In zahlreichen WhatsApp-Gruppen diskutieren Menschen, ob und wie sie von Marokko nach Ceuta fliehen wollen. ORF-Journalist Maximilian Handl konnte die Nachrichten auswerten. Hinweise auf gesteuerte Kampagnen fand er keine, wie er im Interview erklärt.

Ende Juli flohen schätzungsweise rund 70.000 Menschen in die spanische Exklave Ceuta an der nordafrikanischen Küste. Organisationen für Menschenrechte zufolge sind mehr als 140 gestorben. In Ceuta selbst setzte sich die humanitäre Krise fort.

Wenig später spekulierten viele seriöse Nachrichtenmedien über die Gründe für die Flucht so vieler in so kurzer Zeit. „Wie von fremder Hand gesteuert“, titelte etwa die Süddeutsche Zeitung. „Steckt Marokko hinter dem Ceuta-Ansturm? Oder die USA?“, fragte sich n‑tv. Und RND vermutete einen „hybriden Angriff auf Spanien“.

Der Journalist Maximilian Handl arbeitet bei ORF Defacto, dem Verifikationsteam des öffentlich-rechtlichen Rundfunks in Österreich. Er und seine Kolleg*innen haben Tausende Nachrichten aus WhatsApp-Gruppen ausgewertet, in denen sich Menschen noch immer über eine Flucht nach Ceuta austauschen.

Im Interview erklärt er, warum er nach der Recherche von keiner gesteuerten Kampagne ausgeht – und auch nicht von Desinformation.

Per Einladungslink in die WhatsApp-Gruppe

netzpolitik.org: Maximilian, du und dein Team wart in den WhatsApp-Gruppen der Menschen, die eine Flucht nach Ceuta planen oder darüber diskutieren. Wie seid ihr dort reingekommen?

Maximilian Handl: Zuerst haben wir mit Suchmaschinen wie Google nach Orten gesucht, wo sich Menschen über die Fluchtpläne austauschen. Die wichtigsten Funde waren Links zu öffentlichen Facebook-Gruppen. Viele davon waren aber nicht mehr online. Mithilfe von Archiv-Seiten konnten wir trotzdem Einladungs-Links zu WhatsApp-Gruppen finden, die dort geteilt wurden. Einige Links haben noch funktioniert. Im ORF-Verifikationsteam haben wir uns zehn dieser WhatsApp-Gruppen genau angeschaut.

netzpolitik.org: Wie sehen diese Gruppen aus?

Handl: Einige haben rund 50 Mitglieder, andere Hunderte oder Tausende. Ich schätze, die meisten Mitglieder sind männlich mit einer Altersspanne von 16 bis 35 Jahren. Sie schreiben darüber, welche Hoffnungen sie mit einem Leben in Europa verbinden und wie sie nach Ceuta kommen können. Es geht etwa um Schlafplätze und Polizeikontrollen oder darum, welche Ausrüstung zum Schwimmen man braucht.

netzpolitik.org: Wie sind die Gruppen entstanden?

Handl: Manche wurden gezielt gegründet, um die Flucht zu planen. Andere sind älter und hatten vorher einen anderen Zweck. Das kann man über Änderungen im Gruppennamen nachvollziehen. So eine Gruppe kann zum Beispiel ursprünglich für den Austausch in der Nachbarschaft entstanden sein – bis sich die Mitglieder entschieden haben, gemeinsam zu fliehen. Außerdem haben die Gruppen eine hohe Dynamik. Die Zahl der Mitglieder kann schnell steigen. Es entstehen neue Untergruppen. Die Admins verlieren den Überblick. Das hat es für uns einfacher gemacht, als stille Beobachter beizutreten.

„Keine Nachweise für gezielte Kampagne“

netzpolitik.org: Hast du dich in den Gruppen als Journalist zu erkennen gegeben?

Handl: Nein. Ich nutze dafür einen Account mit einem unauffälligen Namen und Profilbild. Es würde nicht funktionieren, wenn ich mit einer europäischen Telefonnummer auftauche und sage: Hallo, ich bin der Max aus Österreich. In mehreren Gruppen haben Mitglieder geschrieben, dass sie Medien misstrauen, weil sie zum Beispiel Behörden warnen könnten. Und es hat sich in den Gruppen rumgesprochen, dass Boulevard-Medien Screenshots mit persönlichen Informationen veröffentlichen.

netzpolitik.org: Wie habt ihr in den Gruppen recherchiert?

Handl: Wir haben die Inhalte zunächst über die Web-Oberfläche von WhatsApp automatisch erfasst. Dafür haben wir uns ein kleines Programm geschrieben. Sprachnachrichten haben wir automatisch transkribiert, die Texte mit einer Software übersetzt. Arabisch hat viele Dialekte, aber mittlerweile gibt es recht gute KI-Programme für Marokkanisch-Arabisch. So konnten wir uns bei den Tausenden Nachrichten einen ersten Eindruck verschaffen. Die wichtigsten Textstellen hat ein Mensch mit Sprachkenntnissen geprüft.

netzpolitik.org: Was habt ihr aus den Recherchen gelernt?

Handl: Eine der wichtigsten Erkenntnisse war: Wir konnten keine Nachweise für eine gezielte Kampagne finden, die bewirkt hätte, dass so viele Menschen auf einmal nach Ceuta fliehen. Genau das war jedoch eine frühe Annahme in der öffentlichen Debatte gewesen. Dass es hinter den Fluchtbewegungen gezielte Einflussnahme von Regierungen oder Geheimdiensten geben müsse. Dieser These müssen wir jedoch widersprechen.

netzpolitik.org: Woran macht ihr das fest?

Handl: Für gezielte Kampagnen gibt es typische Hinweise. Textbausteine, die sich über mehrere Gruppen hinweg immer wieder finden, oder einzelne Akteure, die in vielen Gruppen aktiv sind. So etwas konnten wir bis dato nicht feststellen. Nicht in den aktuellen Chatgruppen und auch nicht auf den archivierten Seiten vor der großen Fluchtbewegung Ende Juli. Was wir stattdessen beobachten, würde ich dezentrale Mobilisierung nennen.

Misinformation statt Desinformation

netzpolitik.org: Was mobilisiert die Menschen?

Handl: Ein wichtiger Faktor sind Videos in sozialen Medien über ein Urteil des spanischen Obersten Gerichtshofs. Das Urteil wurde auf eine falsche Aussage verkürzt, nämlich: Wer schwimmend nach Ceuta gelangt, hätte das Recht auf ein ordentliches Asylverfahren auf spanischem Festland. Aber das stimmt nicht.

netzpolitik.org: Welche Rolle spielt diese Desinformation für die Fluchtpläne der Menschen?

Handl: Ich würde damit beginnen, dass schon der Begriff „Desinformation“ falsch ist. Unter Desinformation verstehe ich den gezielten Vorsatz, andere zu täuschen. Doch auch dafür konnten wir keine Belege finden. Stattdessen handelt es sich offenbar um Misinformation, also Falschinformation ohne Vorsatz. Leute haben vielmehr versucht, das komplexe Urteil aus Spanien in einfache Worte zu fassen. Dabei wurde es verkürzt und verfälscht. Hinzu kommt die tiefe Verzweiflung von Menschen, die auf ein besseres Leben hoffen, und deshalb Warnsignale ausblenden.

netzpolitik.org: Hast du das selbst beobachtet?

Handl: Ja, auch in den WhatsApp-Gruppen gab es viele Zweifel und sogar Streit darüber, ob man die Flucht überhaupt wagen soll. Manche haben geschrieben, der Versuch sei lächerlich, andere haben ihre Pläne verteidigt. Wir haben auch Nachrichten von Menschen gelesen, die schreiben, sie hätten längst selbst gehört, dass sie keine Chance hätten, über Ceuta aufs spanische Festland zu kommen. Aber sie wollten trotzdem daran glauben. Dahinter stehen persönliche Schicksale.

netzpolitik.org: Zum Beispiel?

Handl: Ich erinnere mich an einen Menschen, der geschrieben hat, er wolle seine schwer kranke Schwester mit einer Luftmatratze übers Meer schaffen, weil sie in Marokko keine medizinische Versorgung erhalte. Ein anderer hat geschrieben, er habe keine Arbeit und nicht genug zu essen. Wieder andere sehen in Marokko keine Zukunft für sich und hoffen auf Entfaltungsmöglichkeiten in Europa.

Andere Teams mit ähnlichen Ergebnissen

netzpolitik.org: Wie repräsentativ sind eure Beobachtungen?

Handl: Die WhatsApp-Gruppen sind natürlich nur ein Ausschnitt. Parallel haben aber mehrere Redaktionen in noch mehr Gruppen recherchiert, auch auf Telegram. Wir standen über die European Broadcasting Union im ständigen Austausch mit den Rechercheteams aus europäischen Rundfunkanstalten und haben gemerkt, dass wir nicht zu unterschiedlichen Ergebnissen kommen.

netzpolitk.org: Geht eure Recherche noch weiter?

Handl: Die Recherchefrage nach einer gezielten Kampagne haben wir inzwischen mit Nein beantwortet. Wir werden die Gruppen aber noch eine Weile beobachten. Es gibt zum Beispiel Berichte über Aufrufe zu neuen Fluchtbewegungen. Teils kursieren in den Gruppen auch konkrete Daten. Wir haben uns aber entschieden, das nicht zu berichten. Gerade weil die Mobilisierung dezentral ist, lassen sich aus den Gruppen keine seriösen Prognosen ableiten.

netzpolitk.org: Vielen Dank für das Gespräch!

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Bundesdigitalminister Karsten Wildberger ist überzeugt, dass die hauseigene KI-Software „Spark Workflow“ Verwaltungsprozesse deutlich beschleunigen wird. Doch noch seien etliche Fragen offen, die auch der Minister nicht beantworte, sagt Digitalexperte Stefan Kaufmann. Er plädiert für einen alternativen Ansatz, um die Verwaltung zu modernisieren.

Bürokratierückbau, Modernisierung des Staates und eine effizientere öffentliche Verwaltung – gebetsmühlenartig wiederholt die Bundesregierung die im Koalitionsvertrag festgeschriebenen Ziele. Digitalminister Karsten Wildberger (CDU) will die öffentliche Verwaltung vor allem mit Hilfe generativer KI modernisieren. Darüber hinaus sollen KI-Agenten Genehmigungsverfahren um bis zu 50 Prozent beschleunigen und so Mitarbeiter:innen entlasten. Zu Jahresanfang hatte Wildberger sogar noch von 80 Prozent Beschleunigung gesprochen.

Seine Hoffnungen setzt der Minister dabei vor allem auf Spark Workflow. Das sind KI-Agenten, die den Ablauf von Verwaltungsverfahren durchgängig abbilden sollen. Im Gespräch mit netzpolitik.org ordnet Stefan Kaufmann ein, was nach jetzigem Wissensstand von Spark Workflow zu erwarten ist. Kaufmann ist Experte für Open Data und Verwaltungsdigitalisierung und beschäftigt sich auch privat mit Spark Workflow und den offenen Fragen des Projekts.

netzpolitik.org: Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) will Spark Workflow in die öffentliche Verwaltung bringen. Was tut das Programm?

Stefan Kaufmann: Spark Workflow soll dabei helfen, Genehmigungsverfahren schneller zu bearbeiten. Nach allem, was wir zurzeit über das Programm wissen, arbeitet es in mehreren Schritten. Zunächst soll es Word-Dokumente, PDFs und PowerPoint-Dokumente in Markdown übersetzen, damit der Inhalt des Dokuments überhaupt analysierbar wird. Mit der Markdown-Syntax werden Struktur und Inhalte leichter maschinell auswertbar.

Anschließend wirft das Programm die aufbereiteten Inhalte nach und nach gegen Sprachmodelle und die wenden darauf festgelegte Prompts an, also Eingaben an das KI-System. Das Programm soll so einen Antrag auf Vollständigkeit und Plausibilität prüfen und eine rechtliche Einordnung vornehmen.

„Es braucht hundertprozentige Verlässlichkeit“

netzpolitik.org: Wie funktioniert das genau?

Stefan Kaufmann: Das ist nicht so leicht zu sagen. Zwar ist der Code auf openCode öffentlich einsehbar. Aber es fehlt eine Gesamtdokumentation. Die öffentlich zugänglichen Informationen zum Projekt lassen kaum Rückschlüsse darauf zu, wie die einzelnen Spark-Module im Detail funktionieren sollen und was die allgemeine Erwartungshaltung an das Programm ist.

So fehlt auch ein Gütetest: Tut das System, was es soll? Entsprechende Kriterien müsste man vorher definieren. Das wäre ein wissenschaftliches Vorgehen. Wenn ich ein Medikament teste, formuliere ich solche Kriterien auch, führe Doppel-Blindstudien durch und prüfe, ob meine Erwartung an die Wirkung des Medikaments erfüllt ist. Bei Spark Workflow ist so etwas bislang nicht erkennbar.

Außerdem müsste man zuvor definieren, was eine akzeptable Fehlerquote ist. Dass die generative KI unterschiedliche Ergebnisse auswerfen kann, auch wenn man dieselbe Abfrage macht, ließe sich systematisch testen. Man könnte einen Musterantrag mehrmals durch das System laufen lassen und die Ergebnisse speichern. Anschließend könnte man die Varianzen zwischen den Ergebnissen untersuchen. Wie man die dann bewertet, hängt davon ab, welche Abweichung als akzeptabel gilt.

Angenommen von 100 Anträgen wird einer falsch positiv oder einer falsch negativ bewilligt. Ist das dann ein akzeptables Ergebnis? Das müsste man diskutieren und definieren. Ich bin der Überzeugung, bei einer maschinellen Auswertung von Anträgen braucht es eine hundertprozentige Verlässlichkeit. Aber das ist eine politische Frage.

Mit Markdown zur „symbolischen KI“

netzpolitik.org: Gehen wir kurz noch einen Schritt zurück: Inhalte aus Dokumenten in Markdown zu übersetzen, das ist doch sinnvoll, oder?

Stefan Kaufmann: Ja, wenn man aber bei Spark Workflow schon diesen Schritt geht, könnte man noch einen Schritt weitergehen: nämlich die Anträge so gestalten, dass sie direkt in Markdown vorliegen. Damit könnte man auf Sprachmodelle verzichten und hätte einen Schritt hin zu einer verlässlichen und schnell verfügbaren Datenbasis zurückgelegt.

netzpolitik.org: Warum wäre das sinnvoll?

Stefan Kaufmann: Beispielsweise kann man mit Begriffen viel besser umgehen, die je nach Kontext eine andere Bedeutung haben, wie etwa der Begriff „Einkommen“. Durch eine passende Datenkodierung könnte man sicherstellen, dass das System jeweils den richtigen Einkommensbegriff erfasst. So etwa arbeitet die sogenannte symbolische KI, nach Regeln von Logik und Mathematik.

Die hat einen wesentlichen Vorteil: Auch wenn ich dieselbe Abfrage hundertmal vornehme, ich erhalte immer dasselbe Ergebnis. Bei diesem System bin ich lediglich darauf angewiesen, dass die zugrunde liegenden Sachverhaltsdarstellungen in einem maschinell auswertbaren Format vorliegen. Die Korrektheit des Ergebnisses hängt hier nicht davon ab, dass das System zufällig das richtige Ergebnis ausspuckt, sondern das folgt logisch aus den verarbeiteten Daten.

Digitalministerium will KI-Agenten für die Verwaltung

netzpolitik.org: Wie unterscheiden sich Sprachmodelle von der symbolischen KI?

Stefan Kaufmann: Sprachmodelle sind den sogenannten konnektionistischen KI-Modellen zuzuordnen. Das sind all die Modelle, die auf stochastischen Verfahren basieren, die nach dem Prinzip der Wahrscheinlichkeit funktionieren. Ein klassischer konnektionistischer KI-Ansatz ist maschinelles Lernen. Eine Untergruppe davon ist Deep Learning und daneben gibt es eben die großen Sprachmodelle. Gesichtserkennung ist beispielsweise ein klassischer konnektionistischer Ansatz. Da kann ich ein Gesicht mit einer gewissen Wahrscheinlichkeit erkennen, die liegt dann irgendwo zwischen 0 und 100 Prozent. Diese Konfidenz, eine Art Kennzahl über die Gewissheit, kann ich mir oft auch anzeigen lassen.

Bei symbolischer KI gibt es eigentlich nur die Ergebnisse 0 und 1. Entweder die Ausgabe ist richtig oder die Anfrage nicht beantwortbar, etwa wenn die Datenlage das nicht hergibt.

Mehr Effizienz mit maschinenlesbaren Daten

netzpolitik.org: Wie kommt es, dass die öffentliche Verwaltung mit Dokumenten in unterschiedlichen und nicht maschinenlesbaren Formaten arbeitet?

Stefan Kaufmann: Menschen lernen schon in der Schule, dass sie Texte mit Microsoft Word schreiben. Wir alle sind in gewisser Weise darauf „trainiert“ worden. Die meisten verfassen auch in ihrem Berufsleben Dokumente so, dass sie für Menschen lesbar sind.

Zum Beispiel ein PDF-Dokument, in dem Tabellen enthalten sind. Zwar ist die Darstellung digital. Aber eine automatische mathematische Auswertung der Inhalte ist sehr viel schwieriger, als wenn die ursprüngliche Tabelle im CSV-Format vorliegen würde – oder noch besser: als Linked Data. Wären die Inhalte maschinenlesbar aufbereitet, wäre das ein Riesenschritt in Richtung einer verlässlichen Auswertung.

netzpolitik.org: Wie bewertest du die Entscheidung, dass die öffentliche Verwaltung diesen Weg bislang nicht eingeschlagen hat und stattdessen zumindest auf Entscheider-Ebene auf generative KI setzt?

Stefan Kaufmann: Benjamin Degenhardt hat das neulich sehr schön eingeordnet: Der Weg hin zu semantischer Datenhaltung, also etwa besserer Maschinenlesbarkeit, sei strategisch der weitsichtige und auch der einzig sinnvolle. Ich stimme ihm da voll zu.

Degenhart ist Wissensingenieur und engagiert sich für Open Source, Linked Open Data, Graphen und Nachhaltigkeit.

Damit ließen sich alle Vorteile des automatisierten Rechnens nutzen, ohne irgendwelche Abstriche machen zu müssen. In strukturierte Daten zu investieren, wäre nachhaltig. Damit könnte man Mitarbeiter:innen in der Verwaltung nicht nur Arbeit abnehmen, man könnte gleichzeitig Kompetenz vorantreiben, besser mit Daten umzugehen, also mit Fokus auf Maschinenlesbarkeit. Da wäre deutlich mehr Effizienz zu gewinnen, während man die Grundsätze von Verwaltungshandeln wie Gleichheitsgrundsatz oder Verlässlichkeit nicht infrage stellen müsste.

Die Existenz generativer KI-Systeme verleitet dazu, Workarounds zu bauen, weil die momentan durch die Verfügbarkeit solcher Systeme günstig erscheinen. Ich kann damit kurzfristig einen Erfolg erzielen und komme meinem Ziel augenscheinlich näher. Bei genauer Betrachtung wird aber klar: Ich verbaue mir damit gleichzeitig, das gesamte System zu ertüchtigen.

netzpolitik.org: Wie kann man sich das vorstellen?

Stefan Kaufmann: Ich versuche, das an einem Bild zu erklären. Es gibt ein Ministerium, das eine desolate Wasser-Verrohrung hat. Eigentlich ist allen klar, wir sind hier auf dem Stand, der nicht mehr tragbar ist. Das sind technische Schulden. Wir müssten diese Infrastruktur von Grund auf neu festigen. Denn bislang haben Mitarbeitende das Wasser in Eimern von A nach B getragen. Statt die Infrastruktur zu erneuern, nimmt das Ministerium das Angebot einer Firma an. Sie sponsert billige Arbeiter:innen, die den Ministeriumsmitarbeiter:innen das Wassertragen abnehmen.

Diese Lösung reduziert vorerst das akute Defizit. Fraglich ist: Wollen wir, dass da Menschen das Wasser hin und her tragen? Ist das langfristig wirtschaftlich? Oder wollen wir nicht eher eine Situation, wo ich den Wasserhahn aufdrehe und das Wasser einfach läuft, Wasser as a service sozusagen?

„Ich halte es für eine Ausrede“

netzpolitik.org: Welche Gefahr siehst du bei Spark Workflow?

Stefan Kaufmann: Weniger eine Gefahr, mir fällt aber auf, dass vieles von dem, was gerade verhandelt wird, auf Kategorienfehlern basiert. Dass hier eine agentische KI am Werk sei, die 50 oder gar 80 Prozent der Arbeit abnehmen könne, sind zunächst Behauptungen. Das lässt sich nicht überprüfen. Ich habe die Befürchtung, dass die Verantwortlichen im BMDS Annahmen anhängen, wie solche Systeme arbeiten und welche Leistung sie erzielen können, die sich schwer belegen lassen.

Es ist durchaus möglich, dass Spark Workflow eingereichte Anträge prüft und darin tatsächlich Inkonsistenzen und Unvollständigkeiten anzeigt. Doch scheint das System einige technische Probleme mit sich zu bringen. Demnach kann es vorkommen, dass es zwei Dateien mit demselben Dateinamen ermittelt und dann eine davon verwirft. Dass die Dateinamen sich decken, bedeutet aber nicht automatisch, dass der Inhalt der Dubletten identisch ist.

Die Person, die das Programm bedient, sieht offenbar auch nicht, wenn im Hintergrund etwas passiert, was den Umfang des ursprünglichen Antrags verändert. Sie hat womöglich keine Information darüber, dass das System damit unter Umständen zu einem verfälschten Ergebnis kommt.

netzpolitik.org: Es fällt immer wieder das Argument vom „human in the loop“, am Ende entscheide immer ein Mensch. Ein Programm wie Spark Workflow solle lediglich unterstützen, menschliche Expertise sich dann auf das Ergebnis konzentrieren. Wie bewertest du das?

Stefan Kaufmann: Ich halte es für eine Ausrede. Im konkreten Fall ist nicht klar: Kann die Person, die das Programm bedient, einordnen, dass das Ergebnis der generativen KI zufallsbehaftet ist? Weiß sie, dass das System vielleicht unter der Haube anders agiert, als man es als Laie erwarten würde? Grundsätzlich ist die Frage offen: Wie kann der Mensch einen Antrag angesichts des Moments des Zufalls verlässlich bearbeiten? Oder werden solche Anträge in Zukunft quasi per Losverfahren beschieden?

„Nur auf einen spezifischen Anwendungsfall zugeschnitten“

netzpolitik.org: Laut den Aussagen etwa von BMDS-Staatssekretär Thomas Jarzombek soll Spark in mehreren Bereichen der öffentlichen Verwaltung eingesetzt werden können. Für wie realistisch hältst du das?

Stefan Kaufmann: Wenn man in den Code von Spark Workflow reinschaut, fällt auf: Dieses System ist gerade nur auf einen spezifischen Anwendungsfall zugeschnitten, nämlich auf die umweltrechtliche Genehmigung.

Würde man diesen Anwendungsfall auf einen anderen umbauen, muss man da händisch in viele Konfigurationsdateien eingreifen. Das wirkt auf mich nicht wie ein System, das flexibel auf verschiedene Szenarien in der Verwaltung angepasst werden kann. Zumindest nicht ohne erheblichen Aufwand.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die deutschen Geheimdienste sollen neue Regeln bekommen. Das wirkt sich auch auf die Arbeit von Journalist:innen in Deutschland und im Ausland aus. Maximilian Jung von Reporter ohne Grenzen erklärt im Interview, warum der BND Medienschaffende künftig leichter überwachen könnte und was das mit Pressefreiheit zu tun hat.

Eine der wichtigsten Voraussetzung für die journalistische Arbeit ist die Vertraulichkeit: Quellen müssen sich darauf verlassen können, dass ihre Kommunikation mit Medienschaffenden sicher ist. Journalist:innen brauchen Schutz für sensible Recherchen, wenn sie mit Gesprächspartner:innen auf aller Welt kommunizieren. Doch dieser Schutz ist durch die geplante Geheimdienstreform für BND und Bundesverfassungsschutz in Gefahr, warnt die Organisation Reporter ohne Grenzen.

Über diesen Aspekt sprechen wir mit Maximilian Jung. Er setzt sich als Advocacy Referent bei Reporter ohne Grenzen (RSF) für die Presse- und Informationsfreiheit weltweit ein. Er recherchiert zu und arbeitet gegen staatliche Überwachung von Journalist*innen sowie den Einsatz von Spionagesoftware an. Im Interview erklärt er, wie die Geheimdienstreform die Arbeit von Journalist:innen betrifft und was man besser machen könnte.

Einen absoluten Schutz vor Überwachung gibt es nicht

netzpolitik.org: Journalist:innen sind Berufsgeheimnisträger:innen. Was bedeutet das eigentlich?

Maximilian Jung: Das sind Menschen mit bestimmten Berufen: zum Beispiel Rechtsanwält:innen, Geistliche und auch Journalist:innen. Es geht darum, daraus hervorgehende Beziehungen zu schützen. Damit etwa Informationen, die Menschen im vertraulichen Gespräch mit ihrem Anwalt teilen, nicht in Strafverfahren genutzt werden können. Deshalb gibt es für Berufsgeheimnisträger:innen besondere Schutzmechanismen, sowohl in Polizeigesetzen als auch in Gesetzen für Nachrichtendienste.

Dass das bei Journalist:innen und ihren Quellen auch der Fall ist, haben Journalist:innen und Journalismusverbände in Deutschland hart erkämpft.

Leider gibt es aber eine Art Zweiklassengesellschaft und Rechtsanwält:innen und Geistliche erhalten oft ein höheres Schutzniveau. Denn seit einer Entscheidung des Bundesverfassungsgerichts von 2011 gilt, dass ein relativer Schutz ausreicht und im Einzelfall abgewogen werden muss: Ist jetzt der Schutz der Pressefreiheit wichtiger als das Strafverfolgungsinteresse oder das nachrichtendienstliche Interesse einer Behörde?

Natürlich ist Journalist:innen an einem absoluten Schutz vor Überwachungen oder polizeilichen Maßnahmen gelegen. Aber diesen absoluten Schutz gibt es leider nicht.

netzpolitik.org: Wann darf denn nach der aktuellen Rechtslage der BND Journalist:innen überwachen?

Maximilian Jung: Heutzutage kommt das darauf an, wo die Journalist:in sich aufhält. Denn klassischerweise ist der BND für die Auslandsaufklärung zuständig. Es gibt rechtlich einen Unterschied zwischen Journalist:innen im Ausland, die mit Gesprächspartner:innen im Ausland sprechen, und Journalist:innen in Deutschland, die mit Menschen im Ausland sprechen.

Bei Journalist:innen im Inland muss eine konkrete Beteiligung an Straftaten oder an Bestrebungen, die die Bundesrepublik gefährden könnten, belegt sein, bevor sie überwacht werden dürfen.

netzpolitik.org: Das bedeutet also, wenn ich jetzt einen Terroranschlag plane und darüber mit jemandem im Ausland spreche, bin ich nicht mehr geschützt?

Maximilian Jung: Genau, das dürfte der BND überwachen, das hat ja auch nichts mehr mit der journalistischen Tätigkeit zu tun.

netzpolitik.org: Was soll sich nun im geplanten BND-Gesetz ändern?

Maximilian Jung: Die Trennung zwischen Ausland-Ausland-Kommunikation und Ausland-Inland-Kommunikation wird praktisch aufgegeben. Das hat erst mal mit Vorgaben des Bundesverfassungsgerichts zu tun. Dafür wird die G10-Kommission abgeschafft, die für die Kontrolle solcher Ausland-Inland-Kommunikation zuständig ist. Die Kontrolle soll professionalisiert werden und beim Unabhängigen Kontrollrat liegen.

Aber im Gesetzentwurf ist das so gelöst, dass die Eingriffsschwellen konsequent an das frühere Niveau der Ausland-Ausland-Kommunikation angeglichen werden, also nun überall niedriger sein sollen. Der Schutz von Journalist:innen und ihren Quellen wird dadurch systematisch abgebaut.

Wie der BND Journalist:innen erkennt

netzpolitik.org: Was bedeutet das konkret für Journalist:innen in Deutschland?

Maximilian Jung: Bei Journalist:innen, die aus Deutschland mit Gesprächspartner:innen im Ausland kommunizieren, bräuchte es in Zukunft für eine Überwachung keinen konkreten Nachweis mehr, dass man an der Straftat oder ihrer Planung beteiligt ist. Es würde schon reichen, in einen weiten Zusammenhang mit einer erheblichen Bedrohung gebracht zu werden, weil der Nachrichtendienst annimmt, dass man entsprechende Nachrichten oder Informationen übermittelt oder entgegennimmt. Also wenn man mit einer Person Kontakt hat, bei der es um bedrohungsrelevante Informationen geht, die von Interesse für den BND sind.

netzpolitik.org: Wie kann der BND überhaupt erkennen, wer Journalist:in ist? Es gibt ja kein Register über Menschen im Journalismus.

Maximilian Jung: Das ist besonders kurios. Die Gesetzesbegründung verweist auf die Rangliste der Pressefreiheit, die wir bei Reporter ohne Grenzen jedes Jahr erstellen. Laut der Begründung soll der BND in Zukunft in diese Rangliste reinschauen. Und bei Ländern, die wir als „dunkelrot“ einstufen, weil es dort keine Pressefreiheit gibt oder sie stark unter Druck ist, dürfte er dann alle Personen überwachen, die für Staatsmedien arbeiten. Weil er dann annehmen würde, dass das keine Journalist:innen sind, sondern sie als verlängerter Arm diktatorischer Regime dienen.

Darunter fallen ganz unterschiedliche Länder wie China, Russland und auch die Türkei.

Wir lehnen das aus zwei Gründen ab: Die Rangliste der Pressefreiheit ist erstens nicht dazu da, staatliche Überwachungsmaßnahmen zu legitimieren. Sondern sie soll ein Instrument sein, um eben das Fehlen von Pressefreiheit anzuprangern, Missstände aufzudecken und internationalen Druck auszuüben.

Zweitens ist die Rangliste nicht dazu geeignet, einzelne Journalist:innen zu bewerten, sondern sie macht Angaben dazu, wie es um die Pressefreiheit in einem Land strukturell bestellt ist.

netzpolitik.org: Was wäre ein besserer Weg, Journalist:innen zu identifizieren?

Maximilian Jung: Es gibt Standards wie die Journalism Trust Initiative. Dort gibt es einen Katalog, um zu überprüfen, ob Journalist:innen bestimmte ethische Standards und journalistische Praktiken einhalten oder sich etwa an das Zwei-Quellen-Prinzip halten. Das ist wesentlich geeigneter, als eine landesbezogene Rangliste zu nutzen und anzunehmen, dass es in einem Land keine Journalist:innen gibt.

netzpolitik.org: Neben der individuellen Überwachung von Personen und Gruppen betreibt der BND auch die sogenannte strategische Aufklärung. Dabei sucht er zum Beispiel in Kommunikationsströmen nach bestimmten Mustern und Suchbegriffen. Wie soll der BND dabei erkennen, dass er gerade die Kommunikation von Journalist:innen erfasst?

Maximilian Jung: Auch die strategische Aufklärung soll mit dem neuen Gesetz ausgeweitet werden. Im Gesetzentwurf steht: Sobald der BND davon erfährt, dass Kommunikation von Medienschaffenden überwacht und heruntergeladen worden ist, muss das sofort gelöscht werden.

Das heißt, man muss am Ende darauf vertrauen, dass solche Prozesse funktionieren. Aber es wäre deutlich besser, das engmaschig zu kontrollieren.

Kontrolle steht in keinem Verhältnis zu den Befugnissen

netzpolitik.org: Wer sollte eine solche Kontrolle durchführen?

Maximilian Jung: Momentan gibt es unterschiedliche Kontrollinstitutionen, zum Beispiel den Unabhängigen Kontrollrat und die Bundesbeauftragte für Datenschutz- und Informationsfreiheit. Laut dem Entwurf soll deren Aufsicht jetzt beim Unabhängigen Kontrollrat konzentriert werden.

Wir kritisieren sehr stark, dass es dort an einer entsprechenden personellen und finanziellen Ausstattung und technischen Expertise mangelt. Gerade wenn man das dazu ins Verhältnis setzt, wie viele neue Befugnisse und Mittel der BND in Zukunft bekommt. Da stellt sich die Frage: Wer soll das effektiv kontrollieren?

netzpolitik.org: Gibt es Beispiele aus anderen Ländern, wo der Schutz von Berufsgeheimnisträger:innen gut umgesetzt ist?

Maximilian Jung: Ein Kontrollelement könnte eine „Anwältin der Betroffenen“ sein, die es in anderen Ländern wie Großbritannien gibt. Das bedeutet, wenn der BND Journalist:innen individuell überwachen will, müsste er sich das von einer Person absegnen lassen, die die Betroffenenperspektive einnimmt und kennt – beispielsweise weil sie selbst einmal als Journalist:in gearbeitet hat.

netzpolitik.org: Der BND soll künftig auch viele Befugnisse bekommen, um Dinge automatisiert auszuwerten, beispielsweise mit KI-Systemen. Betrifft das auch Journalist:innen?

„Es besteht die Gefahr, dass der Quellenschutz von hinten aufgerollt wird“

Maximilian Jung: Wie so ziemlich alle Sicherheitsbehörden in Deutschland sollen jetzt auch der Verfassungsschutz und der BND Plattformen für die automatisierte Datenanalyse erhalten. In den vergangenen Monaten gab es ja viel Diskussionen über Palantir-Software.

Im Entwurf für die Geheimdienstreform ist alles, was mit KI und automatisierter Auswertung zu tun hat, sehr vage formuliert. Das würde dazu führen, dass es am Ende sehr weitreichende Befugnisse in diesem Bereich gibt, die nur schwer kontrolliert werden können.

Wenn man das konsequent zu Ende denkt, besteht aus unserer Sicht die Gefahr, dass der Quellenschutz von hinten aufgerollt wird. Der BND dürfte zukünftig Person mit Hilfe automatisierter Datenanalyse auswerten, die dazu bislang keinerlei Anlass geboten haben. Und das selbstlernende System könnte daraus automatisch ein Risikoprofil erstellen. Dass die Nachrichtendienste das wollen, ist nachvollziehbar, wenn man beispielsweise an Spionageabwehr denkt.

Aber wenn wir das auf Quellen von Journalist:innen beziehen, dann könnte das bedeuten, dass eine Person schon als Risiko markiert ist, bevor überhaupt eine Information weitergegeben wurde. Wir befürchten, dass Instrumente wie die automatisierte Datenanalyse dazu führen können, dass der Informationsfluss für relevante Informationen schon frühzeitig unterbrochen wird.

netzpolitik.org: Die Geheimdienstreform steht noch am Anfang des gesetzgeberischen Prozesses. Was erhofft ihr euch für das weitere Verfahren?

Maximilian Jung: Wir tauschen uns mit anderen Organisationen aus der digitalen Zivilgesellschaft und auch dem Bundeskanzleramt aus. Wir werden das parlamentarische Verfahren eng begleiten und uns für einen besseren Schutz von Journalist:innen einsetzen.

In der Vergangenheit haben wir auch schon gegen Gesetze geklagt. Auch dass diese Reform notwendig geworden ist, ist die Folge einer erfolgreichen Klage von Reporter ohne Grenzen. Wenn die geplanten Änderungen in der jetzigen Form kommen, dann würden wir uns gut überlegen, ob es nicht wieder eine Klage geben müsste.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

I sat down with Bianca Lewis of OpenSearch at Open Source Summit India, right after the project's second OpenSearch Con in the country. Bianca Lewis is the executive director of the OpenSearch Software Foundation.

OpenSearch started life in 2021 as a fork of Elasticsearch, born out of Elastic's move away from an open source license. Five years on, I wanted to know how much of that origin story still holds, and how the project sees itself now that it's an AI data infrastructure layer with its own roadmap and its own community.

We covered a lot of ground: whether OpenSearch is still tethered to Elasticsearch in any way, why ELK Stack remains the more recognizable brand among young developers, how agentic AI fits into the platform, and an uncomfortable but necessary question about what happens when vendor-backed open source projects go proprietary.

Five years in, is OpenSearch still a fork of Elasticsearch, or has it become a product of its own? Does it still pull in any downstream changes from Elastic?

Bianca: That is a great question, and the answer, very simply, is yes, it's an independent project. It's a completely independent project now that began as a fork, as you correctly said, and in the early days the two were very, very similar. Today the focuses and the strengths have become very different, and today they are completely independent projects. I think the only commonality is that users can still use both platforms for similar kinds of use cases.

Explaining OpenSearch to the average Linux user

OpenSearch is enterprise-focused, but how would you explain it to a home labber or self-hoster who's never heard of it?

Bianca: Well, firstly, of course OpenSearch is an AI infrastructure layer for enterprises, but because it's on an open source platform, free and easy to use and adopt, people making new startups, entrepreneurs, developers, and everyone else find it very easy to get started. Download it, it's free to use, all the features are open and available, and they can join very easily a community of thousands and thousands of people to get up and running.

So it's not just enterprise-focused anymore, it's for anyone and everyone. Whoever's requirements fit it, OpenSearch is for them. I don't think it was ever built to just be for the enterprise. The startups of today are the enterprises of tomorrow.

"The startups of today are the enterprises of tomorrow."

The ELK Stack brand problem

ELK Stack is still the more recognizable brand in observability and search. How does OpenSearch compete with that brand recognition among young developers?

Bianca: There is no doubt that Elastic, Elasticsearch, and Logstash and Kibana, which make up ELK, have been around a long time, and that's obviously where the fork came from originally. I hope that after five years of OpenSearch developing as an independent and powerful project — 1.7 billion downloads later, 400 individual companies contributing, more than 3,000 contributors, and 15,000 OpenSearch stack users — the differentiation in young developers' minds is becoming clearer just from the sheer weight of numbers.

I think there are two distinguishing factors. The first is philosophy — how developers want to build their technology stacks conceptually and into the future. Elastic, who owns ELK, even though the license is now back to open source after they closed it, is still owned by Elastic and is open core. That means if a young developer wants to build on Elasticsearch and use the ELK stack, they can use the core version for free, but for any more advanced features or support they're going to have to pay and be tied into Elastic. Developers who want to build on a platform that's fully open, where you get the whole thing for free and can choose whether you want support or hosting when you're ready, have that choice with OpenSearch. It's a different philosophy.

The second layer is that the two platforms have grown along different technological paths. Every platform in this space will say "we're a millisecond faster at this," or "we support this use case better," and that's all true — no platform can honestly say it's the best at everything. But OpenSearch is really good at a lot of different use cases that unify the data layer, and because it's the only alternative that isn't just open core, it's making young developers distinguish OpenSearch, hopefully much faster than ELK or any other platform.

Observability, complexity, and cost

Observability stacks are getting heavier, more expensive, and more complicated. What is OpenSearch doing about ease of setup and cost?

Bianca: Those are two very valid questions, so let me answer them one by one.

On complexity: the advantage of proprietary vendors has always been that on day one it's easy — you buy it, it's off the shelf, it works, and you get support. With an open platform, you build it on day one, and you get the benefit on day two, three, and four because it's customized to your needs and you're not dependent on a vendor. But getting started on day one is a very valid point. Because of that, we've recently launched something called Launchpad, which lets you eailylaunch an observability stack, a search application, or any other OpenSearch application, because OpenSearch isn't just observability, there's also search, AI applications, and security monitoring. All this takes a few minutes, and we encourage developers to ask the community if they get lost, even though the documentation is all there. I believe the ease of setting up OpenSearch has been addressed incredibly well and quickly.

On cost, it's a more complicated question. I can tell you OpenSearch is free, but in real life nothing is ever truly free because you still have to run it on infrastructure and manage it.

What OpenSearch does do is make everything cost-effective. Take observability: in the old days, we had to have it because if something in our infrastructure broke, we had to solve it — we couldn't afford downtime — but nobody wanted to pay for it because it was seen as a cost center.

Today the whole language has changed, because OpenSearch gives you a unified view of the context of your data, which is much more cost-effective than doing log analytics, traces, and metrics separately with tools like Grafana and Prometheus, where everyone looked at the data differently and root-cause analysis took five weeks to put the pieces together.

Today it's all in a single pipeline into OpenSearch — you see it all together, through different lenses in the same view, and you can automate resolutions. You can use models and AI to interrogate that data, automate resolutions, and use your observability stack for more than troubleshooting — for company-wide SLOs, understanding acceptable error rates, and understanding cost.

We're in the token economy now, so we can add cost information into traces and logs and understand accurately how much each service is really costing us. Observability isn't just "pay for troubleshooting" anymore — it's become easier to use and a driver of business imperatives.

AI-agent readiness

How AI-agent-ready is OpenSearch, for someone building a project that leans heavily on agentic AI?

Bianca: In the 3.5 release — we've just released 3.7, so we're two minor versions past that — agentic AI became generally available in OpenSearch, and since then it's become a central theme of how people run their search and observability stacks. I think we're ahead of almost any other platform in the world on fully integrated agentic AI.

As you spin up AI agents, OpenSearch is model-agnostic, so you can use any AI model you want. If it's for a search use case, you can monitor those AI agents with the same platform — monitor the trace of the agent, see which services it's calling, what the costs are, and make sure it's doing the right thing. At scale, when you're running 100,000 queries a minute, we can almost let AI monitor AI for security, safety, and compliance.

AI brings scale and the ability to do things quickly. We don't have to work sequentially anymore. But data without context is just data, it's noise. You need a platform that can recall it and spin up AI agents, you need the data underneath it, and you need the agents to talk to each other to perform tasks but without context, all of that is garbage at scale. OpenSearch has built in some features to address this: short-term agentic memory, so an agent remembers the context of what it was asked over the last week or two, and in 3.7, long-term agentic memory as well, which gives us the context we need to take accurate actions on the data. It's already generally available.

AI data layer vs. traditional search

Is OpenSearch now an AI data layer sitting on top of a traditional search stack, or have the two fully merged?

Bianca: I think ultimately OpenSearch will be looked at in a couple of layers. OpenSearch is the application level, and the application level sits on top of an infrastructure that supports the architecture of the application.

What OpenSearch gives you is that it doesn't tie you into any one vendor's choices. You can have that AI infrastructure layer but choose your own infrastructure. You can self-host, or go to one of the hosted services, like our OpenSearch service on NetApp, Oracle, and AWS and choose whatever fits your model. In terms of features and how things run with agentic AI, we don't really say this works better or worse than that. We say everything works and works really well, and with OpenSearch you retain control over how you want to build it, without being tied into any one approach.

On business-source licensing and the Linux Foundation model

This is a bit of an uncomfortable question, more about the Linux Foundation model in general than OpenSearch specifically. MariaDB, Redis, and Elasticsearch all moved from open source to business-source or server-side licenses at some point, largely to protect their business from hyperscalers who weren't contributing enough but were taking their enterprise customers. Then the Linux Foundation and companies like Amazon fork the original project, as happened with Terraform and OpenTofu, and grow it as the "true" open source version while the original gets left behind. Is there an injustice in that, toward the original projects?

Bianca: I think it's a really great question. I don't ever judge a vendor for deciding to close-source or open-source a project. But without intruding into the particulars of how Elastic or AWS felt at the time, which I can't speak to, I can share a personal viewpoint.

If a vendor is the owner of an open source project, to me that open-core label is simply a go-to-market strategy to get users in and then sell services, support, and enterprise capability. It's not what we'd call vendor-neutral. Building a wide community on a vendor-owned open source project is always tricky, and that's why Mongo, Elastic, Redis, and a few others reached a point where the situation became a threat — the go-to-market had been really successful, they'd built a community, but the biggest customers weren't converting.

I find it interesting that Elastic changed back to an open source license after closing it — because they were losing the community, but they'd closed it because they were losing enterprise customers. They were fine with small players using the free product but wanted the big-money customers. The challenge is that often you want your cake and to eat it too. Once you build your brand on community involvement and then tell the community you're closing it, even if you reopen it later, a lot of the community will just say "thanks, but no thanks."

That's the beauty of the Linux Foundation model. It's a nonprofit that nobody owns, and profit isn't the motive. Yes, there will be cases where hyperscalers fork a project. I think it's important to understand that once they fork it and give it to a nonprofit like the Linux Foundation, they give up ownership. They don't own OpenSearch anymore. They could fork it again and keep something in-house, anyone can always do that, but OpenSearch itself can never be closed now, because the Linux Foundation owns it.

OpenSearch itself can never be closed now, because the people that own it is the Linux Foundation.

It also helps to look at where each company actually makes its money. Take Elastic. They make money selling Elasticsearch licenses, whether self-hosted or on the cloud, so it makes sense for them to gate advanced features behind a license, because they have to survive as a business and answer to shareholders.

Hyperscalers like AWS, Microsoft, Google, IBM, and Oracle make their money from selling compute and infrastructure, not directly from the application. Carrying the burden of growing and innovating an application takes away from their core focus of selling infrastructure, so it makes business sense for them to let the community develop the application while they focus on providing a great service to run it, and put their money where they actually make money.

That's the subtle reason hyperscalers are so eager to support Linux Foundation projects. It lets them focus on where they make money, and it guarantees these projects stay open, available, and well-maintained rather than becoming orphaned.

Ultimately it takes time for a project's original founder to say "now we can let the community manage it." What that actually means is that over the years, instead of maintaining the application with a full-time in-house engineering team, the founder becomes one of the companies contributing to a shared engineering effort. You get all the benefit, but the innovation and cost become shared, and the community retains the choices, which is always good for business.

Certifications

Does OpenSearch have plans for a certification track, like Kubernetes has with the CKA?

Bianca: Yes, we've actually recently announced that. The way we're doing it is quite unique and exciting for the open source world. We've already released the first form of learning content, and in a couple of months we're going to release an OpenSearch competency course that carries a badge of competency you can put on LinkedIn.

On top of that, we're going to do the OpenSearch competency certification proper, and based on that certification, we're doing accreditations for different vendors and companies. The follow-up to that is specialist certifications. Since OpenSearch is used across quite a few use cases, we'll have competencies in observability, search, AI applications, and security monitoring. And to renew your certification, instead of retaking the same test every couple of years, as long as you're advancing to more advanced certifications you keep your original qualifications. We want people to grow and advance within OpenSearch.

The biggest misconception about OpenSearch

What's the one thing that most people get wrong about OpenSearch?

Bianca: There are so many things people get wrong about OpenSearch, but I think the biggest one is not recognizing that, as an AI data infrastructure layer, OpenSearch is the only cloud-native, AI-native platform in the world that's truly open source and vendor-neutral. I don't know if people really understand that.

OpenSearch is the only cloud-native, AI-native platform in the world that's truly open source and vendor-neutral.

Maybe if it were named something like "OpenSearch AI" or "OpenAI Search," it would be more recognizable.

Bianca: Yeah because people often equate it to "how does it compare to Elasticsearch?" But conceptually, you can't really compare the two. They'll say "it's like the AWS service," but that's just a vendor who's a member and provides a service on top of it. The platform runs completely independently, within a community that's truly open source. It's not just an AWS project anymore; it's a truly independent, community-owned observability stack.

---

OpenSearch's 3.7 release, with long-term agentic memory, is already out, and the project's competency certification track is expected to roll out over the coming months. You can find the project's documentation, downloads, and community channels at opensearch.org.

A few weeks back, I invited Brian from the iodé, a de-googled Android project, to have a quick discussion on the project, its achievements and the futuree challenges. I was meant to be in video/audio format but part of discussion suffered from poor audio quality and hence I switch it to nour usual text format.

I hope you enjoy this conversation.

It's FOSS: iodé sits at an interesting crossroads of privacy and sustainability. For those who haven't come across the project before, what is it and what is it trying to accomplish?

Brian: iodé is a project that is interested in making sure that there's a privacy-based Android distribution that is also very easy to use. Very easy for normal users to feel they can use it conveniently.

We also feature a tool which is a tracker blocker, so both your apps and your browser when you're browsing the internet have a sort of firewall that allows you to know exactly which connections your device is making, which connections the apps are making, the browser is making when you're visiting websites, and it prevents ads and trackers from following you around the internet.

That's the main goal and while it's not a Linux device in the classic sense of a Linux mobile device, it's an Android device, it gives you all the usability of an Android device.

It's FOSS: App compatibility is usually the first thing that worries someone considering a de-Googled phone, especially banking apps and anything they'd normally get from the Play Store. Since iodé doesn't ship with Google Play, how do you handle that?

Brian: We have two app stores. We have F-Droid, which is a free software app store that comes by default. And we also have Aurora Store, which is basically a front end for the Google Play Store.

So you can install any app that's on Google Play without Google knowing which apps you're installing it doesn't track you the same way Google Play does, but still gives you all the usability of Google Play.

And the difference is you can also spoof different devices. So if something is not available for your device, you don't have to go to some random APK store and risk downloading something that maybe is a dangerous file. You can just simply change the device settings and spoof another device and download that.

So it gives you all the usability of Google Play, maybe even more so. And like all of our pre-installed apps, you can uninstall any of them and install another app store if you want. You can even install the official Google Play if you want.

It's FOSS: If a non-technical person, someone who just wants their phone to work, switched to iodé tomorrow, what would their day-to-day experience actually look like?

Brian: There may be issues with some banking apps because Google has this integrity API, it's more about monopoly than it is about security.

So there are a few issues users may find with some apps not playing well with Play Integrity API. What we have is called MicroG. It's a Google Play Services emulator, and that usually works for almost any app. All the common apps that you would expect,Instagram, TikTok, all these things, they still work on iodé as you would expect.

So for the average user, unless you have problems with a banking app, and that's not that common, most banking apps continue to work. The only occasional thing I've seen is some apps that are from OEMs, like Samsung Watches, may not work. But in general, most users won't notice a big difference moving over from Android.

The difference you will notice is you don't get a lot of notifications and advertisements and just junk you get in a standard Android distribution, there's an incredible amount of bloatware and ads, especially if you're on something like Xiaomi or OPPO.

It's FOSS: Sustainability is something that sets iodé apart from a lot of other privacy-focused Android projects. You offer refurbished devices alongside new ones. Can you walk us through your thinking on that?

Brian: We're very interested in sustainability and so we encourage people to use refurbished devices when possible. Even some of the Fairphones we offer are refurbished. When you're using a very minimalistic image like iodé, it doesn't have a lot of the bloat and unnecessary software, things that you can't uninstall on a regular stock Android device, which is just running in the background and using up your CPU and using up your RAM.

The system itself is much bigger on stock because of Google Play Services and any other add-ons that OPPO or Xiaomi or any other manufacturer puts in. Because iodé is more minimal, it can run on older hardware, on hardware with lower specifications. So that's why we encourage people to use refurbished devices.

But people are asking, saying, "hey, we want new devices as well." So we have begun to add more new devices to our shop. Initially, we only wanted to work with Shift and Fairphone because they're sort of ethical manufacturers. They look at the entire supply chain, the conflict minerals that are involved in building the phones, and make sure that workers get paid well and that the materials are fairly sourced, and try to make a more sustainable model. Because obviously the best device you can always use is a device that's already been built, in terms of sustainability and ecology. So this is why we focused on refurbished.

It's FOSS: The privacy Android space isn't exactly crowded, but there are notable players like /e/OS, LineageOS, GrapheneOS. Do you see them as part of the same broader community, or more as competitors?

Brian: Honestly, I think anything that's good for any of these projects is going to help the other projects. Of all the Android hardware that's out there, there are very few devices to choose from, probably less than 1% of all Android devices can be de-Googled. There was more interest in custom ROMs back in the day when Android wasn't as useful and when people wanted to customize it. With Play Integrity and the Google Play APIs coming out that made it more difficult to use banking apps and things like that, there was a loss of interest. And also people began to see it as a security problem with unlocked bootloaders.

Now, we try to respect the locked bootloader, which makes us different from other projects like Lineage. Whenever we can relock the bootloader, we do. We have relocked bootloaders on four or five manufacturers. The rest of the manufacturers simply don't allow it. We're trying to work with these other operating systems. We have an agreement through the unified attestation to try to come up with an alternative to Google Play Integrity.

I think there's a big market for these devices. A lot of people just don't know that they can get a device that isn't spying on them, that isn't constantly sending data back to Google or to Apple. And just the fact that these devices exist and work out of the box, many people don't even know or realize this, or they think that it's going to be a huge amount of work to install it. That's why we have a shop, that's why we sell our devices. And if we can help these other projects, I think that's great.

I'd like to see more collaboration, and it would be really good if these groups didn't see each other as competitors. I think the same thing is true of Linux distributions. It would be very absurd for Fedora to be attacking SUSE Linux or Linux Mint. People often distro-hop, and I think the same will be true of privacy-based Android distributions.

It's FOSS: GrapheneOS has at times been quite critical of other projects in this space, including iodé, particularly on security grounds. How do you view that?

Brian: Graphene has been very vocal about saying that we've been attacking them. Actually, I don't think we have. This is probably the first time we'll ever say anything about Graphene. And I think the only thing I will say is that they have a great project, and that it's only available on Pixels. There are some people who want other devices. It is important to have a locked bootloader, but not all hardware manufacturers permit it. While we do lock bootloaders when possible on every system that allows bootloader re-locking, we also want to offer other hardware. And that can lead to security issues on those people's devices.

As for whether we also support end-of-life devices — we do. There's a billion people in the world who are running end-of-life devices, and those devices are vulnerable to attacks that have been found in the code base and aren't getting fixed by manufacturers. We continue to support those devices. I think people should know that if they are worried about security, they shouldn't be running end-of-life devices. But we also don't want people to throw them in the bin. They may have other uses for the device and they may not want that device to be constantly sending data back to Google. So there's a balance here.

There's also the question of the firmware. The firmware is updated by the manufacturer and a lot of those device drivers are actually closed source. We don't have access to be able to change it even if we wanted to. This is kind of one of the problems with the Android ecosystem. It's the same problem that the Linux mobile space is also facing.

We do want to support 60 devices; we don't just want to support Google Pixels. All power to them. I hope that Graphene can also make an agreement with Motorola to allow re-locking bootloaders on their devices. We've already begun to support Motorola devices. We do provide monthly security updates, and we're much more up to date than some of the other custom Android distributions out there. All of these projects are working with very limited resources, and it would be wise if we didn't do any sort of infighting. There's no custom ROM developer that has 30 developers. We're all working with very limited resources.

It's FOSS: Without tracking your users, getting a real picture of adoption must be tricky. What do you actually know about how many people are running iodé?

Brian: We do not really get any information on our user base. We don't keep any information. We just know what happens on the forum. We do know that in the last two years there's been a quarter of a million downloads. There's probably well over 10,000 people running iodé as a daily driver. It's almost doubled in the last year, we think, because there's been a great increase of users, including in the United States. We don't actually sell our devices in the US, so this is a bit of a surprise.

Basically the only thing we can see is the IP of the person downloading the file, and we log this in the sense that we just keep some statistics on which countries are downloading. We have people in the United States, in Germany, and France. And we wipe out these IPs. We just know which country it's coming from.

It's FOSS: To close, if someone is weighing iodé against other privacy-focused Android options, what's your pitch? What makes it worth choosing?

Brian: Aside from monthly security updates and the fact that you can install it on many different devices, we have over 60 devices supported now. I think one of the big things that's really going to interest people, like why to choose iodé over something like Lineage, is that you get an iodé blocker. So you get an integrated tracker blocker, and it's also not going to fill up your VPN slot. On most operating systems, if you install a DNS blocker or an ad blocker, those will usually take up your VPN slot and the VPN slot is also useful for your privacy. So you get kind of the best of both worlds.

One of the things we also focus on is we want there to be a complete suite of apps that's pre-installed, and we want all of those apps to be uninstallable. If you don't like our music player, you just uninstall it. If you don't like the default map app, we use Comaps as a default map app, you can install Google Maps if you want, you can have them both. And you still get all of the privacy advantages of Lineage, because our base is Lineage, with some more improvements. The standard Firefox browser doesn't have any connections back to Google, for instance. But if you wanted to use a different web view, you can also do that.

So you have a lot of choice. But for the average user who doesn't know anything about configuring a device besides "I want to install these four apps," it will still give you much better privacy than a standard stock Android, privacy by default, and the choice to do whatever you want to do with the phone.

---

I would like to thank Brian for sharing interesting insights about the iodé project. I strongly recommending checking it out, who knows perhaps your next smartphone is powered by iodé.

And if it interests you, you may checkout:

• List of Linux-based smartphons
• Other de-googled Android distros
• and choice of open source smartphone OS

Digitale Zahlungen sind auch eine soziale Frage. Die Soziologin Barbara Brandl hat untersucht, wie digitale Zahlungen Ungleichheit verstärken. Im Interview erklärt sie, wie dabei von unten nach oben umverteilt wird und was uns Beispiele aus anderen Ländern für den Digitalen Euro lehren.

Ob an der Eisdiele oder an der Kinokasse – immer weniger Menschen zahlen mit Bargeld. Viele zücken eine Plastikkarte oder gleich ihr Smartphone. Den Kostenanteil für den gemeinsamen Ausflug PayPal-en einem die Freund:innen sowieso lieber direkt auf der Rückfahrt.

Digitale Bezahlsysteme sind nicht nur längst Teil unseres Alltags, sondern auch Gegenstand politischer Debatten. Diese drehen sich – sofern sie den Dunstkreis technokratischer Diskurse verlassen – meist um Datenschutz oder Digitale Souveränität. Doch hinter den Apps und Karten versteckt sich auch eine soziale Frage.

Barbara Brandl ist Professorin für Soziologie an der Goethe-Universität in Frankfurt am Main, mit Schwerpunkt auf Wirtschafts- und Organisationssoziologie. Zudem ist sie Sprecherin des Forschungsprojektes „Die normativen Dimensionen des Digitalen Euro“. Wir haben mit ihr über soziale Ungleichheit, digitalisierte Zahlungen und Lektionen für den Digitalen Euro gesprochen.

netzpolitik.org: Frau Brandl, Sie sind Soziologin. Warum beschäftigen Sie sich mit PayPal und Kreditkarten?

Barbara Brandl: Ich beschäftige mich immer mit dem Zwischenfeld von Technologieentwicklung und Gesellschaft und bin eigentlich über das Thema Blockchain zum Thema Zahlungen gekommen. Ich habe aber festgestellt, dass Blockchain für den Alltag der meisten Menschen keine allzu große Bedeutung hat. Was hingegen eine große Bedeutung hat, sind alle Systeme, über die wir digital bezahlen.

Wir alle müssen zahlen: Um zu überleben, weil wir eben nicht alles selber herstellen und mit Nachbarn tauschen, sondern weil der absolut größte Teil über formale Märkte funktioniert. In meiner For­schung habe ich dann festgestellt, dass digitale Zahlungen und soziale Ungleichheit sehr stark mit­einander zusammenhängen. Und das ist natürlich das Kernthema der Soziologie.

Die drei Wellen der Zahlungsdigitalisierung

netzpolitik.org: Was sind überhaupt digitale Bezahlsysteme? Nur PayPal und GooglePay?

Barbara Brandl: „Digitale Bezahlsysteme“ umfasst erst einmal alles, was nicht Bargeld ist. Insgesamt gab es drei Wellen der Digitalisierung von Zahlungen im Globalen Norden. Die erste Welle der digitalen Zahlungen begann etwa 1950 mit den Kreditkarten in den USA. Das war lange auch das einzige vorhandene System. Die zweite Welle digitaler Zahlungen begann in den 1990er-Jahren umfasst alles, was Internet-basiert ist, auch PayPal war da ganz wichtig. Die dritte Welle sind für mich App-basierte-Lösungen, die sich mit der Nutzung von Smartphones in den 2010er-Jahren ausbreiteten. Beispiele dafür sind etwa Apple oder GooglePay aber auch „Buy Now, Pay Later“-Angebote wie Klarna.

netzpolitik.org: Das gilt aber nur für den Globalen Norden, wie ist das im Globalen Süden?

Barbara Brandl: Dort haben sich eigene Systeme digitaler Zahlungen herausgebildet, deren Entwicklungen sich mit denen im Globalen Norden überschneiden. Das erste und vielleicht spannendste ist das sogenannte „Mobile Money“. Der Hintergrund war, dass in Subsahara-Afrika der Großteil der Menschen überhaupt keinen Zugang zu Bankkonten hatte. Und auch Bankfilialen waren in den Flächen quasi nicht vorhan­den. Das war sehr ungünstig, denn viele Menschen waren darauf angewiesen, regelmäßig Geld zu versenden, zum Bei­spiel, weil jemand in der Stadt gearbeitet hat, aber die eigene Familie auf dem Land versorgen wollte. Oder weil die eigenen Kinder im Internat waren und Bücher brauchten.

In den 90er Jahren kam dann der Mobilfunk auf und das ist die Revolution. In ihrer Verzweif­lung erfanden die Menschen Geld neu und verschicken über SMS die Codes, die auf den PrePaid-Karten aufgedruckt waren. Die haben das also nicht mehr nur als Mobilfunkguthaben benutzt, sondern als Geld. Und dann gab es relativ schnell Leute, die das informell gewechselt haben, Mobilfunkguthaben in Bargeld und umgekehrt. Diese Dienste wurden dann rasch kommerzialisiert von den Mobilfunkanbietern und das war die erste Form einer digitalen Währung.

netzpolitik.org: Was sind die anderen Systeme digitaler Zahlungen im Globalen Süden?

Barbara Brandl: Einerseits Super-Apps wie Alipay oder Tencent, die in China entstehen und sich dann in Ostasien sowie teilwiese auch in Lateinamerika ausbreiten. Und anderseits Echtzeitzahlungssysteme wie das brasilianische PIX, die von Zentralbanken bereitgestellt werden und insbesondere in Lateinamerika populär sind, aber jüngst auch in Ländern wie Indien oder Israel eingerichtet wurden.

„Technologie ist nicht neutral“

netzpolitik.org: Sie forschen dazu, inwiefern digitale Bezahlmöglichkeiten soziale Ungleichheit verändern – was haben Sie herausgefunden?

Barbara Brandl: Technologie ist nicht neutral, auch nicht die Systeme digitaler Zahlung. Sie wurden von be­stimmten Schichten mit bestimmen Ideen eingerichtet. Am krassesten sieht man das bei den Kredit­karten in den Vereinigten Staaten. Die wurden eingerichtet, damit die Mittelschichten schnellen Zu­gang zu Krediten bekommen und einfach bezahlen können. Das waren vor allem die weißen Mittelschichten und die profitieren bis heute am stärksten von den Kreditkarten.

Es gibt verschiedene Dimensionen sozialer Ungleichheit. Eine davon ist Zugang. Weiße haben sehr viel häufiger Kredit­karten als Schwarze oder Hispanics. Die Mittelschicht hat viel häufiger Kreditkarten als die Unter­schicht. Man kann hier schon von Ausschluss sprechen. Das war bis in die 1990er-Jahre noch bruta­ler, dort haben Menschen gar keine Kreditkarte bekommen, wenn sie in bestimmten Vierteln ge­wohnt haben. Seither wurde der Zugang extrem ausgeweitet, man spricht auch von einer Demokratisierung der Kreditvergabe. Trotz allem haben Hispanics und Schwarze bis heute bei gleichen Einkommensverhältnissen seltener Kreditkarten als weiße US-Bürger.

Hinzu kommt die zweite Dimension: die systematische Benachteiligung in der Nutzung. Das funktioniert zum Beispiel durch massive Kreditkartenzinsen auf „Bad Credit“, also wenn sie mit ei­ner schlechten Bonität einen Kredit aufnehmen. Der Zins kann schon mal 30 Prozent betragen. Alle Schichten haben Kreditkartenschulden. Aber Menschen aus mittleren und oberen Schichten können diese Schulden mit einem guten Gehalt relativ schnell zurückzahlen. Aber die einkommensärmsten zehn Prozent der Bevölkerung müssen, sofern sie Kreditkartenschulden haben, durchschnittlich 80 Prozent ihres Einkommens für die Tilgung dieser Schulden aufwenden.

netzpolitik.org: Wie werden ärmere Menschen noch systematisch benachteiligt?

Barbara Brandl: Ein weiterer Faktor bei der Umverteilung von arm zu reich sind sogenannte „Loyality“- beziehungsweise Cashback-Programme. Das funktioniert so: Immer wenn sie mit ihrer Kreditkarte im Supermarkt zahlen, kriegen sie Punkte. Die reichen sie am Ende des Jahres ein und kriegen Geld zurück. Allerdings ist die Kre­ditkarte das teuerste Zahlungsmittel für die Händler:innen. Die schlagen das wiederum bei den Preisen drauf. In der untersten Schicht – in den USA – haben nur 30 Prozent der Menschen eine Kreditkarte. Die zahlen aber trotzdem natürlich alle die höheren Preise und subventionieren damit die höheren Preise für Güter sowie die Prämien quer, die den höheren Schichten ausgezahlt werden.

Ökonomen der US-amerikanischen Zentralbank haben ausgerechnet, dass alleine dieser Mechanismus über zwölf Milliarden Euro im Jahr umverteilt, von schlechter Bonität zu guter Bonität, also in der Regel von Menschen mit geringer Bildung zu Menschen mit höherer Bildung. Höhere Schichten profitieren von Kreditkarten und niedrigere Schichten tragen die Kosten.

„Der größte Teil der Gewinne kommt von Überziehungszinsen“

netzpolitik.org: Wie meinen Sie das?

Barbara Brandl: Der größte Teil der Gewinne von Kreditkartenfirmen – und generell innerhalb dieses Sektors – kommt durch Überziehungszinsen. Transaktionsgebühren, die bei jeder Zahlung anfallen, sind zwar die älteste Einnahmequelle, bringen aber nicht so viel Gewinn ein. Die modernste Einnahmequelle ist der Ver­kauf von Daten. Das machen etwa die Super-Apps in Asien. Aber auch Buy-Now-Pay-Later-Anbieter im Globalen Norden, wie PayPal, Klarna und AfterPay, verkaufen Daten für Werbezwecke. Dennoch sind die Zinsen auf Konsumkreditschulden immer noch die finanzstärkste Ein­nahmequelle.

netzpolitik.org: Am Ende nehmen die Menschen einen Kredit ja freiwillig auf. Sind sie dann nicht auch ein Stück weit selbst verantwortlich, wenn sie sich überschulden?

Barbara Brandl: Das ist genau der Punkt, wie das in unserer Gesellschaft moralisch funktioniert und warum hier nicht mehr reguliert wird. Eine sehr bekannte Kollegin von mir, Greta Krippner, argumentiert dazu wie folgt: Wir haben in der Gesellschaft immer asymmetrische Beziehungen. Eine ganz klassische asymmetrische Beziehung ist die zwischen Arbeitgeber und Arbeitnehmer und die regu­lieren wir sehr stark und es gibt starke Schutzmechanismen für Arbeitnehmer, wie etwa Kündi­gungsschutz für Schwangere.

Diese Schutzmechanismen fehlen in der Beziehung Kreditnehmer versus Kreditgeber, obwohl diese Beziehung ebenfalls hoch-asymmetrisch ist. Und diese Schutzlosigkeit ist bei Konsumkrediten am stärksten.

Aber es gibt noch eine weitere Ebene und da sehe ich eine Parallele zur Debatte um die Regulierung von Social-Media-Plattformen.

Geschäftspraktiken, die menschliche Schwächen ausnutzen

netzpolitik.org: Worin besteht diese Parallele?

Barbara Brandl: Es geht um Geschäftspraktiken, die systematisch menschliche Schwächen ausnutzen. Dazu gibt es ein ganzes Forschungsfeld, die sogenannten Behavioral Economics. Daraus wissen wir: Unser Ge­hirn funktioniert auf eine bestimmte Art und Weise und bestimmte Dinge können wir nicht gut ver­arbeiten, zum Beispiel Kosten und Nutzen von Kreditkarten.

Es gibt eine ganze Reihe von Studien, die sagen: Wir unterschätzen systematisch, wie viel uns Kreditkarten kos­ten und überschätzen den Nutzen. Wir kommen darauf, wenn wir länger nachdenken, aber so auf die Schnelle passieren syste­matische Fehleinschätzungen. Und diese systematischen Verzerrungen werden eben ausgenutzt. Dann ist es nun mal zynisch, immer zu schreien, dass wir mehr Finanzbildung und den mündigen Konsumenten bräuchten. Ebenso wie in der Plattform-Debatte derzeit oft nach Medienbildung gerufen und gefordert wird, die Eltern sollten sich jetzt mal bitte besser um ihre Kinder kümmern.

netzpolitik.org: Wir haben bisher viel über Kredite gesprochen, aber haben das Interview eigentlich bei digitalen Zahlungen angefangen. Das sind ja erst mal zwei verschiedene Dinge. Für Sie gehört aber beides zusammen, korrekt?

Barbara Brandl: Richtig, das ist ein zentraler Befund meiner Forschung. Ich habe mir fünf Systeme ange­schaut, wie digitale Zahlungen abgewickelt werden. Was mich erschreckt hat: Je mehr digitale Zah­lungen getätigt werden, desto stärker spielen Konsumkredite eine Rolle.

Das krasseste Beispiel ist vielleicht das Zahlungssystem PIX in Brasilien. PIX wird von der brasilianischen Zentralbank zur Ver­fügung gestellt und man sieht, für ein Prozent mehr PIX-Nutzer:innen erhöht sich die Menge der Kon­sumkredite um 0,8 Prozent. Das war das Ergebnis einer multivariaten Analyse. Das heißt, je mehr Leute, und das wissen wir auch aus anderen Studien, digital bezahlen, desto mehr geben sie aus und deswegen verschulden sie sich auch schneller.

Die Mechanismen dahinter sind ausführlich von den Verhaltensökonom:innen beschrieben worden. Ein Beispiel für diese Mechanismen ist: Sie gehen beispielsweise in die Stadt und wol­len sich einen Mantel kaufen. Dann nehmen Sie, je nachdem wie Ihr Budget ist, 100 oder 200 Euro mit und vielleicht noch 20 Euro extra. Wenn das ausgegeben ist, können Sie nicht mehr kau­fen. Wenn Sie aber digital bezahlen, haben Sie ihr ganzes Geld ja immer dabei. Dann können Sie sich auch einen Mantel kaufen, der doppelt so teuer ist wie ihr Budget – oder noch einen Gürtel ex­tra.

„Gut für die Finanzindustrie, aber nicht für uns“

netzpolitik.org: Wo sind da die Parallelen zum digitalen Euro?

Barbara Brandl: Die brasilianischen Banken setzen auf die PIX-Bezahlfunktion ihre eigenen Kreditprodukte drauf und nennen es dann PIX Parcellado, also Ratenzahlung. Das heißt, sie bezahlen es mit PIX und PIX wird immer über die App der Bank benutzt und dann bietet Ihnen die Bank in der App so­fort einen Kredit an, sofort eine Ratenzahlung an. Und da liegt die Parallele zum digitalen Euro.

Weil der viel Gegenwind aus der Finanzlobby bekommt, wirbt nun die Europäische Zentralbank mit dem Argument, dass die Banken ihre eigenen Finanzdienstleistungen auf den digitalen Euro draufbauen können. Und aus der brasilianischen Erfahrung würde ich sagen, das können wir eigentlich gar nicht wollen. Die EZB versucht, die Finanzindustrie mit dem Argument „Das ist doch gut für euch“ zu überzeugen. Ich würde sagen, das stimmt: Es ist auch für die Fi­nanzindustrie gut, aber nicht für uns.

netzpolitik.org: Wie muss ein digitaler Euro aus Ihrer Sicht ausgestaltet sein, dass er mög­lichst sozial gerecht wird?

Barbara Brandl: Die Verknüpfung zu anderen Dienstleistungen, insbesondere der Aufnahme von Konsum­krediten, muss maximal weit weg davon sein. Das hat in Kenia nicht gut geklappt, aber in anderen Mo­bile-Money-Systemen in Subsahara-Afrika hat es besser funktioniert, dass man damit nur bezahlen kann.

Natürlich ist auch der Zugang ein Thema. In der Europäischen Union haben 96 Prozent der Menschen ein Konto. Und neben dem Basiskonto gibt es auch im Entwurf der Kommission zum Digitalen Euro schon Vorschläge, um Menschen ohne Konto zu integrieren. Das viel größere Problem ist hier ein anderes, nämlich dass ein Sechstel der Menschen zwar Konten hat, aber nicht in der Lage ist, Online-Banking zu nutzen. Leider wird das in der Diskussion oft so dargestellt, als seien die einfach ein bisschen altmodisch.

Ich würde mittlerweile aber sagen: Die nutzen zurecht Bar­geld. Erstens behandeln die Banken Menschen aus einkommensschwächeren Schichten systema­tisch schlechter, das sehen wir überall auf der Welt. Deswegen ist das Misstrauen gegenüber Banken durchaus gerechtfertigt. Zweitens hat das natürlich auch was mit den Lebensumständen zu tun. Sie und ich sitzen den ganzen Tag am PC, da können wir das Online-Banking auch noch ne­benbei machen. Wer auf dem Bau arbeitet, für den ist das ein sehr viel größerer Aufwand, sich da am Feierabend für das Online-Banking noch einmal hinzusetzen. Und dann ist es für Menschen mit geringem Einkommen viel einfacher, die eigenen Ausgaben mit Bargeld zu kalkulieren.

Ich würde trotzdem sagen, es gibt letztlich wahrscheinlich keine Alternative zum Digitalen Euro. Das ist immer noch die beste Lö­sung, die es gibt, wenn wir weiterhin digital bezahlen wollen und dabei nicht auf ein US-amerikanisches Oligopol von Kreditkartenfirmen angewiesen sein wollen, das den Großteil seiner Gewinne mit Überziehungszinsen und dem Verkauf von Daten macht.

netzpolitik.org: Also Ja zum Digitalen Euro, aber Bargeld auf jeden Fall erhalten?

Barbara Brandl: Das Bargeld erhalten will ja auch die EZB, nach eigener Aussage. Mein Appell ist sehr viel stärker, den Hang zum Bargeld nicht abzutun als irgendeine Schrulligkeit oder eine Verschrobenheit: Die Leute haben wirklich sehr gute Gründe, Bargeld zu nutzen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Gerade gibt es bundesweit Bestrebungen, Überwachungskameras mit Systemen zu koppeln, die vollautomatisiert erkennen, was die abgebildeten Menschen gerade tun. Davy Wang von der Gesellschaft für Freiheitsrechte erklärt, warum das eine schlechte Idee ist.

Verhaltensanalyse-Software legt eine Art Strichmännchen über die Gliedmaßen abgebildeter Menschen. Anhand der Bewegungen dieses Vektorenbündels schätzt sie, welches Verhalten zu sehen ist. Bei vorab festgelegten Kategorien schlägt sie Alarm. In Mannheim sind das aktuell Schläge, Tritte, Schubser und abwehrende Körperhaltungen. In Hamburg wird auch detektiert, wenn jemand liegt.

Berlin will bald ebenfalls eine derartige Software einsetzen, Baden-Württemberg will sie auf Heidelberg ausweiten, in Bremer Tram-Bahnen läuft sie bereits. In Niedersachsen, Sachsen, Schleswig-Holstein und Thüringen sind Gesetzesentwürfe dazu in der Abstimmung. Es wird künftig wohl immer mehr Areale geben, in denen KI prüft, ob sich die Anwesenden artig benehmen.

Zeit also, sich die Technologie mal genauer anzuschauen: Welche Auswirkungen hat sie auf die Grundrechte der Betroffenen, wo liegen die größten Risiken bei der Implementierung und welche Rolle kann sie bei der drohenden autoritären Wende spielen? Das haben wir Davy Wang gefragt, Jurist bei der Gesellschaft für Freiheitsrechte.

„Ein subtiles Gefühl des Überwacht-Seins“

netzpolitik.org: Herr Wang, Berlin will bald Verhaltenserkennungs-Kameras an vermeintlich besonders kriminalitätsbelasteten Orten installieren. Liegen diese Orte in Ihrem Lebensradius?

Davy Wang: Im Görlitzer Park bin ich in meiner Freizeit gelegentlich, am Kottbusser Tor oder an der Warschauer Straße steige ich manchmal in Bahnen.

netzpolitik.org: Werden Sie sich dort sicherer fühlen, wenn die Verhaltenserkennung läuft?

Davy Wang: Ich fühle mich da aktuell nicht unsicher. Aber wenn die Verhaltenserkennung kommt, wird das sicher ein subtiles Gefühl des Überwacht-Seins auslösen.

netzpolitik.org: Welche Auswirkungen hat die Technologie auf die Grundrechte der Menschen, die da langlaufen?

Davy Wang: Da ist meine Privatsphäre betroffen und die aller anderen Menschen, die sich da bewegen. Konkret bedeutet dies eine Einschränkung des Grundrechts auf informationelle Selbstbestimmung. Nach dem darf eigentlich ich darüber bestimmen, wer meine Daten erfasst und nutzt. Darüber hinaus kann so eine Überwachung Menschen davon abhalten, den Ort zu besuchen, und sich darauf auswirken, wie sich Menschen dort verhalten. Das hat dann beispielsweise auch Auswirkungen auf die Versammlungsfreiheit.

„Keine Zahlen, die die Wirksamkeit belegen“

netzpolitik.org: Werden da alle Passant*innen unter Generalverdacht gestellt?

Davy Wang: Von beiden Systemen werden erst einmal alle Menschen erfasst.

netzpolitik.org: Und ist das Problem, das mit der Überwachung gelöst wird, diesen massiven Grundrechtseingriff wert?

Davy Wang: Aus den Pilotprojekten gibt es keine Zahlen, die die Wirksamkeit belegen. Dabei gibt es sehr hohe Anforderungen. Denn die Anlagen erfassen viele tausend Menschen täglich, die Betroffenen wissen nie genau, ob ihre Daten gerade verarbeitet werden, und dann wird noch ein sehr intransparentes KI-System benutzt, dessen Schlussfolgerungen nicht nachvollziehbar sind. Bei einem derart strengen Eingriff in die Grundrechte bräuchte es strenge Anforderungen und Belege, dass die Technologie wirksam ist.

netzpolitik.org: Solche Systeme haben immer eine gewisse Rate von False Positives. Das sind Alarme, die auf einem Fehler, einem falschen Verdacht beruhen. Ist da die Verfolgung Unschuldiger schon eingepreist?

Davy Wang: Es ist ein Problem, wenn ein Maximum für diese Rate nicht fest vorgegeben ist. Dann kann die Polizei frei einschätzen, wie viele Fehl-Verdächtigungen sie noch akzeptabel findet. In Berlin wurde die maximale Fehlerrate jetzt in einer Ausschreibung benannt: bis zu 25 Prozent. Jeder vierte Alarm würde dann versehentlich ausgelöst. Das ist ziemlich viel. Da werden viele Verhaltensweisen erfasst, die völlig unproblematisch sind. Und dann kann es auch sein, dass Menschen zum Opfer von Anschlussmaßnahmen werden, die gar nichts getan haben. In den Landespolizeigesetzen steht ja auch gar nicht, welche Verhaltensweisen mit dem Scanner gesucht werden können. Da steht einfach nur: Verhaltensweisen, die auf Straftaten hindeuten. Welche gesucht werden, liegt dann im Ermessen der Exekutive.

„Es gibt einen politischen Druck“

netzpolitik.org: Wie kommt das eigentlich, dass diese Technologie gerade so unglaublich beliebt ist?

Davy Wang: Die Polizeien in den Bundesländern und auf Bundesebene wollen ihre Digitalisierung vorantreiben. Die wollen jetzt auch KI-Systeme nutzen, um vermeintlich effektiver Straftaten verhüten zu können. Da sehe ich die Gefahr, dass man sich öffentlich der Rhetorik bemüht, dass die Anlage verhältnismäßig sei, weil sie beispielsweise keine Gesichter analysiert. Es gibt auch einen politischen Druck, nach öffentlichkeitswirksamen Gewaltvorfällen zu handeln und beispielsweise die Videoüberwachung weiter auszubauen.

netzpolitik.org: In der Logik der Verfechter ist die Technik Privatsphäre-freundlicher als konventionelle Videoüberwachung, weil ja nicht mehr unbedingt immer ein Mensch zuschaut. Als wäre es keine Überwachung, wenn uns ein Computer analysiert. Was sagen Sie dazu?

Davy Wang: Das ist trotzdem auch eine Überwachung und auch ein Grundrechtseingriff. Wenn die Polizei durch ein KI-System personenbezogene Daten erfasst, ist es ein Eingriff in die Privatsphäre. Und diese Überwachung kann zu Ingewahrsamnahme und anderen Anschlussmaßnahmen führen.

netzpolitik.org: Müsste die Eingriffsschwelle für die Verhaltenserkennung nicht noch höher sein als die für Videoüberwachung? Immerhin ist es ja eine Art Videoüberwachung plus.

Davy Wang: Da würde ich definitiv zustimmen. Auch aus unserer Sicht ist die Eingriffsschwelle viel zu niedrig. Durch die Nutzung des KI-Systems und die automatisierte Auswertung enthält der Eingriff eine neue Qualität. Dabei hat das Bundesverfassungsgericht betont, dass automatisierte Auswertungen durch selbstlernende Systeme ein spezielles Eingriffsgewicht haben können, wenn die Entscheidungsfindung und Funktionsweise weder für die Betroffenen noch für die handelnde Behörde nachvollziehbar sind.

„Das kann diskriminierend wirken“

netzpolitik.org: Weil die Systeme menschliche Körper vor der Analyse in Vektoren umrechnen, also Hinweise auf Hautfarbe, Alter, Geschlecht entfernen, gelten sie nicht als diskriminierend. Was sagen Sie dazu?

Davy Wang: Das kann man nicht pauschal so sehen. Es gibt Berichte, dass unproblematisches Verhalten wie Liegen oder Taumeln erfasst wird. Das kann diskriminierend gegenüber bestimmten Personengruppen wirken. Und durch die Trainingsdaten kann ja auch ein Bias entstehen, dass dann Bewegungen bei bestimmten Gruppen eher falsch erkannt werden.

netzpolitik.org: Ein weiteres Argument für den Einsatz der Verhaltensanalyse ist die Effizienz. Führt die dann nicht automatisch zur Ausweitung – weil man mit den gleichen Kräften mehr Stadtgeschehen im Blick behalten kann?

Davy Wang: Das sehe ich als eine reale Gefahr. Die vermeintliche Effektivität kann dazu führen, dass immer mehr Orte die Technik einführen.

netzpolitik.org: Es heißt, letztlich entscheidet ein Mensch darüber, ob Einsatzkräfte zu einer Situation entsandt werden. Wie weit wird da die menschliche Verantwortung aufgelöst?

Davy Wang: Wenn der Mensch sich auf die Technik verlässt, neigt er dazu, ihren Empfehlungen zu folgen. Und die Entscheidungsfindung des KI-Systems ist für die Beamt*innen nicht nachvollziehbar, was ein Grundvertrauen in die Richtigkeit der Entscheidung begünstigt.

„Wir glauben, dass die Rechtsgrundlagen angreifbar sind“

netzpolitik.org: Welche Hebel hat die Zivilgesellschaft, um zu verhindern, dass die Technologie breit ausgerollt wird?

Davy Wang: Wir als GFF betreiben strategische Prozessführung. Eine Möglichkeit ist, wenn diese Systeme im Einsatz sind, dagegen zu klagen und zu versuchen, das zum Bundesverfassungsgericht zu bringen. Wir glauben, dass die Rechtsgrundlagen in mehreren Bundesländern angreifbar sind. Ansonsten kann man sich auch politisch engagieren. Durch Petitionen, durch Demonstrationen oder als Sachverständige im Gesetzgebungsverfahren. Was auch hilft, ist parlamentarische Kontrolle, beispielsweise mit Kleinen Anfragen.

netzpolitik.org: Was sagt die EU-KI-Verordnung zur Verhaltensanalyse?

Davy Wang: Die stuft sie als Hochrisiko-KI ein. Das bedeutet, es braucht eine Risikobewertung und Risikominderungsmaßnahmen, es gibt Sorgfalts‑, Berichts- und Aufsichtspflichten.

netzpolitik.org: Welche Rolle kann die Verhaltenserkennung bei der autoritären Wende spielen?

Davy Wang: Der Dual Use für Sicherheit und Kontrolle ist bei dieser Technologie systeminhärent. Die kann in demokratischen Staaten in engen Grenzen grundrechtsschonend eingesetzt werden, aber in autoritären Staaten auch dazu genutzt werden, marginalisierte Gruppen bei Protesten zu überwachen. Das richtet sich je nach Einsatzform aus.

netzpolitik.org: Zahlen zum Erfolg der Technologie werden nicht veröffentlicht. Kann es sein, dass hier vor allem getestet wird, ob sich so eine Überwachungsmaßnahme ohne größere Widerstände durchsetzen lässt?

Davy Wang: Das ist ein berechtigter Verdacht. Dazu passt auch, dass in keinem der Polizei-Gesetze eine unabhängige Evaluation der Verhaltenserkennung festgeschrieben ist.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Während die Bundesregierung behördenübergreifend eine lebenslang gültige Personenkennzahl einführen will, geht das Nachbarland Österreich einen anderen Weg. Warum dieser mehr Datenschutz verspricht, ohne die Verwaltungsdigitalisierung zu behindern, erläutert die österreichische Juristin Heidi Scheichenbauer im Gespräch.

Seit Jahren wird in Deutschland über die sogenannte steuerliche Identifikationsnummer diskutiert. Die Steuer-ID soll es Behörden erleichtern, untereinander Daten auszutauschen, indem sie als zentraler Bezugspunkt für unterschiedliche Register dient. Die ID ist lebenslang gültig, alle Bürger:innen erhalten sie vom Bundeszentralamt für Steuern bei Geburt.

Jurist:innen und Datenschützer:innen kritisieren eine solche Personenkennzahl unter anderem mit Bezug auf das Volkszählungsurteil des Bundesverfassungsgerichts als verfassungswidrig. Bei der Einführung der Steuer-ID im Jahr 2007 wurden Bedenken von Datenschützer:innen als „konstruierter Erregungszustand“ weggewischt, nur um dann 13 Jahre später genau das zu tun, wovor diese gewarnt hatten. Damals plante die Große Koalition unter Angela Merkel (CDU), die Steuer-ID dazu zu nutzen, um Verwaltungsdaten zusammenzuführen. Die Ampelkoalitionäre folgten trotz früherer Kritik diesem Konzept und auch die schwarz-rote Bundesregierung hält an diesem Plan fest.

Österreich hat bereits vor einigen Jahren einen anderen Weg eingeschlagen und das bereichsspezifische Personenkennzeichen (bPK) eingeführt. Sie ist eine Art Einweg-Kennzeichen, das für unterschiedliche Verwaltungsbehörden angepasst wird. Die bPK verspricht so einen höheren Datenschutz und steuerbare Hürden gegen behördenübergreifende Profilbildung – ohne eine effektive Verwaltungsdigitalisierung zu behindern.

Wir haben mit Heidi Scheichenbauer über das bereichsspezifische Personenkennzeichen gesprochen. Sie ist Senior Researcher und Senior Consultant am Research Institute – Digital Human Rights Center. Als Juristin forscht und lehrt sie zu künstlicher Intelligenz in der Verwaltung, Datenschutz im Non-Profit-Sektor und Plattformregulierung.

„Best-Practice-Beispiel“ aus Österreich

netzpolitik.org: In Deutschland geht es in der Debatte um Verwaltungsmodernisierung viel darum, Datensilos aufzubrechen. Österreich will diese möglichst aufrechterhalten. Warum ist das so?

Heidi Scheichenbauer: Tatsächlich haben wir in Österreich ein Best-Practice-Beispiel dafür, wie sich Daten in der Verwaltung datenschutzoptimiert verarbeiten lassen. Wir bauen eine digitale Verwaltung auf und verhindern zugleich den sprichwörtlichen „gläsernen Bürger“.

Bevor die Bundesregierung ein bundesweit einheitliches Personenkernzeichen einführt, sollte sie einen Blick auf ihr kleines Nachbarland werfen. Unsere Erfahrungen zeigen, dass Privacy by Design auch in diesem Bereich möglich ist.

netzpolitik.org: Wie kam es dazu?

Heidi Scheichenbauer: Im Jahr 2001 gab es in Österreich eine Volkszählung. Damals wurden sehr viele Daten über die Bevölkerung gesammelt und das erste Mal ein zentrales Melderegister auf Bundesebene eingerichtet.

Dieses Zentrale Melderegister (ZMR) enthielt eine Vielzahl an personenbezogenen Daten. Darunter den Namen, das Geschlecht, das Geburtsdatum, die Staatsangehörigkeit. Das allein ist datenschutzrechtlich schon sehr kritisch. Und dann vergab das ZMR allen Bürger:innen auch noch einen bundesweiten Identifikator, die sogenannte Stammzahl. Viele fürchteten damals, dass damit der gläserne Bürger geschaffen wird.

Man hat sich daher einen Weg überlegt, wie man dieses Datenschutzthema adressieren kann – und schuf die bereichsspezifischen Personenkennzeichen, kurz: bPK. Diese Personenkennzeichen beruhen auf der Stammzahl, sind aber für jeden Verwaltungsbereich anders.

Also hat eine Bürgerin zum Beispiel beim Finanzamt ein eigenes bPK, für die Sozialversicherung ist es ein anderes. Und die eine Behörde kann mit dem Kennzeichen, das ihr vorliegt, keine sinnvollen Anfragen bei einer anderen Behörde stellen.

Eine Nummer, sie alle zu finden

Eine heikle Sache

netzpolitik.org: Eine bemerkenswerte Wende. Normalerweise wecken viele Daten auch viele Begehrlichkeiten.

Heidi Scheichenbauer: Es gab damals ein Bewusstsein dafür, dass die Daten im Zentralen Melderegister und die Verwendung eines einheitlichen Identifikators eine heikle Sache sind.

Bei der Einführung hagelte es daher Kritik an den geplanten Neuerungen. Bemängelt wurde unter anderem die mögliche Verknüpfung der vorliegenden Daten mit dem „Ursprungskennzeichen“, also der ZMR-Zahl. Denn damit ist eine behördenübergreifende Identifizierung einer bestimmten Person möglich.

Weiters wurde vorgebracht, dass das Kennzeichen eine Verknüpfung mit anderen individuellen Datensätzen ermögliche, beispielsweise aus der Einkommens- oder Volkszählungsstatistik.

Daten können – das zeigt auch der österreichische Postdatenskandal – sehr viel über das eigene Leben preisgeben, vom Wohnsitz bis zur vermuteten politischen Einstellung. Und dann wird auch klar, wie sehr man mit diesen Daten Menschen diskriminieren und manipulieren kann.

Ein Einweg-Kennzeichen für die Verwaltung

netzpolitik.org: Wie wird das bereichsspezifische Personenkennzeichen erzeugt?

Heidi Scheichenbauer: Es beruht auf der ZMR-Zahl, die im Zentralen Melderegister alle gemeldeten Personen erhalten. Aus ihr wird mit Hilfe eines Verschlüsselungsverfahrens die individuelle Stammzahl abgeleitet. Aus dieser Stammzahl wird dann für die jeweiligen Verwaltungsbereiche einzelne Ableitungen erzeugt.

netzpolitik.org: Erhält jede Behörde automatisch eine bPK für jede:n Bürger:in?

Heidi Scheichenbauer: Nein, nicht automatisch. Teilweise müssen die Behörden dafür zunächst bei der Stammzahlenregisterbehörde einen Antrag stellen, manchmal sogar ganz klassisch per Online-Formular. Bei dem Vorgang müssen Beamt:innen angeben, in welchem Verwaltungsbereich sie tätig sind. Es gibt aktuell rund 30 Tätigkeitsbereiche.

netzpolitik.org: Es gibt also für jede:n Bürger:in je nach Verwaltungsbereich individuelle Einwegskennzahlen. Das klingt recht aufwendig. Hat sich das im Alltag bewährt?

Heidi Scheichenbauer: Auf jeden Fall. Denn die Behörden können so nicht ohne weiteres behördenübergreifende Verarbeitungstätigkeiten vornehmen und damit auch kein Profiling betreiben.

Dafür sorgt auch eine Bereichsabgrenzungsverordnung, die unterschiedliche Verwaltungsbereiche voneinander trennt. Auch dem ging eine politische Diskussion voraus: Was gehört alles zu Steuern und Abgaben, was zu anderen Bereichen.

Auch diese Trennung soll den gläsernen Bürger verhindern. Nicht nur rechtlich, sondern eben auch technisch.

Strikte Trennung innerhalb der Verwaltung

netzpolitik.org: Wie kann eine Behörde denn mit anderen Behörden Daten austauschen?

Heidi Scheichenbauer: Das kann sie auf dem Wege der Amtshilfe tun. Es gibt auch die Möglichkeit, verschlüsselte bereichsspezifische Personenkennzeichen zu beziehen und dann so zu kommunizieren. Aber grundsätzlich ist das gesetzlich sehr strikt getrennt.

Das österreichische E-Government-Gesetz schreibt vor, dass zusammengehörige Lebenssachverhalte in ein und demselben Bereich zusammengefasst werden und dass miteinander unvereinbare Datenverarbeitungen innerhalb desselben Bereichs nicht vorgesehen sind.

netzpolitik.org: In der deutschen Debatte gibt es hingegen das Bestreben, Daten zusammenzuführen, weil die Verwaltung dann angeblich effizienter arbeiten könne. Gibt es eine ähnliche Debatte in Österreich?

Heidi Scheichenbauer: Auf der politischen Ebene haben wir aktuell keine Diskussion dahingehend, dass das bPK-System infrage gestellt wird. Es hat sich gut eingespielt und auch bewährt. In den vergangenen Jahren gab es auch keine politischen Bestrebungen, das System zu verändern. Auch Datenpannen oder Missbrauchsfälle gab es nicht. Zumindest keine, die öffentlich bekannt wurden.

Eine hundertprozentige Sicherheit gibt es, wie so oft im Leben, nicht. Die Privacy-by-Design-Maßnahmen verhindern hier aber tatsächlich sehr effektiv einen ansonsten prinzipiell möglichen Missbrauch.

netzpolitik.org: In Deutschland gilt die Devise, die Daten in einen großen Pool zu geben und den Behördenzugriff rechtlich zu regulieren. Ist das österreichische Modell aus deiner Sicht sicherer?

Heidi Scheichenbauer: Das ist ohne Zweifel sicherer, weil die meisten Risiken für die betroffenen Personen schon in der technischen Gestaltung signifikant gemindert werden. Es werden nämlich kryptografische Verfahren angewendet, die nicht umkehrbar sind. Von bPKs kann somit nicht mehr auf die Stammzahl zurückgerechnet werden. Das ist mathematisch schlicht nicht möglich.

Und auch organisatorisch ist das Zentrale Melderegister ein Ort, der sehr gut abgesichert ist, wie ich auch aus persönlicher Erfahrung weiß. Ich hatte vor vielen Jahren aus beruflichen Gründen einen Termin bei einem Dienstleister der Stammzahlenregisterbehörde. Damals machte ich die Erfahrung, dass man in das betreffende Gebäude nur sehr schwer hineinkommt.

Digitale Identitäten und künstliche Intelligenz

netzpolitik.org: In Österreich gibt es seit einigen Jahren die ID Austria. Zum Ende dieses Jahres soll in allen EU-Mitgliedstaaten die ID-Wallet starten. Welche Auswirkungen hat das auf die bPK?

Heidi Scheichenbauer: Die ID Austria ist ein digitaler Identitätsnachweis. Ich kann mich damit also gegenüber dem Finanzamt und dem Wohnungsamt ausweisen. Dadurch könnten theoretisch behördenübergreifende Profile erstellt werden. Doch es gibt Schutzmaßnahmen, die das verhindern sollen.

So müssen personenbezogene Daten pseudonymisiert und innerhalb bestimmter Fristen gelöscht werden. Die Daten dürfen außerdem, soweit es notwendig ist, nur von bestimmten Stellen verarbeitet oder übermittelt werden. Und sie unterliegen strengen Zugriffsrechten. Im Gegensatz zu den geplanten ID-Wallets der EU sieht die ID Austria gesetzlich sowohl gegenüber Behörden als auch privaten Einrichtungen einen strengen Akkreditierungsprozess unter anderem zur Sicherstellung der Datenminimierung, also des „minimal data set“ bei jeder Anwendung vor. An dem bestehenden System der bPK rüttelt die ID Austria also nicht.

netzpolitik.org: Der Einsatz von sogenannter Künstlicher Intelligenz wird mit Blick auf Verwaltungsdaten ebenfalls diskutiert. Gerade in der Sozialverwaltung gibt es Bestrebungen, Sprachmodelle mit den dort hinterlegten Daten zu trainieren. Gibt es ähnliche Debatten auch in Österreich?

Heidi Scheichenbauer: Durchaus und meist gilt das Datenschutzrecht dann als böse, weil es derartiges verhindere. Die österreichischen Verwaltungseinrichtungen äußern ihren Unmut vor allem über den Datenschutz, als dass sie nach Lösungen suchen. Dabei könnten sie etwa darüber nachdenken, wie KI-Training mit anonymen Daten möglich wäre. Das ist alles aber auch noch sehr im Fluss.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Mastodon galt vielen als Alternative zu Twitter, nachdem Elon Musk die kommerzielle Plattform übernommen hatte. Marco Wähner sprach auf dem 39. Chaos Communication Congress darüber, warum das dezentrale Netzwerk mehr als nur eine Alternative ist und was wir als Zivilgesellschaft tun müssen, um dessen Idee zu stärken.

Gut drei Jahre ist es her, dass Elon Musk Twitter gekauft hat. Viele Nutzer:innen verloren daraufhin ihr digitales Wohnzimmer. Und schnell wurde klar, dass die Plattform fortan der Willkür eines einzelnen Tech-Unternehmers unterliegt. Als Musk Mitarbeiter:innen aus dem Kern-Team entließ und die Bezahlversion für das umgetaufte Twitter einführte, verließen viele die Plattform und wandten sich Mastodon zu.

Das Versprechen hinter Mastodon: Das dezentrale Netzwerk entzieht sich der Kontrolle einer einzelnen Person. Denn hier geht es nicht um Profit, sondern vielmehr um eine digitale Gemeinschaft von Menschen, die die Kontrolle über ihre Kommunikationskanäle selbst in die Hand nehmen. Aber können dezentrale Netzwerke dieses Versprechen einlösen? Und wie dezentral sind sie tatsächlich?

Mit diesen Fragen beschäftigte sich Marco Wähner auf dem Chaos Communication Congress in Hamburg. Im Interview spricht der Soziologe über seine Forschung. Wähner arbeitet am Center for Advanced Internet Studies (CAIS) als wissenschaftlicher Mitarbeiter in der Abteilung Research Data and Methods.

„Wir haben eine Zentralität innerhalb der Dezentralität“

netzpolitik.org: Du forschst zu dezentralen Netzwerken. Was ist deine Motivation?

Marco Wähner: Ich wollte wissen: Sind dezentrale Netzwerke der Goldstandard, der selbst nicht hinterfragt werden muss? Dafür habe ich mir unter anderem das Fediverse angeschaut.

netzpolitik.org: Was ist die wesentliche Erkenntnis deiner Untersuchung?

Wähner: Es gibt auf der einen Seite die Idee der Dezentralität. Auf der anderen Seite kann man allerdings auch in dezentralen Netzwerken einen Trend zur Zentralität beobachten. Im deutschsprachigen Ökosystem von Mastodon kann man etwa beobachten, dass sich 80 Prozent der Nutzer:innen mit ihren Accounts auf nur 14 Instanzen verteilen. Wenn man bedenkt, dass das gesamte Ökosystem aus etwa 240 Instanzen besteht, veranschaulicht das eine starke Konzentration. Da haben wir eine Zentralität innerhalb der Dezentralität.

netzpolitik.org: Woran liegt das?

Wähner: Wir haben uns daran gewöhnt, dass soziale Medien uns eine Atmosphäre bieten, in der alles für uns vorkonfiguriert ist. Auf Mastodon hat man viele Mitgestaltungsmöglichkeiten, aber es ist auch Aktivität erforderlich. Nutzer:innen müssen sich aktiv darin einbringen, die digitale Infrastruktur zu pflegen. Wir kriegen hier die Chance, uns technologisch von großen Plattformen unabhängiger zu machen, aber dafür müssen wir auch etwas tun.

Außerdem lässt sich eine Parallele zu den Anfängen des Internets ziehen. Das hat als dezentrales Konstrukt angefangen, inzwischen kam es hier aber zur Zentralisierung. Das liegt daran, dass Menschen nur einen Bruchteil des Internets für Informationen, Wissen und Austausch nutzen. Regelmäßig besuchen sie nur wenige Websites.

Ein wesentlicher Faktor ist aber auch die Monopolbildung technologischer Konzerne. Es gibt starke Machtkonzentrationen auf wenige Plattformen und wenige Unternehmen, die hinter diesen Plattformen stecken. Ich finde das Bild einer vor Banalitäten blinkenden Einkaufs-Mall passend, wo immer unterschiedliche Verkaufsangebote dargestellt werden, die so mehr oder weniger über die ursprüngliche Idee des Internets drübergebaut worden ist. Und ich denke, dass wir das Potenzial des Internets nicht ausnutzen. Vielmehr ist es geprägt durch Konsum, durch Warenangebote.

Das Prinzip des Gemeinguts

netzpolitik.org: Warum kam es zu dieser Entwicklung hin zu Zentralisierung und Monopolen?

Wähner: Das ist eine komplexe, aber nicht überraschende Entwicklung. Und sie hängt vor allem damit zusammen, dass Angebote, Zugänge und Inhalte monetarisiert wurden. Hierdurch wurde die Monopolstellung einzelner Unternehmen stark begünstigt.

netzpolitik.org: Was unterscheidet dezentrale Netzwerke davon?

Wähner: Das zentralisierte Internet folgt dem Prinzip des Privateigentums. Dort entscheidet eine zentrale Autorität, was mit einer Infrastruktur passiert, wer Zugang hat und Ähnliches. Diese Autorität ist allein durch Eigentum legitimiert. Ein gutes Symbolbild dafür ist Elon Musk, der ein Waschbecken in die Büros von Twitter hineinträgt. Als neuer Eigentümer konnte er das machen.

Das löste bei vielen ein Störgefühl aus, denn Twitter wurde als öffentlich-digitaler Raum verstanden und genutzt. Wie instabil so ein öffentlicher Raum ist, zeigte sich, als sich jemand als Privateigentümer durchgesetzt hat.

Dezentrale Netzwerke folgen dem Prinzip des Gemeinguts. Dementsprechend gibt es keine zentrale Autorität, die darüber entscheidet, wie Ressourcen verteilt werden, wer Zugang zum Netzwerk hat, wie das Netzwerk wächst. Hier geht es um Selbstverwaltung.

Es braucht die zivilgesellschaftliche Basis

netzpolitik.org: Könnte da die öffentliche Hand unterstützen?

Wähner: Wichtig ist die Frage, wer hat die zentrale Autorität. Die sollte nicht bei der öffentlichen Hand liegen, sondern bei der Zivilgesellschaft.

Gleichwohl könnte man hier aber gesetzgeberisch aktiv werden. Ein Weg könnte darin bestehen, dass die Arbeit einzelner Akteure aus der Zivilgesellschaft, die digitale Infrastruktur für die Gemeinschaft zur Verfügung stellen, als gemeinnützig anerkannt wir. Zudem ist das digitale Ehrenamt sicher ein guter Weg, wenn sich Menschen im digitalen Raum ehrenamtlich engagieren.

Behörden und andere öffentliche Einrichtungen sollten Mastodon nutzen und ihre Inhalte dort zur Verfügung stellen. Damit können sie dem Netzwerk auch Schub verleihen. Doch es braucht die zivilgesellschaftliche Basis, um sich von einzelnen Personen und Akteuren unabhängig zu machen.

Eine echte Option zur bestehenden Zentralität

netzpolitik.org: Was ist deine Forderung?

Wähner: Angesichts des Trends zu Zentralisierung bei dezentralen Netzwerken wie Mastodon müssen wir uns als Zivilgesellschaft eines bewusst machen: Wir brauchen dauerhaft Power, damit wir mittel- und langfristig dezentrale Alternativen haben.

Es ist einfach, monetäre Interessen zu mobilisieren. Gemeinschaftliche Interessen bringen immer Zielkonflikte mit. Wenn wir wollen, dass dezentrale Netzwerke frei von Profitdenken bleiben, müssen wir in Zukunft Organisationen, Vereine und Nichtregierungsorganisationen stärken. Die können schon jetzt ihre Mitglieder mobilisieren. Sie sind in der Lage, digitale Infrastrukturen zur Verfügung zu stellen und auch Anknüpfungspunkte für Menschen zu schaffen, um dezentrale Netzwerke zu nutzen.

netzpolitik.org: Also seid aufmerksam und sorgt dafür, dass dezentrale Netzwerke dezentral bleiben?

Wähner: Vor allem sollten sie Menschen über die Bubble hinaus mitnehmen, also auch aus der breiten Zivilgesellschaft. Überwindet den Zielkonflikt der digitalen Ungleichheit. Wir sollten uns immer fragen, wie wir Menschen befähigen, Teil dieser Netzwerke zu werden und sich damit auseinanderzusetzen. Und wie wir das als echte Option zur bestehenden Zentralität in die öffentliche Debatte tragen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Digitale Modelle von Skeletten werden neuerdings in Strafverfahren genutzt. Warum ist das etwas anderes als ein Fingerabdruck? Und warum ist es nicht ratsam, derartige Beweismethoden für eine Anklage zu nutzen? Darüber sprechen wir im Interview mit zwei Fachleuten.

Dass Fingerabdrücke oder DNA-Spuren in Strafverfahren als Beweise herangezogen werden, ist weit verbreitet. Aber mittlerweile halten zunehmend neue Technologien in die Gerichtssäle Einzug. Ein Beispiel: 3D-Modelle von mutmaßlichen Täter:innen werden automatisiert mit Videoaufnahmen vom Tatort abgeglichen. So soll bestimmt werden, ob auf dem Video die vermutete Person zu sehen ist – ganz ohne Gesicht.

Auch im sogenannten Budapest-Komplex spielt das eine Rolle. In einem aktuellen Prozess werden einem Beschuldigten Angriffe auf Neonazis, darunter versuchter Mord, vorgeworfen. Die Anklage stützt sich auch auf eine Analyse mittels Skelett-Modell und den Abgleich mit Tatort-Videos.

Wir haben dazu mit Anne Zettelmeier und Prof. Dr. Dominik Brodowski von der Universität des Saarlandes gesprochen. Sie forschen zum Einsatz von Technologien im Justizwesen und warnen davor, KI-gestützte Ergebnisse als alleinige Beweismittel zu nutzen.

Sie forschen im von der Daimler und Benz Stiftung geförderten Ladenburger-Kolleg „Technologische Intelligenz zur Transformation, Automatisierung und Nutzerorientierung des Justizsystems (TITAN)“ und warnen davor, KI-gestützte Ergebnisse als alleinige Beweismittel zu nutzen.

netzpolitik.org: Wie funktioniert eine Analyse mit digitalen Skeletten und wo kommt dabei eine KI zum Einsatz?

Zettelmeier: Um ein Skelettmodell einer Person zu erstellen, werden Marker an die Person angebracht – entweder händisch an bestimmten Körperstellen oder durch die automatisierte Erkennung bestimmter Punkte am Skelett.

Beim Einsatz in Strafverfahren geht es um den Vergleich zwischen dem erstellten digitalen Skelettmodell und einem Tatort-Video. Bei diesem Abgleich soll eine KI eingesetzt werden, um die beiden Täter-Skelett-Modelle zu vergleichen. Das Programm nennt dann am Ende eine Prozentzahl, mit welcher Wahrscheinlichkeit die Personen übereinstimmen und ein Verdächtiger die Person auf einem Tatort-Video ist.

netzpolitik.org: Mit welcher Software kann man das machen?

Brodowski: Mit Produkten, die auf dem Markt erhältlich sind und zur Modellierung von Bewegungsabläufen oder auch zur Identifikation von entsprechenden Markern dienen.

Allerdings sind diese Produkte teils für ganz andere Zwecke geschaffen worden, beispielsweise für die Filmindustrie, um verstorbene Schauspieler mit Bewegungen wieder zum Leben zu erwecken. In Kinofilmen geht es im Gegensatz zu Strafverfahren aber nicht um die Rekonstruktion einer materiellen Wahrheit. Da gelten ganz andere Zielrichtungen und Genauigkeitsmaßstäbe.

Biomechanische Gutachten und Computer-Simulation

netzpolitik.org: Ist der Ansatz, 3D-Modelle in Strafverfahren für eine Beweisführung zu nutzen, komplett neu?

Brodowski: Dass Skelettmodelle für die Beweisführung genutzt werden, ist noch relativ neu. Der Literatur zufolge wurde das allerdings bereits in anderen Verfahren eingesetzt, um Beschuldigte zu be- oder entlasten.

Bereits etablierter sind von Gutachtern erstellte Expertisen. Ein eindrückliches Beispiel hierfür ist der sogenannte Badewannen-Mord, bei dem sich im Nachhinein herausgestellt hat, dass es gar kein Mord war.

Ein Mann wurde dafür verurteilt und saß 13 Jahre lang unschuldig in Haft, bis ein Wiederaufnahmeverfahren nachgewiesen hat, dass er als Täter nicht in Betracht kommt. Dafür hat man unter anderem in einem biomechanischen Gutachten und per Computersimulationen untersucht, wie die Mechanik des menschlichen Körpers mit dem vermuteten Geschehen in Einklang zu bringen ist.

netzpolitik.org: Worin besteht der Unterschied, ob ich ein Verfahren zur Be- oder Entlastung nutze?

Zettelmeier: Gerade das ist eine wichtige Differenzierung. Es kann auf der einen Seite natürlich zur Entlastung beitragen, wenn Körperbau und Bewegungen einer Person gar nicht zu denen eines Menschen auf einer Aufnahme passen. Um solche Modell-Analysen aber zur Belastung von Verdächtigen zu nutzen, muss man sich sehr sicher sein – beispielsweise wenn ein KI-Modell zum Ergebnis kommt, dass es sich bei einer Person auf einem Video wahrscheinlich um den Tatverdächtigen handelt.

Eine Anklage oder am Ende sogar eine Verurteilung allein auf die Ergebnisse eines solchen Modells zu stützen, wäre ein Problem, weil diese Methode nicht ausreichend wissenschaftlich fundiert und untersucht ist. Wenn jemand falsch verurteilt wird und dann wie im Badewannen-Fall viele Jahre unschuldig in Haft sitzt, hat das schwerwiegende Folgen.

Brodowski: Für eine Verurteilung muss ein Gericht von der Schuld des Beschuldigten überzeugt sein und diese subjektive Überzeugung muss sich auch auf eine objektiv hohe Wahrscheinlichkeit stützen. Umgekehrt ist es aber so, dass bereits begründete Zweifel an der Schuld zwingend zum Freispruch zu führen haben. Dann greift der In-dubio-pro-reo-Grundsatz.

Das heißt, wenn wir nun anhand einer solchen Methodik Zweifel an einer Täterschaft eines Beschuldigten säen können, funktioniert das. Aber um als alleiniges Beweismittel dafür auszureichen, dass eine Person am Tatort war, braucht man eine ausgesprochen hohe Sicherheit hinter dieser Methodik. Die sehe ich zum aktuellen Zeitpunkt noch nicht.

Es braucht mehr Untersuchungen unter Realbedingungen

netzpolitik.org: Was bräuchte es denn dafür, dass solche Skelett-Analysen für eine Beweisführung vor Gericht genutzt werden könnten?

Brodowski: Mehr Untersuchungen zur Zuverlässigkeit der Methode, gerade unter Realbedingungen. Es ist ein Unterschied, ob man solche Analysen in einem Labor unter Idealbedingungen mit genügend Vergleichsmaterial durchführt oder ob man verrauschte Handyvideos und Schwarz-weiß-Aufnahmen einer Überwachungskamera nutzt.

Menschen bewegen sich auch im Laufe der Zeit unterschiedlich. Die Knochen bleiben dieselben, aber der Bewegungsapparat verändert sich im Laufe eines Tages, im Laufe von mehreren Monaten. Auch in Stresssituationen können sich Bewegungsmuster verändern. All diese Faktoren und ihre Auswirkungen müssen untersucht werden. Ich sehe da noch großen Forschungsbedarf.

Dazu kommt noch eine andere Problematik, die beim Einsatz von KI auftritt: Die Berechnungen und die Ergebnisse sind nicht gut nachvollziehbar. Das ist die sogenannte Blackbox-Problematik und Ansätze mit Explainable Artificial Intelligence und ähnlichem haben noch keinen durchschlagenden Erfolg gebracht.

Wenn wir nicht wissen, wie nun eine solche Blackbox von einem Ausgangsdatensatz zum Ergebnis kommt, müssen wir das immer mit Vorsicht genießen.

Verteidiger:innen müssen sich bei digitalen Beweismitteln weiterbilden

netzpolitik.org: Welche Auswirkungen hat es denn auf die Verteidigung und die Richter:innen in Strafverfahren, wenn Ergebnisse eines KI-Modells in Strafverfahren einfließen und nicht klar nachvollziehbar ist, wie diese zustande kommen?

Zettelmeier: Im Zweifel kann das zu einem sogenannten Automation Bias führen. Das bedeutet, dass man sich zu sehr auf die generierten Ergebnisse verlässt und beruft.

Es gibt zum Beispiel in Spanien das VioGén-System, das nach Anzeigen von Frauen wegen Gewalt das Risiko berechnen soll, erneut Gewalt zu erfahren. Basierend auf dem Risiko kann es dann richterliche Anordnungen zum Beispiel für ein Näherungsverbot der früheren Täter geben. Dort gibt es auch die Kritik, dass sich die Richter zu stark auf das generierte Ergebnis berufen und es nicht mehr zu einer eigenständigen Überprüfung kommt.

Brodowski: Umso wichtiger ist deshalb, dass man Transparenz herstellt, wann und an welcher Stelle in Verfahren Künstliche Intelligenz eingesetzt wird. Es darf etwa nicht passieren, dass ein Sachverständiger sehr überzeugt im Gerichtssaal auftritt und dort sein schriftliches Gutachten präsentiert und man nur in Fußnoten herausfindet, dass bei bestimmten Auswerteschritten KI eingesetzt wurde.

Das entspricht auch nicht den Anforderungen, die aus der EU-KI-Verordnung folgen. Diese verlangt ein hohes Maß an Transparenz, um einem solchen Automation Bias entgegenwirken zu können.

Eine gute Verteidigung wird solchen Ansätzen nachgehen und versuchen, Zweifel an der Methodik zu säen. Das verlangt jedoch viel von der Strafverteidigung, die sich deswegen auch im Bereich solcher digitaler Beweismittel zunehmend professionalisieren muss. Während in der Vergangenheit der Fokus der Verteidigung häufig auf der Glaubwürdigkeit von Zeugenaussagen gelegen hat, muss sie sich zukünftig immer mehr auch auf die Aussagekraft von solchen digitalen Beweismitteln fokussieren und hier Fachkompetenz hinzuziehen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Louisa Specht-Riemenschneider erklärt, warum KI und Datenschutz so schlecht zusammengehen und die Datenpolitik ein gesellschaftspolitisches Ziel braucht. Außerdem nennt sie eine überraschend niedrige Zahl neuer Mitarbeitender, falls ihre Behörde die zentrale Wirtschaftsaufsicht erhält.

Seit gut einem Jahr ist Louisa Specht-Riemenschneider Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Nicht nur die schwarz-rote Bundesregierung hat sich mittlerweile weitreichende Reformen beim Datenschutz vorgenommen, sondern auch die EU-Kommission will die Datenschutzgrundverordnung erstmalig schleifen.

Wir haben Specht-Riemenschneider in ihrem Berliner Büro getroffen und sie gefragt, wo sie in der hitzig geführten Reformdebatte steht. Sie kritisiert Teile der Pläne der EU-Kommission, spricht sich aber auch selbst entschieden für eine Reform aus. Der datenschutzrechtliche Rahmen erfülle seine Funktion nicht, allerdings laufe die aktuelle Debatte in die falsche Richtung. Vor Veränderungen in der Datenpolitik müsse eine gesellschaftspolitische Zielsetzung stehen, so die Forderung der Datenschutzbeauftragten.

Auch zu den umstrittenen Themen Gesundheitsdigitalisierung und Reform der Datenschutzaufsicht in Deutschland haben wir die Juristin befragt.

„An jeder Ecke fehlen Daten für gemeinwohlorientierte Zwecke“

netzpolitik.org: Sie haben als Rechtswissenschaftlerin immer die Bedeutung von Daten für Innovation betont und einen Ausgleich zwischen Datennutzung und Datenschutz gesucht. Für viele bedeutet das momentan vor allem, den Datenschutz zurückzubauen. Auf dem Digitale-Souveränitäts-Gipfel in Berlin lautete die neue Leitlinie „Product First, Regulation Second“. Ihre Behörde soll den Zusatz „Beauftragte für Datennutzung“ erhalten. Geht die Entwicklung also in die richtige Richtung?

Louisa Specht-Riemenschneider: Für mich stand nie zur Debatte, ob Datenschutz und Datennutzung zusammengehen. Die DSGVO soll genau das erreichen. Sie will ja nicht Datennutzung um jeden Preis verhindern, sondern gewährleisten, dass dabei Grundrechte gewahrt bleiben. Gleichzeitig gibt es andere Grundrechte wie den Schutz der Gesundheit, die es notwendig machen, dass Daten verarbeitet werden. Beides muss man in Einklang bringen.

In der öffentlichen Debatte wird derzeit allerdings versucht, diese zwei Positionen gegeneinander auszuspielen. Wir sind an einem Punkt, wo wir eine entscheidende Weichenstellung machen können. Und ich würde mir eine viel stärker gesellschaftspolitische Diskussion darüber wünschen, wo wir eigentlich hin wollen.

netzpolitik.org: Also für welche Zwecke Daten genutzt werden sollen und für welche nicht?

Louisa Specht-Riemenschneider: Ja, wollen wir als Gesellschaft etwa Daten für verbesserte Krebstherapien nutzen? Oder wollen wir verbesserte Datennutzbarkeit für rein kommerzielle Interessen? Das beantwortet mir momentan politisch niemand.

Wir haben zwar 1.000 Strategien, aber es fehlt ein Leitbild, an dem wir die Datenpolitik und auch die Regulierung ausrichten. Gerade jetzt wäre die Gelegenheit, in der wir in Europa – anders als die USA oder China – eine Datennutzungsagenda entwickeln könnten, die Grundrechte, Demokratie und Freiheit mitdenkt.

netzpolitik.org: Bei der Gesundheitsdigitalisierung heißt es, der Datenschutz gefährde Leben. In der Wirtschaft gefährde er Europas Wettbewerbsfähigkeit. Spüren Sie diesen Gegenwind?

Louisa Specht-Riemenschneider: Ja, und ich finde es unheimlich schade, dass die Diskussion in die falsche Richtung geht. Der Rechtsrahmen für Datenschutz und Datennutzung funktioniert offensichtlich nicht so, wie er eigentlich funktionieren sollte. Einerseits haben wir eine unglaubliche Masse an Daten, die rechtswidrig genutzt werden, wie etwa die „Databroker Files“ gezeigt haben. Andererseits fehlen an jeder Ecke Daten für gemeinwohlorientierte Zwecke.

Diese Gemengelage führt dazu, dass der Datenschutz zum Buhmann für alles gemacht wird. Vergangenes Jahr habe ich gelesen, dass in einem Seniorenheim keine Weckmänner verteilt werden konnten, wegen des Datenschutzes. Das ist natürlich großer Quatsch, aber diese Missverständnisse werden unter anderem dadurch hervorgerufen, dass der Rechtsrahmen sehr komplex ist.

„Es gibt im Omnibus auch Aspekte, die ich begrüße“

netzpolitik.org: Mit ihrem „Digitalen Omnibus“ fährt die EU-Kommission aktuell in die andere Richtung. Sie schlägt erstmals weitreichende Änderungen an der DSGVO vor. Verbraucher- und Datenschutzorganisationen sowie Teile des EU-Parlaments sprechen von einem Angriff auf die Grundlagen des europäischen Datenschutzes.

Louisa Specht-Riemenschneider: Ich halte nichts davon, die Welt in Schwarz und Weiß einzuteilen. Die Kommission schlägt Regelungen vor, von denen einige datenschutzrechtlich ganz klar kritisch zu werten sind. Wenn ich zum Beispiel meine Betroffenenrechte nur noch für datenschutzrechtliche Zwecke ausüben darf, dann schränkt mich das in meinen Rechten elementar ein. Gegen einen Missbrauchseinwand spricht nichts, aber er muss richtig formuliert sein.

Es gibt im Omnibus jedoch auch Aspekte, die ich begrüße. Die Vereinheitlichung von Digitalrechtsakten zum Beispiel, also die Zusammenfassung von Datennutzungsgesetzen im Data Act. Auch die Vorschläge zu Cookie-Bannern sind in ihrer Grundrichtung zu begrüßen.

netzpolitik.org: Für Kritik sorgt auch der Plan, die Definition personenbezogener Daten deutlich enger zu fassen und pseudonymisierte Daten unter bestimmten Umständen von der DSGVO auszunehmen. Man folge da nur der Rechtsprechung des Europäischen Gerichtshofs, heißt es von der Kommission. Der Jurist und Datenschutzexperte Max Schrems und andere sagen, das geht weit darüber hinaus. Wer hat Recht?

Louisa Specht-Riemenschneider: Man kann das Urteil so oder so lesen. Ich frage mich, ob die geplanten Änderungen – wenn man genau hinschaut – tatsächlich eine Abweichung vom derzeitigen Standard darstellen. Dazu berate ich mich gerade noch mit meinen Kolleg:innen in der Datenschutzkonferenz und möchte dem ungern vorgreifen.

Was plant die EU-Kommission bei KI und Datenschutz?

„Datenschutz und KI gehen ganz schlecht zusammen“

netzpolitik.org: Ein weiterer Streitpunkt sind KI-Systeme. Die Kommission will klarstellen, dass diese auch ohne Einwilligung, auf Basis des legitimen Interesses, mit personenbezogenen Daten trainiert und betrieben werden dürfen.

Louisa Specht-Riemenschneider: Die Kommission folgt hier einer Empfehlung des Europäischen Datenschutzausschusses, bei der jedoch leider nicht genau ausformuliert wurde, unter welchen Bedingungen KI auf das berechtigte Interesse gestützt werden kann. Der Omnibus unterscheidet hier leider auch nicht zwischen KI-Training zu kommerziellen oder zu gemeinwohlorientierten Zwecken oder zur Ausübung anderer Grundrechte.

netzpolitik.org: Sie ist offenbar getrieben von der Sorge, Europa könne im sogenannten KI-Wettrennen verlieren. Gehen Datenschutz und KI einfach nicht zusammen?

Louisa Specht-Riemenschneider: Ja, der geltende Datenschutz-Rechtsrahmen und KI gehen ganz schlecht zusammen. Das Hauptproblem ist, dass unklar ist, wie man Betroffenenrechte geltend machen soll, wenn KI-Systeme sich einzelne Daten merken. Wie sollen Löschansprüche ausgeübt werden? Wie soll der Berichtigungsanspruch praktisch umgesetzt werden? Diese Fragen beantwortet auch der Digitale Omnibus nicht. Es wäre klug, wenn sich der europäische Gesetzgeber die Zeit nehmen würde, über diese Frage etwas intensiver nachzudenken.

Da sind wir auch wieder bei der Gretchenfrage: Für welche Zwecke wollen wir als Gesellschaft KI und für welche nicht? Das scheint mir wirklich eine Grundsatzdiskussion zu sein, die wir dringend führen und dann gesetzgeberisch entsprechend handeln müssen. Entwicklung und Einsatz von KI für gemeinwohlorientierte Zwecke oder zur Ausübung von Grundrechten würde ich gern gesetzlich privilegiert sehen, für andere Zwecke ist das meines Erachtens weniger erforderlich. Große Player, die kommerzielle KI-Modelle anbieten, können mit der Rechtsunsicherheit gut umgehen.

Wo eine Reform ansetzen sollte

netzpolitik.org: Viele Datenschützer:innen warnen davor, im aktuellen politischen Klima solche Grundsatzfragen zu stellen und das große Fass DSGVO überhaupt aufzumachen.

Louisa Specht-Riemenschneider: Ich möchte eine Grundsatzdebatte sogar vehement einfordern. Der bestehende Rechtsrahmen funktioniert nicht so, wie er funktionieren soll. Natürlich will ich die DSGVO nicht insgesamt nochmal zur Abstimmung stellen. Aber wir sollten über Nachbesserungen im geltenden Rechtsrahmen sprechen. Das Interessante am Omnibus ist ja nicht nur das, was drinsteht, sondern vor allem das, was nicht drin steht.

netzpolitik.org: Was fehlt Ihnen?

Louisa Specht-Riemenschneider: Wie bekomme ich zum Beispiel eine Databroker-Regelung in die DSGVO? Wie schaffen wir es, dass Selbstbestimmung nicht nur auf dem Papier existiert?

Das Grundproblem ist die Einwilligung. Wir hatten in den 1960er- und 1970er-Jahren eine ähnliche Diskussion zu Selbstbestimmung im Verbraucherschutzrecht. Schon damals war klar, dass Verbraucher:innen Entscheidungen treffen, die manchmal nicht selbstbestimmt sind, weil es Machtasymmetrien gibt. Also müssen wir dafür sorgen, dass wir die Vertragsparteien auf Augenhöhe bekommen, damit Verbraucher:innen gleichberechtigt entscheiden können.

Warum führen wir diese Diskussion nicht auch bei der DSGVO? Dafür müssen wir deren Grundsätze nicht anfassen, sondern an die Frage der Einwilligung ran. Und wir müssen dafür sorgen, dass die DSGVO besser in der Praxis umgesetzt wird. Das ist nur vordergründig eine Frage des Bürokratieabbaus.

netzpolitik.org: Sondern?

Louisa Specht-Riemenschneider: Ich höre oft von Unternehmer:innen, dass sie Datenschutz beachten wollen, aber nicht wissen, wie sie dabei am besten vorgehen. Wenn wir also am Ende mehr Rechtsklarheit in die Verordnung hineinbekommen, dann ist das auch ein Weg, um Betroffene besser zu schützen, weil die Regeln besser umgesetzt können. Auch der risikobasierte Ansatz der DSGVO sollte weiter ausdifferenziert werden. Also dass nicht alle die gleichen Pflichten haben, sondern ähnlich wie bei der KI-Verordnung die Verantwortung größer ist, wenn das Risiko der Datenverarbeitung zunimmt.

Datenhändler verkaufen metergenaue Standortdaten von EU-Personal

Wie man das Problem der Databroker lösen könnte

netzpolitik.org: Erst kürzlich konnten wir mit den gerade schon angesprochenen Databroker-Recherchen zeigen, wie sich selbst hochrangiges EU-Personal ausspionieren lässt – mit Daten aus dem Ökosystem der Online-Werbung, die wir kostenfrei von Databrokern bekommen haben. Wie löst man dieses Problem?

Louisa Specht-Riemenschneider: Das ist nicht trivial, weil Werbe-Tracking mit Einwilligung zulässig sein kann, in vielen Fällen wohl aber Zweifel an der Rechtsgültigkeit der Einwilligungen bestehen. Deshalb müssen wir uns zunächst anschauen, wie die Datenströme verlaufen: Ich habe ein Endgerät mit der Werbe-ID, von dem Daten an einen Databroker gehen, der häufig in einem Drittstaat sitzt, beispielsweise in den USA. Und dann habe ich einen Datenankäufer, der etwa in einem anderen europäischen Staat sitzt.

Den Databroker in den USA kriegt man aufsichtsrechtlich sehr schwer zu fassen, da bräuchte man Amtshilfe von US-Behörden. Beim Datenankäufer ist es einfacher, wenn er in einem EU-Mitgliedstaat sitzt. Er ist aber das letzte Glied in der Kette. Selbst wenn wir nachweisen können, dass er sich datenschutzwidrig verhält, beendet das noch nicht den Datenhandel.

Daher wäre es am sinnvollsten, die Apps ins Visier zu nehmen, die die Werbe-ID weitergeben. Wir sollten darüber nachdenken, ob die Ausleitung der Werbe-ID grundsätzlich beschränkt werden sollte – auch wenn Nutzer:innen „einwilligen“. Das könnte man übrigens auch in einem Omnibus regeln.

netzpolitik.org: Um die Komplexität noch zu erhöhen, gibt es auch noch das Teilproblem der Datenmarktplätze. Das sind die Plattformen, auf denen Interessierte und Anbieter von Daten zusammenkommen. Der größte Marktplatz hat seinen Sitz in Berlin, die Berliner Datenschutzaufsicht kam zu dem Schluss, dass die DSGVO nicht anwendbar ist, weil er nur Kontakte vermittelt und selbst die Datensätze nicht verarbeitet.

Louisa Specht-Riemenschneider: Wir hatten eine ähnliche Situation schon mal beim geistigen Eigentum. Filesharing-Clients hatten einst auch argumentiert, dass sie nur den Kontakt zwischen Person A und Person B herstellen, die dann Musikstücke austauschen. Damals haben die Gerichte die Vermittlungsplattform mit dem Täter quasi gleichgestellt. Eine solche Störerhaftung könnte man auch im Datenschutzrecht vorsehen.

Ich weiß, dass es die Rechtsauffassung gibt, dass die Tätigkeiten von Datenmarktplätzen heute schon eine Verarbeitungstätigkeit sind. Aber selbst dann wäre es hilfreich, dies explizit ins Gesetz zu schreiben, um Rechtsklarheit zu schaffen. Das könnte man gegebenenfalls sogar auf nationaler Ebene lösen, ohne den Weg über die EU.

„Eine Verpflichtung wäre eine großer Schritt“

netzpolitik.org: Überraschenderweise hat die EU-Kommission auch einen neuen Rechtsrahmen für Consent-Manager für Cookies in den Omnibus aufgenommen, obwohl dieser ja eigentlich nur eine technische Anpassung sein sollte. In Deutschland gibt es die Möglichkeit schon länger, Ihre Behörde hat neulich den ersten Cookie-Manager für Deutschland anerkannt. Würde das das Databroker-Problem lösen?

Louisa Specht-Riemenschneider: Nein, aber es löst ein anderes Problem.

Wenn ich das Ziel verfolge, Cookie-Banner zu reduzieren, dann habe ich dafür verschiedene Möglichkeiten. Eine besteht darin, den Verbraucher:innen die Möglichkeit zu geben, vorab generell zu erklären, für welche Zwecke Cookies bei ihnen gesetzt werden dürfen und für welche nicht. Und die Website-Betreiber zugleich dazu zu verpflichten, diese Entscheidung auch zu akzeptieren.

Das ist auch der Punkt, den ich beim Omnibus einigermaßen positiv sehe. Da steht drin, dass Website-Betreiber die Cookie-Einstellung akzeptieren sollten. Wenn die Vorgabe so zu lesen ist, dass sie dazu verpflichtet sind, dann wäre das ein großer Schritt. Denn diese Pflicht sieht die deutsche Rechtslage derzeit nicht vor. Das ist ja der große Kritikpunkt an den Einwilligungsmanagementsystemen, wie sie in Deutschland gegenwärtig vorgesehen sind.

„Hundertprozentige Sicherheit gibt es nicht“

netzpolitik.org: Sie sprachen eingangs das Grundrecht auf Schutz der Gesundheit an. Die elektronische Patientenakte hat ein ereignisreiches Jahr hinter sich. Auf Sicherheitslücken in der ePA angesprochen, haben Sie mal den Vergleich gezogen, dass in ein Haus auch eingebrochen werden kann – „ganz gleich, wie gut die Alarmanlage ist“. Ist das nicht eine schräge Analogie?

Das gebrochene Versprechen

Louisa Specht-Riemenschneider: Was ich damit sagen wollte, ist, dass wir nie eine hundertprozentige Sicherheit im technischen System haben können. Eine solche Sicherheit gibt es nicht.

Wir müssen allerdings alles tun, um Sicherheitslücken so früh wie möglich zu erkennen, zu schließen und deren Zahl so gering wie möglich zu halten. Das sind die drei Dinge, die wahnsinnig wichtig sind.

Allerdings ist bei der Sicherheit der ePA das Bundesamt für Sicherheit in der Informationstechnik (BSI) der primäre Ansprechpartner. Wir als Datenschutzaufsicht schauen uns vor allem die Datenverarbeitung an, die in der ePA stattfindet. Das BSI ist dafür zuständig, im Dialog mit dem Bundesgesundheitsministerium und der Gematik, die Sicherheitslücken zu schließen. Wir werden dann darüber informiert und dürfen uns dazu äußern.

netzpolitik.org: Das war ja mal anders.

Louisa Specht-Riemenschneider: Früher mussten Spezifikation der Gematik von uns „freigeben“ werden, sie musste also Einvernehmen mit uns herstellen. Jetzt muss sie uns nur noch ins Benehmen setzen. Ich darf jetzt zwar etwas sagen, aber man muss mir theoretisch nicht mehr zuhören.

netzpolitik.org: In ihren Vorversionen verfügte die ePA noch über zahlreiche Möglichkeiten, mit denen Versicherte genauer einstellen konnten, welche Dokumente Behandelnde sehen dürfen und welche nicht. Davon ist heute nicht mehr viel übrig. Ist das Versprechen einer patientenzenterierten ePA überhaupt noch zu halten?

Louisa Specht-Riemenschneider: Es kommt darauf an, was man als patientenzentriert definiert. Die Einstellungen in der ePA 2.0 waren dokumentengenauer. Das wurde ein Stück weit zurückgeschraubt. Wir werden allerdings mit dem Europäischen Gesundheitsdatenraum (EHDS) bald eine Rechtslage bekommen, die möglicherweise wieder feinere Einstellungen vorsieht. Die Details dazu werden derzeit noch ausgearbeitet.

Ein großes Problem in der ePA war, dass Leistungserbringer immer auch die Abrechnungsdaten zu sehen bekamen, die die Krankenkasse in die Patientenakte einstellt. Selbst wenn ich eingestellt hatte, dass bestimmte Leistungserbringer Dokumente nicht sehen sollen. Ärzte hätten dann trotzdem sehen können, dass man schon bei einem anderen Arzt war und wie die Diagnose lautete. Das ist zumindest abgestellt worden und das ist ein Fortschritt.

„Für eine patientenztentrierte ePA ist es noch nicht zu spät“

netzpolitik.org: Dennoch bleibt die Frage, ob die Chance vertan wurde, ein großes Digitalisierungsprojekt datenschutzorientiert auf die Beine zu stellen?

Louisa Specht-Riemenschneider: Ich muss selbst entscheiden können, welche Daten in meine ePA hineinkommen. Das kann ich aber nur tun, wenn ich vernünftig informiert werde. Bislang wird äußerst wenig dafür getan, dass Informationen auch bei den Menschen ankommen.

Und das vor allem deswegen, weil das Gesetz überall Informationserteilungspflichten vorsieht, aber nicht fordert, dass die Information von den Patient:innen auch wahrgenommen wird. Erst jetzt startet eine breit angelegte Werbekampagne des BMG. Insgesamt wurde aus meiner Sicht viel zu spät und mit viel zu geringer Priorität informiert. Wir haben dazu gerade eine große Umfrage durchgeführt und veröffentlichen die Ergebnisse bald in unserem Datenschutzbarometer.

Wir haben unzählige Beratungsschreiben an die Krankenkassen geschrieben, damit die Informationen möglichst gut verstanden werden. Damit Menschen sich wirklich befähigt fühlen, informierte Entscheidungen zu treffen, muss ich anders informieren als in einem fünfseitigen Brief, den Versicherte bekommen und dann achtlos in den Müll schmeißen, weil sie denken, das es eine weitere Beitragsanpassung ist. Ich sehe die Verantwortung aber hier wie gesagt auch beim Gesetzgeber.

Ist die Chance vertan, dass die ePA dem Anspruch an Information und Selbstbestimmung gerecht wird? Ich glaube nicht. Aber es ist verdammt spät.

„Das würde meine Behörde und mich sehr schmerzen“

netzpolitik.org: Lassen Sie uns zum Schluss über eine weitere Datenschutz-Baustelle sprechen: die Verteilung der Aufsichtskompetenz in Deutschland. Ihre Behörde könnte die Aufsicht über die Geheimdienste verlieren.

Louisa Specht-Riemenschneider: Das ist für mich eine ganz schwierige Situation. Der Verlust der Aufsicht über die Nachrichtendienste würde meine Behörde und mich sehr schmerzen. Nicht weil wir dann zwanzig Mitarbeiter weniger hätten. Sondern weil wir die einzige Stelle sind, die eine komplette Übersicht über die Sicherheitsbehörden insgesamt hat und darüber, wie sie Daten von Bürgerinnen und Bürgern nutzen.

Die aktuelle politische Diskussion geht klar in die Richtung, dass Nachrichtendienste mehr Befugnisse erhalten sollen. Ein solcher Machtzuwachs lässt sich aber nur dann rechtfertigen, wenn gleichzeitig ein vernünftiges Aufsichtsregime gewährleistet wird.

netzpolitik.org: Die Pläne kämen einer Entmachtung Ihrer Behörde gleich.

Louisa Specht-Riemenschneider: Teile der Aufsicht, die wir bisher ausgeübt haben, sollen in einen unabhängigen Kontrollrat verlagert werden. Das wäre eine Zerfaserung der Aufsicht, die Gesamtübersicht über die Sicherheitsbehörden wäre nicht mehr gegeben. Das finde ich bedenklich. Wir sind nämlich auch die einzige Stelle, die die Gesamtheit des Überwachungsdrucks im Blick behalten kann.

Wir haben derzeit eine Haushaltssituation, wo alle sparen sollen. Ich frage mich, wieso da eine neue Stelle geschaffen werden soll, die Aufgaben übernimmt, für die eine andere Behörde jahrelang Kompetenz aufgebaut hat. Haben wir vielleicht zu genau hingeschaut in den vergangenen Jahren?

netzpolitik.org: An anderer Stelle könnte Ihre Behörde an Bedeutung gewinnen. Der Koalitionsvertrag sieht eine Bündelung der Zuständigkeiten und Kompetenzen bei der Aufsicht über Wirtschaft und Vereine bei Ihnen vor. Dafür kursieren unterschiedliche Modelle.

Louisa Specht-Riemenschneider: Auch diese Situation ist für mich persönlich nicht ganz leicht, weil ich meine Kolleg:innen aus der Datenschutzkonferenz (DSK) sehr schätze. Die Landesdatenschutzaufsichtsbehörden machen hervorragende Arbeit.

Gleichwohl glaube ich, dass 18 Aufsichtsbehörden zwangsläufig auch mal unterschiedliche Rechtsauffassungen vertreten. Wir können nicht alles auf DSK-Ebene diskutieren und gemeinsam entscheiden. Es gibt daher gute Argumente für eine Bündelung. Ich glaube auch, dass man Aufsicht und Beratung dann besser skalieren könnte.

Unabhängig davon, welches Modell es am Ende wird, muss die Datenschutzkonferenz für die Aufsicht über öffentliche Stellen eine eigene Geschäftsstelle bekommen, weil durch den wechselnden Vorsitz zu viele Kapazitäten in Organisationsfragen gebunden werden.

netzpolitik.org: Zum Abschluss die Preisfrage: Wie viele neue Stellen bräuchten Sie, wenn es zu einer Zentralisierung kommen sollte, also einer vollständigen Verlagerung der Wirtschaftsaufsicht von den Länderbehörden zu Ihnen?

Louisa Specht-Riemenschneider: Wir gehen je nach Ausgestaltung von einer hohen zweistelligen bis niedrigen dreistelligen Zahl aus.

netzpolitik.org: Ihre Länderkolleg:innen rechnen mit deutlich höheren Zahlen.

Louisa Specht-Riemenschneider: Wir haben das intern durchgerechnet und gehen von Skalierungseffekten aus. Insofern kommen wir mit deutlich weniger Stellen aus, als derzeit in der öffentlichen Diskussion angenommen wird.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Vor drei Jahren begann ein Selbstversuch, der eigentlich für etwa ein Jahr laufen sollte: Wie kann man sich ohne viel Vorwissen und technische Detailkenntnisse von all dem Werbe-Tracking, von den professionellen Datensammlern und auch generell vom Werbemarkt loslösen, dabei auch staatlicher Überwachung und Geheimdiensten ebenso wie Kriminellen besser entgehen? Katharina Larisch und Volker Wittpahl haben es versucht, haben ihre Hardware und Software umgestellt, ihre Kommunikation verändert, ihre Social-Media-Nutzung umgekrempelt.

Sie wollten ausprobieren, ob eine datenschutzfreundliche digitale Existenz mit dem ganz normalen Alltag mit Familie, Freunden und Berufsleben vereinbar ist. Sie suchten sich allerdings von Anfang an Hilfe – für konkrete technische Unterstützung und für den Fall, dass was schiefgeht. Wir haben Katharina und Volker sowie ihren Coach Klaudia Zotzmann-Koch in einem Interview gefragt, was sie gelernt haben und welches Vorgehen sie empfehlen können. Wo sind sie an Grenzen gestoßen? Wie geht die Umstellung mit dem normalen Leben zusammen? Wie konsequent haben sie es durchgezogen?

Es ging langsamer als erwartet, die Hoheit über die eigenen Daten und Systeme zu erlangen, denn der Umstieg auf freie Software und die weitgehende Vermeidung von kommerzieller Software wurde ein mehrstufiger Prozess. Als die Tester ein Jahr nach Beginn des Selbstversuchs über ihre Erfahrungen bei der PrivacyWeek 2019 gesprochen haben, resümierte Katharina: „Es ist kein Projekt mehr, sondern eine Art zu leben geworden.“

Wer es selbst ausprobieren möchte, kann als Einstieg unser Kleines Einmaleins der digitalen Selbstverteidigung nutzen. Weitere vielfältige Hinweise sind auf den Webseiten von Prism Break, Data Detox Kit und Privacy Tools (Englisch) zusammengestellt.

Selbstbestimmter im Netz unterwegs

netzpolitik.org: Liebe Klaudia, lieber Volker, liebe Katharina, bitte beschreibt doch kurz, was für ein Projekt ihr zusammen durchzieht.

Volker Wittpahl: Ziel unseres Projektes war es, unter Betreuung und Anleitung herauszufinden, inwieweit es für technische Laien möglich ist, sich im privaten Umfeld digital mündig zu machen, und wie praktikabel und nutzerfreundlich diese Mündigkeit im Alltag ist.

Katharina Larisch: Ich wurde als Familienmitglied von Volker für das Projekt einfach „verkauft“ und habe initial des Hausfriedens willen mitgemacht. Nach jeder Session mit Klaudia wurde allerdings meine Laune schlechter und damit meine Motivation besser. Und meine Sensibilität für Datenlecks, vor allem im Gesundheitsbereich, hat deutlich zugenommen: Nachrichten dazu haben mich auf einmal deutlich mehr interessiert und mich förmlich angesprungen.

Klaudia Zotzmann-Koch: Nach der PrivacyWeek 2018, bei der Volker als Vortragender in Wien war, kontaktierte er mich im Nachhinein fragte, ob ich ihn und Katharina coachen könnte, um selbstbestimmter im Netz unterwegs sein zu können. Natürlich habe ich sofort Ja gesagt. Und Clemens Hopfer, den Volker ebenfalls auf der PrivacyWeek kennengelernt hat, ist wegen Linux und Hardware auch noch mit im Boot.

netzpolitik.org: Wie kam es dazu, dass ihr informationelle Selbstbestimmung ganz praktisch in die Tat umsetzen wolltet?

Katharina Larisch: Ich habe ich mich in der Vergangenheit mit Gesundheitsdaten und Datenanalytik beschäftigt und ein Gefühl dafür, was man aus scheinbar ganz harmlosen Daten lesen kann. Seitdem bekämpfe ich auch die „Ich habe ja nichts zu verbergen“-Floskel.

Volker Wittpahl: Meine Teilnahme an der PrivacyWeek in Wien und die dort gezeigten Möglichkeiten beim Umgang mit Technologie-Konzernen und durch quelloffene und freie Software waren ein Auslöser. Kurz vor der PrivacyWeek war mein damaliges Windows-Telefon kaputt gegangen, und ich hatte nur die Wahl zwischen iPhone und Android-Geräten. Als ich deswegen frustriert war, sagte mir Clemens, dass es natürlich freie Systeme gäbe, und zeigte mir sein LineageOS-Telefon. Das hat dann den Ausschlag gegeben.

Die einfachen Dinge zuerst

netzpolitik.org: Beschreibt doch mal, welche konkreten Änderungen ihr in eurem digitalen Leben vorgenommen habt und in welcher Reihenfolge ihr vorgegangen seid.

Katharina Larisch: Die einfachen Dinge zuerst: Messenger geändert, Browser mit Plugins bestückt, nichts Wichtiges mehr per unverschlüsselter E-Mail verschickt und nicht mehr im Browser auf „alles akzeptieren“ geklickt. Und dank Volker steht der Passwortmanager KeepassXC seit langem auf meiner Liste. Ich konnte mich damit noch nicht richtig anfreunden, für mich ist das ein „der Technik ausgeliefert sein“-Gefühl.

netzpolitik.org: Hast Du auch mit den einfachen Dingen begonnen, Volker?

Volker Wittpahl: Ich habe begonnen mit einer Inventur und Bestandsaufnahme von im Haushalt, also privat vorhandener Hardware, installierter und gekaufter Software inklusive Betriebsystemen sowie Internet- und Cloud-Diensten, wie auch Mail- und anderer Nutzerkonten.

Danach habe ich mich von allen „kostenfreien“ Diensten, Angeboten und Software – auch Betriebssystemen – kommerzieller Anbieter getrennt, im besonderen jener, die unter den US-amerikanischen Cloud Act fallen.

Dann habe ich mir ein Smartphone angeschafft, auf dem ein freies Betriebssystem – in meinem Falle LineageOS – eigenständig installiert wurde, natürlich mit F-Droid und nur freien und quelloffenen Apps.

Parallel begann ich mit dem Aufsetzen einer privaten Nextcloud und der Synchronisation aller Dateien und Adressdaten von dort auf allen privaten Geräten. Das endete nach einem Jahr, weil ich das Selbsthosting zugunsten von der Nutzung einer von einem deutschen Dienstleister gehosteten Nextcloud aufgegeben habe.

Außerdem wurde Linux – konkret Linux Mint – neben Windows auf den privaten Laptops installiert. Mittlerweile läuft bei mir nur noch Linux.

netzpolitik.org: Warum hast Du das Hosting von NextCloud beendet und greifst auf einen Dienstleister zurück, aus Sicherheitsgründen?

Volker Wittpahl: Mir fehlt das Wissen und die Erfahrung aus dem Bereich Server- und Netzwerkadministration, um alle notwendigen Patches und Updates regelmäßig einzuspielen. Nach dem ersten Update-Crash des Systems war für mich klar, dass der Aufwand und die Qualität eines professionellen Dienstleisters nach europäischen Sicherheitsstandards in Relation zum Selbsthosting preiswerter und zuverlässiger sind.

So niederschwellig wie möglich

netzpolitik.org: Wie kam es dazu, Klaudia, dass Du anderen helfen kannst und willst, selbstbestimmter mit den digitalen Werkzeugen umzugehen?

Klaudia Zotzmann-Koch: Ich bin Mit-Organisatorin der PrivacyWeek in Wien und seit 2015 aktiv im Chaos Computer Club. Ich habe selbst über mehrere Jahre hinweg gelernt, wie Dinge zusammenhängen, was hinter Tracking und verschiedenen Businessmodellen steht, aber auch, was man selber tun kann. In vielen Workshops, die ich seit 2016 dazu gebe, sehe ich auch, woran es immer wieder hakt und welche Fragen „Normaluser:innen“ haben.

Das sind üblicherweise ganz andere, als IT-Kundige und politische Entscheidungsträger:innen meinen. Während viel von informationeller Selbstbestimmung, informierten Zustimmungen zu Datenverarbeitung und anderen abstrakten Konstrukten geredet wird, sind die Probleme überwiegend viel weiter vorne. Schon allein Software- und Hardwarefehler zu unterscheiden, fällt den meisten schwer: Das Ding ist einfach kaputt. Selbst etwas programmieren, davon sind wir ganz weit weg. Oder auch davon, die Zusammenhänge hinter den Kulissen datenverarbeitender Firmen zu durchschauen. Für die meisten sind Datenschutzerklärungen oder AGBs unnütze Informationstexte, die man schnell wegklickt, weil man gerade ein ganz anderes Problem zu lösen hat.

Es ist mir seither ein echtes Anliegen, die Inhalte so niederschwellig wie möglich zu vermitteln. Und ich lerne selber jede Woche wieder etwas Neues, das ich dann in Workshops und Coachings einbaue und in die nächste überarbeitete Neuauflage meines Buches „Dann haben die halt meine Daten. Na und?!“, was ein weiteres Ergebnis meines Erlernten ist.

netzpolitik.org: Heute bist Du Coach, aber wie bist Du vorgegangen, um selbst digital selbstbestimmter zu werden?

Klaudia Zotzmann-Koch: Ich besuchte ab Herbst 2015 Cryptoparties und fing erst einmal mit den „Quickwins“ an, also leichten Dingen, die einfach machbar sind: Browser-Plugins für https und Adblocker nutzen. Ich wechselte zum Messenger Signal, nutzte bald eine Nextcloud. Kalender und Adressbuch wanderten von den Herstellern meiner Geräte in meine eigenen Hände.

Der Password-Safe war für mich ein „Game-Changer“. Dann habe ich meine Social-Media-Profile ausgemistet, Facebook nicht mehr benutzt, Twitter nur noch gezielt und sehr selbst-moderiert verwendet. Und danach lief das quasi spiralförmig, also Apps gegen datenschutzfreundlichere Alternativen auswechseln, Programme auf „Nachhause-Senden von Informationen“ kontrollieren. Eins nach dem anderen und immer etwas straffer.

E-Mail-Verschlüsselung war eine Herausforderung. Aber durch Menschen um mich herum war es sehr einfach, an die Informationen und an Hilfe zu kommen. Im Nachhinein kann ich nicht einmal sagen, dass mir die Umstellung sehr schwer gefallen ist, aber durch mein Umfeld war ich auch in einer privilegierten Position.

netzpolitik.org: Mit Blick auf euren ganz normalen Alltag, beruflich und privat: Wie sehr hat sich eure Techniknutzung und der Blick auf den Umgang mit Technologien verändert?

Katharina Larisch: Privat nutze ich viel mehr freie und quelloffene Software, beruflich stelle ich unangenehme Fragen wie etwa zum Datenschutz und zur digitalen mündlichen Prüfung über den Anbieter Zoom. Und ich nutze seitdem nicht mehr das Wort Datenschutz, um lästige Dinge loszuwerden, ganz im Gegenteil: Wenn jemand die Augen verdreht, singe ich das Hohelied vom Datenschutz.

Volker Wittpahl: Es hat sich sehr verändert, da ich nun bei „freien“ Angeboten kritischer den Datenschutz und die Wahrung der Privatsphäre hinterfrage. Beim Kauf von neuer Technik schaue ich immer, ob es auch eine bereits bewährte Open-Source-Lösung gibt, beispielsweise beim Smart Home.

Ich nutze im Privaten nur noch Open-Source-Software und bekomme sofort ein komisches Gefühl, wenn mich jemand nötigt, für einen Vorgang eine kommerzielle App wie die Luca-App zur Corona-Nachverfolgung oder eine „Security-App“ zur Online-Kreditkarten-Zahlung auf einem Android- oder iOS-Gerät zu installieren.

Klaudia Zotzmann-Koch: Ich versuche, auf dem Stand der Technik zu bleiben und da, wo ich Verbesserungsmöglichkeiten sehe oder auf diese hingewiesen werde, auf Open-Source-Alternativen umzusteigen. Ein bisschen was geht immer noch besser. Bei vielem haben mich Volker und Katharina tatsächlich überholt, oder sie suchen rigoroser nach quelloffenen Lösungen, wo ich auch mal bei kommerziellen Produkten hängenbleibe, die allerdings für mich immer gute Bewertungen von Datenschutzexpert:innen haben müssen.

Ein Fazit

netzpolitik.org: Was würdet ihr sagen, welche Software oder Hardware hat die größte Veränderung mit sich gebracht?

Klaudia Zotzmann-Koch: Generell hat Software für mich den größten Unterschied gemacht, eindeutig. Da ist von meinen alten „Normaluser:innen“-Gewohnheiten von vor dem Herbst 2015 fast nichts mehr übrig. Adblocker und Password-Safe waren meine größten Gewinne, und der Umstieg von Twitter ins Fediverse, wo Clemens und ich mittlerweile einen eigenen Mastodon-Server betreiben. Wir bieten auch eine ganze Open-Source-Sammlung für Autor:innen und Kreative an.

Volker Wittpahl: Beim persönlichen Verhalten war der Umstieg auf ein Smartphone mit freiem Betriebssystem und freier Software die größte Veränderung. Noch besser wurde das Gefühl beim Wechsel von LineageOS zu GrapheneOS. Seit GrapheneOS kann kein Laie mehr sagen: „Ich würde ja gern ein freies Phone haben, aber die Installation ist zu komplex für mich.“

netzpolitik.org: Was für ein Fazit würdet ihr bisher ziehen?

Volker Wittpahl: Bei mir gab es eine enorme Sensibilisierung für Aspekte des Datenmissbrauchs und für das kritische Hinterfragen bei der Anschaffung und Nutzung neuer technischer Dinge. Gefühlt gibt es bei mir weniger Auf- und Erregung durch Push-Nachrichten auf dem Smartphone.

Auf der PrivacyWeek habe ich gelernt, dass für die Sicherheit von Computer und Smartphone regelmäßige Updates wesentlich wichtiger sind als Virenschutzprogramme. Fast täglich meldet mir mein Laptop und einmal in der Woche mein Smartphone, dass wieder Software-Updates zur Installation bereitstehen. Ich freue mich jedesmal, wenn ich ein Update installieren kann: Denn dann hat sich jemand um eine Sicherheitslücke auf meinem Gerät gekümmert. Auch wenn es sich komisch anhört, aber es gibt mir ein anderes Gefühl der Sicherheit im positiven Sinne, als ich es bei den Updates der kommerziellen Programme habe.

Klaudia Zotzmann-Koch: Volker und Katharina sind sehr engagiert bei der Sache und haben es wirklich ein Jahr lang durchgezogen. Wir haben uns regelmäßig online getroffen, und sie haben auch mich immer wieder mit ihren Fragen und Recherchen an meine thematischen Grenzen gebracht. Ich habe selbst viel aus diesem Coaching gelernt. Die beiden sind noch immer fleißig dabei und tragen ihre Erfahrungen weiter. Das finde ich sehr schön zu beobachten.

netzpolitik.org: Woran seid ihr gescheitert? Was würdet ihr gern nutzen, was aber ohne richtig viel Aufwand oder viel Zeit nicht machbar war?

Katharina Larisch: Mailverschlüsselung, auch nachdem mir Klaudia den Unterschied zwischen Mail, verschlüsselter Mail und VPN-Nutzung erklärt hat. Aber diese Erklärung nutze ich bis heute, falls mal wieder ein Arztbrief per Mail ohne Verschlüsselung bei mir landet.

Klaudia Zotzmann-Koch: Ich hätte gern einen leicht zu bedienenden Static Site Generator für Webseiten. Ich warte auf eine Nutzer:innen-freundliche Umgebung, die ich dann auch wieder in Workshops unfallfrei und guten Gewissens an Einsteiger:innen weitergeben kann.

Volker Wittpahl: Zu vielen Dingen, etwa Fitnessbänder oder Smart-TVs, gibt es jede Menge Studien und Berichte über Datenschutzfragen. Aber für die Anschaffung und Einrichtung eines Privacy-freundlichen Druckers gibt es kaum Studien oder Empfehlungen, auch nicht von den Verbraucherzentralen oder Datenschützern.

„Nicht zu streng mit sich selbst sein“

netzpolitik.org: Was haltet ihr angesichts eurer Erfahrungen für ein sinnvolles Vorgehen, wenn andere nun auch etwas mehr informationelle Selbstbestimmung in die Praxis umsetzen wollen?

Katharina Larisch: Ganz einfach anfangen: soziale Medien wie Facebook meiden, ebenso Whatsapp. Es gibt ausreichend gute Alternativen.

Klaudia Zotzmann-Koch: Genau, ganz klein anfangen und nicht zuviel auf einmal umstellen. Wenn es stressig wird, fallen wir fast unweigerlich in alte Verhaltensmuster zurück, dann verzetteln wir uns. Immer eins nach dem anderen.

Für den Anfang ist der Wechsel zu beispielsweise Firefox mit dem Plugin uBlock origin eine überschaubare Sache, hilft aber schon viel. Als Zweites würde ich einen Password-Safe empfehlen. Und wenn das nach ein paar Tagen oder auch zwei, drei Wochen „sitzt“, dann das nächste angehen.

Vor allem sollte man aber während des Wegs nicht zu streng mit sich selbst sein. Wir stoßen alle an Grenzen, wo wir zum Teil nicht frei entscheiden können – im Job oder im Verein zum Beispiel, wo bestehende Strukturen da sind und wo Hinterfragen vielleicht schon zu vehementer Gegenwehr führt. Das sind dicke Bretter, die man nur über die Zeit bearbeiten kann. Auf jeden Fall nicht kleinkriegen lassen, immer wieder die Themen ansprechen. Meist ist es überraschend, wie viele Verbündete es tatsächlich schon gibt, die erleichtert sind, dass jemand das Thema angesprochen hat.

netzpolitik.org: Welche Rolle spielt Bequemlichkeit?

Volker Wittpahl: Die gleiche wie überall. Das kann man mit gesunder Ernährung oder Sport vergleichen. Prinzipiell weiß jeder, wie das funktioniert, aber sehr viele bewegen sich kaum und essen ungesund. Ähnlich wie bei Sport und Ernährung kann ich mich auch zu digitalen Aspekten mit überschaubarem Aufwand informieren und mein Verhalten ändern. Hier greifen die gleichen Verhaltensmuster.

Katharina Larisch: Bequemlichkeit spielt mit der Zeit keine Rolle mehr, man gewöhnt sich an vieles. Zudem ist der Unterschied zwischen freien und kommerziellen Produkten nicht groß, sobald man die erste Hürde genommen hat. Für die Motivation der ersten Hürde hatten wir ja Klaudia. (lacht)

Klaudia Zotzmann-Koch: Bequemlichkeit spielt eine große Rolle. Aber wenn man sich erst einmal an andere Lösungen gewöhnt hat, sind das die bequemen. Teams oder Zoom installieren? Wozu das denn? BBB und Jitsi laufen im Browser und sind viel niedrigschwelliger.

netzpolitik.org: Habt ihr politische Forderungen?

Katharina Larisch: Aufklärung, Aufklärung, Aufklärung! Ich habe nicht viel Wissen, werde aber mittlerweile als Experte gehandelt frei nach dem Motto: Unter Blinden ist der Einäugige König. Zudem wird Datenschutz zu oft als Ausrede missbraucht, um eigenes Versagen zu verschleiern.

Volker Wittpahl: Der Aussage von Katharina kann ich mich nur anschließen: aufklären und vorleben. Allein die Kenntnis um den Cloud Act und das EuGH-Urteil zum Privacy Shield machen Dich in Diskussionen auf einmal zum Experten, selbst unter studierten Informatiker:innen. Wenn dann noch rauskommt, dass man ein Smartphone mit freiem Betriebssystem nutzt, steht man nicht als digital mündiger Bürger da, sondern entweder in der Nerd- oder Fanatiker-Ecke.

Klaudia Zotzmann-Koch: Die Bildung und das Bewusstsein in der Fläche schaffen, das wäre meine Forderung. Vor allem sollten nicht wieder Digitalkonzerne diejenigen sein, die in die Schulen gehen, da alles voll ausstatten und den Kindern dann ausschließlich die eigenen Lösungen beibringen. Wir brauchen keine auf bestimmte Lösungen dressierten Leute, die nichts hinterfragen, sondern für alle solides Grundwissen, auf dem dann je nach eigenem Berufs- und Lebensweg aufgebaut werden kann.

netzpolitik.org: Wie wollt ihr weitermachen?

Katharina Larisch: Auf meiner to-do-Liste stehen noch Mailverschlüsselung und Passwortgenerator, aber ich versuche auch, Wissen weiterzugeben, beispielsweise durch eine Lehrveranstaltung zur digitalen Gesundheitskompetenz.

Volker Wittpahl: Mein Ansatz ist lebenslanges Lernen: Wenn es neue Dinge gibt, die relevant sind, etwa bei der Nutzung von Messengern, passe ich mein Verhalten an. Ich versuche, Vorbild zu sein, um anderen zu zeigen, wie digitale Mündigkeit gelebt werden kann.

Klaudia Zotzmann-Koch: Auch für mich gilt: Ich möchte selbst weiter lernen und weitergeben, was ich gelernt habe.

netzpolitik.org: Vielen Dank für das Interview und eure Zeit!

---

Katharina Larisch ist Professor für Physician Assistance an der Europäischen Fachhochschule und Fachärztin für Arbeitsmedizin. Sie ist Mitbegründerin und war Medical Lead des Online-Gesundheitsportals netdoktor.de.

Volker Wittpahl ist Ingenieur und Direktor des Instituts für Innovation und Technik in Berlin sowie Professor an der Klaipeda University in Litauen.

Klaudia Zotzmann-Koch ist Podcasterin und Datenschutzexpertin, gibt Workshops zu Medienkompetenz und Privatsphäre. Sie ist Autorin von Krimis, Romanen, Science Fiction sowie verschiedenen Bereichen moderner Medien.

---

Hilf mit! Mit Deiner finanziellen Hilfe unterstützt Du unabhängigen Journalismus.