Smartphone: Der Spion in der Hosentasche

Oktober 2024, ein kalter Montagmorgen vor der Maria-Theresien-Kaserne in Wien-Hietzing. Die Blätter der Bäume auf beiden Seiten des Eingangsportals sind rostbraun wie das Ziegeldach des schlichten Backsteingebäudes. Es ist eine Hochsicherheitszone: Die „MTK“ beherbergt neben Einheiten der Garde und der Militärpolizei auch das Heeres-Nachrichtenamt (HNaA), Österreichs militärischen Auslands-Nachrichtendienst. Wer hi­nein will, muss an Wachsoldaten vorbei durch eine Schleuse. Sie öffnet sich nun für einen Wagen mit niederösterreichischem Kennzeichen.

Darin sitzt Helmut Stieglitz*. Er fährt nicht auf den großen Parkplatz im Hof, sondern biegt gleich rechts ab. Dort wartet eine zweite Sicherheitsschleuse. Sie führt zu einem separat abgeriegelten Trakt mit Satellitenschüsseln auf dem Dach, dem Sitz des HNaA. Hier verbringt Helmut seinen Arbeitstag. Erst gegen 18 Uhr bricht er wieder auf, über die Südosttangente und die A22 in ein Dorf in Niederösterreich, in dem sein unscheinbares Einfamilienhaus steht.

Er merkt nicht, dass sein Smartphone nicht nur seinen Standort verfolgt, sondern genau diese Daten über Umwege auch auf einer Verkaufsplattform im Internet landen. Theoretisch kann sie dort jeder erwerben. Auch ausländische Geheimdienste können so Zugang dazu bekommen, ganz ohne aufwendige Hacker-Angriffe. „Advertising-based Intelligence“ nennt sich das, kurz ADINT.

Etwas später im selben Jahr gibt sich ein Journalist des Mediums Netzpolitik.org gegenüber dem US-Datenhändler Datastream Group als potenzieller Kunde aus. Wer genug Geld hinlegt, bekommt bei solchen Unternehmen Zugriff auf riesige Datenmengen, die nahezu in Echtzeit aktualisiert werden. Der Reporter erhält mehrere, vergleichsweise kleine Datensätze als Gratis-Kostproben.

Einer davon enthält Daten von rund elf Millionen Smartphones aus Deutschland. Seitdem berichten Netzpolitik.org und der Bayerische Rundfunk (BR) in einer gemeinsamen Recherche ausführlich darüber, wie solche Datensätze entstehen und welche Gefahren von ihnen ausgehen.

Im Sommer 2026 erhält auch News im Zuge einer mehrere Monate langen Recherche exklusiv Einblick in einen weiteren, auf diesem Weg beschafften Datensatz: Die Standortdaten von 562.448 Smartphones aus Österreich, gesammelt im Herbst 2024. Solche Daten werden üblicherweise etwa von Apps zu Werbezwecken gesammelt. Später fließen sie an Datenhändler wie Datastream. Auch in Websites integrierte Tracker verfolgen Interessen von Nutzerinnen und Nutzern und entscheiden so, für welche Anzeigen diese besonders empfänglich sind. Diese Daten laufen dann bei Datenhändlern zusammen, die sie gesammelt auf Online-Marktplätzen anbieten. Datenschutzrechtlich spielt sich das oft mindestens in einem Graubereich ab, denn laut Datenschutz-Grundverordnung (DSGVO) muss für jede konkrete Verarbeitung persönlicher Daten zu Werbezwecken eine Einwilligung erteilt werden.

Der von Netzpolitik.org beschaffte Datensatz enthält Standortdaten, die mit sogenannten MAIDs verknüpft sind. Das steht für „Mobile Advertising Identification“, eine 36-stellige Ziffern- und Buchstabenfolge. Sie dient als digitaler Fingerabdruck, mit dem Daten verknüpft werden, die Smartphones über uns sammeln, um sie eindeutig einem Gerät – und damit einer Person – zuordnen zu können. Die Werbe- und Datenindustrie bezeichnet diese MAIDs gerne als anonym oder zumindest pseudonym.

Datenschützer wie der Wiener Wolfie Christl, der unter anderem für das Citizen Lab der Universität Toronto zu Datenschutz und Netzpolitik forscht, widersprechen hier deutlich: „Diese Codes sind besser geeignet, um Menschen zu identifizieren, als Namen.“

Mit einem vom BR entwickelten Online-Tool wird der Datensatz zur Österreichkarte, auf der unzählige Punkte erscheinen. Potenziell ließen sich damit die Bewegungen all jener Personen nachvollziehen, deren Geräte in dem Datensatz erfasst sind. Im Zentrum dieser Recherche stehen Menschen, die sich an Standorten von Militär, Polizei und Nachrichtendiensten aufhalten. Sie könnten ins Visier gezielter Anwerbeversuche ausländischer Geheimdienste geraten und im schlimmsten Fall kompromittiert werden.

Helmut geht News in der Maria-Theresien-Kaserne in Wien-Hietzing ins Netz. Dort hinterlässt sein Smartphone vor allem werktags und tagsüber Spuren. Morgens und abends zeichnen die Standortdaten seinen Weg zwischen der Kaserne und seinem Einfamilienhaus nach. Hin und wieder führen sie auch zu einem Grab auf dem Friedhof seines Heimatorts oder zu einem nahegelegenen Weingut.

Auf Helmuts Namen stößt News bei einer Abfrage des Grundbuchs – eine Auskunftssperre gibt es in Österreich nicht. Die anschließende Suche im Netz ergibt erstaunlich wenig: keine Social-Media-Profile, keine Vereine. Digital ist Helmut ein Phantom. Ein digitales Dokument verrät schließlich doch noch Details über Helmut: Seine Abschlussarbeit. Ihr Inhalt legt eine Zugehörigkeit zum Bundesheer und zum HNaA nahe, und sie liefert zahlreiche persönliche Informationen: Geburtsdatum und -Ort, Studienrichtung, Namen von Freunden und Bekannten und Informationen zu früheren Tätigkeiten beim Bundesheer.

Wer mit Google Street View an Helmuts Einfamilienhaus vorbeischaut, sieht nur digitalen Nebel. Offenbar hat er sein Haus bei Google vorsorglich unkenntlich machen lassen. Grundsätzlich ein vernünftiger Vorgang. Doch inmitten einer unscheinbaren Siedlung erzeugt die Verpixelung eher Aufmerksamkeit: Gehen Sie weiter, hier gibt es nichts zu sehen.

Auch rund um ein Mehrparteienhaus in Niederösterreich verdichten sich die Standortdaten. Laut Melderegister hat Helmut dort inzwischen seinen Hauptwohnsitz: ein schmuckloser, rechteckiger Betonbau am Stadtrand. Auf einem Klingelschild steht eine abgewandelte Version seines Nachnamens – wohl eher ein Tarnname. Helmut öffnet nicht, auch weitere Kontaktversuche durch News bleiben erfolglos.

Auch in der Rennwegkaserne in Wien-Landstraße häufen sich die digitalen Spuren. Zwischen den markanten barocken Gebäudeflügeln schirmen eine Sicherheitsschleuse, ein schweres Tor und hohe Zäune das Gelände ab. Hier sitzt die Direktion Staatsschutz und Nachrichtendienst (DSN) – ein zentraler Teil des ­österreichischen Sicherheitsapparats.

Die digitale Barriere hingegen lässt sich offenbar leichter überwinden. 37 Smartphones aus dem Datensatz wurden innerhalb der Mauern geortet. Darunter auch das Gerät von Tanja Müller*. Wie bei Helmut lassen sich ihre Bewegungen von der Kaserne bis zu ihrem Wohnort nachvollziehen. Sie lebt in einer Eigentumswohnung in einer ruhigen, unauffälligen Siedlung am Stadtrand von Bruck an der Leitha.

Ihre Datenspur führt regelmäßig zu einem nahe gelegenen Supermarkt. Und immer wieder zum Amtsgebäude am Josef-Holaubek-Platz in Wien-Alsergrund. Dort sind das Bundeskriminalamt (BKA) und Teile der Wiener Landespolizeidirektion untergebracht.

Weitere Recherchen liefern zusätzliche Hinweise: Auf dem E-Mail-Server der DSN existiert eine Adresse auf ihren Namen. Eine zufällige Namensgleichheit lässt sich nicht ausschließen, erscheint aber wenig wahrscheinlich. Auch auf Facebook ist Tanja unter ihrem Klarnamen vertreten. Ihr Profil ist privat, ihre Kommentare unter öffentlichen Beiträgen sind es nicht. Einige davon deuten auf eine Verbindung zum Innenministerium hin – jenem Ressort, dem DSN und BKA unterstehen.

Auch das Smartphone von Martin Reichelt*, Polizeihundeführer aus dem Burgenland, gibt viel über seinen Besitzer preis. Seine Datenspur führt von einem Übungsgelände für Polizeihunde zu einer Privatadresse in Niederösterreich. Dort findet sich mit Google Street View nicht nur ein Klingelschild mit Reichelts Namen, sondern auch eine stattliche Hundehütte, auf der ebenfalls ein Name steht.

Mit diesen Informationen findet sich ein öffentliches Facebook-Profil, wo Reichelt tiefe Einblicke in sein Privat­leben gewährt. Einblicke, die perfekt zu den Informationen aus dem Bewegungsprofil passen. Auch eine Wohnung in Wien besucht Reichelt häufig, dazu hinterlassen Arzt- und Friseurbesuche ihre Spuren.

Offenbar können Personen aus dem österreichischen Sicherheitsapparat mit frei verfügbaren Smartphone-Standortdaten ausgeforscht werden. Dabei stößt man schnell auf heikle Informationen, die dafür geeignet sind, Menschen zu kompromittieren. Wird bei den Behörden zu wenig darauf geachtet, die eigene Belegschaft zu schützen?

Aus dem Innenministerium heißt es, die Gefährdung durch ADINT-basierte Ausforschung sei den Sicherheitsbehörden bekannt. Bei der DSN würden Mitarbeitende etwa laufend im Bereich Informations- und Cybersicherheit geschult. „Darüber hinaus werden entsprechende Awareness-Maßnahmen gesetzt, um insbesondere das Risiko einer Identifikation und Zuordenbarkeit von Bediensteten zu minimieren.“

Das Verteidigungsministerium gibt auf Anfrage an, man berücksichtige „die mit der zunehmenden kommerziellen Verfügbarkeit von Standort- und Bewegungsdaten verbundenen Sicherheitsrisiken.“ Deshalb würden organisatorische und technische „Maßnahmen zur sicheren Nutzung mobiler Endgeräte und zur Reduktion der damit verbundenen Datenexposition“ getroffen.

Trotzdem reichte bei Helmut, Tanja und Martin ein Testdatensatz und eine einfache Software, und ihre Wege lagen offen. Vom Kasernentor über den Arztbesuch bis vor die Haustür. Dabei müsste gerade das Innenministerium die Möglichkeiten von ADINT sehr genau kennen: Es ist selbst professioneller Anwender.

Dieser Beitrag ist ursprünglich in der News-Printausgabe Nr. 39/2026 erschienen.