netzpolitik.org

Wir alle sind im Internet unterwegs, wir klicken, liken und kommentieren – und befördern oftmals eine Dynamik der Eskalation, schreibt der Kulturwissenschaftler Simon Strick in seinem neuen Buch. Wir haben mit ihm über Faschisierung, Memes und mediale Eigendynamiken gesprochen.

Demonstration vor dem Deutschen Bundestag im Juli 2025. – Alle Rechte vorbehalten: IMAGO / Metodi Popow

Faschisierung ist von Beginn an eine Grundtendenz digitaler Medien. Der heutige Rechtspopulismus und das Internet entstanden nicht nur zeitgleich, sondern arbeiten auch mit verwandten Formeln und haben die Öffentlichkeit zum Reaktionären hin transformiert.

Das schreibt der Kulturwissenschaftler Simon Strick in seinem Buch „Faschisierung. Fluchtlinie des Digitalen“, das vor wenigen Tagen im Suhrkamp Verlag erschienen ist.

Strick zeigt darin eine kulturelle und politische Entwicklung, die mehr als zwanzig Jahre zurückreicht. Dieser Entwicklung stehen wir bis heute nicht nur unvorbereitet und hilflos gegenüber, sondern wir treiben selbst auch einen Prozess an, in dem wir jeden Tag und in aller Öffentlichkeit rechtsradikale Formeln einüben.

Wir haben mit Simon Strick über die digital-getriebene Faschisierung gesprochen.

Simon Strick Fortwährende Faschisierung

netzpolitik.org: Warum wählen Sie den Begriff „Faschisierung“ statt Faschismus?

Simon Strick: Die Rede vom Faschismus impliziert meistens Umschlagpunkte – der Faschismus droht irgendwann, man warnt also davor. Darum dreht sich unser Diskurs nun schon seit einigen Jahren.

Wenn man immer darauf wartet, dass der Faschismus irgendwann kommt, verpasst man die vielen faschistischen Entwicklungen, die die ganze Zeit stattfinden.

Mir geht es daher konkret um einen gesamtgesellschaftlichen Prozess der Faschisierung, der sich fortwährend vollzieht.

netzpolitik.org: Wie sieht dieser Prozess aus?

Simon Strick: Er hat viele Formen. Ich untersuche vor allem eine Umformung des politischen Diskurses und der Öffentlichkeit, die sich im Netz beziehungsweise durch die digitalen Medien ereignet hat.

Es gibt Mechanismen, Prozesse und Dynamiken, die genuin mit digitalen Medien zusammenhängen und die ich als Faschisierung einordne.

Die kollektive Praxis des Einübens

netzpolitik.org: Sie sprechen hier auch von einer kollektiven Praxis des Einübens.

Simon Strick: Dem Philosophen Pierre Zaoui zufolge gibt es so etwas wie eine faschistische Alltagssprache, die vor der offiziellen Sprache des Faschismus liegt. Sie zeichnet sich dadurch aus, dass man sich von der kleinsten Irritation bis zur Vernichtung einer Menschengruppe quasi durchargumentieren kann.

Diese Alltagssprache findet sich oft in der Kommunikation im Netz. Je nach Plattform oder Kommunikationszirkel haben sich Nutzer daran gewöhnt, sich mittels Memes und Sprache sehr schnell von kleinsten Irritationen hin zur Abwertung oder gar Auslöschungswunsch einer anderen Gruppe zu bewegen.

Das ist das Entscheidende am Begriff der Faschisierung: Es geht nicht um Einzelfälle, die irgendetwas kippen lassen, sondern um einen breiten gesellschaftlichen und vor allem medial bedingten Prozess des gemeinsamen Einübens oder eben der Normalisierung.

netzpolitik.org: Haben Sie dafür ein Beispiel?

Simon Strick: 2019 wurde im Internetforum 4chan die Zeichnung eines Clowns veröffentlicht. Sie zeigt eine Variation des Alt-Right-Symbols Pepe the Frog mit Regenbogenperücke und roter Nase. Ein Nutzer schlug vor, das Bild als neues rechtsradikales Symbol zu übernehmen, queerfeindliche Gewaltfantasien inklusive. Der Verfassungsschutz nahm es in seinen Bericht über rechtsextreme Symbolik auf.

Aus dem Bild entstand das Meme „Clownwelt“, wurde mit der Zeit zu einem Symbol im rechten Kulturkampf, schließlich zum allgemeinverständlichen reaktionären Symbol. Im deutschsprachigen Raum steht es unter anderem dafür, dass Regenbogenfahnen verschwinden sollen, damit Schwarz-Rot-Gold wieder zu seinem Recht kommt.

–––

Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Das geht nur mit deiner Unterstützung.

–––

Dieser Antagonismus von Nationalfarben und LGBTQ+ ist völlig alltäglich geworden, Bundestagspräsidentin Julia Klöckner nutzte ihn im Sommer 2025 in der sogenannten Fahndendebatte. Sie ordnete an, Regenbogenfahnen aus Abgeordnetenbüros zu entfernen. Auch Bundeskanzler Friedrich Merz kommentierte die Debatte: Der Bundestag sei kein Zirkuszelt, auf das man beliebig Fahnen hissen könnte – das Bild queerer Menschen als Clowns schien durch.

Das Beispiel ist etwas verkürzt, zeigt aber zwei Dinge: Als rechtsextrem kategorisierte Memes wie „Clownwelt“ finden Eingang in offizielles Sprechen und prägen Shitstorms wie den um Merz’ „Zirkuszelt“ mit. Und zweitens: Wenn der Kanzler rechtsextreme Memes variiert, dann ist der Begriff „Extremismus“ nicht mehr aussagekräftig. Eher geht es darum zu fragen, warum 4chan und Kanzleramt gleichklingend und queerfeindlich sprechen. Diese eingeübten „Gleichklänge“ der Radikalisierung beschreibe ich als Faschisierung, und Beispiele dafür sind jeden Tag sichtbar.

Simon Strick: Faschisierung. Fluchtlinie des Digitalen, Suhrkamp Verlag. „Faschisierung und Digitalisierung sind verschwistert“

netzpolitik.org: Faschisierung und Digitalisierung hängen eng zusammen, schreiben Sie, sie seien „verschwistert“. Wie meinen Sie das?

Simon Strick: Wir hatten in den 1990er-Jahren eine historisch interessante Konstellation: Es bildete sich der Rechtspopulismus als Bewegungsprojekt quer zu staatlichen Systemen und Parteienstrukturen heraus, ich skizziere das im Buch für die USA. Gleichzeitig entsteht mit einem ganz ähnlichen Anspruch – quer zur Öffentlichkeit und zu den Leitmedien – die Netzkultur.

Aus meiner Sicht gibt es hier eine mythologische Übereinstimmung, die zu einer inneren Wesensverwandtschaft einiger digitaler Medien und reaktionärer Bewegungen führte: Beide verstanden sich als radikale Alternativen zum Status quo, als neue Ideen politischer Öffentlichkeit. Faschisierung bietet eine Möglichkeit, um diese Wesensverwandtschaft zu verstehen und zu beschreiben.

netzpolitik.org: Für viele war das Netz gerade in seinen Anfängen ein Raum für Gleichheit, Partizipation und Utopie. Scheren Sie mit Digitalität und Rechtspopulismus nicht zwei sehr verschiedene Dinge über einen Kamm?

Simon Strick: Das Netz ist natürlich ein pluralistischer Raum. Und im politischen Raum der 90er-Jahre gab es unterschiedliche Bewegungen, die eine grundlegende Veränderung etwa an Regierungssystemen oder am Neoliberalismus verlangten. Der Rechtspopulismus, wie Murray Rothbard ihn entwirft, war eine dieser Bewegungen.

Analog dazu findet sich in der „Unabhängigkeitserklärung des Cyberspace“ von John Perry Barlow eine populistische Vorstellung des Internets: Gegen Großunternehmen, Telekommunikationskonzerne und Regierungsorgane soll ein utopisches Land errichtet werden. Die Anhänger dieser Idee verstanden den Cyberspace explizit als Gegenentwurf zu den Regierungen der analogen Welt, den „müden Riesen aus Fleisch und Stahl“.

Dieser Cyberlibertarismus war eine spezifische Ausprägung im Pluralismus des frühen Netzes. Er brachte aber eine Art reaktionäres Nutzungsszenario für digitale Medien mit: Im Internet sagt man das, was draußen in den Leitmedien angeblich verboten oder nicht präsent ist. Man postet sozusagen immer quer zu einer Hegemonie, was zum Beispiel neofaschistischen Gruppen sehr entgegenkam, die auch zu den Netzpionieren gehörten.

Aus dieser Grundmythologie entwickelte sich – begünstigt durch die sozialen Medien – das Netz als Gegenöffentlichkeit und begünstigte damit vor allem reaktionäre Projekte. Die Alternativmedien wie Nius und Tichys Einblick oder zahllose Angebote auf X senden alle auf dieser Mythologie digitaler Dissidenz. Die Leitmedien folgen nach.

„Wir befinden uns dauerhaft im Reaktionsmodus“

netzpolitik.org: Wie haben die sozialen Medien diese Entwicklung beeinflusst?

Simon Strick: Soziale Medien sind darauf ausgerichtet, Ereignisse herzustellen, auf die man reagieren kann. Nutzer liken, kommentieren und befinden sich dauerhaft im Reaktionsmodus auf ihre Timeline. Das heißt erstens, dass Politik als Ereignis stattfinden muss. Und zweitens müssen politische Ereignisse möglichst kontrovers oder provokativ sein, um mehr Reaktionen hervorzurufen.

Das Problem ist also nicht nur Rechtspopulismus, sondern eine Öffentlichkeit, die um das Prinzip Reaktionsmaximierung herum gebaut ist. Parteien, die am krassesten agieren – was oftmals rechte Parteien sind –, politische Figuren, die am lautesten reagieren. Das erhält die größte Aufmerksamkeit.

Parteien und Journalismus passen sich diesen digitalen Reaktionsformen an. Ich fand den Protest der SPD-Bundestagsfraktion auf dem Bebelplatz in Berlin dazu aufschlussreich.

netzpolitik.org: …dem Ort der Bücherverbrennung durch die Nazis im Jahr 1933.

Simon Strick: Ja, hier wurde das politische Ereignis „Antifaschismus“ von einer Regierungspartei hergestellt, für „Reaction Content“. Reaktionen kamen sofort, sowohl skandalisierend als auch nach dem Motto „Endlich tut sich was!“. Passiert war im Grunde genommen nichts, außer einem Flashmob mit Kamerabegleitung.

„Memes transportieren Vernichtungsfantasien“

netzpolitik.org: Welche Rolle spielen Memes bei dieser Neuformierung der Öffentlichkeit?

Simon Strick: Ich halte sie für unheimlich wichtig. Memes sind nicht nur lustige Bildchen, sondern spezifische Verschaltungen von Informationen, die vor allem irritieren und affektiv wirken sollen.

Es werden Dinge zusammengebracht, die eigentlich nicht zusammengehören, um einen Witz oder eine Irritation zu erzeugen. Das ist eine grundlegende Kulturtechnik im Social-Media-Zeitalter: Informationskombination, um affektiv den Informationsfluss zu unterbrechen. Als Grundprinzip digitaler Kommunikation wird das aus meiner Sicht unterbewertet.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Politische Akteure wie Donald Trump oder auch das Weiße Haus kommunizieren in Memes. Auch die SPD-Aktion am Bebelplatz kann man als memetische Operation verstehen, die Unzusammenhängendes verbindet, um eine Irritation oder Affekt zu erreichen: Regierungspartei kämpft als Antifa gegen die NSDAP. Modernes Branding, vorbei an politischen Realitäten.

netzpolitik.org: Sie schreiben in Ihrem Buch, dass Memes auch das Aussprechen von Vernichtungsfantasien erleichtern.

Simon Strick: Dafür gibt es viele Beispiele. Ein Beispiel, das ich im Buch beschreibe: Queere Menschen setzen sich unter anderem für palästinensische Unabhängigkeit ein. Das Motto „Queers for Palestine“ wurde im Netz mit „Chicken for KFC“ gleichgesetzt, nach dem Motto: Weil Gaza angeblich in Gänze Hamas und queerfeindlich sei, sind „Queers for Palestine“ wie Hühner, die für ihre Schlachtung durch Kentucky Fried Chicken demonstrieren.

Diese Formel verbreitete sich rasant, weil sie sowohl Palästinenser als brutale Barbaren als auch Queers als irrational und naiv darstellt. Beide Minderheiten hätten sich quasi „verdient“. Im Buch zeichne ich nach, wie dieses Meme vor und nach dem 7. Oktober 2023 in den Legitimationsdiskursen zur israelischen Kriegseskalation immer wieder auftaucht.

Völlig verschiedene Akteure kommen dabei zum Gleichklang: anonyme Onlinetrolle, die AfD-Abgeordnete Beatrix von Storch, die Schriftstellerin Herta Müller, der ehemalige Antisemitismus-Beauftragte Felix Klein und auch Benjamin Netanjahu, der „Chicken for KFC“ vor dem US-Senat als Witz anbringt.

Solche Memes transportieren Entmenschlichungs- und Vernichtungsfantasien fast von selbst weiter, selbst wenn die einzelnen Sprecher:innen das nicht beabsichtigen. Sind Queers so naiv, sollten sie abgeschlachtet werden. Sind Palästinenser solche Barbaren, muss die Vernichtung Gazas eskaliert werden. Es bilden sich memetische Kollektive, die sich gegenseitig darin bestärken, solche Sprach- oder Memefantasien als Legitimation zu nehmen, als Argument, schließlich als Vorlage für Handlungen.

Die Dynamik der Eskalation

netzpolitik.org: Besonders Donald Trump hat die Wirkweise der Memes offenbar verstanden.

Simon Strick: Trumps Kommunikation und Stil sind sehr interessant. Sie zeigen sehr klar, wie sich politische Öffentlichkeit in digitale Räume verlagert, wo andere Gesetze gelten als zuvor. Der Trumpismus kann als Politikstil gelesen werden, der sich mehr und mehr nach Netzlogiken richtet: Trolling, Irritation, Memes und ganz generell „Content“.

Trump ist die ideale Figur für diesen Transfer, weil er selbst hochgradig Meme-tauglich ist. Seit den 80er-Jahren ist er eine Ikone der amerikanischen Popkultur, jeder kennt ihn.

Bei ihm zeigt sich eine neue Form des Regierens, die vor allem memetisch und digital kommuniziert und die Regierungsgeschäfte auf Plattformen abwickelt. Etwa wenn Trump geopolitische Entscheidungen direkt über soziale Medien verkündet. Der Wahrheitsgehalt ist immer unklar – wie bei jeder Online-Information.

netzpolitik.org: Memes selbst bewirken aber keine materiellen Veränderungen. Sie stoppen beispielsweise keine Inflation. Läuft die memetische Kommunikation nicht irgendwann ins Leere?

Simon Strick: Jetzt könnte man lange über Börsen reden, die ja aufgrund von Gerüchten extrem materielle Wertschöpfungs- oder Wertvernichtungsprozesse ins Werk setzen können. Aber das nur am Rande.

Memetische Politik bietet in materieller Hinsicht natürlich schon etwas. Zum einen geht Faschisierung oft einher mit persönlicher Bereicherung, Oligarchie und Macht, die sich durch eine Kapitalisierung der Aufmerksamkeit ergeben kann. Das zeigt Trump eindrücklich, und Elon Musk hat neofaschistische Memes zum Markenkern von X.com gemacht.

Andererseits ist das „Leere“ im Netz kein Problem, es lebt von Hype Cycles, Aufregungspunkten oder Ereignissen, die nicht unbedingt „real“ sein müssen. Bei dem, was ich Faschisierung nenne, speist sich der Prozess aus einer Dynamik der Reaktion und Eskalation. Sie produziert ständig neues Reaktionsmaterial, das die Dynamik weiter antreibt. Autoren wie Lucie Varga, Leo Löwenthal oder Walter Benjamin haben übrigens Ähnliches für faschistische Propaganda der 1920er- bis 1940er-Jahre konstatiert: Die Inhalte oder die Ideologie sind fast beliebig, die Dynamik des Reaktionären und das gemeinsame Phantasma sind wichtiger.

netzpolitik.org: Wir müssen uns die Faschisierung also wie ein Perpetuum mobile vorstellen?

Simon Strick: Zumindest als etwas, das eine starke Eigendynamik hat, die sich immer weiter selbst antreibt. Das ist mein Vorschlag, um zu erklären, warum große Teile der politischen Öffentlichkeit sich mitreißen lassen, die nicht ohne weiteres als rechtsextrem klassifizierbar sind. Im Buch nenne ich das: Es gibt mehr Faschisierung als es Faschisten gibt. Aus meiner Sicht ist das ein massives Problem unserer Gegenwart.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Wir treten der Faschisierung entgegen. Wir verteidigen die Grundrechte für alle und kämpfen für eine freie, offene und solidarische Gesellschaft. Das geht nur mit deiner Unterstützung.

Werde jetzt Brandschutzhelfer:in für netzpolitik.org und unterstütze unsere Arbeit mit einer monatlichen Dauerspende. Schon Beträge ab 5 Euro helfen uns.

Gemeinsam treten wir der Faschisierung entgegen. Rechtsradikale Brandstifter wollen einen Flächenbrand auslösen, der die gesamte Demokratie erfasst. Die Bundesregierung gießt derweil Öl ins Feuer: Sie rüstet den Überwachungsstaat auf, schränkt die Transparenz ein und beschneidet die Grundrechte. Der Schutz demokratischer Werte und Errungenschaften beginnt also schon lange, bevor Rechtsradikale in Regierungen sitzen.

Gemeinsam kämpfen wir für eine freie, offene und solidarische Gesellschaft. Wir schlagen bei gefährlichen Entwicklungen Alarm. Wir durchleuchten Gesetzesvorhaben und zeigen, wo die Brandgefahr steigt. Wir befreien und veröffentlichen Dokumente, damit sich Leser:innen ihr eigenes Bild machen können. Wir machen Menschen sichtbar, deren Grundrechte bedroht sind – und bilden Netzwerke.

Das geht nur mit deiner Unterstützung!

Deine Spende macht es auch möglich, dass uns auch all jene lesen können, die uns derzeit nicht finanziell unterstützen können. Spende jetzt!

Falls du selbst gerade nicht spenden kannst, erzähl bitte anderen, warum sie uns unterstützen sollten. Und dass Spenden an uns steuerlich absetzbar sind.

Gemeinnützig, unabhängig und transparent

Seit 22 Jahren macht netzpolitik.org gemeinwohlorientierten Journalismus mit Haltung. Für unsere Arbeit wurden wir vielfach ausgezeichnet.

Weil wir uns durch Spenden unserer Leser:innen finanzieren, sind wir vollkommen unabhängig von Konzernen, Parteien, Verbänden und dem Staat. Bei uns gibt es keine Werbung, kein Tracking und keine Paywall.

Unsere Finanzen sind transparent. Wofür wir Spenden einsetzen, kannst du in unseren Transparenzberichten nachlesen, die wir jedes Quartal veröffentlichen.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Wenige Funktionen, kaum Kontrolle und schwacher Datenschutz: Der Bundestag hat heute das Digitale Identitätengesetz beschlossen. In einer Schrumpfversion soll die digitale Brieftasche „d‑you“ in wenigen Wochen starten.

Markus Reichel, Wallet-Berichterstatter der Unionsfraktion, warb heute im Bundestag für das Digitale Identitätengesetz. – Alle Rechte vorbehalten: bundestag.de

Der Bundestag hat heute mit Mehrheit von Union und SPD das Digitale Identitätengesetz beschlossen. Damit ist die rechtliche Grundlage für die Einführung der digitalen Brieftasche „d‑you“ zum 2. Januar 2027 gelegt. In der Smartphone-App sollen Bürger:innen künftig digitale Ausweisdokumente, Zeugnisse und Hotelreservierungen ablegen können.

Zunächst startet d‑you mit weit weniger Funktionen als geplant: Zu Beginn soll nur die Ausweisfunktion verfügbar sein, später sollen Führerschein und ein biometrisches Passfoto folgen. Erst danach sollen schrittweise Funktionen hinzukommen, die für mehr Sicherheit sowie Verbraucher- und Datenschutz sorgen sollen.

Dazu zählen unter anderem pseudonyme Logins, Zero-Knowledge-Proofs (zu Deutsch: Null-Wissen-Beweis) und die selektive Datenfreigabe. Diese Funktionen ermöglichen es Nutzer:innen, ihre Identität zu schützen oder nur das Allernotwendigste an sensiblen Daten preiszugeben. Deren Fehlen hatten vor gut einer Woche mehrere Fachleute in einer Anhörung im Digitalausschuss des Bundestags mit Nachdruck kritisiert.

Lichtbild muss nicht nicht mehr zwingend in die Wallet

Auf diese Kritik haben die Regierungsfraktionen nur geringfügig reagiert. Gestern hatten sie im Digitalausschuss eine Beschlussempfehlung für die heutige Plenumsabstimmung beschlossen, die Änderungen an dem Gesetzentwurf vorsieht. Die Empfehlung hat der Bundestag heute ebenfalls mit schwarz-roter Mehrheit verabschiedet.

So sollen es Nutzer:innen künftig ablehnen können, dass ihr biometrisches Passfoto in die digitale Brieftasche übernommen wird. Ein mögliches Opt-out sehen auch die Vorgaben auf EU-Ebene vor. Die Bundesregierung wollte die Nutzer:innen bislang dazu verpflichten.

Trotz der Möglichkeit eines Opt-out wertet Thomas Lohninger von der Bürgerrechtsorganisation epicenter.works die gesetzlichen Vorgaben als weiterhin unzureichend: „Das Gesetz sieht weiterhin keinen Nichtdiskriminierungsschutz vor, der verhindert, dass Nutzer:innen keine Nachteile erfahren, wenn sie das biometrische Passbild nicht übermitteln“, so Lohninger gegenüber netzpolitik.org. „Einen solchen Schutz braucht es aber – gerade wenn es um biometrische Daten geht.“

Bianca Kastl, die wie Lohninger an der Sachverständigen-Anhörung vor gut einer Woche teilnahm, ist ebenfalls skeptisch: „Die Möglichkeit, für die Übermittlung biometrischer Lichtbilder in die Wallet einen Opt-out wählen zu können, ist zwar gut“, so Kastl gegenüber netzpolitik.org. „Es ist aber lediglich die Ausnutzung des europäischen Rahmens.“

Pseudonyme kommen… irgendwann.

Besonders deutlich hatten die Fachleute kritisiert, dass die Wallet nicht die Möglichkeit biete, Pseudonyme zu verwenden, obwohl die zugrundeliegende eIDAS-Verordnung dies vorsieht. Pseudonyme sollen eine Über-Identifizierung, Tracking und kommerzielle Profilbildung verhindern. Ohne diese Funktion bietet die Wallet zu Beginn ausschließlich eine Klarnamen-Identifizierung, was Andreas Hartl, Vertreter des Bundesdatenschutzbeauftragten, in der Anhörung als „misslich“ bezeichnet hatte.

Der Wallet-Berichterstatter der Unionsfraktion, Markus Reichel (CDU), räumte in der Bundestagsdebatte ein, dass hier „eine Lücke“ bestehe. Die pseudonyme Nutzung soll nun „schnellstmöglich“ kommen, wie es in dem Entschließungsantrag heißt, den der Digitalausschuss eingereicht hat.

–––

Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Das geht nur mit deiner Unterstützung.

–––

Die Sache hat allerdings gleich zwei Haken. Erstens findet sich die pseudonyme Nutzung nur in einem Entschließungsantrag, den der Bundestag heute ebenfalls angenommen hat, und ist damit rechtlich nicht bindend. Ein solcher Antrag fordert die Bundesregierung nur zu einem bestimmten Handeln auf und hat vor allem politisches Gewicht.

Zweitens gibt es weiterhin kein Datum, wann die Pseudonyme kommen sollen. Das liege auch daran, so  die parlamentarische Staatsekretärin im Bundesdigitalministerium Gitta Connemann gestern im Digitalausschuss, dass noch Vorgaben von der EU-Kommission ausstehen. Ihr Ministerium arbeite aber „in enger Zusammenarbeit mit BfDI daran, um das Beste zu geben“, so die Christdemokratin.

„Pseudonyme verkommen im Gesetz zu einer Absichtserklärung“, kritisiert Bianca Kastl das Vorgehen der Regierungsparteien gegenüber netzpolitik.org. „Wann Pseudonyme kommen werden – das bleibt unklar, unverbindlich.“ Sie hatte in der Anhörung dafür plädiert, den Starttermin zu verschieben, bis die Wallet datensparsame Kernfunktionen bietet.

Fachleute warnen vor Sicherheitsrisiken und Vertrauensverlust Statt Kontrolle gibts nur Appelle an Unternehmen

Der Christdemokrat Markus Reichel beteuerte in der heutigen Bundestagsdebatte, dass die Regierungsfraktionen die Selbstbestimmung und Datenschutz gestärkt hätten.

Mehrere Fachleute hatten im Vorfeld strengere Kontrollen von Diensteanbietern angemahnt, die die Brieftasche einsetzen wollen. Konkret hatte Lina Ehrig vom Verbraucherzentrale Bundesverband gefordert, dass eine Aufsichtsbehörde vorab prüfen soll, dass beim Datenabruf durch sogenannte „vertrauende Beteiligte“ ausschließlich das zwingend erforderliche Minimum an Daten angefordert wird.

Eine solche Prüfung sieht das beschlossen Gesetz jedoch nicht vor. Stattdessen verweist es auf die Datenschutzgrundverordnung, wonach der Grundsatz der Datenminimierung gilt, wenn sich etwa Unternehmen als „vertrauende Beteiligte“ registrieren. „Daher sind vertrauende Beteiligte gehalten, bereits bei ihrer Registrierung diesen Grundsatz anzuwenden“. Statt eines risikobasierten Registrier- und Prüfverfahren für Diensteanbieter belässt es Schwarz-Rot also bei einem bloßen Appell an die Unternehmen.

Das Gesetz sieht außerdem kein öffentlich zugängliches Verzeichnis vor, welches Fachleute gefordert hatten. Ein solches könnte transparent aufzeigen, welche Daten etwa Unternehmen zu welchem Zweck und auf welcher Rechtsgrundlage abfragen dürfen. Offen ist auch, welche Sanktionen Diensteanbietern drohen, wenn sie gegen die Vorgaben verstoßen – bis hin zum Ausschluss aus dem Wallet-Ökosystem.

Datenabfragen erfolgen so auf Vertrauensbasis, so die Befürchtung von Sonja Lemke (Die Linke) in der Plenumsdebatte. „Wir laufen damit in eine Cookie-Banner‑2.0‑Situation hinein. Einmal verklickt, einmal nicht nachgedacht und schwuppdiwupp einem Unternehmen staatlich signierte Daten geschickt.“

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Digitalministerium hat freie Hand

Schon der Gesetzentwurf der Bundesregierung sieht eine „Experimentierklausel“ vor, die es dem Bundesdigitalministerium (BMDS) etwa erlaubt, neue Verfahren zu erproben, mit denen Nutzer:innen ihre Identität nachweisen oder Kinder ab 12 Jahren die Wallet nutzen können.

Der Bundesdatenschutzbeauftragte hatte gefordert, dass das Ministerium hier die Expertise des Bundesdatenschutzbeauftragten oder des Bundesamts für Sicherheit in der Informationstechnik (BSI) einbeziehen müsse.

Dessen ungeachtet hat das Ministerium hier auch weiterhin relativ freie Hand: Will es künftig von den gesetzlichen Vorgaben abweichen, muss es vorab lediglich den Digitalausschuss des Bundestags informieren und mindestens zwei Sitzungswochen Zeit für eine Stellungnahme geben. Außerdem dürfen Erprobungen nur einmal verlängert werden.

Sonja Lemke warnte davor, dass hier das Ministerium und nicht der Bundestag das letzte Wort haben soll: „Die staatliche Identität ist kein Spielplatz, auf dem einfach mal ausprobieren kann.“

Die eigentliche Bewährungsprobe beginnt am 2. Januar

Offenbar wollen die Regierungsfraktion, dass d‑you schneller einen praktischen Nutzen bringt. Elektronische Ausweise und offizielle Dokumente müssen Bundesbehörden nun schon 12 statt 24 Monate nach Verkündung des Gesetzes bereitstellen. Ob das viel mehr Nutzen bringt, ist allerdings zweifelhaft: Viele Bescheinigungen stellen die Länder und Kommunen aus. Und die sind noch lange nicht auf die digitale Brieftasche vorbereitet.

Es sei klar, dass die Wallet bei ihrem Start am 2. Januar 2027 alle Anforderungen der eIDAS-Verordnung erfülle, räumte Markus Reichel bereits gestern im Digitalausschuss ein. Mit der heutigen Bundestagsentscheidung hat die Wallet eine entscheidende rechtliche Hürde genommen. Nun folge man einer klaren „Roadmap“, die den weiteren Weg aufzeige. Für die praktische Umsetzung sei es nun, so Reichel, entscheidend, dass bald alle Funktionen der digitalen Brieftasche bereitstehen, Nachweise verfügbar sind und die Behörden „d‑you“ akzeptieren.

Oder in den Worten des SPD-Abgeordneten Parsa Marvi: Mit der Verabschiedung des Gesetzes beginne nun „die eigentliche Bewährungsprobe für die Wallet“. Und das in wenigen Wochen.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Unbekannte sollen Geräte des katarischen Nachrichtensenders Al Jazeera mit dem Staatstrojaner Candiru infiziert haben – und zwar über Online-Werbung. Das berichten Forschende der Universität Torotono. Es wäre der erste öffentlich dokumentierte Fall von „AdFection“.

Al Jazeera geriet laut Forschenden ins Visier von Staatstrojanern. (Symbolbild) – Alle Rechte vorbehalten: IMAGO / Zuma Press; Bearbeitung: netzpolitik.org

Von außen völlig harmlos wirkende Werbeanzeigen sollen das Einfallstor für einen Hacking-Angriff auf Al Jazeera gewesen sein. Mindestens 45 Geräte seien auf diese Weise mit dem Staatstrojaner Candiru infiziert worden, offenbar Windows-Rechner. Das berichten IT-Forschende des Citizen Lab von der Universität Toronto in einer neuen Untersuchung.

Der katarische Nachrichtensender wäre damit das erste öffentlich dokumentierte Ziel einer neuartigen Angriffsmethode. Die Forschenden des Citizen Lab bezeichnen sie als „AdFection“, ein Kofferwort aus „Ad“ (Werbung) und Infektion. Angreifer*innen nutzen dabei die Infrastruktur für Online-Werbung, um Schadsoftware auf ein Gerät zu spielen, und zwar ohne dass Opfer einen Klick machen müssten.

Al Jazeera hat sich zur Veröffentlichung der Untersuchung zunächst nicht geäußert. Wir werden den Artikel gegebenenfalls ergänzen. Der Sender wurde bereits im Jahr 2020 Ziel von Angriffen per Staatstrojaner.

Getarnt als normale Werbe-Tech-Firma

Anders als es auf den ersten Blick scheint, sind Online-Werbeanzeigen oft nicht einfach nur Bilder und Videos mit Links. Häufig werden sie mit unsichtbarem Code ausgeliefert, der im Hintergrund ausgeführt wird. So entsteht ein Einfallstor für die Infektion. Weil Online-Werbung personalisiert ist, können Angreifer*innen die Geräte potenzieller Opfer gezielt ins Visier nehmen.

Die Forschenden des Citizen Lab konnten mehrere Schritte dieser Angriffsmethode technisch nachvollziehen. Im Mittelpunkt steht das israelische Unternehmen Discover-Tech Ltd., das auf den ersten Blick wie ein ganz gewöhnlicher Akteur der Online-Werbebranche erscheint. Es nimmt demnach unter anderem an Auktionen für Online-Werbeplätze teil und kann auf diesem Weg Werbeanzeigen ausspielen.

Wie aus dem Bericht hervorgeht, soll das Werbegeschäft für das Unternehmen jedoch nur Mittel zum Zweck sein. Es soll demnach auch eine Plattform betreiben, mit deren Hilfe Angreifer*innen gezielt Spionage-Software per Online-Werbung ausspielen können. Wie die Forschenden berichten, sollen Angreifer*innen auf diese Weise einen Staatstrojaner von Candiru verbreitet haben.

–––

Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Das geht nur mit deiner Unterstützung.

–––

Discover-Tech soll die umfassenden Datensammlungen des Systems für personalisierte Werbung genutzt haben, um Profile von Zielpersonen zu erstellen und ihre Geräte zu identifizieren. Über eigene Werbeplattformen und die Infrastruktur der Online-Werbebranche sollen die infizierten Werbeanzeigen dann auf die Geräte der Opfer gelangt sein.

Weder Discover-Tech Ltd. noch das Unternehmen hinter Candiru, Integrity Partners, hat unsere Presseanfragen beantwortet.

Werbebasierte Überwachung als Gefahr für Medienschaffende

Erst vor wenigen Wochen hatte das Committee to Protect Journalists vor den Gefahren gewarnt, die von werbebasierter Massenüberwachung für Medienschaffende ausgehen. Die Warnung stützt sich auch auf Recherchen von netzpolitik.org und dem Bayerischen Rundfunk, die gezeigt hatten, wie leicht sich genaue Standortdaten, die angeblich nur für Werbezwecke erhoben wurden, bei Datenhändlern erwerben lassen. In kostenlosen Probedatensätzen hatten wir unter anderem das Bewegungsprofil einer verfolgten Exil-Journalistin aus Ägypten gefunden.

Der Bericht des Citizen Lab dokumentiert nun, wie sich die Infrastruktur nicht nur für staatliche Massenüberwachung, sondern auch für gezielte Angriffe auf die Geräte von Einzelpersonen ausnutzen lässt.

Ein weiteres mutmaßliches Angriffsziel der Spionagesoftware soll das Außenministerium Saudi-Arabiens gewesen sein, wie aus dem Bericht hervorgeht. Darauf deuten technische Spuren hin, die netzpolitik.org und der Bayerische Rundfunk nachvollziehen konnten. Die Botschaft Saudi-Arabiens ließ eine Anfrage hierzu unbeantwortet.

„Fürchterliches Gefühl“

Staatstrojaner nutzen Schwachstellen, um möglichst heimlich die Kontrolle über ein Gerät zu gewinnen und die Opfer zu überwachen. Es ist bezeichnend, dass mit Al Jazeera ausgerechnet Medienschaffende zum Ziel der neuen Angriffsmethode „AdFection“ geworden sind. Denn immer wieder setzen Regierungen Staatstrojaner gegehen beispielsweise Journalist*innen, Aktivist*innen oder Oppositionelle ein.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Auch deutsche Behörden setzen Staatstrojaner ein, wollen jedoch nicht offenlegen, um welche es sich handelt. Einem Bericht der israelischen Zeitung Haaretz von 2021 zufolge gehört auch Deutschland zu den Kunden von Candiru.

Den Anbieter hat die US-Regierung  im Jahr 2021 auf eine Liste für Exportbeschränkungen gesetzt. Begründung: Das Unternehmen habe Spionage-Software an ausländische Regierungen geliefert, um „mit böswilliger Absicht“ unter anderem Regierungsbeamt*innen, Journalist*innen, Geschäftsleute, Aktivist*innen und Forschende ins Visier zu nehmen.

Zuletzt wurde etwa im Jahr 2024 der deutsche EU-Abgeordnete Daniel Freund (Grüne) Ziel eines Angriffs mit Candirus Trojaner, hinter dem er den ungarischen Geheimdienst vermutet. Der Hack ist den Angreifenden jedoch nicht gelungen. Im Gespräch mit netzpolitik.org und Bayerischem Rundfunk spricht Freund von einem „fürchterlichen Gefühl“ beim Gedanken, dass Angreifende auf seine privatesten Informationen hätten zugreifen können.

Hier berichten wir mehr über den Bericht des Citizen Lab, den Ablauf des Hacking-Angriffs – und wie sich Nutzer*innen schützen können.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Sieht ein Opfer das Werbebanner auf dem Handy, ist es schon zu spät. Eine Untersuchung der Universität Toronto beschreibt erstmals im Detail, wie Angreifer mittels Online-Werbung Geräte mit einem Staatstrojaner infizieren. Zu ihrem eigenen Schutz sollten Nutzer*innen Werbung blockieren.

"AdFection" erlaubt den gezielten Zugriff auf Geräte über Werbeanzeigen (Symbolbild) – Handy: Pixabay; Lichteffekt: kisspng; Montage: netzpolitik.org

Es beginnt mit einer Werbeanzeige, die völlig harmlos aussieht. Zum Beispiel ein Angebot für kabellose Kopfhörer: „SALE“. Solche und ähnliche Anzeigen gehören längst zum Grundrauschen, wenn man durch werbefinanzierte Apps und Websites scrollt. Nun zeigt eine Untersuchung, dass Online-Anzeigen weitaus mehr können als nur zu nerven: Sie können die Sicherheit von Nutzer*innen gefährden.

Erstmals konnten IT-Forscher*innen des Citizen Lab von der Universität Toronto technisch nachvollziehen, wie Angreifer Geräte per Online-Werbung hacken – ohne dass Opfer einen Klick machen müssen. Sobald eine bösartige Werbeanzeige auf dem Bildschirm eines Handys oder Rechners erscheint, soll es bereits zu spät sein, und das Gerät wird mit Spionage-Software infiziert. Die Forschenden nennen diese Art des Angriffs „AdFection“, ein Kofferwort aus „Ad“ (Werbung) und Infektion.

Im Fokus der Untersuchung steht die israelische Firma Discover-Tech Ltd. Sie soll sich jahrelang als harmlose Werbe-Tech-Firma ausgegeben haben. Bis vor Kurzem hatte sie bei Google den Status als „zertifizierter“ externer Anbieter. Tatsächlich soll Discover-Tech jedoch als Brücke zwischen dem Ökosystem für Online-Werbung und der Industrie für Staatstrojaner gedient haben.

Die Forschenden des Citizen Lab gehen „mit hoher Sicherheit“ davon aus, dass Angreifer*innen mit Hilfe von Discover-Tech Trojaner der Firma Candiru über bösartige Werbeanzeigen verteilt haben sollen. Mindestens ein Ziel solcher Zero-Click-Angriffe waren demnach mehrere Geräte beim katarischen Nachrichtensender Al Jazeera. Eine Presseanfrage von netzpolitik.org und dem Bayerischen Rundfunk an Discover-Tech blieb unbeantwortet.

„Die Online-Werbung ist kaputt“, sagt der Wiener Tracking Forscher Wolfie Christl, Co-Autor der Untersuchung des Citizen Lab. „Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko – für Staaten, den privaten Sektor, Zivilgesellschaft und für alle anderen.“

Ein scheinbar unauffälliges Unternehmen

Discover-Tech Ltd. erscheint auf den ersten Blick wie einer von Tausenden anderen Akteuren der Werbe-Branche. Auf seiner Website spricht das Unternehmen etwa von maßgeschneiderter Werbung, von Impact und Brands.

Doch wie aus der Untersuchung hervorgeht, befasst sich Discover-Tech anscheinend nur vordergründig mit dem Ausspielen von Online-Werbung. Zusätzlich soll das Unternehmen eine Plattform namens „Controlium“ betreiben. Mithilfe dieser Plattform sollen Anbieter von Spionage-Software demnach gezielt Geräte von Opfern ins Visier nehmen können, um sie beim Ausspielen einer Werbeanzeige zu infizieren.

Das Citizen Lab stützt seine Untersuchungen auf umfassende technische Analysen sowie auf eine Recherche zum Firmennetzwerk rund um Discover-Tech. Unter anderem haben die Forschenden nach eigenen Angaben Zugang zu internen Log-Dateien von rund 3,8 Milliarden Geboten auf Werbeplätze („bids“) durch das Unternehmen. Die Forschenden haben dabei mit der auf Betrugsabwehr in der Werbewelt spezialisierten Firma Confiant zusammengearbeitet, die parallel eigene Untersuchungen vorgenommen und heute einen eigenen Bericht zu Discover-Tech veröffentlicht hat.

Ein Recherche-Team von netzpolitik.org und dem Bayerischem Rundfunk hat vor der Veröffentlichung Einblick in die Untersuchung erhalten und die wichtigsten Beteiligten um Stellungnahme gebeten.

Werbesystem ausgenutzt, Betroffene merken nichts

Wer verstehen will, wie Discover-Tech einem Zielgerät nicht nur Werbung, sondern auch einen Staatstrojaner unterjubelt, muss einen Blick in den Maschinenraum der Online-Werbebranche werfen. So unterhält Discover-Tech laut Untersuchung unter anderem eine sogenannte Demand-Side-Plattform (DSP), über die Werbekund*innen Anzeigen für Apps und Websites schalten können.

Für die Angriffe soll sich Discover-Tech zwei Eigenschaften der Online-Werbewelt zunutze gemacht haben. Erstens soll das Unternehmen das System des Real-Time-Bidding ausgenutzt haben. Dahinter steckt die Auktion um freie Werbeplätze. Werbefinanzierte Apps und Websites verschicken zu diesem Zweck bei jedem Besuch Informationen über Nutzer*innen an ein unübersichtliches Netzwerk mitbietender Unternehmen.

Mit der eigenen DSP soll Discover-Tech an Auktionen teilgenommen und auf diese Weise reichlich Daten gesammelt haben, mit denen sich Geräte potenzieller Zielpersonen aufspüren lassen sollen, darunter zum Beispiel Werbe-IDs und IP-Adressen. So werden die Werbedaten zu einer Art Filter, im potenzielle Opfer herauszusieben. Wie zielgenau die Methode funktioniert, und wie hoch die Streuverluste sind, also wie viele Unbeteiligte so ins Visier geraten sind, lässt sich von außen nicht beurteilen.

Zweitens soll sich Discover-Tech zunutze gemacht haben, dass Werbeanzeigen häufig nicht einfach nur Bilder oder Videoclips sind. Mit ihnen kann oft auch Programm-Code ausgeführt werden. Beim sogenannten Malvertising nutzen Online-Kriminelle genau das aus, um breit gestreut Schadsoftware zu verbreiten. Eine Methode zur gezielten Infektion beschreibt dagegen das Citizen Lab bei der Untersuchung von Discover-Tech.

Demnach habe das Unternehmen dafür die Plattform „Controlium“ betrieben. Dort hätten Kund*innen gezielt Geräte auswählen können, die nicht nur schnöde Online-Werbung erhalten, sondern auch schädlichen Programmcode.

Das Perfide: Die Zielpersonen müssten dafür weder auf die manipulierte Anzeige klicken, noch könnten sie die Infektion bemerken. Auch die Apps und Websites, wo die Werbung anzeigt wird, können laut Citzen Lab nicht nachvollziehen, was genau Anbieter mit ihren Werbeanzeigen auf die Geräte der Nutzer*innen spielen.

Gefahr für Journalist:innen, Opposition und Zivilgesellschaft

Bereits im Vorfeld der Untersuchung gab es erste Berichte, dass Hersteller von Staatstrojanern auch das Ökosystem der Online-Werbung nutzen, um Zielpersonen zu finden und ohne Klicks zu hacken. Es ist bezeichnend, dass mit Al Jazeera der wohl erste öffentlich dokumentierte Fall von „AdFection“ ausgerechnet Medienschaffende getroffen haben soll.

Mehrfach schon wurden etwa Aktivist*innen, Oppositionelle oder Journalist*innen zum Ziel von Staatstrojanern. Zum Einsatz kommen sie aber nicht nur in autoritären Regimen, auch Behörden in Deutschland und der EU setzen sie ein.

–––

Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Das geht nur mit deiner Unterstützung.

–––

Die israelische Firma Candiru, deren Trojaner dem Bericht zufolge gegen Geräte des Nachrichtensenders Al Jazeera eingesetzt worden sein soll, ist keine Unbekannte. Gefunden wurde der Staatstrojaner unter anderem auf Geräten in Usbekistan, Saudi-Arabien, Spanien, Ungarn, dem Jemen und Palästina. Auch der deutsche EU-Abgeordnete Daniel Freund (Grüne) wurde Ziel eines Angriffs mit Candirus Software, der allerdings erfolglos blieb. Mindestens seit 2018 interessierten sich auch deutsche Sicherheitsbehörden für das Programm. Einem Bericht der israelischen Zeitung Haaretz aus dem Jahr 2021 zufolge stand Deutschland sogar auf der Kundenliste. Die Bundesregierung wollte dazu keine Auskunft geben.

Das Unternehmen wurde 2021 wegen seiner Spionage-Aktivitäten auf eine Liste der US-Regierung für Exportbeschränkungen gesetzt. 2025 wurde Candiru an die US-Investmentfirma Integrity Partners verkauft. Auf eine Presseanfrage von netzpolitik.org und dem BR reagierte Candiru nicht.

Werbung in beliebten Apps geschaltet

Die Forschenden des Citizen Lab haben interne Log-Dateien über Gebote für Werbeplätze von Discover-Tech ausgewertet. Das erlaubte ihnen grobe Annahmen darüber, welche Reichweite und Ziele das Unternehmen möglicherweise hatte.

Knapp vier Milliarden Mal soll Discover-Techs eigene Werbeplattform im Zeitraum von März bis Juni 2026 an Auktionen um Online-Werbeplätze teilgenommen und dazugehörige Daten verarbeitet haben. Das entspricht mehreren Hundert Geboten pro Sekunde – und ist laut Untersuchung nur ein Ausschnitt der Aktivitäten von Discover-Tech im genannten Zeitraum.

Rund drei Viertel der Gebote hätten demnach Werbeplätze in Handy-Apps betroffen, knapp ein Viertel Werbeplätze im Browser. Insgesamt zählten die Forschenden Daten zu Geboten für Werbeplätze in rund 70.000 Apps und auf rund 120.000 Websites. Selbst überprüfen konnte netzpolitik.org diese Zahlen nicht.

Der Bericht nennt mehrere bekannte Apps, über die potenziell infizierte Werbung von Discover-Tech ausgespielt worden sein soll, darunter die in Deutschland ansässige Wetter-App Wetter Online, die Dating-Apps Grindr und Badoo, die Sprachlern-App Duolingo und der Messenger Viber. Wir haben die Pressestellen der jeweiligen Apps gefragt, ob ihnen die Möglichkeit von werbebasierten Attacken bekannt ist, und welche Konsequenz sie daraus ziehen. Eine Antwort erhielten wir nicht. Discover-Tech war in der Datenschutzerklärung von Wetter Online bis zum Februar 2025 als einer von damals mehr als 800 Werbe-Partnern gelistet.

Kostbarer Zugang zu Handys weltweit

Üblicherweise hoffen Werbetreibende darauf, dass ihre Anzeigen Menschen etwa zum Shopping oder zum Download einer App animieren. Für solche und andere Werbe-Erfolge haben die Forschenden laut Untersuchung jedoch kaum Hinweise gefunden. Anhand der untersuchten Daten sehen sie deshalb keine belastbaren Belege dafür, dass das Unternehmen mit den Werbeanzeigen Geld verdiene.

Das Mitmischen beim globalen Werbegeschäft verschafft einem Unternehmen wie Discover-Tech jedoch einen kostbaren Zugang zu Handys weltweit – und damit auch zu potenziellen Zielgeräten, die zahlende Kund*innen per Staatstrojaner hacken könnten. Dem Bericht zufolge wurden Werbeanzeigen von Discover-Tech auch auf Geräten angezeigt, die sich in sicherheitsrelevanten Netzwerken weltweit befanden.

„Dazu gehören die Netzwerke verschiedener Verteidigungsministerien, Streitkräfte, nationaler Cyberbehörden, zwischenstaatlicher Organisationen einschließlich der NATO sowie Netzwerke im Zusammenhang mit kritischer Infrastruktur“, heißt es im Bericht. Betroffen seien auch staatliche Stellen von europäischen Länder wie Norwegen, Schweden und Dänemark sowie Israel, Russland und den USA.

Selbst wenn mit den erwähnten Anzeigen keine Infektion einher gegangen sein sollte: Den Forschenden zufolge ermöglichten sie mindestens das Sammeln von Daten, um Profile von Nutzenden zu bilden.

Über weitere technische Beobachtungen konnten die Forschenden zudem eingrenzen, welche Länder anhand der Daten aus Werbeauktionen offenbar besonders ins Visier geraten sind. Gewichtet nach Bevölkerung seien das im genannten Zeitraum vor allem Montenegro, Jemen, Armenien, Lettland und die Seychellen.

Eng vernetzt mit der digitalen Werbeindustrie

Dem Citizen Lab zufolge war Discover-Tech bis vor Kurzem nicht nur mit zahlreichen Akteuren der Überwachungsindustrie eng vernetzt, sondern auch ein etablierter Player der Online-Werbe-Welt.

Eine zentrale Rolle spielte hierbei wohl Google, das unter anderem mit seinem Werbemarktplatz eine wichtige Infrastruktur der Industrie betreibt. Die israelische Firma war bei Google als externer Anbieter (External Vendor) und als Anbieter von Werbetechnologie (Ad Technology Provider) gelistet. Das bedeutet dem Bericht zufolge, dass Discover-Tech Werbung über Googles Ad-Manager-Plattform ausspielen und über Google Daten von App- und Website-Nutzer*innen beziehen konnte.

Nach eigenen Angaben prüft Google Unternehmen, bevor der Konzern sie an die eigenen Systeme anschließt, und bezeichnet die externen Anbieter als „zertifiziert“. Dem Citzen Lab zufolge haben diese Label Discover-Tech nicht nur beim Datenzugang geholfen, sondern auch dabei, sich als legitimes Werbeunternehmen darzustellen. Nachdem die Forschenden Google über ihre Funde informierten hatten, verlor Discover-Tech den Status.

Google habe „Discover-Tech wegen systematischer Verstöße gegen unsere Richtlinien von unseren Werbeplattformen ausgeschlossen“, bestätigt die Pressestelle auf Anfrage.

Auch beim europäischen Dachverband für die digitale Werbebranche IAB Europe hatte Discover-Tech bis vor Kurzem noch einen Status als „zertifizierter“ Anbieter. Die Organisation stellt mit dem „Transparancy and Consent Framework“ den technischen Standard, über den in Europa Einwilligungen von Nutzer*innen zum Werbe-Tracking eingeholt werden. Die Listung bei IAB Europe habe dem Unternehmen geholfen, die eigenen Dienste als kompatibel mit der Datenschutzgrundverordnung zu vermarkten, so der Bericht.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Auf Anfrage bestätigt IAB Europe, Discover-Tech nach einem Audit suspendiert zu haben. Der Verband betont aber auch, er sei „nicht für forensische oder kriminalistische Untersuchungen ausgestattet und habe dazu auch kein Mandat“.

Werbung ausgespielt haben soll Discover-Tech auch über Plattformen anderer Anbieter wie Eskimi aus Litauen und Beeswax, das zum US-Kabel-Konzern Comcast gehört. Ob dabei auch infizierte Werbung verbreitet wurde, konnten die Forschenden nicht prüfen.

Eskimi bestätigt auf Anfrage von netzpolitik.org und BR, dass Discover-Tech seit 2022 an die Werbeplattform des Unternehmens angeschlossen war. Die Aktivität dort habe jedoch nur einen kleinen Umfang von mehreren Hundert US-Dollar gehabt. „Sobald das Verhaltensmuster des Werbetreibenden in seiner Gesamtheit erkennbar war, haben wir alle seine Konten, Nutzer und zugehörigen Domains dauerhaft gesperrt“, schreibt Eskimi-Chef Vytas Paukstys. Die letzte Kampagne von Discover-Tech sei am 6. August beendet worden.

Beeswax äußerte sich auf eine Presseanfrage bisher nicht.

„Es ist desaströs“

Die Enthüllungen des Citizen Lab sind ein weiterer Beleg dafür, dass das Online-Werbe-Ökosystem in seiner aktuellen Form eine Gefahr darstellt – nicht nur für die Privatsphäre aller Internetnutzer*innen, sondern auch für die Sicherheit von Menschen und Staaten. Um zielgenaue Werbung ausspielen zu können, haben private Firmen den wohl größten Überwachungsapparat der Menschheitsgeschichte errichtet. Ihr Geschäftsmodell basiert darauf, das Verhalten von Menschen möglichst umfassend in Datenform zu erfassen und auszuwerten.

Dass diese Daten längst nicht nur für Werbezwecke genutzt werden, zeigen seit 2024 unter anderem Recherchen von netzpolitik.org und dem Bayerischen Rundfunk. Die Databroker Files haben aufgedeckt, wie Datenhändler unter anderem metergenaue Standortdaten verkaufen, die beliebte Smartphone-Apps angeblich nur für Werbung sammeln. Einige Überwachungsfirmen haben sich darauf spezialisiert, diese und weitere Daten aus der Online-Werbeindustrie für staatlichen Kunden aufzubereiten, etwa Geheimdienste und Sicherheitsbehörden.

Der Fachbegriff dafür ist ADINT („Advertising-based Intelligence“), auf Deutsch: werbebasierte Aufklärung. Die neue Untersuchung des Citizen Lab belegt nun, dass sich Online-Werbung nicht nur für passive Überwachung etwa durch Geheimdienste, sondern auch für aktive Angriffe auf Geräte nutzen lässt.

„Es ist desaströs, dass große Firmen und Organisationen in der Online-Werbung offenbar jahrelang nicht in der Lage waren, diese bösartigen Werbeaktivitäten zu verhindern – oder auch nur zu erkennen“, kommentiert Co-Autor Wolfie Christl die Untersuchung. „Aufsichtsbehörden von Cybersicherheit bis Datenschutz und die Politik in Europa, den USA und in anderen Regionen müssen dringend aktiv werden.“

Bereits vor drei Jahren, im November 2023, warnte Christl gemeinsam mit der Irish Civil Liberties Union in einem Bericht vor der unkontrollierten Online-Werbe-Industrie als „Europas versteckter Sicherheitskrise“.

Selbstverteidigung per Ad-Blocker

„Es ist schwierig, wenn nicht fast unmöglich, sich zuverlässig vor bösartigen Werbeanzeigen zu schützen“, schreibt Christl heute. „Unsere Forschung bestätigt einmal mehr: Das Blockieren von Online-Werbung ist für die IT-Sicherheit obligatorisch.“

Um kurzfristig Abhilfe zu schaffen empfiehlt der Bericht insbesondere Sicherheitsbehörden und allen, die für IT-Sicherheit zuständig sind, Online-Werbeanzeigen möglichst zu blockieren. Auf dienstlichen Geräten sollten überall Ad-Blocker und möglichst Tracking-arme Browser installiert sein. Auch gewöhnlichen Nutzer*innen empfehlen die Forschenden Werbe-Blocker im Browser und wenn möglich auch netzwerkseitig.

Auf Anfrage von netzpolitik.org und BR schreibt das Bundesamt für Verfassungsschutz, die „Infektionsmöglichkeit“ durch Online-Werbung ohne weitere Klicks sei bekannt. Weiter schreibt der Inlandsgeheimdienst: „Da die Gefahr in Bezug auf Privatsphäre und Datensicherheit bei jeglicher Nutzung von Online-Diensten gegeben ist, sollte sich nach Auffassung des BfV jedermann mit dem Thema auseinandersetzen und das eigene Nutzungsverhalten (kritisch) reflektieren bzw. dahingehend anpassen.“

Die Forschenden des Citizen Lab fordern allerdings auch politische Lösungen. Demnach müssten Aufsichtsbehörden umgehend Untersuchungen zur AdFection-Problematik einleiten und insbesondere die genannten Firmen ins Visier nehmen. Sie müssten außerdem das digitale Werbe-Ökosystem als Ganzes in den Blick nehmen und bestehende Gesetze durchsetzen, etwa im Bereich Datenschutz.

Wohl auch im Bewusstsein, dass Sicherheitsbehörden AdFection für das eigene Arsenal an Cyber-Waffen interessant finden könnten, fordern die Forschenden eine größtmögliche Ächtung der Angriffsmethode. „Zu diesen Maßnahmen können der Einsatz von Sanktionen (…) gegen Unternehmen gehören, die Spionagesoftware nutzen und Spionage über gezielte Werbung betreiben, sowie gegen die Unternehmen, die dies ermöglichen, und die Personen, die im Bereich von AdFection tätig sind.“

In der Pflicht sehen die Forschenden auch Anbieter für die Infrastruktur der Werbebranche, etwa Google oder IAB Europe. Sie müssten endlich ernst machen gegen den Missbrauch von Online-Werbung. Dazu gehöre ein eigenes Screening von Werbeanzeigen auf gefährliche Inhalte und das Teilen von Daten mit IT-Sicherheitsforscher*innen. Außerdem müssten sie Werbefirmen, die sie als zertifizierte Partner listen, regelmäßig prüfen.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Software von Palantir findet sich bei europäischen Streitkräften, bei Polizeien und im Gesundheitssystem. Aber viele Länder suchen nach Alternativen, sie sorgen sich um Abhängigkeiten, Sicherheit und Demokratie. Ein Recherche-Team hat untersucht, wo der Tech-Konzern in Europa Verträge mit Regierungen hat.

Palantir steht in Europa unter Druck. – Alle Rechte vorbehalten: Rosa Snijders / Follow The Money

„Freiheit, Sicherheit und Wohlstand – in Europa, für Europa und mit Europa.“ Was klingt wie die Losung aus einer Rede zur Lage der EU, ist keine Ansprache einer Spitzenpolitikerin. Es ist Teil einer Antwort des Tech-Riesen Palantir auf eine Presseanfrage eines europäischen Rechercheteams. Mehr Europa hätte wohl schwerlich in einen Satz gepasst.

Doch Palantir ist ein milliardenschwerer US-Konzern mit angeschlagener Reputation, der in Europa unter Druck steht. Immer mehr europäische Regierungen distanzieren sich. Sie sorgen sich um digitale Souveränität und wachsende Abhängigkeit.

„Wir können im digitalen Bereich keine neuen strategischen Abhängigkeiten akzeptieren“, sagte etwa der französische Premierminister Sébastien Lecornu im Juni und kündigte statt einer weiteren Palantir-Kooperation die Entwicklung eigener Systeme mit der inländischen Firma Chapsvision an.

Die europäischen Länder haben Angst um sensibles internes Organisationswissen und die Sicherheit der unzähligen Daten, die von Palantir-Systemen verarbeitet werden. Es sei nicht vorstellbar, „Industriemitarbeiter auf den nationalen Datenbestand zuzulassen“, sagte Bundeswehr-Vizeadmiral Thomas Daum gegenüber dem Handelsblatt. Denn bei der NATO, die Palantirs System Maven nutzt, würden Mitarbeitende des Unternehmens das System bedienen und warten. Auch bei deutschen Polizeien wie in Hessen stehen laut einem Dokumentarfilm Schreibtische für Palantir-Mitarbeiter.

Zugleich wächst der Druck aus der Zivilgesellschaft, sich klar von Palantir zu distanzieren. In Großbritannien protestierten Menschen gegen alte und neu geplante Verträge mit dem Milliarden-Konzern wegen menschenrechtlicher Bedenken, die Palantir immer wieder zurückweist. In Berlin demonstrierten Menschen gegen eine Preisverleihung, bei der Palantir-Mitgründer Peter Thiel den Axel Springer Award verliehen bekam.

Das Unternehmen wehrt sich immer wieder gegen Vorwürfe. „Technologische Souveränität sollte letztlich daran gemessen werden, wer die Kontrolle über die Daten, die Entscheidungen und den Auftrag hat – und nicht lediglich an der Nationalität des Softwareanbieters“, schreibt Palantir auf Anfrage des Rechercheteams und betont, was es schon alles für Europa getan habe. „Seit 2011 arbeitet Palantir mit den demokratisch gewählten Regierungen und Institutionen Europas zusammen, um die Kapazitäten von Krankenhäusern zu erhöhen, Krebsdiagnosen zu beschleunigen, Flüchtlinge sicher umzusiedeln, die Organisierte Kriminalität zu bekämpfen, Opfer häuslicher Gewalt zu schützen und schneller auf Überschwemmungen und andere Notfälle zu reagieren.“

Die länderübergreifende Recherche-Kooperation+

Diese Recherche ist Teil einer Kooperation mit Medien aus Europa und Israel unter der Leitung der Investigativplattform Follow the Money (Niederlande), gemeinsam mit den internationalen Partnern Der Standard (Österreich), De Tijd (Belgien), Børsen (Dänemark), Delfi Meedia (Estland), Helsingin Sanomat (Finnland), Télérama (Frankreich), netzpolitik.org (Deutschland), Inside Story (Griechenland), Haaretz (Israel), Domani (Italien), Siena (Litauen), Morgenbladet (Norwegen), Frontstory.pl (Polen), El País (Spanien), Dagens ETC (Schweden), Republik (Schweiz), WAV Recherchekollektiv (Schweiz), The Nerve (Vereinigtes Königreich). Die Recherche in Deutschland wurde von paper trail media unterstützt.

Aber wo in Europa nutzen Regierungen derzeit noch Palantirs Software und wofür? Und wo wenden sie sich von dem US-Konzern ab? Diese Fragen haben Journalist:innen in ganz Europa mehrere Monate lang recherchiert.

Palantir im Gesundheitssystem

Nach den Recherchen ist Großbritannien der mit Abstand größte europäische Kunde von Palantir. Dort bekam das Unternehmen millionenschwere Aufträge für das britische Gesundheitssystem NHS. Das britische Medium The Nerve erfuhr durch Informationsfreiheitsanfragen an NHS und das Gesundheitsministerium, dass bis März 2026 etwa 198,4 Millionen Pfund (umgerechnet 235 Millionen Euro) für eine neue Datenplattform an Palantir flossen. Dazu kamen 69 Millionen Pfund (82 Millionen Euro) für andere NHS-Projekte zwischen 2020 und 2024 sowie fast zwei Millionen Pfund (über zwei Millionen Euro) beim Gesundheitsministerium zwischen 2020 und 2022.

Für die erstgenannte Datenplattform sind weitere Ausgaben vorgesehen. So könnten die Gesamtausgaben im Gesundheitswesen für Palantir seit 2020 auf über 401 Millionen Pfund (475 Millionen Euro) steigen, schreibt The Nerve. Dazu kommen weitere Ministerien. Zuletzt erhielt der US-Konzern im Dezember 2025 einen 240 Millionen Pfund (284 Millionen Euro) schweren dreijährigen Auftrag vom britischen Verteidigungsministerium. Mehr als eine Milliarde Euro kommen so durch aktuelle oder vergangene Verträge über verschiedene Bereiche im Vereinigten Königreich hinweg für das US-Unternehmen zusammen.

Auch die britische Regierung bestätigte im Frühjahr, dass sie zu prüfen plane, ob die NHS-Verträge nach Ablauf einer Ausstiegsklausel im Februar 2027 weiterlaufen sollen, obwohl die Millionensummen bereits geflossen sind. Denn auch im Vereinigten Königreich wird die Zusammenarbeit mit Palantir zunehmend kritisch betrachtet.

Das Unterhaus des Parlaments beauftragte eine Prüfung der Ausgaben, der Verwaltung und der Politik des Ministeriums für Wissenschaft, Innovation und Technologie. Der daraufhin erschienene Bericht des Science, Innovation and Technology Committee vom 3. Juni 2026 widmet sich insbesondere der problematischen Abhängigkeit von Palantir.

Von den Technologieanbietern im britischen öffentlichen Sektor bereite der US-Konzern „die größten Sorgen“. Er unterstütze in den USA „höchst umstrittene Politiken und Maßnahmen“. Der Bericht weist auch darauf hin, dass sich einer der Mitgründer von Palantir – Peter Thiel – „gegen das Konzept einer nationalen Gesundheitsversorgung ausgesprochen“ hätte. Der Konzern zeige eine „klare Diskrepanz zu den Werten des Vereinigten Königreichs“. Daher empfiehlt der Bericht, Palantir solle künftig „keine so wichtige Rolle im öffentlichen Sektor des Vereinigten Königreichs spielen“.

In Deutschland war Palantir im Gesundheitsministerium hingegen offenbar nie ein Thema. Auf eine Presseanfrage von netzpolitik.org aus dem Frühsommer antwortete das deutsche Gesundheitsministerium mehrfach schlicht mit „Nein“ auf Fragen nach aktueller oder vergangener Nutzung sowie nach Lobbygesprächen mit dem Unternehmen. Auf die Frage nach dem Warum heißt es ebenso knapp: „Kein Bedarf.“

–––

Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Das geht nur mit deiner Unterstützung.

–––

Palantir in den Ländern

Auch bei den meisten anderen Ministerien in Deutschland: Fehlanzeige. Das Bundeskanzleramt hingegen schrieb, aus „Sicherheitsgründen“ gebe man „grundsätzlich keine Informationen zur IT-Infrastruktur“ bekannt. In seiner Zuständigkeit liegt unter anderem der deutsche Auslandsgeheimdienst BND. Der verweigerte ebenso, eine aktuelle oder künftige Nutzung von Palantir zu bestätigen oder zu dementieren – ebenso wie der Bundesverfassungsschutz und der Militärgeheimdienst MAD.

(function(){function e(){window.addEventListener(`message`,function(e){if(e.data[`datawrapper-height`]!==void 0){var t=document.querySelectorAll(`iframe`);for(var n in e.data[`datawrapper-height`])for(var r=0,i;i=t[r];r++)if(i.contentWindow===e.source){var a=e.data[`datawrapper-height`][n]+`px`;i.style.height=a}}})}e()})();

Das Bundesinnenministerium verwies hingegen auf den Rahmenvertrag, den das Bundesland Bayern mit Palantir hat. „Aus dem geschlossenen Mantelrahmenvertrag sind die Länder und der Bund im Rahmen des Programms P20 selbstständig abrufberechtigt“, schreibt ein Sprecher des BMI. Aber: „Weder das Bundesministerium des Innern, das Bundeskriminalamt noch die Bundespolizei nutzen oder nutzten in der Vergangenheit Produkte oder Dienstleistungen von Palantir Technologies Inc. oder eines seiner Tochterunternehmen.“

P20 ist ein Großprojekt, das die IT-Infrastruktur der deutschen Polizeien harmonisieren soll. Dabei sollen die Polizeien auch auf gemeinsame Verfahren zugreifen können, etwa zur Datenanalyse. Von wem letztlich ein solches Verfahren kommt, wenn das Projekt fertig ist, steht noch nicht fest.

Währenddessen nutzen einige Länderpolizeien Palantir-Software bereits: Bayern, Baden-Württemberg, Hessen und Nordrhein-Westfalen haben Verträge mit Palantir. Aus Zahlen, die die Länder offenlegen, wird deutlich, dass für ihre Palantir-Nutzung während der Vertragslaufzeiten Kosten von mehr als 95 Millionen Euro anfallen. Wobei wohl nicht der gesamte Betrag an die deutsche Tochter von Palantir fließt, die Beträge können auch Ausgaben für Hardware oder Betriebskosten enthalten.

Auf der Suche nach Alternativen

Bayern etwa gab auf Anfrage von paper trail media im April Lizenz- und Implementierungskosten von 22,2 Millionen Euro an, ein Gutachten des Fraunhofer-Instituts für Sichere Informationstechnologie für 430.000 Euro, dazu Wartung, Betrieb und Sonstiges für rund eine weitere halbe Million Euro. Sogenannte Quellanbindungen haben in Bayern mehr als zwei Millionen Euro gekostet. Damit ist gemeint, Datenquellen der Polizei in die Systeme einzubinden. „Als Quelldaten dienen hier ausschließlich eigene polizeiliche Datenbestände“, so das Bayerische Innenministerium. „Die Einbeziehung von Daten anderer Behörden (z. B. von Gesundheitsbehörden) oder Quellen erfolgt nicht und ist auch nicht geplant.“

Die Kosten für das System, das in Bayern „VeRA“ heißt, kommen so insgesamt auf 25.315.935 Euro. Im April 2027 endet eigentlich die Vertragslaufzeit. Doch Bayern will das Geschäftsverhältnis mindestens um ein weiteres Jahr verlängern.

Ein paar Bedenken bringt das dortige Innenministerium aber vor: „Bayern verfolgt das Ziel, langfristig digital unabhängiger und souveräner zu werden“, schreibt es auf Anfrage von netzpolitik.org. Daher beobachte man „die aktuellen Marktentwicklungen intensiv“ und begleite „aktiv die Bestrebungen auf Bundes- und Länderebene im Hinblick auf deutsche oder europäische Alternativen“. Aber man könne auch nicht „auf die wertvollen Analysefähigkeiten verzichten, die VeRA bietet“.

Eine Verlängerung um ein Jahr, so Bayern, sei vertraglich vier Mal möglich. Wie viel das kosten wird, ist derzeit noch unklar: „Die Bayerische Polizei befindet sich hierzu derzeit in Gesprächen mit der Firma Palantir. Zu den möglichen Kosten einer Vertragsverlängerung können wir daher zum jetzigen Zeitpunkt noch keine Auskunft geben.“

Ein schwieriger Übergang

Ebenfalls um ein Jahr verlängert wird Palantirs Vertrag mit Nordrhein-Westfalen, der in diesem Oktober ausläuft. Seit 2019 gab das Land für sein System zur „Datenbankübergreifenden Analyse und Recherche“, kurz DAR, mehr als 47 Millionen Euro aus. „Die Gesamtkosten des DAR-Projekts für den Zeitraum von 2019 bis 2025 betrugen 39 Millionen Euro“, hieß es aus dem Land im April. „Darüber hinaus sind bereits im Kontext der Implementation Kosten in Höhe von rund 8 Millionen Euro, beispielsweise für die Beschaffung von Hardware, Beratungs- und Dienstleistungen, Nutzungsgebühren, angefallen.“

Um einen Nachfolger für das DAR-Projekt zu finden, schrieb das Land im April dieses Jahres die Software neu aus. Der Nachfolger, so wird aus der Ausschreibung deutlich, soll mehr tun als nur Daten zusammenführen. Mit dem erneuerten NRW-Polizeigesetz „entfällt das Verbot des Einsatzes künstlicher Intelligenz und Möglichkeiten des Dataminings werden eröffnet“, heißt es in der Beschreibung. „Die zu beschaffende Lösung soll das entstehende Potenzial bedienen und die Möglichkeiten des Einsatzes künstlicher Intelligenz, insbesondere in Form der Nutzerunterstützung, der Effizienzsteigerung und bei der Erstellung von nicht personenbezogenen Analysen für die Polizei NRW eröffnen.“ Dazu dürfen auch gespeicherte echte Daten von Menschen schon für das Training der „KI“ verwendet werden.

Wer den Zuschlag für das Projekt bekommt, ist bisher nicht bekannt. Mit dem Ende des Vergabeverfahrens sei im Oktober zu rechnen. Auf eine Nachfrage von netzpolitik.org hat das dortige Innenministerium nicht geantwortet.

Aus Baden-Württemberg heißt es, für den mit Palantir unterzeichneten Vertrag aus dem März 2025 beliefen sich die Lizenzkosten für eine Laufzeit von fünf Jahren auf 25 Millionen Euro. Bislang ist die Software zur automatisierten Datenanalyse jedoch wegen nötiger Vorarbeiten noch nicht im Einsatz. Gleichwohl sucht die grün-schwarze Landesregierung schon nach einer Alternative. „Kurzfristig soll zeitnah die Software von Palantir eingesetzt werden – und zwar als Übergangslösung für einen begrenzten Zeitraum“, hieß es im April aus dem dortigen CDU-geführten Innenministerium.

Nach dieser Übergangszeit habe der damalige Innenminister Thomas Strobl eine Kooperation für eine europäische Software auf den Weg gebracht. „Diese soll den Sicherheitsbehörden die notwendigen technischen Fähigkeiten zur Recherche und Analyse großer Mengen polizeilicher Daten langfristig und unabhängig gewährleisten.“ Am Projekt sind die Airbus Defence and Space GmbH und die Digitalsparte der Schwarz-Gruppe beteiligt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Der neue grüne Ministerpräsident Cem Özdemir versprach gegenüber dem Handelsblatt schon im Wahlkampf im Dezember 2025, sich von Palantir lösen zu wollen: Die Software würde er „so schnell wie möglich durch eine europäische Alternative ersetzen“. Auch die mitregierende CDU will weg vom US-Riesen. Man wolle „zunehmende europäische Eigenständigkeit“, sagte eine Sprecherin der CDU Baden-Württemberg im Juni 2026 gegenüber netzpolitik.org: „Darum streben wir gerade hier digitale Souveränität an und setzen uns weiterhin aktiv und intensiv dafür ein, dass spätestens bis zum Jahr 2030 eine europäische Alternative zu Palantir bereitgestellt wird.“

Das Bundesland Hessen beschaffte schon im Jahr 2017 eine Software des damals noch wenig bekannten Unternehmens. Wie schon zuvor gibt es keinerlei Auskunft darüber, welche Kosten für das dortige Palantir-System Hessendata angefallen sind. Das sei „zur Erfüllung bundesgesetzlicher Pflichten zur Einhaltung des vergaberechtlich erforderlichen Geheimwettbewerbes und zum Schutze der Betriebs- und Geschäftsgeheimnisse“ ausgeschlossen.

Doch während in Deutschland Verträge auslaufen und die Länder nach Alternativen suchen, hat Palantir anderswo Erfolg, besonders wenn es um Streitkräfte geht. In acht der elf europäischen Länder, in denen das Recherche-Team Palantir-Verträge auf nationaler Ebene fand, gibt es Geschäftsbeziehungen mit Streitkräften oder Verteidigungsministerien: Dänemark, Finnland, Italien, Niederlande, Ukraine, Spanien, Schweden und Großbritannien.

(function(){function e(){window.addEventListener(`message`,function(e){if(e.data[`datawrapper-height`]!==void 0){var t=document.querySelectorAll(`iframe`);for(var n in e.data[`datawrapper-height`])for(var r=0,i;i=t[r];r++)if(i.contentWindow===e.source){var a=e.data[`datawrapper-height`][n]+`px`;i.style.height=a}}})}e()})();

In weiteren drei Ländern gibt es Diskussionen darüber, Software des US-Konzerns für militärische Zwecke zu kaufen, etwa in Norwegen, das über das Palantir-System Maven diskutiert. Oder in Polen, wo das Verteidigungsministerium im Oktober 2025 eine Absichtserklärung für eine Partnerschaft mit Palantir unterzeichnete.

(Fast) keine militärische Nutzung in Deutschland

Andere Länder wie Deutschland und Belgien nutzen keine Palantir-Produkte für ihre nationalen Armeen. In der Schweiz prüften Armee und Bundesamt für Rüstung Palantir-Produkte gleich mehrfach, wie Republik und WAV herausfanden. Und entschieden sich immer wieder gegen das Unternehmen.

Bundeswehr-Vizeadmiral Thomas Daum erteilte dem Anbieter im Interview mit dem Handelsblatt eine Absage. Aber ganz kommen sie um den Anbieter doch nicht herum – wenn sie in der NATO agieren. Die kaufte 2025 „Maven Smart System“ ein. Das System soll militärische Entscheidungen unterstützen, Datenquellen zusammenführen und mögliche Ziele identifizieren.

Tech-Expertin Francesca Bria kritisiert gegenüber Follow The Money, wie Palantir in immer mehr wichtige Systeme einsickert. Die Wirtschafts- und Sozialwissenschaftlerin setzt sich unter anderem im Rahmen des Projekts EuroStack für mehr digitale Souveränität ein. Eine Abhängigkeit von Palantir in kritischen Infrastrukturen berührt laut Bria eine fundamentale Frage: „Es ist kein gewöhnliches Unternehmen.“ Palantir-CEO Alex Karp selbst sagt, dass Palantir die Interessen des US-Militärs über alles andere stellt. Ein Unternehmen, das so eng mit der US-Regierung und deren Ziel der amerikanischen Vorherrschaft verflochten ist, sei ein entscheidender Bestandteil der Infrastruktur einer neuen Art von Macht – einer Macht, die auf Technologie und Abhängigkeit basiert. „Europa hat seine sensibelsten Systeme einem Unternehmen anvertraut, das die Interessen Europas niemals an erste Stelle setzen wird“, so Bria.

Es sei gefährlich, so Bria, dass Palantirs Software „tief in das Gefüge unserer Gesellschaft eingebettet ist“ und die Daten von Millionen Europäern verarbeite. Die Software selbst sei nicht transparent: „Nicht einmal gegenüber europäischen Regierungen. Das macht eine demokratische Kontrolle unmöglich. So sollten kritische öffentliche Systeme nicht funktionieren.“

„Jeder könnte ein potenzieller Kunde sein“

Palantir sieht das anders. Der Konzern schreibt auf Anfrage des Recherche-Teams: „Zu unseren europäischen Kunden zählen einige der anspruchsvollsten, sicherheitsbewusstesten und skeptischsten Institutionen der Welt. Sie entscheiden sich für Palantir, weil unsere Software funktioniert – und weil sie dabei die Kontrolle behalten.“ Außerdem, so Palantir, befänden sich mittlerweile mehr als 20 Prozent der Angestellten des Unternehmens in Europa. Dort hat der Konzern in vielen Ländern eigene Niederlassungen und Tochterunternehmen.

In Deutschland ist das die Palantir Technologies GmbH in München. Zu den Zielen des Unternehmens gehört es laut Jahresabschluss für 2024, „die Stärke und den guten Ruf der Palantir-Softwareplattformen weiter zu nutzen, um die Kundenbeziehungen sowohl im kommerziellen als auch im staatlichen Bereich zu erweitern und zu vertiefen“. Denn: „Langfristig sind wir davon überzeugt, dass jedes große Unternehmen und jede staatliche Organisation in Deutschland ein potenzieller Kunde sein könnte.“ Doch all die bisherigen staatlichen Kunden in Deutschland sind aktiv auf der Suche nach einem neuen Partner.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Europäische Datenschutzbehörden haben erste Leitlinien zu den neuen Überwachungsbrillen veröffentlicht. Sie sehen die Geräte als Bedrohung für die Privatsphäre und fordern insbesondere eine stärkere Kennzeichnung der Geräte, wenn diese filmen und aufnehmen.

Überwachungsbrillen wie die von Meta sehen mittlerweile recht normal aus, aber haben eine hochauflösende Kamera und gute Mikrofone verbaut. – Alle Rechte vorbehalten: IMAGO / MiS

Der Europäische Datenschutzausschuss (EDPB), in dem die Datenschutzbehörden der EU-Mitgliedsländer organisiert sind, warnt in einer Stellungnahme vor Überwachungsbrillen (Smart Glasses). Die Geräte würden „erhebliche Fragen zum Schutz der personenbezogenen Daten sowie der Rechte und Freiheiten des Einzelnen“ aufwerfen.

Kern der Kritik der Datenschutzbehörden ist, dass die Geräte aussehen würden wie gewöhnliche Brillen, aber Kameras und Mikrofone enthielten und mit dem Internet verbunden seien, so die EDPB-Vorsitzende Anu Talus. „Dies wirft ernsthafte Bedenken hinsichtlich der Privatsphäre auf, da Einzelpersonen ohne ihr Wissen aufgezeichnet werden können.“

Sorge bereitet den Datenschützer:innen vor allem die Nutzung der Überwachungsbrillen in sensiblen Umgebungen wie Krankenhäusern, Schulen und an Arbeitsplätzen. Die Risiken würden noch größer, wenn die Aufzeichnungen in sozialen Netzwerken genutzt würden.

Klare Kennzeichnung gefordert

Eine der wichtigsten Herausforderungen der Geräte sei die Transparenz. So können Unbeteiligte womöglich nicht unmittelbar erkennen, dass es sich um ein Gerät handelt, das Ton- und Bildaufnahmen macht und mit dem Netz verbunden ist. „Aufgrund ihrer unauffälligen Erscheinungsform und Verwendung ist es möglich, dass Umstehenden nicht bewusst ist, dass ihre personenbezogenen Daten verarbeitet werden“ – und auch nicht von wem und zu welchen Zwecken, heißt es in der Mitteilung.

EDPB-Vorsitzende Anu Talus fordert deswegen eine klare Kennzeichnung:

Intelligente Brillen sollten ihre Aufnahme deutlich machen – beispielsweise mit hellen LED-Leuchten, Audiosignalen oder Sprachaktivierungshinweisen, datenschutzfreundlichen Smartphone-Benachrichtigungen oder einzigartigen Designs. Diese Warnungen müssen zuverlässig, schwer zu ignorieren und immer auf dem neuesten Stand sein. Auch im öffentlichen Raum sollten Umstehende klar verstehen, dass jemand sie filmt oder fotografiert. Denn wenn es um die Privatsphäre geht, verdienen die Menschen klare Warnungen und keine versteckten Überraschungen.

Die erste Erklärung des Gremium zu den Brillen (PDF) soll Nutzer:innen, Herstellern und Diensteanbietern vorläufige Leitlinien an die Hand geben und gleichzeitig das Bewusstsein für die Risiken dieser Produkte schärfen.

„Schere im Kopf“ durch Überwachungsbrillen

In dieser Erklärung geht der Datenschutzausschuss noch tiefer auf die Bedrohungen für die Privatsphäre ein. So warnen die Datenschützer:innen etwa vor einer Art „Schere im Kopf“, die selbst klar gekennzeichnete Brillen auslösen könnten. „Dies könnte auch zu einem subtilen sozialen Effekt führen, bei dem Einzelpersonen ihr Verhalten ändern, Spontaneität unterdrücken und sich an soziale Normen anpassen, die aufgrund der wahrgenommenen Gefahr einer unkontrollierten Überwachung als gesellschaftlich akzeptabler angesehen werden“, heißt es im Leitfaden.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Die Datenschützer.innen warnen auch vor möglicherweise hoch entwickelten Mikrofonen, die Hintergrundgespräche aufzeichnen könnten, an denen der Nutzer der Brille nicht beteiligt ist. Weiter heißt es: „Zudem wirft ihre mögliche Nutzung in Verbindung mit Gesichts- oder Stimmerkennungssystemen beispiellose Fragen hinsichtlich gesellschaftlicher Entscheidungen auf und stellt ein hohes Risiko für die Rechte und Freiheiten im öffentlichen Raum dar.“

Verbote an bestimmten Orten

Als besonders gefährdete Orte bei der Nutzung nennt der Leitfaden medizinische Einrichtungen, Schulen und andere Orten, an denen Minderjährige anwesend sind, außerdem Umkleideräume, Schwimmbäder oder Strände, auf Toiletten oder in anderen privaten oder intimen Situationen. Auch am Arbeitsplatz könnten solche Brillen zu Problemen führen, wenn sich etwa Mitarbeitende überwacht fühlen oder Geschäftsgeheimnisse bedroht sind. In manchen der genannten Situationen seien solche Aufnahmen unpassend, in anderen sogar verboten, weist der Bericht auf bestehende Gesetze und mögliche Lücken hin.

Thema des Berichts ist auch die Auswertung der Aufnahmen durch so genannte KI-Systeme. Hierbei sei dann nicht nur der Nutzer datenschutzrechtlich verantwortlich, sondern auch der Hersteller der Brille. Dies sei „insbesondere dann der Fall, wenn der Anbieter der KI-Funktionen von Smartbrillen personenbezogene Daten verarbeitet, um dem Nutzer Informationen über seine Umgebung zu liefern, beispielsweise durch die Analyse eines Bildes aus dem Kamerasignal der Brille, auf dem andere Personen zu sehen sind.“

Maßnahmen zur Erkennbarkeit der Brillen

Der Europäische Datenschutzausschuss fordert eine sehr deutliche Kennzeichnung der Brillen, wenn diese aufnehmen. Dabei bringt das Gremium verschiedene Methoden ins Spiel, die im Bericht vorgestellt werden:

• Visuelle oder LED-Anzeigen, die „unter vielen Lichtverhältnissen sichtbar und ausreichend auffällig sein“ müssten, um die Aufmerksamkeit von Personen im Erfassungsbereich auf sich zu ziehen. Diese Signale sollten lange genug aktiviert sein, damit umstehende Personen verstehen können, dass die Smartbrille etwa Bilder oder Videos aufzeichnet, die von einem KI-Assistenten verarbeitet werden.
• Akustische Signale – Hierunter versteht der EDPB akustische Signale wie Kameraverschlussgeräusche oder eine Sprachaktivierung, bei der die Nutzer:innen der Brille einen lauten Befehl aussprechen müssen.
• Smartphone-basierte Benachrichtigungen – Hier verweisen die Datenschützer:innen auf mobile Anwendungen, die erkennen, wenn Smartbrillen in der Nähe sind. Dies lässt sich mittels Bluetooth-Kennungen umsetzen, die den jeweiligen Herstellern zugeordnet sind. Hierzu schlägt EDPB vor, dass die Brillen gesonderte Signale senden sollen, wenn sie aufnehmen. Solche Benachrichtigungen sollten jedoch nur ein Teil der Warnung sein, zudem dürfe dabei keine Nachverfolgbarkeit entstehen.
• Gestaltung der Smartbrille – Neben ausdrücklichen Hinweisen auf laufende Aufnahmen könnten die Hersteller solcher Brillen bereits im Design weitere Anhaltspunkte verankern. Dies sollte Nicht-Nutzer:innen helfen, Smartbrillen von gewöhnlichen Brillen zu unterscheiden.

Der Datenschutzausschuss sieht die jetzigen Leitlinien als ersten Aufschlag und kündigt an, die durch Smartbrillen aufgeworfenen Datenschutzbedenken weiter zu analysieren und zu bearbeiten.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Im Rechtsstreit zwischen Finanzfluss und Meta hat das Landgericht Frankfurt geurteilt: Der Social-Media-Konzern steht in der Verantwortung für betrügerische Anzeigen. Im Interview erklärt Finanzfluss-Gründer Thomas Kehl, warum er geklagt hat und was das Urteil bedeutet.

Betrüger:innen schalteten auf den Social-Media-Plattformen Instagram und Facebook Scam-Werbung – Gemeinfrei-ähnlich freigegeben durch unsplash.com: dole777

Finanzfluss versteht sich als Bildungs- & Informationsplattform zum Thema Finanzen. Mit aktuell 1,65 Millionen Abonnent:innen zählt ihr YouTube-Kanal zu den größten dieser Art im deutschsprachigen Raum. Seit zehn Jahren ist Finanzfluss auf verschiedenen Social-Media-Plattformen aktiv und bietet neben Verbraucherratgebern, Testberichten und Einschätzungen auch verschiedene Werkzeuge wie etwa Zins- oder Vergleichsrechner an.

Ab 2024 tauchten auf Instagram und Facebook immer wieder Anzeigen auf, die Finanzfluss durch Name, Logo oder Bild imitierten. Mit Versprechen wie exklusiven Anlagetipps wurden Nutzer:innen in private Chatgruppen gelockt, wo vermeintliche Investments angeboten wurden. Finanzfluss meldete mehr als tausend Anzeigen von über 300 Accounts – es dauerte teils bis zu zwei Monate bis zur Löschung. Und sie sind nicht allein mit dem Problem: Interne Schätzungen von Meta gingen davon aus, dass 2024 rund zehn Prozent der Einnahmen aus betrügerischer Werbung stammten.

Ein außergerichtlicher Austausch von Finanzfluss und Meta blieb ergebnislos. Daraufhin reichten das hinter Finanzfluss stehende Unternehmen Finflow GmbH gemeinsam mit dem Geschäftsführer und Gründer Thomas Kehl im Sommer 2025 Klage ein. Das Landgericht Frankfurt hat dieser mit dem Urteil vom 16. September stattgegeben.

„Sie nutzen das Vertrauen, das die Leute in unsere Arbeit haben“

netzpolitik.org: Was war genau der Inhalt eurer Klage?

Thomas Kehl: Es ging um betrügerische Anzeigen. Wir haben Meta zur Unterlassung aufgefordert und wollten ein Auskunftsrecht geltend machen. So wollten wir erfahren, wie und in welchem Umfang diese Werbung verbreitet wurde und wie viel Geld Meta damit verdient hat. Auf der Grundlage fordern wir Schadensersatz.

netzpolitik.org: Was ist die Betrugsmasche?

Thomas Kehl: Die Betrügenden erstellen Scam-Anzeigen mit meinem Bild oder mit Bezug zu Finanzfluss. Sie verwenden etwa unsere YouTube-Thumbnails. Sie nutzen das Vertrauen, das die Leute in unsere Arbeit haben. Die Scammer bauen über Wochen sukzessive Accounts auf und fördern die Reichweite der Accounts durch große Werbebudgets. Dadurch gehen an einem einzigen Tag massenhaft Anzeigen live. Diese zielen auf unsere Finanzfluss-Community. Wer dahintersteckt, lässt sich von außen kaum nachvollziehen. Soweit wir es sehen können, handelt es sich oft um Briefkastenfirmen im asiatischen Raum.

netzpolitik.org: Wie habt ihr von dem Betrug erfahren?

Thomas Kehl: Internetaffine Mitglieder unserer Community haben es gemerkt und uns gemeldet. Wir haben auch mit zwei Betroffenen gesprochen, die tatsächlich Geld verloren haben. Beide sprechen Deutsch nicht als Muttersprache. Dadurch war die Betrugsmasche für sie noch schwerer zu durchschauen.

„Die Meldefunktion war gefühlt zwecklos“

netzpolitik.org: Wie seid ihr mit Meta umgegangen?

Thomas Kehl: Wir haben jede Anzeige über die Meldefunktion gemeldet. Das war gefühlt zwecklos. Meta hat uns ein sogenanntes Brand Protection Tool zur Verfügung gestellt, das überhaupt nicht protected. Manche Anzeigen wurden erst viele Tage nach der Meldung entfernt. In der Zwischenzeit fallen sehr viele Leute auf die Masche rein.

Teilweise wurden unsere Beschwerden auch abgelehnt und die Anzeigen verschwanden erst später.

–––

Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Das geht nur mit deiner Unterstützung.

–––

netzpolitik.org: Wie war euer Umgang mit den Betroffenen?

Thomas Kehl: Wir haben jedem Betroffenen, der uns angeschrieben hat, empfohlen, Strafanzeige zu erstatten.

netzpolitik.org: Wie hoch sind die Schäden bei den Betroffe­nen?

Thomas Kehl: Wir haben mit einer Person gesprochen, die rund 50.000 Euro verloren hat. In der Summe lässt sich der Schaden nicht beziffern, die Dunkelziffer ist groß. Viele schämen sich, weil sie sich selbst für „so dumm“ halten, darauf hereingefallen zu sein. Ich würde das niemandem vorwerfen. Es ist nämlich nicht mehr diese plumpe Masche von früher. Heute wird das mit KI-generierten Videos und gefälschten Chats sehr professionell gemacht.

netzpolitik.org: Was war die Haltung der Geschädigten, als sie euch kontaktiert haben? Wie seid ihr damit umgegangen?

Thomas Kehl: Die Person, die 50.000 Euro verloren hat, hat mich auf LinkedIn angeschrieben, nachvollziehbarerweise ziemlich wütend. Sinngemäß: Wegen deiner Aktientipps bin ich ruiniert, wir müssen sprechen. Ich habe geantwortet: Das tut mir sehr leid, aber wir geben grundsätzlich keine Aktientipps. Danach schickte er mir Screenshots von WhatsApp-Chats mit „Thomas Kehl“. Da war schnell klar, dass Leute mich imitiert haben.

netzpolitik.org: Wie kann man wissen, wann es sich um Fake-Anzeigen oder ‑Profile handelt?

Thomas Kehl: Wir haben eine klare Regel für unsere Community: Wir schalten keine Werbung. Wenn irgendwo „Finanzfluss“-Werbung auftaucht, geschieht das ohne unsere Zustimmung und ist Betrug. Außerdem achten wir darauf, auf den Plattformen verifiziert zu sein. Wir würden sehr gern einen WhatsApp-Channel starten, aber Meta verifiziert uns dort nicht. Deshalb lassen wir es.

Die Scammer locken Menschen auf WhatsApp und dort findet der Betrug statt. Ohne ein klares Unterscheidungsmerkmal wie eine Verifizierung können wir dort nicht neben den Scammern existieren.

Gesellschaftlicher Schaden wiegt schwer

netzpolitik.org: Habt ihr gemerkt, ob die Aktionen geschäftsschädigend für euch wirken?

Thomas Kehl: Natürlich schadet es uns, wenn massenhaft Werbung auftaucht, die auf unserem Vertrauen aufbaut und dieses missbraucht. Das geht allen prominenten Personen so, denen so etwas passiert. Gerade im Finanzbereich geschieht das vielen, auch Journalisten oder Influencern. Eckart von Hirschhausens Autorität als Arzt wurde beispielsweise genutzt, um unseriöse Pillen zu verkaufen. Ich würde aber sagen, dass der gesellschaftliche Schaden höher ist als unser Schaden als Firma. Nichtsdestotrotz sind beides Gründe, dagegen vorzugehen.

Den Betroffenen aus unserem konkreten Fall haben wir unterstützt, so gut wir konnten. Er hat das auch verstanden und bereitwillig in unserem Video mitgewirkt, um über den Fall aufzuklären.

netzpolitik.org: Was wolltet ihr mit der Klage erreichen?

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Unterstütze auch du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus. Spende jetzt..

–––

Thomas Kehl: Wir haben uns zunächst aus zwei Gründen nur auf die Werbung konzentriert. Erstens hat sie eine viel größere Reichweite. Fake-Profile, die unsere Posts klauen, gibt es auch, aber gegen die kann man effizient vorgehen und sie haben kaum Reichweite. Zweitens verdient Meta mit der Werbung Geld. Deshalb lässt sich gut argumentieren, dass Meta auch dafür verantwortlich ist, welche Werbung sie verteilen. Meta sagt, das seien nicht ihre Inhalte und sie seien dafür nicht verantwortlich. Diesen Zahn hat das Gericht glücklicherweise gezogen: Meta hat die Anzeigen algorithmisch verteilt, und das genügt.

Andere sollen sich auf das Urteil berufen können

netzpolitik.org: Was bedeutet das Urteil jetzt weitergehend für Finanzfluss?

Thomas Kehl: Das Urteil ist noch nicht rechtskräftig. Meta hat einen Monat Zeit, Berufung einzulegen. Und davon ist auszugehen. Die nächste Instanz wäre das Oberlandesgericht Frankfurt. Darauf könnte der Bundesgerichtshof folgen. Wird das Urteil rechtskräftig, haftet Meta direkt für jede Anzeige mit meinem Bild oder mit Bezug zu Finanzfluss.

Bisher gilt der Notice-and-Take-Down-Mechanismus: Wir müssen jede Rechtsverletzung melden, und erst dann ist die Plattform verpflichtet, ihr nachzugehen. Das würde sich dann ändern. Wir könnten direkt auf Meta zugehen und sagen: Ihr habt hier eine Rechtsverletzung verursacht. Für jeden Verstoß gegen das Unterlassungsurteil könnten wir ein Ordnungsgeld von bis zu 250.000 Euro beantragen, das an die Staatskasse geht. Dazu kommt unser Schadensersatzanspruch.

Er bemisst sich an der Auskunft, die wir bekommen: wie oft die Anzeigen ausgespielt wurden und wie viel Geld Meta damit verdient hat. Dieses Geld steht Meta nicht zu, weil es mit rechtsverletzenden Inhalten verdient wurde. Wir sind die Inhaber der verwendeten Bilder. Uns ist klar, dass wir dieses Geld spenden würden, vermutlich für Verbraucherschutz. Wir wollen keinen Nutzen aus Betrug ziehen, so wie Meta das bisher gehandhabt hat.

netzpolitik.org: Wie schätzt ihr die weitergehende Bedeutung des Falles ein? Was könnte sich eurer Ansicht nach noch verbessern von Seiten Metas?

Thomas Kehl: Das Landgericht stützt sich auf eine sehr junge Rechtsprechung des Europäischen Gerichtshofs, der die Verantwortung von Plattformen gerade in diese Richtung entwickelt. Jetzt geht es darum, daraus nationale Präzedenzfälle zu machen.

Unser Wunsch ist, dass andere Betroffene sich auf dieses Urteil berufen können und nicht jeder bis zum Bundesgerichtshof gehen muss. Ich habe eine interessante Forderung gelesen und ich wundere mich, dass das noch nicht Pflicht ist. Wer bei Meta Werbung schaltet, sollte sich identifizieren müssen, so wie bei einer Kontoeröffnung. In Deutschland kann aktuell jeder ein Meta-Werbekonto eröffnen und Anzeigen schalten, ohne nachzuweisen, wer er ist. Dieser Forderung würde ich auf jeden Fall zustimmen.

netzpolitik.org: Ihr wünscht euch da also auch mehr Regulierung von Seiten der Politik, damit das nicht immer einzeln von Personen ausgefochten werden muss?

Thomas Kehl: Ja, definitiv.

–––

Deine Spende für digitale Freiheitsrechte
Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich aus den Spenden unserer Leser:innen. Jetzt spenden.

Dass die Hamburger Polizei allen Ernstes Redaktionsräume der Zeit durchsuchen wollte, ist ein Frontalangriff auf die Pressefreiheit. Journalistisches Rohmaterial hat in den Händen von Staatsanwälten und Polizeien nichts verloren. Wenn wir das durchgehen lassen, erschüttern wir das Vertrauen in die Presse. Ein Kommentar.

Bei der Durchsuchung von Redaktionen müssen alle Ampeln auf Rot springen. (Symbolbild) – Alle Rechte vorbehalten: IMAGO / Jürgen Ritter

Wieder einmal hebeln Strafverfolgungsbehörden den Quellenschutz und damit die Pressefreiheit aus. Dieses Mal hat es „Die Zeit“ erwischt, bei der das Landeskriminalamt Hamburg und die Staatsanwaltschaft am Montag mit einem Durchsuchungsbeschluss für die Redaktion anrückte. Die Durchsuchung wehrte das Medium nur ab, weil es die fraglichen Daten freiwillig, „versiegelt“ und unter Widerspruch herausgab. Die Zeit protestiert gegen die Maßnahme, will den Durchsuchungsbeschluss anfechten und hofft darauf, dass die Daten vor einer gerichtlichen Entscheidung nicht genutzt werden.

Die Beschlagnahme von Interviewaufzeichnungen, also dem Rohmaterial eines Podcasts zum Block-Delling-Prozess beim Landgericht Hamburg, ist eine Frechheit. Der Schutz von Informant:innen und Quellen dient dazu, dass diese sich der Presse vertrauensvoll öffnen können, ohne Angst vor einer Enttarnung oder einer Verfolgung zu haben. Nur ein funktionierender Schutz der Quellen garantiert, dass die Presse ihre Aufgabe voll und ganz wahrnehmen kann.

Der Quellenschutz ist elementarer Bestandteil der Pressefreiheit – das ist auch höchstrichterlich mehrfach bestätigt worden. Grundsätzlich haben Journalist:innen ein umfassendes Zeugnisverweigerungsrecht, dazu kommt ein Beschlagnahmeverbot für Recherchematerial.

Pressefreiheit frontal angegriffen

Wer das, wie nun die Hamburger Ermittler, ignoriert, greift die Pressefreiheit frontal an. Das Bundesverfassungsgericht hat klargemacht, dass eine Durchsuchung in Redaktionsräumen nicht vorrangig dem Zweck dienen darf, den Verdacht von Straftaten durch Informanten aufzuklären – sondern dann schon die Pressevertreter:innen selbst beschuldigt sein müssen. Das ist bei der Zeit ausdrücklich nicht der Fall. Das Gericht will mit der Maßnahme neues Beweismaterial erheben und nebenbei die Glaubhaftigkeit der Zeugen überprüfen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Wenn wir der Polizei solche Maßnahmen durchgehen lassen, erschüttern wir das Vertrauen in die Presse – und das schadet der Demokratie als Ganzes. Nur weil es sich beim Block-Prozess um ein Verfahren mit maximaler Medienaufmerksamkeit handelt, heißt das nicht, dass Polizei und Staatsanwaltschaft hier rechtsstaatliche Prinzipien mit Füßen treten dürfen.

Es ist beileibe nicht das erste Mal, dass sich Staatsanwaltschaften an der Pressefreiheit vergehen. So ließ eine Staatsanwaltschaft 2013 gleich Wohnungen von fünf Fotografen durchsuchen, um an deren Bildmaterial zu kommen, mit dem ein Straftäter auf einer Demo identifiziert werden sollte. Im Jahr 2023 hatte die Polizei den Freiburger Sender Radio Dreyeckland und zwei Privatwohnungen durchsucht – die Maßnahme wurde jüngst vom Bundesverfassungsericht für rechtswidrig erklärt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Seit mehr als einem Jahr verbietet die EU bestimmte Formen biometrischer Gesichtsdatenbanken. Doch die Suchmaschine PimEyes macht einfach weiter. Die zuständige Bundesnetzagentur hält sich bedeckt – und die Bundesregierung laviert gar um das Verbot herum.

Darf sich ein Unternehmen die biometrischen Daten eines Gesichtes einfach nehmen und in einer Datenbank speichern? – CC-BY 4.0: Comuzi

Ein einzelnes Foto eines Gesichtes reicht. Lädt man es in die Suchmaschine PimEyes hoch, hakt ein paar Kästchen ab, um den Nutzungsbestimmungen zuzustimmen, und drückt dann auf „Suchen“, erscheint wenige Sekunden später eine Übersicht. Darauf Fotos von Gesichtern, die eine Ähnlichkeit aufweisen, samt der Links zu den Fundstellen im Netz – egal wo und wie obskur.

Wenn das Internet ein Heuhaufen ist, wie die New York Times damals schrieb, dann ist PimEyes ein Magnet. Eine Technologie, mit der sich Fotos noch aus den hintersten versteckten Winkeln des Netzes ziehen lassen.

netzpolitik.org nannte die Suchmaschine in einem ersten Bericht vor sechs Jahren einen „Angriff auf die Anonymität“.

Ein Verbot wie gemacht für PimEyes

Seitdem hat sich einiges getan. PimEyes hat nicht nur den Besitzer gewechselt und gehört jetzt einem georgischen Geschäftsmann. Auch die EU hat reagiert. In der KI-Verordnung – dem großen Regelwerk, das den Einsatz von KI in der Union regeln soll – steht in einer Liste von verbotenen Dingen explizit auch einen Absatz, der direkt auf biometrische Suchmaschinen wie PimEyes zielt.

Verboten sind demnach: „KI-Systeme, die Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen erstellen oder erweitern.“ Wenn man es nicht besser wüsste, man könnte meinen: Gemeint ist PimEyes.

Das EU-Parlament, das sich besonders für dieses Verbot eingesetzt hat, warnte vor den gesellschaftlichen Auswirkungen. Solche Suchmaschinen könnten das Gefühl von Massenüberwachung verstärken und seien eine Gefahr für Grundrechte wie die Privatsphäre. So steht es in der Begründung des Verbotes. Auch der Rat der Mitgliedstaaten und die EU-Kommission haben dem zugestimmt.

Erstmal niemand zuständig

Sprung drei Jahre in die Zukunft: Es ist der 2. Februar 2025, und die Verbote aus der KI-Verordnung werden anwendbar. Doch noch gibt es niemanden, der sie durchsetzen könnte. Die einzelnen Mitgliedstaaten, so sieht es die Verordnung vor, müssen erst eine Stelle benennen, die offiziell für die Aufsicht über das Regelwerk und seine Verbote zuständig ist.

PimEyes ist derweil weiter online und bietet etwa Nutzer*innen in Deutschland ein Monatsabo für 32,90 Euro, mit dem man bis zu 75 Gesichter am Tag suchen kann.

Im Sommer 2026 ist es dann soweit. Die Bundesregierung bestimmt mit einem neuen Gesetz die Bundesnetzagentur zur offiziellen Aufsichtsbehörde. Sie ist damit für die Aufsicht über diejenigen zuständig, die KI-Systeme in Deutschland entwickeln oder anbieten: für Innovationsförderung, für Beschwerden – und auch für die Einhaltung der Verbote.

Werkzeug für Stalking und Einschüchterung

Seit unseren ersten Berichten über PimEyes im Jahr 2020 hat sich bei der öffentlich zugänglichen Gesichtersuchmaschine im Kern wenig verändert. Nach wie vor braucht man nur einen Screenshot oder ein flüchtiges Foto, um eine Person per PimEyes zu suchen.

Die Suchmaschine erfasst die biometrischen Eigenheiten des Gesichts, etwa die Abstände von Augen, Nase und Mund, und vergleicht diese mit den Templates von Milliarden anderen Gesichtern, die es im Netz gefunden und auf dieselbe Weise vermessen hat. Sie basiert damit sehr wahrscheinlich auf eben der Technologie, die laut KI-Verordnung in der EU verboten ist.

Kritiker*innen sehen in PimEyes vor allem eine große Bedrohung. Weil die Fotofundstellen im Netz sehr wahrscheinlich zu weiteren Informationen wie Namen, Wohnorten, Arbeitsstellen führen, machen sie alle, die im öffentlichen Raum unterwegs sind, wiedererkennbar und angreifbar: „jederzeit, überall und durch beliebige Dritte“.

„Damit existiert eine Infrastruktur, die tief in Grundrechte von vielen Millionen Menschen eingreift und Missbrauch Tür und Tor öffnet“, warnt der Chaos Computer Club, „etwa für Stalking, Einschüchterung oder umfassende Verhaltensanalyse – selbstredend ohne Wissen und ohne Einwilligung der Betroffenen.“

»Der Mensch ist der Stalker, nicht die Suchmaschine«

Die Behörde hätte viele Möglichkeiten

Die Bundesnetzagentur könnte jetzt aktiv werden. Als Aufsichtsbehörde könnte sie eine Untersuchung von PimEyes einleiten. Dafür muss sie nicht darauf warten, dass sich einzelne Betroffene über PimEyes beschweren – bislang liegt laut BNetzA eine solche Beschwerde vor. Sie kann aber einfach selbst tätig werden.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Doch auf Nachfrage von netzpolitik.org hält sich die Behörde bedeckt. „Bitte haben Sie Verständnis, dass wir uns zu geplanten und aktuellen Verfahren nicht äußern.“

Dabei hätte die BNetzA viele Möglichkeiten. Sie könnte in einem ersten Schritt die Frage klären, ob PimEyes überhaupt unter das Verbot fällt. Dazu könnte sie von dem Unternehmen Auskunft verlangen, Unterlagen anfordern, eine technische Prüfung einleiten. Selbst Vor-Ort-Termine sieht das Gesetz vor.

Laut den Leitlinien der EU-Kommission greift das Verbot, wenn ein System alle der folgenden Bedingungen erfüllt: Es sammelt Gesichtsbilder ungezielt aus dem Netz oder aus Überwachungsaufnahmen. Es erstellt daraus eine Datenbank zur Gesichtserkennung oder erweitert diese. Und das passiert mit Hilfe eines KI-Systems.

Sollte bei der Prüfung herauskommen, dass die Suchmaschine diese Bedingungen erfüllt und somit gegen die EU-Regeln verstößt, könnte die Aufsichtsbehörde die nächste Phase einleiten.

Weil PimEyes seine Suche nicht nur in Deutschland anbietet, sondern in der gesamten EU, müsste die BNetzA sich mit anderen nationalen Behörden und dem „AI Office“ der EU-Kommission koordinieren. „Möglich wäre auch ein gemeinsames Vorgehen von Aufsichtsbehörden mehrerer EU-Mitgliedstaaten,“ schrieb die Behörde auf eine frühere Anfrage von netzpolitik.org.

Das Unternehmen würde dann aufgefordert, die verbotenen Handlungen in der EU einzustellen, also damit aufzuhören, weiter wahllos Gesichter im Netz zu vermessen und die Daten in seine Datenbanken zu kippen. Wenn das nicht passiert, käme danach die Aufforderung, das Angebot in der EU vom Markt zu nehmen.

Bleibt das Angebot dennoch im Netz, folgt eine Kaskade von möglichen Sanktionen – bis hin zu Geldstrafen von bis zu 7 Prozent des weltweiten jährlichen Umsatzes. Je länger im Netz, je weniger das Unternehmen kooperiert, umso höher kann die Strafe ausfallen. So in der Theorie.

Außerhalb der EU, außer Reichweite?

In der Praxis sitzt PimEyes allerdings nicht in der EU. Das ursprünglich in Polen gegründete Unternehmen, das zwischenzeitlich auch auf den Seychellen gemeldet war, soll seinen Sitz inzwischen in Dubai haben. So genau weiß das offenbar derzeit niemand.

Das würde es schwieriger machen, diese Maßnahmen auch durchzusetzen. Es wäre allerdings nicht unmöglich. Das sagt der Leiter der NGO AlgorithmWatch, Matthias Spielkamp, und verweist auf die Erfahrungen in Fällen von Steuerhinterziehung.

Und das sagt auch der Hamburger IT-Sicherheitsexperte und Aktivist Matthias Marx, der sich seit Jahren gegen die Suchmaschinen engagiert.

Marx hatte sein Gesicht 2020 in den Datenbanken von PimEyes wiedergefunden und versucht seitdem, die Hamburger Datenschutzbehörde zu einem Verfahren gegen die Suchmaschine zu bewegen. Denn nicht nur mit der KI-Verordnung könnte PimEyes über Kreuz liegen. Auch die Europäischen Datenschutzregeln (DSGVO) verbieten es, die biometrischen Daten einer Person ohne deren Einverständnis einfach aus dem Netz zu klauben.

Die Hamburger Behörde hat das Verfahren nach fünf Jahren allerdings eingestellt. Die Begründung: Die Suchmaschine handle zwar rechtswidrig, reagiere aber aus Dubai nicht auf Anfragen. Marx will das nicht akzeptieren und klagt derzeit mit Unterstützung der österreichischen NGO noyb und des Chaos Computer Clubs gegen den Bescheid.

Er glaubt, die Behörde hätte durchaus Möglichkeiten, Sanktionen durchzusetzen. So nutze PimEyes für die Abwicklungen der Abo-Zahlungen einen Dienstleister, der unter anderem eine Niederlassung in den Niederlanden hat. Gelder in Europa könnten eingefroren werden oder Maßnahmen direkt gegen den georgischen Geschäftsführer verhängt werden.

Die Untätigkeit der Hamburger Behörde sendet aus seiner Sicht ein gefährliches Signal: „Wenn Aufsichtsbehörden bei so klaren Rechtsverstößen nicht handeln, entsteht ein gefährlicher Präzedenzfall.“ Biometrische Massenüberwachung dürfe sich nicht allein deshalb durchsetzen, weil ihre Anbieter auf die Untätigkeit der Behörden spekulieren.

Sollte die Klage erfolgreich sein, müsste die Behörde erneut über Marx’ ursprüngliche Beschwerde entscheiden und voraussichtlich Maßnahmen gegen PimEyes treffen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Bundesregierung will biometrische Fotofahndung im Netz

Bundesregierung will Gesichtersuche für die Polizei

Skurril wirkt der Umgang mit PimEyes aber noch aus einem weiteren Grund. Denn die Bundesregierung vertritt keineswegs die Haltung, dass die biometrische Gesichtersuche nach Art von PimEyes verboten gehört. Spätestens seitdem Journalist*innen das frühere RAF-Mitglied Daniela Klette mit Hilfe von PimEyes auf Facebook fanden und identifizierten, waren Begehrlichkeiten geweckt.

Das Bundeskriminalamt und die Bundespolizei sollen deswegen demnächst selbst mit solchen Suchmaschinen im Netz fahnden dürfen. Sie dürften dann nach Beschuldigten schwerer Straftaten suchen, aber auch nach Zeug*innen. So will es die Bundesregierung und hat dafür schon ein Gesetzespaket auf den Weg gebracht. Explizit sollen die Behörden dafür auch Drittanbieter nutzen dürfen. Wie PimEyes.

Dass sich dieses Begehren mit der KI-Verordnung schwer vereinbaren lässt, dessen ist man sich offensichtlich auch in den Ministerien bewusst. Deswegen hat man sich eine argumentative Hintertür gebaut. Ein Verbot durch die KI-Verordnung gelte nicht, „sofern für das Auslesen der Daten keine KI-Systeme eingesetzt werden“, schreibt das Bundesjustizministerium in der Gesetzesbegründung.

Diese Lesart findet sich auch in einem Gutachten der Wissenschaftlichen Dienste des Deutschen Bundestages. Demnach verbiete die KI-Verordnung nicht den Aufbau einer Datenbank per se, sondern nur das „ungezielte Auslesen von Gesichtsbildern mittels KI“. Solche Datenbanken könnten auch ohne Künstliche Intelligenz erstellt werden, schreiben die Wissenschaftlichen Dienste weiter.

„Der Einsatz von KI ist also nicht zwingend erforderlich, um einen biometrischen Abgleich mit Bildern aus dem Internet durchzuführen“, so das Fazit. Es komme „auf die konkrete Ausgestaltung und technische Umsetzung des in den Gesetzesentwürfen vorgesehenen biometrischen Abgleichs an“. Wer hier wen inspiriert hat, ist nicht klar.

Abgeordnete sind anderer Meinung

Der EU-Abgeordnete Tiemo Wölken (SPD) hat die KI-Verordnung im Parlament mit verhandelt. Er hat wenig Verständnis für das Zaudern und Infragestellen. „Der AI Act ist eindeutig: Das Erstellen von Datenbanken mit Gesichtsbildern aus dem Internet ist seit dem 2. Februar 2025 verboten“, sagt Wölken.

Die Definition von KI-System in der Verordnung sei dabei bewusst so breit formuliert, dass sie auch Analysesoftware wie PimEyes erfasse. „Eine anderslautende Bewertung durch die Aufsichtsbehörden ginge direkt gegen den Willen des Gesetzgebers. Ich erwarte deshalb von der Bundesnetzagentur, dass sie aktiv wird und PimEyes endlich verbietet.“

Auch die EU-Abgeordnete Alexandra Geese (Die Grünen/EFA) erwartet ein klares Verbot von PimEyes. „Der Geist der KI-Verordnung entspricht sehr klar dem Wunsch der großen Mehrheit der Menschen in einer freiheitlichen Gesellschaft: keine Überwachung im öffentlichen Raum und keine Bedrohung durch Technologie, die es fremden Menschen ermöglicht, uns ohne unser Wissen in der Menge identifizieren und vor der Haustür oder am Arbeitsplatz aufzulauern.“

Sollte die Aufsichtsbehörde tatsächlich zu der Auffassung gelangen, die KI-Verordnung decke PimEyes nicht ab, „müssen wir als Gesetzgeber dringend über weitere Maßnahmen zum Schutz unserer Freiheit nachdenken“.

Nicht nur aus dem EU-Parlament, auch aus dem Bundestag kommen klare Worte. Johannes Schätzl, digitalpolitischer Sprecher der SPD-Fraktion im Bundestag, sagt Datenbanken wie PimEyes basierten seinem Verständnis nach auf einer durch die KI-Verordnung verbotenen Praktik. „Aus meiner Sicht müsste die BNetzA mögliche Verstöße gegen die KI-VO überprüfen.“

Sollte sich dabei herausstellen, dass das Verbot nicht greift, müsste man „in der Tat auf europäischer Ebene nachjustieren, denn es war der ausdrückliche Wille des europäischen Gesetzgebers, diese Praktik in Europa auszuschließen. Ein Einsatz wäre nur möglich, wenn dieses Recht aktiv umgangen wird.“

„Dies sollte auch in deutschen Gesetzesentwürfen nicht angelegt sein“, sagt Schätzl. Und stellt sich damit auch gegen seine eigene Partei, die in der Regierungsverantwortung an dem Verbot sägt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die geplante Reform der Nachrichtendienste ist verfassungswidrig, so die deutliche Kritik von Fachleuten im Bundestag. Sie befördere die Massenüberwachung, hebe die Trennung zwischen Polizei und Geheimdiensten auf und sehe nur eine unzureichende Kontrolle vor.

Auch der BND soll mehr Befugnisse bekommen. – Alle Rechte vorbehalten: Joko / Imago

Am Montag fand in Berlin eine Tagung des Bundesamtes für Verfassungsschutz statt. Vor Ort warnte Innenminister Alexander Dobrindt vor dem Schattenkrieg Russlands, der das Ziel habe, „uns politisch und gesellschaftlich zu bezwingen“. „Wir müssen aufrüsten“, warb der CSU-Politiker mit markigen Worten für die geplante Reform der Geheimdienste.

Nur wenige Kilometer entfernt verhandelte der Innenausschuss des Deutschen Bundestages die Details dieser Reform. Vier Stunden lang standen acht Sachverständige den Abgeordneten Rede und Antwort.

Die Verhaftung des ehemaligen BND-Präsidenten August Hanning in der vergangenen Woche spielte dabei keine Rolle. Stattdessen ging es vor allem darum, wie der Umbau des Bundesnachrichtendienstes (BND) und des Bundesamtes für Verfassungsschutz (BfV) verfassungsrechtlich zu bewerten ist.

Aus Sicht vieler Expert:innen will die Regierung die historisch begründete Trennung zwischen Geheimdiensten und Polizei deutlich aufweichen. Gleichzeitig sehe ihr Gesetzentwurf nur eine unzureichende Kontrolle der Dienste vor. Und auch die geplanten automatisierten Datenauswertungen mittels Künstlicher Intelligenz bärgen erhebliche Risiken.

„So etwas macht ein Rechtsstaat nicht“

Mit der Reform sollen BND und BfV nicht nur Informationen sammeln, sondern auch aktiv eingreifen und so zu „echten Geheimdiensten“ werden. Sie dürften dann etwa in IT-Systeme eindringen und bei Cyberangriffen „zurückhacken“.

Das sei eine typisch polizeiliche Aufgabe, kritisierte der Rechtswissenschaftler Matthias Bäcker von der Uni Mainz. Würden diese Eingriffe dauerhaft heimlich erfolgen, widerspreche dies rechtsstaatlichen Prinzipien. „So etwas macht ein Rechtsstaat nicht“, sagte Bäcker in der Anhörung. „Ich habe noch nie eine Vorschrift gesehen, die so offensichtlich verfassungswidrig ist.“

Auch Franziska Görlitz von der Gesellschaft für Freiheitsrechte (GFF) stuft den Gesetzentwurf als in Teilen verfassungswidrig ein. Die geplanten operativen Maßnahmen setzten deutlich höhere Hürden und eine strengere Kontrolle voraus. Das leite sich auch aus der Rechtsprechung des Bundesverfassungsgerichts ab, schreibt Görlitz in ihrer Stellungnahme. Der Gesetzentwurf setze diese Vorgaben aber nicht um.

Die Aufweichung des Trennungsgebots

Görlitz warnt davor, dass die „Verpolizeilichung“ der Geheimdienste die Struktur der Sicherheitsbehörden insgesamt verschiebe: „Die strenge Trennung zwischen den nur überwachenden, aber nicht operierenden Nachrichtendiensten und der dann eingreifenden Polizei wird eingerissen“, schreibt die Juristin.

Ein insgesamt „hohes verfassungsrechtliches Risiko“ sieht hier auch Markus Löffelmann von der Hochschule des Bundes für öffentliche Verwaltung. Das Trennungsgebot sei zwar nicht „verfassungsunmittelbar“ im Grundgesetz verankert, „allerdings wirkt die multidimensionale Trennung von Nachrichtendienstbehörden und Polizeibehörden grundrechtsschonend und ist deshalb zentraler Aspekt einer Verhältnismäßigkeitsprüfung“.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Jan-Hendrik Dietrich von der Hochschule des Bundes für öffentliche Verwaltung teilt die Einschätzung, dass das Bundesverfassungsgericht nur ein „informationelles Trennungsprinzip“ verlangt. Diese Trennung sieht er weiterhin gewahrt: Da nur die Polizei Festnahmen durchführen könne, „trifft die Aussage der Gesetzesbegründung zu, wonach das nachrichtendienstliche Gepräge der Maßnahmen […] dominiert“, schreibt der Staatsrechtler in seiner Stellungnahme.

Geschichtsvergessen und gefährlich Unzureichende Kontrolle und fehlende Expertise

Dietrich begrüßt zudem, dass der Gesetzentwurf redundate Kontrollstrukturen beseitige und zugleich die Aufsicht professionalisiere.

Bislang sind für die Kontrolle des Inlands- und Auslandsgeheimdienstes unter anderem die G10-Kommission, das Parlamentarische Kontrollgremium (PKGr), der Bundesdatenschutzbeauftragte und der Unabhängige Kontrollrat (UKrat) zuständig. Künftig soll ein Großteil der Kontrolle beim UKRat gebündelt werden, der neue Aufgaben bekommt und das Parlamentarische Kontrollgremium unterstützen soll. Die G‑10-Kommission soll wegfallen, dem Bundesdatenschutzbeauftragten soll die Aufsicht entzogen werden.

Im Ergebnis komme im Entwurf die Vorabkontrolle von eingriffsintensiven Maßnahmen zu kurz, kritisiert Markus Löffelmann. So muss der UKRat künftig etwa eine längerfristige Videoüberwachung oder eine Ausspähung besonders privater Information vorab nicht prüfen. Diese Einschätzung teilt Matthias Bäcker: „Eine Vorabkontrolle einzelner Maßnahmen ist nur in Sonderfällen vorgesehen, die das Spektrum eingriffsintensiver Maßnahmen nicht annähernd ausschöpfen“, schreibt Bäcker in seiner Stellungnahme.

Um etwa den Einsatz von Staatstrojanern oder automatisierte Datenauswertungen bewerten zu können, fehle dem UKRat Expertise bei den Themen IT und Künstliche Intelligenz, mahnte Franziska Görlitz. Und weil die Regierung dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) die datenschutzrechtliche Aufsicht über die Dienste entziehe, gehe weitere langjährig aufgebaute Expertise verloren, so Görlitz.

Insgesamt sieht sie ein deutliches „Kapazitätsungleichgewicht im Gesetz“, das eine effektive Kontrolle beider Geheimdienste verhindere.

Automatisierte Datenauswertungen auf „völlig neuem Niveau“

Mehr Fachkenntnis wird bei der Kontrolle künftig vonnöten sein. Denn Verfassungsschutz und BND sollen personenbezogene Daten mittels Künstlicher Intelligenz automatisiert auswerten dürfen.

Die sogenannte qualifizierte Auswertung bewege sich auf einem „völlig neuen Niveau“, betonte Görlitz, und reiche weit über das hinaus, was das Bundesverfassungsgericht im Jahr 2023 entschieden hat. Auch Löffelmann verweist auf das Urteil: „Das BVerfG hat für das Polizeirecht die Zulässigkeit einer automatisierten Datenanalyse an anspruchsvolle Voraussetzungen geknüpft“, schreibt der Jurist. „Diese Maßstäbe sind auf die Nachrichtendienste im Wesentlichen übertragbar“, ergänzt Görlitz.

Die Juristin von der GFF kritisiert zudem, dass alle möglichen Daten in die Systeme eingespeist werden sollen. „Weder ist die Datenanalyse auf rechtmäßig erhobene Daten beschränkt, noch werden besonders sensible Daten aus der Datenanalyse ausgenommen.“ Außerdem mache der Gesetzentwurf keinerlei konkreten Vorgaben, um etwa diskriminierende Verzerrungen durch den KI-Einsatz zu vermeiden.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Die Sorge vor „Halluzinationen“ von KI-Systemen treibt auch Markus Löffelmann um. Er sieht es als ein „massives regulatorisches Defizit“, dass der Gesetzentwurf kein Verfahren dafür vorsieht, wenn KI-Systeme fehlerhafte Ausgaben machen. „Die Verantwortung wird auf die KI geschoben“, folgerte auch Görlitz, „wer aber kontrolliert die KI?“ Dazu seien ja nicht einmal die kommerziellen Anbieter selbst in der Lage, wie die vergangenen Wochen gezeigt hätten.

Luca Manns, Geschäftsführer der Forschungsstelle Nachrichtendienste der Universität zu Köln, sieht im KI-Einsatz hingegen eine grundrechtsschonende Wirkung. Die Systeme könnten aus den Daten „wahnsinnig viel Beifang“ filtern, sagte der Jurist gestern, und so Grundrechtseingriffe umgehen.

„Es braucht ein sinnvolles Beschwerdemanagement“

Die Sachverständigen bemängelten außerdem, dass der Gesetzentwurf die Rechte von Betroffenen einschränke. Sie sollen in der Regel nichts davon erfahren, wenn sich operative Maßnahmen gegen sie richten.

Eine solche Transparenz hält Matthias Bäcker jedoch für unverzichtbar. Er fordert, dass verdeckt überwachte Personen unverzüglich informiert werden müssen, sobald die konkreten Gründe für eine Geheimhaltung von Maßnahmen entfallen sind. „ ‚Schutzmaßnahmen’ […] bewirken immer einen physischen oder psychischen Nachteil, der sich bei einer dauerhaften Heimlichkeit weder öffentlich thematisieren noch individuell abwehren lässt“, schreibt Bäcker. „In einem demokratischen Rechtsstaat ist daher für verdeckte Eingriffe in Verhaltensfreiheit und Eigentum nur in sehr engen Grenzen Raum.“

Görlitz kritisiert, dass der Gesetzentwurf keine Beteiligungs- und Verfahrensrechte für betroffene Bürger:innen vorsieht. Zwar sehe der Entwurf vor, dass der UKRat für die Beschwerden der Bürger:innen zuständig sei. Allerdings mache die Regierung hier keinerlei Vorgaben zu Transparenz, Fristen oder den konkreten Rechten von Betroffenen. „Es braucht ein sinnvolles Beschwerdemanagement“, mahnte die Juristin in Richtung der Abgeordneten.

Am Ende reichten auch vier Stunden Anhörung nicht aus, um alle wichtigen Aspekte des mehr als 730-seitigen Gesetzentwurf zu erörtern. „Vier Stunden sind eben vier Stunden“, konstatierte Görlitz zum Ende der Sitzung.

Derweil kündigte BfV-Präsident Sinan Selen auf der Tagung des Verfassungsschutzes an, dass man innerhalb von zwei Jahren Bilanz ziehen könne, ob die Geheimdienstreform gelungen sei. Angesichts der massiven Kritik der Fachleute könnte ihm das Bundesverfassungsgericht dabei noch zuvorkommen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Sechs von neun untersuchten KI-Chatbots übermitteln laut einer Studie Gesprächsinformationen an Tracking- und Werbedienste. Betroffen sind auch bekannte Angebote wie ChatGPT, Claude und Gemini.

Wer erfährt, worüber ich mit meiner KI spreche? (Symbolbild) – Gemeinfrei-ähnlich freigegeben durch unsplash.com: Solen Feyissa

Chatbots übermitteln Informationen aus Gesprächen an verschiedene Tracking- und Werbedienste und gefährden damit die Privatsphäre. Dazu zählen Titel und Links von Chats, wörtliche Eingaben und sogar Screenshots. Das zeigt eine neue Studie des Forschungsinstituts IMDEA Networks.

Für die Studie hat das Forschungsteam aus Madrid neun große KI-Dienste untersucht: ChatGPT, Claude, Perplexity, Grok, Gemini, Mistral AI, Meta AI, DeepSeek und Microsoft Copilot. Sechs der neun Webversionen und drei von acht Android-Apps teilten dabei Informationen aus den Gesprächen mit Tracking- und Werbediensten. Zu den Drittanbietern, an die Daten übermittelt wurden, gehörten auch bekannte Unternehmen wie Google, Meta und TikTok.

Schon Chat-Titel enthalten private Informationen

Menschen erzählen KI-Chatbots Dinge, die sie sonst vielleicht niemandem anvertrauen würden. Sie fragen nach Krankheiten, teilen Geldsorgen und besprechen Beziehungsprobleme. Chatbots erstellen für diese Gespräche automatisch zusammenfassende Titel. Sie sollen Nutzer:innen helfen, einen Chat in der Gesprächs-Historie wiederzufinden.

Aus der Frage nach Parkinson-Symptomen wird etwa der Titel „Parkinson-Symptome im Frühstadium“. Aus der Frage nach einer möglichen Hypothek in New York entsteht der Titel „85.000-Dollar-Gehalt in NYC: 280.000 – 350.000 Dollar Hypothek“. Mit diesen Fragen untersuchten die Forschenden, welche Informationen die Chatbots in ihre Titel aufnehmen.

Gemini, Grok und Mistral gaben diese vielsagenden Chat-Titel laut der Untersuchung auch an Dritte weiter. „Selbst scheinbar harmlose Informationen wie Chat-Titel können sehr persönliche Interessen, Sorgen und Lebensumstände offenbaren“, sagt Narseo Vallina-Rodriguez aus dem Forschungsteam von IMDEA Networks auf Anfrage von netzpolitik.org.

Mögliche Verknüpfung mit Nutzerprofilen

Ein Chat-Titel allein kann dabei bereits sensible Rückschlüsse zulassen. Wird er zusammen mit Kennungen wie E‑Mail-Adressen oder Nutzer-IDs übermittelt, lässt sich möglicherweise auch erkennen, zu welchem Konto die Information gehört.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

„Diese Informationen könnten mit bereits bestehenden Nutzerprofilen verknüpft werden, die Werbe- und Trackingunternehmen führen“, sagt Vallina-Rodriguez. Deren Technologien seien in Millionen von Websites und mobilen Apps eingebunden, möglicherweise, ohne dass die Betroffenen davon wissen.

Laut der Studie hatten die Chatbots von Antrophic, Mistral und Perplexity AI E‑Mail-Adressen an Dritte übermittelt. Nutzer-IDs wurden bei ChatGPT, Claude, Le Chat und Perplexity weitergegeben.

Chat-Links können ganze Gespräche offenlegen

Kritisch sind auch die Links, die die Chatbots für jeden Chat automatisch erstellen und über die sich die Unterhaltung aufrufen lässt. Laut der Studie wurden diese von ChatGPT, Claude, Grok, Mistral und Perplexity an Dritte übermittelt. Bei ChatGPT, Claude und Mistral sind die verlinkten Gespräche den Forschenden zufolge nur für die jeweiligen Ersteller zugänglich. Bei Perplexity sind Chat-Links dagegen auch öffentlich abrufbar, wenn der Chatbot mit einem Gastzugang genutzt wird. Wer dem Link folgt, sieht dann den gesamten Gesprächsverlauf.

Besonders problematisch ist laut der Studie der Fall von Grok, dem Chatbot von Elon Musks Firma xAI. Bei Gesprächen im Browser hat Grok unter anderem Chat-Titel und Chat-Link an verschiedene Drittanbieter wie Meta, Tiktok, Google und Twitter Analytics übertragen. Diese sind laut den Forschenden sowohl in der kostenlosen als auch der kostenpflichtigen Version von Grok standardmäßig öffentlich zugänglich, sofern Nutzer:innen das nicht abschalten. Dadurch könnten Dritte Zugriff auf den Gesprächsverlauf haben – inklusive eingegebener Prompts und generierter Antworten.

Geteilte Chats erhöhen Risiko

Zusätzlich können Nutzer:innen ihre Gespräche mit Chatbots über sogenannte Share-Links bewusst mit anderen teilen. Im Fall solcher geteilten Gespräche hat Grok sehr weitreichende Informationen mit anderen Unternehmen geteilt: Meta erhielt Titel und den letzten Prompt. TikTok erhielt außerdem einen Screenshot der Unterhaltung.

Um zusätzlich zu untersuchen, ob die Share-Links tatsächlich aufgerufen werden, bauten die Forschenden Köder-Links in geteilte Grok-Gespräche ein. Sie verzeichneten 70 Abrufe von 70 IP-Adressen aus 14 Ländern, teilweise noch Tage nach dem ursprünglichen Gespräch.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Die Forschenden prüften auch, ob Nutzer:innen das Tracking durch Datenschutzmaßnahmen einschränken können. Selbst nachdem alle nicht notwendigen Cookies abgelehnt wurden, blieben laut Studie 80,8 Prozent der beobachteten Drittanbieter-Tracker aktiv. Auch zwischen kostenlosen und kostenpflichtigen Konten fanden die Forschenden kaum Unterschiede.

Auf Anfrage von netzpolitik.org verwies Google auf den technischen Zweck von Google Analytics. Das Tool helfe dabei, die Leistung von Gemini zu überwachen und Störungen zu erkennen. „Wir halten uns an die geltenden europäischen Datenschutzbestimmungen“, schreibt eine Google-Sprecherin. Auf die konkreten Ergebnisse der Studie ging Google nicht näher ein. xAI, Mistral und Perplexity ließen die Anfrage unbeantwortet.

Datenschutzbehörden eingeschaltet

Laut der Studie informierten die Forschenden im April 2026 auch europäische Datenschutzbehörden über ihre Ergebnisse. Ende Mai beantragte die spanische Datenschutzbehörde AEPD, den Fall im Europäischen Datenschutzausschuss zu beraten. Die Forschenden kontaktierten außerdem den Grok-Anbieter xAI, von dem sie jedoch bis zur Veröffentlichung der Studie Ende September keine Antwort erhielten. Zu diesem Zeitpunkt waren Grok-Chats weiterhin öffentlich abrufbar.

Wie relevant der Umgang mit Chatdaten ist, zeigen auch aktuelle Entwicklungen bei OpenAI. Das Unternehmen kündigt an, personalisierte Werbung in ChatGPT künftig auch in Europa auszuspielen und dafür unter anderem Informationen aus früheren und aktuellen Chats zu nutzen. Die Berliner Datenschutzbeauftragte warnt, dass dadurch auch sensible persönliche Informationen für Werbezwecke ausgewertet werden könnten.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In sozialen Netzwerken und Medien kursiert das Gerücht, dass die ukrainischen Angriffe auf russische Rechenzentren die Aktivität rechter Social Bots minimiert hätte. Dafür gibt es bislang keine Belege. Vielmehr dürfte die Nachricht auf einer Verwechslung beruhen, was Bots eigentlich sind.

Im einem Rechenzentrum von Yandex in Russland. (Archivbild von 2012) – Alle Rechte vorbehalten: Imago / Itar-Tass

Derzeit macht ein Gerücht die Runde, dass die Aktivität von Social Bots, welche Parteien wie die AfD unterstützen, mit den ukrainischen Angriffen auf russische Rechenzentren in den letzten Tagen heruntergegangen sei. Doch diese Behauptung, die unter anderem der grüne Stadtrat Robin Schlingheider auf Threads und der tschechische Europa-Abgeordnete Tomáš Zdechovský auf X verbreiteten, lässt sich nicht belegen. Das hinderte verschiedene Medien wie Standard oder Focus nicht daran, diese Nachricht zu verbreiten oder zu stützen.

Belegen lässt sich nur ein Rückgang von Bot-Aktivität aus Russland und hier speziell bei dem Autonomen System AS13238, das zum russischen Yandex-Konzern gehört. Yandex, das als Russlands Google gilt, betreibt neben der Suchmaschine auch zahlreiche Cloud-Dienste, die laut eigenem Status-Monitor gerade massive Probleme haben. Der gesamte russische Bot-Traffic ist laut einer Statistik des US-Cloud-Dienstleisters Cloudflare allerdings nicht deutlich heruntergegangen. Dieser Bot-Traffic bezieht sich auf das Internet allgemein und nicht speziell auf soziale Medien, in denen die AfD-fördernden Social Bots aktiv sind.

Es gibt viele unterschiedliche Arten von Bots

Dazu muss einem klar sein, dass mit dem Begriff Bot alles mögliche gemeint sein kann, zum Beispiel auch so genannte Crawler von Suchmaschinen, die das Internet nach Inhalten und Änderungen durchforsten und indexieren. Hinzu kommen Server-zu-Server-Kommunikationen, Zugriff auf API-Schnittstellen, Bots von allen möglichen KI-Anwendungen sowie Bots, die auf Servern und Webseiten nach Sicherheitslücken suchen, um diese dann schädlich zu nutzen. Der nicht menschliche Bot-Traffic macht mittlerweile weltweit mehr als die Hälfte des Internetverkehrs aus.

Nun scheint die ukrainische Strategie, russische Rechenzentren zu attackieren, durchaus Wirkung zu zeigen und die Internetkonnektivität sowie den Traffic aus einzelnen Rechenzentren deutlich zu minimieren. Innerhalb Russlands mehren sich die Beschwerden über ausgefallene Bezahl-Apps, Kartendienste und Websites, die auf die Infrastruktur von Yandex angewiesen sind.

Doch das lässt sich nicht auf die globale Aktivität von Social Bots übertragen, die ohnehin schwer zu messen ist. Denn im Gegensatz zum normalen Bot-Traffic versuchen Social Bots sich als Menschen zu verschleiern, weil sie in sozialen Netzwerken als solche gesehen werden wollen. Es ist wahrscheinlich, dass Monitoringsysteme wie das von Cloudflare einen guten Teil dieser Social Bots gar nicht erfassen können.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Deutliche Zweifel am Rückgang rechter Propaganda-Bots

Früh kritisiert haben die virale Nachricht User auf Reddit, der Account antibot4navalny auf Bluesky sowie der Regensburger Informatik-Professor Raphael Wimmer. Letzterer zweifelte die von Schlingheider und Zdechovský verbreitete Grafik als möglichweise KI-generiert an. Als Wimmer bei Schlingheider nachfragte, woher die Grafik stamme und was die Quelle für die Daten sei, soll dieser ihn auf Threads geblockt haben. Eine kurzfristige Presseanfrage von netzpolitik.org nach der Quelle der Grafik hat Schlingheider noch nicht beantwortet, wir reichen diese gegebenenfalls nach.

Skepsis kommt auch vom Center für Monitoring, Analyse und Strategie (CeMAS), das zahlreiche Social-Media-Aktivitäten zum Thema Desinformation, Rechtsextremismus, Antisemitismus und Verschwörungsideologien beobachtet. Der Geschäftsführer von CeMAS, Josef Holnburger, sagt gegenüber netzpolitik.org, dass seine Organisation derzeit keinen Rückgang von anorganischen Likes und Retweets erkennen könne. Dafür sei es aber auch noch zu früh: Die Aktivität russischer Desinformationskampagnen würde am Wochenende immer heruntergehen und stehe im Zusammenhang mit der normalen Arbeitswoche, so Holnburger.

Der Entwickler Michael Paulauski merkte an, dass niemand Beweise vorgelegt habe, dass der Online-Traffic der Rechten eingebrochen sei. Er postete zudem Daten, die zeigen sollen, dass die Interaktionen auf dem X‑Account der AfD seit den Angriffen auf die Rechenzentren bis zum 9. Oktober nicht heruntergegangen seien. Die Rechenzentren in Russland wurden zwischen 7. Oktober und dem 11. Oktober angegriffen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Werbe-Tech-Firma Xandr hatte sensible Daten von Grindr-Nutzer:innen an zahlreiche andere Werbefirmen verteilt. Dafür soll sie nun das höchste Datenschutz-Bußgeld der norwegischen Geschichte zahlen. Daten- und Verbraucherschützer:innen sehen darin ein wichtiges Signal, dass die Online-Werbeindustrie endlich zur Verantwortung gezogen wird.

Werbe-Daten von Grindr-Nutzer:innen können Auskunft über ihre sexuelle Orientierung geben – Alle Rechte vorbehalten: IMAGO / Rüdiger Wölk

Die norwegische Datenschutzbehörde Datatilsynet hat ein Bußgeld in Höhe von 8,5 Millionen Euro gegen die Werbe-Tech-Firma Xandr verhängt. Das Unternehmen soll in den Jahren 2018 bis 2020 Daten von Nutzer:innen der queeren Dating-App Grindr ohne gültige Rechtsgrundlage verarbeitet und im Ökosystem der Online-Werbung weiterverbreitet haben. Es sei die höchste Strafe, die man je verhängt habe, heißt in einer Pressemitteilung der Aufsichtsbehörde.

Gemeinsame Verantwortung von App und Werbe-Firma

Grindr bezeichnet sich selbst als „die weltweite größte Social-Networking-App für schwule, bi, trans und queere Menschen“. Die Daten, die die App an potenziell tausende Firmen verschickt habe, damit diese Werbe-Plätze buchen können, hätten unter anderem Aufschluss über deren sexuelle Orientierung gegeben. Diese Informationen gelten wie solche zu politischen Ansichten, Religion oder dem Gesundheitszustand als besonders sensibel und sind durch die Datenschutzgrundverordnung besonders geschützt.

Xandr war ein wichtiger Infrastruktur-Betreiber im Ökosystem der Online-Werbung. Das Unternehmen wurde 2022 von Microsoft übernommen und ist inzwischen in den eigenen Werbe-Diensten des Tech-Konzerns aufgegangen. Im Rahmen von Real-Time-Bidding-Auktionen zur Versteigerung von Werbeplätzen habe das Unternehmen über mehrere Jahre die Daten der Grindr-Nutzer:innen an potenziell tausende andere Unternehmen weitergeleitet. Allein in Norwegen gibt es der Aufsichtsbehörde zufolge tausende Betroffene.

Die Microsoft-Tochter habe sich damit verteidigen wollen, dass Grindr die Einwilligung der Betroffenen für die Nutzung ihrer Daten eingeholt habe, so Datatilsynet. Eine Begründung, die man nicht akzeptiere, so die Datenschutzbehörde. „Unsere Kernbotschaft lautet, dass man die Verantwortung für den Datenschutz nicht einfach an andere weiterreichen kann.“

Die von Grindr eingeholten Einwilligungen seien ungültig gewesen, unter anderem weil die Nutzer:innen nicht ausreichend informiert worden seien. Dafür musste der Betreiber der Dating-App bereits ein Strafe zahlen. Xandr trage jedoch eine gemeinsame datenschutzrechtliche Verantwortung mit Grindr und hätte die Einwilligungen überprüfen müssen, so Datatilsynet.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Auf Anfrage von netzpolitik.org teilt ein Microsoft-Sprecher mit, dass die Untersuchung und die Entscheidung sich auf Verhaltensweisen beziehen, die vor der Übernahme von Xandr durch Microsoft stattfanden. Seitdem hätten sich die „Auslegung und Anwendung rechtlicher Standards und Praktiken weiterentwickelt“. Derzeit prüfe man die Entscheidung der Behörde und wäge die Optionen ab.

„Schlag gegen die Online-Adtech-Branche“

Xandr stand auch im Zentrum von Enthüllungen zur Datensammlung der Online-Werbe-Industrie, die netzpolitik.org und The Markup 2023 veröffentlicht haben. Damals konnten wir auf Basis einer Angebotsliste von Xandr über mehr als 650.000 Kategorien berichten, in die die Werbeindustrie Menschen einteilt. Diese reichten von soziodemographischen und ökonomischen Daten über Gesundheitsinformationen bis zu Rubriken wie „Moms who shop like crazy“.

Das aktuelle Verfahren geht zurück auf eine Untersuchung der norwegischen Verbraucherschutz-Organisation Forbrukerrådet gemeinsam mit der Sicherheitsfirma Mnemonic, dem Tracking-Forscher Wolfie Christl vom Verein Cracked Labs und der Datenschutz-NGO noyb. Der 2020 unter dem Titel „Out of Control“ veröffentlichte Bericht hatte gezeigt, wie umfangreich Apps für Zwecke der Online-Werbung selbst sensible Informationen über ihre Nutzer:innen mit potenziell tausenden Firmen teilen. Gegenstand der Untersuchung waren neben der Dating-App Grindr auch eine Anwendung für Perioden-Tracking und eine Tastatur-App. Durch die Weitergabe ihrer Daten würden Verbraucher:innen besonders anfällig für Manipulation und Ausbeutung, warnten die Forscher:innen.

Forbrukerrådet und noyb legten auf Basis der Untersuchung mehrere Beschwerden wegen DSGVO-Verstößen bei der norwegischen Aufsichtsbehörde ein. noyb begrüßte das Bußgeld gegen Xandr als „Schlag gegen die Online-Adtech-Branche“. Unternehmen wie Xandr agierten oft im Hintergrund und würden selten für ihre Praktiken zur Rechenschaft gezogen, so Datenschutzjurist Felix Mikolasch von noyb. „Die Entscheidung stellt einen wertvollen Präzedenzfall für ähnliche Situationen dar.“

Auch Finn Myrstad, Direktor für digitale Strategie beim norwegischen Verbraucherrat Forbrukerrådet, sieht in der Entscheidung ein starkes Signal an alle, deren Geschäftsmodell auf dem Tracking und Profiling von Verbrauchern beruhe. „Da eine gültige Einwilligung tatsächlich informiert und aussagekräftig sein muss, ist es schwer vorstellbar, wie die heutige, auf Überwachung basierende Werbung überhaupt rechtmäßig sein kann.“

Tracking könnte bald noch schwerer zu kontrollieren sein

noyb verweist in diesen Zusammenhang auf laufende Verhandlungen zur Anpassung der Datenschutzgrundverordnung, die zur Folge haben könnten, dass Werbeunternehmen „freie Hand beim massenhaften Profiling von Nutzer:innen erhalten“. Konkret will die EU-Kommission im Rahmen des Digital-Omnibus-Pakets die Definition personenbezogener Daten ändern und pseudonymisierte Daten unter Umständen vom Datenschutz ausnehmen. Dies werde laut noyb dazu führen, dass Online-Tracking-IDs aus dem Anwendungsbereich der DSGVO fallen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Auch andere Expert:innen wie die Berliner Datenschutzbeauftragte Meike Kamp hatten davor gewarnt, dass Datenflüsse in der Online-Werbe-Industrie noch schwerer zu kontrollieren seien, wenn die Änderung beschlossen würde.

Auf eine kurzfristige Bitte um Stellungnahme reagierte Microsoft bis zur Veröffentlichung dieses Artikels nicht. Sollte uns ein Statement erreichen, ergänzen wir dieses nachträglich.

Update, 12. Oktober, 14:45 Uhr: Statement von Microsoft eingebaut.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Eine Smartwatch, die falsche Blutzuckerwerte anzeigt, kann lebensgefährlich sein. Dennoch finden sich solche rechtswidrigen Angebote bei großen Online-Händlern wie eBay und Mediamarkt.de. Aufgeräumt wurde erst nach unserer Presseanfrage.

Eine vom vzbv untersuchte Blutzuckeruhr gab an einer Banane die gleichen Ergebnisse aus wie am Handgelenk. – Alle Rechte vorbehalten: Verbraucherzentrale Bundesverband

Die Welt könnte so schön sein. Wer gesundheitlich darauf angewiesen ist, seinen Blutzucker zu messen, muss sich entweder mit einer Nadel stechen um einen Blutstropfen zu bekommen oder einen festen Sensor auf der Haut tragen mit einem Faden, der unter der Haut sitzt. Anders ist nach dem derzeitigen Stand der Technik ein genauer Blutzuckerwert nicht zu ermitteln.

Auf Plattformen wie ebay und bei Mediamarkt.de fanden sich jedoch zahlreiche Angebote von Smartwatches, die eine „nicht-invasive“ Blutzuckermessung am Handgelenk versprechen.

Klar ist: Eine solche Technik gibt es noch nicht. Hersteller wie Apple oder Huawei forschen schon lange daran, doch niemand hat es bisher geschafft, den genauen Blutzuckerwert am Handgelenk mit optischen Sensoren zu messen. Die angebotenen Uhren sind also Betrug. Sie verstoßen gegen den Artikel 7 der Medizinprodukteverordnung, die eine Irreführung verbieten. Dazu zählt „dem Produkt Funktionen und Eigenschaften zuschreiben, die es nicht besitzt“.

Zahlreiche Warnungen

Vor solchen angeblichen Blutzuckeruhren wird seit Jahren gewarnt, darunter auch durch französische und belgische Gesundheitsbehörden sowie mehrfach durch das offizielle EU-weite Warnsystem „Safety Gate“. In einer Untersuchung, die in Diabetologie Online veröffentlicht wurde, wurde gezeigt, dass manche Uhren einfach einen Blutzuckerwert simulieren. Die Uhr zeigte an unterschiedlichen Tagen die gleichen Werte an, egal ob sie am Handgelenk oder an einer Banane getragen wurde. Ein solches Verhalten, bei dem Messungen simuliert werden, konnte auch der Verbraucherzentrale Bundesverband (vzbv) beim Testkauf einer Uhr nachweisen.

Das Problem an diesen Uhren ist nicht nur, dass sie etwas versprechen, was sie nicht halten. Sie können Menschen auch in Lebensgefahr bringen, die sich auf die angeblichen Messwerte verlassen, berichtete die ARD im Mai.

Auf Mediamarkt.de finden wir bei der Recherche Dutzende der rechtswidrigen Uhren. Ebay und Mediamarkt bieten Dutzende Betrugs-Uhren an

Trotz beständiger Warnungen und früherer Berichterstattung werden solche Uhren weiterhin auf verschiedenen Plattformen verkauft. Bei Mediamarkt.de finden wir 108 Treffer auf den Suchterminus „Blutzucker Smartwatch“. In einer Stichprobe konnten wir Dutzende Uhren identifizieren, die das Wort „Blutzucker“ im Produktnamen hatten und in deren Produktbeschreibung das Messen des Blutzuckers beworben wurde.

Nach unserer Anfrage bei der Pressestelle von Mediamarkt ändert sich das: Plötzlich gibt die Suche nur noch sieben Treffer aus. Alle Uhren, die eine Blutzuckermessung versprechen, sind aus dem Angebot verschwunden. Die Pressestelle fragt nach der Lösch-Aktion, ob wir ihr die entsprechenden Suchergebnisse zur Verfügung stellen könnten. „Dies wäre eine wertvolle Unterstützung der internen Prüfung“, heißt es weiter. Wir antworten, dass wir bemerkt hätten, dass die „interne Prüfung“ nach unserer Anfrage auf einem „guten Weg“ sei.

In einem Statement sagt ein Unternehmenssprecher gegenüber netzpolitik.org, dass die Verkäufer auf dem Marketplace zur Einhaltung der rechtlichen Vorgaben verpflichtet seien. Bei konkreten Hinweisen auf mögliche Verstöße prüfe man den jeweiligen Sachverhalt unverzüglich.

Meldung über Tage nicht möglich Diese Fehlermeldung gab die Meldefunktion bei Mediamarkt über Tage aus.

Doch während unserer Stichprobe zwischen dem 5. und 7. Oktober war auf Mediamarkt.de die Melde-Funktion für Produkte nicht funktionsfähig. Mehrfache Versuche mit unterschiedlichen Browsern, unterschiedlichen Meldegründen und zu verschiedenen Uhrzeiten scheiterten und gaben eine Fehlermeldung aus.

Ein Hinweis an Mediamarkt.de war also auf diesem Weg gar nicht möglich. Erst nach unserer Nachfrage bei der Pressestelle konnte man am 7. Oktober wieder Produkte über die Webseite melden. Die Pressestelle von Mediamarkt behauptet hingegen: „Eine generelle Fehlfunktion konnten wir nicht feststellen. Produktmeldungen konnten im betreffenden Zeitraum weiterhin eingereicht werden.“

Nach unserer Presseanfrage habe man umgehend eine Prüfung eingeleitet. „Die identifizierten entsprechenden Angebote sind nicht mehr auf unserem Marketplace verfügbar“, so der Unternehmenssprecher. Auf die Nachfrage wie viele Produkte Mediamarkt aus dem Sortiment genommen habe, will das Unternehmen sich nicht äußern. Dafür habe Mediamarkt „einen zusätzlichen Quality Check eingeführt“. Neu eingestellte Smartwatch-Produkte, die mit dem Begriff „Blutzucker“ beworben werden, würden jetzt einer gesonderten Prüfung unterzogen. netzpolitik.org kann dies nicht überprüfen.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Angebliche Blutzuckeruhr bei Mediamarkt.de Angebliche Blutzuckeruhr bei eBay Produktbeschreibung einer angeblichen Blutzuckeruhr auf Amazon Träge Meldefunktion bei eBay

Auch bei Ebay führte eine einfache Suche nach dem Begriff „Blutzucker Smartwatch“ zu mehr als fünf verschiedenen Modellen auf der Plattform, insgesamt ergab die Suche 37 Treffer. Testweise meldeten wir eine der Uhren, die „F21 Pro Blutzuckermessuhr“, am 2. Oktober. Bis zu unserer Presseanfrage verbleibt die Uhr auf dem Marktplatz, erst danach wird sie aus dem Sortiment genommen. Der Weg über die Pressestelle ist nicht der normale und vorgesehene Meldeweg. Die Plattformen sind nach dem Digital Services Act verpflichtet, funktionierende Meldesysteme zur Verfügung zu stellen.

Nach der Presseanfrage von netzpolitik.org verschwinden einige Uhren aus dem Sortiment, doch die Suche zeigt weiter 31 Ergebnisse an. Bei einer Stichprobe entdecken wir weiterhin Uhren, die mit einer Blutzuckermessung sowohl im Titel wie auch im Beschreibungstext werben.

Die Pressestelle von eBay sagt gegenüber netzpolitik.org, dass Smartwatches, die mit einer nicht-invasiven Blutzuckermessung werben, gegen eBays Grundsatz zu medizinischen Geräten und Produkten verstoßen würden. Sie seien bei eBay nicht erlaubt. Die von uns in der Presseanfrage beispielhaft genannten Produkte löscht eBay – auch heute sind noch Uhren, die eine Blutzuckermessung versprechen, auf dem Marktplatz zu finden.

Auf unsere Frage, wie schnell betrügerische Produkte nach einer gewöhnlichen Meldung aus dem Sortiment genommen werden, antwortet eBay nicht. Allgemeiner heißt es: „Sobald wir Kenntnis von solchen Verstößen erlangen, ergreifen wir gezielte Maßnahmen — bis hin zur Sperrung von Nutzerkonten.“

China-Shops mit Outdoor-Namen

Bei Amazon.de fanden wir eine Uhr, die in der Produktbeschreibung eine „kontinuierliche Blutzuckerüberwachung“ verspricht. Die testweise Meldung löst immerhin aus, dass wir innerhalb von 48 Stunden eine Nachricht erhalten, dass die Uhr „auf Grundlage der von Ihnen bereitgestellten Informationen“ nicht sofort geändert oder entfernt würde. „Wir werden die Sicherheitssignale für die gemeldeten Inhalte/Produkte weiterhin überwachen und behalten uns weitere Maßnahmen vor“, so die Standardnachricht weiter. Die Uhr wird bis heute auf Amazon.de angeboten.

Außer auf diesen großen bekannten Shopping-Plattformen werden die Blutzucker-Uhren auch auf chinesischen Online-Shops mit deutscher Domain angeboten. Diese Shops mit an Outdoor-Läden erinnernden Namen wie „Berg-Fit“ oder „Bergaktiv“ haben weder ein Impressum mit einer deutschen ladungsfähigen Anschrift noch einen Button zum Melden betrügerischer Produkte.

vzbv: Schärfere Prüfung nötig, bevor Produkte online gehen

Beim Verbraucherzentrale Bundesverband (vzbv) hat man seit Februar  den Umgang mit Meldungen von angeblichen Blutzuckeruhren untersucht. In seinen Recherchen konnte der vzbv als Trusted Flagger feststellen, dass einzelne Plattformen umgehend reagierten, andere verzögert oder sehr zurückhaltend. Trusted Flagger sind anerkannte Meldestellen für rechtswidrige Online-Inhalte in der EU.

Manche Plattformen reagierten nach einer Meldung des vzbv erst nach 21 Tagen. Auf einigen Plattformen tauchten die Produkte mit kerngleichen Verstößen wieder auf oder identische Produkte wurden wieder ins Sortiment genommen.

Der vzbv sieht die Plattformen in der Verantwortung, offensichtlich kerngleiche Verstöße mit vertretbarem Aufwand ebenfalls zu finden und zu entfernen. Dass identische Produkte (teils sogar beim selben Verkäufer) online bleiben, sieht der vzbv als Verstoß und reicht entsprechende Hinweise an den zuständigen Digital Services Coordinator weiter, heißt es in einem Factsheet zum Thema.

„Das europäische Produktsicherheitsrecht geht von der Prämisse aus, dass Hersteller die Kontrolle über Produkte und Produktionsprozesse haben und Rechtskonformität sicherstellen“, sagt Stefanie Grunert vom vzbv. „Am Beispiel der Smartwatches zeigt sich, dass dies nicht immer der Fall ist.“

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Die Verbraucherschutzorganisation setzt auch auf den geplanten European Product Act, der im Dezember in Brüssel auf die Agenda kommt. Der müsse dafür sorgen, dass Produkte auch eindeutig identifizierbar und rückverfolgbar sind, so die Forderung der Verbraucherschützer.

Doch auch die Betreiber von Online-Marktplätzen seien laut Grunert in der Pflicht: „Sie müssen mehr Verantwortung tragen und schärfer prüfen, welche Angebote über ihre Plattform verkauft werden – am besten bevor diese online gehen.“

Grundlage Digital Services Act

Wie Online-Marktplätze zu funktionieren haben, regelt unter anderem der Digital Services Act (DSA). Dort ist zum Beispiel in Artikel 16 geregelt, dass Marktplätze ein leicht zugängliches, nutzerfreundliches elektronisches Verfahren bereitstellen müssen, mit dem rechtswidrige Inhalte gemeldet werden können. Der Online-Marktplatz muss Meldungen zeitnah, sorgfältig, objektiv und nicht willkürlich bearbeiten und über seine Entscheidung informieren.

Im DSA ist auch geregelt, dass sich die einzelnen Händler auf Online-Marktplätzen verpflichten müssen, nur Produkte anzubieten, die in der EU rechtskonform sind. Der Online-Marktplatz hingegen muss sich „nach besten Kräften“ bemühen, die Angaben auf Zuverlässigkeit und Vollständigkeit zu prüfen.

Verantwortungsdiffusion

Wir haben auch das für den Digital Services Act und die Online-Marktplätze zuständige Digitalministerium (BDMS) mit unseren Recherchen konfrontiert und nachgefragt, wie denn sichergestellt würde, dass gefährliche betrügerische Produkte wie die Blutzuckeruhren nicht über lange Zeiträume und durch permanentes Neueinstellen auf großen Plattformen verfügbar sind.

„Die dargestellte Problematik lässt sich nicht allein mit der Plattformregulierung, also dem Digital Services Act (DSA) lösen“, sagt eine Sprecherin des Ministeriums. „Wichtig ist hier ein Zusammenwirken der Regulierungen zum Verbraucherschutz, zur Produktsicherheit und zur Marküberwachung.“

„Die Marktüberwachung und die entsprechende Verfolgung von Händlern rechtswidriger Produkte wird innerhalb der Bundesregierung von unterschiedlichen Ressorts betreut und obliegt zum großen Teil Ländern und Kommunen.“

Hinsichtlich der Weiterentwicklung von Maßnahmen gegen den Verkauf betrügerischer Produkte verweist das Digitalministerium auf das Wirtschaftsministerium: Das sei federführend bei der „Task Force E‑Commerce“ der Bundesregierung.

Das klingt nicht so, also würde sich die Lage bei solchen und anderen rechtswidrigen Produkten schnell ändern.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Agenten einfach so zu vertrauen, ihnen Allmacht zu geben, ist nie eine gute Idee. Denn am Ende eskaliert entweder ein Computersystem oder echte Agenten spielen ein doppeltes Spiel. Und wir können nur ohnmächtig zuschauen.

Oft folgt dem Zustand vermeintlicher Allmacht allzu schnell eine Ohnmacht. – Gemeinfrei-ähnlich freigegeben durch unsplash.com: Felix Mittermeier

Die heutige Degitalisierung muss sich mit dem Konzept von vermeintlicher Allmacht beschäftigen. Genauer gesagt geht es um die Hybris, die über kurz oder lang alle zu überfallen scheint, die von ihren ungehemmten Machtansprüchen doch etwas der Welt entrückt sind. Denn oft folgt dem Zustand vermeintlicher Allmacht allzu schnell eine Ohnmacht.

Dazu zwei aktuelle Beispiele aus ganz unterschiedlichen Teilgebieten, die mit Agenten und Digitalem zu tun haben.

„Wir müssen wegkommen von dem Misstrauen gegenüber Nachrichtendiensten“

Im August dieses Jahres gab August Hanning, ehemaliger Chef des deutschen Auslandsgeheimdienstes BND, dem Nachrichtensender Welt TV ein Fernsehinterview – das ich hier primär aus Beleggründen verlinke. Darin warb er für die Reform des Gesetzes der Nachrichtendienste. Er sprach von einem Fortschritt durch den Gesetzentwurf, gratulierte der Regierung zu diesem Schritt und hoffte auf eine Steigerung der Effizienz der Dienste. Dann stimmte er in den Kanon ein, dass es ein großes, aber unbegründetes Misstrauen gegenüber Geheimdiensten gäbe. Davon müssten wir wegkommen, forderte Hanning, es benötige auch Vertrauen.

In dieser Woche wurde August Hanning festgenommen, weil er unter anderem verdächtigt wird, Erkenntnisse des BND an einen Angehörigen eines anderen staatlichen Nachrichtendienstes weitergegeben zu haben.

Die aktuelle Bedrohungslage ist diffus und ganz unabhängig davon, wie positiv oder negativ man den Befugniserweiterungen der Dienste gegenübersteht, stellt sich doch die Frage, ob die Dienste sich derzeit selbst trauen können. Netzpolitik.org hat da als Medium eine konsequent eher kritische Haltung. Hier in dieser Situation ein höheres Misstrauen gegenüber Diensten zu fordern, wirkt wie eine Selbstverständlichkeit.

Dennoch gilt: Vertrauen ist nichts, was einfach so großzügig verteilt werden sollte. Vertrauen muss erarbeitet werden, sehr, sehr langsam und vor allem durch konsequentes richtiges Handeln. Dienste können also keine sicherheitstechnisch allumfassenden, fast schon allmächtigen Befugnisse einfordern, wenn sie doch das Handeln ranghöchster Beteiligter – in dem Kontext ist es egal, ob aktiv oder ehemalig – nicht einmal selbst überblicken können.

Hanning war nach aktuellen Erkenntnissen bei der Ausleitung von Informationen wohl nicht allein, sondern hatte mutmaßlich Unterstützung aus dem Inneren des BND. Eine genehmigte Nebentätigkeit seitens des BND sogar, wie der Spiegel [€] berichtet. Betroffen sind wohl knapp 2000 Dokumente, davon viele Verschlusssachen, über einen Zeitraum von mehreren Jahren. Das kommt, wie Constanze schon schrieb, sicherlich zur Unzeit.

Der Fall Hanning wird bestimmt noch einige bemerkenswerte Details offenlegen. Was er aber schon jetzt zeigt: Wie eng das Streben nach Allmacht mit einer darauffolgenden Ohnmacht zusammenfallen kann. Wie Forderungen nach mehr Ressourcen, weniger Kontrollen und mehr blindem Vertrauen schlicht und ergreifend durch eigenes menschliches Fehlverhalten und mangelnde Einhegung des selbigen kollidieren können. Macht schützt keinesfalls davor, korrumpiert zu werden. Sie benötigt kontinuierliche Legitimation und Kontrolle oder eben den Entzug von Macht bei Fehlverhalten.

Das Motiv für Hannings Fehlverhalten scheint nach bisherigem Stand ganz stumpf gewesen zu sein: Geld – genauer gesagt der Mangel an selbigem. Was uns von den realen Agenten zu virtuellen Agenten führt.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Doppelagenten

Am 24. September 2026 trat der australische Premierminister vor die Presse und erklärte, dass ein autonom agierender KI-Agent eine offizielle Seite der australischen Krankenversicherung (Medicare) angegriffen hat. Die Untersuchung läuft noch, aber die Situation beschrieb der Premier nachvollziehbarerweise als inakzeptabel.

Große amerikanische, aber auch weitere Anbieter von agentischen Systemen sogenannter künstlicher Intelligenz fallen in den vergangenen Wochen durch eine immer größere Menge an Zwischenfällen auf. Bereits im Juli brach ein OpenAI-System aus einer Sandbox aus, um dann Hugging Face, eine Plattform für KI‑Modelle, anzugreifen. Systeme von Anthropic stellen Visa-Anträge und geben falsche Hinweise an die Polizei – Nachrichten von dieser Woche. Auch Googles Systeme starteten ungeplante Angriffe, wie im September bekannt wurde. Inzwischen gibt es mit dem Felony-Bench sogar eine Rangliste mit den meisten illegalen Handlungen von KI‑Systemen. Die EU‑Kommission fordert aktuell diverse Hersteller von KI-Systemen zu Auskünften auf, nicht nur amerikanische Hersteller, sondern auch chinesische.

Bereits zuvor gab es immer wieder interessante Vorkommnisse mit KI-unterstützten Systemen, denen allzu viel Macht eingeräumt wurde. Da gab es etwa Löschungen von Produktionsdatenbanken Mitte des Jahres bei PocketOS, einer Software für Autovermietungen. Einen ähnlichen Vorfall gab es bereits 2025. Wer jetzt denkt, dass solche Vorfälle vielleicht zu einer gewissen Vorsicht bei Nutzenden geführt haben können: weit gefehlt. Seit Anfang 2026 trauten viele User*innen – ganz nach dem Motto „Man lebt nur einmal“ – ihren persönlichen KI-Agenten wie OpenClaw bereitwillig alles zu und an. Worauf etwa der KI-Assistent im Sinne seines Users in Australien ein Fitnessstudio hackte.

Zu den eher unterhaltsameren Vorfällen gehörte dazu ein weiterer von vielen KI-Vorfällen aus dem Jahr 2023, als ein User einen Chatbot überzeugen davon konnte, ihm für einen Dollar ein neues Auto zu verkaufen.

In all diesen Fällen führte eine all zu große Übertragung von Macht an KI-Systeme ziemlich schnell zu einer kollektiven Ohnmacht. War nicht so gedacht, konnte niemand wissen, da ist der Hersteller schuld.

Auch hier gilt: Macht an KI-Systeme zu übertragen, schützt keinesfalls davor, korrumpiert zu werden. Sie benötigt kontinuierliche Legitimation und Kontrolle oder eben den Entzug von Macht bei Fehlverhalten.

Scharfgemachte Hunde

Die aktuellen Nachrichten erwecken den Eindruck, als ob wir den Auswirkungen jener Allmacht, die wir KI‑Anbietern gegeben haben, nur noch ohnmächtig zusehen können.

Dem ist aber nicht so. Angstszenarien, die etwa von Dario Amodei ersonnen werden, dass KI-Agenten in ein paar Monaten das halbe Internet übernehmen könnten, sind am Ende nur dazu da, den eigenen Business Case aufrechtzuerhalten. Oder um es mit Yann LeCun, einem der Gründerväter aktueller KI‑Systeme, zu sagen: Amodei hat nicht mal ein grundlegendes Verständnis von Cybersicherheit.

Ebenso kann es aber auch sein, dass es sehr viele schlecht gesicherte Systeme gibt, die einfach übernommen werden können. Dazu gehören eben die Sandboxes der KI-Hersteller, die nicht durch besonders hohe Sicherheitsmaßnahmen auffallen. Monate später werden dort etwa Protokolle analysiert, um Fehlverhalten festzustellen. Damit sind die Cybersicherheitsmaßnahmen großer KI-Hersteller ähnlich gut oder schlecht wie die mancher Senatsverwaltungen in Berlin. Tröstlich für Berlin, schlecht fürs Business von KI-Anbietern.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Dennoch werden immer mächtigere Systeme trainiert. Oder, um es mit Anne Roth zu sagen: „Die Situation erinnert ein bisschen an Menschen, die ihre Kampfhunde bewusst besonders aggressiv züchten. Und sie dann Sonntagnachmittag im Park von der Leine lassen, um auszuprobieren, was passiert.“

Die Warnzeichen für ein Fehlverhalten von KI-Systemen gab es aber schon lange, nicht erst seit diesem Jahr. 2020 gab bereits ein KI-Modell mit dem Namen GPT‑3 einer damals noch kleinen Firma namens OpenAI Usern Empfehlungen zum Suizid. Schädliche und diskriminierende Verhaltensweisen waren auch damals zweifelsfrei belegbar, auch wenn Chatbots damals nicht wild im Internet herumgeschickt wurden.

Zwei Welten, ein Muster

In den Beispielen von Allmacht und Ohnmacht, die alle Auswirkungen auf den digitalen Raum haben, gibt oder gab es also mehr als genügend Warnzeichen. Bei KI-Firmen und deren von Chatbots abgeleiteten Agenten häufen sich die Meldungen von Fehlverhalten.

Bei der Diskussion um die Geheimdienstreform und deren weitere geforderte Befugnisse zeigen sich die Warnzeichen vor allzu großer Allmacht gerade jetzt. Die Befugniserweiterung wird zurecht intensiv diskutiert. Diverse Berufsgruppen, etwa die Ärzteschaft, sind besorgt und warnen. Denn letztlich betrifft eine Geheimdienstreform uns alle, wie Anna schreibt.

Die Causa Hanning ist gerade in dieser Zeit ein wichtiges Moment der Reflexion. In dieser Situation könnten mehrere Aspekte sogar gleichzeitig wahr sein: Es gibt eine Bedrohung von außen, die mehr Befugnisse rechtfertigen könnte, wie einen möglichen gewaltsamen Konflikt mit Russland.

Gleichzeitig benötigt weitere Macht kontinuierliche Legitimation und Kontrolle oder auch den Entzug von Macht bei Fehlverhalten. Weil die Causa Hanning und der Umgang mit KI-Systemen eben zeigt, dass die bisherige Macht nicht wirklich sinnvoll kontrolliert wird.

Agenten einfach so zu vertrauen, ihnen Allmacht zu geben, ist also nie eine gute Idee. Denn am Ende könnte man nur ohnmächtig zuschauen. Entweder eskaliert ein Computersystem oder echte Agenten spielen ein doppeltes Spiel.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die 41. Kalenderwoche geht zu Ende. Wir haben 15 neue Texte mit insgesamt 137.103 Zeichen veröffentlicht. Willkommen zum netzpolitischen Wochenrückblick.

– : Fraktal, generiert mit MandelBrowser von Tomasz Śmigielski

Liebe Leser:rinnen,

ich habe mir am Montag die dreistündige Anhörung der Geheimdienst-Chefs im Bundestag angehört. Es war eine handzahme Befragung, auch weil im zuständigen Parlamentarischen Kontrollgremium fast nur Vertreter:innen der Regierungsparteien sitzen.

Keine 24 Stunden später schlug im politischen Berlin „eine Bombe“ ein, wie meine Kollegin Constanze schreibt. Der ehemalige BND-Chef August Hanning war verhaftet worden. Die Vorwürfe wiegen schwer: Spionage und Landesverrat.

In den vergangenen Tagen wurden dann nach und nach weitere Details zu den dubiosen Lobby- und Beratertätigkeiten des inzwischen 80-Jährigen bekannt. Hanning war demnach gleich für mehrere Beraterfirmen tätig. Eine davon beschäftigte auch den ehemaligen Verfassungsschutzpräsidenten Hans-Georg Maaßen. Der Inlandsgeheimdienst führt den früheren CDU-Politiker heute als „Beobachtungsobjekt“ im Bereich Rechtsextremismus.

Die Aufklärung in der Causa steht erst am Anfang. Hannings Anwalt bestreitet die Vorwürfe, sein Mandant werde zu Unrecht verfolgt. Doch schon jetzt ist klar, dass hier auf gleich mehreren Ebenen was faul ist.

• Wieso darf Hanning sein Wissen nach seiner Dienstzeit auf so vielfältige Weise versilbern? Hier braucht es strengere Regeln. LobbyControl etwa fordert eine lebenslange Karenzzeit für Beamt:innen, die in sicherheitsrelevanten Positionen gearbeitet haben. Darüber müssen wir reden.
• Über Jahre soll Hannings Adlatus Manfred D. die „Kronjuwelen“ des Diensts aus dem angeblich hochsicheren BND herausgegeben haben. Wie war das möglich? Zumal der BND offenbar wusste, dass Hannings früherer Büroleiter für ihn arbeitete, er hat die Nebentätigkeit offiziell genehmigt.
• Der amtierende BND-Chef Martin Jäger sprach in der Anhörung am Montag von Vertrauen als „Kapital“. Partnerdienste müssten sich darauf verlassen können, dass ihre Informationen „sorgsam behandelt werden“, so Jäger. Die Causa Hannings ist jedoch bei weitem nicht der einzige BND-Skandal in den vergangenen Jahren. In Teilen geht es auch dabei um Landesverrat, ein seit Dezember 2023 laufender Prozess dauert an. Wieso hat der BND den eigenen Laden nicht im Griff?
• Von wem hat der bestens vernetzte Hanning möglicherweise noch vertrauliche Informationen erhalten? Hatte er weitere Quellen in anderen Sicherheitsbehörden?

Fragen über Fragen. Fragen, die eigentlich ein Parlamentarisches Kontrollgremium stellen sollte. Oder ein parlamentarischer Untersuchungsausschuss.

Fest steht: Hätte die Polizei Hanning nur wenige Tage früher verhaftet, wäre die öffentliche Anhörung vor dem PKGr wohl anders verlaufen. Kritische Nachfragen zur geplanten Reform der Nachrichtendienste wären dann unausweichlich gewesen. Insbesondere zur Kontrolle der Dienste, die die Bundesregierung deutlich schwächen will.

Ich bin gespannt, was die kommende Woche bringt: Gleich am Montag spricht der Innenausschuss über die Reform der Nachrichtendienste. Hans-Georg Maaßen ist auch eingeladen.

Stay tuned – und habt ein gutes Wochenende!

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Daniel

Parlamentarisches Kontrollgremium: Operieren in der Grauzone

Die Präsident:innen der Geheimdienste des Bundes verlangten heute im Bundestag deutlich mehr Befugnisse, um „auf Augenhöhe“ mit anderen Diensten zu arbeiten. Als Gründe führen sie eine neue Bedrohungslage und technologische Entwicklungen an. Die Folgen für die Grundrechte gerieten zur Randnotiz. Von Daniel Leisegang –
Artikel lesen

Kirchen, Moscheen, Synagogen: Datenhändler gefährden Gläubige in Deutschland

Religiöse Menschen lassen sich mit frei verkäuflichen Handy-Standortdaten der Werbe-Industrie ausspionieren. Mehr als eine Million Standortdaten an Glaubensorten fand netzpolitik.org in kostenlosen Vorschau-Daten. Fachleute warnen vor einer Gefahr für religiös motivierte Gewalt. Von Ingo Dachwitz, Sebastian Meineck –
Artikel lesen

Neuer Bundesdatenschutzbeauftragter: „Weder besonders hart, noch besonders lasch, sondern ausgewogen“

Seit wenigen Tagen ist Moritz Hennemann im Amt, heute hat er sich erstmalig zu seinen Prioritäten geäußert. Dabei fand er Lob für Reformvorhaben beim Datenschutz, kritisierte jedoch Pläne der Bundesregierung für den Ausbau von Geheimdiensten und die Aushöhlung der Informationsfreiheit. Von Ingo Dachwitz –
Artikel lesen

Einigung absehbar: EU-Staaten entscheiden über Cookie-Banner, KI-Training und Co.

Die Verhandlungen rund um den Daten-Omnibus im Rat sind in einer heißen Phase. Derzeit sieht es so aus, als würde die von NGOs kritisierte „Pauschalerlaubnis“ für KI-Training beschlossen. Während die Mitgliedstaaten kurz vor einer Einigung stehen, liegen die Lager im Europäischen Parlament noch weit auseinander. Von Anna Ströbele Romero –
Artikel lesen

Frankreich: Massive Kritik an Polizeigewalt gegen Schüler-Proteste

Die französische Regierung bekämpft die landesweiten Schülerproteste mit Repression und Polizeigewalt. Polizeiexperten und Menschenrechtsorganisationen kritisieren Massenverhaftungen und Übergriffe. Hunderttausende schreckt die Gewalt nicht ab, sie demonstrieren im ganzen Land weiter. Von Markus Reuter –
Artikel lesen

Verwaltungsdigitalisierung: Vieles unklar bei der Deutschland-App

Mit der Deutschland-App will Digitalminister Karsten Wildberger die öffentliche Verwaltung zügig digitalisieren. Umsetzen soll das Projekt die Telekom. Doch die Bundesregierung hat keinen Überblick darüber, was der Konzern genau macht, wie die Antwort der Bundesregierung auf eine Kleine Anfrage zeigt. Von Esther Menhard –
Artikel lesen

Digitale Brieftasche d‑you: Fachleute warnen vor Sicherheitsrisiken und Vertrauensverlust

Wenige Monate vor ihrem Start fehlten der digitalen Brieftasche entscheidende Funktionen, kritisierten Fachleute bei einer Anhörung im Bundestag. Verbesserte Sicherheit sei nötig, um Vertrauen für d‑you zu schaffen. Von Daniel Leisegang –
Artikel lesen

Digitale Souveränität: Nein, Europa ist keine Kolonie von Big Tech

Wer Europa als Opfer eines digitalen Kolonialismus inszeniert, negiert historisches Unrecht und übersieht den Ausweg aus Europas selbstverschuldeter Unmündigkeit. In dieser Debatte vergaloppiert sich nicht nur Kulturstaatsminister Wolfram Weimer. Ein Widerspruch. Von Gastbeitrag, Sven Hilbig, Ingo Dachwitz –
Artikel lesen

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Nach der Landtagswahl: Freiwillige wollen öffentliche Daten in Sachsen-Anhalt sichern

In Sachsen-Anhalt steht die Machtübernahme durch eine als rechtsextrem eingestufte Partei bevor. Das Projekt „Safeguarding Research and Culture“ will nun vorsorglich Daten sichern und ruft zur Mithilfe auf. Vorbild sind ähnliche Aktionen zur Datenrettung aus den USA. Von Carla Rochel –
Artikel lesen

Geheimdienstreform: BND-Skandal zur Unzeit

In Kürze soll der gesetzliche Umbau der Geheimdienste durch den Bundestag gebracht werden. Eine bessere Kontrolle der Geheimdienste steht der massiven Ausweitung der Befugnisse allerdings nicht gegenüber. Nicht erst seit dem Skandal um den Ex-BND-Chef Hanning wäre dies jedoch dringend nötig. Von Constanze –
Artikel lesen

EU-Haushalt: Digitalsteuer über drei Ecken

Große Unternehmen sollen mehr Steuern zahlen und damit zum EU-Budget beitragen, hat die EU-Kommission im Vorjahr angeregt. Einem Medienbericht zufolge will sie ihren Vorschlag nun anpassen: Herauskommen könnte eine Digitalsteuer, die so nicht heißen darf. Von Tomas Rudl –
Artikel lesen

Gesetz gegen digitale Gewalt: Fake-Accounts und Vergewaltigungsvideos sollen strafbar werden

Bundesjustizministerin Hubig hat den Entwurf für ein Gesetz gegen digitale Gewalt erneut nachgeschärft. Hinzugekommen sind Straftatbestände für Fake-Accounts und das Abrufen von Vergewaltigungsvideos sowie der Anspruch, strafbare Inhalte löschen zu lassen. Doch es gibt weiterhin Kritik. Von Chris Köver –
Artikel lesen

Bundesrechnungshof: Digitalminister macht IT-Sicherheit per Vogelstimmen-App

Angriffe auf die IT der öffentlichen Verwaltung häufen sich. Doch statt gezielt in Maßnahmen zu investieren, die IT-Sicherheit stärken, investiert die Bundesregierung in Robotikforschung und eine Vogelstimmen-App. Das sagt ein Bericht des Bundesrechnungshofs, den wir veröffentlichen. Von Esther Menhard –
Artikel lesen

„Gefährlicher Kontrollzirkus“: So breit ist die Kritik an Alterskontrollen im EU Kids Act

Im Namen des Jugendschutzes plant die EU-Kommission flächendeckende Alterskontrollen im Netz. Zahlreiche Organisationen warnen eindringlich vor den Gefahren: Vom Kinderschutzbund über Elternverbände bis hin zum Chaos Computer Club. Die Übersicht. Von Sebastian Meineck –
Artikel lesen

#312 Off The Record: Wenn’s mal wieder länger dauert …

Auch bei uns läuft nicht immer alles rund. Denn manchmal tun wir uns mit Recherchen auch richtig schwer: Wir hadern mit Druck von außen, mit der Komplexität von Themen oder mit unseren eigenen Ansprüchen. Darüber plaudern wir in dieser Folge aus dem Nähkästchen. Von Ingo Dachwitz –
Artikel lesen

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Im Namen des Jugendschutzes plant die EU-Kommission flächendeckende Alterskontrollen im Netz. Zahlreiche Organisationen warnen eindringlich vor den Gefahren: Vom Kinderschutzbund über Elternverbände bis hin zum Chaos Computer Club. Die Übersicht.

Der EU Kids Act bereitet Kritiker*innen Kopfzerbrechen (Symbolbild). – Alle Rechte vorbehalten: IMAGO/Westend61

Der EU-Kommission schwebt ein weitgehend kindersicheres Internet vor. Soziale Medien und Videoplattformen, Chatbots, Apps und Spiele sollen künftig nur in einer kindgerechten Version offen zugänglich sein. Selbst kleinste betroffene Anbieter müssten Nutzer*innen in der Folge wie Minderjährige behandeln – bis sie das Gegenteil beweisen.

Als riskant für Minderjährige kann ein Angebot bereits gelten, wenn man dort etwa von Fremden direkt kontaktiert werden kann. Die Schwellen können also niedrig sein. Das und mehr geht aus dem EU Kids Act hervor, den die Kommission Mitte September vorgelegt hat. Als Nächstes müssen EU-Parlament und Ministerrat darüber verhandeln.

Eine zentrale Säule des Vorhabens sind strenge Alterskontrollen, die zum Beispiel auf Ausweisdaten basieren („age verification“) oder auf alternativen Methoden wie biometrischen Gesichtsscans („age estimation“). Der Knackpunkt: Diese Kontrollen würden alle betreffen, auch Erwachsene. Keine Rede ist mehr von milderen Mitteln wie Jugendschutz-Software, die Erziehungsberechtigte nach eigenem Ermessen gezielt auf den Geräten ihrer Kinder installieren.

Für die Kontrollen soll in der EU eine umfassende Infrastruktur entstehen. Dabei geht es nicht nur um Altersnachweise für alle. Es geht auch um Sorgeberechtigungs-Nachweise. So einen Nachweis bräuchten Eltern nämlich, wenn sie etwa für ihr Kind ein eingeschränktes TikTok-Konto einrichten wollen. Solche eingeschränkten Social-Media-Accounts sind für junge Menschen von 13 bis 15 Jahren vorgesehen.

Die Pläne der EU-Kommission stoßen teils auf heftigen Widerstand: Bei Schüler*innen, Eltern und Lehrer*innen, bei Fachleuten für EU-Recht, Datenschutz und IT-Sicherheit. Manche Organisationen haben ihre Positionen selbst veröffentlicht, andere haben sich auf Anfrage von netzpolitik.org geäußert.

Hier kommt, ohne Anspruch auf Vollständigkeit, eine Übersicht wichtiger Stimmen und Argumente rund um die geplanten Alterskontrollen.

• Kinderschutzbund: „Entscheidende technische Fragen nicht gelöst“
• Kinderhilfswerk: Ausschluss „verkennt Rechte und Bedarfe von Kindern“
• Deutscher Bundesjugendring: Mildere Mittel nicht berücksichtigt
• Bundesschülerkonferenz: Schüler*innen und Jugendliche einbeziehen
• Save the Children: „Weltweit Maßstäbe setzen“
• Deutscher Lehrerverband: Teilhabe nicht auf Geburtstag verschieben
• Gesellschaft für Medienpädagogik und Kommunikationskultur: Eltern werden „von Begleiter*innen zu Kontrollinstanzen“
• Bundeselternnetzwerk: Sorge vor Zweckentfremdung der Kontrollen
• Arbeiterwohlfahrt (AWO): Warnung vor „Kontrollinfrastruktur für digitale Teilhabe“
• Landeselternkonferenz NRW: „Unverhältnismäßige“ Nachweise
• Bayerischer Elternverband: Kontrollen betreffen „faktisch alle“
• Stiftung Datenschutz: Kinderschutz über Einstellungen am Gerät
• Kommission für Jugendmedienschutz: Anbieter sollen Alter „verlässlich“ berücksichtigen
• Hans-Bredow-Institut: Warnung vor „Missbrauchsrisiko“
• Chaos Computer Club: „Gefahr für anonyme Internetnutzung“
• Superrr: Keine Erleichterung für Eltern
• European Digital Rights (EDRi): EU-Kommission will „Zwei-Klassen-Internet“ schaffen
• Stop Killing The Internet: „Angriff auf das freie Internet“
• Electronic Frontier Foundation: Kids Act wird „Privatsphäre aller beeinträchtigen“

Kinderschutzbund: „Entscheidende technische Fragen nicht gelöst“

👥 Wer ist das? Der 1953 gegründete Kinderschutzbund setzt sich „für die Rechte aller Kinder und Jugendlichen in Deutschland“ ein.

🧭 Was ist die Position? „Wir haben die Sorge, dass der EU Kids Act mehr verspricht, als er halten kann“, schreibt Elena Frense, Referentin für Medien und Digitales beim Kinderschutzbund, auf Anfrage von netzpolitik.org. Zwar seien die Anforderungen an sicheres Design der Plattformen ein wichtiger Grundstein. „Die geplanten Zugangsbeschränkungen für Jugendliche sehen wir allerdings kritisch.“ Denn die entscheidenden technischen Fragen seien bislang nicht gelöst.

Es gebe „derzeit kein Verfahren, das alle von der EU genannten und berechtigten Anforderungen an diese Altersfeststellungssysteme erfüllt, das heißt zugleich zuverlässig, datensparsam, sicher und diskriminierungsfrei funktioniert“, so Frense.

Weiter kritisiert sie den Plan, dass nur Erziehungsberechtigte eingeschränkte Accounts für ihre unter 15-jährigen Kinder einrichten können sollen. „Gerade für Jugendliche, die zu Hause wenig Unterstützung erfahren, in belasteten Familien leben oder online wichtige soziale Kontakte und Beratung finden, können digitale Räume besonders wichtig sein. Ihr Zugang darf nicht allein von der Zustimmung und den Möglichkeiten ihrer Eltern abhängen.“

Kinderhilfswerk: Ausschluss „verkennt Rechte und Bedarfe von Kindern“

👥 Wer ist das? Das Deutsche Kinderhilfswerk ist ein 1972 gegründeter Verein, der sich für eine kinderfreundliche Gesellschaft engagiert.

🧭 Was ist die Position? „Richtig eingesetzt“ könnten Alterskontrollen dazu beitragen, dass Familien und Kinder sichere Angebote wahrnehmen könnten, schreibt Geschäftsführer Kai Hanke auf Anfrage. Aber: „Ein Politikansatz, der Altersfeststellung lediglich als Ausschlussmechanismus ermöglicht und keine altersgerechten Alternativangebote für junge Menschen vorsieht, verkennt die Rechte und Bedarfe von Kindern.“

Jungen Menschen müssten „altersgerechte digitale Räume zur Verfügung stehen“, betont Hanke. Es brauche eine „systematische wissenschaftliche Evaluation“, ob die im Kids Act geplanten Ausnahmen ausreichen. Diese Ausnahmen sehen etwa vor, dass junge Menschen weiterhin ohne Altersschranke Zugang zu Enzyklopädien oder Bildungsangeboten haben können; hinzu kommen die von Eltern kontrollierten Accounts.

Deutscher Bundesjugendring: Mildere Mittel nicht berücksichtigt

👥 Wer ist das? Der Deutsche Bundesjugendring vertritt deutsche Jugendverbände und Landesjugendringe.

🧭 Was ist die Position? „Schutz darf nicht mit Ausschluss verwechselt werden“, kritisiert der Bundesjugendring in einem öffentlichen Statement. Der Kids Act stelle den Ausschluss junger Menschen in den Fokus und berücksichtige „mildere, risikobasierte Mittel“ nicht.

Weiter kritisiert der Verein, dass der Kids Act nur junge Menschen schützen soll, etwa vor aufmerksamkeitsbindenden Geschäftsmodellen. „Der Anspruch eines nutzer*innenfreundlichen Designs von digitalen Diensten muss über den Schutz von Minderjährigen hinausgehen.“

Bundesschülerkonferenz: Schüler*innen und Jugendliche einbeziehen

👥 Wer ist das? Die Bundesschülerkonferenz engagiert sich für Bildungspolitik und Mitbestimmung von Schüler*innen in Deutschland.

🧭 Was ist die Position? „Kinder und Jugendliche müssen im Internet besser geschützt werden“, schreibt Pressesprecherin Isabelle Seltenreich auf Anfrage. Zugleich sehe die Bundesschülerkonferenz „pauschale Verbote von Smartphones oder Social Media kritisch“. Denn „nur etwas zu verbieten, bedeutet nicht automatisch, dass Jugendliche auch lernen, sicher damit umzugehen.“

Weiter pocht Seltenreich auf mehr Beteiligung junger Menschen. „Wir wünschen uns einen dauerhaften Austausch mit Schüler*innen und Jugendlichen, bevor solche Maßnahmen beschlossen werden.“

Save the Children: „Weltweit Maßstäbe setzen“

👥 Wer ist das? Save The Children wurde 1919 gegründet und bezeichnet sich als weltgrößte unabhängige Organisation für Kinderrechte.

🧭 Was ist die Position? Die Organisation spricht sich für Altersschranken aus, „die durch eine zuverlässige, datenschutzkonforme Altersüberprüfung gestützt werden“ und stellt sich damit hinter die Pläne des Kids Act. Die EU habe „die einmalige Gelegenheit, weltweit Maßstäbe für die Verankerung der Kinderrechte in der digitalen Welt zu setzen“, heißt es in dem Statement auf Englisch.

Ende vergangenen Jahres hatte sich die Organisation in einem Positionspapier noch kritischer geäußert. Dort hieß es, aus dem Englischen übersetzt: „Wir sind besorgt, dass Gesetze, die sich ausschließlich auf altersbezogene Beschränkungen stützen, unbeabsichtigte Schäden und ein falsches Sicherheitsgefühl hervorrufen sowie die Rechte und Chancen von Kindern einschränken könnten.“

Deutscher Lehrerverband: Teilhabe nicht auf Geburtstag verschieben

👥 Wer ist das? Der Deutsche Lehrerverband ist eine der größten Organisationen von Lehrer*innen in Deutschland.

🧭 Was ist die Position? „Medienkompetenz entsteht nicht durch Aussperren, sondern durch Begleitung, Übung und kritische Auseinandersetzung“, schreibt Stefan Düll, Präsident des Deutschen Lehrerverbands, auf Anfrage von netzpolitik.org.

Reine Zugangsbeschränkungen sieht er kritisch. „Digitale Teilhabe gehört heute zur Lebensrealität junger Menschen und kann nicht einfach auf einen bestimmten Geburtstag verschoben werden.“ Stattdessen empfiehlt Düll Pflichten für Plattformanbieter, die Nutzer*innen „aller Altersgruppen“ zugutekämen.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

GMK: Eltern werden „von Begleiter*innen zu Kontrollinstanzen“

👥 Wer ist das? Die Gesellschaft für Medienpädagogik und Kommunikationskultur (GMK) engagiert sich seit 1984 für Medienpädagogik und Medienkompetenz.

🧭 Was ist die Position? „Der EU KIDS Act setzt bei den Plattformen richtig an, verliert sich aber in Alterskontrollen und Ausschlussverfahren“, kommentiert der Verein auf Anfrage. „Die GMK lehnt eine flächendeckende, verpflichtende Altersfeststellung als allgemeine Zugangsvoraussetzung für soziale Medien ab.“

Bei Angeboten „mit erheblichem Gefährdungspotenzial“ könnten Alterskontrollen zwar ein Baustein sein. „Als Eingangstor zu digitaler Kommunikation verfehlen sie jedoch ihr Ziel und schaffen neue Probleme. Ihr Alter nachweisen müssen dann nicht nur Kinder, sondern alle Nutzer*innen.“

Weiter kritisiert die GMK, dass 13- bis 15-Jährige nur von Erziehungsberechtigten verwaltete Social-Media-Accounts bekommen sollen. „Es macht Eltern von Begleiter*innen zu Kontrollinstanzen. Und es trifft gerade jene Kinder, die zu Hause wenig Unterstützung erfahren und Kontakte nach außen am dringendsten brauchen. Für sie kann eine elterliche Kontaktfreigabe bedeuten, dass genau diese Kontakte nicht zustande kommen.“

Bundeselternnetzwerk: Sorge vor Zweckentfremdung der Kontrollen

👥 Wer ist das? Der Verein „Bundeselternnetzwerk der Migrantenorganisationen für Bildung & Teilhabe“ (bbt) versteht sich als Stimme migrantischer Eltern und Familien in Deutschland.

🧭 Was ist die Position? „Die im EU Kids Act vorgesehenen weitreichenden Alterskontrollen sehen wir kritisch“, schreibt bbt-Geschäftsführerin Anja Treichel auf Anfrage. „Wer keinen geeigneten Ausweis, kein passendes Gerät oder keine Unterstützung beim Nachweis hat, darf dadurch nicht ausgeschlossen werden.“

Gerade bei Familien mit Erfahrungen staatlicher Überwachung könnten Ausweis- oder Gesichtskontrollen „erhebliche Vertrauensbedenken auslösen“, wie Treichel erklärt. „Eine Infrastruktur zur Altersprüfung darf nicht für Identifizierung und Überwachung zweckentfremdet werden.“

Für viele Kinder aus migrantischen Familien seien digitale Räume auch soziale Infrastruktur. „Hier pflegen sie grenzüberschreitende Beziehungen, ihre Sprachen und Zugehörigkeit“, schreibt Treichel. Kritisch sieht sie die geplante Rolle von Eltern, um etwa Zugänge freizuschalten. Das setze „Zeit, Sprachkenntnisse und technische Möglichkeiten“ voraus. „Digitale Teilhabe darf nicht von den Ressourcen des Elternhauses abhängen.“

AWO: Warnung vor „Kontrollinfrastruktur für digitale Teilhabe“

👥 Wer ist das? Die Arbeiterwohlfahrt (AWO) engagiert sich für eine sozial gerechtere Gesellschaft.

🧭 Was ist die Position? Altersnachweise müssen „datensparsam und verhältnismäßig ausgestaltet sein und dürfen nicht zu einer allgemeinen Kontrollinfrastruktur für digitale Teilhabe führen“, schreibt eine Pressesprecherin der AWO auf Anfrage. Junge Menschen hätten ein Recht auf Information, Kommunikation und digitale Teilhabe. „Dieses Recht darf nicht unverhältnismäßig eingeschränkt werden.“

Schutz junger Menschen dürfe „nicht allein über Altersgrenzen und Zugangskontrollen organisiert werden“, heißt es weiter. Zum Beispiel müssten Anbieter suchtfördernde Designs begrenzen, was der Kids Act bereits verfolge. Es brauche zudem mehr Medienbildung und Medienkompetenz in Schulen, der Jugendhilfe und Familien. „Dies setzt eine auskömmliche Finanzierung der Angebote der Jugendhilfe voraus.“

LEK NRW: „Unverhältnismäßige“ Nachweise

👥 Wer ist das? Die Landeselternkonferenz Nordrhein-Westfalen (LEK NRW) vertritt die Eltern aus Deutschlands bevölkerungsreichstem Bundesland.

🧭 Was ist die Position? Alterskontrollen können ein „Baustein“ sein, „dürfen aber nicht zur Voraussetzung für immer größere Teile des Internets werden“, mahnt Hinrich Pich von der Landeselternkonferenz NRW auf Anfrage von netzpolitik.org. „Der Schutz von Kindern darf nicht mit unverhältnismäßigen Alters- oder Identitätsnachweisen erkauft werden, die die Privatsphäre aller Nutzerinnen und Nutzer beeinträchtigen.“

Zwar könne ein Social-Media-Verbot unterhalb einer festen Altersgrenze „ein wichtiges Signal für einen stärkeren Jugendschutz sein“, so Pich. Ein pauschales Verbot sei jedoch nur sinnvoll, wenn es Teil eines umfassenden Schutzkonzepts sei. Dazu gehöre unter anderem ein verbindliches Schulfach „Kompetenz im Netz“.

Die von Eltern kontrollierten Social-Media-Konten für unter 15-Jährige würden zudem zusätzliche Ungerechtigkeiten schaffen, warnt Pich. „Kinder und Jugendliche würden danach unterschieden, ob ihre Eltern bereit und technisch in der Lage sind, ein solches Konto einzurichten.“

BEV: Kontrollen betreffen „faktisch alle“

👥 Wer ist das? Der Bayerische Elternverband (BEV) vertritt die Eltern aus Bayern, dem nach Einwohner*innen zweitgrößten deutschen Bundesland.

🧭 Was ist die Position? Der Verband sieht die im Kids Act geplanten Alterskontrollen kritisch. „Sie betreffen faktisch alle Nutzerinnen und Nutzer, erzeugen zusätzliche sensible Daten bei Plattformen und Behörden und können – wie internationale Erfahrungen zeigen – umgangen werden“, warnt Vorstandsmitglied Gundolf Kiefer.

Die technische Umsetzung sei zudem noch unklar. Alterskontrollen „mit Biometrie und/oder einer Ausweis-App sind aus Datenschutzsicht problematisch“, gibt Kiefer zu bedenken. „Wenn überhaupt“ dürften Alterskontrollen „nur gezielt für
Plattformen mit schädlichen Eigenschaften“ gelten. Als Beispiel nennt er verdeckte Profilbildung oder suchtfördernde Algorithmen.

Als echtes Problem bezeichnet Kiefer die Geschäftsmodelle der Plattformen. Das werde nicht gelöst. „Statt Verboten braucht es gezielte Regulierung schädlicher Plattformen und vor allem Stärkung von Medienbildung und Befähigung.“ Schulen sollten zu Orten echter Alternativen werden, „etwa mit offenen, dezentralen Plattformen wie Mastodon oder Matrix/Element.“

Stiftung Datenschutz: Kinderschutz über Einstellungen am Gerät

👥 Wer ist das? Die im Jahr 2013 von der Bundesregierung gegründete Stiftung Datenschutz versteht sich als unabhängige Einrichtung. Sie will Datenschutz an den Schnittstellen von unter anderem Politik, Wirtschaft und Gesellschaft fördern.

🧭 Was ist die Position? „Ein grundrechtssensibler Schutz von Kindern wird am besten über Einstellungen auf den Geräten selbst und nicht über Nachweise erreicht“, schreibt Interimsvorständin und wissenschaftliche Leiterin Kirsten Bock auf Mastodon. Damit lehnt sie die geplanten Alterskontrollen ab.

Jugendschutz auf Ebene von Geräte-Einstellungen „schafft weniger Bürokratie, respektiert den Erziehungsauftrag der Eltern und schützt die Gesellschaft vor Zugangsbeschränkungen“, schreibt sie weiter.

KJM: Anbieter sollen Alter „verlässlich“ berücksichtigen

👥 Wer ist das? Die Landesmedienanstalten sind öffentlich-rechtliche Aufsichtsbehörden für unter anderem „Telemedien“, also zahlreiche Online-Angebote. Ihr länderübergreifendes Organ ist die Kommission für Jugendmedienschutz (KJM).

🧭 Was ist die Position? Die deutsche Medienaufsicht befürwortet strenge Alterskontrollen. „Altersdifferenzierte Zugänge können nur funktionieren, wenn Anbieter das Alter ihrer Nutzerinnen und Nutzer verlässlich berücksichtigen und wirksame Schutzmaßnahmen umsetzen“, schreibt KJM-Vorsitzende Eva-Maria Sommer. „Dazu gehören insbesondere geeignete Altersverifikations- und Alterseinschätzungssysteme.“

Bei der Umsetzung solle die EU „bewährte Aufsichtssysteme“ einbeziehen, heißt es im Statement der Medienanstalten weiter. Damit meinen die Aufsichtsbehörden offenbar sich selbst: Sie versuchen seit Jahren, strenge Alterskontrollen bei Pornoseiten durchzusetzen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

HBI: Warnung vor „Missbrauchsrisiko“

👥 Wer ist das? Das HBI (Leibniz-Institut für Medienforschung, Hans-Bredow-Institut) ist eine gemeinnützige Stiftung, finanziert von Bund, Ländern und der Stadt Hamburg.

🧭 Was ist die Position? Mit dem EU Kids Act werde der Altersnachweis „für uns alle zur Bedingung dafür, das Internet so zu nutzen, wie wir es bisher kennen“, warnt Jurist Stephan Dreyer in einer öffentlichen Analyse. Er ist Co-Leiter der HBI-Forschungsgruppe „Aufwachsen in digitalen Medienumgebungen“. Betroffene Anbieter müssten „jede Person wie einen Minderjährigen behandeln, solange das Gegenteil nicht erwiesen ist“.

Durch die Kontrollen sei „die unbeobachtete Kommunikation gefährdet“, so Dreyer weiter. Je nach Methode müssten auch personenbezogene Daten übertragen werden. Das berühre die Grundrechte auf Datenschutz und Privatheit. „Auch sind die Informations- und Meinungsfreiheit im Kern betroffen, wenn wir alle diese Rechte nur noch unter der Bedingung einer vorherigen Altersüberprüfung ausüben können.“

Zwar stelle der Entwurf hohe Anforderungen, um die Eingriffstiefe der Alterskontrollen zu begrenzen. „Das Problem dabei ist, dass sie nach dem Stand der Technik in dieser Form nicht erfüllbar sind“, schreibt Dreyer. Der Jurist warnt vor dem Missbrauchsrisiko der entstehenden Infrastruktur. Es sei „zweifelhaft“, dass Jugendschutz den „Aufbau von Altersprüfungshürden für weite Teile des meistfrequentierten Netzes rechtfertigt“.

Der Pudding wird uns auf die Füße fallen

Chaos Computer Club: „Gefahr für anonyme Internetnutzung“

👥 Wer ist das? Der Chaos Computer Club (CCC) ist die größte Hacker*innenvereinigung Europas und versteht sich als „Vermittler im Spannungsfeld technischer und sozialer Entwicklungen“.

🧭 Was ist die Position? Der CCC warnt vor einem „aufgeblähten und gefährlichen Kontrollzirkus“ durch den EU Kids Act. „De facto hätten Kinder und Jugendliche unter 18 praktisch keine Möglichkeit zu digitaler Teilhabe mehr“, heißt es in einem öffentlichen Statement. „Das beträfe außerdem auch alle Personen, die ihr Alter nicht nachweisen können.“

In der Infrastruktur hinter Alterskontrollen sieht der CCC „eine Gefahr für anonyme und pseudonyme Internetnutzung, die als solche eine unabdingbare Voraussetzung für die Wahrnehmung wesentlicher Grundrechte ist.“ Da der Kids Act keine Ausnahmen für kleine Anbieter vorsieht, komme auf alternative Plattformen und Marktplätze „erhebliche Mehrarbeit“ zu.

Schutzwerkzeuge müssten nicht zwangsläufig zu Überwachungsinstrumenten werden, erinnert der CCC. Er verweist auf lokale Jugendschutz-Mechanismen, die keine Kontrollen für alle erfordern. „Sie sollten transparent für das Kind und gemeinsam mit der Familie auf freiwilliger Basis einsetzbar sein.“

Superrr: Keine Erleichterung für Eltern

👥 Wer ist das? Superrr ist eine gemeinnützige Organisation, die sich für feministische Digital- und Technologiepolitik einsetzt.

🧭 Was ist die Position? „Harte Altersschranken werden Kindern nicht gerecht“, schreibt Superrr-Mitgründerin Elisa Lindinger auf Anfrage. Kinder seien eine „diverse Gruppe mit sehr unterschiedlichen Bedürfnissen“. Alterskontrollen würden Kinder ausschließen, ohne ihnen Alternativen anzubieten. „Sie sind außerdem eine Hürde für Erwachsene, die sich nicht ausweisen können, weil ihnen Dokumente oder moderne Endgeräte fehlen.“

Der Kids Act mache auch Eltern das Leben nicht einfacher. „Sie müssen ein komplexes technisches Gefüge navigieren, um sich und ihre Kinder auszuweisen und zu belegen, dass sie sorgeberechtigt sind.“

Lindingers Fazit: „Die Politik schafft lieber eine weitreichende Kontrollinfrastruktur für alle, statt Plattformen konsequent zu regulieren und Eltern dabei zu unterstützen, gemeinsam mit ihren Kindern Regeln auszuhandeln.“

EDRi: EU-Kommission will „Zwei-Klassen-Internet“ schaffen

👥 Wer ist das? European Digital Rights (EDRi) ist ein Netzwerk von mehr als 50 Organisationen aus ganz Europa, die sich für digitale Grund- und Freiheitsrechte stark machen.

🧭 Was ist die Position? Die geplanten Alterskontrollen würden „den offenen Charakter des Internets fundamental verändern“, warnt die Organisation in einem englischsprachigen Statement. Die EU-Kommission würde ein „Zwei-Klassen-Internet“ schaffen, das nicht nur Kinder von wichtigen digitalen Räumen ausschließe, sondern auch Erwachsene, die Alterskontrollen nicht überwinden wollen oder können. Davon betroffen wären auch ohnehin schutzbedürftige Gruppen, „etwa ältere Menschen, Obdachlose und Migrant*innen.“

Nicht nur junge Menschen, sondern alle bräuchten Schutz vor schädlichen Funktionen wie manipulativen Designs oder unfairer Personalisierung, wie aus dem Statement hervorgeht. „Nicht einmal die digital versierteste Person kann jede einzelne Standardeinstellung überprüfen, jedes Empfehlungssystem durchschauen oder jedem strategisch platzierten Ansporn zum Weiterklicken widerstehen“, schreibt EDRi.

Stop Killing The Internet: „Angriff auf das freie Internet“

👥 Wer ist das? Stop Killing the Internet ist eine Initiative zum Schutz des offenen Internets, die in der EU als Bürgerinitiative registriert ist.

🧭 Was ist die Position? Der Entwurf der EU-Kommission „muss als Angriff auf das freie Internet verstanden werden“, schreibt die Initiative in ihrem englischsprachigen Newsletter. Es gebe „ernste Fragen zur Verhältnismäßigkeit“ mit Blick auf die EU-Grundrechtecharta, insbesondere beim Recht auf freie Meinungsäußerung, Informationsfreiheit, Privatsphäre und Datenschutz.

Weiter warnt die Initiative vor einer Ausweitung der Kontrollen. „Heute wird das Alter überprüft. Morgen kann dasselbe System alles Mögliche überprüfen, was eine Regierung oder eine Plattform über uns wissen möchte.“

Die Initiative betont: „Das Internet ist unser öffentlicher Raum.“ Niemand müsse den Ausweis vorzeigen, um einen Park, eine Bibliothek oder ein Rathaus zu betreten. „Und auch online sollte niemand dazu verpflichtet sein.“

EFF: Kids Act wird „Privatsphäre aller beeinträchtigen“

👥 Wer ist das? Die Electronic Frontier Foundation (EFF) aus den USA ist eine gemeinnützige Organisation für digitale Freiheitsrechte.

🧭 Was ist die Position? Der EU Kids Act „wird Online-Dienste hinter Altersschranken setzen, den Einsatz aufdringlicher Alterskontrollen ausweiten und die Privatsphäre aller Nutzer*innen beeinträchtigen“, warnt die Organisation in einem englischsprachigen Statement.

Zumindest scheine der Kids Act mit „etwas Rücksicht auf Verhältnismäßigkeit“ entworfen worden zu sein, indem er zum Beispiel Altersschranken an Risiken knüpft. Doch „wie auch immer sie gestaltet sind: Altersbeschränkungen beeinträchtigen Freiheitsrechte, verringern Sicherheit und schaffen Hürden beim Zugang zum Internet – häufig zulasten marginalisierter Gruppen“, schreibt die EFF.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Angriffe auf die IT der öffentlichen Verwaltung häufen sich. Doch statt gezielt in Maßnahmen zu investieren, die IT-Sicherheit stärken, investiert die Bundesregierung in Robotikforschung und eine Vogelstimmen-App. Das sagt ein Bericht des Bundesrechnungshofs, den wir veröffentlichen.

Geld für IT-Sicherheitsmaßnahmen gab die Bundesregierung unter anderem für eine Vogelstimmen-App aus. (Symbolbild) – CC-BY-SA 4.0: Wikimedia Commons / Kookaburra 81

Im Haushalt für 2027 will der Bund mehr Geld für IT-Sicherheitsmaßnahmen in der Bundesverwaltung ausgeben. Dieses Geld scheint dringend nötig. Wiederholt macht die schwache IT-Sicherheit der öffentlichen Verwaltung Schlagzeilen.

Kürzlich erst in der Berliner Verwaltung: Massenhaft Verwaltungsdaten, darunter personenbezogene Daten, flossen ab und landeten im Darknet.

In ihrer Kolumne zeichnet die Expertin Bianca Kastl ein besorgniserregendes Bild der Informationssicherheit in Deutschland. Öffentliche Einrichtungen könnten allein „ein adäquates Informationssicherheitsniveau“ kaum halten. Dabei ist die öffentliche Verwaltung dazu verpflichtet, Maßnahmen zu ergreifen, um IT-Sicherheit zu stärken. Im Dezember 2025 hat der Bund die zweite EU-Richtlinie zur Sicherung von Netz- und Informationssystemen in deutsches Recht umgesetzt.

Doch scheint sich bisher wenig getan zu haben. Zwar steht ein substanzieller Betrag zur Verfügung, Maßnahmen für mehr IT-Sicherheit zu finanzieren. Doch wofür das Geld genau ausgegeben werden soll, ist nicht eindeutig abgesteckt. So lautet der Befund des Bundesrechnungshofes (BRH). Er ermahnt die Bundesregierung, Haushaltsmittel „effektiver“ für Personal und Sachmittel einzusetzen. Wir veröffentlichen den Bericht des BRH zur „Cybersicherheit“ in der Bundesverwaltung vom August.

Schuldenbremse gelockert

Eigentlich soll die Schuldenbremse soll dafür sorgen, dass der Staat nicht übermäßig Schulden macht. Doch seit letztem Jahr hat der Bund die Möglichkeit zur sogenannten Bereichsausnahme. Damit kann er außerhalb der Schuldenregel mehr Geld für bestimmte Zwecke ausgeben, zum Beispiel für die IT-Sicherheit der Bundesverwaltung.

Im November 2025 beschloss der Haushaltsausschuss: Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) ist dafür verantwortlich, zu entscheiden, in welche IT-Sicherheitsmaßnahmen der Bundesverwaltung Geld fließen soll. Das Digitalministerium unter Karsten Wildberger (CDU) ist vom Haushaltsausschuss außerdem damit beauftragt, die Verteilung des Geldes zu steuern und zu überwachen. Laut BRH erwartet der Ausschuss: Der Bund nutzt die Bereichsausnahme, um mehr in IT-Sicherheit zu investieren.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll das Digitalministerium in seiner Entscheidungsfindung unterstützen. Die IT-Sicherheitsbehörde soll „belastbare Informationen zum Stand der Cybersicherheit“ sammeln und zur Verfügung stellen. Außerdem soll die Behörde kontrollieren, wie die einzelnen Ressorts der Bundesverwaltung die Haushaltsmittel möglichst effizient für IT-Sicherheit einsetzen. Dazu hat der Bund das Informationssicherheitscontrolling (IS-Controlling) eingeführt.

Das Problem: Um Geld aus dem Haushalt – so wie im Haushaltsausschuss vereinbart – für Maßnahmen der IT-Sicherheit auszugeben, bräuchte es klare Vorgaben darüber, wie solche Maßnahmen aussehen müssen. Hierzu müsste die Bundesregierung klare und verbindliche Kriterien aufstellen. Das hat sie laut BRH jedoch bislang nicht getan. Dabei ist die Verantwortung hierzu längst geklärt: Sie liegt beim BMDS.

Ausgabe entspricht nicht angedachtem Zweck

In der Zeit zwischen Dezember 2025 und August 2026 untersuchte der BRH, wie die Bundesregierung die Bereichsausnahme nutzt und wie sie das IS-Controlling umsetzt. Dabei ermittelte der Rechnungshof: Die Bundesregierung hat „für die Jahre 2025 und 2026 insgesamt mindestens 1,2 Milliarden Euro in diese Bereichsausnahme verlagert, die nicht dem Schutz informationstechnischer Systeme dienen“.

Die Bundesregierung habe also das Geld, das sie eigentlich für IT-Sicherheit ausgeben sollte, „nicht zweckentsprechend eingesetzt“ – mit anderen Worten, nicht für den Zweck, IT-Sicherheit zu stärken. Laut BRH hat die Bundesregierung beispielsweise KI-Projekte gefördert sowie Forschung zu Robotik und sogar eine App, die Vogelstimmen erkennt. „Sämtliche Ausgaben für die Forschung an informationstechnischen Systemen pauschal zu verlagern, wird dem Ausnahmecharakter der Bereichsausnahme nicht gerecht“, hält der BRH fest.

„Anstatt die Bundesbehörden wirksam gegen Hackerangriffe zu schützen, erfindet die Bundesregierung lieber neue Tricks, um alle möglichen IT-Ausgaben an der Schuldenbremse vorbeizuschmuggeln“, kommentiert Sascha H. Wagner gegenüber netzpolitik.org. Er ist Bundestagsabgeordneter der Linkspartei und sitzt im Haushaltsausschuss. „Bis jetzt hat das neue Digitalministerium offenbar noch nicht für bessere Cybersicherheit und effizienteren Einsatz von Haushaltsmitteln bei der IT-Beschaffung gesorgt.“

Es dauert zu lange

Auch das BSI kommt im Bericht des Rechnungshofes nicht gut weg. Bereits seit vier Jahren dürfe die Behörde die „Sicherheit der Kommunikationstechnik“ von Bundesbehörden kontrollieren. Geprüft habe sie aber – Stand August – erst 15 Einrichtungen des Bundes.

Bei diesem Tempo werde das BSI „mehr als 20 Jahre benötigen, um alle Einrichtungen des Bundes einmal zu kontrollieren“, schreibt der BRH in seinem Bericht. Das sei „aufgrund der zunehmenden Bedrohungslage nicht haltbar“.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Mehr Tempo fordert der BRH auch vom BMDS. Das habe erklärt, das IS-Controlling bis 2027 „funktionsfähig etablieren“ zu wollen. Laut BRH sei das zu spät. Das Digitalministerium hat im Juli die Initiative CyberGovSecure gestartet. Zusammen mit dem BSI und Claudia Plattner entstehe hier ein Programm, das ressortübergreifend die Informationssicherheit aller Behörden stärken soll. Plattner ist dabei nicht nur BSI-Präsidentin, sondern besetzt gleichzeitig die neu eingerichtete Position der CISO Bund, Chief Information Security Officer des Bundes.

Auditor*innen statt Selbstauskünfte

Auf der Aufgabenliste des Programms: ein IS-Controlling, mit dem der „Cybersicherheitsstatus der Bundesverwaltung“ dokumentiert werden soll. Dabei setzen BMDS und BSI darauf, dass Behörden per Selbstauskunft angeben, wie es um die IT-Sicherheit ihrer Behörde bestellt ist. Diese Angaben will das BSI in die Basisdatenerhebung aufnehmen, berichtet der BRH. Einen Zeitplan dafür habe das BSI bisher nicht vorgelegt.

Hier empfiehlt der Rechnungshof ganz klar: Statt der Selbstauskünfte müsse es zeitnah neutral gehaltene Nachweisverfahren entwickeln. Demnach sollten etwa unabhängige Auditor*innen Daten zum Stand der IT-Sicherheit erfassen. Diese wären eine zuverlässigere Datenbasis für das IS-Controlling. Welche Prozesse, Methoden und Aufwände dabei unterstützen könnten, soll laut BRH das BMDS festlegen. Doch habe es dazu noch nicht Stellung genommen.

Laut Bericht schlage das BMDS die Empfehlungen des Bundesrechnungshofes aus. Dieser mahnt: „Ohne ausreichende, zeitnahe Vor-Ort-Kontrollen und Nachweise der Einrichtungen des Bundes ist eine valide Datengrundlage für ein IS-Controlling nicht gegeben.“

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Bundesjustizministerin Hubig hat den Entwurf für ein Gesetz gegen digitale Gewalt erneut nachgeschärft. Hinzugekommen sind Straftatbestände für Fake-Accounts und das Abrufen von Vergewaltigungsvideos sowie der Anspruch, strafbare Inhalte löschen zu lassen. Doch es gibt weiterhin Kritik.

Teilnehmer*innen einer Demonstration gegen patriarchale Gewalt im März. – Alle Rechte vorbehalten: IMAGO / Panama Pictures

Ein halbes Jahr nach der Vorstellung eines ersten Entwurfs hat die Bundesregierung am Mittwoch das Gesetz gegen digitale Gewalt auf den Weg gebracht. Das Bundesjustizministerium will damit Menschen entlasten, die im Netz Gewalt erfahren. Zum einen will sie dafür das Strafrecht verschärfen und um neue Tatbestände ergänzen. Zum anderen will sie es Betroffenen einfacher machen, selbst auf dem zivilrechtlichen Weg gegen strafbare Inhalte wie Beleidigungen vorzugehen.

Die aktuelle Kabinettsfassung enthält gegenüber dem von Stefanie Hubig (SPD) im April vorgestellten Entwurf mehrere relevante Änderungen. So sieht der zivilrechtliche Teil jetzt vor, dass es einen Anspruch auf Löschung von rechtswidrigen Inhalten bei den Plattformen geben soll. Auch der Katalog der Tatbestände im Strafrecht wurde noch mal erweitert.

Vergewaltigungsvideos: Schon das Abrufen wird Straftat

Mit dem Entwurf will das Bundesjustizministerium die Strafbarkeit von sogenannter bildbasierter Gewalt ausweiten und einheitlich im Strafrecht regeln. Künftig soll es demnach strafbar sein, sexualisierte Bilder anderer ohne ihr Einverständnis herzustellen oder zu teilen – auch dann, wenn sie mit einem Computerprogramm umgestaltet wurden, Stichwort: Deepfakes.

Auch würden sogenannte Voyeursaufnahmen strafbar. So war es bislang schon strafbar, Menschen heimlich nackt in einem „besonders geschützten Raum“ zu filmen. Darunter fallen aber nicht die öffentliche Sauna, eine Umkleide oder der Badestrand. Mit dem neuen Straftatbestand würde sich das ändern.

Die aktuelle Fassung erweitert diesen Katalog an strafbaren Handlungen nochmal. Fortan sollen auch der Besitz und das wissentliche Abrufen von Vergewaltigungsvideos unter Strafe stehen. Im Referentenentwurf sollte lediglich das Herstellen und Verbreiten von Aufnahmen strafbar werden, die “eine sexuelle Handlung einer anderen Person abbilden”. Die aktualisierte Fassung nennt dagegen explizit auch Bildaufnahmen, „die eine Vergewaltigung einer anderen Person abbilden“. Solche Handlungen sollen mit einer Freiheitsstrafe bis zu drei Jahren oder einer Geldstrafe geahndet werden können.

Fake-Accounts sollen strafbar werden

Zusätzlich hat das Ministerium einen neuen Straftatbestand rund um Identitätsmissbrauch ergänzt. Das Betreiben von Fake-Accounts im Namen einer anderen Person wird als eigener Tatbestand strafbar, wenn diese “geeignet sind, dem Ansehen der Person erheblich zu schaden”.

Dies sei laut Gesetzesbegründung etwa dann der Fall, „wenn die dargestellte lebende oder verstorbene Person durch ihn [den Inhalt, d.A.] verächtlich gemacht oder in der öffentlichen Meinung herabgewürdigt werden kann.“

Der Tatbestand erinnert an den Fall der Schauspielerin Collien Fernandes, der deutschlandweit für eine Diskussion rund um digitale Gewalt sorgte. Fernandes hatte nach der Vorstellung des Entwurfes darauf hingewiesen, dass dieser in ihrem speziellen Fall nicht greifen würde. Ihr Ex-Mann Christian Ulmen soll Fake-Profile in ihrem Namen erstellt und darüber Männern aus ihrem Umfeld pornografische Inhalte geschickt haben. Seine Anwälte widersprechen Teilen der Darstellung.

Hubig hatte den Fall im Frühjahr zum Anlass genommen, um auf den bereits im Koalitionsvertrag beschlossenen, fast fertigen Gesetzentwurf hinzuweisen und den Referentenentwurf kurz darauf vorgestellt.

Diese Deepfakes sollen künftig strafbar sein

Geschärfte Norm gegen Voyeur-Aufnahmen

Nachgeschärft hat das Ministerium zudem einen Tatbestand zu Voyeur-Aufnahmen. Hier war zuvor die Rede von Aufnahmen, die “in sexuell bestimmter Weise die bekleideten Genitalien, das bekleidete Gesäß oder die bekleidete weibliche Brust einer anderen Person” zeigen.

–––

Die Hütte brennt! Wir gehen rein.
Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. Das geht nur mit deiner Unterstützung.

–––

Das Bundesjustizministerium wollte damit eine Lücke schließen, die Fachleute seit langem kritisierten: Unter Strafe steht bislang, anderen in den Ausschnitt oder unter den Rock zu filmen oder an der Kleidung vorbei, nicht aber etwa das voyeuristische Filmen auf den Po oder die Brust, wenn diese bekleidet sind.

In der nachgeschärften Fassung sollen jene Aufnahmen unter Strafe stehen, die darauf abzielen, die Körperteile “sexualisiert darzustellen”, etwa indem sie besonders nah herangezoomt werden. Um zu bestimmen, was als sexualisierte Darstellung gilt, soll laut Begründung auch der Kontext herangezogen werden, ob etwa unter einem Tisch versteckte Geräte genutzt wurden.

“Das Recht auf sexuelle Selbstbestimmung umfasst die Freiheit, darüber zu bestimmen, wem in welcher Weise Zugang zu den eigenen intimen Körperteilen gewährt wird”, heißt es dazu in der Begründung. Selbst wenn diese intimen Körperteile bekleidet sind, seien diese Rechte berührt, “wenn diese intimen Körperteile ohne das Wissen der Betroffenen oder gegen deren Willen zielgerichtet in sexualisierter Weise abgebildet werden.”

Geblieben ist auch in der neuen Fassung ein Katalog an einzelnen Körperteilen, der Zonen der Intimität definieren soll. Verbände wie der Dachverband der Frauenberatungsstellen bff hatten zuvor in ihren Stellungnahmen kritisiert, dass eine solche Liste Intimität zu eng fasst und nicht berücksichtigt, dass sie individuell unterschiedlich ausfallen kann.

Recht auf Löschung einzelner Inhalte

Mit neuen zivilrechtlichen Ansprüchen will das Ministerium dafür sorgen, dass es für Betroffene von etwa beleidigenden und herabsetzenden Postings einfacher wird, selbst vor Gericht dagegen vorzugehen.

Sie sollen von Plattformen und Internetzugangsanbietern leichter als bisher Auskunft über die Identität einer Person hinter einem anonymen oder pseudonymen Account bekommen. Dazu sollen Anbieter künftig – sofern vorhanden – den Klarnamen und die Adresse herausgeben, wenn ein Gericht das anordnet. Beides wird gebraucht, damit Betroffene etwa auf Unterlassung oder Schadensersatz klagen können.

Betroffene sollen eine solche Auskunft vor dem Landgericht beantragen können. Dazu müssen sie glaubhaft machen, dass eine unbekannte Person eine Rechtsverletzung begangen hat und sie gegen diese Person zivilrechtliche Ansprüche geltend machen wollen.

Auch hier sind in der aktuellen Fassung wesentliche Punkte dazugekommen. Ursprünglich sollten diese Rechte etwa nur für Social-Media-Plattformen gelten. Jetzt nennt der Entwurf ausdrücklich auch Messengerdienste wie WhatsApp, Telegram und Signal, wenn diese Gruppenchats ermöglichen.

Neu ist zudem, dass es jetzt einen gerichtlich anzuordnenden Anspruch darauf gibt, einzelne rechtswidrige Inhalte von Plattformen zu entfernen. Das geht auch dann, wenn die Identität der Person hinter einem Account unbekannt ist.

Im Referentenentwurf war dieses Löschen noch mit dem Durchsetzen einer Accountsperre verknüpft. In bestimmten Fällen konnten Betroffene erwirken, dass ein reichweitenstarker Account gesperrt wird, der wiederholt ihre Rechte verletzt hat, etwa mit strafbaren Beleidigungen. Jetzt sind beide Ansprüche voneinander entkoppelt.

Verbände wie der Deutsche Juristinnenbund hatten zuvor kritisiert, dass das zivilrechtliche Durchsetzen der eigenen Rechte hier zu eng mit der langwierigen und oft unergiebigen Identifizierung von Täter*innen verknüpft ist und die Möglichkeit einer solchen schnellen Löschung gefordert.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

–––

Mit Vorratsdatenspeicherung gegen digitale Gewalt

„Vorsorglich gespeicherte IP-Adressen“

Laut der aktuellen Fassung ist weiterhin geplant, dass zur Bekämpfung von digitaler Gewalt auch die Vorratsdatenspeicherung wieder eingeführt werden soll – ein umstrittenes Verfahren zur Massenüberwachung im Netz, das in Deutschland seit 2017 ausgesetzt ist. Das entsprechende Gesetz zur Speicherpflicht von IP-Adressen kommt ebenfalls aus Hubigs Ministerium und war am gestrigen Mittwoch Thema einer öffentlichen Anhörung des Rechtsausschusses.

Im Zuge des Auskunftsanspruchs für Betroffene sollen Plattformen und Zugangsanbieter wie Vodafone oder die Telekom künftig durch eine beweissichernde Anordnung dazu verpflichtet werden können, „bereits bei ihnen vorhandene Daten“ über mutmaßliche Rechtsverletzer*innen zu sichern. Dazu sollen sie auch „vorsorglich gespeicherte IP-Adressen“ verwenden, heißt es in der Begründung. Der aktuell diskutierte Entwurf für die Vorratsspeicherung sieht vor, dass IP-Adressen für voraussichtlich drei Monate gespeichert werden sollen.

Die Vorratsdatenspeicherung wurde in Deutschland erstmals 2007 eingeführt, nach einem Urteil des Bundesverfassungsgerichts jedoch wieder aufgehoben, weil sie gegen Grundrechte verstieß. Eine neue Regelung von 2015 wurde später durch Urteile des Europäischen Gerichtshofs faktisch gestoppt, weil eine anlasslose, flächendeckende Speicherung von Kommunikationsdaten gegen EU-Recht verstößt.

Auch am aktuellen Gesetzentwurf gibt es deutlich Kritik: „Drei Monate anlasslose IP-Adressspeicherung sind unverhältnismäßig lang und schaffen erneut eine flächendeckende Speicherinfrastruktur für die Daten unbescholtener Bürgerinnen und Bürger“, sagt Klaus Landefeld, Vorstandsmitglied beim Eco-Verband. Justizministerin Hubig machte am Dienstagabend bei einer Veranstaltung des Eco-Verbands noch einmal deutlich, dass sie an der Vorratsdatenspeicherung festhalten will: „Die IP-Adressenspeicherung gehört zum Schutz vor digitaler Gewalt dazu.“

Kritik an Speicherpflichten und fehlender Prävention

Carmen Wegge, Obfrau der SPD-Fraktion im Rechtsausschuss, begrüßt die Änderungen im neuen Entwurf. „Wir ändern das Strafrecht und sorgen erstmals dafür, dass bildbasierte sexualisierte Gewalt oder Deepfakes, die ohne Einverständnis erstellt werden, strafbar werden.“ Gleichzeitig kündigt sie an, es gebe Punkte im parlamentarischen Verfahren nachzuschärfen, damit möglichst alle Fälle von bildbasierter sexualisierter Gewalt erfasst werden.

Der Deutsche Frauenrat begrüßt, dass die Herstellung und Weitergabe sexualisierter Deepfakes und anderer intimer Aufnahmen künftig unter Strafe stehen und Betroffene einen neuen Anspruch auf die Entfernung rechtswidriger Inhalte bekommen. Zugleich brauche es deutlich mehr Prävention als die Bundesregierung plant. Polizei, Staatsanwaltschaften und Gerichte müssten zu digitaler und geschlechtsspezifischer Gewalt verbindlich weitergebildet werden.

Der Entwurf setze mit der schnellen Entfernung rechtswidriger Inhalte an der richtigen Stelle an, sagt die Gesellschaft für Freiheitsrechte (GFF). Allerdings fehle nach wie vor das Recht, dass nicht nur Einzelne, sondern auch Verbände gegen solche Inhalte klagen könnten. Auch brauche es eine klare Trennung von Auskunftsanspruch und Vorratsdatenspeicherung. Die GFF hatte 2023 einen Vorschlag für ein Gewaltschutzgesetz vorgelegt. Dieser zeige aus Sicht der NGO, dass es im Kampf gegen digitale Gewalt im Netz „weder eine Klarnamenpflicht für die Nutzung sozialer Netzwerke noch übertriebene Auskunftspflichten“ braucht.

Verbesserungen sieht auch Theresia Rasche vom Deutschen Juristinnenbund, etwa die Einbeziehung von Messengerdiensten und den Anspruch auf Löschung rechtsverletzender Inhalte. Inwiefern es die individuelle Rechtsdurchsetzung wirklich erleichtern wird, werde sich erst zeigen. Sie kritisiert unter anderem, dass nicht die Löschung von ganzen Chatgruppen vorgesehen ist, die sich zur Begehung von Straftaten wie Vergewaltigungen verabredet haben. Und Rasche gibt zu bedenken: „Am strukturellen Problem digitaler Gewalt wird das Gesetz aber kaum etwas ändern.“

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.