← alle Beiträge · Thema: Überwachung & Bürgerrechte · 13 Beiträge · RSS für diesen Strang
20. September 2026
Am Mittwoch haben 404 Media und WIRED gemeinsam berichtet: Eine Gruppe, die sich stegan0gram nennt, hat eine Kennzeichenkamera des US-Anbieters Flock Safety von ihrem Platz über einer Straße gerissen, den Speicher fast vollständig kopiert und die Daten den beiden Redaktionen sowie dem Leak-Archiv DDoSecrets übergeben. Dort liegen sie seit demselben Tag. 28,55 Gigabyte, Abbilder der Partitionen eines Geräts, das bis eben im Dienst war.
Was Flock ist. Ein privates Überwachungsnetz, vermietet an Polizeibehörden, Gemeinden und Nachbarschaften. TechCrunch nennt rund 130.000 Kennzeichenleser im ganzen Land, das Unternehmen selbst spricht von mehr als 20 Milliarden Fahrzeugscans im Monat. Standardspeicherfrist sind 30 Tage, abgefragt wird über Behördengrenzen hinweg. 2025 ließ ein Sheriffbüro in Texas für die Suche nach einer einzelnen Frau rund 83.000 Kameras im ganzen Land abfragen.
Was auf dem Gerät lag. Nach den Berichten die Protokolle von 21 Tagen: rund 50.000 erfasste Fahrzeuge, 1,6 Millionen Einzelbilder, dazu tausende kurze Videoclips. Die Software erkennt nicht nur Kennzeichen, sondern Fahrzeuge, Personen und Fahrräder, und sie vermerkt zu jeder Erkennung, wo im Bild sie liegt und wie sicher sich das Modell ist. Eine aktive Gesichtserkennung haben die Redaktionen nicht gefunden.
Und der Schlüssel. Flock versichert auf seiner Website, alle Aufnahmen und Metadaten seien über ihren gesamten Lebenszyklus verschlüsselt, vom Gerät bis zu den Servern bei Amazon. Auf dem Gerät lägen Bilder nur vorübergehend, bis sie hochgeladen sind. Das mit der Verschlüsselung stimmt sogar. Nur lag der Schlüssel nach den Berichten in einem unverschlüsselten Bereich desselben Speichers. Das ist ein Tresor mit aufgeklebter Kombination. Und wie „nur vorübergehend“ zu drei Wochen Material passt, erklärt das Unternehmen in den Berichten, die ich lesen konnte, nicht.
Der Rest ist Archäologie. Micah Lee hat sich die Software angesehen. Android 8.1 von 2017. Sicherheitsupdates auf dem Stand vom 5. Juni 2018. Ein Linux-Kernel, der seit 2019 nicht mehr gepflegt wird. In einer Bibliothek, die sich 19 der 20 Flock-Apps auf dem Gerät teilen, stehen Zugangsdaten im Klartext, darunter ein API-Schlüssel und das Geheimnis für den Anmeldedienst. Lee nennt öffentlich dokumentierte Lücken dieser Softwarestände, für die fertige Exploits existieren. Nach seiner Auswertung hing die Kamera in Wauwatosa, Wisconsin. Das ist kein vergessener Router im Keller. Das ist ein Gerät, dessen Aufnahmen vor Gericht landen. Was ist so ein Bild wert, wenn das Betriebssystem dahinter seit acht Jahren kein Sicherheitsupdate gesehen hat?
Jetzt der unbequeme Teil. Das Gerät wurde gestohlen. Flock hat recht, wenn es erklärt, das unbefugte Entfernen und Manipulieren einer Kamera sei illegal. Zu den Befunden selbst sagt das Unternehmen, über sein Meldeverfahren für Sicherheitslücken sei nichts eingegangen, für eine Bewertung fehlten die Details. Und die 28 Gigabyte stehen öffentlich im Netz, nach Angaben des Archivs einschließlich aufgezeichneter Medien. Das sind Bilder von Leuten, die in Wisconsin zur Arbeit gefahren sind und nie gefragt wurden. Erst nicht von Flock, dann nicht von den Aktivisten. Ich verlinke den Datensatz deshalb nicht. Aber genau das ist der Punkt, den diese Branche nie einpreist: Wer Daten erhebt, erhebt sie für jeden, der irgendwann herankommt. Das Sicherheitsmodell dieser Kamera lautete: Es wird schon keiner eine Leiter holen.
Die Stimmung kippt ohnehin. Anfang September hat Floridas Verkehrsministerium laut TechCrunch angekündigt, Kennzeichenleser nicht mehr zu nutzen, und 30 Tage für den Abbau gesetzt. Das Büro des texanischen Gouverneurs wies die Landesbehörden an, keine Flock-Kameras mehr zu finanzieren, und verwies auf Missbrauch, etwa den Fall eines Polizisten in Lufkin, der wegen unbefugter Datenbankabfragen in hundert Punkten angeklagt ist. Das sind nicht Berkeley und Portland. Das sind Florida und Texas.
Und hier? Ein Netz wie das von Flock ließe das deutsche Recht so nicht zu. § 163g der Strafprozessordnung erlaubt die automatische Kennzeichenerfassung nur bei Anhaltspunkten für eine Straftat von erheblicher Bedeutung und auf Anordnung der Staatsanwaltschaft. Der entscheidende Satz lautet: „Die automatische Datenerhebung darf nur vorübergehend und nicht flächendeckend erfolgen.“ Das Bundesverfassungsgericht hatte schon 2008 zwei Landesregelungen für nichtig erklärt. Dass die Praxis trotzdem ausfranst, hat Brandenburg gezeigt. Dort lief das System KESY von 2017 bis Mitte 2021 im „Aufzeichnungsmodus“ und speicherte auf Vorrat, wer über die Autobahn fuhr, bis das Landgericht Frankfurt (Oder) das 2022 für rechtswidrig erklärte.
Die eigentliche Frage hängt in Frankfurt. Seit Juli 2025 kann die hessische Polizei im Bahnhofsviertel Kamerabilder in Echtzeit per Gesichtserkennung nach gesuchten Personen durchsuchen. Nach Recherchen von netzpolitik.org stehen 29 der 70 Kameras, die in Frankfurt den öffentlichen Raum erfassen, in diesem Viertel, 19 davon eignen sich für die Gesichtserkennung. Inzwischen hängen auch Hauptwache und Konstablerwache am System. Jede Suche braucht einen richterlichen Beschluss, gesucht wurde so bisher nach einer „niedrigen zweistelligen Anzahl“ von Personen, die Bilder bleiben 14 Tage gespeichert. Innenminister Poseck will das hessenweit, Bundesinnenminister Dobrindt an den Bahnhöfen. Die Gesellschaft für Freiheitsrechte klagt mit zwei Vorstandsmitgliedern des Vereins Doña Carmen vor dem Verwaltungsgericht Frankfurt. Über die Pläne des Bundes habe ich im Juni geschrieben.
Ich unterstelle der hessischen Polizei nicht den Patchstand von Flock. Ich kenne ihn schlicht nicht, und genau das ist das Problem. Welche Software läuft auf diesen Kameras, wie alt ist sie, wo liegen die Schlüssel, wer prüft das von außen? In Wisconsin kennt man die Antwort jetzt, weil jemand eine Straftat begangen hat. In Frankfurt ginge es auch anders, mit einem unabhängigen Sicherheitsaudit, dessen Ergebnis veröffentlicht wird. Eine Kamera, die Gesichter abgleicht, ist kein Haushaltsgerät. Sie ist ein Computer am Mast. Und Computer werden irgendwann geöffnet. Offen ist nur, von wem, und was dann drin liegt.
Quelle: Micah Lee, 16.09.2026; 404 Media und WIRED, 16.09.2026; netzpolitik.org, 22.04.2026
▸ Überwachung & Bürgerrechte · ▸ Security
[l] Permalink
19. September 2026
Dienstag, 15. September, Kanzleramt, Empfang der Preisträger von „Jugend forscht“. In der Fragerunde meldet sich ein junger Mann, der nach den Berichten zu den beiden Brüdern aus Taunusstein gehört, die beim Bundeswettbewerb den zweiten Platz in Mathematik und Informatik belegt haben. Ihr Projekt kombiniert laut hessenschau „eine spezielle, quantensichere Verschlüsselung, ein angepasstes Sicherheitsprotokoll und ein Netzwerk, das die Herkunft von Anrufen verschleiert“. Wer so etwas baut, weiß, wovon er redet, wenn er den Bundeskanzler nach dessen Klarnamen-Plänen fragt: „Wie lässt sich das vereinen mit Informanten, mit Investigativjournalismus, wenn wir keine Anonymität mehr im Internet vorfinden können?“
Die Antwort. „Bitte komme mir keiner mit Free Speech. Das hat mit Free Speech nichts mehr zu tun.“ Das sei ein libertäres Politikverständnis aus Teilen der USA, das er persönlich nicht teile. Eine liberale Gesellschaft müsse ihre Bürger schützen, „vor falschen Informationen, vor persönlichen Herabsetzungen, vor Diskriminierung“. Und er frage sich, ob „in der digitalen Welt völlig andere Regeln“ gelten, „als wir sie in der analogen Welt hatten“.
Zur Quellenlage, weil es hier darauf ankommt: Die amtliche Fassung der Rede enthält nur die Ansprache, nicht die Fragerunde. Der Wortwechsel lief im Livestream der Bundesregierung, eine Aufzeichnung habe ich dort nicht gefunden. Ich zitiere deshalb nur Sätze, die mehrere Abschriften übereinstimmend wiedergeben, unter anderem die von Telepolis. Nach denselben Berichten sagte Merz außerdem sinngemäß, von botgenerierten Nachrichten habe vor allem die AfD in Sachsen-Anhalt profitiert. Dieser Satz steht überall nur in indirekter Rede. Ich baue nichts darauf.
Neu ist das alles nicht. Beim Politischen Aschermittwoch der CDU in Trier sagte Merz im Februar: „Ich möchte Klarnamen im Internet sehen. Ich möchte wissen, wer da sich zu Wort meldet.“ Politiker stellten sich mit offenem Visier der Auseinandersetzung. „Dann erwarte ich das auch von allen anderen, die sich kritisch mit unserem Land und unserer Gesellschaft auseinandersetzen“, zitiert ihn netzpolitik.org. Man beachte das Wort. Nicht strafbar. Kritisch.
In einem Punkt hat er recht. Deutsches Recht ist nicht das amerikanische. Artikel 5 des Grundgesetzes schützt die Meinungsfreiheit nicht schrankenlos, sie findet ihre Grenzen in den allgemeinen Gesetzen, im Jugendschutz und im Recht der persönlichen Ehre. Beleidigung, Verleumdung und Volksverhetzung sind strafbar, im Netz wie auf der Straße. Wer hierzulande „Free Speech“ ruft und den ersten Zusatzartikel der US-Verfassung meint, steht im falschen Rechtskreis.
Nur hatte danach niemand gefragt. Die Frage galt nicht der Beleidigung, sondern dem Informanten. Und für die Antwort braucht es keinen Import aus Amerika. Der Bundesgerichtshof hat 2009 im Streit um das Lehrerbewertungsportal spickmich.de entschieden: „Die anonyme Nutzung ist dem Internet immanent.“ Und weiter: „Eine Beschränkung der Meinungsäußerungsfreiheit auf Äußerungen, die einem bestimmten Individuum zugeordnet werden können, ist mit Art. 5 Abs. 1 Satz 1 GG nicht vereinbar.“ Die Pflicht, sich namentlich zu einer Meinung zu bekennen, begründe die Gefahr, dass der Einzelne „aus Furcht vor Repressalien“ lieber schweigt. Das ist beinahe die Frage des Preisträgers, nur siebzehn Jahre älter. Es ist kein libertäres Politikverständnis aus Teilen der USA. Es ist der VI. Zivilsenat in Karlsruhe.
Und es steht im Gesetz. § 19 Abs. 2 TDDDG, geltendes Bundesrecht: „Anbieter von digitalen Diensten haben die Nutzung von digitalen Diensten und ihre Bezahlung anonym oder unter Pseudonym zu ermöglichen, soweit dies technisch möglich und zumutbar ist.“ Auf der Vorgängernorm beruht das Facebook-Urteil des BGH von 2022: Das Netzwerk musste Pseudonyme zulassen. Der Genauigkeit halber: Das Urteil betraf Altverträge aus der Zeit vor der Datenschutz-Grundverordnung, und es galt nur nach außen. Dass die Plattform bei der Registrierung intern den echten Namen verlangt, hielt das Gericht für zumutbar. Wie es unter heutigem Recht aussieht, ließ es offen. Aber in genau dieser Unterscheidung steckt die ganze Debatte: Im Ernstfall identifizierbar ist etwas anderes als Namensschild für alle.
Die eigene Justizministerin sieht das genauso. Stefanie Hubig (SPD) im März zu t-online: „Meine Haltung ist klar: Ich lehne eine staatlich verordnete Klarnamenpflicht im Netz ab.“ Ihr Entwurf für ein Gesetz gegen digitale Gewalt, seit April auf dem Tisch, geht den anderen Weg: Wer glaubhaft macht, dass ein Unbekannter seine Rechte verletzt hat, soll beim Landgericht dessen Identität herausverlangen können, in schweren Fällen auch eine Accountsperre. Die Anonymität fällt im Einzelfall und durch einen Richter, nicht vorab und für alle. Der Entwurf hat eigene Probleme. Er stützt sich auf die geplante dreimonatige Speicherung von IP-Adressen, die die Gesellschaft für Freiheitsrechte als anlasslose Massenspeicherung ablehnt. Aber er beantwortet wenigstens die richtige Frage.
„Wie in der analogen Welt“ ist ein gutes Argument. Für die Gegenseite. In der analogen Welt trägt niemand ein Namensschild. Wann hast du zuletzt deinen Ausweis gezeigt, bevor du jemandem widersprochen hast? Du kannst auf dem Marktplatz das Wort ergreifen, ohne dich auszuweisen. Du kannst einer Redaktion einen Umschlag ohne Absender schicken. Und die wichtigste politische Äußerung überhaupt gibst du in einer Kabine ab, deren Geheimnis in Artikel 38 des Grundgesetzes steht. Identifiziert wirst du, wenn es einen Anlass gibt. Eine Klarnamenpflicht würde die analogen Regeln nicht ins Netz übertragen. Sie würde sie umkehren.
Für Informanten ist das keine Stilfrage. Das Hinweisgeberschutzgesetz ist an dieser Stelle ohnehin dünn. Interne Meldestellen „sollten“ anonyme Meldungen bearbeiten, heißt es in § 16, eine Pflicht, anonyme Kanäle überhaupt einzurichten, gibt es ausdrücklich nicht. Der anonyme Weg nach draußen, zur Redaktion oder ins Netz, ist deshalb oft der einzige, der nicht vom Wohlwollen derer abhängt, über die man etwas zu sagen hat.
Und nützen würde es? Südkorea hatte ab 2007 eine Ausweispflicht für große Portale. Das Verfassungsgericht kippte sie 2012 einstimmig. Die rechtswidrigen Beiträge seien nicht nennenswert zurückgegangen, die Nutzer zu ausländischen Diensten abgewandert, das Risiko von Datenlecks gestiegen, so gibt der Korea Herald die Begründung wieder. Soziologen aus Zürich haben 532.197 Kommentare zu 1.612 Petitionen auf openpetition.de ausgewertet. In Empörungswellen traten die namentlich Auftretenden aggressiver auf als die Anonymen. Das ist eine Plattform und keine Weltformel. Aber die Beweislast liegt bei dem, der ein Grundrecht einschränken will, und nicht bei dem, der es behalten möchte.
Bleiben die Bots. Den massenhaften, koordinierten Einsatz von Bots und Fake-Accounts zu verbieten, steht im Koalitionsvertrag, und dagegen habe ich nichts. Nur hat ein Bot keinen Klarnamen. Wessen Ausweis soll die Plattform da prüfen? Koordinierte Kampagnen sind ein Durchsetzungsproblem gegenüber Plattformen. Eine Ausweispflicht träfe alle, die sich an Gesetze halten, und die Trollfabrik im Ausland gar nicht.
Der Fragesteller hat mit seinem Bruder ein System gebaut, das Gespräche schützt und Spuren vermeidet. Dafür gab es einen Preis beim Bundeswettbewerb und eine Einladung ins Kanzleramt. Soweit die Abschriften reichen, kam der Informant in der Antwort des Hausherrn nicht mehr vor. Die Frage steht also noch. Ich finde, sie verdient eine Antwort. Am besten eine, die den Bundesgerichtshof kennt.
Quelle: Fragerunde beim Jugend-forscht-Empfang im Kanzleramt am 15.09.2026 (Livestream der Bundesregierung, Wortlaut nach übereinstimmenden Abschriften); BGH VI ZR 196/08 und III ZR 3/21; § 19 Abs. 2 TDDDG
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
15. September 2026
Zwanzig Sekunden. So lange hatte ein Mensch nach den Recherchen, über die zwei Forscher gerade bei netzpolitik.org sprechen, maximal Zeit, um ein maschinell vorgeschlagenes Angriffsziel zu prüfen — und oft beschränkte sich diese Prüfung darauf festzustellen, ob es sich um einen Mann handelte. Ich habe heute Morgen geschrieben, das größte Stück fehle mit Absicht: was passiert, wenn solche Systeme keine Aktien bewegen, sondern Ziele auswählen. Zufällig erschienen am selben Tag zwei Texte, die zusammen eine Antwort ergeben. Sie kommen von entgegengesetzten Enden und treffen sich in der Mitte.
Das eine Ende ist ein Staat mit einem Rechenzentrum. Taylor Kate Woodcock, Völkerrechtsforscherin am Asser Institute, und Rainer Rehak vom Weizenbaum-Institut beschreiben im Gespräch mit Constanze Kurz, wie das System Lavender arbeitet. Die Datengrundlage umfasst nach ihrer Analyse rund 13,6 Petabyte: Satellitenbilder, Funkzellenstandorte, Videoüberwachung, Kommunikationsmetadaten, Bewegungsprofile, Zahlungsvorgänge, Familienbeziehungen. Daraus errechnet das System für Menschen einen Risikowert zwischen 1 und 100. Das Verfahren dahinter heißt „Positive Unlabeled Learning“: Es lernt aus bestätigten Fällen ein statistisches Ähnlichkeitsmuster und sucht dann nach Leuten, die diesem Muster ähneln. Der interne Test wies etwa zehn Prozent Fehlerquote aus. Bei rund tausend Vorschlägen am Tag.
Es lohnt sich, bei diesem Satz kurz stehenzubleiben. Zehn Prozent Fehler ist für ein Empfehlungssystem ein passabler Wert — wenn es Filme vorschlägt. Die Frage, ob eine Fehlerquote akzeptabel ist, lässt sich nicht technisch beantworten, sondern nur daran, was am Ende der Kette passiert. Und die Kette endete hier bei einem Menschen mit zwanzig Sekunden.
Der eigentliche Befund steckt aber nicht im Fehler, sondern im Entwurf. Woodcocks Formulierung lautet, ziviler Schaden sei in dem System vorprogrammiert und könne sogar als Kernfunktion gelten. Gemeint ist keine Metapher: Nach den Recherchen war eine Zahl hinterlegter akzeptierter ziviler Opfer je Ziel konfigurierbar — bei niedrig eingestuften Personen in der Größenordnung von fünfzehn bis zwanzig, bei hochrangigen in der Größenordnung von Hunderten. Ein begleitendes Werkzeug trug den Namen „Where's daddy?“ und legte Angriffe auf den Zeitpunkt, zu dem eine Person zu Hause bei ihrer Familie war. Rehak sagt, Menschen seien damit im Grunde in eine große Todesliste eingetragen und von oben nach unten abgearbeitet worden. Woodcock kommt zu dem Schluss, dass alle drei Grundsätze des humanitären Völkerrechts — Unterscheidung, Vorsorge, Verhältnismäßigkeit — systematisch verletzt wurden, und zwar nicht durch Einzelfehler, sondern durch die Bauweise.
Das andere Ende ist eine Handvoll Leute ohne Rechenzentrum. Anthropic hat gestern einen Bericht über Missbrauchsfälle der eigenen Modelle veröffentlicht, und Bruce Schneier hat eine Stelle daraus herausgegriffen: Eine Zelle im nördlichen Jemen nutzte Claude Code als Ersatz für Softwareentwickler, um Lenk-, Navigations- und Steuerungssoftware für drei Raketenprogramme zu schreiben — darunter eine Konstruktion, deren Flugrechner aus Mobiltelefonen bestehen sollte. Bemerkenswert ist die Arbeitsweise: Sie betrieben mehrere Instanzen parallel in verteilten Rollen, eine schrieb Code, eine recherchierte, eine prüfte. Anthropics eigene Bilanz ist unbeschönigt: Die Schutzmechanismen hätten viele Anfragen blockiert, aber nicht alle. Umgangen wurden sie, indem die Leute ihr Ziel verschleierten und die Arbeit über viele Sitzungen verteilten. Einen operativen Erfolg gab es nach derzeitigem Stand nicht; ein Testschuss scheiterte.
Schneiers Schlusssatz ist der kürzeste Kommentar, den man dazu schreiben kann: KI-Systeme demokratisieren Fachwissen und Fähigkeit — meistens sei das gut, manchmal eben nicht.
Was die beiden Enden verbindet, ist nicht die Technik, sondern die Zurechnung. Auf der einen Seite steht ein Apparat, der Tötungsentscheidungen so weit vorbereitet, dass dem Menschen am Ende nur noch das Abnicken bleibt; auf der anderen eine Gruppe, der die Maschine das Fachwissen ersetzt, das ihr fehlte. In beiden Fällen ist das Modell nicht der Täter. Es ist der Multiplikator — und es verteilt die Verantwortung auf so viele Schultern, dass keine mehr trägt. Wer hat die Person auf die Liste gesetzt: das Verfahren, der Betreiber, der Bediener mit zwanzig Sekunden, der Anbieter der Rechenleistung?
Genau an dieser Stelle wird die Frage für uns hier konkret, und zwar nicht moralisch, sondern geschäftlich. Die Infrastruktur unter solchen Systemen ist nach Angaben der beiden Forscher keine Militärtechnik aus dem Rüstungskatalog, sondern gewöhnliche Rechenzentrumsleistung von den Firmen, deren Dienste auch in deutschen Behörden laufen — genannt werden ein Cloud-Rahmenvertrag im Umfang von rund 1,2 Milliarden Dollar mit Google und Amazon, dazu Palantir für die Datenintegration und weitere übliche Namen. Das ist dieselbe Debatte, die hier seit Monaten läuft: Wer den Schalter hat, entscheidet mit, und Verträge sind die Form, in der diese Entscheidung getroffen wird. Die beiden Forscher fordern deshalb Stilllegung solcher Systeme, Transparenzpflichten und Exportkontrollen für die Software — ausdrücklich nicht nur für einen Akteur.
Ich schreibe das mit der gebotenen Vorsicht: Die Zahlen stammen aus Recherchen und aus Herstellerangaben, die Einordnung stammt von zwei Fachleuten, und ich kann beides von hier aus nicht nachmessen. Was ich beurteilen kann, ist die Konstruktionslogik — und die kenne ich aus jedem anderen Automatisierungsprojekt. Wenn ein System Vorschläge in einer Menge produziert, die kein Mensch mehr prüfen kann, dann ist die menschliche Kontrolle nicht eine Sicherung, sondern eine Behauptung. Zwanzig Sekunden sind keine Prüfung. Sie sind das Feigenblatt, das man der Maschine umhängt, damit die Entscheidung weiter nach einer menschlichen aussieht.
Heute Morgen stand hier der Satz, Kontrolle sei nichts, was wir an Maschinen verlieren, sondern etwas, das wir Unternehmen überlassen. Er gilt auch dann noch, wenn es nicht um Aktienkurse geht.
Quelle: Constanze Kurz im Interview mit Taylor Kate Woodcock (Asser Institute) und Rainer Rehak (Weizenbaum-Institut), netzpolitik.org, 14.09.2026; Bruce Schneier zu Anthropics Missbrauchsbericht vom 14.09.2026
▸ Überwachung & Bürgerrechte · ▸ KI & Macht · ▸ Recht & Regulierung
[l] Permalink
25. August 2026
Es gibt Wörter, an denen man erkennt, dass gerade etwas schiefgeht, und „Partnerschaft“ ist eines davon. Die EU-Kommission verhandelt seit dem Jahreswechsel mit den Vereinigten Staaten ein Rahmenabkommen namens Enhanced Border Security Partnership. Es soll amerikanischen Behörden bei der Einreisekontrolle Zugriff auf nationale Polizei- und Einwanderungsdatenbanken der EU-Staaten geben, einschließlich der biometrischen. Zustimmen muss, wer im Programm für visumfreie Einreise bleiben will, und zwar bis zum 31. Dezember dieses Jahres. Wer die Frist verstreichen lässt, dessen Staatsangehörige beantragen künftig wieder ein reguläres Besuchervisum — mit Gebühr und persönlichem Termin in der Botschaft.
Eine Vereinbarung, die man unter Androhung eines Nachteils bis zu einem Stichtag unterschreibt, ist vieles, aber keine Partnerschaft. Matthias Monroy hat den Vorgang gestern auf netzpolitik.org aufgeschrieben; die Grundlage ist ein Entwurf, den die Bürgerrechtsorganisation Statewatch im Mai öffentlich gemacht hat. Ohne dieses Leck wüssten wir über den Inhalt praktisch nichts — was für sich genommen schon eine Aussage über das Verfahren ist.
Der Inhalt lohnt das Hinsehen. Abgefragt werden können nach dem Entwurf Datensätze zu strafrechtlichen Verurteilungen, zu Gefahren für die nationale Sicherheit, zu terroristischen Bedrohungen und zu Verstößen gegen das Einwanderungsrecht. Als Anlass genügt, dass „Grund zu der Annahme besteht“, die Einreise könne eine ernsthafte und unmittelbare Gefahr darstellen. Das ist keine Schwelle, das ist eine Formulierung. Wer entscheidet, wann dieser Grund vorliegt, steht nicht in der Norm, sondern in der Praxis der abfragenden Behörde — und die sitzt in diesem Fall nicht hier.
Das schwerwiegendste Detail ist zugleich das unscheinbarste und steht in der Aufsichtsklausel: Die Kontrolle soll „kumulativ“ durch behördeninterne Stellen erfolgen. Man muss das zweimal lesen. Der europäische Datenschutz beruht darauf, dass eine Stelle prüft, die nicht selbst verarbeitet — Unabhängigkeit ist nicht Beiwerk der Kontrolle, sondern ihr Inhalt. Max Schrems, der diesen Punkt vor dem Europäischen Gerichtshof zweimal erfolgreich vorgetragen hat, weist genau darauf hin: Aufsicht innerhalb der Behörde ist keine unabhängige Aufsicht, und der Rechtsweg für Betroffene scheitert in den USA regelmäßig schon daran, dass man in Datenschutzsachen gar nicht erst klagebefugt ist. Ein Recht, das man nicht geltend machen kann, ist eine Absichtserklärung.
Dazu kommt, worauf der europäische Dachverband EDRi in einem offenen Brief im Juli hingewiesen hat: Dem Entwurf fehlt ein belastbarer Diskriminierungsschutz, auch mit Blick auf politische Meinungen. Das ist keine theoretische Sorge. Wenn Abfragen an Risikobewertungen hängen und in die Bewertung einfließt, was jemand öffentlich äußert, dann wird die Frage, welche Meinung als Risiko gilt, von der Regierung beantwortet, die abfragt. EDRi nennt Kritik an der amtierenden US-Regierung, Eintreten für Transgender-Rechte und Teilnahme an Gaza-Protesten als Beispiele — und formuliert die Bewertung des Verhandlungsstands ungewöhnlich deutlich: Der ausgehandelte Text spiegele fast vollständig die US-Forderungen wider und weiche vom Mandat der Mitgliedstaaten ab.
Es gibt in dieser Geschichte genau eine gute Nachricht, und sie ist eine über Schadensbegrenzung. Dass die Kommission überhaupt gemeinsam verhandelt, verhindert, dass jeder Mitgliedstaat einzeln an denselben Tisch gezerrt wird — siebenundzwanzig Verhandlungen gegen dieselbe Gegenseite, jede mit derselben Frist im Nacken, hätten schlechter geendet. Gemeinsam auftreten ist die richtige Antwort auf ein Ultimatum. Sie ändert nur nichts daran, dass es eines ist.
Und damit zum Punkt, an dem dieser Beitrag ausdrücklich nicht in Weltuntergang kippt: Entschieden ist nichts. Das Rahmenabkommen ist ein Entwurf. Ihm müssen das Europäische Parlament und der Rat zustimmen; die konkreten bilateralen Abkommen kommen erst danach, und die Mitgliedstaaten entscheiden nach dem Briefing des Parlaments selbst mit, welche Daten sie überhaupt einbeziehen. Irland und Dänemark stehen aus strukturellen Gründen außerhalb. Das ist kein beschlossener Zugriff, das ist eine laufende Verhandlung mit offenem Ausgang und mehreren Stellen, an denen jemand Nein sagen kann. Wer das jetzt schon als beschlossene Sache beschreibt, nimmt dem Parlament die Rolle ab, die es noch hat.
Bleibt die Frage, die unter dem Vorgang liegt und über ihn hinausreicht. Ein Recht, das man gegen eine Reiseerleichterung eintauscht, war nie ein Recht, sondern eine Vergünstigung — und Vergünstigungen werden neu verhandelt, sobald sich die Machtlage ändert. Der Preis wird hier nicht in Geld genannt, sondern in Zugriff, und er wird nicht von denen bezahlt, die verhandeln, sondern von jedem, dessen Fingerabdruck in einer nationalen Datenbank liegt und der irgendwann einen Flug bucht. Wie beim „freiwilligen“ Scannen privater Nachrichten im Sommer gilt: Die Vokabel, die den Vorgang harmlos klingen lässt, ist immer die, auf die man schauen sollte. Damals war es „freiwillig“. Diesmal ist es „Partnerschaft“.
Souveränität heißt nicht, keine Abkommen zu schließen. Sie heißt, sie nicht unter Frist zu unterschreiben.
Quelle: Matthias Monroy auf netzpolitik.org (24. August 2026) zum von Statewatch veröffentlichten Entwurf; Briefing des Europäischen Parlaments (22. April 2026); EDRi (20. Juli 2026)
▸ Datensouveränität · ▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
10. Juli 2026
Im Juni endete hier ein Beitrag mit der These, die Chatkontrolle sterbe nicht, sie werde umetikettiert: Der Zwang sei abgewehrt, aber das „freiwillige" Scannen werde verstetigt. Es ist selten, dass sich eine Prognose so schnell und so wörtlich einlöst. Genau das passiert gerade.
Der Stand der Dinge: Das EU-Parlament hat die anlasslose Überwachung im März abgelehnt, die Trilog-Verhandlungen blieben ohne Ergebnis, der nächste Anlauf ist für den 29. September angesetzt. Eigentlich eine Pattsituation. Doch statt sie auszuhalten, versuchen mehrere Mitgliedstaaten jetzt, eine Übergangsregelung zu schaffen, die es Anbietern erlaubt, private Nachrichten und Dateien weiterhin „freiwillig" zu durchsuchen — die Rechtsgrundlage, die alle für ausgelaufen hielten, soll durch die Hintertür zurückkommen. Und wer drängt vorneweg? Deutschland. Dieselbe Koalition, die zu Hause gerade die Informationsfreiheit zurückbaut, will in Brüssel das Mitlesen verstetigen. Transparenzpflichten für den Staat runter, Durchsuchbarkeit der Bürger rauf — man muss das nicht böswillig nennen, aber eine Richtung ist es schon.
Die Berichterstatterin des Parlaments, Birgit Sippel, nennt das Manöver „unlauter" — bemerkenswert deutlich, zumal aus der SPD, also aus der Parteifamilie derselben Bundesregierung. Und der Europäische Datenschutzbeauftragte hat dem Konstrukt jetzt die Kernaussage entzogen: Wahlloses Scannen privater Kommunikation bleibe anlasslose Massenüberwachung, auch wenn es der Anbieter „freiwillig" tut. Das ist der Punkt, den das Wort so geschickt vernebelt. Freiwillig ist an dieser Chatkontrolle genau eine Partei — der Konzern. Der Nutzer, dessen Nachrichten durchleuchtet werden, wird nicht gefragt. „Freiwillige Chatkontrolle" heißt: Meta entscheidet, ob deine Chats gescannt werden. Das als Freiheit zu verkaufen, ist schon sprachlich eine Leistung.
Das Schönste liefert aber die Statistik, und zwar den Befürwortern ins Gesicht: Als die alte Ausnahmeregelung auslief und das anlasslose Scannen pausierte, gingen die Meldungen an die Behörden — nicht zurück. Das zentrale Argument, ohne flächendeckendes Scannen breche die Strafverfolgung ein, hat den einzigen echten Feldversuch nicht überlebt. Man beachte die Logik dessen, was jetzt trotzdem passiert: Die Maßnahme hat sich als wirkungslos erwiesen, also wird sie verstetigt.
Am 29. September wird weiterverhandelt, eine Einigung gilt vor Herbst als unwahrscheinlich. Das klingt nach Entwarnung, ist aber der Mechanismus, vor dem hier schon im Juni gewarnt wurde: Dieses Projekt gewinnt nicht durch Überzeugung, sondern durch Wiedervorlage. Es muss nur einmal durchkommen. Die Gegenseite muss jedes Mal gewinnen.
Quelle: ComputerBase — EU-Staaten halten an anlassloser Überwachung fest; netzpolitik.org — EDPS gegen wahlloses Scannen
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
9. Juli 2026
Zwei Beiträge zum Informationsfreiheitsgesetz standen hier in den letzten Tagen: einer über die Pläne der Koalition, die Beweislast umzudrehen, und einer über die Frage eines Lesers, ob die Verfassung das nicht verbietet. Die ernüchternde Antwort damals: Sie verbietet es nicht. Die Transparenz ist keine Mauer, sie ist eine Tür, und was eine einfache Mehrheit gegeben hat, kann eine einfache Mehrheit nehmen. Der Beitrag endete mit dem Satz, gerade greife jemand nach der Klinke.
Das Update: Die Tür bekommt Türsteher. Über 100 Organisationen haben einen offenen Brief gegen die Pläne unterzeichnet, und die Liste ist bemerkenswerter als die Zahl. Da stehen nicht nur die Üblichen — FragDenStaat, der CCC, Reporter ohne Grenzen —, sondern Amnesty neben dem NABU, Wikimedia neben Greenpeace, die Journalistengewerkschaften neben der taz. Wenn Vogelschützer und Enzyklopädisten gemeinsam für ein Verwaltungsgesetz auf die Barrikaden gehen, dann ist das kein Nischenthema der Netzszene mehr. Dann hat es sich herumgesprochen, dass hier ein Werkzeug wegsoll, das alle benutzen.
Dazu eine Petition mit inzwischen 370.000 Unterschriften — adressiert nicht an die Regierung, sondern gezielt an die SPD-Fraktion. Das ist taktisch klug und in der Sache entlarvend zugleich: Die Pläne brauchen eine einfache Mehrheit, und die gibt es nur, wenn beide Regierungsfraktionen sie tragen. Die SPD hat Transparenz im Koalitionsvertrag stehen. Die Petition fragt also im Kern nichts anderes als: Gilt das noch?
Der schärfste Ton kommt allerdings von amtlicher Stelle. Die Informationsfreiheitsbeauftragten von Bund und Ländern — die Aufsicht, nicht die Aktivisten — erklären gemeinsam, Informationsfreiheit sei „keine lästige Pflicht der Verwaltung, sondern eine historische Errungenschaft". Und sie sagen dazu, was von der offiziellen Begründung zu halten ist: Die Sicherheitsargumente seien vorgeschoben. Das ist, aus dem Beamtendeutsch übersetzt, der Vorwurf, die Regierung nenne den wahren Grund nicht. Der wahre Grund ist der bequemste von allen: Wer nicht gefragt werden kann, muss nicht antworten.
Ob das reicht, ist offen. Offene Briefe haben noch kein Gesetz gestoppt, Petitionen selten. Aber der Mechanismus, auf den es ankommt, ist ein anderer: Die Pläne leben davon, als „Bürokratierückbau" durchzulaufen — als technische Aufräumarbeit, die niemand bemerkt. Diese Deckung ist jetzt weg. Wer die Tür zumacht, tut es vor Publikum.
Quelle: netzpolitik.org — Widerstand gegen Beseitigung der Informationsfreiheit; CCC
▸ Überwachung & Bürgerrechte · ▸ Heuchelei & Machtmissbrauch
[l] Permalink
6. Juli 2026
Zu meinem Beitrag über die IFG-Pläne schreibt mir ein Leser einen Gedanken, der zu gut ist, um ihn im privaten Chat zu lassen. Ich beantworte ihn deshalb hier — anonym, aber wörtlich in der Sache:
Könnte man nicht auf Grundlage von Art. 20 Abs. 2 Satz 1 GG argumentieren, dass die Bevölkerung ein immanentes verfassungsmäßiges Recht auf ausnahmslos alle Informationen und Daten hat, die egal welche staatliche Stelle erhebt oder erzeugt? Ausnahmen für die äußere Sicherheit und den Schutz von Persönlichkeitsrechten in mäßigem Rahmen. Aber eigentlich verstößt das Konzept des „Amtsgeheimnisses“ doch gegen unsere Verfassung. Oder ist mein Gedanke so abwegig?
Nein, abwegig ist er nicht. Er landet mitten in einer echten, seit Jahren geführten Debatte — und er zeigt in die richtige Richtung. Nur ist die nüchterne Antwort unbequemer, als sie klingt, und sie hat zwei Hälften, die man auseinanderhalten muss: die Richtung stimmt, der Rechtszustand ist ein anderer.
Fangen wir mit der Norm an. „Alle Staatsgewalt geht vom Volke aus“ ist der Satz der Volkssouveränität, das Fundament der Demokratie. Aus ihm folgt zwingend, dass der Staat dem Volk Rechenschaft schuldet, und Rechenschaft ohne Einblick ist eine leere Geste. Das Bundesverfassungsgericht kennt diesen Zusammenhang: Demokratie lebt von Öffentlichkeit, von einer Bürgerschaft, die informiert genug ist, um zu urteilen und zu wählen. So weit trägt der Gedanke. Er ist der normative Boden, auf dem das Informationsfreiheitsgesetz überhaupt steht.
Der Sprung, der nicht hält, ist der von „der Staat schuldet Rechenschaft“ zu „jeder Bürger hat ein einklagbares Verfassungsrecht auf ausnahmslos jede Datei“. Diesen Sprung macht das geltende Recht nicht mit. Das Grundgesetz hat sogar eine eigene Norm für Information — Art. 5 Abs. 1: das Recht, sich „aus allgemein zugänglichen Quellen“ zu unterrichten. Klingt nach genau dem, was der Leser will. Ist es aber nicht: Das Verfassungsgericht liest die Norm eng. Sie schützt den Zugang zu Quellen, die schon offen sind — nicht das Recht, eine geschlossene Quelle aufzustoßen. Und ob eine Behördenakte eine „allgemein zugängliche Quelle“ ist, entscheidet das einfache Gesetz. Also genau jenes IFG, das gerade umgebaut werden soll. Die Verfassung reicht die Frage an den Gesetzgeber weiter, statt sie selbst zu beantworten.
Dazu kommt, dass das Grundgesetz Geheimnis nicht nur duldet, sondern an mehreren Stellen voraussetzt. Es kennt einen „Kernbereich exekutiver Eigenverantwortung“ — einen geschützten Raum, in dem eine Regierung beraten und ringen kann, ohne dass jeder Zwischenstand sofort auf dem Tisch liegt; das Verfassungsgericht hat ihn selbst gegen die Aufklärungsrechte von Untersuchungsausschüssen verteidigt. Es kennt das Staatswohl, das Brief- und Fernmeldegeheimnis, den Schutz laufender Verfahren. „Das Amtsgeheimnis“ als solches ist deshalb nicht verfassungswidrig. Ein blindes, zweckloses Zumauern wäre in Spannung zur demokratischen Öffentlichkeit — aber die Kategorie Geheimnis ist verfassungsfest, nicht verfassungswidrig. Die beiden Ausnahmen, die der Leser selbst einräumt — äußere Sicherheit und Persönlichkeitsrechte — sind ja bereits das Eingeständnis, dass es nie „ausnahmslos alle Daten“ heißen kann. Und die zweite dieser Ausnahmen hat sogar Verfassungsrang aus der Gegenrichtung: Das Recht auf informationelle Selbstbestimmung schützt die Daten des Bürgers vor dem Staat. Wo der eine „alles offenlegen“ ruft, ruft der Nächste zu Recht „aber nicht meins“.
Und jetzt der Teil, der die Frage tatsächlich beantwortet — durch die Hintertür. Wenn Art. 20 Abs. 2 dem Volk wirklich ein unmittelbares Recht auf alle staatlichen Informationen gäbe, dann wäre die geplante IFG-Verschärfung schlicht verfassungswidrig. Dann könnte FragDenStaat nach Karlsruhe ziehen und das Gesetz kippen lassen. Dass das realistisch nicht geht, dass die Koalition das Auskunftsrecht mit einfacher Mehrheit zusammenstreichen kann, ohne die Verfassung anzufassen — das ist der Beweis, dass es dieses Recht in der erhofften Härte nicht gibt. Die Offenheit steht nicht in der Verfassung. Sie steht in einem einfachen Gesetz. Und was ein einfaches Gesetz gibt, kann eine einfache Mehrheit nehmen.
Damit schließt sich der Kreis zum ursprünglichen Beitrag. Der Leser hat mit seinem Instinkt recht: Die Beweislast sollte bei der Macht liegen, das ist die demokratie-nähere Grundstellung, und sie hat einen verfassungsrechtlichen Widerhall im Demokratieprinzip. Aber sie ist eben nur ein Widerhall, keine Mauer. Das IFG hat diese richtige Richtung 2006 in geltendes Recht gegossen — freiwillig, nicht weil die Verfassung es erzwungen hätte. Genau deshalb ist die Rücknahme so gefährlich. Nicht weil sie ein Grundrecht bricht — dann wäre die Sache einfach, dann übernähme Karlsruhe. Sondern weil sie etwas kassiert, das die Verfassung zwar nahelegt, aber nicht garantiert. Der Schutz der Transparenz war nie eine Festung. Er war immer nur eine Entscheidung, die man jeden Tag neu treffen muss. Der Leser hat die Frage gestellt, ob die Mauer schon steht. Die ernüchternde Antwort: Es ist keine Mauer. Es ist eine Tür — und gerade greift jemand nach der Klinke.
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
4. Juli 2026
Das Informationsfreiheitsgesetz beruht auf einer einfachen, fast schon eleganten Idee: Amtliche Informationen gehören nicht der Verwaltung, sondern den Bürgern — und deshalb darf jeder sie anfragen, ohne einen Grund zu nennen. Wenn der Staat nicht herausgeben will, muss er das begründen. Die Beweislast liegt bei der Macht, nicht beim Fragenden.
Genau diese Richtung will die Koalition jetzt umdrehen. Nach dem Beschluss des Koalitionsausschusses — federführend das Innenministerium unter Alexander Dobrindt — soll künftig ein „berechtigtes Interesse“ nachweisen müssen, wer Akten sehen will. Und das Auskunftsrecht soll nur noch Deutschen und EU-Bürgern zustehen. Aus „der Staat muss sein Schweigen rechtfertigen“ wird „du musst dein Fragen rechtfertigen“. Das ist keine Detailkorrektur. Das ist ein anderes Gesetz mit demselben Namen.
Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider — nicht irgendeine Aktivistin, sondern die zuständige Aufsicht — formuliert es bemerkenswert deutlich: Einige der Anpassungen hätten eine Tragweite, die „im Ergebnis einer Abschaffung nahekämen“. Die Beschränkung auf Deutsche und EU-Bürger nennt sie undemokratisch. Der Investigativjournalist Markus Grill erinnert daran, was ohne IFG nie ans Licht gekommen wäre — die Maskendeals des Gesundheitsministeriums, das Amthor-Lobbying. Das sind keine Petitessen. Das sind die Fälle, für die das Gesetz gemacht wurde.
Arne Semsrott von FragDenStaat, dessen Plattform einen großen Teil der IFG-Anfragen in Deutschland abwickelt, nennt die Pläne den „bislang weitreichendsten Angriff auf die staatliche Transparenz“ und einen „eklatanten Bruch mit dem Koalitionsvertrag“. Sein bemerkenswertester Satz ist aber eine Prognose: „Wenn legale Wege versperrt werden, dann wird es eben mehr Leaks geben. Dann wird FragDenStaat zum neuen WikiLeaks.“ Man kann das als Drohung lesen. Näher liegt die schlichte Mechanik: Der Informationsdruck verschwindet nicht, wenn man das Ventil schließt. Er sucht sich ein anderes.
Ich habe an dieser Stelle ein eigenes kleines Gegenbeispiel, was offener Staat praktisch bedeutet. Ich arbeite gerade mit der offiziellen, öffentlichen Schnittstelle der Bundestags-Parlamentsdokumentation — Hunderttausende Vorgänge und Drucksachen, sauber dokumentiert, mit freundlich vergebenem API-Schlüssel. Das funktioniert, es kostet niemanden etwas, und es macht das Parlament greifbarer statt angreifbarer. Transparenz ist keine Bedrohung für den Staat. Sie ist der Beleg, dass er sie aushält.
Noch ist das Gesetz nicht durch den Bundestag. Die Petition dagegen hatte binnen Stunden Tausende Unterschriften. Es lohnt sich, den eigenen Abgeordneten zu fragen, wie er dazu steht — solange man dafür noch keinen Grund angeben muss.
Quelle: heise online — Arne Semsrott zu IFG-Plänen; netzpolitik.org — Angriff auf Informationsfreiheit
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
4. Juli 2026
Es gibt Nachrichten, die klingen wie eine Pointe, sind aber Forensik. Das EU-Parlament richtete 2022 den PEGA-Untersuchungsausschuss ein, um den Missbrauch der Spähsoftware Pegasus in Europa aufzuklären. Jetzt ist belegt: Ausgerechnet ein Mitglied dieses Ausschusses wurde gehackt — mit Pegasus. Während der Ausschussarbeit.
Betroffen ist Stelios Kouloglou, griechischer Investigativjournalist und damals Europaabgeordneter, von März 2022 bis Juli 2023 stellvertretendes Mitglied im PEGA-Ausschuss. Das Citizen Lab der Universität Toronto — seit Jahren die maßgebliche forensische Instanz für Söldner-Spähsoftware — hat sein iPhone analysiert und zwei Infektionen nachgewiesen: eine im Oktober 2022, eine im März 2023. Beide fallen mitten in die Laufzeit des Ausschusses. Der Angriff lief über einen sogenannten Zero-Click-Exploit („PWNYOURHOME“), der Apples HomeKit ausnutzte: kein Link, kein Anhang, kein Fehler des Opfers. Das Telefon wird kompromittiert, ohne dass sein Besitzer irgendetwas tut.
Zwei Einordnungen gehören dazu. Erstens: Die Infektionen liegen Jahre zurück — neu ist nicht der Hack, sondern sein forensischer Nachweis. Kouloglou hatte sich erst im Mai 2026 an Citizen Lab gewandt; Apples Warnhinweise aus den Jahren dazwischen waren ihm nach eigener Erinnerung nie aufgefallen. Zweitens: Wer dahintersteckt, ist nicht geklärt. Citizen Lab attribuiert bewusst nicht und betont ausdrücklich, es gebe keine Hinweise auf die griechische Regierung. Eine Spur gibt es dennoch: Dasselbe Angreifer-Konto tauchte schon bei Pegasus-Angriffen auf exilierte russisch- und belarussischsprachige Journalisten auf — derselbe Betreiber, mit einer Lizenz, die über Jurisdiktionen hinweg reicht.
Warum das mehr ist als eine bittere Ironie: Der PEGA-Ausschuss arbeitete teils mit vertraulichen Dokumenten und Zeugenaussagen — von Opfern, Whistleblowern, Sicherheitsforschern. Ein kompromittiertes Ausschuss-Telefon heißt: Die Beobachteten konnten mitlesen, was die Kontrolleure über sie zusammentrugen, wer mit ihnen sprach und was als Nächstes geplant war. Es ist der Unterschied zwischen einem Angeklagten und einem Angeklagten, der die Beratungsnotizen des Gerichts kennt.
Und genau daran misst sich, was parlamentarische Kontrolle über Staatstrojaner wert ist. Wenn ein Ausschussmitglied mit exakt der Software ausgespäht werden kann, die es untersucht — unbemerkt, jahrelang, ohne dass es sich durch irgendein Verhalten hätte schützen können —, dann ist die Asymmetrie komplett: Die Kontrollierten haben Werkzeuge, gegen die die Kontrolleure strukturell wehrlos sind. Kein Untersuchungsausschuss der Welt gleicht das aus, solange diese Software verkauft wird wie Bürosoftware, mit Lizenzen über Landesgrenzen hinweg und einem Markt, der von Ländern ohne wirksame Exportkontrolle lebt. Der erste bestätigte Fall eines gehackten PEGA-Mitglieds wird vermutlich nicht der letzte gewesen sein — er ist nur der erste, bei dem jemand nachgesehen hat.
Quelle: The Citizen Lab — Member of Committee Investigating Spyware Hacked with Pegasus
▸ Überwachung & Bürgerrechte · ▸ Security
[l] Permalink
30. Juni 2026
Normalerweise läuft eine Ermittlung in eine Richtung: Es gibt einen Verdächtigen, und um den Verdacht zu erhärten, holt sich die Polizei mit richterlichem Beschluss seine Daten. Person zuerst, Daten danach. Ein Geofence-Warrant kehrt das um. Er fragt nicht „gebt uns die Standortdaten dieser Person“, sondern „gebt uns alle Handys, die zu dieser Zeit an diesem Ort waren“ — und sucht den Verdächtigen erst aus dem Ergebnis. Ort zuerst, Person danach.
Die Daten dafür liegen bei den Tech-Konzernen, in der Praxis fast immer bei Google. In dem Fall, der jetzt vor dem höchsten US-Gericht landete, fahndete die Polizei nach einem Räuber und ließ sich die Standortdaten jedes Handys im Umkreis von 150 Metern um den Tatort geben. In so einem Radius steht nicht nur der Täter. Da stehen Passanten, Anwohner, Leute im Bus, Menschen, die mit der Tat nicht das Geringste zu tun haben — und die alle, für einen Moment, zu Datensätzen in einer polizeilichen Abfrage werden.
Am 29. Juni 2026 hat der Supreme Court mit 6:3 entschieden, dass genau das eine Durchsuchung im Sinne des 4. Verfassungszusatzes ist — also grundrechtlich geschützt. Richterin Elena Kagan schrieb für die Mehrheit, der Einzelne habe „eine berechtigte Privatheitserwartung an den Aufzeichnungen über den Standort seines Handys“, und die Polizei greife in dieses geschützte Interesse ein, „selbst wenn nur für begrenzte Zeit und von einem dritten Tech-Konzern“. Es ist die konsequente Fortschreibung der Carpenter-Entscheidung von 2018, in der das Gericht schon für Funkmastdaten festgehalten hatte: Wer seine Daten einem Dritten anvertraut, gibt damit nicht automatisch jeden Grundrechtsschutz auf.
Wichtig ist, was das Urteil nicht ist. Es ist kein Verbot von Geofence-Abfragen. Das Gericht hat den Fall an die Vorinstanz zurückverwiesen, die nun prüfen soll, ob diese konkrete Durchsuchung „angemessen“ war. Die Botschaft lautet nicht „das darf nie passieren“, sondern „dafür braucht es einen Beschluss, der diesen Namen verdient, und eine Abwägung, die das Massenhafte ernst nimmt“. Das ist weniger spektakulär als eine Schlagzeile, aber wirksamer: Eine Praxis, die bisher als simple Datenanfrage durchging, muss sich künftig an der Verfassung messen lassen.
Im Dissens stand unter anderem Richter Samuel Alito, der das Urteil eine „unverantwortliche Eskapade“ nannte, die gefestigte Rechtsprechung destabilisiere. Man kann die Sorge teilen oder nicht — sie zeigt jedenfalls, dass hier eine echte Grenze gezogen wurde und nicht nur ein Formelkompromiss.
Und damit zu der Frage, die das Ganze auch hierzulande relevant macht. Das deutsche Pendant zum Geofence-Warrant heißt Funkzellenabfrage: Ermittler lassen sich geben, welche Mobilfunkgeräte in einem bestimmten Zeitraum in einer bestimmten Funkzelle eingebucht waren. Auch das ist Ort-zuerst-Person-danach. Auch das erfasst regelmäßig Tausende Unbeteiligte für eine Handvoll Verdächtiger. Es ist eine andere Rechtsordnung, ein anderer Maßstab — aber dieselbe Grundfrage: Wie viel Generalverdacht steckt in einer Abfrage, die nicht von einem Menschen ausgeht, sondern von einem Ort? In den USA hat jetzt das höchste Gericht eine Antwort versucht. Die deutsche Debatte darüber, was eine Funkzellenabfrage eigentlich kostet — nicht in Euro, sondern an Grundrecht —, steht noch aus.
Quelle: NPR — Supreme Court restricts use of geofence warrants
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
25. Juni 2026
Es ist leicht, sich über die smarte Toilette lustig zu machen. Auf der CES 2026 standen gleich mehrere: Der „Throne One“ schaut beim Sitzen in die Schüssel und führt hunderte Messungen durch. Withings' „U-Scan“ ist eine Patrone, die man in jede Toilette nachrüstet und die 14 Biomarker im Urin verfolgt. Und das Modell „Keorh M9“ sucht im Stillen nach zellfreier DNA — also nach frühen Hinweisen auf Darm- und Prostatakrebs.
Der erste Reflex ist der Witz: Jetzt vermisst dich auch dein Klo. Aber der Reflex führt in die Irre, und zwar in beide Richtungen.
Denn das ist keine Spielerei. Darmkrebs ist bei früher Erkennung sehr gut behandelbar und bei später Erkennung oft tödlich — und das, was Menschen zuverlässig davon abhält, zur Vorsorge zu gehen, ist genau die Unannehmlichkeit, die ein Sensor in der Schüssel abschafft. Ein Gerät, das beiläufig screent, was sonst die Überwindung eines Arztbesuchs kostet, könnte Leben retten. Das ist die ernste Hälfte, und sie ist echt.
Genau deshalb ist die andere Hälfte kein Klamauk. Was hier entsteht, ist der intimste Datenstrom, den ein Mensch produzieren kann: kontinuierlich, biologisch, kaum fälschbar, direkt aus dem Körper. Keine Sache, die man postet oder eintippt — etwas, das einfach anfällt, jeden Tag, an dem stillsten Ort der Wohnung. Und es fließt, wie alles heute, in eine App. In einen Server. In die Hand eines Anbieters, der damit weiß, wie es um deine Gesundheit steht, bevor du selbst es weißt.
Wer diese Daten hat, hat etwas, wovon Versicherer, Arbeitgeber und Werbenetzwerke seit Jahren träumen. Ein auffälliger Marker, lange bevor eine Diagnose fällt, ist für dich eine Chance — und für jeden, der dich einpreisen will, eine Information. Die Frage ist nicht, ob das Gerät funktioniert. Es funktioniert. Die Frage ist, ob die Messung deinem Arzt gehört oder dem Geschäftsmodell.
Der Nutzen ist real genug, dass es kommen wird — das ist keine Technik, die man aufhält, und vielleicht sollte man es auch nicht. Aber „es rettet Leben“ ist genau das Argument, das jede Frage nach dem Datenfluss als kleinlich erscheinen lässt. Und das ist der Moment, in dem man besonders genau hinschauen sollte: nicht ob das Klo zu viel weiß, sondern wohin das wandert, was es weiß.
Quelle: TechAdvisory — CES 2026: Health tech is watching what you eat, feel, and even flush
▸ Überwachung & Bürgerrechte · ▸ KI & Macht
[l] Permalink
20. Juni 2026
„Öffentlich zugänglich“ klingt nach einem harmlosen Wort. Es ist ja schon öffentlich. Dobrindts Sicherheitspaket, dessen drei Gesetzentwürfe das Kabinett Ende April beschlossen hat, macht daraus etwas anderes: BKA und Bundespolizei sollen öffentlich zugängliche Fotos aus dem Internet per Gesichtserkennung gegen Fahndungsbilder abgleichen dürfen.
Das ist nicht dasselbe wie „steht ja eh im Netz“. Dein Selfie, das Gruppenfoto vom Vereinsfest, der Schnappschuss, auf dem du zufällig im Hintergrund stehst — alles wird zum biometrischen Suchschlüssel. „Öffentlich einsehbar“ und „per Gesicht jederzeit auffindbar“ sind zwei verschiedene Dinge. Aus einem Bild, das man sehen kann, wird ein Gesicht, das man finden kann — samt Aufenthaltsort.
Und es trifft nicht die, an die man bei „Fahndung“ denkt. Die Befugnis erfasst nicht nur Beschuldigte, sondern auch Zeugen, Opfer, unbeteiligte Kontaktpersonen. Verdächtig zu sein ist keine Voraussetzung mehr, um in der Abfrage zu landen — es reicht, ein Gesicht zu haben, das irgendwo im Netz auftaucht.
Dazu kommt eine automatisierte Datenanalyse, die zusammenführt, was bisher getrennt lag: Standortdaten, Fingerabdrücke, DNA, abgehörte Kommunikation, Metadaten, Polizeiakten. Die Polizei soll KI auf diesen Daten trainieren dürfen; die Anonymisierung darf entfallen, wenn sie „unverhältnismäßigen Aufwand“ bedeutet, und die Daten dürfen mit privaten Firmen geteilt werden. Das Werkzeug, das für solche Analysen im Raum steht und das das Innenministerium prüft, ist Palantir — die Software des US-Konzerns von Peter Thiel. Das Rückgrat der deutschen Datenpolizei käme dann aus einem fremden Rechenzentrum. Auch das ist eine Frage der Souveränität, und es ist dieselbe, die hier schon öfter stand.
Beschlossen ist nichts davon — das Kabinett hat zugestimmt, der Bundestag noch nicht. Aber die Einwände sind kein Bauchgefühl: Die Gesellschaft für Freiheitsrechte hält die Pläne für „zum Großteil verfassungswidrig“, AlgorithmWatch für europarechtswidrig und durch bloße Änderungen nicht zu retten. Es geht um den Verlust der Anonymität im öffentlichen Raum, um das Profiling Unbeteiligter, um Fehltreffer, um das Fehlen einer Beschränkung auf schwere Straftaten.
Das eigentlich Bemerkenswerte ist die Sprache. „Öffentlich zugänglich“, „Sicherheitspaket“ — Wörter, die nahelegen, es ändere sich nichts: ist ja schon offen, ist ja für die Sicherheit. Was sich ändert, ist die Kategorie. Vom Bild, das man sehen kann, zum Gesicht, das man finden kann. Wer das nächste Mal „öffentlich zugänglich“ liest, darf fragen: zugänglich für wen — und womit durchsuchbar?
Quelle: netzpolitik.org — FAQ: Das Überwachungspaket der Bundesregierung
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink
19. Juni 2026
Am 29. Juni soll, wenn es nach der zyprischen Ratspräsidentschaft geht, der lange Trilog zur EU-Verordnung gegen sexuellen Kindesmissbrauch abgeschlossen werden — die, die alle nur „Chatkontrolle“ nennen. Die Präsidentschaft endet am 30. Juni; man will vorher fertig werden. Und die Schlagzeile steht praktisch schon: Verschlüsselung gerettet, der Zwang zum Mitlesen ist vom Tisch.
Das ist nicht einmal falsch. Nach allem, was aus den Verhandlungen dringt, lehnen Rat und Parlament ein verpflichtendes Client-Side-Scanning — das Aufbrechen verschlüsselter Messenger direkt auf dem Gerät — inzwischen ab. Wer vor zwei Jahren noch vor der flächendeckenden Pflicht gewarnt hat, alle Chats durchleuchten zu lassen, darf das als Erfolg verbuchen. Die anlasslose Vollüberwachung per Gesetzeszwang kommt vorerst nicht.
Nur: Abgeschafft wird die Überwachung damit nicht. Sie wird umetikettiert. Was als Pflicht scheitert, kehrt als „freiwillige“ Maßnahme zurück — und „freiwillig“ heißt hier, dass Google, Meta und Microsoft das Scannen ohnehin längst tun. Die befristete Ausnahmeregelung dafür ist am 3. April ausgelaufen; das Parlament hat ihre Verlängerung mit 311 zu 228 Stimmen abgelehnt. Die Konzerne haben angekündigt, trotzdem weiterzuscannen. Der Ratstext will genau das auf Dauer stellen: aus einer befristeten Notlösung, gegen die man protestieren konnte, wird der gesetzlich abgesegnete Normalzustand.
Das ist der eigentliche Kunstgriff. Eine Pflicht hat Gegner, Fristen, einen Aufschrei. Ein „freiwilliges“ Dauerangebot hat nichts davon. Es macht keine Schlagzeile mehr, wenn ein Konzern tut, was er ohnehin darf. Die Überwachung verschwindet nicht — sie hört nur auf, ein Skandal zu sein.
Und sie kommt nicht mit leeren Händen. Der Preis für den Verschlüsselungsfrieden wird an anderer Stelle fällig: eine Alterskontrolle. Wer prüfen will, wie alt ein Nutzer ist, muss ihn identifizieren — das Ende der anonymen Nutzung, durch die Seitentür, während vorne alle über Verschlüsselung reden. Ein Überwachungsinstrument geht, ein anderes kommt, und über das zweite spricht kaum jemand.
Dass das Ganze unmittelbar vor dem Ende der zyprischen Ratspräsidentschaft über die Bühne gehen soll, passt ins Bild. Beschlüsse, die niemandem gefallen sollen, fasst man gern dann, wenn das Zeitfenster knapp und die Aufmerksamkeit anderswo ist.
Nichts davon ist beschlossen, solange der Trilog läuft; der Text vom 29. Juni liegt noch nicht vor, und Verhandlungen kippen. Der Punkt ist nicht die Panik. Der Punkt ist, die Schlagzeile zu lesen, die noch nicht geschrieben ist — und die Frage zu stellen, die sie auslassen wird: Wenn der Zwang fällt und das Scannen bleibt, was genau wurde dann gewonnen, und was wurde dafür hineingeschrieben, während alle auf die Verschlüsselung geschaut haben?
Quelle: netzpolitik.org — Trilog zur Chatkontrolle
▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung
[l] Permalink