Eine Recherche des schwedischen Journalisten Arvid Grange zeigt, dass private Nachrichten europäischer Bürger, die im Rahmen der EU-Chatkontrolle automatisch überprüft werden, in einem amerikanischen Datenbanksystem landen, das mit Software des US-Unternehmens Palantir arbeitet. Besonders bemerkenswert: Die befragten EU-Abgeordneten und Datenschutzexperten wussten offenbar nichts von dieser Beteiligung.
Die vorübergehende EU-Regelung zur sogenannten Chatkontrolle ermöglicht es Technologieunternehmen seit 2021, private Kommunikation automatisiert nach möglicherweise illegalem Material zu durchsuchen. Die ursprünglich befristete Ausnahmeregelung wurde inzwischen zweimal verlängert, zuletzt bis April 2028.
Unternehmen wie Google, Microsoft, Snap und Meta setzen entsprechende Technologien ein, um Bilder und Videos in Nachrichten zu überprüfen. Werden Inhalte als verdächtig eingestuft, übermitteln die Unternehmen entsprechende Meldungen an das amerikanische National Center for Missing & Exploited Children (NCMEC).
Wie eine zunächst am 13. Oktober vom schwedischen Medium Dagens ETC veröffentlichte Untersuchung zeigt, werden diese Meldungen anschliessend mithilfe der Datenanalyseplattform Foundry des US-Unternehmens Palantir verarbeitet.
Palantir unterhält enge Beziehungen zu amerikanischen Behörden und Geheimdiensten. Das Unternehmen wurde mit Unterstützung aus dem Umfeld der CIA aufgebaut.
Das NCMEC bestätigte die Verwendung der Palantir-Software, betonte jedoch, dass diese auf eigenen Servern betrieben werde und Palantir selbst keinen Zugriff auf die Daten habe.
Millionen privater Dateien in amerikanischen Datenbanken
Nach Angaben des NCMEC enthielten die im Jahr 2025 eingegangenen Meldungen insgesamt 61,8 Millionen Bilder, Videos und andere Dateien. Wie viele davon aus der Europäischen Union stammen, ist nicht bekannt. Die beteiligten Technologieunternehmen müssen entsprechende Angaben nicht offenlegen. Zahlen der Europäischen Kommission zeigen jedoch, dass im Jahr 2024 knapp eine Million Meldungen beim NCMEC die EU betrafen.
NCMEC-Vizepräsident John Shehan erklärte, man habe befürchtet, dass bei der enormen Datenmenge wichtige Informationen übersehen würden. Palantir sei deshalb zur Bewältigung dieser grossen Datenbestände hinzugezogen worden.
Auf seiner eigenen Webseite erklärt das NCMEC, Palantirs Software habe die Möglichkeiten seiner Datenbank revolutioniert und helfe dabei, vermisste Kinder aufzuspüren.
Die Datenschutzrichtlinie der Organisation sieht allerdings vor, persönliche Informationen so lange aufzubewahren, wie dies für die ursprünglichen Zwecke oder andere legitime Geschäfts- und gesetzliche Verpflichtungen erforderlich sei. Eine konkrete Löschfrist wird damit nicht genannt.
Experten widersprechen den Angaben der EU-Kommission
Besonders umstritten ist die Zuverlässigkeit der automatisierten Erkennungssysteme.
Die Europäische Kommission behauptet, bei der am häufigsten verwendeten Technologie komme lediglich auf 50 Milliarden überprüfte Inhalte eine falsche Verdachtsmeldung. Der Datensicherheitsexperte Bart Preneel und sein Forschungsteam kamen bei eigenen Tests jedoch zu erheblich anderen Ergebnissen. Demnach lag die Fehlerquote je nach Untersuchung zwischen einer Falschmeldung auf 1.000 und einer auf zehn Bilder.
Preneel bezeichnete die Darstellung der Kommission als Lüge. Wer beispielsweise Nacktbilder von Erwachsenen oder sexuelle Nachrichten verschicke, habe ein deutlich höheres Risiko, fälschlicherweise gemeldet zu werden, als jemand, der gewöhnliche Landschafts- oder Autofotos versende.
Auch Zahlen deutscher Behörden zeigen Probleme bei der automatisierten Erkennung. Das Bundeskriminalamt erklärte 2024, dass 48,3 Prozent der vom NCMEC erhaltenen Meldungen strafrechtlich nicht relevant gewesen seien.
Ein EU-Bericht dokumentierte zudem Fehlerraten von 20 Prozent im Jahr 2023 und 13 Prozent im Jahr 2024 beim Dienst Yubo.
Eine im März veröffentlichte Studie stellte darüber hinaus die Zuverlässigkeit von Microsofts Erkennungssystem PhotoDNA infrage. Den Forschern zufolge lassen sich harmlose Bilder so verändern, dass unschuldige Nutzer fälschlicherweise verdächtigt werden. Umgekehrt könne die Erkennung durch einfache Bildveränderungen, etwa einen zusätzlichen Rahmen, umgangen werden. Solche Manipulationen seien innerhalb weniger Minuten auf einem gewöhnlichen Laptop möglich.
EU-Abgeordnete wussten nichts von Palantirs Beteiligung
Der deutsche Europaabgeordnete Lukas Sieper, der gegen die jüngste Verlängerung der Chatkontrolle gestimmt hatte, erklärte, er sei nicht überrascht, dass die Daten letztlich in einem System mit Palantir-Software verarbeitet würden. Er bezeichnete die Beteiligung des Unternehmens als «George Orwells schlimmsten Albtraum».
Besonders kritisierte Sieper, dass diese Information während der parlamentarischen Debatten nicht öffentlich thematisiert worden sei. Zwar erwähnt ein EU-Dokument, dass Palantir das NCMEC technisch unterstützt, doch fehlen darin nähere Angaben zur tatsächlichen Datenverarbeitung.
Auch die Datenschutzrechtlerin Laura Drechsler und der frühere Europaabgeordnete Patrick Breyer wussten nach eigenen Angaben nichts von dieser Beteiligung.
Drechsler äusserte Zweifel daran, ob die gesamte Datenverarbeitung rechtlich zulässig sei. Das NCMEC stehe nicht auf der Liste amerikanischer Organisationen, die im Rahmen des EU-US-Datenschutzabkommens personenbezogene Daten empfangen dürfen. Stattdessen werde eine besondere vertragliche Vereinbarung verwendet, die ein hohes Schutzniveau für Grundrechte gewährleisten solle.
Chatkontrolle bleibt politisch umstritten
Im März stimmte das Europäische Parlament mit nur einer Stimme Mehrheit gegen eine umfassende automatisierte Überwachung privater Kommunikation. Im Juli wurde die entsprechende Regelung dennoch erneut verlängert.
Am 29. September berieten die EU-Mitgliedstaaten über die weitergehende Chatkontrolle 2.0, konnten sich jedoch nicht auf eine gemeinsame Position zur Durchsuchung privater Nachrichten verständigen.
Die Recherchen zeigen, dass Bilder und andere Dateien europäischer Bürger, die von automatisierten Systemen als verdächtig eingestuft werden, an eine amerikanische Organisation übermittelt und dort mithilfe von Palantir-Software verarbeitet werden können.
Die Erklärung des NCMEC, Palantir habe keinen direkten Zugriff auf die Daten, beantwortet dabei zwei zentrale Fragen nicht: Weshalb müssen private Kommunikationsinhalte europäischer Bürger überhaupt in einem amerikanischen Datenbanksystem verarbeitet werden, und wann werden diese Informationen endgültig gelöscht.
