Eingriffsschwelle in die informationelle Selbstbestimmung herabgesetzt
Mit einer weiteren schriftlichen Anfrage an die bayerische Staatsregierung vom 26. März 2026 deckte der Abgeordnete Adjei auf, dass das polizeiliche Analysesystem Vera in Bayern keineswegs nur – wie ursprünglich politisch begründet – bei schwersten Straftatbeständen wie der Terrorabwehr und Gefahren für Leib und Leben eingesetzt, sondern in erheblichem Maße auch zur Prävention und Verfolgung wesentlich weniger schwerer Straftaten genutzt wird.
So teilte das bayerische Staatsministerium des Innern, für Sport und Integration (StMI) am 21. April 2026 mit, dass die Vera-Plattform im Zeitraum vom 20. Mai 2025 bis 23. März 2026 58-mal eingesetzt wurde, wobei 38 dieser Einsätze auf Art. 61a Abs. 2 des bayerischen Polizeiaufgabengesetzes (PAG) fußten. Dieser Absatz fasst den Anwendungsbereich für die Vera-Plattform wesentlich weiter als Art. 61a Abs. 1 des PAG, der sich auf Fälle sehr schwerer Kriminalität beschränkt (PDF)(öffnet im neuen Fenster).
Damit wird auch die Eingriffsschwelle in die informationelle Selbstbestimmung herabgesetzt. Die Ausweitung der automatisierten Datenanalyse auf weniger schwere Straftaten und die "Alltagskriminalität" hat das Bundesverfassungsgericht jedoch in seinem Urteil vom 16. Februar 2023 ausdrücklich als teilweise verfassungswidrig bewertet.
Auch der Bayerische Landesbeauftragte für den Datenschutz (BayLfD), Thomas Petri, hat sich in einer schriftlichen Stellungnahme an den bayerischen Landtag im Rahmen des Gesetzgebungsverfahrens zur Änderung des Polizeiaufgabengesetzes sehr kritisch geäußert, da seiner Auffassung nach die automatisierte Zusammenführung von Daten aus verschiedensten Quellen im Vera-System ein extrem hohes, mit Rasterfahndungen vergleichbares Eingriffsgewicht in die individuellen Persönlichkeitsrechte entfalte und die vorgesehene Eingrenzung nicht ausreiche, um den Vorgaben des Bundesverfassungsgerichts gerecht zu werden (PDF)(öffnet im neuen Fenster). So lehnte er in seiner Stellungnahme explizit den Einbezug von Daten aus der polizeilichen Vorgangsverwaltung IGVP in die Vera-Analyse ab, da das Vorgangsverwaltungssystem einen enormen Umfang aufweise und größtenteils Daten von unbescholtenen Bürgern enthielte.
Die Argumente des Bayerischen Landesbeauftragten für den Datenschutz machte sich auch die Gesellschaft für Freiheitsrechte zu eigen, die gemeinsam mit dem Chaos Computer Club am 22. Juli 2025 Verfassungsbeschwerde wegen verschiedener Rechtsnormen im bayerischen Polizeiaufgabengesetz erhoben hat (PDF)(öffnet im neuen Fenster).
Mangelnde Kontrollmöglichkeiten
Um das Risiko von Datenabflüssen aufgrund von Hintertüren im Quellcode der US-Software und auch die Gefahr potenzieller Sicherheitsmängel zu minimieren, hat das Fraunhofer-Institut für Sichere Informationstechnologie in Darmstadt (FIH SIT) im Jahr 2023 – also bereits nach der Auftragserteilung an Palantir Technologies – ein vom Bayerischen Landeskriminalamt (BLKA) im Jahr zuvor beauftragtes Sicherheitsgutachten zu Palantir Gotham vorgelegt.
Nach verschiedenen Medienberichten wurden bei der Analyse und den Tests des Fraunhofer-Instituts weder Sicherheitsmängel noch Hintertüren gefunden. Das Gutachten wurde jedoch als Verschlusssache eingestuft und blieb damit geheim.
Zwar wurden für Installation, Konfiguration und auch die laufende Wartung des Palantir-Systems umfangreiche Sicherheitsmaßnahmen bei der bayerischen Polizei etabliert, aber die Gefahren, die durch die permanente Weiterentwicklung der Software entstehen, bleiben weitgehend unberücksichtigt. So werden neue Updates von Palantir-Mitarbeitern direkt in den Rechenzentren des BLKA eingespielt, da wegen des abgeschotteten Betriebs der Lösung auf lokalen Servern keine Internet-Zugänge bestehen(öffnet im neuen Fenster). Da jedoch mit jedem Update neuer Programmcode implementiert wird, der ungeprüft bleibt, ist offensichtlich ein potenzielles Sicherheitsrisiko gegeben.
Ob die IT-Experten des BLKA selbst bei Zuhilfenahme automatischer Code-Scanner überhaupt in der Lage wären, den Quellcode der Software zu überprüfen, ist ebenfalls zweifelhaft. Denn nach einhelliger Ansicht von IT-Experten umfasst moderne Enterprise-Software dieser Güte inklusive der Backend-Logik und den Frameworks zur Datenanalyse mehrere Dutzend Millionen Zeilen Programmcode.
Selbst eine größere Zahl an Vollzeit-Entwicklern müsste sich wochen-, wenn nicht sogar monatelang einarbeiten, um den Code verstehen zu können. Über solche personelle Ressourcen verfügt keine einzige deutsche Polizeibehörde. Somit ist die Frage zu stellen, ob unter diesen Umständen überhaupt noch demokratische Kontrollmechanismen greifen können, wenn die grundlegende Arbeitsweise der Software-Lösung nicht nachvollzogen werden kann.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.