Palantir in Bayern: Nicht eingesetzte Polizei-Software kostet Millionen

Die Palantir-Software, die Bayern bei der Polizei einsetzen will, ist nach Ansicht des Fraunhofer Instituts in Fragen der IT-Sicherheit unbedenklich. Das verkündetete das Landeskriminalamt München unter der Überschrift: „Sicherer Betrieb ist möglich!“ Das Fraunhofer Institut hatte den Quellcode unter anderem auf Hintertüren und Datenabflüsse überprüft. Zuvor gab es Bedenken, ob die Daten von der bayerischen Polizei an das US-Geheimdiensten nahestehende Unternehmen Palantir abfließen könnten.

Mit der Quellcode-Untersuchung wurde das Fraunhofer Institut für Sichere Informationstechnologie (Fraunhofer SIT) beauftragt. Das Gutachten basierte laut dem LKA München auf einer „breiten und fundierten methodischen Vorgehen zur vollumfänglichen Prüfung der Software.“ Im Rahmen der Prüfung sei unter anderem eine umfassende Schwachstellenanalyse durchgeführt worden. Dazu gehöre neben manuellen Prüfungen und Penetrationstests auch ein Code-Scanner zur automatisierten Detektion von Schwachstellen.

Das Gutachten selbst wurde nicht veröffentlicht, sondern steht unter Verschluss, weil es sensible Angaben über die IT-Infrastruktur der Polizei und Geschäftsgeheimnisse von Palantir enthalte. Die technische Prüfung ist allerdings nur für die aktuelle Version gültig. Um zu wissen, was wirklich mit der Software passiert, müsste sie bei jedem Update erneut geprüft werden.

Palantirs Software soll unter dem Namen „Verfahrensübergreifende Recherche- und Analyseplattform“ (VeRA) bei der bayerischen Polizei eingesetzt werden. Das Verfahren in Bayern ist auch für andere Bundesländer von Belang, da Bayern einen Rahmenvertrag mit Palantir abgeschlossen hat. Der Einsatz in weiteren Bundesländern könnte dann auf dieser Grundlage folgen.

Zwar wurde die Software nach der 430.000 Euro teuren geheimen Untersuchung nun rein technisch als unbedenklich eingestuft. Davon unberührt sind aber starke verfassungsrechtliche Bedenken gegen den Einsatz der Software, die Daten aus verschiedenen Datenbanken und Quellen zusammenführt und so ganz neue Möglichkeiten eröffnet, um Menschen ins Visier zu nehmen. Diese Bedenken lassen sich nicht durch eine Überprüfung des Quellcodes ausräumen.

„Kein Zeitplan“ für Rechtsgrundlage

In Hessen und Hamburg hatte das Bundesverfassungsgericht im Februar die rechtlichen Grundlagen für verfassungswidrig erklärt. Auf Anfrage von netzpolitik.org erklärt das Bayerische Staatsministerium des Innern: Die noch zu schaffende Rechtsgrundlage im Bayerischen Polizeiaufgabengesetz werde sich an den im Urteil des Bundesverfassungsgerichts getroffenen Aussagen orientieren.

Das Ministerium geht davon aus, dass „ein Einsatz sowohl zur Abwehr von konkreten oder konkretisierten (drohenden) Gefahren, als auch zur Verhütung von Straftaten im Vorfeld von (drohenden) Gefahren grundsätzlich zulässig ist“. Keine Aussage wollte das Ministerium dazu treffen, wann genau Bayern allerdings die neue Rechtsgrundlage anpeile oder wann VeRA eingesetzt werden könne. Dazu liege „noch kein Zeitplan vor“, schreibt ein Sprecher an netzpolitik.org.

Wann die Software zum Einsatz kommen wird, ist also in Bayern noch offen. Doch selbst wenn die Software nur in der Schublade liegt entstehen dem Bundesland Kosten in Millionenhöhe, wie der Bayerische Rundfunk recherchiert hat. Alleine seit dem Vertragsabschluss im Mai 2022 waren es laut Ministerium rund 3,2 Millionen Euro an Lizenzgebühren. Insgesamt sind in den ersten fünf Jahren bis zu 25 Millionen Euro fällig. Auch in Nordrhein-Westfalen (NRW) wird Palantir teuer, dort haben sich die Kosten gegenüber der Planung verdreifacht. Gegen den Palantir-Paragraf im Polizeigesetz von NRW läuft eine weitere Verfassungsbeschwerde.