Es gibt einen Satz, der in jeder Debatte über neue Überwachungsbefugnisse fällt: „Das gilt nur bei schweren Straftaten." Er ist beruhigend, er klingt nach Maß, und er ist der zuverlässigste Indikator dafür, dass gerade etwas beschlossen wird, das später für alles gilt.
Im Sommer 2026 ist er besonders oft gefallen. Am 10. Juli hat der Bundestag ein neues Bundespolizeigesetz beschlossen, das automatisierte Videoanalyse an Bahnhöfen erlaubt – mit so wenigen Abgeordneten im Saal, dass die Schlussabstimmung ungültig war und wiederholt werden muss. Im August hat das Kabinett eine rund 730 Seiten starke Geheimdienstreform beschlossen. Dazwischen liegen drei Gesetzentwürfe zu „digitalen Ermittlungsbefugnissen", die das Kabinett schon Ende April auf den Weg gebracht hat.
Einzeln betrachtet ist jedes dieser Vorhaben eine Meldung von zwei Absätzen. Zusammen ergeben sie etwas anderes.
Kurzfassung:
Der Bundestag hat am 10. Juli 2026 das neue Bundespolizeigesetz beschlossen: automatisierte Videoanalyse zur Personenidentifikation, Staatstrojaner, IMSI-Catcher, Stille SMS, Drohnen und Kennzeichenscanner. Die Schlussabstimmung war ungültig – es fehlte die vorgeschriebene Mehrheit der Bundestagsmitglieder – und wird nach der Sommerpause wiederholt; danach ist der Bundesrat am Zug. Bereits Ende April 2026 hat das Kabinett das „Sicherheitspaket 2.0" aus drei Gesetzentwürfen beschlossen – darunter der biometrische Abgleich von Fahndungsfotos mit öffentlich verfügbaren Internetbildern, automatisierte Datenanalyse zur Profilbildung und das Training von KI-Systemen mit unanonymisierten Bürgerdaten. Im August 2026 kam die Geheimdienstreform hinzu. Die Gesellschaft für Freiheitsrechte hält das Paket für „zum Großteil verfassungswidrig". Der entscheidende Punkt für dich: Ein Staatstrojaner braucht eine offene Sicherheitslücke in deinem Gerät – und damit ein staatliches Interesse daran, dass Geräte unsicher bleiben.
Was tatsächlich beschlossen wurde#
Das Bundespolizeigesetz war ursprünglich als Pflichtübung gedacht: Das Bundesverfassungsgericht hatte 2016 zum BKA-Gesetz entschieden, und die Anpassung stand aus. Aus der Anpassung wurde eine Erweiterung.
- Biometrie in Echtzeit – Automatisierte Videoanalyse an Bahnhöfen – Personenidentifikation und Verhaltensanalyse. Dazu der Abgleich von Fahndungsfotos mit öffentlich zugänglichen Bildern aus dem Internet: eine Gesichtersuchmaschine, gespeist aus allem, was jemals hochgeladen wurde.
- Automatisierte Datenanalyse – Standortdaten, Fingerabdrücke, Genproben, abgehörte Gespräche, Telekommunikationsdaten, Vorgangsdaten – zusammengeführt und ausgewertet. Enthalten sind auch Daten von Opfern, Zeugen und Kontaktpersonen. Dazu eine Live-Verbindung zu EU-Polizeidatenbanken.
- Zugriff auf das Gerät – Staatstrojaner, IMSI-Catcher, Stille SMS, Drohnen, Kennzeichenscanner. Verschlüsselung wird nicht gebrochen, sondern umgangen: Die Nachricht wird auf dem Telefon abgegriffen, bevor sie verschlüsselt wird.
Der Deutsche Anwaltverein nennt den Zugriff auf die so entstehende Datenbank eine Struktur, mit der sich eine „Überwachungsdystopie verwirklichen" ließe. AlgorithmWatch formuliert es konkreter: Die Bundesregierung mache den Weg frei, „die Fotos aller Menschen, die im Internet verfügbar sind, biometrisch zu speichern und auszuwerten".
Das ist keine Zuspitzung von Aktivisten, sondern die Beschreibung dessen, was im Entwurf steht.
Wie ernst das Parlament diese Tragweite genommen hat, zeigt der Ablauf der Abstimmung selbst. Für dieses Gesetz war die Mehrheit der Mitglieder des Bundestages nötig, also mindestens 316 Stimmen. Videoaufzeichnungen der Sitzung belegen, dass deutlich weniger Abgeordnete überhaupt im Saal waren; feststellen lässt sich eine solche Mehrheit ohnehin nur in namentlicher Abstimmung, und die fand nicht statt. Aufgefallen ist das nicht dem Parlament, sondern einer Recherche von Correctiv – Tage später. Die Schlussabstimmung muss deshalb nach der Sommerpause wiederholt werden, bevor der Bundesrat sich damit befassen kann.
Am Ergebnis wird das wenig ändern: Die Koalitionsmehrheit steht, die Wiederholung ist eine Formalie. Bemerkenswert ist etwas anderes. Ein Gesetz, das biometrische Echtzeiterkennung im öffentlichen Raum einführt, ging in einer Besetzung durch, in der nicht einmal die Hälfte der Abgeordneten anwesend war. Wer darauf hofft, dass parlamentarische Verfahren solche Befugnisse schon filtern werden, hat hier den Beleg für das Gegenteil.
Warum „nur bei schweren Straftaten" nicht hält#
Die Befugnisse hängen an einer Formel: Straftaten „erheblicher Bedeutung". Wer sie liest, denkt an Mord und Terror. Im Katalog stehen daneben Steuerhinterziehung, Geldwäsche und Drogendelikte.
Das ist der Punkt, an dem die Beruhigung kippt. Geldwäscheverdacht ist keine Ausnahme, sondern der Standardvorwurf im Umgang mit Bargeld und Bitcoin – ein Verdacht, der sich aus einer Überweisung, einer Barabhebung oder einem Wallet-Transfer ergeben kann, ohne dass irgendjemand jemals verurteilt wird. Wer diesen Begriff in einen Befugniskatalog schreibt, hat die Schwelle nicht hoch gesetzt, sondern breit.
Das Muster ist bekannt:
Die Funkzellenabfrage war nie als Ermittlungsinstrument geplant, sondern ein technisches Nebenprodukt des Mobilfunks – heute wird sie routinemäßig ausgewertet. Großbritannien beschloss im Jahr 2000 ein Überwachungsgesetz gegen Terrorismus und organisierte Kriminalität; wenige Jahre später observierten Kommunen damit Familien wegen des Schulsprengels, dazu Hundekot und Falschparker. Und die Wirksamkeit? In der EU werden nach Schätzungen der Kommission rund 1,1 Prozent der kriminellen Erlöse tatsächlich eingezogen – nach zwei Jahrzehnten immer neuer Befugnisse.
Wer nach dieser Bilanz noch argumentiert, es gehe um Kriminalitätsbekämpfung, hat entweder die Zahlen nicht gelesen oder meint etwas anderes. Was tatsächlich wächst, ist nicht die Aufklärungsquote, sondern die Infrastruktur.
Der Teil, über den kaum jemand spricht#
Ein Staatstrojaner ist keine Zauberei. Er ist Software, die auf dein Gerät muss – und dafür braucht sie eine Lücke: einen Fehler in Android, in iOS, in einer App, in einem Chip. Die Behörde muss diese Lücke kennen. Und sie darf sie niemandem melden, sonst wird sie geschlossen.
Damit entsteht ein Interessenkonflikt, der selten offen benannt wird: Dieselbe Stelle, die für sich in Anspruch nimmt, die Sicherheit der Bürger zu gewährleisten, hat ein handfestes Interesse daran, dass ihre Geräte unsicher bleiben. Eine Lücke, die für den Staatstrojaner offen gehalten wird, ist auch für jeden anderen offen, der sie findet – für Kriminelle, für fremde Dienste, für den Erpresser, der deine Wallet sucht.
Das ist der eigentliche Grund, warum „ich habe nichts zu verbergen" hier nicht funktioniert. Es geht nicht darum, ob du ins Visier gerätst. Es geht darum, dass die Voraussetzung dieser Befugnis eine dauerhaft geschwächte Gerätesicherheit für alle ist. Wer das durchdenkt, landet bei der Frage, die wir im Artikel „Ich habe doch nichts zu verbergen" ausführlich behandeln – nur mit einem technischen statt einem moralischen Argument.
Was das mit Bitcoin zu tun hat#
Für die meisten Menschen ist das Handy inzwischen der Schlüsselbund: Zwei-Faktor-Codes, Banking-Apps, Passwortmanager, Lightning-Wallet, manchmal ein Foto der Seed-Wörter, das „nur kurz" gemacht wurde und nie gelöscht wurde.
Wer selbst verwahrt, hat damit eine unangenehme Konzentration: Ein Gerät, kompromittiert durch eine Lücke, die absichtlich offen gehalten wird, öffnet nicht nur die Kommunikation, sondern potenziell das Vermögen. Dazu kommt die physische Seite. Der Bundesgerichtshof hat bereits entschieden, dass Ermittler ein Smartphone per Fingerabdruck zwangsentsperren dürfen – dein Finger gehört in dieser Situation faktisch nicht mehr dir. Eine PIN, die nur in deinem Kopf existiert, hat dagegen einen anderen Status.
Die gute Nachricht ist dieselbe wie immer, wenn es um Bitcoin geht: Die Schlüssel selbst sind kein Rechtsproblem und kein Zugriffsproblem. Zwölf Wörter, die nie ein Gerät gesehen haben, sind gegen Staatstrojaner immun – nicht weil das Gesetz es verbietet, sondern weil es dort nichts abzugreifen gibt. Was verwundbar ist, ist die Bequemlichkeit drumherum.
Was jetzt konkret hilft#
1. Das Betriebssystem ist die Entscheidung, nicht die App
Ein Staatstrojaner nutzt Lücken im System. Ein Gerät mit GrapheneOS reduziert die Angriffsfläche drastisch: kein Google-Play-Framework mit Systemrechten, gehärteter Speicher-Allokator, schnellere Patches, granulare Berechtigungen. Das macht dich nicht unangreifbar – es macht dich teuer. Und Angriffe folgen dem Preis.
2. PIN statt Gesicht und Finger
Biometrie ist bequem und im Ernstfall wertlos: Ein Fingerabdruck lässt sich gegen deinen Willen verwenden, eine sechsstellige PIN nicht. Nutze eine lange PIN oder Passphrase für die Geräteverschlüsselung und schalte die Biometrie für alles ab, was wirklich zählt – Wallet, Passwortmanager, verschlüsselte Container.
3. Alles ausschalten, was du nicht brauchst
Jede installierte App ist eine potenzielle Lücke. GrapheneOS erlaubt zusätzlich, Sensoren, Netzwerkzugriff und Kamera pro App zu entziehen, und mit Storage Scopes sieht eine App nur die Dateien, die du ihr zeigst. Weniger Software heißt weniger Angriffsfläche – das ist der billigste Sicherheitsgewinn überhaupt.
4. Profile trennen
Ein Arbeitsprofil, ein privates, eines für Banking und Wallet: Mehrere Nutzerprofile sind unter GrapheneOS kryptografisch getrennt, und ein Profil im Ruhezustand ist verschlüsselt. Was in einem Profil kompromittiert wird, erreicht das andere nicht.
5. Wallet-Schlüssel gehören nicht ins Telefon
Beträge, die weh tun, gehören auf eine Hardware Wallet mit eigenem Display – ein Gerät, das keine Nachrichten empfängt, keine Apps installiert und keinen Browser hat. Auf dem Handy bleibt das Taschengeld für Lightning. Und die Seed-Wörter niemals fotografieren, tippen oder in einer Notiz-App speichern.
6. Kommunikation, die nichts hinterlässt
Die Quellen-TKÜ greift auf dem Gerät ab – aber sie muss erst dorthin kommen. Solange sie es nicht tut, entscheidet die Metadatensparsamkeit deines Messengers, was ein Zugriff beim Anbieter überhaupt hergibt. Signal speichert fast nichts, SimpleX geht noch weiter und kennt nicht einmal Benutzerkonten.
7. Nicht auf Karlsruhe warten
Die Gesellschaft für Freiheitsrechte hält große Teile des Pakets für verfassungswidrig, und es ist gut möglich, dass Teile davon in einigen Jahren kassiert werden. Bis dahin läuft die Technik. Verfassungsbeschwerden sind wichtig und richtig – aber sie sind keine Sicherheitsmaßnahme, sondern eine Hoffnung mit mehrjähriger Bearbeitungszeit.
Was bleibt#
Zwei Dinge lassen sich aus diesem Sommer mitnehmen, und beide sind unbequem.
Das erste: Die Sicherheitsgesetze kommen inzwischen im Paket und im Wochentakt, und genau das ist ihre Wirkung. Kein einzelner Entwurf ist der Dammbruch, über den man sich mobilisieren könnte – jeder ist eine Ergänzung, eine Anpassung, eine Klarstellung. Am Ende steht trotzdem eine Architektur, die vor zehn Jahren als Dystopie beschrieben worden wäre.
Das zweite ist die eigentliche Nachricht: Dein Schutzniveau hängt nicht mehr davon ab, was erlaubt ist. Es hängt davon ab, was auf deinen Geräten technisch möglich ist. Ein gehärtetes Betriebssystem, eine PIN im Kopf statt eines Fingers am Sensor, Schlüssel auf einem Gerät ohne Netzwerk – das wirkt unabhängig davon, wie ein Gesetz ausgelegt wird, wer gerade regiert und wie ein Gericht in vier Jahren entscheidet.
Verlass dich auf das, was auch dann noch funktioniert, wenn die Regeln sich ändern.
Häufige Fragen#
Ist das Überwachungspaket schon in Kraft?
Nein, noch nicht. Der Bundestag hat das neue Bundespolizeigesetz am 10. Juli 2026 zwar beschlossen, die Schlussabstimmung war aber wegen der fehlenden Mehrheit der Mitglieder ungültig und wird nach der Sommerpause wiederholt. Erst danach befasst sich der Bundesrat damit, der Ende September wieder zusammentritt. Die drei Gesetzentwürfe zu digitalen Ermittlungsbefugnissen hat das Kabinett Ende April 2026 beschlossen, sie durchlaufen das parlamentarische Verfahren. Die Geheimdienstreform vom August 2026 ist ebenfalls ein Kabinettsbeschluss, kein geltendes Recht.
Werde ich jetzt an jedem Bahnhof biometrisch erfasst?
Die automatisierte Videoanalyse ist an Voraussetzungen gebunden und wird nicht flächendeckend über Nacht ausgerollt. Der entscheidende Schritt ist trotzdem getan: Die Rechtsgrundlage kommt, und die Technik wird an Bahnhöfen und Flughäfen bereits erprobt. Erfahrungsgemäß wächst der Anwendungsbereich danach, nicht vorher.
Schützt GrapheneOS vor einem Staatstrojaner?
Es gibt keinen absoluten Schutz gegen einen finanzstarken Angreifer mit unbekannten Sicherheitslücken. GrapheneOS erhöht den Aufwand aber erheblich: kein Google-Play-Framework mit Systemrechten, gehärteter Speicherschutz, schnelle Patches, Berechtigungen für Sensoren und Netzwerk pro App. Kommerzielle Spionagesoftware zielt auf Standardsysteme, weil dort die Masse ist.
Hilft ein VPN gegen diese Befugnisse?
Nur gegen einen Teil. Ein VPN verbirgt deine IP-Adresse gegenüber Websites und erschwert die Zuordnung über die geplante IP-Vorratsdatenspeicherung. Gegen Software, die direkt auf deinem Gerät läuft, hilft es nicht – dort wird abgegriffen, bevor irgendetwas verschlüsselt oder getunnelt wird.
Sind meine Bitcoin davon betroffen?
Deine Schlüssel nicht – die liegen entweder auf einem Gerät ohne Netzwerkanbindung oder als Wörter auf Papier oder Stahl. Betroffen ist alles, was du am Telefon erledigst: Wallet-Apps, Zwei-Faktor-Codes, Exchange-Zugänge, Fotos, Notizen. Wer Beträge verwahrt, die weh tun, gehört auf eine Hardware Wallet – unabhängig von diesem Gesetz.
Was kann ich politisch tun?
Stellungnahmen, Beschwerden und die Unterstützung von Organisationen wie der Gesellschaft für Freiheitsrechte wirken – langsam. Verlass dich aber nicht darauf: Technischer Selbstschutz wirkt sofort und ist von keiner Abstimmung abhängig.
Ein Gerät, das dir gehört Im Handy-Workshop in München installieren wir GrapheneOS gemeinsam auf deinem eigenen Telefon: Google raus, Berechtigungen im Griff, getrennte Profile, sichere Kommunikation. Verständlich erklärt, ohne Vorkenntnisse.
Quellen: netzpolitik.org: FAQ – Das Überwachungspaket der Bundesregierung · netzpolitik.org: Neues Bundespolizeigesetz – Der Bundestag hat das Zeitalter der automatisierten Überwachung eingeläutet · netzpolitik.org: Geheimdienstreform – Geschichtsvergessen und gefährlich · netzpolitik.org: Sicherheitsgesetz-Welle – Einer Demokratie unwürdig · Correctiv: Dritte Abstimmung ungültig – Bundestag muss über Polizeigesetz neu abstimmen · Deutscher Bundestag: Abstimmung über erweiterte Befugnisse für die Bundespolizei · GrapheneOS: Features
Dieser Artikel erschien zuerst auf bitcoinlighthouse.de – dort findest du auch unsere Bitcoin-Workshops in München.
Comments0
No comments yet. Start the conversation.