Connect with us

Datenschutz & Sicherheit

„Schaufenster in die Zukunft der Polizeiarbeit“


In Hamburg sollen ab dem 1. September die Bewegungen von Menschen auf dem Hansa- und dem Hachmannplatz zum KI-Training genutzt werden. Dazu werden ihre Abbilder in eine Art Strichmännchen umgewandelt. Angeblich sind die personenbezogenen Daten so vollumfänglich geschützt. Dabei können tatsächlich auch nicht-anonymisierte Daten zum KI-Training weitergegeben werden.

Am Hamburger Hansaplatz war das System in 2023 bereits drei Monate in Betrieb. Im Rahmen eines Forschungsprojekts, das noch bis Februar 2026 läuft, wurde offenkundig, dass die Technologie zu ihrer eigenen Ausweitung drängt. Gleichzeitig ist unklar, wie sie am Ende tatsächlich eingesetzt werden soll.

Das Projekt ist an der Uni Hamburg und der TU Chemnitz angesiedelt. Es wird von Stephanie Schmidt und Philipp Knopp geleitet und von Fabian de Hair als wissenschaftlichem Mitarbeiter durchgeführt. Für das Gespräch mit netzpolitik.org haben sich alle drei Zeit genommen.

Kritiker*innen kommen kaum zu Wort

netzpolitik.org: Sie untersuchen die testweise Einführung eines KI-gestützten Überwachungssystems. Was genau erforschen Sie da?

Stephanie Schmidt: Wir beschäftigen uns mit den sozialen Konflikten. Wie verändern sich die sozialen Beziehungen zwischen den Akteur*innen vor Ort und auch die zu den staatlichen Akteuren wie der Polizei? Wir schauen uns auch an, was für mediale Diskurse mit dieser KI-Technologie verbunden sind.

netzpolitik.org: Sie haben ausgewertet, wie Medien über den KI-Testlauf berichten. Diese Berichterstattung ist vermutlich zentral für die gesellschaftliche Verhandlung dieser Technologie. Welche Positionen kommen da zu Wort?

Fabian de Hair: Der Diskurs ist vor allem ordnungspolitisch orientiert. Rund drei Viertel der Sprecher*innen bewerten die Technologie positiv. Sie vereine Datenschutz und Rationalisierung der polizeilichen Arbeit, so die Argumentation. Top-Sprecher der Befürworter ist der Hamburger Innensenator Andy Grote, dann folgen eine ehemalige Sprecherin der Polizei, der Polizeipräsident, der Polizeivizepräsident und Sprecher der Innenbehörde.

Risiken, Kritik und Protest sind im Vergleich dazu unterrepräsentiert. Weniger als ein Fünftel der Menschen, die in den Medien zu Wort kommen, sieht die Technologie negativ. Vor allem der der innenpolitische Sprecher der Linken ist hier eine deutlich vernehmbare Stimme. Daneben sind noch Menschen vom Einwohner*innen-Verein St. Georg und der CCC unter den Kritikern. Aber die sind weit schwächer repräsentiert als die Gegenseite.

Am Hansaplatz gibt es seit 2019 konventionelle Videoüberwachung. Medial wird er als Positivbeispiel angeführt, als Erfolgsgeschichte der Kriminalitätsbekämpfung. Und die aktuelle Entwicklung gilt als Schaufenster in die Zukunft der Polizeiarbeit. Dabei wird die KI-Kameraüberwachung insbesondere im Hinblick auf die Potenziale der Skalierung betrachtet.

Trainingsdaten gesucht: KI-Überwachung führt zu ihrer eigenen Ausweitung

netzpolitik.org: Das heißt, es wird jetzt bereits überlegt, wie man die KI-Überwachung ausweiten kann?

Philipp Knopp: Videoüberwachung ist sehr ressourcenintensiv. Da muss jemand sitzen, der Monitore überwacht und der muss auch noch konzentriert sein. Die KI soll das effizienter machen. Jetzt kann man sagen, das ist eine tolle Arbeitserleichterung für die Polizei. Wir sehen aber auch, dass mit dieser neuen Effizienz eine Ausweitungstendenz verbunden ist. Es hieß ja bereits: Wir überwachen nicht nur den Hansaplatz damit, sondern wir nehmen auch noch den deutlich belebteren Hachmannplatz am Hauptbahnhof dazu.

Fabian de Hair: Auch eine Ausweitung auf andere bestehende Kamerastandorte ist innerhalb des Mediendiskurses im Gespräch: Jungfernstieg, Reeperbahn, öffentlicher Nahverkehr beispielsweise. Und es gibt weitere Ideen: In ihrer Bewerbung auf den Förderfond InnoTecHH der Hamburger Senatskanzlei schreibt die Hamburger Polizei, dass man damit auch Großveranstaltungen wie den Hafengeburtstag oder bei Sportveranstaltungen das Stadion und dessen Umfeld überwachen könne.

Philipp Knopp: Die Notwendigkeit, neue Trainingsdaten zu generieren, hat den Effekt, dass man immer auf der Suche nach Möglichkeiten ist, diese KI einzusetzen. Hamburg hat ja extra ein Gesetz geschaffen, mit dem die Überwachungsdaten auch als Entwicklungsdaten genutzt werden können. Und wenn der Aufwand zu groß ist, die zu anonymisieren, dürfen diese Daten auch unanonymisiert weitergegeben werden.

Die Befugnis, KI mit Überwachungsdaten zu trainieren, findet sich mittlerweile auch in der geplanten Novelle zum Berliner Polizeigesetz. In Baden-Württemberg gibt es die Idee, die Bindung von Videoüberwachung an tatsächliche Kriminalitätsschwerpunkte zu entkoppeln. So könnte die Polizei auch Orte damit überwachen, wo sie nur vermutet, dass dort Kriminalität auftreten könnte, weil man von dort beispielsweise gut flüchten kann, oder weil der Ort sehr belebt oder schlecht einsehbar ist.

Wie die Technologie Verhaltensweisen diskriminiert

netzpolitik.org: Neben dem medialen haben Sie auch den parlamentarischen Diskurs in Hamburg betrachtet. Wie stehen die Parteien zu der Technologie?

Philipp Knopp: Einfach gesagt: Die Linkspartei ist dagegen, SPD und CDU sind dafür. Eine große Verschiebung ist, dass die Grünen sich sehr für die Technologie aussprechen, teils auch sehr vehement gegen die Kritik der Linkspartei argumentieren. Die Befürworter verweisen gerne auf den Datenschutzbeauftragten von Baden-Württemberg, der meint, dass die Technologie es möglich mache, datenschutzsensibler zu überwachen. Laut den Grünen ist es ein technischer Kompromiss, der das Spannungsverhältnis von Sicherheit und Freiheit auflöst.

netzpolitik.org: Was bedeutet das?

Philipp Knopp: Die Technologie rechnet Körper in Vektoren um, in Strichmännchen sozusagen. Und dann schätzt sie, ob deren Bewegungen bestimmten vordefinierten Bewegungsmustern entsprechen. Dazu gehören zum Beispiel Treten, Schlagen oder Würgen, aber auch Liegen und sogenannte aggressive oder defensive Körperhaltungen.

Das wird im Diskurs als ein Verfahren der Anonymisierung gedeutet. Alter, Geschlecht, Hautfarbe, Statur sollen nicht erkennbar sein. Das verhindere Diskriminierung und schütze Daten, heißt es. Die Kritiker der Technologie sagen hingegen, man könne ja nicht nur Alter, Geschlecht oder Hautfarbe diskriminieren, sondern auch bestimmte Praktiken. Das Argument ist, dass Praktiken wie „auf dem Boden liegen“ oder „sich aus Spaß hauen“ von bestimmten Personengruppen durchgeführt werden, zum Beispiel Obdachlosen oder Kindern. Und das sind Praktiken, die von dem System als mögliche Gefahr erkannt werden können, was zu intensiverer Überwachung führen kann.

Die Technologie löscht den Kontext: Welche Interaktionssituation liegt dort vor? Was sind die räumlichen Umstände? Sie bekommt auch keine Ausdrucksweisen mit, die wir mitkommunizieren, wenn wir Bewegungen durchführen. Das macht sie derzeit und möglicherweise auch in Zukunft unpräzise. Zudem ist die Polizei sehr zurückhaltend damit, Situationen aus der Detektion auszuschließen. Es wird also niemals nur der tatsächliche kriminelle Vorfall erkannt.

Die Daten sind auf Personen rückführbar

netzpolitik.org: Wie anonym sind diese Strichmännchen denn wirklich? Mein Bewegungsmuster ist doch so einzigartig wie ein Fingerabdruck.

Philipp Knopp: Dadurch, dass diese Daten zeit- und ortsbezogen sind, sind sie rückführbar auf die Person. Weil sich eine bestimmte Person zu einer bestimmten Zeit an einem bestimmten Ort auf diese Art und Weise bewegt. Die müssen ja auch rückführbar sein, weil die Polizei vielleicht auf diese Person zugreifen will. Das Gesamtprogramm des Fraunhofer-Instituts umfasst auch Trackingsoftware, mit der Dinge oder Personen markiert und über mehrere Kameras hinweg verfolgt werden können. Die wird allerdings aktuell nicht erprobt.

Wo die Reise hingeht, hängt auch davon ab, wie gut die Technologie ist. Die große Vision am Fraunhofer Institut ist ein meist schwarzer Bildschirm, auf dem die überwachende Person nur noch das sieht, was die KI als Gefahrensituation erkannt hat. Es ist aber auch möglich, dass die Technologie nur als Assistenzsoftware genutzt wird, die mitläuft, während weiter ein Mensch die Bildschirme überwacht. Es kann auch sein, dass die überwachende Person viel mehr Gebiete beobachtet, weil sie nur noch sehen muss, was die KI ihr anzeigt. Und es ist auch möglich, dass man die Überwachung um neue Technologien erweitert, zum Beispiel zum Tracking oder Objekterkennung.

Der Endzweck dieser Technologie, wie sie als polizeiliches Werkzeug genutzt wird, ist derzeit nicht klar. Weil die Technologie noch nicht fertig entwickelt ist, ist es auch für Menschen, NGOs oder Politik schwer zu bewerten, was sie derzeit kann und womit man in Zukunft zu rechnen hat. Diese Ungewissheit ist bei Tests im öffentlichen Raum problematisch.

netzpolitik.org: Was ist das eigentlich für ein Ort, den sie da untersuchen, dieser Hansaplatz?

Fabian de Hair: Ein enorm heterogener und vielfältiger. Der kleine Stadtteil St. Georg ist ein in Gentrifizierung befindliches Wohnquartier und Lebensort verschiedenster sozialer sowie marginalisierter Gruppen und internationaler Communitys. Der Hansaplatz ist für alle ein zentraler Durchgangs- und Verweilort. Es ist sehr schwierig, ihn zu umlaufen, wenn man nicht Umwege durch das komplette Viertel gehen will. Er wird als sehr lebhaft und als ein wichtiger, schöner Ort beschrieben. Er ist verkehrsberuhigt und hat einen großen Brunnen in der Mitte.

Seitens der Polizei gilt er als gefährlicher Ort. Es ist einer der Orte in Hamburg mit der höchsten Dichte an polizeilichen Maßnahmen. Es gibt dort visuelle Überwachung, ein Glasflaschenverbot von 17 Uhr bis morgens, eine Waffenverbotszone, und weil dort Personen der Straßenprostitution nachgehen, auch ein Kontaktverbot. Entsprechend gibt es diverse Verdrängungseffekte insbesondere von marginalisierten Gruppen in die Nebenstraßen und anliegenden Viertel.

Schaukämpfe zwischen Polizist*innen

netzpolitik.org: Wie wird sich dieser Platz verändern, wenn ab dem 1. September die Bewegungsdaten der Menschen dort zum KI-Training genutzt werden?

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Philipp Knopp: Was passieren könnte, ist, dass sich öfter mal Polizist*innen untereinander prügeln werden. Aktuell bestehen die Trainingsdaten nämlich vor allem aus Schaukämpfen zwischen Polizist*innen, die in Mannheim simuliert wurden, wo die Technik ebenfalls getestet wird. Die spielen wie in einem Film mit Regisseur und Drehbuch und verschiedenen Kamerawinkeln gezielt Konfliktsituationen wie Schlägereien nach.

netzpolitik.org: Werden sich die Platznutzer*innen angesichts der KI-Überwachung noch unbefangen dort bewegen können?

Fabian de Hair: Selbst Leute, die sich sehr ablehnend gegenüber der Technologie zeigen, leiten daraus keine anderen Nutzungspraktiken ab. Auch weil sie den Platz nicht wirklich meiden können. Weil er Durchgangsort ist oder auch der Ort, an dem die Leute arbeiten.

Philipp Knopp: Im Vergleich zu 2019, als KI-Videoüberwachung am Berliner Südkreuz getestet wurde, sind wir heute noch viel stärker daran gewöhnt, von verschiedensten Akteuren überwacht zu werden. Der Widerstand ist heute auch geringer, wie das Beispiel der Grünen in Bezug auf diese konkrete Technologie zeigt.

netzpolitik.org: Hat die Technik auch Auswirkungen auf die Freiheit, an diesem Ort politische Versammlungen abzuhalten?

Philipp Knopp: Natürlich resultiert aus der Überwachung eine Versammlungsöffentlichkeit, in der ich mich nicht mehr unbefangen mit anderen Menschen im ermächtigenden Erscheinungsraum befinde, wo ich mich verbünden kann, um politische Angelegenheiten zu klären. Sondern es ist verstärkt ein Raum der Kontrolle.

Vertrauen in die Polizei wird überflüssig

netzpolitik.org: Wie wirkt sich die KI-Überwachung auf die Beziehung zwischen den Platznutzer*innen und der Polizei aus?

Philipp Knopp: Es gibt auf jeden Fall eine Verschiebung: weg von einer Tradition, wo die Polizei vor Ort ist oder wo Bürger*innen vor Ort die Polizei per Notruf alarmieren, hin zu einer technisierten Überwachung. Das hat natürlich Folgen für die sozialen Abhängigkeitsverhältnisse der Polizei gegenüber der Bevölkerung. Wenn man auf den Notruf angewiesen ist, dann ist man auch darauf angewiesen, dass Menschen in dem konkreten Sozialraum der Polizei vertrauen. Das ist, wenn man sich voll auf die Technik verlässt, nicht mehr der Fall. Dann gibt es nur noch die Polizei und den Raum. Nicht mehr die Polizei, die Menschen und den Raum.

netzpolitik.org: Ist das auch eine Entmenschlichung von Kontrolle?

Fabian de Hair: Wir wissen aus Interviews mit Menschen, die am Hansaplatz arbeiten, dass alle Akteur*innen miteinander üblicherweise eine Form von vertrauensvollem Umgang pflegen. Das verändert sich jetzt aber.

netzpolitik.org: Als ein Ergebnis ihrer Forschung wollen Sie eine Toolbox entwickeln. Was kann man sich darunter vorstellen und wozu ist es gut?

Stephanie Schmidt: Wir nutzen unsere Erkenntnisse aus Gesprächen mit Expert*innen, Polizei und Platznutzer*innen, um gemeinsam mit Menschen, die vor Ort arbeiten, und bundesweiten NGOs eine Toolbox zu entwickeln. Sie soll lokalen zivilgesellschaftlichen Akteur*innen dabei helfen, ich informiert mit solchen KI-Anwendungen auseinanderzusetzen.

Wenn in irgendeiner Stadt eine KI-basierte Technologie angekündigt wird und sich Menschen damit beschäftigen wollen, dann finden sie in der Toolbox Quellen, die über KI bei der Polizei informieren. Hinzu kommt ein sogenanntes Sozialraummapping, mit dem man Gruppen und Nutzungsweisen im Raum erschließen kann. So lässt sich aufzuzeigen, wen man alles in den Diskurs miteinbeziehen sollte. Das dritte Tool ist eine Bewertungsmatrix, die Rechtfertigungen und Kritiken der KI mittels eines Fragenkatalogs aufschlüsselt.

Die Tools helfen auch einzuschätzen, was zivilgesellschaftliche Perspektiven auf die Technologie sein können. Jenseits davon, dass Fragen nach Datenschutz und Sicherheit einfach nur mit Ja oder Nein beantwortet werden, was ja von staatlichen Akteuren in den Vordergrund gestellt wird.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Überwachung: Proton verlagert Teile seiner Infrastruktur aus der Schweiz


Die geplanten Novellen der schweizerischen Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) sowie der zugehörigen Durchführungsbestimmung schlagen weiter hohe Wellen. Proton hat jetzt bestätigt, dass der Anbieter verschlüsselter Kommunikationsdienste aufgrund der mit dem Vorhaben verknüpften Rechtsunsicherheit mit dem Abzug von IT-Infrastrukturen aus der Schweiz begonnen hat. Der im Juli eingeführte KI-Chatbot Lumo, der mit mehr Datenschutz als ChatGPT & Co. punkten soll, ist das erste Produkt, das seinen Standort wechselt.

Schon in einem Blogbeitrag zum Start von Lumo erklärte Eamonn Maguire, Leiter für Missbrauchsbekämpfung und Kontosicherheit bei Proton, dass sich das Unternehmen aus Angst vor den drohenden Gesetzesänderungen für Investitionen außerhalb der Schweiz entschieden habe. Angesichts der Pläne der Schweizer Regierung „zur Einführung von Massenüberwachung“, die in der EU verboten sei, verlagere der Anbieter „den Großteil seiner physischen Infrastruktur“ aus der Alpenrepublik. Der Anfang erfolge mit dem Chatbot.

Protons CEO Andy Yen führte nach dem Start gegenüber der Nachrichtenagentur Keystone-SDA aus, dass sich das Unternehmen aufgrund der vorgesehenen VÜPF-Reform für Deutschland als Standort für die Server von Lumo entschieden habe. Zusätzlich baue die Firma Standorte in Norwegen auf. Ganz will Proton die Zelte in der eidgenössischen Heimat aber nicht abbrechen. „In Europa zu investieren bedeutet nicht, die Schweiz zu verlassen“, erklärte ein Unternehmenssprecher gegenüber TechRadar. Gerüchte, wonach Proton das Land endgültig verlassen werde, bestätigte er so nicht.

Auch die EU treibt die Überwachung voran

Laut der umkämpften Initiative des Schweizer Bundesrats und des Eidgenössischen Justiz- und Polizeidepartements müssten künftig auch Online-Dienste, die mindestens 5000 Nutzer haben, Metadaten wie IP-Adressen und Portnummern sechs Monate auf Vorrat speichern sowie der Polizei und Geheimdiensten beim Entschlüsseln von Inhalten helfen. Neu dazukommen wird dem Plan nach auch eine Auflage für solche Betreiber, User zu identifizieren. Diese müssten eine Ausweis- oder Führerscheinkopie vorlegen oder zumindest eine Telefonnummer angeben.

Doch auch die EU-Kommission hat schon vor Jahren einen Entwurf für eine Verordnung zur massenhaften Online-Überwachung unter dem Aufhänger des Kampfs gegen sexuellen Kindesmissbrauch (Chatkontrolle) auf den Weg gebracht. Vor Kurzem legte die Brüsseler Regierungsinstitution zudem einen Fahrplan für „Entschlüsselung“ und eine Neuauflage der Vorratsdatenspeicherung unter dem Aufhänger „ProtectEU“ vor. Der Proton-Sprecher hielt dem entgegen, dass das obligatorische Aufbewahren elektronischer Nutzerspuren bereits mehrfach von europäischen Gerichten für rechtswidrig erklärt worden sei. Er unterstrich: „Wir werden die Entwicklungen in der EU jedoch selbstverständlich weiterhin genau beobachten. Das tun wir auch in anderen Rechtsräumen.“

Petition mit über 15.000 Unterzeichnern

Proton ist nicht der einzige Anbieter, der sich lautstark gegen den befürchteten „Krieg gegen Online-Anonymität“ in der Schweiz ausgesprochen hat. NymVPN, ein anderer Anbieter virtueller privater Netzwerke, drohte bereits im Mai, die Schweiz zu verlassen, sollten die erweiterten Überwachungsvorgaben in Kraft treten. „In der Schweiz kann man derzeit nicht in Datenschutz investieren“, monierte Nym-Mitgründer Alexis Roussel nun gegenüber TechRadar. Die Firma habe ebenfalls bereits eine Strategie entwickelt, um ihre VPN-Aktivitäten außerhalb der Schweiz und der EU anzusiedeln. Das wäre jedoch der letzte Ausweg. Aufgrund seiner dezentralen Infrastruktur sei das Unternehmen aber nicht direkt von der Anti-Verschlüsselungsregel betroffen, da es dafür gar keine Schlüssel selbst speichere.

Die Schweizer Bürgerrechtsorganisation Digitale Gesellschaft und die Kampagnenseite Campax übergaben der Regierung in Bern derweil am Donnerstag gut 15.000 Unterschriften der Petition „Demokratie statt Überwachungsstaat!“ gegen die skizzierte VÜPF-Novelle. Sie warnten dabei vor einem massiven Angriff auf Grundrechte, Datenschutz und digitale Freiheit und forderten den sofortigen Stopp der Pläne. Die Organisatoren kritisierten auch, dass der Bundesrat diesen Ausbau der Massenüberwachung ohne parlamentarische Debatte und demokratische Legitimation auf dem Verordnungsweg umsetzen wolle. Das Alles erinnere eher an „Russland, China oder den Iran“ als an europäische Staaten.


(jo)



Source link

Weiterlesen

Datenschutz & Sicherheit

Die Woche, in der wir uns an den angeblichen Landesverrat erinnerten


Liebe Leser*innen,

Als ich meinen letzten Job kündigte, um hierher zu wechseln, fragte mich mein damaliger Chef, wo ich denn hingehen würde. Ich sagte: „netzpolitik.org“. Er kannte das nicht. Also droppte ich eine Info, die den kritischen Standpunkt des Mediums sehr eindeutig klärt: „Gegen die wurde mal wegen Landesverrat ermittelt.“

Landesverrat ist per Definition eine Straftat, die das Potenzial hat, die Bundesrepublik in ihren Grundfesten zu erschüttern, ja sogar: zu vernichten. Dafür droht bis zu lebenslange Haft. Das muss man als Journalist auch erstmal hinkriegen, sich bei staatlichen Organen so unbeliebt zu machen, dass die mit dieser juristischen Atombombe auf einen losgehen.

Ich war damals, 2015, als die Ermittlungen begannen, auf jeden Fall mächtig beeindruckt. Wer mit einer solchen Chuzpe vertrauliche Dokumente veröffentlicht, dass er derartiges in Kauf nimmt, hatte meinen höchsten Respekt verdient. Seitdem hat Andre Meister, der damals die vertraulichen Internet-Überwachungspläne des Bundesamts für Verfassungsschutz frei zugänglich machte, was den Anstoß zu der Ermittlung lieferte, einen Ehrenplatz in meinem Herzen. Wir kannten uns damals schon von Partys, aber ab dann war er für mich eine Art Held.

Am Ende ging es ja gut aus. Die Ermittlungen gegen Andre und den damaligen Chefredakteur Markus Beckedahl wurden – ziemlich genau vor zehn Jahren – eingestellt und netzpolitik.org bekam viele Spenden, mit denen die Redaktion ausgebaut werden konnte. So dass Andre auch heute noch alles veröffentlichen kann, was er an wichtigen Dokumenten in die Finger kriegt.

Letztlich sind unsere vielen Spender*innnen ja auch dafür verantwortlich, dass ich hier mitspielen darf, was mich wahnsinnig freut. So wie mich auch der Ausgang unserer gerade abgeschlossenen sommerlichen Spendenkampagne freut, mit der wir 177 Menschen gefunden haben, die netzpolitik.org jeden Monat als stabile Dauerspender*innen mit einem gewissen Betrag unterstützen. Ohne unsere Unterstützer*innen wäre unser Kampf für die Grundrechte so nicht möglich. Ihr seid, wie Andre, eine Art Helden für mich.

Mit herzlichem Dank

Martin

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Die Welt der Fachanwendungen mag langweilig wirken, und doch sollten wir sie als Gesellschaft immer kritisch begleiten. Denn ob wir wollen oder nicht: Software ist längst Teil der Daseinsvorsorge und Grundlage unseres gesellschaftlichen Zusammenlebens. Und daraus erwächst eine Verantwortung.

Lesen Sie diesen Artikel: Vom Fach



Source link

Weiterlesen

Datenschutz & Sicherheit

Kein sicherer Anschluss hinter Gittern



Einfach zum Smartphone greifen, Kontakt auswählen und anrufen? Das können Gefängnisinsassen in Deutschland nicht. Denn sie dürfen weder ein Smartphone besitzen noch ist es ihnen in der Regel erlaubt, ein Telefon auf der Zelle zu haben.

Stattdessen müssen Insassen meist einen Apparat auf dem Flur nutzen, wo alle mithören können. Und in den meisten Justizvollzugsanstalten brauchen sie dafür ein Konto bei Telio, einer privaten Firma mit Sitz in Hamburg. Auf dieses Konto müssen sie – oder ihre Angehörige draußen – Geld einzahlen. Außerdem müssen sie jede Telefonnummer, die sie anrufen möchten, zunächst freischalten lassen.

Telio wurde im Januar gehackt

Telio ist Mitte Januar gehackt worden. Gestohlen wurden offenbar Kontakt- und Kontodaten ehemaliger Mitarbeiter*innen des Unternehmens. Eine Anfrage von netzpolitik.org per Informationsfreiheitsgesetz (IFG) hat außerdem ergeben, dass höchstwahrscheinlich auch Kund*innendaten – also von Gefangenen und/oder Angehörigen – in Kroatien, Tschechien und den Niederlanden abgegriffen wurden.

Gehackt wurde das Unternehmen in der Nacht vom 13. auf den 14. Januar, gemeldet hat Telio den Vorfall am 15. Januar bei der zuständigen Datenschutzbehörde in Hamburg. Bei einem „unbefugten Zugriff auf ein Administratorkonto“ seien „mindestens ca. 600 MB an Datenverkehr nach Extern“ abgeflossen. „Sofortige Eindämmungsmaßnahmen und Ermittlungsmaßnahmen sind im Gange“, heißt es in der Meldung.

Sicherheitsvorfälle wie diese müssen Firmen laut Datenschutzgrundverordnung (DSGVO) innerhalb von 72 Stunden bei der zuständigen Datenschutzbehörde melden. Jede neue Erkenntnis zum Datenleck muss die Firma nachmelden. Die Behörde kann dann weitere Informationen und Maßnahmen einfordern. Bußgelder, falls die Maßnahmen nicht ergriffen werden, sind allerdings nicht vorgesehen.

Am 17. Januar ergänzte Telio, dass etwa 265 Personen von dem Vorfall betroffen seien. Diese habe das Unternehmen „per Rundschreiben und dezidiertem Informationsportal im Intranet“ informiert. Auf der Webseite von Telio findet sich darüber hinaus ein „Informationsschreiben gemäß Art. 34 DSGVO an ehemalige Mitarbeiter“ von Mitte Februar, das nähere Angaben zum Datenleck enthält. Ein ehemaliger Mitarbeiter von Telio gab gegenüber netzpolitik.org an, er habe erst durch die Medienanfrage vom Datenabfluss erfahren.

Insgesamt 160 GB an Daten abgeflossen

Netzpolitik.org liegt exklusiv der E-Mail-Verkehr von Telio mit der Hamburger Datenschutzbehörde vor. Am 21. Januar schreibt ein Rechtsbeistand von Telio – die Namen in dem Dokument sind geschwärzt –, dass nach ersten Erkenntnissen aus einem lokalen Netzwerk nicht 600 MB, sondern „tatsächlich ca. 160 GB an Daten exfiltriert wurden“. Betroffen seien „konkret die (alten) Personal- und Finance Ordner“. Weiter schreibt er: „Es geht v.a. um Mitarbeiterdaten, aber auch Daten von Geschäftspartnern und Kunden z.b. aus Verträgen.“

Konkreter wird er nicht, auch die übrigen per IFG-Anfrage erhaltenen Dokumenten gehen nicht näher darauf ein.

Details könnte nur die von Telio extern in Auftrag gegebene forensische Untersuchung liefern. Sie ging der Frage nach, wie es zu dem Hack kam sowie welche Systeme und Daten davon betroffen waren. Den Abschlussbericht will Telio auf Anfrage nicht herausgeben und liegt auch der Datenschutzbehörde in Hamburg noch nicht vor.

In einer undatierten Tabelle mit Fragen der Datenschützer und Antworten von Telio heißt es lediglich: „Auf dem Fileserver befindet sich jedenfalls der alte Personalordner.“ Auf diesem seien Personaldaten von Wohnadresse über Feedbackbögen bis Behindertenstatus abgelegt.

Weiterer Vorfall im Februar

Die IFG-Anfrage von netzpolitik.org hat außerdem ergeben: Am ersten Februarwochenende wurde Telio ein weiteres Mal Opfer von Hackern.

Offenbar hatten Angreifer am 13. Januar eine sogenannte Backdoor platziert, wie Sven Marquardt im Gespräch mit netzpolitik.org sagt. Er ist beim Hamburger Datenschutzbeauftragten für den Telio-Fall zuständig,. Die Hintertür hätten die Hacker dann genutzt, um sich wenige Wochen später erneut Zutritt zur internen Infrastruktur zu verschaffen.

Der Zugriff war offenbar weitreichend. Aufklärung darüber, welche Daten dabei abflossen, könnte nur der Forensikbericht geben.

Was bereits aus der per IFG-Anfrage herausgegebenen Dokumenten hervorgeht: Bei dem erneuten Ransomware-Angriff waren nicht nur Systeme des Unternehmens in Deutschland betroffen, sondern auch in Slowenien. Und zumindest in den Niederlanden, Tschechien und Kroatien waren darüber hinaus wohl auch JVA-Kundensysteme betroffen. Die Behörden in den Ländern seien demnach darüber informiert worden.

Ein Sprecher der Datenschutzbehörde in den Niederlanden erklärte, grundsätzlich keine Informationen über Datenleck-Meldungen von Unternehmen an Medien herauszugeben. Anfragen an die übrigen Datenschutzbehörden und Justizministerien blieben bis Redaktionsschluss unbeantwortet.

Angreifer forderten Lösegeld

Laut der Meldung an die Hamburger Datenschützer hat Telio auch „digitale Lösegeldforderung […] auf den betroffenen Systemen gefunden.“ Eine Anfrage von netzpolitik.org, wie hoch die Lösegeldforderung war und ob das Unternehmen dieser nachkommen wird oder bereits nachgekommen ist, wies eine Telio-Sprecherin mit Hinweis auf laufende Ermittlungen ab. Auch nähere Angaben, ob und was über die Angreifer bekannt ist, will das Unternehmen nicht machen.

Ransomware-Gruppen veröffentlichen ihre Hacks häufig selbst. Auf der Webseite ransomware.live werden solche Selbstmeldungen übersichtlich publiziert. Dass die Sicherheitslücke bei Telio dort nicht aufgeführt ist, kann unterschiedliche Gründe haben. Nicht alle Hacks werden veröffentlicht oder von ransomware.live gefunden. Möglicherweise wurde bereits Lösegeld gezahlt, weshalb die Hackergruppe keinen Grund hat, ihren Hack zu veröffentlichen, um so Druck auf das Unternehmen auszuüben. Denkbar ist aber auch, dass kein Lösegeld gezahlt wurde, die Gruppe die Daten bereits verkauft hat und daher nicht auf das Lösegeld angewiesen sei. Oder sie verfolgt gänzlich andere Ziele mit den Daten.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Telio ist der einzige Anbieter für Gefangenentelefonie

Auch wenn bei dem Hack offenbar keine Daten von Gefangenen und ihren Angehörigen entwendet wurden, hat sich der Angriff auch in den Gefängnissen bemerkbar gemacht. Teilweise konnten Insassen nicht telefonieren oder kein Geld auf ihr Telefonkonto eingezahlt werden.

Allerdings klagen Gefangene, mit denen netzpolitik.org gesprochen hat, generell über den Service von Telio. Telefongespräche brächen immer wieder ab, teils könnten sie Anschlüsse nicht anrufen, obwohl die Nummern freigeschaltet seien.

Die Bundesländer – Justiz ist Ländersache – haben unterschiedlich auf den Hack bei Telio reagiert. In Nordrhein-Westfalen wurden einem Sprecher des Justizministeriums zufolge die Systeme auf Sicherheitslücken überprüft. Das Ergebnis war negativ. Bremen und Sachsen verwiesen auf die gesetzliche Pflicht, Gefangene an Kommunikation teilhaben zu lassen.

Diese Pflicht ergibt sich aus dem Resozialisierungsgedanken: Die Haftzeit soll Gefangene immer auch auf ein Leben draußen vorbereiten. „Ein längerfristiger Ausfall der Telefonie wäre als besonders kritisch anzusehen und würde – nachvollziehbar – auch erheblichen Unmut bei den Gefangenen erzeugen“, sagt ein Justizsprecher aus Sachsen. Und Bremen erklärt: „Ein adäquater Ersatz des Anbieters steht derzeit nicht zur Verfügung.“ Denn: Telio ist der einzige Anbieter für Gefangenentelefonie in Deutschland.

Andere Bundesländer kommen ohne Telio aus

Aufgrund hoher Telefontarife bei Telio gebe es in Sachsen immer wieder Überlegungen, die Gefangenentelefonie durch die öffentliche Hand selbst zu organisieren. „Eine entsprechende Umsetzung dürfte indes mehrere Jahre in Anspruch nehmen und wäre mit erheblichem finanziellen Aufwand verbunden“, so ein Sprecher.

Andere Bundesländer wie etwa Bayern kommen allerdings gut ohne Telio aus: Hier melden Gefangene Telefongespräche für eine bestimmte Uhrzeit an und können diese dann in einem abgeschlossenen Raum durchführen – ohne dass ihnen dadurch Kosten entstehen.

Seit Mitte Juni sucht Telio übrigens einen IT Security Engineer für den Standort Hamburg. Die Person soll unter anderem IT-Sicherheitskonzepte entwickeln, implementieren und überwachen sowie „Risikobewertungen und Schwachstellenanalysen durchführen“. Eine Anfrage an Telio, ob die Position bisher schon besetzt war oder neu geschaffen werden soll, wollte das Unternehmen nicht beantworten.

Johanna Treblin ist Redakteurin bei der taz und freie Journalistin. Sie schreibt regelmäßig zu den Themen Gefängnis, Arbeit und Migration.



Source link

Weiterlesen

Beliebt