Datenschutz

Ein Minusgeschäft für die Demokratie?

Schon kurz nach den Anschlägen des 11. September 2001 begannen die ersten Unternehmer, Kundendaten privater Firmen systematisch zu durchforsten und aufzukaufen, um daraus gewonnene Personenprofile an die US-Sicherheitsbehörden zu verkaufen. So beschreibt es Byron Tau in seinem Buch "Means of Control". Was damals improvisiert war, ist heute eine Industrie mit eigenem Fachbegriff: ADINT, kurz für Advertisement-based Intelligence: Aufklärung aus Werbedaten.

Die Datengrundlage dafür wird immer reichlicher. Fast jede kostenlose App sendet im Hintergrund laufend Daten ins Werbe-Ökosystem: den Standort des Geräts, eine eindeutige Werbe-ID, Interessen, Kontakte. Datenhändler kaufen diese Ströme auf, führen sie zusammen und machen daraus Profile: wo jemand wohnt und arbeitet, wen er trifft und in welche Bar er geht. Die Daten gelten als anonym. Doch wer eine Routine kennt, kann daraus schnell eine Person identifizieren. Wie weit das geht, haben netzpolitik.org und der Bayerische Rundfunk mit ihren Databroker Files gezeigt. Die Journalisten erhielten Milliarden Standortdaten aus Deutschland und zeichneten damit Bewegungsprofile von Soldaten und Geheimdienstmitarbeitern nach, bis auf das Gelände von Kasernen und Nachrichtendiensten.

Für einen Nachrichtendienst sind solche Einblicke Gold wert. Wollte er sie auf klassischem Weg gewinnen, etwa durch eine Abfrage beim Mobilfunkanbieter, bräuchte er eine Anordnung, eine Begründung und müsste sich von unabhängigen Gremien kontrollieren lassen. Das BND-Gesetz regelt jeden dieser Schritte. Kauft er dieselben Erkenntnisse beim Datenhändler, braucht er nichts davon: keine explizite Rechtsgrundlage, kein Genehmigungsverfahren, keine spezifische Kontrollpraxis.

Diese Lücke bekommt zur Zeit politisches Gewicht. Anfang Juli hat die Bundesregierung den ersten offiziellen Entwurf für die größte Reform des Nachrichtendienstrechts seit Jahren veröffentlicht, knapp 700 Seiten, mit weitreichenden neuen Befugnissen für BND und Verfassungsschutz. Im Rahmen dieser Debatte erscheint eine Studie von Corbinian Ruckerbauer und Thorsten Wetzling für den Global Innovation Hub der Friedrich-Naumann-Stiftung für die Freiheit. Darin analysieren die Autoren das Feld der nachrichtendienstlichen Datenkäufe entlang zweier Fragen: Darin analysieren die Autoren zwei Fragen: Welche Risiken entstehen, wenn Nachrichtendienste Daten auf dem freien Markt kaufen - gerade in Vorzeigedemokratien wie Deutschland oder Taiwan? Und wie müsste ihr Einkauf kontrolliert werden?

Nachrichtendienste und der Datenmarkt: Eine rechtliche Grauzone

Die Wissenschaftlichen Dienste des Bundestags hielten Ende 2025 fest, solche Käufe seien kein Ausnahmephänomen mehr, sondern würden zunehmend Teil des behördlichen Informationsmanagements. Ob und wie oft deutsche Dienste einkaufen, mag die Bundesregierung nicht sagen. Sie beruft sich auf Geheimhaltung im Staatswohlinteresse.

Diese Versuchung ist nachvollziebhar. Russland führt Krieg und hackt deutsche Behörden, China bedroht Taiwan und führt Desinformationskampagnen. Wieso sollten also ausgerechnet Demokratien Quellen nicht nutzen, aus denen ihre Gegner längst schöpfen?

Hebt zwei Aspekte kritisch hervor. Der erste betrifft die Grundrechte. Wer massenhaft Standort- und Kommunikationsdaten einkauft, greift in das Telekommunikationsgeheimnis ein, so wie es auch eine klassische Überwachung täte, nur eben ohne die dafür vorgeschriebenen Sicherungen. Je nach Verwendung sind weitere Rechte betroffen: Werden die Teilnehmenden einer Demonstration per Standortdaten erfasst, ist die Versammlungsfreiheit berührt; lassen sich aus Bewegungsprofilen von Journalistinnen und Journalisten Recherchen nachvollziehen und Quellen enttarnen, die Pressefreiheit. Das Argument, die Nutzer hätten dem Weiterverkauf ihrer Daten per AGB zugestimmt, halten die Autoren angesichts der Undurchsichtigkeit des Datenmarkts für nicht haltbar. Ohne gesetzliche Grundlage wären solche Käufe möglicherweise verfassungswidrig.

Der zweite Einwand sollte auch von Sicherheitspolitikerinnen ernst genommen werden: Der Markt kennt keine Seiten. Dieselben Bewegungsprofile deutscher Soldaten, die Journalisten kaufen konnten, kann ein russischer oder chinesischer Dienst genauso kaufen. Aus solchen Daten lässt sich herauslesen, wer für einen Nachrichtendienst arbeitet oder wer erpressbar sein könnte. Außerdem ist die Datenqualität nicht reguliert und könnte auch gezielt manipuliert werden. Jeder Staat, der auf diesem Markt einkauft, füttert eine Industrie, die zugleich seine offene Flanke ist.

Wie real diese Gefahr ist, zeigt die zweite Fallstudie über Taiwan. Geleakte Unterlagen von Firmen wie Zhenhua, i-Soon und Knownsec belegen, wie öffentlich verfügbare sowie gehackte Daten und zugekaufte Datensätze zu detaillierten Profilen von Menschen und Infrastruktur verschmolzen werden. So fanden sich unter anderem bei Knownsec 459 Gigabyte taiwanischer Straßenplanungsdaten. Der kommerzielle Datenmarkt und staatlich gelenkte Spionage sind keine getrennten Welten.

Nicht verbieten, sondern kontrolliert einsetzen

Was also tun? Die Autoren fordern nicht, den Diensten den Datenkauf zu verbieten. Sie fordern das, was für jede andere Überwachungsmaßnahme selbstverständlich ist: eine gesetzliche Grundlage mit klaren Zwecken und Begründungspflicht, eine unabhängige Stelle, die sensible Käufe vorab genehmigt, und eine Aufsicht, die auch die Verwendung der Daten prüfen kann. Utopisch ist das nicht. Großbritannien verlangt seit 2024 eine schriftliche Erlaubnis für den Zugriff auf bestimmte kommerzielle Datenbestände, in Norwegen kann das Kontrollgremium sogar Beschäftigte privater Firmen vorladen.

Laut den Autoren gilt: Klare Regeln schwächen die Dienste nicht, sie stärken sie. Sie geben den Mitarbeitenden Rechtssicherheit, den Bürgerinnen und Bürgern Vertrauen und der Sicherheitsarchitektur Legitimität. Die anstehende Reform des Nachrichtendienstrechts wäre der Moment, diese Lücke zu schließen. Verstreicht er ungenutzt, zahlt die Demokratie doppelt. Sowohl mit den Grundrechten als auch mit genau der Sicherheit, die der Dateneinkauf versprochen hatte.