Vom ersten Einsatz bis zur Rechtsgrundlage
Bei einem der ersten Einsätze von Vera nach dem Anschlag auf das israelische Generalkonsulat im September 2024 habe das System sehr schnell geholfen zu belegen, dass der Täter alleine unterwegs gewesen sei – ein wichtiger Hinweis, an der sich daran anknüpfende polizeiliche Maßnahmen unmittelbar ausgerichtet hätten.
Dass die Plattform so arbeitet, ist kein Zufall, sondern Ergebnis einer Entwicklung, die mit Anschlägen in den Jahren 2015 und 2016 begann. Damals führte Bayern Workshops mit Analysten durch: Welche Fragestellungen tauchen in der Praxis auf? Welche Datenquellen werden wirklich gebraucht?
2021 folgte ein Vergabeverfahren. Gesucht war ein markterprobtes System mit Referenzkunden. Am Ende blieb Palantir Technologies – vertreten durch die deutsche Niederlassung – als Anbieter übrig, wobei es laut NDR-Recherchen(öffnet im neuen Fenster) durchaus Initiativen für eine Recherche- und Analyseplattform ohne außereuropäischen Einfluss – als souveräne Alternative zu Palantir – gab und gibt.
Technik und Rollenverteilung
Die Plattform, die in Bayern unter dem Namen Vera läuft, nutzt Komponenten aus Palantirs Produktfamilie (Gotham/Titanium) sowie Foundry für die Datenaufbereitung darunter.
Im Alltag sieht das so aus: Ein Analyst – für Vera eigens geschult – bekommt eine autorisierte Anordnung, schaltet die Fallbearbeitung frei und beginnt mit der Recherche.
Rund 200 Analysten haben derzeit Vollzugriff auf die Oberfläche, hinzu kommt eine zweite, abgespeckte Rolle für weitere gut 200 Personen, die primär Personenabfragen vornehmen.
Kontrolle und Protokollierung
Sachbearbeitung und Analyse bleiben laut BLKA organisatorisch getrennt und jede Handlung in Vera wird protokolliert. Einmal im Monat findet ein Audit statt, das Abfragen und Berechtigungen überprüft. Auffällige Nutzungsmuster – etwa das private Schnüffeln vor einem Date – würden dadurch sichtbar, heißt es.
Rechtlich steht die Plattform auf einer eigenen Grundlage. Der bayerische Landtag hat, als Reaktion auf Vorgaben des Bundesverfassungsgerichts, im Sommer 2024 den einschlägigen Artikel 61a PAG(öffnet im neuen Fenster) geschaffen, der den Einsatz von Vera für die Abwehr von Gefahren für hochrangige Rechtsgüter regelt – ein Artikel, gegen den der Verein Gesellschaft für Freiheitsrechte (GFF) Verfassungsbeschwerde eingereicht hat .
Daten nur aus bestehenden Quellen
"Die Polizei handelt immer rechtsstaatlich, die polizeiliche Taktik wird durch das Gesetz vorgegeben" , sagt Brandl. In Bayern sei dafür eben eigens der genannte Artikel geschaffen worden: "Der Vera-Einsatz ist freigegeben zur Abwehr von Gefahren für hochrangige Rechtsgüter." Brandl betont, dass so kein Missbrauch stattfinden könne – was Kritiker anzweifeln. Bei Bagatelldelikten komme das System nicht zum Einsatz, sagt Brandl.
Ausdrücklich würden mit Vera auch keine neuen Daten erhoben. Die Plattform verknüpfe und sichte nur das, was sowieso rechtmäßig vorliege. Datenschutz folgt laut Brandl dem Prinzip "durch Technikgestaltung" : strenges Rechte- und Rollenkonzept, umfassende Protokollierung, definierte Löschfristen. Wobei Datenschützer (auch schon seinerzeit der Bundesdatenschutzbeauftragte(öffnet im neuen Fenster) ) immer wieder auf Zweckbindung und Kennzeichnungspflicht der Daten hinweisen – eine Voraussetzung für eine "rechtmäßige" Nutzung.
Betrieb im geschlossenen System
Technisch läuft Vera den Angaben nach vollständig im Rechenzentrum der Bayerischen Polizei, ohne Verbindung ins Internet. Der Systemverbund unterliegt einem Informationssicherheitsmanagement.
Das heißt: Softwareupdates erfolgen über eine mehrfach gesicherte Schleuse mit Datendiode zunächst in Test- und Schulungsumgebungen. Dann werden Aktualisierungen von Palantir-Mitarbeitern vor Ort eingerichtet, bevor sie den Produktivbetrieb erreichen.
Ein direkter Netzwerkzugriff von Auftragnehmern sei ausgeschlossen, der Quellcode wurde unter Sicherheitsauflagen geprüft, eingesehen werden könnten die Ergebnisse aber nicht.(öffnet im neuen Fenster) . Ergänzt werde dies durch eine No-Spy-Klausel im Vertrag. Die Daten blieben im Haus, das System bleibe zu.
Wer US-Technik in einer deutschen Polizeiplattform kritisch sieht, landet zwangsläufig bei der Frage nach Datensouveränität.