Mehr als zwei Petabyte an unstrukturierten Daten in einem internen Europol-System und mehrere kompromittierte Signal-Konten in Deutschland legen zwei unterschiedliche Sicherheitsversäumnisse offen: mangelhafte Governance bei der Datenhaltung einer Strafverfolgungsbehörde und fehlende Schutzvorkehrungen für Nutzerinnen und Nutzer politischer Kommunikation. In einer Folge des c't-Datenschutz-Podcasts beschrieben Sicherheitsexpertinnen und -experten die Signal-Zugriffe als gezieltes Social Engineering, während heise berichtet, Europol habe in seinem System „Pressure Cooker“ jahrelang große Datenmengen ohne funktionierendes Rechtemanagement gespeichert. Behörden ermitteln wegen möglicher Spionage und Datendiebstähle, und geplante Kompetenzerweiterungen für Europol verschärfen die Debatte um Kontrolle und Rechtsgrundlagen.

Die aktuelle Debatte verbindet zwei Themen, die sich technisch und organisatorisch unterscheiden, aber beide das Vertrauen in digitale Kommunikation und in staatliche Strafverfolgung untergraben. Die c't-Folge 159 zum Datenschutz brachte die Analyse der jüngsten Serie kompromittierter Signal-Konten von Politikerinnen und Politikern in Deutschland in Gang. Aber die Gäste des Podcasts machten deutlich, dass es keine bekannte technische Lücke in Signal selbst gab. Vielmehr nutzten Angreifer identitätsbasierte Methoden wie gefälschte Support-Nachrichten und manipulierte QR-Codes, um Opfer zur Herausgabe von PINs oder zur Verknüpfung eines fremden Geräts zu bewegen. Damit ließen sich Sitzungen übernehmen, ohne die App zu kompromittieren, wie mehrere Berichte und Sicherheitsexperten zusammenfassen.

Was die Signal-Fälle praktisch bedeuten

Der IT-Sicherheitsrechtler Dennis-Kenji Kipker sagte in einem Interview, Täter setzten auf Menschenmanipulation, nicht auf eine Schwachstelle in der App. Er nannte eine bisher bekannte Fallzahl von rund 300 kompromittierten Accounts in Deutschland und vermutet eine deutlich höhere Dunkelziffer. Zu den bekannten Opfern zählt nach den vorliegenden Darstellungen Bundestagspräsidentin Julia Klöckner. Weiterhin sollen Abgeordnete, Journalisten und Militärangehörige betroffen sein. Einige Berichte deuten darauf hin, dass Angreifer Zugriff auf Nachrichten der vergangenen rund 45 Tage erlangt haben.

Sicherheitskreise und Ermittler sehen in den Mustern eine Professionalität, wie man sie von industrienahen Cyberkriminalitätsgruppen kennt. Zu dieser Einschätzung passt, dass BornCity Verweise auf eine CISA-Warnung und die aktive Ausnutzung einer Windows-Schwachstelle nennt, konkret CVE-2026-32202. Damit wird die Lage komplexer, weil staatliche Akteure, etwa mutmaßlich russische Gruppen, gelegentlich neben kriminellen Netzwerken auftreten. In dieser Gemengelage wird das Wort "Hack" in Medienberichten oft verwendet, obwohl Fachleute die Vorgänge eher als Phishing beziehungsweise Social Engineering klassifizieren. Kritik an einzelnen Headlines weist darauf hin, dass manche Darstellungen später korrigiert wurden.

Pressure Cooker: Wenn die Polizei selbst zur Datenfalle wird

Parallel zur Signal-Debatte steht eine heise-Recherche, die ein internes Europol-System mit dem Namen "Pressure Cooker" beschreibt. Dem Bericht zufolge hat die EU-Polizeibehörde über Jahre mehr als zwei Petabyte an Daten gesammelt, ohne ein funktionierendes Rechtemanagement und ohne belastbare Rechtsgrundlage. Die Recherche nennt Fehler in der Datenverwaltung und Überschreitungen gegenüber dem europäischen Datenschutzbeauftragten. Diese Darstellung beruht nach wie vor im Wesentlichen auf der heise-Reportage; in den geprüften Quellen lagen keine detaillierten Bestätigungen durch Europol oder eine unabhängige Prüfinstanz vor.

Mastheads

Gleichzeitig dokumentiert Europol in seinem Threat-Assessment-Kontext, etwa im IOCTA-Report, eine Zunahme und Professionalisierung von Cyberbedrohungen in Europa. Der Bericht nennt hunderte aktive Ransomware-Operationen und stellt die wachsende Bedeutung sauberer Datenverwaltung bei Strafverfolgungsbehörden heraus. Diese Divergenz ist wichtig. Wenn eine Behörde, die Cyberkriminalität bekämpfen soll, selbst unstrukturiert Datenmengen ansammelt, dann stellt das nicht nur ein Datenschutzproblem dar.

Es schafft Angriffspunkte für Ausspähung und Missbrauch.

Inhaltlich sind die Probleme unterschiedlich. Bei Signal ist der Angriffsvektor Mensch. Bei Europol geht es um Governance, Rollen und technische Umsetzung von Rechten. Beide Felder treffen sich dort, wo politische Kommunikation zunehmend über informelle Messengerkanäle läuft. Die Podcast-Gäste und Fachinterviews weisen auf einen Flickenteppich aus Zuständigkeiten und Sicherheitsniveaus in Verwaltung und Parteiapparaten hin. Einzelne Nutzerinnen und Nutzer bleiben die schwächste Stelle. Gleichzeitig fehlt es offenbar an klaren Rechtemanagement-Prozessen auf europäischer Ebene.

Die Folgen sind praktisch: Gefährdete Accounts bedeuten potenziell Zugriffe auf vertrauliche politische Kommunikation. Fehlerhafte Verwaltung großer Datensammlungen bei einer Strafverfolgungsbehörde bedeuten ein erhöhtes Risiko für unerlaubten Zugriff, Datenverlust oder rechtliche Auseinandersetzungen über die Grundlage der Datenspeicherung. Behörden ermitteln bereits wegen möglicher Spionage und Datendiebstähle in Zusammenhang mit den Signal-Vorfällen, so die Berichte.

Aus Sicht der IT-Sicherheit lassen sich zwei Prioritäten ableiten. Erstens, Awareness und Schutzmaßnahmen für Nutzerinnen und Nutzer, die politische Kommunikation führen. Zweitens, klare Governance, Rechtemanagement und rechtliche Prüfung bei der Speicherung großer Datenmengen durch Behörden. Beides sind Verwaltungsaufgaben, keine rein technischen Probleme.

Der Diskurs wird zusätzlich politisch aufgeladen, weil die EU-Kommission Pläne hat, Europol mehr Personal und Befugnisse zu geben. Diese Entscheidung verstärkt Forderungen nach genauer Prüfung der internen Datenverarbeitung und nach unabhängigen Kontrollen. Wer einer Behörde mehr Mittel und Kompetenzen geben will, muss zugleich klare Regeln für Transparenz und Rechtemanagement fordern.

Related Articles

Die laufenden Ermittlungen in Deutschland und die von der EU-Kommission geprüften Pläne, Europol personell und befugungsmäßig aufzurüsten, machen eine unabhängige Prüfung der internen Datenhaltung sowie ein verbessertes Schutzkonzept für politische Kommunikation dringender denn je.

Dieser Artikel wurde mit KI-Unterstützung erstellt.