St. Nikolai ist die Universitätskirche der Stadt Göttingen. Der schlichte gotische Sakralbau prangt auf dem Campus der Georg-August-Universität, umringt von Hainbuchen, deren Blätter sich im Herbst goldgelb und rot färben. Wir sehen das Bewegungsprofil einer Person, die hier im Oktober und November 2023 ein- und ausgeht. Immer wieder ist sie in der Kirche anzutreffen, gelegentlich auch in der ältesten katholischen Kirche von Göttingen, St. Michael, und im dazugehörigen Pfarrbüro.
Abends führt die Datenspur zu einem Wohnhaus im nordöstlichen Stadtteil Nikolausberg. Ein Eintrag im Telefonbuch verrät genau, wer an dieser Adresse wohnt. Als gläubiger Mensch könnte die hier lebende Person an den Gedanken gewöhnt sein, dass Gott alles sieht. Ob sie eine Ahnung hat, dass auch wir ihre Schritte verfolgen können?
Mit Handy-Standortdaten von Databrokern lassen sich Angehörige von Glaubensgemeinschaften auf Schritt und Tritt verfolgen. Die offen im Netz gehandelten Daten wurden angeblich nur zu Werbezwecken erhoben. Aber sie zeigen die Bewegungsprofile von Gläubigen teils auf wenige Meter genau.
Mehr als eine Million Standortdaten von Glaubensorten
Betroffen sind etwa Besucher*innen von Kirchen, von Orten jüdischen Lebens wie Synagogen, Gemeindezentren und Schulen sowie Orten muslimischen Lebens wie Moscheen. Die Daten zeigen auch, wer regelmäßig in den Gebäuden religiöser Spitzenverbände ein- und ausgeht, etwa der Deutschen Bischofskonferenz, dem Sitz der Evangelischen Kirche Deutschland oder dem Zentralrat der Juden.
Das zeigen Recherchen von netzpolitik.org in Datensätzen, die uns Databroker als Vorschau für Abonnements geschickt haben. Allein in diesen kostenlosen Daten finden sich bereits mehr als eine Million Handy-Standortdaten von Orten christlichen, muslimischen und jüdischen Glaubens in Deutschland.
Expert:innen warnen angesichts der leichten Verfügbarkeit solcher sensiblen Daten vor Risiken für Diskriminierung und religiös motivierte Gewalt. Das Bundesamt für Verfassungsschutz etwa sieht für bereits gefährdete Personen ein erhöhtes Risiko, Ziel von Spionage, Bedrohungen oder physischen Angriffen zu werden. Vertreter:innen religiöser Organisationen fordern besseren Schutz und ein Ende des Datenhandels.
Handy-Ortungen in Synagogen und jüdischen Schulen
Sowohl rechter als auch islamistischer Extremismus nutzen antisemitische Feindbilder. Um Übergriffe und Anschläge zu verhindern, gibt es für viele Orte jüdischen Lebens in Deutschland besondere Sicherheitsvorkehrungen. Durch Handy-Standortdaten der Werbe-Industrie können jedoch Menschen ins Visier geraten, die solche Orte regelmäßig aufsuchen, wie unsere Recherche zeigt.
Ein solcher Ort ist zum Beispiel die Synagoge der jüdischen Gemeinde Halle. Am 9. Oktober 2019 hat ein rechtsextremer Terrorist vergeblich versucht, dort einzudringen, um die Anwesenden zu töten. Bevor die Polizei ihn fasste, verletzte er weitere Personen auf der Straße und in einem Imbiss und ermordete zwei Menschen; die Taten waren rassistisch motiviert.
Die Handy-Ortungen aus den uns vorliegenden Datensätzen zeigen etwa das Bewegungsprofil einer Person, die die Synagoge in Halle mehrfach besucht hat, datiert auf das Jahr 2023. Die Spur der Ortungen führt unter anderem zu einer Privatadresse und einem Supermarkt für osteuropäische Lebensmittel in Halle. Gewalttäter*innen könnten mithilfe solcher Daten Angriffe planen und Ziele auskundschaften.
Ein weiteres Bewegungsprofil aus den Datensätzen gehört zu einer Person, die mehrfach die Neue Synagoge in Berlin besucht hat. Das Gebäude steht unter Polizeischutz. Die getrackte Person war den Daten zufolge auch auf dem Gelände eines Aus- und Fortbildungszentrums der Polizei unterwegs. Weitere Ortungen zeigen sie bei einem Spielplatz und einer Kita.
In München führt das Bewegungsprofil einer getrackten Person vom Zentrum der israelitischen Kultusgemeinde zu einer Privatadresse. Auch ein Ausflug an den Bodensee lässt sich aus den Daten ablesen. Angreifer könnten diese Informationen nutzen, Menschen jüdischen Glaubens aufzuspüren.
Allein aus den kostenlosen Vorschau-Datensätzen, die uns vorliegen, lässt sich ein dichtes Netz an Handy-Ortungen über ganz Deutschland spannen. Es umfasst praktisch jeden belebten Winkel des Landes. Beispielhaft haben wir drei jüdische Schulen auf Handy-Ortungen geprüft – und wurden ebenfalls fündig. Das heißt, auch Lehrer*innen, Eltern und Kinder jüdischer Schulen lassen sich anhand kommerzieller Handy-Standortdaten verfolgen.
Wie vermeintlich harmlose Daten zur Gefahr werden
Seit 2024 recherchiert netzpolitik.org gemeinsam mit dem Bayerischen Rundfunk und internationalen Partnern in der Reihe Databroker Files zum unkontrollierten Datenhandel der Werbe-Industrie. Die preisgekrönte Recherche konnte unter anderem zeigen, wie leicht sich anhand der Daten sogar hochrangige EU-Beamt:innen und deutsche Regierungsmitarbeitende ausspionieren lassen. Auch das Verhalten von Menschen, die bei Geheimdiensten oder auf Militärstützpunkten tätig sind, ließ sich ablesen. Expert:innen und Politiker:innen warnen angesichts hybrider Bedrohungen vor einer Gefahr für die nationale Sicherheit.
Gefährdet sind jedoch alle Menschen, die werbefinanzierte Apps auf ihren Smartphones haben. Nicht nur teils metergenaue Standortdaten, sondern auch Informationen über Vorlieben und Interessen der Menschen fließen durch ein riesiges undurchsichtiges Netzwerk von Firmen. Die Apps bitten in der Regel um eine Einwilligung, solche Daten für Werbezwecke zu nutzen. Einmal erfasst, können Unternehmen die sensiblen Daten jedoch auch für andere Zwecke verwenden. Manche von ihnen verkaufen sie als Handelsware.
Die mit Zeitstempeln versehenen Standortdaten erlauben Rückschlüsse auf das Privatleben der getrackten Menschen. Häufungen von Handy-Ortungen offenbaren private Wohnadressen und Arbeitsplätze, Fahrten zur Kita, ins Krankenhaus, in den Urlaub – oder eben auch Besuche einer Glaubensstätte.
In der EU sind personenbezogene Daten, aus denen religiöse Überzeugungen hervorgehen, besonders geschützt, zumindest auf dem Papier. Artikel 9 der Datenschutz-Grundverordnung (DSGVO) verbietet ihre Nutzung grundsätzlich. Ausnahmen sind jedoch möglich, wenn eine ausdrückliche Einwilligung erfolgt. In der Praxis greift dieser Schutz jedoch nicht, wie unsere Recherche zeigt.
Uns liegen inzwischen mehr als fünf Milliarden Handy-Standortdaten allein aus Deutschland vor, für die wir keinen Cent gezahlt haben. Diese Datensätze sind zwar inzwischen mehrere Jahre alt; das Geschäft der Databroker geht jedoch weiter. Im Gegensatz zu unseren vorigen Recherchen haben wir für diesen Artikel davon abgesehen, die in den Daten auftauchenden Personen direkt zu kontaktieren.
Handy-Ortungen in Moscheen, die bereits Ziel von Anschlägen waren
Auch Muslime werden in Deutschland aufgrund ihres Glaubens regelmäßig zum Ziel von Gewalt und Übergriffen. Islamfeindlichkeit und antimuslimischer Rassismus sind in der Gesellschaft weit verbreitet. Nach Zahlen des Mediendiensts Integration kam es im vergangenen Jahr durchschnittlich alle fünfeinhalb Tage zu einem Angriff auf eine Moschee.
Bereits mehrfach ist Berlins größte Moschee, die Şehitlik-Moschee in Neukölln, Ziel von Brandanschlägen geworden. Die uns vorliegenden Daten zeigen unter anderem das Bewegungsprofil eines Menschen, der die Moschee mehrfach besucht hat. Die Ortungen führen unter anderem in ein türkisches Frühstückslokal, in einen Möbelladen und in eine Hochschule. Angreifer könnten mit diesen Informationen das Lebensmuster der Person auskundschaften und für die Planung einer Gewalttat nutzen.
Ziel eines Anschlags war auch die DITIB-Moschee in Dresden. Der später wegen versuchten Mordes verurteilte Täter hatte im Jahr 2016 selbstgebaute Rohrbomben vor dem Gebäude gezündet. Der Imam und seine Familie blieben unverletzt. Auch von diesem Ort liegen uns Handy-Standortdaten vor. Sie führen zum Beispiel von der Moschee zu einem Studentenheim.
Nicht zuletzt lassen sich mit kommerziellen Handy-Standortdaten auch Besucher*innen der DITIB-Zentralmoschee in Köln ausspionieren. Rechtsextreme hatten im Jahr 2007 vergeblich versucht, den Bau mit einem Bürgerbegehren zu verhindern. Die Handy-Ortungen geben Einblick in das Leben eines Menschen, der die Moschee immer wieder besucht hat. Sie führen zu Privatadressen in Köln, zu Supermärkten und einer Tankstelle; auch ein Trip nach Aachen lässt sich ablesen.
Die uns vorliegenden Standortdaten zeigen Bewegungsmuster von unzähligen weiteren Personen, die Orte muslimischen Lebens in Deutschland besucht haben. Sie alle könnten durch angeblich nur zu Werbezwecken gesammelte und von Databrokern verschleuderte Daten zur Zielscheibe werden.
Datenhandel „verschärft Bedrohung erheblich“
Das Bundesamt für Verfassungsschutz beschäftigt sich unter anderem mit rechtsextremer, antisemitischer und islamfeindlicher Gewalt in Deutschland. „Im Internet angebotene Standortdaten stellen eine Gefahr für die Privatsphäre von Personen dar und können potenziell Auswirkungen auf deren Sicherheit haben“, teilt der Inlandsgeheimdienst mit Blick auf unsere Recherchen mit. „Bei bereits gefährdeten Personen erhöht dies das Risiko, zum Ziel von Spionage, Bedrohung oder auch physischen Angriffen zu werden.“ Eine systematische Nutzung von Standortdaten gegen Menschen jüdischen, muslimischen und christlichen Glaubens könne die Behörde bislang jedoch nicht feststellen.
Die gemeinnützige Amadeu-Antonio-Stiftung setzt sich gegen Rechtsextremismus, Rassismus und Antisemitismus ein. Una Titz beschäftigt sich für die Stiftung mit digitaler Demokratiegefährdung. Mit Blick auf die Recherche zum Standort-Tracking von Gläubigen sagt sie: „Schon das Wissen, dass solche Möglichkeiten bestehen, kann Menschen verunsichern und einschüchtern. Wer beim Besuch einer Synagoge, Moschee oder Gemeindeveranstaltung mit digitaler Verfolgung rechnen muss, verliert Vertrauen und auch Sicherheit.“
Rechtsextreme Akteur*innen würden routiniert Dinge wie Doxing oder öffentliche Informationen zu Veranstaltungen nutzen, um Menschen einzuschüchtern. „Der Handel mit präzisen Standortdaten verschärft diese Bedrohung erheblich“, schreibt Titz. „Schutzkonzepte für gefährdete Einrichtungen brauchen dringend eine umfassende digitale Überarbeitung.“ Die Verantwortung liege bei Politik, Behörden, Plattformen, App-Anbietern und der Werbeindustrie.
Die Pressestellen des Zentralrates der Juden und des Zentralrates der Muslime in Deutschland haben die Recherche auf Anfrage nicht kommentiert.
Auch Sitz von EKD und Deutscher Bischofskonferenz betroffen
In Hannover arbeiten rund 200 Personen für die zentrale Verwaltungsbehörde der Evangelischen Kirche Deutschland (EKD). Handy-Ortungen aus der Werbe-Industrie können die Stationen ihres Alltags zu einem offenen Buch machen. Zum Beispiel zeigen die uns vorliegenden Standortdaten, wie eine Person an einem Tag im Jahr 2023 zu üblichen Bürozeiten im Kirchenamt unterwegs ist und wo sie offenbar die Mittagspause verbringt.
Nach Feierabend geht es zunächst in die benachbarten Herrenhäuser Gärten, eine barocke Anlage mit Tausenden Pflanzenarten, einer 70 Meter hohen Fontäne und Skulpturen. Es folgt ein Abstecher in ein Shopping-Zentrum mit Kleiderläden wie Peek und Cloppenburg. Abends häufen sich die Ortungen in einem Mehrfamilienhaus in der Nähe der evangelischen Apostelkirche in Hannover.
In Hamburg steht die Hauptkirche St. Michaelis, wo die EKD-Vorsitzende regelmäßig predigt. Handy-Standortdaten verraten Details über das Leben der dortigen Kirchen-Besucher*innen. So zeigt ein Bewegungsprofil Handy-Ortungen einer Person nicht nur in der Kirche, sondern auch in der Elbphilharmonie, in einer Kleingartenanlage und einer Privatadresse in Hamburg-Neustadt.
Gläsern sind auch die Bewegungen von Beschäftigten der Deutschen Bischofskonferenz in Bonn. Eine Person, die den Verwaltungssitz an mehreren Tagen besucht hat, wurde etwa auch vor dem Katholischen Pfarramt St. Winfried in Bonn-Südstadt geortet sowie auf dem Gelände des benachbarten Johanniter Krankenhauses. Weitere Ortungen führen zu einem etwas abgelegenen landwirtschaftlichen Betrieb.
Metergenaue Standortdaten verraten auch etwas über Menschen in Fachkliniken. Zum Beispiel gibt es detaillierte Handy-Ortungen im katholischen Alexianer St. Joseph Krankenhaus in Berlin-Weißensee. Sie zeigen die Bewegungen einer Person, die immer wieder die Akutstation mit dem Schwerpunkt bipolar-affektive Störungen aufsucht. Viel Zeit verbringt sie auch an zwei Privatadressen in Berlin. Eine der beiden Adressen dürfte der Wohnort sein, denn in der Nähe geht sie mehrfach einkaufen. Weitere Ortungen zeigen sie vor einer Grundschule.
Das Beispiel zeigt: Bereits die Handy-Ortungen weniger Tage können Hinweise auf Arbeitsplatz, Wohnort und Familiensituation liefern.
Ehemaliger Vorsitzender des Deutschen Ethikrats ist „schockiert“
Daten zum gesundheitlichen Zustand, zur sexuellen Orientierung oder zur religiösen Überzeugung seien in Europa aus gutem Grund besonders geschützt, erklärt der evangelische Theologe und Ethiker Peter Dabrock im Gespräch mit netzpolitik.org. „Sie geben Auskunft über höchstpersönliche Elemente der eigenen Persönlichkeit.“ Dabrock forscht an der Friedrich-Alexander-Universität Erlangen-Nürnberg und war bis 2020 Vorsitzender des Deutschen Ethikrates.
Der besondere Schutz der sensiblen Daten setze den verfassungsrechtlich garantierten Gleichheitsgrundsatz um: „Jeder Mensch muss das Recht haben, dass solche Informationen nicht prägend dafür sind, wie man öffentlich wahrgenommen und behandelt wird.“
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Zudem seien mit diesen Daten besondere Verletzlichkeiten verbunden, weil sie die Basis für Diskriminierung bilden könnten. „Wo Vulnerabilität ist, da sind auch Angriffspunkte“, führt der Professor aus. Mit Blick auf die Databroker Files sagt er: „Ich bin ob der Tiefe der Überwachung wirklich schockiert.“
Deutsche Bischofskonferenz: „Erhebliche Gefahr“
Auch die Deutsche Bischofskonferenz warnt in Reaktion auf die Recherche vor dem Geschäft der Databroker. „Der Handel und die unrechtmäßige Verwendung von Handy-Standortdaten und Bewegungsprofilen von Gläubigen stellen eine erhebliche Gefahr dar“, schreibt Sprecher Matthias Kopp. Zumindest in Kombination mit anderen Daten ließen sich die Identität einer gläubigen Person feststellen und Einblicke in ihre Privatsphäre gewinnen.
„Der Missbrauch eines derartigen höchstpersönlichen Datums birgt ein erhöhtes Gefahrenpotenzial für die betroffene Person: Die Gefahr von Diskriminierung, Erpressung und tiefgreifender Verletzung des inneren, identitätsstiftenden Fundaments des Menschen“, schreibt Kopp. Die religiöse Überzeugung mache den „Wesenskern eines Menschen“ aus und berühre damit sein Innerstes. Wenn Menschen mit einer bestimmten religiösen Überzeugung etwa überwacht, diskriminiert oder gezielten physischen Angriffen ausgesetzt werden, sei das Grundrecht der Religionsfreiheit betroffen.
Noch grundlegender ist die Kritik vom Bund der Deutschen Katholischen Jugend (BDKJ). Pressesprecher Christian Toussaint schreibt mit Blick auf die Databroker-Recherche: „Nach christlichen Werten und der katholischen Lehre ist klar, dass Technik immer ein für den Menschen hilfreiches Werkzeug sein muss. Geschäftsmodelle, bei denen Menschen zum einfachen Handelsobjekt werden, sind mit der Menschenwürde grundsätzlich nicht vereinbar.“
Die Verantwortung für den Schutz der eigenen Privatsphäre dürfe nicht auf die einzelne Nutzende abgewälzt werden. „Es braucht eine konsequente Durchsetzung von Gesetzen, die Menschen vor dem Missbrauch ihrer Daten schützen“, schreibt Toussaint. „Geschäftsmodelle, die ausschließlich auf dem Handel personenbezogener Daten wie zum Beispiel Standortdaten basieren, müssen grundsätzlich hinterfragt werden.“ Wenn Nutzer*innen keinen Vorteil hätten, dass andere ihre Daten verkaufen und weiterverwenden, „sollte ein solcher Handel verboten werden“.
Ein EKD-Sprecher sieht beim Schutz von Standortdaten ein „gesamtgesellschaftliches Anliegen“. Neben Medienkompetenz vonseiten der Nutzer*innen brauche es „klare gesetzliche Regeln, die Datensparsamkeit durchsetzen“.
Datenschutzbehörden kratzen an der Oberfläche
Unsere Recherchen zu den Databroker Files seit 2024 zeigen: Europas Datenschutz-Gesetze, allen voran die Datenschutzgrundverordnung (DSGVO), schaffen es nicht, den gefährlichen Datenhandel zu stoppen. Beteiligte Databroker und Tracking-Firmen bezeichnen ihre Geschäfte in der Regel als legal und berufen sich dabei auf die angebliche Einwilligung der Betroffenen.
Anders sehen das Datenschutzbehörden und Fachleute für Datenschutz, darunter die ehemalige deutsche Bundesbeauftragte für Datenschutz, Louisa Specht-Riemenschneider. Ihnen zufolge ist der Handel illegal. Denn laut DSGVO muss eine Einwilligung in die Verarbeitung personenbezogener Daten informiert erfolgen, um wirksam zu sein. Nutzer*innen müssen also erfahren, wer genau ihre Daten für welche Zwecke erhält. Doch im Ökosystem der Datenhändler fließen Handy-Standortdaten teils an Hunderte Akteure. Auch die von der DSGVO vorgesehene Zweckbindung ist nicht erfüllt, wenn Daten als Handelsware ohne näheren Zweck kursieren.
Wer derart eklatant gegen die DSGVO verstößt, sollte eigentlich Ärger mit Datenschutzbehörden bekommen. Doch der Dschungel der Databroker ist international und verschlungen. Oftmals unterfinanzierte Behörden kratzen allenfalls an der Oberfläche. Oft werden sie erst dann aktiv, wenn sich Bürger*innen über bestimmte Unternehmen beschweren. Während Behörden teils jahrelange Verfahren gegen einzelne Unternehmen bemühen, floriert der Handel weiter.
Um das Problem an der Wurzel zu packen, fordern unter anderem der Chaos Computer Club, der Verbraucherzentrale Bundesverband und manche Politiker*innen ein Verbot von Tracking und Profilbildung zu Werbezwecken. Auf diese Weise könnte dem Datenhandel schlicht der Nachschub ausgehen. Eine Gelegenheit für ein solches Verbot hätte die EU-Kommission beim geplanten Gesetz für digitale Fairness (Digital Fairness Act). Jüngst stehen die Zeichen in der EU jedoch eher auf Deregulierung. Ein derart tiefer Eingriff in digitale Geschäftsmodelle erscheint unwahrscheinlich.
Sicherheitsbehörden wollen Datenhandel lieber nutzen als stoppen
Über Parteigrenzen hinweg haben Politiker*innen in Deutschland und der EU im Zuge unserer Recherchen klargemacht: Der Datenhandel ist eine Gefahr für die nationale Sicherheit. Durchleuchten lässt sich sogar Personal von Regierung und Parlamenten, von Militär, Polizei und Geheimdiensten. Die Daten lassen sich für Spionage und Sabotage nutzen.
Ende letzten Jahres sagte uns der Forscher Thorsten Wetzling von der gemeinnützigen Denkfabrik interface: „Gerade in der aktuellen Zeit, wo die europäische Sicherheit und Verteidigungslandschaft täglich durch Russland auf mögliche Angriffsvektoren hin getestet wird, ist es äußerst besorgniserregend, dass weiterhin so leicht in solchem Ausmaß sensible Standortdaten auf dem Datenmarkt zu erwerben sind.“
Bis heute fehlt es jedoch an ausreichend politischem Willen, den Datenhandel zu stoppen. Im Gegenteil: Seit den ersten Veröffentlichungen zu den Databroker Files häufen sich die Berichte, dass Sicherheitsbehörden in der EU die illegal gehandelten Handy-Standortdaten lieber selbst nutzen, statt ihre Verbreitung zu stoppen. Der Fachbegriff dafür ist ADINT („advertising-based intelligence“), frei übersetzt: die Gewinnung von Erkenntnissen auf Grundlage von Werbedaten.
Sicherheitsbehörden in Ungarn und Österreich haben entsprechende Überwachungs-Werkzeuge eingekauft. Das Landeskriminalamt in Mecklenburg-Vorpommern hat nach Recherchen von netzpolitik.org und Bayerischem Rundfunk den Einsatz kommerzieller Handy-Standortdaten bestätigt. Es ist möglich, dass noch mehr Polizeibehörden in Deutschland das tun – in neun Bundesländern und auch im Bund verweigern die Behörden jede Auskunft zu dem Thema.
So gehen das vermeintlich harmlose Werbe-Tracking und der unkontrollierte Datenhandel ungehindert weiter. Unterdessen sollen Online-Marktplätze den Datenhandel leichter machen; ADINT-Firmen werben in Europa um Kundschaft, auch außerhalb von Sicherheitsbehörden. Und die vom Datenhandel ausgehende Gefahr – nicht nur für gläubige Menschen und Angehörige von Minderheiten – wächst, je leichter die Daten zu beschaffen sind.
Hier haben wir aufgeschrieben, wie Nutzer*innen ihre Handy-Standortdaten vor Databrokern schützen können. Und hier sind alle unsere Veröffentlichungen zu den Databroker Files.
Schreibe eine Ergänzung!