Quellen-Tabelle

Die Interoperabilitätspflicht aus Art. 6(7) verlangt von "Gatekeepern", Dritten Zugang zu denselben Betriebssystem-Hardware- und Software-Funktionen zu gewähren, die den eigenen Diensten des Gatekeepers zur Verfügung stehen — damit Dritte fair mit dem Gatekeeper konkurrieren können.

Das ist das Gesetz, das große Tech-Konzerne zwingt, ihre Systeme für andere Firmen zu öffnen — zum Beispiel Apps außerhalb des offiziellen App Stores zuzulassen. Ziel ist Wettbewerb, nicht in erster Linie Überwachung.

Die Europäische Kommission hat Apple am 5. September 2023 als Gatekeeper in Bezug auf iOS, App Store und Safari benannt, und am 29. April 2024 zusätzlich für iPadOS.

Formaler Fakt: Apple ist offiziell als eines der mächtigsten "Torwächter"-Unternehmen eingestuft — das ist die Voraussetzung dafür, dass die strengeren DMA-Pflichten überhaupt für Apple gelten.

Apple erklärt, der DMA verändere viele Teile der Nutzererfahrung in der EU — von App-Downloads und Zahlungen bis zur Zusammenarbeit zwischen Apple-Produkten — und listet "mehr Risiken beim App-Download und bei Zahlungen" als eine der Auswirkungen für EU-Nutzer.

Wichtig für Ausgewogenheit: Apple selbst warnt öffentlich, dass die erzwungene Öffnung (z. B. Sideloading) neue Sicherheitsrisiken für Nutzer schaffen könnte. Das ist die Gegenposition zur reinen "mehr Wettbewerb ist immer gut"-Sicht — beide Seiten gehören ins Dossier.

Die Kommission eröffnete zwei Spezifizierungsverfahren, um Apple bei der Einhaltung seiner Interoperabilitätspflichten nach dem DMA zu unterstützen. Zeigt den konkreten behördlichen Prozess, wie abstrakte Gesetzespflichten in technische Einzelvorgaben übersetzt werden.

Das zeigt, wie das Gesetz in der Praxis durchgesetzt wird: nicht durch pauschale Anordnung, sondern durch ein förmliches Verfahren mit Fristen, in dem auch Dritte (z. B. Hersteller von Smartwatches) mitreden können.

Der CRA ist seit dem 10. Dezember 2024 in Kraft; er ist eine EU-Verordnung und damit — anders als die NIS-2-Richtlinie — direkt in allen Mitgliedstaaten anwendbar, ohne dass es einer nationalen Umsetzung bedarf.

Das ist das neue EU-Gesetz für Cybersicherheit bei allen vernetzten Geräten und Software — von der smarten Heizung bis zum Betriebssystem. Es gilt automatisch in ganz Europa, ohne dass Deutschland es extra ins eigene Recht übersetzen muss.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Die einheitliche Meldeplattform der ENISA befindet sich noch im Aufbau; ENISA übernimmt die Weiterleitung der Meldungen an die national zuständigen CSIRTs und informiert das CSIRT-Netzwerk, um Doppelmeldungen zu vermeiden.

Konkret entsteht hier eine einzige, zentrale EU-Datenbank für gemeldete Sicherheitslücken bei Millionen vernetzter Geräte — das ist die Infrastruktur, die im Masterplan-Kapitel "Honeypot-Risiko" thematisiert werden sollte, sobald die Plattform live ist.

Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten können Bußgelder bis zur Höhe von 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden; als deutsche Umsetzung liegt seit dem 1. Mai 2026 ein Regierungsentwurf zum "Gesetz zur Durchführung der Verordnung (EU) 2024/2847" vor.

Auch wenn der CRA als EU-Verordnung direkt gilt, braucht es trotzdem noch ein deutsches Begleitgesetz (z. B. für Zuständigkeiten und Bußgeldhöhen) — das ist gerade erst im Entwurfsstadium.

Das Gericht der Europäischen Union hat mit Urteil vom 8. Juli 2026 drei Klagen von Apple im Zusammenhang mit dem DMA abgewiesen. Damit bleibt die Benennung von Apple als Torwächter für App Store und iOS bestehen; das Gericht bestätigte insbesondere, dass die fünf von Apple betriebenen App-Store-Versionen als ein einheitlicher zentraler Plattformdienst behandelt werden durften.

Ganz aktuelles, gerichtlich bestätigtes Ergebnis (nur wenige Wochen alt): Apple ist rechtskräftig (vorbehaltlich Berufung) als "Torwächter" eingestuft — der Versuch, sich dieser Einstufung durch getrennte Betrachtung der App-Stores zu entziehen, ist gescheitert. Wichtig: Die inhaltliche Angemessenheit der Interoperabilitätspflicht selbst wurde vom Gericht nicht geprüft, nur als unzulässig zurückgewiesen — die eigentliche Sachfrage bleibt also offen.

Eine Gruppe technischer Sachverständiger führte im Rahmen der DMA-Evaluierung eine gründliche technische Analyse der Interoperabilität durch — sowohl horizontal (Verbindung zwischen Nutzern verschiedener sozialer Netzwerke) als auch vertikal (Drittanbieter-Zusatzdienste). Die Kommission zieht insgesamt eine positive Bilanz und sieht mehr Auswahl für europäische Verbraucher.

Das ist der offizielle Zwischenbericht der Kommission nach zwei Jahren DMA — Primärquelle für die Selbsteinschätzung der Behörde. Wichtig: horizontale Interoperabilität zwischen verschiedenen sozialen Netzwerken wird technisch sogar als grundsätzlich möglich eingeschätzt — das wäre ein großer Schritt (z. B. Nachrichten zwischen verschiedenen Messenger-Apps austauschen können).

Eine Analyse der Free Software Foundation Europe zeigt, dass Apple systematisch 56 formelle Interoperabilitäts-Anfragen von Entwicklern blockiert hat — eine Strategie "böswilliger Compliance", die die Interoperabilitäts-Vorgaben des DMA faktisch neutralisiert, trotz der strengen Vorgaben der Kommission.

Gegenposition zum positiven Kommissions-Bericht: Eine Bürgerrechtsorganisation für freie Software dokumentiert konkret 56 Fälle, in denen Apple formale Anfragen zur Zusammenarbeit zwar formal beantwortet, aber praktisch ins Leere laufen lässt — "Dienst nach Vorschrift" statt echter Öffnung. Genau die Art von Beleg, die für Blackstones Function-Creep- bzw. "Gesetz vs. Praxis"-Argumentation wichtig ist.

Apple nennt als konkretes Beispiel den Zugriff auf die WLAN-Historie: Wenn Drittanbieter wie Meta Zugriff auf bestimmte iOS-Daten erhielten, ließen sich daraus Profile ableiten, die deutlich mehr verraten als die Verbindungsdaten selbst. Apple habe diese Bedenken der Kommission mehrfach vorgelegt, sie seien aber ignoriert worden.

Wichtig für echte Ausgewogenheit im Dossier: Apples Kritik ist nicht nur "wir wollen unser Geschäftsmodell schützen", sondern enthält ein konkretes, technisch nachvollziehbares Datenschutz-Argument — mehr Interoperabilität kann in bestimmten Fällen auch neue Datenschutz-Risiken schaffen (hier: Standort-/Bewegungsprofile über WLAN-Zugangsdaten). Das ist ein echter Zielkonflikt zwischen Wettbewerbsrecht und Datenschutz, kein reines Lobbying-Argument.

Drei Bundesländer nutzen aktuell die Palantir-Software Gotham: Hessen, Bayern und NRW. Baden-Württemberg hat mit dem im November 2025 beschlossenen Polizeigesetz die Grundlage für einen Einsatz geschaffen. Recherchen zeigten: Das bayerische System VeRa wurde zwischen September 2024 und Mai 2025 fast hundertmal eingesetzt, mehr als zwanzigmal für alltägliche Delikte wie Fahrraddiebstahl. Rund 39 Millionen Personendatensätze wurden dafür durchkämmt. In Hessen wird die Software bis zu 15.000 mal im Jahr genutzt.

Sehr konkrete Zahlen, die zeigen: Der Einsatz geht weit über schwere Kriminalität hinaus (auch Fahrraddiebstahl) und betrifft eine gewaltige Datenmenge (39 Millionen Personendatensätze allein in Bayern). Hessens 15.000 Einsätze pro Jahr zeigen, dass es sich um ein Alltagswerkzeug handelt, nicht um eine seltene Ausnahmemaßnahme.

Schleswig-Holstein erklärt offiziell: "Die Landespolizei Schleswig-Holstein arbeitet nicht mit der Software der Firma Palantir und plant auch nicht, diese einzusetzen." Die bayerische Polizei steht weiterhin in einem laufenden, rechtlich bindenden Vertragsverhältnis mit Palantir Technologies GmbH — kontroverse öffentliche Äußerungen des Unternehmens hätten darauf keinen Einfluss.

Wichtig für eine ausgewogene Bundesländer-Karte: Nicht alle deutschen Bundesländer setzen auf Palantir — es gibt explizite Absagen (Schleswig-Holstein) neben aktivem Einsatz (Bayern). Das zeigt eine föderale Uneinigkeit, die für einen Blackstone-Artikel interessant ist: Digitale Souveränität wird in Deutschland nicht einheitlich gehandhabt, sondern unterscheidet sich je nach Bundesland erheblich.

Bayern nutzt die Software seit 2024/2025 als "VeRA" (Verfahrensübergreifende Recherche- und Analyseplattform), NRW als "DAR" (Datenbankübergreifende Analyse und Recherche). Baden-Württemberg erlaubt die Nutzung ab dem zweiten Quartal 2026, mit Datenanalyse in gesicherten Rechenzentren in Deutschland. Niedersachsen, Bremen und Hamburg lehnen den Einsatz ab oder setzen auf Alternativen.

Wichtige technische Präzisierung: Die Software läuft unter verschiedenen Ländernamen (VeRA, DAR) — nicht "Palantir" im Markennamen, was Verwirrung stiften kann, wenn Bürger nach dem Begriff "Palantir" suchen, aber den Ländernamen der Software nicht kennen. Für Blackstone-Artikel wichtig, beide Namensebenen zu nennen.

Palantir wurde vom Trump-Vertrauten und Tech-Milliardär Peter Thiel mitgegründet, steht der US-Regierung nahe und unterliegt dem US Cloud Act — das bedeutet: Im Zweifel könnten amerikanische Behörden Zugriff auf deutsche Polizeidaten einfordern. Die Recherche zeigt: Es gab längst Initiativen für deutsche Alternativen, die nie beauftragt wurden — obwohl sie offenbar einsatzbereit gewesen wären und digitale Souveränität als politisches Ziel gilt.

Das ist der wichtigste Einzelfund dieses Batches für Blackstone: Der US Cloud Act bedeutet konkret, dass sensible deutsche Polizeidaten theoretisch von US-Behörden angefordert werden könnten — unabhängig davon, wo die Server physisch stehen. Und: Es gab bereits einsatzbereite deutsche Alternativen, die trotz erklärtem politischem Ziel "digitale Souveränität" nie beauftragt wurden — ein sehr konkretes Beispiel für die Kluft zwischen Sonntagsreden und tatsächlichem Handeln.

DPolG-Chef Teggatz: "Die deutschen Sicherheitsbehörden können jetzt nicht weitere Jahre verstreichen lassen, bis europäische Unternehmen die technologische Aufholjagd erfolgreich beenden können. […] Europa darf nicht länger im Blindflug unterwegs sein, sondern muss auf strenger vertraglicher Basis auf vorhandene Systeme zurückgreifen!" Bundesinnenminister Dobrindt lässt derzeit verschiedene Optionen prüfen, darunter auch Palantir, das bereits in vier Bundesländern im Einsatz ist.

Wichtige Gegenposition für Blackstones Ausgewogenheit: Die Polizeigewerkschaft selbst argumentiert für eine pragmatische Nutzung bestehender (auch US-)Software, statt auf eine "europäische Aufholjagd" zu warten — mit dem Argument, dass Kriminalitätsbekämpfung nicht auf digitale Souveränität warten könne. Das ist ein legitimer Zielkonflikt zwischen Sicherheit/Effizienz und digitaler Souveränität, den ein fairer Blackstone-Artikel nicht ausblenden sollte.

Böhm (One Data, Passau): "Ich glaube, deutsche Unternehmen haben mittlerweile alle Fähigkeiten, die es braucht, um unsere Sicherheit bestmöglich zu unterstützen. […] Der Staat muss selber als Kunde auftreten, die Software nutzen und auch beim Verbessern mithelfen, und auch die Anforderungen mit einspielen. Dann klappe auch das Ziel Unabhängigkeit."

Konkretes deutsches Unternehmen als Alternative, mit einem interessanten strukturellen Argument: Digitale Souveränität entsteht nicht von selbst, sondern nur, wenn der Staat als "Ankerkunde" europäische Lösungen aktiv nutzt und mitentwickelt — ein praktischer Lösungsvorschlag statt nur Kritik am Status quo.

Ein Grundrechtseingriff durch automatisierte Datenanalyse oder -auswertung durch Polizeibehörden ist grundsätzlich verfassungsrechtlich rechtfertigbar. Die Regelungen sind zur Steigerung der Wirksamkeit vorbeugender Straftatenbekämpfung geeignet und erforderlich, weil relevante Erkenntnisse auf andere, grundrechtsschonendere Weise nicht gleichermaßen zu gewinnen wären. Trotzdem wurden die konkreten Regelungen in Hessen und Hamburg für verfassungswidrig erklärt, da ihnen klare und eindeutige Voraussetzungen und Grenzen fehlten.

Sehr wichtige Nuance, die viele Sekundärquellen vereinfachen: Das Gericht hat NICHT den Einsatz von Palantir-artiger Software an sich verboten — im Gegenteil, es erkennt deren Nutzen für die Verbrechensbekämpfung ausdrücklich an. Verfassungswidrig waren die *konkreten gesetzlichen Regelungen*, die zu unklar gefasst waren, nicht das Werkzeug selbst. Diese Präzision ist für Blackstones Glaubwürdigkeit entscheidend — "BVerfG verbietet Palantir" wäre eine Übertreibung.

Die eingesetzte Software soll Verbindungen zwischen Menschen, Objekten und polizeilich festgehaltenen Sachverhalten finden und visualisieren — dazu werden u.a. Kontaktdaten sowie Bewegungs- und Reiseinformationen verwendet. In Hessen werden zudem massenhaft Daten aus Funkzellenabfragen genutzt, die mit anderen Daten verknüpft werden.

Konkrete technische Beschreibung, WAS genau analysiert wird: nicht nur einzelne Datenbanken, sondern eine Verknüpfung von Kontakt-, Bewegungs- und Funkzellendaten zu einem Gesamtbild einer Person. Das ist die technische Grundlage für die verfassungsrechtlichen Bedenken — eine Person wird durch die Datenverknüpfung "gläserner" als durch jede Einzeldatenbank für sich.

Der betreffende Paragraf im Hessischen Gesetz über die öffentliche Sicherheit und Ordnung (HSOG) musste bis spätestens Ende September 2023 neu geregelt werden. Bis dahin gestattete das BVerfG die Nutzung nur unter Auflagen — die Polizei durfte "hessenDATA" nur bei konkretem Verdacht auf besonders schwere Straftaten einsetzen.

Wichtiger Verfahrensstand: Das Gericht hat nicht sofort gestoppt, sondern eine Übergangsfrist mit verschärften Auflagen gesetzt — die Nutzung wurde in dieser Zeit auf schwere Straftaten beschränkt. Wichtig zu prüfen für ein künftiges Batch: Wie genau wurde die gesetzliche Neuregelung in Hessen und Hamburg umgesetzt, und entspricht die aktuelle Praxis (u.a. die in Batch 64 dokumentierten Bagatelldelikt-Einsätze in Bayern) noch dieser engen Auslegung?

GdP-Chef Kopelke: Es sei utopisch zu glauben, die zur Aufklärung schwerer Verbrechen relevanten Informationen könnten aus einem Wust von Daten "händisch" herausgefischt werden. Zusätzlicher Fakt: Bayern hat mit Palantir einen Rahmenvertrag geschlossen, damit andere Bundesländer dessen Programm ohne zusätzliche eigene Vergabeverfahren übernehmen können.

Zweite Polizeigewerkschaft (neben DPolG aus Batch 64) mit ähnlicher pro-Nutzung-Position — zeigt, dass diese Haltung nicht nur eine Einzelmeinung ist, sondern von mehreren Berufsverbänden geteilt wird. Wichtiger Zusatzfakt: Der bayerische Rahmenvertrag erklärt technisch, warum sich die Software so leicht auf weitere Bundesländer ausweiten kann — andere Länder müssen kein eigenes, oft jahrelanges Vergabeverfahren durchlaufen.

Die GFF erhob am 23. Juli 2025 Verfassungsbeschwerde gegen das Bayerische Polizeiaufgabengesetz (BayPAG), das der Polizei "Data Mining" mittels VeRA/Gotham erlaubt. Kritisiert wird, dass das Programm Verbindungen auch zu Personen herstellt, die in keinem Zusammenhang mit Straftaten stehen — das verletze u.a. das Recht auf informationelle Selbstbestimmung und das Fernmeldegeheimnis. GFF-Zitat: "Bayern ist nicht Gotham City. Die Polizei darf bei ihren Ermittlungen keine intransparenten Algorithmen ans Steuer lassen."

Das ist der zentrale, aktuell laufende Rechtsstreit für Dossier D3 — eine neue Verfassungsbeschwerde direkt gegen die bayerische Praxis, die (siehe Batch 64) auch bei Fahrraddiebstahl eingesetzt wird. Wichtig: Das ist eine NGO-Position bzw. eine anhängige Klage, noch keine gerichtliche Entscheidung — Status entsprechend als 🔶 (anhängiges Verfahren) kennzeichnen, nicht als bereits entschiedene Sache.

GFF-Verfahrenskoordinatorin Franziska Görlitz: "Schon wer Anzeige erstattet, Opfer einer Straftat wird oder einfach nur zur falschen Zeit am falschen Ort ist, kann durch die Software ins Visier der Polizei geraten." Das bayerische Landeskriminalamt widerspricht: Die Software werde nur bei Fällen von schwerer und schwerster Kriminalität eingesetzt, ausschließlich um mögliche Straftaten zu verhindern.

Sehr konkretes, einprägsames Beispiel für die Kritik: Selbst Opfer und Zeugen (nicht nur Verdächtige) können ins System geraten. Wichtig für Ausgewogenheit: Das bayerische LKA widerspricht direkt und behauptet einen auf schwere Kriminalität beschränkten Einsatz — das steht im direkten Widerspruch zu den in Batch 64 dokumentierten Recherchen (Einsatz auch bei Fahrraddiebstahl). Dieser Widerspruch zwischen offizieller Behördenaussage und Recherche-Befund ist selbst ein wichtiger Punkt für einen Blackstone-Artikel.

Die polizeilichen Befugnisse bei der Datenanalyse in NRW wurden nach dem Palantir-Urteil des Bundesverfassungsgerichts NICHT beschnitten, sondern beträchtlich ausgebaut — sie erlauben nun beispielsweise auch "KI"-Training und den Einsatz "selbstständig arbeitender oder selbstlernender Systeme". Die NRW-Landesdatenschutzbeauftragte kritisiert einen generellen Trend zu "ungezügelter Datennutzung" und dass Gesetze "teils im Eilverfahren verabschiedet" würden, sodass der Grundrechtsschutz "nicht mit der notwendigen Sorgfalt berücksichtigt" werde.

Das ist der wichtigste Einzelfund dieses Batches — ein Lehrbuchbeispiel für Function Creep in Reinform: Statt nach dem verfassungsgerichtlichen Rüffel die Befugnisse einzuschränken, hat NRW sie sogar noch ausgeweitet — inklusive KI-Training, was 2023 noch gar nicht Gegenstand des Urteils war. Diese Kritik kommt nicht von einer Aktivisten-Organisation, sondern von der offiziellen Landesdatenschutzbeauftragten selbst — ein amtliches, sehr gewichtiges Zeugnis für genau das Muster, das Blackstone in vielen anderen Dossiers (A1, B3) bereits dokumentiert hat.