Die Bundesregierung strukturiert die Arbeit des Verfassungschutzes und des BND grundlegend neu. Ihren heute beschlossenen Gesetzentwurf sieht sie als „absoluten Meilenstein der deutschen Sicherheitsarchitektur“. Tatsächlich ist er geschichtsvergessen und eine Bedrohung für die Grundrechte aller. Ein Kommentar.

Diese Reform ist überfällig. Zu lange haben Verfassungsschutz und BND auf rechtlich fragwürdiger Grundlage operiert. Das hatte auch das Bundesverfassungsgericht kritisiert und dem Bundestag bis Ende dieses Jahres Zeit gegeben, um etwa die Kontrolle des BND zu verbessern.

Die Regierung folgt der Forderung aus Karlsruhe – und schießt weit am Ziel vorbei. In ihrem rund 730-seitigen Gesetzentwurf legt sie dar, wie „echte“ Geheimdienstarbeit und deren Kontrolle künftig aussehen soll. Gleichzeitig nutzt sie die Rüge der Karlsruher Richter:innen dazu, um Grundprinzipien der bundesdeutschen Nachkriegsdemokratie auf den Kopf zu stellen. Und das ist nicht nur gefährlich geschichtsvergessen, sondern auch eine Bedrohung für die Zivilgesellschaft und die Grundrechte aller.

Die Schwächung des Trennungsgebots ist geschichtsvergessen

Es waren die Alliierten, die der Bundesrepublik das Trennungsgebot als historische Lehre aus dem Nationalsozialismus auferlegten. Nie wieder sollte eine geheim operierende, politische Staatspolizei auf deutschem Boden agieren. Die Geheimdienste sollten sich demnach darauf beschränken, Informationen zu sammeln. Und nur die Polizei sollte direkt eingreifen dürfen.

Diese Trennung will die Bundesregierung nun deutlich aufweichen. Geht es nach der Regierung, darf der Verfassungsschutz künftig heimlich in Wohnungen einbrechen, heimlich Gegenstände zerstören und manipulieren sowie heimlich Zurückhacken.

Eine mächtige Parallelpolizei soll entstehen – nur wenige Wochen, bevor in drei Bundesländern gewählt wird. Am 6. September zunächst in Sachsen-Anhalt, wo die AfD als gesichert rechtsextremistisch gilt und in den Umfragen führt. Kommt sie dort an die Macht, könnte sie, wie bereits von ihr angekündigt, politische Beamt:innen austauschen. Auch der Leiter des Landesverfassungsschutzes ist ein politischer Beamter. Aus Sicht der AfD kommt die Reform wohl genau zur richtigen Zeit.

Die Zivilgesellschaft rückt stärker ins Visier

Aber auch wenn sich der Bundesverfassungsschutz an die Arbeit der Polizei annähert, arbeitet er in einer Hinsicht kategorisch anders als diese. Und das ist eine Gefahr für die Zivilgesellschaft, die es in Zeiten der Faschisierung mehr denn je braucht.

Denn die Polizei braucht einen konkreten Anfangsverdacht, dass Menschen gegen geltendes Recht verstoßen, um strafrechtlich gegen sie zu ermitteln. Und in Ermittlungsverfahren können sich Betroffene wehren.

Der Verfassungsschutz könnte eine Bedrohung hingegen schon dann als „erheblich beobachtungsbedürftig“ einstufen, wenn jemand sein Vorgehen verschleiert, etwa indem er seine Kommunikation verschlüsselt. Ebenso reichen künftig Bagatellstraftaten dafür aus, etwa Sticker zu kleben oder Plakate abzureißen, schreibt die Gesellschaft für Freiheitsrechte. Und während der Beobachtung erfahren die Betroffenen in der Regel nichts von der Maßnahme.

Bereits in der Vergangenheit hat der Verfassungsschutz politische Oppositionelle überwacht. Künftig müssen politische Aktivist:innen und ihr Umfeld damit rechnen, noch schneller ins Visier des Inlandsgeheimdienstes zu geraten – der dann noch mächtiger ist.

Unzureichende Kontrolle hinter verschlossenen Türen

Der massiven Ausweitung der Befugnisse steht eine Kontrolle gegenüber, die „weniger bürokratisch“ ist, wie die neue Chefin des Bundeskanzleramts, Nina Warken (CDU), in der heutigen Pressekonferenz sagte.

Tatsächlich soll fortan ein gerade einmal neunköpfiger Unabhängiger Kontrollrat (UKRat) beide Dienste kontrollieren. Die G10-Kommission wird aufgelöst, und die Bundesdatenschutzbeauftragte soll ebenfalls außen vor bleiben. Geheimdienste verarbeiten vor allem Informationen, das Thema Datenschutz ist da offensichtlich zu lästig.

Dessen ungeachtet bezeichnet Marc Henrichmann (CDU), Vorsitzender des Parlamentarischen Kontrollgremiums, den UKRat als vorbildlich. Eine vergleichbare Kontrolle gebe es in kaum einem anderen europäischen Land. Organisationen wie Reporter ohne Grenzen sehen das anders: Sie weisen darauf hin, dass für Frankreich und die Niederlande Geheimdienstarbeit und Quellenschutz kein Widerspruch sind. Und in der britischen Geheimdienstkontrolle gibt es einen „Anwalt der Betroffenen“, der Interessen von Personen vertritt, die von Geheimdienstmaßnahmen betroffen sind.

Vergleichbare Vorkehrungen zur Stärkung des Grundrechtsschutzes sucht man im Gesetzentwurf der Bundesregierung meist vergeblich. Es ist daher nur zu hoffen, dass sich die Abgeordneten des Bundestages vom „absoluten Meilenstein der deutschen Sicherheitsarchitektur“ (Alexander Dobrindt) nicht erschlagen lassen und nachbessern.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Berlin und Bund legen vor, Brandenburg zieht nach. Auch hier plant die Regierung, Informationsfreiheitsrechte zu schwächen. Wieder sollen Sicherheitsbedenken die Intransparenz rechtfertigen.

Die Brandenburger Landesregierung will das Akteneinsichts- und Informationszugangsgesetz (AIG) ändern. Gegenüber rbb|24 hat ein Sprecher des Innenministeriums am gestrigen Donnerstag bestätigt, dass sie aktuell an einem Gesetzentwurf arbeitet.

Wie schon der Berliner Senat begründet auch Brandenburg die Schritte mit einer abstrakten Gefahrenlage. „Der Schutz kritischer Infrastruktur ist angesichts verschiedenster Bedrohungslagen von entscheidender Bedeutung“, heißt es in der Mitteilung, die rbb|24 auf Anfrage erhielt. Die Änderungen sollen dem Land erlauben, besser auf solche Bedrohungen zu reagieren.

Das AIG regelt in Brandenburg bisher, wie Bürger*innen an behördliche Informationen gelangen. Es garantiert jeder Person ein Recht auf Akteneinsicht, solange nicht überwiegende öffentliche oder private Interessen dagegensprechen. Welche konkreten Änderungen das Land plant, ist noch offen. So tiefgreifend wie der Bund könne das Land aufgrund der Landesverfassung nicht vorgehen.

Die Schwächung der Informationsfreiheit liegt im Trend

Die Bundesregierung kündigte Anfang Juli in ihrem „Programm für Aufschwung und Beschäftigung“ an, dass sie das Informationsfreiheitsgesetz (IFG) massiv einschränken will. Zu den Vorhaben gehört, Informationen nur noch mit „berechtigtem Interesse“ herauszugeben und Organisationen, Unternehmen und Stiftungen das Recht völlig zu entziehen.

Brandenburg nimmt sich offenbar ein Vorbild an einem deutschlandweiten Trend. Weitere CDU- und SPD-geführte Bundesländer planen eine Beschneidung der Informationsfreiheitsrechte: Auch Schleswig-Holstein, Mecklenburg-Vorpommern und Thüringen legten mit Verweis auf Sicherheitsbedenken und Bürokratieabbau Gesetzentwürfe vor.

Berlin schaffte als erstes Bundesland Tatsachen: Das Abgeordnetenhaus zog den Anschlag auf das Berliner Stromnetz heran, um im März ein Gesetz zu verabschieden, mit dem Behörden Anfragen pauschal ablehnen können.

„Nicht mehr Sicherheit, sondern weniger Demokratie“

Fachleute kritisieren den Versuch, Intransparenz mit Sicherheitsbedenken rechtzufertigen. Die Jurist*innen Philipp Schönberger und Hannah Vos vom Transparenzportal FragDenStaat schreiben im Verfassungsblog: „Offensichtlich dient die diskursive Verknüpfung mit einer Bedrohungslage vor allem als Vehikel für eine möglichst weitreichende Abschirmung der Exekutive vor öffentlicher Kontrolle.“ Auch die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Prof. Dr. Louisa Specht-Riemenschneider warnte: „Wer Informationsfreiheit pauschal beschränkt, schafft nicht mehr Sicherheit, sondern weniger Demokratie.“

Für die Pläne der Bundesregierung hagelt es Kritik. Mehr als eine halbe Million Menschen wollen die Informationsfreiheit schützen, zeigt eine laufende Petition von FragDenStaat. Auch 131 Organisationen stellen sich gegen das Vorhaben. Selbst in den eigenen Reihen regt sich Widerstand: Die SPD-Bundestagsabgeordneten kündigten der Parteispitze in einem internen Papier an, sie würden nicht für die Abschaffung des bestehenden Transparenzniveaus stimmen.

Auch in Brandenburg dürfte es Gegenstimmen geben. Kurz vor den Neuigkeiten der Landesregierung warnte die Verbraucherzentrale Brandenburg vor der Entkernung des IFG. Sie verweist auf ein eigenes Verfahren gegen den Ostdeutschen Sparkassenverband – auf Akteneinsicht nach dem AIG.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Mit einem neuen Kompetenzzentrum will die Bundesagentur für Arbeit effizienter „organisierten Leistungsmissbrauch“ aufdecken. Fachleute zweifeln, ob das Problem existiert, und befürchten: Insbesondere rassistisch diskriminierte Menschen könnten so ins Visier geraten und nicht die Leistungen bekommen, die ihnen zustehen.

„Wir vergleichen das Jobcenter mit einem Taschenspieler, immer fehlt ein bißchen was im Bewilligungsbescheid und verbleibt in der Tasche.“ So schildert eine Sprecherin der Berliner Erwerbsloseninitiative BASTA! auf Anfrage von netzpolitik.org ihre Erfahrungen. Mal sei es die korrekte Miethöhe, mal der Regelbedarf für eine Person im Haushalt, mal das Geld für Bildung und Teilhabe, mal die Kosten für die Reparatur der Brille. Ein anderes Mal finde überhaupt keine Antragsbearbeitung statt.

Die Initiative BASTA! berät und unterstützt Menschen, die Bürgergeld erhalten, bei Klagen. „Es sind wirklich viele Gelder, die erst gar nicht zur Auszahlung kommen“, berichtet die Sprecherin. „Gerade bei Menschen aus Osteuropa kommt das Geld nicht in gesetzlich geregelter Höhe an.“ Dass Menschen trotz ihres Rechtsanspruchs Leistungen verweigert werden, fürchtet BASTA!, könnte sich bald noch weiter verschlimmern. Der Grund: das neue Kompetenzzentrum Leistungsmissbrauch.

Die kürzliche Reform des Bürgergelds zum Grundsicherungsgeld, die am 1. Juli weitgehend in Kraft getreten ist, sah nämlich neue und erweiterte Aufgaben zur Bekämpfung des „organisierten Leistungsmissbrauchs“ für die Bundesagentur für Arbeit (BA) vor. Dafür hat das neue zentrale „Kompetenzzentrum Leistungsmissbrauch“ in Nürnberg am Monatsanfang seine Arbeit aufgenommen. Es soll die bisherigen Ressourcen bündeln und dadurch noch effizienter gegen „organisierten Leistungsmissbrauch“ vorgehen – durch präventive, analytische und koordinierende Maßnahmen soll es diesen bekämpfen.

Ganze 72 Mitarbeiter*innen soll die zentrale Einheit in Nürnberg beschäftigen. Im ersten Halbjahr 2027 sollen fünf weitere regionale Zentren dazukommen. Ihre zukünftigen Standorte stehen noch nicht abschließend fest.

Alle sechs Zentren zusammen sollen mehr als 10 Millionen Euro jährlich kosten. Diesen Kosten sollen jedoch „Einsparungen in etwa dreifacher Höhe gegenüberstehen“, heißt es im Bericht des zuständigen Bundestagsausschusses für Arbeit und Soziales. Diese Schätzung beruht auf zwei laufenden Pilotprojekten in NRW und Berlin.

Laut Vanessa Ahuja, der zuständigen Vorständin bei der Bundesagentur für Arbeit, treten „kriminelle, organisierte Strukturen nicht massenhaft, aber auch nicht nur in Einzelfällen auf“ und sind „ausdrücklich nicht auf bestimmte Gruppen begrenzt“. Die Datenlage, die auf solche vermeintlichen organisierten Strukturen hinweist, ist jedoch mehr als dünn.

Gibt es überhaupt ein Problem mit organisiertem Leistungsmissbrauch?

„Organisierter Leistungsmissbrauch“ – die Arbeitsagentur spricht von „bandenmäßigem“ Missbrauch – besteht laut der Behörde etwa darin, dass EU-Bürger*innen nach Deutschland kommen, ihre Arbeitsverträge oder ihre Selbständigkeit vortäuschen, um dann aufstockende Leistungen zu erhalten. Sie würden von Kriminellen nach Deutschland gelockt, die im Hintergrund agieren und die gezahlten Leistungen für sich einbehalten.

Die Daten zu Verfahren wegen Verdachts auf „bandenmäßigen“ Betrug liegen nur aus den 300 Jobcentern vor, die von der Bundesagentur für Arbeit und den Kommunen gemeinsam betrieben werden. Daten aus den 104 rein kommunal organisierten Jobcentern fehlen hierzu. Auch kann die Dunkelziffer – wie so häufig – höher sein. Dennoch sprechen die Zahlen eine deutliche Sprache.

Vergangenes Jahr haben die Jobcenter 430 Verfahren eröffnet. In rund drei Viertel der Fälle haben sie eine Strafanzeige gestellt. Im Jahr davor gab es ähnlich viele eröffnete Verfahren, in rund der Hälfte der Fälle kam es zu einer Strafanzeige. Wie die Strafverfolgungsbehörden mit den Anzeigen weiterverfahren, bleibt häufig unklar. Den Ausgang teilen sie den Jobcentern nicht immer mit.



Für das Jahr 2025 weiß die Arbeitsagentur in 39 Fällen, was aus den Anzeigen wurde. In 10 von ihnen gab es eine Verurteilung zu einer Geldstrafe. Im Jahr 2024 kam es bei 36 Fällen mit bekanntem Ausgang zu 3 Verurteilungen zu Geldstrafen. Im Jahr 2023 kam es zu 6 Verurteilungen zu Geldstrafen bei 44 Fällen mit bekanntem Ausgang. Selbst in diesen Fällen waren die Gerichte offenbar nicht überzeugt, dass es sich tatsächlich um „bandenmäßigen“ Betrug handelte. Für diesen Straftatbestand sieht das Strafgesetzbuch nämlich eine Freiheitsstrafe vor – in minder schweren Fällen ab sechs Monaten.

Zum Vergleich: Zuletzt bezogen rund 5,2 Millionen Menschen Bürgergeld. Verfahren wegen „bandenmäßigen Leistungsmissbrauchs“ eröffnen die Jobcenter nur bei nicht-deutschen Unionsbürger*innen. Alle anderen Fälle, die im Zusammenhang mit organisierten Tätergruppen stehen, werden nicht separat als bandenmäßiger Leistungsmissbrauch erfasst.

Beim Arbeitslosengeld ist von „organisiertem Leistungsmissbrauch“ etwa die Rede, wenn eine Firma Menschen einstellt, ihnen fiktiv Lohn zahlt und sie dann nach Ablauf von 12 Monaten arbeitslos meldet. Hier liegen die Zahlen in einem noch niedrigeren zweistelligen Bereich. Die Bundesagentur gibt an, dass die Agenturen für Arbeit im vergangenen Jahr lediglich zehn Fälle „bandenmäßigen“ Betrugs zur Anzeige gebracht und sechs an den Zoll abgegeben haben. Zum Ausgang dieser Verfahren liegen der Behörde keine Daten vor. Auch hier zum Vergleich: Etwa eine Million Menschen bezog zuletzt Arbeitslosengeld.

Nicht umsonst haben zahlreiche Expert*innen und Verbände darauf hingewiesen, dass es in der Debatte um Leistungsmissbrauch an Fakten mangele und die Diskussion extrem unverhältnismäßig und diffamierend geführt werde. Beispielsweise haben im Herbst 60 Organisationen die öffentliche Debatte scharf verurteilt. Sie stigmatisiere armutsbetroffene Menschen und blende strukturelle Ursachen wie Ausbeutung, unsichere Beschäftigung und fehlenden Schutz von Arbeitsmigrant*innen aus.

Wo in den Daten steckt „organisierter Leistungsmissbrauch“?

Mit Hilfe von strukturellen und einzellfallunabhängigen Datenanalysen soll das neue Kompetenzzentren Auffälligkeiten finden, die auf „organisierten Leistungsmissbrauch“ hinweisen. So seien etwa „eine gehäufte zeitgleiche Anmeldung von Mitarbeitern einer Firma, auffällige Fluktuation oder die Anmeldung von übermäßig vielen Personen an einer Wohnadresse“ Hinweise solcher Art, teilte die Sprecherin der Bundesarbeitsagentur auf Anfrage mit.

Wie genau das Zentrum die Daten analysieren und auf solche „Auffälligkeiten“ stoßen will, möchte die Arbeitsagentur nicht offenlegen. „Die konkreten Prüfmechanismen, wie Leistungsmissbrauch aufgedeckt wird, werden im Detail nicht veröffentlicht“, so die Sprecherin. „Es werden die bereits bestehenden IT-Verfahren der BA genutzt.“

Bisher war für solche Analysen der sogenannte Fachbereich „Enterprise Fraud Management“ der Zentrale der BA zuständig. Dieser analysiert monatlich Auszahlungsdaten der BA, um zeitgleiche, doppelte Auszahlungen von Leistungen zu identifizieren. Hegen die Datenanalyst*innen den Verdacht, dass etwa Arbeitsbescheinigungen manipuliert oder Arbeitsverhältnisse fingiert sind, führen sie durch gezielte Abfragen im Datenbestand anlassbezogene „Plausibilisierungen“ durch. Wie aus einem geleakten Dokument hervorgeht, dessen erste Version im Jahr 2019 an die Öffentlichkeit gelang, stellt diese Abteilung die Ergebnisse ihrer Analysen in einer sogenannten Heatmap zusammen und verschickt sie an die jeweiligen Jobcenter.

Bei dieser Heatmap handelt es sich um eine aus der Polizeiarbeit entlehnte Methode der „Mustererkennung“, mit der sich die Daten von bestimmten Leistungsbeziehenden etwa nach „Adressen, Arbeitgebern, über mehrere Leistungsfälle hinweg genutzten Telefonnummern oder Zahlungsverbindungen“ sortieren und anzeigen lassen. Die Jobcenter sollen dann die Heatmaps nutzen, um „Auffälligkeiten zu entdecken“ und weitere Ermittlungen vor Ort durchzuführen.

Ganze Bevölkerungsgruppen unter Generalverdacht

Nicht alle Leistungsbeziehenden werden auf möglichen Leistungsmissbrauch durch den Fachbereich durchleuchtet. Offenbar wird es beim Kompetenzzentrum Leistungsmissbrauch auch so bleiben. „Die Datenanalyse wird sich ausschließlich auf ausgewählte Fallkonstellationen, Gruppen oder Risikohinweise begrenzen“, sagte die Sprecherin der BA gegenüber netzpolitik.org.

So berichtet beispielsweise die Leiterin eines Jobcenters, die in einer Ende 2025 veröffentlichten Studie zitiert wird, dass ihrem Jobcenter mit der Heatmap „Adressen von 200 Rumänen zur Verfügung gestellt“ wurden. Sie beschreibt, dass Heatmaps soziale Netzwerke widerspiegeln sollen, bei denen die Häufung von Leistungsbeziehenden an einem bestimmten Ort als Hinweis auf „organisierten Leistungsmissbrauch“ gilt. Nach näherer Überprüfung stellte sich heraus, dass der Verdacht unbegründet war.

Welche Gruppen beim Verdacht des „organisierten Missbrauchs“ im Visier der BA stehen, geht ebenfalls aus der bereits erwähnten geleakten Arbeitshilfe „Bekämpfung von bandenmäßigem Leistungsmissbrauch im spezifischen Zusammenhang mit der EU-Freizügigkeit“ hervor. Beratungsstellen und Verbände wie der Erwerbslosen- und Sozialhilfeverein Tacheles e. V. und das Netzwerk Europa in Bewegung kritisierten nach der Veröffentlichung, dass diese Arbeitshilfe rassistische und Rom*nja-feindliche Zuschreibungen reproduziere und insbesondere Menschen aus Rumänien und Bulgarien unter Generalverdacht des „organisierten Leistungsmissbrauchs“ stelle.

Organisierter Leistungsmissbrauch oder institutioneller Rassismus?

Eine Beweisführung, dass diese Menschen tatsächlich „organisierten Leistungsmissbrauch“ begehen, fehle im Dokument vollkommen, so die Kritik weiter. Die darin genannten „Tatmuster“ und „Erkennungsmerkmale“ – etwa das Fehlen eines schriftlichen Arbeitsvertrags, einer Anmeldung des Betriebs bei einem Unfallversicherungsträger oder eine kurzfristige Kündigung des Arbeitsverhältnisses – seien keine Indizien für „bandenmäßigen Leistungsmissbrauch“, sondern sprächen vielmehr für „das Vorliegen einer tatsächlichen, echten – aber prekären, ungeschützten, unsicheren und ausbeuterischen Beschäftigung“. Die Arbeitshilfe deute die eigentlichen Opfer zu Täter*innen um.

Die Bundesagentur für Arbeit hat die Arbeitshilfe nach den Protesten der Verbände etwas entschärft und nennt in späteren Fassungen keine konkreten Nationalitäten und ethnischen Gruppen mehr. Trotzdem kommt beispielsweise die Berliner Ombudsstelle gegen Diskriminierung zu der Einschätzung, dass die Arbeitshilfe Rom*nja-feindliche Diskriminierung bewirkt und gegen das Grundgesetz verstößt.

Während die BA darin nun „ausdrücklich darauf hinweist, dass EU-Bürger nicht unter Generalverdacht stehen, Leistungsmissbrauch zu begehen“, entfaltet die Arbeitshilfe in der behördlichen Praxis eben diese Wirkung. Zu diesem Schluss kommen auch Sozialwissenschaftler*innen in einer Studie von Ende 2025, die die Antidiskriminierungsstelle des Bundes in Auftrag gegeben hat. Zuschreibungen des „Sozialmissbrauchs“ würden häufig mit Bezug auf Menschen aus dem südöstlichen Europa artikuliert und insbesondere Rom*nja „virulenten Verdachtsmomenten“ ausgesetzt. Dabei handle es sich nicht nur um persönliche Vorurteile einzelner Mitarbeitender, sondern um rassistische institutionalisierte Praktiken. Das digitale Verfahren der Heatmap sei ein Ausdruck hiervon.

„Gefahr, stereotype Zuschreibungen zu institutionalisieren“

Verbände und Beratungsstellen weisen seit Jahren auf eine besonders restriktive Behandlung von Unionsbürger*innen in Jobcentern hin. In vielen Fällen werden die Leistungen trotz eines Anspruchs verweigert. Insbesondere Rom*nja oder Menschen, die als solche wahrgenommen werden, sind schon jetzt mit systematischen und rechtswidrigen Schwierigkeiten bei der Beantragung von Sozialleistungen konfrontiert. „Wir erleben dies beispielsweise derzeit bei ukrainischen Roma“, schreibt Roma Antidiscrimination Network (RAN) an netzpolitik.org. RAN ist ist ein bundesweites Netzwerk gegen Rassismus und Diskriminierung von Rom*nja, das an der Organisation Roma Center e. V. angesiedelt ist. „Immer wieder wird ihnen unterstellt, sie seien keine ukrainischen Staatsangehörigen, obwohl entsprechende Dokumente vorliegen.“ Dies führe zu verzögerter Leistungsgewährung, zusätzlichen Nachweispflichten und erheblichen Unsicherheiten.

Auch das Roma Antidiscrimination Network weist auf die Gefahr hin, bereits bestehende stereotype Zuschreibungen weiter zu institutionalisieren. „Deutschland hat sich aus den Erfahrungen der nationalsozialistischen Verfolgung bewusst gegen die Erfassung ethnischer Zugehörigkeit entschieden“, so das Netzwerk. „Auch wenn formell keine ethnischen Daten erhoben werden dürfen, besteht die Gefahr, dass über Nationalität, Wohnort, Namen oder bestimmte Sozialdaten faktisch ethnische Profile entstehen.“

„Präventive Datenanalysen sehen wir besonders kritisch“

Laut dem neuem Gesetz soll die Bundesagentur für Arbeit nun insbesondere auch präventiv wirksam werden und Leistungsmissbrauch verhindern, noch bevor er entsteht. Das kann bedeuten, dass das Kompetenzzentrum die Angaben „bereits bei Antragstellung“ auf Unstimmigkeiten prüft, erklärt die Sprecherin der Arbeitsagentur. Beispielsweise kann das eine Prüfung auf zeitgleiche Leistungsbezüge über Rechtskreise oder Kreisgrenzen hinweg sein. Die regionalen Zentren sollen die Auffälligkeiten dann einer vertieften Sachverhaltsaufklärung unterziehen.

Gerade vor dem Hintergrund der nationalsozialistischen Verfolgung von Rom*nja und Sinti*zze bewertet das Roma Center den Ausbau präventiver Datenanalysen und die enge Zusammenarbeit von Sozialbehörden mit Strafverfolgungsbehörden kritisch. Staatliche Stellen seien dazu verpflichtet, jede Form von Datensammlung, Datenverknüpfung und Zusammenarbeit zwischen Sozial- und Strafverfolgungsbehörden besonders streng an Grundrechten, Diskriminierungsschutz und dem Schutz vor rassistischer Profilbildung auszurichten“, schreibt das Roma Center in einer Pressemitteilung.

Zudem zeigten Erfahrungen aus mehreren nordrhein-westfälischen Kommunen, dass ein repressiver Ansatz gegen sogenannte Problemimmobilien oder vermeintlichen Leistungsmissbrauch soziale Probleme nicht löst. „Trotz jahrelanger Taskforces, Kontrollen und Räumungen sind weder Ausbeutung noch Armut verschwunden“, kritisiert RAN gegenüber netzpolitik.org. Stattdessen würden die betroffenen Menschen verdrängt und sie verlieren ihre Wohnungen, ihre Arbeitsplätze und die Anbindung an Schulen oder soziale Hilfen. Die eigentlichen Profiteure der Ausbeutung blieben dagegen unbehelligt. „Aus unserer Sicht sollte diese Bilanz Anlass sein, neue Kontrollstrukturen kritisch zu hinterfragen, anstatt sie auf Bundesebene auszuweiten“, fügt RAN hinzu.

Der Beauftragte der Bundesregierung gegen Antiziganismus und CDU-Politiker Michael Brand, zeigt sich hingegen gelassen: „Einer Institution, die ihre Arbeit noch nicht begonnen hat und die sich aufgrund von massenhaft festgestelltem Leistungsmissbrauch unserer Sozialsysteme auf die Bekämpfung dieses Leistungsmissbrauchs fokussiert, implizit vorab bereits das Risiko von Rassismus zur unterstellen, ist nicht die Haltung der Bundesregierung, auch nicht die des Beauftragten“, sagte er auf Anfrage von netzpolitik.org.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die schwarz-rote Koalition will nicht nur bei der Informationsfreiheit, sondern auch beim Datenschutz die Axt anlegen. Sie plant unter anderem pauschale Ausnahmen für kleine und mittelständische Unternehmen und will die Aufsicht zentralisieren. Kritik kommt von Datenschutzexpert:innen, Aufsichtsbehörden und Zivilgesellschaft.

Am 2. Juli haben die Spitzen von Union und SPD im Koalitionsausschuss ein sogenanntes Reformpaket verabredet. Einige der vorgeschlagenen 34 Maßnahmen haben seitdem für heftige Debatten gesorgt, etwa Verschärfungen beim Thema Krankschreibung oder die De-Facto-Abschaffung der Informationsfreiheit im Bund. Bislang weniger im Fokus stehen Pläne der Koalition, auch beim Datenschutz die Axt anzulegen.

Dabei haben die Vorschläge es durchaus in sich: Unter anderem sollen viele Unternehmen ganz vom Datenschutz ausgenommen und betriebliche Datenschutzbeauftragte aussortiert werden. Auch die Datenschutzaufsicht will die Regierung radikal umbauen.

Auf Anfrage von netzpolitik.org gehen Datenschutzexpert:innen, Aufsichtsbehörden und zivilgesellschaftlichen Organisationen hart mit den Plänen ins Gericht. „Wer Ausnahmen schafft, die innerbetriebliche Kontrolle und Beratung abbaut und Aufsichtsstrukturen schwächt, hat eine klare Zielrichtung“, kritisiert etwa Frank Spaeing, Vorsitzender der Deutschen Gesellschaft für Datenschutz (DVD). „Die Koalition versucht, den Datenschutz an allen Ecken und Ende kaputt zu machen.“

„Die Große Koalition versucht mit dem irreführenden Narrativ vom Datenschutz als ‚Bürokratiemonster’ und Innovationshemmnis, ein europäisch verankertes Grundrecht abzubauen“, konstatiert auch Svea Windwehr, die Co-Vorsitzende des digitalpolitischen Vereins D64. „Mit der gleichen Kahlschlagmentalität, wie sie auch bei den Vorschlägen zum IFG zu erkennen ist, sollen betriebliche Datenschutzbeauftragte reduziert und kleine und mittelständische Unternehmen von Datenschutzpflichten ausgenommen werden.“

Ausnahme für 99 Prozent der deutschen Unternehmen

Überschrieben ist der verhältnismäßig knapp gehaltene 14. Punkt des Reformpakets mit „Moderner Datenschutz für mehr Wachstum“. Übergeordnetes Ziel ist eine Vereinfachung des Datenschutzes. Ein neues Datengesetzbuch soll das Datenrecht harmonisieren und unter Wahrung des Datenschutzes die Datennutzung fördern, heißt es in dem Papier.

Einer der Vorschläge sticht besonders hervor: Er zielt darauf ab, viele Unternehmen und Verarbeitungstätigkeiten gleich ganz vom Datenschutz zu befreien. Man wolle sich bei der EU dafür einsetzen, dass „nicht-kommerzielle Tätigkeiten (zum Beispiel in Vereinen), kleine und mittelständische Unternehmen und risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern) vom Anwendungsbereich der DSGVO ausgenommen werden“.

Dass insbesondere Vereine und sogenannte KMUs (Kleine und Mittelständische Unternehmen) beim Datenschutz entlastet werden sollen, hatte Schwarz-Rot bereits im Koalitionsvertrag angekündigt. Neu ist, dass dies über eine pauschale Befreiung von der gesamten Datenschutzgrundverordnung geschehen soll. Nach Angaben des Statischen Bundesamtes galten 2023 99,3 Prozent der deutschen Unternehmen als KMUs. Schwarz-Rot will also weite Teile der deutschen Wirtschaft weitgehend vom Datenschutz ausnehmen.

Das Problem: Von der Organisationsform oder der Größe eines Unternehmens hängt nicht ab, ob es Daten verarbeitet, die für Menschen gefährlich werden können. Auch bei Selbsthilfevereinen oder kleinen Unternehmen im Finanzwesen können hochsensible Daten landen.

Nicht nach Größe, sondern nach Risiko unterscheiden

Aus diesem Grund kritisiert Tobias Keber den Vorschlag. „Ein Handwerksbetrieb, bei dem nur wenige und in der Regel nicht sensible personenbezogene Daten verarbeitet werden, kann genauso wie ein kleines Unternehmen aus dem Gesundheitssektor, das große Mengen enorm sensibler Daten nutzt, als KMU gelten“, so der Landesdatenschutzbeauftragte von Baden-Württemberg. Pauschale Ausnahmen würden diese Unterschiede nicht abbilden.

Es gebe zahlreiche Vorschläge aus der Fachwelt, wie Vereinfachungen für Vereine und Wirtschaft besser erreicht werden können, kritisiert der Berufsverband der Datenschutzbeauftragten (BVD) in einer Stellungnahme: „Nicht die Unternehmensgröße, sondern das Risiko der Verarbeitung muss das entscheidende Kriterium für die Umsetzungspflichten sein.“ Dieser risikobasierte Ansatz sei in der DSGVO bereits angelegt, er müsse nur gestärkt werden.

Wer Vereine und KMUs tatsächlich entlasten wolle, müsse vielmehr die Hersteller von Software in die Haftung nehmen, so die Berliner Datenschutzbeauftragte Meike Kamp. Denn bisher tragen Anwender:innen die rechtliche Verantwortung, wenn sie etwa Dienste wie Microsoft 365 nutzen, obwohl sie an deren Datennutzung gar nichts ändern können.

Kamp fordert: „Hersteller und Anbieter von IT-Diensten sollten gesetzlich verpflichtet werden, ihre Produkte von Anfang an datenschutzkonform auszugestalten.“ Damit würde die datenschutzrechtliche Verantwortung dorthin verlagert werden, wo die Entscheidung über die Gestaltung von IT-Produkten getroffen werde. Zudem sollten auch Auftragsverarbeiter, also externe Dienstleister, verpflichtet werden, „ihre Dienste nur so anzubieten, dass die Datenschutzgrundsätze eingehalten werden können“.

Innerbetriebliche Expert:innen sollen aussortiert werden

Die Koalition will auch einen weiteren Dauerbrenner der deutschen Datenschutzdebatte angehen: Die betrieblichen Datenschutzbeauftragten. Diese müssen in Deutschland, anders als in vielen anderen EU-Ländern, benannt werden, wenn in einem Betrieb in der Regel mindestens zwanzig Mitarbeitende ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Sie sollen dafür sorgen, dass im Unternehmen entsprechende Expertise für Datenschutz vorhanden ist, werden insbesondere von Unionspolitiker:innen jedoch immer wieder als bürokratisches Ärgernis dargestellt. Laut Koalitionsbeschluss soll ihre Zahl in kleineren und mittleren Unternehmen deshalb reduziert werden.

Diesen Ansatz kritisiert nicht nur der Berufsverband der Datenschutzbeauftragten, demzufolge die Reduzierung der betrieblichen Datenschutzbeauftragten den Aufwand für Unternehmen massiv erhöhe und verteuere, während das Haftungsrisiko für Geschäftsführer und Vorstände steige.

Auch Tobias Keber, der Landesbeauftragte aus Baden-Württemberg, kann dem Vorschlag wenig abgewinnen. „Hier würde man das Kind mit dem Bade ausschütten“, weil im Unternehmen Wissen und der Aufsicht wichtige Ansprechpartner:innen wegfallen würden, während datenschutzrechtliche Verpflichtungen bestehen blieben. „Eine Abschaffung wäre ein klarer Rückschritt“, sagt auch die Berliner Datenschutzbeauftragte Meike Kamp.

Ebenfalls für eine „schlechte Idee“ hält das Frank Spaeing von der Deutschen Gesellschaft für Datenschutz. Er erinnert daran, dass es die deutsche Wirtschaft gewesen sei, die sich in den 70er-Jahren bei Entstehung der ersten Datenschutzgesetze für die Einführung betrieblicher Datenschutzbeauftragter eingesetzt habe, weil sie ein strenges Aufsichtsregime habe verhindern wollen.

„Die Logik war damals: Mehr Eigenverantwortung für die Unternehmen und dadurch mehr Ruhe vor den Behörden.“ Wenn man nun auf die internen Beauftragten verzichten wolle, müsse man gleichzeitig die externe Kontrolle durch die Datenschutzaufsicht verschärfen. Die Koalition plane nun allerdings das genau Gegenteil, so Spaeing weiter.

Zentralisierung der Datenschutzaufsicht

In der Debatte um eine Vereinheitlichung der föderalen Datenschutzaufsicht legt sich die Koalition nun auf eine Zuständigkeitskonzentration beim BfDI fest, also beim Bundesbeauftragten für Datenschutz und Informationsfreiheit. Derzeit kontrolliert dieser, von einigen Ausnahmen abgesehen, insbesondere öffentliche Stellen des Bundes. Bereits in den Koalitionsverhandlungen hatte die Union gefordert, den Landesdatenschutzbeauftragten die Aufsicht über die Wirtschaft zu entziehen und diese beim BfDI zu zentralisieren.

Dem Vernehmen nach war es die damalige SPD-Chefin Saskia Esken, die das verhindert hatte. Inzwischen gehen die Sozialdemokraten diesen Weg offenbar mit, obwohl sie damit auf Konfrontationskurs zum Bundesrat gehen. Denn nicht nur zivilgesellschaftliche Organisationen und die Landesdatenschutzbeauftragten warnen vor einer Zentralisierung, weil diese sowohl die Kontrolle als auch die Beratung vor Ort schwächen könnte. Auch der Bundesrat hat kürzlich eine Initiative beschlossen, der zufolge die föderale Aufsichtsstruktur beibehalten, aber effizienter und einheitlicher werden soll.

Die Datenschutzbehörden seien in der Fläche heute schon nicht präsent genug, sagt Frank Spaeing von der DVD, der selbst als externer Datenschutzbeauftragter arbeitet. Eine Zentralisierung würde dazu führen, dass die Aufsicht gar nicht mehr vor Ort wahrnehmbar wäre.

Kritik kommt auch von Svea Windwehr von D64: Die Bündelung von Kompetenzen beim BfDI müsse kritisch gesehen werden. „Föderale Aufsichtsstrukturen schützen gegen Corporate Capture und antidemokratische Akteure.“ Spezialkompetenzen wie die zu Normierungsverfahren könnten hingegen an den BfDI abgegeben werden, um die Arbeit der deutschen Datenschutzaufsicht zu vereinfachen. Das müsse jedoch mit entsprechenden Ressourcen bei der Behörde einhergehen.

Wie eine echte Reform des Datenschutzes aussehen könnte

Dass auch die Datenschutzbehörden selbst Reformbedarf bei der Aufsicht sehen, machen Meike Kamp und Tobias Keber deutlich. Sie verweisen auf die Stuttgarter Impulse, in denen sie und ihre Länderkolleg:innen Vorschläge für eine effizientere Aufsicht skizziert haben. Zentrales Element: Die bislang nur informell agierende Datenschutzkonferenz, in der alle Behörden sich absprechen, solle institutionalisiert, mit einer Geschäftsstelle und bindenden Mehrheitsbeschlüssen versehen werden.

Zudem wollen die Behörden ein „Einer für alle“-Prinzip einführen: Wenn eine Behörde etwas geprüft hat, soll es eine andere bei vergleichbaren Themen nicht mehr tun. Dies geht weiter, als es das Reformpaket der Koalition vorschlägt. Zwar sieht dieses eine gesetzliche Verankerung der Datenschutzkonferenz vor, allerdings nur mit dem Ziel, dass dort „gemeinsame Standards“ erarbeitet werden.

Dass eine echte Reform des Datenschutzes möglich wäre, die sowohl für Vereinfachung sorgt als auch mehr Durchschlagskraft bringt, hatte kürzlich im Interview mit netzpolitik.org auch Datenschutz-Aktivist Max Schrems betont. Er schlägt vor, den risikobasierten Ansatz der DSGVO zu stärken und kleinere Unternehmen etwa bei Dokumentationspflichten zu entlasten. Gleichzeitig müsse die Durchsetzung des Datenschutzes gegenüber Konzernen und Datenhändlern gestärkt werden.

Die Frage sei allerdings, ob das politisch gewollt ist, so Tom Jenissen von der Digitalen Gesellschaft. Er erinnert daran, dass die Bundesregierung sich in aktuellen Verhandlungen des Rates der EU-Mitgliedstaaten über den Datenomnibus für weitreichende Rückschritte einsetzt. „Es bleibt zu hoffen, dass Europaparlament und Rat den populistischen Forderungen der deutschen Regierung nicht nachgeben.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Bundesnachrichtendienst und Verfassungsschutz sollen „echte“ Geheimdienste werden, sagt Innenminister Dobrindt. Jetzt zeigt der Entwurf für die Komplettreform, was das heißt: Zurückhacken, Abschnorcheln, Kameras anzapfen – und das mit weniger öffentlicher Kontrolle als zuvor.

Fast 700 Seiten lang ist der Gesetzentwurf aus dem Innenministerium, der Verfassungsschutz und Bundesnachrichtendienst in nie dagewesenem Ausmaß aufrüsten soll. Die Dienste sollen etwa Zurückhacken dürfen und bekommen ein Arsenal neuer Befugnisse zu KI und Biometrie.

Schon vor mehr als einem halben Jahr gab es Berichte zu Arbeiten an dem Gesetz. An einigen Stellen soll es gehakt haben, die Abstimmungen zum Bundesverfassungsschutzgesetz hätten sich verzögert. Bundesinnenminister Alexander Dobrindt (CSU) habe unbedingt beide Gesetze gemeinsam durch die Tür bringen wollen.

Nun ist der Referentenentwurf aus dem Innenministerium öffentlich. Es geht nicht nur um Ergänzungen, sondern um eine komplett neue Grundlage für die Arbeit der Dienste. Außerdem sollen mehr als zehn weitere Gesetze geändert werden. Der noch nicht in der Regierung abgestimmte Entwurf enthält zudem neue Regelungen für die Aufsicht der Geheimdienste. Unterm Strich soll die Kontrolle der Behörden schlanker werden – und öffentliche Transparenz noch weiter sinken. Die Übersicht.

• Drei übergeordnete Ziele
• Geheimdienste und Polizei nähern sich an
• Mittel sollen geheim bleiben
• Abschnorcheln bleibt erlaubt
• Behörden sollen hacken dürfen
• Dienste sollen KI kaufen, nutzen, trainieren
• Niedrige Hürden für unsichere US-Software
• Gesichter suchen, öffentliche Kameras anzapfen
• Geheimdienst-Kontrolle soll schlanker werden
• Noch weniger Transparenz als zuvor

Drei übergeordnete Ziele

Die umfassende Reform des Nachrichtendienstrechts, so der Entwurf, verfolge „drei übergeordnete Ziele“: Erstens sollen die Dienste in Anbetracht der „verschärften Bedrohungslage im In- und Ausland“ mehr Befugnisse erhalten. Zweitens solle der Entwurf der Vorrede zufolge die Kontrolle über die Geheimdienste stärken. Und drittens nehme er Anpassungen vor, die das Bundesverfassungsgericht gefordert hatte.

Ein Urteil aus dem Jahr 2024 beanstandet etwa, wie der BND mit innerdeutscher Kommunikation umgeht. Außerdem erachten die Richter:innen eine hauptamtliche Aufsicht als erforderlich, weil die bisher für die Kontrolle zuständige G‑10-Kommission nicht ausreiche. Um die Mängel zu beheben, hat das Gericht der Bundesregierung eine Frist Ende 2026 gesetzt. Das heißt: Die Zeit für eine Neuregelung drängt.

Laut Medienberichten will die Bundesregierung den Entwurf noch vor der parlamentarischen Sommerpause abstimmen – dann könnte ab Herbst der Bundestag darüber diskutieren.

Geheimdienste und Polizei nähern sich an

Die geplanten Umbrüche für BND und Verfassungsschutz greifen das Trennungsgebot an, das in Deutschland wegen historischer Lehren bislang eine wichtige Grundlage für Geheimdienst- und Polizeipolitik war. Die verschiedenen Institutionen, so die Konsequenz aus Erfahrungen mit Gestapo und Stasi, sollten getrennte Aufgaben und Befugnisse haben. Während die Geheimdienste vor allem Informationen sammeln sollen, darf die Polizei auch direkt eingreifen.

Mit der Reform will Innenminister Dobrindt, „dass aus dem Nachrichtendienst nun ein echter Geheimdienst wird“, wie er Anfang des Jahres mit Blick auf den Verfassungsschutz sagte. Offenbar versteht er darunter, dass ein Geheimdienst auch eingreifen soll. Das zeigt sich etwa an den geplanten Befugnissen für aktive Eingriffe in IT-Systeme. Verfassungsschutz und BND sollen demnach unter bestimmten Bedingungen zurückhacken dürfen.

Die Trennung zwischen Geheimdiensten und anderen Sicherheitsbehörden verschwimmt auch bei den Möglichkeiten, Daten auszutauschen. Im Entwurf finden sich etwa Passagen, die es dem Verfassungsschutz erlauben, gemeinsam mit anderen deutschen Behörden Daten auszuwerten, auch automatisiert.

Mittel sollen geheim bleiben

Im Vergleich zu den vorigen Gesetzen schafft der neue Entwurf mehr Übersicht. Das aktuelle BND-Gesetz verweist an vielen Stellen auf die Regelungen für den Verfassungsschutz. Das soll sich ändern. Der Entwurf für die beiden neuen Gesetze zählt auch klarer als bisher „nachrichtendienstliche Mittel“ auf, die Verfassungsschutz und BND nutzen dürfen. Dazu gehören beispielsweise verdeckte Ermittler:innen im Internet, die sich in Online-Netzwerke einschleusen, sowie die Überwachung von Wohnräumen und Telekommunikation.

Aber diese Aufzählung ist nicht abschließend. Die Dienste sollen ihre nachrichtendienstlichen Mittel lediglich in einer Dienstvorschrift „abschließend“ benennen. Darin hat die Öffentlichkeit jedoch keinen Einblick, denn Dienstvorschriften der Geheimdienste bleiben wie so vieles geheim. Genau so funktioniert auch das Gesetz für den Militärischen Abschirmdienst (MAD), das im Dezember verabschiedet wurde.

Abschnorcheln bleibt erlaubt

Nach wie vor soll der BND in großem Umfang Daten abschnorcheln. Konkret bedeutet das: Der Auslandsgeheimdienst soll Internetknoten anzapfen dürfen, Kommunikationsdaten ausleiten und die erhobenen personenbezogenen Daten auswerten. Bislang hieß das Fernmeldeaufklärung, der neue Gesetzentwurf bezeichnet das als „strategische Aufklärung“.

Dem Entwurf zufolge soll der Geheimdienst solche Maßnahmen auf das „notwendige Maß“ und auf maximal 15 Prozent des Datenvolumens beschränken, „welches in allen Telekommunikationsnetzen übertragen werden kann“. Eine solche Beschränkung lässt sich aber nur schwer kontrollieren, was das Bundesinnenministerium (BMI) in seiner Begründung selbst einräumt.

Zudem können etwa über den Internetknoten in Frankfurt am Main, den DE-CIX, mehr als 200 Terabit pro Sekunde (Tbit/s) fließen. In den vergangenen 12 Monaten flossen jedoch nur durchschnittlich rund 13 Tbit/s. Darf der BND also 15 Prozent des höchstmöglichen Datenvolumens abschöpfen, entspräche das schlicht dem gesamten Datenverkehr.

Ein solches Ausspähen „reiner Inlandskommunikation“ ist für den Auslandsgeheimdienst grundsätzlich unzulässig. Allerdings lässt sich technisch nicht klar eingrenzen, welche Daten ausschließlich zum Inland gehören. Der BND müsste die Daten dem Entwurf zufolge also filtern – „soweit technisch möglich“. Dass das nicht immer funktioniert, war bereits vor mehr als zehn Jahren klar.

Der Betreiber des DE-CIX sagte damals für seinen Internetknoten, dass selbst wenn „der BND das weltbeste Filtersystem bauen könnte, das 99,9 Prozent [Genauigkeit] erreicht, dann redet man immer noch über mehrere Millionen fehlerhaft getaggter Verbindungen – jeden Tag“.

Das allein führt wohl dazu, dass der Auslandsgeheimdienst zwangsweise auch inländische Telekommunikation überwachen wird. Erlaubt ist ihm das allerdings nur, „wenn im Einzelfall tatsächliche Anhaltspunkte dafür vorliegen, dass die Maßnahme erforderlich ist, um Informationen zu zumindest erheblichen Bedrohungen zu erlangen“.

Behörden sollen hacken dürfen

Eine neue Befugnis im Entwurf ist, dass der BND ausdrücklich zurückhacken darf – wenn „eine unmittelbar bevorstehende Gefahr für ein besonders gewichtiges Rechtsgut besteht“. In diesem Fall soll der Auslandsgeheimdienst Daten verändern oder löschen dürfen, Datenströme umleiten oder „den Betrieb informationstechnischer Systeme einschränken oder unterbinden“. Der BND soll also nicht nur Angriffe auf IT-Systeme aufdecken, sondern die Systeme der Angreifenden selbst angreifen dürfen.

Unterstützung soll der BND von „inländischen öffentlichen Stellen“ wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erhalten. Das BSI soll Software-Schwachstellen und auch sogenannte Zero-Day-Schwachstellen künftig proaktiv an den Geheimdienst weitergeben. Der BND soll diese Sicherheitslücken dann für Cyberangriffe auf andere Systeme ausnutzen dürfen. Zero Day („null Tage“) bedeutet, dass Angreifende eine Schwachstelle bereits verwenden können, während die Anbieter davon nichts wissen. Das heißt, es verbleiben null Tage Zeit, um sie zu schließen.

Auch der Verfassungsschutz soll hacken dürfen. Dabei soll der Dienst Geräte manipulieren dürfen, die Daten umleiten, löschen oder Fehlinformationen verbreiten. Dieses Zurückhacken ist auch unter dem Begriff „Hackback“ bekannt, Fachleute kritisieren die Maßnahmen aus strategischen, rechtlichen und technischen Gründen.

Dienste sollen KI kaufen, nutzen, trainieren

Sowohl Verfassungsschutz als auch BND sollen dem Entwurf zufolge ausdrücklich personenbezogene Daten automatisiert auswerten dürfen. Für den BND ist das etwa im Paragrafen über die „Allgemeine Befugnis zur Weiterverarbeitung“ geregelt. Damit sind auch sogenannte KI-Systeme gemeint. Die dazu gehörige Begründung nennt Anwendungen, „welche für ihre Funktion selbstlernende Systeme verwenden und anpassungsfähig auf einen autonomen Betrieb ausgelegt sind“. Zudem soll der BND mit personenbezogenen Daten auch eigene KI-Anwendungen trainieren dürfen.

Für einige KI-Auswertungen gibt es höhere Hürden, zum Beispiel wenn der Geheimdienst „personenbezogene Vorhersagen oder Empfehlungen“ erstellt oder automatisiert „Verhaltens- und Persönlichkeitsprofile“, um das „individuelle Bedrohungspotenzial“ einer Person einzuschätzen. Diese Ergebnisse gelten dann als „Auswertungsprodukte mit erheblichem Eingriffsgewicht“. Die Hürde: Solche Vorhersagen müssten dazu dienen, eine „zumindest erhebliche Bedrohung“ aufzuklären.

Solche „erheblichen“ Bedrohungen gibt es im Aufgabenbereich des BND jedoch viele. Dazu zählen zum Beispiel organisierte Kriminalität, hybride Einflussnahme, Extremismus und dessen Unterstützung oder auch: „krisenhafte Entwicklungen im Ausland“, die theoretisch eine Auswirkung auf Deutschland haben könnten. Es ist also ein Begriff, der sich breit interpretieren lässt.

Dass automatisierte Anwendungen und KI-Systeme schnell zu Verzerrungen und falschen Ergebnissen führen können, ist dabei offenbar auch dem Innenministerium klar. Der BND dürfe „keine diskriminierenden Algorithmen nutzen oder entwickeln“, heißt es analog zu anderen Gesetzen wie dem hessischen Polizeigesetz. Aber wie soll der BND – oder irgendeine Behörde – so etwas sicherstellen? Es gehört zum Wesen vieler KI-Systeme, dass sich deren Ergebnisse nicht leicht nachvollziehen lassen. Daher soll sich der BND die Ergebnisse stichprobenartig genau anschauen, heißt es im Entwurf, und sicherstellen, dass eine Entscheidung „zur Weiterverarbeitung/Maßnahmenveranlassung auch von einem Menschen aufgrund der vorliegenden Informationen getroffen worden wäre“.

Niedrige Hürden für unsichere US-Software

Eine der Sorgen bei den jüngsten KI-Regelungen für Polizeien war, dass Systeme von US-Anbietern wie Palantir zum Einsatz kommen könnten – Stichwort: digitale Souveränität. Dem will das Innenministerium durch eine Vorzugsregel für eigene und EU-Produkte entgegenwirken. Von privaten oder öffentlichen Stellen aus anderen Staaten dürfe der BND nur Anwendungen kaufen, wenn er selbst oder andere europäische Stellen keine ebenso geeignete Anwendung haben.

Besonders eng, das wird aus der Begründung des Gesetzes deutlich, will man es hier aber nicht sehen. Wenn ein Produkt einmal angeschafft ist, soll es auch „beliebig lange“ genutzt werden dürfen. Und der BND soll auch nicht jedes Mal prüfen müssen, ob es auch eine europäische Lösung gibt. Es reiche, wenn er alle paar Jahre – die Begründung nennt drei bis fünf – schaut, „welche kommerziell verfügbaren Anwendungen für seine Tätigkeit von Relevanz sein könnten und ob es für diese Anwendungen europäische/deutsche Anbieter gibt“. Für den Softwaremarkt ist das eine sehr lange Zeit.

Neben dem BND soll auch der Verfassungsschutz eine KI-Erlaubnis bekommen. Das steht in der Norm über „Qualifizierte Auswertung“. Die Rede ist von einer „automatisierten Anwendung, die durch Verknüpfung neue Erkenntnisse über die Persönlichkeit einer Person oder ihre Beziehungen zu anderen Personen oder zu Objekten gewinnt“.

Gesichter suchen, öffentliche Kameras anzapfen

Neben ausdrücklichen KI-Befugnissen geht es im Gesetzentwurf auch um biometrische Daten. Der Verfassungsschutz soll biometrische Merkmale mit allem abgleichen dürfen, worauf er „zur Erfüllung seiner Aufgaben zugreifen darf“, wenn „tatsächliche Anhaltspunkte“ vorliegen, dass das für seine Aufgaben erforderlich ist. Das heißt, er soll es eigentlich immer machen dürfen, wenn es einen Grund dafür gibt, „also nicht lediglich auf Vorrat ins Blaue“.

In der Begründung zum Entwurf heißt es weiter, dass ein Abgleich mit Daten erfolgen soll, die der Verfassungsschutz selbst gespeichert hat – oder mit für ihn zugänglichen Daten von Verfassungsschutzbehörden der Länder.

Biometrische Echtzeit-Abgleiche soll die Behörde auch nutzen dürfen. Damit soll sie Videoüberwachung live auswerten dürfen und prüfen, ob eine Person im Visier der Behörde an einem bestimmten Ort auftaucht. Für den Zugriff auf entsprechende Kamera soll der Verfassungsschutz Betreiber verpflichten dürfen, Aufnahmen herauszugeben, live auszuleiten oder gleich die Videoüberwachungsanlagen mit zu nutzen – zumindest wenn es um Überwachung von öffentlich zugänglichen Räumen geht. Das heißt, der Verfassungsschutz dürfte in Echtzeit Kameras am Bahnhof oder im Einkaufszentrum anzapfen.

Auch der BND soll biometrische Daten auswerten dürfen. Ein Vergleich mit öffentlich zugänglichen Daten aus dem Internet soll ausdrücklich erlaubt sein. Das Verständnis von öffentlicher Zugänglichkeit ist hier allerdings etwas anders gefasst, als man es erwarten könnte. Denn dazu zählen für das BMI „alle Bereiche des Internets, auch solche, die mittels einer vorgelagerten Zugangshürde geschützt sind“. Erst wenn „Schutzmechanismen über rein formale Hürden hinausgehen“ werde dann der Zugriff zum Einsatz eines „nachrichtendienstlichen Mittels“, für das andere Hürden gelten.

Um biometrische Daten abzugleichen, müsste der BND laut Entwurf keine eigenen Mittel nutzen – ein Abgleich dürfte auch über öffentliche oder private Stellen im Ausland erfolgen, wenn er selbst oder andere deutsche oder europäische Stellen das nicht können. Das öffnet die Tore dafür, dass der BND am Ende Anwendungen nutzt, die es nach europäischen Datenschutzrechten nicht geben dürfte. Der Geheimdienst könnte bei außereuropäischen Partnern um Hilfe bitten, für die schwächere Regeln gelten.

Geheimdienst-Kontrolle soll schlanker werden

Für die Kontrolle des Inlands- und Auslandsgeheimdienstes sind bislang unter anderem die G10-Kommission, das Parlamentarische Kontrollgremium und der Unabhängige Kontrollrat (UKRat) zuständig. Die G‑10-Kommission soll dem Entwurf zufolge jedoch wegfallen. Das G‑10-Gesetz regelt derzeit, unter welchen Voraussetzungen in Deutschland die Geheimdienste von Bund und Ländern in das durch Artikel 10 des Grundgesetzes geschützte Brief‑, Post- und Fernmeldegeheimnis eingreifen dürfen und wie derartige Eingriffe kontrolliert werden.

Künftig soll mehr Kontrolle im UKRat gebündelt werden, der neue Aufgaben bekommt und das Parlamentarische Kontrollgremium unterstützen soll. Bislang ist der UKRat als oberste Bundesbehörde nur für den Auslandsgeheimdienst BND zuständig. Laut Gesetzentwurf soll er künftig auch den Inlandsgeheimdienst kontrollieren.

Ähnlich wie ein Gericht soll der UKRat besonders eingriffsintensive Einzelmaßnahmen beider Geheimdienste vorab genehmigen. Außerdem soll er die Dienste administrativ kontrollieren, etwa wie sie personenbezogene Daten verarbeiten.

Mehr Befugnisse für den UKRat würden jedoch weniger Befugnisse für die Bundesdatenschutzbeauftragte bedeuten. Eine solche Schwächung der für Geheimdienste mitunter lästigen Behörde hatte die aus dem Amt scheidende Louisa Specht-Riemenschneider bereits befürchtet. Ihr Nachfolger Moritz Hennemann dürfte demnach nur noch weniger sensible Bereiche beaufsichtigen, etwa die Verarbeitung personenbezogener Daten bei der allgemeinen Verwaltung des BND oder bei Aus- und Fortbildungen.

Noch weniger Transparenz als zuvor

Einige neue Regeln sollen die Informationsfreiheit weiter einschränken. Schon heute sind die Geheimdienste vom Informationsfreiheitsgesetz ausgenommen und müssen keine Dokumente an Bürger:innen freigeben – außer es geht um Umweltinformationen.

Künftig sollen für Bürger:innen selbst solche Informationen über die drei Geheimdienste des Bundes tabu sein, die anderen staatlichen Stellen vorliegen. Insbesondere soll das für den Unabhängigen Kontrollrat gelten. In der Begründung des Entwurfs heißt es: „Alle Tätigkeiten der Nachrichtendienste sollen nach dem Willen des Gesetzgebers vom Anspruch auf Informationszugang ausgeschlossen sein.“

Das hätte weitreichende Folgen. Nicht einmal eine Statistik über künftige Agent:innen in Ausbildung soll es noch geben. Eine Ausnahme im Gesetz für Hochschulstatistik soll verhindern, dass feindliche Akteure erfahren, wie viel Spionage-Personal Deutschland in Zukunft haben könnte. Während ihre Macht enorm wächst, sollen Deutschlands Geheimdienste also noch intransparenter werden.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Im Auftrag der Bundesregierung haben Fachleute Empfehlungen für Jugendschutz im Netz erarbeitet. Sie schlagen neben einem EU-weiten Social-Media-Verbot unter 13 Jahren auch vor, die Plattformen stärker in die Pflicht zu nehmen – und spielen den Ball so zurück an die Politik.

Schutz, Befähigung und Teilhabe – auf diesen drei Säulen bauen die Empfehlungen auf, die die Expert*innen-Kommission „Kinder- und Jugendschutz in der digitalen Welt“ heute vorgestellt hat.

Seit Herbst 2025 haben die 18 Mitglieder der vom Familienministerium einberufenen Kommission, darunter Jurist*innen, Bildungsforscher*innen und Mediziner*innen, an den Empfehlungen gearbeitet. Die Leitfragen: Was brauchen Kinder in den verschiedenen Phasen ihres Aufwachsens – und wer trägt die Verantwortung dafür?

Die Empfehlungen reichen vom Babyalter bis zur Volljährigkeit und richten sich an verschiedene Menschen und Institutionen, die Kinder beim Aufwachsen im Digitalen begleiten – Eltern ebenso wie Schulen, Kitas, Ärzt*innen oder Jugendhilfe. Vor allem enthalten sie aber zahlreiche Handlungsempfehlungen für die Politik.

In der öffentlichen Debatte geht es allerdings vor allem um eine Frage: Sollten Kinder und Jugendliche aus Sozialen Medien ausgesperrt werden? Und falls ja: bis zu welchem Alter? Bereits vor der Vorstellung der Empfehlungen hatten sich Politiker*innen beider Regierungsparteien für ein solches Verbot ausgesprochen – bis hin zu Bundeskanzler Merz, der erst Sympathien bekundete und später zu einem „Nein“ umschwenkte.

Schutz, Befähigung und Teilhabe: „Die drei Dimensionen bedingen einander“, heißt es dazu in den Empfehlungen: „Schutz darf nicht in pauschalen Ausschluss münden, Befähigung darf nicht strukturelle Verantwortung auf Kinder abwälzen, Teilhabe darf nicht heißen, junge Menschen unbegleitet zu lassen.“ Verantwortung dürfe nicht allein auf Eltern oder die Kinder selbst geschoben werden. Vielmehr müssten auch Plattformen dafür geradestehen, wenn es um die Gestaltung ihrer Produkte geht.

Das klingt nach einem salomonischen Urteil, das die Interessen und Bedürfnisse aller Seiten abwägt und zu einem Mittelweg kommt. Aber was heißt das konkret?

• Was sagt die Kommission zum Social-Media-Verbot?
• Was sagt die Kommission zu Alterskontrollen?
• Nimmt die Kommission auch Plattformen in die Pflicht?
• Was sagt die Kommission zu eine einem Handy-Verbot an Schulen?
• Welche Empfehlungen spricht die Kommission für Eltern aus?
• Was war der Arbeitsauftrag?
• Warum wurden die Ergebnisse vorgezogen?
• Was passiert auf Ebene der EU?
• Warum würde ein Social-Media-Verbot das Internet für alle umkrempeln?

Was sagt die Kommission zum Social-Media-Verbot?

Die Kommission empfiehlt, Social Media für Kinder unter einem Mindestalter von 13 Jahren zu verbieten – allerdings nur als eine von zwei Alternativen. Unter der Überschrift “Risiko- und designorientiert regulieren” empfiehlt sie, das bereits existierende Gesetz für digitale Dienste (DSA) weiter zu schärfen.

Der DSA sieht bereits vor, dass Plattformen in der EU Kinder und Jugendliche besonders vor Gefahren schützen müssen, allerdings kritisieren die Expert*innen die Vorschriften als zu allgemein. Auch bemängeln sie, dass der DSA Plattformen nicht zu strengen Alterskontrollen verpflichtet. Zugleich schreiben sie, dass pauschale Social-Media-Verbote ab 15 oder 16 Jahren nach australischem Vorbild zu kurz greifen, “weil sie sehr unterschiedliche Dienste gleich behandeln, Teilhabe behindern und Umgehung fördern”.

Sie schlagen daher für die Konkretisierung der EU-Regeln zwei Alternativen vor und verschieben damit die Entscheidung für oder gegen ein Verbot an die Politik:

Alternative 1: gesetzliche Mindestaltersgrenze von 13 Jahren für Social-Media-Accounts mit wirksamer Altersprüfung und abgestuften Schutzstandards für 13–16 und 16–18 Jahre.

Alternative 2: keine einheitliche Altersgrenze, sondern dienst- und funktionsspezifische Beschränkungen nach Risikobewertung des jeweiligen Angebots (z. B. algorithmische Feeds, offene Kontaktfunktionen, Livestreams).

In beiden Fällen gelte: „Nationale Alleingänge“ sollten vermieden werden und die Regeln EU-weit einheitlich sein.

Bundesfamilienministerin Karin Prien (CDU) bevorzugt offenbar den ersten Vorschlag: „Für die eigenständige Nutzung sozialer Medien sehe ich grundsätzlich in dem Vorschlag einer gesetzlichen Altersgrenze von 13 Jahren den richtigen Weg – in Verbindung mit einer wirksamen Altersüberprüfung und abgestuften Schutzvorkehrungen für Jugendliche bis 18 Jahre.“ Für Kinder jünger als 13 solle ein „gesetzlicher Erlaubnisvorbehalt“ gelten, der nur nachweislich kindgerechte und risikoarme Angebote zulässt.

Prien will sich für eine europäische Lösung einsetzen.

Was sagt die Kommission zu Alterskontrollen?

Als Teil der ersten Alternative – Social-Media-Verbot – geben die Expert*innen auch eine Empfehlung für strenge Alterskontrollen ab – denn ohne diese lässt sich ein Mindestalter von 13 Jahren nicht durchsetzen.

Zugleich kritisieren sie, dass Plattformen derzeit weitgehend selbst entscheiden können, wie sie das Alter von Nutzer*innen prüfen. „Biometrische oder verhaltensdatenbasierte Verfahren gefährden Privatsphäre und Selbstbestimmung.“ EU und Bund sollten daher klare Vorgaben dafür machen, mit welchen Methoden Alterskontrollen stattfinden dürfen und dabei bestimmte Mindeststandards festlegen. So solle etwa nur das Erreichen eines Mindestalters an die Plattform kommuniziert oder das biometrische Daten nur auf dem Endgerät verarbeitet werden.

Nimmt die Kommission auch Plattformen in die Pflicht?

Ja, ergänzend zu den genannten Alternativen für die Schärfung der europäischen Regeln im DSA. Weil die Gefahren für Minderjährige nicht nur in einzelnen Inhalten, sondern in der Gestaltung der Dienste selbst liegen, müssten auch diese für einen „Jugendschutz by Design and Default“ sorgen, schreiben die Expert*innen.

Konkret empfehlen sie, für die Accounts von Minderjährigen einen verbindlichen Katalog von sicheren Voreinstellungen einzuführen. Er soll beispielsweise algorithmisch gesteuerte Feeds, personalisierte Werbung, suchtverstärkenden Funktionen oder manipulative Designs wie Endlos-Scrolling verbieten.

Dadurch verlagere sich der Schutz auf die Gestaltung der Plattform und sei nicht mehr davon abhängig, wie medienkompetent einzelne Kinder oder Eltern sind.

Was sagt die Kommission zu einem Handyverbot an Schulen?

Politiker*innen hatten in der Vergangenheit immer wieder ein bundesweites Handyverbot an Schulen gefordert. „Die private Gerätenutzung im Unterricht lenkt erheblich ab, erschwert eine konzentrierte Lernatmosphäre und schränkt in den Pausen das soziale Miteinander ein“ schreibt die Expert*innenkommission dazu. „In Mobbingsituationen kann sie verstärkend wirken.“

Die Fachleute kritisieren, dass die Regeln je nach Bundesland oder Schulform derzeit unterschiedlich ausfallen und empfehlen eine „weitgehende Einschränkung“ von privaten Handys an Schulen, die auch in den Schulgesetzen verankert wird.

An Grundschulen und bis einschließlich der siebten Klasse sollen private Geräte im Unterricht wie in den Pausen bundesweit verboten werden, so die Empfehlung. Ab der achten Klasse sollen Schulen gemeinsam mit ihren Schüler*innen Nutzungskonzepte erarbeiten.

Welche Empfehlungen spricht die Kommission für Eltern aus?

Um die Bildschirmzeit in den ersten Lebensjahren zu reduzieren, sollen Eltern nach der Geburt bessere Beratungsangebote erhalten, die generell ausgebaut und besser unterstützt werden sollen. Es außerdem sinnvoll, Eltern im Umgang mit den Bildern ihrer Kinder zu sensibilisieren.

Zugleich empfehlen die Expert*innen, ähnlich wie bei der Einführung der gewaltfreien Erziehung, auch eine gesetzliche Regelung, die die Rechte von Kindern um einen „Schutz vor digitaler Vernachlässigung“ erweitert. Eltern sollen also im Zweifel auch dafür verantwortlich gemacht werden können, wenn sie ihre Erziehungspflichten im Digitalen vernachlässigen.

Auch für diese Empfehlung äußerst Familienministerin Prien „große Sympathie“.

Was war der Arbeitsauftrag?

Ende 2025 hatte das Bundesfamilienministerium die Kommission einberufen. Die 18 Mitglieder kommen aus den Bereichen Rechtswissenschaft, Medizin, Psychologie, Kriminologie, Pädagogik und Bildungsforschung.

Ihre Arbeit wurde zuletzt vor allem vor dem Hintergrund eines diskutierten Social-Media-Verbotes wahrgenommen. Der eigentliche Arbeitsauftrag ist jedoch wesentlich breiter und beginnt schon mit der Frage, wie die digitale Welt auf Kleinkinder wirkt.

Der Auftrag an die Fachleute war, zunächst eine Bestandsaufnahme der Forschungslage zu machen und darauf basierend Empfehlungen abzugeben. Die Leitfrage lautet: Wie können Kinder und Jugendliche die beste Chance auf Teilhabe im Netz bekommen und zugleich vor Gefahren geschützt werden?

Warum wurden die Ergebnisse vorgezogen?

Ursprünglich war geplant, dass die Kommission ein Jahr lang arbeitet. Dann hat zum Jahresbeginn die Diskussion um ein Social-Media-Verbot in Deutschland und in der EU stark angezogen – nachdem Australien im Januar ein solches Verbot eingeführt hat. Der Bundeskanzler bekundete seine „Sympathien“ für ein Social-Media-Verbot und schwenkte später zu einem Nein um, Fachpolitiker*innen der SPD veröffentlichten ein Forderungspapier.

Das Familienministerium geriet unter Druck und entschied, den Bericht auf einen Termin vor der Sommerpause vorzuziehen.

Bereits Ende April erschien außerdem ein Zwischenbericht zum Forschungsstand. Er schloss ein Social-Media-Verbot nicht aus. Zugleich ging daraus hervor, dass ein pauschales Verbot nach australischem Vorbild Kindern und Jugendlichen eher nicht hilft. Dafür seien die Gefahren und Vorteile des Internets zu komplex.

Was passiert auf Ebene der EU?

Wichtiger als die Entwicklung in Deutschland ist im Zweifel ohnehin, was die EU-Kommission festlegt, denn die Regulierung des Internets erfolgt überwiegend gesamteuropäisch. Auch dort machen Politiker*innen jedoch massiven Druck für ein Verbot und Alterskontrollen.

Die EU-Kommission hat ebenfalls ein Gremium eingesetzt, das Empfehlungen zum Jugendschutz abgeben soll. Teils sitzen darin die gleichen Personen wie in der Expert*innenkommission des Familienministeriums. Die Ergebnisse werden zum 13. Juli erwartet. Danach wird die EU-Kommission ihr weiteres Vorgehen planen.

Kommissionspräsidentin Ursula von der Leyen machte allerdings schon vor der Veröffentlichung klar, wohin die Reise gehen soll. „Ohne Ergebnisse des Gremiums vorwegzunehmen: Es ist meine Überzeugung, dass wir einen zeitlichen Aufschub für soziale Medien in Betracht ziehen müssen“, sagte sie im Mai. Mit „Aufschub“ ist in diesem Fall gemeint: Ein Social-Media-Verbot für Kinder und Jugendliche unterhalb einer bestimmten Altersgrenze.

Warum würde ein Social-Media-Verbot das Internet für alle umkrempeln?

Um Jugendliche unterhalb eines bestimmten Alters von Plattformen fernzuhalten, müsste das Alter aller Internet-Nutzer*innen verlässlich geprüft werden. Nach derzeitigem Stand der Technik passiert das entweder über die Kontrolle von Ausweispapieren, über eine biometrische Erfassung des Gesichts, mit der das Alter geschätzt wird, oder mit einer Kombination aus beiden Verfahren.

Auch für einen Altersnachweis mit der App, die die EU-Kommission vor einigen Wochen als „datensparsame“ Alternative und vermeintlichen „Goldstandard“ vorgestellt hat, müssten Nutzer*innen zunächst ihr Gesicht biometrisch scannen lassen.

Fachleute kritisieren, dass mit den Voraussetzungen für solche Alterskontrollen auch die technische Infrastruktur geschaffen wird, um Menschen im Netz verlässlich zu identifizieren. Anonym könnte dann niemand mehr auf den Plattformen unterwegs sein. Das ist allerdings eine wichtige Voraussetzung für eine freie Meinungsäußerung und viele weitere wichtige Grundrechte in einer Demokratie.

Für Jugendliche hätte eine solche Deanonymisierung ebenfalls negative Folgen. Auch sie profitieren davon, freien und anonymen Zugang zu Informationen im Netz zu bekommen, etwa zu sexueller Orientierung oder Aufklärung.

Eine weitere, womöglich noch größere Gefahr: Mit der gleichen Infrastruktur könnten nach einem Regierungswechsel auch weitere Nutzergruppe aus dem Netz ausgesperrt oder politisch unliebsame Inhalte blockiert werden. Das kritisierte kürzlich auch der Deutsche Ethikrat, der ebenfalls beauftragt war, sich zu einem Social-Media-Verbot zu äußern. Die Fachleute in diesem Gremium sprachen sich – aus den genannten Gründen – klar gegen ein solches Verbot aus.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Vom Lobby-Gipfel in den Alpen bis zum Buchhandlungspreis: Das erste Jahr Schwarz-Rot ist geprägt von skandalöser Intransparenz und zähem Ringen um Informationsfreiheit. Der vielleicht größte Umbruch: Unter Bundeskanzler Friedrich Merz ist Transparenz erstmals seit langem kein politisches Ziel mehr.

Es ging schon nicht gut los mit der neuen Regierung und der Transparenz: Noch bevor sie im Amt war, löste die Koalition in spe einen öffentlichen Ausschrei aus, weil sie auf Vorschlag der CDU über eine Abschaffung des Informationsfreiheitsgesetzes diskutierte. Am Ende flog die umstrittene Formulierung zwar aus dem Koalitionsvertrag von Union und SPD, doch ein Jahr nach Amtsantritt stellen Transparenzorganisationen der Regierung von Friedrich Merz ein vernichtendes Zeugnis aus.

„Der Stellenwert, den diese Regierung Transparenz einräumt, ist sehr gering“, schreibt uns etwa Sarah Schönewolf, Pressesprecherin des Portals Abgeordnetenwatch. „Der politische Wille, Transparenz zu priorisieren und zu stärken, ist in der Regierung Merz praktisch nicht vorhanden“, heißt es auch von FragDenStaat. Die Organisation Lobbycontrol sieht mit Blick auf „die Informationspolitik der schwarz-roten Bundesregierung und den Umgang mit Fragen aus Parlament, Presse und Öffentlichkeit“ sogar „einen neuen Tiefpunkt“ erreicht.

Wir haben die drei Organisationen um eine Transparenz-Bilanz des ersten Jahres Schwarz-Rot gebeten. Sie berichten uns von willkürlichen Auskunftsverweigerungen, verschleppten Anfragen und vorgeschobenen Ausnahmetatbeständen. Immer wieder würden einzelne Ministerien und ihre Leitungen durch skandalöse Intransparenz auffallen. Dass die Regierung die gesetzliche Lage der Informationsfreiheit verbessern könnte, erwartet von ihnen niemand mehr.

Vom Lobby-Gipfel in den Alpen bis zum Buchhandlungspreis

„Ob Interessenkonflikte, Lobbykontakte oder Maskendeals, die aktuelle Regierung zeigt sich besonders zugeknöpft, schmallippig und teilweise geradezu dreist darin, wie Antworten verweigert werden“, schreibt uns etwa Timo Lange von Lobbycontrol. Als Beispiel nennt er unter anderem den vom Gesundheitsministerium seitenweise geschwärzten Sudhoff-Bericht zu den Maskengeschäften des ehemaligen Gesundheitsministers Jens Spahn.

Ein zentrales Problem macht Sarah Schönewolf von Abgeordnetenwatch in der Wirtschaftsnähe wichtiger Akteur:innen aus. „Überdurchschnittlich viele Mitglieder dieser Regierung waren bis kurz vor ihrer Ernennung selbst als Lobbyist:innen tätig und legen einen sehr unbefangenen Umgang mit Lobbyeinfluss einerseits und einen sehr zurückhaltenden Umgang mit Transparenz darüber andererseits an den Tag.“

Das Paradebeispiel hierfür dürfte Wirtschaftsministerin Katherina Reiche sein, die bis kurz vor ihrem Amtsantritt Vorstandsvorsitzende einer Tochtergesellschaft des Energiekonzerns E.ON war. Erinnert sei beispielhaft an die vermeintlich rein private Reise zu einem Lobby-Treffen in Tirol im Oktober 2025, das von ihrem Ehemann Karl-Theodor zu Guttenberg mitorganisiert wurde. Als Journalist:innen Anfragen zu dem exklusiven Stelldichein mit Wirtschaftsbossen und internationalen Politiker:innen stellten, verweigerte das Wirtschaftsministerium die Auskunft. Reiche sei schließlich privat bei dem Event gewesen, auch wenn sie im Programm als „Ihre Exzellenz“ und amtierende Bundeswirtschaftsministerin vorgestellt wurde.

Ein anderes Beispiel ist Kulturstaatsminister Wolfram Weimer, der zunächst behauptet hatte, sein Medienunternehmen, das unter anderem das Online-Magazin The European herausgibt, mit Amtsantritt verlassen zu haben. Erst durch Recherchen der Süddeutschen Zeitung wurde öffentlich, dass er weiter Anteile an der Weimer Media Group hielt. In Reaktion auf den öffentlichen Aufschrei ließ der Unternehmer seine Beteiligung ruhen.

Auch Weimers Vorgehen zum Buchhandlungspreis war durch Intransparenz geprägt: Die Streichung dreier linker Buchhandlungen von der Liste der Preisträger:innen wurde zunächst als Jury-Entscheidung getarnt. Als später klar wurde, dass der Staatsminister die Läden wegen „verfassungsschutzrelevanter Erkenntnisse“ ausschließen ließ, verweigerte er konkretere Auskünfte. Inzwischen haben die betroffenen Buchhandlungen Klagen angekündigt.

4.000 Euro Gebühren für eine Akteneinsicht

Womöglich noch gravierender als das Verhalten einzelner Regierungsvertreter:innen sind systematische Hürden bei Auskunftsanfragen durch Journalist:innen und zivilgesellschaftliche Akteur:innen.

Als Abgeordnetenwatch beispielsweise Einsicht in Unterlagen zu acht Lobbyterminen von Wirtschaftsministerin Katherina Reiche beantragte, drohte ihr Ministerium der Organisation nach Auskunft von Pressesprecherin Sarah Schönewolf mit Bearbeitungsgebühren von bis zu 4.000 Euro. Die Begründung: Es handele sich um acht separate Anträge, sodass acht Mal der Höchstbetrag von 500 Euro aufgerufen werden könne. Dabei habe das Bundesverwaltungsgericht eine vergleichbare Praxis bereits 2016 für rechtswidrig erklärt: „Abschreckend wirkende Gebühren sind mit dem IFG unvereinbar“, so Schönewolf. Bei einem vergleichbaren Fall unter Reiches Vorgänger Robert Habeck habe das Ministerium lediglich einmal die Höchstgebühr verlangt.

Erst nachdem man Klage angedroht habe, hätte das Ministerium eingelenkt, erzählt Schönewolf. „Das ist kein Einzelfall: Wir erleben wiederholt, dass Ministerien versuchen, den Zugang zu Informationen durch hohe Gebühren oder Verzögerungen von deutlich mehr als der einmonatigen Frist zu erschweren.“

FragDenStaat muss häufiger Klagen

Auch FragDenStaat berichtet von immer neuen Steinen, die der Transparenzorganisation in den Weg gelegt werden. Anfragen nach dem Informationsfreiheitsgesetz würden immer wieder verschleppt oder komplett ignoriert, so Pressesprecherin Michelle Trimborn. Außerdem mache man die Erfahrung, dass häufig Ausnahmetatbestände vorgeschoben und etwa Sicherheitsbedenken extrem großzügig ausgelegt werden oder Dokumente plötzlich als geheime „Verschlusssache“ gelten würden.

Die Zahl der Klagen und Verfahren, die man deshalb gegen die Regierung führe, habe zugenommen. Man würde „manche Ministerien in Sachen Transparenz als ‚mangelhaft‘ bewerten“.

Besonders auffällig sei das Innenministerium mit seinen nachgeordneten Behörden. Aktuell versucht FragDenStaat beispielsweise, Fragenkataloge zu erhalten, die das Ministerium an Politische Stiftungen geschickt hat. Eine Antwort wäre laut gesetzlicher Vorgaben bis Anfang April fällig gewesen, bislang hat das Ministerium laut Dokumentation auf der Plattform nicht einmal reagiert. Auch zur Durchleuchtung zivilgesellschaftlicher Organisationen durch den Verfassungsschutz im Rahmen des sogenannter Haber-Verfahrens schweigt das Innenministerium beharrlich.

Erstmals ist Transparenz kein politisches Ziel mehr

Auch wir bei netzpolitik.org machen unsere Erfahrungen mit der schweigsamen Regierung. Gerne hätten wir zum Beispiel erfahren, ob auch deutsche Behörden mutmaßlich illegal aus der Werbeindustrie gesammelte Informationen von Datenhändlern kaufen, doch die Regierung schweigt sich dazu aus. Selbst als die Bundestagsabgeordnete Donata Vogtschmidt im Parlament eine Kleine Anfrage zu dem Thema stellt, erhält sie keine Auskunft, nicht mal eine eingestufte. „Auch ein geringfügiges Risiko des Bekanntwerdens derart sensibler Informationen kann unter keinen Umständen hingenommen werden“, so die Begründung.

Dabei ist es natürlich nicht so, als hätten vorangegangen Bundesregierungen in Sachen Transparenz immer besonders geglänzt. Schon vor zehn Jahren war die „Informationsfreiheits-Ablehnung des Tages“ eine beliebte Rubrik auf netzpolitik.org. Auch unter den Kanzler:innen Merkel und Scholz wurden IFG-Anfragen gerne mal unter Verweis auf absurde Gründe wie das Urheberrecht abgelehnt.

Neu sei allerdings, dass die Regierung Merz Transparenz nicht mal mehr als politisches Ziel benenne, so Sarah Schönewolf von Abgeordnetenwatch:

Die Ampel hatte sich Transparenz explizit auf die Fahnen geschrieben und trotz einiger Schwächen zumindest teilweise umgesetzt. Schwarz-Rot habe nicht einmal das. Im Koalitionsvertrag findet sich kein einziges konkret benanntes Transparenzvorhaben in den für uns relevanten Bereichen. Das ist eine unambitionierte und uninspirierte Fortführung des Status quo.

Informationsfreiheit unter Druck

Zu den Fortschritten unter der Ampel-Regierung zählt etwa der „exekutive Fußabdruck“, der den Einfluss von Interessengruppen auf Gesetzestexte sichtbar machen soll. Dieser werde von den Ministerien bisher kaum angewendet, kritisieren Abgeordnetenwatch und Lobbycontrol. Aktuell evaluiert das Digitalministerium die Regelung, Timo Lange von Lobbycontrol fordert deshalb, dass das Instrument dringend nachgebessert werden müsse.

Auf der Wunschliste der drei Organisationen bleibt zudem die Einführung eines Transparenzgesetzes auf Bundesebene. „Transparenz bleibt ein wichtiges Mittel, um Vertrauen in die Regierung, Teilhabe und letztlich Demokratie zu stärken“, so Michelle Trimborn. „Dass die schwarz-rote Regierung gerade jetzt nicht für mehr Transparenz sorgt, um autoritären Entwicklungen und Desinformation etwas entgegenzusetzen, ist fahrlässig und gefährlich.“

Tatsächlich stehen die Zeichen aktuell sogar eher auf Abbau von Transparenz. Im Bund ist der erwartete Angriff bislang zwar nicht erfolgt, dafür jedoch auf Länderebene. In mehreren Bundesländern laufen derzeit Gesetzgebungsverfahren, die die Informationsfreiheit im Namen von Bürokratieabbau und Sicherheit beschneiden.

Dabei sei Transparenz keine Kür, sondern eine der Grundvoraussetzungen dafür, dass Demokratie funktioniert, so Sarah Schönewolf. „Wer sie verweigert, schwächt den Rechtsstaat.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die schwarz-rote Koalition will ein Gesetzespaket verabschieden, das ein neues Zeitalter der Überwachung einläutet. Was steckt da konkret alles drin? Wir haben es durchgesehen, damit ihr es nicht tun müsst.

Eigentlich war es ja eine Idee der Ampel-Regierung, der deutschen Polizei die Suche nach Gesichtern im Internet zu erlauben sowie Software einzusetzen, die so viele Daten wie möglich zusammenführt und auswertet. Beides sind Überwachungstechnologien, die auf sogenannter Künstlicher Intelligenz basieren. Auf Bundesebene gibt es derartiges noch nicht, die Ampel hatte es nicht mehr durchgekriegt. Zugleich haben inzwischen zahlreiche Bundesländer ihren Polizeien Gesichtersuchmaschinen und die Datenanalysen genehmigt.

Nun zieht die inzwischen schwarz-rot geführte Bundesregierung nach: Sie will der Bundespolizei und dem Bundeskriminalamt (BKA) beide Instrumente in die Hand geben. Das zugehörige Gesetzespaket hat sie Ende April im Kabinett verabschiedet. Daten, die nötig sind, um die Überwachungstools zu füttern, sollen demnach die Bundesbürger*innen liefern. Bürgerrechtsorganisationen wie die Gesellschaft für Freiheitsrechte (GFF) warnen vor „Instrumenten zur Massenüberwachung“ und halten das Paket für verfassungswidrig.

Wir klären die wichtigsten Fragen rund um das Überwachungspaket in diesen FAQ.

Inhalte:

• Was ist das Überwachungspaket?
• Was ist das Problem an der Fotofahndung im Netz?
• Was ist das Problem mit der automatisierten Datenanalyse?
• Was ist das Problem am KI-Training?
• Ist das nicht alles verfassungswidrig?
• Was sind die Unterschiede zum Ampel-Sicherheitspaket?
• Was sagen die Kritiker*innen?
• Wer tut etwas dagegen?

Was ist das Überwachungspaket?

Das Paket enthält drei Gesetzentwürfe, die das Bundeskabinett Ende April beschlossen hat. Der „Gesetzentwurf zur Stärkung digitaler Ermittlungsbefugnisse in der Polizeiarbeit“, der „Gesetzentwurf zur Stärkung digitaler Ermittlungsbefugnisse zur Abwehr von Gefahren des internationalen Terrorismus“ und der „Gesetzentwurf zur Änderung der Strafprozessordnung“ legen zusammen die Grundlage dafür, dass Ermittlungsbehörden Gesichtsbilder mit Aufnahmen aus dem Internet abgleichen und automatisierte Datenanalysen durchführen können. Außerdem dürfen sie demnach mit den „vorhandenen“ Daten von Bürger*innen Überwachungs-KI-Systeme trainieren.

Was ist das Problem an der Fotofahndung im Netz?

Die Polizei soll Fahndungsfotos mit öffentlich zugänglichen Bildern aus dem Internet abgleichen dürfen. Also auch mit Selfies auf Social Media, dem Teamfoto deiner Handballmannschaft und einem Stockfoto der Innenstadt von Hannover, auf dem du aus Versehen im Hintergrund zu sehen bist. Sie soll mit dieser Suche die Identität abgebildeter Personen herausfinden dürfen. Dabei bekäme sie Zugriff auf potenziell äußerst persönliche Informationen.

Davor warnt auch die GFF: Die Behörden könnten durch den Abgleich Rückschlüsse auf besonders sensible Daten wie politische Einstellungen und sexuelle oder religiöse Orientierung ziehen, z.B. bei Aufnahmen von Demos, Veranstaltungen oder Gottesdiensten. Das Internet mache mittlerweile einen erheblichen Teil des öffentlichen Raumes aus, so die Bürgerrechtsorganisation. Mit den neuen Befugnissen werde die Anonymität in diesem digitalen öffentlichen Raum faktisch unmöglich gemacht. Das sei mit enormen Abschreckungseffekten verbunden und habe erhebliche Auswirkungen auf die Ausübung von Grundrechten, kritisiert die GFF.

Laut den Plänen soll die Polizei die biometrische Fahndung einsetzen dürfen, um die Identität oder den Aufenthaltsort von Beschuldigten, aber auch von Zeug*innen festzustellen. Im Zweifel muss man also nicht mal selbst einer Straftat verdächtig sein, um zum Fahndungsziel zu werden. Erlaubt sein soll das beim Verdacht einer Straftat von erheblicher Bedeutung – das sind etwa Mord und Vergewaltigung, aber auch Steuerhinterziehung, Geldwäsche oder Drogendelikte.

Das Problem: Um im öffentlichen Internet nach Personen fahnden zu können, müssen Ermittlungsbehörden die öffentlich im Netz verfügbaren Fotos von Gesichtern zunächst durchsuchen, sammeln und in Templates umrechnen. Dabei entsteht eine Datenbank mit den biometrischen Entsprechungen von möglicherweise Milliarden von Gesichtern.

Das Ministerium betont, dass diese Vergleichsdatenbank bei dem geplanten „Ad-hoc-Abgleich“ nicht dauerhaft gespeichert würde. Die Templates müssten stattdessen für jeden Abgleich neu erstellt werden. Damit sei die „Erstellung einer dauerhaften Datenbank, die aus dem Internet erhobene Lichtbilder und/oder zugehörige Templates vorhält, […] ausgeschlossen“.

Schwarz-rotes Sicherheitspaket »zum Großteil verfassungswidrig«

Allerdings steht das so nicht explizit im Gesetzentwurf. Dieser legt nur fest, dass die „beim Abgleich erhobenen und verarbeiteten Daten“ im Anschluss „unverzüglich“ zu löschen sind, wenn sie für die weiteren Ermittlungen nicht relevant sind. Die Referenzdatenbank selbst erwähnt der Text nicht explizit.

Hinzu kommt: Artikel 5 der KI-Verordnung der EU verbietet „das Inverkehrbringen, die Inbetriebnahme […] oder die Verwendung von KI-Systemen, die Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen erstellen oder erweitern“.

Aber eine zielgerichtete Suche wäre demnach wohl durchaus möglich. Beispielsweise: Vergleiche dieses Bild mit allen Menschen, die sich auf Social Media für das Wacken-Festival interessieren.

Eine Gesichtersuchmaschine hat die deutsche Polizei ja bereits: Das Gesichtserkennungsystem (GES) des BKA, das eingespeiste Bilder mit, unter anderem, Menschen vergleicht, die erkennungsdienstlich behandelt wurden. Über fünf Millionen Menschen sind dort drin. Die Fotofahndung im Netz wäre für dieses System ein Riesen-Upgrade, weil damit theoretisch fast alle Menschen identifiziert und gefunden werden können. Wer hat schon keine Fotos von sich im Netz?

Was ist das Problem mit der automatisierten Datenanalyse?

Geplant ist eine Super-Datenbank. Die Datenanalyse soll verschiedene Datenquellen verbinden und die aggregierten Daten sinnvoll aufbereiten. Damit können Polizist*innen Fragen nachgehen wie: Wer gehört zu einer bestimmten Gruppe? Oder: Wo wird wohl demnächst eingebrochen?

Das Problem an dieser Datenbank: Da sind nicht nur Daten von Verurteilten oder zumindest Verdächtigen drin, sondern auch die von Opfern und Zeugen von Straftaten oder Kontaktpersonen von Verdächtigen. Also potenziell: wir alle. Die Quellen, aus denen die Daten dazu stammen dürfen, sind im Gesetzpaket auch nicht beschränkt. Daten, auf die beispielsweise das BKA „zur Erfüllung seiner Aufgaben zugreifen“ darf, dürfte es auch in die Super-Datenbank kippen.

Zivilgesellschaft warnt vor Plänen für KI-Fahndung

Denkbar sind also Standortdaten, Fingerabdrücke, Genproben, abgehörte Gespräche, wer wann mit wem wie lange telefonierte, sowie natürlich sämtliche polizeiinterne Vorgangsdaten. Außerdem kann die Datenbank live an polizeiliche Datenbanken anderer EU-Staaten angeschlossen werden.

Amnesty International und ein Dutzend andere Organisationen warnen, dass die Daten von Opfern, Zeug:innen und gänzlich unbeteiligten Personen Teil derselben „Super-Datenbank“ werden würden. Das Resultat wären demnach „tiefgreifende Persönlichkeitsprofile auf der Basis algorithmisch ausgewerteter massenhafter Datenbestände.“

„Automatisierte Datenanalysen sind mächtige Überwachungsmaßnahmen“, schreibt die GFF in ihrer Stellungnahme zum Gesetzespaket. Deswegen seien strenge Beschränkungen zum Schutz der Grundrechte nötig. Doch diese sieht die Bundesregierung nicht vor.

Was ist das Problem am KI-Training?

Laut der Gesetzentwürfe dürfen Beamt*innen sogenannte KI mit deinen Daten füttern. Die Trainingsdaten müssen beispielsweise dann nicht an- oder pseudonymisiert werden, wenn das „einen unverhältnismäßigen Aufwand“ bedeuten würde. Die Polizei darf bei ihr vorhandene personenbezogene Daten zum KI-Training auch weitergeben, beispielsweise an privatwirtschaftliche Unternehmen. Das Problem: Sprachmodelle können die Informationen, mit denen sie trainiert werden, nahezu perfekt wiedergeben. Das kam im Rahmen von Urheberrechtsstreitigkeiten heraus.

Das heißt: Informationen, die in derartiger Software landen, können nicht nur von der Software gegen dich verwendet werden – indem sie dich einem Verdacht aussetzt – sondern auch von jedem Menschen, der Zugriff auf die Software hat, rekonstruiert werden. Das ist ein Problem, wenn die Polizei anfängt, wahllos persönliche Informationen in Überwachungssoftware zu füttern. Die Hersteller der Programme sind ja meist auch privatwirtschaftliche Unternehmen, die unsere Informationen womöglich gewinnbringend weiterverarbeiten. So entwickelt beispielsweise Datenanalyse-Marktführer Palantir seine Produkte auch auf Basis realweltlicher Daten.

Ist das nicht alles verfassungswidrig?

Die Gesellschaft für Freiheitsrechte (GFF) nennt in ihrer aktuellen Stellungnahme zum Sicherheitspaket (PDF) die Gesetzesvorhaben der Bundesregierung zur biometrischen Fahndung im Internet und zur automatisierten Datenanalyse „zum Großteil verfassungswidrig“. Die Bürgerrechtsorganisation lehnt deshalb die Einführung der darin vorgeschlagenen Befugnisse und Änderungen fast rundweg ab.

Systeme zur automatisierten Analyse könnten umfassende Persönlichkeitsprofile erzeugen, die Daten Unbeteiligter würden mitverarbeitet und es drohten falsche Treffer und Fehlverdächtigungen. Die GFF verweist dabei auf ein Urteil des Bundesverfassungsgericht von 2023, das ähnliche Regelungen in Hessen und Hamburg bereits teilweise kassiert hat. Karlsruhe stellte damals klar: Automatisierte Datenanalyse greift schwerwiegend in das Recht auf informationelle Selbstbestimmung ein und braucht deshalb enge gesetzliche Grenzen. Diese sehe das aktuelle Entwurf nicht vor.

Auch im Fall der Foto-Fahndung sieht die Organisationen Grundrechte in Gefahr, etwa weil auch hier die Daten vieler Unbeteiligter betroffen wären und die Maßnahmen nicht ausreichend auf schwerste Straftaten begrenzt sind.

Auch AlgorithmWatch kommt zu einem ähnlichen Urteil. Die Pläne der Bundesregierung, die digitalen Ermittlungsbefugnisse von Sicherheitsbehörden auszuweiten, sind nach Meinung der Organisation europarechtswidrig und stehen im Konflikt mit verfassungsrechtlichen Mindestanforderungen und datenschutzrechtlichen Grundsätzen. Dabei kommt AlgorithmWatch – wie auch schon die GFF – zu dem Schluss, dass man dieses Gesetz nicht mit ein paar Änderungen verbessern könnte.

Die verfassungs- und menschenrechtliche Unverhältnismäßigkeit lasse „ausschließlich die Empfehlung zu, die Gesetzentwürfe zurückzuziehen und ein grundsätzliches gesetzliches Verbot des Einsatzes biometrischer Massenerkennungssysteme für öffentliche und private Stellen einzuführen“, so die Zusammenfassung der Stellungnahme zum Gesetz (PDF).

Auch Amnesty International, der Chaos Computer Club, D64, die Digitale Gesellschaft und viele weitere Organisationen warnen vor der Gefährdung von Grundrechten. „Wir betonen, dass eine grundrechtskonforme Ausgestaltung dieser Befugnisse auch durch Nachbesserungen im Verfahrensrecht nicht erreichbar wäre“, heißt es in der Stellungnahme: „Die genannten Mängel sind keine bloßen Ausgestaltungsfehler, sondern symptomatisch für das strukturelle Defizit des gesamten Regelungsvorhabens.“

Was sind die Unterschiede zum Ampel-Sicherheitspaket?

Das Gesetzespaket ist nicht der erste Anlauf, um Gesichtserkennung und Big-Data-Analysen auf Bundesebene einzuführen. Nach dem Messeranschlag in Solingen haben die Ampel-Fraktionen im Bundestag bereits ein „Sicherheitspaket“ beschlossen, das allen Polizeibehörden den Einsatz von Gesichtserkennung und KI erlauben sollte.

Die Pläne scheiterten allerdings im Bundesrat, weil den Ländern einige der geplanten Überwachungsbefugnisse nicht weit genug gingen.

Das Ampel-Paket bestand aus zwei Gesetzen. Das eine – in dem es um Messerverbote und verschärfte Asylregelungen ging – trat in Kraft. Das andere – mit erweiterten Befugnissen für Sicherheitsbehörden – scheiterte. Genau diese gescheiterten Instrumente tauchen jetzt in verschärfter Form im Kabinettsentwurf wieder auf: biometrische Gesichtserkennung und automatisierte Datenanalyse. Das Paket holt also nach, was im ersten Anlauf nicht durchkam.

Was sagen die Kritiker*innen?

Clara Bünger, stellvertretende Vorsitzende der Linken im Bundestag:

Die Bundesregierung treibt den Ausbau digitaler Kontrollwerkzeuge massiv voran und hebelt damit den Schutz unserer Privatsphäre mithilfe künstlicher Intelligenz aus. Besonders die biometrische Gesichtserkennung erfordert den Aufbau riesiger Datensammlungen, die alle Menschen unter Generalverdacht stellen und gegen geltendes europäisches Recht verstoßen. Dieser Weg führt geradewegs in einen digitalen Überwachungsstaat.

Donata Vogtschmidt, digitalpolitische Sprecherin der Linken im Bundestag:

Mehr Überwachung kann Ursachen von Kriminalität und sozialen Problemen nicht lösen. Das Sicherheitspaket 2.0 ist in der Summe nichts weiter als der höchst zweifelhafte Versuch, durch ein Gefühl der ständigen Überwachung im öffentlichen Raum die Handlungsfreiheit der Menschen zu ersticken und KI auch dort zu entfesseln, wo sie gesellschaftlich besonders großen Schaden anrichten kann. Diese fundamentale Fehlentwicklung sollte und muss endlich wachrütteln!

Konstantin von Notz, Stellvertretender Fraktionsvorsitzender der Grünen:

Die geplanten neuen Befugnisse ermöglichen tiefe Grundrechtseingriffe und betreffen dabei keineswegs nur Personen im direkten Fokus von Sicherheitsbehörden, sondern potenziell alle, auch gänzlich unbescholtene, Bürger.

Matthias Spielkamp, Geschäftsführer der NGO AlgorithmWatch:

Damit macht die Bundesregierung den Weg dafür frei, die Fotos aller Menschen, die im Internet verfügbar sind, ob von der Familienfeier oder dem Sommerurlaub, biometrisch zu speichern und auszuwerten. Zudem sollen mit KI-Software wie der von Palantir alle Daten ausgewertet werden, die die Behörden über uns gesichert haben. Davon träumen sonst nur autoritäre Regierungen.

Kai Kempgens vom vom Deutschen Anwaltverein:

Polizeibehörden erhielten damit Zugriff auf eine KI-generierte ‚Gigadatenbank‘ mit darin enthaltenen zum Teil höchstpersönlichen Daten. Ein unkontrollierter Zugriff auf solche faktischen Vorratsdaten lässt sich angesichts der massiven Tiefe des Grundrechtseingriffs nicht ansatzweise rechtfertigen und würde eine Überwachungsdystopie verwirklichen, die massiv dem Rechtsstaatsprinzip zuwiderläuft.

Wer tut etwas dagegen?

Das Netzwerk „Sicherheit ohne Überwachung“ agitiert gegen die Gesetzesverschärfungen auf Bundesebene: Gesichtersuchmaschine, Datenanalyse nach Palantir-Art und Vorratsdatenspeicherung. Unter anderem ist eine Demonstration in Berlin am 13. Juni 2026 um 14 Uhr an der Warschauer Straße / Marchlewskistraße geplant.

Wer bis dahin nicht untätig herumsitzen möchte, kann die Petition von AlgorithmWatch unterschreiben.

Update, 5.5.2026, 15.25 Uhr: In einer vorherigen Fassung schrieben wir, dass im GES des BKA alle Menschen verzeichnet seien, die je erkennungsdienstlich behandelt wurden. Das ist nicht korrekt. Teilweise werden die dabei erhobenen Daten nach einer gewissen Zeit wieder gelöscht.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Bundesregierung nimmt einen dritten Anlauf zur Vorratsdatenspeicherung. Internet-Zugangs-Anbieter sollen IP-Adressen aller Nutzer speichern – anlasslos und massenhaft. Internet-Dienste wie E-Mails und Messenger müssen auf Anordnung ebenfalls Daten speichern und herausgeben.

Die Bundesregierung hat heute den Gesetzentwurf zur Vorratsdatenspeicherung beschlossen. Damit geht das Gesetz in den Bundestag.

Das Gesetz verpflichtet Internet-Zugangs-Anbieter, IP-Adressen und Port-Nummern sämtlicher Nutzer drei Monate lang zu speichern, ohne Anlass und ohne Verdacht auf eine Straftat. Behörden dürfen ohne Richtervorbehalt darauf zugreifen.

Auf Anordnung müssen auch Internet-Dienste wie E-Mail-Anbieter und Messenger Verkehrsdaten speichern und herausgeben.

Das ist bereits das dritte Gesetz zur Vorratsdatenspeicherung in Deutschland. Sowohl das erste Gesetz von 2007 als auch das zweite Gesetz von 2015 wurden von höchsten Gerichten gekippt.

Die verfassungswidrigen Vorgänger-Gesetze wurden mit Terrorismus begründet. Die Bundesregierung begründet das neue Gesetz mit Fake-Shops und digitaler Gewalt.

Mehr Behörden, mehr Fälle

Im Dezember hatte SPD-Justizministerin Stefanie Hubig einen ersten Gesetzentwurf vorgestellt. In den Verhandlungen mit Innen- und Digitalministerium wurden noch ein paar Dinge verändert.

Ursprünglich sollten nur Strafverfolgungs- und Polizeibehörden die Vorratsdaten abfragen. Jetzt dürfen auch „andere berechtigte Stellen“ die Daten nutzen, darunter Geheimdienste wie Verfassungsschutz, Finanzbehörden und Zoll.

Die Behörden sollen Verkehrsdaten nicht mehr nur abfragen dürfen, wenn eine Ermittlung „auf andere Weise aussichtslos wäre“, sondern breits, wenn sie sonst „wesentlich erschwert wäre“.

Der neue Entwurf stellt klar, dass lokale WLANs nicht unter die Speicherpflicht fallen, neben Hotels auch Freifunk. Daten sollen nicht länger als drei Monate gespeichert werden, auch wenn eine Internet-Verbindung länger besteht. Das war im ersten Entwurf noch vorgesehen.

Berufsgeheimnisträger sollen nicht geschützt werden, das hatten unter anderem Medien-Vereinigungen vergeblich gefordert.

Hunderttausende Abfragen

Grundrechtseingriffe müssen notwendig und verhältnismäßig sein. Andere Länder wie die USA haben keine Vorratsdatenspeicherung, dort ist sie nicht notwendig. Deutschland hatte schon mal eine Vorratsdatenspeicherung. Damals hat das Max-Planck-Institut für Strafrecht wissenschaftlich untersucht: Es gibt ohne Vorratsdatenspeicherung keine Schutzlücken in der Strafverfolgung.

Im Gesetzentwurf versucht die Bundesregierung abzuschätzen, wie oft die Polizei Vorratsdaten abfragen wird. Sie kommen auf 143.000 pro Jahr – 86.000 Abfragen durch das Bundeskriminalamt und 57.000 Abfragen durch die Länder.

Diese Schätzung widerspricht den Daten der Telekom. Ganz ohne Vorratsdatenspeicherung hat die Telekom in einem Jahr fast 290.000 Abfragen zu IP-Adressen bekommen – wegen mutmaßlicher Urheberrechtsverletzungen im Internet.

Tausende Anbieter betroffen

Die Speicherpflicht betrifft „unterschiedslos alle Anbieter von Internetzugangsdiensten“, in Deutschland etwa 700. Verbände rechnen mit Kosten von ein bis zwei Millionen Euro für große und 80.000 Euro für kleine Internet-Anbieter.

Die Abfrage von Verkehrsdaten betrifft „alle Anbieter von Telekommunikationsdiensten“, also auch Anbieter für E-Mail und Messenger. Die Bundesnetzagentur rechnet mit „rund 3.000 Verpflichteten“. Nicht alle Anbieter sind auch kommerzielle Unternehmen, es gibt auch ehrenamtliche und gemeinnützige Anbieter.

Die Bundesregierung schafft also mehr Regulierung und Belastungen für Internet-Dienste, gegen deren Willen.

„Rechtswidrig, fehlgeleitet, gefährlich“

Vor 20 Jahren haben zehntausende Menschen gegen die Vorratsdatenspeicherung demonstriert. Auch heute ist der Widerstand breit.

Der Deutsche Anwaltverein kritisierte bereits den Entwurf mit deutlichen Worten: Die Regierung „setzt sich über die europarechtlichen Maßgaben hinweg“ und steht „nicht mit den grundrechtsschützenden Intentionen des Gerichtshofs in Einklang“. Eine „wirksame Begrenzung der Verwendungszwecke“ fehlt, deshalb ist „die vorgeschlagene Vorratsdatenspeicherung europarechtswidrig“.

Die Digitale Gesellschaft kritisiert:

Die Vorratsdatenspeicherung ist immer noch ein fehlgeleiteter Ansatz. Es gibt keine Evidenz für die Verhältnismäßigkeit dieser radikalen Massenüberwachung. Tatsächlich wären in erheblichem Ausmaß unbescholtene Bürger*innen betroffen.

Das Zentrum für Digitalrechte und Demokratie kritisiert:

In einer Zeit, in der neue Technologien immer stärker in die Privatsphäre eindringen und zugleich autoritäre Kräfte an Macht und Einfluss gewinnen, stellt sich noch die Frage: Was passiert, wenn Regierungen ihre Polizeibehörden dazu anweisen oder ermuntern, ihre Zugriffsmöglichkeiten auf IP-Adressen und Portnummern zu nutzen, um gegen politische Gegner vorzugehen?

Anwaltverein: „Rechtmäßigkeit fraglich“

Update: Der Deutsche Anwaltverein kritisiert:

Auch eine abgespeckte Vorratsdatenspeicherung bleibt eine Vorratsdatenspeicherung. Die anlasslose IP-Adressenspeicherung betrifft die Rechte von Millionen unbescholtener Bürgerinnen und Bürger – während Kriminelle genügend Möglichkeiten kennen, ihre Identität zu verschleiern.

Die Speicherdauer von drei Monaten geht deutlich über das erforderliche Maß hinaus. Für die Verwertung ist weder eine richterliche Kontrolle noch eine Beschränkung auf eine Mindestschwere der aufzuklärenden Straftat vorgesehen. Damit ist die Vereinbarkeit mit Verfassungs- und Europarecht fraglich.

Linke: „Massenüberwachung durch die Hintertür“

Update: Die Linke im Bundestag kritisiert:

Dieser Entwurf wird erneut vor den Gerichten krachend scheitern. Ich fordere die Bundesregierung auf, diese Täuschung zu beenden und den Entwurf zurückzuziehen. Als Linke lehnen wir jegliche Vorratsdatenspeicherung ab.

Internetwirtschaft: „Beschluss hochproblematisch“

Update: Der Verband der Internetwirtschaft eco kritisiert:

Auch nach dem Kabinettsbeschluss gilt: Der Entwurf verfehlt die Vorgaben des Europäischen Gerichtshofs und schafft erneut eine anlasslose Datenspeicherung ohne nachweisbaren Mehrwert für die Strafverfolgung. Drei Monate IP-Adressspeicherung bedeuten nicht mehr Sicherheit, sondern mehr Datenspeicherung auf Verdacht.

Grüne: „Zentrales Bürgerrechtsthema“

Update: Die Grünen im Bundestag kritisieren:

Auch die jüngste Vorlage der Bundesregierung mit einer dreimonatigen Speicherfrist begegnet weiterhin erheblichen juristischen Bedenken, bspw. mit Blick auf die Frage, ob die dezidierten Vorgaben höchster Gerichte (die u.a. die Speicherdauer auf das absolute Minimum beschränken) eingehalten werden. Die Gefahr, dass auch diese Regelung nicht lange Bestand haben wird, ist daher sehr real.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Der Datenatlas soll die Bundesverwaltung effizienter machen. Ein wissenschaftliches Gutachten zeigt nun jedoch, dass er mitunter nicht einmal dem Stand der Technik aus dem Jahr 1986 entspricht. Anstatt den Gutachter zu konsultieren, erwägt die zuständige Bundesdruckerei „rechtliche Schritte“ gegen ihn.

Die Verwaltung sollte wissen, was die Verwaltung weiß. Doch Informationen liegen mal diesem Ministerium, mal jener Behörde vor. Damit interne Daten innerhalb der Bundesverwaltung besser aufgefunden werden können, setzt die Bundesdruckerei seit dem Jahr 2022 das Projekt Datenatlas Bund um.

Der „souveräne Datenkatalog für die Bundesverwaltung“ soll erstmals ressortübergreifend Metadaten bereitstellen. Metadaten sind Daten über Daten, also Zusatzinformationen wie etwa das Erstellungsdatum, der Dateityp oder der Speicherort. Die Federführung für das Projekt hat das Bundesfinanzministerium, in den jeweiligen Ministerien sind die Datenlabore für den Atlas zuständig. Grundlage dafür bildet die Bundesdatenstrategie aus dem Jahr 2021.

Modern, digital souverän und KI-fähig soll der Datenatlas sein, schreibt die Bundesdruckerei auf ihrer Website. Doch diese Versprechen kann sie nicht einlösen, wie David Zellhöfer in einem wissenschaftlichen Gutachten schreibt, das er pro bono – also eigeninitiativ und unentgeltlich – verfasst hat. Zellhöfer ist Professor an der Hochschule für Wirtschaft und Recht Berlin und lehrt zu Digitale Innovation in der öffentlichen Verwaltung.

Das Projekt basiert laut Gutachten auf proprietärer Software, greift wahrscheinlich nicht auf übliche Standards zurück und auch für die Einbindung von KI-Anwendungen sei es ungeeignet. Denn die Daten seien weder von verlässlicher Qualität noch maschinenlesbar. Damit falle der Datenatlas teilweise hinter den Stand der Technik von 1986 zurück, so Zellhöfers Resümee. „Aufgrund der eklatanten Mängel ist das Software-Entwicklungsprojekt Datenatlas mit sofortiger Wirkung zu stoppen“, so seine Empfehlung, „um nicht weitere Mittel in eine technisch und konzeptionell wenig überzeugende Lösung zu investieren, welche kaum den Stand der Technik erreicht.“

Die Reaktion der Bundesdruckerei auf das Gutachten fällt deutlich aus. Sie zieht die Seriosität Zellhöfers in Zweifel und erwägt, „nach eingehender Prüfung des Gutachtens“ rechtliche Schritte einzuleiten. Als wir David Zellhöfer davon in Kenntnis setzen, nimmt er das Gutachten vorübergehend offline, um die Vorwürfe selbst rechtlich prüfen zu lassen. Inzwischen ist das Gutachten wieder online abrufbar.

Großprojekt für datengetriebene Verwaltung

Der Titan Atlas schultert in der griechischen Mythologie den gesamten Kosmos. Der Datenatlas soll „nur“ die internen Daten der Bundesverwaltung schultern und es der öffentlichen Verwaltung erlauben, ressort- und behördenübergreifend Daten auszutauschen. Dafür nutzt und ergänzt das Projekt bestehende Verwaltungsdatenübersichten wie die Verwaltungsdaten-Informationsplattform (VIP) des Statistischen Bundesamtes, die Registerlandkarte des Bundesverwaltungsamtes oder das Metadatenportal GovData zu offenen Daten von Bund, Ländern und Kommunen.

Auf den Datenatlas kann standardmäßig nur die Bundesverwaltung zugreifen. Laut Bundesdruckerei seien inzwischen die Ressorts des Bundesfinanzministerium, des Bundesinnenministeriums und weitere an den Datenatlas angeschlossen. Nutzen können sie ihn im Intranet des Bundes. Dafür müssen sich die einzelnen Mitarbeiter:innen registrieren. Bürger:innen, die organisierte Zivilgesellschaft und die Wissenschaft haben damit keinen Einblick in den Datenatlas, wie der Pressesprecher der Bundesdruckerei auf Anfrage unterstreicht.

Bislang hat der Datenatlas laut Zellhöfers Grobschätzung mindestens 2,3 Millionen Euro gekostet. Allerdings lägen die Kosten mutmaßlich deutlich darüber, wie anonyme Quellen Zellhöfer gegenüber sagten. Die tatsächlichen Kosten legt die Bundesdruckerei auf Anfrage von netzpolitik.org nicht offen.

Wie Technik aus dem vergangenen Jahrtausend

Das Stichwort „Stand der Technik“ taucht im Gutachten gut einhundert Mal auf. Ausführlich zeichnet Zellhöfer nach, welche Funktionen der Datenatlas aus informationswissenschaftlicher Sicht im Jahr 2025 haben sollte. Zellhöfer zufolge bleibt der Datenatlas weit hinter den Erwartungen zurück.

Besonders deutliche Defizite weisen demnach die Anfragemöglichkeiten auf. So sollen Beschäftigte der Bundesverwaltung in der Datenbank gezielt Metadaten recherchieren können. Für diese Suche sind andernorts verschiedene Hilfsmittel üblich, etwa das Suchen mittels Boolscher Operatoren wie „UND“, „ODER“ oder „NICHT“. Ebenso gängig sind sogenannte Wildcards, Sonderzeichen wie das Sternchen- oder Fragezeichen-Symbol, die als Platzhalter für eine beliebige Zahl an Zeichen dienen.

Nutzer:innen kennen solche Möglichkeiten der gezielten Suche etwa von gewöhnlichen Internetsuchmaschinen. Der Datenatlas verfügt über diese Funktionen allerdings nicht. Damit biete er erheblich weniger Funktionen als vergleichbare Datenbanksysteme aus dem Jahr 1986, konstatiert Zellhöfer.

Gefangen in proprietärer Software

Auch dem Ziel der Bundesdatenstrategie werde der Datenatlas nicht gerecht, nämlich einen „Beitrag zur digitalen Souveränität Europas“ zu leisten.

Vielmehr mache sich die Bundesverwaltung vom IT-Dienstleister abhängig, den die Bundesdruckerei mit dem Projekt des Datenatlas beauftragt hat. Denn der Datenatlas baue auf proprietärer Software auf, obwohl verfügbare Open-Source-Lösungen nach informationswissenschaftlicher Expertise teilweise ausgereifter seien. Als Beispiele nennt Zellhöfer die Open-Source-Lösungen Fedora und Piveau.

Der Bundesdruckerei verpasse damit die Chance, verlässlicher zu wirtschaften. Denn die laufenden Kosten ließen sich mit einer Open-Source-Lösung besser kalkulieren. Auch die Gefahr eines sogenannten Vendor Lock-in ließen sich so vermeiden. Vendor Lock-in bezeichnet die starke Abhängigkeit von einem bestimmten Anbieter, bei der ein Wechsel zu einem anderen Anbieter nur mit unverhältnismäßig hohem Aufwand oder zu hohen Kosten möglich ist.

Es drohen weitere Datensilos

Die Gefahr der Abhängigkeit steige zusätzlich, wenn der Datenatlas keine gebrauchsüblichen Datenstandards oder Schnittstellen nutze. Stattdessen habe der beauftragte IT-Dienstleister auf eigene Entwicklungen zurückgegriffen.

Das aber erschwert es Nutzer:innen aus der Verwaltung, ihre eigenen Datensätze in den Datenatlas zu überführen, weil sie diese zuvor noch anpassen müssen. Und auch der Datenexport wird unnötig behindert, etwa für den Fall, dass Nutzer:innen das System wechseln wollen.

Würde der Einsatz des Datenatlas verpflichtend, „führte dies unmittelbar zu der Bildung eines weiteren, wenig interoperablen Datensilos“, warnt Zellhöfer in seinem Gutachten. Obendrein ein Silo mit Daten von minderer Qualität. Denn die Nutzer:innen können die Metadaten-Felder mit frei wählbaren Beschreibungen belegen. Das mache es zusätzlich kompliziert, einzelne Datensätze wiederzufinden, etwa wenn sich Rechtschreibfehler einschleichen.

Bundesdruckerei erwägt rechtliche Schritte

Auf unsere Anfrage an die Bundesdruckerei, wie sie die Ergebnisse des Gutachtens bewerte, ging die bundeseigene GmbH nicht ein. Stattdessen zweifelt sie in ihrer Antwort die Neutralität des Gutachters an. „Wir können aktuell nur mutmaßen, dass der Autor für sein Werk womöglich unseriöse Quellen benutzt haben könnte“, schreibt die Bundesdruckerei an netzpolitik.org, „und zudem einen unlauteren Zweck verfolgt: die Reputation unseres Unternehmens zu schädigen.“ Und sie kündigt an, gegebenenfalls rechtlich gegen das Gutachten vorzugehen: „Sollten sich nach eingehender Prüfung dieses ‚Gutachtens‘ unsere Mutmaßungen erhärten, werden wir die Einleitung rechtlicher Schritte erwägen“.

Als wir Zellhöfer über die Reaktion der Bundesdruckerei informierten, nimmt er sein Gutachten vorübergehend offline. „Ich war unmittelbar eingeschüchtert“, sagt er gegenüber netzpolitik.org, „obwohl die Antwort der Bundesdruckerei in keiner Weise sachlich nachvollziehbar ist.“ Die Reaktion kann er sich nicht erklären. „Der Datenatlas ist ein Nischenthema“, sagt er, „das hätten sie auch einfach aussitzen können.“

„Wenn man es positiv sehen will, könnte der Datenatlas als Projekt eines Retro-Computing-Enthusiasten durchgehen“, sagt Zellhöfer. Aber vermutlich müsse man den Datenatlas in seiner jetzigen Form vielmehr als „einen zynischen Kommentar zur Verwaltungsmodernisierung“ sehen. „Super ist, dass sie methodisch sinnvoll eine Dateninventur gemacht haben.“

Weder das BMF noch das Bundesministerium für Digitales und Staatsmodernisierung wollten das Gutachten auf Anfrage bewerten. Das Bundesdigitalministerium soll die Federführung für den Datenatlas übernehmen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Bundesregierung will Deutschland zur „KI-Nation“ machen, die EU verfolgt eine „AI-First“-Mentalität. Eine Umfrage in mehreren europäischen Ländern zeigt nun, dass die Mehrheit der Befragten diesen Hype nicht mitträgt. Ihr bereitet vor allem der wachsende Strom- und Wasserverbrauch Sorge. Und sie wünscht sich eine strengere Regulierung.

Ich öffne mein Bahn-Ticket. “Dieses Dokument scheint lang zu sein. Spare Zeit und lies eine Zusammenfassung”, empfiehlt mir prompt mein PDF-Reader. Ein Paradebeispiel dafür, wie immer mehr Anwendungen den Nutzer*innen KI-Tools aufdrängen, in den meisten Fällen, ohne dass sich ein Nutzen daraus ergibt.

Weltweit versuchen Regierungen und große IT-Firmen, sich im KI-Wettbewerb zu überbieten. Dabei benötigen die zugrunde liegenden Systeme immer mehr Rechenleistung, für die irgendwo Computer laufen müssen, die Strom und Wasser verbrauchen. Doch während das Thema Rechenzentren längst in der politischen Debatte und bei Fachleuten angekommen ist, wusste man bislang kaum etwas darüber, wie die Bevölkerung diese Entwicklung einschätzt.

Aus diesem Grund hat AlgorithmWatch in mehreren europäischen Ländern eine repräsentative Umfrage zu Rechenzentren und ihren Auswirkungen durchführen lassen. Gemeinsam mit internationalen Partnerorganisationen wie der spanischen Initiative Tu Nube Seca mi Rio, Friends of the Earth Ireland und der europäischen Klimaschutzallianz Beyond Fossil Fuels wurden Menschen in Deutschland, der Schweiz, Spanien, Irland und dem Vereinigen Königreich befragt.

Wunsch nach mehr Transparenz und mehr Regulierung

Die Ergebnisse sind überraschend deutlich: In allen beteiligten Ländern spricht sich jeweils eine große Mehrheit der Befragten für eine stärkere Regulierung und mehr Transparenz von Rechenzentren aus. In einigen Ländern ist die Zustimmung dabei besonders hoch, so zum Beispiel in Spanien und Irland. Dort ist der Wasser- beziehungsweise Stromverbrauch der KI- und Cloud-Fabriken schon länger Gegenstand öffentlicher Diskussionen und Proteste. Denn sowohl im grünen Irland als auch im trockenen Spanien wirken sich die Rechenzentren bereits spürbar auf Energiepreise und Wasserverfügbarkeit aus. In Spanien befürchten knapp 90 Prozent der Befragten, dass der Wasserverbrauch der Einrichtungen ihre eigene Versorgung beeinträchtigen könnten.

Auch beim Blick auf die Gesamtergebnisse sprechen die Zahlen eine eindeutige Sprache: Drei Viertel der Befragten aller Länder sorgen sich, dass der Wasserverbrauch die umliegenden Ökosysteme beeinträchtigen könnte. Fast genauso viele befürchten Auswirkungen auf den eigenen Wasserverbrauch und immerhin nahezu zwei Drittel denken, dass der Energieverbrauch von Rechenzentren bereits heute einen relevanten Anteil des Stromverbrauchs in den jeweiligen Ländern ausmacht.

Groß ist aber nicht nur der Anteil derer, die sich Sorgen machen, sondern auch die Unterstützung für politische Forderungen, die Betreiber stärker in die Verantwortung nehmen. Mehr als sieben von zehn Befragten wollen, dass der Bau neuer Rechenzentren nur dann erlaubt ist, wenn der zusätzliche Strombedarf durch zusätzliche Kapazitäten an erneuerbaren Energien gedeckt wird. Ebenso viele wollen klare Kriterien, nach denen Energie verteilt wird – wobei die Befragten Rechenzentren und KI-Modelle konsequent als unwichtig bewerten.

Bei der Verteilung der Energie sollten gemäß der Umfrage vor allem die Sektoren priorisiert werden, die erneuerbare Energien zur Umstellung auf eine klimafreundliche Produktion benötigen. Rechenzentren gehören nicht dazu – ihr Stromverbrauch entsteht ja gerade zusätzlich. Häufig werden diese aktuell direkt mit Strom aus fossilen Brennstoffen betrieben. Vielerorts werden sogar Gaskraftwerke neu errichtet, um den Bedarf zu decken. Aber selbst wenn neue Rechenzentren mit erneuerbaren Energien betrieben werden, wie es in Deutschland ab 2027 für größere Einrichtungen vorgeschrieben ist, fehlt ohne weiteren Ausbau diese Energie dann in anderen Sektoren und verlangsamt dort die Dekarbonisierung. Ob direkt oder indirekt: Der Strombedarf für Rechenzentren und KI-Anwendungen gefährdet die Klimaziele.

Verbräuche steigen an, verlässliche Zahlen fehlen

Der Blick auf die Zahlen zeigt: Die in der Umfrage deutlich werdenden Sorgen sind mehr als berechtigt. In Irland verbrauchen Rechenzentren mittlerweile 22 Prozent des gesamten Stroms und tragen erheblich zu den teils enormen Strompreissteigerungen bei. Auch in Deutschland entfallen aktuell mehr als vier Prozent des gesamten Stromverbrauchs auf Rechenzentren. Schätzungen zufolge sind es in Frankfurt am Main bereits jetzt 40 Prozent des Stromverbrauchs, in Dublin sogar 80 Prozent. In der gesamten EU sind es mehr als drei Prozent – Tendenz stark steigend.

Hinzu kommt das für die Kühlung benötigte Wasser: In Spanien werden die größten KI-Fabriken ausgerechnet in den trockensten Regionen gebaut. Auch in Deutschland könnte laut einer Studie der Gesellschaft für Informatik der Wasserverbrauch von Rechenzentren zu Problemen führen – beispielsweise im Rhein-Main-Gebiet und in Brandenburg.

Während die Politik und Betreiberunternehmen offensiv für einen starken Ausbau von Rechenzentren und KI-Infrastruktur werben, mehren sich die Proteste der lokalen Bevölkerung. In Deutschland konzentrieren sich diese bislang vor allem auf Frankfurt und Umgebung. In Irland oder Spanien, wo bereits länger protestiert wird, sind die Bürgerinitiativen weiter verbreitet und dauerhafter organisiert, beispielsweise in der Initiative Tu Nube Seca Mi Rio – “Deine Cloud trocknet meinen Fluss aus”.

Vielerorts ist die mangelnde Transparenz ein großes Problem. Selbst offizielle Stellen müssen größtenteils auf Schätzungen zurückgreifen, wie viel Wasser und Strom die Rechenzentren tatsächlich verbrauchen. Sind valide Daten vorhanden, bleiben diese meist geheim. Zwar sollen Betreiber größerer Rechenzentren die Verbräuche mittlerweile an nationale Stellen wie dem deutschen Energieeffizienzregister für Rechenzentren und die EU melden – aber auch diese Daten werden nur aggregiert veröffentlicht. Hinzu kommt der Unwillen der Betreiber, diese Informationen bereitzustellen. Ein aktueller Bericht der Europäischen Kommission schätzt für das Jahr 2024, dass nur gut ein Drittel aller Rechenzentren in der gesamten EU dies tun. Selbst die Gesamtzahl aller Rechenzentren kann sie dabei nur mutmaßen.

Ein ähnliches Bild zeigt sich auch in Deutschland

In der Bundesrepublik wird der Strom- und Wasserverbrauch von Rechenzentren erst in der jüngsten Zeit stärker thematisiert. Hier liegt der Anteil der Menschen, die sich Sorgen machen, noch etwas niedriger als in anderen europäischen Ländern. Die Betonung liegt hier auf dem „noch“, denn auch in Deutschland nimmt die Zahl der Rechenzentren stark zu – und soll nach dem Willen der Bundesregierung noch stärker wachsen.

Wie drastisch die Entwicklungen sind, zeigen beispielsweise die Zahlen der Bundesnetzagentur. Diese hatte erst vor kurzem die Schätzungen bezüglich des zukünftigen Stromverbrauchs stark nach oben korrigiert: Die im April 2025 veröffentlichten Szenarien gehen davon aus, dass bis zum Jahr 2037 Rechenzentren 78 bis 116 Terawattstunde (TWh) Strom verbrauchen – doppelt bis viermal so viel, wie es die ursprünglichen Abfragen ergeben hatten. Zur Einordnung: Der gesamte Bruttostromverbrauch lag in Deutschland im Jahr 2023 bei gut 550 TWh.

Da die Bundesnetzagentur nur die Rechenzentren berücksichtigt, die sich aktuell in der Planung befinden, könnten die tatsächlichen Zahlen sogar noch weiter ansteigen. Damit würde der Gesamtbedarf der Rechenzentren 2037 nicht nur bis zu 10 Prozent des deutschen Stromverbrauchs betragen. Der Zuwachs an Rechenzentren sorgt vor allem dafür, dass große Mengen Strom zusätzlich bereitgestellt werden müssen, dass fossile Kraftwerke länger laufen und dass wahrscheinlich auch die Strompreise steigen.

Angesichts dieser Zahlen überraschen die Umfrageergebnisse in Deutschland nicht: Auch hier unterstützen zwei Drittel der Befragten die Auflage, dass Rechenzentren nur gebaut werden dürfen, wenn dafür entsprechend auch weitere Kapazitäten erneuerbarer Energien geschaffen werden. Mehr als drei Viertel der Befragten fordern, dass Betreiber von Rechenzentren ihren Energieverbrauch (76 Prozent), ihre Energiequellen (77 Prozent) und ihre Umweltauswirkungen (81 Prozent) offenlegen.

Die Umfrageergebnisse offenbaren damit auch eine Kluft zwischen der Mehrheitsmeinung in der Bevölkerung und dem Kurs der Bundesregierung. Digitalminister Karsten Wildberger (CDU) hatte erst Ende September gegenüber der Süddeutschen Zeitung angegeben, dass es für ihn “erst einmal primär um das Rechnen” gehe und Nachhaltigkeit demgegenüber nachrangig sei. Die Mehrheit der Befragten sieht das offensichtlich anders.

Und noch eines wird deutlich: Es reicht nicht aus, nur etwas an der Effizienz zu schrauben oder die Nutzung der Abwärme zu optimieren. Angesichts der Größe des erwarteten Wachstums muss es auch darum gehen, den Verbrauch von Rechenzentren absolut zu begrenzen – und dort, wo er unvermeidbar ist, durch zusätzliche erneuerbare Energien zu decken.

KI-Hype begrenzen – Rechenzentren nachhaltig gestalten

Rechenzentren sind zweifelsfrei wichtige Infrastrukturen und werden in Zukunft weiter an Bedeutung gewinnen. Umso wichtiger ist es, diese Infrastruktur nachhaltig zu gestalten und die Fehler der Vergangenheit nicht zu wiederholen. Dazu gehört auch die Frage: Wie viele solcher Rechenzentren brauchen wir eigentlich? Welche der neuerdings überall eingebauten KI-Anwendungen haben einen gesellschaftlichen Nutzen – und welche nicht?

Wie auch in anderen Bereichen darf sich die Debatte um den nachhaltigen Einsatz von KI nicht in erster Linie auf der Ebene von individuellen Konsum- beziehungsweise Nutzungsentscheidungen abspielen. Es braucht vielmehr eine politische Diskussion und Regulierung.

Aktuell wird einem bei jeder noch so kleinen PDF-Datei eine algorithmische Zusammenfassung aufgedrängt, führt jede Google-Anfrage zum Aufruf von Sprachmodellen und soll auch die staatliche Verwaltung nach dem Willen der Bundesregierung an so vielen Stellen wie möglich KI-Systeme benutzen. Hier bringt es wenig, nur an das Individuum zu appellieren. Stattdessen braucht es politische Entscheidungen, die sowohl bei KI-Systemen als auch bei Rechenzentren die ökologischen Folgen mitdenken. Statt der „KI-Nation“, zu der sich Deutschland laut dem Koalitionsvertrag entwickeln soll, braucht es – wenn man schon von Nation sprechen will – eine „KI-sensible Nation“, die neben dem Nutzen auch die Nebenwirkungen und häufig leeren Versprechungen solcher Anwendungen im Auge behält.

Mein Bahnticket jedenfalls drucke ich mir weder aus, noch lasse ich es mir zusammenfassen. Gar nicht so selten ist der Nicht-Einsatz von KI nämlich ihr bester Einsatz.

Julian Bothe ist als Senior Policy Manager bei der gemeinnützigen NGO AlgorithmWatch verantwortlich für das Thema „KI und Klimaschutz“. An der Schnittstelle von Digital- und Energiepolitik arbeitet er daran, den Ressourcenverbrauch und den Klimaschaden des aktuellen KI-Booms in Grenzen zu halten. Promoviert hat er zur Akzeptanz der Energiewende.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die elektronische Patientenakte sei sicher, versichert die Bundesregierung. Doch ihre Antworten auf eine Kleine Anfrage lassen die Zweifel an diesem Versprechen wachsen. Versicherte sollen der ePA offenbar blind vertrauen – selbst wenn ihre Gesundheitsdaten bei US-Behörden landen könnten.

Die meisten von uns besitzen einen Haustürschlüssel. Und die meisten von uns wissen, wer sonst noch Zugang zu unserer Wohnung hat. Bei den Gesundheitsdaten, die in der elektronischen Patientenakte hinterlegt sind, ist das offenkundig nicht so klar. Das zeigen die Antworten der Bundesregierung auf eine Kleine Anfrage der Bundestagsfraktion „Die Linke“.

Die Abgeordneten haben die Regierung unter anderem gefragt, welche Vorkehrungen verhindern sollen, dass etwa die US-Regierung an sensible Gesundheitsdaten von deutschen Versicherten gelangt. Die Antworten der Bundesregierung sind mitunter missverständlich, in Teilen unvollständig und fehlerhaft.

Nachfragen bei dem zuständigen Gesundheitsministerium, verschiedenen Krankenkassen und der Gematik haben nur wenig Licht ins Dunkel gebracht. Offenkundig sollen die Versicherten weitgehend bedingungslos darauf vertrauen, dass ihre sensiblen Daten in der ePA sicher sind.

Krankenkassen verweigern Auskunft

Anlass der Kleinen Anfrage war eine Aussage des Chefjustiziars von Microsoft Frankreich im Juni dieses Jahres. Er hatte in einer öffentlichen Anhörung vor dem französischen Senat nicht ausschließen können, dass der Tech-Konzern Microsoft auf Anordnung US-amerikanischer Behörden auch Daten europäischer Bürger:innen weitergeben müsse.

Hintergrund ist unter anderem der US-amerikanische Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, aus dem Jahr 2018. Das Gesetz verpflichtet US-Tech-Anbieter unter bestimmten Voraussetzungen zur Offenlegung von Daten gegenüber US-Behörden – auch wenn sich diese Daten außerhalb der Vereinigten Staaten befinden.

Die Abgeordneten der Linksfraktion fragten die Bundesregierung, ob sie ein ähnliches Szenario bei den in der ePA hinterlegten Gesundheitsdaten ausschließen könne. Die Regierung erwidert, dass sie nichts über die Verträge zwischen den Betreibern der ePA und den Krankenkassen wisse. Sie kenne daher die Regelungen nicht, mit denen die Daten der Versicherten geschützt würden. Betreiber von ePA-Infrastrukturen sind spezialisierte IT-Dienstleister wie IBM Deutschland und das österreichische Unternehmen RISE.

Wir haben uns bei den drei größten gesetzlichen Krankenkassen in Deutschland erkundigt, welche vertraglichen Vereinbarungen sie mit ihren externen Anbietern getroffen haben. Weder die Techniker Krankenkasse noch die Barmer oder die DAK wollten unsere Frage beantworten. Sie verweisen auf die Gematik, die als Nationale Agentur für Digitale Medizin für die Spezifikationen zur technischen Ausgestaltung der ePA zuständig sei. Der Barmer-Sprecher bittet zudem um Verständnis, dass er sich „aus Wettbewerbsgründen“ nicht weiter zu den Vertragsbedingungen äußern könne.

Es ist also unklar, ob es entsprechende Regelungen zum Schutz der Versichertendaten gibt, von denen die Bundesregierung spricht.

Der Schlüssel liegt bei den Betreibern

Desweiteren verweist die Bundesregierung auf „umfangreiche technische und organisatorische Sicherheitsmaßnahmen“, die zum Schutz der Gesundheitsdaten umgesetzt worden seien. So dürften die in der ePA hinterlegten Daten nur verschlüsselt bei den Betreibern gespeichert werden. Ohne „den Schlüssel der Versicherten“ könnten Unbefugte die Daten nicht lesen, betont die Regierung.

Diese Antwort ist mindestens missverständlich formuliert. Tatsächlich verfügt die ePA derzeit über keine patientenindividuelle Verschlüsselung, bei der jede:r Versicherte die eigene Patientenakte mit einem persönlichen Schlüssel absichert. Ältere Versionen der ePA sahen noch eine Ende-zu-Ende-Verschlüsselung der in der Patientenakte hinterlegten Daten vor; die aktuelle „ePA für alle“ bietet dieses Mehr an Sicherheit allerdings nicht mehr.

Außerdem sind die Schlüssel nicht, wie noch bei früheren ePA-Versionen, auf der elektronischen Gesundheitskarte der Versicherten hinterlegt, sondern sie liegen auf den Servern des ePA-Betreibers. Sogenannte Hardware Security Modules in einer „vertrauenswürdigen Ausführungsumgebung“ würden gewährleisten, dass die Betreiber keinen direkten Zugriff auf diese Schlüssel haben, schreibt das Gesundheitsministerium auf Nachfrage von netzpolitik.org.

„Diese speziell abgesicherten Komponenten sind dafür ausgelegt, kryptografische Schlüssel sicher zu verwalten und sensible Daten vor unbefugtem Zugriff zu schützen“, sagt eine Gematik-Sprecherin auf Anfrage. Ein direkter Zugriff auf die Schlüssel, auch durch die Betreiber der ePA, sei technisch ausgeschlossen. Die Schlüssel werden etwa dann zur Entschlüsselung der Gesundheitsdaten verwendet, wenn die Versicherten ihre elektronische Gesundheitskarte beim Besuch einer Praxis oder einer Apotheke in ein Lesegerät schieben.

Offene Eingangstüren

Zwei Aspekte lassen das Gesundheitsministerium und die Gematik bei ihren Ausführungen jedoch unter den Tisch fallen.

Zum einen ist den Sicherheitsfachleuten des Chaos Computer Clubs Bianca Kastl und Martin Tschirsich in den vergangenen Monaten wiederholt gelungen, die Zugriffskontrolle der ePA zu überwinden.

Bei den von ihnen beschriebenen Angriffsszenarien hilft Verschlüsselung nicht mehr viel. „Es ist vollkommen egal, dass das irgendwie verschlüsselt gespeichert wird, wenn an der Eingangstür ein paar Wissensfaktoren reichen, um jede ePA in Zugriff zu bekommen“, sagt Bianca Kastl, die auch Kolumnistin bei netzpolitik.org ist.

Die von ihr und Tschirsich aufgezeigten Sicherheitslücken bestehen teilweise noch immer fort. Eine „endgültige technische Lösung“ will das Bundesamt für Sicherheit in der Informationstechnik (BSI) erst im kommenden Jahr implementieren.

Trügerische Sicherheit

Zum anderen behauptet die Bundesregierung, dass die bestehenden Sicherheitsvorkehrungen einen „technischen Betreiberausschluss“ gewährleisten, „sodass selbst ein fremdbestimmter Betreiber keinen Zugriff auf die Daten der ePA erlangen würde“.

Hauptbetreiber von elektronischen Patientenakten ist die IBM Deutschland GmbH. Unter anderem die Techniker Krankenkasse, die Barmer Ersatzkasse und die AOK haben das Unternehmen damit beauftragt, die ePA und die dazugehörigen Aktensysteme gemäß der von der Gematik gemachten Spezifikationen umzusetzen. Mehr als zwei Drittel aller digitalen Patientenakten laufen auf IBM-Systemen, aus Sicherheitsgründen seien die Daten „über zahlreiche, geographisch voneinander getrennte Rechenzentrums-Standorte in der IBM Cloud in Deutschland verteilt“, so das Unternehmen.

Dieses Sicherheitsversprechen ist jedoch trügerisch. Denn die IBM Deutschland GmbH ist eine Tochter der US-amerikanischen IBM Corp. – und damit potenziell ein „fremdbestimmter Betreiber“. Gemäß CLOUD Act können US-Behörden IBM dazu zwingen, die Daten von deutschen Versicherten an sie auszuleiten.

Gefahr erkannt, Gefahr gebannt?

Welche Risiken der CLOUD Act birgt, hat etwa das baden-württembergische Innenministerium erkannt. Im Juli räumte es in einer Stellungnahme ein, dass US-Behörden theoretisch auf Daten zugreifen könnten, die in der Verwaltungscloud Delos gespeichert sind. Delos Cloud ist ein Tochterunternehmen von SAP und fußt auf Microsoft Azure und Microsoft 365. Dem Ministerium zufolge könnten US-Behörden den Tech-Konzern anweisen, „einen Datenabfluss in seine Software zu integrieren, ohne dass der Kunde darüber in Kenntnis gesetzt wird.“

Dennoch plant die Bundesregierung nach eigenem Bekunden nicht, die technologische Abhängigkeit von nicht-europäischen ePA-Betreibern zu prüfen – obwohl sie die digitale Patientenakte explizit als eine kritische Infrastruktur einstuft.

Anne Mieke-Bremer, Sprecherin für Digitale Infrastruktur der Fraktion Die Linke im Bundestag, kritisiert diese Weigerung der Regierung. „Statt klare Prüfpflichten festzuschreiben, versteckt sie sich hinter lückenhaften Vorgaben“, so Mieke-Bremer. „Und sie gibt sich damit zufrieden, dass die Verträge zwischen Betreibern und Kassen eine Blackbox bleiben.“

Die ePA wirke „zunehmend wie ein mangelhaftes und fahrlässiges Prestigeprojekt“, das voller Lücken und Risiken ist, sagt Stella Merendino, Sprecherin der Linken für Digitalisierung im Gesundheitswesen. „Was mit unseren sensibelsten Gesundheitsdaten passiert, bleibt dabei im Dunkeln.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.