UN-Cybercrime-Abkommen: EU-Kommission drängt auf weitere Verschärfungen

Trotz scharfer Kritik von Bürgerrechtlern will Brüssel das umstrittene UN-Abkommen per Zusatzprotokoll auf weitere Straftatbestände ausweiten.

Die EU-Kommission hat einen Entwurf für einen Ratsbeschluss vorgelegt, um im Namen der Europäischen Union an den anstehenden Verhandlungen über ein Zusatzprotokoll zur neuen UN-Cybercrime-Konvention teilzunehmen. Das globale Abkommen der Vereinten Nationen zur Bekämpfung von Computerkriminalität und zum grenzüberschreitenden Austausch elektronischer Beweismittel war am 24. Dezember 2024 von der UN-Generalversammlung verabschiedet und im Oktober 2025 in Hanoi zur Unterzeichnung ausgelegt worden.

Die EU und zahlreiche Mitgliedstaaten wie Deutschland haben den Vertrag gezeichnet. Das EU-Parlament erteilte im Mai seine Zustimmung. Zivilgesellschaftliche Organisationen und Bürgerrechtsorganisationen warnen aber seit Langem eindringlich vor dem Regelwerk. Sie befürchten, dass die weitgehenden Befugnisse zur Überwachung und Datenübergabe von autoritären Staaten missbraucht werden könnten, um Regimekritiker, Journalisten und Aktivisten grenzüberschreitend zu verfolgen und Grundrechte auszuhöhlen.

Ungeachtet dieser Bedenken läutet Brüssel nun die nächste Phase der internationalen Regeldefinition ein. Gemäß der UN-Resolution 79/243 soll das Ad-hoc-Komitee der Vereinten Nationen ein Ergänzungsprotokoll ausarbeiten, das vor allem die Aufnahme weiterer Straftatbestände prüfen und festlegen soll. Für diese Verhandlungen sind zwei zehntägige Sitzungen angesetzt: Die erste Verhandlungsrunde soll vom 18. bis 29. Januar 2027 in Wien stattfinden, gefolgt von einer zweiten Runde im Jahr 2028 in New York. Erst wenn mindestens 60 Staaten der Hauptkonvention beigetreten sind, werden die Ergebnisse der Vertragsstaatenkonferenz zur finalen Entscheidung vorgelegt.

In ihren Richtlinien betont die EU-Kommission, dass der Verhandlungsprozess offen, inklusiv und transparent gestaltet werden müsse und auch Vertretern der Zivilgesellschaft, der Wirtschaft und der Wissenschaft das Einbringen ihrer Positionen ermöglichen sollte. Ferner fordert Brüssel, dass vor der inhaltlichen Ausarbeitung zunächst geprüft werden müsse, ob ein solches Zusatzprotokoll überhaupt notwendig, sinnvoll und machbar sei.

Sollte die Entscheidung für inhaltliche Gespräche fallen, will die Kommission sicherstellen, dass Straftatbestände präzise, eng gefasst sowie technologieneutral definiert werden. Ein zentraler Punkt betrifft Delikte, die nicht zwingend Computerkriminalität im engeren Sinne darstellen, aber durch IT-Systeme ermöglicht oder in ihrer Wirkung erheblich verstärkt werden – wie etwa Terrorismus, Menschenhandel oder organisierte Kriminalität.

Um den kritischen Einwänden rund um Datenschutz und Rechtsstaatlichkeit zu begegnen, unterstreicht die Empfehlung, dass jegliches Zusatzprotokoll mit der EU-Grundrechtecharta, dem Unionsrecht und bestehenden internationalen Verträgen wie der Budapester Cybercrime-Konvention vereinbar sein müsse. Die strikten Schutzstandards für Grundrechte und das Recht auf Verweigerung der Zusammenarbeit nach den Vorgaben des Hauptabkommens sollten uneingeschränkt erhalten bleiben. Die Kommission wird als Verhandlungsführerin für die EU fungieren und dabei eng mit den EU-Ländern und den zuständigen Ratsarbeitsgruppen zusammenarbeiten, um eine einheitliche Position Europas zu gewährleisten.

Stefan Krempl

Bestandsdaten-Abfragen: Bund meldet stabile Systeme trotz Rekordauslastung

Die IT-Systeme zur Bestandsdatenauskunft verkraften den neuen Abfragerekord laut Bundesregierung problemlos. Bei Details zum Schutz vor Missbrauch mauert Berlin aber.

Die digitale Infrastruktur für die Auskunft über Telefon- und Kundendaten läuft stabil, hält der extremen Dauerbelastung stand und verzeichnet keinerlei Ausfälle. Das geht aus einer Antwort der Bundesregierung auf eine Anfrage der AfD-Fraktion hervor, die sich nach den technischen Kapazitäten und der Belastbarkeit des Automatisierten Auskunftsverfahrens der Bundesnetzagentur erkundigten. Hintergrund der parlamentarischen Nachfrage war die drastische Zunahme der Abrufzahlen 2025, in dem Behörden mit 35,11 Millionen Abfragen einen historischen Höchststand erreichten. Statistisch betrachtet wird in Deutschland damit in jeder einzelnen Sekunde mindestens eine Bestandsdatenauskunft eingeleitet, was Fragen nach der Belastbarkeit der Schnittstellen und der Skalierbarkeit der beteiligten Serverlandschaften aufwarf.

Die Exekutive wiegelt bezüglich eventueller IT-Engpässe ab und betont, dass die Skalierbarkeit des Systems angemessen ausgelegt sei. Das automatisierte Verfahren und die dazugehörigen autarken IT-Systeme würden kontinuierlich an den steigenden Bedarf angepasst und nach dem aktuellen Stand der Technik fortentwickelt. 2024 und 2025 habe es beim zentralen Vermittlungssystem der Bundesnetzagentur keinerlei Ausfälle, Überlastungen oder ungeplante IT-Einschränkungen gegeben. Auch die gesetzlich zur Mitwirkung verpflichteten Telekommunikationsanbieter seien zur Bereitstellung hochverfügbarer Schnittstellen angehalten und träfen entsprechende Vorkehrungen. Wie hoch die durchschnittlichen Server-Antwortzeiten oder Latenzen beim einzelnen Abruf ausfallen, teilt das Ministerium allerdings nicht mit: dazu lägen keine statistischen Durchschnittswerte vor.

Ein Missverständnis bezüglich der technischen Funktionsweise räumt die Exekutive aus. Im Automatisierten Auskunftsverfahren werden ihr zufolge ausschließlich Bestandsdaten wie Namen, Anschriften oder Telefonnummern übermittelt, die den Providern von ihren Kunden mitgeteilt wurden. Eine Ermittlung von Anschlussinhabern über dynamische oder statische IP-Adressen sei über die Schnittstellen der Bundesnetzagentur technisch und rechtlich dagegen nicht möglich. Das System verarbeite weder Abfragen zur Identifizierung von Internetnutzern hinter IP-Adressen noch Auskunftsersuchen im Zusammenhang mit Äußerungsdelikten oder zivilrechtlichen Urheberrechtsverletzungen. Die Bundesnetzagentur betreibt zudem selbst keine zentrale Bestandsdatenbank, sondern leitet die automatisierten Ersuchen der berechtigten Stellen an die dezentralen Datenbanksysteme der jeweiligen Telekommunikationsanbieter weiter.

Keine Auskunft gibt es zu den konkreten Ursachen des rasanten Anstiegs der Abfragezahlen. Mangels entsprechender statistischer Erhebungen kann die Regierung nach eigenen Angaben keine Aussagen dazu treffen, warum die Zahl der Auskunftsersuchen innerhalb weniger Jahre so stark angestiegen ist. Die rechtlichen Rahmenbedingungen für den Datenzugriff wurden in den vergangenen Jahren mehrfach reformiert, nachdem das Bundesverfassungsgericht strenge verfassungsrechtliche Hürden für die Bestandsdatenauskunft und auch für die Herausgabe von Passwörtern aufgestellt hatte. Trotz dieser Nachbesserungen und der geforderten Verhältnismäßigkeit nimmt die praktische Nutzung durch die Behörden im digitalen Ermittlungsalltag unverdrossen zu.

Die parlamentarische Kontrolle bei Sicherheitsbehörden und Nachrichtendiensten stößt ferner schnell an klare Grenzen. Auf Fragen nach der konkreten Nutzungshäufigkeit, den eingesetzten Client-Softwares oder den entstandenen IT-Kosten verweist die Bundesregierung gebetsmühlenartig auf das Staatswohl. Beim Bundeskriminalamt finde eine statistische Erfassung der Abrufe gar nicht erst statt, während die Bundespolizei über keine direkte automatisierte Softwareschnittstelle verfüge.

Das Bundesamt für Verfassungsschutz, der Militärische Abschirmdienst sowie der Bundesnachrichtendienst verweigern detaillierte Angaben mit der Begründung, dass Rückschlüsse auf operative Fähigkeiten, technische Aufklärungspotenziale und nachrichtendienstliche Methodiken die Sicherheit der Bundesrepublik gefährden könnten. Selbst die Frage nach aufgetretenen IT-Sicherheitsvorfällen oder unberechtigten Datenzugriffen durch Behördenmitarbeiter bleibt aus Geheimhaltungsgründen unbeantwortet.

Zur Wahrung der Privatsphäre Betroffener setzt das System auf technische Schutzmechanismen. Die Protokolldaten über die durchgeführten Abrufe werden doppelt verschlüsselt und lassen sich nur nach dem Vier-Augen-Prinzip gemeinsam mit der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entschlüsseln. Die automatisierte und datenschutzkonforme Löschung dieser Protokolle nach Ablauf der gesetzlichen Aufbewahrungsfristen wird nach Angaben der Bundesregierung tagesgenau durch die genutzte Software gesteuert. Eine nachträgliche Benachrichtigung betroffener Bürger über die Bundesnetzagentur erfolge dagegen nicht, da die Regulierungsbehörde selbst zu keinem Zeitpunkt Einblick in die klaren personenbezogenen Daten der Bürger erhalte.

Stefan Krempl

Gefahr durch KI-Drohnen: US-Polizei warnt vor Anschlägen auf Städte

Eine Polizeiforschungsgruppe schlägt Alarm wegen günstiger, autonom steuerbarer Drohnen. Sie fordert entschlossenes Handeln wie nach den Anschlägen von 9/11.

Die rasante Weiterentwicklung künstlicher Intelligenz in Kombination mit immer günstigeren und gleichzeitig tödlicheren Drohnen stellt eine kontinuierlich wachsende Gefahr für Städte und Gemeinden in den Vereinigten Staaten dar. Zu diesem alarmierenden Ergebnis kommt eine Untersuchung der Polizeiforschungsgruppe Police Executive Research Forum aus Washington.

Unter dem Titel „A Clear and Present Danger“ warnt die Forschungseinrichtung nicht zum ersten Mal vor den Schattenseiten des technologischen Fortschritts. Obwohl es auf dem Gebiet der USA bislang zu keinen verheerenden Anschlägen durch unbemannte Luftfahrzeuge kam, hat die leichte Zugänglichkeit preiswerter Systeme das Potenzial für Chaos und extreme Zerstörung drastisch erhöht, insbesondere wenn diese Technologie mit moderner Software zur automatisierten Steuerung kombiniert wird.

Die große Mehrheit der in den USA genutzten Drohnen dient kommerziellen sowie privaten Zwecken und unterliegt primär der Regulierung durch Bundesbehörden. Die Autoren des Berichts fordern jedoch eindringlich, dass die lokalen Strafverfolgungsbehörden diese aufkommenden Risiken mit derselben Entschlossenheit und Dringlichkeit angehen müssten, mit der Bundesermittler nach den Terroranschlägen vom 11. September reagierten. Ein erneutes Versagen der eigenen Vorstellungskraft könne sich das Land angesichts der

technologischen Realität nicht leisten, betont die Führung der Forschungsgruppe.

Dass die Sicherheitsrisiken keineswegs rein theoretischer Natur sind, belegen die im Bericht

zusammengetragenen Zahlen aus dem Alltag. Unautorisierte Drohnenflüge über voll besetzten Football-Stadien an Spieltagen gehören mittlerweile zum Alltag der Sicherheitskräfte. In der Metropole New York werden monatlich rund 23.000 illegale Drohnenfl

üge registriert. Auch im Rahmen internationaler Großereignisse wie der Fußball-Weltmeisterschaft im Sommer wurden landesweit hunderte ungenehmigte Fluggeräte in der Nähe von Austragungsorten beschlagnahmt.

Die gesellschaftliche wie auch politische Anspannung rund um die von KI ausgehenden Gefahren hat in den USA längst einen kritischen Punkt erreicht. Einerseits nehmen Befürchtungen hinsichtlich der Umweltauswirkungen und der allgemeinen Sicherheit zu. Paralell rückt der Einsatz autonomer Drohnen in weltweiten kriegerischen

Auseinandersetzungen das Thema intelligenter Waffensysteme wieder verstärkt ins Bewusstsein der Öffentlichkeit.

Militärische Konflikte zeigen eindringlich, wie schnell sich zivile Technologien zu wirksamen Waffen umfunktionieren lassen. In der Ukraine berichteten Offizielle von russischen Drohnen, die mittels künstlicher Intelligenz gesteuert wurden und beim Einschlag in Gebäude tödliche Wirkung entfalteten. Gleichzeitig erproben Streitkräfte weltweit KI-Systeme, die Ziele eigenständig identifizieren und ansteuern können. Auch das

US-Militär reagierte im Nahostkonflikt auf den massenhaften Einsatz kostengünstiger Kampfdrohnen, indem es eigene preiswerte Systeme modellierte und aufstellte.

Für kommunale Strafverfolger sind diese Entwicklungen eine direkte Warnung. Die Beauftragte des New York City Police Department wies im Umfeld von Großveranstaltungen darauf hin, dass kommerziell erwerbbare Drohnen ohne großen Aufwand in Kriegswaffen verwandelt werden können. Wenn eine technologische Bedrohung den Verantwortlichen schlaflose Nächte bereitet, dann sei es die zunehmende Proliferation dieser extrem flexiblen Fluggeräte in den Händen von Einzelpersonen.

Um dieser Bedrohungslage zu begegnen, haben sich die rechtlichen Rahmenbedingungen für lokale Behörden gewandelt. Auf Basis des Ende des vergangenen Jahres vom US-Kongress verabschiedeten Safer Skies Act erhielt die Polizei in New York die Bundesgenehmigung, bei Großveranstaltungen unautorisierte Drohnen gezielt vom Himmel zu holen und zu deaktivieren. Zuvor verfügten lokale Behörden weder über das nötige Equipment noch über das entsprechende Training und waren vollständig auf das Eingreifen von Bundesbehörden

angewiesen. Zur gezielten Ausbildung von Polizeikräften aus dem gesamten Bundesgebiet hat das FBI inzwischen ein eigenes Trainingszentrum in Alabama eingerichtet.

Über die unmittelbare physische Gefahr hinaus wirft die Herkunft der Hardware Fragen der nationalen Sicherheit auf. Die Mehrheit der in den USA von Behörden genutzten Drohnen stammt aus chinesischer Produktion. Obwohl die Aufsichtsbehörde FCC den Verkauf bestimmter ausländischer Drohnenmodelle untersagt hat, gelangen entsprechende Produkte weiterhin über Umwege und Scheinunternehmer auf den US-amerikanischen Markt.

Sicherheitsexperten und Polizeichefs, die Krisengebiete wie die Ukraine besucht haben, unterstreichen die Dringlichkeit der Lage. Die Einsicht, wie leicht zugänglich, modifizierbar und verheerend modernste Drohnentechnologie in den Händen böswilliger Akteure ist, zwingt zum Umdenken. Verantwortliche von Großveranstaltungen und Stadien müssen sich dieser Bedrohung laut dem Forum jetzt stellen, um im Ernstfall vorbereitet zu sein.

Stefan Krempl

Vorratsdatenspeicherung: EuGH-Generalanwalt erteilt belgischem Sonderweg eine Absage

Generalanwalt Maciej Szpunar sieht das neue belgische Gesetz zum Protokollieren von Nutzerspuren im Widerspruch zum EU-Recht. Anbieter dürften keine eigenständigen Vorratsdatenspeicherungen zur Betrugsbekämpfung durchführen.

Die juristische Auseinandersetzung über die Speicherung von Verbindungs- und Standordaten geht in eine neue Runde. In seinen aktuellen Schlussanträgen vor dem Europäischen Gerichtshof (EuGH) nimmt Generalanwalt Maciej Szpunar die jüngste Gesetzgebung Belgiens unter die Lupe. Das Urteil des EuGH wird mit Spannung erwartet, da die Empfehlungen des Generalanwalts zwar nicht bindend sind, den Luxemburger Richtern in der Praxis aber sehr häufig als Leitfaden für ihre spätere Entscheidung dienen. Szpunar stellt klar, dass auch der jüngste Anlauf des belgischen Gesetzgebers nicht mit dem EU-Recht vereinbar sein dürfte.

Der belgische Sonderweg im Visier der Justiz

Der Ausgangspunkt des Verfahrens liegt im Jahr 2022. Nach einer vorangegangenen Klage und der Aufhebung älterer Bestimmungen erließ Belgien eine neue gesetzliche Grundlage für den Telekommunikationssektor. Das erklärte Ziel der Brüsseler Politik war es, Betreiber von Kommunikationsdiensten zur Speicherung bestimmter Identifizierungs- und Metadaten zu verpflichten. Damit sollten Betrug, missbräuchliche Netznutzung und Angriffe auf die IT-Sicherheit bekämpft werden.

Gegen dieses Regelwerk zogen mehrere Bürgerrechtsorganisationen und Anwaltsvereinigungen vor den belgischen Verfassungsgerichtshof. Die Kläger sahen in der Pflicht zur Vorhaltung von Verkehrs- und Standortdaten einen unzulässigen Eingriff in die Grundrechte. Der Verfassungsgerichtshof setzte das Verfahren daraufhin aus und legte dem EuGH mehrere Fragen zur Auslegung der europäischen Datenschutzrichtlinie für elektronische Kommunikation im Lichte der EU-Grundrechtecharta vor.

Strenge Grenzen für Eingriffe in die Privatsphäre

In seinem Plädoyer betont der Generalanwalt die fundamentale Bedeutung des Schutzes personenbezogener Daten und des Rechts auf Achtung des Privatlebens. Wenn der Staat oder Telefondienste Daten über Kommunikationsverbindungen und Standorte speichern, stellt dies einen erheblichen Eingriff in die Privatsphäre dar. Nach gefestigter europäischen Rechtsprechung ist ein solcher Schritt nur unter außerordentlich strengen Voraussetzungen denkbar: Er muss gesetzlich klar verankert, strikt erforderlich und verhältnismäßig sein.

Szpunar greift in seiner Begründung die jüngere EuGH-Rechtsprechung auf. Diese erlaubt unter gewissen Umständen eine feinere Abstufung bei der Beurteilung, wie schwer ein Eingriff wiegt – etwa wenn es um Straftaten geht, die ausschließlich online begangen werden. Unter sehr speziellen Voraussetzungen kann demnach eine verdachtsunabhängige Speicherung von Verkehrs- und Standortdaten zulässig sein. Doch der Generalanwalt formuliert dafür eine entscheidende Hürde: Die Daten müssen technisch so getrennt gespeichert werden, dass eine Zusammenführung während des gesamten Aufbewahrungszeitraums ausgeschlossen ist. Nur wenn verhindert wird, dass Behörden oder Anbieter genaue Rückschlüsse auf das Privatleben der Nutzer ziehen können, bleibt das Maß des absolut Notwendigen gewahrt.

Belgische Regelung schießt deutlich über das Ziel hinaus

Bei der Anwendung dieser Kriterien auf das umstrittene belgische Gesetz stellt Szpunar erhebliche Mängel fest. Das nationale Recht erlaubt die Aufbewahrung eines extrem breiten Datensatzes über Verkehrs- und Standortdaten. Vorgaben für technische Schutzmaßnahmen, die eine verlässliche Kategorientrennung erzwingen würden, fehlen im Gesetzestext hingegen. Der damit verbundene Grundrechtseingriff überschreitet laut dem Gutachter das zur Erreichung der Sicherheitsziele erforderliche Maß deutlich.

Besonders kritisch bewertet der Generalanwalt die Rolle, die das Gesetz den Telefondiensten und Netzanbietern zuweist. Mehrere zentrale Aspekte der Datenspeicherung wurden schlicht in das Ermessen der Telekommunikationsanbieter gelegt. So sieht das belgische Recht vor, dass Unternehmen in Eigenregie entscheiden können, welche Daten sie für notwendig halten, und bei Bedarf sogar die Speicherfristen eigenmächtig verlängern dürfen. Szpunar stellt fest, dass es einer solchen Konstruktion an der nötigen Klarheit und Präzision fehlt. Gesetzliche Garantien, die das EU-Recht zum Schutz der Bürger verlangt, werden damit übergangen. Die Regelung verstoße folglich gegen den Verhältnismäßigkeitsgrundsatz.

Keine nachträgliche Heilung durch nationale Gerichte

Abschließend erteilt der Generalanwalt auch Versuchen eine Absage, die Rechtsfolgen eines unionsrechtswidrigen Gesetzes vorübergehend aufrechtzuerhalten. Das belgische Gericht hatte gefragt, ob unberechtigt gespeicherte Daten im Sinne der Rechtssicherheit vorerst weiter verwendet werden dürften. Szpunar erinnert daran, dass ausschließlich der EuGH in Ausnahmefällen die zeitlichen Wirkungen einer Urteilsauslegung beschränken darf. Einem nationalen Gericht sei es untersagt, mit dem EU-Recht unvereinbare Regelungen vorläufig in Kraft zu belassen.

Mit den Schlussanträgen liegt der Ball nun beim Richterkollegium des Europäischen Gerichtshofs, das in den kommenden Monaten sein Urteil fällen wird.

Stefan Krempl

Neue Wege bei Polizeisoftware: Hessen erwägt Abschied von Palantir

Möglicher Kurswechsel in Wiesbaden: Nach knapp zehn Jahren könnte Hessen die Kooperation mit Palantir beenden und auf europäische Alternativen setzen.

Nach fast einem Jahrzehnt intensiver Nutzung steht die hessische Polizei möglicherweise vor einer grundlegenden Wende bei ihrer digitalen Ermittlungsarbeit. Das Land erwägt, die Zusammenarbeit mit dem US-amerikanischen Softwareunternehmen Palantir auslaufen zu lassen und das umstrittene Analysewerkzeug HessenData durch eine europäische Lösung zu ersetzen. Was 2017 als hochmoderne Innovation zur Verbrechensbekämpfung begann, entwickelte sich über die Jahre zu einem dauerhaften politischen wie datenschutzrechtlichen Streitfall. Nun laufen die aktuellen Verträge nach Recherchen der Frankfurter Rundschau bereits im kommenden Jahr aus. Im politischen Wiesbaden verdichten sich parallel die Anzeichen für einen strategischen Neuanfang.

Die Software HessenData versetzt Polizeibehörden in die Lage, innerhalb von Sekunden gewaltige Datenmengen zu durchforsten. Das System verknüpft Informationen aus unterschiedlichen polizeilichen Datenbanken, analysiert Fahndungslisten und stellt komplexe Querverbindungen zwischen Personen her. Trotz dieser Leistungsfähigkeit stand der Einsatz von Beginn an unter starker Kritik. Neben Bedenken hinsichtlich des Datenschutzes stießen vor allem die Gründer des US-Konzerns auf Ablehnung. Insbesondere der rechtslibertäre US-Investor Peter Thiel, der sich wiederholt antidemokratisch geäußert hat, sowie Palantir-Chef Alex Karp gerieten immer wieder ins Visier von Gegnern.

In den vergangenen Monaten hat sich die Haltung der hessischen Landesregierung wahrnehmbar verändert. Hessens Innenminister Roman Poseck (CDU) hatte sich zwar noch im Herbst 2024 begeistert von den analytischen Möglichkeiten des Programms gezeigt. Er deutete aber bereits im Landtag an, dass er einer Alternative aufgeschlossen gegenüberstehe. Voraussetzung sei, dass ein anderes Produkt eine vergleichbare Effektivität und Verlässlichkeit bieten könne. Während eine solche Lösung lange Zeit als kaum verfügbar galt, schlägt der Innenminister inzwischen deutlich optimistischere Töne an. Auf Anfrage teilte Poseck mit, er sei sehr offen dafür, nach Ablauf des Vertrages ein europäisches System zum Einsatz zu bringen. Mittlerweile existierten sowohl auf nationaler als auch auf europäischer Ebene zahlreiche vielversprechende Entwicklungen, die Palantir das Wasser reichen könnten.

Diese Neuausrichtung fügt sich in eine breitere politische Debatte ein. Innerhalb der Innenministerkonferenz herrscht weitgehende Einigkeit darüber, dass Bund und Länder im Bereich der hochsensiblen Sicherheitstechnik eine größere Unabhängigkeit von außereuropäischen Staaten anstreben müssten. Die digitale Souveränität Europas hat in den vergangenen Jahren an strategischer Bedeutung gewonnen. Dies zeigt sich auch auf Bundesebene, wo die Regierung derzeit offenbar Abstand von ursprünglichen Plänen nimmt, Palantir-Software für das Bundeskriminalamt und die Bundespolizei zu beschaffen. Zudem erhöht die politische Konstellation in Hessen den Handlungsdruck: Für den Koalitionspartner SPD, der die Kooperation bereits im Jahr 2017 scharf kritisiert hatte, wäre eine erneute Vertragsverlängerung mit dem US-Anbieter politisch kaum vermittelbar.

Auch die Landtagsopposition verfolgt die Signale aus dem Innenministerium aufmerksam. Vertreter der Grünen und der FDP begrüßen einen potenziellen Ausstieg ausdrücklich. Zwar erkennen sie den funktionalen Nutzen einer übergreifenden Datenanalyse für die Polizeiarbeit an. Die Herkunft der eingesetzten Technologie dürfe aber nicht egal sein. Neben den Vorbehalten gegenüber den Positionen der Firmengründer wiegt vor allem die Sorge vor einem möglichen Abfluss hochsensibler Daten in die USA schwer. Die Liberalen fordern daher einen strukturierten Dialog mit deutschen und europäischen Softwareunternehmen. Parallel wächst auch in anderen Bundesländern der Druck auf Koalitionen, wie Beschlüsse bei den Grünen in Nordrhein-Westfalen zeigen, die weit über die eigenen Landesgrenzen hinausstrahlen.

Stefan Krempl

Finanzielle Hürden: Europol erstickt Bürgerklagen im Keim

Anfragen der EU-Abgeordneten Özlem Demirel enthüllen: Europol setzt bei Bürgerklagen auf teure Kanzleien. Verlierern vor Gericht drohen hohe Kosten.

Europol sieht sich mit einer Welle von Beschwerden beim Europäischen Datenschutzbeauftragten (EDPS) konfrontiert. Dennoch schaffen es kaum betroffene Bürger, die EU-Polizeibehörde vor Gericht zur Verantwortung zu ziehen. Neue Daten der Bürgerrechtsorganisation Statewatch offenbaren nun den mutmaßlichen Grund für diese fehlende gerichtliche Kontrolle: Eine Strategie immenser Kostenrisiken, die Kritiker offenbar gezielt abschrecken soll.

Auslöser der Enthüllungen ist eine parlamentarische Anfrage der EU-Abgeordneten Özlem Demirel (Die Linke). Sie verlangte im März Auskunft über die Gerichtsverfahren gegen Europol vor dem Europäischen Gerichtshof (EuGH), die Gesamtkosten für externe Rechtsbeistände sowie deren Herkunftsländer. Die Antwort der Agentur vom 27. Juli zeigt eklatante Unterschiede in der Herangehensweise der Behörde – je nachdem, wer sie verklagt.

2025 verzeichnete Europol insgesamt 18 Klagen. Der Großteil davon, nämlich 14 Fälle, betraf internes Personalrecht. Nur vier Verfahren wurden von Bürgern geführt, die Europol eine Verletzung ihres Mandats oder von EU-Recht vorwarfen. Obwohl diese Bürgerklagen nur 22 Prozent aller Fälle ausmachten, verursachten sie verheerende 75,5 Prozent der gesamten Prozesskosten der Behörde. Während ein Personalfall Europol durchschnittlich bescheidene 3379 Euro kostete, schlug eine Mandatsklage im Schnitt mit 36.503 Euro zu Buche – fast das Elffache. Insgesamt gab Europol für die vier Bürgerklagen über 146.000 Euro an Anwaltskosten aus.

Während Europol seine Personalfälle mit eigenen Juristen und einer Kanzlei in Belgien abwickelt, heuert die Behörde bei externen Bürgerklagen eine spezialisierte Wirtschaftskanzlei aus Deutschland an. Rechtlich verpflichtet ist die Behörde zu diesem Schritt nicht. Das Auslagern an teure Top-Anwälte hat allerdings Folgen: Wer vor dem EuGH verliert, muss gemäß Verfahrensordnung die gesamten Prozesskosten der Gegenseite tragen. Für Privatpersonen bedeutet eine Klage so ein unkalkulierbares finanzielles Wagnis. Obwohl das Gericht unverhältnismäßige Kosten begrenzen könnte, hat es dies bislang nicht getan.

Die Auswirkung dieser Praxis schildert der niederländische Aktivist Frank van der Linde. Er verlangt Schadensersatz wegen rechtswidriger Datenverarbeitung durch Europol. Als er erfuhr, dass Europol eine extrem teure Kanzlei engagierte, die zudem seine Social-Media-Aktivitäten durchleuchtete, erwog er den Rückzug seiner Klage. Es handele sich um reine Einschüchterung, moniert Statewatch, die fast funktioniert hätte. Europol bedient sich damit einer Taktik, die bei EU-Behörden Methode zu haben scheint: Auch die Grenzschutzagentur Frontex verklagte 2020 Transparenzaktivisten auf über 23.000 Euro Anwaltskosten, obwohl die Behörde über eine eigene Rechtsabteilung verfügt.

Die Finanzeinschüchterung trifft auf ein Umfeld zusehends umstrittener Datenverarbeitung. Laut aktuellem EDPS-Jahresbericht entfielen 65 Prozent aller aufsichtsrechtlichen Maßnahmen gegen die sieben überwachten EU-Institutionen auf Europol. Experten führen das auch auf Journalistenrecherchen zurück, die Aufdeckungen über Gesetzesumgehungen im Überwachungsprogramm der Behörde brachten. Dennoch blieben Bürgerklagen bisher fast chancenlos: Seit 2023 wurde von elf Mandatsklagen nur eine einzige als zulässig eingestuft. Die NGO Front-LEX spricht von einer Abschirmung der Agentur durch die Justiz und fordert wirksame gerichtliche Kontrollen, um dem fragwürdigen Gebaren von Europol Einhalt zu gebieten.

Stefan Krempl

Baden-Württemberg: Grüne Basis verweigert Palantir Gefolgschaft

Eine Urabstimmung der Grünen bringt 92 Prozent Gegenwind für die Polizeisoftware von Palantir, doch die Regierung hält daran fest. Deutsche Firmen bieten Alternativen.

Der parteiinterne Konflikt rund um die US-amerikanische Datenanalysesoftware Palantir Gotham in Baden-Württemberg hat eine neue Eskalationsstufe erreicht. Bei einer basisdemokratischen Urabstimmung hat sich die Mitgliedschaft des grünen Landesverbands mit überwältigender Mehrheit gegen den Einsatz der umstrittenen Polizeisoftware ausgesprochen. Von den abgegebenen Stimmen entfielen knapp 92 Prozent auf ein klares Nein zum Softwareprojekt, bei einer für Parteiabstimmungen vergleichsweise hohen Wahlbeteiligung von fast 40 Prozent. Die Initiatoren der Initiative „Stoppt Palantir, sofort!“ sehen darin ein unmissverständliches Signal der Basis für Bürgerrechte, Überwachungsschutz und digitale Souveränität.

Trotz des deutlichen Votums verharrt die grün-schwarze Landesregierung auf ihrem bisherigen Kurs. Ministerpräsident Cem Özdemir (Grüne) betonte umgehend, dass der bestehende Vertrag mit dem US-Hersteller unberührt bleibe. Die Exekutive halte an der Vereinbarung fest, bis eine leistungsfähige und praxistaugliche europäische Alternative einsatzbereit sei. Zwar bleibe es das erklärte Ziel der Landesregierung, sich von Anbietern zu lösen, deren weltanschauliche Grundhaltung man nicht teile. Doch im aktuellen Betrieb sieht die Regierungsspitze vorerst keine Handlungsalternative. Ein parlamentarischer Vorstoß der Opposition im Landtag, die Implementierung kurzfristig zu stoppen, scheiterte ebenfalls im Parlament.

Die Darstellung der Exekutive, es gebe derzeit keine einsatzfähigen europäischen oder deutschen Alternativen, löst in der IT-Branche Stirnrunzeln aus. Mehrere heimische Softwareanbieter verweisen auf eigene, ausgereifte Analyseplattformen, die speziell für Behörden und Sicherheitsorgane entwickelt wurden. So bietet etwa die Firma FSZ aus Metzingen mit ihrer Plattform „Yoonite“ ein bereits einsatzbereites System an. Sie beklagt, dass entsprechende Gesprächsangebote an die Regierungsspitze und das Innenministerium bislang unbeantwortet geblieben seien. Auch das Unternehmen Almato aus Stuttgart mit „Bardioc“ sowie die Firmen nnosystec aus Salem und One Data verweisen darauf, dass ihre Plattformen bei Sicherheitsbehörden bereits erfolgreich genutzt würden und eine datenschutzkonforme Grundlage für komplexe Analysen böten.

Weiteren Zündstoff erhält die Debatte durch den bisherigen zeitlichen und finanziellen Verlauf des Projekts. Als das CDU-geführte Innenministerium im März 2025 den Fünfjahresvertrag abschloss – ohne den grünen Koalitionspartner einzubinden –, wurde die sofortige Einsatzbereitschaft als Hauptargument angeführt. Mehr als ein Jahr später ist die Software im Land indes weiterhin nicht im Regelbetrieb. Ein praktischer Wirkbetrieb wird frühestens für Ende 2026 erwartet. Kritiker verweisen darauf, dass aus der versprochenen Sofortlösung ein langwieriges und kostenintensives Unterfangen geworden sei: Die Einführung schlägt mit rund 4,25 Millionen Euro pro Jahr für Betrieb und Umsetzung zu Buche, ergänzt durch jährlich rund fünf Millionen Euro an Lizenzgebühren bis zum Vertragsende 2030.

Neben den finanziellen Aufwendungen wiegen vor allem datenschutzrechtliche und geopolitische Bedenken schwer. Datenschützer befürchten eine Aushebelung der digitalen Souveränität und warnen vor dem US Cloud Act, der US-Behörden unter Umständen Zugriff auf Daten amerikanischer Unternehmen gewährt – selbst wenn diese auf europäischen Servern gehostet werden. Parallel steht die Unternehmensführung von Palantir um Mitgründer Peter Thiel wegen antidemokratischer Äußerungen in der Kritik.

Dass es alternative Wege gibt, zeigt die Beschaffungspolitik anderer Sicherheitsbehörden: Das Bundesamt für Verfassungsschutz entschied sich kürzlich für die Analyseplattform „ArgonOS“ des französischen Anbieters ChapsVision, deren technische Anbindung bereits weit fortgeschritten ist. Während das Innenministerium in Stuttgart auf unterschiedliche Anforderungsprofile von Polizei und Nachrichtendiensten verweist, drängt die Zeit auf Bundesebene. Im Rahmen des Großprojekts P20 zur Modernisierung der Polizei-IT hat sich das zuständige Bund-Länder-Gremium einstimmig – und damit auch mit Unterstützung Baden-Württembergs – für eine bundesweite Lizenz einer Datenanalyseplattform ab Anfang 2028 ausgesprochen. Angesichts geplanter strenger Vorgaben der Datenschutzkonferenz zur Vermeidung proprietärer Blackbox-Systeme droht dem Ländle im ungünstigsten Fall die Isolierung vom gemeinsamen Datenhaus, sollte es weiterhin auf Palantir setzen.

Stefan Krempl

Gesichtsdatenbank: Österreichs Polizei nutzte Gesichtserkennung jahrelang illegal

Eine Entscheidung der Österreichischen Datenschutzbehörde erschüttert das Innenministerium der Alpenrepublik: Der seit 2020 genutzte automatisierte Gesichtsabgleich hat keine Rechtsgrundlage.

Ein friedlicher Klimaprotest in Wien im März 2023 entwickelte sich für einen Teilnehmer unbemerkt zu einem Präzedenzfall für digitale Bürgerrechte. Die österreichische Polizei fotografierte den Demonstranten vor Ort und glich das Bild anschließend automatisiert mit der zentralen staatlichen Gesichtsdatenbank ab. Aus dem Treffer resultierte ein Ermittlungsverfahren wegen des Verdachts auf strafbare Handlungen. Dieses wurde zwar später vollumfänglich eingestellt, da sich keinerlei Fehlverhalten nachweisen ließ. Doch der Vorfall hinterließ offene Fragen.

Der Betroffene selbst erfuhr erst durch eine eigene Datenschutz-Auskunftsanfrage überhaupt davon, dass sein Gesicht per Software gescannt und verarbeitet worden war. In der Folge reichte die Bürgerrechtsorganisation epicenter.works Beschwerde bei der österreichischen Datenschutzbehörde (DSB) ein. Ihr Ziel: nicht nur diesen Einzelfall, sondern die gesamte staatliche Überwachungspraxis rechtlich prüfen zu lassen.

Seit 2020 setzt die österreichische Exekutive die automatisierte Gesichtserkennung zur Identifizierung von Personen ein. Von Beginn an begleiteten rechtliche Bedenken diese Praxis. Nicht nur Datenschutzorganisationen zeigten sich besorgt. Auch mehrere parlamentarischer Anfragen von SPÖ, Neos und den Grünen widmeten sich dem Thema. Im Zentrum der Kritik stand die Frage, ob für den Einsatz einer so eingriffsintensiven Überwachungstechnologie überhaupt eine taugliche Rechtsgrundlage existiert. Das österreichische Innenministerium zeigte sich von den Einwänden jahrelang unbeeindruckt, ignorierte jegliche Zweifel an der eigenen Rechtsauffassung und führte die Abgleiche unvermindert fort.

Nun liegt epicenter.works der finale Bescheid der Datenschutzbehörde vor – und das Ergebnis kommt einem juristischen Paukenschlag gleich. Die DSB hat die bisherige Verteidigungslinie des Innenministeriums vollumfänglich verworfen. Der von den Sicherheitsbehörden herangezogene Paragraf 75 des Sicherheitspolizeigesetzes (SPG) stellt laut der Entscheidung keine tragfähige Basis für den automatisierten Gesichtsabgleich dar. 

Die Norm stammt aus einer Zeit, in der es um die analoge Verwaltung von Fingerabdruck-Karteikarten ging. Eine solche Bestimmung eins zu eins auf den Einsatz von Systemen mit Künstlicher Intelligenz zu übertragen, die ein Porträtfoto binnen Sekunden mit rund einer halben Million gespeicherten Bildern vergleichen, bezeichneten Kritiker als den Versuch, ein Formel-1-Rennen mit den Regeln der Straßenverkehrsordnung zu steuern.

Die Sprengkraft des Bescheids reicht weit über den konkreten Anlassfall der Klimademonstration hinaus. Da sich die Polizei bei der Nutzung der Technologie seit 2020 durchgehend auf diesen Paragrafen gestützt hat, ist laut den Bürgerrechtlern schlagartig jeder einzelne automatisierte Gesichtsabgleich der vergangenen Jahre rechtswidrig. Für die Praxis bedeute das eine Kehrtwende: Der Einsatz der Software müsse unverzüglich gestoppt werden, bis der Gesetzgeber eine neue, verfassungskonforme Grundlage geschaffen habe.

Stefan Krempl

BKA-Statistik: Dobrindt ruft erneut nach Vorratsdatenspeicherung und Chatkontrolle

Trotz hoher Meldequoten von Missbrauchsmaterial nutzen der Innenminister und das BKA das neue Bundeslagebild zu Sexualdelikten für alt-neue Überwachungsforderungen.

Die Zahlen der Polizeilichen Kriminalstatistik für 2025 zeichnen ein besorgniserregendes, aber differenziertes Bild zur Gewalt gegen Minderjährige. Während der physische und digitale Missbrauch in vielen Teilbereichen zunimmt, verlagert sich das Tatgeschehen immer deutlicher in den virtuellen Raum. Die Vorstellung des einschlägigen Bundeslagebilds zu Sexualdelikten durch Bundesinnenminister Alexander Dobrindt (CSU), BKA-Präsident Holger Münch und die Missbrauchsbeauftragte Kerstin Claus wurde erwartungsgemäß von politischen Forderungen begleitet. Doch der Ruf nach schärferen Überwachungsinstrumenten lässt sich aus den Fakten nur bedingt ableiten.

In den entscheidenden Statistiken verzeichnet das Bundeskriminalamt gemischte Entwicklungen. Der sexuelle Missbrauch von Kindern stieg 2025 um 4,7 Prozent auf 17.126 Fälle. Ein Haupttreiber dieser Entwicklung sind sogenannte Hands-off-Straftaten. Der sexuelle Missbrauch ohne direkten Körperkontakt wuchs um 16,5 Prozent auf 4861 Fälle. Zugleich verharrt die Verbreitung kinderpornografischer Inhalte mit 41.677 Fällen auf hohem Niveau, wenngleich sie leicht um 2,7 Prozent sank. Ein deutliches Plus von knapp 20 Prozent gab es dagegen bei jugendpornografischen Materialen mit 11.515 Delikten.

Innenminister Dobrindt nutzte die Zuwächse umgehend, um erneut eine anlasslose IP-Vorratsdatenspeicherung zu fordern. BKA-Chef Münch drängte auf den schnellen Beschluss der EU-Verordnung zur Bekämpfung des sexuellen Kindesmissbrauchs – bekannt als Chatkontrolle. Ohne strikte Vorgaben drohe eine Ermittlungslücke, da Übergangsregeln zur Meldepflicht für Online-Plattformen kurzfristig ausgelaufen waren.

Bei genauerer Betrachtung greift diese Argumentation zu kurz. Die Behauptung, Ermittler stünden ohne Verpflichtung zur Massenüberwachung vor verschlossenen Türen, deckt sich nicht mit den Zahlen. Allein über die US-Organisation NCMEC erhielt das BKA 2025 mehr als 100.000 strafrechtlich relevante Hinweise. Antworten der Bundesregierung auf parlamentarische Anfragen belegen zudem, dass große Tech-Konzerne den Sicherheitsbehörden monatlich weiterhin über 10.000 Verdachtsfälle auf freiwilliger Basis melden. Die etablierten Warnsysteme greifen folglich auch ohne eine verpflichtende Durchleuchtung privater Kommunikation aller Bürger.

Ferner offenbart das Lagebild, dass hinter den hohen Zahlen bei kinder- und jugendpornografischen Inhalten keineswegs nur organisierte Täternetzwerke stecken. Bei mehr als 40 Prozent der Verdachtsfälle im Bereich der Kinderpornografie und über der Hälfte bei Jugendpornografie handelt es sich selbst um Minderjährige. Oft verschicken Jugendliche im Rahmen von Beziehungsanbahnungen oder aus Unwissenheit selbst hergestellte Fotos, ohne sich der strafrechtlichen Konsequenzen bewusst zu sein. Hier verfehlen strafrechtliche Verschärfungen oder flächendeckende Überwachungsmaßnahmen das Ziel. Nötig sind vielmehr Medienkompetenz und Aufklärung an Schulen.

Eine weitere Dynamik gewinnt die Debatte durch den Einsatz Künstlicher Intelligenz. KI-Tools erleichtern die Erstellung von Deepfakes oder automatisiert erzeugten Missbrauchsdarstellungen erheblich. Dies führt zwar zu neuen Ermittlungshürden bei der Authentifizierung von Videomaterial, betrifft jedoch in erster Linie Fragen der digitalen Forensik und nicht die Vorratsdatenspeicherung.

Die Unabhängige Bundesbeauftragte Claus kritisierte, dass das BKA-Lagebild das reale Ausmaß im Netz nur unvollständig widerspiegele. Phänomene wie Erpressungen mit intimem Bildmaterial oder gezielte Kontaktaufnahmen zu Jugendlichen seien im Alltag weit verbreitet, tauchten mangels eigener Straftatbestände aber kaum in der Statistik auf. Wenn Handlungen rechtlich nicht als eigenständiges Delikt erfasst würden, bliwben sie im polizeilichen Dunkelfeld verborgen.

Das Bundeslagebild belegt insgesamt, dass die Gefahren für Kinder und Jugendliche im Netz zunehmen. Als Pauschalbegründung für umstrittene Maßnahmen wie die Chatkontrolle eignet sich die Statistik aber kaum. Wirksamer Schutz erfordert stattdessen zielgerichtete Ermittlungsansätze, rechtliche Nachbesserungen bei digitalen Gewaltformen sowie Prävention durch Medienbildung.

Stefan Krempl

EuGH-Urteil: Wettbewerbshüter dürfen Firmen-E-Mails ohne Richterbeschluss beschlagnahmen

Nationale Wettbewerbsbehörden können im Rahmen von Ermittlungen geschäftliche E-Mails sichern, sofern ausreichende nachträgliche Kontrollen greifen.

Die europäischen Wettbewerbsbehörden behalten im Kampf gegen Kartelle und unlautere Absprachen ein scharfes Schwert in der Hand. Nach einem aktuellen Urteil des Europäischen Gerichtshofs (EuGH) steht das Unionsrecht nationalen Regelungen grundsätzlich nicht entgegen, wonach Ermittler im Rahmen einer Nachprüfung in Geschäftsräumen geschäftliche E-Mails von Mitarbeitern und Führungskräften auch ohne vorherigen richterlichen Beschluss beschlagnahmen dürfen. Ein solcher Zugriff kommt zwar unweigerlich einem Eingriff in die Grundrechte gleich. Laut den Luxemburger Richtern ist er aber durch das hohe Gemeinwohlziel eines unverfälschten Wettbewerbs im Binnenmarkt gerechtfertigt.

Allerdings zieht der EuGH dabei in der Rechtssache C-258/23 klare Grenzen: Fehlt eine vorherige richterliche Genehmigung, müssen enge rechtliche Leitplanken und vor allem eine wirksame, umfassende nachträgliche gerichtliche Kontrolle gewährleistet sein, um Missbrauch und Willkür zu verhindern.

Der Entscheidung liegt ein Rechtsstreit aus Portugal zugrunde. Dort hatte die nationale Wettbewerbsbehörde im Zuge von Untersuchungen wegen mutmaßlicher wettbewerbswidriger Praktiken die Geschäftsräume mehrerer Unternehmen durchsucht. Die Ermittlungen drehten sich um Vorwürfe wie mutmaßliche Preisabsprachen bei Covid-19-Tests, Preisabsprachen bei Teleradiologiedienstleistungen für staatliche Krankenhäuser. Auch der Verdacht des Missbrauchs einer marktbeherrschenden Stellung im Sektor der Zahlungsabwicklung stand im Raum.

Die Behörden stellten dabei geschäftliche E-Mails sicher, die über die internen Kommunikationssysteme der Firmen ausgetauscht worden waren. Die betroffenen Unternehmen wehrten sich gerichtlich gegen diese Maßnahme. Sie argumentierten, dass die Beschlagnahme ihr Recht auf Vertraulichkeit der Kommunikation verletzt habe und zwingend von einem Untersuchungsrichter hätte genehmigt werden müssen, statt wie geschehen von der Staatsanwaltschaft. Das zuständige portugiesische Gericht legte die Frage dem EuGH zur Vorabentscheidung vor.

In seinem Urteil stellt das höchste europäische Gericht zunächst grundlegend klar, dass geschäftliche E-Mails, die Arbeitnehmer und Manager über das betriebliche E-Mail-System austauschen, unter den Schutz des Grundrechts auf Achtung des Privat- und Familienlebens sowie der Kommunikation fallen. Der rein geschäftliche Charakter oder Inhalt einer Nachricht nimmt ihr diesen Schutz ausdrücklich nicht. Ferner berührt eine solche Beschlagnahme das Recht auf den Schutz personenbezogener Daten. Eine Sicherung der Informationen schränkt die Ausübung dieser Grundrechte somit eindeutig ein.

Dennoch stufen die Richter diesen Eingriff als verhältnismäßig und rechtmäßig ein. Die Gewährleistung eines fairen Wettbewerbs sei ein zentrales, von der EU anerkanntes Ziel des Gemeinwohls. Da die Ermittler keinen pauschalen, unbeschränkten Zugriff auf die Systeme hätten und die Daten ausschließlich zur Aufklärung der konkreten Kartellvorwürfe genutzt werden dürften, bleibe der Wesensgehalt der Grundrechte gewahrt. Zudem verlangten auch die unionsrechtlichen Durchführungsbestimmungen für Wettbewerbsregeln keine zwingende richterliche Vorabgenehmigung für Durchsuchungen in Firmenräumen.

Die Luxemburger Richter verknüpfen dieses grüne Licht für die Ermittlungsbehörden aber mit strikten rechtsstaatlichen Auflagen für die Mitgliedstaaten. Wenn ein System auf eine präventive richterliche Kontrolle verzichtet, muss das nationale Recht stattdessen durch strenge gesetzliche Rahmenbedingungen für hinreichenden Schutz vor Willkür sorgen. Im portugiesischen Fall waren die Maßnahmen von der Staatsanwaltschaft genehmigt worden, die dort als unabhängige Justizbehörde agiert. Das ist laut EuGH geeignet, den sachlichen Umfang, die Zweckmäßigkeit und die Dauer der Durchsuchung einzugrenzen. Entscheidend ist ferner, dass den Betroffenen ein effektiver Rechtsweg offen steht, über den ein Gericht die Rechtmäßigkeit der Beschlagnahme im Nachhinein vollumfänglich überprüfen kann.

Einen Vorbehalt formuliert der EuGH für den Fall, dass Ermittler auf Datenträger zugreifen, die nicht rein beruflich genutzt werden. Sollten im Rahmen der Nachprüfungen Mobiltelefone, Computer oder andere Speichermedien beschlagnahmt werden, die Mitarbeiter oder Führungskräfte nachweislich sowohl für geschäftliche als auch für private Zwecke verwenden, gelten ungleich höhere Hürden. Weil die Gesamtheit solcher Daten sehr präzise Rückschlüsse auf das persönliche Leben, die Gewohnheiten und die Privatsphäre eines Menschen zulässt, wiegt ein staatlicher Zugang hier ungleich schwerer.

Bei solchen gemischt genutzten Geräten, so das Urteil, ist ein Verzicht auf die Vorabkontrolle nicht zulässig. Der Zugang zu diesen Daten muss zwingend im Vorfeld von einem Gericht oder einer vollkommen unabhängigen Verwaltungsstelle geprüft und genehmigt werden, um die widerstreitenden Interessen von Strafverfolgung und Privatsphäre fair abzuwägen. Das vorlegende portugiesische Gericht muss nun den konkreten Sachverhalt auf Basis dieser bindenden Vorgaben final entscheiden.

Stefan Krempl

Digitaler Datenschutz: US Supreme Court stuft virtuelle Rasterfahndung als Verfassungskonflikt ein

Der Oberste Gerichtshof der USA entscheidet im Fall Chatrie, dass die massenhafte Absaugung von Handy-Standortdaten eine staatliche Durchsuchung darstellt und strengen Regeln unterliegt.

In einem richtungsweisenden Urteil hat der Oberste Gerichtshof der Vereinigten Staaten den Schutz digitaler Privatsphäre gestärkt und der massenhaften, verdachtsunabhängigen Überwachung enge verfassungsrechtliche Grenzen gesetzt. Im Fall Chatrie vs. United States entschied das Gericht am 29. Juni 2026 mehrheitlich, dass das behördliche Absaugen von Handy-Standortdaten in einem bestimmten Umkreis eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und damit grundsätzlich richterlich genehmigt sein muss. Das Urteil weitet den Schutz der Bürger im digitalen Raum aus, da sie festlegt, dass Menschen auch bei kurzfristigen Bewegungen in der physischen Welt ein berechtigtes Interesse auf Privatsphäre haben. Bisherige Argumente von Strafverfolgern, dass Nutzer durch das Akzeptieren von Geschäftsbedingungen freiwillig auf diesen Schutz verzichten würden, wies der Supreme Court zurück.

Der Fall geht auf einen Bankraub im Mai 2019 im US-Bundesstaat Virginia zurück. Da die lokalen Ermittler kaum Hinweise auf den Täter hatten, beantragten sie eine virtuelle Rasterfahndung bei Google in Form eines sogenannten Geofence Warrant. Über diesen Beschluss zwangen sie den Tech-Riesen, die Standortdaten sämtlicher Smartphones herauszugeben, die sich zum Tatzeitpunkt in einem Umkreis von 150 Metern um den Tatort befunden hatten.

Google durchsuchte daraufhin die Konten von Hunderten Millionen Nutzern, um Geräte in diesem Gebiet zu identifizieren. In einem dreistufigen Verfahren wurden die Daten schrittweise de-anonymisiert, bis die Polizei schließlich die Klarnamen von drei Personen erhielt. Einer von ihnen war Okello Chatrie, dessen Bewegungsprofil ihn kurz vor dem Raub in der Nähe der Bank zeigte. Er wurde angeklagt, forderte jedoch die Unzulässigkeit der Beweismittel, da die Methode seine verfassungsmäßigen Rechte verletze.

Ein Bezirksgericht stufte die Methode zwar als verfassungswidrig ein, ließ die Beweise aber wegen des „guten Glaubens“ der Beamten zu. Das zuständige Berufungsgericht zeigte sich daraufhin gespalten. Die US-Regierung argumentierte vor dem Supreme Court, dass eine nur zweistündige Überwachung von Standortdaten keinen tiefen Eingriff darstelle und die sogenannte Dritte-Partei-Doktrin greife, weil Nutzer ihre Daten freiwillig mit Google teilten.

Dem widersprach die Mehrheit der Supreme-Court-Richter unter der Federführung von Elena Kagan. Das Gericht knüpfte an sein Urteil Carpenter vs. United States aus dem Jahr 2018 an, das die langfristige Überwachung von Mobilfunkdaten betraf. Dessen Prinzipien weitete es auf moderne, hochpräzise App-Daten aus. Selbst eine kurzfristige Überwachung kann laut dem Urteil intimste Details über das familiäre, politische, berufliche, religiöse oder sexuelle Leben eines Menschen offenbaren.

Ferner hob das Gericht hervor, dass Standortdaten, die von Smartphone-Apps aufgezeichnet werden, digitalen Tagebüchern, E-Mails oder Fotos ähneln. Diese Daten verbleiben im virtuellen Besitz des Nutzers, auch wenn sie auf den Servern von Drittanbietern in der Cloud liegen. Ein Smartphone zu verwenden und den Bedingungen zuzustimmen bedeute nicht, dass man der Weitergabe an den Staat zustimme.

Die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF), die das Verfahren mit einer Stellungnahme begleitet hatte, feiert das Urteil als wichtigen Erfolg. Aus ihrer Sicht sind diese digitalen Schleppnetzfahndungen das Äquivalent dazu, dass die Polizei ohne konkreten Verdacht von Haus zu Haus geht und unschuldige Passanten zu Verdächtigen macht, nur weil sie zur falschen Zeit am falschen Ort waren. Das Urteil schiebe dieser uferlosen Überwachung nun endlich einen Riegel vor.

Die praktischen Auswirkungen des Beschlusses auf Abfragen gegen Google halten sich zwar in Grenzen, da der Konzern seine Speicherpraxis bereits im Juli 2025 grundlegend geändert hat und Standortverläufe seither nur noch lokal auf den Endgeräten der Nutzer aufbewahrt. Dadurch sind Massenabfragen technisch unmöglich geworden. Die Signalwirkung des Urteils ist trotzdem groß. Der Supreme Court hat klargestellt, dass App-Daten umfassend durch die Verfassung geschützt sind. Dies dürfte erhebliche Konsequenzen für Datenhändler haben, die weiterhin massenhaft Bewegungsdaten über dubiose Werbe-Apps aggregieren und an Behörden verkaufen.

Ob die gegen Chatrie erlangten Beweise im konkreten Strafverfahren verwertet werden dürfen, hat der Supreme Court noch nicht abschließend entschieden. Das Verfahren hat er an das zuständige Berufungsgericht zurückverwiesen. Dieses muss nun prüfen muss, ob der konkrete Haftbefehl verhältnismäßig war und ob die Ermittler tatsächlich in gutem Glauben handelten. Unabhängig vom Ausgang dieses Einzelfalls hat der Supreme Court aber ein Fundament für die digitale Ära gegossen: Das Smartphone darf nicht zum unkontrollierten Spionagewerkzeug des Staates werden.

Stefan Krempl

KI-Plattform und Ticket-System: Wie die Polizei das „Datenhaus“ P20 umbaut

Die Bundesregierung erläutert den Fahrplan beim Umbau der Polizei-IT: Das Mammutprojekt P20 setzt neuerdings auf eine eigene KI-Plattform.

Der politische Streit über neue digitale Ermittlungsbefugnisse und den biometrischen Internetabgleich läuft seit Monaten. Doch während die rechtlichen Rahmenbedingungen der Kabinettsentwürfe längst öffentlich diskutiert werden, schreitet die technische und organisatorische Umsetzung im Hintergrund zügig und mit neuen Strukturen voran. Eine Antwort der Bundesregierung auf eine Anfrage der Fraktion Die Linke legt nun den konkreten, aktualisierten Fahrplan sowie tiefere technische Details offen, wie die Sicherheitsbehörden das milliardenschwere Mammutprojekt „Programm P20“ zur Vereinheitlichung der polizeilichen Datenverarbeitung umgestalten.

Überraschend kommt dabei eine grundlegende Neustrukturierung des zentralen Elements ans Licht: Der sogenannte Release Train für das geplante „Datenhausökosystem“ wurde reformiert und in sechs neue Unterstrukturen aufgeteilt. In diesem Zuge wird deutlich, wie tief moderne Technologien bereits verankert sind. So listet die Bundesregierung im Bereich der Querschnittsservices nun offiziell den aktiven Betrieb eines „Minimum Viable Product für eine KI-Plattform“ sowie einen Querschnittsservice für Spracherkennung auf.

Zwar betont das federführende Bundesinnenministerium an anderer Stelle, dass bei den aktuellen P20-Projekten noch keine Künstliche Intelligenz im Sinne der strengen europäischen KI-Verordnung zum Einsatz kommt. Die Infrastruktur für deren Einzug wird jedoch sichtlich im Hintergrund hochgezogen.

Auch bei der hochgradig umstrittenen Verknüpfung von Ermittlungsdaten mit sensiblen Grundrechtseingriffen gibt es technologische Neuigkeiten. Die Exekutive konkretisiert erstmals das Konzept der sogenannten „hypothetischen Datenneuerhebung“ innerhalb des polizeilichen Informationsverbundes. Um rechtlich sauber zu kennzeichnen, wie tief eine polizeiliche Maßnahme in die Grundrechte eingegriffen hat, wird ein technisches System namens „Ticket-Label-Abgleich“ etabliert. Jede spezifische Ermittlungsmaßnahme erhält dabei ein farbliches Label von Grün über Gelb und Orange bis Rot, das die grundrechtliche Eingriffsschwere symbolisiert.

Startet ein Beamter eine Abfrage, wird ein digitales Ticket generiert, das strikt zwischen repressiven und präventiven Gründen unterscheidet. Diese Funktionsweise wurde laut der Bundesregierung bereits mit dem Bundesdatenschutzbeauftragten abgestimmt.

Ebenfalls neu sind die harten Fristen für die Migration der alten, stark fragmentierten Datenbestände. Die Modernisierung der klassischen Verbunddaten aus dem Polizeilichen Informations- und Analyseverbund (PIAV) und INPOL hat gerade begonnen. Für das zweite Halbjahr 2027 ist die Überführung der operativen PIAV-Daten ins Datenhausökosystem geplant, um das bisherige Altsystem abzulösen.

Zeitgleich sollen in der zweiten Jahreshälfte 2027 erste neue Services für die Fahndung und den Erkennungsdienst im INPOL-System live gehen. Dass dieser Prozess extrem komplex ist, zeigen die eingeräumten Abhängigkeiten: Der Austausch mit internationalen Partnern erfordert den Neuaufbau von Schnittstellen. Die Transformation in die endgültige Zielarchitektur wird sich voraussichtlich bis mindestens 2030 hinziehen.

Auch eine klare Absage an langjährige Pläne steckt in dem Papier: Eine flächendeckende Umstellung auf ein einziges, einheitliches Vorgangsbearbeitungssystem der Länder ist offiziell nicht mehr geplant. Stattdessen setzt der Bund nun auf eine Koexistenz von drei voranschreitenden Interimssystemen.

Währenddessen läuft das beschleunigte Verfahren, um überhaupt erst einmal die Landespolizeibehörden in das gemeinsame Datenhaus einziehen zu lassen. Bislang sind lediglich Rheinland-Pfalz und das Saarland produktiv angebunden. Der neue, verbindliche Zielbeschluss des Verwaltungsrats des Polizei-IT-Fonds sieht vor, dass die Daten aller übrigen Bundesländer bis Mitte 2027 vollständig eingepflegt sein müssen.

Stefan Krempl

Weiterer Anstieg: Gerichte erlaubten 2024 in 129 Fällen das Hacken von IT-Geräten

Ermittler haben die Telekommunikationsüberwachung und Abfragen von Verkehrsdaten 2024 ausgeweitet. Vor allem Drogendelikte begründen das Abhören von Smartphones.

Die Polizei hat die Telekommunikationsüberwachung sowie die Abfrage von Verkehrs- und Nutzungsdaten zahlenmäßig weiter ausgebaut. Auch heimliche Eingriffe in IT-Systeme durch Ermittler haben weiterhin Konjunktur. Im Jahr 2024 erteilten Gerichte Ordnungshütern und anderen Strafverfolgungsbehörden in Deutschland insgesamt 129 Mal die Erlaubnis, Smartphones und Computer etwa mithilfe von Staatstrojanern zu infiltrieren und Daten abzufischen. Diese Zahl setzt sich aus 97 Anordnungen zur Quellen-Telekommunikationsüberwachung und 32 Anordnungen zur Online-Durchsuchung zusammen.

Das geht aus den neuen Statistiken zur Telekommunikationsüberwachung nach den Paragrafen 100a und 100b der Strafprozessordnung (StPO) hervor, die das Bundesamt für Justiz (BfJ) veröffentlicht hat. Die Statistik für das Jahr 2024 zu Paragraf 100a StPO weist für die sogenannte Quellen-Telekommunikationsüberwachung (TKÜ) insgesamt 97 im richterlichen Beschluss ergangene Anordnungen aus – im Vergleich zu 96 im Vorjahr. Bei dieser Maßnahme wird die Kommunikation direkt auf einem Endgerät vor einer Ver- beziehungsweise nach einer Entschlüsselung abgegriffen. Tatsächlich durchgeführt wurde ein derartiger Eingriff in ein IT-System per Quellen-TKÜ im Jahr 2024 bundesweit in 64 Fällen, während dies 2023 noch 57 Mal der Fall war. Die Ermittler scheinen demnach mehr Übung und Erfahrung beim Verwenden entsprechender Abhörwerkzeuge erlangt zu haben.

Allein 25 erfolgreich durchgeführte Maßnahmen gehen hierbei auf das Konto der Behörden in Nordrhein-Westfalen. Es folgen Rheinland-Pfalz mit neun, der Generalbundesanwalt mit acht, Bayern und Niedersachsen mit jeweils sieben sowie Baden-Württemberg und Sachsen mit je drei Maßnahmen. In Schleswig-Holstein wurde ein derartiger Trojaner einmal erfolgreich eingesetzt. Als Grund gaben die Behörden in allen TKÜ-Bereichen erneut primär Drogendelikte an: Wie in den vergangenen Jahren begründete vor allem der Verdacht einer Straftat nach dem Betäubungsmittelgesetz die Ausforschung, was sich allein in 6450 erfassten Anlassstraftaten im Bereich des § 100a Abs. 2 Nr. 7 Buchstabe b StPO widerspiegelt.

Ebenfalls gestiegen ist die Zahl der Verfahren, in denen Richter heimliche Online-Durchsuchungen gemäß Paragraf 100b StPO anordneten. Bundesweit wurden sie 2024 in 16 Verfahren bewilligt, was gegenüber den zehn Verfahren im Jahr 2023 eine deutliche Steigerung darstellt. Bei dieser Form der Maßnahme dürfen die Fahnder mithilfe von Spionagesoftware etwa auch Festplatten tiefgreifend inspizieren und nicht nur die laufende Kommunikation mitschneiden. Die Gesamtzahl der Erst- und Verlängerungsanordnungen lag in diesem Bereich 2024 bei 32, aufgeteilt auf 22 Erstanordnungen und zehn Verlängerungsanordnungen. Von diesen richterlichen Erlaubnissen wurden insgesamt 15 tatsächlich in die Praxis umgesetzt und durchgeführt.

Einen starken Anstieg gab es bei den allgemeinen Maßnahmen zur Überwachung der Telekommunikation nach Paragraf 100a StPO insgesamt, zu denen auch das klassische Abhören von Telefonaten ohne spezielle Spionagesoftware gehört. Im Jahr 2024 wurden derartige Maßnahmen bundesweit in 5538 Verfahren angeordnet, was einem Plus von 11,4 Prozent gegenüber dem Vorjahr (4970 Verfahren) entspricht. Die Zahl der Überwachungsanordnungen lag mit insgesamt 16.868 – bestehend aus 13.779 Erstanordnungen und 3.089 Verlängerungsanordnungen – um knapp 5,9 Prozent über den Werten von 2023.

Auch die Abfrage von Nutzungsdaten inklusive Passwörtern bei Telemediendiensten wie Messenger-Diensten, Plattformen oder sozialen Netzwerken gemäß Paragraf 100k StPO ist bei den Behörden stark gefragt. Im Jahr 2024 sind bundesweit in 254 einschlägigen Verfahren insgesamt 319 Anordnungen ergangen. Dies setzt sich aus 304 Erstanordnungen und 15 Verlängerungsanordnungen zusammen und bedeutet gegenüber dem Vorjahr ein deutliches Plus bei den Anordnungen in Höhe von 29,7 Prozent. Nach Paragraf 100k Absatz 2 StPO sind die Verfahren mit acht zwar exakt auf dem Niveau des Vorjahres geblieben. Allerdings stieg die Zahl der Anordnungen hier leicht auf zwölf (elf Erstanordnungen und eine Verlängerung).

Publiziert hat das Bundesamt für Justiz ferner die Statistik zur Abfrage von Verbindungs- und Standortdaten gemäß Paragraf 100g StPO. Demnach ist die Anzahl der Verfahren, in denen derartige Maßnahmen angeordnet wurden, 2024 leicht auf 22.749 gestiegen. Betreffend Maßnahmen nach Paragraf 100g Absatz 1 StPO ergingen in 10.035 Verfahren insgesamt 14.838 Anordnungen, bestehend aus 14.083 Erstanordnungen und 755 Verlängerungen. Zu Maßnahmen nach Absatz 2 ergingen in 1484 Verfahren insgesamt 2443 Anordnungen, die sich auf 2260 Erstanordnungen und 183 Verlängerungen stützen. Maßnahmen nach Absatz 3 wurden in 15.956 Verfahren stolze 17.382 Mal angeordnet. Die Gesamtzahl der Erst- und Verlängerungsanordnungen aller Verkehrsdatenabfragen lag damit bei 34.663, was gegenüber dem Vorjahr einen nur moderaten Anstieg von rund 0,6 Prozent bedeutet.

Das BfJ versieht einen Teil der Zahlen diesmal mit einem deutlichen Caveat, nachdem es in den vergangenen Jahren wiederholt zu fehlerhaften Behördenangaben vor allem rund um den Staatstrojaner-Einsatz gekommen ist: Die aufgezeigten Veränderungen seien "nur mit Vorsicht zu interpretieren", heißt es in dem Hinweis: "So kommt es bei Statistiken in den ersten zwei bis drei Jahren mangels entsprechender Praxis häufiger zu Fehlern bei der Erfassung. Insoweit bleibt die künftige Entwicklung abzuwarten."

Stefan Krempl