Recherchen eines schwedischen Journalisten belegen: Verdachtsmeldungen aus privaten europäischen Chats und E-Mails landen in den USA und werden mit Palantir-Software ausgewertet. Betroffen sind auch Instagram, Snapchat und Gmail. Brüssels Datenschutzpredigten werden zur Farce.
IMAGO/IPON
Eine am 13. Oktober veröffentlichte Recherche des schwedischen Journalisten Arvid Grange offenbart eine hochbrisante Verbindung zwischen der europäischen Chatkontrolle und dem amerikanischen Datenanalysekonzern Palantir. Private Nachrichten europäischer Bürger werden von großen Technologiekonzernen automatisiert auf mögliche Darstellungen sexuellen Kindesmissbrauchs untersucht. Verdächtige Inhalte landen anschließend bei einer amerikanischen Organisation, die sämtliche eingehenden Verdachtsmeldungen mit Palantir-Software auswertet. Bestätigt hat das ausgerechnet die Organisation selbst. Die Brüsseler Datenschutzwächter haben damit ein nicht zu unterschätzendes Problem.
Seit 2021 gestattet die Europäische Union Unternehmen wie Google, Microsoft, Meta und Snap, die private Kommunikation ihrer Nutzer freiwillig auf entsprechendes Material zu durchsuchen. Die Rechtsgrundlage ist eine Ausnahme von den europäischen Vorschriften zum Schutz des Fernmeldegeheimnisses. Was die EU als Beitrag zum Kinderschutz verkauft, ermöglicht eine anlasslose technische Kontrolle der Kommunikation unbescholtener Bürger in Masse. Amerikanische Unternehmen müssen erkannte Verdachtsfälle nach US-Recht an das National Center for Missing & Exploited Children (NCMEC) melden. Auf diese Weise gelangen auch Informationen europäischer Nutzer in die Vereinigten Staaten.
Dort kommt Palantir ins Spiel. Auf Nachfrage der schwedischen Zeitung Dagens ETC bestätigte NCMEC-Vizepräsident John Shehan ausdrücklich: „Wir nutzen Palantir Foundry für alle CyberTipline-Meldungen.“ Sämtliche Verdachtsmeldungen werden also mit Palantirs Datenanalysesoftware Foundry verarbeitet.
Das Programm durchforstet umfangreiche Datenbestände und stellt Verbindungen zwischen Informationen her. Nach Angaben von Shehan wurde die Software von Palantir gespendet und wird innerhalb der technischen Infrastruktur von NCMEC betrieben. Palantir selbst habe keinen Zugriff auf die Daten. Ein unmittelbarer Datenzugriff des Unternehmens ist damit bislang nicht belegt. Dass seine Technologie zur Auswertung der Meldungen aus europäischen Privatnachrichten eingesetzt wird, steht hingegen fest.
Ein gewaltiger Datenstrom in die USA
Die Dimensionen sind mehr als enorm. Allein 2025 erhielt NCMEC weltweit rund 21 Millionen Verdachtsmeldungen. LinkedIn, das als einziges der untersuchten Unternehmen konkrete Zahlen über entsprechende Kontrollen europäischer Nutzerdaten veröffentlichte, verarbeitete 2024 rund 22 Millionen Bilder und mehr als zwei Millionen Videos. Microsoft untersuchte im selben Jahr weltweit 9,6 Milliarden Bilder und Videos. Nach Zahlen der Europäischen Kommission betrafen knapp eine Million der 2024 bei NCMEC registrierten Verdachtsmeldungen die EU. Wie viele private Nachrichten europäischer Bürger insgesamt überprüft werden, lässt sich mangels vollständiger Angaben der Unternehmen kaum nachvollziehen. Brüssel lässt eine Überwachungsinfrastruktur zu, deren tatsächliche Reichweite für die Öffentlichkeit weitgehend im Dunkeln liegt.
Besonders heikel ist der Umfang der Daten, die amerikanische Anbieter an NCMEC übermitteln können. Nach US-Recht gehören dazu gegebenenfalls die betreffenden Bilder, IP-Adressen, Zeitangaben und weitere Informationen über beteiligte Nutzer. Auch umfangreichere Kommunikationsinhalte können Bestandteil einer Meldung sein. Damit können höchstpersönliche Daten in die Hände einer amerikanischen Einrichtung gelangen, obwohl sich ein maschinell erzeugter Verdacht später als unbegründet erweist. Was einmal übermittelt wurde, entzieht sich weitgehend der unmittelbaren Kontrolle des betroffenen Bürgers.
Die Kooperation zwischen Palantir und NCMEC ist seit Jahren bekannt. Palantir, an dessen Finanzierung einst die CIA beteiligt war, liefert seine Analysesoftware an Geheimdienste, Polizeibehörden und Regierungen. Auch die amerikanische Einwanderungsbehörde ICE nutzt Technologien des Konzerns. NCMEC würdigte Palantir bereits öffentlich für dessen Unterstützung. Foundry habe die eigenen Möglichkeiten zur Verwaltung und Auswertung großer Datenbestände revolutioniert. Diese Zusammenarbeit war dokumentiert und öffentlich nachlesbar. Dass darüber offenbar kaum jemand in Brüssel stolperte, obwohl dort seit Jahren erbittert über die Chatkontrolle verhandelt wird, spricht Bände über die politische Kontrolle des gesamten Verfahrens.
Der deutsche Europaabgeordnete Lukas Sieper, der gegen die Verlängerung der Chatkontrolle gestimmt hatte, wusste nach eigener Aussage nichts vom Einsatz der Palantir-Software. Als der recherchierende Journalist Grange ihn damit konfrontierte, bezeichnete er Palantir als „George Orwell’s worst nightmare“. Auch der belgische Kryptografieexperte Bart Preneel und der frühere Europaabgeordnete Patrick Breyer zeigten sich überrascht. Dabei findet sich die Zusammenarbeit sogar in einem Dokument des Europäischen Parlaments. Die Volksvertreter beraten über die Durchleuchtung privater Nachrichten und kennen offenbar wesentliche Bestandteile der anschließenden Datenverarbeitung nicht. Das Vertrauen der Bürger in diese politische Veranstaltung dürfte dadurch kaum wachsen.
Brüssels Lügenmärchen von der fehlerfreien Überwachung
Noch unangenehmer wird es bei der Frage, wie zuverlässig die eingesetzte Überwachungstechnologie überhaupt arbeitet. Die Europäische Kommission hatte für das Erkennungsverfahren PhotoDNA eine außerordentlich geringe Fehlerrate angeführt: höchstens ein falscher Treffer unter 50 Milliarden Überprüfungen. Eine Zahl, die jede Sorge über die Folgen der automatisierten Kontrolle beinahe lächerlich erscheinen lassen soll. Forscher der Katholischen Universität Löwen um Bart Preneel haben diese beruhigende Gewissheit inzwischen erheblich erschüttert.
Bei Versuchen mit einer Bilddatenbank, die Gesichter prominenter Personen enthielt, registrierten die Wissenschaftler unter bestimmten Testbedingungen falsche Übereinstimmungen in einer Größenordnung von einem Fall auf tausend bis hin zu einem auf zehn Bilder. Die Werte beschreiben die untersuchten Versuchsanordnungen und lassen sich nicht pauschal auf sämtliche Anwendungen übertragen. Sie widersprechen allerdings der Vorstellung eines praktisch unfehlbaren Verfahrens. Preneel bezeichnet die von der EU verbreitete Fehlerschätzung als Lüge. Besonders Bilder menschlicher Gesichter erwiesen sich in den Versuchen als anfällig für falsche Zuordnungen.
Für betroffene Nutzer kann ein solcher Fehler erhebliche Konsequenzen haben. Private Familienaufnahmen oder einvernehmlich ausgetauschte intime Bilder könnten bei entsprechender Fehlklassifizierung einen Verdachtsfall auslösen. Aus einem harmlosen Foto wird im automatisierten Meldesystem ein möglicher Hinweis auf schwerste Sexualkriminalität. Wie zuverlässig die anschließenden menschlichen Überprüfungen solche Fehlzuordnungen erkennen, ist für Außenstehende schwer zu beurteilen. Umso schwerer wiegt, dass sensible Inhalte unter Umständen bereits in eine internationale Verarbeitungskette geraten sind.
Hinzu kommt die Frage, wie lange die Daten in Amerika gespeichert bleiben. NCMEC nennt in seiner Datenschutzerklärung keine allgemeine feste Höchstfrist. Informationen werden so lange aufbewahrt, wie es zur Erfüllung ihrer Zwecke oder für berechtigte betriebliche Erfordernisse notwendig erscheint. Die europäische Datenschutzrechtlerin Laura Drechsler bezweifelt deshalb auch, dass die Übermittlung der Daten von EU-Bürgern rechtlich hinreichend abgesichert ist. NCMEC gehört nicht zu den nach dem EU-US-Datenschutzrahmen zertifizierten Einrichtungen. Andere rechtliche Übertragungswege sind möglich, müssen allerdings den europäischen Anforderungen an den Grundrechtsschutz genügen. Ob das im konkreten Fall ausreichend gewährleistet wird, ist keineswegs geklärt.
Brüssel schafft gerne die Voraussetzungen und verliert dann angeblich den Überblick
Dass die europäischen Behörden von amerikanischen Einrichtungen abhängig sind, räumt die EU-Kommission selbst ein. Verdachtsmeldungen über Kindesmissbrauch innerhalb Europas nehmen gegenwärtig häufig den Umweg über die Vereinigten Staaten, bevor sie bei den zuständigen Ermittlern in Europa ankommen. Die Kommission will deshalb eine eigene europäische Meldestelle schaffen. Die bisherige Konstruktion hat sie über Jahre zugelassen und rechtlich begünstigt. Wer europäische digitale Souveränität bei jeder passenden Gelegenheit zum politischen Leitbild erklärt, sollte wenigstens genau erklären können, warum sensible Daten europäischer Bürger zunächst amerikanische Datenbanken füllen müssen.
Erst im Juli 2026 beschlossen Europäisches Parlament und Rat unter Zuhilfenahme eines Tricks (die meisten Parlamentarier waren zur spät angesetzten Abstimmung bereits in den Sommerferien) eine neue Ausnahmeregelung, die die freiwillige automatisierte Kontrolle bis zum 3. April 2028 ermöglicht. Ende-zu-Ende-verschlüsselte Kommunikationsdienste sind davon ausgenommen. Die neue Verordnung enthält zusätzliche Transparenzpflichten und verlangt unter anderem die Offenlegung der Empfänger von Verdachtsmeldungen. Damit wird ein Teil jener Informationen nachträglich eingefordert, die bei der politischen Diskussion über die bisherige Praxis offenbar gefehlt haben. An der grundsätzlichen Zulässigkeit des bestehenden Systems ändert das wenig. Über einen dauerhaften Rechtsrahmen für die stark umstrittene Chatkontrolle wird in Brüssel weiterhin verhandelt.
Die Recherche von Arvid Grange legt einen besonders empfindlichen Widerspruch der Brüsseler Politik offen. Dieselbe Europäische Union, die Unternehmen mit immer neuen Datenschutzauflagen überzieht, gestattet eine weitreichende Kontrolle privater Kommunikation unbescholtener Bürger, eine regelrechte Massenüberwachung, und deren Einbindung in eine amerikanische Auswertungsinfrastruktur. Selbst politische Gegner dieser Maßnahmen waren über die Rolle Palantirs offenbar nicht im Bilde. Auch das sagt einiges über den Zustand der parlamentarischen Kontrolle aus.
Sie müssenangemeldet sein um einen Kommentar oder eine Antwort schreiben zu können
Bitte loggen Sie sich ein