Entgrenzte Ermittlungsbefugnisse?

Wenn es nach der Bundesregierung geht, sollen Strafverfolgungsbehörden bald mit neuen Befugnissen ausgestattet werden, die ihnen den Einsatz bestimmter digitaler Ermittlungsmaßnahmen ermöglichen.

Begründet wird das Gesetzesvorhaben mit einer Steigerung der Effektivität der Strafverfolgung. Doch wie sieht es mit dem Datenschutz aus? Diese und weitere Fragen haben wir mit Dr. Johanna Hahn von der FAU Erlangen-Nürnberg geklärt.

NJW: Die Bundesregierung will erstmals den Einsatz bestimmter digitaler Ermittlungsinstrumente erlauben. Was ist da geplant?

Hahn: Künftig soll der automatisierte Abgleich mit biometrischen Daten aus dem Internet erlaubt werden, also etwa Gesichts- oder Stimmerkennung, um Informationen über Identität oder Aufenthaltsort von Verdächtigen zu gewinnen. Bisher nutzen Strafverfolgungsbehörden in Deutschland zur Identifizierung unbekannter Verdächtiger das beim BKA zentral angesiedelte Gesichtserkennungssystem GES, das allerdings nur einen Abgleich mit Bildern in INPOL-Z ermöglicht. Dort sind zwar auch bereits rund 7,6 Mio. Bilder recherchefähig gespeichert. Es können aber eben nur diese Personen identifiziert werden, also insbesondere solche, die in der Vergangenheit erkennungsdienstlich behandelt wurden, die in Gefahrenabwehrdatenbanken gespeichert sind sowie alle Asylsuchenden. Um andere Personen identifizieren zu können, müsste ein Abgleich mit anderen, mit mehr Daten durchgeführt werden. Das soll der neue § 98d StPO-E ermöglichen. Zur Ermittlung des Sachverhalts, zur Identitätsfeststellung oder zur Ermittlung des Aufenthaltsorts von Beschuldigten oder Zeugen soll ein Abgleich biometrischer Daten mit im Internet öffentlich zugänglichen biometrischen Daten erlaubt werden. Wie das genau ablaufen soll, ist allerdings noch recht unklar.

NJW: Auch die automatisierte Datenanalyse soll bald zulässig sein.

Hahn: Das stimmt, mit einem neuen § 98e StPO soll eine Rechtsgrundlage für eine solche (repressive) Datenanalyse geschaffen werden. Diese ermöglicht es, Informationen aus verschiedenen polizeilichen Datenbanken und Vorgängen automatisiert zu verknüpfen, Verbindungen zwischen Personen, Personengruppierungen, Orten, Straftaten usw. zu visualisieren und Muster zu erkennen. So können etwa Zusammenhänge zwischen mehreren nach demselben Muster begangenen Einbruchsserien deutlich werden. Solche verfahrensübergreifenden Recherche- und Analyseplattformen sind in einigen Bundesländern wie Hessen, Bayern und Nordrhein-Westfalen im Bereich der Gefahrenabwehr bereits seit Jahren im Einsatz – Stichwort: HessenData. Für repressive Zwecke besteht bislang noch keine Ermächtigung; das soll mit dem Gesetzentwurf jetzt geändert werden.

NJW: Unter welchen Voraussetzungen dürfen Strafverfolger das digitale Ermittlungsinstrumentarium nutzen?

Hahn: Der biometrische Abgleich mit Internetdaten soll nur bei Straftaten von auch im Einzelfall erheblicher Bedeutung zulässig sein. Dabei handelt es sich um Straftaten, so der BGH, die mindestens dem mittleren Kriminalitätsbereich zuzuordnen sind, die den Rechtsfrieden empfindlich stören und geeignet sind, das Gefühl der Rechtssicherheit der Bevölkerung erheblich zu beeinträchtigen. Zudem finden sich einige Verfahrensvorgaben, etwa Protokollierungs- und Löschvorschriften sowie die grundsätzliche Anordnung der Maßnahme durch die Staatsanwaltschaft. Die automatisierte Datenanalyse soll nur zulässig sein, wenn der Verdacht einer auch im Einzelfall schwerwiegenden Straftat besteht. Das entspricht den Voraussetzungen der Telekommunikationsüberwachung (§ 100a II StPO); jedoch sind diese Normen nach der Judikatur des BVerfG in „Trojaner II“ (NVwZ 2025, 1821) selbst reformdürftig.

NJW: Noch müssen biometrische Daten und Bilder aus dem Internet manuell abgeglichen werden. Wie wird es künftig laufen?

Hahn: Solche Suchen sollen fortan automatisiert ablaufen. Biometrische Erkennungssysteme wie etwa die automatisierte Gesichtserkennung gleichen nicht die Bilder direkt ab, sondern „Embeddings“/„Templates“, also mathematische Repräsentationen der Gesichtsmerkmale. Sowohl aus dem Suchbild, also zum Beispiel dem Bild eines Tatverdächtigen, als auch aus sämtlichen Bildern der Abgleichdatenbank müssen hierfür zunächst Embeddings erzeugt werden, die dann abgeglichen werden. Je nach Ausgestaltung des Systems werden entweder alle Datensätze, die einen bestimmten Ähnlichkeitsschwellenwert überschreiten, als Treffer ausgegeben oder – so wird das vermutlich bei § 98d StPO-E praktiziert werden – lediglich der Treffer mit der höchsten Übereinstimmung angezeigt.

NJW: Das wird kaum ohne KI gehen, oder?

Hahn: Für die automatisierte Datenanalyse erwähnt die Begründung des Gesetzentwurfs ausdrücklich, dass auch der KI-Einsatz möglich sein soll. Beim biometrischen Abgleich mit Internetdaten findet sich ein solcher Hinweis nicht. Es ist aber davon auszugehen, dass auch hier KI-Systeme zum Einsatz kommen werden, da heutzutage praktisch alle leistungsfähigen biometrischen Erkennungssysteme auf Methoden des maschinellen Lernens und damit der KI beruhen.

NJW: Anhand welcher Daten wird der biometrische Internetabgleich vorgenommen?

Hahn: Mit „im Internet öffentlich zugänglichen biometrischen Daten“, insbesondere Daten aus den „Sozialen Medien“, darunter auch solche, die nur nach vorheriger Registrierung, Genehmigung oder Entgeltzahlung genutzt werden können. Ein Abgleich mit öffentlich zugänglichen Echtzeitdaten wird ausgeschlossen; der Gesetzentwurf nennt hier als Beispiel Live-Videos von einem öffentlich zugänglichen Ort. Damit bleibt aber eine nachträgliche Auswertung – auch von Aufnahmen öffentlich zugänglicher Orte – gleichwohl möglich.

NJW: Welche Daten sollen bei der automatisierten Datenanalyse ausgewertet werden?

Hahn: Bei der automatisierten Datenanalyse geht es darum, Daten verschiedener zunächst nicht zusammenhängender Vorgänge zusammenzubringen. Es dürfen hier Vorgangsdaten, Falldaten, Daten aus den polizeilichen Informationssystemen und aus dem polizeilichen Informationsaustausch herangezogen werden. Dazu gehören übrigens auch Informationen über Unbeteiligte wie etwa Anzeigeerstatter, Hinweisgeber oder Zeugen. Daten aus besonders sensiblen Ermittlungsmaßnahmen wie Wohnraumüberwachungen und Onlinedurchsuchungen dürfen nicht einbezogen werden, Daten aus sensiblen Maßnahmen wie der TKÜ oder Funkzellenabfragen hingegen schon, wenn dies „erforderlich“ ist.

NJW: Wie werden der Grundrechts- und Datenschutz sichergestellt?

Hahn: Der Entwurf versucht dem vor allem dadurch Rechnung zu tragen, dass eine gewisse Eingriffsschwelle für die Maßnahmen und Verfahrensvorgaben wie etwa Protokollierungs- und Löschvorschriften festgelegt werden und bestimmte Daten von dem Abgleich bzw. der Auswertung ausgeschlossen werden.

NJW: Reicht das Ihrer Meinung nach aus?

Hahn: Ich sehe bei den vorgeschlagenen Maßnahmen eine ganze Reihe verschiedener Problemkreise, die der Gesetzentwurf nicht ausreichend adressiert, etwa die Gefahr der Ermittlungen gegen Unschuldige, die erhebliche Selektivität (wer ist in den Datenbanken gespeichert und kann damit überhaupt nur in den Fokus der Strafverfolgung rücken?), die Intransparenz der Systeme, die Missbrauchsgefahr, die unzureichend geregelte menschliche Kontrolle, die potenzielle Abhängigkeit von Anbietern aus dem Ausland. Auch müsste sichergestellt sein, dass die von den Maßnahmen Betroffenen – insbesondere die Personen, gegen die aufgrund der Maßnahme dann ermittelt wird – hiervon benachrichtigt werden. Bislang ist bei der automatisierten Datenanalyse keine Benachrichtigungspflicht vorgesehen.

NJW: Strafverteidigerinnen und -verteidiger kritisieren den fehlenden Richtervorbehalt. Zu Recht?

Hahn: Das BVerfG hält einen Richtervorbehalt bei heimlichen Ermittlungsmaßnahmen verfassungsrechtlich für erforderlich, wenn der Eingriff „schwerwiegend“ bzw. von „besonders hoher Eingriffsintensität“ ist. Das trifft auf beide geplanten Maßnahmen zu. Entscheidend für die Eingriffsintensität ist nämlich nicht, was die Behörden angeben, machen zu wollen, sondern was die Rechtsgrundlage potenziell alles ermöglicht.

Dieser Text stammt aus Heft 24/2026 der NJW. Sie möchten die NJW kostenlos testen? Jetzt vier Wochen gratis testen inkl. Online-Modul NJWDirekt.