Berlin – Anlässlich der heutigen Anhörung des Innenausschusses zu den geplanten digitalen Ermittlungsbefugnissen warnt eco – Verband der Internetwirtschaft e. V. vor erheblichen technischen, sicherheitsrelevanten und rechtsstaatlichen Risiken der Gesetzentwürfe. Obwohl die geplanten Regelungen tief in Dienste eingreifen, die von Unternehmen der Internetwirtschaft entwickelt, betrieben und abgesichert werden, ist deren Expertise unter den acht geladenen Sachverständigen nicht vertreten.
„Der Bundestag berät darüber, das offene Internet zu einem biometrischen Fahndungsraum zu machen, ohne die technischen Folgen ausreichend zu prüfen“, sagt Klaus Landefeld, Vorstand bei eco – Verband der Internetwirtschaft e. V. „Wer staatliche Zugriffe auf Daten aus dem Netz ermöglicht und Netzbetreiber in Ermittlungsmaßnahmen einbindet, muss gewährleisten, dass die eingesetzten Verfahren sicher, nachvollziehbar und verhältnismäßig sind. Andernfalls untergraben diese Maßnahmen die Vertrauenswürdigkeit digitaler Infrastrukturen und Dienste.“
Automatisierte Treffer müssen nachvollziehbar und überprüfbar sein
Die Entwürfe sehen automatisierte biometrische Abgleiche mit öffentlich zugänglichen Bildern und Videos, die Analyse umfangreicher polizeilicher Datenbestände und die Einbindung externer Anbieter vor. Ob solche Maßnahmen technisch zuverlässig, sicher kontrollierbar und wirksam begrenzbar sind, lässt sich nicht allein aus rechtlicher oder behördlicher Perspektive beurteilen. Fehlerhafte Zuordnungen, ungeklärte Datenherkünfte oder nicht nachvollziehbare Verarbeitungsschritte können Unbeteiligte belasten und die gerichtliche Überprüfbarkeit von Ermittlungsergebnissen erschweren.
Die Digitalwirtschaft verfügt über praktische Erfahrung mit Datenarchitekturen, IT-Sicherheit, Fehlerraten automatisierter Systeme, internationalen Datenflüssen und externen Dienstleistern. Diese Expertise wird benötigt, um zu klären, ob Löschpflichten tatsächlich durchsetzbar sind, wie sich Zweckentfremdung verhindern lässt und welche Kontrollverluste bei der Verarbeitung durch private Anbieter oder Stellen im Ausland drohen. Ebenso muss nachvollziehbar sein, auf welcher Datengrundlage automatisierte Treffer entstehen und wie deren Zuverlässigkeit überprüft werden kann.
Biometrische Daten schaffen dauerhafte Risiken
„Das Internet ist kein biometrisches Fahndungsarchiv und die Datenbestände der Bevölkerung sind kein frei verfügbares Trainingsmaterial für teilweise fragwürdige KI-Systeme“, so Landefeld. „Biometrische Daten lassen sich nach einem Missbrauch nicht zurücksetzen wie ein Passwort. Wer ihre Verarbeitung an Dritte verlagert oder technisch nicht hinreichend beherrschbare Systeme einsetzt, schafft dauerhafte Risiken – für die Sicherheit der Betroffenen ebenso wie für verlässliche rechtsstaatliche Verfahren.“
Gesetzesentwurf muss grundlegend überarbeitet werden
Auch mehrere Stellungnahmen zur Anhörung sehen erheblichen Nachbesserungsbedarf. Kritisiert werden unter anderem fehlende Grenzen für automatisierte Datenanalysen, die Einbeziehung Unbeteiligter und unzureichende gesetzliche Sicherungen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hält die Regelungen in ihrer aktuellen Form nicht für mit höherrangigem Recht vereinbar.
„Verantwortungsvolle Sicherheitspolitik muss belegen, dass ein Instrument erforderlich, wirksam, technisch beherrschbar und verfassungsfest ist“, sagt Landefeld. „Dieser Nachweis fehlt. Wenn neue Ermittlungsbefugnisse Sicherheitsrisiken schaffen, fehleranfällige Ergebnisse produzieren und deren gerichtliche Belastbarkeit ungeklärt bleibt, ist dem Rechtsstaat nicht geholfen. Der Bundestag sollte die Entwürfe grundlegend überarbeiten und die technische Expertise der Digitalwirtschaft im weiteren Verfahren angemessen einbeziehen.“
eco lehnt den vorgesehenen automatisierten biometrischen Abgleich mit öffentlich zugänglichen Internetdaten ab. Neue Ermittlungsinstrumente müssen auf eindeutige Einzelfälle bezogen, unabhängig kontrolliert und mit klaren Vorgaben für Datenquellen, betroffene Personen, eingesetzte Systeme und externe Dienstleister versehen werden. Zudem müssen Herkunft, Verarbeitung und Aussagekraft automatisiert gewonnener Ergebnisse nachvollziehbar und überprüfbar sein.