BKA: Data Mining mit VeRA im gemeinsamen Datenhaus

BMI-Staatssekretär Dr. Teichmann, im Bundestag gefragt zum Beschaffungsvorhaben des BayLKA für das Data Mining-Projekt VeRA erklärte, die Bundesregierung äußere sich nicht zu Beschaffungs­verfahren der Länder. Das überrascht:

• Denn Bayern beschafft auch im Auftrag des Bundesinnenministeriums und anderer Behörden;
• „im Rahmen von Polizei2020“ soll VeRA eingesetzt werden auf dem „gemeinsamen Datenhaus“ beim BKA
• und nicht nur die Polizei, sondern auch „andere Sicherheitsbehörden“, also Verfassungsschutz und Nachrichtendienste, sollen ebenfalls VeRA nutzen | Lesedauer: Ca. 10 Minuten

VeRA – verfahrensübergreifende Recherche und Analyse im gemeinsamen Datenhaus im BKA

VerA – Sie erinnern sich vielleicht – ist das Projekt zur geplanten Beschaffung einer „verfahrensübergreifenden Recherche- und Analyseplattform“ (VeRA) [A]. In einem außergewöhnlichen Verfahren [a] machte das Bayerische Landeskriminalamt (BayLKA) dieses Beschaffungsvorhaben am 18.01.2021 bekannt [A]. Bayern bezeichnet sich darin als „Primärauftraggeber“.

Man beschaffe aber auch „im Auftrag anderer öffentlicher Auftraggeber“, namentlich des Bundesministeriums des Inneren (für das Bundeskriminalamt und die Bundespolizei), des Bundesministeriums der Finanzen (für das Zollkriminalamt) und für die anderen 15 Bundesländer. Die werden als „Sekundärauftraggeber“ bezeichnet. Sie haben das Recht, aber nicht die Verpflichtung, das System zu erwerben, für das sich das BayLKA entscheiden wird. (Dass Bayern diese Entscheidung allein trifft und ohne enge Abstimmung mit den Sekundärauftraggebern, darf bezweifelt werden.)

Aktuelle Anfrage im Bundestag nach dem Status von VerA

In den zehn Monaten, die seit der Auftragsbekanntmachung aus München vergangen sind, gab es kaum Verlautbarungen über den Fortgang des Vorhabens. Ein guter Grund also für den Abgeordneten Konstantin von Notz von den Grünen, in einer schriftlichen Frage im neuen Bundestag mal nach dem Stand der Dinge zu fragen:

Staatssekretär Dr. Teichmann aus dem BMI will sich nicht äußern

Darauf antwortete Dr. Helmut Teichmann, einer der fünf Staatssekretär aus dem Bundes­innen­ministerium am 13.10.2021: Es sei

Herr Dr. Teichmann ist einer der beiden Staatssekretäre, der die Strategie und praktische Politik der Inneren Sicherheit des Bundesinnenministeriums verantwortet. Daher wird er wohl Kenntnis haben von der Mandatierung des BayLKA durch sein Haus. Seine Antwort auf die Anfrage im Bundestag wirkt wie eine schlechte Ausrede. Und provoziert einen genaueren Blick in die Auftragsbeschreibung für VeRA aus dem BayLKA. Und die hat es in sich: Denn VeRA soll

Das neue BKA-Gesetz, Polizei2020 und VeRA

In dem 2017 neu gefassten BKA-Gesetz wurde die polizeiliche Informationsordnung „fundamental umgestaltet“ [2]: Im Zentrum steht jetzt der „polizeiliche Informationsverbund„, für den das Bundeskriminalamt als Zentralstelle ein „einheitliches Verbundsystem“ zur Verfügung stellt. Innerhalb dieses Systems stellen die teilnehmenden Behörden (Bundes- und Länderpolizeien) „einander Daten zum Abruf und zur Verarbeitung zur Verfügung“.

Zur Umsetzung hat das BMI im Jahr 2018 das Programm ‚Polizei2020‚ aus der Taufe gehoben. Dessen wesentliche Aufgabe besteht darin, beim BKA ein „gemeinsames Datenhaus“ aufzubauen.

Dort sollen nicht nur „verbundrelevante Informationen“ aus allen Teilnehmerbehörden gespeichert werden. Das sind, in §30 BKAG weit gefasst,

Welche Straftaten „nach allgemeiner kriminalistischer Erfahrung“ im einzelnen verbundrelevant werden, können die teilnehmenden Behörden einvernehmlich selbst festlegen.

Das gemeinsame Datenhaus soll „mandantenfähig“ ausgestaltet werden. Damit die teilnehmenden Behörden (vor allem der Länder) dort auch die Informationen speichern und verarbeiten können, die nicht verbundrelevant sind und auf die nur die besitzende Behörde Zugriff hat. Und wissen, welche Daten ihnen „gehören“.

Aktuell legen BMI und BKA eine hohe Priorität auf die Konsolidierung und Harmonisierung der Vorgangs­bearbeitungs­systeme auf dem gemeinsamen Datenhaus. Die enthalten, wie jeder Praktiker weiß, einen wahren Schatz über alle Tätigkeiten der Polizei und die damit zusammenhängenden Informationen: Egal, ob es um das Wiederauffinden der dementen alte Dame geht, oder um die Ruhestörung, über die sich der Nachbar beschwert, um Laden- oder Fahrraddiebstahl, oder schwere Kriminalität.

Informationsaustausch – das drängendste Problem der Länder kam unter die Räder

Die Länder haben schon im Herbst 2016 in ihrer ‚Saarbrücker Agenda‘ ein ganz anderes Kernproblem artikuliert [3]: Sie brauchen dringend einen funktionierenden Informationsaustausch, z.B. im polizeilichen Staatsschutz oder für Organisierte Kriminalität, umso mehr als die entsprechenden Ausbaustufen des PIAV für diese Deliktsbereiche zwar seit Jahren versprochen, aber noch immer nicht verfügbar sind.

Dieses Anliegen ist weitaus dringender – übrigens auch für uns Bürger – als prinzipiell funktionsfähige und im Wirkbetrieb befindliche Vorgangsbearbeitungssysteme zu „harmonisieren“ und die darin gespeicherten Informationn auf das gemeinsame Datenhaus umzuziehen (oder auch nicht, denn das scheint noch gar nicht entschieden zu sein). Doch BMI und BKA sind ersichtlich sehr daran interessiert, diese Vorgangsbearbeitungssystem und deren Datenschatz zeitnah auf das gemeinsame Datenhaus zu bringen. Und machen den Teilnehmern / Ländern diese Idee schmackhaft mit angeblichen Einsparmöglichkeiten und erhöhter Wirtschaftlichkeit des Betriebs auf dem gemeinsamen Datenhaus und mit finanziellen Versprechungen einer anteiligen Finanzierung aus dem Polizei-IT-Fonds.

Kennzeichnungspflichten für personenbezogene Daten im Gesetz

Damit personenbezogene Informationen übermittelt oder weiterverarbeitet werden dürfen, muss

• jedes einzelne personenbezogene Datum
• mit mehreren Filterkriterien

gekennzeichnet sein:

Dazu gehören unter anderem die Rolle der Person (Zeuge, Geschädigter, Beschuldiger, Kontaktperson, usw.), die Rechtsgüter bzw. Straftaten, derentwegen die Daten über die Person erhoben wurden oder die Stelle, die die Daten erhoben hat.

Zu kennzeichnen ist insbesondere

1. jedes identifizierende oder beschreibende Merkmal zu einer Person (wie Namensbestandteile, Geburtsdatum und -ort, Staatsangehörigkeit, Größe und Aussehen, sowie die so genannten personengebundenen Hinweise u.v.m.)
2. jede Beziehung der Person zu anderen Personen, Gruppierungen, Adressen einschließlich Telefon, Email und Internet-URLs, Firmen u.ä. sowie Fahrzeugen und anderen Sachen. /li>
3. Noch weitgehend ungeklärt ist die technische Umsetzung der Kennzeichnung von personenbezogenen Informationen, die in (unstrukturierten) Textdokumenten enthalten sind.

Gesetzlich vorgeschriebene Kennzeichnungspflichten wurden unbefristet ausgesetzt

Kurz vor der Abstimmung im Bundestag über den Gesetzentwurf zum neuen BKA-Gesetz der Bundesregierung wurde noch ein §91 ins Gesetz eingefügt. Der besagt, dass die in §14 BKAG gesetzlich verlangte Kennzeichnungspflicht „übergangsweise“ ausgesetzt wird, d.h. also auf unbefristete Zeit nicht verlangt wird.

Diese Anforderungen zur Kennzeichnung sind noch nicht einmal neu: Schon im alten BKA-Gesetz von 2008 gab es Kennzeichnungspflichten. Doch weder die ältere Servertechnik beim BKA – z.B. für das bisherige Verbundsystem INPOL – noch der Zentralserver beim BKA für PIAV Operativ Zentral können diese längst bekannte Anforderung realisieren. Dieser Zustand besteht schon seit Inkrafttreten des Gesetzes Ende Mai 2018. Und wird wohl noch sehr lange weiter anhalten.

Atemberaubend ist die Nonchalance, ein Autor aus der neuesten Auflage des Handbuchs des Polizeirechts nannte es sogar „Chuzpe“, mit der gesetzliche Anforderung ins Gesetz geschrieben wurden, die mit der vorhandenen technischen Umsetzungsfähigkeit beim BKA gar nicht zu erfüllen sind. Umso mehr, als Fachleute auf IT- bzw. Projektleitungsebene im BKA seit Jahren die Abschaffung des einzigen Systems, nämlich INPOL-Fall, betrieben haben, das in der Lage wäre, die gesetzlichen Kennzeichnungs-Anforderungen zu erfüllen.

Im Gesetz geforderte Datenschutz-Vorkehrungen

Im neuen BKA-Gesetz wird auch gefordert, dass „das BKA durch organisatorische und technische Maßnahmen sicherzustellen hat“, dass „Eingaben von und Zugriffe auf Daten im polizeilichen Informationsverbund“ nur durch Berechtigte möglich sind.
Es besteht das Risiko, dass man auch mit dieser klaren gesetzlichen Anforderung umgeht wie mit der Kennzeichnungspflicht: Auch diese Anforderung könnte „übergangsweise“ über Bord geworfen werden und nicht umgesetzt werden. Oder wesentlich abgeschwächt werden. Was für Betroffene überhaupt nicht festzustellen ist. Und von Datenschutzbeauftragten auch nur bei Prüfungen vor Ort bemerkt werden könnten. Die allerdings nicht selbst Hand anlegen dürfen, sondern höflich darum bitten müssen, dass man ihnen bestimmte Funktionen vorführt [b].

Das ist die Gesetzeslage und faktische Situation, wie sie sich aktuell für den polizeilichen Informations­verbund und das gemeinsame Datenhaus darstellt.

Data Mining mit VeRA könnte bestehende technische Unzulänglichkeiten auf einen Schlag erträglich machen

In diese Situation provoziert Staatssekretär Dr. Teichmann Neugierde mit seinem befremdlichen Umschiffen einer klaren Antwort: Und tatsächlich stellt man beim Nachlesen in der Auftragsbeschreibung des bayerischen Beschaffungsvorhabens für VeRA mit Erstaunen fest, dass nun auch VeRA „im Rahmen von Polizei2020 … für die Modernisierung des polizeilichen Informationswesens von Bund und Ländern“ eingesetzt werden soll.

DAS nenne ich echte Chuzpe: Denn VeRA ist, ungeachtet der umständlichen Bezeichnung („verfahrensübergreifende Recherche und Analyse“) vor allem ein Data-Mining-System. Das wie ein riesiger Filter die Daten im gemeinsamen Datenhaus durchsieben kann und in dem hängenbleibt, was künstliche Intelligenz, Mustererkennung & Co. für signifikant halten.

Und das sich – nach entsprechender Anpassung – auch nicht darum schert, mit welcher Datenbankstruktur die Datenbanken der Quellsysteme aufwarten: Nach der Anpassung kann eine solches System datenbankübergreifend Abgleiche und Auswertungen durchführen und zwar gleichzeitig z.B. im Fahndungs- und Auskunftssystem INPOL, in INPOL-Fall-Datenbanken, dem b-case-System (z.B. in der GED, der Gemeinsamen Ermittlungsdatei im Staatsschutz), in PIAV-Datentöpfen und im konsolidierten Vorgangsbearbeitungssystem (, auf das wir gleich noch zu sprechen kommen) auf dem gemeinsamen Datenhaus.

Data Mining im gemeinsamen Datenhaus OHNE Kennzeichnung – ein absolutes No Go

Das ist schon kritisch zu sehen, wenn es mit personenbezogenen Informationen geschieht, die ordnungemäß gekennzeichnet sind. Und daher von einem solchen Mining-Prozess gefiltert werden KÖNNEN.

In Polizei 2020 sollen aber Data-Mining-Verfahren eingesetzt werden, OHNE dass die Daten im gesetzlichen Umfang gekannzeichnet sind. Daher können sie auch nicht gefiltert werden. Das ist für jeden Betroffenen ein Alptraum und wird es für viele auch werden, wenn ein solches System in den Wirkbetrieb geht.

Und ist – übrigens – auch nicht wünschenswert für die Polizeibehörden als Nutzer. Die sich auf die Zusicherung von „Mandantenfähigkeit“ („Welche Daten gehören unserer Behörde und welche nicht?“) verlassen (müssen), Und auch nicht zugeschüttet werden wollen mit irrelevanten Mining-Treffern, nur weil beim schlampig programmierten Abgleich von Personennamen Thomas Schmidt, geb. Müller „verwechselt“ wird mit einem der vielen anderen Menschen, von denen jeder Thomas Müller heißt (, ein Fall, der tatsächlich so geschehen ist, nur nicht mit „Thomas Müller“).

Soll VeRA das neue Verbundsystem werden zwischen Polizei und Verfassungsschutz?

Ferner überrascht der Zusatz „… und Sicherheitsbehörden“ in der Aufgabenbeschreibung für VeRA: Denn Polizei2020 war bisher beschrieben worden als Kooperationsprojekt der Polizeibehörden von Bund und Ländern. Der Zusatz macht jedoch nur dann Sinn, wenn man vorhat, die übrigen Sicherheitsbehörden, vor allem die Verfassungsschutzbehörden, via VeRA in einen Informationsverbund mit den Polizeibehörden einzubeziehen.

Arbeiten die Verfassungsschutzämter heute schon mit einem Data Mining-System à la VeRA?

Der Zusatz deutet außerdem darauf hin, dass diese Sicherheitsbehörden mit Informationen aus bzw. dem System VeRA selbst etwas anfangen können. Bedeutet dies, dass auch die Verfassungsschutzämter – oder zumindest das Bundesamt für Verfassungsschutz – oder Nachrichtendienste mit DEM System arbeiten (werden) oder schon arbeiten, das vom BayLKA erst noch ausgesucht werden soll?

Existiert aktuell eine Rechtsgrundlage für diese Form der Zusammenarbeit zwischen Polizei- und Nachrichtendiensten?

Derzeit geht es ja „nur“ um die BESCHAFFUNG des Systems im Rahmen von Polizei2020. Allenfalls der Rechnungshof und der Steuerzahler könnten später Kritik äußern, wenn Geld für ein System VeRA ausgegeben wurde, für dessen NUTZUNG es gar keine Rechnungsgrundlage gibt. Denn damit sieht es etwas verzwickt aus:

Urteil des Bundesverfassungsgerichts Antiterrordatei II

Für die gemeinsame Nutzung von Informationssystemen durch Polizei UND Verfassungsschutz bzw.Nachrichtendienste gab es früher im eingeschränkten Umfang eine Rechtsgrundlage: Im Gesetz für die Antiterrordatei (ATD), die von Polizei und anderen Sicherheitsehörden in gemeinsamen Projekten genutzt werden durfte. Nach einem ersten Urteil des Bundesverfassungsgerichts im Jahr 2013 wurde das ATD-Gesetz überarbeitet. Doch auch gegen die neue Gesetzesfassung gab es wieder eine Verfassungsbeschwerde. Über die hat das Bundesverfassungsgericht mit Urteil vom 10.11.2020 („Antiterrordateigesetz II“) entschieden. In den Leitsätzen steht

Genau darum geht es auch bei VeRA.

Projektbezogene gemeinsame Dateien in §17 des BKA-Gesetzes

Die Bundesregierung hatte jedoch schon vor dem Urteil des BVerfG Vorkehrungen getroffen. Wie schon im BKA-Gesetz von 2008 gibt es auch im BKA-Gesetz von 2017 einen eigenen Paragraphen (§17) über „projektbezogene gemeinsame Dateien“, der so beginnt:

Die hypothetische Datenneuerhebung im neuen BKA-Gesetz

HyDaNe, dieser im Gesetz neue Grundsatz (in §12) besagt (hier etwas vereinfacht dargestellt), dass das BKA personenbezogene Daten, DIE ES SELBST ERHOBEN HAT, weiterverarbeiten, also insbesondere nutzen und auswerten kann

1. zur Erfüllung derselben Aufgabe und
2. zum Schutz derselben Rechtsgüter oder zur Verfolgung oder Verhütung derselben Straftaten.

Kennzeichnungen nach dem Urteil des Bundesverfassungsgerichts zur Antiterrordatei II

Voraussetzung für diese Befugnis ist, nach dem 1. Leitsatz im o.g. Urteil des BVerfG, dass bei der Speicherung jedes einzelne personenbezogenen Datums gekennzeichnet wird,

• welche Behörde die Information erhoben hat (hier also nur das BKA),
• zu welcher Aufgabe die Information erhoben wurde und
• zum Schutz welcher Rechtsgüter.

Wir hatten ja oben schon generell über die Kennzeichnungspflichten aus dem neuen BKA-Gesetz geschrieben. Die drei gerade genannten kommen nun noch hinzu aus dem Urteil zur Antiterrordatei II. Auch diese Kriterien wirken wie ein Filter: Nur solche personenbezogenen Informationen, die diese drei Filterkriterien erfüllen, dürften nach dem Leitsatz 1 überhaupt geteilt werden.

Wir können die weitere Betrachtung schon an dieser Stelle abbrechen: Denn die aktuell eingesetzten Informationssysteme beim BKA, egal ob INPOL, b-case/eFBS oder PIAV sind technisch NICHT in der Lage, solche Kennzeichnungen bei jedem einzelnen personenbezogenen Datum zu speichern. (INPOL-Fall müsste und könnte aufgerüstet werden, um die Kennzeichnungspflichten darzustellen). Das hat zur Folge, dass wegen der fehlenden Kennzeichnung weder gemeinsame Dateien noch ein Data Mining „für Sicherheitsbehörden“ „eigentlich“ zulässig sind.

Wieder einmal gilt die Einschränkung „eigentlich“: Denn die Erfahrung seit dem BKA-Gesetz 2008 zeigt, dass das CDU/CSU-geführte Bundesinnenministerium in seinen Gesetzentwürfen für die Sicherheitsbehörden Maximalforderungen zur Rechtsgrundlage für viele Jahre macht. Die erst dann wieder kassiert werden, wenn jemand auf den Plan tritt, der die notwendigen Voraussetzungen und Kenntnisse mitbringt für die nächste Verfassungsbeschwerde. Bis die dann verhandelt ist, wenn sie denn überhaupt verhandelt wird, vergehen erfahrungsgemäß Jahre. Und bis dahin können die Sicherheitsbehörden mit personenbezogenen Informationen nahezu tun und lassen, was sie wollen.

Fußnoten

[a]   In der Regel übernehmen große Beschaffungsbehörden, wie insbesondere das Beschaffungsamt des BUndesmnisteriums des Innern Beschaffungsvorhaben im Auftrag (auch)von anderen Behörden. Dass dies EIN LKA für die anderen Bundesländer übernimmt, ist eher ungewöhnlich.

[b]   So die Datenschutzbeauftragte des Landes SChleswig-Holstein, Frau Marit Hansen, auf meine Frage beim Online-Symposium des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit am 6.10.2021.

Quellen

[1]   VeRA Verfahrensübergreifende Recherche und Analyse

[2]   Der Umsturz kommt zu früh – Anmerkungen zur polizeilichen Informationsordnung nach dem neuen BKA-Gesetz, 08.06.2017, Prof. Matthias Bäcker im Verfassungsblog

[3]   Saarbrücker Agenda, 30.11.2017

Verwandte Beiträge

[A]   VeRA – die gefährlichste Entwicklung in der IT der Sicherheitsbehörden seit 75 Jahren, 12.02.2021

Copyright und Nutzungsrechte

(C) 2021 CIVES Redaktionsbüro GmbH
Sämtliche Urheber- und Nutzungsrechte an diesem Artikel liegen bei der CIVES Redaktionsbüro GmbH bzw. bei dem bzw. den namentlich benannten Autor(en). Links von anderen Seiten auf diesen Artikel, sowie die Übernahme des Titels und eines kurzen Textanreißers auf andere Seiten sind zulässig, unter der Voraussetzung der korrekten Angabe der Quelle und des/der Namen des bzw. der Autoren. Eine vollständige Übernahme dieses Artikels auf andere Seiten bzw. in andere Publikationen, sowie jegliche Bearbeitung und Veröffentlichung des so bearbeiteten Textes ohne unsere vorherige schriftliche Zustimmung ist dagegen ausdrücklich untersagt.