Der Daten-Trojaner kommt aus dem App-Store
Wir alle kennen es: Man nutzt eine vermeintlich kostenlose App, und im Gegenzug bekommt man personalisierte Werbung angezeigt. Was als Geschäftsmodell der Werbeindustrie getarnt ist, hat sich längst zum größten Überwachungsapparat der Geschichte entwickelt. Jetzt ist offiziell: Deutsche Polizeibehörden nutzen genau dieses System für heimliche Ermittlungen. Wie Netzpolitik.org durch eine IFG-Recherche gemeinsam mit dem Bayerischen Rundfunk aufgedeckt hat, haben mindestens die Landeskriminalämter (LKA) in Brandenburg und Mecklenburg-Vorpommern Standort- und Nutzerdaten aus dem Ökosystem der Online-Werbung gekauft.
Dabei handelt es sich nicht um grobe Funkzellen-Ortungen, sondern um metergenaue Positionsdaten von Smartphones. Diese werden durch Tracking-SDKs (Software Development Kits) aus beliebten Apps gesaugt, ohne dass die Nutzer:innen es ahnen. Windige Data Broker verhökern diese Informationen dann an jeden, der zahlt – und das offenbar auch an deutsche Ermittler:innen.
ADINT: Wenn Werbung zur Aufklärung wird
In der Szene nennt man das ADINT – Advertising-based Intelligence. Das Prinzip ist simpel, aber erschreckend effektiv. Die digitale Werbeindustrie hat eine Infrastruktur aufgebaut, die selbst Geheimdienste sich nicht besser hätten wünschen können. Jeder Klick, jeder Standort, jede App-Nutzung wird in Echtzeit erfasst und als Datensatz gebündelt. War es früher aufwendig, Zielpersonen physisch zu beschatten, reicht heute der Zugriff auf einen Data Broker, um Bewegungsprofile in Echtzeit abzurufen.
Dass dies keine rein theoretische Gefahr ist, zeigen internationale Beispiele. Die US-Abschiebemiliz ICE nutzt solche Daten, ungarische Behörden unter Orbán setzten sie ein. Es gibt sogar Hinweise, dass Standortdaten von US-Soldat:innen über Werbenetzwerke an feindliche Akteure gelangten. Die kommerzielle Datenkrake kennt keine Loyalität – sie verkauft an den Höchstbietenden.
Der rechtliche Blindflug
Besonders brisant ist die Lage in Deutschland. Nach Ansicht von Jurist:innen fehlt den Polizeibehörden schlichtweg die rechtliche Grundlage für ADINT. Wollte die Polizei jemanden über eine Funkzellenabfrage orten, bräuchte sie dafür eine richterliche Anordnung. Dieser juristische Schutzschild, der Grundrechte sichern und Überwachungsexzesse verhindern soll, wird durch den Kauf von Werbedaten schlichtweg umgangen. Die Behörden kaufen sich quasi einen Freifahrtschein auf dem Daten-Schwarzmarkt.
Zudem verstößt mit hoher Wahrscheinlichkeit jedes Glied dieser Datenlieferkette – von der heimlichen Erhebung in der App über den Handel bis hin zur polizeilichen Nutzung – gegen die Datenschutzgrundverordnung (DSGVO). Anstatt uns vor Tracking-Firmen zu schützen, macht der Staat mit ihnen Geschäfte. Dass die LKAs auf Nachfragen mauern und neun von ihnen die Auskunft komplett verweigern, spricht Bände. Selbst die Bundesregierung hielt Informationen gegenüber dem Parlament zurück. Während in den USA solche Behörden-Geschäftsbeziehungen zumindest offengelegt werden, herrscht in Deutschland Omertà.
Verschmelzung der Überwachungssphären
Der Einsatz von ADINT ist kein Einzelfall, sondern das Symptom einer tiefgreifenden Entwicklung: Überwachungskapitalismus und Überwachungsstaat wachsen zusammen. Die Grenze zwischen kommerzieller Datensammelei und staatlicher Kontrolle löst sich auf. Bereits die Snowden-Leaks zeigten, wie US-Geheimdienste massiv auf Daten von Google oder Yahoo zugriffen. Heute greifen Behörden auf private Überwachungskameras zu, nutzen KI-Gesichtserkennung auf Social-Media-Fotos und generieren mit Hilfe von Firmen wie Palantir Verdächtige aus riesigen Datenmengen.
Die Werbeindustrie hat den Trog gefüllt, und die staatlichen Akteure kommen als Schweine dazu, um sich gütlich zu tun. Das ist nicht nur ein Bildungsroman-Versatz, sondern eine reale Bedrohung für den Rechtsstaat. Wenn Journalist:innen, queere Menschen oder politische Oppositionelle durch kommerzielle Daten sichtbar und thus verwundbar gemacht werden, ist die Demokratie in Gefahr.
Konsequenzen für die Tech-Welt und die Politik
Was bedeutet das für Entwickler:innen, Tech-Unternehmen und die Zivilgesellschaft? Datensparsamkeit darf kein leeres Versprechen sein, das nur bei Presseanfragen an Behörden eingefordert wird, während dieselben Behörden aus dem Vollen der illegalen Datenmärkte schöpfen. Wir brauchen dringend:
- Ein gesetzliches Verbot für Behörden, illegal erhobene Werbedaten zu nutzen. Ein Rechtsstaat darf sich nicht über den Umweg von Datenhändlern eigene Gesetze umschiffen.
- Absolute Transparenz: Welche LKAs kaufen noch Daten? Welche Budgets fließen hierfür?
- Technische Regulierung: Das Einbauen von Tracking-SDKs in Apps muss strenger reguliert und für Nutzer:innen kontrollierbar werden. Die Illusion des „kostenlosen“ Internets darf nicht mit dem Verlust grundrechtlicher Schutzräume bezahlt werden.
Die Erkenntnis, dass deutsche LKAs auf einem Daten-Schwarzmarkt mitmischen, ist ein Weckruf. Der Staat muss uns vor Data Brokern schützen – nicht deren Kunden sein.
Quelle: Netzpolitik.org