Schon länger gab es Vermutungen, nun wurden sie durch Recherchen von Netzpolitik.org und BR bestätigt: Deutsche Landeskriminalämter kaufen Daten von Händlern, um an Informationen zu gelangen. Mit Standortdaten eines Handys lässt sich der Aufenthaltsort einer Person metergenau bestimmen – im Gegensatz zur legalen Funkzellenabfrage, die eine richterliche Genehmigung erfordert.
Nur fünf Landespolizeien gaben an, solche Daten nicht zu nutzen: Bremen, Hessen, Rheinland-Pfalz, Sachsen-Anhalt und Schleswig-Holstein. Zwei Bundesländer, Brandenburg und Mecklenburg-Vorpommern, räumten auf Nachfrage ein, bereits auf kommerziellen Datenhandel zurückgegriffen zu haben. Die restlichen neun Länder beriefen sich auf Geheimhaltung – was in der Regel bedeutet, dass auch sie diese Methode anwenden.
Die gehandelten Daten stammen aus zahlreichen Handy-Apps wie Lieferdiensten, Karten- oder Dating-Programmen. Sie werden bei der Nutzung sofort erfasst und über Handelsplattformen in Sekundenschnelle weiterverkauft. Gebündelt verraten sie viel über den Besitzer: Bewegungsprofile, Vorlieben, Kontakte. Ursprünglich für Werbefirmen gedacht, die personalisierte Werbung schalten, greifen inzwischen auch staatliche Stellen zu.
Es gibt sogar eine spezielle Branche, die die kursierenden Daten für solche Zwecke aufbereitet: ADINT (Advertising-based Intelligence), also werbebasierte Aufklärung. Diese Firmen bieten Sicherheitsbehörden maßgeschneiderte Dienstleistungen an, etwa zur Lokalisierung von Zielpersonen auf Karten. So sparen sich die Behörden die aufwendige Verarbeitung von Millionen Datensätzen durch eigene Systeme.
Die US-Einwanderungsbehörde ICE nutzt ADINT-Unternehmen ausgiebig, ebenso sollen ungarische Sicherheitsbehörden darauf zurückgreifen. Nun also auch deutsche Landeskriminalämter.
Mecklenburg-Vorpommern kündigte nach der Bestätigung der Nutzung an, künftig darauf verzichten zu wollen. Eine Rechtsgrundlage für solche Praktiken existiert in keinem Bundesland. Datenschützer kritisieren zudem, dass selbst die bewusste Zustimmung der App-Nutzer fragwürdig ist.
In den meisten Apps ist die Zustimmung zur Datenweitergabe als Standard voreingestellt. Wer ablehnt oder auf „nur bei Nutzung” umstellt, wird oft gewarnt, die App könnte nicht mehr richtig funktionieren. Die wenigsten Nutzer dürften beim Klicken daran denken, dass ihre Daten so beim Landeskriminalamt landen.
Ein weiteres rechtliches Problem: In der Regel werden auch Daten vieler anderer Personen mitgeliefert, die nicht Gegenstand der Ermittlungen sind. Der Kauf über ADINT-Firmen könnte dieses Risiko zwar verringern, da in deren Datenbanken gezielt nach bestimmten Telefonnummern oder Personen gesucht wird.
Die rechtliche Grauzone und zugleich die Hintertür zur Nutzung dieser Daten liegt in der Formulierung „öffentlich zugängliche Daten”. Sie findet sich in Gesetzen zum Verfassungsschutz und zum BKA und ermöglicht die Auswertung – bis hin zur biometrischen – von Social-Media-Konten, ohne dass Betroffene nachträglich informiert werden müssen.
Auch die Angebote von ADINT-Händlern und der Werbeindustrie gelten als „öffentlich zugängliche Daten”, obwohl die Erhebung den Betroffenen meist nicht bewusst ist. Laut einer Ausarbeitung des wissenschaftlichen Dienstes des Bundestags vom November 2023 ist „die Rechtsprechung bislang nicht entschieden, ob der Datenkauf als Eingriff in die Telekommunikationsfreiheit zu werten ist. Die Eingriffsqualität könnte mit dem Argument bezweifelt werden, dass der Datenkauf grundsätzlich für jedermann möglich ist.”
Faktisch ermöglichen solche Daten fast eine Komplettüberwachung jedes Einzelnen. Die zuständigen Datenschützer befassen sich mit dem Thema, mehr ist bisher nicht geschehen. Auffällig ist jedoch, dass diese Methoden zwar mehr oder weniger eingestanden genutzt werden, aber in einem Kontext nicht: wenn es um die Lokalisierung ausreisepflichtiger Migranten geht. Obwohl sonst stets betont wird, es handele sich um „öffentlich zugängliche Informationen”, heißt es in diesen Fällen oft, man brauche einen Gerichtsbeschluss, den man nicht bekäme.
Mehr zum Thema – Der nächste Schritt in der EU: Komplettüberwachung in Kraftfahrzeugen