Datenschutz & Sicherheit
Elternverbände sehen Daten von Kindern in Gefahr
Kinder sollen keine sozialen Medien mehr nutzen dürfen, und alle sollen dafür im Netz ihr Alter nachweisen. Das sind die Pläne der Kanzlerpartei CDU und wichtiger Politiker*innen der SPD Bei vielen Elternverbänden in Deutschland stößt das Vorhaben auf Kritik.
„Ein pauschales Social-Media-Verbot ohne begleitende Maßnahmen findet keine breite Unterstützung“, schreibt der Bundeselternrat mit Blick auf seine Landesverbände. Ein generelles Verbot „könnte Kinder eher isolieren als schützen“, warnt das Bundeselternnetzwerk, der Dachverband migrantischer Elternvereine, auf Anfrage von netzpolitik.org.
Durch die Bank äußern Eltern-Organisationen Bedenken beim Schutz sensibler Daten von Erwachsenen und Minderjährigen. Denn ein Social-Media-Verbot, wie es viele derzeit fordern, soll mit strengen Alterskontrollen einhergehen. Ältere Menschen könnten sich etwa per Ausweis prüfen lassen; Kinder ihr Gesicht vor die Handykamera halten. Die Elternvertretung Thüringen zum Beispiel lehnt die biometrische Erfassung von Kindern „ausdrücklich“ ab.
Zwei Organisationen fordern freiwillige Alterskontrollen. Das entspricht allerdings nicht dem australischen Modell, das deutsche und europäische Politiker*innen nachahmen möchten. Kontrollen beugen müssen sich demnach alle, auch die Erwachsenen. In Australien können Plattformen das Verhalten ihrer Nutzer*innen zunächst im Hintergrund mithilfe von Software prüfen. Sobald sich der Verdacht erhärtet, eine Person könnte zu jung sein, muss sie ihr Alter nachweisen.
Wie genau Alterskontrollen in Deutschland aussehen könnten, ist noch offen. Mindestens drei Szenarien sind wahrscheinlich:
- Erstens könnten Erwachsene und Jugendliche ab 16 Jahren ihr Alter per Ausweis-App bestätigen. Unter anderem der SPD-Vorschlag sieht dafür die für alle EU-Bürger*innen geplante digitale Brieftasche (EUDI-Wallet) vor, die in Deutschland Anfang 2027 kommen soll.
- Zweitens könnten Menschen ihr Gesicht biometrisch scannen lassen; dann soll eine oftmals als „KI“ bezeichnete Software das Alter schätzen. So etwas gibt es schon heute für Pornoseiten.
- Schließlich könnten sich Erwachsene selbst bei einer Plattformen anmelden, dort ihr Alter verifizieren, und dann Minderjährigen Kindern einen Account freischalten.
Hier erklären wir genau, was die geplanten Alterskontrollen für Eltern bedeuten können.
Für diesen Artikel hat netzpolitik.org Elternverbände auf Bundes- und Landesebene um ihre Einschätzung zu Alterskontrollen und Social-Media-Verbot gebeten. Ihre Antworten ergänzen die vielfältigen Reaktionen aus Zivilgesellschaft, Wissenschaft und Kirche. Die Übersicht.
Bundeselternrat: Biometrie bei Kindern „besonders kritisch“
Der Bundeselternrat vertritt als Dachverband die Elternverbände der 16 Bundesländer. Diese Verbände engagieren sich auf Basis der Schulgesetze in der Schulpolitik. Nach einer internen Umfrage zieht der Dachverband ein ambivalentes Fazit. „Viele können sich strengere Altersregelungen grundsätzlich vorstellen – allerdings nur in Verbindung mit verbindlicher Medienbildung, wirksamer Prävention und klarer Verantwortung der Plattformanbieter.“
Wenn es um die praktische Umsetzung eines Social-Media-Verbots geht, äußert sich der Bundeselternrat skeptisch. Die geforderten Alterskontrollen werfen „Fragen zu Datenschutz, Datensicherheit und Verhältnismäßigkeit auf“, so der Dachverband. „Viele Eltern sehen es kritisch, wenn für alltägliche Online-Aktivitäten sensible Daten oder biometrische Verfahren erforderlich werden.“
Biometrische Verfahren bei Kindern würden viele Eltern sogar „besonders kritisch“ sehen. Ansätze, bei denen Eltern selbst einen Account anlegen, um einen Kinder-Account freizuschalten, müssten praktikabel und niedrigschwellig sein.
Bundeselternnetzwerk: „Alterskontrollen möglichst freiwillig“

Der Verein „Bundeselternnetzwerk der Migrantenorganisationen für Bildung & Teilhabe“, kurz bbt, versteht sich als Stimme migrantischer Eltern und Familien in Deutschland. Auf Anfrage erklärt Geschäftsführerin Anja Treichel, digitale Räume „dienen der Verbindung zu transnationalen Familien, zur Pflege von Sprache und Identität und zum Kontakt mit Freundeskreisen“. Ein generelles Social-Media-Verbot für Minderjährige würde das ignorieren. Es könnte „Kinder eher isolieren als schützen“, warnt sie.
Gegen Risiken im Netz brauche es Treichel zufolge „bessere Prävention von digitalem Mobbing, niedrigschwellige Meldewege für Diskriminierung“ sowie Unterstützung für Eltern, die sprachlichen Barrieren gegenüberstehen. Alterskontrollen sieht der Verein kritisch. Treichel erklärt:
Viele Familien – insbesondere solche mit Flucht- oder Migrationserfahrungen und solche, die in Diktaturen/ autoritären Regimen aufgewachsen sind – sind sensibel gegenüber staatlicher oder kommerzieller Datenerfassung. Biometrische Verfahren können Vertrauen in digitale Angebote untergraben. Alterskontrollen sollten daher möglichst datensparsam und freiwillig gestaltet sein.
Kontrollen auf Basis von Ausweisen könnten bestimmte Gruppen benachteiligen, schreibt sie weiter. „Menschen ohne sicheren Aufenthaltsstatus sind hier generell in Gefahr, ausgeschlossen zu werden.“
Außerdem kritisiert der Verein das Modell, dass Eltern sich zunächst selbst auf einer Plattform anmelden, um dann einen Account für ihre Kinder freizuschalten. Das setze voraus, „dass Eltern Zeit, digitale Kompetenz und Sprachkenntnisse haben“. Die beste Voraussetzung für gesunden Medienkonsum sei es, „wenn die Kinder den Eltern ihre Sorgen und Ängste anvertrauen und ihre Freuden mit ihnen teilen können“.
Deutscher Familienverband: „Bedenken“ bei Datenschutz
Der gemeinnützige Deutsche Familienverband befürwortet eine Social-Media-Regulierung für Kinder unter 14 Jahren, erklärt Geschäftsführer Sebastian Heimann auf Anfrage. Als Risiken nennt er „Cybermobbing, Suchtverhalten und unangemessene Inhalte“.
Bei Alterskontrollen mit digitalen Ausweisverfahren allerdings bestünden „Bedenken hinsichtlich Datenschutz und der Nutzung sensibler persönlicher Daten durch private Anbieter“. Das müsse „anhand der geltenden Gesetzeslage adressiert werden“, schreibt Heimamn.
Müssten Menschen ab 16 Jahren ihr Alter per Ausweis-App nachweisen, wäre das „akzeptabel“. Auf biometrische Scans per KI geht Heimann nicht ausdrücklich ein. Sollten Eltern ihren Kindern einen Account freischalten, könne das nur funktionieren, „wenn die Prozesse einfach und datenschutzfreundlich gestaltet sind“.
NRW: Verbot „zwingend“ durch Bildungsoffensive begleiten
Die Landeselternkonferenz Nordrhein-Westfalen vertritt die Eltern aus Deutschlands bevölkerungsreichstem Bundesland. Soziale Medien erst ab 14 Jahren zu erlauben ist ein „notwendiger Schritt zum Schutz der psychischen Gesundheit junger Menschen“, schreiben Torsten Hemkemeier und Hinrich Pich aus dem Vorstand auf Anfrage. Sie verweisen auf Risiken wie „Algorithmen, Suchtpotenziale und Cybermobbing“. Den Zuspruch knüpft die Elternkonferenz jedoch an zwei Bedingungen.
Erstens brauche es „technische Lösungen, die lediglich das Alter verifizieren, ohne personenbezogene Daten an die Konzerne zu übermitteln oder die Datenhoheit der Bürger zu gefährden“. Eine direkte Anmeldung per Ausweis bei Anbietern wie TikTok oder Meta würde „die Anonymität im Netz zerstören“, so Hemkemeier und Pich. Beim Austausch zu sensiblen Themen „wie Krankheiten, Schwangerschaften oder schulischen Problemen“ müsse Anonymität gewahrt bleiben. In der Vergangenheit seien soziale Netzwerk mehrfach Ziel erfolgreicher Hackerangriffe geworden, „bei denen Millionen von Nutzerdaten entwendet wurden“.
Durchblick statt Schnellschüsse
Recherchen wie diese sind nur möglich durch eure Unterstützung.
Zweitens müsse ein Social-Media-Verbot „zwingend durch eine massive Bildungsoffensive in den Schulen begleitet werden“, weil Sperren „niemals lückenlos sein werden“. Lehrer*innen seien bereits stark belastet. Deshalb fordert der Verband Geld „für externes Fachpersonal, dass die Medienkunde professionell in den Schulalltag integriert“. Die Kosten für diese Art der Prävention seien „weitaus geringer als die gesellschaftlichen und medizinischen Folgekosten“ von Cybermobbing oder Mediensucht.
Bayern: „Kein generelles Verbot“
Der Bayerische Elternverband (BEV) vertritt die Eltern aus Bayern, dem nach Einwohner*innen zweitgrößten deutschen Bundesland. Die Forderung des Verbands: „Kein generelles Verbot sozialer Medien“. Ein solches Verbot würde digitale Teilhabe von Kindern und Jugendlichen einschränken, nicht aber das Kernproblem lösen, erklärt BEV-Vorstandsmitglied Gundolf Kiefer. Neben seiner Tätigkeit im BEV ist er Professor für Informatik an der Technischen Hochschule Augsburg. Kiefer schreibt:
Das eigentliche Problem ist nicht der soziale Austausch Jugendlicher über das Internet, sondern es sind die Geschäftsmodelle der großen kommerziellen Plattformen: Algorithmen, die gezielt auf Engagement durch Empörung und Eskalation optimiert sind, auf möglichst langen Verbleib auf der Plattform, kombiniert mit zielgerichteter Werbung und umfassender Datenerfassung.
Statt eines pauschalen Verbots fordert der BEV ein rechtlich durchgesetztes Verbot von Plattformen, die für Menschen unter 16 Jahren „suchtverstärkende Algorithmen einsetzen oder Lock-in-Effekte zur Bindung nutzen“. Das könne Eltern entlasten. Zur Einordnung: Einen solchen Risiko-basierten Ansatz verfolgt das bereits bestehende Gesetz über digitale Dienste (DSA); dessen Lücken will die EU-Kommission mit dem geplanten Digital Fairness Act schließen.
In technischen Alterskontrollen sieht der BEV keine Lösung, wie aus der Antwort hervorgeht. Kontrollen per Biometrie oder Ausweis-App „sind aus Datenschutzsicht problematisch und lassen sich leicht umgehen“, warnt Kiefer. Hochsensible Daten könnten bei Unternehmen landen, „deren Geschäftsmodell auf Datenextraktion basiert – ein erhebliches Datenschutzrisiko“.
Statt eines Verbots sollten Schulen jungen Menschen Alternativen nahebringen, etwa das dezentrale Fediverse oder offene Messenger wie Element. Dann könnten Eltern ihren Kindern sagen: „Nein, du brauchst TikTok nicht – hier sind bessere Optionen.“
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Sachsen: „Privacy by Design“ als Voraussetzung
Der Landeselternrat in Sachsen fordert ein „umfassendes Schutzkonzept“ für Kinder und Jugendliche, schreibt Vorsitzender Ronald Lindecke auf Anfrage. Lehrkräften zufolge seien Klassen weniger konzentriert; Schüler*innen würden Konflikte aus digitalen Räumen in den Schulalltag tragen. „Kinder sollten nicht den Mechanismen einer Plattformökonomie ausgesetzt sein, die stark auf Aufmerksamkeit, Datenauswertung und Konsum ausgerichtet ist“, schreibt Lindecke.
Wenn Social-Media-Regeln für unter 14-Jährige ein Teil des Konzepts sind, stehe er dem „grundsätzlich offen gegenüber“. Alterskontrollen hält er sogar für „zwingend notwendig“, entscheidend sei jedoch das Wie. Hierfür nennt Lindecke zwei Bedingungen: „Aus Elternperspektive kann eine Verifizierung Zustimmung finden, wenn sie datenschutzfreundlich und freiwillig umgesetzt wird“. Zur Erinnerung: Das australische Modell, das hierzulande als Vorbild gilt, ist nicht freiwillig oder datenschutzfreundlich.
Konkret fordert Lindecke „Privacy by Design“. Daten sollen demnach mit Ende-zu-Ende-Verschlüsselung übertragen werden; es sollen keine zentralen Datenbanken entstehen; und eine App sollte nur notwendige Attribute übermitteln. Das heißt zum Beispiel, dass eine Plattform mit Altersbeschränkung nicht etwa das Geburtsdatum einer Person erfährt, sondern bloß, ob sie alt genug ist.
Thüringen: „Lehnen biometrische Erfassung von Kindern ab“
Die Landeselternvertretung Thüringen sieht „hohen Klärungsbedarf“ bei Alterskontrollen für soziale Medien. „Wir halten Lösungen für sinnvoll, die sicherstellen, dass Eltern ihre Kinder schützen können, ohne selbst umfangreiche persönliche Daten preiszugeben“, schreibt Landeselternsprecher Peter Oehmichen auf Anfrage. „Dabei lehnen wir ausdrücklich die biometrische Erfassung von Kindern ab.“
Wenn Bilder von Kindern ins Netz gelangen, lasse sich nicht lückenlos prüfen, ob Datensammlungen entstehen. Die Elternvertretung warnt vor einem Risiko für die Sicherheit der Kinder.
„Verbote allein sind keine Lösung“, schreibt Oehmichen weiter. Er warnt davor, die Nutzung sozialer Medien zu kriminalisieren. Ein Verbot mache es schwerer, Kinder bei digitalen Aktivitäten zu begleiten. „Eltern sollen Partner im digitalen Schutz sein“. Der wichtigste Ansatz sei „Prävention, Aufklärung und Stärkung von Kindern“.
Mecklenburg-Vorpommern: Medienkompetenz vermitteln
Für den Landeselternrat Mecklenburg-Vorpommern steht ein Social-Media-Verbot nicht oben auf der Prioritätenliste. „Entscheidend ist aus unserer Sicht vor allem, dass Kinder frühzeitig lernen, verantwortungsvoll und kritisch mit digitalen Medien umzugehen“, erklärt Vorsitzende Diana Zander. Der Landeselternrat setze sich dafür ein, dass Schulen verbindlich Medienkompetenz vermitteln. „Ein reines Verbot ohne begleitende Bildung und Aufklärung würde zu kurz greifen.“
Technische Alterskontrollen könnten zwar helfen, Altersgrenzen besser durchzusetzen. Gleichzeitig müssten sie hohe Anforderungen an Datenschutz und Datensicherheit erfüllen. „Viele Eltern haben hier Bedenken, insbesondere wenn biometrische Daten wie Gesichtsscans genutzt werden sollen“, schreibt Zander. Außerdem dürften technische Lösungen nicht nur Hürden schaffen; sie müssten tatsächlich zur Sicherheit von Kindern beitragen.
Fazit: Eltern wollen Datenschutz für ihre Kinder
Die angefragten Eltern und ihre Vertreter*innen wünschen sich Schutz für ihre Kinder – das umfasst auch den Schutz ihrer Daten und Privatsphäre. Wirksame Alterskontrollen, die Daten von Kindern und Erwachsenen schützen und keine problematischen Hürden schaffen, diese Hoffnung prägt die aktuelle Debatte zum Social-Media-Verbot.
Erfüllen lässt sich diese Hoffnung aber nicht, denn bisher gibt es keine Technologie, die den Ansprüchen gerecht werden kann. Der Stand der Technik und die Rechtslage legen nahe: Die von Elternverbänden geäußerten Bedenken sind fundiert.
- Die digitale Brieftasche (EUDI-Wallet) ist die derzeit wohl ambitionierteste Lösung für potenziell EU-weite Alterskontrollen bei hohem Datenschutz. Ob diese Alterskontrollen jedoch wirklich anonym ablaufen, steht noch nicht fest. Eine Lösung für alle kann die digitale Brieftasche ohnehin nicht sein: Menschen ohne mit der Wallet kompatible Papiere können sie nicht nutzen, in Deutschland sind das Schätzungen zufolge mehrere Hunderttausend. Laut EU-Gesetz muss die digitale Brieftasche zudem „freiwillig“ sein. Das heißt, es muss Alternativen geben.
- Alternative Methoden zur Alterskontrolle wiederum versagen regelmäßig in Sachen Datenschutz und Privatsphäre. Wie gefährlich das werden kann, zeigen Fälle der jüngsten Vergangenheit: Kurz nachdem die Team-Software Discord Alterskontrollen eingeführt hatte, gab es einen Leak bei einem Drittanbieter; Betroffen waren sensible Ausweisdaten von 70.000 Menschen. In Australien wiederum horten manche Anbieter für Alterskontrollen ohne Not biometrische Daten, wie ein Gutachten im Auftrag der australischen Regierung zeigte.
In einem offenen Brief von Anfang März forderten 400 Forscher*innen aus 29 Ländern: Staaten sollen ihre Pläne für Alterskontrollen stoppen. Es fehle ein klares Verständnis für die Folgen der Technologie in Bezug auf „Sicherheit, Privatsphäre, Gleichberechtigung“ und die „Autonomie“ aller Menschen. Die Einführung von Alterskontrollen ohne weitere Forschung sei „gefährlich und gesellschaftlich nicht hinnehmbar“.
Derzeit arbeiten Expert*innen-Kommission auf Deutschland- und EU-Ebene an Antworten für Kinder- und Jugendschutz im Netz. Ergebnisse sollen beide Gremien bis zum Sommer vorlegen. Im Anschluss könnte die Arbeit an Gesetzentwürfen beginnen. Deutschlands Elternverbände dürften das genau verfolgen.
Datenschutz & Sicherheit
Tails 7.7.1: Notfallupdate für anonymisierendes Linux stopft Firefox-Lecks
Die Maintainer der zum anonymen Surfen im Netz gedachten Linux-Distribution Tails haben Version 7.7.1 veröffentlicht. Es handelt sich um ein Notfallupdate, das Sicherheitslücken schließt.
Weiterlesen nach der Anzeige
In der Versionsankündigung zu Tails 7.7.1 erklären die Programmierer, dass sie den zentralen Tor-Browser auf Version 15.0.11 aktualisiert haben. Der schließt mehrere Schwachstellen, die der zugrundeliegende Firefox 140.10.1 beseitigt. Es handelt sich dabei unter anderem um als kritisches Sicherheitsrisiko eingestufte Schwachstellen, die die Speichersicherheit betreffen. Die Mozilla-Entwickler halten sich mit Details zurück, schätzen das Risiko jedoch als „kritisch“ ein, während die US-amerikanische IT-Sicherheitsbehörde CISA auf einen CVSS-Wert von 7.3, mithin Risikostufe „hoch“, kommt (CVE-2026-7322). Die Tails-Entwickler betonen, dass ihnen noch kein Missbrauch der Schwachstellen aus der Praxis bekannt ist.
Der Mail-Client Thunderbird ist in Version 140.10.0 dabei – allerdings ist die Software noch verwundbar für die Speichersicherheitslücken. Die Mozilla-Stiftung hat inzwischen Thunderbird 140.10.1 veröffentlicht und die CVE-Schwachstellenbeschreibung ergänzt.
ISO-Image auf USB-Stick
Tails stellt eigene Images zum Verfrachten auf USB-Sticks bereit, so auch für die aktuelle Fassung. Das ist die am weitesten verbreitete Art und Weise, Tails zu nutzen. Das Projekt verteilt auch weiterhin ISO-Images, mit denen Tails von DVD oder in einer virtuellen Maschine gestartet werden kann. Bislang funktionierten die ISO-Abbilder auch auf USB-Sticks hervorragend, wenn auch mit Einschränkungen etwa bezüglich automatischer Upgrades oder des persistenten Speichers. Damit diejenigen, die USB-Sticks nutzen, sich nicht verwirren lassen, haben die Tails-Programmierer die ISO-Images einige MByte verkleinert und den Support dafür entfernt, die Images starten nicht mehr von USB.
Tails 7.7 erschien vor etwa zwei Wochen und brachte eine neue Warnung vor ablaufenden respektive abgelaufenen Secure-Boot-Zertifikaten mit.
(dmk)
Datenschutz & Sicherheit
Ermittler verwechseln Staatstrojaner mit Telefonüberwachung
Ermittlungsbehörden und Justizbeamte haben erneut falsche Zahlen zum staatlichen Hacken gemeldet. Sechs Bundesländer mussten ihre Statistiken korrigieren, nachdem wir nachgefragt haben.
Das Bundesamt für Justiz veröffentlicht jedes Jahr Statistiken zur Telekommunikationsüberwachung. Im August hat die Behörde zeitversetzt die Zahlen für 2023 veröffentlicht. Wir haben darüber berichtet: Polizei hackt alle fünf Tage mit Staatstrojanern.
Per Informationsfreiheitsgesetz haben wir die Daten angefragt, die das Bundesamt von den Ländern bekommen hat und aus denen es die Berichte erstellt. Diese Daten haben wir auch erhalten, für Telekommunikationsüberwachung und Online-Durchsuchung.
Wieder falsche Zahlen
Doch diese Dokumente enthielten andere Zahlen als die veröffentlichten Statistiken. Anfang September haben wir dem Bundesamt die Widersprüche mitgeteilt und um Prüfung gebeten. Im Januar hat das Amt die Statistiken zum ersten Mal korrigiert. Im Februar nochmal.
Mit der „Quellen-Telekommunikationsüberwachung“ hacken Ermittler Geräte, um Kommunikation auszuleiten. Dieser „kleine Staatstrojaner“ wurde im Jahr 2023 96 Mal angeordnet und 57 Mal eingesetzt. Korrigieren mussten sich Bayern, Hamburg, Hessen, Sachsen und Thüringen.
Mittels „Online-Durchsuchung“ hacken Ermittler Geräte, um sämtliche Daten auszuleiten. Dieser „große Staatstrojaner“ wurde im gleichen Zeitraum 31 Mal angeordnet und sieben Mal eingesetzt. Nordrhein-Westfalen hatte ursprünglich behauptet, die Online-Durchsuchung nicht genutzt zu haben. Tatsächlich gab es fünf Anordnungen in zwei Verfahren und einen Einsatz.
Abhören und Hacken verwechselt
Die veröffentlichten Zahlen zu staatlichem Hacken sind fast immer falsch. Seit fünf Jahren enthalten die Statistiken zur Telekommunikationsüberwachung auch Angaben zum Einsatz von Staatstrojanern. Schon im ersten Jahr waren die Zahlen falsch. Im zweiten Jahr wieder. Und im Dritten. Und jetzt wieder.
Das Bundesjustizamt hat nicht nur die gemeldeten Daten falsch übertragen. Die Länder haben auch falsche Daten geliefert. Das Bundesjustizamt verschickt Fragebögen mit ausführlichen Erklärungen. Landesjustizverwaltungen und Generalbundesanwalt füllen die aus.
Schon bei der ersten Statistik haben die Landesämter „Kreuzchen/Häkchen versehentlich falsch gesetzt“. Das setzt sich bis heute fort. In Sachsen ergab die Überprüfung, dass ursprünglich gemeldete Einsätze der Quellen-TKÜ doch nur „Maßnahmen der klassischen Telekommunikationsüberwachung“ waren.
Die Ermittler haben das Mithören von Telefonie mit heimlichem Hacken verwechselt.
Jura-Trick gegen Grundrecht
Diese Verwirrung ist bereits im Gesetz angelegt. Die Strafprozessordnung enthält einen Paragrafen zur Telekommunikationsüberwachung, der eigentlich das Abhören von Telefonaten regelt. 2017 haben Union und SPD zwei Sätze eingefügt, mit denen Ermittler auch Endgeräte hacken dürfen, um Kommunikation abzuhören.
Das Bundesverfassungsgericht hat staatliches Hacken auf absolute Ausnahmefälle beschränkt und extra ein Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität von IT-Systemen erfunden. Die Quellen-TKÜ ist ein juristischer Trick, um diese strengen Vorgaben zu umgehen.
Befürworter behaupten einfach, dass staatliches Hacken nur die moderne Version der normalen Telefonüberwachung sei.
Dabei ist das heimliche Hacken von Smartphones und Computern ein viel tiefergehender Eingriff in die Grundrechte der Betroffenen. Und Staatstrojaner halten Sicherheitslücken offen, um sie auszunutzen statt sie zu schließen – das gefährdet die Sicherheit aller Menschen.
Die juristische Gleichsetzung von Abhören und Hacken führt auch dazu, dass selbst Staatsanwälte die beiden Maßnahmen miteinander verwechseln. Dabei sind sie Strafrechts-Experten – und ordnen den Einsatz dieser Maßnahmen an.
Licht ins Dunkel
Deshalb sind die Statistiken zur Quellen-TKÜ nur ein Anhang in der Statistik der normalen Telekommunikationsüberwachung. Damit ist nicht erkennbar, bei welchen Straftaten die Quellen-TKÜ eingesetzt wird.
Das Justizamt schreibt nur allgemein: „Wie in den vergangenen Jahren begründete vor allem der Verdacht einer Straftat nach dem Betäubungsmittelgesetz die Überwachungsmaßnahmen.“
Wir haben deshalb Abgeordnete in allen Bundesländern mit demokratischer Opposition gebeten, parlamentarische Anfragen zu stellen: Baden-Württemberg, Bayern, Hamburg, Hessen, Nordrhein-Westfalen, Sachsen, Sachsen-Anhalt, Schleswig-Holstein, Thüringen (Nachklapp) und im Bund.
Hacken wegen Drogen
Für 29 Einsätze der Quellen-TKÜ haben die Regierungen die zugrundeliegende Straftat genannt. In zehn Fällen ging es um Betäubungsmittel, also Drogen. Sieben Mal ging es um Mord, drei Mal um Waffen.
Damit bestätigen die Zahlen erneut: Die Polizei nutzt Staatstrojaner vor allem wegen Drogendelikten. Staat und Überwachungsfirmen lassen Sicherheitslücken in Milliarden Geräten offen, um ein Dutzend Drogendealer zu überwachen.
Wenn Ermittler Geräte hacken dürfen, tun sie das nicht immer. Von 96 Anordnungen wurden nur 57 tatsächlich durchgeführt. Die meisten Regierungen wollen nicht sagen, warum genehmigte Einsätze nicht stattfinden. Wenn sie antworten, nennen sie fast immer „technische Gründe“. Nur einmal gab es neben technischen auch ermittlungstaktische Gründe, an denen ein Trojaner-Einsatz scheiterte.
Mehr Einstellungen als Anklagen
Selbst wenn Trojaner zum Einsatz kommen, führen sie nicht immer zum Ermittlungserfolg. Viele Regierungen geben keine Auskunft zu dieser Frage. Verfahren laufen demnach noch oder wurden abgegeben, eine Antwort wäre zu viel Aufwand oder würde die Sicherheit gefährden.
In den beantworteten elf Fällen gab es nur zwei Urteile und eine Anklage. Vier mal haben Trojaner „keine relevanten Erkenntnisse“ geliefert, drei Verfahren wurden mangels Tatverdacht eingestellt, in einem Fall hat der Hack den ursprünglichen Tatverdacht sogar ausgeräumt.
Keine Regierung nennt die eingesetzten Trojanerprodukte.
Hessen nennt immerhin die Zielgeräte: zwei iPhones, ein Android und ein Laptop mit Windows. Auch Hamburg hat ein iPhone gehackt. Dabei „wurden 896 Dateien in einem Umfang von 0,388 Gigabyte erhoben und ausgewertet“. In einem anderen Fall „wurden Daten im Umfang von circa 70 Gigabyte erhoben und ausgewertet“.
Antwort oder Sicherheit
Die Regierungen in Hamburg und Hessen nennen sogar Kalenderwochen, in denen die Trojaner zum Einsatz kamen. Viele andere Landesregierungen verweigern Auskünfte zu Technik, Daten oder Zeitpunkt. Thüringen verweigert fast jede Antwort, demnach hat die Staatsanwaltschaft die entsprechenden Unterlagen bereits „vernichtet“.
Insgesamt antworten die Bundesländer sehr unterschiedlich. Einige Regierungen beantworten vorbildlich alle Fragen ihrer Abgeordneten. Andere verweigern viele Antworten vollständig, weil eine Auskunft angeblich die Sicherheit gefährdet. Welche Informationen die Sicherheit gefährden, scheint in Deutschland Ansichtssache der Bundesländer zu sein.
Datenschutz & Sicherheit
Linux-Lücke „Copy Fail“ wird bereits angegriffen
Erst vor dem verlängerten Wochenende wurde die Linux-Sicherheitslücke „Copy Fail“ bekannt. Missbrauchen Angreifer sie, können sie auf den meisten größeren Linux-Distributionen seit 2017 in den Standard-Installationen an root-Rechte gelangen. Und das machen sie inzwischen auch.
Weiterlesen nach der Anzeige
Die US-amerikanische IT-Sicherheitsbehörde CISA warnt aktuell vor Missbrauch der Schwachstelle in der freien Wildbahn. Sie fasst die Lücke mit der Beschreibung „Sicherheitslücke im Linux-Kernel aufgrund falscher Ressourcenübergabe zwischen Bereichen“ zusammen (CVE-2026-31431, CVSS 7.8, Risiko „hoch“). Gleich mehrere Fassungen von Proof-of-Concept-Exploit-Code stehen inzwischen im Netz zur Verfügung.
Jetzt Updates installieren
Aktualisierter Linux-Quellcode steht bereits seit rund zwei Wochen zur Verfügung. Greg Kroah-Hartman hat erste Patches für die Kernel 6.18.22, 6.19.12 und 7.0 angekündigt sowie weitere Backports in Aussicht gestellt. Inzwischen haben die meisten Linux-Distributionen auch korrigierte Installationspakete dazu im Angebot. IT-Verantwortliche sollten diese zügig herunterladen und installieren.
Die Schwachstelle haben IT-Forscher mit KI-Hilfe gefunden. Sie haben dafür Xint Code verwendet. Linux enthält demnach einen Logikfehler, der lokalen Nutzern im System ermöglicht, einen deterministischen, kontrollierten 4-Byte-Schreibzugriff auf den Page-Cache jedes lesbaren Dateisystems eines Rechners auszuführen. Mit einem Python-Skript von 732 Byte Größe gelingt es den Forschern, eine Binärdatei mit setuid-Flag zu manipulieren und dadurch root-Rechte zu erlangen. Das Ganze passiert im Page-Cache, ohne Spuren etwa auf dem Laufwerk zu hinterlassen. Da der Page-Cache vom Host geteilt wird, können Angreifer sich nicht nur root-Rechte verschaffen, sondern beispielsweise auch aus Containern ausbrechen.
(dmk)
-
Künstliche Intelligenzvor 2 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 2 MonatenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 3 MonatenCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 3 MonatenSmartphone‑Teleaufsätze im Praxistest: Was die Technik kann – und was nicht
-
Apps & Mobile Entwicklungvor 3 MonatenIntel Nova Lake aus N2P-Fertigung: 8P+16E-Kerne samt 144 MB L3-Cache werden ~150 mm² groß
-
Entwicklung & Codevor 2 MonatenCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 2 MonatenBlade‑Battery 2.0 und Flash-Charger: BYD beschleunigt Laden weiter
-
Social Mediavor 1 MonatVon Kennzeichnung bis Plattformpflichten: Was die EU-Regeln für Influencer Marketing bedeuten – Katy Link im AllSocial Interview
