netzpolitik.org

Die EU-Kommission veröffentlicht ihre Evaluierung der freiwilligen Chatkontrolle. Doch sie kann weiterhin nur unvollständiges Datenmaterial sammeln und scheitert daran, zu beweisen, dass freiwillige Massen-Scans verhältnismäßig sind.

Der Österreicher Magnus Brunner, EU-Kommissar für Inneres und Migration, ist seit 2024 für die Chatkontrolle zuständig. – Alle Rechte vorbehalten European Union

Heimlich, still und leise hat die EU-Kommission nun doch ihren Bericht zur freiwilligen Chatkontrolle veröffentlicht. Dazu ist sie gesetzlich verpflichtet, um die Verhältnismäßigkeit der freiwilligen Massen-Scans zu untersuchen.

Seit Anfang September stand der Bericht bereits aus. Die EU-Kommission zögerte ihn monatelang hinaus und veröffentlichte ihn dann genau am Tag nach der Einigung zur Chatkontrolle im EU-Rat.

Der Kommissionsbericht kann auch nach mehreren Monaten Verzögerung wieder keine ausreichenden Fakten und Statistiken liefern, um ein Urteil über die Verhältnismäßigkeit der freiwilligen Chatkontrolle zu treffen. Die aufgelisteten Zahlen von Dienste-Anbietern und Mitgliedstaaten sind nach wie vor unvollständig und nicht hinreichend. Die EU-Kommission schlussfolgert daher zur Verhältnismäßigkeit: „Die verfügbaren Daten reichen nicht aus, um diese Frage eindeutig zu beantworten.“

Konstantin Macher von der Digitalen Gesellschaft kommt in der Frage die Verhältnismäßigkeit zu dem Ergebnis: „Es gibt auch über vier Jahre nach dem ersten Beschluss zur freiwilligen Chatkontrolle keine Evidenz, dass diese Form der Massenüberwachung funktionieren würde. Die freiwillige Chatkontrolle ist ein massiver Grundrechtseingriff, dessen Verhältnismäßigkeit nicht nachgewiesen werden kann. Sie ist unverhältnismäßig.“

Kommentieren oder Einordnen will die EU-Kommission selbst ihren Bericht offenbar nicht. Auf Nachfrage von netzpolitik.org sagte eine Sprecherin, dass „keine weitere Kommunikation“ zu dem Bericht geplant sei. Angesichts der Tatsache, dass die Chatkontrolle zumindest in einigen EU-Ländern ein breit diskutiertes Thema ist und von Experten und aus der Wissenschaft jahrelang sehr kritisch bewertet wurde, überrascht die Funkstille.

Freiwillige Chatkontrolle nur als Ausnahme erlaubt

Die freiwillige Chatkontrolle ist kaum weniger umstritten als der verpflichtende anlasslose Zwang zum Scannen, über den drei Jahre verhandelt wurde. Denn in Europa muss die Vertraulichkeit der Kommunikation von den Mitgliedstaaten sichergestellt werden. So schreibt es die EU-Datenschutzrichtlinie für elektronische Kommunikation schon seit 2002 vor.

Es ist also in Europa grundsätzlich nicht erlaubt, massenhaft Inhalte von Nachrichten freiwillig zu durchleuchten. Denn derartige Grundrechtseingriffe müssten gesetzlich geregelt werden. Doch das bisherige freiwillige Scannen beruht auf keiner expliziten Rechtsgrundlage und wäre damit schlicht rechtswidrig. Allerdings besteht seit 2021 eine vorübergehende Ausnahme, die nochmal verlängert wurde. Diese temporäre Ausnahme endet im April 2026.

Weil auch nach Jahren des Bestehens dieser Ausnahmeregelung keine wirksamen Schutzmaßnahmen oder einschränkende Regeln vorgesehen wurden, hat der Europäische Datenschutzbeauftragte, Wojciech Wiewiórowski, die Verlängerung kritisiert. Sie dürfe nicht einfach durchgewunken werden. Wiewiórowski hatte schon zu Beginn der Ausnahme im Jahr 2021 gewarnt, dass man keinen „Präzedenzfall“ schaffen dürfe.

Die EU-Kommission konnte bisher keinen Nachweis erbringen, dass die „freiwillige“ Massenüberwachung der privaten Kommunikation verhältnismäßig oder auch nur signifikant wirksam wäre. Auch der aktuelle Bericht kann das nicht leisten, wie die Kommission selbst einräumt.

In welchen Größenordnungen wird gescannt?

Dienste-Anbieter haben zwar keine Verpflichtung, massenhaft Inhalte zu scannen. Dennoch führen Konzerne wie Google, Microsoft oder Meta, beispielsweise bei Facebook oder WhatsApp, diese sogenannten CSAM-Scans seit Jahren durch. Sie sollen aufdecken, wenn Nutzer Inhalte verschicken, die sexuellen Kindesmissbrauch (child sexual abuse material, CSAM) zeigen. Genaue Vorschriften, welche Nutzernachrichten wie und wann durchleuchtet werden, macht ihnen dabei niemand.

CSAM Wir berichten seit Jahren unter dem Stichwort CSAM (Child Sexual Abuse Material) über politische Vorhaben im Kampf gegen Missbrauchsdarstellungen von Kindern. Unterstütze unsere Arbeit! Jetzt spenden

Nur zwei Dienste-Anbieter übermittelten der EU-Kommission Angaben zur Größenordnung der freiwillig gescannten Bilder und Filme. Microsoft wertete im Jahr 2023 weltweit über 11,7 Milliarden Inhalte und im Jahr 2024 etwas unter 10 Milliarden Inhalte aus. Wie viele dieser gescannten Bilder oder Filme in der EU anfielen, ist dabei nicht spezifiziert.

Im Jahr 2023 wurden im Fall von Microsoft weltweit über 32.000 Inhalte als möglicher CSAM identifiziert, davon über 9.000 aus der EU. Berechnet man aus den milliardenfachen weltweiten Scans den Prozentsatz, kommt man bei 32.000 Inhalten auf 0,0002735 Prozent. Anders ausgedrückt schlagen die Scans bei einem von 365.000 Inhalten an. Für das Jahr 2024 sind weltweit 26.000 CSAM-Inhalte angegeben, davon 5.800 Inhalte in der EU. Das ergibt für 26.000 Inhalte 0,00027083 Prozent.

Bei LinkedIn sind die Zahlen deutlich geringer: Das Unternehmen gab für 2023 den Scan von über 24 Millionen Bildern und über einer Million Filme und für 2024 von über 22 Millionen Bildern und über zwei Millionen Filmen an. In beiden Jahren stammten diese Inhalte aus der EU. Für das Jahr 2023 meldete LinkedIn zwei Bilder (und keinerlei Filme), die Kindesmissbrauch darstellen könnten, und für 2024 dann ein Bild. Berechnet man aus den millionenfachen Scans den Prozentsatz, kommt man im Jahr 2023 auf 0,00000833 Prozent. Die massenhaften Scans brachten sowohl bei Microsoft als auch bei LinkedIn also nur minimale Ergebnisse.

Bei Google hingegen fehlte die Datenbasis, nur die Ergebnisse sind im Bericht hinterlegt: Demnach wurden im Jahr 2023 1.558 Inhalte als möglicher CSAM identifiziert, im Jahr 2024 dann 1.824 Inhalte. Der Konzern dürfte aufgrund seiner populären Dienste bei der Anzahl der Scans in eine ähnliche Größenordnung fallen wie Microsoft. Entsprechend dürften auch hier die Ergebnisse nicht einmal im Promillebereich liegen.

Anders sieht es bei Meta aus, die völlig andere Zahlen melden: Im Jahr 2023 gibt der Konzern 3,6 Millionen Inhalte an, die als möglicher CSAM identifiziert worden sind, die alle in der EU anfielen. Die Millionenzahlen setzen sich im Jahr 2024 fort: 1,5 Millionen Inhalte in der EU sind als möglicher CSAM gemeldet worden.

Diese enorm große Diskrepanz setzt sich bei den Nutzermeldungen an die Dienste-Anbieter fort: Google meldet 297 und 216 Nutzerbeschwerden für die Jahre 2023 und 2024, Meta hingegen 254.500 und 76.900. Wie diese erheblichen Unterschiede in den Größenordnungen zustandekommen, wird nicht erklärt.

Technisch sind die Massen-Scans als fehleranfällig bekannt. Das wird dann gefährlich für Nutzer, wenn Bilder oder Filme einen falschen Verdacht auslösen. Wie häufig das vorkommt, bleibt jedoch unklar. Denn miteinander vergleichbare Falsch-Positiv-Fehlerraten kann der Bericht nicht liefern, so dass die Anzahl von Falschmeldungen und Fehlerquoten vage bleibt. Laut Bundeskriminalamt ist fast die Hälfte der Verdachtsmeldungen aus den Vereinigten Staaten nach deutschem Recht strafrechtlich nicht relevant.

Wie geht es weiter mit der Chatkontrolle?

Datenmaterial weiter zu dünn

Schon im Dezember 2023 hatte die EU-Kommission eine Evaluierung der freiwilligen Chatkontrolle versucht. Die Verhältnismäßigkeit zu belegen, gelang ihr damals nicht, weil das Datenmaterial zu dünn war: Man könne keine „endgültigen Schlussfolgerungen ziehen“. Gleichwohl blieb die Ausnahme für die freiwillige Chatkontrolle weiter bestehen.

Die EU-Kommission verweist nun in ihrem Fazit wieder auf die Unzulänglichkeiten des Zahlenmaterials: Die Berichte aus den Mitgliedstaaten würden „nach wie vor ähnliche Probleme wie im ersten Bericht“ zur Chatkontrolle-Ausnahmeregelung aufweisen, nämlich auf nur „unvollständigen und fragmentierten“ Daten beruhen. Es sei daher weiter „nicht möglich, einen umfassenden und zuverlässigen Überblick“ zur Anzahl der gemeldeten Fälle von aufgedeckter sexueller Ausbeutung von Kindern oder zur die Anzahl identifizierter Kinder oder zur Anzahl von verurteilten Tätern zu geben. Die Datenerhebung und Berichterstattung der Mitgliedstaaten habe „nach wie vor erhebliche Mängel“.

Dennoch will die EU-Kommission an der freiwilligen Chatkontrolle festhalten, weil ein „numerischer Maßstab“ angesichts der „Anzahl der geretteten Kinder“ nicht der einzige Anhaltspunkt sein könne. In der Anhörung im EU-Ausschuss für Bürgerliche Freiheiten, Justiz und Inneres (LIBE) hatte eine Abgeordnete wissen wollen, wie viele Kinder denn durch freiwillige Massen-Scans gerettet worden wären. Eine Antwort blieb die Kommission schuldig.

Obwohl auch der Bericht wieder keine handfesten Aussagen über tatsächlich gerettete Kinder machen kann, bleibt die Kommission bei der fast wortgleichen Schlussfolgerung wie schon in der ersten Evaluation: Es gebe „keine Anhaltspunkte dafür, dass die Ausnahmeregelung nicht verhältnismäßig ist“. Sie versucht also, den Spieß umzudrehen und damit den Verhältnismäßigkeitsgrundsatz auf den Kopf zu stellen.

Es ist keine Kleinigkeit, die Verhältnismäßigkeit einer Maßnahme zu zeigen. Denn Grundrechtseingriffe – erst recht massenhafte – müssen notwendig und verhältnismäßig sein. Das hat die Kommission zu beweisen. Das misslang jedoch anhand der Zahlen.

Stattdessen versucht sie es mit einer Verdrehung der Tatsachen: Die Kommission hat zwar keine ausreichenden Daten, um zu belegen, dass die Chatkontrolle verhältnismäßig ist, aber auch keine Hinweise, dass sie unverhältnismäßig ist. Als würde das als Nachweis genügen. Patrick Breyer, ehemaliger EU-Abgeordneter und Jurist, der sich seit Jahren dem Thema widmet, bezeichnet diese Beweislastumkehr als „juristischen Unsinn“.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Datenschutzgrundverordnung muss reformiert werden, sagt Max Schrems – aber ganz anders, als die EU es gerade plant. Im Interview erklärt der prominente Datenschützer, warum er keine Hoffnung mehr auf Aufsichtsbehörden setzt und wieso seine Reformvorschläge selbst von Konservativen unterstützt werden.

Max Schrems – Alle Rechte vorbehalten Georg Molterer

Max Schrems ist einer der bekanntesten Datenschützer Europas. Noch als Student hatte der junge Jurist den Milliardenkonzern Meta verklagt, später brachte er zwei transatlantische Datenschutzabkommen zu Fall. Inzwischen treibt er gemeinsam mit seiner Nichtregierungsorganisation noyb – kurz für „None of Your Business“ – Datenschutzsünder und Aufsichtsbehörden vor sich her.

Wir trafen den Österreicher zum Interview in einem Wiener Kaffeehaus, um über die Reform des europäischen Datenschutzes zu sprechen. Die bereits länger laufende Debatte hat kürzlich dramatisch an Fahrt aufgenommen, als die EU-Kommission überraschend weitgehende Änderungen an der Datenschutzgrundverordnung (DSGVO) vorschlug. Der sogenannte digitale Omnibus bekommt von Datenschützer:innen viel Kritik.

Dabei bräuchte es tatsächlich eine Reform der Datenschutzgrundverordnung, sagt Max Schrems. Sie müsste nur ganz anders ausfallen als das, was die EU nun plant. Im Interview legt der Jurist uns seine Ideen für eine Reform dar, die kleinere und mittlere Unternehmen entlastet, während sie Datenkonzerne strenger reguliert. Eine breite Einigung sei bei dem Thema möglich, sie müsse nur gesucht werden.

„Die DSGVO liegt jetzt auf dem Tisch“

netzpolitik.org: In der Debatte um eine europäische Datenschutzreform gibt es drei Lager: Die einen sagen, die Datenschutzgrundverordnung an sich sei super und müsse nur besser durchgesetzt werden. Andere sagen, die DSGVO sei das Schlimmste, was der europäischen Wirtschaft je passiert ist, und müsse massiv zurückgebaut werden. Und dann gibt es da noch ein relativ kleines Lager irgendwo dazwischen, das sagt: Reform ja, aber bitte richtig gemacht.

Max Schrems: Zu diesem wirklich sehr kleinen Lager gehöre ich. Es gibt ja wenige, die sagen, die DSGVO soll nicht geändert werden, weil sie so perfekt ist. Das Argument basiert eher auf der Angst vor dem, was dann kommt. Denn dann hätten wir wieder den riesigen Lobby-Fight wie vor zehn Jahren bei der Einführung der DSGVO, aber unter ganz anderen Vorzeichen. Die Sorge ist auch völlig berechtigt, wenn wir schauen, was gerade mit dem digitalen Omnibus passiert. Der Damm ist aber leider bereits gebrochen. Nächstes Jahr soll es noch einen Digital-Fitness-Check geben. Das heißt, die DSGVO liegt jetzt auf jeden Fall auf dem Tisch. Und da müssen wir auf sinnvolle Verbesserungen statt auf einen Kahlschlag hinarbeiten.

Was plant die EU-Kommission bei KI und Datenschutz?

netzpolitik.org: Also, was tun?

Max Schrems: Zuerst müssen wir auf den begrenzten Spielraum hinweisen, den der Artikel 8 zum Schutz personenbezogener Daten in der Europäischen Grundrechtecharta lässt. Dinge wie Zweckbindung, Einwilligung, Auskunftsrecht und weiteres sind dort einzeln aufgelistet. Man kann sie also gar nicht ohne weiteres abschaffen. Der Gesetzgeber kann sie besser oder schlechter ausgestalten und vielleicht bekommen wir ein ausgehöhltes Grundrecht. Aber die DSGVO ist heute schon eine ziemliche Mindestumsetzung. Man kann überlegen, welche administrativen Auflagen wirklich notwendig sind, aber bei den Rechten der Leute gibt es nicht viel „Goldplating“ obendrauf.

Deutschland und der Datenschutz

netzpolitik.org: Wenn es so wenig „Edel-Regulierung“ über das benötigte Maß hinaus gibt, woher kommt dann das Image der DSGVO als dramatische Überregulierung?

Max Schrems: Das schlechte Image der DSGVO ist ganz stark ein deutsches Phänomen, im Blick auf den Datenschutz ist Deutschland dem Silicon Valley näher als dem Rest der EU. Ich reise für Vorträge durch ganz Europa und dass man fast mit Tomaten beworfen wird, wenn man „Datenschutz“ sagt, das gibts nur in Deutschland. Findet die französische Wirtschaft die DSGVO besonders toll? Natürlich nicht. Aber einen Weltuntergang sieht sie darin auch nicht. In Deutschland ist der Datenschutz der Blitzableiter dafür geworden, dass man das mit der Digitalisierung nicht schafft. Ein ganz banales Beispiel: In Deutschland hat fast keiner eine eID, in Österreich sind wir viel weiter. Auch in Skandinavien funktioniert Digitalisierung, alles mit DSGVO.

netzpolitik.org: Wie kommt es zu diesem Sonderweg? Datenschutz galt ja mal als deutsche Erfindung.

Max Schrems: Ich glaube, das sind mehrere Faktoren. In Deutschland gibt es eine riesige Compliance-Industrie, die immer neue „Probleme“ zum Überleben braucht. Mir hat mal einer der großen Compliance-Anbieter gesagt: „Herr Schrems, Sie müssen verstehen, Compliance-Bedarf gibt es nicht – Compliance-Bedarf wird kreiert.“ Also hält man hunderte Vorträge, wie schlimm das alles ist mit dem Datenschutz, und dann müssen alle armen Unternehmen schnell in die Compliance-Beratung kommen. Mit der DSGVO ist ein riesiger Kropf an sehr schlechter Beratung entstanden – aus dieser Beratung kommt dann auch oft irgendein angebliches „Verbot“, das gar nicht in der DSGVO steht.

Hinzu kommt, dass die DSGVO dank der Cookie-Banner das einzige Digitalgesetz ist, das alle kennen. Mir kommt es so vor, dass sich in Deutschland schlussendlich eine Kultur entwickelt hat, dass man mehr Freude am Problem als an der Lösung hat – dafür eignet sich Datenschutz super. Zusammengenommen hat man damit einen perfekten Sturm im Wasserglas.

netzpolitik.org: Von den Cookie-Bannern sind alle genervt, weil sie keine echte Selbstbestimmung ermöglichen und ständig weggeklickt werden müssen.

Max Schrems: Beim Datenschutz ist das Narrativ, mit dem Nutzerinnen jeden Tag zu tun haben, leider komplett den Unternehmen überlassen. Es ist deren Entscheidung, dass sie das Design so scheiße machen, dass man am Ende genervt möglichst auf „Alles akzeptieren“ klickt. Die Industrie nennt das euphemistisch „Consent Optimization“. Aber verantwortlich gemacht wird der europäische Gesetzgeber. Genau wie bei den E-Mails, die damals zum Start der DSGVO alle Unternehmen geschickt haben. Da hieß es immer: „Wegen der DSGVO brauchen wir jetzt ihre Einwilligung“. Ehrlich wäre gewesen: „Wir verarbeiten seit Jahren illegal Ihre Daten ohne Einwilligung, aber jetzt haben wir Panik, deshalb brauchen wir jetzt schnell noch Ihre Einwilligung.“

Mehr Regulierung für Datenkonzerne, weniger für kleine Unternehmen

netzpolitik.org: Wo müsste eine Reform ansetzen?

Max Schrems: Das Wichtigste ist, dass wir die mangelnde Differenzierung durch den One-Size-Fits-All-Ansatz wegkriegen. Dass die DSGVO allen Akteuren die gleichen Anforderungen vorschreibt, hatte die Industrie damals in den Verhandlungen zur DSGVO durchgesetzt. Das Lobbying in Brüssel wird von den ganz Großen dominiert und die haben sich gedacht: Mittelschwere Regeln für alle sind besser als einfachere Regeln für kleine Player, aber Hardcore-Regeln für uns. Und dann war natürlich immer das Argument, dass der Bäcker an der Ecke nicht zu sehr leiden darf, weshalb diese einheitlichen Regeln lieber ein niedriges Niveau haben sollten. Am Ende ist es nun so, als gäbe es nur einen Führerschein, und den braucht man als LKW-Fahrer sowie als Fünfjähriger, der gerade Fahrradfahren lernt.

netzpolitik.org: Wie sähe eine abgestufte Variante aus?

Max Schrems: Ich denke an ein Drei-Stufen-Modell. Da hätte man härtere Regeln für die paar Unternehmen, deren Geschäft im Kern auf Daten basiert, von den großen Plattformen über Datenhändler bis zur Schufa. Für ein paar Prozent anderer großer Unternehmen, die einfach viele Daten oder sensible Daten haben, würde eine mittlere Variante gelten – so etwa die jetzige DSGVO. Und für 90 Prozent der Wirtschaft, die fast nichts mit Daten machen, außer ihren Betrieb aufrechtzuerhalten, könnte man den Verwaltungsaufwand im Großen und Ganzen abdrehen. Natürlich müssen die Kernregeln beibehalten werden, aber zum Beispiel bei Dokumentationspflicht ginge viel – da steckt auch die meiste sinnlose Arbeit für Unternehmen drin.

netzpolitik.org: Wie würde die Entlastung konkret aussehen?

Max Schrems: Wir haben eine Umfrage mit 500 betrieblichen Datenschutzbeauftragten gemacht und sie gefragt, welche Bereiche ihren Unternehmen viel Arbeit machen und welche viel Schutz bringen. Und da hat sich gezeigt, dass man unter anderem auf viele Dokumentationspflichten verzichten könnte. Die sind ohnehin eher als typischer Brüsseler Kompromiss entstanden: Wenn man schon keine strengen Regeln einführt, dann muss man wenigstens viel dokumentieren. Nur bringt das für Unternehmen viel Arbeit und für die Betroffenen keinen einklagbaren Schutz – beide verlieren.

Besser wäre die Einführung einer Beweispflichtumkehr, die gibt es in der DSGVO sogar schon so halb. Unternehmen müssten dann im Streitfall beweisen, dass sie sich an die Vorgaben gehalten haben. Aber wie sie das machen, ist egal. Da bin ich eher libertär: Wie die Unternehmen ihre Compliance intern gestalten, muss der Gesetzgeber nicht regulieren. Wir haben ja auch keine Dokumentationspflicht dafür, dass ich niemanden umbringe.

„Wer die Macht hat, muss die Verantwortung tragen“

netzpolitik.org: Wie könnte man kleinere Unternehmen noch entlasten?

Max Schrems: Die DSGVO ist oft sehr abstrakt, was alle ohne Rechtsabteilung überfordert. Da könnten Formblätter und standardisierte Prozesse helfen, um die Komplexität runterzubrechen. Also zum Beispiel ein Standardformular mit den Anforderungen, die man beim Betrieb einer Website erfüllen muss. In Österreich hat es früher Muster- und Standardverordnungen für Dinge gegeben, die jedes KMU macht. Da hat man gesagt: Wenn ihr euch ans Schema F haltet, dann seid ihr auf jeden Fall gesetzeskonform. Das hat kleinen Unternehmen extrem viel Rechtssicherheit gebracht und senkt den Verwaltungsaufwand massiv.

Wenn ich solche Reformideen vorschlage, gibt es übrigens immer eine Gruppe, die gar nichts davon hält: Anwälte und Compliance-Leute, denn die machen mit genau dieser Unsicherheit für Unternehmen sehr viel Geld. Diese Bürokratie wird oft viel mehr zwischen Unternehmen und ihren Beratern produziert als zwischen Betroffenen und Unternehmen.

netzpolitik.org: Auch bei der Compliance zwischen Unternehmen siehst du Vereinfachungspotenzial, wenn zum Beispiel eine Firma Office-Produkte von Microsoft oder Cloud-Dienste von Amazon oder Google nutzt.

Max Schrems: Genau, da hat die DSGVO nämlich ein ganz absurdes System, dass nicht Microsoft oder Google oder irgendwelche Cloud-Anbieter direkt unter das Gesetz fallen, sondern du als einzelner Unternehmer einen Vertrag mit ihnen schließt, dass sie sich an das Gesetz halten würden.

netzpolitik.org: Die sogenannten Auftragsdatenverarbeitungsverträge.

Max Schrems: In Europa gibt es Millionen dieser Verträge, die alle abgeschlossen, gemanagt und überprüft werden müssen. Der Effekt ist, dass wir zwar eine lokale Schule verklagen können, die illegale Office-Produkte von Microsoft einsetzt, aber Microsoft direkt angreifen können wir nicht. Die Schule hat aber natürlich null Kompetenz, de facto verantwortlich ist eigentlich Microsoft. Selbst Staaten haben aktuell keine Chance, die Verträge zu ändern – sollen aber dafür haften.

Und das ist ein Grundproblem der DSGVO: Schon im römischen Recht sagte man, dass derjenige die Verantwortung tragen soll, der die Macht darüber hat. Bei der DSGVO aber klaffen Macht und Verantwortung auseinander. Was wir bräuchten, wäre eine Datenschutzhaftung der großen Plattformunternehmen, dass sie gesetzeskonforme Produkte anbieten. Das würde extrem viel Druck von den normalen Unternehmen nehmen. Das sind genau die Dinge, wo alle in Europa von ganz konservativer Seite bis zu ganz linker Seite sagen können: Ja, das ergibt Sinn, dass Microsoft und nicht ein KMU dafür haftet. Eine solche Reform könnten wir mit wenig Aufwand umsetzen.

„Eine breite Einigung bei der Reform wäre möglich“

netzpolitik.org: Auf der anderen Seite schlägst du Verschärfungen für Datenkonzerne vor. Wie sähen die aus?

Max Schrems: Bei den ganz Großen funktioniert die DSGVO nicht. Da bräuchten wir zusätzliche Instrumente wie eine Gewinnabschöpfung. Die aktuelle Höchststrafe von vier Prozent für Datenschutzverstöße ist weit weniger als das, was Meta & Co. mit der illegalen Datenverarbeitung verdienen. Die sehen das einfach als 4-prozentige Steuer, nicht als Strafe. Die Gewinnabschöpfung bräuchte es schon allein aus Wettbewerbsgründen, damit man nicht mit illegal erwirtschafteten Gewinnen den anderen Wettbewerbern davonläuft.

netzpolitik.org: Was bräuchte es noch?

Max Schrems: Extrem wichtig wäre eine Art externe TÜV-Kontrolle. In anderen technisch hochkomplexen Bereichen haben wir Prüfungen an unabhängige Stellen ausgelagert. Wenn zum Beispiel eine Lift-Anlage oder auch nur ein Auto betrieben wird. Im Datenschutz gibt es aktuell praktisch nur interne Prüfungen, wo alles durchgewunken wird, was der Chef will. Theoretisch gibt es die Aufsichtsbehörden, die aber weder die nötige technische Fachkompetenz noch die Kapazitäten für umfangreiche Prüfungen haben. Zunehmend merkt man auch, dass einige Behörden politisch nicht prüfen wollen.

Eigentlich müsste das so laufen wie bei der jährlichen Prüfung von Unternehmensfinanzen, selbst wenn das natürlich auch nicht immer perfekt funktioniert, siehe Wirecard. Aber dann gäbe es immerhin deutlich mehr Druck, etwa wenn man sicherstellt, dass die Zertifizierungsbude ihre Lizenz verliert, wenn sich später rausstellt, dass es bei einem geprüften Unternehmen doch massenhafte Rechtsverletzungen gab. So hätte man genug Druck auf allen Playern, dass sie ihre Arbeit vernünftig machen. Den meisten Menschen in Deutschland dürfte doch wichtiger sein, dass das Scoring-Modell der Schufa regelmäßig vernünftig geprüft wird, als dass deren interne Bilanzen geprüft werden.

Für die Großen müssten auch andere Transparenzpflichten gelten, die müssten viel detaillierter offenlegen, was sie mit unseren Daten machen.

netzpolitik.org: Was du hier gerade skizziert hast, kursiert in der Datenschutzszene seit einiger Zeit manchmal als „Schrems-Voss-Vorschlag“. Der CDU-Digitalpolitiker Axel Voss hatte nämlich etwas in dieser Richtung auf LinkedIn gepostet. Habt ihr das zusammen ausgearbeitet?

Max Schrems: Das sind alles Dinge, die ich schon seit zehn Jahren vorschlage, da ist eigentlich nichts Neues dran. Es gab neulich eine Diskussionsveranstaltung mit Axel Voss. Eigentlich stehen wir uns politisch eher nicht nahe, aber er hat bei diesen Punkten vieles ähnlich gesehen. Das freut mich natürlich, weil ich finde, dass das die Eleganz dieser Vorschläge gerade in Zeiten polarisierter Politik ist, dass sie eben soweit logisch und sinnvoll sind, dass sie auch von Konservativen geteilt werden. Es gibt sicher zehn oder zwanzig Prozent im Datenschutz, da kommen wir nicht zusammen. Aber konzentrieren wir uns doch erst mal auf die achtzig Prozent, bei denen eine schnelle und breite Einigung möglich ist. Über den Rest können für uns dann noch immer streiten.

„Mit KI wird zum ersten Mal Realität, wovor der Datenschutz uns schützen sollte“

netzpolitik.org: Jetzt sieht die Realität ganz anders aus: Mit dem sogenannten „digitalen Omnibus“ will die EU-Kommission Teile der DSGVO in großer Eile und ohne Konsens-Suche ändern. Ihr bei noyb kritisiert die Pläne hart.

Max Schrems: Viele Teile des digitalen Omnibusses wurde offenbar von Leuten geschrieben, die keine Ahnung von der DSGVO oder Praxis haben. Wir sehen hier wirklich einen teilweisen Zusammenbruch der Fachbeamtenschaft in Brüssel. Der Vorschlag erfüllt nicht mal den Zweck, für den er gemacht wurde, nämlich die Wirtschaft zu fördern. Die Logik der meisten Lobbyisten in Brüssel ist: Je schwammiger das Gesetz, desto besser für die Unternehmen. Für den Großteil der Wirtschaft wird das aber nichts bringen.

Unsere Umfragen unter betrieblichen Datenschutzbeauftragten zeigen, dass Unsicherheit genau das ist, was sie nicht brauchen. Sie brauchen klare Regeln. Von Schwammigkeit profitieren nur große Konzerne mit starken Rechtsabteilungen. Aber für die europäische Wirtschaft, die hauptsächlich aus Mittelständlern und kleinen Unternehmen besteht, ist das Gift. Das gilt auch für die vorgeschlagenen Regelungen zu KI und Datenschutz.

netzpolitik.org: Die EU-Kommission will klarstellen, dass KI-Systeme mit personenbezogenen Daten trainiert und betrieben werden dürfen, ohne dass die Betroffenen eingewilligt haben. Rechtsgrundlage wäre dann das „berechtigte Interesse“, Nutzer:innen hätten die Möglichkeit zum Opt-Out.

Max Schrems: Dabei bleiben aber die Anforderungen der DSGVO an die Interessenabwägung im Einzelfall bestehen – man weiß also weiterhin nicht, was jetzt legal ist und was nicht. Wenn man den kleinen und europäischen Unternehmen wirklich helfen will, dann würde man eine klare, neue Regelung einführen: Diese zehn Punkte müssen erfüllt werden, wenn man mit Kundendaten KI trainieren will. Wenn man die Anforderungen erfüllt, ist es legal – und wenn nicht, dann nicht.

netzpolitik.org: Wie sähe das konkret aus?

Max Schrems: Es bräuchte zum Beispiel Datenreinigung nach dem Stand der Technik. Es bräuchte Löschkonzepte. Es bräuchte eine Verpflichtung, das System zu re-trainieren, wenn es trotz Datenreinigung im Ausnahmefall problematische Daten ausspuckt, so wie neulich, als ein Chatbot eine Person als Mörder diffamiert hat. Das wäre wahrscheinlich machbar, wenn auch mit hohen Hürden. Aber wir haben mit KI zum ersten Mal eine Situation, in der Realität wird, wovor uns der Datenschutz ursprünglich schützen sollte.

netzpolitik.org: Das musst du erklären. Inwiefern?

Max Schrems: Die Grundprinzipien der DSGVO stammen aus den 70er- und 80er-Jahren. Damals gab es die Sorge, dass es irgendwann ein technisches System geben könnte, das viele Daten aufsaugt, darauf basierend Entscheidungen über uns trifft und niemand kann nachvollziehen, warum. Genau das macht KI. Um uns vor so etwas zu schützen, wurden damals Datenschutzrechte wie die Zweckbindung, Transparenz, Datenrichtigkeit oder Datenminimierung etabliert.

Daten, die man zu einem Zweck hergegeben hat, sollen nicht einfach für etwas anderes verwendet werden. Wenn am Ende etwas Falsches rauskommt, hat man ein Recht auf Berichtigung. Und man hat ein Auskunftsrecht, um herauszufinden, welche Daten eingeflossen sind. All diese Rechte ergeben bei KI-Systemen jetzt das erste Mal so richtig Sinn. Und genau jetzt sollen sie abgeräumt werden, weil sie KI im Weg stehen?! Das ist so, als hätten wir Geschwindigkeitsbegrenzungen festgelegt, als wir noch Pferdekutschen hatten, und jetzt, wo der Porsche da ist, schaffen wir sie einfach ab – weil sie der „Innovation“ im Weg stehen.

„Wir haben nahezu einen Totalausfall der Datenschutzbehörden“

netzpolitik.org: Du sieht auch bei Rechtsdurchsetzung des Datenschutzes Reformbedarf. Wo liegt hier das Problem?

Max Schrems: Eines der Probleme ist der nahezu Totalausfall der Datenschutzbehörden. Es gibt natürlich Ausnahmen, aber den meisten fehlt der politische Wille, es fehlen die budgetären Mittel oder das kompetente Personal. Die Leitungsposten der Behörden werden immer öfter nicht unabhängig, sondern politisch besetzt. Eine zweite Amtszeit gibt es nur bei einem wirtschaftsfreundlichen Kurs. Das führt dazu, dass es in Europa nicht mal bei 1,3 Prozent der DSGVO-Beschwerden überhaupt zu einem Bußgeld kommt. Inzwischen herrscht eine Logik des Rechtsbruches vor. In der juristischen Bubble interessiert die DSGVO keine Sau mehr, weil der Anwalt, der dich berät, mehr kostet als die potenzielle Strafe.

Die Gerichte sind auch ein Problem. Viele Richter bekommen erst mal Panik, wenn sie von Computern und DSGVO hören, denn das hatten sie nie an der Uni. Dann lesen sie die Zeitung und haben alle das Gefühl, dass die böse DSGVO viel zu hart für Unternehmen ist. Das führt dazu, dass man viele DSGVO-Verfahren verliert, nicht aus rechtlichen, sondern aus emotionalen Gründen. Immer wieder streichen Gerichte auch die Entscheidungen der Behörden und deren Bußgelder zusammen.

Den Unternehmen kommt zugute, dass Gerichtsverfahren in den meisten EU-Ländern teuer sind. Wenn die Aufsicht wegen einer Entscheidung vor Gericht gezerrt wird, dann fast ausschließlich von Unternehmen und fast nie von Betroffenen. Das hat einen Chilling-Effekt auf die Aufsichtsbehörden: Vor Bürgern brauchen sie sich nicht fürchten, vor Unternehmen schon. Ergo: Lieber mal nichts tun.

netzpolitik.org: Hast du zum Schluss noch einen Lichtblick, was dir im Datenschutz gerade Hoffnung macht?

Max Schrems: Erstens die Grundrechtecharta. Datenschutz ist in der EU ein Grundrecht und der Kernbereich kann nicht abgeschafft werden, sofern nicht plötzlich alle EU-Mitgliedstaaten einstimmig die Charta ändern.

Zweitens die Möglichkeit eines zivilrechtlichen Vorgehens bei Datenschutzverstößen und die neuen EU-Sammelklagen. Wir sind damit irgendwann nicht mehr auf die Datenschutzbehörden angewiesen. Ich finde das politisch nicht schön, hier auch mit Sammelklagen anzufangen. Lieber wäre mir, wenn alles von vorneherein rechtskonform ist und die Aufsichtsbehörden das auch sicherstellen, statt dass man im Nachhinein bei Problemen auf Schadenersatz klagt. Aber das ist leider eine Sprache, die auch die großen US-Konzerne verstehen. Selbst bei kleinen Schadensersatzsummen von wenigen hundert Euro kommt man bei Millionen Betroffenen schnell auf interessante Summen.

Wir haben das mit noyb in Österreich auch schon mal getestet, da haben uns viele gesagt: Ich will das Geld gar nicht, ich will nur, dass man mal was gegen die Konzerne macht. Das war also ein sehr anderes Bild als das der geldgierigen Kläger, das manche zeichnen. Das hat mich sehr ermutigt.

netzpolitik.org: Vielen Dank für deine Arbeit und das Gespräch.

„Die aktuelle Debatte geht in die falsche Richtung“

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die schwarz-grüne Landesregierung von Schleswig-Holstein setzt auf KI-gestützte Videoüberwachung. Die Technologie soll selbstständig Menschen identifizieren, erkennen, was diese tun und sie über mehrere Kameras hinweg verfolgen.

Was macht sie denn da? Die schleswig-holsteinische Innenministerin Magdalena Finke (CDU) will Verhaltensscanner einführen. – Alle Rechte vorbehalten IMAGO / penofoto

Magdalena Finke will verhindern, dass Menschen andere Menschen mit Messern angreifen. Aus dieser Motivation heraus hat die christdemokratische Innenministerin von Schleswig-Holstein ein Gesetz vorgelegt, dass es in sich hat. „Gesetz zur Fortentwicklung polizeirechtlicher Maßnahmen für einen wirksamen Schutz der öffentlichen Sicherheit“ heißt es. Es erlaubt der Polizei des Bundeslandes den Einsatz einer breiten Palette von Überwachungstechnologie.

Ein Fokus liegt dabei auf Videoüberwachung, die mit sogenannter Künstlicher Intelligenz kombiniert wird. Die soll künftig nicht nur automatisch Menschen identifizieren, sondern auch erkennen, was diese tun und sie über mehrere Kameras hinweg verfolgen.

KI-gestützte Videoüberwachung ist in deutschen Sicherheitsbehörden gerade superhip. Hessen betreibt im Frankfurter Bahnhofsviertel bereits automatisierte Gesichtserkennung. In Hamburg und dem baden-württembergischen Mannheim werden derweil Verhaltensscanner getestet, Berlin hat sie gerade erlaubt, zahlreiche Bundesländer planen ihren Einsatz – noch gibt es aber keinen einzigen Fall, in dem diese eine Straftat verhinderten oder auch nur bei deren Aufklärung nützlich waren.

Schleswig-Holstein will sich nun gleich beide Technologien – Live-Gesichtserkennung und Verhaltensscanner – auf einmal gönnen und noch die automatische Nachverfolgung obendraufsetzen. Mit der KI-Videoüberwachung sollen dann nicht nur Straftäter*innen gejagt werden, sondern auch Menschen, die Ordnungswidrigkeiten begehen. Die geplante Speicherfrist für die erstellten Videos ist zudem mit einem Monat außergewöhnlich lang.

Finke will auch palantirartige Big-Data-Analysen erlauben

Gerade befasst sich die schwarz-grüne Landesregierung mit Finkes Entwurf. Er beinhaltet neben der Video-KI weitere technologiebasierte Überwachungsmaßnahmen, die der Landespolizei künftig erlaubt werden sollen. Darunter ist beispielsweise die Erlaubnis zu Big-Data-Analysen, wie sie mit Software von Palantir möglich sind. In diese Analysen dürfen auch Funkzellendaten und nicht näher spezifizierte Informationen aus dem Internet einbezogen werden.

Außerdem will die Innenministerin es der Polizei erlauben, Fotos von Menschen mit im Internet verfügbaren Bildern abzugleichen, um mehr über die Personen zu erfahren. Dabei ist der Aufbau der dazu nötigen Datenbanken illegal. Und elektronische Fußfesseln sollen künftig nicht nur Sexualstraftätern angelegt werden dürfen, sondern auch Menschen, die in Zukunft womöglich „terroristische Straftaten“ begehen könnten. Wenn ein Mensch Gegenstände mit sich führt, die darauf hindeuten, dass er eine Ordnungswidrigkeit plant, darf die Polizei die Person nach dem Gesetzentwurf unter Umständen auch vorbeugend in Gewahrsam nehmen.

All die Maßnahmen aus dem Entwurf sind explizit dazu gedacht, Angriffe mit Messern zu verhindern. Doch das Video-KI-Tool, mit dem sich solche Taten womöglich tatsächlich unterbinden ließen – die automatisierte Erkennung von bestimmten Objekten wie beispielsweise Messern – nennt der Gesetzentwurf nicht.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Tech-Konzerne wollen, dass wir über ihre Plattformen kommunizieren, unsere Daten in ihren Clouds speichern und am besten nie wieder von ihnen loskommen. Wir kämpfen für ein Netz, das nicht von den großen Unternehmen dominiert wird, sondern in dem Nutzer:innen mitgestalten und -bestimmen.

Google bietet uns seine Dienste kostenlos an und lässt uns unbemerkt mit unseren Daten zahlen. Wer bei Metas Social-Media-Portalen Reichweite bekommt und wer untergeht, bestimmen undurchsichtige Empfehlungssysteme. Tech-Konzerne wenden Unsummen dafür auf, gesetzliche Regulierung in ihrem Sinne mit Lobbyarbeit zu beeinflussen.

Doch es gibt Alternativen zu den großen monopolistischen Strukturen – für den privaten Chat unter Freund:innen, die Datenspeicherung auf Arbeit oder auch für die Infrastruktur unseres Staates. Wir machen diese Lösungen sichtbar und geben auch denen eine Stimme, die keine millionenschweren Lobbyabteilungen hinter sich haben.

Dafür brauchen wir deine Unterstützung.

In diesem Jahr fehlen uns noch 252.337 Euro.

Your browser does not support the video tag.

Teile dieses Video: YouTube | YouTube Shorts | Mastodon | Bluesky | Instagram

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die deutschen Datenschutzbehörden gehen auf Distanz zu den Omnibus-Plänen der EU-Kommission. Statt Entlastungen für Unternehmen sehen sie neue Rechtsunsicherheiten und machen alternative Vorschläge zur Reform der Digitalgesetze.

In Zeiten von KI braucht es dringend neue Regeln, findet die Datenschutzkonferenz. – Gemeinfrei-ähnlich freigegeben durch unsplash.com Anita Jankovic

Eine große Zahl von Vereinen und Politiker:innen hat das geplante Digitalpaket der EU-Kommission bereits scharf kritisiert. Nun meldet sich auch die Konferenz der Datenschutzbehörden des Bundes und der Länder (DSK) zu Wort – und reiht sich in die Liste der Kritiker:innen des sogenannten „Digitalen Omnibus“ ein. Vergangene Woche hatte die Konferenz in Berlin die geplanten Änderungen an mehreren EU-Digitalgesetzen diskutiert und zwei eigene Reformvorschläge gemacht.

Die Berliner Datenschutzbeauftragte und amtierende DSK-Vorsitzende Meike Kamp bezeichnet die Änderungsvorschläge als „an vielen Stellen nicht bis zu Ende gedacht“. Mit dem Sammelgesetz drohten neue Unklarheiten im Datenschutzrecht. Einfache Änderungen, die kleine und mittlere Unternehmen tatsächlich entlasten würden, lasse die Kommission liegen, so der Vorwurf. „Das selbst gesetzte Ziel des Bürokratieabbaus erfüllt die EU-Kommission damit nicht“, so Kamp weiter.

Anders als von der Kommission dargestellt, handelt es sich nach Ansicht der DSK bei den Vorschlägen nicht nur um kleinere oder technische Anpassungen. Die Änderung der Definition von personenbezogenen Daten gehe beispielsweise an das Fundament der DSGVO.

„Unangemessener“ Zeitdruck

Entsprechend kritisch sehen die Behörden das gewählte Omnibusverfahren, das auf schnelle Gesetzesänderungen abzielt. Der Zeitdruck sei „unangemessen“, warnen sie. Reformen dieser Tragweite müssten sorgfältig durchdacht und auch mit den Aufsichtsbehörden abgestimmt werden.

Die DSK bringt daher eigene Reformideen als Alternative zu den Kommissionsplänen ein, so etwa zu Datenschutz und sogenannter KI (PDF). Mit Blick auf die Verarbeitung personenbezogener Daten brauche es spezifische Rechtsgrundlagen für Entwicklung, Training und Betrieb von KI-Modellen und KI-Systemen. Diese sollen einerseits zeigen, unter welchen Voraussetzungen die Daten verarbeitet werden dürfen, und andererseits, was klar verboten ist.

Außerdem fordert die DSK die Europäische Union dazu auf, die Betroffenenrechte beim KI-Einsatz in der DSGVO verankern. Das heißt konkret: Die betroffenen Personen müssen darüber informiert werden, wenn ihre personenbezogenen Daten in einem KI-System verarbeitet werden. Außerdem sollen sie Auskunft darüber erhalten können, ob und wie ein KI-System ihre Daten verarbeitet. Hier gebe es bislang eine Regelungslücke.

Gleichzeitig betont die DSK, dass es in der Praxis Schwierigkeiten bei der Verwirklichung von Betroffenenrechten gebe. Für Fälle, in denen die Rechte nur mit „unverhältnismäßigem Aufwand“ umgesetzt werden können, brauche es daher alternative, gleichwertige Schutzmechanismen.

Mehr Verantwortung für Hersteller und Anbieter

Zudem will die DSK die Hersteller und Anbieter von IT-Produkten und -Diensten stärker in die datenschutzrechtliche Verantwortung nehmen (PDF). Diese sollen künftig darauf achten, dass der Datenschutz bereits bei der Gestaltung ihrer Produkte berücksichtigt wird. Aktuell liegt die rechtliche Verantwortung allein bei denjenigen, die die Produkte nutzen. Kamp zufolge seien insbesondere kleine und mittlere Unternehmen (KMU) oft nicht dazu in der Lage, gegenüber großen Herstellern datenschutzkonforme Prozesse durchzusetzen. Eine Haftung der Hersteller würde sie entlasten.

Damit unterstützt die DSK nach eigenen Aussagen ein Ziel des Bundeskanzlers und der Regierungschefs der Länder aus der föderalen Modernisierungsagenda. Doch die Idee der Herstellerhaftung ist nicht neu. Bereits in ihrer ersten Evaluation der DSGVO vor sechs Jahren hatte die DSK einen solchen Vorschlag gemacht (PDF).

In den kommenden Wochen will die Datenschutzkonferenz den Vorschlag der Kommission weiter im Detail analysieren und eine ausführlichere Stellungnahme abgeben, kündigt Kamp an. Dazu werde sie mit anderen europäischen Datenschutzbehörden zusammenarbeiten.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Künstliche Intelligenz wird von großen Konzernen dominiert, sie verbraucht viel Energie und es gibt jede Menge kniffliger ethischer Fragestellungen. Der digitalpolitische Verein D64 hat sich mit anderen Organisationen der Frage angenähert, wie die Zivilgesellschaft KI solidarisch nutzen kann.

Ist eine solidarische Nutzung von KI möglich? (Symbolbild) – Gemeinfrei-ähnlich freigegeben durch unsplash.com Cash Macanaya

KI und Solidarität – geht das zusammen? Der digitalpolitische Verein D64 hat im Rahmen des Projektes „Code of Conduct Demokratische KI“ ein neues Whitepaper veröffentlicht, das sich laut der Pressemitteilung mit dem „Spannungsfeld zwischen der Dominanz globaler Tech-Unternehmen und dem solidarischen Auftrag gemeinwohlorientierter Organisationen“ beschäftigt. Das Papier mit dem Titel „Solidarische Praxis entlang der Nutzung von KI verankern“ biete gemeinwohlorientierten Organisationen einen praxisnahen Leitfaden für den solidarischen Umgang mit KI, so D64 weiter.

Entstanden ist das 35 Seiten starke Whitepaper (PDF) in Zusammenarbeit mit 19 Organisationen aus der Zivilgesellschaft, unter ihnen die Arbeiterwohlfahrt (AWO), die Bundesarbeitsgemeinschaft der Seniorenorganisationen (BAGSO), das FrauenComputerZentrumBerlin (FCZB) und das Deutsche Rote Kreuz.

Praxisnaher Leitfaden

Dabei stand im Mittelpunkt die Frage: „Wie können wir den Einsatz von Künstlicher Intelligenz (KI) so gestalten, dass er unserem solidarischen Auftrag dient und nicht durch technologische Abhängigkeiten untergraben wird?“ Solidarität bedeute: Verantwortung teilen, Ressourcen gemeinsam steuern und dadurch Bedingungen schaffen, in denen vielfältige Bedarfe selbstbestimmt eingebracht werden können. Im Kontext von KI gerate dieser Anspruch schnell unter Druck, weil wenige globale Unternehmen die Entwicklung großer KI-Modelle und die digitale Infrastruktur dominieren würden.

Trotz dieser Spannungen könne die Zivilgesellschaft ihre Rolle als kritische Anwenderin und Gestalterin nutzen, heißt es auf der Seite des Projektes. Durch bewusste Entscheidungen ließen sich konkrete Handlungsräume öffnen: in der Auswahl von KI-Anwendungen, im Aufbau von Kompetenzen und in der Arbeit an gemeinsamen Standards. Das Whitepaper möchte hierbei Anstöße und Lösungsansätze für Organisationen geben.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Sozialdemokraten im EU-Parlament wollen besser verstehen, wie das Gesetz über digitale Dienste umgesetzt wird. Daher wollen sie einen Untersuchungsausschuss gründen und gehen jetzt auf Stimmensuche.

Die Abgeordneten wollen wissen, wie die Kommission ihre Digitalregulierung umsetzt. – Gemeinfrei-ähnlich freigegeben durch unsplash.com Markus Winkler

Seitdem das Gesetz über digitale Dienste (DSA) verabschiedet wurde, schreitet die Umsetzung langsam voran. Nach zwei Jahren Verfahren wurde vor einer Woche dann die erste Strafe beschlossen: 120 Millionen Euro soll X zahlen. Die Sozialdemokraten im Europaparlament sehen das zwar als positives Zeichen, verlangen jedoch mehr Transparenz.

Die EU reagierte mit dem DSA auf die Macht von Online-Diensten und legte verbindliche Regeln fest, die beispielsweise mehr Transparenz im digitalen Raum und mehr Nutzerrechte schaffen sollen. Die dänische Abgeordnete Christel Schaldemose (S&D) findet, dass das Europäische Parlament einen klaren Überblick darüber haben sollte, wie die Kommission Entscheidungen zur Durchsetzung des DSA trifft. Außerdem will sie wissen, ob die europäische Behörde überhaupt über die notwendigen Instrumente verfügt, um mit den Tech-Giganten Schritt zu halten.

Besonders dringlich erscheint der Abgeordneten das Thema angesichts der „großen ungelösten Herausforderung“ von unsicheren Produkten, die von Verkäufern aus Drittländern in die EU gelangen. Auch hier greift der DSA. Anfang Dezember haben sich zu diesem Thema auch die Mitgliedstaaten im Telekommunikationsrat und im Binnenmarktsrat besprochen und eine strikte Durchsetzung des DSA verlangt.

180 Unterschriften gesucht

Um die gewünschte Transparenz zu erreichen, wollen die S&D-Abgeordneten nun einen Untersuchungsausschuss gründen. Über diesen würden sie Zugriff auf Dokumente der Kommission bekommen und könnten verschiedene Zeugen befragen. Für die Gründung des Ausschusses brauchen sie im ersten Schritt Unterschriften von einem Viertel der EU-Abgeordneten, also 180 Signaturen, die sie nun zu sammeln beginnen.

Die Sozialdemokraten allein haben in ihrer Fraktion 136 Abgeordnete. Mit der Unterstützung von den Grünen (53 Abgeordnete) oder den Liberalen (77 Abgeordnete) könnten sie schon ausreichend Stimmen sammeln. Beide Fraktionen erklären gegenüber netzpolitik.org, dass sie sich erst noch intern dazu besprechen müssen. Die Initiative sei noch sehr neu und man habe noch keine offizielle Anfrage erhalten, sagte ein Sprecher der liberalen Renew-Fraktion am Mittwoch.

Im zweiten Schritt braucht der Antrag dann die Unterstützung der Konferenz der Präsidenten des Parlaments. Das sind die Präsidentin des EU-Parlaments Roberta Metsola und die jeweiligen Vorsitzenden der Fraktionen. Anschließend kann der Antrag auf die Tagesordnung der nächsten Plenarsitzung gesetzt werden.

Im dritten Schritt stimmt dann das gesamte Parlament über den Antrag ab. Hier braucht es eine Mehrheit, also insgesamt 360 Abgeordnete, die für den Vorschlag stimmen.

Letzter Ausschuss untersuchte Pegasus-Einsatz

Grundsätzlich kann das Parlament einen Untersuchungsausschuss gründen, um Rechtsbrüchen oder Missständen bei der Anwendung des EU-Rechts nachzugehen. Im Jahr 2022 wurde ein solcher Untersuchungsausschuss für die Nutzung der Pegasus-Staatstrojaner gegründet.

Die Kommission hat in den vergangenen Wochen immer wieder betont, dass sich die DSA-Umsetzung bisher so gezogen habe, weil es sich um ein neues Gesetz handele und die internen Strukturen erst noch aufgebaut werden mussten. Digitalkommissarin Henna Virkkunen versprach letzten Monat in einer Pressekonferenz, dass die Verfahren jetzt Fahrt aufnehmen würden.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Wenn ein IT-System veraltet oder kaputt ist und jemand darauf hinweist, verursacht das erstmal Stress. Aber den Status um jeden Preis aufrechtzuerhalten ist nicht der beste Umgang, findet unsere Kolumnistin. Sie schlägt einen anderen Weg für ein stressfreies digitales Zusammenleben vor.

Wie geht man gut damit um, wenn etwas nicht in Ordnung ist? – Gemeinfrei-ähnlich freigegeben durch unsplash.com Luis Villasmil

In der heutigen Degitalisierung geht es um Stress. Aber eigentlich auch wieder nicht. Das mag paradox klingen, hat aber mit einer ganz besonderen Art von Stress zu tun, dem Statusstress. Statusstress ist nicht nur ein wunderschönes Bild von einem Wort, sondern leider auch eine allzu treffende Bezeichnung des Umgangs mit dem Status der Digitalisierung in Deutschland und möglicher Kritik daran.

Besonders häufig zu finden ist der Statusstress in der Verwaltung, zum Teil aber auch im Gesundheitswesen oder bei Unternehmen, die in den beiden Branchen Dienstleistungen erbringen. Um Statusstress genauer zu verstehen, bedarf es einiger prägnanter Beispiele. Aus nicht ganz erfindlichen Gründen kommen ein paar der aktuellen Beispiele für diese Kolumne schwerpunktmäßig aus Berlin.

Das heißt aber nicht, dass Statusstress nicht auch in anderen Regionen in Deutschland, speziell im Kontext der Digitalisierung, vorkommt, es ist eher eine besondere Häufung der Nachrichten der letzten Tage.

Versuch einer Definition

Normalerweise ist Stress eine natürliche Alarmreaktion des menschlichen Körpers auf Belastungen, auf Stressoren. Die Auslöser von Stress können Umstände wie Zeitdruck, Lampenfieber oder lebensverändernde kritische Ereignisse sein, etwa ein möglicher Jobverlust. Kurzfristig setzt der menschliche Körper dann Stresshormone wie Adrenalin frei, um mit der kurzfristigen Belastung besser umgehen zu können – in Vorbereitung auf eine kurzfristige Fight-or-Flight-Situation: entweder der Situation stellen oder fliehen.

Stress ist also eigentlich auch ein Mittel, um mit schwierigen Situationen besser umgehen zu können. Ein Mittel, um sich einer gewissen anstrengenden und schwierigen Situation besser stellen zu können. Meist ist eine Situation dann zwar stressig, wir haben höheren Puls und Blutdruck, aber nach dem Ablassen des Stresses haben wir oftmals eine unangenehme Situation erfolgreich gemeistert und mehr erreicht, als wir vorher gedacht hätten.

Nun gibt es solche Stresssituationen auch für die Politik oder der Politik nahestehende Organisationen, für die Verwaltung oder der Verwaltung nahestehende Unternehmen etwa. Stressig kann es oftmals werden, wenn das jeweilige Handeln kritisiert wird, wenn Fehler offensichtlich werden. Auch hier gibt es dann eine Vorbereitung auf eine Fight-or-Flight-Situation. Fehler zugeben, beheben oder doch lieber erst mal kleinreden? Häufig fällt die Entscheidung auf die Aufrechterhaltung des Status Quo, auch wenn es durchweg sehr anstrengend und – titelgebend – stressig sein kann, den Status Quo als richtig darzustellen.

Nur ist die ohnehin schon stressige Aufrechterhaltung des ungenügenden Status Quo auf lange Sicht gar nicht mal so sinnvoll oder gesund, wie ein paar Beispiele aus der Digitalisierung der letzten Tage zeigen.

Stand der Technik

„Stand der Technik“ ist eine wiederkehrende Formulierung im Gutachten von David Zellhöfer zum Datenatlas der Bundesdruckerei. Zellhöfer ist seines Zeichens Professor an der Hochschule für Wirtschaft und Recht Berlin.

Im Gutachten geht es aber nicht um die Beschreibung, dass der Datenatlas der Bundesdruckerei den Stand der Technik auch erreiche. Es geht wissenschaftlich aufbereitet darum, dass der Datenatlas eben nicht mal den Stand der Technik erreiche. Schlimmer noch, es sei dabei nicht mal der Stand der Technik von heute, sondern der Stand der Technik von vor knapp 40 Jahren.

Eine durchaus harte Kritik, beim genaueren Lesen des Gutachtens finden sich aber viele Anhaltspunkte, wie es besser ginge. Es wird umfangreich aufbereitet, an welchen Stellen Details der Umsetzung des Datenatlas diesen Stand der Technik unterschreiten und welche Umsetzungsalternativen es geben würde. Mit etwas Abstand betrachtet mag das Gutachten zwar nicht nett klingen – es liefert aber zahlreiche Verbesserungsvorschläge, um einen möglichen besseren Datenatlas schaffen zu können. Eigentlich.

Das Gutachten von Zellhöfer mag bei den Beteiligten zu sofortigem Statusstress geführt haben, anders wäre die Prüfung rechtlicher Mittel gegen das Gutachten nicht erklären zu gewesen. Fehler zugeben und diese ausmerzen – oder eben mit viel Aufwand jegliche Kritik am zweifelhaften Status abschmettern. Fight or flight. Statusstress.

Im Falle des Datenatlas und der Bundesdruckerei lässt sich aber nicht genau ermessen, wie viel mehr Aufwand dieser Statusstress am Ende ausmachen wird. Anders ist das bei der zweifelhaften Aufrechterhaltung veralteter IT-Systeme.

415 Prozent

In der letzten Woche wurde bekannt, dass der IT-Dienstleister des Landes Berlin, das IT-Dienstleistungszentrum (ITDZ) Berlin, stark unterfinanziert ist. Zwei Kredite in Höhe von 40 Millionen Euro sind nötig gewesen, um den laufenden Betrieb aufrechtzuerhalten. Bemerkenswert daran ist auch, dass die Behörden, die beim Dienstleister Auftragsverhältnisse haben, mit 16,8 Millionen in der Miese stehen. Die finanzielle Lage des Kommunaldienstleisters ist also eigentlich düster, aber als Anstalt öffentlichen Rechts kann das ITDZ nicht so einfach pleitegehen wie normale kommerzielle Unternehmen.

Woher kommt das finanzielle Problem? Einerseits aus der schlechten Finanzlage von Kommunen und Ländern. Andererseits auch vom Statusstress, diesmal in Bezug auf IT-Systeme.

In der Verwaltung werden oftmals sehr viele unterschiedliche Fachverfahren betrieben, spezialisierte Programme für bestimmte Verwaltungstätigkeiten. Programme für das Meldewesen etwa oder Programme zur Verwaltung kommunaler Aufgaben wie der Abfallentsorgung. Beim ITDZ sammeln sich ganz schön viele unterschiedliche Fachverfahren, der Tagesspiegel [€] schreibt von 415 unterschiedlichen Fachverfahren, die Berliner Behörden laut Senatskanzlei nutzen würden.

Auffällig dabei: Das ITDZ gibt einen mittleren zweistelligen Millionenbetrag im Jahr dafür aus, um die Risiken des Weiterbetriebs der Programme zu reduzieren, so ein Bericht der Chief Digital Officer (CDO) Martina Klement an das Berliner Abgeordnetenhaus. Die Kosten für die Risikoreduzierung des Betriebs liegen Klement zufolge bei durchschnittlich 415 Prozent der ursprünglichen Betriebskosten des jeweiligen Verfahrens. Statusstress. Die Aufrechterhaltung des Status Quo wird irgendwann wirtschaftlich so stressig, dass Weglaufen finanziell eigentlich gar nicht mehr funktioniert.

Bei der Beschönigung des nicht mehr funktionierenden Status Quo hilft dann auch keine kreative Antwortfindung seitens der Verwaltung auf Anfragen mehr. Kreativ hervorgetan hat sich etwa das Bezirksamt Charlottenburg-Wilmersdorf bei der Definition von Mehrfaktor-Authentifizierung. Neben einem ersten Faktor „Wissen“, einem Passwort, sei in der Verwaltung ja auch ein zweiter Faktor „Besitz“ vorhanden, weil Computersysteme „nur in Dienstzimmern zu benutzen“ seien, die mit einem Schließsystem gesichert seien. Schwammig wird die Definition dann dadurch, dass dazu auch Privatwohnungen für die „Telearbeit“ gehören sollen.

Mit anerkannten Regeln der Informationssicherheit hat das zwar nichts zu tun, aber irgendwie muss der Status Quo aufrechterhalten werden können. Die Informationssicherheit ist dabei aber zumindest gedanklich in der Überwindung von Statusstress bereits einen Schritt weiter, in Teilen jedenfalls.

Novellierung des Computerstrafrechts

In der Informationssicherheit gibt es in Deutschland schon länger immer wieder Beispiele von Statusstress auf Basis des Computerstrafrechts. Nach der Gesetzgebung um den sogenannten Hackerparagrafen kann seit 2007 das „Vorbereiten des Ausspähens und Abfangens von Daten“ unter Strafe gestellt werden. Auch wenn das erst einmal logisch klingt, führt dies in der Praxis von gutartigen, ethischen Hacker*innen immer wieder zu Problemen. Menschen also, die auf Sicherheitslücken hinweisen, ohne diese bösartig auszunutzen, damit diese geschlossen werden können und somit die Sicherheit steigt.

Da bereits die Vorbereitung von Hacks zu Strafen führen kann, kommt es durch den Hackerparagrafen zu absonderlichen Verurteilungen. Im Fall Modern Solutions etwa wurde ein gutartiger Hacker rechtskräftig verurteilt, weil er die entsprechende Firma darauf hinwies, dass ein Passwort unverschlüsselt in einer ausführbaren Datei einer Middleware-Software gespeichert war. Daraus erwuchs ein erhebliches Sicherheitsrisiko, weil mit diesem einen Passwort ein Zugriff auf die Daten aller Modern-Solutions-Kunden möglich war.

Statt eines Dankes für den Hinweis gab es eine Hausdurchsuchung sowie ein Strafverfahren. Die Verfassungsbeschwerde im Kontext des Falls wurde vor dem Bundesverfassungsgericht abgewiesen.

Eine weitere Form von Statusstress: Durch Strafverfolgung von gutartigen Hacker*innen werden Systeme keinen Deut sicherer, vielmehr werden Sicherheitshinweise im Rahmen von Coordinated Vulnerability Disclosure-Verfahren, wie etwa solchen durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), erschwert. Der Status Quo wird auch hier mit viel Stress aufrechterhalten, sicherer werden Systeme dadurch nicht.

Allerdings findet im Kontext des Hackerparagrafen inzwischen ein Umdenken nach. In der letzten Legislatur wurde eine Novellierung des Computerstrafrechts im parlamentarischen Prozess zumindest begonnen, BSI-Präsidentin Claudia Plattner forderte im November eine rechtliche Absicherung von gutartigen Hacker*innen.

Wege zu einem stressfreien Leben

Es gibt also bereits erste Ansätze, besser mit Statusstress zurechtzukommen. Nur wird es in vielen Bereichen der Digitalisierung noch viele Anläufe eines besseren Umgangs mit Kritik und einer offenen Fehlerkultur brauchen, um im Moment der Kritik oder Fehlermeldung richtig mit dem aufkommenden Stress umzugehen. Oftmals ist es in den Momenten, in denen Statusstress entsteht, nämlich gar nicht so düster, wie Menschen oftmals meinen, die einen mangelhaften Status Quo verteidigen wollen.

Professoren wie David Zellhöfer schreiben keine mehr als 100-seitigen Gutachten, nur um stumpfe Kritik an Vorhaben wie dem Datenatlas zu äußern. Es geht auch in als harsch wahrgenommener Kritik um Impulse, Dinge besser zu machen. Das Infragestellen veralteter IT-Systeme in der Verwaltung und kritische Fragen zur IT-Sicherheit sind, auch wenn sie als hart empfunden werden, Fragen danach, wie unsere gemeinsame digitale öffentliche Daseinsvorsorge besser werden kann. Ethischen Hacker*innen, die sich Tage und Nächte Zeit nehmen, Sicherheitslücken in fremden Systemen zu finden und zu dokumentieren, geht es nicht ums Kaputtmachen, es geht darum, dass Systeme nicht von anderen, bösartigen Mächten angegriffen werden können.

Diese Erkenntnis ist oftmals nicht so einfach, sie ist aber der erste Schritt zu einem stressfreien digitalen Zusammenleben.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die 50. Kalenderwoche geht zu Ende. Wir haben 13 neue Texte mit insgesamt 118.351 Zeichen veröffentlicht. Willkommen zum netzpolitischen Wochenrückblick.

Liebe Leser*innen,

die meiste Zeit bin ich froh, dass ich kein Teenager mehr bin. Aber gerade in dieser Woche wäre es spannend – nur für kurze Zeit – wieder 15 Jahre alt zu sein, und zwar in Australien. Um aus nächster Nähe den Trubel zu erleben, der ausbricht, wenn der Staat mir und meinen Mitschüler*innen die Accounts auf sozialen Medien verbieten will.

Seit dem 10. Dezember sind in Australien Menschen unter 16 Jahren auf vielen populären Diensten nicht mehr erwünscht. Unter anderem Instagram, TikTok, Twitch, Reddit und YouTube haben die Aufgabe, ihre Accounts zu sperren. Was nicht hinter einer Login-Schranke steckt, lässt sich zwar weiter abrufen, etwa jugendfreie YouTube-Videos. Aber Teilhabe wie Abos und Likes, Interaktion in der Community oder gar eigene Uploads fallen weg.

Wenn ich wieder 15 wäre, hätte ich wohl versucht, mich vorzubereiten. Ich hätte einen möglichst Taschengeld-freundlichen VPN-Dienst gesucht, den ich einsetzen kann, sobald mich meine Lieblingsplattform rauskickt. Oder ich hätte irgendwie versucht, mein Gesicht älter aussehen zu lassen, um eine sogenannte Künstliche Intelligenz zu überlisten, die mein Alter schätzen soll.

Allein wäre ich damit nicht gewesen, wie die australische ABC News berichtet. Die von der Redaktion gesammelten Fälle zeigen, wie Australien den Social-Media-Banns verstolpert. „Mein 13-jähriger Sohn hat die Altersüberprüfung per Gesichtsscan bestanden, indem er seine Zähne versteckt und sein Gesicht verzogen hat“, berichtet demnach ein Elternteil. „Das System schätzte sein Alter auf über 30 Jahre.“ Andere Jugendliche wiederum waren laut ABC News überrascht, dass sie sich zunächst weiterhin problemlos einloggen konnten.

Jugendlichen wird auch ein politischer Raum genommen

Kurzfristig ist das unterhaltsam, aber auf Dauer dürfte der australische Social-Media-Bann keine Lachnummer sein. Wenn sich die Fälle häufen, in denen Teenager*innen durch die Maschen des Verbots schlüpfen, dann dürfte die australische Regierung den Druck auf die Plattformen erhöhen. Und die Plattformen dürften wiederum den Druck auf Nutzer*innen erhöhen – etwa durch noch mehr und noch strengere Alterskontrollen.

Auch die Inhalte auf den Plattformen dürften sich mit der Zeit ändern. Wenn Jugendliche kein zuverlässiges Publikum mehr sind, dann werden sich australische Creator*innen wohl anderen Zielgruppen zuwenden. Das bedeutet nicht nur: weniger Quatsch-Content für Jugendliche – dem würde ich weniger nachtrauern. Es bedeutet auch: weniger hochwertige Inhalte für junge Menschen, weniger Vorbilder, weniger politische Bildung. Der Ausschluss aus politischen Diskursen ist auch einer der Gründe, warum die Plattform Reddit jetzt die australische Regierung verklagt.

Ist der Social-Media-Bann aktiv, können viele Plattformen ihre bisherigen Mühen aufgeben, sicherere Räume für Jugendliche zu schaffen, schließlich dürfen sie offiziell nicht mehr dort sein. Kann sein, dass manche Erwachsene nun sagen: Hurra, jetzt legen die Kinder endlich ihre Handys weg und spielen wieder mit Hula-Hoop-Reifen auf der Straße!

Als ob.

Die meisten werden sich einfach andere Orte im Netz suchen. Gesunde Communitys müssten sich dort aber erst noch aufbauen. Gerade für Kinder und Jugendliche ohne engen Freundeskreis an ihrem Wohnort ist das schwierig. Nicht alle haben gute Freund*innen im direkten Umfeld. Aus allerlei Gründen können Kinder und Jugendliche dort, wo sie leben, Ablehnung erfahren. Zum Beispiel weil sie queer sind oder neurodivergent, Sprachbarrieren haben oder eine chronische Krankheit.

An dieser Stelle erinnere ich mich an mein Interview mit der US-amerikanischen TikTok-Creatorin Amelia Som. Sie erzählte mir vor drei Jahren:

In meinem Fall war das eine Community von queeren People of Color, die sich für Tabletop-Spiele wie ‚Dungeons and Dragons‘ interessieren. Ich habe in meinem Leben noch nicht so viele queere, Schwarze Nerds getroffen wie auf TikTok. Wenn man in Oklahoma lebt, ist es schwer, solche Kontakte zu knüpfen.

Mir hätte es als junger Teenager auch sehr geholfen, wenn ich zumindest in sozialen Medien Gleichgesinnte gefunden hätte – oder gar eine lebendige Community mit Menschen wie mir. Soziale Medien waren aber damals noch nicht so weit wie heute. In meinem Fall hat es letztlich auch ohne soziale Medien noch gut geklappt mit der Suche nach Gemeinschaft. Australischen Jugendliche wiederum wird ab dieser Woche etwas weggenommen, das bisher zu ihrem Leben gehört hat.

Haltet zusammen
Sebastian

Trugbild: Raue Storys für glatte Zeiten

Die Sehnsucht nach dem Heroischen ist groß, gerade auch im Silicon Valley. Tech-Unternehmer hängen in ihren Fantasien allzu gerne ruhmreichen Königen und mächtigen Imperien nach. Dabei wird der Ruf nach Stärke immer dort laut, wo die Komplexe am größten sind. Von Vincent Först –
Artikel lesen

Schweiz: Palantir-Software hat verheerende Risiken

Nach Risikoprüfung des Einsatzes von Palantir-Software in der Schweiz bekam der US-Konzern eine Absage, trotz jahrelanger Hofierung von Behörden und Armee. Den Eidgenossen sind die Risiken zu groß. Da drängt sich die Frage auf, warum die Palantir-Software für deutsche Polizeien gut genug sein soll. Innenminister Dobrindt wird sie beantworten müssen. Von Constanze –
Artikel lesen

Social-Media-Bann in Australien startet: Ein dunkler Tag für den Jugendschutz im Netz

Kein TikTok, kein YouTube und kein Instagram für Menschen unter 16 Jahren: Mit dem Social-Media-Bann betritt Australien netzpolitisches Neuland mit weltweiter Signalwirkung. Jugendlichen ist damit kein Stück geholfen. Ein Kommentar. Von Sebastian Meineck –
Artikel lesen

Neuer Schufa-Score: Auskunftei verspricht mehr Transparenz

Die Schufa möchte transparenter werden. Nach jahrelanger Kritik wie dem Vorwurf von manipulativen Geschäftspraktiken soll ein neuer, nachvollziehbarer Score die gewünschte Durchsicht für Nutzer*innen bringen.
Von Paula Clamor –
Artikel lesen

Internes Dokument: EU-Staaten fordern ein Jahr Vorratsdatenspeicherung für Internet-Dienste wie Messenger

Die EU-Staaten fordern ein neues Gesetz zur Vorratsdatenspeicherung, das weit über die alten Gesetze hinausgeht. Das geht aus einem EU-Dokument hervor, das wir veröffentlichen. Praktisch alle Internet-Dienste sollen Daten ihrer Nutzer anlasslos speichern, auch Messenger wie WhatsApp und Signal. Von Andre Meister –
Artikel lesen

Databroker Files: Handy-Daten exponieren Begleiter von Emmanuel Macron

Databroker verhökern die Standortdaten von Millionen Menschen in Frankreich. Neue Recherchen zeigen: Mit den angeblich nur zu Werbezwecken erhobenen Daten lässt sich dort sogar Personal von Geheimdiensten und Militär ausspionieren – inklusive Entourage des französischen Präsidenten. Von Sebastian Meineck, Ingo Dachwitz –
Artikel lesen

Frühere Behörden-Domains: Ein gefährliches Glücksspiel

Wenn Behörden nicht mehr benötigte Domains aufgeben, kann das zu Problemen führen: Die vormals staatlich genutzten Adressen sind attraktiv und lassen sich für Desinformation nutzen. Einheitliche Regeln für den Umgang mit den Domains hat der Bund nicht. Auch ein Überblick fehlt. Von Anna Biselli –
Artikel lesen

Beleidigter Bundeskanzler: Wie viel „Arschloch“ darfs denn sein?

Friedrich Merz hat laut Medienrecherchen in hunderten Fällen mutmaßliche Beleidigungen strafrechtlich verfolgen lassen. Geht es dabei um die Bekämpfung von Hass im Netz oder schränken die Verfahren die freie Meinungsäußerung ein? Von Markus Reuter –
Artikel lesen

Digitale Skelette: „Wir brauchen Transparenz, wo in Gerichtsverfahren KI eingesetzt wird“

Digitale Modelle von Skeletten werden neuerdings in Strafverfahren genutzt. Warum ist das etwas anderes als ein Fingerabdruck? Und warum ist es nicht ratsam, derartige Beweismethoden für eine Anklage zu nutzen? Darüber sprechen wir im Interview mit zwei Fachleuten. Von Anna Biselli –
Artikel lesen

DNS-Massenüberwachung: „Das war dringend notwendig, diese neue Idee einer Schleppnetzfahndung im Internet abzuwenden“

Die anlasslose Massenüberwachung der DNS-Anfragen aller Kunden von Vodafone ist vorerst abgewendet. Der Netzbetreiber wehrte sich dagegen erfolgreich mit einer Verfassungsbeschwerde. Klaus Landefeld von Branchenverband eco bewertet die Methode als „völlig ungeeignet“. Er hofft, dass sie dauerhaft verboten wird. Von Constanze –
Artikel lesen

Digital Fights: Digital Lights: Wir kämpfen gegen Handydurchsuchungen bei Geflüchteten

Ausländerbehörden durchsuchen die Handys von Menschen, die abgeschoben werden sollen und dürfen dabei tief in deren Privatsphäre blicken. Dabei verwenden sie Werkzeuge, die sonst bei der Polizei zum Einsatz kommen. Wir recherchieren seit Jahren zu diesen Befugnissen und sorgen dafür, dass sie öffentlich diskutiert werden. Die Frage dahinter: Wie viele Grundrechte darf der Staat aushebeln? Von netzpolitik.org –
Artikel lesen

FinTech und Datenschutz: PayPal sammelt die sexuellen Vorlieben von Kunden

PayPal ist im Frühjahr ins Werbegeschäft eingestiegen. Der Finanzdienstleister hortet umfangreiche persönliche Informationen über Menschen, die ihn nutzen, und stellt solche Daten Werbetreibenden zur Verfügung. Ein juristisches Gutachten zeigt nun, dass das illegal ist. Von Martin Schwarzbeck –
Artikel lesen

#303 Off the Record: Über digitale Kämpfe und digitale Gipfel

Kurz vor Jahresende schauen wir immer wieder auf den Spendenbalken, der anzeigt, wie viel Geld wir noch für unsere Arbeit brauchen. Fio erzählt, was hinter der diesjährigen Jahresend-Kampagne steckt und Daniel berichtet von seinem Ausflug in die Digitalgipfel-Welt. Von Anna Biselli –
Artikel lesen

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Kurz vor Jahresende schauen wir immer wieder auf den Spendenbalken, der anzeigt, wie viel Geld wir noch für unsere Arbeit brauchen. Fio erzählt, was hinter der diesjährigen Jahresend-Kampagne steckt und Daniel berichtet von seinem Ausflug in die Digitalgipfel-Welt.

Wir reden über mehrere Gipfel, die zu erklimmen sind. – Gemeinfrei-ähnlich freigegeben durch unsplash.com Hintergrund: Jake Blucker https://netzpolitik.org/wp-upload/2025/12/OTR-25-12-1.mp3

Heute könnt ihr Lucas Fiola alias Fio kennenlernen, der seit einigen Wochen unsere Social-Media-Arbeit aufmöbelt. Schon kurz nach dem Ankommen stand für ihn unsere Jahresend-Kampagne an und die beschäftigt sich mit alten digitalen Kämpfen und neuen Wortspielen. Außerdem sprechen wir mit Fio über das richtige Leben auf den falschen Social-Media-Plattformen.

Daniel nimmt euch im Thema des Monats mit zu seinem Besuch auf dem Digitalgipfel, der diesmal „Gipfel zur Europäischen Digitalen Souveränität“ hieß. Dazu haben wir ein paar mittelgute Zug-Metaphern aufs Gleis gesetzt und am Ende noch über Berlin und seine Vor- und Nachteile diskutiert.

In dieser Folge: Anna Biselli, Daniel Leisegang und Lucas Fiola.
Produktion: Serafin Dinges.
Titelmusik: Trummerschlunk.

Hier ist die MP3 zum Download. Wie gewohnt gibt es den Podcast auch im offenen ogg-Format. Ein maschinell erstelltes Transkript gibt es im txt-Format.

Unseren Podcast könnt ihr auf vielen Wegen hören. Der einfachste: in dem Player hier auf der Seite auf Play drücken. Ihr findet uns aber ebenso bei Apple Podcasts, Spotify und Deezer oder mit dem Podcatcher eures Vertrauens, die URL lautet dann netzpolitik.org/podcast.

Wir freuen uns auch über Kritik, Lob, Ideen und Fragen entweder hier in den Kommentaren oder per E-Mail an podcast@netzpolitik.org.

Links und Infos

Hausmitteilungen

• Das 39C3-Programm

Thema des Monats: Gipfel zur Europäischen Digitalen Souveränität

• Der Text von Esther und Daniel zu ihrem Besuch auf dem Gipfel
• Daniel kommentiert bei Phoenix den Digitalgipfel

Aus dem Maschinenraum

• Unsere Jahresend-Kampagne „Digital Fights!“
• Alle Möglichkeiten zum Spenden für netzpolitik.org

Blattkritik

• Die Berichterstattung zum Digitalen Omnibus
• Unsere Texte zum neuen MAD-Gesetz
• Recherche zu den Problemen, wenn Behörden alte Domains vergessen

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

PayPal ist im Frühjahr ins Werbegeschäft eingestiegen. Der Finanzdienstleister hortet umfangreiche persönliche Informationen über Menschen, die ihn nutzen, und stellt solche Daten Werbetreibenden zur Verfügung. Ein juristisches Gutachten zeigt nun, dass das illegal ist.

Schauspieler Will Ferrell nutzt PayPal angeblich sogar auf dem Flohmarkt – weil er seine Daten bei dem Unternehmen sicher verwahrt glaubt, so eine Werbekampagne. – Alle Rechte vorbehalten Screenshot aus PayPal-Werbevideo

Mit Paypal kann man jetzt auch in Geschäften zahlen – und sogar auf dem Flohmarkt, wie Schauspieler Will Ferrell in einer Werbekampagne zeigt. In der deutschen Version sagt er zu einem kleinen Jungen, der ihn beim Kauf einer Actionfigur über den Tisch zieht: „Wenigstens meine Daten sind sicher vor euch Abzockern.“ Doch die Aussage ist nicht wahr.

Die Finanztransaktionsplattform PayPal positioniert sich in einer Werbekampagne als Alternative zum Bargeld. Dabei gibt es einen drastischen Unterschied zwischen beiden Zahlungsmitteln. Bargeld wird zwar auch getrackt, aber die Daten, die Paypal erhebt – und an Werbetreibende verkauft – sind viel umfassender als nur die Info, welche Summe von wo nach wo wandert.

Das Netzwerk Datenschutzexpertise hat die Datenschutzpraxis von Paypal im Rahmen eines juristischen Gutachtens untersucht und kommt zu einem vernichtenden Ergebnis. Das Unternehmen erfasst, was du zu welchem Preis kaufst, von welchem Unternehmen du es erwirbst, und wohin du es liefern lässt. Es speichert Standortdaten, die Liste der Apps auf deinem Telefon, welches Gerät und welchen Browser du benutzt und welche Websites du besuchst.

PayPal speichert teils sogar die sexuelle Orientierung

Das Unternehmen erlaubt sich laut Datenschutzerklärung auch, deinen Fingerabdruck zu erfassen, dein Einkommen, deine Telefon- und Steuernummer, deinen Beruf, dein Alter, dein Geschlecht, deine Kreditwürdigkeit und deine finanzielle Situation. In dem Datensatz, den der Konzern über dich anlegt, sind – so die Datenschutzerklärung – womöglich auch religiöse Überzeugungen, politische oder philosophische Ansichten, Behinderungen und die sexuelle Orientierung vermerkt, sowie „Daten aus den von Ihnen verknüpften Drittkonten“.

PayPal kann laut dem Gutachten extrem sensible Informationen sammeln, weil auch Zahlungen an Gesundheitseinrichtungen oder Anwält*innen, sowie Spenden an politische Parteien und religiöse Institutionen über die Plattform abgewickelt werden. PayPal speichert die Daten, so lange das Konto existiert und zehn Jahre darüber hinaus.

Seit dem Frühjahr ist PayPal auch im Werbe-Business

Paypal ist im Internet das populärste Zahlungsmittel. Im Frühjahr 2025 – kurz vor dem Start der Webekampagne mit Will Ferrell – ist der Konzern auch ins Werbegeschäft eingestiegen. Er nutzt dabei Zahlungsdaten, um Werbung zu personalisieren.

Das Netzwerk Datenschutzexpertise schreibt in seinem Gutachten: „Die hohe Aussagekraft der Finanztransaktionsdaten begründet ein hohes Nutzungs- und auch ein hohes Missbrauchspotenzial“. So sei damit beispielsweise manipulative Werbung möglich und auch eine diskriminierende Preisgestaltung.

Dabei muss Zahlungsverkehr in Deutschland und Europa eigentlich anonym ablaufen. Ausnahmen von der Regel sind nur erlaubt, wenn sie eindeutig nötig und gut begründet sind.

PayPal speichert sensible Daten ohne explizite Einwilligung

Laut des Gutachtens informiert PayPal seine Kund*innen nicht hinreichend darüber, wofür, an wen und auf welcher Rechtsgrundlage Daten weitergegeben werden und speichert die Daten unerlaubt lange. Zudem geht das Unternehmen davon aus, dass Menschen mit der Nutzung des Dienstes in die Datenverarbeitung einwilligen. Dabei muss diese Einwilligung – spätestens, wenn es um sensitive Daten, Marketing- und Werbezwecke oder die Weitergabe von Daten geht – tatsächlich bewusst, informiert, genau definiert und unabhängig von der Verfügbarkeit des Dienstes gegeben werden, um rechtmäßig zu sein. Die Kund*innen müssen wissen, wozu sie da eigentlich zustimmen.

Der Konzern bietet Unternehmen die personenbezogenen Informationen laut dem Gutachten in aggregierter Form an. Die Firmen können dann über PayPal auf Webseiten, Apps und Smart-TVs Werbung platzieren, die angeblich die Zielgruppe sehr genau erreicht. Auch der direkte Verkauf der Daten an Werbefirmen war zumindest mal geplant. Über die aktuelle Umsetzung dieses Projekts in Europa ist dem Netzwerk Datenschutzexpertise nichts bekannt.

Einen Teil der Informationen sammelt PayPal angeblich, um betrügerische Kontozugriffe zu verhindern. Im August 2025 waren die Anmeldedaten zu 15 Millionen PayPal-Konten im Darknet aufgetaucht, woraufhin die Zahl der Betrugsversuche massiv in die Höhe ging.

Die Liste der Datenempfänger umfasst 600 Unternehmen

PayPal behält sich vor, die erfassten Daten weiterzugeben, beispielsweise an Behörden, andere Finanzinstitute, Inkassobüros, Auftragsverarbeiter und Partnerunternehmen. Eine Liste mit möglichen Datenempfängern umfasst 600 Firmen aus vielen Staaten der Welt.

Die Datenschutzerklärung, die 7.000 Wörter umfasst, lässt „nicht erkennen, mit welchen Daten auf welcher Rechtsgrundlage welche Zwecke verfolgt werden“, so das Netzwerk Datenschutzanalyse. Problematisch sei, dass sowohl die Kategorien der Daten als auch die Arten der Verarbeitung nur beispielhaft und nicht abschließend aufgeführt werden.

Auch die AGB seien ausgesprochen nutzerunfreundlich. Sie umfassen 17 Dokumente, wobei für Kund*innen nicht ersichtlich sei, welche für sie relevant sind. Hinzu kommen 20.000 Wörter Nutzungsbedingungen ohne Inhaltsverzeichnis. Mit der Eröffnung eines Kontos erklären sich Nutzer*innen mit all diesen Bedingungen einverstanden.

So widerspricht man der Datennutzung zu Werbezwecken

Die Nutzung der Daten zu Werbezwecken ist in PayPal-Konten voreingestellt. Wer das abschalten möchte, muss auf der Website erst auf „Daten und Datenschutz“ und dann auf „personalisierte Angebote und Werbung“ klicken. Dort lässt sich ein Regler zwischen einem grauen und einem schwarzen Feld hin- und herbewegen. Dass die rechte, schwarz hinterlegte Option die datenschutzfreundliche ist, wird nicht erklärt. Der mögliche Opt-Out steht im Widerspruch zur Datenschutzgrundverordnung, wonach die Voreinstellung eine möglichst geringe Datenverarbeitung („Privacy by Default“) vorsehen muss.

Als besonders problematisch sieht das Netzwerk Datenschutzexpertise, dass die personenbezogenen Daten auch nach außerhalb der EU übermittelt werden. Der Hauptsitz von PayPal ist in den USA, dort sind die Daten deutlich schlechter geschützt als in Europa. Zudem ist das Unternehmen gezwungen, Daten an US-Behörden herauszugeben, wenn diese sie anfordern.

Die Datenschutzexpert*innen sehen ihre Analyse der Datenschutzpraxis von PayPal nur als exemplarischen Fall. „Es ist zu vermuten, dass die bei PayPal festgestellten Mängel in ähnlicher Form bei anderen Unternehmen in diesem Bereich bestehen“, schreiben sie. BigTech-Unternehmen würden zunehmend versuchen, auf Finanztransaktionsdaten zuzugreifen, um diese mit Daten aus anderen Anwendungen zu kombinieren und kommerziell zu nutzen. Deshalb fordern die Datenschutz-Expert*innen, die Nutzung von Finanzdaten für Werbezwecke generell zu verbieten.

Laut Heise Online prüft Paypal das Gutachten derzeit. Es lässt sich wie folgt zitieren: „Die Einhaltung der EU-Datenschutzanforderungen ist für uns sowohl für die Entwicklung als auch den Betrieb unserer Produkte von zentraler Bedeutung, um ein qualitativ hochwertiges Erlebnis und Sicherheit im Zahlungsverkehr für unsere Kund:innen sicherzustellen.“

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Ausländerbehörden durchsuchen die Handys von Menschen, die abgeschoben werden sollen und dürfen dabei tief in deren Privatsphäre blicken. Dabei verwenden sie Werkzeuge, die sonst bei der Polizei zum Einsatz kommen. Wir recherchieren seit Jahren zu diesen Befugnissen und sorgen dafür, dass sie öffentlich diskutiert werden. Die Frage dahinter: Wie viele Grundrechte darf der Staat aushebeln?

Your browser does not support the video tag.

Teile dieses Video: YouTube | YouTube Shorts | Mastodon | Bluesky | Instagram

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die anlasslose Massenüberwachung der DNS-Anfragen aller Kunden von Vodafone ist vorerst abgewendet. Der Netzbetreiber wehrte sich dagegen erfolgreich mit einer Verfassungsbeschwerde. Klaus Landefeld von Branchenverband eco bewertet die Methode als „völlig ungeeignet“. Er hofft, dass sie dauerhaft verboten wird.

Vodafone wehrt sich gegen Massenüberwachungsanordnungen. – CC-BY-NC-ND 2.0 Milind Alvares

Ende November erging eine Eilentscheidung des Bundesverfassungsgerichts zu einer neuen Form der Massenüberwachung: Das Gericht stoppte einen Amtsgerichtsbeschluss, die einem Netzbetreiber das Mitprotokollieren von Billionen DNS-Anfragen vorgeschrieben hätte.

Das Amtsgericht Oldenburg hatte Vodafone zur Umsetzung von Überwachungsanordnungen verpflichtet, die monatlich sage und schreibe 12,96 Billionen DNS-Anfragen betroffen hätte. Der DNS-Server des Anbieters sollte überwacht werden, gestützt auf Paragraph 100a der Strafprozessordnung. Außerdem sollten die zur Identifizierung des Anschlussinhabers notwendigen Kundendaten mitgeliefert werden.

Doch der Telekommunikationskonzern wehrte sich und setzte sich nun vorerst durch. Die Vollziehung des amtsgerichtlichen Beschlusses ist für sechs Monate ausgesetzt, auch neue Anordnungen darf es nicht geben.

Das Bundesverfassungsgericht sieht „jedenfalls massenhafte Eingriffe“ in das Fernmeldegeheimnis der vierzig Millionen Vodafone-Kunden und erkennt Anhaltspunkte, dass die DNS-Massenüberwachung verfassungswidrig sein könnte. Viele völlig unverdächtige Kunden gerieten in die Überwachung und könnten sich nicht dagegen wehren. Denn die Überwachung findet heimlich statt, weswegen weder vorbeugender noch abwehrender Rechtsschutz möglich sei.

Wer ruft was auf?

Vodafone sollte DNS-Anfragen zu einem bestimmten Server abfangen, über den aber keine näheren Angaben bekannt sind. Das Domain Name System (DNS) übersetzt den Namen einer Website wie beispielsweise netzpolitik.org in Nummern (hier IPv4 144.76.255.209). Das könnte man mit den früher gebräuchlichen Telefonbüchern vergleichen. Allerdings wird nicht minutenlang gestöbert und geblättert, sondern die Namensauflösung wird in einem Bruchteil einer Sekunde geliefert.

Die Namensauflösung erfolgt technisch mehrstufig. Typisch ist heute die Server-assistierte iterative Form: Ein DNS-Stub-Resolver fragt den lokalen rekursiven DNS-Server, der die Anfrage (iterativ von der Wurzel abwärts) bis zum gesuchten Domain-Namen weiterleitet. Gebräuchliche DNS-Resolver und DNS-Server beschleunigen diese Namensauflösung dadurch, dass sie lokale DNS-Caches als Zwischenspeicher nutzen.

Zieht man den Vergleich mit dem Telefonbuch heran, dann wollten die Ermittler also eine Art Zielwahlüberwachung der gesamten Telefonie, um gezielt für eine vorgegebene Zieltelefonnummer herausfinden, wer alles diese Nummer angerufen hat.

13 Billionen DNS-Anfragen pro Monat mitprotokollieren

Vodafone gab dem Gericht die Anzahl von etwa fünf Millionen DNS-Server-Anfragen pro Sekunde im Anordnungszeitraum von einem Monat an. So errechnen sich die 12,96 Billionen DNS-Anfragen monatlich.

Massenüberwachung Wir berichten unter dem Stichwort Massenüberwachung über Technologien, die dazu eingesetzt werden, massenhaft Daten über Menschen festzuhalten und auszuwerten. Unterstütze unsere Arbeit! Jetzt spenden

Um eine so große Anzahl für eine Überwachungsanordnung festzuhalten, müsste ein erheblicher Aufwand betrieben werden. Und je größer die eigene DNS-Infrastruktur des Netzbetreibers ist, desto aufwendiger wird es. Die Technik zur Protokollierung darf aber dabei die eigentliche Funktion, nämlich die schnelle Namensauflösung, nicht bremsen.

Das bedeutet einen großen organisatorischen und personellen Aufwand. Die DNS-Server-Systeme der Anbieter müssten sämtliche DNS-Anfragen aller Kundenanschlüsse daraufhin auswerten, ob diese einen bestimmten inkriminierten Server abfragen.

Klaus Landefeld vom eco-Verband.

Klaus Landefeld, Vorstand des IT-Branchenverbandes eco, bewertet die Eilentscheidung des Bundesverfassungsgerichts positiv und hofft auf ein Ende der Überwachungsmethode: „Das war dringend notwendig, um diese neue Idee einer Schleppnetzfahndung im Internet zumindest vorübergehend, hoffentlich aber auch dauerhaft abzuwenden.“

Die Maßnahme sei „völlig ungeeignet“. Denn es müssten „faktisch alle Anbieter von DNS-Resolvern verpflichtet werden“. Doch selbst dann könnten diese Anbieter nur einen Teil der DNS-Anfragen ihren eigenen Kunden zuordnen, da diese auch Resolver von populären Drittanbietern wie etwa Google (8.8.8.8), Cloudflare (1.1.1.1) oder Quad9 (9.9.9.9) nutzten. Und selbst wenn die Methode Erfolg hätte, wäre der immense Aufwand „mit Sicherheit dem Ergebnis nicht angemessen“ und rechtfertigte nicht die „anlasslose Massenüberwachung der DNS-Anfragen aller Kunden“, so Landefeld.

Es drängt sich die Frage auf, weswegen diese offensichtlich wenig geeignete Maßnahme von den Ermittlern überhaupt gefordert wird. „Ich halte es persönlich für einen verzweifelten Versuch, die mangelhafte oder derzeit überhaupt nicht vorhandene Möglichkeit der (Rück-)Auflösung von Carrier-NAT durch die vorgeschaltete DNS-Abfrage zu umgehen“, sagt Landefeld. Die Ermittler wollen demnach an private IP-Adressen gelangen, auch wenn dies für die Netzbetreiber einen außerordentlichen Aufwand bedeutet und Millionen Kunden betroffen wären. Denn der DNS-Server vom Anbieter sieht vielleicht die private IP-Adresse des Kunden und nicht nur die öffentliche IP-Adresse, die sich eben viele Kunden (Carrier-grade NAT) teilen.

Es gibt auch andere technische Methoden, um an die gesuchte private IP-Adresse zu kommen, die bei der Verhältnismäßigkeitsprüfung nicht schon auf der ersten Stufe scheitern. Das sieht auch das hohe Gericht so. Landefeld fielen ebenfalls Alternativen ein, die ohne anlasslose Massenüberwachung auskämen. Den Ermittlern waren aber offenbar keine anderen Methoden eingefallen.

Wer die gesuchten Verdächtigen sind, ist bisher nicht bekannt. Akteneinsicht hatte der Netzbetreiber von der Staatsanwaltschaft nicht bekommen. Aber schwerwiegende Verfehlungen können es nicht sein. Denn das Bundesverfassungsgericht schreibt, es sei „nicht ersichtlich, dass die hier konkret verfolgten Delikte besonders schwer wögen oder die Ermittlung des Sachverhalts mit anderen Ermittlungsmethoden nicht ebenso erfolgsversprechend sein könnte“.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Digitale Modelle von Skeletten werden neuerdings in Strafverfahren genutzt. Warum ist das etwas anderes als ein Fingerabdruck? Und warum ist es nicht ratsam, derartige Beweismethoden für eine Anklage zu nutzen? Darüber sprechen wir im Interview mit zwei Fachleuten.

Wem gehört dieses Skelett? – Gemeinfrei-ähnlich freigegeben durch unsplash.com Mathew Schwartz

Dass Fingerabdrücke oder DNA-Spuren in Strafverfahren als Beweise herangezogen werden, ist weit verbreitet. Aber mittlerweile halten zunehmend neue Technologien in die Gerichtssäle Einzug. Ein Beispiel: 3D-Modelle von mutmaßlichen Täter:innen werden automatisiert mit Videoaufnahmen vom Tatort abgeglichen. So soll bestimmt werden, ob auf dem Video die vermutete Person zu sehen ist – ganz ohne Gesicht.

Auch im sogenannten Budapest-Komplex spielt das eine Rolle. In einem aktuellen Prozess werden einem Beschuldigten Angriffe auf Neonazis, darunter versuchter Mord, vorgeworfen. Die Anklage stützt sich auch auf eine Analyse mittels Skelett-Modell und den Abgleich mit Tatort-Videos.

Wir haben dazu mit Anne Zettelmeier und Prof. Dr. Dominik Brodowski von der Universität des Saarlandes gesprochen. Sie forschen zum Einsatz von Technologien im Justizwesen und warnen davor, KI-gestützte Ergebnisse als alleinige Beweismittel zu nutzen.

Anne Zettelmeier - Alle Rechte vorbehalten Daimler und Benz Stiftung / Gerald Schiling

netzpolitik.org: Wie funktioniert eine Analyse mit digitalen Skeletten und wo kommt dabei eine KI zum Einsatz?

Zettelmeier: Um ein Skelettmodell einer Person zu erstellen, werden Marker an die Person angebracht – entweder händisch an bestimmten Körperstellen oder durch die automatisierte Erkennung bestimmter Punkte am Skelett.

Beim Einsatz in Strafverfahren geht es um den Vergleich zwischen dem erstellten digitalen Skelettmodell und einem Tatort-Video. Bei diesem Abgleich soll eine KI eingesetzt werden, um die beiden Täter-Skelett-Modelle zu vergleichen. Das Programm nennt dann am Ende eine Prozentzahl, mit welcher Wahrscheinlichkeit die Personen übereinstimmen und ein Verdächtiger die Person auf einem Tatort-Video ist.

netzpolitik.org: Mit welcher Software kann man das machen?

Brodowski: Mit Produkten, die auf dem Markt erhältlich sind und zur Modellierung von Bewegungsabläufen oder auch zur Identifikation von entsprechenden Markern dienen.

Allerdings sind diese Produkte teils für ganz andere Zwecke geschaffen worden, beispielsweise für die Filmindustrie, um verstorbene Schauspieler mit Bewegungen wieder zum Leben zu erwecken. In Kinofilmen geht es im Gegensatz zu Strafverfahren aber nicht um die Rekonstruktion einer materiellen Wahrheit. Da gelten ganz andere Zielrichtungen und Genauigkeitsmaßstäbe.

Biomechanische Gutachten und Computer-Simulation

netzpolitik.org: Ist der Ansatz, 3D-Modelle in Strafverfahren für eine Beweisführung zu nutzen, komplett neu?

Prof. Dr. Dominik Brodowski - Alle Rechte vorbehalten Jörg Pütz

Brodowski: Dass Skelettmodelle für die Beweisführung genutzt werden, ist noch relativ neu. Der Literatur zufolge wurde das allerdings bereits in anderen Verfahren eingesetzt, um Beschuldigte zu be- oder entlasten.

Bereits etablierter sind von Gutachtern erstellte Expertisen. Ein eindrückliches Beispiel hierfür ist der sogenannte Badewannen-Mord, bei dem sich im Nachhinein herausgestellt hat, dass es gar kein Mord war.

Ein Mann wurde dafür verurteilt und saß 13 Jahre lang unschuldig in Haft, bis ein Wiederaufnahmeverfahren nachgewiesen hat, dass er als Täter nicht in Betracht kommt. Dafür hat man unter anderem in einem biomechanischen Gutachten und per Computersimulationen untersucht, wie die Mechanik des menschlichen Körpers mit dem vermuteten Geschehen in Einklang zu bringen ist.

netzpolitik.org: Worin besteht der Unterschied, ob ich ein Verfahren zur Be- oder Entlastung nutze?

Zettelmeier: Gerade das ist eine wichtige Differenzierung. Es kann auf der einen Seite natürlich zur Entlastung beitragen, wenn Körperbau und Bewegungen einer Person gar nicht zu denen eines Menschen auf einer Aufnahme passen. Um solche Modell-Analysen aber zur Belastung von Verdächtigen zu nutzen, muss man sich sehr sicher sein – beispielsweise wenn ein KI-Modell zum Ergebnis kommt, dass es sich bei einer Person auf einem Video wahrscheinlich um den Tatverdächtigen handelt.

Alles netzpolitisch Relevante Drei Mal pro Woche als Newsletter in deiner Inbox. Jetzt abonnieren

Eine Anklage oder am Ende sogar eine Verurteilung allein auf die Ergebnisse eines solchen Modells zu stützen, wäre ein Problem, weil diese Methode nicht ausreichend wissenschaftlich fundiert und untersucht ist. Wenn jemand falsch verurteilt wird und dann wie im Badewannen-Fall viele Jahre unschuldig in Haft sitzt, hat das schwerwiegende Folgen.

Brodowski: Für eine Verurteilung muss ein Gericht von der Schuld des Beschuldigten überzeugt sein und diese subjektive Überzeugung muss sich auch auf eine objektiv hohe Wahrscheinlichkeit stützen. Umgekehrt ist es aber so, dass bereits begründete Zweifel an der Schuld zwingend zum Freispruch zu führen haben. Dann greift der In-dubio-pro-reo-Grundsatz.

Das heißt, wenn wir nun anhand einer solchen Methodik Zweifel an einer Täterschaft eines Beschuldigten säen können, funktioniert das. Aber um als alleiniges Beweismittel dafür auszureichen, dass eine Person am Tatort war, braucht man eine ausgesprochen hohe Sicherheit hinter dieser Methodik. Die sehe ich zum aktuellen Zeitpunkt noch nicht.

Es braucht mehr Untersuchungen unter Realbedingungen

netzpolitik.org: Was bräuchte es denn dafür, dass solche Skelett-Analysen für eine Beweisführung vor Gericht genutzt werden könnten?

Brodowski: Mehr Untersuchungen zur Zuverlässigkeit der Methode, gerade unter Realbedingungen. Es ist ein Unterschied, ob man solche Analysen in einem Labor unter Idealbedingungen mit genügend Vergleichsmaterial durchführt oder ob man verrauschte Handyvideos und Schwarz-weiß-Aufnahmen einer Überwachungskamera nutzt.

Menschen bewegen sich auch im Laufe der Zeit unterschiedlich. Die Knochen bleiben dieselben, aber der Bewegungsapparat verändert sich im Laufe eines Tages, im Laufe von mehreren Monaten. Auch in Stresssituationen können sich Bewegungsmuster verändern. All diese Faktoren und ihre Auswirkungen müssen untersucht werden. Ich sehe da noch großen Forschungsbedarf.

Dazu kommt noch eine andere Problematik, die beim Einsatz von KI auftritt: Die Berechnungen und die Ergebnisse sind nicht gut nachvollziehbar. Das ist die sogenannte Blackbox-Problematik und Ansätze mit Explainable Artificial Intelligence und ähnlichem haben noch keinen durchschlagenden Erfolg gebracht.

Wenn wir nicht wissen, wie nun eine solche Blackbox von einem Ausgangsdatensatz zum Ergebnis kommt, müssen wir das immer mit Vorsicht genießen.

Uns fehlen dieses Jahr noch 273.547 Euro. Bist Du auch Feuer und Flamme für Grundrechte?
Dann unterstütze jetzt unsere Arbeit mit einer Spende. Jetzt spenden Bist Du auch Feuer und Flamme für Grundrechte?
Dann unterstütze jetzt unsere Arbeit mit einer Spende. Verteidiger:innen müssen sich bei digitalen Beweismitteln weiterbilden

netzpolitik.org: Welche Auswirkungen hat es denn auf die Verteidigung und die Richter:innen in Strafverfahren, wenn Ergebnisse eines KI-Modells in Strafverfahren einfließen und nicht klar nachvollziehbar ist, wie diese zustande kommen?

Zettelmeier: Im Zweifel kann das zu einem sogenannten Automation Bias führen. Das bedeutet, dass man sich zu sehr auf die generierten Ergebnisse verlässt und beruft.

Es gibt zum Beispiel in Spanien das VioGén-System, das nach Anzeigen von Frauen wegen Gewalt das Risiko berechnen soll, erneut Gewalt zu erfahren. Basierend auf dem Risiko kann es dann richterliche Anordnungen zum Beispiel für ein Näherungsverbot der früheren Täter geben. Dort gibt es auch die Kritik, dass sich die Richter zu stark auf das generierte Ergebnis berufen und es nicht mehr zu einer eigenständigen Überprüfung kommt.

Brodowski: Umso wichtiger ist deshalb, dass man Transparenz herstellt, wann und an welcher Stelle in Verfahren Künstliche Intelligenz eingesetzt wird. Es darf etwa nicht passieren, dass ein Sachverständiger sehr überzeugt im Gerichtssaal auftritt und dort sein schriftliches Gutachten präsentiert und man nur in Fußnoten herausfindet, dass bei bestimmten Auswerteschritten KI eingesetzt wurde.

Das entspricht auch nicht den Anforderungen, die aus der EU-KI-Verordnung folgen. Diese verlangt ein hohes Maß an Transparenz, um einem solchen Automation Bias entgegenwirken zu können.

Eine gute Verteidigung wird solchen Ansätzen nachgehen und versuchen, Zweifel an der Methodik zu säen. Das verlangt jedoch viel von der Strafverteidigung, die sich deswegen auch im Bereich solcher digitaler Beweismittel zunehmend professionalisieren muss. Während in der Vergangenheit der Fokus der Verteidigung häufig auf der Glaubwürdigkeit von Zeugenaussagen gelegen hat, muss sie sich zukünftig immer mehr auch auf die Aussagekraft von solchen digitalen Beweismitteln fokussieren und hier Fachkompetenz hinzuziehen.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Friedrich Merz hat laut Medienrecherchen in hunderten Fällen mutmaßliche Beleidigungen strafrechtlich verfolgen lassen. Geht es dabei um die Bekämpfung von Hass im Netz oder schränken die Verfahren die freie Meinungsäußerung ein?

Bei Beleidigungen gegen seine Person reagiert Friedrich Merz äußerst dünnhäutig. (Archivbild) – Alle Rechte vorbehalten IMAGO / Bihlmayerfotografie

Bundeskanzler Friedrich Merz ist nicht gerade zimperlich, wenn es darum geht, Länder („ordentliches Stück Brot“), Städte („Belem“) oder ganze Bevölkerungsgruppen („kleine Paschas“ und „grüne und linke Spinner“) zu beleidigen. Wenn allerdings er selbst im Fokus steht, wird er offenbar schnell dünnhäutig.

Wie wenig Friedrich Merz verträgt, ließ sich bereits bei anlässlich einer Karnevalsrede von Marie-Agnes Strack-Zimmermann im Jahr 2023 beobachten. Da ging es weniger um Beleidigungen als vielmehr um spitzzüngige Kritik, die bei ihm schmale Lippen und Kopfschütteln auslöste. Nach der Rede trat Merzens Büro gar in Kontakt mit der bekannten Büttenrednerin, was Strack-Zimmermann süffisant verbreitete.

Es kam sogar zu Hausdurchsuchungen

Durch Recherchen verschiedener Medien kam nun heraus, dass Friedrich Merz seit 2021 – noch als Oppositionsführer der Union – zahlreiche Strafanträge wegen mutmaßlicher Beleidigungen gegen ihn gestellt hat. In mindestens zwei Fällen führten diese zu Hausdurchsuchungen.

Die Strafanträge sind laut den Recherchen anfangs auf Initiative von Merz entstanden. Seit Merz Kanzler ist, lässt er quasi von Amts wegen ermitteln, indem er den Ermittlungen nicht widerspricht. Die „Welt“ geht davon aus, dass Merz vor seiner Amtszeit als Unions-Chef Hunderte Strafanträge gestellt hat. Ein netzpolitik.org vorliegendes Dokument der Kanzlei Brockmeier, Faulhaber, Rudolph, die Merz in seiner Zeit als Bundestagsabgeordneter vertreten hat, mit fortlaufenden Fallnummern untermauert diese Schätzungen. Zwischen Mai und Dezember dieses Jahres sind laut Informationen des nd etwa 170 Strafanzeigen wegen Beleidigung gestellt worden.

Eine offizielle Bestätigung der Fallzahlen gibt es nicht, wie der Tagesspiegel berichtet. Die Zeitung befindet sich in juristischen Auseinandersetzungen mit dem Kanzleramt, das in dieser Causa trotz Informationspflicht mauert und sich anwaltlich gegen das Informationsbegehren der Presse wehrt.

Moderne Majestätsbeleidigung

Dass ohne die aktive Mithilfe von Friedrich Merz in seiner Funktion als Bundeskanzler ermittelt werden kann, ermöglicht Paragraf 188 des Strafgesetzbuches, der Amtsträger:innen und Politiker:innen bis in die kommunale Ebene hinein vor Beleidigungen schützen soll. Der Paragraf bietet – zusammen mit den Paragrafen 90 (Verunglimpfung des Bundespräsidenten) und Paragraf 90b (Verfassungsfeindliche Verunglimpfung von Verfassungsorganen) – quasi moderne Möglichkeiten, „Majestätsbeleidigungen“ zu ahnden. Im Gegensatz zum klassischen Beleidigungsparagraf 185 StGB können Staatsanwaltschaften beim Paragraf 188 StGB von Amts wegen ermitteln. Bei der klassischen Beleidigung braucht es einen Antrag der betroffenen Person.

Die mutmaßlichen Beleidigungen werden den Ermittlungsbehörden – und später dem Bundeskanzleramt – vermutlich überhaupt erst bekannt, weil die Infrastruktur von Hatespeech-Meldestellen diese auffindet und an die Bundesbehörde weiterleitet. Laut den Recherchen der Tageszeitung „Die Welt“ ist daran maßgeblich die dem hessischen Innenministerium unterstellte Meldestelle „Hessen gegen Hetze“ beteiligt. Sie übermittelt Meldungen an die Zentrale Meldestelle für strafbare Inhalte im Internet (ZMI), die beim Bundeskriminalamt (BKA) angesiedelt ist. 92 Prozent aller Paragraf-188-Meldungen, die das ZMI erhält, stammen von der hessischen Meldestelle. Andere Meldestellen wie „Respect!“ oder die Landesmedienanstalten seien laut nd in weit geringerem Umfang beteiligt. Insgesamt habe das ZMI nach Auskunft eines Sprechers in den ersten neun Monaten dieses Jahres 5155 gemeldete Fälle mit dem Straftatbestand des Paragrafen 188 StGB kategorisiert.

Personen, die schnell beleidigt sind, werden in Deutschland gerne als „beleidigte Leberwurst“ bezeichnet. (Symbolbild) - Alle Rechte vorbehalten IMAGO / Westend61 Spitzenpolitiker als Mandanten

Aber auch privatwirtschaftliche Dienste wie „So-Done“ haben bei der Verfolgung von Beleidigungen offenbar ihre Finger im Spiel. Laut Recherchen der Welt hat der Rechtsanwalt und FDP-Politiker Alexander Brockmeier die meisten der Strafanzeigen von Merz unterschrieben, die dieser während seiner Zeit als Bundestagsabgeordneter gestellt hat. Brockmeier hat die So Done GmbH zusammen mit seiner Parteikollegin Franziska Brandmann gegründet, eine Art Legal Tech Unternehmen, das Hate Speech verfolgt.

Laut Informationen der Welt haben neben Friedrich Merz in der Vergangenheit unter anderem Robert Habeck (Grüne), Julia Klöckner (CDU), NRW-Ministerpräsident Hendrik Wüst (CDU) und Bundesforschungsministerin Dorothee Bär (CSU) den Dienst in Anspruch genommen. Der Bundeskanzler nutze den Dienst mittlerweile nicht mehr.

„Werkzeug, um Leute aus dem Diskurs zu drängen“

Gleich acht Strafanträge von Friedrich Merz hat der Berliner Umwelt- und Klimaaktivist Tadzio Müller erhalten. Müller hatte Friedrich Merz auf Bluesky und Twitter mehrfach als Beispiel für seine Theorie der „Arschlochgesellschaft“ herangezogen und den Kanzler kontexualisierend wahlweise ein „schamloses“ oder „rassistisches Arschloch“ genannt.

Müllers Rechtsanwalt Jannik Rienhoff findet es laut dem nd falsch, wenn Merz Postings zur Anzeige bringen lässt, die einen klaren politischen Kontext haben. Da dürfe man viel sagen und das zu Recht. „Bei einer Formalbeleidigung würde ich es verstehen, allerdings könnte Merz auch darüber stehen“, so Rienhoff gegenüber dem nd. Den Paragrafen 188 StGB, der Ermittlungen auch ohne direkten Strafantrag des Bundeskanzlers ermöglicht, kritisiert der Anwalt dabei grundsätzlich. Dieser sorge unnötigerweise für hohe Kosten und für einen enormen Aufwand für Betroffene.

„Systematische Strafverfahren wegen Bagatellbeleidigungen“

Das sieht auch Tadzio Müller so. Er ist überzeugt, dass es bei den Anzeigen nicht um die Bekämpfung von Hass im Netz gehe, sondern dass sie eine neue Form von Cyber-Bullying darstellen: „Ressourcenstarke Akteure wie Merz haben mit diesen Verfahren ein weiteres Werkzeug in der Hand, um Leute aus dem Diskurs zu drängen.“

Es handle sich um ein Werkzeug, das nicht nur emotional, sondern auch ökonomisch schmerze: „Jede dieser Anzeigen produziert Anwaltskosten bei den Betroffenen“, so Müller gegenüber netzpolitik.org.

Ähnlich sieht das auch Eva Meier*, die erst im November Post vom Landeskriminalamt Hamburg wegen einer mutmaßlichen Beleidigung des Kanzlers erhalten hat: „Seine Bürgerinnen und Bürger systematisch mit Strafverfahren wegen Bagatellbeleidigungen zu überziehen, ist eines Kanzlers nicht würdig“, sagt sie gegenüber netzpolitik.org. „Das ist kein Vorgehen gegen Hass im Netz, sondern schränkt gezielt die freie Meinungsäußerung ein.“

*Der wahre Name ist der Redaktion bekannt.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Wenn Behörden nicht mehr benötigte Domains aufgeben, kann das zu Problemen führen: Die vormals staatlich genutzten Adressen sind attraktiv und lassen sich für Desinformation nutzen. Einheitliche Regeln für den Umgang mit den Domains hat der Bund nicht. Auch ein Überblick fehlt.

Im Hintergrund sind Domains, die Bundesinstitutionen nutzen. Aber was, wenn sie nicht mehr gebraucht werden? – Gemeinfrei-ähnlich freigegeben durch unsplash.com Karten: Thilak Lees, Liste von Domain: https.jetzt

Wenn eine Behörde einen anderen Namen bekommt, verursacht das jede Menge Aufwand: Vom Hinweisschild bis zum Briefpapier müssen viele Details aktualisiert werden. Nicht zuletzt bekommen die Ämter dann meist auch eine neue Domain.

So lief es auch beim BAMF, dem Bundesamt für Migration und Flüchtlinge. Bis 2005 hieß die Asylbehörde noch Bundesamt für die Anerkennung ausländischer Flüchtlinge, kurz: BAFl. Der neue Name sollte widerspiegeln, dass das jetzige BAMF auch für Migration und Integration zuständig ist und sich seine Aufgaben erweitert hatten. Und so wechselte das Bundesamt auch die Adresse, unter der es im Netz erreichbar war.

Aus bafl.de wurde bamf.de. Noch einige Jahre nach der offiziellen Umbenennung, mindestens bis zum Jahr 2013, leitete die alte Domain Besucher:innen auf die neue BAMF-Seite weiter. Doch irgendwann stieß der Bund die nicht mehr benötigte Web-Adresse ab. Der neue Name hatte sich längst etabliert. Die alte Domain geriet in Vergessenheit.

Hartnäckige Altlasten

Wenn öffentliche Stellen Domains aufgeben, kann das zum Problem werden. Denn die alten Domains verschwinden nicht völlig. Nachrichtenmedien, wissenschaftliche Papiere oder Adresslisten von Vereinen und Verbänden verlinken auf die früheren Behörden-Websites, lange über deren aktive Nutzung hinaus. In Suchmaschinen sind sie leicht zu finden. Sie genießen Vertrauen.

Gerade diese Faktoren machen abgelegte Adressen staatlicher Stellen zum attraktiven Ziel für Aufmerksamkeitssuchende oder gar Betrüger. Unter den Domains früherer Behördenseiten finden sich heute Werbung für illegales Glücksspiel, Casinos und Schadsoftware. Und manchmal schaffen es staatliche Stellen auch nach mehreren Jahren nicht, alle Abhängigkeiten von den längst verlassenen Domains aus ihren Systemen zu entfernen.

Letzteres auch beim BAMF, das seit 20 Jahren nicht mehr BAFl heißt. Auf der alten Domain passierte lange nichts, bis sich ab August 2022 vorübergehend eine andere Website unter bafl.de fand.

Ein neues BAFl taucht auf

Die Website, die über Asyl informierte und sich angeblich für vertriebene Familien engagierte, wirkt eigenartig. Ein Impressum gab es nicht, die Bilder stammten teils aus kostenlosen Stockfoto-Datenbanken. Verlinkungen erschienen wahllos, aber nicht irreführend. Die Beschreibungen der vermeintlichen Teammitglieder, etwa Mike als „Praktikantin für digitales Eigenkapital“, irritieren. Eine seltsame, aber offenbar nicht schädliche Website.

Dieser Inhalt war zwischenzeitlich unter der Domain bafl.de zu finden. - Screenshot: archive.org

Im Sommer 2025 lief die Domainregistrierung erneut aus. Wer auch immer bafl.de zuvor kontrollierte, legte offenbar keinen Wert darauf, die Seite weiterzuführen. Der IT-Sicherheitsforscher Tim Philipp Schäfers nutzte diese Gelegenheit und holte sich Ende August die Domain bafl.de. Er wollte wissen, ob noch Aufrufe an die Domain gehen.

Aufrufe an längst vergangene Systeme

Zu Schäfers Überraschung gab es solche Aufrufe und zwar aus den Netzen des Bundes. Von dort erreichten täglich Anfragen bafl.de, das sich nun unter seiner Kontrolle befand. Die Netze des Bundes sind eine Infrastruktur, die Bundesbehörden für den Datenaustausch nutzen können. Laut der Betreiberin, der Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben, sind daran 220 Bundesbehörden mit über 300.000 Mitarbeitenden angeschlossen.

Schäfers meldete sich beim CERT-Bund des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Er vermutete, interne IT-Systeme könnten weiter automatisiert Signale an bafl.de senden, etwa durch eine Fehlkonfiguration. Das CERT ist eine Anlaufstelle, wenn es zu IT-Sicherheitsproblemen kommt. Das CERT antwortete ihm, die Meldung erhalten zu haben und sie an die zuständigen Stellen weiterzuleiten. Auf Anfrage von netzpolitik.org bestätigt ein Sprecher des BSI, „einen entsprechenden Hinweis binnen 24 Stunden an die zuständige Behörde weitergeleitet“ zu haben. Doch die Anfragen an Schäfers Domain hörten nicht auf, zwei Wochen später fragte Schäfers erneut nach.

Ende Oktober, einen Monat nach der ersten Meldung an das CERT, meldete sich nun das BAMF selbst zurück, bedankte sich für den Hinweis und beteuerte, der Sache nachgehen zu wollen. Man nahm die Sache offenbar ernst. Auch ein Sprecher des BAMF bestätigt das gegenüber netzpolitik.org:

Das BAMF teilt die Einschätzung des Sicherheitsforschers Herrn Schäfers, dass ein fortbestehender Verweis (Verwendung einer Domain außerhalb der Kontrolle der Behörde) auf ehemalige Domains ein Sicherheitsrisiko darstellt.

Die Aufrufe hören einfach nicht auf

Man könne Gefahren und Missbrauch dadurch begegnen, „dass keine Dienste mehr eine ehemalige Domain oder Sub-Domain wie bafl.de verwenden“, so der Sprecher weiter. Daher habe das BAMF „eine Löschung von bafl.de aus allen Konfigurationen durch ITZBund“ veranlasst. Das „Informationstechnikzentrum Bund“ ist zentraler IT-Dienstleister für die Bundesverwaltung und verwalte, so ein Sprecher der Asylbehörde, in der Regel Domains im Auftrag der jeweiligen Behörden.

Doch nach außen hin passierte nicht mehr viel. Selbst nach der Presseanfrage an das BAMF reißen die regelmäßigen Anfragen nicht ab. Seit September 2025 habe es tausende solcher Anfragen gegeben. „Einige finden täglich und automatisiert statt, andere offenbar durch manuelle Pings oder Anfragen an IT-Systeme“, schreibt Schäfers in seiner Analyse.

Was ist das Risiko, wenn ein Dienst aus den Netzen des Bundes offenbar wiederholt versucht, eine nicht mehr kontrollierte Domain zu erreichen? Schäfers sieht darin ein mehrstufiges Problem. Angreifende könnten versuchen, durch die beständigen Anfragen auszuforschen, wie die interne IT-Infrastruktur aufgebaut ist. Und wenn sie passende Antworten auf die Anfragen geschickt hätten, wäre es vielleicht sogar möglich gewesen, Systeme zu manipulieren.

Lieber reservieren als riskieren

Der Sicherheitsforscher sagt gegenüber netzpolitik.org: „Im Fall von bafl.de wurde die Domain über 10 Jahre aktiv genutzt und ist – offenbar bis zum heutigen Tage – tief in den IT-Systemen des BAMF verankert.“ Dass eine Domain einfach abgestoßen wird und somit für Dritte nutzbar ist, wenn in internen Systemen weiter Verweise auf die Adresse existieren, kann er nicht nachvollziehen: „Eine solche Domain sollte man erst dann freigeben, wenn man absolut sichergestellt hat, dass sie intern auf keinem System mehr verwendet wird oder sicherheitshalber reserviert halten, wenn man das nicht garantieren kann.“ Auch ein Sprecher des BAMF schreibt: „Es ist erforderlich, nicht mehr genutzte Domains aus Sicherheitsgründen weiter zu registrieren.“ Passiert ist das bei bafl.de offenbar nicht.

Wenn Max Mustermann zum Sicherheitsproblem wird

Doch wenn Bundesbehörden Domains aufgeben, lauern darin nicht nur potenzielle Gefahren für die IT-Sicherheit der Systeme. Gerade wenn Domains mehrere Jahre von Behörden genutzt wurden oder zu bekannten Kampagnen gehörten, ergeben sich große Risiken für Desinformation, Phishing oder Betrug. Dass das kein theoretisches Szenario ist, zeigt die Antwort der Bundesregierung auf eine Kleine Anfrage der Linken-Abgeordneten Donata Vogtschmidt.

Dort benennen mehrere Ministerien, dass vormals durch ihnen zugeordnete Behörden genutzte Domains mittlerweile von Dritten registriert wurden, die sie für unerwünschte Zwecke nutzen.

Wettanbieter statt Landwirtschaft

Ein Beispiel ist eine Website, die bis 2020 von der Fachagentur Nachwachsende Rohstoffe (FNR) für das Landwirtschaftsministerium betrieben wurde. Sie diente der Information über sogenannte Energiepflanzen, die beispielsweise für die Biogas-Produktion angebaut werden. Wer heute die Domain besucht, erhält auf den ersten Blick weiterhin Informationen über entsprechende Biomassenutzung, doch in den Webauftritt mischen sich Links zu Glücksspiel- und Wettanbietern.

Neben vermeintlichen Infos zu Energiepflanzen finden sich Links zu Online-Casinos. - Screenshot

„Aktuell verlinkt die Domain auf eine missbräuchliche abgewandelte Abbildung der damaligen FNR-Webseite“, schreibt die Bundesregierung dazu. „Hiergegen konnte bislang nicht erfolgreich vorgegangen werden“, heißt es weiter.

Das ist kein Einzelfall, auch das Bundesinstitut für Öffentliche Gesundheit (BIÖG) kämpft mit ungenutzten Domains. Besser bekannt ist die Behörde im Geschäftsbereich des Gesundheitsministeriums vermutlich noch unter ihrem alten Namen, bis Februar hieß sie Bundeszentrale für gesundheitliche Aufklärung und startete immer wieder reichweitenstarke Informationskampagnen, von Suchtprävention bis zur Verhütung sexuell übertragbarer Krankheiten.

Casino-Werbung statt Impf-Kampagne

Für viele dieser Kampagnen registrierte man eigene, einprägsame Domains und gestaltete bunte Websites. „Das Impfbuch“ etwa sollte in der Corona-Pandemie mit Beiträgen des populären Arztes und Fernsehmoderators Eckart von Hirschhausen die Bevölkerung zu Impfungen informieren. Mittlerweile lassen sich über die Domains Wettanbieter finden, die in Deutschland gesperrten Spieler:innen dennoch das Wetten erlauben. Dasselbe gilt für weitere drei Domains, die das BIÖG untersuchte: Sie „führen auf optisch und inhaltlich gleichartige Seiten, die möglicherweise illegale Inhalte zu Online-Glücksspiel enthalten“. Und zwei dieser Seiten geben vor, dass weiterhin die Bundeszentrale für gesundheitliche Aufklärung hinter den Inhalten stecke.

Hier gab es früher Impf-Informationen aus der Bundeszentrale für gesundheitliche Aufklärung. - Screenshot

Offenbar fielen die Seiten erst durch die Kleine Anfrage auf und wurden nun dem Justiziariat der Behörde „zur Prüfung rechtlicher Schritte gemeldet“.

Schadsoftware statt Kinderlieder

Eine andere der Seiten verteilt auch Schadsoftware. Sie gehörte zu einer Initiative, die vor 15 Jahren mit kindgerechten Liedern Themen wie Liebe, Körpererfahrungen und Sexualität aufbereiten wollte. Die heute zugehörige Seite werde „durch die Netze des Bundes (NdB) blockiert, da diese Domain offenbar auf eine Seite weiterleitet, die Schadcode verbreitet“, schreibt die Bundesregierung.

Außer dem Landwirtschafts- und dem Gesundheitsministerium hat kein anderes Ressort der Bundesregierung Domains gemeldet, die nach der eigenen Nutzung von Dritten und missbräuchlich genutzt würden. „Fehlanzeige“, heißt es in der Antwort. Diese Ergebnislosigkeit irritiert. Dass es hier tatsächlich keinerlei Funde gibt, ist nicht plausibel. Allein die eingangs genannte frühere BAMF-Domain bafl.de ist ein Beispiel aus dem Geschäftsbereich des Innenministeriums und war den entsprechenden Stellen zum Zeitpunkt der Anfrage bekannt.

Fragestellerin Donata Vogtschmidt, Obfrau im Digitalausschuss für die Linksfraktion und Sprecherin für Digitalpolitik, kann das nicht verstehen: „Das Totalversagen bei der Sicherung eines vertrauenswürdigen und resilienten Webauftritts der Bundesregierung ist äußerst irritierend“, so die Abgeordnete. „Es vergeht kaum ein Tag, an dem die Bundesregierung nicht vor der hybriden Bedrohung warnt, auch von höchster Stelle.“ Dafür gebe es auch immer wieder „großspurige“ Ankündigungen wie den Cyberdome oder mehr KI-Nutzung. „Aber einfach mal den Webauftritt des Bundes gegen Desinformation resilient machen, scheint keine Rolle zu spielen“, kritisiert Vogtschmidt die Prioritäten der Bundesregierung.

Um systematisch zu untersuchen, wie groß das Problem ist und ob böswillige Akteure gezielt alte Bundes-Domains kaufen, müsste man wissen, welche Domains es überhaupt gibt – und welche in den vergangenen Jahren aufgegeben wurden.

Welche Bundes-Domains es gibt, bleibt geheim

Doch wie viele Domains überhaupt in Bundeshand befinden und welche Kosten damit verbunden sind, will die Bundesregierung nicht offenlegen. Sie stuft ihre Antwort dazu als Verschlusssache ein und argumentiert, eine Liste könne die Sicherheit der Bundesrepublik Deutschland gefährden. Die Informationen seien geeignet, Systeme etwa mit DDOS-Attacken anzugreifen, sie also durch gezielte massenhafte Anfragen zu überlasten.

Die schiere Menge der Domains, die sich in Bundeshand befanden oder befinden, lässt sich aus punktuellen öffentlichen Angaben daher nur schätzen. So startete Arne Semsrott vor rund zehn Jahren systematisch Informationsfreiheitsanfragen. Viele angefragte Stellen lehnten eine Beantwortung ab. Aus den Antworten lassen sich jedoch Größenordnungen erahnen. So hielt allein der Deutsche Wetterdienst im Jahr 2015 fast hundert verschiedene Domains, das Bundesverwaltungsamt 44 unterschiedliche Adressen und das damalige Bundesministerium für Arbeit und Soziales kam auf 295 Domains. Dieser kleine, eine Dekade alte Ausschnitt zeigt, dass es sich bezogen auf alle Bundesbehörden leicht um Tausende Domains handeln dürfte, die Inhalte staatlicher Stellen enthalten oder enthielten.

Schäfers schreibt gegenüber netzpolitik.org, Geheimhaltung sei beim Umgang mit Domains der falsche Ansatz. Ausschließlich intern genutzte Domains müsse man nicht für die Allgemeinheit listen. Aber in der Regel seien viele Domains durch öffentliche Nutzung oder Archivseiten ohnehin sichtbar. „Gleichzeitig erschwert vollständige Geheimhaltung internes Inventar-Management, externe Transparenz und Sicherheitsforschung“, so der Sicherheitsforscher. „Aus meiner Sicht ist ein Geheimhaltungsansatz nicht mehr zeitgemäß und schadet eher, als das er hilft.“

Wer macht Regeln für die Registrierung?

Wesentlich effektiver als Geheimhaltung sei „ein gutes Lifecycle-Management, starke Authentifizierung und Monitoring, um Missbrauch zu verhindern“. Doch Regeln dazu, wie Bundesbehörden mit nicht mehr benötigten Domains umgehen sollten, scheint es trotz der Dimension staatlicher Domainverwaltung nicht zu geben. „Es sind keine entsprechenden Vorschriften bekannt“, schreibt die Bundesregierung in ihrer Antwort. Die Zuständigkeit dafür, etwa Desinformation durch die gezielte Registrierung von Domains zu unterbinden, liege bei der jeweiligen Behörde.

Auch das BSI antwortet auf Anfrage, dass innerhalb seines Zuständigkeitsbereiches entsprechende Vorschriften nicht bekannt seien. Das Bundesamt empfiehlt jedoch: „Aus Sicht des BSI besteht bei sogenannten Vertipper-Domains und vergleichbaren Fällen das Risiko eines Datenabflusses. Bei nachgewiesenem Missbrauch sollte daher die Übernahme der Domain durch die jeweilige Behörde verfolgt werden.“

Um das Problem der ständig wechselnden Domain-Inhaber zu vermeiden, könnten Bundesinstitutionen auch Subdomains von bund.de nutzen. So sind die Ministerien des Bundes in der Regel unter „kürzel.bund.de“ erreichbar, das Gesundheitsministerium also zum Beispiel unter bmg.bund.de. Auch andere Inhalte lassen sich als Unterseiten der Bundes-Domain ansteuern, so das Infektionsradar des Gesundheitsministeriums oder die Login-Seite zur BundID. So können Nutzende schnell erkennen, dass es sich um ein echtes staatliches Angebot handelt.

Damit auch Internetauftritte von Ländern und Kommunen besser als solche erkennbar sind, gibt es seit 2024 die „Digitale Dachmarke“ für Deutschland. Sie besteht aus vier Kennzeichnungselementen: einer Website-Kopfzeile, die eine Seite als „offizielle Website“ kennzeichnet, ein dedizierter Bundesadler mit dem Schriftzug „Bund Länder Kommunen“ als Bildwortmarke, ein einheitliches Designsystem sowie ein Domainname, der auf „gov.de“ endet. Nicht alle diese Elemente müssen gleichzeitig genutzt werden, sie sollen jedoch helfen, einen Vertrauensanker zu markieren. Um die Informationen auf den Seiten als verlässlich einzustufen oder auch bevor man sensible Daten dort eingibt.

gov.de soll Vertrauen schaffen

Noch befindet sich das Projekt, so die Bundesregierung, in der Pilotierung. Nur wenige Angebote nutzen die Möglichkeit, eine Subdomain von gov.de zu beziehen. Dazu gehören das Digital- und das Verteidigungsministerium sowie der IT-Planungsrat und die Föderale IT-Kooperation FITKO. Die Website des „Veteranentags 2025“ erreicht man ebenfalls so. Eine Subdomain, um die PIN des Personalausweises zurückzusetzen, ist unter „pin-ruecksetzbrief-bestellen.gov.de“ schon vergeben, auch wenn der Inhalt der Seite auf sich warten lässt. Ab 2026, heißt es in der Antwort, soll jedoch der breitere Roll-out des Vorhabens erfolgen.

Der Digitalpolitikerin Donata Vogtschmidt von den Linken geht das nicht schnell genug. „Die Umsetzung hinkt und ist keine Pflicht, was dem Zweck widerspricht“, schreibt sie in einer Pressemitteilung. „Wer Desinformation verbreiten will, hat leichtes Spiel, und der Bundesregierung scheint die Bedeutung der Domains des Bundes nicht klar zu sein.“

Andernorts ist die konsequente Nutzung von Subdomains für staatliche Angebote deutlich etablierter. In Österreich etwa sind viele öffentliche Angebot als Subdomain von gv.at abrufbar, wer diese wie nutzen darf, ist klar geregelt. Ähnlich ist es in Großbritannien mit „gov.uk“ und in vielen anderen Ländern. Für zurückliegende Registrierung ist das zwar keine Lösung. Aber für unzählige weitere Domains, die im Laufe von Infokampagnen, Namenswechseln oder neuen Behörden künftig nötig werden, könnte das viele Probleme von Anfang an vermeiden.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Databroker verhökern die Standortdaten von Millionen Menschen in Frankreich. Neue Recherchen zeigen: Mit den angeblich nur zu Werbezwecken erhobenen Daten lässt sich dort sogar Personal von Geheimdiensten und Militär ausspionieren – inklusive Entourage des französischen Präsidenten.

Diese Recherche entstand in Kooperation mit folgenden Medien: Le Monde (Frankreich), L’Echo (Belgien), Bayerischer Rundfunk. Sie ist Teil der „Databroker Files“.

Ein Name der Person steht nicht im Datensatz. Stattdessen steht dort ein Pseudonym. Eine Kette aus Ziffern und Buchstaben, fast als wäre man einmal mit dem Kopf über die Tastatur gerollt. Und mit diesem Pseudonym versehen sind Hunderte exakte Geo-Koordinaten in Frankreich. Legt man die Geo-Koordinaten auf eine Karte, wird sichtbar, wo die Person überall unterwegs war.

Das Bewegungsprofil verrät mehr, als es ein bloßer Name getan hätte.

So lässt sich etwa ablesen, dass die Person Zugang zum Élysée-Palast hat, dem Amtssitz des französischen Präsidenten. Sie war demnach auch in La Lanterne, einem Jagdschloss in Versailles, wo der derzeitige Amtsinhaber Emmanuel Macron gerne das Wochenende verbringt. Weitere Besuche der Person waren auf dem Militärflugplatz Villacoublay, wo Dienstreisen des Präsidenten mit dem Flugzeug beginnen und enden. Besucht hat die Person auch einen Stützpunkt der Republikanischen Garde, also jenem Polizeiverband, der unter anderem den Präsidenten bewacht.

Sogar eine private Wohnadresse lässt sich in den Daten erkennen. Hier häufen sich die Handy-Ortungen. Ab jetzt ist es leicht, die Person zu identifizieren. Es genügt ein Besuch vor Ort. Und voilà: Auf dem Briefkasten steht der Name eines Menschen, der einer simplen Online-Recherche zufolge für die französische Gendarmerie arbeitet. Ein weiteres online verfügbares Dokument bekräftigt die Verbindung zu Macron.

Um die Identität der Person zu schützen, gehen wir nicht näher auf das Dokument ein. Doch gemeinsam mit unseren Recherchepartnern haben wir zahlreiche weitere brisante Fälle in dem Datensatz gefunden. Sie zeigen erstmalig am Beispiel Frankreichs, dass der unkontrollierte Handel mit Werbe-Daten nicht nur die Privatsphäre von Millionen Menschen gefährdet, sondern auch die Sicherheit Europas.

Ortungen bei Geheimdiensten, Militär und Rüstungskonzernen

Standortdaten wie diese sind wertvolles Material für Spionage, gefundenes Fressen für fremde Geheimdienste. Die Daten stammen nicht aus einem Hack oder einem Leak, sondern von einem Databroker. Um solche Daten zu erhalten, muss man nur freundlich nachfragen – und keinen Cent bezahlen.

Databroker verkaufen solche Handy-Standortdaten von Millionen Menschen als Abonnement; Vorschau-Daten gibt es gratis. Für jeden Standort im Datensatz gibt es eine einzigartige Kennung, die sogenannte Werbe-ID. Handy-Nutzer*innen bekommen sie automatisch von Google und Apple zugewiesen. Sie ist wie ein Nummernschild fürs Handy und sorgt dafür, dass über Apps ausgeleitete Handy-Standortdaten miteinander verknüpft werden können, bis sie letztlich nicht mehr anonym sind. Allein im Gratis-Datensatz, der dem Recherche-Team vorliegt, stecken rund eine Milliarde Standortdaten von bis zu 16,4 Millionen Geräten in Frankreich.

Andere verdienen ihr Geld mit euren Daten, wir nicht! Recherchen wie diese sind nur möglich durch eure Unterstützung. Jetzt Spenden

Seit mehreren Monaten recherchiert Le Monde gemeinsam mit netzpolitik.org, Bayerischem Rundfunk und weiteren internationalen Partnern. Es geht um die Massenüberwachung mithilfe von Handy-Standortdaten, die angeblich nur zu Werbezwecken erhoben werden. Die Recherchen aus Frankreich sind der neuste Teil der Databroker Files, die seit Februar 2024 erscheinen.

Zuvor hatte hat das Team etwa über Standortdaten aus Belgien und aus Deutschland berichtet. Andere Medien enthüllten auf eigene Faust ähnliche Missstände in den Niederlanden, Norwegen, Schweden, der Schweiz, Irland und Italien.

All diese Recherchen zeigen: Kein Ort und kein Mensch sind sicher vor dem Standort-Tracking der Werbeindustrie. Um die Gefahr des Trackings anschaulich zu machen, hat sich Le Monde nun auf Handy-Ortungen fokussiert, die für die nationale Sicherheit von Frankreich relevant sind. So konnte das Team in mehreren Dutzend Fällen mit Sicherheit oder hoher Wahrscheinlichkeit Identität, Wohnort und Gewohnheiten von Angestellten sensibler Einrichtungen nachvollziehen. Dazu gehören Angestellte von Geheimdienst und Militär in Frankreich, der Spezialeinheit GIGN, die für Terrorismusbekämpfung zuständig ist, sowie Personal von Rüstungsunternehmen und Kernkraftwerken.

Besuche in der Deutschen Botschaft und beim Polo

Mehrere Bewegungsprofile aus dem französischen Datensatz haben sogar einen Bezug zu Deutschland. So zeigt ein Profil die Bewegungen einer Person, die möglicherweise als Diplomat*in arbeitet. Sie hat Zugang zur Rechts- und Konsularabteilung der deutschen Botschaft und zur Residenz des deutschen Botschafters in Paris. Die Handy-Ortungen zeigen eine Reise nach Verdun, inklusive Besuch von Museum und Gedenkstätten. Auch ein Abstecher zu einem Polofeld in Paris ist zu finden.

Aus dem Auswärtigen Amt heißt es, die Risiken durch Databroker seien bekannt. Die Mitarbeitenden würden regelmäßig zu den Risiken sensibilisiert – müssten aber gleichzeitig umfassend erreichbar sein.

Weitere Bewegungsprofile aus dem Datensatz konnte das Recherche-Team Angestellten von Rüstungsunternehmen zuordnen. Gerade wegen der militärischen Bedrohung durch Russland ist die europäische Rüstungsindustrie besonders dem Risiko von Spionage und Sabotage ausgesetzt. Im Datensatz finden sich etwa die Handy-Ortungen einer Person, die offenbar in hoher Position für den deutsch-französischen Rüstungskonzern KNDS tätig war. Zu den Produkten von KNDS gehören Panzer, Bewaffnungssysteme, Munition und Ausrüstung; das Unternehmen, das durch eine Fusion von Krauss-Maffei Wegmann und Nexter entstand, ist ein wichtiger Lieferant für die Ukraine.

Auf Anfrage teilt der Konzern mit, man sei sich der Notwendigkeit bewusst, Mitarbeitende für diese Themen zu sensibilisieren. Über ergriffene Maßnahmen wolle man jedoch nicht öffentlich sprechen.

Von „Sensibilisierung“ sprechen viele Organisationen, wenn man sie danach fragt, wie sie sich vor der Überwachung schützen wollen. So schreiben etwa die Pressestellen des französischen Verteidigungsministeriums und Inlandsgeheimdiensts DGSI auf Anfrage von Le Monde von der Sensibilisierung ihrer Angestellten. Mit Sensibilisierung – und zwar in Form einer Rundmail – hatten im November auch die Organe der Europäischen Union auf unsere Recherchen reagiert, die zeigten, wie sich mithilfe der Standortdaten Spitzenpersonal der EU in Brüssel ausspionieren lässt.

Das Problem: Sensibilisierung reicht nicht. Um dem Standort-Tracking durch die Online-Werbeindustrie zu entgehen, müssen Nutzer*innen intensiv und lückenlos digitale Selbstverteidigung anwenden, bis hin zum Verzicht auf populäre Online-Dienste. Die vielfältigen Wege, über die Daten abfließen können, sind kaum zu überblicken. Nicht einmal auf Datenschutz-Labels in App-Marktplätzen kann man sich verlassen, wie unsere Recherchen gezeigt haben.

Und so ist es schier unvermeidbar, dass aller Sensibilisierung zum Trotz immer wieder Daten abfließen und in die Hände von Databrokern gelangen – selbst Standortdaten aus der Entourage des französischen Präsidenten.

Eine Gefahr für Europa

Auf Anfrage von Le Monde hat der Élysée-Palast selbst nicht reagiert. Zumindest für Präsident Macron dürfte das Thema jedoch nicht ganz neu sein. Denn im Jahr 2024 hatte Le Monde schon einmal Standortdaten von Menschen aus seinem Umfeld aufgespürt, und zwar über die Fitness-App Strava. Damit können Nutzer*innen etwa ihre Jogging-Routen tracken und online mit der Öffentlichkeit teilen, was Macrons Sicherheitspersonal unvorsichtigerweise getan hatte.

Der Unterschied: Damals ging es um den unvorsichtigen Umgang mit einer einzelnen Fitness-App. Die Databroker Files zeigen jedoch, wie sensible Handy-Standortdaten über einen großen Teil kommerzieller App abfließen können. Inzwischen liegen dem Recherche-Team mehrere Datensätze von mehreren Databrokern vor. Sie umfassen rund 13 Milliarden Standortdaten aus den meisten Mitgliedstaaten der EU, aus den USA und vielen weiteren Ländern.

Die Databroker Files zeigen auch, dass die DSGVO (Datenschutzgrundverordnung) gescheitert ist – mindestens in ihrer Durchsetzung. Der unkontrollierte Datenhandel bedroht ​​​​​​​nicht nur auf beispiellose Weise die Privatsphäre und informationelle Selbstbestimmung von Nutzer*innen, sondern in Zeiten erhöhter Spionagegefahr auch die Sicherheit Europas.

Im Zuge unserer Recherchen haben Fachleute aus Politik, Wissenschaft und Zivilgesellschaft wiederholt Konsequenzen gefordert. „Angesichts der aktuellen geopolitischen Lage müssen wir diese Bedrohung sehr ernst nehmen und abstellen“, sagte im November etwa Axel Voss (CDU) von der konservativen Fraktion im EU-Parlament, EVP.​​​​​​​ Die EU müsse entschieden handeln. „Wir brauchen eine Präzisierung der Nutzung der Standortdaten und somit ein klares Verbot des Handels mit besonders sensiblen Standortdaten für andere Zwecke.“ Weiter brauche es „eine europaweite Registrierungspflicht für Datenhändler und eine konsequente Durchsetzung bestehender Datenschutzregeln“.

EU könnte Datenschutz noch weiter abschwächen

Seine Parlamentskollegin Alexandra Geese von der Fraktion der Grünen/EFA sagte: „Wenn der Großteil der europäischen personenbezogenen Daten unter der Kontrolle von US-Unternehmen und undurchsichtigen Datenbrokern bleibt, wird es deutlich schwieriger, Europa gegen einen russischen Angriff zu verteidigen.“ Sie forderte: „Europa muss die massenhafte Erstellung von Datenprofilen verbieten.“

Statt die Gefahr einzudämmen, hat die EU-Kommission jedoch jüngst mit dem Digitalen Omnibus einen Plan vorgelegt, um den Datenschutz in Europa noch weiter zu schleifen. Konkret sollen demnach manche pseudonymisierten Daten nicht mehr als „personenbezogen“ gelten und deshalb den Schutz durch die DSGVO verlieren. Dabei zeigen die Databroker Files eindrücklich, wie intim und gefährlich die Einblicke durch angeblich pseudonyme Daten sein können.

Der EU stehen kontroverse Verhandlungen bevor. Teilweise oder weitgehende Ablehnung zu den Vorschlägen gab es bereits von den Fraktionen der Sozialdemokraten, Liberalen und Grünen im EU-Parlament. Zudem warnten mehr als 120 zivilgesellschaftliche Organisationen in einem offenen Brief vor dem „größten Rückschritt für digitale Grundrechte in der Geschichte der EU“.

Hier liest du, wie du deinen Standort vor Databrokern schützen kannst. Und hier sind alle unsere Texte zu den Databroker Files.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die EU-Staaten fordern ein neues Gesetz zur Vorratsdatenspeicherung, das weit über die alten Gesetze hinausgeht. Das geht aus einem EU-Dokument hervor, das wir veröffentlichen. Praktisch alle Internet-Dienste sollen Daten ihrer Nutzer anlasslos speichern, auch Messenger wie WhatsApp und Signal.

Arbeitet an Gesetz zur Vorratsdatenspeicherung: EU-Kommissar Brunner. – CC-BY 4.0 Europäische Kommission

Die anlasslose Vorratsdatenspeicherung ist unverhältnismäßig und rechtswidrig. Mit dieser Begründung haben das Bundesverfassungsgericht und der Europäische Gerichtshof entsprechende Gesetze gekippt.

In Deutschland arbeitet die Bundesregierung an einer neuen Vorratsdatenspeicherung. Laut Koalitionsvertrag sollen Internet-Zugangs-Anbieter „IP-Adressen und Portnummern“ drei Monate lang speichern, „um diese einem Anschlussinhaber zuordnen zu können“.

Die EU-Institutionen arbeiten an einer noch umfassenderen Vorratsdatenspeicherung. Geht es nach den EU-Staaten, sollen alle möglichen Internet-Dienste eine Vielzahl an Daten ein Jahr lang speichern.

Das geht aus einem Papier der Ratspräsidentschaft hervor, über das zuerst Falk Steiner bei heise berichtete. Wir veröffentlichen das Dokument im Volltext: Künftige Vorschriften zur Vorratsdatenspeicherung in der Europäischen Union.

Vielzahl von Internet-Diensten

Deutsche Befürworter der Vorratsdatenspeicherung fordern, dass Internet-Zugangs-Anbieter IP-Adressen ihrer Kunden speichern müssen. Wenn Ermittler auf eine IP-Adresse stoßen, sollen sie damit den Inhaber des entsprechenden Internet-Anschlusses identifizieren.

Die EU-Staaten gehen weit über Internet-Zugangs-Anbieter hinaus. Die meisten Staaten fordern „einen möglichst breiten Geltungsbereich“ für Internet-Dienste. Einige EU-Staaten fordern explizit eine Vorratsdatenspeicherung für „Over-the-Top-Dienste“. Die Begründung: Nur noch drei Prozent mobiler Nachrichten werden über SMS verschickt, die restlichen 97 Prozent über Messenger wie WhatsApp und Signal. Also sollen auch diese Messenger Daten speichern müssen.

Die EU-Staaten nennen „eine Vielzahl von Dienstleistern“, für die ein neues Gesetz zur Vorratsdatenspeicherung gelten soll. Sie erwähnen explizit „Domain-Registrare, Hosting-Anbieter, Filesharing- und Cloud-Speicherdienste, Zahlungsdienstleister, Anbieter von VPN-Diensten, Kryptowährungshändler, Vermittler von E-Commerce- und Finanzplattformen, Taxi- und Lebensmittellieferdienste und Gaming-Plattformen sowie Automobilhersteller“.

Die meisten dieser Dienste fallen bereits in den Anwendungsbereich der E-Evidence-Verordnung. Die regelt jedoch den anlassbezogenen Zugriff auf bereits vorhandene Daten. Die Vorratsdatenspeicherung verpflichtet zur anlasslosen Speicherung neuer Daten.

Wer, wann, wo, wie, mit wem?

Deutsche Befürworter der Vorratsdatenspeicherung betonen immer wieder, dass es nur um IP-Adressen geht. Schon das deutsche Gesetz soll auch Portnummern umfassen.

Die EU-Staaten finden, dass „Daten zur Identifizierung eines Nutzers“ wie „Teilnehmerdaten und IP-Adressen“ nur die „Mindestdatenkategorie sein sollten“. Einige Staaten wollen auch Seriennummern von Internet-Geräten speichern.

Manche Staaten wollen auch Kommunikations-Verbindungs-Daten speichern. Ermittler sollen in den Daten erkennen, „wer wann, wo und wie mit wem kommuniziert hat“. Das erinnert an die EU-Richtlinie von 2006. Damals mussten Anbieter für jeden Anruf, jede SMS, jede E-Mail und jedes Internet-Telefonat speichern, „wer wann, wo und wie mit wem kommuniziert hat“.

Einige EU-Staaten fordern auch „eine allgemeine und unterschiedslose Vorratsspeicherung“ von Standortdaten. Mobilfunk-Netze wissen immer, wo ein Smartphone ist. Diese Daten sind extrem aussagekräftig und sensibel. Manche EU-Staaten wollen mit diesen Daten vermisste Personen suchen. Andere Staaten betonen, dass „nicht alle Fälle von vermissten Personen eine potenzielle Straftat darstellen“.

Mindestens ein Jahr Speicherfrist

Die alten Gesetze von EU und Deutschland hatten eine Speicherdauer von sechs Monaten. Laut Bundeskriminalamt „wäre eine Speicherverpflichtung von zwei bis drei Wochen regelmäßig ausreichend“. Trotzdem soll das neue neue deutsche Gesetz eine Frist von drei Monaten vorschreiben.

Die EU-Staaten wollen deutlich längere Speicherfristen. Die meisten Staaten fordern „eine Dauer von einem Jahr und in jedem Fall nicht weniger als sechs Monate“. Einige Staaten befürworten noch „längere Aufbewahrungsfristen für komplexe Ermittlungen oder sehr schwere Straftaten“.

Einige Staaten wollen, dass die EU die Aufbewahrungsfristen nur „als Mindestfrist und nicht als Höchstfrist festlegt, damit die Mitgliedstaaten bei Bedarf längere Aufbewahrungsfristen beibehalten können“.

Nicht nur schwere Straftaten

Die Vorratsdatenspeicherung wurde ursprünglich nach den Terroranschlägen am 11. September 2001 eingeführt und mit dem Kampf gegen internationalen Terrorismus begründet. Mittlerweile wird die Vorratsdatenspeicherung oft mit sexuellem Missbrauch von Kindern und Jugendlichen begründet.

Die EU-Staaten betonen jedoch, „dass Metadaten für die Ermittlung praktisch aller Straftaten relevant sein könnten“. Ermittler sollen Vorratsdaten vor allem bei schweren Straftaten nutzen. Was als „schwere Straftat“ gilt, sollen jedoch die Nationalstaaten definieren. Auch „Aspekte der nationalen Sicherheit“ sollen die Staaten ohne EU regeln.

Neben schweren Straftaten fordern die Staaten die Nutzung von Vorratsdaten gegen „alle Straftaten, die im Cyberspace oder unter Verwendung von Informations- und Kommunikationstechnologie begangen werden“.

Die meisten Staaten befürworten „die Einbeziehung von Straftaten, die überwiegend online begangen werden (Stalking, Hassverbrechen usw.), auch wenn das Strafmaß moderat ist, aber der Mangel an Daten die Ermittlungen praktisch unmöglich machen würde“.

Verhältnismäßigkeit neu bewerten

Das Rats-Dokument fasst zusammen, warum die alte Vorratsdatenspeicherung rechtswidrig war: „Sie hat die Verhältnismäßigkeitsprüfung nicht bestanden, da sie pauschal alle Personen und alle elektronischen Kommunikationsmittel sowie alle Verkehrsdaten ohne Differenzierung, Einschränkung oder Ausnahme erfasst hat.“

Mit der neuen Vorratsdatenspeicherung sollen mehr Anbieter mehr Daten länger speichern, die Ermittler für mehr Zwecke verwenden dürfen. Wie das rechtskonform gehen soll, bleibt offen.

Einige Staaten fordern, die Rechtsprechung der Gerichte neu zu interpretieren. Sie wollen „die Notwendigkeit und Verhältnismäßigkeit angesichts der technologischen Entwicklungen und der sich wandelnden Begehungsweisen von Straftaten neu bewerten“.

Gesetzesvorschlag 2026

Die meisten EU-Staaten fordern ein neues EU-Gesetz zur Vorratsdatenspeicherung. Die EU-Kommission arbeitet bereits daran.

In einem ersten Schritt hat sie bis Juni eine Sondierung und bis September eine Konsultation durchgeführt. Die Kommission plant, im ersten Quartal 2026 eine Folgenabschätzung abzuschließen.

Nach Angaben der Kommission könnte sie „Ende des ersten Halbjahres 2026“ einen Gesetzesvorschlag präsentieren.

Hier das Dokument in Volltext:

• Classification: Limite
• Date: 27 November 2025
• Place: Brussels
• From: Presidency
• To: Delegations
• Document: WK 16133/2025 INIT

Presidency Outcome Paper – Future rules on data retention in the European Union 1) Introduction

On 25 September 2025, the Danish Presidency organised a meeting of the Working Party on Judicial Cooperation in Criminal Matters (COPEN). The purpose of the meeting was to continue discussions on a possible design for a future EU legal framework on data retention and to contribute to the Commission’s impact assessment, by identifying the main priorities of the Member States in this area, in particular in light of the requirements laid down in the case-law of the Court of Justice of the European Union (CJEU).

During the meeting, the Commission provided an update on their work on the impact assessment, including a presentation of the preliminary results of the call for evidence and the public consultation. The Commission reported that the response rate to the general open consultation had been very high and thus a big success. On the targeted consultation, the Commission summarised the input received from Member States and asked for it to be supplemented by more information regarding electronic data used for criminal investigations. The Commission is planning to finalise the impact assessment in the first quarter of 2026. If the result of the impact assessment pointed in the direction of a legislative proposal, that proposal could, according to the Commission, be presented at the end of the first semester of 2026.

During the exchange of views, most Member States reiterated their support for future EU legislation in this area. In this regard, most Member States referred to the need to remain within the limits defined by the CJEU, while some stressed the need to go beyond mere codification of the case-law and thought that necessity and proportionality should be re-assessed in the light of evolving technologies and developments in the way crimes are committed. Many considered that the overall proportionality of the retention regime could only usefully be ensured through access level and through additional safeguards. Moreover, Member States emphasised that certain elements should remain within their national competence, such as the definition of what constitutes ’serious crime‘. Also, aspects related to national security should be exempt from the scope of any future EU legislation on data retention. This would mean that national legislation on storing and access to retained traffic and location data for the purpose of safeguarding national security would have to be exempt from future EU legislation, regardless of which national authority requested access.

At the end of the meeting, the Presidency invited Member States to send their contributions in writing based on the guiding questions outlined in the Presidency’s discussion paper, WK 11640/2025.

2) Background and context

For more than a decade, the European Union has not had a common set of rules regulating the retention of personal data for the purpose of the investigation, detection and prosecution of serious crime. On 8 April 2014, the Data Retention Directive in force at the time (Directive 2006/24/EC)[1] was declared invalid ab initio by the CJEU in the landmark judgment in joined cases C-293/12 and C-594/12, Digital Rights Ireland and Others.[2] In that judgment, the CJEU found that the Directive violated Articles 7 and 8 of the Charter of Fundamental Rights of the European Union, i.e. the right to respect for private and family life and the right to the protection of personal data. Even though the CJEU found that the Directive had a legitimate aim, it did not pass the proportionality test, given that it covered in a generalised manner all persons and all means of electronic communication as well as all traffic data without any differentiation, limitation, or exception being made in the light of the necessary objective of fighting serious crime.

Since the Directive was declared invalid, the CJEU has developed and further refined its case-law on Member States‘ access to retained and stored data for the purpose of fighting serious crime.[3] In the absence of a harmonised EU legal framework, Member States have had to navigate complex legal terrain to ensure that their national laws align with the CJEU’s standards on necessity and proportionality, as well as privacy and data protection safeguards. In the Council, discussions of the consequences of the jurisprudence have taken place since 2014 in various fora, i.e. JHA Council meetings, but also in more detail in the COPEN Working Party.

In June 2023, the Swedish Presidency, together with the European Commission, launched a High-Level Group on access to data for effective law enforcement (HLG), aiming to stimulate the discussion and open it to other relevant stakeholders. The HLG issued its concluding report in November 2024[4], in which the HLG confirmed that one of the main areas of access to data for law enforcement purposes is data retention. This was reiterated by the Council conclusions of 12 December 2024 on access to data for effective law enforcement, which invited the Commission to present a roadmap for the implementation of relevant measures to ensure the lawful and effective access to data for law enforcement.[5] Furthermore, in its conclusions of 26 June 2025, the European Council invited the EU Institutions and the Member States to take further action to strengthen law enforcement and judicial cooperation, including on effective access to data for law enforcement purposes.[6]

On 24 June 2025, the Commission presented a roadmap for lawful and effective access to data for law enforcement (‚the Roadmap‘).[7] It is in the context of the implementation of this Roadmap that the Commission is carrying out an impact assessment on data retention.

During the discussions at the informal delegates‘ meeting of the Coordinating Committee in the area of police and judicial cooperation in criminal matters (CATS) in Copenhagen on 1-2 September 2025, many delegates stressed the importance of a timely Commission proposal for a harmonised set of rules on data retention in order to ensure that law enforcement authorities across the EU have effective access to data when investigating and prosecuting organised crime.

Within this context, the work done in the COPEN Working Party during the Danish Presidency has focused on contributing to this goal, by ensuring that the Member States‘ approaches and priorities are identified and taken into account in the Commission’s impact assessment, following up on the work done by the Polish Presidency and in full coordination with the other communities concerned by the topic of access to data for law enforcement (i.e. the Standing Committee on operational cooperation on internal security (COSI) and the Horizontal Working Party on Cyber Issues (HWPCIs)).

3) Summary of the Member States‘ remarks

Following the COPEN Working Party meeting on 25 September 2025, the Danish Presidency has received written contributions from fifteen Member States[8] and the EU Counter-Terrorism Coordinator (EU-CTC) with reference to the questions outlined in the Presidency discussion paper prepared for that meeting (WK 11640/2025). The contributions have been compiled in their full length in document WK 13500/25 and were distributed to Member States on 31 October 2025. In the following, the Presidency seeks to summarise both the written contributions and the oral comments made during the meeting in order to provide an overview of the Member States‘ main positions in this area. Hence, the summary reflects the Presidency’s reading of and selection from the inputs provided and does not in any way prejudge the official or final position of Member States.

Support for a new legislative framework

Member States highlight that stored traffic and location data are particularly relevant for the effective investigation and prosecution of criminal offences that leave few traces other than such data (e.g. cases regarding the acquisition, dissemination, transmission or making available online of child sexual abuse material[9]), and thereby minimise the risk of systemic impunity. With relevant data, investigators can get a clear picture of the criminal offences committed. They emphasise that evidence is not always incriminating, but in many cases, it is exculpatory and can lead to an acquittal. For this reason, some Member States believe it is appropriate to provide for new rules which include general data retention and which are accepted by the CJEU.

Most Member States express support for a new legislative framework at EU level, highlighting the need for harmonised rules to address the fragmentation after the 2006 Directive was declared invalid in 2014. However, this support is expressed with cautionary remarks concerning the need to incorporate elements to guarantee proportionality and necessity as well as robust safeguards against abuse. Some Member States emphasise the limitations imposed in particular by the Digital Rights Ireland judgment and the need to avoid indiscriminate retention, while a few Member States explain that they do not have a formal position yet on the need for new legislation on data retention at EU level. The EU-CTC is in favour of establishing a harmonised EU regime on data retention that is technology-neutral and future-proof and advocates for the use of standardised formats for data retention.

Most Member States recall that safeguarding national security falls within the remit of their competence and this area should therefore be excluded from the scope of any future EU legal framework on data retention. According to certain Member States, the framework should be defined in such a way as not to impede the exercise of their competence in the area of national security. This implies that national legislation on storing and access to retained traffic and location data for the purpose of safeguarding national security should be exempt from future EU legislation, regardless of which national authority requests access.

In addition, some Member States also mention the importance of aligning future data retention rules with existing EU regulations which provide law enforcement authorities access to retained data, mainly the e-Evidence Regulation[10], but also others, such as regulation in the field of consumer protection.[11]

Scope of service providers

Regarding the service providers that should be covered by the obligation to retain data, most Member States express general support for future legislation to have the broadest possible scope of application, including the possibility of adapting the list to future technological and market developments.

More concretely, some Member States and the EU-CTC agree that over-the-top (OTT) services should be subject to retention obligations due to their dominance in communications (approximately 97% of mobile messages are currently sent via OTTs, with traditional SMS and MMS making up only about 3% of messages[12]). Nevertheless, some Member States mentioned that the impact which such an extension would have on OTT business models and that the related costs should be taken into account. Further to the general reference to OTTs, Member States provided detail on a wide range of service providers to be included in a future legal framework, such as domain name registries, hosting providers, file sharing and cloud storage services, payment service providers, providers of VPN services, cryptocurrency traders, e-commerce and financial platforms intermediaries, taxi and food delivery services and gaming platforms, as well as car manufacturers, most of which are already included in the scope of the e-Evidence Regulation.

Regarding alignment of services with the e-Evidence Regulation, several Member States point out that it would be useful to include at least the same scope of services in a future legal framework on data retention to ensure the full effectiveness of access rules under the e-Evidence Regulation.

Data to be retained

Regarding the data to be retained, most Member States mention that data to identify a user should be the minimum data category to be included in future legislation, such as subscriber data and IP addresses. Furthermore, metadata associated with communications (traffic and location data) should be included, with content data clearly excluded. Some Member States also mention data to identify the destination and service recipient’s communication equipment in order to determine the location of mobile communication equipment.

As regards the possibility of imposing a general and indiscriminate data retention obligation on telecommunication providers in order to locate missing persons, most Member States consider that location data is crucial in such cases, with some expressing support for including a general and indiscriminate retention of such data for the purposes of conducting search operations and rescuing people, given how highly effective this is, while others consider that such a retention obligation would need to be finely tuned since not all cases of missing persons involve a potential criminal offence.

Targeted retention

On the benefits of targeted data retention for traffic and location data, Member States noted that the aim of targeting measures would be to provide proportionality and to limit interference with individuals‘ privacy, as data should only be retained according to clearly defined criteria, in line with the CJEU’s case-law.

On the shortcomings, Member States generally agree that targeted data retention based on geographical criteria would be technically challenging to implement (and even impossible for some), due to the current configuration of providers‘ networks, which does not allow for restriction of data retention to a pre-defined area, while being very costly for service providers. In addition, Member States consider that targeted data retention would be insufficient to achieve a good outcome for the investigations, since law enforcement authorities will not always know in advance by whom, when, and where a crime is going to be committed.

Moreover, retention based on geographical or personal criteria could be easily circumvented e.g. by criminals using other persons‘ identities or shifting their criminal activities to areas not covered by data retention obligations. Targeted data retention limited to data of persons with a criminal history would not account for first-time offenders as well as foreign offenders (not included in national databases). Furthermore, reliance on criminal statistics would risk not accounting for areas where crimes are prepared or concealed or for crimes that cannot easily be linked to a certain location such as financial crimes. As a consequence, such targeted retention would not meet the needs to effectively investigate a number of crimes including organised crime, cybercrimes or terrorism.

For some Member States, targeted retention could also raise constitutional issues because of risks of discrimination and the presumption of innocence. Some Member States also expressed concerns that applying such targeted retention would lead to unequal protection of victims depending on where the crime is committed (e.g. murder in a remote area outside the targeted geographical area) and potentially hamper the early stages of investigations in relation to unknown suspects. In these cases, the lack of data to identify a potential perpetrator could result in delays in time-sensitive investigations where there is a potential risk to life.

Several Member States also point to the high complexity of designing and implementing such a targeted retention regime, which would need to define all relevant criteria capturing future criminal behaviour based on historical data and would need to be constantly updated (creating additional burden for companies).

Instead, several Member States and the EU-CTC recommend working on a system that allows for an adequately graduated and differentiated retention regime, with limitations defined in terms of data categories and retention periods, accompanied by strengthened security requirements and strict access rules and purpose limitations, user information, complaint mechanisms and legal remedies as well as general oversight. Some Member States also point out that the CJEU has not ruled out the use of criteria other than those mentioned (i.e. geographical or personal) to define data retention obligations.

Expedited retention orders (quick freeze)

While Member States recognise expedited retention (known as a ‚quick freeze‘), as a relevant tool allowing for the immediate preservation of data upon notification of a crime, it is considered insufficient to guarantee a good outcome for an investigation. Quick-freeze obligations should therefore complement, but not replace, a data retention regime.

The reasoning behind this is that the tool is reactive, not preventive. The event under investigation would have to have taken place before the quick freeze is utilised. Furthermore, in the absence of a general retention obligation, the risk that the request might arrive when the data has already been deleted increases exponentially.

Some Member States would support the regulation of quick-freeze measures in an EU instrument, with some considering that regulation of quick freeze should cover not only the scope of data to be accessed, but also the conditions imposed on the requesting authority, taking into account the degree of interference with privacy.

Use of traffic and location data retained for marketing and billing purposes

In some Member States, the preservation regime relies on service providers storing data for commercial purposes. In others, law enforcement authorities may only access this type of data from telecommunication providers, and in certain Member States, data retained for marketing and billing purposes serves as the basis for requests directed at providers not subject to the general data retention obligation, such as operators outside the traditional telecom sector. A common feature of these regimes is that the retention period can be very short, typically between a few days or weeks, or three to six months, depending on the Member State, and the data available may be incomplete.

Some Member States indicate that companies either retain a different range of data for their own purposes, or retain data necessary for criminal investigations, but not for a sufficiently long period or of a sufficient quality. Thus, some of the data (e.g. data kept for marketing purposes) have only limited evidential value and may only prove useful in certain categories of offence, such as online or credit fraud. In other cases, service providers do not store relevant data at all since they are not required for billing purposes (e.g. when offering unlimited calls or in relation to pre-paid services). Overall, Member States consider that data held by service providers for purely business purposes are insufficient to enable the effective investigation and prosecution of all types of serious crime. For the purposes of effective criminal investigations, the definition and scope of data to be retained should reflect the investigative needs in terms of identifying the perpetrator and establishing who communicated with whom, when, where and how.

However, several Member States would prefer to keep the possibility to request metadata that has already been retained for commercial purposes or in order to comply with other obligations, such as data retained to fulfil security and quality requirements.

Retention periods

As for the question of how to best determine retention periods in line with the case-law, most Member States advocate for a duration of one year and in any event not shorter than six months. However, some Member States are in favour of longer retention periods for complex investigations or for very serious crimes, linking the retention obligations with strict conditions to access.

According to some Member States and the EU-CTC, retention periods should be designed as a minimum mandatory period, rather than as a maximum limit, thus allowing Member States to maintain longer retention periods where necessary.

Regarding the question of the advantages and disadvantages of one fixed retention period across the EU, allowing for the possibility of renewals at national level, or setting a range within which Member States may set shorter or longer retention periods, Member States generally recognise that uniform retention periods across the EU increase predictability and facilitate cross-border investigations while also ensuring that criminals cannot take advantage of lower retention periods in some Member States. While Member States prefer to maintain some flexibility (in particular to be able to maintain longer retention periods under national law), they recognise that a range may introduce some uncertainty as to what is necessary and proportionate. Other Member States show openness to an interval-based model, under which the EU would set minimum and maximum retention periods, allowing Member States to adjust them according to national needs, taking into account the type of data, their relevance to specific crime areas, the technical capabilities of service providers, and the practical needs of law enforcement.

On the possible differentiation of retention periods according to the type of data, most Member States are generally open to such an approach, while also pointing to an increase in complexity affecting the ability of service providers to implement it.

Scope of crimes

Most Member States stress that metadata could be relevant in relation to the investigation of practically all crimes. For the purposes of an EU data retention regime for traffic and location, they agree that such obligations could be limited to the purposes of combating serious crime. Types of crime mentioned in the contributions include combating fraud and serious economic and financial crimes, cyber-enabled and cyber-dependent crime, child exploitation, terrorism, homicide, human trafficking, cybercrime, corruption, organised crime, all crimes committed in cyberspace or using information and communication technology. Other crimes that were committed with the use of relevant means of communication are also mentioned in some of the contributions, such as offences against life and health and online sexual offences, kidnappings and disappearances, and threats to national security.

In addition, most Member States support the inclusion of crimes committed largely online (stalking, hate crime, etc.) even if the level of sanctions is moderate but the lack of data would practically make the investigation impossible. While most Member States consider that the lack of traffic and location data would risk systemic impunity in particular in relation to cyber-dependent and cyber-enabled crimes, similar risks are also identified in relation to other serious and organised crimes such as drugs trafficking, arms trafficking, human trafficking, terrorism, as well as kidnappings and disappearances and other serious offences against life and health.

On the other hand, some Member States advocate for the broadest catalogue of offences possible based on the list in Article 12(1)(d) of the e-Evidence Regulation (which includes all crimes with a penalty threshold of three years). Member States consider that EU legislation should not define the concept of ’serious crime‘. In this regard, some Member States consider that an offence catalogue would imply an EU-wide definition of ’serious crime‘, interfering with national competences. Some Member States also note that a list of all possible offences would not be sufficient because of the changing modus operandi of criminals. Those Member States see the decisive points as being the specific purpose of the investigation, the degree of interference, and strict, differentiated safeguards.

Access rules and conditions

Some Member States emphasise that EU provisions on access to retained data should be limited to minimum harmonisation in compliance with the principles of subsidiarity and proportionality and with the other requirements set out by the CJEU, while other Member States point out that the system should be based on general retention combined with robust access safeguards.

A large majority of the Member States state the need for robust access safeguards, including prior authorisation by a court or independent administrative body for certain types of data, based on reasoned requests and subject to limitations reflecting the seriousness of the offence. Such access would be granted only for a specific purpose, with strict guarantees also applying to data sharing, and accompanied by strong security and data minimisation measures, in order to avoid, among other risks, the possibility of profiling.

Some Member States mention that access to traffic and location data should be subject to additional criteria in specific cases. These include situations where digital evidence is essential for identifying the perpetrator, where serious harm to life, health, human dignity or major economic damage is involved, where the data is at risk of being lost, where less intrusive measures have failed to elucidate the offence, or where the case has a cross-border dimension that makes it difficult to obtain evidence quickly by other means.

Some Member States pointed out that when designing a new data retention regime in accordance with the case-law of the CJEU, account should be taken of the fact that the CJEU’s judgments were delivered in specific factual contexts. They therefore argue that a new EU data retention regime should not rely on a literal application of those rulings to individual cases, but rather on an assessment of the principle of proportionality in line with the CJEU’s general guidelines as they result from the application of the Charter, combined with appropriate mechanisms for oversight by independent bodies or judicial authorities to ensure full protection of fundamental rights.

On this matter, some Member States also point out that access to communication metadata is subject to the condition of probable cause, reasonable grounds or a criminal context.

Regarding alignment with the e-Evidence Regulation regarding conditions for access, several Member States support mirroring some of its elements, such as standardised formats for access requests, secure communication channels and guarantees of access depending on the type of data at stake, while adapting them to the specific needs of data retention for law enforcement purposes in order to ensure transparency, data protection and more efficient operation. More specifically, some Member States advocate for standards in line with those of the European Telecommunications Standards Institute (ETSI). Such standards would enhance the efficiency of information sharing and provide greater legal certainty for service providers, while also allowing them to contribute to the design so that the standards better reflect their technical needs. The EU-CTC also sees value in defining standardised formats for a harmonised categorisation of data to be retained and accessed, but also for establishing secure channels for the exchange between competent authorities and service providers.

Some Member States explain, however, that the e-Evidence Regulation only standardises to a limited extent, and that new standards of data transmission could potentially incur significant costs. These Member States do not see a need to regulate standardised formats and communication channels. They argue that the main purpose of an EU instrument should be to regulate data retention in situations involving interactions between national authorities and providers established within their territory, i.e. domestic cases, since cross-border cooperation scenarios are already addressed by the e-Evidence Regulation.

Finally, some Member States highlight the fact that it would be important to bear in mind the recommendations of the HLG regarding the enforcement of sanctions against electronic and other communications service providers which do not comply with requirements regarding the retention and provision of data.

On the other hand, some Member States stress that access rules at EU level should not interfere with national rules on the admissibility of data.

4) Conclusion

If a data retention framework were to be defined, a primary hurdle would be reconciling the demands of effective law enforcement, on the one hand, with the protection of fundamental rights, as interpreted by CJEU jurisprudence, on the other. In this regard, most Member States highlight the need for a framework that avoids indiscriminate retention, prioritises judicial oversight based on the sensitivity of the data at stake, and incorporates robust safeguards against abuse. The Commission must navigate this complex legal and political landscape by focusing on differentiated retention obligations, establishing a clear definition of crimes that justify access, and adopting strict rules to regulate such access. It should contain harmonised procedures to ensure compliance with CJEU case-law while providing a practically effective solution. Moreover, it is emphasised that national legislation on storing and access to retained traffic and location data for the purpose of safeguarding national security should be exempt from future EU legislation, regardless of which national authority requests access.

5) Next steps

Taking into account the views of Member States and given the need to respond to law enforcement requirements while fully respecting individuals‘ fundamental rights, the COPEN Working Party will continue to follow up on the specific activities related to data retention in the Roadmap, and when appropriate, with the support of the Commission, the justice and home affairs agencies and other relevant stakeholders. However, at this stage, priority will be given to awaiting the outcome of the impact assessment before considering further steps. The contributions of other Council preparatory bodies to the work on access to data for effective law enforcement within their respective mandates will be coordinated by the Presidency to avoid overlaps.[13]

Footnotes

1. Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC.
2. Judgment of 8 April 2014, Digital Rights Ireland, C-293/12 and C-594/12.
3. Judgment of 6 October 2020, La Quadrature du Net I, C-511/18, C-512/18 and C-520/18, paragraph 168 (conditions for general and indiscriminate retention of traffic and location data). Judgment of 5 April 2022, Commissioner of An Garda Síochána and Others, C-140/20, paragraph 67 (conditions for access to civil identity data). Judgment of 30 April 2024, La Quadrature du Net II, C-470/21, paragraphs 101-103 (conditions for access to information on IP addresses). Judgment of 20 September 2022, SpaceNet, C-793/19 and C-794/19, paragraphs 104, 114,119, 120. Judgment of 2 March 2021, Prokuratuur, C-746/18, paragraph 50. Judgment of 2 October 2018, Ministerio Fiscal, C-207/16, paragraphs 52-57. Judgment of 30 April 2024, La Quadrature du Net II, C-470/21, paragraph 97. Judgment of 30 April 2024, Tribunale di Bolzano, C-178/22, paragraphs 19, 22, 38, 49, 58, 62.
4. 15941/2024 REV2.
5. 16448/24.
6. EUCO 12/25.
7. 10806/25.
8. BG, CZ, IE, IT, LT, LV, AT, PL, PT, ES, SK, FI, SE, HU, and SI.
9. Judgment of 6 October 2020, La Quadrature du Net and Others, C-511/18, C-512/18 and C-520/18, paragraphs 153 and 154. Judgment of 5 April 2022, Commissioner of An Garda Síochána and Others, C-140/20, paragraphs 73 and 74.
10. Regulation (EU) 2023/1543 of the European Parliament and of the Council of 12 July 2023 on European Production Orders and European Preservation Orders for electronic evidence in criminal proceedings and for the execution of custodial sentences following criminal proceedings.
11. Regulation (EU) 2017/2394 on cooperation between national authorities responsible for the enforcement of consumer protection laws, recital 7, Article 9(2), and Article 42.
12. Roadmap for lawful and effective access to data for law enforcement.
13. Including CATS, COPEN, DATAPROTECT, FREMP, HWPCI and LEWP, not excluding the possible involvement of other preparatory bodies of the Council.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Schufa möchte transparenter werden. Nach jahrelanger Kritik wie dem Vorwurf von manipulativen Geschäftspraktiken soll ein neuer, nachvollziehbarer Score die gewünschte Durchsicht für Nutzer*innen bringen.

Ist bald ein gelüftetes Geheimnis. – Alle Rechte vorbehalten IMAGO / imagebroker

Die Schutzgemeinschaft für allgemeine Kreditsicherung, besser bekannt unter seiner Abkürzung Schufa, führt ab März 2026 einen neuen Score ein. Dieser soll für mehr Transparenz sorgen. Seit dem 3. Dezember gibt es außerdem in einer Beta-Phase die Möglichkeit eines „Dateneinblicks“ in die bonitätsrelevanten Daten, die der Schufa vorliegen. Die Auskunftei stand bislang in der Kritik, Verbraucherschützer bezeichneten sie als „Blackbox“.

Die SCHUFA Holding AG ist ein privates Unternehmen mit Sitz in Wiesbaden, das Auskünfte über die Kreditwürdigkeit von über 65 Millionen Deutschen anbietet. Dritte wie Banken und Online-Händler können sich so über die prognostizierte Zahlungsmoral von möglichen Kund*innen informieren. Die Daten dafür erhält die Schufa ebenfalls von Banken, Kreditkartenunternehmen und Co., ihren rund 10.000 Vertragspartnern.

Eine entscheidende Rolle für diese Bonitätsabfrage spielt der Schufa-Score, der die Kreditwürdigkeit von Verbraucher*innen in einer Zahl zusammenfasst. Ursprünglich setzte sich die Punktzahl aus 250 Kriterien zusammen und ihre Berechnung blieb als Geschäftsgeheimnis unter Verschluss. Der neue Score soll nun auf nur noch zwölf Kriterien beruhen und für alle Verbraucher*innen nachvollziehbar sein. Zu den Kriterien gehören etwa das Alter der ältesten Kreditkarte oder Zahlungsstörungen. Zwischen 100 und 999 Punkte kann man dann bekommen.

„Automatisierte Entscheidung im Einzelfall“ ist grundsätzlich verboten

Im Dezember 2023 stufte der Europäische Gerichtshof das vorherige Scoring der Schufa als „eine von der DSGVO grundsätzlich verbotene ‚automatisierte Entscheidung im Einzelfall’“ ein, „sofern die Kunden der SCHUFA, wie beispielsweise Banken, ihm eine maßgebliche Rolle im Rahmen der Kreditgewährung beimessen“. Außerdem entschied der Gerichtshof, dass private Auskunfteien wie die Schufa Daten aus öffentlichen Insolvenzregistern nicht länger als die Insolvenzregister selbst speichern dürfen, wie es vorher die Praxis war.

Die frühere Ampel-Regierung nahm Anfang 2024 neue Regeln zum Scoring durch Auskunfteien in ihre geplante Reform des Bundesdatenschutzgesetzes auf. Der Paragraph 37a sollte die Nutzung von Namen, Anschriften, personenbezogenen Daten aus Sozialen Netzwerken und die Aktivitäten von Bankkonten durch Scoringunternehmen unterbinden. Die Datenschutz-Novelle schaffte es vor dem Ende der Ampel-Koalition allerdings nicht durch den Bundestag. Eine Neuauflage der Reform durch die aktuelle Regierung steht noch aus.

Jahrelange Kritik

Neben Bedenken an der Schufa aus der Politik sind auch Datenschützer unzufrieden mit den Geschäftspraktiken der Schufa. Im Februar 2024 reichte die österreichische Nichtregierungsorganisation noyb eine Beschwerde und Anzeige gegen die Schufa bei der hessischen Datenschutzbehörde ein. Das Unternehmen manipuliere Kunden, die eine Datenauskunft wollen, zu einer kostenpflichtigen Variante, so der Vorwurf der Datenschützer damals. Martin Baumann, Datenschutzjurist bei noyb, fand dazu klare Worte:

Die DSGVO verlangt, dass Unternehmen alle Daten sofort, kostenlos, leicht zugänglich und transparent zur Verfügung stellen. Diese Anforderungen stehen im deutlichen Widerspruch zur aktuellen Geschäftspraxis, betroffenen Personen Ihre eigenen Daten zu verkaufen.

Die Schufa indes wies diese Vorwürfe immer zurück und betonte, die Vorgaben für die Erstellung von Datenkopien sogar überzuerfüllen.

Ab Ende März 2026 sollen alle Interessierten über einen Account ihren vereinfachten Score kostenlos abrufen und nachvollziehen können. Eine Sprecherin der Schufa bestätigte gegenüber der Süddeutschen Zeitung jedoch auch Pläne des Scoring-Dienstleisters, „meineSchufa-Abonnements“ und andere monetarisierbare Angebote in den neuen Schufa-Account einzubinden.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Kein TikTok, kein YouTube und kein Instagram für Menschen unter 16 Jahren: Mit dem Social-Media-Bann betritt Australien netzpolitisches Neuland mit weltweiter Signalwirkung. Jugendlichen ist damit kein Stück geholfen. Ein Kommentar.

Der Klassiker: Mit dem Smartphone ins Bett – Alle Rechte vorbehalten IMAGO/phototek; Bearbeitung: netzpolitik.org

Am 10. Dezember beginnt das Social-Media-Verbot in Australien. Menschen unter 16 Jahren dürfen Plattformen wie TikTok, Instagram und YouTube nicht mehr nutzen. Hunderttausende Jugendliche verlieren Schätzungen zufolge ihre Accounts. Die australische Regierung hofft damit, junge Menschen vor den Gefahren des Internet zu bewahren.

Der australische Social-Media-Bann ist vor allem Symbolpolitik, und nur aus dieser Perspektive ist er ein Erfolg. Denn weltweit schauen jetzt Konzerne, Politik und Medien nach Australien. Vermutlich klopfen sich die Verantwortlichen allein deshalb schon auf die Schultern. Regierungen anderer Länder könnten sich das australische Modell sogar zum Vorbild nehmen. Hoffentlich tun sie das nicht.

Denn die australische Regierung erweckt nur den Eindruck von Handlungsfähigkeit. Es scheint nur so, als könnte sie harte Kante gegen Tech-Konzerne zeigen, die andere Regulierungsversuche oftmals geschickt umschiffen. In Wahrheit ist den betroffenen Jugendlichen mit dem Social-Media-Bann nicht geholfen. Ihre Bedürfnisse und Probleme spielen keine Rolle; die Regulierung verfehlt ihr Ziel.

Schon wer Social Media mit Alkohol oder Tabak vergleicht, hat das Problem nicht verstanden. Es geht nicht um nachweislich schädliche Substanzen, sondern um vielfältige, digitale Räume. In solchen digitalen Räumen suchen Jugendliche Spaß und soziale Kontakte, Aufklärung und Vorbilder. Das australische Social-Media-Verbot versperrt Jugendlichen lediglich den offiziellen Zugang zu einer Auswahl dieser Räume.

Was junge Menschen statt plumper Sperren brauchen, sind sichere, digitale Räume. Sie brauchen Kompetenzen, um sich zunehmend eigenständig in diesen digitalen Räumen zu bewegen. Und sie brauchen Vertrauenspersonen, die Zeit haben, sie einfühlsam zu begleiten.

Was Kinder im Netz erleben, und was Politik daraus lernen kann

Die Konsequenz des australischen Verbots: Junge Menschen werden ihren Bedürfnissen nach Spaß und Gemeinschaft, ihrer Neugier und ihrem Durst nach neuen Erfahrungen anderswo im Netz weiter nachgehen. Viele werden auf weniger bekannte Websites ausweichen. Und auf Dienste, die nicht vom Verbot betroffen sind, etwa Spiele und Messenger wie WhatsApp. Gerade WhatsApp ist für viele Kinder und Jugendliche selbst ein soziales Netzwerk und Schauplatz für Mobbing. Andere Jugendliche wiederum dürften die Altersschranken mithilfe von VPN-Software oder anderen Tricks digitaler Selbstverteidigung einfach überwinden.

Mutige Netzpolitik sieht anders aus

Das Social-Media-Verbot in Australien führt sogar zu noch mehr Kontrollverlust. Zuvor hatten Regulierungsbehörden klare Ansprechpersonen bei den großen Konzernen. Wenn auch widerspenstig haben sie zunehmend Maßnahmen für mehr Jugendschutz umgesetzt. Künftig müssen sich Plattformen wie TikTok und Instagram nicht einmal mehr darum bemühen, sichere Räume für australische Jugendliche unter 16 Jahren zu schaffen. Weil unter 16-Jährige dort offiziell nicht mehr sein dürfen.

Der Social-Media-Bann in Australien ist nicht mutig oder radikal, er ist eine Scheinlösung. Mutige Netzpolitik würde widerspenstige Tech-Konzerne unter Androhung hoher Geldbußen in die Verantwortung nehmen und sich nicht davor scheuen, das vor Gericht auszufechten. Weg mit manipulativen Designs; weg mit auf Sogwirkung optimierten Feeds, die jüngere und ältere Menschen stundenlang an den Bildschirm fesseln. Her mit sicheren Voreinstellungen, die verhindern, dass Fremde mit krimineller Energie Kontakt zu Minderjährigen anbahnen können. Her mit fair bezahlten und gut ausgestatteten Moderationsteams, die Meldungen von Nutzer*innen sorgfältig bearbeiten.

Das und mehr liefert Australien nicht. Stattdessen lässt der Staat die Jugendlichen mit ihren Problemen und Bedürfnissen allein. Das macht den 10. Dezember zu einem dunklen Tag für Jugendliche in Australien – und auch für Erwachsene.

Denn Millionen Menschen müssen in Australien künftig für ihre digitale Teilhabe den Ausweis zücken, um die Altersschranken zu überwinden. Massenhaft werden dabei sensible Daten bei teils zweifelhaften Drittanbietern landen. Nach diesem Schatz dürften sich sowohl Polizeibehörden als auch Online-Kriminelle schon jetzt die Finger lecken.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.