Quellen-Tabelle

Die Interoperabilitätspflicht aus Art. 6(7) verlangt von "Gatekeepern", Dritten Zugang zu denselben Betriebssystem-Hardware- und Software-Funktionen zu gewähren, die den eigenen Diensten des Gatekeepers zur Verfügung stehen — damit Dritte fair mit dem Gatekeeper konkurrieren können.

Das ist das Gesetz, das große Tech-Konzerne zwingt, ihre Systeme für andere Firmen zu öffnen — zum Beispiel Apps außerhalb des offiziellen App Stores zuzulassen. Ziel ist Wettbewerb, nicht in erster Linie Überwachung.

Die Europäische Kommission hat Apple am 5. September 2023 als Gatekeeper in Bezug auf iOS, App Store und Safari benannt, und am 29. April 2024 zusätzlich für iPadOS.

Formaler Fakt: Apple ist offiziell als eines der mächtigsten "Torwächter"-Unternehmen eingestuft — das ist die Voraussetzung dafür, dass die strengeren DMA-Pflichten überhaupt für Apple gelten.

Apple erklärt, der DMA verändere viele Teile der Nutzererfahrung in der EU — von App-Downloads und Zahlungen bis zur Zusammenarbeit zwischen Apple-Produkten — und listet "mehr Risiken beim App-Download und bei Zahlungen" als eine der Auswirkungen für EU-Nutzer.

Wichtig für Ausgewogenheit: Apple selbst warnt öffentlich, dass die erzwungene Öffnung (z. B. Sideloading) neue Sicherheitsrisiken für Nutzer schaffen könnte. Das ist die Gegenposition zur reinen "mehr Wettbewerb ist immer gut"-Sicht — beide Seiten gehören ins Dossier.

Der CRA ist seit dem 10. Dezember 2024 in Kraft; er ist eine EU-Verordnung und damit — anders als die NIS-2-Richtlinie — direkt in allen Mitgliedstaaten anwendbar, ohne dass es einer nationalen Umsetzung bedarf.

Das ist das neue EU-Gesetz für Cybersicherheit bei allen vernetzten Geräten und Software — von der smarten Heizung bis zum Betriebssystem. Es gilt automatisch in ganz Europa, ohne dass Deutschland es extra ins eigene Recht übersetzen muss.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Das Gericht der Europäischen Union hat mit Urteil vom 8. Juli 2026 drei Klagen von Apple im Zusammenhang mit dem DMA abgewiesen. Damit bleibt die Benennung von Apple als Torwächter für App Store und iOS bestehen; das Gericht bestätigte insbesondere, dass die fünf von Apple betriebenen App-Store-Versionen als ein einheitlicher zentraler Plattformdienst behandelt werden durften.

Ganz aktuelles, gerichtlich bestätigtes Ergebnis (nur wenige Wochen alt): Apple ist rechtskräftig (vorbehaltlich Berufung) als "Torwächter" eingestuft — der Versuch, sich dieser Einstufung durch getrennte Betrachtung der App-Stores zu entziehen, ist gescheitert. Wichtig: Die inhaltliche Angemessenheit der Interoperabilitätspflicht selbst wurde vom Gericht nicht geprüft, nur als unzulässig zurückgewiesen — die eigentliche Sachfrage bleibt also offen.

Eine Gruppe technischer Sachverständiger führte im Rahmen der DMA-Evaluierung eine gründliche technische Analyse der Interoperabilität durch — sowohl horizontal (Verbindung zwischen Nutzern verschiedener sozialer Netzwerke) als auch vertikal (Drittanbieter-Zusatzdienste). Die Kommission zieht insgesamt eine positive Bilanz und sieht mehr Auswahl für europäische Verbraucher.

Das ist der offizielle Zwischenbericht der Kommission nach zwei Jahren DMA — Primärquelle für die Selbsteinschätzung der Behörde. Wichtig: horizontale Interoperabilität zwischen verschiedenen sozialen Netzwerken wird technisch sogar als grundsätzlich möglich eingeschätzt — das wäre ein großer Schritt (z. B. Nachrichten zwischen verschiedenen Messenger-Apps austauschen können).

Eine Analyse der Free Software Foundation Europe zeigt, dass Apple systematisch 56 formelle Interoperabilitäts-Anfragen von Entwicklern blockiert hat — eine Strategie "böswilliger Compliance", die die Interoperabilitäts-Vorgaben des DMA faktisch neutralisiert, trotz der strengen Vorgaben der Kommission.

Gegenposition zum positiven Kommissions-Bericht: Eine Bürgerrechtsorganisation für freie Software dokumentiert konkret 56 Fälle, in denen Apple formale Anfragen zur Zusammenarbeit zwar formal beantwortet, aber praktisch ins Leere laufen lässt — "Dienst nach Vorschrift" statt echter Öffnung. Genau die Art von Beleg, die für Blackstones Function-Creep- bzw. "Gesetz vs. Praxis"-Argumentation wichtig ist.

Apple nennt als konkretes Beispiel den Zugriff auf die WLAN-Historie: Wenn Drittanbieter wie Meta Zugriff auf bestimmte iOS-Daten erhielten, ließen sich daraus Profile ableiten, die deutlich mehr verraten als die Verbindungsdaten selbst. Apple habe diese Bedenken der Kommission mehrfach vorgelegt, sie seien aber ignoriert worden.

Wichtig für echte Ausgewogenheit im Dossier: Apples Kritik ist nicht nur "wir wollen unser Geschäftsmodell schützen", sondern enthält ein konkretes, technisch nachvollziehbares Datenschutz-Argument — mehr Interoperabilität kann in bestimmten Fällen auch neue Datenschutz-Risiken schaffen (hier: Standort-/Bewegungsprofile über WLAN-Zugangsdaten). Das ist ein echter Zielkonflikt zwischen Wettbewerbsrecht und Datenschutz, kein reines Lobbying-Argument.

Drei Bundesländer nutzen aktuell die Palantir-Software Gotham: Hessen, Bayern und NRW. Baden-Württemberg hat mit dem im November 2025 beschlossenen Polizeigesetz die Grundlage für einen Einsatz geschaffen. Recherchen zeigten: Das bayerische System VeRa wurde zwischen September 2024 und Mai 2025 fast hundertmal eingesetzt, mehr als zwanzigmal für alltägliche Delikte wie Fahrraddiebstahl. Rund 39 Millionen Personendatensätze wurden dafür durchkämmt. In Hessen wird die Software bis zu 15.000 mal im Jahr genutzt.

Sehr konkrete Zahlen, die zeigen: Der Einsatz geht weit über schwere Kriminalität hinaus (auch Fahrraddiebstahl) und betrifft eine gewaltige Datenmenge (39 Millionen Personendatensätze allein in Bayern). Hessens 15.000 Einsätze pro Jahr zeigen, dass es sich um ein Alltagswerkzeug handelt, nicht um eine seltene Ausnahmemaßnahme.

Schleswig-Holstein erklärt offiziell: "Die Landespolizei Schleswig-Holstein arbeitet nicht mit der Software der Firma Palantir und plant auch nicht, diese einzusetzen." Die bayerische Polizei steht weiterhin in einem laufenden, rechtlich bindenden Vertragsverhältnis mit Palantir Technologies GmbH — kontroverse öffentliche Äußerungen des Unternehmens hätten darauf keinen Einfluss.

Wichtig für eine ausgewogene Bundesländer-Karte: Nicht alle deutschen Bundesländer setzen auf Palantir — es gibt explizite Absagen (Schleswig-Holstein) neben aktivem Einsatz (Bayern). Das zeigt eine föderale Uneinigkeit, die für einen Blackstone-Artikel interessant ist: Digitale Souveränität wird in Deutschland nicht einheitlich gehandhabt, sondern unterscheidet sich je nach Bundesland erheblich.

Bayern nutzt die Software seit 2024/2025 als "VeRA" (Verfahrensübergreifende Recherche- und Analyseplattform), NRW als "DAR" (Datenbankübergreifende Analyse und Recherche). Baden-Württemberg erlaubt die Nutzung ab dem zweiten Quartal 2026, mit Datenanalyse in gesicherten Rechenzentren in Deutschland. Niedersachsen, Bremen und Hamburg lehnen den Einsatz ab oder setzen auf Alternativen.

Wichtige technische Präzisierung: Die Software läuft unter verschiedenen Ländernamen (VeRA, DAR) — nicht "Palantir" im Markennamen, was Verwirrung stiften kann, wenn Bürger nach dem Begriff "Palantir" suchen, aber den Ländernamen der Software nicht kennen. Für Blackstone-Artikel wichtig, beide Namensebenen zu nennen.

Palantir wurde vom Trump-Vertrauten und Tech-Milliardär Peter Thiel mitgegründet, steht der US-Regierung nahe und unterliegt dem US Cloud Act — das bedeutet: Im Zweifel könnten amerikanische Behörden Zugriff auf deutsche Polizeidaten einfordern. Die Recherche zeigt: Es gab längst Initiativen für deutsche Alternativen, die nie beauftragt wurden — obwohl sie offenbar einsatzbereit gewesen wären und digitale Souveränität als politisches Ziel gilt.

Das ist der wichtigste Einzelfund dieses Batches für Blackstone: Der US Cloud Act bedeutet konkret, dass sensible deutsche Polizeidaten theoretisch von US-Behörden angefordert werden könnten — unabhängig davon, wo die Server physisch stehen. Und: Es gab bereits einsatzbereite deutsche Alternativen, die trotz erklärtem politischem Ziel "digitale Souveränität" nie beauftragt wurden — ein sehr konkretes Beispiel für die Kluft zwischen Sonntagsreden und tatsächlichem Handeln.

DPolG-Chef Teggatz: "Die deutschen Sicherheitsbehörden können jetzt nicht weitere Jahre verstreichen lassen, bis europäische Unternehmen die technologische Aufholjagd erfolgreich beenden können. […] Europa darf nicht länger im Blindflug unterwegs sein, sondern muss auf strenger vertraglicher Basis auf vorhandene Systeme zurückgreifen!" Bundesinnenminister Dobrindt lässt derzeit verschiedene Optionen prüfen, darunter auch Palantir, das bereits in vier Bundesländern im Einsatz ist.

Wichtige Gegenposition für Blackstones Ausgewogenheit: Die Polizeigewerkschaft selbst argumentiert für eine pragmatische Nutzung bestehender (auch US-)Software, statt auf eine "europäische Aufholjagd" zu warten — mit dem Argument, dass Kriminalitätsbekämpfung nicht auf digitale Souveränität warten könne. Das ist ein legitimer Zielkonflikt zwischen Sicherheit/Effizienz und digitaler Souveränität, den ein fairer Blackstone-Artikel nicht ausblenden sollte.

Ein Grundrechtseingriff durch automatisierte Datenanalyse oder -auswertung durch Polizeibehörden ist grundsätzlich verfassungsrechtlich rechtfertigbar. Die Regelungen sind zur Steigerung der Wirksamkeit vorbeugender Straftatenbekämpfung geeignet und erforderlich, weil relevante Erkenntnisse auf andere, grundrechtsschonendere Weise nicht gleichermaßen zu gewinnen wären. Trotzdem wurden die konkreten Regelungen in Hessen und Hamburg für verfassungswidrig erklärt, da ihnen klare und eindeutige Voraussetzungen und Grenzen fehlten.

Sehr wichtige Nuance, die viele Sekundärquellen vereinfachen: Das Gericht hat NICHT den Einsatz von Palantir-artiger Software an sich verboten — im Gegenteil, es erkennt deren Nutzen für die Verbrechensbekämpfung ausdrücklich an. Verfassungswidrig waren die *konkreten gesetzlichen Regelungen*, die zu unklar gefasst waren, nicht das Werkzeug selbst. Diese Präzision ist für Blackstones Glaubwürdigkeit entscheidend — "BVerfG verbietet Palantir" wäre eine Übertreibung.

Die eingesetzte Software soll Verbindungen zwischen Menschen, Objekten und polizeilich festgehaltenen Sachverhalten finden und visualisieren — dazu werden u.a. Kontaktdaten sowie Bewegungs- und Reiseinformationen verwendet. In Hessen werden zudem massenhaft Daten aus Funkzellenabfragen genutzt, die mit anderen Daten verknüpft werden.

Konkrete technische Beschreibung, WAS genau analysiert wird: nicht nur einzelne Datenbanken, sondern eine Verknüpfung von Kontakt-, Bewegungs- und Funkzellendaten zu einem Gesamtbild einer Person. Das ist die technische Grundlage für die verfassungsrechtlichen Bedenken — eine Person wird durch die Datenverknüpfung "gläserner" als durch jede Einzeldatenbank für sich.

Die GFF erhob am 23. Juli 2025 Verfassungsbeschwerde gegen das Bayerische Polizeiaufgabengesetz (BayPAG), das der Polizei "Data Mining" mittels VeRA/Gotham erlaubt. Kritisiert wird, dass das Programm Verbindungen auch zu Personen herstellt, die in keinem Zusammenhang mit Straftaten stehen — das verletze u.a. das Recht auf informationelle Selbstbestimmung und das Fernmeldegeheimnis. GFF-Zitat: "Bayern ist nicht Gotham City. Die Polizei darf bei ihren Ermittlungen keine intransparenten Algorithmen ans Steuer lassen."

Das ist der zentrale, aktuell laufende Rechtsstreit für Dossier D3 — eine neue Verfassungsbeschwerde direkt gegen die bayerische Praxis, die (siehe Batch 64) auch bei Fahrraddiebstahl eingesetzt wird. Wichtig: Das ist eine NGO-Position bzw. eine anhängige Klage, noch keine gerichtliche Entscheidung — Status entsprechend als 🔶 (anhängiges Verfahren) kennzeichnen, nicht als bereits entschiedene Sache.

GFF-Verfahrenskoordinatorin Franziska Görlitz: "Schon wer Anzeige erstattet, Opfer einer Straftat wird oder einfach nur zur falschen Zeit am falschen Ort ist, kann durch die Software ins Visier der Polizei geraten." Das bayerische Landeskriminalamt widerspricht: Die Software werde nur bei Fällen von schwerer und schwerster Kriminalität eingesetzt, ausschließlich um mögliche Straftaten zu verhindern.

Sehr konkretes, einprägsames Beispiel für die Kritik: Selbst Opfer und Zeugen (nicht nur Verdächtige) können ins System geraten. Wichtig für Ausgewogenheit: Das bayerische LKA widerspricht direkt und behauptet einen auf schwere Kriminalität beschränkten Einsatz — das steht im direkten Widerspruch zu den in Batch 64 dokumentierten Recherchen (Einsatz auch bei Fahrraddiebstahl). Dieser Widerspruch zwischen offizieller Behördenaussage und Recherche-Befund ist selbst ein wichtiger Punkt für einen Blackstone-Artikel.

Die polizeilichen Befugnisse bei der Datenanalyse in NRW wurden nach dem Palantir-Urteil des Bundesverfassungsgerichts NICHT beschnitten, sondern beträchtlich ausgebaut — sie erlauben nun beispielsweise auch "KI"-Training und den Einsatz "selbstständig arbeitender oder selbstlernender Systeme". Die NRW-Landesdatenschutzbeauftragte kritisiert einen generellen Trend zu "ungezügelter Datennutzung" und dass Gesetze "teils im Eilverfahren verabschiedet" würden, sodass der Grundrechtsschutz "nicht mit der notwendigen Sorgfalt berücksichtigt" werde.

Das ist der wichtigste Einzelfund dieses Batches — ein Lehrbuchbeispiel für Function Creep in Reinform: Statt nach dem verfassungsgerichtlichen Rüffel die Befugnisse einzuschränken, hat NRW sie sogar noch ausgeweitet — inklusive KI-Training, was 2023 noch gar nicht Gegenstand des Urteils war. Diese Kritik kommt nicht von einer Aktivisten-Organisation, sondern von der offiziellen Landesdatenschutzbeauftragten selbst — ein amtliches, sehr gewichtiges Zeugnis für genau das Muster, das Blackstone in vielen anderen Dossiers (A1, B3) bereits dokumentiert hat.

Art. 61a BayPAG erlaubt die Verarbeitung auch sensibler Daten — etwa aus Telekommunikationsüberwachung, Online-Durchsuchungen oder verdeckten Ermittlungen — ohne hinreichende gesetzliche Begrenzung hinsichtlich Herkunft, Art oder Umfang der Daten.

Präzise juristische Einordnung, WELCHE Datenquellen konkret zusammengeführt werden dürfen: nicht nur normale Polizeidatenbanken, sondern auch besonders eingriffsintensive Quellen wie Online-Durchsuchungen und verdeckte Ermittlungen. Diese Kombination verschiedenster, teils höchst sensibler Datenquellen in einem einzigen System ist der Kern der verfassungsrechtlichen Bedenken.

Die Trefferquote der getesteten Gesichtserkennungssysteme betrug im Durchschnitt mehr als 80 Prozent — mit 300 freiwilligen Testpersonen über ein Jahr unter verschiedenen Jahreszeiten, Witterungs- und Lichtverhältnissen getestet. Grundvoraussetzung für eine praktische Einführung sei eine klarstellende Rechtsgrundlage im Bundespolizeigesetz gewesen, die zum damaligen Zeitpunkt noch fehlte.

Das ist der Ursprungspunkt der gesamten deutschen Entwicklung: ein Pilotversuch 2017/18 mit freiwilligen Teilnehmern, danach acht Jahre politischer Prozess bis zur ersten echten Anwendung 2025 (siehe unten). Wichtig: Schon damals wurde festgestellt, dass eine gesetzliche Grundlage fehlt — das zeigt eine sehr lange Vorlaufzeit zwischen Technologietest und tatsächlicher Anwendung.

Hessens Innenminister Roman Poseck (CDU) verkündete den ersten Einsatz automatisierter Echtzeit-Gesichtserkennung in Deutschland — nicht mehr als Test wie am Berliner Südkreuz, sondern im Dauerbetrieb. Betroffen sind Menschen im Frankfurter Bahnhofsviertel, darunter viele marginalisierte Gruppen. Die Technologie gilt laut Artikel als diskriminierend, weil sie bei Frauen oder People of Color mehr Fehler mache.

Wichtiger Meilenstein: Von "Test mit Freiwilligen" (2018) zu "Dauerbetrieb an einem realen Ort" (2025) — acht Jahre Entwicklung. Der Diskriminierungs-Einwand (höhere Fehlerquote bei Frauen/PoC) ist ein wissenschaftlich vielfach dokumentiertes Problem bei Gesichtserkennungssoftware allgemein, nicht spezifisch zu dieser Anwendung — für einen Blackstone-Artikel sollte diese Behauptung idealerweise noch mit einer spezifischen Studie zur verwendeten Software belegt werden (offener Rechercheposten).

Rund 50 Kameras werten seit 2025 im Bahnhofsviertel Bilder aus; aktiv zur Fahndung wurde die Software bislang nur in rund einem Dutzend Fällen eingesetzt, mit lediglich einem bestätigten Treffer (Identifizierung einer vermissten Jugendlichen). Zusätzlich nutzt die Polizei seit Ende 2025 eine mobile App, die Fotos direkt mit einer Datenbank von mehr als 5,3 Millionen gespeicherten Gesichtern abgleicht.

Sehr wichtiger Fund für Blackstones Wirksamkeits-Argumentation (Verweis F4): Bei nur rund einem Dutzend tatsächlicher Fahndungs-Einsätze gab es genau EINEN bestätigten Erfolg — bei gleichzeitig permanenter Erfassung aller Passanten durch 50 Kameras. Das ist ein sehr konkretes Zahlenverhältnis (Aufwand vs. Nutzen), das dem Muster aus F4 (MPI-Studie, BKA-Positionspapier) entspricht: massive Datenerfassung bei geringem, aber punktuell echtem Nutzen (die vermisste Jugendliche wurde tatsächlich gefunden — das sollte nicht kleingeredet werden).

Zahlreiche Bundesländer haben bereits Interesse an der Technologie angemeldet. Hessens Innenminister Poseck kündigte an, die Technik hessenweit an Kriminalitätsschwerpunkten einzuführen wollen. Bundesinnenminister Alexander Dobrindt möchte deutsche Bahnhöfe flächendeckend mit dieser Technologie und zusätzlich Verhaltensscannern ausrüsten. Ab Juli 2026 sollte eigentlich eine Evaluationsphase folgen — es zeichnet sich aber bereits ab, dass das System auf jeden Fall dauerhaft fortgeführt werden soll.

Wichtiger, sehr konkreter Function-Creep-Beleg: Noch bevor die eigentlich vorgesehene Evaluationsphase überhaupt richtig begonnen hat, wird bereits eine bundesweite Ausweitung angekündigt — sowohl auf Landes- als auch Bundesebene. Das Muster "erst testen, dann sofort ausweiten, bevor die Testergebnisse überhaupt vorliegen" taucht damit in einem weiteren Blackstone-Dossier auf (ähnlich wie bei A1, B3, D3).

Am 10. Juli 2026 hat der Bundestag eine Reform des Bundespolizeigesetzes beschlossen — Union und SPD stimmten dafür, Grüne und Linke dagegen, die AfD enthielt sich. Nach der Sommerpause muss sich noch der Bundesrat mit dem Gesetzentwurf befassen. Die Bundesregierung begründet die Reform mit neuen Sicherheitslagen; besonders umstritten ist die neue Möglichkeit zur biometrischen Echtzeit-Erkennung durch die Bundespolizei.

Das ist der wichtigste rechtliche Meilenstein für D4: Was bislang nur auf Landesebene (Hessen) lief, soll jetzt auch der Bundespolizei bundesweit an Bahnhöfen, Flughäfen und Grenzen erlaubt werden. Wichtige Statuskennzeichnung: Bundestag hat beschlossen (🔶), aber der Bundesrat muss noch zustimmen — das Gesetz ist damit noch nicht vollständig in Kraft. Interessantes Abstimmungsverhalten: AfD enthielt sich, statt zuzustimmen — Blackstone sollte hier auf reine Faktenwiedergabe achten, ohne diese Enthaltung zu interpretieren.