netanjahu, die nach der Bestätigung des Todes von Revolutionsführer Ali Chamenei zum Umsturz aufgestachelt hatten. Doch wer im Iran auf die Straße geht, kämpft nicht nur gegen gepanzerte Fahrzeuge und Sturmgewehre, sondern gegen einen unsichtbaren, digitalen Gegner, der niemals schläft.

Gemeinsame Recherchen von Forbidden Stories, dem Spiegel, dem ZDF und weiteren internationalen Partnern zeigen das wahre Ausmaß der technologischen Aufrüstung Teherans. Unter dem Codenamen „Eyes of Iran“ legen geleakte Daten aus russischen und iranischen Quellen offen, dass das Regime seit Jahren im Geheimen eine der weltweit leistungsfähigsten Gesichtserkennungssoftwares einsetzt: FindFace des russischen Unternehmens NtechLab. Diese Technologie ermöglicht es, Gesichter in einer Menschenmenge innerhalb von Millisekunden mit einer Datenbank von 500 Millionen Einträgen abzugleichen. Die Trefferquote liegt laut internen Dokumenten bei 98 Prozent.

Die Spur dieser digitalen Waffe führt zurück in den Sommer 2019. Damals nutzte NtechLab die Fußball-Weltmeisterschaft in Russland als globales Schaufenster für seine Überwachungstechnik. Kurz darauf unterschrieb die iranische Firma Rasadco, die später mit dem Unternehmen Kama verschmolz, einen Vertrag als Systemintegrationspartner. Damit wanderte die Software in den Iran – ein Deal, der bis heute geheim gehalten wurde. Kama ist aber keine gewöhnliche IT-Firma. Die Führungsebene ist eng mit den Revolutionsgarden (IRGC) verknüpft, jener Organisation, die erst Anfang 2026 von der EU als Terrororganisation eingestuft wurde.

Was FindFace für die Opposition so gefährlich macht, ist eine Funktion namens „Interaction Tracking“. Es geht dem Regime nicht mehr nur darum, eine einzelne Person auf einer Demo zu identifizieren. Das System erstellt automatisch soziale Landkarten. Es erkennt, wer mit wem in der U-Bahn unterwegs ist, welche Freunde ein Zielobjekt hat und welche Autokennzeichen mit diesen Personen verknüpft sind. Einmal erfasst, wird das gesamte soziale Umfeld gläsern. Die Software liefert Details wie das geschätzte Alter, das Geschlecht und sogar den emotionalen Zustand der Passanten – und das selbst dann, wenn diese Masken oder Bärte tragen.

Besonders perfide ist der „Offline-Modus“. Das Regime muss Verdächtige nicht sofort während eines Protests festnehmen, was oft zu weiteren Eskalationen führt. Die Behörden speichern das Videomaterial der tausenden Kameras in den Metropolen wie Teheran oder Maschhad ab und lassen die Algorithmen später darüberlaufen. Wochen nach einer Demonstration, wenn die mediale Aufmerksamkeit abgeklungen ist, erfolgt der Zugriff in der Wohnung oder an der Schule. Wie effektiv und grausam dieses System arbeitet, zeigt der Fall der 13-jährigen Hasti. Ihr Vater wurde von einer Bankkamera beim Verteilen von Flugblättern gefilmt. Die Software identifizierte ihn und führte die Sicherheitskräfte direkt zu seiner Tochter in die Schule, die bei dem anschließenden Einsatz schwere neurologische Schäden erlitt.

Die technische Infrastruktur hinter dieser Überwachung ist tief im iranischen Staatsapparat verwurzelt. Dokumente belegen, dass neben den Revolutionsgarden auch das berüchtigte Ministerium für Geheimdienste sowie Universitäten und Stadtverwaltungen Lizenzen erworben haben. Oft geschieht das über Tarnfirmen wie BPO, die als Briefkastengesellschaften fungieren, um Sanktionen zu umgehen und die Herkunft der Technologie zu verschleiern. In einem Vertrag von 2021 ist die Rede von „unbegrenzten“ Lizenzen für hunderte Kameras, die Millionen von „Events“ – also Identifizierungen – verarbeiten können.

Während der Westen über die Regulierung von Künstlicher Intelligenz debattiert und biometrische Überwachung im öffentlichen Raum durch den AI Act streng begrenzt, zeigt der Iran das dystopische Endstadium dieser Technologie. In einem Land, in dem es keine unabhängige Justiz und kaum Pressefreiheit gibt – der Iran rangiert auf der Rangliste von Reporter ohne Grenzen auf Platz 176 von 180 –, wird der Algorithmus zum Richter. Ein technischer Fehler oder ein falscher Treffer kann hier tödliche Folgen haben, ohne dass es eine Instanz zur Korrektur gäbe.

NtechLab selbst, das Unternehmen hinter FindFace, ist eng mit dem russischen Staatskonzern Rostec verwoben. Dieser untersteht direkt dem Verteidigungsministerium in Moskau. Obwohl das Unternehmen wegen Menschenrechtsverletzungen auf US- und EU-Sanktionslisten steht, rühmt es sich weiterhin seiner über 1100 Kunden in 60 Ländern. Dass die Islamische Republik einer der wichtigsten Abnehmer ist, taucht auf der offiziellen Website nicht auf. Für die iranische Bevölkerung bedeutet diese unheilige Allianz zwischen russischer Technik und iranischer Repression, dass jeder Schritt im öffentlichen Raum zum existenziellen Risiko geworden ist. Der Widerstand gegen das Regime ist nach dem Tod Khameneis zwar ungebrochen. Doch die „Augen des Staats“ wachen weiter über jede Straße und jeden Platz.

Überwachung: EU-Lisa schmiedet die biometrische Superdatenbank der EU

Die europäische IT-Agentur EU-Lisa treibt die Verschmelzung von Fingerabdrücken und Gesichtsbildern voran. Ein neuer Fahrplan bis 2030 ordnet die Überwachung neu.

Hinter den Kulissen der europäischen Sicherheitsarchitektur findet derzeit ein technologischer Kraftakt statt. Die in Tallinn ansässige EU-Behörde EU-Lisa arbeitet mit Hochdruck am "Projekt Interoperabilität". Ziel ist es, die bisher isolierten Datenbanken für Fahndungen, Asylsuchende und Visa-Anträge zu einem engmaschigen Netz zu verknüpfen. Kernstück dieser neuen Infrastruktur ist ein gemeinsamer biometrischer Abgleichdienst (sBMS), der bereits in Betrieb ist und mittels Künstlicher Intelligenz Gesichter und Fingerabdrücke mit bisher ungekannter Präzision und Geschwindigkeit abgleicht.

Das Projekt verschmilzt Schwergewichte wie das Schengener Informationssystem (SIS II), die Asyldatenbank Eurodac und das Visainformationssystem (VIS). Hinzu kommt das neue Einreise-/Ausreisesystem (EES), das ab dem 10. April vollumfänglich installiert sein soll. Reisende mit Kurzzeitvisa werden dann bei jedem Grenzübertritt biometrisch erfasst – ihre Daten bleiben drei Jahre gespeichert. Im Herbst folgt das Reisegenehmigungssystem ETIAS, das auch visumsfreie Reisende zur Voranmeldung zwingt. Durch Komponenten wie den gemeinsamen Identitätsspeicher (CIR) und einen Detektor für Mehrfachidentitäten (MID) entsteht eine der weltweit größten biometrischen Datenbanken. Allein das EES wird jährlich hunderte Millionen Datensätze verarbeiten.

Ein zentraler Bestandteil des neuen Fahrplans, den EU-Lisa im Februar konkretisierte, ist der Ausbau von Eurodac und SIS II mit Gesichtserkennungsfunktionen. Die rechtliche Grundlage für das erweiterte Eurodac wurde bereits im Mai 2024 im Rahmen des EU-Migrationspakets geschaffen. Ab Juni 2026 soll das System dabei helfen, die Bewegungen von Schutzsuchenden innerhalb des Schengen-Raums lückenlos nachzuverfolgen. Auch im SIS II, wo ein Großteil der Daten Personen betrifft, deren Asylantrag abgelehnt wurde, soll die Gesichtserkennung bald Realität werden. Ein präziser Zeitplan hierfür wird laut Netzpolitik.org im Laufe dieses Jahres erstellt.

Parallel dazu wird das Visasystem bis 2030 komplett erneuert. Die neue Plattform "EU-VAP" soll Visa-Anträge digitalisieren und automatisch prüfen. Dabei findet ein Abgleich mit fast allen verfügbaren EU-Systemen sowie Europol-Datenbanken statt. Doch die Überwachung endet nicht an den Außengrenzen: Über die "Prüm II"-Verordnung werden auch nationale Polizeidatenbanken mit Gesichtsbildern vernetzt. Ab Mitte 2027 können Ermittler schengenweit nach dem Treffer-Prinzip Abfragen starten. Die Kosten für diese Infrastruktur sind gewaltig: Allein für die Interoperabilitäts-Komponenten und Eurodac sind in den kommenden Jahren dreistellige Millionenbeträge reserviert.

Die Vernetzung reicht künftig über die EU-Grenzen hinaus. Während die Ukraine bereits Daten von 200.000 Personen an Europol übermittelt hat, um Einreiseverbote zu erwirken, fordern die USA einen direkten Preis für die visumsfreie Einreise europäischer Bürger. Das Abkommen "Enhanced Border Security Partnership" (EBSP) sieht vor, dass US-Behörden automatisierten Zugriff auf nationale Polizeidatenbanken wie die deutsche INPOL-Datei erhalten. Betroffen wären Millionen von Menschen, insbesondere Asylsuchende. Staaten, die dieses Abkommen bis Ende 2026 nicht unterzeichnen, droht der Ausschluss aus dem US-Visa-Waiver-Programm. Die EU-Kommission verhandelt hierzu derzeit noch unter Ausschluss der Öffentlichkeit.

Überwachung durch die Hintertür: Dobrindts Plan gegen die KI-Verordnung

Interne Protokolle enthüllen, wie Innenminister Dobrindt europäische Schutzregeln aufweichen will, um biometrische Gesichtserkennung und Palantir zu ermöglichen.

In den Fluren der Brüsseler Machtzentren geht es derzeit um weit mehr als nur um technische Details. Es geht um die Frage, ob die mühsam erkämpfte europäische KI-Verordnung (AI Act) bereits ausgehöhlt wird, bevor sie ihre volle Wirkung entfalten kann. Im Zentrum dieser Entwicklung steht Bundesinnenminister Alexander Dobrindt (CSU). Während die Öffentlichkeit noch über die Grenzen der digitalen Überwachung debattiert, arbeitet das Innenministerium hinter den Kulissen bereits an der Demontage der regulatorischen Leitplanken. Ein internes Protokoll eines Treffens der EU-Innenminister vom Januar 2026, das FragDenStaat veröffentlicht hat, offenbart die Strategie: Was gesetzlich verboten ist, soll durch eine "Korrektur" der Auslegungsregeln doch noch ermöglicht werden.

Der Vorstoß unter "Verschiedenes"

Es war ein Termin, bei dem es eigentlich um Abschiebungen und Migrationsfragen ging. Doch unter dem unscheinbaren Tagesordnungspunkt „Sonstiges“ brachte Dobrindt ein Thema ein, das Datenschützer und Bürgerrechtler gleichermaßen alarmiert. Er forderte eine Korrektur der Leitlinien für sogenannte Hochrisiko-KI-Systeme. Sein Argument: Die aktuellen Vorgaben der KI-Verordnung würden die Arbeit der Sicherheitsbehörden massiv einschränken, insbesondere im Bereich der Biometrie.

Dobrindts Pläne für den Sicherheitsapparat sind ambitioniert. Er forciert den bundesweiten Einsatz der umstrittenen Datenanalyse-Software des US-Anbieters Palantir und will Bundespolizei sowie dem Bundeskriminalamt (BKA) erlauben, Personen mittels automatisierter Gesichtserkennung im Internet aufzuspüren. Ein biometrischer Abgleich mit den schier unendlichen Bilddaten des Netzes wäre ein Quantensprung für die Ermittlungsbehörden – und ein Albtraum für die Anonymität im öffentlichen Raum.

Leitlinien als politischer Hebel

Das Problem für den Innenminister: Die 2024 verabschiedete KI-Verordnung zieht hier klare Grenzen. Bestimmte Formen der biometrischen Kategorisierung und Massenüberwachung sind schlicht untersagt. Doch das Gesetz lässt Spielraum bei der Definition dessen, was als "hochriskant" (erlaubt unter Auflagen) und was als "verboten" gilt. Hier kommen die Leitlinien der EU-Kommission ins Spiel. Diese sind zwar formal nicht bindend, dienen aber Gerichten und Behörden als maßgebliche Orientierungshilfe.

Genau hier setzt Dobrindt an. Da die Leitlinien für Hochrisiko-Systeme derzeit noch erarbeitet werden, bietet sich ein Zeitfenster für politische Einflussnahme. Ulrich Kelber, ehemaliger Bundesdatenschutzbeauftragter, sieht darin ein gefährliches Manöver. Er wirft dem Minister vor, EU-Recht bis zur Unkenntlichkeit dehnen zu wollen. Gemeinsam mit Organisationen wie Amnesty International und dem Chaos Computer Club hatte Kelber bereits gewarnt, dass Dobrindts Pläne zur Internet-Gesichtserkennung gegen geltendes europäisches Recht verstoßen.

Rückendeckung aus Brüssel

Besonders pikant ist die Reaktion auf europäischer Ebene. Den Protokollen zufolge stieß Dobrindt bei Magnus Brunner, dem EU-Kommissar für Inneres und Migration, auf offene Ohren. Brunner sicherte eine „vollumfängliche“ Unterstützung zu und versprach, die gewünschten Korrekturen gegenüber der zuständigen Generaldirektion DG Connect zu vertreten. Kritiker wie Ella Jakubowska von der Organisation EDRi sehen darin einen Rollenkonflikt: Die Aufgabe der Kommission sei der Schutz des Rechts, nicht dessen Aufweichung zugunsten nationaler Überwachungsinteressen.

Der Vorstoß fügt sich in ein größeres Bild ein, das unter dem Schlagwort „Digitaler Omnibus“ firmiert. Dieses Gesetzespaket soll eigentlich Bürokratie abbauen, wird aber laut Beobachtern von massiver Lobbyarbeit aus den USA und der Tech-Branche begleitet, um Datenschutzstandards im KI-Wettlauf zu senken.

Rechtswidrige Superdatenbank?

Während Dobrindt in Brüssel taktiert, wächst der Widerstand im Inland. Ein Gutachten der Wissenschaftlichen Dienste des Bundestags bestätigt nun die Einschätzung von AlgorithmWatch: Eine Superdatenbank zur KI-Gesichtserkennung, wie sie das Ministerium plant, wäre rechtswidrig. Dass die Wissenschaftler ihre Analyse auf geleakte Entwürfe stützen mussten, weil das Ministerium den fertigen Kabinettsentwurf seit Monaten zurückhält, verleiht der Debatte eine zusätzliche Schärfe. Für Matthias Spielkamp von AlgorithmWatch ist das Vorgehen des Ministers schlicht „dreist“. Es gehe darum, Bilder vom Familienfest bis zum Strandurlaub ohne Anlass analysierbar zu machen – ein direkter Angriff auf die Grundrechte, den man sonst nur aus autoritären Kontexten kenne.