Sollen deutsche Geheimdienste Daten aus der Welt der Online-Werbung nutzen dürfen, die Tracking-Firmen und Databroker illegal in Umlauf bringen? Und wenn ja, welche Regeln sollen gelten? Die Bundesregierung bleibt Antworten auf diese Fragen bislang schuldig. In ihrem hunderte Seiten langen Entwurf für eine Reform des Nachrichtendienstrechts regelt sie die umstrittene neue Überwachungsmethode nicht. Kritik daran kommt aus der Opposition.

„Niemals dürfen Polizei und Geheimdienste solche illegal entstandenen Datenhalden nutzen“, sagt Clara Bünger, innenpolitische Sprecherin der Linksfraktion im Bundestag, gegenüber netzpolitik.org.

„Es darf nicht sein, dass der Staat über den Umweg des kommerziellen Datenhandels auf Daten und Informationen zugreift, für deren Erhebung mit klassischen nachrichtendienstlichen Mitteln aus gutem Grund hohe rechtliche Hürden gelten“, sagt auf Anfrage von netzpolitik.org auch Konstantin von Notz, stellvertretender Fraktionsvorsitzender der Grünen im Parlament.

Von Notz: „Anhaltende Verweigerungshaltung der Bundesregierung“

Seit mehr als zwei Jahren zeigen gemeinsame Recherchen von netzpolitik.org und dem Bayerischen Rundfunk (BR), dass insbesondere genaue Standortdaten, die von Smartphone-Apps angeblich nur für Werbezwecke gesammelt werden, im großen Stil gehandelt werden. Das verstößt in der Regel gegen die Datenschutzgrundverordnung, doch die Datenschutzbehörden sind bislang machtlos. Weil die Datensätze auch Bewegungsprofile von Menschen in sicherheitsrelevanten Bereichen wie Regierung, Militär und Sicherheitsbehörden enthalten, sehen Politiker:innen darin parteiübergreifend eine Gefahr für die nationale Sicherheit.

Solche Daten kaufen und nutzen nicht nur Unternehmen, sondern auch staatliche Stellen. Man spricht dabei von Advertising-based Intelligence (werbebasierte Überwachung), kurz: ADINT. Spezialisierte Dienstleister unterstützen staatliche Kunden dabei und bereiten die Daten für sie auf. Aus Ländern wie den USA, Ungarn und Österreich ist inzwischen bekannt, dass Sicherheitsbehörden dort ADINT nutzen. Erst vor wenigen Monaten konnten netzpolitik.org und BR berichten, dass auch mindestens ein deutsches Landeskriminalamt Werbedaten genutzt hat.

„Die Recherchen zu den sogenannten Databroker Files haben eindrücklich gezeigt, dass frei gehandelte Werbedaten erhebliche Risiken für die Privatsphäre und die nationale Sicherheit bergen“, sagt nun Konstantin von Notz. Das sehe grundsätzlich auch die Bundesregierung so, die er mehrfach auf die Problematik aufmerksam gemacht habe. Nur Konsequenzen habe sie noch immer nicht gezogen.

Die „anhaltende Verweigerungshaltung der Bundesregierung“ sei nicht hinnehmbar, so der Grünen-Politiker weiter. „Wir dürfen nicht zulassen, dass aus extrem detaillierten Standortdaten umfassende Bewegungsprofile erstellt werden, die eine weitreichende Rekonstruktion persönlicher Lebensumstände ermöglichen und dazu führen, dass Mitarbeitende von Sicherheitsbehörden identifiziert werden können.“ Schiebe man derartigen Praktiken keinen Riegel vor, gefährde das den Schutz sensibler Einrichtungen – auch der Nachrichtendienste selbst.

Bünger: „Zugriff auf sensible Daten muss vollständig ausgeschlossen sein“

Angehen müsse man das Problem des Datenhandels auch in der aktuellen Reform des Rechts der Nachrichtendienste, so der Politiker, der seit vielen Jahren Mitglied des Parlamentarischen Kontrollgremiums ist. „Gerade bei der Beschaffung von besonders eingriffsintensiven Daten und dem Rückgriff auf diese braucht es glasklare Rechtsgrundlagen. Pauschale Generalklauseln reichen dafür aus rechtsstaatlicher Sicht bei Weitem nicht aus.“

Während von Notz eine Nutzung von ADINT durch deutsche Geheimdienste also nicht grundsätzlich ablehnt, sondern in geregelten Bahnen ermöglichen will, sieht Clara Bünger den Einsatz von Werbedaten prinzipiell kritisch. Den Behörden stehe „mit Bestands- und Verkehrsdatenabfragen bereits ein ausreichendes und auf den jeweiligen Erhebungszweck abgestimmtes Befugnisarsenal zur Verfügung“, heißt es von ihr.

Für die behördliche Nutzung von Daten, die bei Telemedien- und Telekommunikationsanbietern erhoben und gespeichert werden, würden Gesetze heute bereits bestimmte Schwellen für den Zugriff vorsehen. „Diese Schwellen dürfen durch Zugriff auf Daten, die zu Werbe- und Vermarktungszwecken erhoben werden, nicht unterlaufen werden.“

Aus Sicht der Linken sei „einzig ein subsidiärer Zugriff“ auf solche Daten vorstellbar. Das heißt: wenn die Identifizierung oder das Auffinden einer Person sonst nicht möglich ist. „Der Zugriff auf besonders sensible personenbezogene Daten muss vollständig ausgeschlossen sein.“

Bünger fordert die Regierung außerdem auf, auf nationaler und EU-Ebene „endlich wirksame Regelungen gegen den Datenhandel“ an sich zu ergreifen.

Politiker von Union und SPD äußern sich nicht

Der Bundestag berät derzeit über den Vorschlag der Bundesregierung für eine Geheimdienstreform. Noch bis Ende des Jahres soll das Gesetzespaket, das einen massiven Ausbau von BND und Bundesverfassungsschutz vorsieht, beschlossen werden.

Wir haben ebenfalls die innenpolitischen Sprecher der Fraktionen von Union und SPD mit drei Fragen zum Thema kontaktiert, aber keine Antworten erhalten. Eine Beantwortung bekomme man „aus zeitlichen Gründen gerade nicht unter“, heißt es dazu aus dem Büro von CDU-Politiker Marc Henrichmann. Der Vorsitzende des Parlamentarischen Kontrollgremiums hatte den unkontrollierten Handel mit Werbedaten in Reaktion auf die Databroker Files in der Vergangenheit ebenfalls kritisiert.

Auch von Sebastian Fiedler (SPD) bekamen wir eine Absage, weil sich die Nachrichtendienstreform „im Moment intensiv im parlamentarischen Beratungsprozess“ befinde, wie ein Sprecher mitteilt.

Bundesregierung widerspricht Wissenschaftlichen Diensten

In welchem Umfang Sicherheitsbehörden des Bundes bereits heute Werbedaten nutzen, offenbart die Bundesregierung nicht. Wie zuvor schon auf eine Kleine Anfrage der Linkspartei gibt die Bundesregierung in ihrer Antwort auf eine aktuelle Anfrage der AfD keine konkreteren Auskünfte zum Thema.

Die Linken-Abgeordnete Donata Vogtschmidt hatte Ende letzten Jahres neben einer Kleinen Anfrage ein Gutachten der Wissenschaftlichen Dienste des Bundestages zum Thema in Auftrag gegeben. Dieses weckte ebenfalls Zweifel daran, ob staatliche Shopping-Touren bei Databrokern rechtmäßig wären. Das Gutachten betonte zudem, dass die Nutzung von Werbedaten einen erheblichen Grundrechtseingriff darstellen könne. Unter andere bestehe „beim Ankauf von Daten aus Werbedatenbanken eine besondere Gefahr von Eingriffen in den Kernbereich privater Lebensgestaltung“.

Auf eine Frage der AfD antwortet die Regierung nun, dass sie die Einschätzungen der Wissenschaftlichen Dienste „nicht uneingeschränkt“ teile. Die Kenntnisnahme „öffentlich zugänglicher Informationen“ durch den Staat stelle für sich genommen keinen Eingriff dar. Nur „sofern es sich um die systematische Verwendung personenbezogener oder ‑beziehbarer Daten handelt, stellt dies einen grundrechtlich relevanten Eingriff dar, der einer Rechtsgrundlage bedarf“.

Eine solche Rechtsgrundlage könnten auch allgemeine Datenerhebungsbefugnisse darstellen, schreibt die Bundesregierung weiter.

Expert:innen widersprechen Bundesregierung

Genau dem haben nicht nur von Notz und Bünger, sondern auch mehrere Expert:innen in ihren Stellungnahmen zur Geheimdienstreform vehement widersprochen. So etwa die Bundesdatenschutzbeauftragte (BfDI), deren Sprecher erklärt, die Behörde sei der Auffassung, „dass die Nutzung kommerzieller Werbedaten einer inhaltlich bestimmten und normenklaren gesetzlichen Ermächtigungsgrundlage bedarf“.

Der Sprecher der BfDI verweist gegenüber netzpolitik.org auf das „potentiell sehr hohe Eingriffsgewicht“ der Überwachung mit Werbedaten. Das erfordere nach Auffassung der Bundesdatenschutzbeauftragten „verfassungsrechtlich neben erhöhten Anforderungen an Zweckbindung und Dokumentation auch ausreichende Kontrollmechanismen“.

Zentraler Punkt in der Argumentation der Bundesregierung ist, dass sie Werbedaten als öffentlich zugänglich einstuft – mutmaßlich weil diese über kommerzielle Händler erhältlich sind. Das kritisierte der Jurist und ehemalige Ministerialdirektor im Justizministerium, Peter Schantz, in seiner Stellungnahme zur Reform.

„Offenbar werden die Daten als wenig sensibel eingestuft, weil fälschlich angenommen wird, sie seien allgemein zugänglich.“ Dies sei erstens nicht zutreffend, weil sie zwar käuflich seien, aber nicht frei abrufbar, so Schantz. Zweitens seien auch allgemein zugängliche Daten nicht per se schutzlos.

„Hätte der Staat diese Daten auch selbst erheben dürfen?“ Diese Frage nach dem sogenannten “hypothetischen Ersatzeingriff“ müsse sich der Gesetzgeber stellen, so Schantz. Dabei müsse berücksichtigt werden, ob die Verkäufer die Daten selbst überhaupt rechtmäßig verarbeiten.

Grüne und Linke fordern demokratische Kontrolle

Auch Politikwissenschaftler Thorsten Wetzling vom Thinktank Interface kritisiert gegenüber netzpolitik.org, dass Daten aus einem womöglich millionenfachen Ankauf von Datensätzen mit granularen personenbezogenen Daten mit tatsächlich öffentlich zugänglichen Informationen wie etwa Presseveröffentlichungen gleichgesetzt werden.

Wetzling weist zudem darauf hin, dass die geheimdienstliche Nutzung von Werbedaten in anderen Ländern besser kontrolliert werde. So gebe es etwa im Vereinigten Königreich „zumindest ein Genehmigungsverfahren unter Beteiligung der unabhängigen Rechtskontrolle“, wenn ein Dienst dort gekaufte Daten in seine eigenen IT-Systeme einspeisen wolle.

In den Niederlanden wiederum hatte das Geheimdienst-Kontrollgremium CTIVD in einem öffentlichen Bericht bereits 2018 darüber informiert, dass Agent:innen kommerzielle Datensätze erworben haben. In Norwegen bestätigte das parlamentarische Kontrollgremium EOS-Committee 2023 in einem öffentlichen Bericht, dass der militärische Geheimdienst massenhaft personenbezogene Daten gekauft hat.

Geräte lassen sich ohne Klick per Werbeanzeige hacken

Auf Anfrage von netzpolitik.org fordern Grüne und Linke entsprechende Kontrollmechanismen. „Wenn die Bundesregierung den Diensten ermöglichen will, Daten von Privaten anzukaufen, muss sie auch wirksame Kontrollmechanismen schaffen“, so Konstantin von Notz. Der Unabhängige Kontrollrat müsse Käufe effektiv kontrollieren können. „Auch das Parlamentarische Kontrollgremium muss entsprechende Verträge einsehen können“, schreibt uns der Grünenpolitiker.

Noch weiter geht Clara Bünger von der Linkspartei: Ob Werbedaten genutzt werden, müsse im Parlamentarischen Kontrollgremium entschieden werden. „Nur hierüber wird zumindest ein Mindestmaß demokratischer Kontrolle erreicht, wenn so in abstrakter Form auch der gesamte Bundestag unterrichtet wird.“

Unterdessen zeigen neueste Untersuchungen des Citizen Lab, dass das Ökosystem der Online-Werbung nicht nur für passive Überwachung durch ADINT genutzt werden kann, sondern ebenfalls zur aktiven Infektion der Geräte von Zielpersonen mit Spionage-Software. So geschehen etwa bei Journalist:innen des katarischen Nachrichtensenders Al Jazeera.