Dass die Hamburger Polizei allen Ernstes Redaktionsräume der Zeit durchsuchen wollte, ist ein Frontalangriff auf die Pressefreiheit. Journalistisches Rohmaterial hat in den Händen von Staatsanwälten und Polizeien nichts verloren. Wenn wir das durchgehen lassen, erschüttern wir das Vertrauen in die Presse. Ein Kommentar.

Wieder einmal hebeln Strafverfolgungsbehörden den Quellenschutz und damit die Pressefreiheit aus. Dieses Mal hat es „Die Zeit“ erwischt, bei der das Landeskriminalamt Hamburg und die Staatsanwaltschaft am Montag mit einem Durchsuchungsbeschluss für die Redaktion anrückte. Die Durchsuchung wehrte das Medium nur ab, weil es die fraglichen Daten freiwillig, „versiegelt“ und unter Widerspruch herausgab. Die Zeit protestiert gegen die Maßnahme, will den Durchsuchungsbeschluss anfechten und hofft darauf, dass die Daten vor einer gerichtlichen Entscheidung nicht genutzt werden.

Die Beschlagnahme von Interviewaufzeichnungen, also dem Rohmaterial eines Podcasts zum Block-Delling-Prozess beim Landgericht Hamburg, ist eine Frechheit. Der Schutz von Informant:innen und Quellen dient dazu, dass diese sich der Presse vertrauensvoll öffnen können, ohne Angst vor einer Enttarnung oder einer Verfolgung zu haben. Nur ein funktionierender Schutz der Quellen garantiert, dass die Presse ihre Aufgabe voll und ganz wahrnehmen kann.

Der Quellenschutz ist elementarer Bestandteil der Pressefreiheit – das ist auch höchstrichterlich mehrfach bestätigt worden. Grundsätzlich haben Journalist:innen ein umfassendes Zeugnisverweigerungsrecht, dazu kommt ein Beschlagnahmeverbot für Recherchematerial.

Pressefreiheit frontal angegriffen

Wer das, wie nun die Hamburger Ermittler, ignoriert, greift die Pressefreiheit frontal an. Das Bundesverfassungsgericht hat klargemacht, dass eine Durchsuchung in Redaktionsräumen nicht vorrangig dem Zweck dienen darf, den Verdacht von Straftaten durch Informanten aufzuklären – sondern dann schon die Pressevertreter:innen selbst beschuldigt sein müssen. Das ist bei der Zeit ausdrücklich nicht der Fall. Das Gericht will mit der Maßnahme neues Beweismaterial erheben und nebenbei die Glaubhaftigkeit der Zeugen überprüfen.

Wenn wir der Staatsanwaltschaften, Polizeien und Gerichten solche Maßnahmen durchgehen lassen, erschüttern wir das Vertrauen in die Presse – und das schadet der Demokratie als Ganzes. Nur weil es sich beim Block-Prozess um ein Verfahren mit maximaler Medienaufmerksamkeit handelt, heißt das nicht, dass Polizei und Staatsanwaltschaft hier rechtsstaatliche Prinzipien mit Füßen treten dürfen.

Es ist beileibe nicht das erste Mal, dass sich Staatsanwaltschaften an der Pressefreiheit vergehen. So ließ eine Staatsanwaltschaft 2013 gleich Wohnungen von fünf Fotografen durchsuchen, um an deren Bildmaterial zu kommen, mit dem ein Straftäter auf einer Demo identifiziert werden sollte. Im Jahr 2023 hatte die Polizei den Freiburger Sender Radio Dreyeckland und zwei Privatwohnungen durchsucht – die Maßnahme wurde jüngst vom Bundesverfassungsericht für rechtswidrig erklärt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Seit mehr als einem Jahr verbietet die EU bestimmte Formen biometrischer Gesichtsdatenbanken. Doch die Suchmaschine PimEyes macht einfach weiter. Die zuständige Bundesnetzagentur hält sich bedeckt – und die Bundesregierung laviert gar um das Verbot herum.

Ein einzelnes Foto eines Gesichtes reicht. Lädt man es in die Suchmaschine PimEyes hoch, hakt ein paar Kästchen ab, um den Nutzungsbestimmungen zuzustimmen, und drückt dann auf „Suchen“, erscheint wenige Sekunden später eine Übersicht. Darauf Fotos von Gesichtern, die eine Ähnlichkeit aufweisen, samt der Links zu den Fundstellen im Netz – egal wo und wie obskur.

Wenn das Internet ein Heuhaufen ist, wie die New York Times damals schrieb, dann ist PimEyes ein Magnet. Eine Technologie, mit der sich Fotos noch aus den hintersten versteckten Winkeln des Netzes ziehen lassen.

netzpolitik.org nannte die Suchmaschine in einem ersten Bericht vor sechs Jahren einen „Angriff auf die Anonymität“.

Ein Verbot wie gemacht für PimEyes

Seitdem hat sich einiges getan. PimEyes hat nicht nur den Besitzer gewechselt und gehört jetzt einem georgischen Geschäftsmann. Auch die EU hat reagiert. In der KI-Verordnung – dem großen Regelwerk, das den Einsatz von KI in der Union regeln soll – steht in einer Liste von verbotenen Dingen explizit auch einen Absatz, der direkt auf biometrische Suchmaschinen wie PimEyes zielt.

Verboten sind demnach: „KI-Systeme, die Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen erstellen oder erweitern.“ Wenn man es nicht besser wüsste, man könnte meinen: Gemeint ist PimEyes.

Das EU-Parlament, das sich besonders für dieses Verbot eingesetzt hat, warnte vor den gesellschaftlichen Auswirkungen. Solche Suchmaschinen könnten das Gefühl von Massenüberwachung verstärken und seien eine Gefahr für Grundrechte wie die Privatsphäre. So steht es in der Begründung des Verbotes. Auch der Rat der Mitgliedstaaten und die EU-Kommission haben dem zugestimmt.

Erstmal niemand zuständig

Sprung drei Jahre in die Zukunft: Es ist der 2. Februar 2025, und die Verbote aus der KI-Verordnung werden anwendbar. Doch noch gibt es niemanden, der sie durchsetzen könnte. Die einzelnen Mitgliedstaaten, so sieht es die Verordnung vor, müssen erst eine Stelle benennen, die offiziell für die Aufsicht über das Regelwerk und seine Verbote zuständig ist.

PimEyes ist derweil weiter online und bietet etwa Nutzer*innen in Deutschland ein Monatsabo für 32,90 Euro, mit dem man bis zu 75 Gesichter am Tag suchen kann.

Im Sommer 2026 ist es dann soweit. Die Bundesregierung bestimmt mit einem neuen Gesetz die Bundesnetzagentur zur offiziellen Aufsichtsbehörde. Sie ist damit für die Aufsicht über diejenigen zuständig, die KI-Systeme in Deutschland entwickeln oder anbieten: für Innovationsförderung, für Beschwerden – und auch für die Einhaltung der Verbote.

Werkzeug für Stalking und Einschüchterung

Seit unseren ersten Berichten über PimEyes im Jahr 2020 hat sich bei der öffentlich zugänglichen Gesichtersuchmaschine im Kern wenig verändert. Nach wie vor braucht man nur einen Screenshot oder ein flüchtiges Foto, um eine Person per PimEyes zu suchen.

Die Suchmaschine erfasst die biometrischen Eigenheiten des Gesichts, etwa die Abstände von Augen, Nase und Mund, und vergleicht diese mit den Templates von Milliarden anderen Gesichtern, die es im Netz gefunden und auf dieselbe Weise vermessen hat. Sie basiert damit sehr wahrscheinlich auf eben der Technologie, die laut KI-Verordnung in der EU verboten ist.

Kritiker*innen sehen in PimEyes vor allem eine große Bedrohung. Weil die Fotofundstellen im Netz sehr wahrscheinlich zu weiteren Informationen wie Namen, Wohnorten, Arbeitsstellen führen, machen sie alle, die im öffentlichen Raum unterwegs sind, wiedererkennbar und angreifbar: „jederzeit, überall und durch beliebige Dritte“.

„Damit existiert eine Infrastruktur, die tief in Grundrechte von vielen Millionen Menschen eingreift und Missbrauch Tür und Tor öffnet“, warnt der Chaos Computer Club, „etwa für Stalking, Einschüchterung oder umfassende Verhaltensanalyse – selbstredend ohne Wissen und ohne Einwilligung der Betroffenen.“

»Der Mensch ist der Stalker, nicht die Suchmaschine«

Die Behörde hätte viele Möglichkeiten

Die Bundesnetzagentur könnte jetzt aktiv werden. Als Aufsichtsbehörde könnte sie eine Untersuchung von PimEyes einleiten. Dafür muss sie nicht darauf warten, dass sich einzelne Betroffene über PimEyes beschweren – bislang liegt laut BNetzA eine solche Beschwerde vor. Sie kann aber einfach selbst tätig werden.

Doch auf Nachfrage von netzpolitik.org hält sich die Behörde bedeckt. „Bitte haben Sie Verständnis, dass wir uns zu geplanten und aktuellen Verfahren nicht äußern.“

Dabei hätte die BNetzA viele Möglichkeiten. Sie könnte in einem ersten Schritt die Frage klären, ob PimEyes überhaupt unter das Verbot fällt. Dazu könnte sie von dem Unternehmen Auskunft verlangen, Unterlagen anfordern, eine technische Prüfung einleiten. Selbst Vor-Ort-Termine sieht das Gesetz vor.

Laut den Leitlinien der EU-Kommission greift das Verbot, wenn ein System alle der folgenden Bedingungen erfüllt: Es sammelt Gesichtsbilder ungezielt aus dem Netz oder aus Überwachungsaufnahmen. Es erstellt daraus eine Datenbank zur Gesichtserkennung oder erweitert diese. Und das passiert mit Hilfe eines KI-Systems.

Sollte bei der Prüfung herauskommen, dass die Suchmaschine diese Bedingungen erfüllt und somit gegen die EU-Regeln verstößt, könnte die Aufsichtsbehörde die nächste Phase einleiten.

Weil PimEyes seine Suche nicht nur in Deutschland anbietet, sondern in der gesamten EU, müsste die BNetzA sich mit anderen nationalen Behörden und dem „AI Office“ der EU-Kommission koordinieren. „Möglich wäre auch ein gemeinsames Vorgehen von Aufsichtsbehörden mehrerer EU-Mitgliedstaaten,“ schrieb die Behörde auf eine frühere Anfrage von netzpolitik.org.

Das Unternehmen würde dann aufgefordert, die verbotenen Handlungen in der EU einzustellen, also damit aufzuhören, weiter wahllos Gesichter im Netz zu vermessen und die Daten in seine Datenbanken zu kippen. Wenn das nicht passiert, käme danach die Aufforderung, das Angebot in der EU vom Markt zu nehmen.

Bleibt das Angebot dennoch im Netz, folgt eine Kaskade von möglichen Sanktionen – bis hin zu Geldstrafen von bis zu 7 Prozent des weltweiten jährlichen Umsatzes. Je länger im Netz, je weniger das Unternehmen kooperiert, umso höher kann die Strafe ausfallen. So in der Theorie.

Außerhalb der EU, außer Reichweite?

In der Praxis sitzt PimEyes allerdings nicht in der EU. Das ursprünglich in Polen gegründete Unternehmen, das zwischenzeitlich auch auf den Seychellen gemeldet war, soll seinen Sitz inzwischen in Dubai haben. So genau weiß das offenbar derzeit niemand.

Das würde es schwieriger machen, diese Maßnahmen auch durchzusetzen. Es wäre allerdings nicht unmöglich. Das sagt der Leiter der NGO AlgorithmWatch, Matthias Spielkamp, und verweist auf die Erfahrungen in Fällen von Steuerhinterziehung.

Und das sagt auch der Hamburger IT-Sicherheitsexperte und Aktivist Matthias Marx, der sich seit Jahren gegen die Suchmaschinen engagiert.

Marx hatte sein Gesicht 2020 in den Datenbanken von PimEyes wiedergefunden und versucht seitdem, die Hamburger Datenschutzbehörde zu einem Verfahren gegen die Suchmaschine zu bewegen. Denn nicht nur mit der KI-Verordnung könnte PimEyes über Kreuz liegen. Auch die Europäischen Datenschutzregeln (DSGVO) verbieten es, die biometrischen Daten einer Person ohne deren Einverständnis einfach aus dem Netz zu klauben.

Die Hamburger Behörde hat das Verfahren nach fünf Jahren allerdings eingestellt. Die Begründung: Die Suchmaschine handle zwar rechtswidrig, reagiere aber aus Dubai nicht auf Anfragen. Marx will das nicht akzeptieren und klagt derzeit mit Unterstützung der österreichischen NGO noyb und des Chaos Computer Clubs gegen den Bescheid.

Er glaubt, die Behörde hätte durchaus Möglichkeiten, Sanktionen durchzusetzen. So nutze PimEyes für die Abwicklungen der Abo-Zahlungen einen Dienstleister, der unter anderem eine Niederlassung in den Niederlanden hat. Gelder in Europa könnten eingefroren werden oder Maßnahmen direkt gegen den georgischen Geschäftsführer verhängt werden.

Die Untätigkeit der Hamburger Behörde sendet aus seiner Sicht ein gefährliches Signal: „Wenn Aufsichtsbehörden bei so klaren Rechtsverstößen nicht handeln, entsteht ein gefährlicher Präzedenzfall.“ Biometrische Massenüberwachung dürfe sich nicht allein deshalb durchsetzen, weil ihre Anbieter auf die Untätigkeit der Behörden spekulieren.

Sollte die Klage erfolgreich sein, müsste die Behörde erneut über Marx’ ursprüngliche Beschwerde entscheiden und voraussichtlich Maßnahmen gegen PimEyes treffen.

Bundesregierung will biometrische Fotofahndung im Netz

Bundesregierung will Gesichtersuche für die Polizei

Skurril wirkt der Umgang mit PimEyes aber noch aus einem weiteren Grund. Denn die Bundesregierung vertritt keineswegs die Haltung, dass die biometrische Gesichtersuche nach Art von PimEyes verboten gehört. Spätestens seitdem Journalist*innen das frühere RAF-Mitglied Daniela Klette mit Hilfe von PimEyes auf Facebook fanden und identifizierten, waren Begehrlichkeiten geweckt.

Das Bundeskriminalamt und die Bundespolizei sollen deswegen demnächst selbst mit solchen Suchmaschinen im Netz fahnden dürfen. Sie dürften dann nach Beschuldigten schwerer Straftaten suchen, aber auch nach Zeug*innen. So will es die Bundesregierung und hat dafür schon ein Gesetzespaket auf den Weg gebracht. Explizit sollen die Behörden dafür auch Drittanbieter nutzen dürfen. Wie PimEyes.

Dass sich dieses Begehren mit der KI-Verordnung schwer vereinbaren lässt, dessen ist man sich offensichtlich auch in den Ministerien bewusst. Deswegen hat man sich eine argumentative Hintertür gebaut. Ein Verbot durch die KI-Verordnung gelte nicht, „sofern für das Auslesen der Daten keine KI-Systeme eingesetzt werden“, schreibt das Bundesjustizministerium in der Gesetzesbegründung.

Diese Lesart findet sich auch in einem Gutachten der Wissenschaftlichen Dienste des Deutschen Bundestages. Demnach verbiete die KI-Verordnung nicht den Aufbau einer Datenbank per se, sondern nur das „ungezielte Auslesen von Gesichtsbildern mittels KI“. Solche Datenbanken könnten auch ohne Künstliche Intelligenz erstellt werden, schreiben die Wissenschaftlichen Dienste weiter.

„Der Einsatz von KI ist also nicht zwingend erforderlich, um einen biometrischen Abgleich mit Bildern aus dem Internet durchzuführen“, so das Fazit. Es komme „auf die konkrete Ausgestaltung und technische Umsetzung des in den Gesetzesentwürfen vorgesehenen biometrischen Abgleichs an“. Wer hier wen inspiriert hat, ist nicht klar.

Abgeordnete sind anderer Meinung

Der EU-Abgeordnete Tiemo Wölken (SPD) hat die KI-Verordnung im Parlament mit verhandelt. Er hat wenig Verständnis für das Zaudern und Infragestellen. „Der AI Act ist eindeutig: Das Erstellen von Datenbanken mit Gesichtsbildern aus dem Internet ist seit dem 2. Februar 2025 verboten“, sagt Wölken.

Die Definition von KI-System in der Verordnung sei dabei bewusst so breit formuliert, dass sie auch Analysesoftware wie PimEyes erfasse. „Eine anderslautende Bewertung durch die Aufsichtsbehörden ginge direkt gegen den Willen des Gesetzgebers. Ich erwarte deshalb von der Bundesnetzagentur, dass sie aktiv wird und PimEyes endlich verbietet.“

Auch die EU-Abgeordnete Alexandra Geese (Die Grünen/EFA) erwartet ein klares Verbot von PimEyes. „Der Geist der KI-Verordnung entspricht sehr klar dem Wunsch der großen Mehrheit der Menschen in einer freiheitlichen Gesellschaft: keine Überwachung im öffentlichen Raum und keine Bedrohung durch Technologie, die es fremden Menschen ermöglicht, uns ohne unser Wissen in der Menge identifizieren und vor der Haustür oder am Arbeitsplatz aufzulauern.“

Sollte die Aufsichtsbehörde tatsächlich zu der Auffassung gelangen, die KI-Verordnung decke PimEyes nicht ab, „müssen wir als Gesetzgeber dringend über weitere Maßnahmen zum Schutz unserer Freiheit nachdenken“.

Nicht nur aus dem EU-Parlament, auch aus dem Bundestag kommen klare Worte. Johannes Schätzl, digitalpolitischer Sprecher der SPD-Fraktion im Bundestag, sagt Datenbanken wie PimEyes basierten seinem Verständnis nach auf einer durch die KI-Verordnung verbotenen Praktik. „Aus meiner Sicht müsste die BNetzA mögliche Verstöße gegen die KI-VO überprüfen.“

Sollte sich dabei herausstellen, dass das Verbot nicht greift, müsste man „in der Tat auf europäischer Ebene nachjustieren, denn es war der ausdrückliche Wille des europäischen Gesetzgebers, diese Praktik in Europa auszuschließen. Ein Einsatz wäre nur möglich, wenn dieses Recht aktiv umgangen wird.“

„Dies sollte auch in deutschen Gesetzesentwürfen nicht angelegt sein“, sagt Schätzl. Und stellt sich damit auch gegen seine eigene Partei, die in der Regierungsverantwortung an dem Verbot sägt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die geplante Reform der Nachrichtendienste ist verfassungswidrig, so die deutliche Kritik von Fachleuten im Bundestag. Sie befördere die Massenüberwachung, hebe die Trennung zwischen Polizei und Geheimdiensten auf und sehe nur eine unzureichende Kontrolle vor.

Am Montag fand in Berlin eine Tagung des Bundesamtes für Verfassungsschutz statt. Vor Ort warnte Innenminister Alexander Dobrindt vor dem Schattenkrieg Russlands, der das Ziel habe, „uns politisch und gesellschaftlich zu bezwingen“. „Wir müssen aufrüsten“, warb der CSU-Politiker mit markigen Worten für die geplante Reform der Geheimdienste.

Nur wenige Kilometer entfernt verhandelte der Innenausschuss des Deutschen Bundestages die Details dieser Reform. Vier Stunden lang standen acht Sachverständige den Abgeordneten Rede und Antwort.

Die Verhaftung des ehemaligen BND-Präsidenten August Hanning in der vergangenen Woche spielte dabei keine Rolle. Stattdessen ging es vor allem darum, wie der Umbau des Bundesnachrichtendienstes (BND) und des Bundesamtes für Verfassungsschutz (BfV) verfassungsrechtlich zu bewerten ist.

Aus Sicht vieler Expert:innen will die Regierung die historisch begründete Trennung zwischen Geheimdiensten und Polizei deutlich aufweichen. Gleichzeitig sehe ihr Gesetzentwurf nur eine unzureichende Kontrolle der Dienste vor. Und auch die geplanten automatisierten Datenauswertungen mittels Künstlicher Intelligenz bärgen erhebliche Risiken.

„So etwas macht ein Rechtsstaat nicht“

Mit der Reform sollen BND und BfV nicht nur Informationen sammeln, sondern auch aktiv eingreifen und so zu „echten Geheimdiensten“ werden. Sie dürften dann etwa in IT-Systeme eindringen und bei Cyberangriffen „zurückhacken“.

Das sei eine typisch polizeiliche Aufgabe, kritisierte der Rechtswissenschaftler Matthias Bäcker von der Uni Mainz. Würden diese Eingriffe dauerhaft heimlich erfolgen, widerspreche dies rechtsstaatlichen Prinzipien. „So etwas macht ein Rechtsstaat nicht“, sagte Bäcker in der Anhörung. „Ich habe noch nie eine Vorschrift gesehen, die so offensichtlich verfassungswidrig ist.“

Auch Franziska Görlitz von der Gesellschaft für Freiheitsrechte (GFF) stuft den Gesetzentwurf als in Teilen verfassungswidrig ein. Die geplanten operativen Maßnahmen setzten deutlich höhere Hürden und eine strengere Kontrolle voraus. Das leite sich auch aus der Rechtsprechung des Bundesverfassungsgerichts ab, schreibt Görlitz in ihrer Stellungnahme. Der Gesetzentwurf setze diese Vorgaben aber nicht um.

Die Aufweichung des Trennungsgebots

Görlitz warnt davor, dass die „Verpolizeilichung“ der Geheimdienste die Struktur der Sicherheitsbehörden insgesamt verschiebe: „Die strenge Trennung zwischen den nur überwachenden, aber nicht operierenden Nachrichtendiensten und der dann eingreifenden Polizei wird eingerissen“, schreibt die Juristin.

Ein insgesamt „hohes verfassungsrechtliches Risiko“ sieht hier auch Markus Löffelmann von der Hochschule des Bundes für öffentliche Verwaltung. Das Trennungsgebot sei zwar nicht „verfassungsunmittelbar“ im Grundgesetz verankert, „allerdings wirkt die multidimensionale Trennung von Nachrichtendienstbehörden und Polizeibehörden grundrechtsschonend und ist deshalb zentraler Aspekt einer Verhältnismäßigkeitsprüfung“.

Jan-Hendrik Dietrich von der Hochschule des Bundes für öffentliche Verwaltung teilt die Einschätzung, dass das Bundesverfassungsgericht nur ein „informationelles Trennungsprinzip“ verlangt. Diese Trennung sieht er weiterhin gewahrt: Da nur die Polizei Festnahmen durchführen könne, „trifft die Aussage der Gesetzesbegründung zu, wonach das nachrichtendienstliche Gepräge der Maßnahmen […] dominiert“, schreibt der Staatsrechtler in seiner Stellungnahme.

Geschichtsvergessen und gefährlich

Unzureichende Kontrolle und fehlende Expertise

Dietrich begrüßt zudem, dass der Gesetzentwurf redundate Kontrollstrukturen beseitige und zugleich die Aufsicht professionalisiere.

Bislang sind für die Kontrolle des Inlands- und Auslandsgeheimdienstes unter anderem die G10-Kommission, das Parlamentarische Kontrollgremium (PKGr), der Bundesdatenschutzbeauftragte und der Unabhängige Kontrollrat (UKrat) zuständig. Künftig soll ein Großteil der Kontrolle beim UKRat gebündelt werden, der neue Aufgaben bekommt und das Parlamentarische Kontrollgremium unterstützen soll. Die G‑10-Kommission soll wegfallen, dem Bundesdatenschutzbeauftragten soll die Aufsicht entzogen werden.

Im Ergebnis komme im Entwurf die Vorabkontrolle von eingriffsintensiven Maßnahmen zu kurz, kritisiert Markus Löffelmann. So muss der UKRat künftig etwa eine längerfristige Videoüberwachung oder eine Ausspähung besonders privater Information vorab nicht prüfen. Diese Einschätzung teilt Matthias Bäcker: „Eine Vorabkontrolle einzelner Maßnahmen ist nur in Sonderfällen vorgesehen, die das Spektrum eingriffsintensiver Maßnahmen nicht annähernd ausschöpfen“, schreibt Bäcker in seiner Stellungnahme.

Um etwa den Einsatz von Staatstrojanern oder automatisierte Datenauswertungen bewerten zu können, fehle dem UKRat Expertise bei den Themen IT und Künstliche Intelligenz, mahnte Franziska Görlitz. Und weil die Regierung dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) die datenschutzrechtliche Aufsicht über die Dienste entziehe, gehe weitere langjährig aufgebaute Expertise verloren, so Görlitz.

Insgesamt sieht sie ein deutliches „Kapazitätsungleichgewicht im Gesetz“, das eine effektive Kontrolle beider Geheimdienste verhindere.

Automatisierte Datenauswertungen auf „völlig neuem Niveau“

Mehr Fachkenntnis wird bei der Kontrolle künftig vonnöten sein. Denn Verfassungsschutz und BND sollen personenbezogene Daten mittels Künstlicher Intelligenz automatisiert auswerten dürfen.

Die sogenannte qualifizierte Auswertung bewege sich auf einem „völlig neuen Niveau“, betonte Görlitz, und reiche weit über das hinaus, was das Bundesverfassungsgericht im Jahr 2023 entschieden hat. Auch Löffelmann verweist auf das Urteil: „Das BVerfG hat für das Polizeirecht die Zulässigkeit einer automatisierten Datenanalyse an anspruchsvolle Voraussetzungen geknüpft“, schreibt der Jurist. „Diese Maßstäbe sind auf die Nachrichtendienste im Wesentlichen übertragbar“, ergänzt Görlitz.

Die Juristin von der GFF kritisiert zudem, dass alle möglichen Daten in die Systeme eingespeist werden sollen. „Weder ist die Datenanalyse auf rechtmäßig erhobene Daten beschränkt, noch werden besonders sensible Daten aus der Datenanalyse ausgenommen.“ Außerdem mache der Gesetzentwurf keinerlei konkreten Vorgaben, um etwa diskriminierende Verzerrungen durch den KI-Einsatz zu vermeiden.

Die Sorge vor „Halluzinationen“ von KI-Systemen treibt auch Markus Löffelmann um. Er sieht es als ein „massives regulatorisches Defizit“, dass der Gesetzentwurf kein Verfahren dafür vorsieht, wenn KI-Systeme fehlerhafte Ausgaben machen. „Die Verantwortung wird auf die KI geschoben“, folgerte auch Görlitz, „wer aber kontrolliert die KI?“ Dazu seien ja nicht einmal die kommerziellen Anbieter selbst in der Lage, wie die vergangenen Wochen gezeigt hätten.

Luca Manns, Geschäftsführer der Forschungsstelle Nachrichtendienste der Universität zu Köln, sieht im KI-Einsatz hingegen eine grundrechtsschonende Wirkung. Die Systeme könnten aus den Daten „wahnsinnig viel Beifang“ filtern, sagte der Jurist gestern, und so Grundrechtseingriffe umgehen.

„Es braucht ein sinnvolles Beschwerdemanagement“

Die Sachverständigen bemängelten außerdem, dass der Gesetzentwurf die Rechte von Betroffenen einschränke. Sie sollen in der Regel nichts davon erfahren, wenn sich operative Maßnahmen gegen sie richten.

Eine solche Transparenz hält Matthias Bäcker jedoch für unverzichtbar. Er fordert, dass verdeckt überwachte Personen unverzüglich informiert werden müssen, sobald die konkreten Gründe für eine Geheimhaltung von Maßnahmen entfallen sind. „ ‚Schutzmaßnahmen’ […] bewirken immer einen physischen oder psychischen Nachteil, der sich bei einer dauerhaften Heimlichkeit weder öffentlich thematisieren noch individuell abwehren lässt“, schreibt Bäcker. „In einem demokratischen Rechtsstaat ist daher für verdeckte Eingriffe in Verhaltensfreiheit und Eigentum nur in sehr engen Grenzen Raum.“

Görlitz kritisiert, dass der Gesetzentwurf keine Beteiligungs- und Verfahrensrechte für betroffene Bürger:innen vorsieht. Zwar sehe der Entwurf vor, dass der UKRat für die Beschwerden der Bürger:innen zuständig sei. Allerdings mache die Regierung hier keinerlei Vorgaben zu Transparenz, Fristen oder den konkreten Rechten von Betroffenen. „Es braucht ein sinnvolles Beschwerdemanagement“, mahnte die Juristin in Richtung der Abgeordneten.

Am Ende reichten auch vier Stunden Anhörung nicht aus, um alle wichtigen Aspekte des mehr als 730-seitigen Gesetzentwurf zu erörtern. „Vier Stunden sind eben vier Stunden“, konstatierte Görlitz zum Ende der Sitzung.

Derweil kündigte BfV-Präsident Sinan Selen auf der Tagung des Verfassungsschutzes an, dass man innerhalb von zwei Jahren Bilanz ziehen könne, ob die Geheimdienstreform gelungen sei. Angesichts der massiven Kritik der Fachleute könnte ihm das Bundesverfassungsgericht dabei noch zuvorkommen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Sechs von neun untersuchten KI-Chatbots übermitteln laut einer Studie Gesprächsinformationen an Tracking- und Werbedienste. Betroffen sind auch bekannte Angebote wie ChatGPT, Claude und Gemini.

Chatbots übermitteln Informationen aus Gesprächen an verschiedene Tracking- und Werbedienste und gefährden damit die Privatsphäre. Dazu zählen Titel und Links von Chats, wörtliche Eingaben und sogar Screenshots. Das zeigt eine neue Studie des Forschungsinstituts IMDEA Networks.

Für die Studie hat das Forschungsteam aus Madrid neun große KI-Dienste untersucht: ChatGPT, Claude, Perplexity, Grok, Gemini, Mistral AI, Meta AI, DeepSeek und Microsoft Copilot. Sechs der neun Webversionen und drei von acht Android-Apps teilten dabei Informationen aus den Gesprächen mit Tracking- und Werbediensten. Zu den Drittanbietern, an die Daten übermittelt wurden, gehörten auch bekannte Unternehmen wie Google, Meta und TikTok.

Schon Chat-Titel enthalten private Informationen

Menschen erzählen KI-Chatbots Dinge, die sie sonst vielleicht niemandem anvertrauen würden. Sie fragen nach Krankheiten, teilen Geldsorgen und besprechen Beziehungsprobleme. Chatbots erstellen für diese Gespräche automatisch zusammenfassende Titel. Sie sollen Nutzer:innen helfen, einen Chat in der Gesprächs-Historie wiederzufinden.

Aus der Frage nach Parkinson-Symptomen wird etwa der Titel „Parkinson-Symptome im Frühstadium“. Aus der Frage nach einer möglichen Hypothek in New York entsteht der Titel „85.000-Dollar-Gehalt in NYC: 280.000 – 350.000 Dollar Hypothek“. Mit diesen Fragen untersuchten die Forschenden, welche Informationen die Chatbots in ihre Titel aufnehmen.

Gemini, Grok und Mistral gaben diese vielsagenden Chat-Titel laut der Untersuchung auch an Dritte weiter. „Selbst scheinbar harmlose Informationen wie Chat-Titel können sehr persönliche Interessen, Sorgen und Lebensumstände offenbaren“, sagt Narseo Vallina-Rodriguez aus dem Forschungsteam von IMDEA Networks auf Anfrage von netzpolitik.org.

Mögliche Verknüpfung mit Nutzerprofilen

Ein Chat-Titel allein kann dabei bereits sensible Rückschlüsse zulassen. Wird er zusammen mit Kennungen wie E‑Mail-Adressen oder Nutzer-IDs übermittelt, lässt sich möglicherweise auch erkennen, zu welchem Konto die Information gehört.

„Diese Informationen könnten mit bereits bestehenden Nutzerprofilen verknüpft werden, die Werbe- und Trackingunternehmen führen“, sagt Vallina-Rodriguez. Deren Technologien seien in Millionen von Websites und mobilen Apps eingebunden, möglicherweise, ohne dass die Betroffenen davon wissen.

Laut der Studie hatten die Chatbots von Antrophic, Mistral und Perplexity AI E‑Mail-Adressen an Dritte übermittelt. Nutzer-IDs wurden bei ChatGPT, Claude, Le Chat und Perplexity weitergegeben.

Chat-Links können ganze Gespräche offenlegen

Kritisch sind auch die Links, die die Chatbots für jeden Chat automatisch erstellen und über die sich die Unterhaltung aufrufen lässt. Laut der Studie wurden diese von ChatGPT, Claude, Grok, Mistral und Perplexity an Dritte übermittelt. Bei ChatGPT, Claude und Mistral sind die verlinkten Gespräche den Forschenden zufolge nur für die jeweiligen Ersteller zugänglich. Bei Perplexity sind Chat-Links dagegen auch öffentlich abrufbar, wenn der Chatbot mit einem Gastzugang genutzt wird. Wer dem Link folgt, sieht dann den gesamten Gesprächsverlauf.

Besonders problematisch ist laut der Studie der Fall von Grok, dem Chatbot von Elon Musks Firma xAI. Bei Gesprächen im Browser hat Grok unter anderem Chat-Titel und Chat-Link an verschiedene Drittanbieter wie Meta, Tiktok, Google und Twitter Analytics übertragen. Diese sind laut den Forschenden sowohl in der kostenlosen als auch der kostenpflichtigen Version von Grok standardmäßig öffentlich zugänglich, sofern Nutzer:innen das nicht abschalten. Dadurch könnten Dritte Zugriff auf den Gesprächsverlauf haben – inklusive eingegebener Prompts und generierter Antworten.

Geteilte Chats erhöhen Risiko

Zusätzlich können Nutzer:innen ihre Gespräche mit Chatbots über sogenannte Share-Links bewusst mit anderen teilen. Im Fall solcher geteilten Gespräche hat Grok sehr weitreichende Informationen mit anderen Unternehmen geteilt: Meta erhielt Titel und den letzten Prompt. TikTok erhielt außerdem einen Screenshot der Unterhaltung.

Um zusätzlich zu untersuchen, ob die Share-Links tatsächlich aufgerufen werden, bauten die Forschenden Köder-Links in geteilte Grok-Gespräche ein. Sie verzeichneten 70 Abrufe von 70 IP-Adressen aus 14 Ländern, teilweise noch Tage nach dem ursprünglichen Gespräch.

Die Forschenden prüften auch, ob Nutzer:innen das Tracking durch Datenschutzmaßnahmen einschränken können. Selbst nachdem alle nicht notwendigen Cookies abgelehnt wurden, blieben laut Studie 80,8 Prozent der beobachteten Drittanbieter-Tracker aktiv. Auch zwischen kostenlosen und kostenpflichtigen Konten fanden die Forschenden kaum Unterschiede.

Auf Anfrage von netzpolitik.org verwies Google auf den technischen Zweck von Google Analytics. Das Tool helfe dabei, die Leistung von Gemini zu überwachen und Störungen zu erkennen. „Wir halten uns an die geltenden europäischen Datenschutzbestimmungen“, schreibt eine Google-Sprecherin. Auf die konkreten Ergebnisse der Studie ging Google nicht näher ein. xAI, Mistral und Perplexity ließen die Anfrage unbeantwortet.

Datenschutzbehörden eingeschaltet

Laut der Studie informierten die Forschenden im April 2026 auch europäische Datenschutzbehörden über ihre Ergebnisse. Ende Mai beantragte die spanische Datenschutzbehörde AEPD, den Fall im Europäischen Datenschutzausschuss zu beraten. Die Forschenden kontaktierten außerdem den Grok-Anbieter xAI, von dem sie jedoch bis zur Veröffentlichung der Studie Ende September keine Antwort erhielten. Zu diesem Zeitpunkt waren Grok-Chats weiterhin öffentlich abrufbar.

Wie relevant der Umgang mit Chatdaten ist, zeigen auch aktuelle Entwicklungen bei OpenAI. Das Unternehmen kündigt an, personalisierte Werbung in ChatGPT künftig auch in Europa auszuspielen und dafür unter anderem Informationen aus früheren und aktuellen Chats zu nutzen. Die Berliner Datenschutzbeauftragte warnt, dass dadurch auch sensible persönliche Informationen für Werbezwecke ausgewertet werden könnten.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In sozialen Netzwerken und Medien kursiert das Gerücht, dass die ukrainischen Angriffe auf russische Rechenzentren die Aktivität rechter Social Bots minimiert hätte. Dafür gibt es bislang keine Belege. Vielmehr dürfte die Nachricht auf einer Verwechslung beruhen, was Bots eigentlich sind.

Derzeit macht ein Gerücht die Runde, dass die Aktivität von Social Bots, welche Parteien wie die AfD unterstützen, mit den ukrainischen Angriffen auf russische Rechenzentren in den letzten Tagen heruntergegangen sei. Doch diese Behauptung, die unter anderem der grüne Stadtrat Robin Schlingheider auf Threads und der konservative tschechische Europa-Abgeordnete Tomáš Zdechovský auf X verbreiteten, lässt sich nicht belegen. Das hinderte verschiedene Medien wie Standard oder Focus nicht daran, diese Nachricht zu verbreiten oder zu stützen.

Belegen lässt sich nur ein Rückgang von Bot-Aktivität aus Russland und hier speziell bei dem Autonomen System AS13238, das zum russischen Yandex-Konzern gehört. Yandex, das als Russlands Google gilt, betreibt neben der Suchmaschine auch zahlreiche Cloud-Dienste, die laut eigenem Status-Monitor gerade massive Probleme haben. Der gesamte russische Bot-Traffic ist laut einer Statistik des US-Cloud-Dienstleisters Cloudflare allerdings nicht deutlich heruntergegangen. Dieser Bot-Traffic bezieht sich auf das Internet allgemein und nicht speziell auf soziale Medien, in denen die AfD-fördernden Social Bots aktiv sind.

Es gibt viele unterschiedliche Arten von Bots

Dazu muss einem klar sein, dass mit dem Begriff Bot alles mögliche gemeint sein kann, zum Beispiel auch so genannte Crawler von Suchmaschinen, die das Internet nach Inhalten und Änderungen durchforsten und indexieren. Hinzu kommen Server-zu-Server-Kommunikationen, Zugriff auf API-Schnittstellen, Bots von allen möglichen KI-Anwendungen sowie Bots, die auf Servern und Webseiten nach Sicherheitslücken suchen, um diese dann schädlich zu nutzen. Der nicht menschliche Bot-Traffic macht mittlerweile weltweit mehr als die Hälfte des Internetverkehrs aus.

Nun scheint die ukrainische Strategie, russische Rechenzentren zu attackieren, durchaus Wirkung zu zeigen und die Internetkonnektivität sowie den Traffic aus einzelnen Rechenzentren deutlich zu minimieren. Innerhalb Russlands mehren sich die Beschwerden über ausgefallene Bezahl-Apps, Kartendienste und Websites, die auf die Infrastruktur von Yandex angewiesen sind.

Doch das lässt sich nicht auf die globale Aktivität von Social Bots übertragen, die ohnehin schwer zu messen ist. Denn im Gegensatz zum normalen Bot-Traffic versuchen Social Bots sich als Menschen zu verschleiern, weil sie in sozialen Netzwerken als solche gesehen werden wollen. Es ist wahrscheinlich, dass Monitoringsysteme wie das von Cloudflare einen guten Teil dieser Social Bots gar nicht erfassen können.

Deutliche Zweifel am Rückgang rechter Propaganda-Bots

Früh kritisiert haben die virale Nachricht User auf Reddit, der Account antibot4navalny auf Bluesky sowie der Regensburger Informatik-Professor Raphael Wimmer. Letzterer zweifelte die von Schlingheider und Zdechovský verbreitete Grafik als möglichweise KI-generiert an. Als Wimmer bei Schlingheider nachfragte, woher die Grafik stamme und was die Quelle für die Daten sei, soll dieser ihn auf Threads geblockt haben. Eine kurzfristige Presseanfrage von netzpolitik.org nach der Quelle der Grafik hat Schlingheider noch nicht beantwortet, wir reichen diese gegebenenfalls nach.

Skepsis kommt auch vom Center für Monitoring, Analyse und Strategie (CeMAS), das zahlreiche Social-Media-Aktivitäten zum Thema Desinformation, Rechtsextremismus, Antisemitismus und Verschwörungsideologien beobachtet. Der Geschäftsführer von CeMAS, Josef Holnburger, sagt gegenüber netzpolitik.org, dass seine Organisation derzeit keinen Rückgang von anorganischen Likes und Retweets erkennen könne. Dafür sei es aber auch noch zu früh: Die Aktivität russischer Desinformationskampagnen würde am Wochenende immer heruntergehen und stehe im Zusammenhang mit der normalen Arbeitswoche, so Holnburger.

Der Entwickler Michael Paulauski merkte an, dass niemand Beweise vorgelegt habe, dass der Online-Traffic der Rechten eingebrochen sei. Er postete zudem Daten, die zeigen sollen, dass die Interaktionen auf dem X‑Account der AfD seit den Angriffen auf die Rechenzentren bis zum 9. Oktober nicht heruntergegangen seien. Die Rechenzentren in Russland wurden zwischen 7. Oktober und dem 11. Oktober angegriffen.

Update 13.10. – 8:30 Uhr: Robin Schlingheider hat seinen Post ergänzt und schreibt, dass ihm ein Fehler unterlaufen sei, er habe habe ungeprüft eine Grafik von einem anderen Post übernommen. Dieser Post ist mittlerweile auch gelöscht.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Werbe-Tech-Firma Xandr hatte sensible Daten von Grindr-Nutzer:innen an zahlreiche andere Werbefirmen verteilt. Dafür soll sie nun das höchste Datenschutz-Bußgeld der norwegischen Geschichte zahlen. Daten- und Verbraucherschützer:innen sehen darin ein wichtiges Signal, dass die Online-Werbeindustrie endlich zur Verantwortung gezogen wird.

Die norwegische Datenschutzbehörde Datatilsynet hat ein Bußgeld in Höhe von 8,5 Millionen Euro gegen die Werbe-Tech-Firma Xandr verhängt. Das Unternehmen soll in den Jahren 2018 bis 2020 Daten von Nutzer:innen der queeren Dating-App Grindr ohne gültige Rechtsgrundlage verarbeitet und im Ökosystem der Online-Werbung weiterverbreitet haben. Es sei die höchste Strafe, die man je verhängt habe, heißt in einer Pressemitteilung der Aufsichtsbehörde.

Gemeinsame Verantwortung von App und Werbe-Firma

Grindr bezeichnet sich selbst als „die weltweite größte Social-Networking-App für schwule, bi, trans und queere Menschen“. Die Daten, die die App an potenziell tausende Firmen verschickt habe, damit diese Werbe-Plätze buchen können, hätten unter anderem Aufschluss über deren sexuelle Orientierung gegeben. Diese Informationen gelten wie solche zu politischen Ansichten, Religion oder dem Gesundheitszustand als besonders sensibel und sind durch die Datenschutzgrundverordnung besonders geschützt.

Xandr war ein wichtiger Infrastruktur-Betreiber im Ökosystem der Online-Werbung. Das Unternehmen wurde 2022 von Microsoft übernommen und ist inzwischen in den eigenen Werbe-Diensten des Tech-Konzerns aufgegangen. Im Rahmen von Real-Time-Bidding-Auktionen zur Versteigerung von Werbeplätzen habe das Unternehmen über mehrere Jahre die Daten der Grindr-Nutzer:innen an potenziell tausende andere Unternehmen weitergeleitet. Allein in Norwegen gibt es der Aufsichtsbehörde zufolge tausende Betroffene.

Die Microsoft-Tochter habe sich damit verteidigen wollen, dass Grindr die Einwilligung der Betroffenen für die Nutzung ihrer Daten eingeholt habe, so Datatilsynet. Eine Begründung, die man nicht akzeptiere, so die Datenschutzbehörde. „Unsere Kernbotschaft lautet, dass man die Verantwortung für den Datenschutz nicht einfach an andere weiterreichen kann.“

Die von Grindr eingeholten Einwilligungen seien ungültig gewesen, unter anderem weil die Nutzer:innen nicht ausreichend informiert worden seien. Dafür musste der Betreiber der Dating-App bereits ein Strafe zahlen. Xandr trage jedoch eine gemeinsame datenschutzrechtliche Verantwortung mit Grindr und hätte die Einwilligungen überprüfen müssen, so Datatilsynet.

Auf Anfrage von netzpolitik.org teilt ein Microsoft-Sprecher mit, dass die Untersuchung und die Entscheidung sich auf Verhaltensweisen beziehen, die vor der Übernahme von Xandr durch Microsoft stattfanden. Seitdem hätten sich die „Auslegung und Anwendung rechtlicher Standards und Praktiken weiterentwickelt“. Derzeit prüfe man die Entscheidung der Behörde und wäge die Optionen ab.

„Schlag gegen die Online-Adtech-Branche“

Xandr stand auch im Zentrum von Enthüllungen zur Datensammlung der Online-Werbe-Industrie, die netzpolitik.org und The Markup 2023 veröffentlicht haben. Damals konnten wir auf Basis einer Angebotsliste von Xandr über mehr als 650.000 Kategorien berichten, in die die Werbeindustrie Menschen einteilt. Diese reichten von soziodemographischen und ökonomischen Daten über Gesundheitsinformationen bis zu Rubriken wie „Moms who shop like crazy“.

Das aktuelle Verfahren geht zurück auf eine Untersuchung der norwegischen Verbraucherschutz-Organisation Forbrukerrådet gemeinsam mit der Sicherheitsfirma Mnemonic, dem Tracking-Forscher Wolfie Christl vom Verein Cracked Labs und der Datenschutz-NGO noyb. Der 2020 unter dem Titel „Out of Control“ veröffentlichte Bericht hatte gezeigt, wie umfangreich Apps für Zwecke der Online-Werbung selbst sensible Informationen über ihre Nutzer:innen mit potenziell tausenden Firmen teilen. Gegenstand der Untersuchung waren neben der Dating-App Grindr auch eine Anwendung für Perioden-Tracking und eine Tastatur-App. Durch die Weitergabe ihrer Daten würden Verbraucher:innen besonders anfällig für Manipulation und Ausbeutung, warnten die Forscher:innen.

Forbrukerrådet und noyb legten auf Basis der Untersuchung mehrere Beschwerden wegen DSGVO-Verstößen bei der norwegischen Aufsichtsbehörde ein. noyb begrüßte das Bußgeld gegen Xandr als „Schlag gegen die Online-Adtech-Branche“. Unternehmen wie Xandr agierten oft im Hintergrund und würden selten für ihre Praktiken zur Rechenschaft gezogen, so Datenschutzjurist Felix Mikolasch von noyb. „Die Entscheidung stellt einen wertvollen Präzedenzfall für ähnliche Situationen dar.“

Auch Finn Myrstad, Direktor für digitale Strategie beim norwegischen Verbraucherrat Forbrukerrådet, sieht in der Entscheidung ein starkes Signal an alle, deren Geschäftsmodell auf dem Tracking und Profiling von Verbrauchern beruhe. „Da eine gültige Einwilligung tatsächlich informiert und aussagekräftig sein muss, ist es schwer vorstellbar, wie die heutige, auf Überwachung basierende Werbung überhaupt rechtmäßig sein kann.“

Tracking könnte bald noch schwerer zu kontrollieren sein

noyb verweist in diesen Zusammenhang auf laufende Verhandlungen zur Anpassung der Datenschutzgrundverordnung, die zur Folge haben könnten, dass Werbeunternehmen „freie Hand beim massenhaften Profiling von Nutzer:innen erhalten“. Konkret will die EU-Kommission im Rahmen des Digital-Omnibus-Pakets die Definition personenbezogener Daten ändern und pseudonymisierte Daten unter Umständen vom Datenschutz ausnehmen. Dies werde laut noyb dazu führen, dass Online-Tracking-IDs aus dem Anwendungsbereich der DSGVO fallen.

Auch andere Expert:innen wie die Berliner Datenschutzbeauftragte Meike Kamp hatten davor gewarnt, dass Datenflüsse in der Online-Werbe-Industrie noch schwerer zu kontrollieren seien, wenn die Änderung beschlossen würde.

Auf eine kurzfristige Bitte um Stellungnahme reagierte Microsoft bis zur Veröffentlichung dieses Artikels nicht. Sollte uns ein Statement erreichen, ergänzen wir dieses nachträglich.

Update, 12. Oktober, 14:45 Uhr: Statement von Microsoft eingebaut.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Eine Smartwatch, die falsche Blutzuckerwerte anzeigt, kann lebensgefährlich sein. Dennoch finden sich solche rechtswidrigen Angebote bei großen Online-Händlern wie eBay und Mediamarkt.de. Aufgeräumt wurde erst nach unserer Presseanfrage.

Die Welt könnte so schön sein. Wer gesundheitlich darauf angewiesen ist, seinen Blutzucker zu messen, muss sich entweder mit einer Nadel stechen um einen Blutstropfen zu bekommen oder einen festen Sensor auf der Haut tragen mit einem Faden, der unter der Haut sitzt. Anders ist nach dem derzeitigen Stand der Technik ein genauer Blutzuckerwert nicht zu ermitteln.

Auf Plattformen wie ebay und bei Mediamarkt.de fanden sich jedoch zahlreiche Angebote von Smartwatches, die eine „nicht-invasive“ Blutzuckermessung am Handgelenk versprechen.

Klar ist: Eine solche Technik gibt es noch nicht. Hersteller wie Apple oder Huawei forschen schon lange daran, doch niemand hat es bisher geschafft, den genauen Blutzuckerwert am Handgelenk mit optischen Sensoren zu messen. Die angebotenen Uhren sind also Betrug. Sie verstoßen gegen den Artikel 7 der Medizinprodukteverordnung, die eine Irreführung verbieten. Dazu zählt „dem Produkt Funktionen und Eigenschaften zuschreiben, die es nicht besitzt“.

Zahlreiche Warnungen

Vor solchen angeblichen Blutzuckeruhren wird seit Jahren gewarnt, darunter auch durch französische und belgische Gesundheitsbehörden sowie mehrfach durch das offizielle EU-weite Warnsystem „Safety Gate“. In einer Untersuchung, die in Diabetologie Online veröffentlicht wurde, wurde gezeigt, dass manche Uhren einfach einen Blutzuckerwert simulieren. Die Uhr zeigte an unterschiedlichen Tagen die gleichen Werte an, egal ob sie am Handgelenk oder an einer Banane getragen wurde. Ein solches Verhalten, bei dem Messungen simuliert werden, konnte auch der Verbraucherzentrale Bundesverband (vzbv) beim Testkauf einer Uhr nachweisen.

Das Problem an diesen Uhren ist nicht nur, dass sie etwas versprechen, was sie nicht halten. Sie können Menschen auch in Lebensgefahr bringen, die sich auf die angeblichen Messwerte verlassen, berichtete die ARD im Mai.

Ebay und Mediamarkt bieten Dutzende Betrugs-Uhren an

Trotz beständiger Warnungen und früherer Berichterstattung werden solche Uhren weiterhin auf verschiedenen Plattformen verkauft. Bei Mediamarkt.de finden wir 108 Treffer auf den Suchterminus „Blutzucker Smartwatch“. In einer Stichprobe konnten wir Dutzende Uhren identifizieren, die das Wort „Blutzucker“ im Produktnamen hatten und in deren Produktbeschreibung das Messen des Blutzuckers beworben wurde.

Nach unserer Anfrage bei der Pressestelle von Mediamarkt ändert sich das: Plötzlich gibt die Suche nur noch sieben Treffer aus. Alle Uhren, die eine Blutzuckermessung versprechen, sind aus dem Angebot verschwunden. Die Pressestelle fragt nach der Lösch-Aktion, ob wir ihr die entsprechenden Suchergebnisse zur Verfügung stellen könnten. „Dies wäre eine wertvolle Unterstützung der internen Prüfung“, heißt es weiter. Wir antworten, dass wir bemerkt hätten, dass die „interne Prüfung“ nach unserer Anfrage auf einem „guten Weg“ sei.

In einem Statement sagt ein Unternehmenssprecher gegenüber netzpolitik.org, dass die Verkäufer auf dem Marketplace zur Einhaltung der rechtlichen Vorgaben verpflichtet seien. Bei konkreten Hinweisen auf mögliche Verstöße prüfe man den jeweiligen Sachverhalt unverzüglich.

Meldung über Tage nicht möglich

Doch während unserer Stichprobe zwischen dem 5. und 7. Oktober war auf Mediamarkt.de die Melde-Funktion für Produkte nicht funktionsfähig. Mehrfache Versuche mit unterschiedlichen Browsern, unterschiedlichen Meldegründen und zu verschiedenen Uhrzeiten scheiterten und gaben eine Fehlermeldung aus.

Ein Hinweis an Mediamarkt.de war also auf diesem Weg gar nicht möglich. Erst nach unserer Nachfrage bei der Pressestelle konnte man am 7. Oktober wieder Produkte über die Webseite melden. Die Pressestelle von Mediamarkt behauptet hingegen: „Eine generelle Fehlfunktion konnten wir nicht feststellen. Produktmeldungen konnten im betreffenden Zeitraum weiterhin eingereicht werden.“

Nach unserer Presseanfrage habe man umgehend eine Prüfung eingeleitet. „Die identifizierten entsprechenden Angebote sind nicht mehr auf unserem Marketplace verfügbar“, so der Unternehmenssprecher. Auf die Nachfrage wie viele Produkte Mediamarkt aus dem Sortiment genommen habe, will das Unternehmen sich nicht äußern. Dafür habe Mediamarkt „einen zusätzlichen Quality Check eingeführt“. Neu eingestellte Smartwatch-Produkte, die mit dem Begriff „Blutzucker“ beworben werden, würden jetzt einer gesonderten Prüfung unterzogen. netzpolitik.org kann dies nicht überprüfen.

Träge Meldefunktion bei eBay

Auch bei Ebay führte eine einfache Suche nach dem Begriff „Blutzucker Smartwatch“ zu mehr als fünf verschiedenen Modellen auf der Plattform, insgesamt ergab die Suche 37 Treffer. Testweise meldeten wir eine der Uhren, die „F21 Pro Blutzuckermessuhr“, am 2. Oktober. Bis zu unserer Presseanfrage verbleibt die Uhr auf dem Marktplatz, erst danach wird sie aus dem Sortiment genommen. Der Weg über die Pressestelle ist nicht der normale und vorgesehene Meldeweg. Die Plattformen sind nach dem Digital Services Act verpflichtet, funktionierende Meldesysteme zur Verfügung zu stellen.

Nach der Presseanfrage von netzpolitik.org verschwinden einige Uhren aus dem Sortiment, doch die Suche zeigt weiter 31 Ergebnisse an. Bei einer Stichprobe entdecken wir weiterhin Uhren, die mit einer Blutzuckermessung sowohl im Titel wie auch im Beschreibungstext werben.

Die Pressestelle von eBay sagt gegenüber netzpolitik.org, dass Smartwatches, die mit einer nicht-invasiven Blutzuckermessung werben, gegen eBays Grundsatz zu medizinischen Geräten und Produkten verstoßen würden. Sie seien bei eBay nicht erlaubt. Die von uns in der Presseanfrage beispielhaft genannten Produkte löscht eBay – auch heute sind noch Uhren, die eine Blutzuckermessung versprechen, auf dem Marktplatz zu finden.

Auf unsere Frage, wie schnell betrügerische Produkte nach einer gewöhnlichen Meldung aus dem Sortiment genommen werden, antwortet eBay nicht. Allgemeiner heißt es: „Sobald wir Kenntnis von solchen Verstößen erlangen, ergreifen wir gezielte Maßnahmen — bis hin zur Sperrung von Nutzerkonten.“

China-Shops mit Outdoor-Namen

Bei Amazon.de fanden wir eine Uhr, die in der Produktbeschreibung eine „kontinuierliche Blutzuckerüberwachung“ verspricht. Die testweise Meldung löst immerhin aus, dass wir innerhalb von 48 Stunden eine Nachricht erhalten, dass die Uhr „auf Grundlage der von Ihnen bereitgestellten Informationen“ nicht sofort geändert oder entfernt würde. „Wir werden die Sicherheitssignale für die gemeldeten Inhalte/Produkte weiterhin überwachen und behalten uns weitere Maßnahmen vor“, so die Standardnachricht weiter. Die Uhr wird bis heute auf Amazon.de angeboten.

Außer auf diesen großen bekannten Shopping-Plattformen werden die Blutzucker-Uhren auch auf chinesischen Online-Shops mit deutscher Domain angeboten. Diese Shops mit an Outdoor-Läden erinnernden Namen wie „Berg-Fit“ oder „Bergaktiv“ haben weder ein Impressum mit einer deutschen ladungsfähigen Anschrift noch einen Button zum Melden betrügerischer Produkte.

vzbv: Schärfere Prüfung nötig, bevor Produkte online gehen

Beim Verbraucherzentrale Bundesverband (vzbv) hat man seit Februar  den Umgang mit Meldungen von angeblichen Blutzuckeruhren untersucht. In seinen Recherchen konnte der vzbv als Trusted Flagger feststellen, dass einzelne Plattformen umgehend reagierten, andere verzögert oder sehr zurückhaltend. Trusted Flagger sind anerkannte Meldestellen für rechtswidrige Online-Inhalte in der EU.

Manche Plattformen reagierten nach einer Meldung des vzbv erst nach 21 Tagen. Auf einigen Plattformen tauchten die Produkte mit kerngleichen Verstößen wieder auf oder identische Produkte wurden wieder ins Sortiment genommen.

Der vzbv sieht die Plattformen in der Verantwortung, offensichtlich kerngleiche Verstöße mit vertretbarem Aufwand ebenfalls zu finden und zu entfernen. Dass identische Produkte (teils sogar beim selben Verkäufer) online bleiben, sieht der vzbv als Verstoß und reicht entsprechende Hinweise an den zuständigen Digital Services Coordinator weiter, heißt es in einem Factsheet zum Thema.

„Das europäische Produktsicherheitsrecht geht von der Prämisse aus, dass Hersteller die Kontrolle über Produkte und Produktionsprozesse haben und Rechtskonformität sicherstellen“, sagt Stefanie Grunert vom vzbv. „Am Beispiel der Smartwatches zeigt sich, dass dies nicht immer der Fall ist.“

Die Verbraucherschutzorganisation setzt auch auf den geplanten European Product Act, der im Dezember in Brüssel auf die Agenda kommt. Der müsse dafür sorgen, dass Produkte auch eindeutig identifizierbar und rückverfolgbar sind, so die Forderung der Verbraucherschützer.

Doch auch die Betreiber von Online-Marktplätzen seien laut Grunert in der Pflicht: „Sie müssen mehr Verantwortung tragen und schärfer prüfen, welche Angebote über ihre Plattform verkauft werden – am besten bevor diese online gehen.“

Grundlage Digital Services Act

Wie Online-Marktplätze zu funktionieren haben, regelt unter anderem der Digital Services Act (DSA). Dort ist zum Beispiel in Artikel 16 geregelt, dass Marktplätze ein leicht zugängliches, nutzerfreundliches elektronisches Verfahren bereitstellen müssen, mit dem rechtswidrige Inhalte gemeldet werden können. Der Online-Marktplatz muss Meldungen zeitnah, sorgfältig, objektiv und nicht willkürlich bearbeiten und über seine Entscheidung informieren.

Im DSA ist auch geregelt, dass sich die einzelnen Händler auf Online-Marktplätzen verpflichten müssen, nur Produkte anzubieten, die in der EU rechtskonform sind. Der Online-Marktplatz hingegen muss sich „nach besten Kräften“ bemühen, die Angaben auf Zuverlässigkeit und Vollständigkeit zu prüfen.

Verantwortungsdiffusion

Wir haben auch das für den Digital Services Act und die Online-Marktplätze zuständige Digitalministerium (BDMS) mit unseren Recherchen konfrontiert und nachgefragt, wie denn sichergestellt würde, dass gefährliche betrügerische Produkte wie die Blutzuckeruhren nicht über lange Zeiträume und durch permanentes Neueinstellen auf großen Plattformen verfügbar sind.

„Die dargestellte Problematik lässt sich nicht allein mit der Plattformregulierung, also dem Digital Services Act (DSA) lösen“, sagt eine Sprecherin des Ministeriums. „Wichtig ist hier ein Zusammenwirken der Regulierungen zum Verbraucherschutz, zur Produktsicherheit und zur Marküberwachung.“

„Die Marktüberwachung und die entsprechende Verfolgung von Händlern rechtswidriger Produkte wird innerhalb der Bundesregierung von unterschiedlichen Ressorts betreut und obliegt zum großen Teil Ländern und Kommunen.“

Hinsichtlich der Weiterentwicklung von Maßnahmen gegen den Verkauf betrügerischer Produkte verweist das Digitalministerium auf das Wirtschaftsministerium: Das sei federführend bei der „Task Force E‑Commerce“ der Bundesregierung.

Das klingt nicht so, also würde sich die Lage bei solchen und anderen rechtswidrigen Produkten schnell ändern.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Agenten einfach so zu vertrauen, ihnen Allmacht zu geben, ist nie eine gute Idee. Denn am Ende eskaliert entweder ein Computersystem oder echte Agenten spielen ein doppeltes Spiel. Und wir können nur ohnmächtig zuschauen.

Die heutige Degitalisierung muss sich mit dem Konzept von vermeintlicher Allmacht beschäftigen. Genauer gesagt geht es um die Hybris, die über kurz oder lang alle zu überfallen scheint, die von ihren ungehemmten Machtansprüchen doch etwas der Welt entrückt sind. Denn oft folgt dem Zustand vermeintlicher Allmacht allzu schnell eine Ohnmacht.

Dazu zwei aktuelle Beispiele aus ganz unterschiedlichen Teilgebieten, die mit Agenten und Digitalem zu tun haben.

„Wir müssen wegkommen von dem Misstrauen gegenüber Nachrichtendiensten“

Im August dieses Jahres gab August Hanning, ehemaliger Chef des deutschen Auslandsgeheimdienstes BND, dem Nachrichtensender Welt TV ein Fernsehinterview – das ich hier primär aus Beleggründen verlinke. Darin warb er für die Reform des Gesetzes der Nachrichtendienste. Er sprach von einem Fortschritt durch den Gesetzentwurf, gratulierte der Regierung zu diesem Schritt und hoffte auf eine Steigerung der Effizienz der Dienste. Dann stimmte er in den Kanon ein, dass es ein großes, aber unbegründetes Misstrauen gegenüber Geheimdiensten gäbe. Davon müssten wir wegkommen, forderte Hanning, es benötige auch Vertrauen.

In dieser Woche wurde August Hanning festgenommen, weil er unter anderem verdächtigt wird, Erkenntnisse des BND an einen Angehörigen eines anderen staatlichen Nachrichtendienstes weitergegeben zu haben.

Die aktuelle Bedrohungslage ist diffus und ganz unabhängig davon, wie positiv oder negativ man den Befugniserweiterungen der Dienste gegenübersteht, stellt sich doch die Frage, ob die Dienste sich derzeit selbst trauen können. Netzpolitik.org hat da als Medium eine konsequent eher kritische Haltung. Hier in dieser Situation ein höheres Misstrauen gegenüber Diensten zu fordern, wirkt wie eine Selbstverständlichkeit.

Dennoch gilt: Vertrauen ist nichts, was einfach so großzügig verteilt werden sollte. Vertrauen muss erarbeitet werden, sehr, sehr langsam und vor allem durch konsequentes richtiges Handeln. Dienste können also keine sicherheitstechnisch allumfassenden, fast schon allmächtigen Befugnisse einfordern, wenn sie doch das Handeln ranghöchster Beteiligter – in dem Kontext ist es egal, ob aktiv oder ehemalig – nicht einmal selbst überblicken können.

Hanning war nach aktuellen Erkenntnissen bei der Ausleitung von Informationen wohl nicht allein, sondern hatte mutmaßlich Unterstützung aus dem Inneren des BND. Eine genehmigte Nebentätigkeit seitens des BND sogar, wie der Spiegel [€] berichtet. Betroffen sind wohl knapp 2000 Dokumente, davon viele Verschlusssachen, über einen Zeitraum von mehreren Jahren. Das kommt, wie Constanze schon schrieb, sicherlich zur Unzeit.

Der Fall Hanning wird bestimmt noch einige bemerkenswerte Details offenlegen. Was er aber schon jetzt zeigt: Wie eng das Streben nach Allmacht mit einer darauffolgenden Ohnmacht zusammenfallen kann. Wie Forderungen nach mehr Ressourcen, weniger Kontrollen und mehr blindem Vertrauen schlicht und ergreifend durch eigenes menschliches Fehlverhalten und mangelnde Einhegung des selbigen kollidieren können. Macht schützt keinesfalls davor, korrumpiert zu werden. Sie benötigt kontinuierliche Legitimation und Kontrolle oder eben den Entzug von Macht bei Fehlverhalten.

Das Motiv für Hannings Fehlverhalten scheint nach bisherigem Stand ganz stumpf gewesen zu sein: Geld – genauer gesagt der Mangel an selbigem. Was uns von den realen Agenten zu virtuellen Agenten führt.

Doppelagenten

Am 24. September 2026 trat der australische Premierminister vor die Presse und erklärte, dass ein autonom agierender KI-Agent eine offizielle Seite der australischen Krankenversicherung (Medicare) angegriffen hat. Die Untersuchung läuft noch, aber die Situation beschrieb der Premier nachvollziehbarerweise als inakzeptabel.

Große amerikanische, aber auch weitere Anbieter von agentischen Systemen sogenannter künstlicher Intelligenz fallen in den vergangenen Wochen durch eine immer größere Menge an Zwischenfällen auf. Bereits im Juli brach ein OpenAI-System aus einer Sandbox aus, um dann Hugging Face, eine Plattform für KI‑Modelle, anzugreifen. Systeme von Anthropic stellen Visa-Anträge und geben falsche Hinweise an die Polizei – Nachrichten von dieser Woche. Auch Googles Systeme starteten ungeplante Angriffe, wie im September bekannt wurde. Inzwischen gibt es mit dem Felony-Bench sogar eine Rangliste mit den meisten illegalen Handlungen von KI‑Systemen. Die EU‑Kommission fordert aktuell diverse Hersteller von KI-Systemen zu Auskünften auf, nicht nur amerikanische Hersteller, sondern auch chinesische.

Bereits zuvor gab es immer wieder interessante Vorkommnisse mit KI-unterstützten Systemen, denen allzu viel Macht eingeräumt wurde. Da gab es etwa Löschungen von Produktionsdatenbanken Mitte des Jahres bei PocketOS, einer Software für Autovermietungen. Einen ähnlichen Vorfall gab es bereits 2025. Wer jetzt denkt, dass solche Vorfälle vielleicht zu einer gewissen Vorsicht bei Nutzenden geführt haben können: weit gefehlt. Seit Anfang 2026 trauten viele User*innen – ganz nach dem Motto „Man lebt nur einmal“ – ihren persönlichen KI-Agenten wie OpenClaw bereitwillig alles zu und an. Worauf etwa der KI-Assistent im Sinne seines Users in Australien ein Fitnessstudio hackte.

Zu den eher unterhaltsameren Vorfällen gehörte dazu ein weiterer von vielen KI-Vorfällen aus dem Jahr 2023, als ein User einen Chatbot überzeugen davon konnte, ihm für einen Dollar ein neues Auto zu verkaufen.

In all diesen Fällen führte eine all zu große Übertragung von Macht an KI-Systeme ziemlich schnell zu einer kollektiven Ohnmacht. War nicht so gedacht, konnte niemand wissen, da ist der Hersteller schuld.

Auch hier gilt: Macht an KI-Systeme zu übertragen, schützt keinesfalls davor, korrumpiert zu werden. Sie benötigt kontinuierliche Legitimation und Kontrolle oder eben den Entzug von Macht bei Fehlverhalten.

Scharfgemachte Hunde

Die aktuellen Nachrichten erwecken den Eindruck, als ob wir den Auswirkungen jener Allmacht, die wir KI‑Anbietern gegeben haben, nur noch ohnmächtig zusehen können.

Dem ist aber nicht so. Angstszenarien, die etwa von Dario Amodei ersonnen werden, dass KI-Agenten in ein paar Monaten das halbe Internet übernehmen könnten, sind am Ende nur dazu da, den eigenen Business Case aufrechtzuerhalten. Oder um es mit Yann LeCun, einem der Gründerväter aktueller KI‑Systeme, zu sagen: Amodei hat nicht mal ein grundlegendes Verständnis von Cybersicherheit.

Ebenso kann es aber auch sein, dass es sehr viele schlecht gesicherte Systeme gibt, die einfach übernommen werden können. Dazu gehören eben die Sandboxes der KI-Hersteller, die nicht durch besonders hohe Sicherheitsmaßnahmen auffallen. Monate später werden dort etwa Protokolle analysiert, um Fehlverhalten festzustellen. Damit sind die Cybersicherheitsmaßnahmen großer KI-Hersteller ähnlich gut oder schlecht wie die mancher Senatsverwaltungen in Berlin. Tröstlich für Berlin, schlecht fürs Business von KI-Anbietern.

Dennoch werden immer mächtigere Systeme trainiert. Oder, um es mit Anne Roth zu sagen: „Die Situation erinnert ein bisschen an Menschen, die ihre Kampfhunde bewusst besonders aggressiv züchten. Und sie dann Sonntagnachmittag im Park von der Leine lassen, um auszuprobieren, was passiert.“

Die Warnzeichen für ein Fehlverhalten von KI-Systemen gab es aber schon lange, nicht erst seit diesem Jahr. 2020 gab bereits ein KI-Modell mit dem Namen GPT‑3 einer damals noch kleinen Firma namens OpenAI Usern Empfehlungen zum Suizid. Schädliche und diskriminierende Verhaltensweisen waren auch damals zweifelsfrei belegbar, auch wenn Chatbots damals nicht wild im Internet herumgeschickt wurden.

Zwei Welten, ein Muster

In den Beispielen von Allmacht und Ohnmacht, die alle Auswirkungen auf den digitalen Raum haben, gibt oder gab es also mehr als genügend Warnzeichen. Bei KI-Firmen und deren von Chatbots abgeleiteten Agenten häufen sich die Meldungen von Fehlverhalten.

Bei der Diskussion um die Geheimdienstreform und deren weitere geforderte Befugnisse zeigen sich die Warnzeichen vor allzu großer Allmacht gerade jetzt. Die Befugniserweiterung wird zurecht intensiv diskutiert. Diverse Berufsgruppen, etwa die Ärzteschaft, sind besorgt und warnen. Denn letztlich betrifft eine Geheimdienstreform uns alle, wie Anna schreibt.

Die Causa Hanning ist gerade in dieser Zeit ein wichtiges Moment der Reflexion. In dieser Situation könnten mehrere Aspekte sogar gleichzeitig wahr sein: Es gibt eine Bedrohung von außen, die mehr Befugnisse rechtfertigen könnte, wie einen möglichen gewaltsamen Konflikt mit Russland.

Gleichzeitig benötigt weitere Macht kontinuierliche Legitimation und Kontrolle oder auch den Entzug von Macht bei Fehlverhalten. Weil die Causa Hanning und der Umgang mit KI-Systemen eben zeigt, dass die bisherige Macht nicht wirklich sinnvoll kontrolliert wird.

Agenten einfach so zu vertrauen, ihnen Allmacht zu geben, ist also nie eine gute Idee. Denn am Ende könnte man nur ohnmächtig zuschauen. Entweder eskaliert ein Computersystem oder echte Agenten spielen ein doppeltes Spiel.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die 41. Kalenderwoche geht zu Ende. Wir haben 15 neue Texte mit insgesamt 137.103 Zeichen veröffentlicht. Willkommen zum netzpolitischen Wochenrückblick.

Liebe Leser:rinnen,

ich habe mir am Montag die dreistündige Anhörung der Geheimdienst-Chefs im Bundestag angehört. Es war eine handzahme Befragung, auch weil im zuständigen Parlamentarischen Kontrollgremium fast nur Vertreter:innen der Regierungsparteien sitzen.

Keine 24 Stunden später schlug im politischen Berlin „eine Bombe“ ein, wie meine Kollegin Constanze schreibt. Der ehemalige BND-Chef August Hanning war verhaftet worden. Die Vorwürfe wiegen schwer: Spionage und Landesverrat.

In den vergangenen Tagen wurden dann nach und nach weitere Details zu den dubiosen Lobby- und Beratertätigkeiten des inzwischen 80-Jährigen bekannt. Hanning war demnach gleich für mehrere Beraterfirmen tätig. Eine davon beschäftigte auch den ehemaligen Verfassungsschutzpräsidenten Hans-Georg Maaßen. Der Inlandsgeheimdienst führt den früheren CDU-Politiker heute als „Beobachtungsobjekt“ im Bereich Rechtsextremismus.

Die Aufklärung in der Causa steht erst am Anfang. Hannings Anwalt bestreitet die Vorwürfe, sein Mandant werde zu Unrecht verfolgt. Doch schon jetzt ist klar, dass hier auf gleich mehreren Ebenen was faul ist.

• Wieso darf Hanning sein Wissen nach seiner Dienstzeit auf so vielfältige Weise versilbern? Hier braucht es strengere Regeln. LobbyControl etwa fordert eine lebenslange Karenzzeit für Beamt:innen, die in sicherheitsrelevanten Positionen gearbeitet haben. Darüber müssen wir reden.
• Über Jahre soll Hannings Adlatus Manfred D. die „Kronjuwelen“ des Diensts aus dem angeblich hochsicheren BND herausgegeben haben. Wie war das möglich? Zumal der BND offenbar wusste, dass Hannings früherer Büroleiter für ihn arbeitete, er hat die Nebentätigkeit offiziell genehmigt.
• Der amtierende BND-Chef Martin Jäger sprach in der Anhörung am Montag von Vertrauen als „Kapital“. Partnerdienste müssten sich darauf verlassen können, dass ihre Informationen „sorgsam behandelt werden“, so Jäger. Die Causa Hannings ist jedoch bei weitem nicht der einzige BND-Skandal in den vergangenen Jahren. In Teilen geht es auch dabei um Landesverrat, ein seit Dezember 2023 laufender Prozess dauert an. Wieso hat der BND den eigenen Laden nicht im Griff?
• Von wem hat der bestens vernetzte Hanning möglicherweise noch vertrauliche Informationen erhalten? Hatte er weitere Quellen in anderen Sicherheitsbehörden?

Fragen über Fragen. Fragen, die eigentlich ein Parlamentarisches Kontrollgremium stellen sollte. Oder ein parlamentarischer Untersuchungsausschuss.

Fest steht: Hätte die Polizei Hanning nur wenige Tage früher verhaftet, wäre die öffentliche Anhörung vor dem PKGr wohl anders verlaufen. Kritische Nachfragen zur geplanten Reform der Nachrichtendienste wären dann unausweichlich gewesen. Insbesondere zur Kontrolle der Dienste, die die Bundesregierung deutlich schwächen will.

Ich bin gespannt, was die kommende Woche bringt: Gleich am Montag spricht der Innenausschuss über die Reform der Nachrichtendienste. Hans-Georg Maaßen ist auch eingeladen.

Stay tuned – und habt ein gutes Wochenende!

Daniel

---

Parlamentarisches Kontrollgremium: Operieren in der Grauzone

Die Präsident:innen der Geheimdienste des Bundes verlangten heute im Bundestag deutlich mehr Befugnisse, um „auf Augenhöhe“ mit anderen Diensten zu arbeiten. Als Gründe führen sie eine neue Bedrohungslage und technologische Entwicklungen an. Die Folgen für die Grundrechte gerieten zur Randnotiz. Von Daniel Leisegang –
Artikel lesen

Kirchen, Moscheen, Synagogen: Datenhändler gefährden Gläubige in Deutschland

Religiöse Menschen lassen sich mit frei verkäuflichen Handy-Standortdaten der Werbe-Industrie ausspionieren. Mehr als eine Million Standortdaten an Glaubensorten fand netzpolitik.org in kostenlosen Vorschau-Daten. Fachleute warnen vor einer Gefahr für religiös motivierte Gewalt. Von Ingo Dachwitz, Sebastian Meineck –
Artikel lesen

Neuer Bundesdatenschutzbeauftragter: „Weder besonders hart, noch besonders lasch, sondern ausgewogen“

Seit wenigen Tagen ist Moritz Hennemann im Amt, heute hat er sich erstmalig zu seinen Prioritäten geäußert. Dabei fand er Lob für Reformvorhaben beim Datenschutz, kritisierte jedoch Pläne der Bundesregierung für den Ausbau von Geheimdiensten und die Aushöhlung der Informationsfreiheit. Von Ingo Dachwitz –
Artikel lesen

Einigung absehbar: EU-Staaten entscheiden über Cookie-Banner, KI-Training und Co.

Die Verhandlungen rund um den Daten-Omnibus im Rat sind in einer heißen Phase. Derzeit sieht es so aus, als würde die von NGOs kritisierte „Pauschalerlaubnis“ für KI-Training beschlossen. Während die Mitgliedstaaten kurz vor einer Einigung stehen, liegen die Lager im Europäischen Parlament noch weit auseinander. Von Anna Ströbele Romero –
Artikel lesen

Frankreich: Massive Kritik an Polizeigewalt gegen Schüler-Proteste

Die französische Regierung bekämpft die landesweiten Schülerproteste mit Repression und Polizeigewalt. Polizeiexperten und Menschenrechtsorganisationen kritisieren Massenverhaftungen und Übergriffe. Hunderttausende schreckt die Gewalt nicht ab, sie demonstrieren im ganzen Land weiter. Von Markus Reuter –
Artikel lesen

Verwaltungsdigitalisierung: Vieles unklar bei der Deutschland-App

Mit der Deutschland-App will Digitalminister Karsten Wildberger die öffentliche Verwaltung zügig digitalisieren. Umsetzen soll das Projekt die Telekom. Doch die Bundesregierung hat keinen Überblick darüber, was der Konzern genau macht, wie die Antwort der Bundesregierung auf eine Kleine Anfrage zeigt. Von Esther Menhard –
Artikel lesen

Digitale Brieftasche d‑you: Fachleute warnen vor Sicherheitsrisiken und Vertrauensverlust

Wenige Monate vor ihrem Start fehlten der digitalen Brieftasche entscheidende Funktionen, kritisierten Fachleute bei einer Anhörung im Bundestag. Verbesserte Sicherheit sei nötig, um Vertrauen für d‑you zu schaffen. Von Daniel Leisegang –
Artikel lesen

Digitale Souveränität: Nein, Europa ist keine Kolonie von Big Tech

Wer Europa als Opfer eines digitalen Kolonialismus inszeniert, negiert historisches Unrecht und übersieht den Ausweg aus Europas selbstverschuldeter Unmündigkeit. In dieser Debatte vergaloppiert sich nicht nur Kulturstaatsminister Wolfram Weimer. Ein Widerspruch. Von Gastbeitrag, Sven Hilbig, Ingo Dachwitz –
Artikel lesen

Nach der Landtagswahl: Freiwillige wollen öffentliche Daten in Sachsen-Anhalt sichern

In Sachsen-Anhalt steht die Machtübernahme durch eine als rechtsextrem eingestufte Partei bevor. Das Projekt „Safeguarding Research and Culture“ will nun vorsorglich Daten sichern und ruft zur Mithilfe auf. Vorbild sind ähnliche Aktionen zur Datenrettung aus den USA. Von Carla Rochel –
Artikel lesen

Geheimdienstreform: BND-Skandal zur Unzeit

In Kürze soll der gesetzliche Umbau der Geheimdienste durch den Bundestag gebracht werden. Eine bessere Kontrolle der Geheimdienste steht der massiven Ausweitung der Befugnisse allerdings nicht gegenüber. Nicht erst seit dem Skandal um den Ex-BND-Chef Hanning wäre dies jedoch dringend nötig. Von Constanze –
Artikel lesen

EU-Haushalt: Digitalsteuer über drei Ecken

Große Unternehmen sollen mehr Steuern zahlen und damit zum EU-Budget beitragen, hat die EU-Kommission im Vorjahr angeregt. Einem Medienbericht zufolge will sie ihren Vorschlag nun anpassen: Herauskommen könnte eine Digitalsteuer, die so nicht heißen darf. Von Tomas Rudl –
Artikel lesen

Gesetz gegen digitale Gewalt: Fake-Accounts und Vergewaltigungsvideos sollen strafbar werden

Bundesjustizministerin Hubig hat den Entwurf für ein Gesetz gegen digitale Gewalt erneut nachgeschärft. Hinzugekommen sind Straftatbestände für Fake-Accounts und das Abrufen von Vergewaltigungsvideos sowie der Anspruch, strafbare Inhalte löschen zu lassen. Doch es gibt weiterhin Kritik. Von Chris Köver –
Artikel lesen

Bundesrechnungshof: Digitalminister macht IT-Sicherheit per Vogelstimmen-App

Angriffe auf die IT der öffentlichen Verwaltung häufen sich. Doch statt gezielt in Maßnahmen zu investieren, die IT-Sicherheit stärken, investiert die Bundesregierung in Robotikforschung und eine Vogelstimmen-App. Das sagt ein Bericht des Bundesrechnungshofs, den wir veröffentlichen. Von Esther Menhard –
Artikel lesen

„Gefährlicher Kontrollzirkus“: So breit ist die Kritik an Alterskontrollen im EU Kids Act

Im Namen des Jugendschutzes plant die EU-Kommission flächendeckende Alterskontrollen im Netz. Zahlreiche Organisationen warnen eindringlich vor den Gefahren: Vom Kinderschutzbund über Elternverbände bis hin zum Chaos Computer Club. Die Übersicht. Von Sebastian Meineck –
Artikel lesen

#312 Off The Record: Wenn’s mal wieder länger dauert …

Auch bei uns läuft nicht immer alles rund. Denn manchmal tun wir uns mit Recherchen auch richtig schwer: Wir hadern mit Druck von außen, mit der Komplexität von Themen oder mit unseren eigenen Ansprüchen. Darüber plaudern wir in dieser Folge aus dem Nähkästchen. Von Ingo Dachwitz –
Artikel lesen

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Im Namen des Jugendschutzes plant die EU-Kommission flächendeckende Alterskontrollen im Netz. Zahlreiche Organisationen warnen eindringlich vor den Gefahren: Vom Kinderschutzbund über Elternverbände bis hin zum Chaos Computer Club. Die Übersicht.

Der EU-Kommission schwebt ein weitgehend kindersicheres Internet vor. Soziale Medien und Videoplattformen, Chatbots, Apps und Spiele sollen künftig nur in einer kindgerechten Version offen zugänglich sein. Selbst kleinste betroffene Anbieter müssten Nutzer*innen in der Folge wie Minderjährige behandeln – bis sie das Gegenteil beweisen.

Als riskant für Minderjährige kann ein Angebot bereits gelten, wenn man dort etwa von Fremden direkt kontaktiert werden kann. Die Schwellen können also niedrig sein. Das und mehr geht aus dem EU Kids Act hervor, den die Kommission Mitte September vorgelegt hat. Als Nächstes müssen EU-Parlament und Ministerrat darüber verhandeln.

Eine zentrale Säule des Vorhabens sind strenge Alterskontrollen, die zum Beispiel auf Ausweisdaten basieren („age verification“) oder auf alternativen Methoden wie biometrischen Gesichtsscans („age estimation“). Der Knackpunkt: Diese Kontrollen würden alle betreffen, auch Erwachsene. Keine Rede ist mehr von milderen Mitteln wie Jugendschutz-Software, die Erziehungsberechtigte nach eigenem Ermessen gezielt auf den Geräten ihrer Kinder installieren.

Für die Kontrollen soll in der EU eine umfassende Infrastruktur entstehen. Dabei geht es nicht nur um Altersnachweise für alle. Es geht auch um Sorgeberechtigungs-Nachweise. So einen Nachweis bräuchten Eltern nämlich, wenn sie etwa für ihr Kind ein eingeschränktes TikTok-Konto einrichten wollen. Solche eingeschränkten Social-Media-Accounts sind für junge Menschen von 13 bis 15 Jahren vorgesehen.

Die Pläne der EU-Kommission stoßen teils auf heftigen Widerstand: Bei Schüler*innen, Eltern und Lehrer*innen, bei Fachleuten für EU-Recht, Datenschutz und IT-Sicherheit. Manche Organisationen haben ihre Positionen selbst veröffentlicht, andere haben sich auf Anfrage von netzpolitik.org geäußert.

Hier kommt, ohne Anspruch auf Vollständigkeit, eine Übersicht wichtiger Stimmen und Argumente rund um die geplanten Alterskontrollen.

• Kinderschutzbund: „Entscheidende technische Fragen nicht gelöst“
• Kinderhilfswerk: Ausschluss „verkennt Rechte und Bedarfe von Kindern“
• Deutscher Bundesjugendring: Mildere Mittel nicht berücksichtigt
• Bundesschülerkonferenz: Schüler*innen und Jugendliche einbeziehen
• Save the Children: „Weltweit Maßstäbe setzen“
• Deutscher Lehrerverband: Teilhabe nicht auf Geburtstag verschieben
• Gesellschaft für Medienpädagogik und Kommunikationskultur: Eltern werden „von Begleiter*innen zu Kontrollinstanzen“
• Bundeselternnetzwerk: Sorge vor Zweckentfremdung der Kontrollen
• Arbeiterwohlfahrt (AWO): Warnung vor „Kontrollinfrastruktur für digitale Teilhabe“
• Landeselternkonferenz NRW: „Unverhältnismäßige“ Nachweise
• Bayerischer Elternverband: Kontrollen betreffen „faktisch alle“
• Stiftung Datenschutz: Kinderschutz über Einstellungen am Gerät
• Kommission für Jugendmedienschutz: Anbieter sollen Alter „verlässlich“ berücksichtigen
• Hans-Bredow-Institut: Warnung vor „Missbrauchsrisiko“
• Chaos Computer Club: „Gefahr für anonyme Internetnutzung“
• Superrr: Keine Erleichterung für Eltern
• European Digital Rights (EDRi): EU-Kommission will „Zwei-Klassen-Internet“ schaffen
• Stop Killing The Internet: „Angriff auf das freie Internet“
• Electronic Frontier Foundation: Kids Act wird „Privatsphäre aller beeinträchtigen“

Kinderschutzbund: „Entscheidende technische Fragen nicht gelöst“

👥 Wer ist das? Der 1953 gegründete Kinderschutzbund setzt sich „für die Rechte aller Kinder und Jugendlichen in Deutschland“ ein.

🧭 Was ist die Position? „Wir haben die Sorge, dass der EU Kids Act mehr verspricht, als er halten kann“, schreibt Elena Frense, Referentin für Medien und Digitales beim Kinderschutzbund, auf Anfrage von netzpolitik.org. Zwar seien die Anforderungen an sicheres Design der Plattformen ein wichtiger Grundstein. „Die geplanten Zugangsbeschränkungen für Jugendliche sehen wir allerdings kritisch.“ Denn die entscheidenden technischen Fragen seien bislang nicht gelöst.

Es gebe „derzeit kein Verfahren, das alle von der EU genannten und berechtigten Anforderungen an diese Altersfeststellungssysteme erfüllt, das heißt zugleich zuverlässig, datensparsam, sicher und diskriminierungsfrei funktioniert“, so Frense.

Weiter kritisiert sie den Plan, dass nur Erziehungsberechtigte eingeschränkte Accounts für ihre unter 15-jährigen Kinder einrichten können sollen. „Gerade für Jugendliche, die zu Hause wenig Unterstützung erfahren, in belasteten Familien leben oder online wichtige soziale Kontakte und Beratung finden, können digitale Räume besonders wichtig sein. Ihr Zugang darf nicht allein von der Zustimmung und den Möglichkeiten ihrer Eltern abhängen.“

---

Kinderhilfswerk: Ausschluss „verkennt Rechte und Bedarfe von Kindern“

👥 Wer ist das? Das Deutsche Kinderhilfswerk ist ein 1972 gegründeter Verein, der sich für eine kinderfreundliche Gesellschaft engagiert.

🧭 Was ist die Position? „Richtig eingesetzt“ könnten Alterskontrollen dazu beitragen, dass Familien und Kinder sichere Angebote wahrnehmen könnten, schreibt Geschäftsführer Kai Hanke auf Anfrage. Aber: „Ein Politikansatz, der Altersfeststellung lediglich als Ausschlussmechanismus ermöglicht und keine altersgerechten Alternativangebote für junge Menschen vorsieht, verkennt die Rechte und Bedarfe von Kindern.“

Jungen Menschen müssten „altersgerechte digitale Räume zur Verfügung stehen“, betont Hanke. Es brauche eine „systematische wissenschaftliche Evaluation“, ob die im Kids Act geplanten Ausnahmen ausreichen. Diese Ausnahmen sehen etwa vor, dass junge Menschen weiterhin ohne Altersschranke Zugang zu Enzyklopädien oder Bildungsangeboten haben können; hinzu kommen die von Eltern kontrollierten Accounts.

---

Deutscher Bundesjugendring: Mildere Mittel nicht berücksichtigt

👥 Wer ist das? Der Deutsche Bundesjugendring vertritt deutsche Jugendverbände und Landesjugendringe.

🧭 Was ist die Position? „Schutz darf nicht mit Ausschluss verwechselt werden“, kritisiert der Bundesjugendring in einem öffentlichen Statement. Der Kids Act stelle den Ausschluss junger Menschen in den Fokus und berücksichtige „mildere, risikobasierte Mittel“ nicht.

Weiter kritisiert der Verein, dass der Kids Act nur junge Menschen schützen soll, etwa vor aufmerksamkeitsbindenden Geschäftsmodellen. „Der Anspruch eines nutzer*innenfreundlichen Designs von digitalen Diensten muss über den Schutz von Minderjährigen hinausgehen.“

---

Bundesschülerkonferenz: Schüler*innen und Jugendliche einbeziehen

👥 Wer ist das? Die Bundesschülerkonferenz engagiert sich für Bildungspolitik und Mitbestimmung von Schüler*innen in Deutschland.

🧭 Was ist die Position? „Kinder und Jugendliche müssen im Internet besser geschützt werden“, schreibt Pressesprecherin Isabelle Seltenreich auf Anfrage. Zugleich sehe die Bundesschülerkonferenz „pauschale Verbote von Smartphones oder Social Media kritisch“. Denn „nur etwas zu verbieten, bedeutet nicht automatisch, dass Jugendliche auch lernen, sicher damit umzugehen.“

Weiter pocht Seltenreich auf mehr Beteiligung junger Menschen. „Wir wünschen uns einen dauerhaften Austausch mit Schüler*innen und Jugendlichen, bevor solche Maßnahmen beschlossen werden.“

---

Save the Children: „Weltweit Maßstäbe setzen“

👥 Wer ist das? Save The Children wurde 1919 gegründet und bezeichnet sich als weltgrößte unabhängige Organisation für Kinderrechte.

🧭 Was ist die Position? Die Organisation spricht sich für Altersschranken aus, „die durch eine zuverlässige, datenschutzkonforme Altersüberprüfung gestützt werden“ und stellt sich damit hinter die Pläne des Kids Act. Die EU habe „die einmalige Gelegenheit, weltweit Maßstäbe für die Verankerung der Kinderrechte in der digitalen Welt zu setzen“, heißt es in dem Statement auf Englisch.

Ende vergangenen Jahres hatte sich die Organisation in einem Positionspapier noch kritischer geäußert. Dort hieß es, aus dem Englischen übersetzt: „Wir sind besorgt, dass Gesetze, die sich ausschließlich auf altersbezogene Beschränkungen stützen, unbeabsichtigte Schäden und ein falsches Sicherheitsgefühl hervorrufen sowie die Rechte und Chancen von Kindern einschränken könnten.“

---

Deutscher Lehrerverband: Teilhabe nicht auf Geburtstag verschieben

👥 Wer ist das? Der Deutsche Lehrerverband ist eine der größten Organisationen von Lehrer*innen in Deutschland.

🧭 Was ist die Position? „Medienkompetenz entsteht nicht durch Aussperren, sondern durch Begleitung, Übung und kritische Auseinandersetzung“, schreibt Stefan Düll, Präsident des Deutschen Lehrerverbands, auf Anfrage von netzpolitik.org.

Reine Zugangsbeschränkungen sieht er kritisch. „Digitale Teilhabe gehört heute zur Lebensrealität junger Menschen und kann nicht einfach auf einen bestimmten Geburtstag verschoben werden.“ Stattdessen empfiehlt Düll Pflichten für Plattformanbieter, die Nutzer*innen „aller Altersgruppen“ zugutekämen.

---

GMK: Eltern werden „von Begleiter*innen zu Kontrollinstanzen“

👥 Wer ist das? Die Gesellschaft für Medienpädagogik und Kommunikationskultur (GMK) engagiert sich seit 1984 für Medienpädagogik und Medienkompetenz.

🧭 Was ist die Position? „Der EU KIDS Act setzt bei den Plattformen richtig an, verliert sich aber in Alterskontrollen und Ausschlussverfahren“, kommentiert der Verein auf Anfrage. „Die GMK lehnt eine flächendeckende, verpflichtende Altersfeststellung als allgemeine Zugangsvoraussetzung für soziale Medien ab.“

Bei Angeboten „mit erheblichem Gefährdungspotenzial“ könnten Alterskontrollen zwar ein Baustein sein. „Als Eingangstor zu digitaler Kommunikation verfehlen sie jedoch ihr Ziel und schaffen neue Probleme. Ihr Alter nachweisen müssen dann nicht nur Kinder, sondern alle Nutzer*innen.“

Weiter kritisiert die GMK, dass 13- bis 15-Jährige nur von Erziehungsberechtigten verwaltete Social-Media-Accounts bekommen sollen. „Es macht Eltern von Begleiter*innen zu Kontrollinstanzen. Und es trifft gerade jene Kinder, die zu Hause wenig Unterstützung erfahren und Kontakte nach außen am dringendsten brauchen. Für sie kann eine elterliche Kontaktfreigabe bedeuten, dass genau diese Kontakte nicht zustande kommen.“

---

Bundeselternnetzwerk: Sorge vor Zweckentfremdung der Kontrollen

👥 Wer ist das? Der Verein „Bundeselternnetzwerk der Migrantenorganisationen für Bildung & Teilhabe“ (bbt) versteht sich als Stimme migrantischer Eltern und Familien in Deutschland.

🧭 Was ist die Position? „Die im EU Kids Act vorgesehenen weitreichenden Alterskontrollen sehen wir kritisch“, schreibt bbt-Geschäftsführerin Anja Treichel auf Anfrage. „Wer keinen geeigneten Ausweis, kein passendes Gerät oder keine Unterstützung beim Nachweis hat, darf dadurch nicht ausgeschlossen werden.“

Gerade bei Familien mit Erfahrungen staatlicher Überwachung könnten Ausweis- oder Gesichtskontrollen „erhebliche Vertrauensbedenken auslösen“, wie Treichel erklärt. „Eine Infrastruktur zur Altersprüfung darf nicht für Identifizierung und Überwachung zweckentfremdet werden.“

Für viele Kinder aus migrantischen Familien seien digitale Räume auch soziale Infrastruktur. „Hier pflegen sie grenzüberschreitende Beziehungen, ihre Sprachen und Zugehörigkeit“, schreibt Treichel. Kritisch sieht sie die geplante Rolle von Eltern, um etwa Zugänge freizuschalten. Das setze „Zeit, Sprachkenntnisse und technische Möglichkeiten“ voraus. „Digitale Teilhabe darf nicht von den Ressourcen des Elternhauses abhängen.“

---

AWO: Warnung vor „Kontrollinfrastruktur für digitale Teilhabe“

👥 Wer ist das? Die Arbeiterwohlfahrt (AWO) engagiert sich für eine sozial gerechtere Gesellschaft.

🧭 Was ist die Position? Altersnachweise müssen „datensparsam und verhältnismäßig ausgestaltet sein und dürfen nicht zu einer allgemeinen Kontrollinfrastruktur für digitale Teilhabe führen“, schreibt eine Pressesprecherin der AWO auf Anfrage. Junge Menschen hätten ein Recht auf Information, Kommunikation und digitale Teilhabe. „Dieses Recht darf nicht unverhältnismäßig eingeschränkt werden.“

Schutz junger Menschen dürfe „nicht allein über Altersgrenzen und Zugangskontrollen organisiert werden“, heißt es weiter. Zum Beispiel müssten Anbieter suchtfördernde Designs begrenzen, was der Kids Act bereits verfolge. Es brauche zudem mehr Medienbildung und Medienkompetenz in Schulen, der Jugendhilfe und Familien. „Dies setzt eine auskömmliche Finanzierung der Angebote der Jugendhilfe voraus.“

---

LEK NRW: „Unverhältnismäßige“ Nachweise

👥 Wer ist das? Die Landeselternkonferenz Nordrhein-Westfalen (LEK NRW) vertritt die Eltern aus Deutschlands bevölkerungsreichstem Bundesland.

🧭 Was ist die Position? Alterskontrollen können ein „Baustein“ sein, „dürfen aber nicht zur Voraussetzung für immer größere Teile des Internets werden“, mahnt Hinrich Pich von der Landeselternkonferenz NRW auf Anfrage von netzpolitik.org. „Der Schutz von Kindern darf nicht mit unverhältnismäßigen Alters- oder Identitätsnachweisen erkauft werden, die die Privatsphäre aller Nutzerinnen und Nutzer beeinträchtigen.“

Zwar könne ein Social-Media-Verbot unterhalb einer festen Altersgrenze „ein wichtiges Signal für einen stärkeren Jugendschutz sein“, so Pich. Ein pauschales Verbot sei jedoch nur sinnvoll, wenn es Teil eines umfassenden Schutzkonzepts sei. Dazu gehöre unter anderem ein verbindliches Schulfach „Kompetenz im Netz“.

Die von Eltern kontrollierten Social-Media-Konten für unter 15-Jährige würden zudem zusätzliche Ungerechtigkeiten schaffen, warnt Pich. „Kinder und Jugendliche würden danach unterschieden, ob ihre Eltern bereit und technisch in der Lage sind, ein solches Konto einzurichten.“

---

BEV: Kontrollen betreffen „faktisch alle“

👥 Wer ist das? Der Bayerische Elternverband (BEV) vertritt die Eltern aus Bayern, dem nach Einwohner*innen zweitgrößten deutschen Bundesland.

🧭 Was ist die Position? Der Verband sieht die im Kids Act geplanten Alterskontrollen kritisch. „Sie betreffen faktisch alle Nutzerinnen und Nutzer, erzeugen zusätzliche sensible Daten bei Plattformen und Behörden und können – wie internationale Erfahrungen zeigen – umgangen werden“, warnt Vorstandsmitglied Gundolf Kiefer.

Die technische Umsetzung sei zudem noch unklar. Alterskontrollen „mit Biometrie und/oder einer Ausweis-App sind aus Datenschutzsicht problematisch“, gibt Kiefer zu bedenken. „Wenn überhaupt“ dürften Alterskontrollen „nur gezielt für
Plattformen mit schädlichen Eigenschaften“ gelten. Als Beispiel nennt er verdeckte Profilbildung oder suchtfördernde Algorithmen.

Als echtes Problem bezeichnet Kiefer die Geschäftsmodelle der Plattformen. Das werde nicht gelöst. „Statt Verboten braucht es gezielte Regulierung schädlicher Plattformen und vor allem Stärkung von Medienbildung und Befähigung.“ Schulen sollten zu Orten echter Alternativen werden, „etwa mit offenen, dezentralen Plattformen wie Mastodon oder Matrix/Element.“

---

Stiftung Datenschutz: Kinderschutz über Einstellungen am Gerät

👥 Wer ist das? Die im Jahr 2013 von der Bundesregierung gegründete Stiftung Datenschutz versteht sich als unabhängige Einrichtung. Sie will Datenschutz an den Schnittstellen von unter anderem Politik, Wirtschaft und Gesellschaft fördern.

🧭 Was ist die Position? „Ein grundrechtssensibler Schutz von Kindern wird am besten über Einstellungen auf den Geräten selbst und nicht über Nachweise erreicht“, schreibt Interimsvorständin und wissenschaftliche Leiterin Kirsten Bock auf Mastodon. Damit lehnt sie die geplanten Alterskontrollen ab.

Jugendschutz auf Ebene von Geräte-Einstellungen „schafft weniger Bürokratie, respektiert den Erziehungsauftrag der Eltern und schützt die Gesellschaft vor Zugangsbeschränkungen“, schreibt sie weiter.

---

KJM: Anbieter sollen Alter „verlässlich“ berücksichtigen

👥 Wer ist das? Die Landesmedienanstalten sind öffentlich-rechtliche Aufsichtsbehörden für unter anderem „Telemedien“, also zahlreiche Online-Angebote. Ihr länderübergreifendes Organ ist die Kommission für Jugendmedienschutz (KJM).

🧭 Was ist die Position? Die deutsche Medienaufsicht befürwortet strenge Alterskontrollen. „Altersdifferenzierte Zugänge können nur funktionieren, wenn Anbieter das Alter ihrer Nutzerinnen und Nutzer verlässlich berücksichtigen und wirksame Schutzmaßnahmen umsetzen“, schreibt KJM-Vorsitzende Eva-Maria Sommer. „Dazu gehören insbesondere geeignete Altersverifikations- und Alterseinschätzungssysteme.“

Bei der Umsetzung solle die EU „bewährte Aufsichtssysteme“ einbeziehen, heißt es im Statement der Medienanstalten weiter. Damit meinen die Aufsichtsbehörden offenbar sich selbst: Sie versuchen seit Jahren, strenge Alterskontrollen bei Pornoseiten durchzusetzen.

---

HBI: Warnung vor „Missbrauchsrisiko“

👥 Wer ist das? Das HBI (Leibniz-Institut für Medienforschung, Hans-Bredow-Institut) ist eine gemeinnützige Stiftung, finanziert von Bund, Ländern und der Stadt Hamburg.

🧭 Was ist die Position? Mit dem EU Kids Act werde der Altersnachweis „für uns alle zur Bedingung dafür, das Internet so zu nutzen, wie wir es bisher kennen“, warnt Jurist Stephan Dreyer in einer öffentlichen Analyse. Er ist Co-Leiter der HBI-Forschungsgruppe „Aufwachsen in digitalen Medienumgebungen“. Betroffene Anbieter müssten „jede Person wie einen Minderjährigen behandeln, solange das Gegenteil nicht erwiesen ist“.

Durch die Kontrollen sei „die unbeobachtete Kommunikation gefährdet“, so Dreyer weiter. Je nach Methode müssten auch personenbezogene Daten übertragen werden. Das berühre die Grundrechte auf Datenschutz und Privatheit. „Auch sind die Informations- und Meinungsfreiheit im Kern betroffen, wenn wir alle diese Rechte nur noch unter der Bedingung einer vorherigen Altersüberprüfung ausüben können.“

Zwar stelle der Entwurf hohe Anforderungen, um die Eingriffstiefe der Alterskontrollen zu begrenzen. „Das Problem dabei ist, dass sie nach dem Stand der Technik in dieser Form nicht erfüllbar sind“, schreibt Dreyer. Der Jurist warnt vor dem Missbrauchsrisiko der entstehenden Infrastruktur. Es sei „zweifelhaft“, dass Jugendschutz den „Aufbau von Altersprüfungshürden für weite Teile des meistfrequentierten Netzes rechtfertigt“.

---

Der Pudding wird uns auf die Füße fallen

---

Chaos Computer Club: „Gefahr für anonyme Internetnutzung“

👥 Wer ist das? Der Chaos Computer Club (CCC) ist die größte Hacker*innenvereinigung Europas und versteht sich als „Vermittler im Spannungsfeld technischer und sozialer Entwicklungen“.

🧭 Was ist die Position? Der CCC warnt vor einem „aufgeblähten und gefährlichen Kontrollzirkus“ durch den EU Kids Act. „De facto hätten Kinder und Jugendliche unter 18 praktisch keine Möglichkeit zu digitaler Teilhabe mehr“, heißt es in einem öffentlichen Statement. „Das beträfe außerdem auch alle Personen, die ihr Alter nicht nachweisen können.“

In der Infrastruktur hinter Alterskontrollen sieht der CCC „eine Gefahr für anonyme und pseudonyme Internetnutzung, die als solche eine unabdingbare Voraussetzung für die Wahrnehmung wesentlicher Grundrechte ist.“ Da der Kids Act keine Ausnahmen für kleine Anbieter vorsieht, komme auf alternative Plattformen und Marktplätze „erhebliche Mehrarbeit“ zu.

Schutzwerkzeuge müssten nicht zwangsläufig zu Überwachungsinstrumenten werden, erinnert der CCC. Er verweist auf lokale Jugendschutz-Mechanismen, die keine Kontrollen für alle erfordern. „Sie sollten transparent für das Kind und gemeinsam mit der Familie auf freiwilliger Basis einsetzbar sein.“

---

Superrr: Keine Erleichterung für Eltern

👥 Wer ist das? Superrr ist eine gemeinnützige Organisation, die sich für feministische Digital- und Technologiepolitik einsetzt.

🧭 Was ist die Position? „Harte Altersschranken werden Kindern nicht gerecht“, schreibt Superrr-Mitgründerin Elisa Lindinger auf Anfrage. Kinder seien eine „diverse Gruppe mit sehr unterschiedlichen Bedürfnissen“. Alterskontrollen würden Kinder ausschließen, ohne ihnen Alternativen anzubieten. „Sie sind außerdem eine Hürde für Erwachsene, die sich nicht ausweisen können, weil ihnen Dokumente oder moderne Endgeräte fehlen.“

Der Kids Act mache auch Eltern das Leben nicht einfacher. „Sie müssen ein komplexes technisches Gefüge navigieren, um sich und ihre Kinder auszuweisen und zu belegen, dass sie sorgeberechtigt sind.“

Lindingers Fazit: „Die Politik schafft lieber eine weitreichende Kontrollinfrastruktur für alle, statt Plattformen konsequent zu regulieren und Eltern dabei zu unterstützen, gemeinsam mit ihren Kindern Regeln auszuhandeln.“

---

EDRi: EU-Kommission will „Zwei-Klassen-Internet“ schaffen

👥 Wer ist das? European Digital Rights (EDRi) ist ein Netzwerk von mehr als 50 Organisationen aus ganz Europa, die sich für digitale Grund- und Freiheitsrechte stark machen.

🧭 Was ist die Position? Die geplanten Alterskontrollen würden „den offenen Charakter des Internets fundamental verändern“, warnt die Organisation in einem englischsprachigen Statement. Die EU-Kommission würde ein „Zwei-Klassen-Internet“ schaffen, das nicht nur Kinder von wichtigen digitalen Räumen ausschließe, sondern auch Erwachsene, die Alterskontrollen nicht überwinden wollen oder können. Davon betroffen wären auch ohnehin schutzbedürftige Gruppen, „etwa ältere Menschen, Obdachlose und Migrant*innen.“

Nicht nur junge Menschen, sondern alle bräuchten Schutz vor schädlichen Funktionen wie manipulativen Designs oder unfairer Personalisierung, wie aus dem Statement hervorgeht. „Nicht einmal die digital versierteste Person kann jede einzelne Standardeinstellung überprüfen, jedes Empfehlungssystem durchschauen oder jedem strategisch platzierten Ansporn zum Weiterklicken widerstehen“, schreibt EDRi.

---

Stop Killing The Internet: „Angriff auf das freie Internet“

👥 Wer ist das? Stop Killing the Internet ist eine Initiative zum Schutz des offenen Internets, die in der EU als Bürgerinitiative registriert ist.

🧭 Was ist die Position? Der Entwurf der EU-Kommission „muss als Angriff auf das freie Internet verstanden werden“, schreibt die Initiative in ihrem englischsprachigen Newsletter. Es gebe „ernste Fragen zur Verhältnismäßigkeit“ mit Blick auf die EU-Grundrechtecharta, insbesondere beim Recht auf freie Meinungsäußerung, Informationsfreiheit, Privatsphäre und Datenschutz.

Weiter warnt die Initiative vor einer Ausweitung der Kontrollen. „Heute wird das Alter überprüft. Morgen kann dasselbe System alles Mögliche überprüfen, was eine Regierung oder eine Plattform über uns wissen möchte.“

Die Initiative betont: „Das Internet ist unser öffentlicher Raum.“ Niemand müsse den Ausweis vorzeigen, um einen Park, eine Bibliothek oder ein Rathaus zu betreten. „Und auch online sollte niemand dazu verpflichtet sein.“

---

EFF: Kids Act wird „Privatsphäre aller beeinträchtigen“

👥 Wer ist das? Die Electronic Frontier Foundation (EFF) aus den USA ist eine gemeinnützige Organisation für digitale Freiheitsrechte.

🧭 Was ist die Position? Der EU Kids Act „wird Online-Dienste hinter Altersschranken setzen, den Einsatz aufdringlicher Alterskontrollen ausweiten und die Privatsphäre aller Nutzer*innen beeinträchtigen“, warnt die Organisation in einem englischsprachigen Statement.

Zumindest scheine der Kids Act mit „etwas Rücksicht auf Verhältnismäßigkeit“ entworfen worden zu sein, indem er zum Beispiel Altersschranken an Risiken knüpft. Doch „wie auch immer sie gestaltet sind: Altersbeschränkungen beeinträchtigen Freiheitsrechte, verringern Sicherheit und schaffen Hürden beim Zugang zum Internet – häufig zulasten marginalisierter Gruppen“, schreibt die EFF.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Angriffe auf die IT der öffentlichen Verwaltung häufen sich. Doch statt gezielt in Maßnahmen zu investieren, die IT-Sicherheit stärken, investiert die Bundesregierung in Robotikforschung und eine Vogelstimmen-App. Das sagt ein Bericht des Bundesrechnungshofs, den wir veröffentlichen.

Im Haushalt für 2027 will der Bund mehr Geld für IT-Sicherheitsmaßnahmen in der Bundesverwaltung ausgeben. Dieses Geld scheint dringend nötig. Wiederholt macht die schwache IT-Sicherheit der öffentlichen Verwaltung Schlagzeilen.

Kürzlich erst in der Berliner Verwaltung: Massenhaft Verwaltungsdaten, darunter personenbezogene Daten, flossen ab und landeten im Darknet.

In ihrer Kolumne zeichnet die Expertin Bianca Kastl ein besorgniserregendes Bild der Informationssicherheit in Deutschland. Öffentliche Einrichtungen könnten allein „ein adäquates Informationssicherheitsniveau“ kaum halten. Dabei ist die öffentliche Verwaltung dazu verpflichtet, Maßnahmen zu ergreifen, um IT-Sicherheit zu stärken. Im Dezember 2025 hat der Bund die zweite EU-Richtlinie zur Sicherung von Netz- und Informationssystemen in deutsches Recht umgesetzt.

Doch scheint sich bisher wenig getan zu haben. Zwar steht ein substanzieller Betrag zur Verfügung, Maßnahmen für mehr IT-Sicherheit zu finanzieren. Doch wofür das Geld genau ausgegeben werden soll, ist nicht eindeutig abgesteckt. So lautet der Befund des Bundesrechnungshofes (BRH). Er ermahnt die Bundesregierung, Haushaltsmittel „effektiver“ für Personal und Sachmittel einzusetzen. Wir veröffentlichen den Bericht des BRH zur „Cybersicherheit“ in der Bundesverwaltung vom August.

Schuldenbremse gelockert

Eigentlich soll die Schuldenbremse soll dafür sorgen, dass der Staat nicht übermäßig Schulden macht. Doch seit letztem Jahr hat der Bund die Möglichkeit zur sogenannten Bereichsausnahme. Damit kann er außerhalb der Schuldenregel mehr Geld für bestimmte Zwecke ausgeben, zum Beispiel für die IT-Sicherheit der Bundesverwaltung.

Im November 2025 beschloss der Haushaltsausschuss: Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) ist dafür verantwortlich, zu entscheiden, in welche IT-Sicherheitsmaßnahmen der Bundesverwaltung Geld fließen soll. Das Digitalministerium unter Karsten Wildberger (CDU) ist vom Haushaltsausschuss außerdem damit beauftragt, die Verteilung des Geldes zu steuern und zu überwachen. Laut BRH erwartet der Ausschuss: Der Bund nutzt die Bereichsausnahme, um mehr in IT-Sicherheit zu investieren.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll das Digitalministerium in seiner Entscheidungsfindung unterstützen. Die IT-Sicherheitsbehörde soll „belastbare Informationen zum Stand der Cybersicherheit“ sammeln und zur Verfügung stellen. Außerdem soll die Behörde kontrollieren, wie die einzelnen Ressorts der Bundesverwaltung die Haushaltsmittel möglichst effizient für IT-Sicherheit einsetzen. Dazu hat der Bund das Informationssicherheitscontrolling (IS-Controlling) eingeführt.

Das Problem: Um Geld aus dem Haushalt – so wie im Haushaltsausschuss vereinbart – für Maßnahmen der IT-Sicherheit auszugeben, bräuchte es klare Vorgaben darüber, wie solche Maßnahmen aussehen müssen. Hierzu müsste die Bundesregierung klare und verbindliche Kriterien aufstellen. Das hat sie laut BRH jedoch bislang nicht getan. Dabei ist die Verantwortung hierzu längst geklärt: Sie liegt beim BMDS.

Ausgabe entspricht nicht angedachtem Zweck

In der Zeit zwischen Dezember 2025 und August 2026 untersuchte der BRH, wie die Bundesregierung die Bereichsausnahme nutzt und wie sie das IS-Controlling umsetzt. Dabei ermittelte der Rechnungshof: Die Bundesregierung hat „für die Jahre 2025 und 2026 insgesamt mindestens 1,2 Milliarden Euro in diese Bereichsausnahme verlagert, die nicht dem Schutz informationstechnischer Systeme dienen“.

Die Bundesregierung habe also das Geld, das sie eigentlich für IT-Sicherheit ausgeben sollte, „nicht zweckentsprechend eingesetzt“ – mit anderen Worten, nicht für den Zweck, IT-Sicherheit zu stärken. Laut BRH hat die Bundesregierung beispielsweise KI-Projekte gefördert sowie Forschung zu Robotik und sogar eine App, die Vogelstimmen erkennt. „Sämtliche Ausgaben für die Forschung an informationstechnischen Systemen pauschal zu verlagern, wird dem Ausnahmecharakter der Bereichsausnahme nicht gerecht“, hält der BRH fest.

„Anstatt die Bundesbehörden wirksam gegen Hackerangriffe zu schützen, erfindet die Bundesregierung lieber neue Tricks, um alle möglichen IT-Ausgaben an der Schuldenbremse vorbeizuschmuggeln“, kommentiert Sascha H. Wagner gegenüber netzpolitik.org. Er ist Bundestagsabgeordneter der Linkspartei und sitzt im Haushaltsausschuss. „Bis jetzt hat das neue Digitalministerium offenbar noch nicht für bessere Cybersicherheit und effizienteren Einsatz von Haushaltsmitteln bei der IT-Beschaffung gesorgt.“

Es dauert zu lange

Auch das BSI kommt im Bericht des Rechnungshofes nicht gut weg. Bereits seit vier Jahren dürfe die Behörde die „Sicherheit der Kommunikationstechnik“ von Bundesbehörden kontrollieren. Geprüft habe sie aber – Stand August – erst 15 Einrichtungen des Bundes.

Bei diesem Tempo werde das BSI „mehr als 20 Jahre benötigen, um alle Einrichtungen des Bundes einmal zu kontrollieren“, schreibt der BRH in seinem Bericht. Das sei „aufgrund der zunehmenden Bedrohungslage nicht haltbar“.

Mehr Tempo fordert der BRH auch vom BMDS. Das habe erklärt, das IS-Controlling bis 2027 „funktionsfähig etablieren“ zu wollen. Laut BRH sei das zu spät. Das Digitalministerium hat im Juli die Initiative CyberGovSecure gestartet. Zusammen mit dem BSI und Claudia Plattner entstehe hier ein Programm, das ressortübergreifend die Informationssicherheit aller Behörden stärken soll. Plattner ist dabei nicht nur BSI-Präsidentin, sondern besetzt gleichzeitig die neu eingerichtete Position der CISO Bund, Chief Information Security Officer des Bundes.

Auditor*innen statt Selbstauskünfte

Auf der Aufgabenliste des Programms: ein IS-Controlling, mit dem der „Cybersicherheitsstatus der Bundesverwaltung“ dokumentiert werden soll. Dabei setzen BMDS und BSI darauf, dass Behörden per Selbstauskunft angeben, wie es um die IT-Sicherheit ihrer Behörde bestellt ist. Diese Angaben will das BSI in die Basisdatenerhebung aufnehmen, berichtet der BRH. Einen Zeitplan dafür habe das BSI bisher nicht vorgelegt.

Hier empfiehlt der Rechnungshof ganz klar: Statt der Selbstauskünfte müsse es zeitnah neutral gehaltene Nachweisverfahren entwickeln. Demnach sollten etwa unabhängige Auditor*innen Daten zum Stand der IT-Sicherheit erfassen. Diese wären eine zuverlässigere Datenbasis für das IS-Controlling. Welche Prozesse, Methoden und Aufwände dabei unterstützen könnten, soll laut BRH das BMDS festlegen. Doch habe es dazu noch nicht Stellung genommen.

Laut Bericht schlage das BMDS die Empfehlungen des Bundesrechnungshofes aus. Dieser mahnt: „Ohne ausreichende, zeitnahe Vor-Ort-Kontrollen und Nachweise der Einrichtungen des Bundes ist eine valide Datengrundlage für ein IS-Controlling nicht gegeben.“

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Bundesjustizministerin Hubig hat den Entwurf für ein Gesetz gegen digitale Gewalt erneut nachgeschärft. Hinzugekommen sind Straftatbestände für Fake-Accounts und das Abrufen von Vergewaltigungsvideos sowie der Anspruch, strafbare Inhalte löschen zu lassen. Doch es gibt weiterhin Kritik.

Ein halbes Jahr nach der Vorstellung eines ersten Entwurfs hat die Bundesregierung am Mittwoch das Gesetz gegen digitale Gewalt auf den Weg gebracht. Das Bundesjustizministerium will damit Menschen entlasten, die im Netz Gewalt erfahren. Zum einen will sie dafür das Strafrecht verschärfen und um neue Tatbestände ergänzen. Zum anderen will sie es Betroffenen einfacher machen, selbst auf dem zivilrechtlichen Weg gegen strafbare Inhalte wie Beleidigungen vorzugehen.

Die aktuelle Kabinettsfassung enthält gegenüber dem von Stefanie Hubig (SPD) im April vorgestellten Entwurf mehrere relevante Änderungen. So sieht der zivilrechtliche Teil jetzt vor, dass es einen Anspruch auf Löschung von rechtswidrigen Inhalten bei den Plattformen geben soll. Auch der Katalog der Tatbestände im Strafrecht wurde noch mal erweitert.

Vergewaltigungsvideos: Schon das Abrufen wird Straftat

Mit dem Entwurf will das Bundesjustizministerium die Strafbarkeit von sogenannter bildbasierter Gewalt ausweiten und einheitlich im Strafrecht regeln. Künftig soll es demnach strafbar sein, sexualisierte Bilder anderer ohne ihr Einverständnis herzustellen oder zu teilen – auch dann, wenn sie mit einem Computerprogramm umgestaltet wurden, Stichwort: Deepfakes.

Auch würden sogenannte Voyeursaufnahmen strafbar. So war es bislang schon strafbar, Menschen heimlich nackt in einem „besonders geschützten Raum“ zu filmen. Darunter fallen aber nicht die öffentliche Sauna, eine Umkleide oder der Badestrand. Mit dem neuen Straftatbestand würde sich das ändern.

Die aktuelle Fassung erweitert diesen Katalog an strafbaren Handlungen nochmal. Fortan sollen auch der Besitz und das wissentliche Abrufen von Vergewaltigungsvideos unter Strafe stehen. Im Referentenentwurf sollte lediglich das Herstellen und Verbreiten von Aufnahmen strafbar werden, die “eine sexuelle Handlung einer anderen Person abbilden”. Die aktualisierte Fassung nennt dagegen explizit auch Bildaufnahmen, „die eine Vergewaltigung einer anderen Person abbilden“. Solche Handlungen sollen mit einer Freiheitsstrafe bis zu drei Jahren oder einer Geldstrafe geahndet werden können.

Fake-Accounts sollen strafbar werden

Zusätzlich hat das Ministerium einen neuen Straftatbestand rund um Identitätsmissbrauch ergänzt. Das Betreiben von Fake-Accounts im Namen einer anderen Person wird als eigener Tatbestand strafbar, wenn diese “geeignet sind, dem Ansehen der Person erheblich zu schaden”.

Dies sei laut Gesetzesbegründung etwa dann der Fall, „wenn die dargestellte lebende oder verstorbene Person durch ihn [den Inhalt, d.A.] verächtlich gemacht oder in der öffentlichen Meinung herabgewürdigt werden kann.“

Der Tatbestand erinnert an den Fall der Schauspielerin Collien Fernandes, der deutschlandweit für eine Diskussion rund um digitale Gewalt sorgte. Fernandes hatte nach der Vorstellung des Entwurfes darauf hingewiesen, dass dieser in ihrem speziellen Fall nicht greifen würde. Ihr Ex-Mann Christian Ulmen soll Fake-Profile in ihrem Namen erstellt und darüber Männern aus ihrem Umfeld pornografische Inhalte geschickt haben. Seine Anwälte widersprechen Teilen der Darstellung.

Hubig hatte den Fall im Frühjahr zum Anlass genommen, um auf den bereits im Koalitionsvertrag beschlossenen, fast fertigen Gesetzentwurf hinzuweisen und den Referentenentwurf kurz darauf vorgestellt.

Diese Deepfakes sollen künftig strafbar sein

Geschärfte Norm gegen Voyeur-Aufnahmen

Nachgeschärft hat das Ministerium zudem einen Tatbestand zu Voyeur-Aufnahmen. Hier war zuvor die Rede von Aufnahmen, die “in sexuell bestimmter Weise die bekleideten Genitalien, das bekleidete Gesäß oder die bekleidete weibliche Brust einer anderen Person” zeigen.

Das Bundesjustizministerium wollte damit eine Lücke schließen, die Fachleute seit langem kritisierten: Unter Strafe steht bislang, anderen in den Ausschnitt oder unter den Rock zu filmen oder an der Kleidung vorbei, nicht aber etwa das voyeuristische Filmen auf den Po oder die Brust, wenn diese bekleidet sind.

In der nachgeschärften Fassung sollen jene Aufnahmen unter Strafe stehen, die darauf abzielen, die Körperteile “sexualisiert darzustellen”, etwa indem sie besonders nah herangezoomt werden. Um zu bestimmen, was als sexualisierte Darstellung gilt, soll laut Begründung auch der Kontext herangezogen werden, ob etwa unter einem Tisch versteckte Geräte genutzt wurden.

“Das Recht auf sexuelle Selbstbestimmung umfasst die Freiheit, darüber zu bestimmen, wem in welcher Weise Zugang zu den eigenen intimen Körperteilen gewährt wird”, heißt es dazu in der Begründung. Selbst wenn diese intimen Körperteile bekleidet sind, seien diese Rechte berührt, “wenn diese intimen Körperteile ohne das Wissen der Betroffenen oder gegen deren Willen zielgerichtet in sexualisierter Weise abgebildet werden.”

Geblieben ist auch in der neuen Fassung ein Katalog an einzelnen Körperteilen, der Zonen der Intimität definieren soll. Verbände wie der Dachverband der Frauenberatungsstellen bff hatten zuvor in ihren Stellungnahmen kritisiert, dass eine solche Liste Intimität zu eng fasst und nicht berücksichtigt, dass sie individuell unterschiedlich ausfallen kann.

Recht auf Löschung einzelner Inhalte

Mit neuen zivilrechtlichen Ansprüchen will das Ministerium dafür sorgen, dass es für Betroffene von etwa beleidigenden und herabsetzenden Postings einfacher wird, selbst vor Gericht dagegen vorzugehen.

Sie sollen von Plattformen und Internetzugangsanbietern leichter als bisher Auskunft über die Identität einer Person hinter einem anonymen oder pseudonymen Account bekommen. Dazu sollen Anbieter künftig – sofern vorhanden – den Klarnamen und die Adresse herausgeben, wenn ein Gericht das anordnet. Beides wird gebraucht, damit Betroffene etwa auf Unterlassung oder Schadensersatz klagen können.

Betroffene sollen eine solche Auskunft vor dem Landgericht beantragen können. Dazu müssen sie glaubhaft machen, dass eine unbekannte Person eine Rechtsverletzung begangen hat und sie gegen diese Person zivilrechtliche Ansprüche geltend machen wollen.

Auch hier sind in der aktuellen Fassung wesentliche Punkte dazugekommen. Ursprünglich sollten diese Rechte etwa nur für Social-Media-Plattformen gelten. Jetzt nennt der Entwurf ausdrücklich auch Messengerdienste wie WhatsApp, Telegram und Signal, wenn diese Gruppenchats ermöglichen.

Neu ist zudem, dass es jetzt einen gerichtlich anzuordnenden Anspruch darauf gibt, einzelne rechtswidrige Inhalte von Plattformen zu entfernen. Das geht auch dann, wenn die Identität der Person hinter einem Account unbekannt ist.

Im Referentenentwurf war dieses Löschen noch mit dem Durchsetzen einer Accountsperre verknüpft. In bestimmten Fällen konnten Betroffene erwirken, dass ein reichweitenstarker Account gesperrt wird, der wiederholt ihre Rechte verletzt hat, etwa mit strafbaren Beleidigungen. Jetzt sind beide Ansprüche voneinander entkoppelt.

Verbände wie der Deutsche Juristinnenbund hatten zuvor kritisiert, dass das zivilrechtliche Durchsetzen der eigenen Rechte hier zu eng mit der langwierigen und oft unergiebigen Identifizierung von Täter*innen verknüpft ist, und die Möglichkeit einer solchen schnellen Löschung gefordert.

Mit Vorratsdatenspeicherung gegen digitale Gewalt

„Vorsorglich gespeicherte IP-Adressen“

Laut der aktuellen Fassung ist weiterhin geplant, dass zur Bekämpfung von digitaler Gewalt auch die Vorratsdatenspeicherung wieder eingeführt werden soll – ein umstrittenes Verfahren zur Massenüberwachung im Netz, das in Deutschland seit 2017 ausgesetzt ist. Das entsprechende Gesetz zur Speicherpflicht von IP-Adressen kommt ebenfalls aus Hubigs Ministerium und war am gestrigen Mittwoch Thema einer öffentlichen Anhörung des Rechtsausschusses.

Im Zuge des Auskunftsanspruchs für Betroffene sollen Plattformen und Zugangsanbieter wie Vodafone oder die Telekom künftig durch eine beweissichernde Anordnung dazu verpflichtet werden können, „bereits bei ihnen vorhandene Daten“ über mutmaßliche Rechtsverletzer*innen zu sichern. Dazu sollen sie auch „vorsorglich gespeicherte IP-Adressen“ verwenden, heißt es in der Begründung. Der aktuell diskutierte Entwurf für die Vorratsspeicherung sieht vor, dass IP-Adressen für voraussichtlich drei Monate gespeichert werden sollen.

Die Vorratsdatenspeicherung wurde in Deutschland erstmals 2007 eingeführt, nach einem Urteil des Bundesverfassungsgerichts jedoch wieder aufgehoben, weil sie gegen Grundrechte verstieß. Eine neue Regelung von 2015 wurde später durch Urteile des Europäischen Gerichtshofs faktisch gestoppt, weil eine anlasslose, flächendeckende Speicherung von Kommunikationsdaten gegen EU-Recht verstößt.

Auch am aktuellen Gesetzentwurf gibt es deutlich Kritik: „Drei Monate anlasslose IP-Adressspeicherung sind unverhältnismäßig lang und schaffen erneut eine flächendeckende Speicherinfrastruktur für die Daten unbescholtener Bürgerinnen und Bürger“, sagt Klaus Landefeld, Vorstandsmitglied beim Eco-Verband. Justizministerin Hubig machte am Dienstagabend bei einer Veranstaltung des Eco-Verbands noch einmal deutlich, dass sie an der Vorratsdatenspeicherung festhalten will: „Die IP-Adressenspeicherung gehört zum Schutz vor digitaler Gewalt dazu.“

Kritik an Speicherpflichten und fehlender Prävention

Carmen Wegge, Obfrau der SPD-Fraktion im Rechtsausschuss, begrüßt die Änderungen im neuen Entwurf. „Wir ändern das Strafrecht und sorgen erstmals dafür, dass bildbasierte sexualisierte Gewalt oder Deepfakes, die ohne Einverständnis erstellt werden, strafbar werden.“ Gleichzeitig kündigt sie an, es gebe Punkte im parlamentarischen Verfahren nachzuschärfen, damit möglichst alle Fälle von bildbasierter sexualisierter Gewalt erfasst werden.

Der Deutsche Frauenrat begrüßt, dass die Herstellung und Weitergabe sexualisierter Deepfakes und anderer intimer Aufnahmen künftig unter Strafe stehen und Betroffene einen neuen Anspruch auf die Entfernung rechtswidriger Inhalte bekommen. Zugleich brauche es deutlich mehr Prävention als die Bundesregierung plant. Polizei, Staatsanwaltschaften und Gerichte müssten zu digitaler und geschlechtsspezifischer Gewalt verbindlich weitergebildet werden.

Der Entwurf setze mit der schnellen Entfernung rechtswidriger Inhalte an der richtigen Stelle an, sagt die Gesellschaft für Freiheitsrechte (GFF). Allerdings fehle nach wie vor das Recht, dass nicht nur Einzelne, sondern auch Verbände gegen solche Inhalte klagen könnten. Auch brauche es eine klare Trennung von Auskunftsanspruch und Vorratsdatenspeicherung. Die GFF hatte 2023 einen Vorschlag für ein Gewaltschutzgesetz vorgelegt. Dieser zeige aus Sicht der NGO, dass es im Kampf gegen digitale Gewalt im Netz „weder eine Klarnamenpflicht für die Nutzung sozialer Netzwerke noch übertriebene Auskunftspflichten“ braucht.

Verbesserungen sieht auch Theresia Rasche vom Deutschen Juristinnenbund, etwa die Einbeziehung von Messengerdiensten und den Anspruch auf Löschung rechtsverletzender Inhalte. Inwiefern es die individuelle Rechtsdurchsetzung wirklich erleichtern wird, werde sich erst zeigen. Sie kritisiert unter anderem, dass nicht die Löschung von ganzen Chatgruppen vorgesehen ist, die sich zur Begehung von Straftaten wie Vergewaltigungen verabredet haben. Und Rasche gibt zu bedenken: „Am strukturellen Problem digitaler Gewalt wird das Gesetz aber kaum etwas ändern.“

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Große Unternehmen sollen mehr Steuern zahlen und damit zum EU-Budget beitragen, hat die EU-Kommission im Vorjahr angeregt. Einem Medienbericht zufolge will sie ihren Vorschlag nun anpassen: Herauskommen könnte eine Digitalsteuer, die so nicht heißen darf.

Die EU hat ein Budgetproblem. 2 Billionen Euro hatte die EU-Kommission für die Jahre 2028 bis 2034 vorgeschlagen, um mit den wachsenden Aufgaben klarzukommen. Das löste umgehend Protest mancher EU-Länder aus, mit Nettozahlern wie Deutschland und Österreich an der Spitze. Zuletzt forderten sechs Regierungschefs, darunter Bundeskanzler Friedrich Merz (CDU), den vorgeschlagenen Siebenjahreshaushalt um „mehrere hundert Milliarden Euro“ zu reduzieren.

Auf der Suche nach sogenannten Eigenmitteln, die den Löwenanteil des EU-Haushalts ausmachen, stellte die Kommission im Vorjahr fünf neue davon zur Debatte, unter anderem ein EU-Emissionshandelssystem und eine Verbrauchsteuer auf Tabak. Insgesamt erwartet sich die Kommission davon zusätzliche Einnahmen von rund 60 Milliarden Euro pro Jahr.

Einer der Vorschläge, der „Unternehmensbeitrag für Europa“ (CORE), lässt sich als Alternative zur Digitalsteuer interpretieren, deren EU-weite Einführung seit Jahren misslingt. Zuvor war schon die OECD-Einigung, die Schlupflöcher schließen sollte, de facto gescheitert. Ohne die Vereinigten Staaten lässt sich das System nicht umsetzen. Doch US-Präsident Donald Trump hält bekanntlich nicht viel von internationaler Zusammenarbeit.

Fokus auf Umsatz statt Gewinn

Dem ursprünglichen Vorschlag der Kommission nach sollen Unternehmen ab Nettoumsätzen von mehr als 100 Millionen Euro einen gewissen Pauschalbetrag zahlen. Je nach Größe des Unternehmens soll diese Abgabe zwischen 100.000 Euro und 750.000 Euro jährlich betragen. Mit der Besteuerung von Umsätzen statt Gewinnen wären auch Unternehmen erfasst, die mit Hilfe von Bilanz-Akrobatik Gewinne verschleiern oder einen aggressiven Expansionskurs fahren und vorerst auf üppige Gewinne verzichten.

Einem Bericht der Financial Times (€) zufolge überlegt die EU-Kommission nun, ihren Vorschlag zu überarbeiten. Dieser war in die Kritik geraten, weil er angeblich zu sehr den Mittelstand belaste und zudem unfair sei, wie etwa der europäische Think Tank Bruegel ausführt.

Dem FT-Bericht nach will die Kommission die Rahmenbedingungen von CORE so anpassen, dass weitgehend nur mehr große Konzerne erfasst wären. Details sind derzeit nicht bekannt, betroffen wären jedoch Unternehmen wie Apple, Meta und Google – ohne dass diese ausdrücklich genannt werden, zitiert die FT sechs anonyme EU-Beamt:innen.

Über allem schwebt Trump

Der Drahtseilakt ist notwendig, weil Donald Trump regelmäßig mit Gegenmaßnahmen wie Zöllen droht, sollte die EU oder einzelne EU-Länder etwa Digitalsteuern einführen, die vorrangig auf US-Unternehmen abzielen. Augenscheinlich hat sich davon auch Deutschland beeindrucken lassen, wo der Vorschlag von Kulturstaatsminister Wolfram Weimer bislang ergebnislos geblieben ist.

„Einige [EU-]Hauptstädte lehnen eine reine Digitalsteuer ab, weil sie die Amerikaner nicht verärgern wollen, und noch mehr sind gegen das ‚CORE’-Modell“, sagte eine:r der zitierten EU-Beamt:innen der FT. „Die Lösung besteht darin, [die Steuer] so auszuweiten, dass sie praktisch alle großen Unternehmen erfasst.“

Die Hoffnung ist nun, dass zumindest innerhalb der EU der Widerstand gegen das Modell abnimmt. Ein Erfolg ist jedoch nicht garantiert: In Steuerfragen ist Einstimmigkeit unter den EU-Ländern notwendig. Zugleich tickt die Uhr. Idealerweise sind die Verhandlungen zum EU-Finanzrahmen spätestens bis Jahresende abgeschlossen, hofft etwa EU-Ratspräsident António Costa. Im kommenden Jahr stehen Wahlen unter anderem in Frankreich, Polen und Italien an, was die Verhandlungen verkomplizieren könnte.

Optionen noch lange nicht ausgereizt

Derweil fordert eine aktuelle Studie des Wiener Instituts für Internationale Wirtschaftsvergleiche (PDF) tiefere Eingriffe, als die Kommission vorschlägt. Generell sollte der EU-Haushalt künftig weniger stark über nationale Beiträge und stärker über europäische Eigenmittel finanziert werden, fordern die Wirtschafts-Expert:innen.

Als Instrumente schlagen sie unter anderem eine Finanztransaktionssteuer, eine europäische Digitalsteuer, eine Bankenabgabe sowie Abgaben auf sehr große Vermögen und Krypto-Transaktionen vor. Neben einer gerechteren Besteuerung könnte ein breiterer Mix an EU-Eigenmitteln die Finanzierungslast gleichmäßiger auf verschiedene Schultern verteilen, politische Kompromisse erleichtern und auch den Steuerwettbewerb zwischen den EU-Staaten eindämmen sowie die Steuerbasis verbreitern, so das Fazit des Papiers.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In Kürze soll der gesetzliche Umbau der Geheimdienste durch den Bundestag gebracht werden. Eine bessere Kontrolle der Geheimdienste steht der massiven Ausweitung der Befugnisse allerdings nicht gegenüber. Nicht erst seit dem Skandal um den Ex-BND-Chef Hanning wäre dies jedoch dringend nötig.

Das war schon eine Bombe, die gestern im politischen Berlin einschlug. Am Vormittag tickerten die Spionage-Vorwürfe und die Verhaftung des ehemaligen BND-Präsidenten August Hanning über alle Kanäle, auch in der internationalen Presse. Hanning war nicht nur BND-Chef, als die den deutschen Geheimdiensten wohlbekannten Todespiloten aus Hamburg die gekaperten Flugzeuge in New York in die Wolkenkratzer steuerten. Er und der damalige Bundesinnenminister Wolfgang Schäuble (CDU) wurden danach auch zu Architekten des Ausbaus der Überwachungsgesetze nach 9/11, die „Anti-Terror-Gesetze“ genannt wurden und bis heute Bestand haben.

Der derzeitige Vorsitzende des die Geheimdienste kontrollierenden, aber geheim tagenden Parlamentarischen Kontrollgremiums (PKGr), Marc Henrichmann (CDU), sagte in den tagesthemen, Hannings Fall hätte „an den Grundfesten gerüttelt“. Niemand hätte sich so etwas auch nur vorstellen können, sofern sich die Vorwürfe erhärten würden. Er forderte pflichtschuldig „lückenlose Aufklärung“.

Wie bei früheren BND-Skandalen wird es wohl dabei bleiben. Die Idee, dem Treiben beim BND ernsthaft Grenzen zu setzen, hat im ohnehin als zahnlos verrufenen PKGr wohl niemand mehr.

Der parteilose Spitzenbeamte Hanning galt als Scharfmacher. Er arbeitete nach seinem siebenjährigen Dienst als BND-Präsident auch als beamteter Staatssekretär im Bundesinnenministerium und verantwortete das damals heiß umkämpfte BKA-Gesetz, das auch die Nutzung von Staatstrojanern enthielt. Im PKGr war er ein häufiger Gast, ebenso in den verschiedenen Untersuchungsausschüssen des Bundestags, die sich immer wieder daran versuchten, die Skandale des BND aufzuklären. Berüchtigt war Hanning dabei für seine professionellen Erinnerungslücken und das absichtliche Verschweigen von Informationen. Sogar wissentlicher Rechtsbruch und das überzogene Pochen auf Geheimhaltung wurde ihm und dem BND von seinem langjährigen parlamentarischen Kontrolleur Hans-Christian Ströbele (Grüne) vorgeworfen. Geheimhaltung sei keine „Lizenz zum Lügen“, hielt er Hanning damals vor. Ströbele kassierte dafür vom Ausschussvorsitzenden eine Rüge, der Ex-BND-Chef lächelte den Vorhalt weg.

Der sicherheitspolitische Hardliner Hanning, der Verdächtigen von Straftaten auch schon mal Wanzen unters Bett klemmen wollte, wird nun selbst als Straftäter verdächtigt. Vorgeworfen werden ihm mutmaßliche landesverräterische Ausspähung, Auskundschaften von Staatsgeheimnissen, versuchter Landesverrat und Spionage.

Gegen Hanning und einen anderen pensionierten Beamten laufen zeitgleich Ermittlungen im Fall von Christina Block und einer Kindesentführung. Einem beauftragten israelischen Unternehmen und den beiden Ex-Beamten wird vorgeworfen, es geplant zu haben, den Kindsvater und dessen familienrechtlichen Anwalt mit fingierten Pädophilie-Vorwürfen zu diskreditieren. Dazu sei im September 2023 unter anderem eine von der israelischen Firma beschaffte Festplatte mit über 500 kinderpornographischen Bildern und 64 Videos auf dem Wohngelände des Kindsvaters platziert worden. Diese Ermittlungen haben wohl auch die jetzigen Vorwürfe erhärtet.

Schutzwürdiges Wissen versilbern

Hannings Beamtenkarriere endete bereits 2009, als ihn der frisch ins Amt gekommene Innenminister Thomas de Maizière (CDU) fristlos und ohne eine geordnete Übergabe an einen Nachfolger in den einstweiligen Ruhestand versetzte. Die Chemie zwischen den beiden soll nicht gestimmt haben.

Doch Hanning blieb als Geheimdienstexperte in der öffentlichen Debatte gefragt, rückte im Dezember 2009 in den Aufsichtsrat der Bundesdruckerei ein und begann eine Beraterkarriere. Er arbeitet in mehreren Unternehmen, darunter die Pluteus AG, betreibt gemeinsam mit seiner Frau die Firma HanningConsult, wurde Motorola-Lobbyist und versuchte, in seinem ehemaligen direkten Arbeitsfeld Geschäfte zu machen, etwa einen Bodycam-Deal mit der Bundespolizei für Motorola einzufädeln.

Bei der Pluteos AG war ein zweiter Geheimdienstchef involviert: Hans-Georg Maaßen, der ehemalige Verfassungsschutz-Chef. Er beriet Pluteos, wie er dem stern damals bestätigte. Das Unternehmen residierte gediegen im schweizerischen Luzern.

Dass ein Geheimdienst-Chef sein besonders schutzwürdiges Wissen versilbert, ist in Deutschland also kein Einzelfall. Es ist auch nicht strafbar, wenngleich ethisch durchaus fragwürdig. Dass der Ex-Staatsdiener Hanning an dubiosen Finanztransaktionen einer lettischen Bank beteiligt gewesen sein soll und offenbar – wenn die Vorwürfe stimmen – noch lange Jahre nach seiner Amtszeit an ausgesprochen sensible Informationen kam und sie laut der Pressemitteilung des Generalbundesanwalts möglicherweise an mindestens zwei Geheimdienste durchgestochen haben könnte, wäre nicht nur strafbewehrt. Es zeigt zugleich, dass Spitzenpersonal aus der Welt der Geheimen den immanenten Transparenz- und Kontrollmangel offenbar jahrelang unbemerkt für ihre Zwecke nutzen können.

Skandal zur Unzeit

Jeder BND-Skandal kommt für den Geheimdienst zur Unzeit, auch diesmal. Denn die Kontrolle der Geheimdienste soll gerade stark umgebaut, das Trennungsgebot aufgeweicht und die technischen Überwachungsmaßnahmen ausgebaut werden. Das sieht ein Geheimdienste-Gesetzentwurf (pdf) vom Juli vor, der sowohl dem Bundesnachrichtendienst als auch dem Bundesamt für Verfassungsschutz erheblich mehr Befugnisse geben soll.

Beide dürften künftig noch mehr hacken und automatisierte Massendaten-Analysen ausführen, auch mit Hilfe von KI und auch bei besonders sensiblen biometrischen Daten. Dazu kommt die massenhafte Telekommunikationsauswertung durch den BND, der nun noch länger und umfangreicher speichern dürfte.

Der BND soll neue mächtige Instrumente bekommen

Die Kontrolle des BND soll nach dem Entwurf stärker auf den Unabhängigen Kontrollrat (UKRat) übergehen. Dieser gerichtsähnliche UKRat besteht aus neun unabhängigen Juristen mit einem Mitarbeiterstab, der hinter verschlossenen Türen prüft. Die Humanistische Union beklagt „Kontrolllücken“ im Entwurf und insgesamt eine nur unzureichende Kontrolle. Die bisherige strukturell defizitäre Kontrolle wird jedenfalls nicht verbessert.

Bisher überprüft auch der Bundesdatenschutzbeauftragte (BfDI) und seine Fachabteilung den BND. Diese unabhängige Kontrolle soll ein strukturelles Defizit des Rechtsschutzes ausgleichen. Denn wegen der weitgreifenden Intransparenz und Geheimhaltung beim Geheimdienst sind Auskunfts- und Benachrichtigungspflichten für Betroffene von Überwachungsmaßnahmen kaum durchsetzbar oder existieren gar nicht erst. Einen individuellen Rechtsschutz gibt es daher kaum. Diese Kontrollbefugnis durch den BfDI als einzige unabhängige Datenschutz-Aufsichtsbehörde soll nun wegfallen.

Kontrolle ist bei den Geheimen nicht gerade wohlgelitten. Hanning beschwerte sich in einem alarmistischen Namensbeitrag mit dem Titel Absurdistan in Karlsruhe! (Bild) schon nach der letzten Ausweitung der BND-Befugnisse, die 2020 beim Bundesverfassungsgericht verhandelt wurden, über die angeblich immer strafferen gesetzlichen Zügel. Das sei gefährlich, denn gäbe es strengere Kontrollen, würden die großen ausländischen Geheimdienstpartner den Datenhahn zudrehen. Das Höchstgericht blieb allerdings von der Belehrung via Bild unbeeindruckt.

Denn der jetzige gesetzliche Umbau geht auf Vorgaben des Bundesverfassungsgerichts zurück, die mal wieder für einen zeitgleichen Ausbau herhalten müssen. Das Gericht hatte dem BND unter anderem eine hauptamtliche und gerichtsähnliche Kontrolle verordnet. Für die Nachbesserungen läuft eine Frist bis Ende des Jahres. Allerdings liegt seit März 2025 auch noch eine Beschwerde beim Europäischen Gerichtshof für Menschenrechte gegen das aktuelle BND-Gesetz vor.

Die neue Bundeskanzleramtsministerin Nina Warken (CDU) nannte den Umbau bei der ersten Lesung im Bundestag die größte Novellierung des Rechts der Nachrichtendienste unseres Landes. Dass aber neben die erheblich ausgeweiteten Befugnisse eine verbesserte Kontrolle gestellt wird, ist nicht vorgesehen. Eine Regelung, wonach die Geheimdienstchefs ihr sensibles Wissen nach Ende des Dienstes nicht mehr versilbern dürften, findet sich auch nicht darin.

Die Haftbefehle gegen Hanning und seinen BND-Adlatus Manfred D. wurden heute durch einen Ermittlungsrichter des Bundesgerichtshofs in Vollzug gesetzt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In Sachsen-Anhalt steht die Machtübernahme durch eine als rechtsextrem eingestufte Partei bevor. Das Projekt „Safeguarding Research and Culture“ will nun vorsorglich Daten sichern und ruft zur Mithilfe auf. Vorbild sind ähnliche Aktionen zur Datenrettung aus den USA.

Mit dem Projekt Safeguarding Research and Culture (SRC) wollen Freiwillige öffentliche Daten aus Sachsen-Anhalt sichern. Anlass ist der Sieg der als rechtsextrem eingestuften AfD bei der Landtagswahl Anfang September und die Aussicht auf eine AfD-Regierung. Die Befürchtung: Relevante Inhalte könnten aus dem Netz verschwinden, auch wenn es dazu noch keine bekannten Pläne gibt.

„Wir sehen Informationen auf Regierungs- und Behördenwebseiten gefährdet, ebenso die Daten landeseigener Gesellschaften“, schreibt die Initiative auf ihrer Website. „Dazu kommen noch die (Kultur-)Einrichtungen und Initiativen, deren Arbeit durch die bereits angekündigten Kürzungen von Fördermitteln gefährdet ist.“

Laut eigener Webseite gründete sich SRC im Kontext von Trumps Wahlsieg im Januar 2025. Dahinter steckt der Historiker Henrik Schönemann.

SRC ist nicht das erste Projekt dieser Art. Auch in der Ukraine, in Hongkong und den USA haben Hunderte Freiwillige weltweit öffentliche Daten gesammelt und vor dem Verlust bewahrt. Nach eigenen Angaben war SRC bereits an der Sicherung von Hunderten Terabytes an Forschungsdaten und archivierten Webseiten in den USA beteiligt, da nach der Wiederwahl Donald Trumps zahlreiche staatliche Datensätze gelöscht oder verändert wurden. Betroffen sind unter anderem Gesundheits‑, Umwelt- und Bildungsdaten, aber auch Informationen zu Themen wie Geschlecht und sexueller Identität.

Kulturelles und wissenschaftliches Erbe sichern

SRC kündigte letzte Woche an, auch in Sachsen-Anhalt aktiv zu werden. Einerseits will die Initiative Regierungs- und Behördenwebseiten systematisch archivieren. Öffentliche Informationen sollen damit zugänglich und nachvollziehbar bleiben, auch wenn später Inhalte geändert oder entfernt werden.

Zum anderen bietet die Initiative bedrohten Einrichtungen, Projekten oder Initiativen eine dezentrale Speicherung ihrer digitalen Materialien an. Auf diese Weise will SRC gefährdete Daten archivieren und öffentlich zugänglich halten, auch für den Fall, dass Initiativen ihre Arbeit einstellen müssen oder Fördermittel wegfallen.

„Gemeinsam können wir dafür sorgen, dass unser kulturelles, geistiges und wissenschaftliches Erbe in mehreren Kopien und an mehreren Orten existiert, und dass keine einzelne Institution oder Gruppe von Institutionen es vollständig verschwinden lassen kann“, schreibt die Initiative auf Englisch auf ihrer Webseite.

Diese Menschen retten Daten vor der Trump-Zensur

Interessierte können helfen

SRC ruft deshalb zur Mithilfe auf. Über ein anonymes Formular können Interessierte Webseiten zur Archivierung vorschlagen. Außerdem bittet die Initiative darum, betroffene Einrichtungen und Projekte in Sachsen-Anhalt auf das Unterstützungsangebot aufmerksam zu machen und den Aufruf zu teilen.

Am gestrigen Dienstag ist der neu gewählte Landtag in Magdeburg zum ersten Mal zusammengekommen. Mit Stimmen von BSW und anscheinend auch einzelnen CDU-Abgeordneten hat das Parlament einen AfD-Landtagspräsidenten gewählt.

Die AfD gewann die Landtagswahl mit 43,8 Prozent der Stimmen, für die absolute Mehrheit fehlen jedoch drei Sitze. In ihrem Wahlprogramm kündigt die AfD einen autoritären Staatsumbau an. Die Landeszentrale für politische Bildung soll zum Beispiel abgeschafft und durch ein „Landesinstitut für staatspolitische Bildung und kulturelle Identität“ ersetzt werden. Eine Regierungsbildung steht bislang noch aus.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Wer Europa als Opfer eines digitalen Kolonialismus inszeniert, negiert historisches Unrecht und übersieht den Ausweg aus Europas selbstverschuldeter Unmündigkeit. In dieser Debatte vergaloppiert sich nicht nur Kulturstaatsminister Wolfram Weimer. Ein Widerspruch.

Sven Hilbig ist Referent für Handelspolitik und Digitalisierung bei Brot für die Welt. Ingo Dachwitz ist Journalist bei netzpolitik.org. Ihr gemeinsames Buch „Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen“ erschien 2025 bei C.H. Beck und war für den Deutschen Sachbuchpreis nominiert.

---

Ist Europa eine Kolonie von Tech-Konzernen aus den USA und China? In der Debatte um digitale Souveränität ist diese Behauptung immer wieder zu hören, von der grünen EU-Politikerin Alexandra Geese über die Gesellschaft für Informatik bis zum konservativen Kulturstaatsminister Wolfram Weimer. Weimer sagte vor einem Jahr anlässlich der Eröffnung der Frankfurter Buchmesse über KI-Firmen, die ihre Modelle ohne Erlaubnis mit europäischen Kulturgütern füttern: „Ich nenne das digitalen Kolonialismus, den wir nicht länger hinnehmen dürfen.“

Und es stimmt: Europas Abhängigkeit ist groß. Bei Browsern und Betriebssystemen bleibt vielen nur die Wahl zwischen zwei Anbietern. Die Websuche dominiert Google mit einem Marktanteil von rund 80 Prozent. Bei Sozialen Medien kommt hinter Meta und TikTok lange nichts. Amazon, Microsoft und Google teilen sich drei Viertel des weltweiten Cloud-Geschäfts. Die öffentliche Verwaltung läuft fast ausschließlich auf Microsoft; der Bund zahlt dafür jährlich mindestens eine Milliarde an Lizenzgebühren.

Auch bei KI dominieren eine Handvoll chinesischer und vor allem US-amerikanischer Konzerne den Markt, die EU sitzt mal wieder auf der Zuschauerbank. Und doch führt die Rede von Europa als digitaler Kolonie aus maßgeblich zwei Gründen in die Irre.

Wie Europa vom digitalen Kolonialismus profitiert

Erstens negiert diese Behauptung, wie stark wir im digitalen Bereich selbst von kolonialen Macht- und Ausbeutungsverhältnissen profitieren. Im Rennen um strategisch wichtige Tech-Rohstoffe ist Europa wenig zimperlich. Metalle wie Lithium, Kupfer oder Gold werden für die Chip-Produktion genauso gebraucht wie für Raumfahrt- und Rüstungsprojekte. In Europa gibt es kaum förderbare Vorkommen, weshalb man bei der Beschaffung Umweltschäden und Menschenrechtsverletzungen anderswo in Kauf nimmt.

Kobalt ist ein wichtiger Baustein wiederaufladbarer Batterien in Smartphones, E‑Autos und Batteriespeichern in Rechenzentren. Drei Viertel der weltweiten Fördermenge stammen aus der Demokratischen Republik Kongo. Schon vor 150 Jahren ließ der belgische König Leopold II. die Region auf der Jagd nach Elfenbein und Kautschuk bestialisch ausbeuten. Heute extrahieren dort chinesische, nordamerikanische und europäische Bergbaukonzerne wichtige Tech-Rohstoffe wie Kobalt. Dass es bei seinem Abbau zu Kinderarbeit, tödlichen Unfällen und Zwangsvertreibungen kommt, ist gut dokumentiert. Trotzdem ist das Land seit 2023 strategischer Rohstoffpartner der EU.

Den Rohstoffhunger treiben aber nicht nur vom KI- und Rüstungs-Boom an, sondern auch der private Verbrauch. Allein zwischen 2018 und 2023 hat sich die Zahl digitaler Geräte laut einem UN-Bericht in Westeuropa pro Person von 5,6 auf 9,4 fast verdoppelt. Der dadurch entstehende Elektroschrott landet teilweise auf riesigen Müllhalden in Ländern wie Ghana, wo junge Männer, Frauen und Kinder ohne Schutzausrüstung das Recycling übernehmen und dabei giftige Dämpfen einatmen.

Überwachungsstaat made in Europe

Auch in anderen Bereichen ist Europa Profiteurin des digitalen Kolonialismus. Digitale Dienste wie KI-Anwendungen und Soziale Medien würden ohne die manuelle Arbeit von Millionen Geisterarbeiter:innen kaum funktionieren. Diese Menschen bereiten Daten für die Nutzung in KI-Modellen auf, trainieren mit ihrem Feedback Algorithmen oder säubern Soziale Medien von gewalttätigen Inhalten.

Zwischen 154 und 435 Millionen Menschen sind nach Schätzungen der Weltbank hinter den Kulissen der digitalen Welt tätig, überwiegend in Ländern wie Indien, Kenia oder auf den Philippinen. In der Regel sind diese Menschen bei Outsourcing-Firmen unter schlechten Bedingungen beschäftigt – schlecht bezahlt und alleingelassen mit den psychologischen Folgen ihrer Tätigkeit. Während europäische Nutzer:innen von sicheren Anwendungen profitieren, verdienen auch europäische Outsourcing-Unternehmen mit der Ausbeutung gutes Geld.

Gleichzeitig verkaufen europäische Hersteller von Überwachungsprodukten ihre Repressionswerkzeuge in Krisengebiete und helfen Diktatoren weltweit dabei, ihre Bevölkerung zu unterdrücken. Zuletzt sorgte ein Staatstrojaner namens Predator für Aufsehen, der von der israelisch-europäischen Intellexa Alliance vertrieben wird und unter anderem zur Überwachung von Oppositionellen in Madagaskar und Vietnam genutzt wurde. Bereits seit den 2000er-Jahren exportieren auch deutsche Firmen digitale Abhörtechnik, Spyware und Videoüberwachung in Länder wie Ägypten, Syrien, Bahrain und den Iran.

Wer von Europa nur als Opfer des digitalen Kolonialismus spricht, blendet unsere Verflechtung in eine immer noch kolonial geprägte globale Macht- und Wirtschaftsordnung aus und relativiert zugleich das historische Unrecht, das in den vergangenen sechshundert Jahren von Europa ausgegangen ist.

Europa kann mehr, als wir denken

Zweitens verstellt die Rede von Europa als digitale Kolonie den Blick auf die enormen Möglichkeiten, die wir haben, um die Digitalisierung nach unseren Werten zu gestalten. Das gilt zunächst einmal vor allem für den rechtlichen Rahmen, dessen Wirkung man nicht unterschätzen sollte. Es kommt nicht von ungefähr, dass das Silicon Valley in einer Allianz mit dem Weißen Haus Regelwerke wie den Digital Services Act unter Beschuss nimmt: In Sachen Digitalregulierung ist die EU heute schon eine Großmacht. Weil sie damit nicht nur ideelles Vorbild ist, sondern weltweit Standards setzt, ist der sogenannte „Brüssel-Effekt“ zum geflügelten Wort geworden.

Doch auch jenseits der Regulierung hat Europa alles, was es braucht, um digital unabhängig zu werden – von Spitzenforschung über Wagnis-Kapital bis zu Pionier:innen und wettbewerbsfähigen Unternehmen im Bereich Open-Source-Technologien. Die EU-Kommission zählt in diesem Bereich europaweit mehr als drei Millionen Mitwirkende und 500 gewinnorientierte Unternehmen. Nicht nur der internationale Strafgerichtshof hat kürzlich von Microsoft auf eine offene Lösung aus Deutschland umgestellt.

Statt uns als Opfer des digitalen Kolonialismus zu verstehen, sollten wir deshalb lieber gemeinsam mit Ländern des Globalen Südens an technologischer Unabhängigkeit arbeiten. Die Forderung nach „digitaler Souveränität“ ist schließlich von europäischen Ländern genauso zu hören wie von Staaten in Afrika, Asien und Lateinamerika. Angesichts ähnlicher konzeptioneller Vorstellungen und Visionen sollten Bundesregierung und EU-Kommission daher Partnerschaften in den Digital- und Wirtschaftsbeziehungen zwischen Europa und demokratischen Ländern des Globalen Südens anstreben.

Neue Bündnisse

Wenn wir unsere Souveränität nicht auf dem Rücken des Globalen Südens errichten wollen, kommen wir aber an einer grundsätzlichen Neuausrichtung der europäischen Rohstoffpolitik nicht vorbei. Mit dem kolonialen Modell des Extraktivismus muss endgültig Schluss sein: Länder, in denen Rohstoffe abgebaut werden, müssen davon auch profitieren. Der Aufbau von Raffinerien zur Weiterverarbeitung von Kobalt und Lithium oder von Batteriefabriken könnte ein gemeinsames Projekt von europäischer und lokaler Industrie sein, von dem alle Beteiligten profitieren.

Nachdem die EU ihr Lieferkettengesetz bis zur Unkenntlichkeit ausgehöhlt hat, braucht es zudem einen neuen Ansatz, um Konzerne für Umweltschäden und Menschenrechtsverletzungen wirksam zur Verantwortung zu ziehen.

Auch bei Infrastruktur-Projekten wie der EU-Initiative Global Gateway muss Europa umdenken: Anstatt afrikanische Länder beim Bau von Eisenbahnstrecken und Unterseekabeln vor vollendete Tatsachen zu stellen, sollte die EU gemeinsam mit ihnen überlegen, was den Interessen aller Beteiligten dient. Zudem könnte der Aufbau einer gemeinsamen Open-Source-Industrie mit offenen digitalen Ökosystemen als Alternative zu den dominierenden Diensten der digitalen Supermächte Eckpfeiler einer partnerschaftlichen Souveränität werden.

Wer für das wirtschaftsethische Argument nicht empfänglich ist, lässt sich vielleicht vom geostrategischen überzeugen. Die internationale Ordnung ändert sich rasant: US-Präsident Trump wendet sich zunehmend von der EU ab, steht der Union teilweise sogar feindlich gegenüber. Während alte Gewissheiten und Partnerschaften wegbrechen, eröffnet der vorgeschlagene Weg Perspektiven auf neue Bündnisse. In der multipolaren Welt braucht Europa neue Partner mehr denn je.

Voraussetzung dafür wäre, dass wir konsequent das historische Unrecht des europäischen Imperialismus aufarbeiten. Außerdem sollten wir anerkennen, wie sehr sein Vermächtnis globale Machtverhältnisse bis heute prägt. Ein erster Schritt bestünde darin, nicht mehr mit schiefen historischen Vergleichen zu arbeiten.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Wenige Monate vor ihrem Start fehlten der digitalen Brieftasche entscheidende Funktionen, kritisierten Fachleute bei einer Anhörung im Bundestag. Verbesserte Sicherheit sei nötig, um Vertrauen für d‑you zu schaffen.

Vertrauen ist entscheidend für den Erfolg der digitalen Brieftasche. Das machten 14 Sachverständige in einer Anhörung im Bundestag am Dienstag deutlich. Und viele von ihnen bezweifeln, dass die staatliche Wallet „d‑you“ dafür die Voraussetzungen mitbringt.

In der Anhörung ging es um das Digitale Identitätengesetz, über das der Bundestag derzeit verhandelt. Es soll die rechtliche Grundlage für die staatliche Wallet liefern. Die digitale Brieftasche soll am 2. Januar 2027 starten – und damit in weniger als drei Monaten. In der Smartphone-App sollen Bürger:innen künftig digitale Ausweisdokumente, Zeugnisse und Hotelreservierungen ablegen können.

Zu Beginn soll allerdings nur die Ausweisfunktion verfügbar sein, später folgen Führerschein und ein Lichtbildnachweis. Erst danach sollen schrittweise weitere Funktionen hinzukommen, die auch für mehr Sicherheit sowie Verbraucher- und Datenschutz sorgen sollen.

Fachleute warnen vor „Cookie-Banner 2.0“

So fehlen zum Start essenzielle Schutzfunktionen wie pseudonyme Logins, Zero-Knowledge-Proofs und die selektive Datenfreigabe. Was etwas sperrig klingt, hat handfeste Folgen im digitalen Alltag: Sie ermöglichen es Nutzer:innen, ihre Identität zu schützen oder nur das Allernotwendigste an Informationen preiszugeben. Ohne diese Funktionen bietet die Wallet ausschließlich eine Klarnamen-Identifizierung, wie etwa der Vertreter des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), Andreas Hartl, betonte.

Anders als in anderen EU-Staaten gebe es in Deutschland „keinerlei Prüfung, ob es verhältnismäßig ist, welche Daten abgefragt werden“, sagte Thomas Lohninger von der österreichischen Bürgerrechtsorganisation epicenter.works. Er befürchtet in seiner Stellungnahme, dass Unternehmen gleich zu Beginn übermäßig viele Daten aus der Wallet abfragen. Damit schaffe die Bundesregierung zugleich einen De-facto-Standard, der alles andere als datenschutzfreundlich ist, heißt es in der Stellungnahme von Bianca Kastl vom Innovationsverbund Öffentliche Gesundheit (InÖG).

Lina Ehrig vom Verbraucherzentrale Bundesverband (vzbv) kritisierte, dass die Verantwortung für den Datenschutz auf die Nutzer:innen abgewälzt werde. Wie bei den Cookie-Bannern könnten sie davon überfordert sein, die richtigen Daten freizugeben, so Ehrig.

„Signierte Daten verfolgen Menschen ein Leben lang“

Eine übermäßige Datenweitergabe wiege umso schwerer, weil die Daten kryptografisch signiert werden, mahnten mehrere Fachleute. Diese verifizierten Daten tragen damit so etwas wie ein staatliches Echtheitssiegel, das sie auch überaus wertvoll für Datenhandel und Identitätsdiebstahl macht, warnte Bianca Kastl.

Besonders kritisch werteten die Fachleute die Entscheidung der Bundesregierung, das biometrische Lichtbild verpflichtend in die Wallet aufzunehmen, das damit ebenfalls signiert werde. „Signierte Daten verfolgen Menschen ein Leben lang“, sagte Thomas Lohninger.

Auch die Entscheidung, ein Cloud-basiertes Hardware-Sicherheitsmodul als Sicherheitsanker zu verwenden, sieht Kastl kritisch. Dieser Ansatz schaffe einen zentralen „Single Point of Failure“, der „das Schadensausmaß bei Datenabflüssen massiv“ erhöhe und dem Prinzip Security by Design widerspreche.

Thorsten Lodderstedt von der Common Codes GmbH, die für das Digitalministerium die staatliche Wallet entwickelt, verteidigte die Architekturentscheidung. Sie böte „die beste Balance aus Sicherheit, Datenschutz und Nutzerfreundlichkeit“. Auch Frankreich habe diesen Weg aus diesen Gründen eingeschlagen.

Mehr Kontrolle bei „vertrauenden Beteiligten“

Statt die Verantwortung für den Datenschutz auf die einzelnen Nutzer:innen abzuwälzen, schlugen die Fachleute gleich mehrere Alternativen vor.

Jiska Classen von der Universität Potsdam forderte, dass nur Smartphones mit einem sogenannten Sicherheitselement die Wallet verwenden sollten, also mit einer zertifizierten, separaten Hardwarekomponente. Zudem brauche es eine bessere Haftungsregelung für den Fall einer missbräuchlichen Nutzung bei einem gehackten Gerät.

Außerdem forderten gleich mehrere Fachleute, im Digitale Identitätengesetz ein risikobasiertes Registrier- und Prüfverfahren für Diensteanbieter vorzusehen. Wenn sich Banken, Online-Shops oder Behörden registrieren, sollte die Aufsichtsbehörde vorab prüfen, ob die sogenannten „vertrauenden Beteiligten“ ausschließlich das zwingend erforderliche Minimum an Daten anfordern. Sensible Daten sollten sie zudem nur dann erhalten, wenn dafür eine explizite gesetzliche Verpflichtung besteht. Das kann etwa bei einer Kontoeröffnung der Fall sein. Soziale Plattformen benötigen hingegen keine Adressdaten.

Ein öffentlich zugängliches Verzeichnis sollte dann transparent aufzeigen, welche Daten etwa Unternehmen zu welchem Zweck und auf welcher Rechtsgrundlage abfragen dürfen. „Die eIDAS-Verordnung sollte eine Alternative zu Google und Co. schaffen“, erinnerte Lohninger in der Anhörung an die Ursprünge der Wallet. „Ich habe aber große Sorge, dass die Konzerne von der Wallet profitieren könnten.“ Nur mit strikten Regeln und größtmöglicher Transparenz ließe sich deren Datenhunger einhegen.

Das Recht aufs Pseudonym

Benötigt ein Wallet-Angebot nicht zwingend einen Ausweis, sollte die Nutzung von Pseudonymen der Standard sein, so eine weitere Forderung. Nutzer:innen können dann selbstgewählte Namen wie „brieftaube123“ verwenden, die keine Rückschlüsse auf ihre wahre Identität zulassen. Dass es diese Möglichkeit zum Start der Wallet nicht gebe, wertet der Bundesdatenschutzbeauftragte gestern als „misslich“.

Ein Pseudonym verhindere „Über-Identifizierung“, Tracking und kommerzielle Profilbildung, sagte auch Bianca Kastl. Sie verweist in ihrer Stellungnahme auf die Recherchen zu den Databroker Files von netzpolitik.org. Diese hätten gezeigt, „wie allein durch Metadaten umfassende, standortgenau aufgelöste Profile von Personen geschaffen werden können“. Die Wallet drohe dieses Problem noch zu verschärfen.

Lina Ehrig vom vzbv warnt zudem davor, dass Anbieter digitaler Brieftaschen Rabatte und Zusatzfunktionen anbieten könnten, wenn Nutzer:innen im Gegenzug zustimmen, dass Nachweise aus der digitalen Brieftasche über verschiedene Dienste hinweg verknüpft werden dürfen. Der Verband fordert ein klares Verbot solcher Koppelungsgeschäfte. „Nur so kann verhindert werden, dass die digitale Brieftasche zu einem Instrument der bereichsübergreifenden Profilbildung wird“, schreibt der Verband in seiner Stellungnahme.

Gegen den schleichenden Zwang

Darüber hinaus sollte es den Nutzer:innen überlassen bleiben, das Lichtbild in ihre Wallet hochzuladen. Dadurch sollten ihnen keine Nachteile entstehen, wie es auch die technischen Vorgaben der EU-Kommission vorsehen.

„Es braucht daher dringend wenigstens eine Opt-Out Option, mit der sich Nutzer:innen gegen eine Speicherung ihres biometrischen Lichtbilds in der digitalen Brieftasche entscheiden können“, schreibt der vzbv. Und Thomas Lohninger ergänzte: „Vertrauen wird mühsam verdient, der schnellste Weg, es zu verlieren, ist Menschen zu etwas zu zwingen.“

Die Fachleute warnten auch davor, dass die Wallet selbst nach und nach faktisch verpflichtend werden könnte. Digitale Identitätssysteme in anderen Ländern wie etwa Indien seien im Laufe der Zeit zur Voraussetzung geworden, um etwa Verwaltungsdienste nutzen zu können, wie Lohninger ausführte.

So könnten beispielsweise immer mehr staatliche Stellen auf die Wallet als Standardvoraussetzung für ihre Dienstleistungen setzen. Lehrer:innen könnten etwa von ihren Schulen dazu gezwungen werden, die Wallet bei internen IT-Systemen zu verwenden, sagte Lohninger.

„Vergessen Sie nicht die Müllabfuhr“

Verstoßen Unternehmen gegen Auflagen, sollten Nutzer:innen das anonym an eine unabhängige Anlaufstelle melden können. Diese Meldung sollte bestenfalls direkt und „medienbruchfrei“ aus dem geplanten Datenschutz-Dashboard der App erfolgen, fordert Kastl.

Das Dashboard soll Nutzer:innen in der Wallet eine Übersicht etwa über die angeforderten, geteilten und gelöschten Daten bieten. Bisher fehlt dieses Kontrollwerkzeug in „d‑you“, weil die EU-Kommission die Protokolle für Löschanfragen und Beschwerden noch nicht umgesetzt habe.

Bei Verstößen sollten die relying parties auch sanktioniert werden. Die Strafe solle so weit gehen, dass etwa Unternehmen die Registrierung entzogen wird und sie aus dem Wallet-Ökosystem ausgeschlossen werden. „Sie bauen hier ein Ökosystem, vergessen Sie nicht die Müllabfuhr“, sagte Thomas Lohninger in Richtung der Bundestagsabgeordneten.

Vertrauen muss man sich verdienen

Angesichts der Fülle an Defiziten bei Datenschutz und Sicherheit forderten der Bundesdatenschutzbeauftragte und Thomas Lohninger mindestens eine Übergangslösung zum Start der Wallet: Zu Beginn sollte sie demnach nur dort zum Einsatz kommen, wo eine gesetzliche Ausweispflicht besteht. Erst wenn die Nutzer:innen etwa Pseudonyme nutzen könnten, sollte der Einsatzkreis erweitert werden.

Ähnlich sieht das Bianca Kastl: „Ein Start mit einer nicht datensparsam nutzbaren Wallet stellt einen erheblichen Mangel dar“. Sie fordert ebenso wie der vzbv, dass die Wallet erst dann „im Verbraucherkontext“ eingesetzt wird, wenn sie datensparsame Kernfunktionen bietet.

Darüber hinaus fordern die Fachleute, dass vor dem Start der Wallet eine umfassende Datenschutz-Folgenabschätzung erstellt wird. Bis dato liege weder eine solche Folgenabschätzung vor, noch gebe es ein verbindliches Bekenntnis zu einer unabhängigen Datenschutz-Zertifizierung. „Die Veröffentlichung einer solchen Betrachtung“, schreibt der BfDI, „würde Transparenz und eine Vertrauensgrundlage schaffen.“

Offenlegung: Bianca Kastl schreibt eine monatliche Kolumne auf netzpolitik.org.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Mit der Deutschland-App will Digitalminister Karsten Wildberger die öffentliche Verwaltung zügig digitalisieren. Umsetzen soll das Projekt die Telekom. Doch die Bundesregierung hat keinen Überblick darüber, was der Konzern genau macht, wie die Antwort der Bundesregierung auf eine Kleine Anfrage zeigt.

Die öffentliche Verwaltung zu digitalisieren und den Staat zu modernisieren, hat sich Digitalminister Karsten Wildberger (CDU) von Anfang an auf die Fahnen geschrieben. Sein Ziel sei ein Staat, „der mehr kann“, so der Minister in seiner Rede zur Haushaltsdebatte. Dabei inszeniert er sich als Anpacker, der tiefsitzende Probleme der Digitalisierung überwindet, etwa fehlende IT-Standards oder föderale Hürden.

Wildbergers Mittel der Wahl ist generative KI: Sie bildet auch die Basis seiner Verwaltungsplattform und der damit verbundenen Deutschland-App. Die Vision: Bürger*innen nutzen die App, können darüber Anträge stellen oder Termine beim Amt buchen. Die KI soll Verwaltungsleistungen sowie ‑informationen für Bürger*innen hier zentral zugänglich machen und zwar über Ländergrenzen hinweg. Ein solcher Zugang scheitert bislang daran, dass die Systeme der verschiedenen föderalen Ebenen häufig nicht miteinander kompatibel sind.

So überzeugt sich Wildberger bei der Haushaltsdebatte auch gibt, zum Projekt kann er bislang wenig Konkretes sagen. Das zeigt die noch unveröffentlichte Antwort der Bundesregierung auf eine Kleine Anfrage der Linken zum „Entwicklungsstand der Deutschland-App“.

Unklarheit über beteiligte Firmen

Welche Firmen sind an der Umsetzung beteiligt? Wie viel kostet das Projekt und mit welchen Kosten ist noch zu rechnen? Welche Funktionalitäten soll die Deutschland-App umfassen? Wie läuft die Abstimmung mit den Pilotkommunen? Diese Fragen kann die Bundesregierung nicht oder nur vage beantworten.

In großen Teilen zieht sie sich auf die Position zurück, dass die Generalunternehmerin des Projekts die Details verantwortet. Generalunternehmerin ist die Deutsche Telekom, genauer die T‑Systems International GmbH. Sie soll einen „Prototyp der KI-basierten Verwaltungsplattform und der App entwickeln“.

Im Mai wurde bekannt, dass die Telekom mit dem Software-Hersteller SAP zusammenarbeiten will. Auch Schwarz Digits wurde als Auftragnehmer bekannt. In ihrer Antwort jedoch weiß die Bundesregierung nichts zu SAP und Schwarz Digits und ihrer Beteiligung am Projekt und ihren Aufgabenbereichen zu sagen.

Die „Nachunternehmer und Lieferanten“ wähle die Telekom aus, schreibt die Bundesregierung. Die übernehme auch die Steuerung des Projekts und entscheide selbstständig, welche Entwicklungsaufgaben sie an wen vergibt.

Unklarheit über Kosten

Den Auftrag für das Projekt habe die Telekom nicht über eine Ausschreibung bekommen. Stattdessen habe der Bund „bestehende Rahmenverträge“ genutzt; diesen sei „jeweils ein wettbewerbliches Vergabeverfahren vorausgegangen; eine erneute Ausschreibung war für den Abruf nicht erforderlich“. Gerüchte darüber, die Vergabe sei über GovTech Deutschland erfolgt, räumt die Bundesregierung mit einem klaren „Nein“ aus.

Produktmanagement, Testing und Produktsteuerung sollen ITZBund, die Wirtschaftsprüfungsgesellschaft KPMG AG und die Beratungsfirma Capgemini Deutschland GmbH übernehmen – in der ersten Phase des Projekts. Mit diesen drei Unternehmen hat die Bundesregierung bereits Rahmenverträge. Das maximale Volumen für alle liegt bei 1,2 Millionen Euro. Ob die voll ausgeschöpft werden, hänge davon ab, „ob und in welchem Umfang im Projektverlauf des Piloten verschiedene Bausteine, optionale Leistungen oder Unterstützungsbedarfe beauftragt werden“, so die Bundesregierung.

Welche Kosten des Projekts bislang entstanden sind, scheint die Bundesregierung hingegen nicht auf dem Schirm zu haben, auch nicht, mit welchen Kosten sie noch rechnet.

Zeitrahmen und Funktionalitäten unklar

Über den zeitlichen Rahmen des Projekts kann die Bundesregierung ebenfalls keine Angaben machen. Auch darüber entscheide die Telekom als Generalunternehmerin. Mit ihr sei lediglich vereinbart, das Projekt in zwei Stufen umzusetzen: in „einem Proof of Concept und einem darauf aufbauenden Minimum Viable Product mit anschließendem Friendly User Test“.

Zur Frage danach, welche Funktionalitäten für die Deutschland-App Telekom und Co. entwickeln sollen, gibt die Bundesregierung keine Antwort. Sie gibt lediglich an: Die Telekom solle den Prototyp für Plattform und App konzipieren und einführen, mit ausgewählten „Verwaltungsleistungen aus den Bereichen Familie, Wohnen, Soziales und Unternehmensgründung“. Weitere Einzelheiten könne man nicht preisgeben, „da Betriebs- und Geschäftsgeheimnisse Dritter sowie sicherheitsrelevante Belange betroffen“ seien.

Die Pilotkommunen Dortmund, Dresden, Erfurt, Hamburg, Nürnberg und Wiesbaden sollen den Prototyp testen. Wie die Bundesregierung bestätigt, finden während der Pilotphase mehrere Treffen der Kommunen, des BMDS und T‑Systems statt. Dokumentiert werden die jedoch nicht, zumindest kann die Bundesregierung keine „vollständige Aufstellung sämtlicher Treffen einschließlich Datum, Thema und Teilnehmenden“ liefern, obwohl doch mindestens „die Stunden der Unternehmensvertreter*innen über ihren Stundensatz für diese Treffen auch bezahlt werden“, gibt Sonja Lemke (Die Linke) gegenüber netzpolitik.org zu bedenken. Sie ist Sprecherin für Digitale Verwaltung und Open Government für die Linksfraktion im Bundestag.

Zweifelhaft sei auch, wie gut die Beteiligten aus Wirtschaft und Bundespolitik das Projekt umsetzen könnten, immerhin sei nicht klar, ob sie „Kompetenzen im Bereich kommunaler Verfahren“ haben, erklärt Lemke. Zu befürchten sei, dass dieser „entwickelte Prototyp nicht auf andere Kommunen oder Verfahren übertragbar sein“ wird.

Neue Abhängigkeiten

Auf der anderen Seite bestehe hier die Gefahr, sich von großen Firmen abhängig zu machen, mahnt Lemke. Die würden sich auf „die kommunalen Verfahren und Besonderheiten“ spezialisieren, um Kommunen als Kundinnen zu binden. Über den Lock-in-Effekt könnten Telekom und SAP Kommunen langfristig Konditionen und „Preise diktieren“.

Kritik an der Deutschland-App kommt indes auch vom eigenen Koalitionspartner. Im August monierte die SPD in einem internen Papier unter anderem, dass die Deutschland-App einen Chatbot vorschalte und „nicht am Alltag der Menschen“ orientiert sei. Auch Lemke kritisiert, was bisher bei der Verwaltungsdigitalisierung versäumt wurde, könnten KI-Systeme nicht lösen. Sie würden „oberflächlich Ordnung schaffen und mit hübschem Interface Bürger*innen vorgaukeln, die Verwaltung sei jetzt durch und durch digitalisiert“, so Lemke.

Die Software für die Deutschland-App soll in einer „KI-Cloud“ laufen. Sie ist Teil des Großprojekts IT-Infrastruktur für die öffentliche Verwaltung. Für deren Umsetzung hat das BMDS gut 250 Millionen Euro veranschlagt.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die französische Regierung bekämpft die landesweiten Schülerproteste mit Repression und Polizeigewalt. Polizeiexperten und Menschenrechtsorganisationen kritisieren Massenverhaftungen und Übergriffe. Hunderttausende schreckt die Gewalt nicht ab, sie demonstrieren im ganzen Land weiter.

Die Schülerproteste in Frankreich haben am 6. Oktober einen neuen Höhepunkt erreicht. 1.800 Schulen sind mittlerweile in ganz Frankreich geschlossen, berichtet die Zeitung Libération. Dem Protest haben sich nun auch Gewerkschaften und Eltern angeschlossen – aus Solidarität, aber auch zum Schutz vor Gewalt, wie Marc Berthold, Frankreich-Direktor der Böll-Stiftung, schreibt und von der Straße berichtet. Das traditionell tiefstapelnde Innenministerium sprach von 250.000 Teilnehmenden landesweit, der französische Gewerkschaftsbund von 450.000 – alleine in Paris sind am Dienstagnachmittag Zehntausende auf der Straße.

Seit Ende September gibt es in Frankreich landesweit Proteste gegen schlechte Bedingungen an den weiterführenden Schulen. Die Schüler:innen fordern unter anderem mehr Lehrkräfte, kleinere Klassen, eine Sanierung von Schulgebäuden sowie eine bessere finanzielle Ausstattung der Schulen des Landes und mehr Chancengleichheit.

Bei den Protesten der vergangenen Wochen hatte es immer wieder Ausschreitungen gegeben. Die Polizei reagierte auf diese mit großer Härte: Sie setzte Knüppel, Gummigeschosse, Tränengas und sogar Blendgranaten gegen die Demonstrierenden ein. Beim Einsatz dieser Waffen verlor ein 15-Jähriger seine Hand und ein 16-Jähriger sein Augenlicht. Mehr als 190 Schüler:innen wurden bislang verletzt, berichtet der Spiegel. Tendenz steigend.

Inzwischen hat die Polizei mehr als 5.000 Protestierende vorübergehend festgenommen, davon fast 90 Prozent Minderjährige. Es brodelt im Land und die repressive Strategie der Regierung scheint nicht aufzugehen, sondern immer mehr Menschen auf die Straße zu treiben.

„Keine andere Polizei in der EU, die ähnlich brutal vorgeht.“

Das bisherige Vorgehen der Polizei steht massiv in der Kritik. Amnesty International forderte am Montag die Behörden auf, den Demonstrierenden „die Ausübung ihres Rechts auf friedliche Demonstration zu schützen und zu ermöglichen.“ Jede polizeiliche Reaktion müsse rechtmäßig, notwendig und verhältnismäßig sein, und die Behörden müssten unnötigen und übermäßigen Einsatz von Gewalt vermeiden“, sagte Anne Savinel-Barras, Präsidentin von Amnesty International Frankreich. Die Menschenrechtsorganisation kritisierte den Einsatz von Tränengas, Gummigeschossen, Knüppeln und willkürliche Festnahmen.

Der französische Polizeiexperte und Professor für Politikwissenschaft an der Universität Grenoble, Sebastian Roché, spricht angesichts der Zahl der Schüler, die irreversible Verletzungen erlitten haben, im Vergleich zu früheren Protesten von einer „Eskalation der polizeilichen Gewalt“. Die Methoden selbst seien nicht neu und entsprächen einem Wandel in der Vorgehensweise der Ordnungskräfte, der in Frankreich seit 2016 zu beobachten sei, so Roché gegenüber netzpolitik.org.

Eine solche Häufung schwerwiegender Vorfälle innerhalb von zehn Tagen im Zusammenhang mit einer Schülerbewegung sei allerdings ein Novum. „Die Zahl der Festnahmen ist beispiellos. Sie ist höher als während der landesweiten Unruhen von 2023, obwohl es sich hier lediglich um Blockaden von Schulen handelt, nicht um Plünderungen oder Angriffe auf Polizeistationen“, so Roché. Für ihn ist klar: „Ich kenne keine andere Polizei in der EU, die ähnlich brutal vorgeht.“

Menschenrechtsliga: „Kriegswaffen gegen Minderjährige“

Gemeinsam mit einer Reihe weiterer NGOs veröffentlichte die französische Menschenrechtsliga (LDH) am Montag eine Stellungnahme, die „Szenen unerhörter Gewalt“ und „Verhaftungen in einem noch nie dagewesenen Ausmaß“ sowie den Einsatz von „Kriegswaffen gegen Minderjährige“ kritisiert. Die Repression sei eine Missachtung des Grundrechts der Jugend auf freie Meinungsäußerung und ihrer Versammlungsfreiheit.

Die Unterzeichnenden fordern von der Regierung die Aufnahme eines Dialogs mit den Protestierenden, die Behandlung von Kindern als Schutzbedürftige, das Verbot von Kriegswaffen auf Demonstrationen sowie eine andere Polizeistrategie.

Die Stellungnahme, die unter anderem vom französischen Gewerkschaftsbund CGT, dem Verband der Elternbeiräte, Lehrergewerkschaften, sowie Studierenden- und Schülerverbänden unterzeichnet wurde, forderte zudem zur Teilnahme an den heutigen Demonstrationen auf. Die Idee dahinter: Die Schüler:innen durch die Teilnahme vor weiterer Gewalt zu schützen.

Dies geschah beipielsweise in Bordeaux, wo sich laut einem Bericht von Libération Erwachsene mit einer Menschenkette schützend um die Schüler:innen stellten. Überall aus dem Land sind Bilder zu sehen, bei denen sich Erwachsene nun den Protesten der Jugendlichen anschließen.

Französische Regierung hält Polizeieinsätze für „verhältnismäßig“

Am Nachmittag hat die französische Regierung die Aussetzung des Schulunterrichts von Mittwoch bis zum Wochenende angekündigt. Der französische Innenminister Laurent Nuñez rechtfertigte die Polizeieinsätze gegenüber France Inter als „verhältnismäßig“. Premierminister Sébastien Lecornu widersprach den Vorwürfen von Polizeigewalt und sagte, es handle sich um „Unfälle“. Polizeigewalt würde laut Lecornu suggerieren, dass es politische Anweisungen zur polizeilichen Repression gäbe. Das sei eine Lüge.

In Livestreams von den Protesten ist derzeit zu sehen, wie die Polizei in Paris mit Tränengas gegen die Demonstrierenden vorgeht. Medien berichten, dass wieder Blendgranaten eingesetzt werden.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Verhandlungen rund um den Daten-Omnibus im Rat sind in einer heißen Phase. Derzeit sieht es so aus, als würde die von NGOs kritisierte „Pauschalerlaubnis“ für KI-Training beschlossen. Während die Mitgliedstaaten kurz vor einer Einigung stehen, liegen die Lager im Europäischen Parlament noch weit auseinander.

Für die Datenschutz-Grundverordnung (DSGVO) könnte der morgige Mittwoch ein wichtiger Tag werden. Dann besprechen die Botschafter:innen der 27 EU-Mitgliedstaaten den Daten-Omnibus, das Gesetz, mit welchem unter anderen die DSGVO und ePrivacy-Verordnung geändert werden sollen. Ziel ist es, morgen eine Einigung zu finden, um in die nächste Phase übergehen zu können, den Trilog mit dem Parlament. Das geht unter anderem aus der Tagesordnung des Treffens hervor.

Seitdem der Daten-Omnibus im November letzten Jahres vorgestellt wurde, sind die Vorschläge der EU-Kommission stark debattiert worden. Die heftig kritisierte Änderung der Definition personenbezogener Daten ist im Rat vom Tisch. Sie hätte dazu geführt, pseudonymisierte Daten unter Umständen vom Geltungsbereich der Datenschutz-Grundverordnung auszunehmen. Laut dem aktuellen Entwurf der irischen Ratspräsidentschaft vom 2. Oktober können pseudonymisierte Daten für bestimmte Empfänger noch immer als nicht personenbezogene Daten gewertet werden. Dafür wurden Sicherheitsmaßnahmen für die Pseudonymisierung ergänzt.

„Pauschalerlaubnis“ für das KI-Training

Der Fokus der Kritik richtet sich stattdessen nun auf eine Klarstellung zur Rechtsgrundlage für die Nutzung von personenbezogenen Daten für das KI-Training. Der Entwurf hält fest, dass Unternehmen dafür keine Einwilligung benötigen sollen, sondern sich dabei auf ihr berechtigtes Interesse berufen können, sofern sie gewisse Standards einhalten.

Gegen diese als Pauschalerlaubnis kritisierte Lösung haben sich Organisationen wie noyb und die europäische European Digital Rights (Edri) ausgesprochen.

Auch im Rat gibt es Mitgliedstaaten, die diesem Punkt widersprechen. Spanien fordert zum Beispiel, dass Unternehmen weiterhin rechtfertigen müssen, wenn sie reale Daten nutzen wollen, wie es aus dem dortigen Digitalministerium heißt. Diese müssten dann anonymisiert werden. Bulgarien, Lettland und Estland widersprechen ebenfalls der Veränderung, da diese das technologieneutrale Prinzip der DSGVO verletzen würde. Das bedeutet, dass die DSGVO bislang nicht einzelne, konkrete Technologien reguliert, weil sie sonst für jede technische Neuerung angepasst werden müsste. Mit der Erlaubnis für das KI-Training würde sich das ändern, betont auch noyb. Im letzten Kompromisstext ist ein Widerspruchsrecht nach Artikel 21 der DSGVO für das KI-Training eingefügt worden, für das einige Länder geworben hatten.

Auf der anderen Seite gibt es einige Staaten, darunter Polen, Tschechien, Schweden und Dänemark, die sich kontinuierlich für weitere Veränderungen einsetzen. Der größte Druck kommt aber aus Deutschland. Wie Politico berichtete, stoppte Deutschland in Brüssel vor rund einer Woche eine Abstimmung zum Omnibus und brachte noch einen eigenen Vorschlag ein: bestimmte Unternehmen, gemeinnützige Organisationen und Einzelpersonen aus dem Anwendungsbereich der DSGVO auszunehmen.

Diese Idee stellte die Bundesregierung schon im Juli in ihrem Reformpaket vor. Demnach soll eine neue Kategorie von „Verarbeitern mit geringem Risiko“ eingeführt werden. Diesen stark kritisierten Vorschlag stufen Beobachter allerdings als unrealistisch ein und er wird auch von Deutschlands Unterstützern im Rat zum Teil nicht mitgetragen.

S&D‑Verhandlerin: „Keine Kompromisse beim Datenschutz“

Trotzdem habe Deutschland den Vorschlag einbringen wollen und einen gemeinsamen Standpunkt der Mitgliedstaaten blockiert, sagte die sozialdemokratische EU-Abgeordnete Marina Kaljurand bei einer Veranstaltung der Verbraucherorganisation BEUC am vergangenen Mittwoch. „Ich hoffe wirklich, dass sich der Rat einigen wird, den deutschen Vorschlag nicht unterstützen wird und auf seiner Sitzung im Oktober einen gemeinsamen Standpunkt festlegen wird“, bekräftigte Kaljurand. Sie ist im Europäischen Parlament gemeinsam mit Aura Salla (EVP) für die Arbeit am Omnibus verantwortlich. Derzeit gehen die beiden die über 1500 Änderungsanträge durch, die sie zu ihrem ersten Entwurf von anderen Abgeordneten erhalten haben, teilte sie mit. Die Parlamentsposition soll im Februar stehen. Erst danach kann der Trilog losgehen.

Kaljurand stellt sich deutlich gegen einige der geplanten Änderungen und sagte etwa bei der Veranstaltung von BEUC: „Für mich gibt es keine Kompromisse beim Datenschutz. Es wird nicht einfach werden, aber ich kann mir nicht vorstellen, dass wir durch die Aushöhlung der Grundrechte und des Datenschutzes an Wettbewerbsfähigkeit gewinnen können.“

Ihre Kollegin Salla vertritt hingegen eine ganz andere Position: „Wir brauchen eine echte Deregulierungs-Agenda“, betonte sie auf einer Veranstaltung der Financial Times in Brüssel am Donnerstag. Sie glaubt, dass Europa nie „führende Tech-Unternehmen“ haben werde, ohne die Datennutzung zu erlauben, weswegen sie sich im Parlament explizit für diesen Punkt einsetze. Sie warf der sozialdemokratischen Fraktion und anderen Abgeordneten vor, die DSGVO überhaupt nicht ändern zu wollen.

Gleichzeitig spricht sie sich dafür aus, europäische Daten in die Handelsgespräche mit den USA aufzunehmen, damit US-Unternehmen die Daten immerhin nicht nutzen können, ohne dafür zu zahlen. Besser wäre es aber, wenn die Daten in Europa bleiben und von europäischen Unternehmen genutzt würden, meinte Salla, die vor ihrem Einzug in das Europäische Parlament als Lobbyistin für den US-Konzern Meta gearbeitet hat.

Fehlender Datenschutz kostet Verbraucher:innen Milliarden

Mit dem Ziel, eine neue Perspektive auf die Debatte zu geben, hat die europäische Verbraucherschutzorganisation BEUC kürzlich eine Studie veranlasst, welche den Wert des Datenschutzes für Verbraucher:innen quantifiziert. Die Idee dahinter ist, zu zeigen, was fehlende Regeln und Verstöße die Betroffenen eigentlich kosten, anstatt davon zu sprechen, wie viel Geld Unternehmen für die Einhaltung von Regeln aufwenden müssen.

Durchgeführt wurde die Studie vom britischen Forschungs- und Analyseunternehmen Assembly. Die Studienautoren, James Robinson und Bart Smallman, teilten bei der Veranstaltung am Mittwoch ein paar Kernzahlen: Geschätzt 103 Milliarden Euro kosten Verbraucher:innen die Nicht-Einhaltung von Datenschutzregeln pro Jahr. Der Markt für Databroker, wo Daten gesammelt und zu Profilen addiert werden, habe einen geschätzten Wert von 40,5 Milliarden Euro. Auf jeden EU-Bürger heruntergerechnet seien das knapp 108 Euro pro Jahr.

Smallman wies außerdem darauf hin, dass Verbraucher:innen aufgrund der Intransparenz grundsätzlich nicht verstehen könnten, wie dieser Markt funktioniert. Eine der Empfehlungen der Studie ist, die Einwilligung zu verbessern. Statt Cookie-Banner sollen Verbraucher:innen automatisch maschinenlesbare Präferenzen in ihrem Browser oder Betriebssystem festlegen können. Das würde den Aufwand reduzieren und sicherstellen, dass ihre Präferenzen konsistenter berücksichtigt werden.

Deutschland gegen Abschaffung von Cookie-Bannern

Diese Idee der sogenannten Privacy-Signals hatte die EU-Kommission auch im Daten-Omnibus verankert, jedoch stellten sich hier Länder wie Deutschland dagegen, sodass die Änderung im Rat wieder gestrichen wurde. Daraufhin hatte eine Koalition aus der Zivilgesellschaft unter dem Namen „Kill the Cookie Banner“ Druck gemacht. Im neuesten Entwurf des Rates steht allerdings nur noch, dass die Ablehnung von Cookies vier (statt vorher sechs) Monate lang respektiert werden soll, wobei unklar ist, wie dies ohne verpflichtenden Standard technisch umgesetzt werden soll. Außerdem gibt es eine Ergänzung, dass bei der Reichweitenmessung die Aktivität der Nutzer außerhalb des Dienstes nicht verfolgt werden soll (Tracking).

„Ich bin ein bisschen enttäuscht, dass das im Rat nicht aufgegriffen wurde. Ich dachte, das wären alles Selbstläufer“, sagte Renate Nikolay auf der Veranstaltung von BEUC. Sie ist die stellvertretende Generaldirektorin der Generaldirektion Connect der EU-Kommission und hat mit ihrem Team den Omnibus erarbeitet.

Sollte es einmal eine „echte“ Überprüfung der DSGVO geben, würde Nikolay gerne die Verbraucher stärken. Darüber hinaus würde sie die Regeln für internationale Datentransfers ändern und die Umsetzungsstrukturen verbessern wollen: mehr Koordination zwischen Behörden und schnellere Verfahren. Die stellvertretende Generaldirektorin wäre auch offen dafür zu sehen, wie eine risikobasierte Datenschutzregelung in der Praxis angewendet werden könnte.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Seit wenigen Tagen ist Moritz Hennemann im Amt, heute hat er sich erstmalig zu seinen Prioritäten geäußert. Dabei fand er Lob für Reformvorhaben beim Datenschutz, kritisierte jedoch Pläne der Bundesregierung für den Ausbau von Geheimdiensten und die Aushöhlung der Informationsfreiheit.

Seit Ende September ist Moritz Hennemann neuer Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI). Der 41-jährige Jurist folgt auf Louisa Specht-Riemenschneider, die das Amt aus gesundheitlichen Gründen abgegeben hat. Hennemann wurde von der Unionsfraktion vorgeschlagen und im Juni vom Bundestag gewählt.

Er übernimmt das Amt in angespannten Zeiten. Datenschutzpolitik ist seit einer Weile wieder ein heiß diskutiertes Thema. In Deutschland hat die schwarz-rote Koalition Reformen „im Sinne der Wirtschaft“ angekündigt, in der EU werden weitreichende Änderungen im Rahmen des Digital-Omnibus-Pakets bereits konkret verhandelt. Während die Bundesregierung am Ende der Merkel-Ära und in den Ampel-Jahren auf eine Datenstrategie eingeschwenkt war, die eine Vereinbarkeit von Datenschutz und Datennutzung postulierte, stehen die Zeichen nun wieder auf einem Rückbau des Datenschutzes.

Erst vor wenigen Tagen sprach Bundeskanzler Friedrich Merz (CDU) davon, Deutschland müsse endlich seinen „Datenschatz heben“, um wettbewerbsfähig zu bleiben – nicht nur rhetorisch ein Rückfall in die 2010er Jahre. Wirtschaftsverbände beklagen sich anhaltend über den Datenschutz als bürokratisches Ärgernis. Gleichzeitig zeigen Recherchen wie die preisgekrönten Databroker-Files von netzpolitik.org und dem Bayerischen Rundfunk, dass es auch bei der Durchsetzung Schwierigkeiten gibt und der vermeintliche „Goldstandard“ Datenschutzgrundverordnung (DSGVO) diesbezüglich versagt.

Im Koalitionsvertrag haben Union und SPD angedacht, das Amt des Bundesbeauftragten für Datenschutz und Informationsfreiheit um den Zusatz „für Datennutzung“ zu ergänzen. Vielen in der schwarz-roten Koalition gilt Moritz Hennemann dafür als der geeignete Kandidat. In seiner bisherigen Tätigkeit als Universitätsprofessor hat der Rechtswissenschaftler viel zur Bedeutung von Daten für Innovation und Wirtschaft geforscht.

Heute war der Jurist zum ersten Mal in der Bundespressekonferenz zu Gast. Dort hat er seine Agenda vorgestellt und Fragen von Journalist:innen beantwortet. Ein paar Beobachtungen:

• Digitale Souveränität und Staatsmodernisierung als Prioritäten: Bei den Prioritäten für seine Amtszeit nannte der neue BfDI vor allem eine Stärkung der digitalen Souveränität des Gemeinwesens, die Unterstützung bei der Modernisierung des Staates und eine strategisch vorausschauende Begleitung von Technologiesprüngen. Der Datenschutz liefere „Leitplanken“, wie das rechtssicher geschehen könne. Sein Anspruch sei es, „Innovation zu ermöglichen und zugleich Grundrechte wirksam zu schützen“.
• Kritik an Geheimdienstreform: Die schwarz-rote Koalition hat vor wenigen Wochen eine umfassende Reform des Geheimdienstrechts vorgestellt, die noch in diesem Jahr beschlossen werden soll. Teil der Reform sind umfassende neue Komptenzen für den Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz sowie eine Neuordnung ihrer demokratischen Kontrolle. Unter anderem sollen dem BfDI bisherige Aufsichtskompetenzen entzogen werden. Hennemann wiederholte hier die verfassungsrechtlichen Bedenken, die seine Amtsvorgängerin Louisa Specht-Riemenschneider geltend gemacht hat.
• Ausgewogene Aufsichtsfunktion: Nach der Wahrnehmung seiner Aufsichtsfunktion gefragt, sagte Hennemann, dass er diese „weder besonders hart noch besonders lasch, sondern ausgewogen“ wahrnehmen wolle. Das Datenschutzrecht sehe eine Balance vor zwischen Datennutzung und Leitplanken, die auch dazu führt, dass bestimmte Verarbeitungen nicht erlaubt sind. Seine Idealvorstellung beschrieb der Jurist so: „Der Datenverkehr fließt gut, aber nach Regeln.“ Er erinnerte jedoch daran, dass die Aufsicht über die Wirtschaft bislang überwiegend bei den Landesdatenschutzbehörden liegt.
• Offenheit für Zentralisierung der Aufsicht: Die Bundesregierung strebt eine Zusammenlegung der Aufsicht über die Wirtschaft beim BfDI an. Er finde dies „zweckmäßig“, sagt Hennemann, erwarte in dem Fall dann aber einen entsprechenden Aufwuchs für seine Behörde. Auch damit bleibt er der Linie seiner Vorgängerin Louisa Specht-Riemenschneider treu. Die Bundesländer und auch die Landesdatenschutzbehörden lehnen die Zentralisierung der Aufsicht über die Wirtschaft hingegen ab. Stattdessen wollen sie lieber Maßnahmen ergreifen, um die Aufsicht in der bestehenden förderalen Struktur zu verbessern.
• Lob für Reform der DSGVO: Hennemann äußerte „großes Verständnis“ dafür, dass die Datenschutzgrundverordnung nach zehn Jahren reformiert werden soll. Sie müsse „verständlicher und praktikabler“ werden. Die Debatte um den Digital Omnibus der EU und ein Datengesetzbuch in Deutschland begrüße er ausdrücklich. Konkret hoffe er zum Beispiel, dass Rechtsunsicherheiten beim KI-Training ausgeräumt würden. Rechtsanwender:innen bräuchten hier Klarheit, um das Innovationspotenzial der Technologie zu heben. Kritik zivilgesellschaftlicher Organisationen an der derzeit im Rahmen des Digital Omnibus diskutierten Lösung war kein Thema. Grundsätzlich zeigte sich Hennemann offen für die Idee abgestufter Regulierung, bei der datenintensive Geschäftsmodelle strenger und risikoarme eher locker geregelt werden.
• Handlungsbedarf bei Databrokern: Auf Nachfrage nannte der Jurist auch Bereiche, wo der Datenschutz nachgeschärft werden müsse: etwa bei datenschutzwidrigen Datenabflüssen an Dritte außerhalb Europas und am Geschäftsmodell des Datenhandels. „Da denke ich zum Beispiel an Fälle großer Databroker-Skandale, über die auch berichtet wurde, da besteht sicher noch Handlungsbedarf“, sagte Hennemann. Auch seine Vorgängerin hatte die von netzpolitik.org und dem Bayerischen Rundfunk aufgedeckte Databroker-Problematik immer wieder zum Thema gemacht und sich dabei auch mit rechtspolitischen Vorschlägen in die Debatte eingebracht.
• Kritik an IFG-Reform: Als BfDI ist Hennemann auch für das Thema Informationsfreiheit zuständig. Die schwarz-rote Koalition hatte hier Reformen angekündigt, die von vielen als Angriff auf das Informationsfreiheitsgesetz kritisiert wurden. Dieser Kritik schloss sich der Jurist teilweise an. Er habe zwar Verständnis dafür, dass bereits bestehende Ausnahmen für Militär und Sicherheit konkretisiert werden könnten. Die diskutierten Vorschläge gingen jedoch weit darüber hinaus und liefen „zum Teil auf eine Aushöhlung des Rechts auf Informationsfreiheit“ hinaus.
• Forderung nach Transparenzgesetz: Statt die Informationsfreiheit zurückzufahren, würde sich Hennemann wünschen, dass die Transparenz ausgebaut wird. Es sei auch im Sinne der Datennutzung, wenn Open Data beim Staat gefördert würde, zum Beispiel in Form eines Transparenzgesetzes.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Religiöse Menschen lassen sich mit frei verkäuflichen Handy-Standortdaten der Werbe-Industrie ausspionieren. Mehr als eine Million Standortdaten an Glaubensorten fand netzpolitik.org in kostenlosen Vorschau-Daten. Fachleute warnen vor einer Gefahr für religiös motivierte Gewalt.

St. Nikolai ist die Universitätskirche der Stadt Göttingen. Der schlichte gotische Sakralbau prangt auf dem Campus der Georg-August-Universität, umringt von Hainbuchen, deren Blätter sich im Herbst goldgelb und rot färben. Wir sehen das Bewegungsprofil einer Person, die hier im Oktober und November 2023 ein- und ausgeht. Immer wieder ist sie in der Kirche anzutreffen, gelegentlich auch in der ältesten katholischen Kirche von Göttingen, St. Michael, und im dazugehörigen Pfarrbüro.

Abends führt die Datenspur zu einem Wohnhaus im nordöstlichen Stadtteil Nikolausberg. Ein Eintrag im Telefonbuch verrät genau, wer an dieser Adresse wohnt. Als gläubiger Mensch könnte die hier lebende Person an den Gedanken gewöhnt sein, dass Gott alles sieht. Ob sie eine Ahnung hat, dass auch wir ihre Schritte verfolgen können?

Mit Handy-Standortdaten von Databrokern lassen sich Angehörige von Glaubensgemeinschaften auf Schritt und Tritt verfolgen. Die offen im Netz gehandelten Daten wurden angeblich nur zu Werbezwecken erhoben. Aber sie zeigen die Bewegungsprofile von Gläubigen teils auf wenige Meter genau.

Mehr als eine Million Standortdaten von Glaubensorten

Betroffen sind etwa Besucher*innen von Kirchen, von Orten jüdischen Lebens wie Synagogen, Gemeindezentren und Schulen sowie Orten muslimischen Lebens wie Moscheen. Die Daten zeigen auch, wer regelmäßig in den Gebäuden religiöser Spitzenverbände ein- und ausgeht, etwa der Deutschen Bischofskonferenz, dem Sitz der Evangelischen Kirche Deutschland oder dem Zentralrat der Juden.

Das zeigen Recherchen von netzpolitik.org in Datensätzen, die uns Databroker als Vorschau für Abonnements geschickt haben. Allein in diesen kostenlosen Daten finden sich bereits mehr als eine Million Handy-Standortdaten von Orten christlichen, muslimischen und jüdischen Glaubens in Deutschland.

Expert:innen warnen angesichts der leichten Verfügbarkeit solcher sensiblen Daten vor Risiken für Diskriminierung und religiös motivierte Gewalt. Das Bundesamt für Verfassungsschutz etwa sieht für bereits gefährdete Personen ein erhöhtes Risiko, Ziel von Spionage, Bedrohungen oder physischen Angriffen zu werden. Vertreter:innen religiöser Organisationen fordern besseren Schutz und ein Ende des Datenhandels.

Handy-Ortungen in Synagogen und jüdischen Schulen

Sowohl rechter als auch islamistischer Extremismus nutzen antisemitische Feindbilder. Um Übergriffe und Anschläge zu verhindern, gibt es für viele Orte jüdischen Lebens in Deutschland besondere Sicherheitsvorkehrungen. Durch Handy-Standortdaten der Werbe-Industrie können jedoch Menschen ins Visier geraten, die solche Orte regelmäßig aufsuchen, wie unsere Recherche zeigt.

Ein solcher Ort ist zum Beispiel die Synagoge der jüdischen Gemeinde Halle. Am 9. Oktober 2019 hat ein rechtsextremer Terrorist vergeblich versucht, dort einzudringen, um die Anwesenden zu töten. Bevor die Polizei ihn fasste, verletzte er weitere Personen auf der Straße und in einem Imbiss und ermordete zwei Menschen; die Taten waren rassistisch motiviert.

Die Handy-Ortungen aus den uns vorliegenden Datensätzen zeigen etwa das Bewegungsprofil einer Person, die die Synagoge in Halle mehrfach besucht hat, datiert auf das Jahr 2023. Die Spur der Ortungen führt unter anderem zu einer Privatadresse und einem Supermarkt für osteuropäische Lebensmittel in Halle. Gewalttäter*innen könnten mithilfe solcher Daten Angriffe planen und Ziele auskundschaften.

Ein weiteres Bewegungsprofil aus den Datensätzen gehört zu einer Person, die mehrfach die Neue Synagoge in Berlin besucht hat. Das Gebäude steht unter Polizeischutz. Die getrackte Person war den Daten zufolge auch auf dem Gelände eines Aus- und Fortbildungszentrums der Polizei unterwegs. Weitere Ortungen zeigen sie bei einem Spielplatz und einer Kita.

In München führt das Bewegungsprofil einer getrackten Person vom Zentrum der israelitischen Kultusgemeinde zu einer Privatadresse. Auch ein Ausflug an den Bodensee lässt sich aus den Daten ablesen. Angreifer könnten diese Informationen nutzen, Menschen jüdischen Glaubens aufzuspüren.

Allein aus den kostenlosen Vorschau-Datensätzen, die uns vorliegen, lässt sich ein dichtes Netz an Handy-Ortungen über ganz Deutschland spannen. Es umfasst praktisch jeden belebten Winkel des Landes. Beispielhaft haben wir drei jüdische Schulen auf Handy-Ortungen geprüft – und wurden ebenfalls fündig. Das heißt, auch Lehrer*innen, Eltern und Kinder jüdischer Schulen lassen sich anhand kommerzieller Handy-Standortdaten verfolgen.

Wie vermeintlich harmlose Daten zur Gefahr werden

Seit 2024 recherchiert netzpolitik.org gemeinsam mit dem Bayerischen Rundfunk und internationalen Partnern in der Reihe Databroker Files zum unkontrollierten Datenhandel der Werbe-Industrie. Die preisgekrönte Recherche konnte unter anderem zeigen, wie leicht sich anhand der Daten sogar hochrangige EU-Beamt:innen und deutsche Regierungsmitarbeitende ausspionieren lassen. Auch das Verhalten von Menschen, die bei Geheimdiensten oder auf Militärstützpunkten tätig sind, ließ sich ablesen. Expert:innen und Politiker:innen warnen angesichts hybrider Bedrohungen vor einer Gefahr für die nationale Sicherheit.

Gefährdet sind jedoch alle Menschen, die werbefinanzierte Apps auf ihren Smartphones haben. Nicht nur teils metergenaue Standortdaten, sondern auch Informationen über Vorlieben und Interessen der Menschen fließen durch ein riesiges undurchsichtiges Netzwerk von Firmen. Die Apps bitten in der Regel um eine Einwilligung, solche Daten für Werbezwecke zu nutzen. Einmal erfasst, können Unternehmen die sensiblen Daten jedoch auch für andere Zwecke verwenden. Manche von ihnen verkaufen sie als Handelsware.

Die mit Zeitstempeln versehenen Standortdaten erlauben Rückschlüsse auf das Privatleben der getrackten Menschen. Häufungen von Handy-Ortungen offenbaren private Wohnadressen und Arbeitsplätze, Fahrten zur Kita, ins Krankenhaus, in den Urlaub – oder eben auch Besuche einer Glaubensstätte.

In der EU sind personenbezogene Daten, aus denen religiöse Überzeugungen hervorgehen, besonders geschützt, zumindest auf dem Papier. Artikel 9 der Datenschutz-Grundverordnung (DSGVO) verbietet ihre Nutzung grundsätzlich. Ausnahmen sind jedoch möglich, wenn eine ausdrückliche Einwilligung erfolgt. In der Praxis greift dieser Schutz jedoch nicht, wie unsere Recherche zeigt.

Uns liegen inzwischen mehr als fünf Milliarden Handy-Standortdaten allein aus Deutschland vor, für die wir keinen Cent gezahlt haben. Diese Datensätze sind zwar inzwischen mehrere Jahre alt; das Geschäft der Databroker geht jedoch weiter. Im Gegensatz zu unseren vorigen Recherchen haben wir für diesen Artikel davon abgesehen, die in den Daten auftauchenden Personen direkt zu kontaktieren.

Handy-Ortungen in Moscheen, die bereits Ziel von Anschlägen waren

Auch Muslime werden in Deutschland aufgrund ihres Glaubens regelmäßig zum Ziel von Gewalt und Übergriffen. Islamfeindlichkeit und antimuslimischer Rassismus sind in der Gesellschaft weit verbreitet. Nach Zahlen des Mediendiensts Integration kam es im vergangenen Jahr durchschnittlich alle fünfeinhalb Tage zu einem Angriff auf eine Moschee.

Bereits mehrfach ist Berlins größte Moschee, die Şehitlik-Moschee in Neukölln, Ziel von Brandanschlägen geworden. Die uns vorliegenden Daten zeigen unter anderem das Bewegungsprofil eines Menschen, der die Moschee mehrfach besucht hat. Die Ortungen führen unter anderem in ein türkisches Frühstückslokal, in einen Möbelladen und in eine Hochschule. Angreifer könnten mit diesen Informationen das Lebensmuster der Person auskundschaften und für die Planung einer Gewalttat nutzen.

Ziel eines Anschlags war auch die DITIB-Moschee in Dresden. Der später wegen versuchten Mordes verurteilte Täter hatte im Jahr 2016 selbstgebaute Rohrbomben vor dem Gebäude gezündet. Der Imam und seine Familie blieben unverletzt. Auch von diesem Ort liegen uns Handy-Standortdaten vor. Sie führen zum Beispiel von der Moschee zu einem Studentenheim.

Nicht zuletzt lassen sich mit kommerziellen Handy-Standortdaten auch Besucher*innen der DITIB-Zentralmoschee in Köln ausspionieren. Rechtsextreme hatten im Jahr 2007 vergeblich versucht, den Bau mit einem Bürgerbegehren zu verhindern. Die Handy-Ortungen geben Einblick in das Leben eines Menschen, der die Moschee immer wieder besucht hat. Sie führen zu Privatadressen in Köln, zu Supermärkten und einer Tankstelle; auch ein Trip nach Aachen lässt sich ablesen.

Die uns vorliegenden Standortdaten zeigen Bewegungsmuster von unzähligen weiteren Personen, die Orte muslimischen Lebens in Deutschland besucht haben. Sie alle könnten durch angeblich nur zu Werbezwecken gesammelte und von Databrokern verschleuderte Daten zur Zielscheibe werden.

Datenhandel „verschärft Bedrohung erheblich“

Das Bundesamt für Verfassungsschutz beschäftigt sich unter anderem mit rechtsextremer, antisemitischer und islamfeindlicher Gewalt in Deutschland. „Im Internet angebotene Standortdaten stellen eine Gefahr für die Privatsphäre von Personen dar und können potenziell Auswirkungen auf deren Sicherheit haben“, teilt der Inlandsgeheimdienst mit Blick auf unsere Recherchen mit. „Bei bereits gefährdeten Personen erhöht dies das Risiko, zum Ziel von Spionage, Bedrohung oder auch physischen Angriffen zu werden.“ Eine systematische Nutzung von Standortdaten gegen Menschen jüdischen, muslimischen und christlichen Glaubens könne die Behörde bislang jedoch nicht feststellen.

Die gemeinnützige Amadeu-Antonio-Stiftung setzt sich gegen Rechtsextremismus, Rassismus und Antisemitismus ein. Una Titz beschäftigt sich für die Stiftung mit digitaler Demokratiegefährdung. Mit Blick auf die Recherche zum Standort-Tracking von Gläubigen sagt sie: „Schon das Wissen, dass solche Möglichkeiten bestehen, kann Menschen verunsichern und einschüchtern. Wer beim Besuch einer Synagoge, Moschee oder Gemeindeveranstaltung mit digitaler Verfolgung rechnen muss, verliert Vertrauen und auch Sicherheit.“

Rechtsextreme Akteur*innen würden routiniert Dinge wie Doxing oder öffentliche Informationen zu Veranstaltungen nutzen, um Menschen einzuschüchtern. „Der Handel mit präzisen Standortdaten verschärft diese Bedrohung erheblich“, schreibt Titz. „Schutzkonzepte für gefährdete Einrichtungen brauchen dringend eine umfassende digitale Überarbeitung.“ Die Verantwortung liege bei Politik, Behörden, Plattformen, App-Anbietern und der Werbeindustrie.

Die Pressestellen des Zentralrates der Juden und des Zentralrates der Muslime in Deutschland haben die Recherche auf Anfrage nicht kommentiert.

Auch Sitz von EKD und Deutscher Bischofskonferenz betroffen

In Hannover arbeiten rund 200 Personen für die zentrale Verwaltungsbehörde der Evangelischen Kirche Deutschland (EKD). Handy-Ortungen aus der Werbe-Industrie können die Stationen ihres Alltags zu einem offenen Buch machen. Zum Beispiel zeigen die uns vorliegenden Standortdaten, wie eine Person an einem Tag im Jahr 2023 zu üblichen Bürozeiten im Kirchenamt unterwegs ist und wo sie offenbar die Mittagspause verbringt.

Nach Feierabend geht es zunächst in die benachbarten Herrenhäuser Gärten, eine barocke Anlage mit Tausenden Pflanzenarten, einer 70 Meter hohen Fontäne und Skulpturen. Es folgt ein Abstecher in ein Shopping-Zentrum mit Kleiderläden wie Peek und Cloppenburg. Abends häufen sich die Ortungen in einem Mehrfamilienhaus in der Nähe der evangelischen Apostelkirche in Hannover.

In Hamburg steht die Hauptkirche St. Michaelis, wo die EKD-Vorsitzende regelmäßig predigt. Handy-Standortdaten verraten Details über das Leben der dortigen Kirchen-Besucher*innen. So zeigt ein Bewegungsprofil Handy-Ortungen einer Person nicht nur in der Kirche, sondern auch in der Elbphilharmonie, in einer Kleingartenanlage und einer Privatadresse in Hamburg-Neustadt.

Gläsern sind auch die Bewegungen von Beschäftigten der Deutschen Bischofskonferenz in Bonn. Eine Person, die den Verwaltungssitz an mehreren Tagen besucht hat, wurde etwa auch vor dem Katholischen Pfarramt St. Winfried in Bonn-Südstadt geortet sowie auf dem Gelände des benachbarten Johanniter Krankenhauses. Weitere Ortungen führen zu einem etwas abgelegenen landwirtschaftlichen Betrieb.

Metergenaue Standortdaten verraten auch etwas über Menschen in Fachkliniken. Zum Beispiel gibt es detaillierte Handy-Ortungen im katholischen Alexianer St. Joseph Krankenhaus in Berlin-Weißensee. Sie zeigen die Bewegungen einer Person, die immer wieder die Akutstation mit dem Schwerpunkt bipolar-affektive Störungen aufsucht. Viel Zeit verbringt sie auch an zwei Privatadressen in Berlin. Eine der beiden Adressen dürfte der Wohnort sein, denn in der Nähe geht sie mehrfach einkaufen. Weitere Ortungen zeigen sie vor einer Grundschule.

Das Beispiel zeigt: Bereits die Handy-Ortungen weniger Tage können Hinweise auf Arbeitsplatz, Wohnort und Familiensituation liefern.

Ehemaliger Vorsitzender des Deutschen Ethikrats ist „schockiert“

Daten zum gesundheitlichen Zustand, zur sexuellen Orientierung oder zur religiösen Überzeugung seien in Europa aus gutem Grund besonders geschützt, erklärt der evangelische Theologe und Ethiker Peter Dabrock im Gespräch mit netzpolitik.org. „Sie geben Auskunft über höchstpersönliche Elemente der eigenen Persönlichkeit.“ Dabrock forscht an der Friedrich-Alexander-Universität Erlangen-Nürnberg und war bis 2020 Vorsitzender des Deutschen Ethikrates.

Der besondere Schutz der sensiblen Daten setze den verfassungsrechtlich garantierten Gleichheitsgrundsatz um: „Jeder Mensch muss das Recht haben, dass solche Informationen nicht prägend dafür sind, wie man öffentlich wahrgenommen und behandelt wird.“

Zudem seien mit diesen Daten besondere Verletzlichkeiten verbunden, weil sie die Basis für Diskriminierung bilden könnten. „Wo Vulnerabilität ist, da sind auch Angriffspunkte“, führt der Professor aus. Mit Blick auf die Databroker Files sagt er: „Ich bin ob der Tiefe der Überwachung wirklich schockiert.“

Deutsche Bischofskonferenz: „Erhebliche Gefahr“

Auch die Deutsche Bischofskonferenz warnt in Reaktion auf die Recherche vor dem Geschäft der Databroker. „Der Handel und die unrechtmäßige Verwendung von Handy-Standortdaten und Bewegungsprofilen von Gläubigen stellen eine erhebliche Gefahr dar“, schreibt Sprecher Matthias Kopp. Zumindest in Kombination mit anderen Daten ließen sich die Identität einer gläubigen Person feststellen und Einblicke in ihre Privatsphäre gewinnen.

„Der Missbrauch eines derartigen höchstpersönlichen Datums birgt ein erhöhtes Gefahrenpotenzial für die betroffene Person: Die Gefahr von Diskriminierung, Erpressung und tiefgreifender Verletzung des inneren, identitätsstiftenden Fundaments des Menschen“, schreibt Kopp. Die religiöse Überzeugung mache den „Wesenskern eines Menschen“ aus und berühre damit sein Innerstes. Wenn Menschen mit einer bestimmten religiösen Überzeugung etwa überwacht, diskriminiert oder gezielten physischen Angriffen ausgesetzt werden, sei das Grundrecht der Religionsfreiheit betroffen.

Noch grundlegender ist die Kritik vom Bund der Deutschen Katholischen Jugend (BDKJ). Pressesprecher Christian Toussaint schreibt mit Blick auf die Databroker-Recherche: „Nach christlichen Werten und der katholischen Lehre ist klar, dass Technik immer ein für den Menschen hilfreiches Werkzeug sein muss. Geschäftsmodelle, bei denen Menschen zum einfachen Handelsobjekt werden, sind mit der Menschenwürde grundsätzlich nicht vereinbar.“

Die Verantwortung für den Schutz der eigenen Privatsphäre dürfe nicht auf die einzelne Nutzende abgewälzt werden. „Es braucht eine konsequente Durchsetzung von Gesetzen, die Menschen vor dem Missbrauch ihrer Daten schützen“, schreibt Toussaint. „Geschäftsmodelle, die ausschließlich auf dem Handel personenbezogener Daten wie zum Beispiel Standortdaten basieren, müssen grundsätzlich hinterfragt werden.“ Wenn Nutzer*innen keinen Vorteil hätten, dass andere ihre Daten verkaufen und weiterverwenden, „sollte ein solcher Handel verboten werden“.

Ein EKD-Sprecher sieht beim Schutz von Standortdaten ein „gesamtgesellschaftliches Anliegen“. Neben Medienkompetenz vonseiten der Nutzer*innen brauche es „klare gesetzliche Regeln, die Datensparsamkeit durchsetzen“.

Datenschutzbehörden kratzen an der Oberfläche

Unsere Recherchen zu den Databroker Files seit 2024 zeigen: Europas Datenschutz-Gesetze, allen voran die Datenschutzgrundverordnung (DSGVO), schaffen es nicht, den gefährlichen Datenhandel zu stoppen. Beteiligte Databroker und Tracking-Firmen bezeichnen ihre Geschäfte in der Regel als legal und berufen sich dabei auf die angebliche Einwilligung der Betroffenen.

Anders sehen das Datenschutzbehörden und Fachleute für Datenschutz, darunter die ehemalige deutsche Bundesbeauftragte für Datenschutz, Louisa Specht-Riemenschneider. Ihnen zufolge ist der Handel illegal. Denn laut DSGVO muss eine Einwilligung in die Verarbeitung personenbezogener Daten informiert erfolgen, um wirksam zu sein. Nutzer*innen müssen also erfahren, wer genau ihre Daten für welche Zwecke erhält. Doch im Ökosystem der Datenhändler fließen Handy-Standortdaten teils an Hunderte Akteure. Auch die von der DSGVO vorgesehene Zweckbindung ist nicht erfüllt, wenn Daten als Handelsware ohne näheren Zweck kursieren.

Wer derart eklatant gegen die DSGVO verstößt, sollte eigentlich Ärger mit Datenschutzbehörden bekommen. Doch der Dschungel der Databroker ist international und verschlungen. Oftmals unterfinanzierte Behörden kratzen allenfalls an der Oberfläche. Oft werden sie erst dann aktiv, wenn sich Bürger*innen über bestimmte Unternehmen beschweren. Während Behörden teils jahrelange Verfahren gegen einzelne Unternehmen bemühen, floriert der Handel weiter.

Um das Problem an der Wurzel zu packen, fordern unter anderem der Chaos Computer Club, der Verbraucherzentrale Bundesverband und manche Politiker*innen ein Verbot von Tracking und Profilbildung zu Werbezwecken. Auf diese Weise könnte dem Datenhandel schlicht der Nachschub ausgehen. Eine Gelegenheit für ein solches Verbot hätte die EU-Kommission beim geplanten Gesetz für digitale Fairness (Digital Fairness Act). Jüngst stehen die Zeichen in der EU jedoch eher auf Deregulierung. Ein derart tiefer Eingriff in digitale Geschäftsmodelle erscheint unwahrscheinlich.

Sicherheitsbehörden wollen Datenhandel lieber nutzen als stoppen

Über Parteigrenzen hinweg haben Politiker*innen in Deutschland und der EU im Zuge unserer Recherchen klargemacht: Der Datenhandel ist eine Gefahr für die nationale Sicherheit. Durchleuchten lässt sich sogar Personal von Regierung und Parlamenten, von Militär, Polizei und Geheimdiensten. Die Daten lassen sich für Spionage und Sabotage nutzen.

Ende letzten Jahres sagte uns der Forscher Thorsten Wetzling von der gemeinnützigen Denkfabrik interface: „Gerade in der aktuellen Zeit, wo die europäische Sicherheit und Verteidigungslandschaft täglich durch Russland auf mögliche Angriffsvektoren hin getestet wird, ist es äußerst besorgniserregend, dass weiterhin so leicht in solchem Ausmaß sensible Standortdaten auf dem Datenmarkt zu erwerben sind.“

Achtung, Datenhandel! Lebensgefahr!

Bis heute fehlt es jedoch an ausreichend politischem Willen, den Datenhandel zu stoppen. Im Gegenteil: Seit den ersten Veröffentlichungen zu den Databroker Files häufen sich die Berichte, dass Sicherheitsbehörden in der EU die illegal gehandelten Handy-Standortdaten lieber selbst nutzen, statt ihre Verbreitung zu stoppen. Der Fachbegriff dafür ist ADINT („advertising-based intelligence“), frei übersetzt: die Gewinnung von Erkenntnissen auf Grundlage von Werbedaten.

Sicherheitsbehörden in Ungarn und Österreich haben entsprechende Überwachungs-Werkzeuge eingekauft. Das Landeskriminalamt in Mecklenburg-Vorpommern hat nach Recherchen von netzpolitik.org und Bayerischem Rundfunk den Einsatz kommerzieller Handy-Standortdaten bestätigt. Es ist möglich, dass noch mehr Polizeibehörden in Deutschland das tun – in neun Bundesländern und auch im Bund verweigern die Behörden jede Auskunft zu dem Thema.

So gehen das vermeintlich harmlose Werbe-Tracking und der unkontrollierte Datenhandel ungehindert weiter. Unterdessen sollen Online-Marktplätze den Datenhandel leichter machen; ADINT-Firmen werben in Europa um Kundschaft, auch außerhalb von Sicherheitsbehörden. Und die vom Datenhandel ausgehende Gefahr – nicht nur für gläubige Menschen und Angehörige von Minderheiten – wächst, je leichter die Daten zu beschaffen sind.

---

Hier haben wir aufgeschrieben, wie Nutzer*innen ihre Handy-Standortdaten vor Databrokern schützen können. Und hier sind alle unsere Veröffentlichungen zu den Databroker Files.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Präsident:innen der Geheimdienste des Bundes verlangten heute im Bundestag deutlich mehr Befugnisse, um „auf Augenhöhe“ mit anderen Diensten zu arbeiten. Als Gründe führen sie eine neue Bedrohungslage und technologische Entwicklungen an. Die Folgen für die Grundrechte gerieten zur Randnotiz.

Nur selten äußern sich die Chefs der Geheimdienste des Bundes in der Öffentlichkeit. Einmal im Jahr müssen sie aber Abgeordneten des Deutschen Bundestages Rede und Antwort stehen.

Heute fand die zehnte öffentliche Anhörung durch das Parlamentarische Kontrollgremium (PKGr) statt. Insgesamt drei Stunden lang befragten die Abgeordneten die Präsident:innen vom Bundesnachrichtendienst (BND), Martin Jäger, dem Bundesamt für Verfassungsschutz (BfV), Sinan Selen, und die Präsidentin des Militärischen Abschirmdienstes (BAMAD), Martina Rosenberg.

Zentrale Themen der dreistündigen Anhörung waren die Gefahr durch Russland, der politische Extremismus und die anstehende Reform der Dienste. Allzu kritisch ging es bei dem Termin nicht zu. Stattdessen konnten die drei Geheimdienst-Chefs weitgehend unwidersprochen ihre Argumente für mehr Befugnisse vorbringen.

In dieser Wahlperiode sind bisher nur sechs Parlamentarier von Union, SPD und Grünen in dem PKGr vertreten, das die Geheimdienste kontrollieren soll. Kandidat:innen aus den Reihen der AfD-Fraktion und der Linksfraktion erhielten bei Wahlen jeweils nicht die notwendige Mehrheit.

Russland führt einen „Schattenkrieg“

Alle drei Präsident:innen wiesen gleich zu Beginn auf eine neue Sicherheits- und Bedrohungslage hin. Weil Russland einen „Schattenkrieg“ gegen Deutschland führe, sei man derzeit in einer „Grauzone“, sagte BND-Chef Martin Jäger, „wir sind nicht im Frieden, sind aber auch nicht im Krieg“. Und um in dieser Grauzone Sicherheit zu gewährleisten, brauche es „passgenaue Fähigkeiten“, ergänzte Sinan Selen.

Mit „passgenau“ meinen die Geheimdienst-Chefs vor allem zweierlei. Zum einen wollen der Auslands- und Inlandsgeheimdienst auf Augenhöhe mit anderen Diensten operieren. Konkret bedeutet das, nicht mehr nur Informationen zu sammeln, sondern auch operativ eingreifen zu dürfen. Zum anderen böte die „immense Entwicklung“ bei sogenannter Künstlicher Intelligenz enorme Chancen, wie alle drei Geheimdienst-Chefs betonten. Auch deshalb müsse die Transformation der Dienste beschleunigt werden.

Mehr Befugnisse, um „auf Augenhöhe“ zu operieren

Diese Transformation ist bereits in vollem Gang. Der Bundestag verhandelt derzeit einen rund 730-seitigen Gesetzentwurf, der den Verfassungsschutz und den Bundesnachrichtendienst deutlich aufrüsten soll. Die Dienste sollen etwa hacken dürfen und ein Arsenal neuer Befugnisse zu KI und Biometrie erhalten.

BfV-Präsident Selen hält es für überfällig, die aus seiner Sicht „defizitäre Toolbox“ der Dienste aufzufüllen. Der Verfassungsschutz sei stark von ausländischen Partnern abhängig, weshalb Prozesse oftmals zu lange dauerten. Zudem sei ein besseres Zusammenspiel entscheidend – sowohl der Dienste untereinander als auch zwischen dem Verfassungsschutz und der Polizeien.

„Die Interoperabilität von BND und BfV ist überlebenswichtig, um Angriffe auf die freiheitliche demokratische Grundordnung abzuwehren“, sagte Selen. Außerdem würden Attentäter nicht darauf warten, bis der Verfassungsschutz relevante Informationen an die Polizeibehörden weitergegeben hat.

Mit den neuen Befugnissen, wie sie der Kabinettsentwurf zur Reform des Nachrichtendienstrechts derzeit vorsieht, könnten die deutschen Geheimdienste endlich auf Augenhöhe mit anderen Dienste operieren, sagte auch Martin Jäger. „Wenn das BND-Gesetz so kommt, wie es derzeit im Bundestag diskutiert, hätten wir Anschluss gefunden, was heute schon in Europa Standard ist“, sagte der BND-Präsident.

Verweis auf mehr Kontrolle

Diesen neuen Standard bewerten Vertreter:innen der Zivilgesellschaft teilweise als verfassungswidrig. Der Gesetzentwurf hebe das Trennungsgebot zwischen Geheimdiensten und Polizei auf, senke die Hürden für Grundrechtseingriffe, gebe den Diensten erheblich mehr Befugnisse und beschränke zugleich die Kontrollmöglichkeiten, so die geballte Kritik.

Die Geheimdienst-Präsident:innen sehen das anders. „Wir begrüßen die Ausweitung der Kontrolle“, betonte Martin Jäger heute, „sie wird effektiver und besser.“ Tatsächlich soll fortan das gerade einmal neunköpfige „gerichtsähnliche Kontrollorgan“ des Unabhängigen Kontrollrats sowohl BND als auch BfV kontrollieren. Die G10-Kommission wird aufgelöst und die Bundesdatenschutzbeauftragte an den Rand gedrängt.

Aus Sicht von Reporter ohne Grenzen ist die geplante Kontrollstruktur nicht nur unzureichend, sondern sie schließt auch nicht an das Niveau anderer europäischer Länder an. So bieten etwa Frankreich und die Niederlande einen stärkeren Quellenschutz. Und in der britischen Geheimdienstkontrolle gibt es einen „Anwalt der Betroffenen“, der Interessen von Personen vertritt, die von Geheimdienstmaßnahmen betroffen sind. Die geplante Geheimdienst-Reform der Bundesregierung sieht Vergleichbares nicht vor.

Daten auswerten mit KI

Verfassungsschutz und BND sollen dem Gesetzentwurf zufolge künftig auch personenbezogene Daten automatisiert auswerten dürfen. Damit ist auch der Einsatz von sogenannter Künstlicher Intelligenz gemeint.

Für Martin Jäger ist der KI-Einsatz eine „Schlüsselfrage“. Zwar werfe die Technologie zunehmend auch neue Sicherheitsfragen auf. „Jeder ist angreifbar“, betonte Jäger, und es gebe einen enormen Wettlauf, die eigene Systeme gegen KI-gesteuerte Hacks zu schützen. Sein Dienst wolle aber auch die Chancen von KI-Auswertungen nutzen. Denn die Masse an verfügbaren Daten bekomme man mit manuellen Analysen nicht mehr in den Griff, so der BND-Chef.

Selen ergänzte, dass der KI-Einsatz „nicht kostengünstig“ vonstatten gehen könne. Hier seien die Geheimdienste auf den Bundestag angewiesen, der den Haushalt beschließe. Und auch rechtlich müsste das Parlament die Voraussetzungen dafür schaffen, dass die Dienste künftig „technologieoffen“ operieren können.

Grundrechte sind wohl erst in Karlsruhe Thema

Die Befugnis zur „qualifizierten Auswertung“ auch personenbezogener Daten erachtet etwa die Gesellschaft für Freiheitsrechte als schwerwiegenden Grundrechtseingriff. Besonders kritisch sieht die GFF, dass KI-Systeme künftig autonom operative Maßnahmen auslösen sollen, also etwa automatisch sogenannte Hackbacks einleiten und durchführen können sollen.

Die Mitglieder des PKGr versäumten es heute, die Geheimdienst-Präsident:innen daraufhin zu befragen. Immerhin gab der stellvertretende Vorsitzende des PKGr, Konstantin von Notz (Grüne), zu Protokoll, dass das Gesetz aus seiner Sicht „auf jeden Fall in Karlsruhe landen wird“. Spätestens dann ist hoffentlich auch Gelegenheit für kritische Erkundigungen.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die 40. Kalenderwoche geht zu Ende. Wir haben 13 neue Texte mit insgesamt 99.089 Zeichen veröffentlicht. Willkommen zum netzpolitischen Wochenrückblick.

Liebe Leser:innen,

es gibt etwas, das mich richtig aufregt: Wenn Menschen suggerieren, demokratische Rechte seien etwas, das uns von Gnaden irgendwelcher Regierungen gewährt würde. Und wenn es nicht mehr passt, könne man die – ganz nonchalant – wieder abschaffen.

Diese Woche hat Jan Redmann, seines Zeichens Innenminister von Brandenburg, diesen Nerv bei mir getroffen. Wenn es nach ihm geht, sollen in Brandenburg keine Informationsfreiheitsanfragen mehr an die Polizei gestellt werden dürfen. Und überhaupt würden ja 90 Prozent der Anfragen sowieso abgelehnt. Da – so insinuiert er – kann man sich den Aufwand ja gleich ganz sparen.

Ich finde das unglaublich verachtend. Wenn er schon meint, die Polizei müsse den Menschen nichts mehr über ihre Arbeit verraten, dann muss die sich wenigstens die Arbeit machen, dafür gute Gründe zu finden. Und diese Gründe müssen anfechtbar sein – zur Not vor Gericht. So wie es eben bei Informationsfreiheitsanfragen der Fall ist. So wie es in einer demokratischen Gesellschaft der Fall ist. So wie es einem transparenten und überprüfbaren Staat gut zu Gesicht steht.

Das Recht auf Akteneinsicht und Informationszugang hat in Brandenburg sogar seinen eigenen Platz in der Landesverfassung. „Die Landesverfassung setzt einer Änderung des Akteneinsichts- und Informationszugangsgesetzes deutlichere Grenzen als die Überlegungen in der angesprochenen Diskussion auf Bundesebene“, schrieb mir noch im August ein Sprecher des Brandenburgischen Innenministeriums. Daher sei die Diskussion in Brandenburg mit der auf Bundesebene nicht vergleichbar.

Damals hieß es, es sollten die Rechte zu Auskunft über Kritische Infrastruktur eingeschränkt werden. Schon das ist ein Problem. Jetzt geht es auch um die Polizei. Die kann Anfragen nach sensiblen Informationen längst ablehnen und tut dies auch regelmäßig. Ein Recht mit Verfassungsrang aus Bequemlichkeit zu beschneiden, damit man sich dafür nicht mehr rechtfertigen muss? Für mich ist das mit dem Landesverfassungsrecht nicht vereinbar.

Ein konkreter Gesetzentwurf zu den geplanten Änderungen ist noch nicht bekannt. Und irgendwo hoffe ich noch, dass Redmann sich von der Abschaffung des Informationszugangs für die Polizei einfach wieder verabschiedet. Denn eine Verfassungsbeschwerde, die hoffentlich folgen würde, könnte ja auch jede Menge Aufwand nach sich ziehen. Und den könnte er sich wirklich sparen.

Ein gutes Wochenende wünscht euch

anna

---

Digitaler Euro: Was Parlament und EU-Länder bei der Privatsphäre trennt

Über den Digitalen Euro verhandeln seit diesem Monat das Europäische Parlament und die EU-Mitgliedstaaten. Bei Privatsphäre und Datenschutz haben die Institutionen unterschiedliche Vorstellungen. Das Parlament will strengere Regeln, die EU-Länder mehr Datenspuren. Von Leonhard Pitz –
Artikel lesen

Breakpoint: Im Gleichschritt der Cowboystiefel

Trends und Labels berauben uns der Möglichkeit, unsere Persönlichkeit auszudrücken. Sie machen uns gleichförmig und ebnen den Weg für eine sprachlose Gesellschaft, die sich autoritären Zwängen unterwirft, weil wir verlernen, Regeln zu brechen. Von Carla Siepmann –
Artikel lesen

Autistici / Inventati: Es ist immer noch viel zu still

Anne Roth hat vor 19 Jahren ein Blog bei NoBlogs.org gestartet. Jetzt hat die unkommerzielle Plattform dicht gemacht, weil die USA das dahinter stehende Tech-Kollektiv als Terrorismus eingestuft haben. Die USA greifen damit direkt und ohne jedes Verfahren die Meinungs- und Internetfreiheit in anderen Ländern an. Von Anne Roth, Anne Roth –
Artikel lesen

Malta versus Lilith Wittmann: Gerichtsurteil stärkt Meinungs- und Pressefreiheit

Die IT-Sicherheitsexpertin Lilith Wittmann leitete Daten der maltesischen Glücksspielbehörde an Medien und Ermittlungsbehörden weiter, wonach diese mutmaßlich illegales Glücksspiel ermöglichte. Die Behörde ging daraufhin gerichtlich gegen Wittmann vor. Nun liegt ein Urteil vor, das die Meinungs- und Pressefreiheit stärkt. Von Esther Menhard –
Artikel lesen

Zum Tod von Bruno Kramm: Ein Spinner im allerbesten Sinne

Am vergangenen Freitag starb überraschend der Musiker und Netzaktivist Bruno Kramm. Er kämpfte für ein besseres Urheberrecht und hatte seine Finger bei vielen Protesten im Spiel, die er beflügelte und bereicherte. Ein Nachruf. Von Markus Reuter –
Artikel lesen

Ärzte, Aktivistinnen und Internetnutzer: Diese Geheimdienstreform betrifft uns alle

Bei der Geheimdienstreform geht es nur um Bedrohungen durch „fremde Mächte“ und Terror? Mitnichten. Die Regeln, die derzeit der Bundestag debattiert, gehen uns alle an: beim Arztbesuch, in der Autowerkstatt und auf der Demo. Von Anna Biselli –
Artikel lesen

Informationsfreiheit in Brandenburg: Die Verhöhnung von Transparenz

Brandenburgs Innenminister will die Informationsfreiheit noch weiter beschneiden als bisher bekannt. Wie er das begründet, verspottet demokratische Grundprinzipien. Ein Kommentar. Von Anna Biselli –
Artikel lesen

Careless People: Acht Dinge, die ich aus dem Enthüllungsbuch über Facebook gelernt habe

Sarah Wynn-Williams spielte bei Metas Aufstieg zur globalen Supermacht eine wichtige Rolle. Jahre später warnt sie in ihrem Buch vor den verantwortungslosen Menschen an der Spitze des Konzerns. Es ist eine lesenswerte Abrechnung mit Profitgier, Sexismus und Politiker:innen, die sich Mark Zuckerberg an den Hals werfen. Von Ingo Dachwitz –
Artikel lesen

Too big to fail: Verantwortungslose KI-Panik

Seit Jahren warnt die KI-Branche vor den Gefahren der Technik, die sie selbst auf die Welt losgelassen hat. Bis heute hat sich daran kaum etwas verbessert. Das liegt auch daran, dass die Tech-Konzerne den Rahmen der Debatte bestimmen. Es wird Zeit, dass sie echte Verantwortung übernehmen. Ein Kommentar. Von Tomas Rudl –
Artikel lesen

Memes: Elif Eralp springt bei Sanifair übers Drehkreuz

Die Berichterstattung über die mögliche neue linke Berliner Bürgermeisterin Elif Eralp nimmt mittlerweile bizarre Formen an. Jetzt reagieren Nutzer:innen in sozialen Netzwerken und machen sich über FAZ & Co. lustig. Von Markus Reuter –
Artikel lesen

Chatkontrolle-Verhandlungen: EU-Staaten und Parlament weiter uneins

Das Tauziehen um die Chatkontrolle geht in den Trilog-Verhandlungen zwischen Kommission, Rat und Parlament weiter. Bei der jüngsten Runde blieb eine Einigung aus. Übrig sind noch eine ganze Reihe an Knackpunkten. Von Tomas Rudl –
Artikel lesen

Psychisch-Kranken-Gesetz in NRW: Daten für die Abschiebung

Ein neues Gesetz in Nordrhein-Westfalen soll nicht nur der Polizei mehr Informationen über Menschen liefern, die in eine Klinik eingewiesen wurden. Auch die Ausländerbehörden sollen mehr über Geflüchtete in Psychiatrien erfahren – damit sie Abschiebungen besser planen können. Von Anna Biselli –
Artikel lesen

Betroffene in ganz Europa: Mindestens 147 Abgeordnete wurden Ziel sexualisierter Deepfakes

Eine neue Studie zeigt, wie Politiker:innen in Europa von sexualisierten Deepfakes betroffen sind. Forschende habe 147 Abgeordnete der nationalen Parlamente auf einschlägigen Deepfake-Seiten gefunden. Im EU-Parlament machen 119 Abgeordnete deshalb Druck für schärfere Maßnahmen. Von Carla Rochel –
Artikel lesen

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Eine neue Studie zeigt, wie Politiker:innen in Europa von sexualisierten Deepfakes betroffen sind. Forschende habe 147 Abgeordnete der nationalen Parlamente auf einschlägigen Deepfake-Seiten gefunden. Im EU-Parlament machen 119 Abgeordnete deshalb Druck für schärfere Maßnahmen.

Rund 150 Abgeordnete aus nationalen Parlamenten in der EU sind bereits Ziel von sexualisierten Deepfakes geworden. Das haben Forschende der Berliner Denkfabrik Agora Digitale Transformation herausgefunden. Die von der Stiftung Mercator geförderte gemeinnützige Organisation arbeitet zu digitalem Wandel und Demokratie.

In der Folge fordern 119 Abgeordnete des EU-Parlaments in einem offenen Brief schärfere Maßnahmen von EU-Kommission und Mitgliedstaaten.

Für die Studie haben die Forschenden unter anderem bekannte Deepfake-Seiten durchleuchtet. Dort haben sie nach den Namen von 5.872 Abgeordneten aus den nationalen Parlamenten aller 27 EU-Staaten gesucht. In 38 Fällen stießen sie direkt auf gefälschte sexualisierte Bilder oder Videos der Abgeordneten.

Sie suchten darüber hinaus nach Spuren bereits entfernter Inhalte sowie nach Deepfake-Werkzeugen, die dazu einladen, sexualisierte Aufnahmen der Betroffenen zu erstellen. Insgesamt konnten die Forschenden auf diese Weise ermitteln, dass 147 Abgeordnete aus 22 EU-Ländern zum Ziel nicht-einvernehmlicher, sexualisierter Deepfakes geworden sind.

Mithilfe Künstlicher Intelligenz (KI) lassen sich sexualisierte Bilder oder Videos von Personen ohne deren Zustimmung erzeugen. Sogenannte „Nudifier“-Apps (Auszieh-Apps) benötigen dafür nur das Foto einer Person.

Die Ergebnisse der Studie zeigen außerdem, dass weibliche Abgeordnete von sexualisierten Deepfakes deutlich häufiger betroffen sind als männliche. Von den 147 Betroffenen waren 138 Frauen und neun Männer.

Auch die aus Österreich stammende EU-Abgeordnete Lena Schilling (Grüne) wurde Ziel von sexualisierten Deepfakes. „Man hat uns gegen unseren Willen ausgezogen“, sagte sie der Nachrichtenagentur APA. „KI verstärkt Gewalt gegen Frauen, und deshalb braucht es politische Entscheidungen, die uns schützen.“

Gesetze allein reichen nicht aus

Die Studie rückt die Frage nach der Wirksamkeit bestehender Regelungen in den Blick. In manchen der 22 Länder gibt es bereits Gesetze gegen Deepfakes. Den Autor:innen zufolge hatte das jedoch keine sichtbare Wirkung auf die Zahl der betroffenen Abgeordneten.

In ihrem offenen Brief fordern die 119 Abgeordneten des EU-Parlaments unter anderem klare Vorgaben und ausreichend ausgestattete Behörden, damit das kommende EU-weite Verbot sogenannter „Nudifier“-Apps tatsächlich durchgesetzt werden kann. Es ist Teil der KI-Verordnung (AI Act) und tritt am 2. Dezember 2026 in Kraft.

Die Abgeordneten machen jedoch deutlich, dass ein Verbot allein nicht ausreiche. „Ein Verbot auf dem Papier schützt niemanden, solange es nicht durchgesetzt wird“, heißt es auf Englisch. Unterzeichnet wurde der Brief partei- und länderübergreifend, unter anderem von den deutschen Abgeordneten Alexandra Geese (Grüne), Tiemo Wölken (SPD), Martin Schirdewan (Die Linke) und Dennis Radtke (CDU).

Weiter heißt es in dem offenen Brief über sexualisierte Deepfakes: „Dies ist geschlechtsspezifische digitale Gewalt. Ihr Zweck ist die Demütigung und Kontrolle über die Körper von Frauen“. Jede junge Frau, die eine politische Karriere in Betracht zieht, „muss heute einkalkulieren, dass ihr so etwas passieren könnte.“

Auch Agora Digitale Transformation hat Forderungen gegen sexualisierte Deepfakes. Die Autor:innen empfehlen unter anderem, Suchmaschinen stärker in den Blick zu nehmen. Selbst wenn Deepfakes bereits offline sind, könnten Suchmaschinen noch entsprechende Suchergebnisse anzeigen, was sich auf den Ruf und auf die Psyche der Betroffenen auswirke.

–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.