Wie Tech-Konzerne 83 Millionen Deutsche überwachen

Wer in Deutschland eine Webseite aufruft, sendet Daten an dutzende Server gleichzeitig. Google kennt Bewegungsprofile, TikTok erfasst Gesundheitsdaten von Krebspatienten auch ohne installierte App und Meta beobachtet Millionen Menschen auf Webseiten, die sie nie direkt aufgerufen haben. Die EU hat das weltweit stärkste Datenschutzrecht geschaffen und seit 2018 Bußgelder in Höhe von 7,1 Milliarden Euro verhängt. Geändert hat das wenig. Und jetzt plant der Bundesnachrichtendienst, dieselben Datenströme staatlich zu durchleuchten.

Das Tracking-Netz hinter jedem Klick

Die meisten Nutzer glauben, Tracking funktioniere über Cookies und lasse sich durch einen Klick auf "Ablehnen" stoppen. Das stimmt so nicht. Cookie-Banner regeln nur eine von mehreren Tracking-Methoden gleichzeitig. Die Branche hat sich längst auf Techniken verlagert, die keine Einwilligung erfordern und sich nicht abschalten lassen.

Browserfingerprinting ist die wichtigste davon. Jeder Browser hat eine einzigartige Kombination aus installierten Schriftarten, Bildschirmauflösung, Plug-ins und Betriebssystemversion. Diese digitalen Fingerabdrücke identifizieren Nutzer laut dem Technologiemagazin Schieb.de mit einer Genauigkeit von 99,5 Prozent, dauerhaft und auch dann, wenn Cookies gelöscht werden oder ein VPN aktiv ist. Den Browserfingerprint zu deaktivieren ist für normale Nutzer nicht möglich.

Das TikTok-Pixel geht noch weiter. Die kleine Zeile Tracking-Code, die tausende Webseiten einbinden, erfasst laut einer Analyse des Datenschutzunternehmens Disconnect Research das Surfverhalten von Menschen auf Webseiten zu Krebsdiagnosen, Fruchtbarkeitsbehandlungen und psychischen Krisen. Das Beunruhigende: Der Tracker sammelt diese Daten auch bei Menschen, die TikTok noch nie installiert haben. Eine Bloomberg-Analyse staatlicher US-Gesundheitswebseiten aus dem Jahr 2026 zeigte, dass nahezu alle untersuchten Webseiten diese sensiblen Datenkategorien übermittelten, obwohl TikToks eigene Nutzungsbedingungen das ausdrücklich verbieten.

Meta operiert mit seinen "Business Tools" ähnlich: einem Netzwerk aus Tracking-Pixeln und Programmierschnittstellen, das Nutzerverhalten auf hunderttausenden Webseiten und Apps erfasst. Der Konzern kann dadurch nachvollziehen, welche Produkte ein Nutzer betrachtet hat, welche Gesundheitsseiten er gelesen oder welche politischen Webseiten er aufgerufen hat. Eine Facebook-Mitgliedschaft ist dafür nicht nötig.

Hinzu kommen Smart-Home-Geräte und Wearables. 71 Prozent der Deutschen nutzen Smartwatches oder Fitness-Tracker, laut einer Analyse des Digital Journals vom April 2026. Diese Geräte erfassen täglich bis zu 200 Datenpunkte: Schlafverhalten, Herzfrequenz, Bewegungsmuster und Aufenthaltsorte. Wer diese Daten kauft oder zusammenführt, erhält ein Profil, das über das hinausgeht, was frühere Geheimdienste je hätten systematisch sammeln können.

Sieben Milliarden Euro Strafe: Die Konzerne machen weiter

Die EU hat mit der Datenschutz-Grundverordnung versucht, dieser Datenmacht Grenzen zu setzen. Seit 2018 haben Datenschutzbehörden insgesamt 7,1 Milliarden Euro an Bußgeldern verhängt. Davon entfallen laut dem CMS GDPR Enforcement Tracker 4,04 Milliarden Euro allein auf die irische Datenschutzkommission, weil die großen Tech-Konzerne ihre Europazentralen in Irland angesiedelt haben.

Das Rekordbußgeld traf Meta: 1,2 Milliarden Euro verhängte die irische DPC im Mai 2023 für den illegalen Transfer europäischer Nutzerdaten in die USA nach dem EuGH-Schrems-II-Urteil. Meta legte Berufung ein. Im ersten Quartal 2026 verbuchte der Konzern rund 26,8 Milliarden US-Dollar Nettogewinn. Das Bußgeld entspricht dem Umsatz von wenigen Wochen Betrieb und ist längst in den Geschäftsberichten als regulatorisches Risiko eingepreist.

Verbraucherschutzverbände kritisieren seit Jahren, dass Bußgelder in dieser Höhe keine Abschreckung schaffen, sondern als Betriebskosten kalkuliert werden. Die Struktur der DSGVO-Durchsetzung verstärkt das Problem: Im ersten Quartal 2026 verhängten europäische Behörden im Schnitt 757.600 Euro Bußgelder pro Tag, verteilt auf 27 Mitgliedsstaaten und hunderte laufende Verfahren. Die irische DPC, formal für die meisten großen Tech-Konzerne zuständig, gilt als chronisch unterbesetzt. Konzerne wählen Dublin als EU-Sitz bewusst, weil dort die Kapazitäten für schnelle Entscheidungen fehlen.

Gleichzeitig betreiben Tech-Konzerne in Brüssel massiven Lobbydruck. Die Digital-Industrie gab laut einer LobbyControl-Analyse aus dem Jahr 2026 insgesamt 151 Millionen Euro für EU-Lobbyarbeit aus. Meta allein investiert jährlich 10 Millionen Euro. Das Ergebnis ist konkret sichtbar: netzpolitik.org dokumentierte, dass die EU-Kommission beim "Digital Omnibus" Anfang 2026 Positionen von Google, Meta und Microsoft in mindestens sieben Punkten nahezu wortgleich übernahm.

Dark Patterns in Cookie-Bannern sind ein weiteres Schlupfloch. Der BGH untersagte 2025 manipulative Designmuster: Der "Ablehnen"-Button darf nicht versteckt oder grafisch benachteiligt sein. Gleichwohl ist ein erheblicher Teil der deutschen Unternehmenswebseiten weiterhin nicht konform. Die Kontrolle ist dünn, die Grauzone groß.

BfDI ohne Nachfolge: Das Kontrollorgan unter Druck

Ausgerechnet in dieser Lage hat Deutschland seit März 2026 keine vollwertige Bundesdatenschutzbeauftragte mehr. Louisa Specht-Riemenschneider hatte das Amt erst im September 2024 übernommen. Am 17. März 2026 gab sie über LinkedIn ihren Rückzug bekannt, aus gesundheitlichen Gründen. Sie bleibe bis zur geklärten Nachfolge im Amt, ist aber de facto nicht voll handlungsfähig, wie die Behörde mitteilte.

Das trifft das BfDI in einem Moment maximaler Belastung. Der Tätigkeitsbericht 2025 verzeichnete 11.824 Eingaben, 36 Prozent mehr als im Vorjahr. Gleichzeitig wächst der Aufgabenbereich: Neben klassischen Datenschutzbeschwerden muss das BfDI nun auch Verstöße gegen den EU AI Act überwachen und koordiniert sich mit dem neuen EU AI Office in Brüssel. Eine Behörde ohne politische Führung kann in Verhandlungen mit Meta oder Google keine Präzedenzfälle setzen. Die Datenschutzaufsicht in Deutschland steht damit genau dann ohne volle Führung da, wenn die Aufgaben wachsen.

Die Bundesregierung hat bislang keinen Nachfolgekandidaten öffentlich benannt. Je länger die Vakanz andauert, desto mehr profitieren Konzerne von schwacher Enforcement-Kontinuität.

BND-Reform: Staatliche Überwachung durch die Hintertür

Während private Konzerne digitale Lebensläufe von Deutschen erfassen, plant der Staat eine eigene Ausweitung. Das Bundeskanzleramt treibt 2026 eine umfassende Reform des Bundesnachrichtendienstes voran. Der 139-seitige Gesetzentwurf würde laut einer netzpolitik.org-Analyse die Befugnisse des Auslandsgeheimdienstes nahezu verdoppeln.

Der Kern der Reform: Der BND darf künftig den deutschen Internetknotenpunkt DE-CIX in Frankfurt überwachen, sowohl eingehenden als auch ausgehenden Datenverkehr. Kommunikationsdaten sollen massenhaft gespeichert und bis zu sechs Monate analysiert werden können. Außerdem erhält der BND Hackingbefugnisse: Er darf in Systeme eindringen, Daten manipulieren und löschen sowie bei Krypto-Wallets Geldtransfers durchführen. Netzpolitik.org beschreibt den Entwurf als einen Schritt zu "Internet-Überwachung im NSA-Stil".

Besonders brisant ist die Regelung zum Redaktionsgeheimnis. Nach dem Entwurf darf der BND die E-Mail-Kommunikation deutscher Journalisten mit ausländischen Quellen überwachen, wenn diese Quellen im Ausland sitzen. Der Deutsche Journalistenverband warnte, das komme faktisch dem Ende vertraulicher Auslandsrecherche gleich.

Bürgerrechtsorganisationen sehen in der Reform einen Systembruch. In den Stellungnahmen zur Geheimdienstreform, die netzpolitik.org dokumentierte, warnen der Chaos Computer Club und die Gesellschaft für Freiheitsrechte vor "einem erheblichen Überwachungsdruck für die gesamte Gesellschaft". Kritisiert wird insbesondere die fehlende unabhängige Kontrolle: Das parlamentarische Gremium zur BND-Aufsicht hat keine Kapazitäten für Echtzeitmonitoring der geplanten Dimension.

Die Verbindung zu privatem Tracking ist dabei keine abstrakte Theorie. Der Großteil der deutschen Internetdaten liegt in Rechenzentren in den USA und ist nach dem US CLOUD Act für amerikanische Behörden zugänglich. Mit seiner geplanten DE-CIX-Überwachung würde der BND dieselben Datenströme inländisch abfangen, die Google und Meta bereits kommerziell auswerten. Für Millionen Deutsche würde das bedeuten: zwischen privatem Konzerntracking auf der einen und staatlichem Geheimdienstzugriff auf der anderen Seite.

Meta-Klage und BND-Abstimmung: Herbst 2026 als Weichenstellung

Die Instrumente zur Gegenwehr wachsen, wenn auch langsam. Der Bundesgerichtshof entschied 2026, dass Verbraucherschutzverbände DSGVO-Verstöße von Meta vor deutschen Gerichten einklagen können. Die Plattform Meta-Klage.de bündelt individuelle Schadensersatzforderungen: 5.000 Euro pro betroffener Person, 10.000 Euro pro Kind für nachgewiesene illegale Überwachung. Ob und wann Zahlungen fließen werden, ist juristisch offen. Aber die BGH-Entscheidung zur Klagebefugnis der Verbände ist ein struktureller Fortschritt für den deutschen Verbraucherschutz.

Seit dem 2. August 2026 gelten die Bußgeldvorschriften des EU AI Acts. Erstmals drohen Tech-Unternehmen Strafen für den Einsatz manipulativer KI-Systeme, also für Empfehlungsalgorithmen, die Nutzer gezielt an Plattformen binden. Die Durchsetzung liegt beim EU AI Office mit rund 140 Mitarbeitern. Datenschutzexperten bezweifeln, ob das für die Kontrolle von Konzernen wie Meta oder Google ausreicht, die jeweils tausende Ingenieure beschäftigen und deren Lobbydruck in Brüssel täglich spürbar ist.

Im Herbst 2026 soll die BND-Reformvorlage in die parlamentarische Ressortabstimmung gehen. Die Koalition muss entscheiden, ob sie den 139-seitigen Entwurf des Kanzleramts in dieser Form trägt oder zurückverweist. Bürgerrechtsorganisationen fordern eine unabhängige Grundrechteprüfung, bevor das Gesetz dem Bundestag vorgelegt wird.

Die vielleicht dringlichste offene Frage ist die Nachfolge der Bundesdatenschutzbeauftragten. Ohne eine gut ausgestattete und unabhängige Aufsicht bleibt die DSGVO das, was sie für viele Konzerne bereits heute ist: eine Kostenposition in der Buchhaltung. Für die 83 Millionen Menschen in Deutschland, die täglich Dienste von Google, Meta und TikTok nutzen oder deren Daten diese Konzerne ohne direkten Kontakt erfassen, ist das keine abstrakte Frage der Regulierungspolitik. Es geht darum, wer die eigene digitale Biografie schreibt.