5G, Standortdaten und der Zielfehler des Rechts

Tue, 18 Aug 2026 00:00:00 +0000

2011 forderte die Polizei von Detroit bei einem Mobilfunkanbieter die Einbuchungshistorie des Telefons von Timothy Carpenter an. Sie erhielt 12 898 Standortpunkte über 127 Tage hinweg, rund hundert pro Tag. Sieben Jahre später entschied der Oberste Gerichtshof der Vereinigten Staaten, dass diese Anfrage eine Durchsuchung darstellte und einen richterlichen Beschluss erforderte.

Diese 12 898 Punkte stammten von Antennen der vierten Generation, von denen jede einen Radius von mehreren Kilometern abdeckte. Dieselbe Anfrage, heute an ein städtisches 5G-Netz gerichtet, würde nicht hundert Punkte pro Tag auf wenige Kilometer genau liefern. Sie würde ein weit größeres Volumen liefern, auf einige Dutzend Meter genau.

Die Technik hat die Größenordnung gewechselt. Die juristische Argumentation ist an derselben Stelle der Kette geblieben.

Ein Rechtsgut, das Gerichte auf beiden Seiten des Atlantiks anerkennen

Es gibt ein Interesse, das fast alle einräumen und fast kein Rechtstext wirksam schützt: das Recht, sich irgendwo aufzuhalten, ohne dass dieser Umstand aufgezeichnet wird.

Die europäische Rechtsprechung hat es unmissverständlich festgestellt. In Digital Rights Ireland (verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014) und anschließend in Tele2 Sverige und Watson (verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016) entschied der Gerichtshof der Europäischen Union, dass diese Daten in ihrer Gesamtheit sehr genaue Schlüsse auf das Privatleben der Betroffenen zulassen: Gewohnheiten des täglichen Lebens, Aufenthaltsorte, Ortsveränderungen, ausgeübte Tätigkeiten und soziale Beziehungen.

Der Oberste Gerichtshof der Vereinigten Staaten kam in Carpenter v. United States , 585 U.S. 296 (2018), zu einem ähnlichen Ergebnis. Er betonte einen Punkt, den die amerikanische Literatur viel kommentiert hat: den unausweichlichen und automatischen Charakter dieser Erhebung. Man willigt nicht ein, an eine Antenne angebunden zu werden, man ist es, weil man ein eingeschaltetes Telefon besitzt.

Das Rechtsgut existiert also und wird von den beiden Gerichten anerkannt, auf die es in dieser Frage ankommt. Das Problem liegt woanders.

Was 5G tatsächlich verändert hat

Eine verbreitete Verwechslung besteht darin, den Standort als Datum zu behandeln, das das Telefon übermittelt, so wie eine Nachricht oder ein Foto. Das ist nicht der Fall. Der Standort ist eine physikalische Folge der Funktionsweise des Netzes. Der Betreiber weiß, an welcher Antenne das Gerät hängt, weil er es wissen muss, um einen Anruf durchzustellen. Es gibt keinen Schlüssel, mit dem sich diese Information verschlüsseln ließe, denn sie ist kein Inhalt, sondern eine Eigenschaft der Verbindung selbst.

Genau das macht 5G in rechtlicher, nicht in technischer Hinsicht bedeutsam.

Frühere Architekturen beruhten auf großen Funkzellen. Eine 4G-Antenne versorgt üblicherweise einen Radius von mehreren Kilometern, und die allein aus der Einbuchung abgeleitete Position bewegte sich in der Stadt im Bereich von Hunderten Metern, auf dem Land bisweilen im Bereich von Dutzenden Kilometern. 5G beruht auf massiver Verdichtung: städtische Zellen decken typischerweise einige hundert Meter ab, und die ingenieurwissenschaftliche Literatur rechnet mit Dichten in der Größenordnung von vierzig bis fünfzig Basisstationen pro Quadratkilometer, gegenüber vier oder fünf zur Zeit von 3G.

Die Folge ist zwangsläufig. Laut dem Ericsson-Whitepaper zur 5G-Positionsbestimmung erreicht die allein für die Konnektivität ausgerollte Infrastruktur eine Genauigkeit von zwanzig bis fünfzig Metern im Freien und von ein bis drei Metern in Gebäuden und sinkt unter günstigen städtischen Bedingungen unter einen Meter. Es handelt sich nicht um eine irgendwo aktivierte Ortungsfunktion, sondern um das, was das Netz bauartbedingt weiß, ohne dass eine App installiert oder eine Berechtigung erteilt wäre. Wir haben all diese Mechanismen samt der tatsächlich wirksamen Gegenmaßnahmen in unserem Artikel über die dauerhafte Ortung des Telefons ausführlich dargestellt.

Der Eingriff hat also um mehrere Größenordnungen zugenommen. Der anwendbare Rechtsrahmen ist der für 2G und 3G gedachte geblieben. Keine normative Anpassung hat diesen Maßstabswechsel begleitet.

Das Recht schützt den Zugriff, nicht die Entstehung

Das europäische Recht regelt sorgfältig, wer unter welchen Voraussetzungen und unter welcher Kontrolle auf Standortdaten zugreifen darf. Die Richtlinie 2002/58/EG stellt den Grundsatz der Vertraulichkeit der Kommunikation auf, und der Gerichtshof entschied in La Quadrature du Net (verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020), dass Artikel 15 Absatz 1 dieser Richtlinie im Licht der Artikel 7, 8, 11 und 52 Absatz 1 der Charta einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten zu präventiven Zwecken entgegensteht. Der Gerichtshof ließ allerdings eng gefasste Ausnahmen zu, wenn ein Mitgliedstaat einer ernsten Bedrohung der nationalen Sicherheit gegenübersteht, die sich als real und aktuell oder vorhersehbar erweist, vorbehaltlich einer wirksamen Kontrolle.

Das sind echte Schutzmechanismen, und es wäre absurd, sie kleinzureden. Aber sie greifen alle erst im Nachhinein. Sie setzen voraus, dass das Datum existiert und gespeichert wird, und regeln danach die Bedingungen seiner Auswertung.

Wenn der Standort jedoch ein unvermeidbares Nebenprodukt des Netzbetriebs ist, dann ist nicht die Vertraulichkeit der richtige Ansatzpunkt. Es ist die Persistenz.

Eine augenblickliche Position, die zur Durchleitung einer Kommunikation nötig ist und sofort danach gelöscht wird, ist kein Überwachungsinstrument. Eine über Monate gespeicherte Positionshistorie ist eines, gleich welche Zugriffsgarantien sie umgeben.

Der Unterschied zwischen beiden ist kein juristischer, sondern ein architektonischer. Und der europäische Zeitplan macht die Frage dringend statt theoretisch. Die Kommission hat den Vorschlag für eine ePrivacy-Verordnung 2025 mangels Einigung zwischen den Mitgesetzgebern zurückgezogen. Sie arbeitet seitdem an einem eigenständigen Instrument zur Datenspeicherung für strafrechtliche Zwecke, das für 2026 angekündigt ist und die seit der Nichtigerklärung der Richtlinie von 2006 uneinheitlich gewordenen nationalen Regelungen harmonisieren soll. Mit anderen Worten: Der Text, der für ein Jahrzehnt das Regime der Standortmetadaten festlegen wird, entsteht gerade jetzt, auf der Grundlage einer Argumentation, die zur Zeit kilometergroßer Funkzellen entwickelt wurde.

Der Präzedenzfall, den 5G selbst geschaffen hat

Das Interessanteste an diesem Vorgang ist, dass die richtige Antwort bereits im technischen Standard steht, dort aber auf einen anderen Gegenstand angewandt wird.

Bis 4G wurde die dauerhafte Teilnehmerkennung, die IMSI, beim Anmelden im Klartext über die Funkschnittstelle übertragen. Das machte IMSI-Catcher möglich, jene falschen Basisstationen, die laut der maßgeblichen Beschreibung der Electronic Frontier Foundation stärker senden als die legitimen Antennen, um Endgeräte anzuziehen und deren Kennung abzugreifen.

Seit Release 15 der 3GPP-Spezifikationen, veröffentlicht 2019, bringt 5G eine elegante Antwort. Die dauerhafte Kennung, nunmehr SUPI genannt, kann auf der Funkschnittstelle durch die SUCI ersetzt werden, eine verborgene Kennung, die entsteht, indem der teilnehmerspezifische Teil mittels Elliptische-Kurven-Kryptografie mit dem öffentlichen Schlüssel des Heimatnetzbetreibers verschlüsselt wird. Nur das Heimatnetz, das den zugehörigen privaten Schlüssel besitzt, kann sie entschlüsseln. Das Ergebnis ist bei jeder Berechnung ein anderes, was die Korrelation von einer Sitzung zur nächsten verhindert.

Die gewählte Logik verdient Hervorhebung, denn sie ist genau jene, die den Gesetzgeber leiten sollte: Man verschlüsselt nicht die Position, was technisch unmöglich wäre, man verschlüsselt die Identität. Eine Position ohne zurechenbare Identität hat für individualisierte Überwachung nur sehr begrenzten Wert.

Die Schwachstelle: ein optionaler Schutz

Es gibt allerdings einen erheblichen Vorbehalt, und das ist aus unserer Sicht der konkreteste Ansatzpunkt des gesamten Vorgangs.

Das Whitepaper NIST CSWP 36A , im März 2026 vom National Institute of Standards and Technology veröffentlicht, benennt ihn unverblümt. Endgeräte und Netzfunktionen, die Release 15 oder später entsprechen, müssen die SUCI unterstützen, ihre Aktivierung bleibt jedoch dem Betreiber freigestellt. Drei Bedingungen müssen zusammentreffen: Der Gerätehersteller muss sie unterstützen, der Betreiber muss sie in seinem Netz aktivieren, und die SIM-Karte muss die für die Berechnung nötigen Elemente tragen.

Hinzu kommt eine Konfigurationsfalle. Der Standard sieht ein Null-Schutzverfahren vor, bei dem das SUCI-Format formal verwendet wird, aber ohne tatsächliche Verschlüsselung, sodass die Kennung im Klartext übertragen wird. NIST schreibt, dass der Betreiber sein Netz mit einem Schutzverfahren ungleich null konfigurieren muss, und erinnert daran, dass ein Bericht des CSRIC, des Beratungsgremiums der Federal Communications Commission, bereits 2021 empfahl, das Nullverfahren allein Notrufen von einem dem Netz unbekannten Endgerät vorzubehalten.

Die Feststellung verdient es, so stehen gelassen zu werden. Der beste verfügbare Schutz gegen die Nachverfolgung von Mobilgeräten existiert im technischen Standard seit 2019. Er beruht auf einer Konfigurationsentscheidung, die im Ermessen des Betreibers liegt. Eine amerikanische Bundesbehörde hält es für sinnvoll, 2026 ein Dokument zu veröffentlichen, um daran zu erinnern, dass man ihn einschalten sollte. Und kein europäisches Rechtsinstrument schreibt ihn vor.

Hinzuzufügen ist, dass die SUCI das Thema nicht abschließt. Die unter dem Titel 5G SUCI-catchers: still catching them all? vorgestellten Arbeiten dokumentieren Verknüpfungsangriffe, die es erlauben, Sitzungen trotz der Verschlüsselung erneut zu korrelieren, und der Schutz fällt vollständig weg, wenn der Angreifer das Endgerät zum Wechsel auf eine ältere Generation zwingt. Eine rechtliche Pflicht würde also nicht alles lösen. Sie würde gleichwohl eine Lücke beseitigen, für die es keine vertretbare Rechtfertigung gibt: die zwischen dem, was der Standard erlaubt, und dem, was kommerzielle Netze tun.

Drei stimmige Eingriffe

Nimmt man den Gedanken ernst, dass Standortdaten durch Technikgestaltung minimiert statt nachträglich geschützt werden sollten, ergeben sich drei Maßnahmen zwangsläufig.

Die wirksame Verbergung der Kennung verpflichtend machen. Die Aktivierung der SUCI vorschreiben und Null-Schutzverfahren in kommerziellen Netzen untersagen, abgesehen vom Restfall der Notrufe. Es geht nicht darum, eine neue Technologie vorzuschreiben oder einen Ausbau zu finanzieren, sondern darum, die Aktivierung einer seit sieben Jahren standardisierten und in den Geräten bereits vorhandenen Funktion zu verlangen.
Die Speicherung als Ausnahme behandeln, nicht als Voreinstellung. Die zur Durchleitung einer Kommunikation nötige Position sollte gelöscht werden, sobald diese Funktion erfüllt ist. Der Aufbau einer Historie sollte eine besondere Rechtfertigung verlangen. Das ist der Unterschied zwischen einem Netz, das weiß, wo Sie sind, und einem Netz, das sich erinnert, wo Sie waren.
Die Schlüsselhoheit zum maßgeblichen Anknüpfungspunkt machen. Der Standort der Server in der Union bedeutet wenig, wenn die Schlüssel, mit denen sich die Daten lesbar machen lassen, anderswo liegen. Das rechtlich erhebliche Kriterium sollte die tatsächliche Verfügungsgewalt über die Entschlüsselungsmittel sein, eine Frage, die wir am Konflikt zwischen Data Act und CLOUD Act ausführlich untersucht haben.

Der Ansatz, dem Arpokrat folgt

Diese Argumentation ist nicht auf das Telekommunikationsrecht beschränkt. Es ist jene, die wir auf unsere eigenen Architekturentscheidungen anwenden, und sie passt in einen Satz: Was nicht erzeugt wurde, muss nicht geschützt werden.

Deshalb entfernt ArpokratOS GPS, Bluetooth und NFC auf Kernel-Ebene, statt sie in einem Menü abzuschalten. Ein Schalter ist eine Richtlinie: Er kann von einer privilegierten Komponente umgangen, durch ein Update wieder eingeschaltet, von einem kompromittierten System ignoriert werden. Den Codepfad zu entfernen, beseitigt die Frage. Das ist auf Geräteebene die Übertragung derselben Verschiebung, die wir auf der Ebene des Rechts fordern: bei der Entstehung ansetzen statt beim Zugriff.

Sogleich ist zu sagen, was das nicht leistet. Kein Betriebssystem entzieht ein Endgerät der Geometrie des Netzes. Solange eine SIM-Karte aktiv ist, kennt der Betreiber die Funkzelle, und die vollständige Leitung des Verkehrs über Tor ändert daran nichts, denn sie schützt Inhalt und Ziel, nicht die Funkschicht. Genau deshalb ist das Thema ein juristisches. Es gibt eine Kategorie von Risiken, die keine individuelle Konfiguration verringert und für die die einzige verfügbare Stellschraube die für den Betreiber geltende Regel ist.

Dieselbe Sorge bestimmt den Rest unserer Arbeit. Ein Datum, das nicht existiert, kann weder beschlagnahmt noch weiterverkauft noch abgezogen noch in zehn Jahren von einer Maschine entschlüsselt werden, über die heute niemand verfügt, eine Frage, die wir unter dem Blickwinkel der heute geernteten und später gebrochenen Verschlüsselung behandelt haben.

Fazit

Die öffentliche Debatte über Mobilfunküberwachung konzentriert sich fast ausschließlich auf den Zugriff: Wer darf die Daten einsehen, auf welcher Grundlage, mit welcher Genehmigung. Diese Debatte ist berechtigt, und die seit 2014 vom Gerichtshof ergangenen Entscheidungen haben spürbare Wirkung entfaltet. Aber sie setzt zu spät in der Kette an.

Die vorgelagerte und entscheidendere Frage lautet, ob die Historie überhaupt existieren soll. Ein heute aus legitimem Grund angelegter Bestand steht morgen für einen anderen zur Verfügung, und die ihn umgebenden Garantien hängen von späteren politischen Entscheidungen ab, die im Moment der Erhebung niemand in der Hand hat. Das ist eine Wette auf die Stabilität der Institutionen, abgeschlossen für eine Dauer, die niemand festlegt.

5G hat die Auflösung dieser Information vervielfacht, ohne dass eine normative Anpassung erfolgt wäre. Zugleich hat es mit dem SUCI-Mechanismus gezeigt, dass der gangbare Weg darin besteht, Position und Identität voneinander zu lösen, statt zu versuchen, eine physikalische Eigenschaft des Netzes zu verschlüsseln. Der technische Standard hat die Antwort sieben Jahre geliefert, bevor das Recht die Frage stellte.

Der europäische Text zur Datenspeicherung entsteht jetzt. Er wird Metadaten betreffen, also Standortdaten, also das, was 5G inzwischen in einer Feinheit erzeugt, die seine Verfasser nicht gekannt haben. Ob er sich damit begnügt, den Zugriff auf eine als gegeben hingenommene Historie zu regeln, oder ob er es wagt, die Notwendigkeit dieser Historie zu hinterfragen, ist wahrscheinlich die wichtigste Datenschutzfrage der kommenden Jahre in Europa. Und es ist eine Frage, die der technische Sektor ausnahmsweise bereits im richtigen Sinne entschieden hat.

Quellen

Gerichtshof der Europäischen Union, Digital Rights Ireland , verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014
Gerichtshof der Europäischen Union, Tele2 Sverige und Watson , verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016
Gerichtshof der Europäischen Union, La Quadrature du Net u. a. , verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020
Supreme Court of the United States, Carpenter v. United States , 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, März 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

5G on Arpokrat