Von Dagmar Henn
Wer immer ein Mobiltelefon benutzt, auf dem er googelt; wer einen Neuwagen fährt, der eine Internetverbindung mit dem Hersteller aufbaut; wer online etwas bestellt – immer werden dabei Daten gesammelt und gebündelt. Das macht Google, das machen die Online-Verkaufsportale, und das machen auch die Fahrzeughersteller. Dann werden diese Daten weiterverkauft, an Datenhändler. Die sie dann mit Daten aus anderen Quellen zusammenfügen, Auskunfteien zum Beispiel, und schließlich diese ganzen Datenbündel in großen Paketen zum Kauf anbieten.
Der ursprüngliche Gedanke war einmal, dass beispielsweise eine Pizzeria, die in der Nähe des Handystandorts ist, eine Werbung schalten kann, die für ihre Dienste wirbt, wenn jemand, der öfter mal Pizza bestellt oder Pizzerien aufgesucht hat, in ihre Nähe kommt. Mit dieser Art Werbung ist es Firmen wie Google gelungen, Gewinne zu erzielen. Für die Werbetreibenden ist das eine günstige Vorauswahl, die letztlich die Werbekosten senkt, weil die Werbung sich nur noch an jene richtet, bei denen sie erfolgreich sein könnte.
Aber inzwischen haben sich die Datenquellen und -mengen vervielfacht, und die Rechner heute können mit Mengen umgehen, die zu dem Zeitpunkt, als diese Technik erfunden wurde, unvorstellbar waren. Die Folgen haben die Wenigsten im Blick. Ab und zu tauchen einzelne Skandale auf; so Anfang vergangenen Jahres eine Meldung über einen Autofahrer, dessen Versicherung erhöht wurde, weil sein Fahrzeug mehrfach überhöhte Geschwindigkeiten aufgezeichnet hatte. Der Fahrzeughersteller hatte die Daten verkauft; die Versicherung hatte sie sich in einem großen Paket bei einem Datenhändler gekauft, und am Ende stellte der Autofahrer entsetzt fest, dass darin nicht nur stand, wann er wo wie schnell gefahren war, sondern auch komplett, wohin er jeweils gefahren war. Bei näherer Betrachtung erwies sich Nissan als besonders gemein, weil dort sogar Daten in der Kategorie “sexuelle Aktivität” gesammelt wurden. In Deutschland war es gerade noch das Unternehmen BMW, das einigermaßen Vorsicht mit den Kundendaten walten ließ.
Oder Smartwatches. Die verraten besonders viel, auch, wann der Herzschlag erhöht ist. Bei Bedarf sozusagen der freiwillig getragene Lügendetektor. Auch hier – alles landet in großen Bündeln und wird über den Tisch geschoben. Und die Menschen, die die Quelle all dieser Daten sind, wissen in der Regel nicht einmal von diesem ganzen Handel.
Nun hat das Portal Netzpolitik.org eine Antwort auf eine Anfrage veröffentlicht, hinter der sich Abgründe auftun. Inhalt der Anfrage, die die Linken-Abgeordnete Donata Vogtschmidt gestellt hatte: ob und inwieweit Bundesbehörden derartige kommerzielle Datenpakete kaufen und auswerten. Und die Antwort hat es in sich. Oder, um genauer zu sein, das in dieser Antwort enthaltene Schweigen.
Denn auf die entscheidenden Fragen, ob Behörden wie das BKA, das Bundesamt für Verfassungsschutz, BND und MAD solche Daten kaufen, gab es keine Antwort. Nicht einmal vertraulich, nicht einmal unter den Sonderbedingungen “in der Kammer lesen und keine Notizen machen”. Begründung?
“Durch die Beantwortung der Fragen zu konkreten Maßnahmen, Kontakten oder Beschaffungen würden Einblicke auf zur Verfügung stehende (kriminal)polizeiliche und sonstige technische Vorgehensweisen zur Gefahrenabwehr oder zur Verhinderung und Aufklärung von Straftaten offengelegt oder Rückschlüsse darauf ermöglicht und damit die Arbeitsfähigkeit und Aufgabenerfüllung der Sicherheits- und Strafverfolgungsbehörden gefährdet […] auch ein geringfügiges Risiko des Bekanntwerdens derart sensibler Informationen kann unter keinen Umständen hingenommen werden. Es würde dabei die Gefahr entstehen, dass bestehende oder in der Entwicklung befindliche operative Fähigkeiten und Methoden aufgeklärt würden und damit der Einsatzerfolg gefährdet würde.”
Was zum ersten erforderlichen Nebengedanken führt: Würden die besagten Behörden derartige Daten nicht nutzen, wäre die Mitteilung, man täte dies nicht, schadlos möglich. Eine Notwendigkeit dazu, sich derart zu winden und ein Bedürfnis auf Geheimhaltung zu erklären, ist mindestens ein starkes Indiz dafür, dass die Handlung, nach der gefragt wird, tatsächlich stattfindet. Und zwar nicht gelegentlich oder in kleinem Umfang, sondern häufig und massenhaft.
Und dann gibt es noch einen Satz, der stutzig macht. Die Antwort auf die Frage, ob überhaupt auf die Dienste von Datenhändlern zurückgegriffen wurde, lautet:
“Die Bundesregierung schließt nicht aus, dass der Bezug von personenbezogenen Daten von Datenhändlern im Einzelfall zur Erfüllung ihrer Aufgaben angemessen sein kann. Dies muss im jeweiligen Einzelfall unter Berücksichtigung der jeweiligen Rechtslage individuell geprüft werden.”
Nebengedanke Nr. 2: “Schließt nicht aus” ist in diesem Fall das Eingeständnis.
Netzpolitik berichtet dann von einer Nutzung durch das Bundesamt für Kartografie und Geodäsie, das bei einer Firma, die Adressen von Arztpraxen, Apotheken und Krankenhäusern verkauft, Daten bezogen haben soll. Nun, das sind schon relativ spezifische Daten, aber gleichzeitig tatsächlich solche, die, wenn auch mit etwas höherem Aufwand, frei zugänglich sind.
Die wirklich gefährlichen Einkäufe bei Datenhändlern umfassen allerdings große Pakete. Die es zwar in Profile sortiert gibt, aber in der Regel nicht in einzelnen Häppchen, in der Gestalt von “Daten von Hans Weber” oder so. Das heißt, es werden viele Daten aggregiert und jeweils einzelnen Personen zugeordnet, von der Handylokalisierung über Fahrtstrecken bis zu Einkaufsgewohnheiten und Kommunikationsprofilen, aber vertrieben werden sie in Paketen, die Hunderttausende umfassen.
Was gleichzeitig ein Problem aufzeigt, das in den Artikeln bei Netzpolitik und selbst beim Gutachten des wissenschaftlichen Dienstes, in dem sich dieser mit der Zulässigkeit solcher Datenkäufe befasst, zu wenig thematisiert wird: Um die Daten einer einzelnen Person herauszuziehen, die aus dem einen oder anderen Grund zum Ziel der Aktivität wurde, müssen immer auch unzählige Daten über gänzlich unbeteiligte Personen miterworben werden. Was auswertungstechnisch mit heutigen Rechnern kein Problem mehr ist – aber die Daten absolut Unbescholtener gelangen so ebenfalls in die Hände der Dienste, wofür es selbst dann keine gesetzliche Grundlage gäbe, wenn der Erwerb dieser Datenbündel bezogen auf mögliche Zielpersonen eine hätte.
Das Gutachten, das der wissenschaftliche Dienst Ende November veröffentlichte, bestreitet genau das, denn auch die Tätigkeit der deutschen Nachrichtendienste unterliegt der Vorgabe der Verhältnismäßigkeit. Da die Daten, von denen hier die Rede ist, grundsätzlich ohne Wissen der Betroffenen erworben werden, fällt ihr Erwerb unter die Definition nachrichtendienstlicher Tätigkeit, die engeren Vorgaben unterliegt als die Nutzung von Daten aus öffentlich zugänglichen Quellen.
Leider muss man dazu sagen, dass die technische Lösung dafür bereits existiert, und auffälligerweise auch beispielsweise bei der letzten Änderung des Bundespolizeigesetzes eingefügt wurde: Sobald jemand anders Daten, die durchaus aus einer Auswertung derartiger Pakete stammen können, veröffentlicht, können auch diese Dienste darauf zugreifen, ohne die Bedingungen erfüllen zu müssen, die die Anwendung nachrichtendienstlicher Methoden voraussetzen.
Einer dieser vielen Nebengeheimdienste, wie Correctiv beispielsweise, könnte also die Datenpakete erwerben, auswerten und dann irgendwo ins Netz stellen, wo sie dann ganz zufällig von den offiziellen Schlapphüten aufgegriffen werden, und schon ist das alles irgendwie legal. Und weil die Sortierarbeit schon vorweggenommen wurde, entfällt auch das Problem mit den Daten Unschuldiger.
Genauere Regelungen zum Thema des Datenkaufs finden sich bestenfalls in internen Dienstvorschriften, die aber für die Öffentlichkeit nicht einsehbar sind. Deshalb wird in dem Gutachten folgendes Fazit gezogen:
“Ob die Behörde überhaupt Daten aus Werbedatenbanken ankaufen darf, ist für Bürgerinnen und Bürger daher ebenso wenig transparent wie die Voraussetzungen, unter denen ein Ankauf aus Sicht der Behörde als verhältnismäßig anzusehen wäre.”
Netzpolitik nutzt übrigens einen eigenen Begriff für diese Daten: ADINT, Kurzform für Advertising Intelligence; parallel zu den bereits etablierten US-Kurzformen OSINT (Open Source Intelligence) und HUMINT (Human Intelligence). Die Autoren des Portals haben sich auch schon selbst auf dem Markt umgetan und beispielsweise über den Berliner Anbieter Datarade 3,6 Milliarden Handy-Standortdaten aus Deutschland von über einer Million Handynutzern erworben. Nein, nicht erworben – das Paket war nur das Probehäppchen; das echte Produkt wäre dann für 14.000 US-Dollar ein Abo gewesen, in dem diese Daten monatlich frisch geliefert worden wären.
Ein Blick auf die Webseite von Datarade, der Firma, über die sie diese Daten erworben haben, zeigt beispielsweise eine Firma namens Consumer Edge, die Kreditkartendaten von über 100 Millionen Nutzern anbietet; für die Vereinigten Staaten lassen sich unter den “politischen Daten” die Adressen registrierter Wähler erwerben; eine Firma namens HitHorizons bietet einen “Datensatz von auf EU-Niveau politisch exponierten Personen”; unter dem Stichwort Finanzdaten findet sich “Automotive Consumer Data”, wo das Einkommen und der Finanzstatus von US-Autokäufern abgerufen werden kann (mit einem Abo ab 300 US-Dollar pro Monat). Es ist ziemlich ernüchternd, auf dieser Seite spazierenzugehen und mal nachzuschauen, was da alles über den Tisch geschoben wird.
In einem früheren Artikel hatte Netzpolitik Daten über Brüsseler EU-Politiker gezogen, die individuelle Bewegungsprofile boten, Fitnessstudio, Arbeitsweg und Lieblingslokal eingeschlossen. Wer gerade auf der Suche ist, wer wegen Fremdgehens erpressbar sein könnte – der Datenhändler liefert alles, was dafür nötig ist. Es ist nur eine Frage des Geldes. Insofern ist selbst der Epstein-Skandal ein Blick in die Vergangenheit, denn heute muss gar nicht mehr so viel Aufwand getrieben werden; ein geschickter Fischzug durch das Datenangebot ist fast genauso gut. Die Handydaten allein waren schon gut genug, um Besuche in Bordellen, Kliniken oder Gefängnissen zu identifizieren …
Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider sieht die behördliche Verwertung solcher Datensätze kritisch: Es bedürfe “spezieller gesetzlicher Regelungen, welche für die Sicherheitsbehörden bisher nicht bestehen”. Auch ein von Netzpolitik befragter Experte zu Polizeirechten, Mark Zöller, hält einen Erwerb dieser Werbedaten für “eindeutig rechtswidrig. Eine spezielle Ermächtigungsgrundlage für den Ankauf solch privater Datenbestände gibt es in keinem Sicherheitsgesetz in der Bundesrepublik Deutschland.” Es sei aber typisch für Sicherheitsbehörden, dass sie neue Instrumente ohne Rechtsgrundlage erst mal nutzen würden, “bis sich Widerstand regt”.
Im alten Entwurf für ein neues BND-Gesetz aus dem Jahr 2023 wurde der Erwerb solcher Datensätze als Datenerhebung aus allgemein zugänglichen Quellen eingeordnet. “Es erscheint daher möglich, dass Nachrichtendienste durch den Ankauf an Daten gelangen könnten, die sie im Wege einer Überwachung nicht selbst erheben dürften”, beschreibt der wissenschaftliche Dienst in seinem Gutachten die Sachlage.
So ist also der aktuelle Stand: Private Firmen sammeln alle Daten, die sie bekommen können, bündeln sie, und unauffällig zwischen den Werbekunden eingereiht bedienen sich auch die Dienste. Wobei es nicht bei deutschen Diensten bleiben muss, die deutsche Daten kaufen, das können auch die Briten oder die CIA sein, oder die Mafia. Der Fantasie sind da keine Grenzen gesetzt; sie wird sich mühen müssen, die Wirklichkeit einzuholen.
Und nur, um das Bild mit einer kleinen Dystopie abzurunden: Die ersten KI-Programme zur Verhaltensvorhersage sind ebenfalls schon in Arbeit. Wie hieß der Film nochmal, der so etwas thematisierte? Minority Report. 50 bis 60 Prozent der gehandelten Daten, so Netzpolitik, seien ungenau oder fehlerhaft. Das lässt eine erfreuliche Zukunft erahnen.
Den einfachen Schritt, der all diese Risiken unterbinden könnte, will jedoch niemand gehen. Das ist, das Sammeln dieser Daten einfach zu unterbinden. Sei es ein Bewegungsprofil aus Handydaten oder aus online integrierten Fahrzeugen, seien es die akkumulierten Einkaufsdaten – das Geschäft funktioniert auch ohne. Man könnte Firmen verbieten, mehr als die unbedingt erforderlichen Daten aufzunehmen, aber das macht bisher niemand.
Der Bundesverband der Verbraucherzentralen fordert ein Verbot von Tracking und Profilbildung zu Werbezwecken. Das politische Echo? Im vergangenen Sommer gab es, auf eine ausführlichere Artikelreihe hin, an der Netzpolitik beteiligt war, ein paar Aussagen einiger Politiker. Das war es dann erst einmal gewesen. Wie die Antwort auf die Bundestagsanfrage belegt, hat das die Bundesbehörden nicht sonderlich beeindruckt. Das, was einmal als Recht der informationellen Selbstbestimmung etabliert wurde, muss wohl ganz von Neuem erkämpft werden.
Mehr zum Thema – Microsoft-Produkte in deutschen Behörden: Deutschland in der Abhängigkeits-Falle
