Handys von Asylbewerbern zu analysieren, kostet viel mehr als geplant

Seit 2017 darf das Bundesamt für Migration und Flüchtlinge (BAMF) die Handys von Geflüchteten auswerten. Ziel ist es, herauszufinden, wo die Asylsuchenden herkommen – und zu prüfen, ob die Antragsteller beim BAMF ihr tatsächliches Herkunftsland angeben. Für die benötigte Technik waren ursprünglich 3,2 Millionen Euro veranschlagt. Doch die wirklichen Kosten sind mehr als doppelt so hoch. Für die vergangenen Jahre liegen sie bei insgesamt 7,6 Millionen Euro.

Das belegt die Antwort der Bundesregierung auf eine Kleine Anfrage der linken Bundestagsabgeordneten Ulla Jelpke, die Motherboard vorliegt. Allein im Jahr 2017 gab das BAMF fast 4,8 Millionen Euro für die Hard- und Software aus, mit der die Daten von mobilen Geräten ausgelesen werden. In diesem Jahr sollen noch einmal 1,6 Millionen Euro dazukommen. So viel kostet es allein, die Daten von den Geräten herunterzuladen und auf Behördenrechnern zu speichern. Um die Daten auszuwerten und für die BAMF-Mitarbeiter aufzubereiten, die über die Anträge der Geflüchteten entscheiden, ist weitere Technik notwendig: Diese Technik soll laut Auskunft der Regierung in diesem Jahr noch einmal insgesamt 1,25 Millionen Euro kosten. Wie hilfreich die Technik bei der Entscheidung über Asylanträge für die BAMF-Mitarbeiter ist, geht aus den Angaben der Regierung nicht hervor.

Mit dem Gesamtbetrag von 7,6 Millionen Euro wird das Projekt inzwischen doppelt so viel Kosten, wie vor dem Start vom Innenministerium geschätzt. Bei den knapp acht Millionen Euro wird es nicht bleiben, denn die Module müssen ständig an den Stand der Technik angepasst werden. Das zeigt ein genauerer Blick auf die Funktionsweise der Software. Von wem das Analyseprogramm stammt, will die Behörde offiziell eigentlich nicht verraten. Auf entsprechende Anfragen erklärte das BAMF, dass "die Firma ATOS die notwendige Soft- und Hardware" stelle. ATOS ist für viele Teile der BAMF-IT zuständig. Die einzelnen Komponenten können jedoch von anderen Herstellern eingekauft sein – und das ist auch hier der Fall.

Von einem Mitarbeiter eines IT-Dienstleisters des BAMF erfuhr Motherboard, dass das eingesetzte Teilsystem, mit dem die Handys ausgelesen werden, vom schwedischen IT-Forensik-Unternehmen MSAB stammt. Tatsächlich verrät auch das für das BAMF verantwortliche Innenministerium unabsichtlich auf einem Pressefoto, wer der Hersteller der Software ist. Bei einem Besuch im BAMF ließ sich der ehemalige Innenminister Thomas de Maizière die Technik vorführen, im Bild ist in der unteren rechten Ecke noch das Logo von MSAB zu sehen.

MSAB bezeichnet sich selbst als "Weltmarktführer für Mobilforensik bei der Extraktion, Analyse und dem Management von Daten". Was damit gemeint ist: Man hält sich für eines der weltbesten Unternehmen, wenn es darum geht, Smartphones und Tablets, die durch einen Pin-Code gesichert sind, zu knacken und diese Daten auszuwerten. Zu den Kunden von MSAB gehören Militär, Ermittlungsbehörden und Geheimdienste aus aller Welt. Die Firma selbst spricht in einer Firmenbroschüre von Anwendern in über 100 Ländern.

Ebenfalls auf Motherboard: Totalüberwachung für 150 Euro

Im Fall des BAMF funktioniert die Technik so: Nachdem ein Asylbewerber seinen Pin-Code verraten oder sein Handy entsperrt hat, wird das Telefon in der Behörde an ein MSAB-Terminal angeschlossen, auf dem dann die Daten vom Handy übertragen werden. Im Gespräch mit einem mit dem System Vertrauten bestätigte dieser, dass es theoretisch "auch Möglichkeiten gibt", an die Handydaten zu kommen, wenn eine Person ihr Telefon nicht entsperren will. Auf Nachfrage von Motherboard dementiert das BAMF diese Praxis und sagt, die "Geräte können nur nach freiwilligem Entsperren ausgelesen werden". Die Mitwirkungspflicht der Antragsteller sei im Asylgesetz geregelt.

Eine Ausnahme lässt dieses Gesetz jedoch zu: Es erlaubt den zuständigen Behörden, "die Sachen des Antragstellers zu durchsuchen, wenn der Antragsteller seiner Pflicht zur Aushändigung nicht nachkommt und Anhaltspunkte bestehen, dass er im Besitz solcher Datenträger ist", so das BAMF weiter. Für die Analyse der Daten ist außerdem stets eine juristische Genehmigung notwendig. Das bedeutet: Nur weil die Daten vom Handy des Asylbewerbers auf Behördenrechner übertragen wurden, heißt das nicht automatisch, dass die Daten auch ausgewertet werden oder bei der Entscheidung über den Asylantrag berücksichtigt werden.

MSAB wirbt selbst damit, über 23.000 Kombinationen aus Geräten und Betriebssystemen zu unterstützen und an alle größeren Messaging-Apps heranzukommen. Dazu preisen die Forensiker an, viele aktuelle Android-Sicherheitslücken zu kennen, auch für moderne iOS-Versionen habe man Lösungen. Doch die IT-Forensiker müssen ihre Produkte ständig erweitern: Schließen Geräte- und App-Hersteller Sicherheitslücken, muss MSAB neue Schwachstellen finden, um weiterhin an die Daten zu kommen.

Für die Budgets des BAMF bedeutet das auch: Mit einer einmaligen Installation der Software ist es nicht getan. Es fallen jedes Jahr aufs neue Lizenzkosten an. Als das "Gesetz zur besseren Durchsetzung der Ausreisepflicht" diskutiert wurde, das den Grundstein für die neue Praxis der Migrationsbehörde legte, schätzte der Gesetzgeber dafür jährliche Ausgaben von 300.000 Euro. Auch diese Summe könnte sich noch verändern, falls mehr oder weniger Lizenzen als geplant genutzt werden. Die aktuelle Antwort der Bundesregierung verrät jedoch nichts über die genaue Höhe dieser Lizenzkosten.

"Das massenhafte Durchsuchen der Handys von Geflüchteten ist grundrechtswidrig, da es auf unverantwortliche Weise in das Recht auf informationelle Selbstbestimmung eingreift", kritisiert Ulla Jelpke, die die Anfrage an die Bundesregierung stellte, gegenüber Motherboard. "Außerdem verursacht es enorme Kosten", so Jelpke. Ginge es nach ihr, sollte das Geld besser für eine angemessene Schulung der BAMF-Mitarbeiter ausgegeben werden: "Wir brauchen keine High-Tech zum Ausspitzeln von Schutzsuchenden, sondern kompetente BAMF-Mitarbeiterinnen und Mitarbeiter."

Laut dem Gesetz dürfen die BAMF-Entscheider keine Inhaltsdaten wie Textnachrichten oder Fotos zu Gesicht bekommen. Die BAMF-Mitarbeiter erhalten deshalb nicht alle Daten, die die MSAB-Tools von den Geräten extrahieren, sondern sogenannte Ergebnisberichte, die nur bestimmte für die Entscheider wichtige Informationen enthalten sollen. Wir hatten die Gelegenheit, einen solchen Bericht anzusehen: Tatsächlich enthält das Dokument beispielsweise keine Angaben über gewählte Telefonnummern. Stattdessen sehen die Asylentscheider, welche Ländervorwahlen der Handynutzer wie oft wählte und aus welchen Ländern er angerufen wurde. Auch eine Analyse der in Textnachrichten verwendeten Sprachen gehört zu den Informationen, die den Entscheidern zur Verfügung stehen.

Eigentlich können MSABs Systeme viel mehr als das. Im Gespräch mit einem IT-Spezialisten, der sein eigenes Mobiltelefon an ein MSAB-System anschließen konnte, sagte uns dieser, er sei überrascht gewesen, wie viel die Technik aus dem Gerät herausholen kann. Sie habe seit langem gelöschte Urlaubsfotos wiederherstellen können, ebenso wie früher verwendete Bildschirm-Entsperrmuster. Bei der BAMF-Adaption haben die Datenschützer jedoch den Rotstift rausgeholt.

BAMF-Chefin Jutta Cordt ist mit der aktuellen Situation noch nicht zufrieden. Sie forderte in einem Interview mit dem SWR, dass die Bundesregierung dem BAMF mehr Rechte beim Datenauswerten geben solle, etwa Zugriff auf gespeicherte Fotos. Technisch wäre das auch mit dem aktuellen System schon möglich. Doch bereits am Ausmaß der jetzigen Praxis gibt es heftige Kritik. Die Bundesdatenschutzbeauftragte Andrea Voßhoff nannte den Eingriff in die Privatsphäre der Geflüchteten unverhältnismäßig, die Menschenrechtsorganisation Pro Asyl fürchtet einen "Großen Lauschangriff" gegen Asylsuchende.

Das BAMF betonte immer wieder in Stellungnahmen und auch auf Nachfrage von Motherboard, dass die Handyauswertung nur in Einzelfällen stattfinde und so "Asylentscheidungen auf eine noch breitere Grundlage gestellt" würden: "Sie sind jedoch nie die ausschließliche Quelle für die Klärung der Identität."

In wie vielen Fällen die Technik den BAMF-Mitarbeitern bei einer Asylentscheidung geholfen oder diese beeinflusst hat, geht aus den aktuellen Zahlen der Regierung nicht hervor. Laut einer Auskunft der Bundesregierung seien bis Ende Januar 8.907 mobile Datenträger ausgelesen und davon 918 Auswertungen als "aktenrelevant" eingestuft worden. Das bedeutet jedoch nicht, dass in den entsprechenden Fällen tatsächlich Informationen über die Asylsuchenden ans Licht kamen, die ihren vorherigen Aussagen über ihre Herkunft widersprachen. Wie oft die teure Technik die Herkunftsangaben der Asylsuchenden bestätigte oder ihnen widersprach, lässt sich an diesen Angaben nicht ablesen.

Folgt Motherboard auf Facebook, Instagram, Snapchat und Twitter