Wer in Deutschland ein Handy orten will, braucht einen Richter. Die Funkzellenabfrage — also die Auskunft eines Mobilfunkanbieters darüber, welche Geräte sich zu einer bestimmten Zeit an einem bestimmten Ort eingebucht haben — ist eine richterlich zu genehmigende Überwachungsmaßnahme. Das ist der Rechtsstaat, wie er im Lehrbuch steht.
Es gibt allerdings einen zweiten Weg zum selben Ergebnis. Er führt nicht über ein Gericht, sondern über eine Rechnung.
Anfang Juni 2026 veröffentlichten netzpolitik.org und der Bayerische Rundfunk das Ergebnis von Anfragen nach dem Informationsfreiheitsgesetz an sämtliche Landeskriminalämter. Die Frage war schlicht: Nutzt ihr Daten kommerzieller Anbieter — also Daten aus der Werbeindustrie?
Zwei Behörden bestätigten es. Das Landeskriminalamt Brandenburg teilte mit, es greife zur Bekämpfung verschiedener Kriminalitätsphänomene anlassbezogen auch auf Datenhändler zurück; genutzt werde das vor allem bei Cybercrime und Wirtschaftskriminalität zur Analyse von Täter- und Tatzusammenhängen. Welche Daten das genau sind, aus welchen Quellen sie stammen und welche Firmen beteiligt sind, wollte die Behörde nicht offenlegen — das könne die Strafverfolgung beeinträchtigen.
Das Landeskriminalamt Mecklenburg-Vorpommern antwortete zunächst ähnlich vage, wurde auf Nachfrage aber deutlicher: Zu den genutzten Daten gehörten auch Standortdaten aus der Werbeindustrie. Ob man sie selbst gekauft oder über einen spezialisierten Dienstleister genutzt habe, blieb offen. Künftig, so die Behörde, sei die Nutzung nicht mehr vorgesehen.
Interessanter als die zwei Geständnisse ist die Verteilung der Antworten. Fünf Länder — Bremen, Hessen, Rheinland-Pfalz, Sachsen-Anhalt und Schleswig-Holstein — verneinten den Einsatz klar. Neun weitere Landeskriminalämter verweigerten die Auskunft: Geheimschutz, polizeitaktische Gründe, sensible Bereiche der Polizeiarbeit.
Der Münchner Polizeirechtler Mark Zöller wertet dieses Schweigen als Indiz: Dass Behörden den Einsatz weder bestätigen noch verneinen, spreche dafür, dass er dort zumindest erwogen werde. Zur Rechtslage selbst ist er eindeutig. Eine Ermächtigungsgrundlage existiere in keinem Polizeigesetz; wer es dennoch tue, handle ohne gesetzliche Grundlage.
Das ist keine Einzelmeinung. Alle 16 Landesdatenschutzbehörden wurden angefragt — keine einzige konnte eine konkrete Rechtsgrundlage benennen. Die brandenburgische Landesdatenschutzbeauftragte stellte ausdrücklich klar, dass allgemeine Generalklauseln aus ihrer Sicht nicht ausreichen. Mehrere Polizeibehörden berufen sich trotzdem genau darauf.
Der Landesdatenschutzbeauftragte von Mecklenburg-Vorpommern benennt das Kernproblem in einem Satz: Mit kommerziellen Standortdaten lassen sich ähnliche Erkenntnisse gewinnen wie mit einer Funkzellenabfrage — nur eben ohne die richterliche Genehmigung, die für die Funkzellenabfrage zwingend ist.
Damit wird der Richtervorbehalt nicht abgeschafft. Er wird umgangen. Nicht durch Gesetzesänderung, sondern durch Beschaffungsweg. Hinzu kommen zwei weitere Probleme: In den Paketen der Datenhändler stecken Daten von Millionen unbeteiligter Geräte. Und ob diese Daten überhaupt rechtmäßig erhoben wurden, ist mehr als fraglich — von einer informierten Einwilligung der Betroffenen kann nach den bisherigen Recherchen in der Regel keine Rede sein.
In Mecklenburg-Vorpommern läuft inzwischen eine datenschutzrechtliche Prüfung. Von der Existenz des Einsatzes erfuhr die Aufsichtsbehörde allerdings nicht von der Polizei, sondern durch die Presseanfrage. Ergebnisse werden nicht vor Ende des Jahres erwartet.
Auf Bundesebene wird die Frage gar nicht erst beantwortet. Als die Linken-Abgeordnete Donata Vogtschmidt Ende 2025 wissen wollte, ob Bundespolizei und Bundeskriminalamt Werbedaten nutzen, verweigerte die Bundesregierung die Auskunft — nicht einmal in eingestufter Form, also unter Geheimhaltungsauflagen gegenüber dem Parlament. Begründung: Schon ein geringfügiges Risiko des Bekanntwerdens sei nicht hinnehmbar.
Ein Parlament, das nicht erfahren darf, ob die Exekutive einkauft, was sie selbst nicht erheben dürfte, kann diese Praxis auch nicht kontrollieren. Das ist keine Nebenfolge der Geheimhaltung. Das ist ihre Funktion.
Es gibt jedoch eine Spur, und sie liegt an einer bezeichnenden Stelle: nicht im Gesetzestext, sondern in dessen Begründung. Schon 2023 war im Entwurf zur Novelle des BND-Gesetzes vom Ankauf umfänglicher Werbedatenbanken die Rede — eingeordnet unter „allgemein zugängliche Quellen", also unter Material, das keiner besonderen Regelung bedarf.
Im aktuellen Reformentwurf von Innenminister Alexander Dobrindt taucht der Fachbegriff dann ausdrücklich auf. In den Erläuterungen zu § 88 des neuen BND-Gesetzes — dort geht es um die Frage, wann der Auslandsnachrichtendienst Daten an andere Stellen weitergeben darf — werden angekaufte Werbedatensammlungen und im Netz verfügbare Datenleaks ausdrücklich als übermittlungsfähig genannt. Solche Bestände dürfen dem Entwurf zufolge auch automatisiert und vollständig weitergereicht werden.
Genau so lesen es die Fachleute. Der Jurist Peter Schantz, früher Ministerialdirektor im Bundesjustizministerium, hält in seiner Stellungnahme fest, dass der Datenankauf damit erkennbar als übliche Vorgehensweise des Dienstes behandelt werde. Die Bundesbeauftragte für den Datenschutz stellt zugleich fest, was im Entwurf nicht steht: eine ausdrückliche Rechtsgrundlage für den Ankauf und die Nutzung kommerzieller Daten. Gestützt werde die Praxis weiterhin auf die allgemeinen Generalklauseln — also auf genau jene Normen, die nach Auffassung der Datenschutzbehörden dafür nicht taugen.
Der Datenstrom fließt nicht nur in eine Richtung. Ende April 2026 beschloss das Bundeskabinett ein Paket aus drei Gesetzentwürfen, das Bundeskriminalamt und Bundespolizei zur automatisierten Datenanalyse und zum biometrischen Abgleich von Gesichtsbildern mit Aufnahmen aus dem offenen Internet ermächtigen soll.
Der für diesen Zusammenhang entscheidende Teil steht im Kleingedruckten. Die Entwürfe erlauben es, vorhandene personenbezogene Daten zum Training von KI-Systemen zu verwenden — und diese Daten zu diesem Zweck auch an private Unternehmen weiterzugeben. Eine Anonymisierung soll unterbleiben dürfen, wenn sie unverhältnismäßigen Aufwand bedeutet. Für den Internetabgleich sieht der Entwurf zudem vor, dass private Anbieter im In- und Ausland — auch außerhalb der EU — eingeschaltet werden können.
In den Beständen, aus denen sich das speist, stehen nicht nur Verurteilte oder Verdächtige, sondern auch Opfer, Zeugen und Kontaktpersonen. Die Gesellschaft für Freiheitsrechte hält das Paket in ihrer Stellungnahme in wesentlichen Teilen für verfassungswidrig und verweist auf ein Urteil des Bundesverfassungsgerichts von 2023, das vergleichbare Landesregelungen in Hessen und Hamburg bereits teilweise kassiert hat. AlgorithmWatch, Amnesty International, der Chaos Computer Club und weitere Organisationen kommen zu dem Schluss, dass sich diese Befugnisse auch durch Nachbesserungen nicht grundrechtskonform ausgestalten ließen.
Damit schließt sich ein Kreis. Der Staat kauft auf einem Markt ein, dessen Ware aus dem Verhalten seiner Bürger besteht. Und er speist denselben Markt mit Daten, die er hoheitlich erhoben hat.
Die Frage, wer von dieser Konstruktion profitiert, hat drei Antworten.
Erstens die Behörden. Der Kauf von Daten ist kein Grundrechtseingriff im klassischen Sinn, sondern ein Beschaffungsvorgang. Es gibt keinen Richtervorbehalt, keine Benachrichtigungspflicht, keine Zweckbindung, die jemand prüfen würde. Genau das ist nach Einschätzung der Forschung der eigentliche Anreiz: Man erhält Daten, die man selbst nicht erheben dürfte, und spart sich zugleich Genehmigungsverfahren, Nutzungsbeschränkungen und Kontrolle. In Großbritannien ist für die Einspeisung gekaufter Daten in die Systeme eines Nachrichtendienstes ein Genehmigungsverfahren unter Beteiligung unabhängiger Rechtskontrolle vorgesehen. In Deutschland ist nicht geplant, dass der Unabhängige Kontrollrat in diesem Bereich überhaupt tätig wird.
Zweitens die Industrie. Das Geschäftsmodell der Datenhändler ist nach Einschätzung von Datenschutzbehörden, Juristen und Verbraucherschützern in weiten Teilen rechtswidrig. Ein Staat, der auf diesem Markt zum Kunden wird, hat ein strukturelles Interesse daran, dass es diesen Markt weiterhin gibt. Er ist dann nicht mehr nur Aufsicht, sondern auch Abnehmer.
Drittens — und hier kippt die Rechnung — niemand. Dieselbe Recherche, die den behördlichen Einkauf offenlegte, hatte zuvor gezeigt, dass sich mit frei gehandelten Werbedaten Mitarbeitende von Bundesbehörden, EU-Personal und Angehörige von Militärstützpunkten identifizieren und in ihren Bewegungen verfolgen lassen. Parteiübergreifend gilt dieser Markt in Deutschland und der EU als Sicherheitsrisiko: Was deutsche Behörden kaufen können, können ausländische Dienste ebenfalls kaufen. Der Einkauf im Namen der Sicherheit stützt einen Markt, der die Sicherheit gefährdet.
Sicherheitsbehörden und Teile der Politik argumentieren, dass kommerziell verfügbare Daten angesichts realer Bedrohungslagen und knapper Ressourcen ein legitimes Ermittlungsmittel seien. Der CDU-Abgeordnete Roderich Kiesewetter etwa hat es 2024 für durchaus sinnvoll gehalten, solche Daten verstärkt zur Aufklärung zu nutzen — verband das allerdings mit der Forderung, den Datenmarkt selbst zu regulieren, damit gegnerische Dienste ihn nicht nutzen können.
Es ist zudem richtig, dass die Rechtslage bislang nicht höchstrichterlich geklärt ist. Die Prüfung in Mecklenburg-Vorpommern läuft, ein Urteil gibt es nicht. Mehrere Landeskriminalämter halten den Einsatz auf Basis vorhandener Generalklauseln ausdrücklich für zulässig. Und nach der Rechtsprechung können auch rechtswidrig erlangte Erkenntnisse im Einzelfall verwertbar sein — je schwerer die Straftat, desto eher.
Was dieser Text behauptet, ist deshalb nicht, dass Straftaten ungeklärt bleiben müssten. Es ist, dass für einen Eingriff dieser Tiefe zuerst ein Gesetz nötig wäre. Der Polizeirechtler Zöller formuliert die Reihenfolge des Rechtsstaats knapp: erst regeln, dann loslegen.
Die deutsche Überwachungsdebatte dreht sich seit Jahren um Befugnisse: Was darf die Polizei, was der Verfassungsschutz, unter welchen Voraussetzungen, mit welcher Genehmigung. Das ist die sichtbare Ebene. Auf ihr wird gestritten, geklagt, gelegentlich gewonnen.
Der Datenkauf umgeht diese Ebene vollständig. Er braucht keine neue Befugnis, weil er formal keine Erhebung ist. Er taucht in keiner Statistik auf, weil ihn niemand zählt. Er erscheint in keiner Überwachungsbilanz, weil sich ohne Rechtsgrundlage auch nichts bewerten lässt. Und er wird dem Parlament nicht einmal unter Geheimhaltung mitgeteilt.
Der Befund lässt sich ohne Zuspitzung formulieren: Die wirksamste Ausweitung staatlicher Überwachung der vergangenen Jahre steht in keinem Gesetz. Sie steht in Verträgen, die niemand sehen darf — und bezahlt wird sie aus Mitteln, deren Höhe ebenfalls niemand kennt.