blog.bubam.de

„Freiwillig, bis Silvester“

Es gibt Wörter, an denen man erkennt, dass gerade etwas schiefgeht, und „Partnerschaft“ ist eines davon. Die EU-Kommission verhandelt seit dem Jahreswechsel mit den Vereinigten Staaten ein Rahmenabkommen namens Enhanced Border Security Partnership. Es soll amerikanischen Behörden bei der Einreisekontrolle Zugriff auf nationale Polizei- und Einwanderungsdatenbanken der EU-Staaten geben, einschließlich der biometrischen. Zustimmen muss, wer im Programm für visumfreie Einreise bleiben will, und zwar bis zum 31. Dezember dieses Jahres. Wer die Frist verstreichen lässt, dessen Staatsangehörige beantragen künftig wieder ein reguläres Besuchervisum — mit Gebühr und persönlichem Termin in der Botschaft.

Eine Vereinbarung, die man unter Androhung eines Nachteils bis zu einem Stichtag unterschreibt, ist vieles, aber keine Partnerschaft. Matthias Monroy hat den Vorgang gestern auf netzpolitik.org aufgeschrieben; die Grundlage ist ein Entwurf, den die Bürgerrechtsorganisation Statewatch im Mai öffentlich gemacht hat. Ohne dieses Leck wüssten wir über den Inhalt praktisch nichts — was für sich genommen schon eine Aussage über das Verfahren ist.

Der Inhalt lohnt das Hinsehen. Abgefragt werden können nach dem Entwurf Datensätze zu strafrechtlichen Verurteilungen, zu Gefahren für die nationale Sicherheit, zu terroristischen Bedrohungen und zu Verstößen gegen das Einwanderungsrecht. Als Anlass genügt, dass „Grund zu der Annahme besteht“, die Einreise könne eine ernsthafte und unmittelbare Gefahr darstellen. Das ist keine Schwelle, das ist eine Formulierung. Wer entscheidet, wann dieser Grund vorliegt, steht nicht in der Norm, sondern in der Praxis der abfragenden Behörde — und die sitzt in diesem Fall nicht hier.

Das schwerwiegendste Detail ist zugleich das unscheinbarste und steht in der Aufsichtsklausel: Die Kontrolle soll „kumulativ“ durch behördeninterne Stellen erfolgen. Man muss das zweimal lesen. Der europäische Datenschutz beruht darauf, dass eine Stelle prüft, die nicht selbst verarbeitet — Unabhängigkeit ist nicht Beiwerk der Kontrolle, sondern ihr Inhalt. Max Schrems, der diesen Punkt vor dem Europäischen Gerichtshof zweimal erfolgreich vorgetragen hat, weist genau darauf hin: Aufsicht innerhalb der Behörde ist keine unabhängige Aufsicht, und der Rechtsweg für Betroffene scheitert in den USA regelmäßig schon daran, dass man in Datenschutzsachen gar nicht erst klagebefugt ist. Ein Recht, das man nicht geltend machen kann, ist eine Absichtserklärung.

Dazu kommt, worauf der europäische Dachverband EDRi in einem offenen Brief im Juli hingewiesen hat: Dem Entwurf fehlt ein belastbarer Diskriminierungsschutz, auch mit Blick auf politische Meinungen. Das ist keine theoretische Sorge. Wenn Abfragen an Risikobewertungen hängen und in die Bewertung einfließt, was jemand öffentlich äußert, dann wird die Frage, welche Meinung als Risiko gilt, von der Regierung beantwortet, die abfragt. EDRi nennt Kritik an der amtierenden US-Regierung, Eintreten für Transgender-Rechte und Teilnahme an Gaza-Protesten als Beispiele — und formuliert die Bewertung des Verhandlungsstands ungewöhnlich deutlich: Der ausgehandelte Text spiegele fast vollständig die US-Forderungen wider und weiche vom Mandat der Mitgliedstaaten ab.

Es gibt in dieser Geschichte genau eine gute Nachricht, und sie ist eine über Schadensbegrenzung. Dass die Kommission überhaupt gemeinsam verhandelt, verhindert, dass jeder Mitgliedstaat einzeln an denselben Tisch gezerrt wird — siebenundzwanzig Verhandlungen gegen dieselbe Gegenseite, jede mit derselben Frist im Nacken, hätten schlechter geendet. Gemeinsam auftreten ist die richtige Antwort auf ein Ultimatum. Sie ändert nur nichts daran, dass es eines ist.

Und damit zum Punkt, an dem dieser Beitrag ausdrücklich nicht in Weltuntergang kippt: Entschieden ist nichts. Das Rahmenabkommen ist ein Entwurf. Ihm müssen das Europäische Parlament und der Rat zustimmen; die konkreten bilateralen Abkommen kommen erst danach, und die Mitgliedstaaten entscheiden nach dem Briefing des Parlaments selbst mit, welche Daten sie überhaupt einbeziehen. Irland und Dänemark stehen aus strukturellen Gründen außerhalb. Das ist kein beschlossener Zugriff, das ist eine laufende Verhandlung mit offenem Ausgang und mehreren Stellen, an denen jemand Nein sagen kann. Wer das jetzt schon als beschlossene Sache beschreibt, nimmt dem Parlament die Rolle ab, die es noch hat.

Bleibt die Frage, die unter dem Vorgang liegt und über ihn hinausreicht. Ein Recht, das man gegen eine Reiseerleichterung eintauscht, war nie ein Recht, sondern eine Vergünstigung — und Vergünstigungen werden neu verhandelt, sobald sich die Machtlage ändert. Der Preis wird hier nicht in Geld genannt, sondern in Zugriff, und er wird nicht von denen bezahlt, die verhandeln, sondern von jedem, dessen Fingerabdruck in einer nationalen Datenbank liegt und der irgendwann einen Flug bucht. Wie beim „freiwilligen“ Scannen privater Nachrichten im Sommer gilt: Die Vokabel, die den Vorgang harmlos klingen lässt, ist immer die, auf die man schauen sollte. Damals war es „freiwillig“. Diesmal ist es „Partnerschaft“.

Souveränität heißt nicht, keine Abkommen zu schließen. Sie heißt, sie nicht unter Frist zu unterschreiben.

Quelle: Matthias Monroy auf netzpolitik.org (24. August 2026) zum von Statewatch veröffentlichten Entwurf; Briefing des Europäischen Parlaments (22. April 2026); EDRi (20. Juli 2026)

▸ Datensouveränität · ▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

„Freiwillig, die Zweite"

Im Juni endete hier ein Beitrag mit der These, die Chatkontrolle sterbe nicht, sie werde umetikettiert: Der Zwang sei abgewehrt, aber das „freiwillige" Scannen werde verstetigt. Es ist selten, dass sich eine Prognose so schnell und so wörtlich einlöst. Genau das passiert gerade.

Der Stand der Dinge: Das EU-Parlament hat die anlasslose Überwachung im März abgelehnt, die Trilog-Verhandlungen blieben ohne Ergebnis, der nächste Anlauf ist für den 29. September angesetzt. Eigentlich eine Pattsituation. Doch statt sie auszuhalten, versuchen mehrere Mitgliedstaaten jetzt, eine Übergangsregelung zu schaffen, die es Anbietern erlaubt, private Nachrichten und Dateien weiterhin „freiwillig" zu durchsuchen — die Rechtsgrundlage, die alle für ausgelaufen hielten, soll durch die Hintertür zurückkommen. Und wer drängt vorneweg? Deutschland. Dieselbe Koalition, die zu Hause gerade die Informationsfreiheit zurückbaut, will in Brüssel das Mitlesen verstetigen. Transparenzpflichten für den Staat runter, Durchsuchbarkeit der Bürger rauf — man muss das nicht böswillig nennen, aber eine Richtung ist es schon.

Die Berichterstatterin des Parlaments, Birgit Sippel, nennt das Manöver „unlauter" — bemerkenswert deutlich, zumal aus der SPD, also aus der Parteifamilie derselben Bundesregierung. Und der Europäische Datenschutzbeauftragte hat dem Konstrukt jetzt die Kernaussage entzogen: Wahlloses Scannen privater Kommunikation bleibe anlasslose Massenüberwachung, auch wenn es der Anbieter „freiwillig" tut. Das ist der Punkt, den das Wort so geschickt vernebelt. Freiwillig ist an dieser Chatkontrolle genau eine Partei — der Konzern. Der Nutzer, dessen Nachrichten durchleuchtet werden, wird nicht gefragt. „Freiwillige Chatkontrolle" heißt: Meta entscheidet, ob deine Chats gescannt werden. Das als Freiheit zu verkaufen, ist schon sprachlich eine Leistung.

Das Schönste liefert aber die Statistik, und zwar den Befürwortern ins Gesicht: Als die alte Ausnahmeregelung auslief und das anlasslose Scannen pausierte, gingen die Meldungen an die Behörden — nicht zurück. Das zentrale Argument, ohne flächendeckendes Scannen breche die Strafverfolgung ein, hat den einzigen echten Feldversuch nicht überlebt. Man beachte die Logik dessen, was jetzt trotzdem passiert: Die Maßnahme hat sich als wirkungslos erwiesen, also wird sie verstetigt.

Am 29. September wird weiterverhandelt, eine Einigung gilt vor Herbst als unwahrscheinlich. Das klingt nach Entwarnung, ist aber der Mechanismus, vor dem hier schon im Juni gewarnt wurde: Dieses Projekt gewinnt nicht durch Überzeugung, sondern durch Wiedervorlage. Es muss nur einmal durchkommen. Die Gegenseite muss jedes Mal gewinnen.

Quelle: ComputerBase — EU-Staaten halten an anlassloser Überwachung fest; netzpolitik.org — EDPS gegen wahlloses Scannen

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

„Die Tür bekommt Türsteher"

Zwei Beiträge zum Informationsfreiheitsgesetz standen hier in den letzten Tagen: einer über die Pläne der Koalition, die Beweislast umzudrehen, und einer über die Frage eines Lesers, ob die Verfassung das nicht verbietet. Die ernüchternde Antwort damals: Sie verbietet es nicht. Die Transparenz ist keine Mauer, sie ist eine Tür, und was eine einfache Mehrheit gegeben hat, kann eine einfache Mehrheit nehmen. Der Beitrag endete mit dem Satz, gerade greife jemand nach der Klinke.

Das Update: Die Tür bekommt Türsteher. Über 100 Organisationen haben einen offenen Brief gegen die Pläne unterzeichnet, und die Liste ist bemerkenswerter als die Zahl. Da stehen nicht nur die Üblichen — FragDenStaat, der CCC, Reporter ohne Grenzen —, sondern Amnesty neben dem NABU, Wikimedia neben Greenpeace, die Journalistengewerkschaften neben der taz. Wenn Vogelschützer und Enzyklopädisten gemeinsam für ein Verwaltungsgesetz auf die Barrikaden gehen, dann ist das kein Nischenthema der Netzszene mehr. Dann hat es sich herumgesprochen, dass hier ein Werkzeug wegsoll, das alle benutzen.

Dazu eine Petition mit inzwischen 370.000 Unterschriften — adressiert nicht an die Regierung, sondern gezielt an die SPD-Fraktion. Das ist taktisch klug und in der Sache entlarvend zugleich: Die Pläne brauchen eine einfache Mehrheit, und die gibt es nur, wenn beide Regierungsfraktionen sie tragen. Die SPD hat Transparenz im Koalitionsvertrag stehen. Die Petition fragt also im Kern nichts anderes als: Gilt das noch?

Der schärfste Ton kommt allerdings von amtlicher Stelle. Die Informationsfreiheitsbeauftragten von Bund und Ländern — die Aufsicht, nicht die Aktivisten — erklären gemeinsam, Informationsfreiheit sei „keine lästige Pflicht der Verwaltung, sondern eine historische Errungenschaft". Und sie sagen dazu, was von der offiziellen Begründung zu halten ist: Die Sicherheitsargumente seien vorgeschoben. Das ist, aus dem Beamtendeutsch übersetzt, der Vorwurf, die Regierung nenne den wahren Grund nicht. Der wahre Grund ist der bequemste von allen: Wer nicht gefragt werden kann, muss nicht antworten.

Ob das reicht, ist offen. Offene Briefe haben noch kein Gesetz gestoppt, Petitionen selten. Aber der Mechanismus, auf den es ankommt, ist ein anderer: Die Pläne leben davon, als „Bürokratierückbau" durchzulaufen — als technische Aufräumarbeit, die niemand bemerkt. Diese Deckung ist jetzt weg. Wer die Tür zumacht, tut es vor Publikum.

Quelle: netzpolitik.org — Widerstand gegen Beseitigung der Informationsfreiheit; CCC

▸ Überwachung & Bürgerrechte · ▸ Heuchelei & Machtmissbrauch

[l] Permalink

„Gehört dem Volk nicht alles, was der Staat weiß?“

Zu meinem Beitrag über die IFG-Pläne schreibt mir ein Leser einen Gedanken, der zu gut ist, um ihn im privaten Chat zu lassen. Ich beantworte ihn deshalb hier — anonym, aber wörtlich in der Sache:

Könnte man nicht auf Grundlage von Art. 20 Abs. 2 Satz 1 GG argumentieren, dass die Bevölkerung ein immanentes verfassungsmäßiges Recht auf ausnahmslos alle Informationen und Daten hat, die egal welche staatliche Stelle erhebt oder erzeugt? Ausnahmen für die äußere Sicherheit und den Schutz von Persönlichkeitsrechten in mäßigem Rahmen. Aber eigentlich verstößt das Konzept des „Amtsgeheimnisses“ doch gegen unsere Verfassung. Oder ist mein Gedanke so abwegig?

Nein, abwegig ist er nicht. Er landet mitten in einer echten, seit Jahren geführten Debatte — und er zeigt in die richtige Richtung. Nur ist die ehrliche Antwort unbequemer, als sie klingt, und sie hat zwei Hälften, die man auseinanderhalten muss: die Richtung stimmt, der Rechtszustand ist ein anderer.

Fangen wir mit der Norm an. „Alle Staatsgewalt geht vom Volke aus“ ist der Satz der Volkssouveränität, das Fundament der Demokratie. Aus ihm folgt zwingend, dass der Staat dem Volk Rechenschaft schuldet, und Rechenschaft ohne Einblick ist eine leere Geste. Das Bundesverfassungsgericht kennt diesen Zusammenhang: Demokratie lebt von Öffentlichkeit, von einer Bürgerschaft, die informiert genug ist, um zu urteilen und zu wählen. So weit trägt der Gedanke. Er ist der normative Boden, auf dem das Informationsfreiheitsgesetz überhaupt steht.

Der Sprung, der nicht hält, ist der von „der Staat schuldet Rechenschaft“ zu „jeder Bürger hat ein einklagbares Verfassungsrecht auf ausnahmslos jede Datei“. Diesen Sprung macht das geltende Recht nicht mit. Das Grundgesetz hat sogar eine eigene Norm für Information — Art. 5 Abs. 1: das Recht, sich „aus allgemein zugänglichen Quellen“ zu unterrichten. Klingt nach genau dem, was der Leser will. Ist es aber nicht: Das Verfassungsgericht liest die Norm eng. Sie schützt den Zugang zu Quellen, die schon offen sind — nicht das Recht, eine geschlossene Quelle aufzustoßen. Und ob eine Behördenakte eine „allgemein zugängliche Quelle“ ist, entscheidet das einfache Gesetz. Also genau jenes IFG, das gerade umgebaut werden soll. Die Verfassung reicht die Frage an den Gesetzgeber weiter, statt sie selbst zu beantworten.

Dazu kommt, dass das Grundgesetz Geheimnis nicht nur duldet, sondern an mehreren Stellen voraussetzt. Es kennt einen „Kernbereich exekutiver Eigenverantwortung“ — einen geschützten Raum, in dem eine Regierung beraten und ringen kann, ohne dass jeder Zwischenstand sofort auf dem Tisch liegt; das Verfassungsgericht hat ihn selbst gegen die Aufklärungsrechte von Untersuchungsausschüssen verteidigt. Es kennt das Staatswohl, das Brief- und Fernmeldegeheimnis, den Schutz laufender Verfahren. „Das Amtsgeheimnis“ als solches ist deshalb nicht verfassungswidrig. Ein blindes, zweckloses Zumauern wäre in Spannung zur demokratischen Öffentlichkeit — aber die Kategorie Geheimnis ist verfassungsfest, nicht verfassungswidrig. Die beiden Ausnahmen, die der Leser selbst einräumt — äußere Sicherheit und Persönlichkeitsrechte — sind ja bereits das Eingeständnis, dass es nie „ausnahmslos alle Daten“ heißen kann. Und die zweite dieser Ausnahmen hat sogar Verfassungsrang aus der Gegenrichtung: Das Recht auf informationelle Selbstbestimmung schützt die Daten des Bürgers vor dem Staat. Wo der eine „alles offenlegen“ ruft, ruft der Nächste zu Recht „aber nicht meins“.

Und jetzt der Teil, der die Frage tatsächlich beantwortet — durch die Hintertür. Wenn Art. 20 Abs. 2 dem Volk wirklich ein unmittelbares Recht auf alle staatlichen Informationen gäbe, dann wäre die geplante IFG-Verschärfung schlicht verfassungswidrig. Dann könnte FragDenStaat nach Karlsruhe ziehen und das Gesetz kippen lassen. Dass das realistisch nicht geht, dass die Koalition das Auskunftsrecht mit einfacher Mehrheit zusammenstreichen kann, ohne die Verfassung anzufassen — das ist der Beweis, dass es dieses Recht in der erhofften Härte nicht gibt. Die Offenheit steht nicht in der Verfassung. Sie steht in einem einfachen Gesetz. Und was ein einfaches Gesetz gibt, kann eine einfache Mehrheit nehmen.

Damit schließt sich der Kreis zum ursprünglichen Beitrag. Der Leser hat mit seinem Instinkt recht: Die Beweislast sollte bei der Macht liegen, das ist die demokratie-nähere Grundstellung, und sie hat einen verfassungsrechtlichen Widerhall im Demokratieprinzip. Aber sie ist eben nur ein Widerhall, keine Mauer. Das IFG hat diese richtige Richtung 2006 in geltendes Recht gegossen — freiwillig, nicht weil die Verfassung es erzwungen hätte. Genau deshalb ist die Rücknahme so gefährlich. Nicht weil sie ein Grundrecht bricht — dann wäre die Sache einfach, dann übernähme Karlsruhe. Sondern weil sie etwas kassiert, das die Verfassung zwar nahelegt, aber nicht garantiert. Der Schutz der Transparenz war nie eine Festung. Er war immer nur eine Entscheidung, die man jeden Tag neu treffen muss. Der Leser hat die Frage gestellt, ob die Mauer schon steht. Die ernüchternde Antwort: Es ist keine Mauer. Es ist eine Tür — und gerade greift jemand nach der Klinke.

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

„Warum wollen Sie das wissen?“

Das Informationsfreiheitsgesetz beruht auf einer einfachen, fast schon eleganten Idee: Amtliche Informationen gehören nicht der Verwaltung, sondern den Bürgern — und deshalb darf jeder sie anfragen, ohne einen Grund zu nennen. Wenn der Staat nicht herausgeben will, muss er das begründen. Die Beweislast liegt bei der Macht, nicht beim Fragenden.

Genau diese Richtung will die Koalition jetzt umdrehen. Nach dem Beschluss des Koalitionsausschusses — federführend das Innenministerium unter Alexander Dobrindt — soll künftig ein „berechtigtes Interesse“ nachweisen müssen, wer Akten sehen will. Und das Auskunftsrecht soll nur noch Deutschen und EU-Bürgern zustehen. Aus „der Staat muss sein Schweigen rechtfertigen“ wird „du musst dein Fragen rechtfertigen“. Das ist keine Detailkorrektur. Das ist ein anderes Gesetz mit demselben Namen.

Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider — nicht irgendeine Aktivistin, sondern die zuständige Aufsicht — formuliert es bemerkenswert deutlich: Einige der Anpassungen hätten eine Tragweite, die „im Ergebnis einer Abschaffung nahekämen“. Die Beschränkung auf Deutsche und EU-Bürger nennt sie undemokratisch. Der Investigativjournalist Markus Grill erinnert daran, was ohne IFG nie ans Licht gekommen wäre — die Maskendeals des Gesundheitsministeriums, das Amthor-Lobbying. Das sind keine Petitessen. Das sind die Fälle, für die das Gesetz gemacht wurde.

Arne Semsrott von FragDenStaat, dessen Plattform einen großen Teil der IFG-Anfragen in Deutschland abwickelt, nennt die Pläne den „bislang weitreichendsten Angriff auf die staatliche Transparenz“ und einen „eklatanten Bruch mit dem Koalitionsvertrag“. Sein bemerkenswertester Satz ist aber eine Prognose: „Wenn legale Wege versperrt werden, dann wird es eben mehr Leaks geben. Dann wird FragDenStaat zum neuen WikiLeaks.“ Man kann das als Drohung lesen. Ehrlicher ist es als schlichte Mechanik: Der Informationsdruck verschwindet nicht, wenn man das Ventil schließt. Er sucht sich ein anderes.

Ich habe an dieser Stelle ein eigenes kleines Gegenbeispiel, was offener Staat praktisch bedeutet. Ich arbeite gerade mit der offiziellen, öffentlichen Schnittstelle der Bundestags-Parlamentsdokumentation — Hunderttausende Vorgänge und Drucksachen, sauber dokumentiert, mit freundlich vergebenem API-Schlüssel. Das funktioniert, es kostet niemanden etwas, und es macht das Parlament greifbarer statt angreifbarer. Transparenz ist keine Bedrohung für den Staat. Sie ist der Beleg, dass er sie aushält.

Noch ist das Gesetz nicht durch den Bundestag. Die Petition dagegen hatte binnen Stunden Tausende Unterschriften. Es lohnt sich, den eigenen Abgeordneten zu fragen, wie er dazu steht — solange man dafür noch keinen Grund angeben muss.

Quelle: heise online — Arne Semsrott zu IFG-Plänen; netzpolitik.org — Angriff auf Informationsfreiheit

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Wer prüft, wird bespäht

Es gibt Nachrichten, die klingen wie eine Pointe, sind aber Forensik. Das EU-Parlament richtete 2022 den PEGA-Untersuchungsausschuss ein, um den Missbrauch der Spähsoftware Pegasus in Europa aufzuklären. Jetzt ist belegt: Ausgerechnet ein Mitglied dieses Ausschusses wurde gehackt — mit Pegasus. Während der Ausschussarbeit.

Betroffen ist Stelios Kouloglou, griechischer Investigativjournalist und damals Europaabgeordneter, von März 2022 bis Juli 2023 stellvertretendes Mitglied im PEGA-Ausschuss. Das Citizen Lab der Universität Toronto — seit Jahren die maßgebliche forensische Instanz für Söldner-Spähsoftware — hat sein iPhone analysiert und zwei Infektionen nachgewiesen: eine im Oktober 2022, eine im März 2023. Beide fallen mitten in die Laufzeit des Ausschusses. Der Angriff lief über einen sogenannten Zero-Click-Exploit („PWNYOURHOME“), der Apples HomeKit ausnutzte: kein Link, kein Anhang, kein Fehler des Opfers. Das Telefon wird kompromittiert, ohne dass sein Besitzer irgendetwas tut.

Ehrlichkeit gebietet zwei Einordnungen. Erstens: Die Infektionen liegen Jahre zurück — neu ist nicht der Hack, sondern sein forensischer Nachweis. Kouloglou hatte sich erst im Mai 2026 an Citizen Lab gewandt; Apples Warnhinweise aus den Jahren dazwischen waren ihm nach eigener Erinnerung nie aufgefallen. Zweitens: Wer dahintersteckt, ist nicht geklärt. Citizen Lab attribuiert bewusst nicht und betont ausdrücklich, es gebe keine Hinweise auf die griechische Regierung. Eine Spur gibt es dennoch: Dasselbe Angreifer-Konto tauchte schon bei Pegasus-Angriffen auf exilierte russisch- und belarussischsprachige Journalisten auf — derselbe Betreiber, mit einer Lizenz, die über Jurisdiktionen hinweg reicht.

Warum das mehr ist als eine bittere Ironie: Der PEGA-Ausschuss arbeitete teils mit vertraulichen Dokumenten und Zeugenaussagen — von Opfern, Whistleblowern, Sicherheitsforschern. Ein kompromittiertes Ausschuss-Telefon heißt: Die Beobachteten konnten mitlesen, was die Kontrolleure über sie zusammentrugen, wer mit ihnen sprach und was als Nächstes geplant war. Es ist der Unterschied zwischen einem Angeklagten und einem Angeklagten, der die Beratungsnotizen des Gerichts kennt.

Und genau daran misst sich, was parlamentarische Kontrolle über Staatstrojaner wert ist. Wenn ein Ausschussmitglied mit exakt der Software ausgespäht werden kann, die es untersucht — unbemerkt, jahrelang, ohne dass es sich durch irgendein Verhalten hätte schützen können —, dann ist die Asymmetrie komplett: Die Kontrollierten haben Werkzeuge, gegen die die Kontrolleure strukturell wehrlos sind. Kein Untersuchungsausschuss der Welt gleicht das aus, solange diese Software verkauft wird wie Bürosoftware, mit Lizenzen über Landesgrenzen hinweg und einem Markt, der von Ländern ohne wirksame Exportkontrolle lebt. Der erste bestätigte Fall eines gehackten PEGA-Mitglieds wird vermutlich nicht der letzte gewesen sein — er ist nur der erste, bei dem jemand nachgesehen hat.

Quelle: The Citizen Lab — Member of Committee Investigating Spyware Hacked with Pegasus

▸ Überwachung & Bürgerrechte · ▸ Security

[l] Permalink

Erst der Ort, dann der Verdacht

Normalerweise läuft eine Ermittlung in eine Richtung: Es gibt einen Verdächtigen, und um den Verdacht zu erhärten, holt sich die Polizei mit richterlichem Beschluss seine Daten. Person zuerst, Daten danach. Ein Geofence-Warrant kehrt das um. Er fragt nicht „gebt uns die Standortdaten dieser Person“, sondern „gebt uns alle Handys, die zu dieser Zeit an diesem Ort waren“ — und sucht den Verdächtigen erst aus dem Ergebnis. Ort zuerst, Person danach.

Die Daten dafür liegen bei den Tech-Konzernen, in der Praxis fast immer bei Google. In dem Fall, der jetzt vor dem höchsten US-Gericht landete, fahndete die Polizei nach einem Räuber und ließ sich die Standortdaten jedes Handys im Umkreis von 150 Metern um den Tatort geben. In so einem Radius steht nicht nur der Täter. Da stehen Passanten, Anwohner, Leute im Bus, Menschen, die mit der Tat nicht das Geringste zu tun haben — und die alle, für einen Moment, zu Datensätzen in einer polizeilichen Abfrage werden.

Am 29. Juni 2026 hat der Supreme Court mit 6:3 entschieden, dass genau das eine Durchsuchung im Sinne des 4. Verfassungszusatzes ist — also grundrechtlich geschützt. Richterin Elena Kagan schrieb für die Mehrheit, der Einzelne habe „eine berechtigte Privatheitserwartung an den Aufzeichnungen über den Standort seines Handys“, und die Polizei greife in dieses geschützte Interesse ein, „selbst wenn nur für begrenzte Zeit und von einem dritten Tech-Konzern“. Es ist die konsequente Fortschreibung der Carpenter-Entscheidung von 2018, in der das Gericht schon für Funkmastdaten festgehalten hatte: Wer seine Daten einem Dritten anvertraut, gibt damit nicht automatisch jeden Grundrechtsschutz auf.

Wichtig ist, was das Urteil nicht ist. Es ist kein Verbot von Geofence-Abfragen. Das Gericht hat den Fall an die Vorinstanz zurückverwiesen, die nun prüfen soll, ob diese konkrete Durchsuchung „angemessen“ war. Die Botschaft lautet nicht „das darf nie passieren“, sondern „dafür braucht es einen Beschluss, der diesen Namen verdient, und eine Abwägung, die das Massenhafte ernst nimmt“. Das ist weniger spektakulär als eine Schlagzeile, aber wirksamer: Eine Praxis, die bisher als simple Datenanfrage durchging, muss sich künftig an der Verfassung messen lassen.

Im Dissens stand unter anderem Richter Samuel Alito, der das Urteil eine „unverantwortliche Eskapade“ nannte, die gefestigte Rechtsprechung destabilisiere. Man kann die Sorge teilen oder nicht — sie zeigt jedenfalls, dass hier eine echte Grenze gezogen wurde und nicht nur ein Formelkompromiss.

Und damit zu der Frage, die das Ganze auch hierzulande relevant macht. Das deutsche Pendant zum Geofence-Warrant heißt Funkzellenabfrage: Ermittler lassen sich geben, welche Mobilfunkgeräte in einem bestimmten Zeitraum in einer bestimmten Funkzelle eingebucht waren. Auch das ist Ort-zuerst-Person-danach. Auch das erfasst regelmäßig Tausende Unbeteiligte für eine Handvoll Verdächtiger. Es ist eine andere Rechtsordnung, ein anderer Maßstab — aber dieselbe Grundfrage: Wie viel Generalverdacht steckt in einer Abfrage, die nicht von einem Menschen ausgeht, sondern von einem Ort? In den USA hat jetzt das höchste Gericht eine Antwort versucht. Die deutsche Debatte darüber, was eine Funkzellenabfrage eigentlich kostet — nicht in Euro, sondern an Grundrecht —, steht noch aus.

Quelle: NPR — Supreme Court restricts use of geofence warrants

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Dein Klo kennt jetzt deine Krebsmarker. Und eine App auch.

Es ist leicht, sich über die smarte Toilette lustig zu machen. Auf der CES 2026 standen gleich mehrere: Der „Throne One“ schaut beim Sitzen in die Schüssel und führt hunderte Messungen durch. Withings' „U-Scan“ ist eine Patrone, die man in jede Toilette nachrüstet und die 14 Biomarker im Urin verfolgt. Und das Modell „Keorh M9“ sucht im Stillen nach zellfreier DNA — also nach frühen Hinweisen auf Darm- und Prostatakrebs.

Der erste Reflex ist der Witz: Jetzt vermisst dich auch dein Klo. Aber der Reflex führt in die Irre, und zwar in beide Richtungen.

Denn das ist keine Spielerei. Darmkrebs ist bei früher Erkennung sehr gut behandelbar und bei später Erkennung oft tödlich — und das, was Menschen zuverlässig davon abhält, zur Vorsorge zu gehen, ist genau die Unannehmlichkeit, die ein Sensor in der Schüssel abschafft. Ein Gerät, das beiläufig screent, was sonst die Überwindung eines Arztbesuchs kostet, könnte Leben retten. Das ist die ernste Hälfte, und sie ist echt.

Genau deshalb ist die andere Hälfte kein Klamauk. Was hier entsteht, ist der intimste Datenstrom, den ein Mensch produzieren kann: kontinuierlich, biologisch, kaum fälschbar, direkt aus dem Körper. Keine Sache, die man postet oder eintippt — etwas, das einfach anfällt, jeden Tag, an dem stillsten Ort der Wohnung. Und es fließt, wie alles heute, in eine App. In einen Server. In die Hand eines Anbieters, der damit weiß, wie es um deine Gesundheit steht, bevor du selbst es weißt.

Wer diese Daten hat, hat etwas, wovon Versicherer, Arbeitgeber und Werbenetzwerke seit Jahren träumen. Ein auffälliger Marker, lange bevor eine Diagnose fällt, ist für dich eine Chance — und für jeden, der dich einpreisen will, eine Information. Die Frage ist nicht, ob das Gerät funktioniert. Es funktioniert. Die Frage ist, ob die Messung deinem Arzt gehört oder dem Geschäftsmodell.

Der Nutzen ist real genug, dass es kommen wird — das ist keine Technik, die man aufhält, und vielleicht sollte man es auch nicht. Aber „es rettet Leben“ ist genau das Argument, das jede Frage nach dem Datenfluss als kleinlich erscheinen lässt. Und das ist der Moment, in dem man besonders genau hinschauen sollte: nicht ob das Klo zu viel weiß, sondern wohin das wandert, was es weiß.

Quelle: TechAdvisory — CES 2026: Health tech is watching what you eat, feel, and even flush

▸ Überwachung & Bürgerrechte · ▸ KI & Macht

[l] Permalink

Dein Gesicht, jetzt durchsuchbar

„Öffentlich zugänglich“ klingt nach einem harmlosen Wort. Es ist ja schon öffentlich. Dobrindts Sicherheitspaket, dessen drei Gesetzentwürfe das Kabinett Ende April beschlossen hat, macht daraus etwas anderes: BKA und Bundespolizei sollen öffentlich zugängliche Fotos aus dem Internet per Gesichtserkennung gegen Fahndungsbilder abgleichen dürfen.

Das ist nicht dasselbe wie „steht ja eh im Netz“. Dein Selfie, das Gruppenfoto vom Vereinsfest, der Schnappschuss, auf dem du zufällig im Hintergrund stehst — alles wird zum biometrischen Suchschlüssel. „Öffentlich einsehbar“ und „per Gesicht jederzeit auffindbar“ sind zwei verschiedene Dinge. Aus einem Bild, das man sehen kann, wird ein Gesicht, das man finden kann — samt Aufenthaltsort.

Und es trifft nicht die, an die man bei „Fahndung“ denkt. Die Befugnis erfasst nicht nur Beschuldigte, sondern auch Zeugen, Opfer, unbeteiligte Kontaktpersonen. Verdächtig zu sein ist keine Voraussetzung mehr, um in der Abfrage zu landen — es reicht, ein Gesicht zu haben, das irgendwo im Netz auftaucht.

Dazu kommt eine automatisierte Datenanalyse, die zusammenführt, was bisher getrennt lag: Standortdaten, Fingerabdrücke, DNA, abgehörte Kommunikation, Metadaten, Polizeiakten. Die Polizei soll KI auf diesen Daten trainieren dürfen; die Anonymisierung darf entfallen, wenn sie „unverhältnismäßigen Aufwand“ bedeutet, und die Daten dürfen mit privaten Firmen geteilt werden. Das Werkzeug, das für solche Analysen im Raum steht und das das Innenministerium prüft, ist Palantir — die Software des US-Konzerns von Peter Thiel. Das Rückgrat der deutschen Datenpolizei käme dann aus einem fremden Rechenzentrum. Auch das ist eine Frage der Souveränität, und es ist dieselbe, die hier schon öfter stand.

Beschlossen ist nichts davon — das Kabinett hat zugestimmt, der Bundestag noch nicht. Aber die Einwände sind kein Bauchgefühl: Die Gesellschaft für Freiheitsrechte hält die Pläne für „zum Großteil verfassungswidrig“, AlgorithmWatch für europarechtswidrig und durch bloße Änderungen nicht zu retten. Es geht um den Verlust der Anonymität im öffentlichen Raum, um das Profiling Unbeteiligter, um Fehltreffer, um das Fehlen einer Beschränkung auf schwere Straftaten.

Das eigentlich Bemerkenswerte ist die Sprache. „Öffentlich zugänglich“, „Sicherheitspaket“ — Wörter, die nahelegen, es ändere sich nichts: ist ja schon offen, ist ja für die Sicherheit. Was sich ändert, ist die Kategorie. Vom Bild, das man sehen kann, zum Gesicht, das man finden kann. Wer das nächste Mal „öffentlich zugänglich“ liest, darf fragen: zugänglich für wen — und womit durchsuchbar?

Quelle: netzpolitik.org — FAQ: Das Überwachungspaket der Bundesregierung

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Die Chatkontrolle stirbt nicht, sie wird freiwillig

Am 29. Juni soll, wenn es nach der zyprischen Ratspräsidentschaft geht, der lange Trilog zur EU-Verordnung gegen sexuellen Kindesmissbrauch abgeschlossen werden — die, die alle nur „Chatkontrolle“ nennen. Die Präsidentschaft endet am 30. Juni; man will vorher fertig werden. Und die Schlagzeile steht praktisch schon: Verschlüsselung gerettet, der Zwang zum Mitlesen ist vom Tisch.

Das ist nicht einmal falsch. Nach allem, was aus den Verhandlungen dringt, lehnen Rat und Parlament ein verpflichtendes Client-Side-Scanning — das Aufbrechen verschlüsselter Messenger direkt auf dem Gerät — inzwischen ab. Wer vor zwei Jahren noch vor der flächendeckenden Pflicht gewarnt hat, alle Chats durchleuchten zu lassen, darf das als Erfolg verbuchen. Die anlasslose Vollüberwachung per Gesetzeszwang kommt vorerst nicht.

Nur: Abgeschafft wird die Überwachung damit nicht. Sie wird umetikettiert. Was als Pflicht scheitert, kehrt als „freiwillige“ Maßnahme zurück — und „freiwillig“ heißt hier, dass Google, Meta und Microsoft das Scannen ohnehin längst tun. Die befristete Ausnahmeregelung dafür ist am 3. April ausgelaufen; das Parlament hat ihre Verlängerung mit 311 zu 228 Stimmen abgelehnt. Die Konzerne haben angekündigt, trotzdem weiterzuscannen. Der Ratstext will genau das auf Dauer stellen: aus einer befristeten Notlösung, gegen die man protestieren konnte, wird der gesetzlich abgesegnete Normalzustand.

Das ist der eigentliche Kunstgriff. Eine Pflicht hat Gegner, Fristen, einen Aufschrei. Ein „freiwilliges“ Dauerangebot hat nichts davon. Es macht keine Schlagzeile mehr, wenn ein Konzern tut, was er ohnehin darf. Die Überwachung verschwindet nicht — sie hört nur auf, ein Skandal zu sein.

Und sie kommt nicht mit leeren Händen. Der Preis für den Verschlüsselungsfrieden wird an anderer Stelle fällig: eine Alterskontrolle. Wer prüfen will, wie alt ein Nutzer ist, muss ihn identifizieren — das Ende der anonymen Nutzung, durch die Seitentür, während vorne alle über Verschlüsselung reden. Ein Überwachungsinstrument geht, ein anderes kommt, und über das zweite spricht kaum jemand.

Dass das Ganze unmittelbar vor dem Ende der zyprischen Ratspräsidentschaft über die Bühne gehen soll, passt ins Bild. Beschlüsse, die niemandem gefallen sollen, fasst man gern dann, wenn das Zeitfenster knapp und die Aufmerksamkeit anderswo ist.

Nichts davon ist beschlossen, solange der Trilog läuft; der Text vom 29. Juni liegt noch nicht vor, und Verhandlungen kippen. Der Punkt ist nicht die Panik. Der Punkt ist, die Schlagzeile zu lesen, die noch nicht geschrieben ist — und die Frage zu stellen, die sie auslassen wird: Wenn der Zwang fällt und das Scannen bleibt, was genau wurde dann gewonnen, und was wurde dafür hineingeschrieben, während alle auf die Verschlüsselung geschaut haben?

Quelle: netzpolitik.org — Trilog zur Chatkontrolle

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink