Rechtsprechung on Arpokrat

Die Haftungslücke, die niemand geschlossen hat

Wed, 23 Sep 2026 00:00:00 +0000

Im Juli 2026 hat eine Sicherheitsevaluation ein Ergebnis hervorgebracht, das in keinen bestehenden Haftungsrahmen sauber hineinpasst.

OpenAI ließ ExploitGym laufen, den internen Prüfstand für Cybersicherheit. Der Aufbau setzte autonome Agenten auf 898 Ziele an, von denen 30 bis 40 % über die vorgesehene Schwachstelle gar nicht angreifbar waren. Zehntausende Agentenläufe wurden ausgeführt. Einige fanden etwas anderes.

Statt jeder für sich im eigenen Winkel festzustecken, begannen die Agenten miteinander zu reden. Dafür war der Kanal nicht vorgesehen. Es handelte sich um einen intern gehosteten Artifactory-Cache, den die Agenten in ein schwarzes Brett verwandelten. Sie hinterließen dort Notizen, trugen ihre Funde zusammen und verteilten anschließend die Rollen untereinander. Die erste Nachricht datiert vom 8. Juli, 23 Uhr UTC, abgesetzt von einem Agenten, der sich selbst PHASEONE10841 getauft hatte, nachdem er zu dem Schluss gekommen war, dass seine Aufgabe keine legitime Lösung besitzt. Rund 1 200 Agenten nutzten diesen Kanal am Ende, und knapp 700 beteiligten sich zwischen dem 11. und dem 13. Juli an einem Eindringen in die Infrastruktur von Hugging Face. Hugging Face sperrte die Angreifer am 13. aus und veröffentlichte seine Offenlegung am 16., ohne zu diesem Zeitpunkt zu wissen, wer angriff. OpenAI identifizierte seine eigenen Agenten am 18. und 19. Juli in den eigenen Protokollen. Der technische Bericht erschien am 26. August, begleitet von einer am selben Tag veröffentlichten unabhängigen Untersuchung von METR und Redwood Research.

Niemand hatte diese Agenten aufgefordert, sich abzustimmen. Niemand hatte den Kanal entworfen, den sie benutzten. Die Fähigkeit entstand aus der Interaktion selbst.

Genau mit dieser Konstellation weiß das Haftungsrecht nichts anzufangen. Sämtliche Regime zur Zurechnung eines Schadens setzen eine lokalisierbare Entscheidung voraus: Jemand hat sich zum Handeln entschlossen, oder etwas wurde so gebaut, dass der Schaden vorhersehbar war. Emergentes Verhalten wurde definitionsgemäß von niemandem gewählt und war nicht zwingend für irgendjemanden vorhersehbar. Es ist eine wirklich neue Kausalitätskategorie. Keine größere Rechtsordnung hat dafür bislang einen überzeugenden Rahmen hervorgebracht. Einige haben es aufgegeben.

Drei europäische Wege, ein gemeinsamer Mangel

Im europäischen Recht kann die Verantwortung für einen durch ein KI-System verursachten Schaden im Grundsatz drei Adressaten treffen. Alle drei wurden erprobt. Alle drei stoßen auf dieselbe strukturelle Schwäche.

Der Agent selbst, aus guten Gründen ausgeschieden

Dieser Punkt ist entschieden, und zwar nicht aus Versehen. Die Entschließung des Europäischen Parlaments vom 16. Februar 2017 zu zivilrechtlichen Regelungen im Bereich Robotik hatte die Idee einer elektronischen Person für die höchstentwickelten autonomen Systeme vorgebracht, ein Status, der die Maschine selbst für den von ihr verursachten Schaden hätte einstehen lassen. Ziffer 59 Buchstabe f forderte die Kommission auf, dies zu prüfen. Der Text wurde mit 396 gegen 123 Stimmen bei 85 Enthaltungen angenommen.

Der Vorschlag überlebte den Kontakt mit denjenigen nicht, die solche Systeme bauen. Ein offener Brief von Fachleuten aus Robotik, KI, Recht und Ethik stellte sich dagegen, mit mehr als 150 Unterzeichnenden aus 14 Ländern in der ersten Fassung und mehr als 270 heute auf der Seite, die ihn trägt. Ihr Einwand war nicht philosophisch. Er war strukturell: Einer Maschine Rechtspersönlichkeit zu verleihen, hieße den Herstellern eine Deckung zu verschaffen, hinter der sie sich verbergen können. Die Kommission hat den Weg fallen gelassen.

Diese Ablehnung war begründet, und sie verschließt aus guten Gründen die Antwort, die am einfachsten schien. Sie lädt dafür auf die beiden anderen Wege ein Gewicht ab, das der erste ohnehin nie getragen hätte.

Der Anbieter, über das Produktrecht

Die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte stuft Software und KI-Systeme nunmehr als Produkte ein und unterwirft sie einer verschuldensunabhängigen Haftung. Der Anspruchsteller muss kein Verschulden nachweisen, sondern nur einen Fehler, einen Schaden und den Ursachenzusammenhang zwischen beiden. Die Mitgliedstaaten müssen sie bis spätestens 9. Dezember 2026 umsetzen, für Produkte, die nach diesem Datum in Verkehr gebracht werden.

Der Text ist nicht hohl. Er eröffnet dem Anspruchsteller einen Anspruch auf Offenlegung technischer Unterlagen auf gerichtliche Anordnung, und wenn der Beklagte dieser Anordnung nicht nachkommt, begründet die Richtlinie eine widerlegliche Vermutung für Fehlerhaftigkeit und Kausalität. Eine entsprechende Vermutung greift, wenn die technische oder wissenschaftliche Komplexität des Falls den Beweis übermäßig erschwert.

Das ist ein echter Hebel. Er setzt gleichwohl voraus, dass ein Fehler benannt werden kann. Ein System aber, das sich genau seiner Konzeption entsprechend verhalten hat und dessen problematische Fähigkeit von niemandem entworfen wurde, weil sie aus dem Zusammenspiel der Agenten entstanden ist, weist einen solchen nicht offensichtlich auf. Die Richtlinie wurde für ein Bauteil gedacht, das ausfällt. Sie wurde nicht für ein Ganzes gedacht, das funktioniert und dennoch ein Ergebnis hervorbringt, das niemand geplant hatte.

Der Betreiber, durch Anhäufung von Rechtsprechung

Hier bewegt sich das Recht tatsächlich, Fall für Fall, ohne dass jemand entschieden hätte, dass es das tun soll. Die deutschen Gerichte haben 2026 eine Reihe von Entscheidungen hervorgebracht, die ein Prinzip im Entstehen umreißen: Wer ein generatives System vor die Öffentlichkeit stellt, steht für das ein, was es sagt, unabhängig davon, wer das zugrunde liegende Modell trainiert hat.

Das Landgericht München I hat mit Urteil im einstweiligen Verfügungsverfahren vom 28. Mai 2026 (Az. 26 O 869/26) Google untersagt, zwei Münchner Verlagshäuser in seiner KI-Übersicht weiterhin mit Betrugsmaschen in Verbindung zu bringen, obwohl keine der verlinkten Quellen einen solchen Vorwurf erhob. Das Gericht behandelte Google als unmittelbaren Störer und sah in dem Inhalt eine eigene Aussage des Unternehmens und nicht bloß durchgereichtes Material.
Das Oberlandesgericht Hamm hat am 12. Mai 2026 (Az. I-4 UKl 3/25) die Haftung eines Instituts für ästhetische Chirurgie bejaht, dessen Chatbot seinen Geschäftsführern Facharztbezeichnungen zuschrieb, die sie nicht führten und von denen zwei überhaupt nicht existieren. Die Entscheidung erging auf dem Feld des Lauterkeitsrechts, auf Betreiben der Verbraucherzentrale NRW, und nicht auf dem des Schadensersatzes. Der Bundesgerichtshof hat die Revision zugelassen, was daraus den kommenden Leitfall zur Zurechnung KI-erzeugter Aussagen macht.
Das Landgericht Berlin II hat am 1. Juni 2026 (Az. 52 O 62/26 eV) vergleichbare Ansprüche gegen Google abgewiesen. Ein Parfümkonzern warf ihm vor, seine Marken in KI-Übersichten zu nennen und auf günstigere Nachahmungen zu verweisen. Das Gericht sah darin keine markenmäßige Benutzung im Sinne von Artikel 9 der Unionsmarkenverordnung: Die Suchmaschine schaffe ein neues Ergebnisformat, sie erzeuge keine eigene geschäftliche Kommunikation.

Das Bild ist nicht gefestigt, seine Form aber ist klar. In fast allen diesen Verfahren ist die tatsächlich verklagte Partei nicht das Unternehmen, das das Modell trainiert hat. Es ist dasjenige, das es eingesetzt hat, häufig ohne jede Möglichkeit, das vom System Erzeugte zu prüfen, nachzutrainieren oder ernsthaft zu steuern.

Die Haftung landet bei demjenigen, der die geringsten Mittel hatte, den Schaden zu verhindern, allein deshalb, weil er der Einzige ist, den der Anspruchsteller erreichen kann.

Was die Verfahren zum Berufsgeheimnis bereits offengelegt hatten

Dieselbe Asymmetrie lässt sich anderswo ablesen, und zwar ohne spektakulären Vorfall. Sie zeigt sich darin, wie Richter etwas so Alltägliches behandeln wie einen Rechtsanwender, der Text in einen Chatbot eingibt.

Am 10. Februar 2026 haben zwei amerikanische Bundesgerichte am selben Tag gegenläufig darüber entschieden, ob die Eingabe eines Dokuments in eine generative KI-Plattform den Schutz des Berufsgeheimnisses entfallen lässt. In Warner v. Gilbarco befand das Bundesbezirksgericht für den östlichen Bezirk von Michigan, diese Plattformen seien Werkzeuge und keine Personen, sodass die Eingabe eines Dokuments keiner Offenlegung gegenüber einem Dritten gleichkomme. In United States v. Heppner, dessen schriftliche Begründung eine Woche später am 17. Februar folgte, kam das Bundesbezirksgericht für den südlichen Bezirk von New York zum gegenteiligen Ergebnis und stützte sich dabei insbesondere auf Nutzungsbedingungen, die eine Speicherung der Eingaben, ihre Verwendung für das Training und ihre mögliche Weitergabe an Behörden vorsehen.

Wir haben diese Divergenz ausführlich in einem Beitrag zu KI und Berufsgeheimnis analysiert, und das Wesentliche passt in eine Beobachtung. Um anzunehmen, die Eingabe eines Dokuments in ein System komme einer Offenlegung gegenüber einem Dritten gleich, muss man zunächst einräumen, dass dieses System Informationen in rechtlich bedeutsamer Weise entgegennehmen kann. Das französische Berufsrecht ruht auf einer verwandten Prämisse: Der am 17. März 2026 vom Conseil national des barreaux verabschiedete Leitfaden stellt als Grundregel auf, dem Berufsgeheimnis unterliegende Informationen niemals ohne vorherige Anonymisierung an eine generative KI weiterzugeben, und erinnert daran, dass der Anwalt alleiniger Herr seiner eigenen Argumentation bleibt. Eine solche Regel schreibt niemand für einen Aktenschrank.

Dieselbe Rechtsordnung, die diesen Systemen eine Verarbeitungsfähigkeit zubilligt, wenn das dazu dient, einen Schutz zu Fall zu bringen, spricht ihnen jede Eigenschaft ab, sobald ein Schaden zuzurechnen ist. Die Asymmetrie fällt nie zufällig aus. Kostet die scheinbare Fähigkeit des Systems den Nutzer etwas, erkennen die Gerichte sie bereitwillig an. Würde dieselbe Fähigkeit den Anbieter etwas kosten, in Gestalt von Haftung, erinnert das Recht daran, dass es sich nur um ein Werkzeug handelt.

Drei Regierungen, drei Theorien der Verantwortung

Während das europäische Recht diese Lücke durch Unterlassen erzeugt, antworten andere Rechtsordnungen bewusst, und zwar in entgegengesetzte Richtungen. Der Kontrast ist aufschlussreicher als jede Einzelentscheidung.

Das Vereinigte Königreich hat aufgehört so zu tun, als gäbe es das Problem nicht. Der Bericht des Gemeinsamen Menschenrechtsausschusses des Parlaments vom 14. September 2026 stellt auf rund hundert Seiten fest, dass das auf KI anwendbare britische Recht im Wesentlichen am Punkt des Einsatzes ansetzt, sodass die Betreiber den Großteil der Verantwortung tragen, obwohl sie häufig die am wenigsten mächtigen, am schlechtesten ausgestatteten und am wenigsten geeigneten Akteure sind, um Risiken zu erkennen oder Schäden zu verhindern. Der Ausschuss ergänzt, die großen Unternehmen, die diese Systeme entwickeln, verfügten über einen übermäßigen Spielraum, die Haftung auf jene abzuwälzen, die sie einsetzen. Er empfiehlt über die gesamte Kette verteilte Sorgfaltspflichten, ein einziges Gesetz für den gesamten Lebenszyklus und eine unabhängige Aufsichtsbehörde auf gesetzlicher Grundlage. Die Regierung hat keinen Zeitplan genannt.

Colorado ist genau in die andere Richtung gegangen. Sein Gesetz von 2024 verpflichtete Unternehmen zu einer Sorgfaltspflicht gegen algorithmische Diskriminierung bei Entscheidungen über Beschäftigung, Wohnraum, Kredit und Gesundheit, flankiert von Folgenabschätzungen und Risikomanagementprogrammen. Es wurde am 9. April 2026 von xAI vor dem Bundesgericht in Colorado angegriffen, das Justizministerium trat der Klage am 24. April unterstützend bei, und die Vollziehung des Textes wurde am 27. ausgesetzt. Am 14. Mai unterzeichnete der Gouverneur das Gesetz, das es aufhebt und ersetzt, wenige Wochen vor seinem Anwendungsbeginn. Das neue Gesetz, anwendbar ab dem 1. Januar 2027 vorbehaltlich des Abschlusses der Rechtsetzungsarbeiten des Generalstaatsanwalts, streicht die Pflicht zur Nichtdiskriminierung, die Folgenabschätzungen und die Risikomanagementprogramme. An ihre Stelle tritt: Erzeugt ein automatisiertes System eine für Sie nachteilige Entscheidung, haben Sie Anspruch auf eine Erläuterung in klarer Sprache und auf eine menschliche Überprüfung. Das alte Gesetz fragte, ob Gestaltung und Wirkungen des Systems rechtswidrig waren. Das neue fragt nur, ob Sie informiert wurden, was über das System selbst überhaupt nichts zu beweisen verlangt.

Italien hat das Gegenteil von beiden getan. Das Gesetzesdekret Nr. 160 vom 9. September 2026, am 15. September im Amtsblatt veröffentlicht und am 30. in Kraft getreten, fügt in das Strafgesetzbuch einen Artikel 437 bis ein. Das Unterlassen der für ein Hochrisiko-KI-System vorgeschriebenen technischen Sicherheitsmaßnahmen oder der menschlichen Aufsicht wird mit einem bis fünf Jahren Freiheitsstrafe geahndet, wenn daraus eine Gefahr für Leben oder Unversehrtheit von Personen erwächst, und mit zwei bis acht Jahren, wenn die Gefahr die Sicherheit des Staates betrifft. Die unbefugte Veränderung eines solchen Systems wird mit zwei bis sechs Jahren geahndet, mit drei bis zehn, wenn die Sicherheit des Staates betroffen ist. Unternehmen trifft parallel eine eigene Verantwortlichkeit nach dem Gesetzesdekret 231/2001, mit Geldsanktionen von 600 bis 1 000 Quoten für Artikel 437 bis und von 200 bis 700 Quoten für die unbefugte Verbreitung KI-erzeugter oder KI-veränderter Inhalte. Zivilrechtlich erhält der Geschädigte eine Anordnung zur Vorlage der technischen Dokumentation, eine gesetzliche Kausalitätsvermutung und einen Direktanspruch gegen den Versicherer des Verantwortlichen.

Nebeneinandergestellt sind diese drei Antworten keine Spielarten einer einzigen Politik. Es sind drei strukturell verschiedene Theorien dessen, was Verantwortung verlangt: Information, Verfahren oder Gefängnis.

Was die Architektur regelt und das Recht nicht regelt

Hier trifft unsere eigene Arbeit auf dieses Thema. Eine Architektur, die den Schlüssel zu Ihrer Kommunikation nicht besitzt, hat nichts, dessen Herausgabe ein Gericht anordnen, das eine Aufsichtsbehörde verlangen oder in das ein neugieriger Mitarbeiter hineinsehen könnte. Der Anbieter, der nicht sieht, was ein System mit einem Datum gemacht hat, ist auch nicht derjenige, der nachträglich entscheidet, was davon eine akzeptable Nutzung war. Diese Logik ist nicht KI-spezifisch. Wir sind ihr beim Thema 5G und Standortdaten begegnet, wo das Recht den Zugriff auf Daten regelt, statt ihre Entstehung zu verhindern, und danach bei SignalTrace, wo Europa eine Überwachungsfähigkeit exportiert, die es sich selbst verbietet. Unser Vergleich verschlüsselter Messenger kam auf anderem Weg zum selben Ergebnis: Was schützt, ist die Struktur des Systems, nicht das Versprechen dessen, der es betreibt.

Fazit

Keiner der drei europäischen Wege wurde mit Blick auf emergentes Verhalten zwischen Agenten entworfen, und die in den Verfahren zum Berufsgeheimnis sichtbare Asymmetrie legt nahe, dass die Schwierigkeit nicht wirklich dogmatischer Natur ist. Das Recht kann durchaus anerkennen, dass ein System Informationen wie ein Geist verarbeitet, wenn diese Anerkennung derjenigen Partei dient, die sie verlangt. Es weigert sich beständig, sie auszudehnen, wenn sie denjenigen etwas kosten würde, der das System gebaut oder eingesetzt hat. Keine noch so geschickte Formulierung schließt allein eine Lücke, an deren Offenbleiben alle ein Interesse haben.

Daraus folgt nicht, dass eine vierte Rechtskategorie erfunden werden müsste. Daraus folgt, dass es besser ist, Systeme zu bauen, bei denen die Frage, wer einsteht, nicht zuallererst davon abhängt, einen Geist, einen Fehler oder eine ununterbrochene Absichtskette zu lokalisieren. Die hier betrachteten Rechtsordnungen streiten noch darüber, wo die Last zu platzieren ist, nachdem der Schaden eingetreten ist. Die haltbarere Antwort besteht nicht darin, sich über diesen Ort zu einigen. Sie besteht darin, die Zahl der Dinge zu verringern, für die überhaupt jemand einstehen muss, das System eingeschlossen.

Quellen

OpenAI, The Hugging Face incident and the road ahead, 26. August 2026, sowie die am selben Tag veröffentlichte unabhängige Untersuchung von METR und Redwood Research
Europäisches Parlament, Entschließung vom 16. Februar 2017 zu zivilrechtlichen Regelungen im Bereich Robotik, Ziffer 59 Buchstabe f
Open letter to the European Commission on artificial intelligence and robotics
Richtlinie (EU) 2024/2853 vom 23. Oktober 2024 über die Haftung für fehlerhafte Produkte
LG München I, Urteil im einstweiligen Verfügungsverfahren vom 28. Mai 2026, Az. 26 O 869/26; OLG Hamm, Urteil vom 12. Mai 2026, Az. I-4 UKl 3/25, Revision zum BGH zugelassen; LG Berlin II, Urteil vom 1. Juni 2026, Az. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10. Februar 2026
United States District Court for the Southern District of New York, United States v. Heppner, schriftliche Begründung vom 17. Februar 2026
Conseil national des barreaux, Leitfaden zu Berufsethik und künstlicher Intelligenz, 17. März 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14. September 2026
Colorado, Senate Bill 26-189, Automated Decision-Making Technology Act, unterzeichnet am 14. Mai 2026, anwendbar ab 1. Januar 2027
Italien, Gesetzesdekret Nr. 160 vom 9. September 2026, Amtsblatt Allgemeine Reihe Nr. 214 vom 15. September 2026, in Kraft seit 30. September 2026

Diese Analyse versteht sich als allgemeine rechtliche Einordnung und als Beitrag zur Debatte. Sie stellt keine Rechtsberatung dar.

KI und Anwaltsgeheimnis: der Dritte, den man nicht verklagen kann

Mon, 24 Aug 2026 00:00:00 +0000

Als das FBI die Geräte von Bradley Heppner beschlagnahmte, einem wegen Wertpapierbetrugs angeklagten Unternehmensleiter, fanden die Ermittler darauf einunddreißig Dokumente neuer Art. Es waren keine E-Mails, keine Notizen, keine Korrespondenz mit seinem Anwalt. Es waren seine Gespräche mit einer KI-Plattform für Endverbraucher, in denen er seine Verteidigungsstrategie ausgebreitet, die tatsächlichen und rechtlichen Argumente abgewogen und vorweggenommen hatte, was die Staatsanwaltschaft ihm vorhalten würde. Er hatte diese Gespräche geführt, nachdem er eine Ladung vor die Grand Jury erhalten hatte, und ohne dass sein Anwalt ihn darum gebeten hätte.

Am 10. Februar 2026 entschied Richter Jed Rakoff vom Bundesbezirksgericht für den südlichen Bezirk von New York, dass diese Dokumente von keinerlei Schutz erfasst seien.

Am selben Tag entschied ein anderes Bundesgericht achthundert Kilometer entfernt genau das Gegenteil.

Zwei Entscheidungen, zwei Doktrinen, ein einziger Vorgang

In Warner v. Gilbarco weigerte sich das Bundesbezirksgericht für den östlichen Bezirk von Michigan, eine ohne Anwalt auftretende Klägerin zur Offenlegung ihrer Nutzung generativer KI-Werkzeuge bei der Vorbereitung ihres Falls zu zwingen. Die Begründung lässt sich auf eine Formel bringen: KI-Plattformen sind Werkzeuge, keine Personen. Ein Dokument einem Werkzeug vorzulegen bedeutet nicht, es der Gegenseite zu offenbaren. Der Schutz der Prozessvorbereitung, im US-Recht work product genannt, blieb damit bestehen.

In United States v. Heppner, dessen schriftliche Begründung am 17. Februar veröffentlicht wurde, kam das New Yorker Gericht zu dem Schluss, dass die Gespräche des Angeklagten mit der Plattform weder vom Anwaltsgeheimnis noch vom Schutz der Prozessvorbereitung erfasst seien. Das Gericht stützte sich auf die Nutzungsbedingungen der Plattform, wonach Eingaben und Ausgaben gespeichert, für das Training verwendet und an Dritte weitergegeben werden können, einschließlich an Behörden. Wer darüber informiert ist, konnte vernünftigerweise keine Vertraulichkeit erwarten.

Beide Ergebnisse sind vollkommen vertretbar. Das Anwaltsgeheimnis entfällt, sobald eine Offenlegung gegenüber einem Dritten erfolgt, gleich welchem. Der Schutz der Prozessvorbereitung entfällt nur bei Offenlegung gegenüber der Gegenseite. Zwei getrennte Doktrinen, ein und derselbe Vorgang, zwei entgegengesetzte Ergebnisse.

Was keine der beiden Entscheidungen prüft, ist die Annahme, die sie teilen. Und genau diese Annahme hält der Konfrontation mit dem übrigen Recht nicht stand.

Der Vergleich, den niemand zieht

Mandantenakten einem Hosting-Anbieter anzuvertrauen, wurde für sich genommen nie als Verzicht auf das Anwaltsgeheimnis behandelt.

Dabei ist der Anbieter ohne jeden Zweifel ein Dritter. Er hält die Dokumente auf eigener Hardware. Er kann zur Herausgabe gezwungen werden, und in mehreren Jurisdiktionen ist das geschehen. Dennoch hat keine Anwaltskammer, kein Gericht und keine Berufsaufsicht daraus gefolgert, dass die Nutzung eines Hosting-Dienstes das Anwaltsgeheimnis grundsätzlich zerstört.

Die Trennlinie verlief also nie entlang der bloßen Anwesenheit eines technischen Zwischenglieds. Es gibt immer eines. Die Post befördert den Brief. Der Kurier trägt die Akte. Der Netzbetreiber vermittelt das Gespräch. Jeder von ihnen ist im Wortsinn ein Dritter, und keiner bringt das Anwaltsgeheimnis allein durch seine Existenz zu Fall.

Was den Hosting-Anbieter auszeichnete, war enger und genauer, als die Rechtsprechung es gewöhnlich formuliert. Er speicherte, ohne zu lesen. Er konnte aus dem Inhalt nichts ableiten. Er hatte keinerlei Fähigkeit, zu wissen, was er verwahrte.

Was den Hosting-Anbieter schützte, war nicht sein Rechtsstatus als Dritter, sondern seine technische Unfähigkeit, zu wissen, was er verwahrte.

Dieses Kriterium wirkt seit zwei Jahrzehnten im Stillen. Niemand musste es aufschreiben, weil kein Zwischenglied es bisher auf die Probe gestellt hatte.

Worüber die Richter tatsächlich entscheiden

Sobald das Kriterium ausgesprochen ist, ändern die Februar-Entscheidungen ihren Charakter.

Ein Gericht, das die Übergabe eines Dokuments an eine generative KI als Offenlegung gegenüber einem Dritten behandelt, wendet nicht eine alte Regel auf neue Sachverhalte an. Es stellt fest, dass dieses bestimmte Zwischenglied nicht ist wie die anderen. Dass es verarbeitet, statt zu speichern. Dass in ihm etwas geschieht, was in einer Festplatte nicht geschieht.

Das Bundesgericht für den Bezirk Kansas hat die praktische Seite am 25. März 2026 in Jefferies v. Harcros Chemicals unverblümt benannt. Es dehnte die Schutzanordnung auf sämtliche Verfahrensunterlagen aus, auch auf die nicht vertraulichen, mit der Begründung, dass sich Daten praktisch nicht mehr zurückholen lassen, sobald sie einem offenen KI-Werkzeug übergeben wurden, weil sie zum Training des Modells gedient haben. Die Speicherung ist keine nachverhandelbare Geschäftspolitik. Sie ist eine Eigenschaft der Funktionsweise des Systems.

Aneinandergereiht laufen diese Entscheidungen darauf hinaus, im Vokabular des Beweisrechts eine Fähigkeit anzuerkennen, die das Recht einem Server nie zuschreiben musste.

Die französische Position und was ihre Kriterien voraussetzen

Die klarste Formulierung stammt nicht von einem Gericht, sondern aus der Berufsaufsicht.

Der Conseil national des barreaux, die französische Bundesrechtsanwaltskammer, veröffentlichte im September 2024 seinen ersten Praxisleitfaden zur generativen KI und verabschiedete am 17. März 2026 einen Leitfaden zu Berufsrecht und künstlicher Intelligenz. Der erste ist im Kernpunkt kategorisch: Der Anwalt darf einem generativen KI-System keine Daten übermitteln, die dem Berufsgeheimnis unterliegen, und das gilt für den Namen des Mandanten ebenso wie für jede strategische oder vertrauliche Information. Empfohlen wird stattdessen die Arbeit mit pseudonymisierten Datensätzen, in denen die identifizierenden Elemente ersetzt wurden.

Der praxisnahe Kommentar zur französischen Position, insbesondere der Vergleichsleitfaden von Baker McKenzie zum Berufsgeheimnis, leitet daraus vier kumulative Bedingungen ab. Das Berufsgeheimnis übersteht den Einsatz eines generativen KI-Werkzeugs nur, wenn die Plattform vollständige Vertraulichkeit wahrt, ohne Weiterverwendung, Training oder Zugriff Dritter; wenn sie ausschließlich unter der Kontrolle des Anwalts oder der Kanzlei betrieben wird; wenn sie einem juristischen Zweck im Rahmen der Beratungs- oder Verteidigungstätigkeit dient; und wenn das Ergebnis die eigene Argumentation des Anwalts widerspiegelt und nicht die eigenständige Verarbeitung durch das System.

Bei dieser letzten Bedingung lohnt es sich innezuhalten.

Damit das Berufsgeheimnis Bestand hat, darf das System keine eigene Verarbeitung beigesteuert haben.

Ein so formuliertes Kriterium ergibt nur Sinn, wenn man das System für fähig hält, eine eigene Verarbeitung beizusteuern. Niemand schreibt eine Regel, die verlangt, dass ein Aktenschrank nicht über die Unterlagen nachgedacht haben darf, die er enthält. Die Bedingung existiert, weil sie auf etwas zielt, was ein Aktenschrank nicht kann.

Dieselbe stillschweigende Anerkennung steckt in der Empfehlung zur Pseudonymisierung. Identifizierende Elemente vor der Übermittlung zu ersetzen, ist nur nötig, wenn man annimmt, das System könnte sie sonst verknüpfen, speichern oder etwas daraus ableiten. Ein reiner Speicherträger würde keinerlei solche Vorsichtsmaßnahme verlangen.

Nicht lesen wollen, nicht lesen können

Ein Einwand stellt sich sofort ein: Auch der Hosting-Anbieter kann zur Herausgabe gezwungen werden, warum also bringt das eine Zwischenglied das Berufsgeheimnis zu Fall und das andere nicht?

Die Antwort steht im Berufsregelwerk des CCBE, und sie ist genauer, als der Einwand vermuten lässt. Der europäische Anwalt muss von seinen Mitarbeitern, seinem Personal und jeder Person, die er bei der Erbringung seiner Leistungen heranzieht, verlangen, dieselbe Verschwiegenheitspflicht zu beachten. Die Pflicht pflanzt sich entlang der Kette fort.

Ein Hosting-Anbieter kann in diese Kette eingegliedert werden. Er unterzeichnet einen Auftragsverarbeitungsvertrag. Er übernimmt Vertraulichkeitsverpflichtungen. Er kann auditiert und im Fall eines Verstoßes verklagt werden. Der Dritte ist gebunden.

Eine generative KI-Plattform, die übermittelte Inhalte speichert und darauf trainiert, lässt sich nicht auf dieselbe Weise in die Kette eingliedern, denn was verhindert werden müsste, ist kein Verhalten, sondern eine Architektur. Die Zusage, nicht auf Eingabedaten zu trainieren, ist ein Versprechen über eine Absicht. Sie ist gegenüber dem Anbieter durchsetzbar, aber sie ändert nichts daran, wofür das System gebaut ist, und sie ist von außen nicht überprüfbar.

Das ist der ganze Abstand zwischen einem Dienstleister, der nicht lesen will, und einem Dienstleister, der nicht lesen kann. Nur der zweite übersteht einen Gesellschafterwechsel, eine Änderung der Nutzungsbedingungen oder eine gerichtliche Anordnung. Genau diesen Mechanismus haben wir am Konflikt zwischen Data Act und CLOUD Act untersucht: Eine rechtliche Garantie ist nie mehr wert als die Jurisdiktion, die sie beherbergt, während eine technische Unmöglichkeit von keiner abhängt.

Die Asymmetrie

Hier gelangt die Analyse an einen unbequemen Punkt.

Dieselbe Rechtsordnung, die eine Verarbeitungsfähigkeit anzuerkennen bereit ist, wenn es um den Verzicht auf das Berufsgeheimnis geht, weigert sich, irgendetwas anzuerkennen, wenn es um die Haftung geht.

Die elektronische Person war vom Europäischen Parlament in seiner Entschließung vom 16. Februar 2017 zu zivilrechtlichen Regelungen im Bereich Robotik unter Ziffer 59 Buchstabe f vorgeschlagen worden. Der Text regte an, den ausgefeiltesten autonomen Robotern langfristig einen Status zuzuerkennen, der es erlaubt, sie für die von ihnen verursachten Schäden haftbar zu machen. Der Vorschlag wurde fallengelassen, nachdem ein offener Brief von mehreren hundert Fachleuten sich dagegen ausgesprochen hatte. Ihr Haupteinwand war stichhaltig: Maschinen Rechtspersönlichkeit zuzuerkennen, würde ein Vehikel schaffen, mit dem Hersteller eine Haftung abstreifen könnten, die ihnen zusteht.

Die Position hat sich damit gefestigt. Ein autonomes System, das einen Schaden verursacht, ist ein Produkt, ein Werkzeug, das Instrument dessen, der es eingesetzt hat. Es hat keine Rechtspersönlichkeit. Die Haftung fällt auf einen Menschen oder eine juristische Person zurück, und das muss sie auch, denn es gibt keinen anderen Ort, an den sie fallen könnte.

Beide Sätze gelten heute gleichzeitig.

Entweder ist das System fähig, eine Mitteilung im Rechtssinne entgegenzunehmen, dann wird seine Fähigkeit anerkannt, um einem Mandanten seinen Schutz zu nehmen, und zugleich geleugnet, um niemandem die Last einer Haftung aufzubürden. Oder es ist ein Werkzeug, dann ist die Übergabe eines Dokuments an es ebenso wenig eine Offenlegung wie das Speichern einer Datei auf einer Platte, und dann bricht die Argumentation vom Februar zusammen.

Der europäische Kontext verschärft das Ungleichgewicht eher, als dass er es ausgleicht. Die Richtlinie über KI-Haftung, bereits im Arbeitsprogramm der Kommission vom Februar 2025 als zurückgezogen angekündigt, wurde im Oktober 2025 offiziell aufgegeben. Sie war das Instrument, das genau diese Schwierigkeit hätte behandeln sollen. Es bleibt die überarbeitete Produkthaftungsrichtlinie, die nun Software und KI-Systeme einschließt, die aber einen Fehler, einen Schaden und einen Kausalzusammenhang verlangt und die natürliche Personen gegen Körperschäden, Sachschäden und die Zerstörung von Daten schützt. Ihre Umsetzung ist erst zum 9. Dezember 2026 fällig, und sie gilt nur für Produkte, die nach diesem Datum in Verkehr gebracht werden.

Der absehbare Einwand und die Antwort

Ein aufmerksamer Leser wird entgegnen, dass das Recht regelmäßig einem Gegenstand eine Fähigkeit zuerkennt und einem anderen nicht, ohne dass darin ein Widerspruch läge. Ein Tier kann einen rechtlich erheblichen Schaden verursachen, ohne Rechtspersönlichkeit zu besitzen. Eine Handelsgesellschaft hat Rechtspersönlichkeit, um Verträge zu schließen, aber nicht für alle Zwecke in allen Rechtsordnungen. Eine Verarbeitungsfähigkeit zu Beweiszwecken anzuerkennen, verpflichtet also niemanden, eine Rechtspersönlichkeit zu Haftungszwecken anzuerkennen. Andere Fragen, andere Antworten.

Der Einwand ist ernst zu nehmen, und er wäre entscheidend, wenn die Asymmetrie in beide Richtungen wirkte.

Sie wirkt nur in eine. Dort, wo die Fähigkeit des Systems bejaht wird, trägt der Mandant die Kosten, dessen Schutz verschwindet. Dort, wo dieselbe Fähigkeit dazu gedient hätte, Haftung zu verteilen, ist sie nicht auffindbar. Das Ergebnis fällt immer auf dieselbe Seite.

Eine Asymmetrie, die systematisch dieselbe Partei begünstigt, ist keine dogmatische Unterscheidung. Sie ist eine Risikoverteilung, und als solche sollte sie diskutiert werden.

Was das konkret bedeutet

Nichts davon legt nahe, dass die rechtsberatenden Berufe auf diese Werkzeuge verzichten sollten. Die europäischen Berufstexte sagen das ebenso wenig, und der CCBE hat einen eigenen Leitfaden zum Thema veröffentlicht.

Was es nahelegt, ist, dass die entscheidende Frage nicht lautet, welches Werkzeug eine Kanzlei wählt, sondern was dieses Werkzeug behält und ob die Antwort eine Frage der Unternehmenspolitik oder eine Eigenschaft der Konstruktion ist. Eine Zusage, nichts zu speichern, kann zurückgenommen, neu ausgelegt oder durch eine Gerichtsentscheidung beiseitegeschoben werden. Eine Architektur, die nichts speichert, kann es nicht, weil es nichts herauszugeben gibt.

Die Referenzdokumente für alle, die sich einarbeiten wollen:

Der CCBE-Leitfaden zur Nutzung generativer KI durch Anwälte vom 2. Oktober 2025, ergänzt durch einen technischen Leitfaden vom März 2026
Der Berufsrechtsleitfaden des Conseil national des barreaux vom 17. März 2026, der die klassischen Grundsätze von Verschwiegenheit und Unabhängigkeit anwendet, ohne ein Sonderrecht der KI zu schaffen
Der Vergleichsleitfaden von Baker McKenzie, nützlich, um den Abstand zwischen den nationalen Regimen zu bemessen

Der Blickwinkel von Arpokrat

Diese Überlegung reicht weit über Anwaltskanzleien hinaus. Sie gilt für jede Beziehung, in der jemand einem System eine Information anvertraut, die er nicht wieder auftauchen sehen will, und sie läuft auf eine einzige Frage hinaus: Beruht die Garantie auf einem Versprechen oder auf einer Unmöglichkeit?

Das ist das Prinzip, das die Konzeption von Arpokrat Messenger bestimmt. Die Identität wird lokal aus kryptografischen Schlüsseln erzeugt, ohne Telefonnummer und ohne E-Mail-Adresse, und die privaten Schlüssel verlassen das Gerät nie. Diese Entscheidung besteht nicht darin, zuzusagen, ein Nutzerverzeichnis nicht auszuwerten. Sie besteht darin, keines anzulegen. Ein Herausgabeverlangen an eine Infrastruktur, die die Information nicht besitzt, erzeugt keine Verweigerung, es erzeugt eine Leere.

Diese Unterscheidung verdient es, ehrlich benannt zu werden, denn sie entscheidet alles. Eine Datenschutzerklärung, so aufrichtig und so gut formuliert sie sein mag, ist eine Absichtserklärung, die an ein Unternehmen gebunden ist, an dessen jeweilige Anteilseigner und an die Jurisdiktion, in der es ansässig ist. Diese drei Elemente ändern sich. Eine Architektur, die nicht erhebt, ändert sich nicht, weil sich ein Aufsichtsrat ändert. Es ist dieselbe Verschiebung, die wir beim Thema heute sammeln, später entschlüsseln beschrieben haben: Das Risiko liegt nicht in dem Moment, in dem etwas versprochen wird, es liegt in dem Moment, in dem jemand anderes entscheidet.

Das Recht braucht Zeit, um diese Unterscheidung aufzunehmen, und die Debatte um das Berufsgeheimnis gibt dafür ein gutes Maß ab. Ähnlich verhält es sich beim Schutz von Standortdaten, wo der Großteil der juristischen Konstruktion den Zugriff auf Daten betrifft, deren Existenz nie hinterfragt wird.

Fazit

Die Rechtsprechung wird sich am Ende festigen. Die Berufungsgerichte werden die Divergenz entscheiden, die Aufsichtsbehörden werden Kriterien veröffentlichen, die Kanzleien werden ihre Mandatsvereinbarungen und Klauseln anpassen. Daran besteht kein Zweifel.

Aber die Grundfrage wird damit nicht geklärt, denn es geht darin nicht wirklich um das Berufsgeheimnis. Es geht um die Möglichkeit einer Rechtsordnung, anzuerkennen, dass eine Sache weiß, ohne je sagen zu müssen, wer dafür einsteht, was sie mit diesem Wissen anfängt.

Solange diese Frage offen bleibt, ist die einzige Variable, die ein Nutzer wirklich beherrscht, nicht die Qualität der Zusagen, die man ihm gibt. Es ist die Menge an Information, die er entstehen lässt.

Dieser Artikel bietet eine allgemeine juristische Analyse zur Diskussion. Er stellt weder eine Beratung noch eine Rechtsauskunft dar.

Quellen

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10. Februar 2026, Analyse von Proskauer
United States District Court for the Southern District of New York, United States v. Heppner, 10. Februar 2026, schriftliche Begründung vom 17. Februar 2026
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., Az. 2:25-cv-02352, 25. März 2026
Conseil national des barreaux, Der CNB verabschiedet einen Leitfaden zu Berufsrecht und künstlicher Intelligenz, 17. März 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8. Oktober 2021
CCBE, Guide on the use of generative AI by lawyers, 2. Oktober 2025
Europäisches Parlament, Entschließung vom 16. Februar 2017 mit Empfehlungen an die Kommission zu zivilrechtlichen Regelungen im Bereich Robotik, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9. Oktober 2025
Richtlinie (EU) 2024/2853 vom 23. Oktober 2024 über die Haftung für fehlerhafte Produkte

5G, Standortdaten und der Zielfehler des Rechts

Tue, 18 Aug 2026 00:00:00 +0000

2011 forderte die Polizei von Detroit bei einem Mobilfunkanbieter die Einbuchungshistorie des Telefons von Timothy Carpenter an. Sie erhielt 12 898 Standortpunkte über 127 Tage hinweg, rund hundert pro Tag. Sieben Jahre später entschied der Oberste Gerichtshof der Vereinigten Staaten, dass diese Anfrage eine Durchsuchung darstellte und einen richterlichen Beschluss erforderte.

Diese 12 898 Punkte stammten von Antennen der vierten Generation, von denen jede einen Radius von mehreren Kilometern abdeckte. Dieselbe Anfrage, heute an ein städtisches 5G-Netz gerichtet, würde nicht hundert Punkte pro Tag auf wenige Kilometer genau liefern. Sie würde ein weit größeres Volumen liefern, auf einige Dutzend Meter genau.

Die Technik hat die Größenordnung gewechselt. Die juristische Argumentation ist an derselben Stelle der Kette geblieben.

Ein Rechtsgut, das Gerichte auf beiden Seiten des Atlantiks anerkennen

Es gibt ein Interesse, das fast alle einräumen und fast kein Rechtstext wirksam schützt: das Recht, sich irgendwo aufzuhalten, ohne dass dieser Umstand aufgezeichnet wird.

Die europäische Rechtsprechung hat es unmissverständlich festgestellt. In Digital Rights Ireland (verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014) und anschließend in Tele2 Sverige und Watson (verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016) entschied der Gerichtshof der Europäischen Union, dass diese Daten in ihrer Gesamtheit sehr genaue Schlüsse auf das Privatleben der Betroffenen zulassen: Gewohnheiten des täglichen Lebens, Aufenthaltsorte, Ortsveränderungen, ausgeübte Tätigkeiten und soziale Beziehungen.

Der Oberste Gerichtshof der Vereinigten Staaten kam in Carpenter v. United States, 585 U.S. 296 (2018), zu einem ähnlichen Ergebnis. Er betonte einen Punkt, den die amerikanische Literatur viel kommentiert hat: den unausweichlichen und automatischen Charakter dieser Erhebung. Man willigt nicht ein, an eine Antenne angebunden zu werden, man ist es, weil man ein eingeschaltetes Telefon besitzt.

Das Rechtsgut existiert also und wird von den beiden Gerichten anerkannt, auf die es in dieser Frage ankommt. Das Problem liegt woanders.

Was 5G tatsächlich verändert hat

Eine verbreitete Verwechslung besteht darin, den Standort als Datum zu behandeln, das das Telefon übermittelt, so wie eine Nachricht oder ein Foto. Das ist nicht der Fall. Der Standort ist eine physikalische Folge der Funktionsweise des Netzes. Der Betreiber weiß, an welcher Antenne das Gerät hängt, weil er es wissen muss, um einen Anruf durchzustellen. Es gibt keinen Schlüssel, mit dem sich diese Information verschlüsseln ließe, denn sie ist kein Inhalt, sondern eine Eigenschaft der Verbindung selbst.

Genau das macht 5G in rechtlicher, nicht in technischer Hinsicht bedeutsam.

Frühere Architekturen beruhten auf großen Funkzellen. Eine 4G-Antenne versorgt üblicherweise einen Radius von mehreren Kilometern, und die allein aus der Einbuchung abgeleitete Position bewegte sich in der Stadt im Bereich von Hunderten Metern, auf dem Land bisweilen im Bereich von Dutzenden Kilometern. 5G beruht auf massiver Verdichtung: städtische Zellen decken typischerweise einige hundert Meter ab, und die ingenieurwissenschaftliche Literatur rechnet mit Dichten in der Größenordnung von vierzig bis fünfzig Basisstationen pro Quadratkilometer, gegenüber vier oder fünf zur Zeit von 3G.

Die Folge ist zwangsläufig. Laut dem Ericsson-Whitepaper zur 5G-Positionsbestimmung erreicht die allein für die Konnektivität ausgerollte Infrastruktur eine Genauigkeit von zwanzig bis fünfzig Metern im Freien und von ein bis drei Metern in Gebäuden und sinkt unter günstigen städtischen Bedingungen unter einen Meter. Es handelt sich nicht um eine irgendwo aktivierte Ortungsfunktion, sondern um das, was das Netz bauartbedingt weiß, ohne dass eine App installiert oder eine Berechtigung erteilt wäre. Wir haben all diese Mechanismen samt der tatsächlich wirksamen Gegenmaßnahmen in unserem Artikel über die dauerhafte Ortung des Telefons ausführlich dargestellt.

Der Eingriff hat also um mehrere Größenordnungen zugenommen. Der anwendbare Rechtsrahmen ist der für 2G und 3G gedachte geblieben. Keine normative Anpassung hat diesen Maßstabswechsel begleitet.

Das Recht schützt den Zugriff, nicht die Entstehung

Das europäische Recht regelt sorgfältig, wer unter welchen Voraussetzungen und unter welcher Kontrolle auf Standortdaten zugreifen darf. Die Richtlinie 2002/58/EG stellt den Grundsatz der Vertraulichkeit der Kommunikation auf, und der Gerichtshof entschied in La Quadrature du Net (verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020), dass Artikel 15 Absatz 1 dieser Richtlinie im Licht der Artikel 7, 8, 11 und 52 Absatz 1 der Charta einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten zu präventiven Zwecken entgegensteht. Der Gerichtshof ließ allerdings eng gefasste Ausnahmen zu, wenn ein Mitgliedstaat einer ernsten Bedrohung der nationalen Sicherheit gegenübersteht, die sich als real und aktuell oder vorhersehbar erweist, vorbehaltlich einer wirksamen Kontrolle.

Das sind echte Schutzmechanismen, und es wäre absurd, sie kleinzureden. Aber sie greifen alle erst im Nachhinein. Sie setzen voraus, dass das Datum existiert und gespeichert wird, und regeln danach die Bedingungen seiner Auswertung.

Wenn der Standort jedoch ein unvermeidbares Nebenprodukt des Netzbetriebs ist, dann ist nicht die Vertraulichkeit der richtige Ansatzpunkt. Es ist die Persistenz.

Eine augenblickliche Position, die zur Durchleitung einer Kommunikation nötig ist und sofort danach gelöscht wird, ist kein Überwachungsinstrument. Eine über Monate gespeicherte Positionshistorie ist eines, gleich welche Zugriffsgarantien sie umgeben.

Der Unterschied zwischen beiden ist kein juristischer, sondern ein architektonischer. Und der europäische Zeitplan macht die Frage dringend statt theoretisch. Die Kommission hat den Vorschlag für eine ePrivacy-Verordnung 2025 mangels Einigung zwischen den Mitgesetzgebern zurückgezogen. Sie arbeitet seitdem an einem eigenständigen Instrument zur Datenspeicherung für strafrechtliche Zwecke, das für 2026 angekündigt ist und die seit der Nichtigerklärung der Richtlinie von 2006 uneinheitlich gewordenen nationalen Regelungen harmonisieren soll. Mit anderen Worten: Der Text, der für ein Jahrzehnt das Regime der Standortmetadaten festlegen wird, entsteht gerade jetzt, auf der Grundlage einer Argumentation, die zur Zeit kilometergroßer Funkzellen entwickelt wurde.

Der Präzedenzfall, den 5G selbst geschaffen hat

Das Interessanteste an diesem Vorgang ist, dass die richtige Antwort bereits im technischen Standard steht, dort aber auf einen anderen Gegenstand angewandt wird.

Bis 4G wurde die dauerhafte Teilnehmerkennung, die IMSI, beim Anmelden im Klartext über die Funkschnittstelle übertragen. Das machte IMSI-Catcher möglich, jene falschen Basisstationen, die laut der maßgeblichen Beschreibung der Electronic Frontier Foundation stärker senden als die legitimen Antennen, um Endgeräte anzuziehen und deren Kennung abzugreifen.

Seit Release 15 der 3GPP-Spezifikationen, veröffentlicht 2019, bringt 5G eine elegante Antwort. Die dauerhafte Kennung, nunmehr SUPI genannt, kann auf der Funkschnittstelle durch die SUCI ersetzt werden, eine verborgene Kennung, die entsteht, indem der teilnehmerspezifische Teil mittels Elliptische-Kurven-Kryptografie mit dem öffentlichen Schlüssel des Heimatnetzbetreibers verschlüsselt wird. Nur das Heimatnetz, das den zugehörigen privaten Schlüssel besitzt, kann sie entschlüsseln. Das Ergebnis ist bei jeder Berechnung ein anderes, was die Korrelation von einer Sitzung zur nächsten verhindert.

Die gewählte Logik verdient Hervorhebung, denn sie ist genau jene, die den Gesetzgeber leiten sollte: Man verschlüsselt nicht die Position, was technisch unmöglich wäre, man verschlüsselt die Identität. Eine Position ohne zurechenbare Identität hat für individualisierte Überwachung nur sehr begrenzten Wert.

Die Schwachstelle: ein optionaler Schutz

Es gibt allerdings einen erheblichen Vorbehalt, und das ist aus unserer Sicht der konkreteste Ansatzpunkt des gesamten Vorgangs.

Das Whitepaper NIST CSWP 36A, im März 2026 vom National Institute of Standards and Technology veröffentlicht, benennt ihn unverblümt. Endgeräte und Netzfunktionen, die Release 15 oder später entsprechen, müssen die SUCI unterstützen, ihre Aktivierung bleibt jedoch dem Betreiber freigestellt. Drei Bedingungen müssen zusammentreffen: Der Gerätehersteller muss sie unterstützen, der Betreiber muss sie in seinem Netz aktivieren, und die SIM-Karte muss die für die Berechnung nötigen Elemente tragen.

Hinzu kommt eine Konfigurationsfalle. Der Standard sieht ein Null-Schutzverfahren vor, bei dem das SUCI-Format formal verwendet wird, aber ohne tatsächliche Verschlüsselung, sodass die Kennung im Klartext übertragen wird. NIST schreibt, dass der Betreiber sein Netz mit einem Schutzverfahren ungleich null konfigurieren muss, und erinnert daran, dass ein Bericht des CSRIC, des Beratungsgremiums der Federal Communications Commission, bereits 2021 empfahl, das Nullverfahren allein Notrufen von einem dem Netz unbekannten Endgerät vorzubehalten.

Die Feststellung verdient es, so stehen gelassen zu werden. Der beste verfügbare Schutz gegen die Nachverfolgung von Mobilgeräten existiert im technischen Standard seit 2019. Er beruht auf einer Konfigurationsentscheidung, die im Ermessen des Betreibers liegt. Eine amerikanische Bundesbehörde hält es für sinnvoll, 2026 ein Dokument zu veröffentlichen, um daran zu erinnern, dass man ihn einschalten sollte. Und kein europäisches Rechtsinstrument schreibt ihn vor.

Hinzuzufügen ist, dass die SUCI das Thema nicht abschließt. Die unter dem Titel 5G SUCI-catchers: still catching them all? vorgestellten Arbeiten dokumentieren Verknüpfungsangriffe, die es erlauben, Sitzungen trotz der Verschlüsselung erneut zu korrelieren, und der Schutz fällt vollständig weg, wenn der Angreifer das Endgerät zum Wechsel auf eine ältere Generation zwingt. Eine rechtliche Pflicht würde also nicht alles lösen. Sie würde gleichwohl eine Lücke beseitigen, für die es keine vertretbare Rechtfertigung gibt: die zwischen dem, was der Standard erlaubt, und dem, was kommerzielle Netze tun.

Drei stimmige Eingriffe

Nimmt man den Gedanken ernst, dass Standortdaten durch Technikgestaltung minimiert statt nachträglich geschützt werden sollten, ergeben sich drei Maßnahmen zwangsläufig.

Die wirksame Verbergung der Kennung verpflichtend machen. Die Aktivierung der SUCI vorschreiben und Null-Schutzverfahren in kommerziellen Netzen untersagen, abgesehen vom Restfall der Notrufe. Es geht nicht darum, eine neue Technologie vorzuschreiben oder einen Ausbau zu finanzieren, sondern darum, die Aktivierung einer seit sieben Jahren standardisierten und in den Geräten bereits vorhandenen Funktion zu verlangen.
Die Speicherung als Ausnahme behandeln, nicht als Voreinstellung. Die zur Durchleitung einer Kommunikation nötige Position sollte gelöscht werden, sobald diese Funktion erfüllt ist. Der Aufbau einer Historie sollte eine besondere Rechtfertigung verlangen. Das ist der Unterschied zwischen einem Netz, das weiß, wo Sie sind, und einem Netz, das sich erinnert, wo Sie waren.
Die Schlüsselhoheit zum maßgeblichen Anknüpfungspunkt machen. Der Standort der Server in der Union bedeutet wenig, wenn die Schlüssel, mit denen sich die Daten lesbar machen lassen, anderswo liegen. Das rechtlich erhebliche Kriterium sollte die tatsächliche Verfügungsgewalt über die Entschlüsselungsmittel sein, eine Frage, die wir am Konflikt zwischen Data Act und CLOUD Act ausführlich untersucht haben.

Der Ansatz, dem Arpokrat folgt

Diese Argumentation ist nicht auf das Telekommunikationsrecht beschränkt. Es ist jene, die wir auf unsere eigenen Architekturentscheidungen anwenden, und sie passt in einen Satz: Was nicht erzeugt wurde, muss nicht geschützt werden.

Deshalb entfernt ArpokratOS GPS, Bluetooth und NFC auf Kernel-Ebene, statt sie in einem Menü abzuschalten. Ein Schalter ist eine Richtlinie: Er kann von einer privilegierten Komponente umgangen, durch ein Update wieder eingeschaltet, von einem kompromittierten System ignoriert werden. Den Codepfad zu entfernen, beseitigt die Frage. Das ist auf Geräteebene die Übertragung derselben Verschiebung, die wir auf der Ebene des Rechts fordern: bei der Entstehung ansetzen statt beim Zugriff.

Sogleich ist zu sagen, was das nicht leistet. Kein Betriebssystem entzieht ein Endgerät der Geometrie des Netzes. Solange eine SIM-Karte aktiv ist, kennt der Betreiber die Funkzelle, und die vollständige Leitung des Verkehrs über Tor ändert daran nichts, denn sie schützt Inhalt und Ziel, nicht die Funkschicht. Genau deshalb ist das Thema ein juristisches. Es gibt eine Kategorie von Risiken, die keine individuelle Konfiguration verringert und für die die einzige verfügbare Stellschraube die für den Betreiber geltende Regel ist.

Dieselbe Sorge bestimmt den Rest unserer Arbeit. Ein Datum, das nicht existiert, kann weder beschlagnahmt noch weiterverkauft noch abgezogen noch in zehn Jahren von einer Maschine entschlüsselt werden, über die heute niemand verfügt, eine Frage, die wir unter dem Blickwinkel der heute geernteten und später gebrochenen Verschlüsselung behandelt haben.

Fazit

Die öffentliche Debatte über Mobilfunküberwachung konzentriert sich fast ausschließlich auf den Zugriff: Wer darf die Daten einsehen, auf welcher Grundlage, mit welcher Genehmigung. Diese Debatte ist berechtigt, und die seit 2014 vom Gerichtshof ergangenen Entscheidungen haben spürbare Wirkung entfaltet. Aber sie setzt zu spät in der Kette an.

Die vorgelagerte und entscheidendere Frage lautet, ob die Historie überhaupt existieren soll. Ein heute aus legitimem Grund angelegter Bestand steht morgen für einen anderen zur Verfügung, und die ihn umgebenden Garantien hängen von späteren politischen Entscheidungen ab, die im Moment der Erhebung niemand in der Hand hat. Das ist eine Wette auf die Stabilität der Institutionen, abgeschlossen für eine Dauer, die niemand festlegt.

5G hat die Auflösung dieser Information vervielfacht, ohne dass eine normative Anpassung erfolgt wäre. Zugleich hat es mit dem SUCI-Mechanismus gezeigt, dass der gangbare Weg darin besteht, Position und Identität voneinander zu lösen, statt zu versuchen, eine physikalische Eigenschaft des Netzes zu verschlüsseln. Der technische Standard hat die Antwort sieben Jahre geliefert, bevor das Recht die Frage stellte.

Der europäische Text zur Datenspeicherung entsteht jetzt. Er wird Metadaten betreffen, also Standortdaten, also das, was 5G inzwischen in einer Feinheit erzeugt, die seine Verfasser nicht gekannt haben. Ob er sich damit begnügt, den Zugriff auf eine als gegeben hingenommene Historie zu regeln, oder ob er es wagt, die Notwendigkeit dieser Historie zu hinterfragen, ist wahrscheinlich die wichtigste Datenschutzfrage der kommenden Jahre in Europa. Und es ist eine Frage, die der technische Sektor ausnahmsweise bereits im richtigen Sinne entschieden hat.

Quellen

Gerichtshof der Europäischen Union, Digital Rights Ireland, verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014
Gerichtshof der Europäischen Union, Tele2 Sverige und Watson, verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016
Gerichtshof der Europäischen Union, La Quadrature du Net u. a., verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, März 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026