Biometrische Internetfahndung

Europarechts- und verfassungswidrig: Schwarz-Rot soll Pläne für biometrische Internetfahndung zurückziehen

Die Pläne, im Internet mit Biometrie nach jedweder Person zu suchen, verstoßen laut AlgorithmWatch gegen Europarecht und die Verfassung. Sie seien so unverhältnismäßig, dass man sie nicht verbessern, sondern nur zurückziehen könne.

Die Pläne der Bundesregierung, die digitalen Ermittlungsbefugnisse von Sicherheitsbehörden auszuweiten, sind nach Meinung der Organisation AlgorithmWatcheuroparechtswidrig und stehen im Konflikt mit verfassungsrechtlichen Mindestanforderungen und datenschutzrechtlichen Grundsätzen.

Dabei kommt AlgorithmWatch – wie auch schon zuvor die Gesellschaft für Freiheitsrechte (GFF) – zu dem Schluss, dass man dieses Gesetz nicht mit ein paar Änderungen verbessern könnte. Die verfassungs- und menschenrechtliche Unverhältnismäßigkeit lasse „ausschließlich die Empfehlung zu, die Gesetzentwürfe zurückzuziehen und ein grundsätzliches gesetzliches Verbot des Einsatzes biometrischer Massenerkennungssysteme für öffentliche und private Stellen einzuführen“, so die Zusammenfassung der Stellungnahme zum Gesetz (PDF).

„Flächendeckende Verfolgung aller Menschen im digitalen Raum“

Die schwarz-rote Koalition plant in ihrem „Sicherheitspaket“ einerseits eine biometrische Massenfahndung im Internet zu erlauben sowie andererseits die Zusammenführung und Auswertung polizeilicher Daten mittels automatisierter Datenbankanalyse. Die Stellungnahme der Nichtregierungsorganisation fokussiert sich auf die biometrische Fahndung.

Diese biometrische Internetfahndung sieht die NGO sehr kritisch:

Der biometrische Abgleich ermöglicht die Identifizierung von Personen im öffentlichen Raum und im Internet auf Basis biometrischer Merkmale und schafft somit die technischen Voraussetzungen für eine flächendeckende Verfolgung aller Menschen im (digitalen) öffentlichen Raum.

Laut AlgorithmWatch berührt die Überwachungsmaßnahme zwangsläufig die Grundrechte aller Menschen, sie sei weder erforderlich noch verhältnismäßig. Betroffen seien dabei insbesondere die Grundrechte auf informationelle Selbstbestimmung und freie Meinungsäußerung.

Rückschlüsse auf politische Einstellungen

Die NGO kritisiert, dass die Maßnahme heimlich erfolgt und eine extrem hohe Streubreite hat: Es seien einfach alle Menschen betroffen, deren Gesichtsbilder im Internet zu finden sind. Das ist heute ein großer Teil der Bevölkerung. Zudem gebe es erhebliche Diskriminierungsrisiken, wenn sensible Daten erfasst und verarbeitet werden, wie Aufnahmen von Demonstrationen, Parteiveranstaltungen, Pride-Events, Gewerkschaftskundgebungen oder Gottesdiensten. Solche Aufnahmen lassen Rückschlüsse zu auf politische Haltungen, Parteizugehörigkeit, sexuelle oder religiöse Einstellungen.

Darüber hinaus könnten durch die biometrische Internetfahndung auch Bilder aus dem Kernbereich privater Lebensführung ausgewertet werden wie etwa Kindergeburtstage oder private Familienfeiern. Dieser Kernbereich ist verfassungsrechtlich besonders geschützt. Die öffentliche Verfügbarkeit der Daten, die für einen Abgleich herangezogen werden, ändere nichts daran, dass Schutzbereiche der Grundrechte berührt sind.

In der Stellungnahme verweist AlgorithmWatch darauf, dass das Bundesverfassungsgericht bei Kfz-Kennzeichen, die deutlich weniger sensibel als biometrische Merkmale seien, hohe verfassungsrechtliche Anforderungen aufgestellt habe.

Auch seien die Anforderungen für die geplante massenhafte Verarbeitung biometrischer Daten zu unspezifisch sowie die Einsatzzwecke und Tatbestandsmerkmale zu breit und nicht gewichtig genug, als dass eine grundrechtskonforme Anwendung realistisch erscheine. Hier verweist die Organisation auf den Straftatenkatalog des § 100a Abs. 2 StPO , der regelmäßig erweitert und angepasst werde und sich deshalb nicht zur klaren Begrenzung der Maßnahmen auf schwerwiegende Straftaten eigne. Diese Kritik hatte auch die GFF geäußert.

Technische Ausgestaltung unklar

Der Gesetzentwurf lege außerdem „völlig unzureichend“ dar, wie die Überwachungsmaßnahme technisch vonstattengehen soll. Einerseits sollen die die im Rahmen des biometrischen Abgleichs erhobenen und verarbeiteten Daten nach dessen Durchführung „unverzüglich” gelöscht werden, auf der anderen Seite bleibe der Gesetzentwurf schuldig, wie die Sache technisch funktionieren soll.

Klar ist: Für einen biometrischen Abgleich braucht es eine Datenbank, die mit einem gesuchten Bild verglichen werden muss. Bisherige Systeme von privaten Firmen zur Gesichtssuche im Internet wie beispielsweise PimEyes funktionieren so, dass sie meist illegal alle möglichen Gesichtsbilder aus dem Internet sammeln, auswerten und die biometrischen Merkmale sowie die Fundstellen und Metadaten und Zusatzinformationen dieser Bilder in einer Datenbank hinterlegen. Suche ich nun nach einem Gesicht, werden die biometrischen Merkmale dieses Gesichts mit den in der Datenbank hinterlegten Daten abgeglichen – und die jeweiligen Ergebnisse ausgespuckt.

Ein durch AlgorithmWatch beauftragtes Gutachten hat festgestellt, dass ein biometrischer Abgleich zwischen Bildern gesuchter Personen und im Internet verfügbaren Fotos ohne Verwendung einer Datenbank nicht sinnvoll umsetzbar ist. Für die NGO ist damit klar, dass das Vorhaben verboten ist, weil die KI-Verordnung der EU eine mittels Künstlicher Intelligenz erstellte Gesichterdatenbank verbieten würde.

Ein Gutachten der Wissenschaftlichen Dienste des Deutschen Bundestages kommt allerdings zu einem leicht anderen Schluss. Demnach verbiete die KI-Verordnung nicht den Aufbau einer Datenbank, sondern nur das „ungezielte Auslesen von Gesichtsbildern mittels KI […], da es die Privatsphäre und den Datenschutz der Betroffenen erheblich beeinträchtigt und das Gefühl ständiger Überwachung erzeugt“.

Das in der KI-Verordnung festgelegte Verbot gelte demnach nur dann, wenn die Strafverfolgungsbehörden die Datenbanken mit Hilfe von KI-Systemen erstellen. Werden dafür keine solchen Systeme verwendet, greife die Verordnung nicht. Genau dieses Schlupfloch könnte die Bundesregierung nutzen wollen, sie lässt aber offen, wie das technisch funktionieren soll.

Auslagerung an Private als Schlupfloch?

AlgorithmWatch kritisiert, dass der Gesetzentwurf eine Art Auslagerungsbefugnis enthalte, für den Fall, dass Polizei- und Strafverfolgungsbehörden den Abgleich technisch nicht selbst durchführen können. Sie erlaubt ausdrücklich eine Übermittlung von Daten zum Zweck eines biometrischen Abgleichs an öffentliche Stellen und private Anbieter sowohl im Inland als auch im Ausland sowie innerhalb wie außerhalb der Europäischen Union.

Auch das könnte ein Schlupfloch sein. Die NGO sagt dazu: „Eine Erlaubnis für solch eine Auslagerung des biometrischen Abgleichs ins (Nicht-EU-)Ausland führt sämtliche durch die Gesetzestexte eingeführten Beschränkungen ad absurdum.“ Damit würde  der in den Gesetzentwürfen beschriebene Vorgang des Löschens aller verarbeiteten Daten nach jeder einzelnen Suchanfrage zur theoretischen Fassade, heißt es in der Stellungnahme. „Aus diesem Grund, so die Vermutung, wird auf die Übermittlung von Daten an Dritte verwiesen, welche den Abgleich im Auftrag deutscher Behörden durchführen würden. Ins Spiel kommen könnten dann solche Anbieter wie PimEyes oder Clearview AI.

Der Staat dürfe aber, so die Stellungnahme, selbst keine rechtswidrigen Angebote Dritter nutzen. „Ein Delegieren der Umsetzung ins Ausland stellt entsprechend keine europa- und grundrechtskonforme Lösung dar.“ Dazu komme, dass derart  schwerwiegende Grundrechtseingriffe nicht an private Unternehmen oder öffentliche Stellen in Drittstaaten ausgelagert werden dürften.

Markus Reuter recherchiert und schreibt zu Digitalpolitik, Desinformation, Zensur und Moderation sowie Überwachungstechnologien. Darüber hinaus beschäftigt er sich mit der Polizei, Grund- und Bürgerrechten sowie Protesten und sozialen Bewegungen. Für eine Recherchereihe zur Polizei auf Twitter erhielt er 2018 den Preis des Bayerischen Journalistenverbandes, für eine TikTok-Recherche 2020 den Journalismuspreis Informatik. Bei netzpolitik.org seit März 2016 als Redakteur dabei. Er ist erreichbar unter markus.reuter | ett | netzpolitik.org, sowie auf Mastodon und Bluesky. Kontakt: E-Mail (OpenPGP). Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Saarbrücken (ots) - Am heutigen Tag der Urteilsverkündung in diesem schweren und erschütternden Fall zum Nachteil unseres Kollegen Simon Bohr richtet sich unser Blick zunächst auf das, was bleibt: die tiefe Betroffenheit über den Verlust und ...

https://www.presseportal.de/blaulicht/pm/120462/6248030

#Anklage #Gesetz #Justiz #Kriminalität #Prozess #Rechtsstreit #Sicherheitskräfte #Stellungnahme #Urteil

#Stellungnahme des Netzwerks Tolerantes Sachsen zum dramatischen Rückbau des Bundesprogramms "Demokratie leben!":

https://www.tolerantes-sachsen.de/demokratie-leben-statt-demokratie-abbauen

Gefährliche Offensive

Gesetzentwurf zur Stärkung der Cybersicherheit

Bundespolizei und BKA sollen bei Angriffen auf IT-Systeme in manchen Fällen zurückhacken und infizierte Systeme ausschalten dürfen, wünscht sich das Innenministerium. Fachleute warnen vor Kollateralschäden und Eingriffen, die eigentlich eine Grundgesetzdebatte bräuchten.

Unbekannte haben IT-Systeme des Arbeiter-Samariter-Bunds im Saarland angegriffen und sich Zugriff auf Daten von Beschäftigten und Kund:innen verschafft. Der Ex-BND-Vizepräsident ist auf eine Phishing-Attacke über einen Messenger reingefallen. Böswillige Hacker:innen erpressen eine Einrichtung für Menschen mit Behinderungen in Essen. Das sind nur drei von unzähligen Meldungen über IT-Sicherheitsvorfälle der letzten Wochen. Das Problem scheint bodenlos und in Deutschland gibt es eine unübersichtliche Landschaft an Behörden, Organisationen und Gesetzen, die dabei helfen sollen, es in den Griff zu bekommen.

Nun soll ein weiteres Gesetz dazukommen, das „Gesetz zur Stärkung der Cybersicherheit“. Ende Februar veröffentlichte das Bundesinnenministerium dazu einen Referentenentwurf, der Vorschriften für Bundespolizei, Bundeskriminalamt (BKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ändern und ihnen mehr Befugnisse geben soll. Dabei markiert der Gesetzentwurf eine Abkehr vom Grundsatz, dass der beste Schutz vor Angriffen auf IT-Systeme in der Prävention und Stärkung von Resilienz liegt.

Von der Abwehr zum Angriff

„Gegen groß angelegte Cyberangriffe mit großem Schadenspotential“ böten präventive Maßnahmen in eigenen IT-Systeme keinen „hinreichenden Schutz“, heißt es in der Problembeschreibung. Daher müsse es „ergänzend Möglichkeiten zur Unterbindung solcher Cyberangriffe“ geben. Das heißt: Bundespolizei, BKA und BSI sollen künftig in IT-Systeme eingreifen dürfen, um sie etwa abzuschalten, Datenverkehr zu verändern oder sogar Daten zu löschen.

Das BKA würde dem Entwurf zufolge die Aufgabe bekommen, Gefahren für IT-Sicherheit „bei internationaler Zusammenarbeit oder außen- und sicherheitspolitischer Bedeutung“ abzuwehren. Liegt eine solche Gefahr vor, soll das BKA unter anderem Datenverkehr umleiten oder blockieren dürfen sowie Daten auf einem IT-System „erheben, löschen oder verändern“ können.

Es soll also „zurückhacken“, was unter dem Begriff „Hackback“ bekannt ist. Das gilt in bestimmten Fällen selbst für privat genutzte IT-Systeme, beispielsweise wenn es um Gefahren geht, die für „die Vertraulichkeit und Integrität informationstechnischer Systeme einer großen Anzahl von Personen“ relevant sind.

Die Eingriffsbefugnisse sind so formuliert, dass sie sich nicht nur gegen IT-Systeme richten, von denen Angriffe ausgehen, sondern auch gegen Opfersysteme. Das können gekaperte Router im Heimnetzsein, die von Angreifer:innen für kriminelle Zwecke missbraucht werden. Ähnliche Regeln sind analog für die Bundespolizei in deren Aufgabenbereich vorgesehen.

IT-Sicherheitsfachleute kritisieren diese Befugnis scharf. Sven Herpig, Leiter für Cybersicherheitspolitik und Resilienz beim Policy-Institut interface, schreibt gegenüber netzpolitik.org: „Auch wenn für Eingriffe in private Systeme zusätzliche gerichtliche Hürden vorgesehen sind, wird der Anwendungsbereich strukturell weit gezogen. Die Darstellung als bloße Detailkorrektur verkennt damit die qualitative Erweiterung staatlicher Eingriffsbefugnisse im digitalen Raum.“ Herpigs Auffassung nach müsste wegen der „Intensität der vorgesehenen Maßnahmen und ihrer potenziellen Reichweite“ die Frage gestellt werden, ob es dafür nicht eine „offene verfassungsrechtliche Grundsatzdebatte – einschließlich der Frage nach einer Grundgesetzänderung“ geben müsse.

Warnung vor Kollateralschäden

Die Arbeitsgruppe KRITIS, die sich insbesondere mit der Sicherheit Kritischer Infrastrukturen wie Energieversorgern oder Transportunternehmen befasst, warnt in einer Stellungnahme vor möglichen Folgeschäden. Auch Betreiber Kritischer Infrastrukturen und Behörden könnten ohne ihr Wissen von Angreifern instrumentalisiert werden und wären damit entsprechende Opfersysteme, in die Bundespolizei oder BKA eingreifen könnten.

„Dies würde ohne Wissen des Betreibers geschehen. Die Behörden hätten dabei sogar die Befugnis, Daten zu verändern oder zu löschen“, schreibt die AG KRITIS. „Ein nicht abgestimmter Eingriff in Konfigurationsdaten, Systemparameter oder Netzwerkverbindungen kann dort unmittelbare Betriebsstörungen auslösen und bis zum Versorgungsausfall für die Bevölkerung führen.“ Auf dieses Risiko gehe der Entwurf nicht ein. Neben Kollateralschäden gehört zur Kritik der offensiven Abwehr von Angriffen, dass Sicherheitslücken offengelassen werden könnten, um im Zweifel Angreifer darüber zu schlagen – was wiederum IT-Systeme für alle unsicherer macht. Ein klar geregeltes Schwachstellenmanagement, das zur konsequenten Schließung der Lücken verpflichtet, fehlt weiterhin.

Die AG KRITIS kritisiert zusätzlich, dass das BKA überhaupt eine Zuständigkeit für Cyberangriffe bekommt. Gemäß dem Grundgesetz ist Gefahrenabwehr prinzipiell Sache der Länder, das BKA ist hingegen etwa bei internationalem Terrorismus oder Verbrechen zuständig. Dass es nun auch bei Cyberangriffen von „außen- und sicherheitspolitischer Bedeutung“ tätig werden soll, sei „verfassungsrechtlich in mehrfacher Hinsicht fragwürdig“. Der Begriff sei unbestimmt und biete einen „unkontrollierbaren Beurteilungsspielraum“.

Wie bereits Herpig von interface regt die AG KRITIS an, dass der Weg einer Verfassungsänderung geboten sei, wenn es bei Angriffen auf IT-Systeme Bundesregelungen brauche. Eine Haltung, die von Staatsrechtlern geteilt wird.

Neben den Polizeien soll künftig auch das BSI neue Kompetenzen bekommen. Bislang durfte das Bundesamt etwa bei Vorfällen in der Bundesverwaltung helfen, um einen Schaden zu bewältigen und Systeme wiederherzustellen. Nun soll es bereits dann zu Hilfe gerufen werden können, wenn Anhaltspunkte für eine Beeinträchtigung vorliegen. Das heißt beispielsweise: wenn erkannt wird, dass ein Angriff vorbereitet werden könnte, indem Systeme ausgeforscht werden. Ebenso soll es Dienstleistern wie Domain-Registrierungsstellen anordnen können, Einträge umzuleiten.

Massiver Personalaufwuchs bei BKA und Bundespolizei

Neben den Befugniserweiterungen für die drei Behörden ist der Teil des Gesetzentwurfs bemerkenswert, der keine existierenden Gesetze ändert, sondern den personellen Aufwand für die Änderungen einschätzt. Allein im BKA sollen 264 Personen für die Umsetzung benötigt werden, in der Bundespolizei schätzt das Innenministerium, dass 90 und im BSI 21 neue Stellen bis zum Jahr 2030 anfallen.

Herpig sieht den massiven Stellenaufbau bei BKA und Bundespolizei „für hochinvasive, personalintensive und nur in Einzelfällen benötigte aktive Abwehrmaßnahmen“ kritisch. „Dies steht im Widerspruch zu politischen Versprechen von Bürokratieabbau und Ausgabendisziplin“, so der Experte für IT-Sicherheit. Er verweist dabei auf einen Bericht des Bundesrechnungshofs aus dem Sommer 2025. Der bemängelte, dass die IT des Bundes selbst „nicht auf die aktuellen Bedrohungen vorbereitet“ sei, es Mängel bei Detektion und Resilienz gäbe und sich die Cybersicherheitsarchitektur „durch einen Dschungel von Institutionen und Zuständigkeiten“ auszeichne.

Für Herpig ist das „ein klarer Hinweis darauf, dass die Priorität auf die Stärkung dauerhafter Schutz- und Früherkennungsstrukturen liegen sollte, statt auf den Ausbau einmalig einsetzbarer Einsatzapparate“.

Anna Biselli ist Co-Chefredakteurin bei netzpolitik.org. Sie interessiert sich vor allem für staatliche Überwachung und Dinge rund um digitalisierte Migrationskontrolle. Kontakt: E-Mail (OpenPGP), Mastodon, Telefon: +49-30-5771482-42 (Montag bis Freitag jeweils 8 bis 18 Uhr). Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

#Stellungnahme unserer Sprecher_innen zu den aktuellen Entwicklungen des Bundesprogramms #DemokratieLeben und den Partnerschaften für Demokratie (#PfD): "Lokale Demokratieprojekte akut bedroht"

https://www.tolerantes-sachsen.de/lokale-demokratieprojekte-akut-bedroht-stellungnahme-zu-den-aktuellen-entwicklungen-des-bundesprogramms-demokratie-leben-und-den-partnerschaften-fuer-demokratie

Morgen (Samstag, 21.02.) um 10:45 übergibt NOlympia #Hamburg deutlich über 10.000 Unterschriften an den Landeswahlleiter. Die Aufnahme unserer kritischen #Stellungnahme zur Hamburger #Olympiabewerbung in die Wahlunterlagen zum #Referendum im Mai dürfte damit sicher sein.

https://www.nolympia-hamburg.de/nolympia-erfolgreich-einladung-zur-uebergabe-der-unterschriften/

#nolympia #olympia #nolympicsanywhere ##nolympia_hamburg

@umweltFAIRaendern @nolympia