Dammbruch! Palantir gewinnt den Rahmenvertrag für Data Mining in der deutschen Polizei

Endlich sind sie am Ziel, die Anhänger einer Polizeiarbeit, die Data Mining in Heuhaufen voller zusammengewürfelter Informationen aus diversen Quellen als die Krone moderner Polizeiarbeit ansehen. Was POLICE-IT seit Jahren angenommen hatte, wurde heute offiziell bestätigt: Der Rahmenvertrag des Bayerischen Landeskriminalamtes für das Projekt VeRA ging an die deutsche Tochtergesellschaft des US-Anbieters Palantir [1]. Das ist ein Dammbruch mit fatalen Folgen … | Lesedauer: Ca. 8 Minuten

Rahmenvertrag für VeRA vom Bayerischen Landeskriminalamt

Das BayLKA macht den Anfang der Beschaffung für den „Geleitzug“ aller Polizeibehörden

Neu ist die hier gewählte Konstruktion bei der Beschaffung:

Freistaat Bayern als Primärauftraggeber

Da tritt nämlich der Freistaat Bayern, vertreten durch das bayerische Landeskriminalamt als sogenannter Primärauftraggeber auf: Es schließt als alleiniger Vertragspartner mit dem Auftragnehmer eine Rahmenvereinbarung ab, die einen EVB-IT-Systemvertrag umfasst – zur Lieferung und kundenspezifischen Anpassung, Integration in die IT-Umgebung der bayerischen Polizei, Schulungsleistungen – sowie nach der Abnahme des System einen Pflegevertrag für die Hardwarewartung (sic!), Softwarepflege, Betriebsüberwachung, und sonstigen Support.

Der Bund als Sekundärauftraggeber I

Der Bund, vertreten durch das Bundesministerium des Innern für das Bundeskriminalamt und die Bundespolizei, sowie vertreten durch das Bundesministerium der Finanzen für das Zollkriminalamt wird Sekundärauftraggeber I: Er kann aus dem Rahmenvertrag den Abschluss eines eigenen EVB-IT Systemvertrags mit dem Auftragnehmer ableiten, sodass der Auftragnehmer auch für die Bundesbehörden das System zu liefern hat, projektspezifische Anpassungen vorzunehmen und das System in die IT-Architektur der Bundesbehörden zu integrieren und Schulungsleistungen zu erbringen hat. Auch hier ist nach der Abnahme ein eigener Pflegevertrag vorgesehen.

Die übrigen 15 Bundesländer als Sekundärauftraggeber II

Für die übrigen 15 Bundesländer sind im Falle des freibleibenden Abrufs die Standardsoftware des Systems VeRA im Rahmen eines zu schließenden EVB-IT Überlassungsvertrages (Typ A) zu liefern, sowie Softwarepflegeleistungen und Dienstleistungen zu erbringen.

Was Bund und Länder seit Jahrzehnten nicht hinkriegen, soll jetzt der umstrittene US-Anbieter Palantir richten

Mit der Verknüpfung mit dem „Leuchtturm-Vorhaben“ Polizei2020 weist Pickert auch auf das Kardinalproblem hin, das ich in der bald zu bestaunenden flächendeckenden Einführung von VeRA sehe: Bund und Länder haben nach INPOL-Neu (2002/2003), INPOL-Fall (~2006) und dem Polizeilichen Informations- und Analyseverbund (PIAV) nun dreimal eindrucksvoll demonstriert, dass sie nicht in der Lage sind, gemeinsam ein modernes Bund-Länder-Verbundsystem auf die Beine zu stellen und zu betreiben. Ein funktionierender Informationsaustausch zwischen den Polizeibehörden von Bund und Ländern über alle relevanten Deliktsbereiche hinweg existiert nicht. Gesetzliche Vorgaben, wie die Kennzeichnungspflicht, die sich aus dem 2018 reformierten BKA-Gesetz ergibt, können bis heute nicht umgesetzt werden (dazu unten mehr). Um dies zu vertuschen, wurde sehr spät im Gesetzgebungsverfahren eine Übergangsregelung (in §91) ins BKA-Gesetz geflickt, die die (vom Bundesverfassungsgericht geforderte) Kennzeichnungspflicht zeitlich unbegrenzt für nicht anwendbar erklärt. Diese Kette von Versäumnissen und Unfähigkeiten soll jetzt mit einem Schlag vergessen gemacht werden, indem man auf das Modernste setzt, was derzeit auf dem Markt verfügbar ist – nämlich das Palantir-System Gotham. Das seine besondere Eignung für den polizeilichen Einsatz in US-Polizeibehörden, vor allem aber im praktischen Einsatz bei Geheimdiensten erworben hat.

Um welche und wie viele Quellsysteme geht es eigentlich?

Gotham bzw. VeRA soll „viele Informationen aus verschiedenen polizeilichen Datenbanken“ verknüpfen und effizient analysieren. Dazu zählen also in jeder Polizeibehörde von Bund und Ländern

1. das Vorgangsbearbeitungssystem für sämtliche polizeilich relevanten Vorgänge (Ordnungswidrigkeiten, Verkehrsangelegenheiten, Gefahrenabwehrmaßnahmen, strafverfolgungs-Vorgänge)
2. das Fallbearbeitungssystem
3. das Asservatenmanagementsystem (sofern schon vorhanden),
4. das PIAV-Teilnehmersystem der im Betrieb befindlichen (derzeit vier) PIAV-AUsbaustufen
5. das INPOL-Teilnehmersystem der jeweiligen Teilnehmerbehörde, sowie
6. das PIAV-Zentralsystem und
7. das INPOL-Zentralsystem beim Bundeskriminalamt.

Bei sechzehn Länder- und vier Bundespolizeibehörden (Bundespolizei, Zollkriminalamt, Polizei des Bundestages und Bundeskriminalamt in seiner Eigenschaft als operativ tätige Polizeibehörde) als Teilnehmerbehörden und dem Bundeskriminalamt in seiner Eigenschaft als Zentralstelle geht es also um 21 mal (mindestens) fünf Datenbanksysteme. Vollkommen offen ist noch, wie eigentlich die in VeRA auf Ebene des einzelnen Teilnehmers bereits konsolidierten Informationen der einzelnen Teilnehmerbehörden dann beim BKA als Zentralstelle noch (einmal?) konsolidiert werden sollen und können. Denn auch das Bundeskriminalamt gehört ja zu den berechtigten Behörden, die sich der Rahmenvereinbarung der Bayern mit Palantir Technologies GmbH anschließen können.

Ein Freudenfest für Palantir

In der Geschäftsleitung von Palantir, das ja nicht gerade von einer Woge von Erfolgsmeldungen zu seinen Umsätzen und Gewinnen getragen wird, dürfte man noch Tage später schmerzende Oberschenkel haben vom vielen Schenkelklopfen (eine Adaption an oberbayerische Sitten …). Zum einen, weil bis zu 21 Auftraggeber / Vertragspartner fast schon ein Lottogewinn sind. Vor allem beim Geschäftsmodell von Palantir: Das darin besteht, Systemlizenzen bzw. Hardwarekomponenten einmal zu verkaufen, für die dann laufend (z.B. jährlich) Wartungs- und Pflegegebühren zu bezahlen sind. Und zusätzlich mit zunehmenden Datenvolumina auch noch System- udn Hardwarekomponenten hinzugekauft werden müssen. Allein daraus wird sich – sehen wir mal fünf Jahre in die Zukunft – für so manches Bundesland – Stichwort „Schuldenbremse“ noch ein deftiges Problem erwachsen.

Aber erst in fünf Jahren: Bis dahin wird Palantir Technologies GmbH blendend daran verdienen, bei jeder Behörde neu für die technischen „Brücken zu sorgen, damit es klappt mit der „Verknüpfung“ der Informationen aus den

• ComVors und IVPs und Nivadisse und Vivas, Polikse und @rtusse (das war ein unvollständiger Auszug aus den Vorgangsbearbeitungssystemen),
• aus den EASys, MERLINs, eFBSse, CASAs, CASEs, EFASe, FINDUSe, KRISTALle, ZEUSe (das war ein unvollständiger Auszug aus den Fallbearbeitungssystemen),
• aus den KT- (Kriminaltechnik) und Asservatenmanagementsysteme
• aus den PIAV-Teilnehmersysteme für vier Ausbaustufen des PIAV
• und aus den INPOL-Teilnehmersysteme

…

Ein rabenschwarzer Tag – für den Datenschutz und die Erkenntnisgewinnung durch die deutsche Polizei

Diese Entscheidung markiert einen rabenschwarzen Tag, sowohl für den Datenschutz als auch für die Erkenntnisgewinnung durch die deutsche Polizei. Denn eine bloße Verknüpfung von Daten aus vielen verschiedenen Datentöpfen wird nicht für mehr belastbare Erkenntnisse sorgen und damit für die erhoffte verbesserte Gefahrenabwehr bzw. Erfolge bei der Strafverfolgung. Sondern – angesichts der mir aus der Praxis gut bekannten, in hohem Ausmaß KATASTROPHALEN QUALITÄT DER INFORMATIONEN in den Datenbanken der deutschen Polizeibehörden – für einen Wust an false positives, also angeblichen Treffern, d.h. Übereinstimmungen von Erkenntnissen, die auf eine bestimmte Person bezogen werden.

Die davon zunächst nichts weiß, nach aktueller Lage in den Polizeigesetzen auch nicht davon informiert werden muss und sich daher gegen Fake Information auch nicht wehren kann. Viele betroffene Personen werden jedoch mit Vorhaltungen konfrontiert werden, die sich nur im Glücksfall hinterher noch aufklären und aus dem Weg räumen lassen werden. wenn nicht – und das dürfte die Mehrzahl der Fälle betreffen – werden polizeiliche Maßnahmen gegen Personen vollstreckt, die „die falschen“ sind. Und werden Personen vor Gericht landen aufgrund von Vorwürfen, die diese Personen gar nicht betreffen. Die Tatsache, dass auch die Dokumentation und Aktenhaltung in der Polizei zunehmend „elektronisch“ geführt wird und es den Papierrückhalt nicht mehr gibt, öffnet für solche Fehler – und auch für missbräuchliche Verwendung ein weiteres Scheunentor.

Fallbeispiele Dafür gibt es schon heute erschreckende Beispiele:

Tod in der Zelle – aufgrund eines idiotischen „Kreuztreffers“ eines Vorgangsbearbeitungssystem, der das Gegenteil von „intelligent“ darstellt

Es geht um den Fall des Syrers Amad Ahmad, dessen Datensatz im NRW-Vorgangsbearbeitungssystem ViVA zu einem Kreuztreffer führte: Dabei handelt es sich um eine zufällige Übereinstimmung mit einem Datensatz eines ihm wildfremden anderen Menschen. Gegen den ein Haftbefehl vorlag, der auch völlig anders aussah und der ganz anders hieß. Was nicht verhinderte, dass an die zwanzig (sic!) damit befasste Polizei- und Justizbeamte den Fehler nicht bemerkt haben wollen, sondern den Syrer auf der Grundlage der Haftbefehle für den anderen Menschen hinter Gitter brachten. Wochen später brannte es in seiner Zelle, an den Folgen starb der junge Syrer.

Ein Wunder der Biologie: Mehrere erkennungsdienstlich behandelte Personen haben identische Fingerabdrücke – hat das BKA festgestellt!

Ein anderer Fall, ebenfalls topaktuell: Da gibt es eine Person X, polizeilich mit Kleinkriminalität vor Jahren auffällig geworden. Und andere Personen in dessen Umfeld, ebenfalls mit „Kleinkriminellen-Vergangenheit“. Alle Personen aus dieser Gruppe wurden mehrfach erkennungsdienstlich behandelt. Dabei wurden auch die Fingerabdrücke genommen und in einer Spezialabteilung beim BKA abgeglichen mit den Millionen anderer Fingerabdrucksätzen, die das BKA in seiner AFIS-Datenbank (AFIS = Automated Fingerprint Identification System) führt. Egal, welchen Namen der Mensch bei seiner ED-Behandlung angegeben hat: Die Fingerabdrücke identifizieren ihn eindeutig. Und es gilt weltweit als in der Praxis anerkannte Regel, dass zwei nicht-identische Menschen unterschiedliche Fingerabdrücke haben. [b] Daher bekommt auch jeder Fingerabdruck-Satz (zehn Finger- und Handflächenabdrücke bilden einen „Satz“) ein eigene, eindeutige Nummer, die so genannte D-Nummer (D wie Daktyloskopie). Sie stellt eine wirklich verlässliche Kennnummer dar für eine erkennungsdienstlich behandelte und damit eindeutig identifizierte natürliche Person.

Im besagten Fall wurde jedoch der genannten Person X, aber auch einer Reihe von anderen Personen aus dessen Umfeld – Personen, die EINDEUTIG NICHT IDENTISCH WAREN! – ein- und dieselbe D-Nummer zugeordnet! Was es in INPOL so aussehen ließ, als seien mehrere Personen mit unterschiedlichen Namen in der Wirklichkeit ein- und dieselbe Person. Diese „Erkenntnis“ fand sich nicht nur im Zentralsystem INPOL. Nein, sie wurde auch noch mehrfach über einen längeren Zeitraum von einer anderen BKA-Abteilung an andere Behörden als Erkenntnis mitgeteilt: „Der X ist identisch mit dem A und dem B und dem C …“ hieß diese Erkenntnis. Damit erbte der X auch die Beschuldigungen, die den A und B und C betrafen. Was zu jahrelangen, gravierenden Nachteilen für den X führte.
Ich habe nach einer umfassenden Analyse des Daten- und Aktenvorgangs dazu mehrere Anfragen beim Bundeskriminalamt gestellt, wie das denn sein könne. Die wurden bisher geflissentlich ignoriert, d.h. ausgesessen und nicht beantwortet.

Diese zwei Beispiele machen deutlich, dass eine Verknüpfung von Informationen einer solchen Nicht-Qualität nur den alten Spruch bestätigt: Garbage In, Garbage out – Wer Mist auswertet, wird auch Mist-Auswertungsergebnisse bekommen.

Der angeblich so tolle Datenschutz

Über „höchste Maßstäbe in puncto Datensicherheit und Datenschutz“ fabuliert die Pressemitteilung des BayLKA dann weiter [c].

• Einige sind Selbstverständlichkeiten oder Allgemeinplätze („Server befinden sich ausschließlich im RZ der Bayerischen Polizei“ u.a.)
• Andere sind wohlfeil, aber unbestimmt „Der Auftragnehmer sichert die No-Spy-Klausel zu“. Dafür kann sich kein Betroffener etwas kaufen. Und bis heute ist nicht klar, ob und in welchem Umfang aufgrund der aktuellen US-Gesetzgebung die deutsche Tochter einer US-Mutter nicht doch zur Herausgabe von Informationen über den Betroffenen gezwungen werden kann.
• Bei der Umsetzung einer weiteren Zusicherung wäre ich zu gerne Mäuschen: Dann nämlich, wenn ein unabhängiges Forschungsinstitut eine vollständige Prüfng des Quellcodes auf mögliche Schadsoftware/Hintertüren (Backdoor-Analyse) vornehmen wird. Das würde ich erst glauben, wenn ich’s mit eigenen Augen sehen könnte. Denn bisher ist die Palantir-Muttergesellschaft, die ja die Eigentümerin der Rechte am Quellcode der Palantir-Systeme ist, dafür bekannt, wie strikt und rigide sie auf die Geheimhaltung ihrer entsprechenden Intellectual Properties achtet. Der Ausweg liegt da möglicherweise in der ergebnisorientierten Auswahl des unabhängigen Forschungsinstituts …

Ein klarer Verstoß gegen Gesetze: Da werden nicht gekennzeichnete, personenbezogene Daten genutzt und weiterverarbeitet …

Doch das sind alles nur Kinkerlitzchen, jedenfalls verglichen mit der Frage, die wie ein Elefant im Raum steht: Wie halten es denn die Betreiber des VeRA-Systems mit der gesetzlich verankerten Kennzeichnungspflicht?!

Die besagt, dass Daten nur zu dem Zweck verarbeitet und genutzt werden dürfen, zu dem sie (ursprünglich) auch erhoben und gespeichert wurden. Das hat zur Folge, dass der Zweck der Datenerhebung und -speicherung auch – im Detail – für jedes einzelne personenbezogene Datum!!!! – mitgespeichert werden muss. Und bei einer späteren Verarbeitung – jede Verknüpfung und Analyse ist eine solche Verarbeitung – auch ausgewertet werden muss. Damit nur solche Daten verknüpft und analysiert werden, deren ursprünglicher Zweck dem Verknüpfungs- und Analysezweck entspricht.

Das aber können die für VeRA verwendeten Quellsysteme NICHT: Weder INPOL, noch das Bund-Länder-System PIAV; noch die Fallbearbeitungssysteme auf der Basis von RS-CASE bzw. RS-FRAME (auch Grundlage für das gerade in Einführung begriffene einheitliche Asservatenmanagementsystem eAMS). Von Vorgangsbearbeitungssystemen ganz zu schweigen. Daraus folgt, dass mit VeRA ein System flächendeckend in der Polizei der Bundesländer und des Bundes in Einführung begriffen ist, das die grundlegenden gesetzlichen Anforderungen (nach Vorgaben des Bundesverfassungsgerichts!) nicht umsetzen kann, weil die zur Verknüpfung herangezogenen Quellsysteme diese wesentliche Voraussetzung der Kennzeichnung personenbezogener Daten nicht mitbringen.

Wir werden in den nächsten Wochen und Monaten erleben, dass Politiker und Polizeifunktionäre viel Mühe darauf verwenden werden, dieses Thema totzuschweigen. Und, wenn das nicht mehr funktionieren sollte, Halbwahrheiten zu verbreiten. Dann wird wieder die alte Leier aufgetischt werden, dass Datenschutz schon mal zurückstehen muss, wenn es um Organisierte Kriminalität geht, oder die Abwehr terroristischer Gefahren usw. usw. Während im Hintergrund daran gearbeitet wird, eine so güldene Lösung wie im BKA-Gesetz auch in den Polizeigesetzen der Länder anzuwenden (sofern nicht ohnehin schon „vorausschauend geschehen“, was ich heute Abend nicht geprüft habe). Indem man zwar eine Kennzeichnungspflicht im Gesetz verbaliter anerkennt. Aber an anderer Stelle dafür sorgt, dass sie auf absehbare Zeit nicht umgesetzt werden muss. So geht Rechtstreue in der Praxis …

Fußnoten

[a]   Genau genommen, hat die Innenministerkonferenz die Saarbrücker Agenda beschlossen (das war im Herbst 2016). Daraus wurde Jahre später vom BKA und dem Bundesinnenministerium dann das Projekt Polizei2020 gemacht.

[b]   Mir ist kein Fall einer nachgewiesenen vollständigen Übereinstimmung der Fingerabdrucksätze zweier nicht-identischer Personen bekannt. Fälschungsmöglichkeiten, z.B. durch Überzug von „Fingerlingen“ mit den Abdrücken einer anderen Person sind denkbar, aber dann muss der Beamte, der die ED-Behandlung durchführt ein Problem haben mit den Augen oder Tomaten dortselbst.

[c]   Ganz am Ende der Pressemitteilung des BayLKA [=1] stehen die wunderbaren Vorkehrungen für die höchsten Maßstäbe des Datenschutzes und der Datensicherheit …

Quellen

[1]   Pressemitteilung des Bayerischen Landeskriminalamts vom 07.03.2022
https://www.polizei.bayern.de/aktuelles/pressemitteilungen/025971/index.html

Verwandte Beiträge

[A]   zu VeRA

VeRA – die gefährlichste Entwicklung in der IT der Sicherheitsbehörden seit 75 Jahren, 12.02.2021

BKA: Data Mining mit VeRA im gemeinsamen Datenhaus, 12.11.2021

Big Data, KI und der Weg in eine teil-autonome Polizeiarbeit, 23.08.2019

VeRA Verfahrensübergreifende Recherche und Analyse

[B]   zu Palantir

„America first“: Warum Vorsicht geboten ist, wenn Palantir die nationalistische Karte zieht, 21.02.2022

PALANTIR

[C]   zu Kennzeichnungspflichten in polizeilichen Informationssystemen

Zum Stand der Kenn­zeich­nungs­pflichten in polizeilichen Informationssystemen, 08.04.2021

[D]   zu Kreuztreffern in ViVA

Probleme mit Kreuztreffern im NRW-Polizeisystem ViVA, 17.06.2020

Polizeidatenbank ViVA machte aus zwei NICHT identischen Menschen einen, 02.02.2021

[E]   zum Fall Amad A.

Fall Amad A.: Manipulationen an Protokoll und Daten, 17.01.2021

Wie Manipulationen in INPOL den Syrer A.A. hinter Gitter brachten …, 04.04.2019

Wenn Daten töten (1): Fall Amad A.: Die fatalen Folgen einer Schwarzfahrt, 28.01.2021

Wenn Daten töten: Fall Amad A. (2): Festnahme mit Haftbefehl eines anderen, 02.03.2021

Wenn Daten töten: Fall Amad A. (3): LKA und LZPD geben Rätsel auf, 08.03.2021

Copyright und Nutzungsrechte

(C) 2022 CIVES Redaktionsbüro GmbH
Sämtliche Urheber- und Nutzungsrechte an diesem Artikel liegen bei der CIVES Redaktionsbüro GmbH bzw. bei dem bzw. den namentlich benannten Autor(en). Links von anderen Seiten auf diesen Artikel, sowie die Übernahme des Titels und eines kurzen Textanreißers auf andere Seiten sind zulässig, unter der Voraussetzung der korrekten Angabe der Quelle und des/der Namen des bzw. der Autoren. Eine vollständige Übernahme dieses Artikels auf andere Seiten bzw. in andere Publikationen, sowie jegliche Bearbeitung und Veröffentlichung des so bearbeiteten Textes ohne unsere vorherige schriftliche Zustimmung ist dagegen ausdrücklich untersagt.