Österreich: Sicherheitsbehörden lassen sich mit Werbedaten ausspionieren

Es sind erschreckend detaillierte Informationen, die Journalist:innen des österreichischen News-Magazins über Mitarbeitende des österreichischen Sicherheitsapparats herausfinden konnten: Wo sie wohnen und arbeiten, welche Ärzte sie besuchen, zu welchem Friseur sie gehen, wo sie einkaufen oder auf welchem Friedhof sie regelmäßig ein Grab besuchen. Möglich ist das dank Standortdaten, die angeblich nur für Werbezwecke gesammelt, dann jedoch von Databrokern angeboten wurden.

Betroffen sind unter anderem ein mutmaßlicher Mitarbeiter des Heeres-Nachrichtenamtes (HNaA), das ist Österreichs militärischer Auslands-Nachrichtendienst, eine mutmaßliche Mitarbeiterin der Direktion Staatsschutz und Nachrichtendienst (DSN) des Innenministeriums und ein mutmaßlicher Polizeihundeführer aus dem Burgenland. Insgesamt werteten die Journalist:innen Bewegungsdaten zu mutmaßlich mehr als 500.000 Smartphones aus dem Herbst 2024 aus.

Eine neue Form der Massenüberwachung

Die Daten stammen vom US-amerikanischen Datenhändler Datastream Group, der sich inzwischen in Datasys umbenannt hat. Für die Recherche haben netzpolitik.org und der Bayerische Rundfunk den Kolleg:innen von News entsprechende Daten und ein eigens entwickeltes Analyse-Tool zur Verfügung gestellt. Seit Sommer 2024 berichten wir unter dem Namen Databroker Files über den unkontrollierten Handel mit Standortdaten aus der Online-Werbe-Industrie und zeigten unter anderem auf, wie auf diesem Wege deutsche Sicherheitsbehörden, hochrangiges EU-Personal und auch US-Militärstandorte ausspioniert werden können.

Tracking-Firmen sammeln die teils metergenauen Standortdaten über Apps auf Smartphones. Angeblich tun sie dies nur zu Werbezwecken, doch auf verschlungenen Wegen landen die Daten auch im großen Stil bei Datenhändlern. Dort kann sie potenziell jede:r erwerben. Bei den inzwischen mehr als 13 Milliarden Standorte umfassenden Datenbestand von netzpolitik.org und dem BR handelt es sich um kostenlose Probedatensätze mehrerer Anbieter. Ziel dieser neuen Form der Massenüberwachung können potenziell alle Menschen mit werbefinanzierten Apps auf ihrem Telefon werden.

Schon länger gibt es Warnungen davor, dass die Verfügbarkeit solch umfassender Bewegungsprofile dabei helfen kann, Personen aus dem Sicherheitsapparat zu überwachen, kompromittieren, erpressen oder abzuwerben. Mehrere private Firmen bieten die Aufbereitung von Werbedaten für staatliche Kunden an, man spricht dabei auch von „advertising-based intelligence“, kurz ADINT. Auf Deutsch also: werbebasierte Aufklärung.

Österreichische Behörden nutzen selbst Werbedaten

Pikant ist, dass österreichische Sicherheitsbehörden selbst zu den Kunden solcher Anbieter zählen. Erst vor wenigen Monaten war bekannt geworden, dass das dortige Innenministerium die Lizenz für eine Überwachungs-Software namens Webloc verlängert hat, die auf massenhaft erfassten Handy-Ortungen basiert. Das zeigte ein Dokument aus einem öffentlichen Vergabeportal, über das zuerst Der Standard berichtet hatte.

„Diese Art von Überwachung ohne gerichtliche Kontrolle ist aus meiner Sicht ein komplettes grundrechtliches Desaster“, kommentiert der Wiener Tracking-Forscher Wolfie Christl die Recherche gegenüber News. Christl forscht derzeit zusammen mit dem Citizen Lab der Universität Toronto zur ADINT-Industrie und hatte Anfang des Jahres mit anderen aufgedeckt, dass Sicherheitsbehörden in Ungarn und in El Salvador Lizenzen für Webloc erworben haben. Auch die US-amerikanische Abschiebe-Miliz ICE verwendet das Überwachungswerkzeug.

Webloc wurde von der israelischen Überwachungsfirma Cobweb entwickelt, die inzwischen vom US-Unternehmen Penlink übernommen wurde. Das Programm soll Behörden auch über das Alter und Geschlecht von Smartphone-Nutzer:innen informieren. Auskunft gibt es außerdem darüber, in welche Werbe-Zielgruppen Nutzer:innen eingeordnet werden, was Rückschlüsse auf den Familienstatus, Hobbies, psychologische Eigenschaften oder politische Affinitäten der Zielperson erlauben kann.

Zweifel an Rechtmäßigkeit

Der österreichische Rechtsanwalt Philipp L. Leitner meldet gegenüber News Zweifel an der Rechtmäßigkeit der Datennutzung durch den österreichischen Staat an. Auch in Deutschland gibt es Bedenken gegen die Nutzung von ADINT durch Sicherheitsbehörden, unter anderem von der Bundesdatenschutzbeauftragten und den Wissenschaftlichen Diensten des Bundestages.

Ein Grundproblem: Tracking-Firmen erheben die Daten in der Regel illegal. Zwar stimmen viele Nutzer:innen einer Nutzung ihrer Daten für Werbung im Rahmen der Datenschutzbestimmungen der Apps zu, doch die Einwilligungen sind in der Regel ungültig, weil die Nutzer:innen nicht darüber informiert, wo ihre Daten tatsächlich landen. Datenschützer:innen halten den Handel mit Daten, die für Werbezwecke erhoben werden, zudem für grundsätzlich nicht vereinbar mit dem Zweckbindungsgrundsatz der Datenschutzgrundverordnung.

Sicherheitsbehörden dürfen unter Umständen zwar auch illegal erhobene Daten nutzen, allerdings gibt es dafür enge Grenzen. In Österreich könnten Bestimmungen des Staatsschutz- und Nachrichtendienst-Gesetzes als Rechtsgrundlage in Betracht kommen, so Rechtsanwalt Leitner zu News. Eine allgemeine Befugnis zur anlasslosen, flächendeckenden Überwachung der Bevölkerung lasse sich daraus jedoch nicht ableiten.

In Deutschland wurden Werbedaten nach Recherchen von netzpolitik.org und dem BR bereits von mindestens einem Landeskriminalamt genutzt. Vermutlich nutzen auch deutsche Geheimdienste ADINT. Der Verfassungsrechtler Peter Schantz forderte deshalb erst kürzlich eine rechtsstaatliche Regelung im Rahmen der aktuellen Geheimdienstreform.

Innenministerium will Geheimdienste mit „Awareness-Maßnahmen“ schützen

Die Öffentlichkeit will die österreichische Regierung laut News über die Überwachung mit Werbedaten lieber nicht im Detail informieren. Auf eine Anfrage des grünen Nationalratsabgeordneten Süleyman Zorba antwortete Innenminister Gerhard Karner (ÖVP) Ende 2025, dass detaillierte Antworten den „Sicherheitsinteressen der Republik Österreich zuwiderlaufen“ würden. Das Thema könne im Ständigen Unterausschuss des Ausschusses für innere Angelegenheiten besprochen werden, der geheim tagt.

Auch Fragen der News-Journalist:innen beantwortet das Innenministerium nur knapp. Es betont aber, dass es keine anlasslose Massenüberwachung durch ADINT gebe. Derartige Tools würden nur „zielgerichtet“ und „in konkreten Fällen“ eingesetzt, und zwar von „spezialisierten Fachkräften“, heißt es bei News. Das ändert allerdings nichts an dem selbstgeschaffenen Dilemma, dass es die eigenen Sicherheitsbehörden sind, die mit Steuergeldern Dienstleistungen einkaufen, die auf mutmaßlich illegal erhobenen Daten basieren und die Sicherheit des Landes und die Privatsphäre von Millionen Menschen bedrohen.

Entsprechend hilflos fallen die Antworten auf Fragen des News-Magazins danach aus, was die Behörden tun, um ihre eigenen Leute zu schützen. Aus dem Innenministerium, zu dem die Direktion Staatsschutz und Nachrichtendienst gehört, heißt es etwa, die Gefahr durch ADINT sei den Sicherheitsbehörden bekannt. Bei der DSN würden Mitarbeitende laufend im Bereich Informations- und Cybersicherheit geschult. „Darüber hinaus werden entsprechende Awareness-Maßnahmen gesetzt, um insbesondere das Risiko einer Identifikation und Zuordenbarkeit von Bediensteten zu minimieren.“

Das Verteidigungsministerium, zu dem der Auslandgeheimdienst HNaA gehört, antwortet den Journalist:innen, es berücksichtige „die mit der zunehmenden kommerziellen Verfügbarkeit von Standort- und Bewegungsdaten verbundenen Sicherheitsrisiken.“ Deshalb würden organisatorische und technische „Maßnahmen zur sicheren Nutzung mobiler Endgeräte und zur Reduktion der damit verbundenen Datenexposition“ getroffen. Konkretere Antworten bleiben aus.

Warten auf politische Konsequenzen

Das Problem macht sich weltweit bemerkbar. Auch das US-Verteidigungsministerium steht vor dem gleichen Dilemma. Dort wird derzeit darüber gestritten, ob ADINT-Daten vom Iran genutzt worden sein könnten, um US-Truppen im persischen Golf ins Visier zu nehmen. Nach überparteilichem Druck durch eine Gruppe um den demokratischen US-Senator Ron Wyden hat das Pentagon inzwischen angeordnet, dass auf Geräten der US-Streitkräfte Werbe-Tracking und entsprechende Werbe-Identifikationsnummern deaktiviert werden.

In Deutschland und Europa folgten auf schockierte Reaktionen der Politik auf die Databroker-Enthüllungen von netzpolitik.org, BR und Partnermedien bislang keine politischen Konsequenzen. Auch die EU-Kommission, die sich im Herbst 2025 „sehr besorgt“ zeigte, beließ es bislang dabei, Sicherheitshinweise an das eigene Personal zu verschicken. Ein eigentlich für 2026 angekündigtes Gesetz, das Lücken im digitalen Verbraucherschutz der EU schließen soll, der Digital Fairness Act, ist bislang nicht in Sicht.

In Deutschland haben Datenschutzbehörden nach unserer Berichterstattung zwar einzelne Apps ins Visier genommen, denen sie mutmaßlich rechtswidrige Datenweitergaben nachweisen konnten. Ein groß angelegtes Vorgehen gegen die Branche blieb bisher jedoch aus.

Organisationen wie der Verbraucherzentrale Bundesverband und der Chaos Computer Club fordern deshalb eine radikale Lösung: Das grundsätzliche Verbot von Profilbildung und Datenhandel zu kommerziellen Zwecken beziehungsweise von personalisierter Werbung.