Wie Österreichs Innenministerium Menschen überwachen kann

Schon mit einfachen Mitteln und eingeschränkten Datensätzen lassen sich Menschen über Standortdaten ausforschen. Mit professioneller Software und teuren Abos ist noch viel mehr möglich. Neben der US-Behörde ICE zählt auch das österreichische Innenministerium zum Kundenkreis.

Für einen fünfstelligen monatlichen Betrag verkaufen Datenhändler riesige Datensätze, die nahezu in Echtzeit aktualisiert werden. Damit lassen sich Menschen nicht nur deutlich schneller ausforschen, sondern auf Schritt und Tritt verfolgen. Kein Wunder, dass sich Sicherheitsbehörden für diese Daten interessieren – und für Programme, die sie durchsuchbar machen. Zu den Käufern einer solchen Anwendung zählt auch das österreichische Innenministerium.

„Tangles“ heißt diese Anwendung. Sie wurde von der israelischen Firma Cobwebs entwickelt, die mittlerweile Teil des US-Unternehmens PenLink ist. Mit der Basisversion lassen sich Social-Media-Daten auswerten. Das sorgte 2021 für Ärger mit dem Facebook-Konzern Meta, der Cobwebs in einem Bericht über die „globale Überwachungsbranche“ als bösartigen Anbieter kennzeichnete. In der Präambel des Berichts heißt es, dass solche „Cyber-Söldner“ behaupten würden, nur Kriminelle und Terroristen ins Visier zu nehmen. In Wirklichkeit würden ihre Angriffe allerdings „wahllos erfolgen und auch Journalisten, Dissidenten, Kritiker autoritärer Regime, Familienangehörige von Oppositionellen und Menschenrechtsaktivisten umfassen“.

Auch Cobwebs zählte Meta damals zu diesen Cyber-Söldnern. Forscher des Facebook-Konzerns fanden heraus, dass Cobwebs Accounts in sozialen Medien betrieben hatte, die geschlossene Gruppen infiltrierten und Menschen zur Herausgabe von persönlichen Informationen verleiteten. Auch „Aktivisten, Oppositionelle und Beamte in Hongkong und Mexiko“ wurden laut Meta häufig zum Ziel der Cobwebs-Accounts. „Ungefähr 200“ dieser Accounts seien daraufhin von Metas Plattformen entfernt worden.

Geleakte Dokumente zeigen darüber hinaus, dass US-Behörden Tangles unter anderem zur Erstellung von Dossiers über Mitglieder der Black-Lives-Matter-Bewegung genutzt haben.

PenLink bietet für Tangles mehrere Erweiterungen an. Eine davon ist „Webloc“. Dem Citizen Lab der Universität Toronto vorliegende Dokumente zeigen, dass die Erweiterung Zugriff auf aktuelle Daten von rund 500 Millionen Smartphones weltweit bietet. Darunter sind nicht „nur“ Standortdaten. Screenshots aus einem Trainingsdokument aus El Salvador zeigen, dass Webloc auch auf Alter und Geschlecht von Smartphone-Nutzern zugreifen kann.

Und Webloc kennt offenbar auch die Werbe-Zielgruppen, in die ein Nutzer eingeordnet wird. Sie geben etwa Hinweise darauf, ob jemand ein Kind hat, in einer Beziehung ist, oder welche politischen Neigungen und Hobbys eine Person hat. Auch Spracheinstellungen, installierte Apps und weitere Geräteinformationen sind abrufbar.

Das Organisieren und Aufrechterhalten eines ständig aktuellen Datenstroms sei dabei sogar wichtiger als die Software selbst, sagt der Wiener Datenschutzexperte Wolfie Christl. Er forscht für Citizen Lab und ist Hauptautor eines umfangreichen Berichts über Webloc. „Diese Firmen versprechen, jeden Tag laufend aktualisierte Daten über einen möglichst großen Teil der Bevölkerung zu liefern.“

Das eröffne dystopische Möglichkeiten. „Damit kann eine Überwachung von Verhaltensweisen durchgeführt werden, die relativ weit geht. Diese Art von Überwachung ohne gerichtliche Kontrolle ist aus meiner Sicht ein komplettes grundrechtliches Desaster“, sagt Christl. Außerdem könnten autoritäre Regime solche Programme gegen kritische Oppositionelle, Journalisten und andere vulnerable Gruppen einsetzen – wie es auch Meta in seinem Bericht von 2021 beschreibt.

Die Recherchen von Christl und seinen Kolleginnen und Kollegen haben ergeben, dass in den USA mehrere Behörden Webloc nutzen, etwa die Einwanderungsbehörde ICE. Auch El Salvador zählt zu den bekannten Anwendern. In der EU war lange Zeit der ungarische Inlandsgeheimdienst als einziger Nutzer bekannt. Zumindest seit Mai 2026 besitzt auch das österreichische Innenministerium Lizenzen für Webloc und WebEye. Tangles ist dort schon seit Ende 2024 im Einsatz. Öffentlich wurde das erst, als das Ministerium Anfang 2025 den Erwerb von zehn Lizenzen auf einer europäischen Vergabeplattform veröffentlichte.

Gerüchte in diese Richtung habe es schon länger gegeben, sagt Christl im Gespräch mit News. Trotzdem habe er lange nicht glauben können, dass das Innenministerium die Software wirklich einsetzen würde. „Ich dachte, die werden schon Leute in ihren Rechtsabteilungen haben, die sehen, dass die Herkunft dieser Daten höchst zweifelhaft ist und dass das auf vielen Ebenen rechtlich problematisch bis illegal ist“, sagt Christl.

Dass die Tools nun offenbar zum Einsatz kommen, mache ihn „fassungslos“. Das Innenministerium legitimiere damit systematischen und illegalen Datenmissbrauch, der gleichzeitig die eigene nationale Sicherheit auf mehreren Ebenen unterminiere. Österreich schaffe zudem durch seine Nutzung derartiger Programme gemeinsam mit Ungarn einen „europaweiten Präzedenzfall“.

Auch der Unternehmensanwalt Philipp L. Leitner, Partner bei der Linzer Kanzlei Saxinger, bezweifelt die Legalität solcher Programme gegenüber News. Er sieht vor allem zwei offene rechtliche Fragen: „Darf ein Unternehmen, das meine Daten zu Werbezwecken sammelt, diese an einen staatlichen Akteur weitergeben, und darf der Staat diese Daten dann verarbeiten?“ Ersteres hänge davon ab, ob Nutzer dieser Art der Nutzung zugestimmt hätten. Dass das bei den Daten, auf die Webloc zugreift, passiert ist, stellt Leitner „ganz, ganz stark in Zweifel“.

Unabhängig davon sei es „nicht völlig ausgeschlossen“, dass staatliche Stellen solche Daten im Einzelfall rechtmäßig nutzen dürften. Als Rechtsgrundlage könnten Bestimmungen des Staatsschutz- und Nachrichtendienst-Gesetzes (SNG) in Betracht kommen. Eine allgemeine Befugnis zur anlasslosen, flächendeckenden Überwachung der Bevölkerung lasse sich daraus nicht ableiten, sagt Leitner und verweist auf die strengen grundrechtlichen Grenzen.

Das Innenministerium gibt sich zur Nutzung der PenLink-Überwachungssoftware erstaunlich zugeknöpft. Der grüne Nationalratsabgeordnete Süleyman Zorba wollte von Innenminister Gerhard Karner (ÖVP) Ende 2025 per Anfrage unter anderem wissen, auf welcher Rechtsgrundlage Webloc und Tangles eingesetzt werden und welche Ermittlungserfolge damit erzielt wurden. Karner ging in seiner Antwort auf keine der 34 Fragen inhaltlich ein. Grund: Detaillierte Antworten würden den „Sicherheitsinteressen der Republik Österreich zuwiderlaufen“. Das Thema könne im – geheimen – Ständigen Unterausschuss des Ausschusses für innere Angelegenheiten besprochen werden.

Zorba kann das nicht nachvollziehen. Die Rechtsgrundlage, auf der der Minister agiere, sei kein Thema für einen geheimen Ausschuss, genauso wenig die Verwendung von Daten und Steuergeld von Bürgerinnen und Bürgern. Statt von missbräuchlicher Datensammlung durch private Unternehmen zu profitieren, müsse der Staat Menschen davor schützen. „Dass Nutzerdaten über zwei Ecken verkauft werden und dann von Kriminellen oder von Nachrichtendiensten verwendet werden können, ist kein Umstand, den man akzeptieren sollte“, sagt der Nationalratsabgeordnete im Gespräch mit News.

Auf News-Anfrage will das Innenministerium aus „Gründen der öffentlichen Ordnung und Sicherheit“ nicht beantworten, welche seiner Behörden Anwendungen wie Tangles und Webloc verwenden und wofür.

Eine anlasslose Massenüberwachung gebe es aber nicht. Derartige Tools würden nur „zielgerichtet“ und „in konkreten Fällen“ eingesetzt, und zwar von „spezialisierten Fachkräften“. Das diene zur „Wahrnehmung sicherheitspolizeilicher, kriminalpolizeilicher und verfassungsschutzrechtlicher Aufgaben“ – ein Hinweis darauf, dass neben der DSN auch andere Behörden darauf zugreifen könnten. Rechtlich bewege man sich dabei vor allem auf Grundlage des Sicherheitspolizeigesetzes, der Strafprozessordnung und des Staatsschutzund Nachrichtendienst-Gesetzes. Die Frage, ob die Datenschutzbehörde vor der Nutzung konsultiert wurde, ließ das Ministerium unbeantwortet.

Die Datenschutzbehörde gibt auf Anfrage an, „keine näheren Kenntnisse“ über den Einsatz der Software durch das BMI zu haben. Eine Konsultation sei erst dann erforderlich, wenn eine Datenschutz-Folgenabschätzung ein hohes Risiko ergeben habe. Die Behörde könne aber jederzeit aktiv werden – im Rahmen eines „Beschwerde- oder amtswegigen Prüfverfahrens“.

Dieser Beitrag ist ursprünglich in der News-Printausgabe Nr. 39/2026 erschienen.