Eine Aktivistin schlug Ende 2024 Alarm in Deutschland: Der Datenschutz von Gefängnisinsassen sei nicht gewährleistet. In Luxemburg wird die gleiche Software verwendet – hierzulande sieht die Verwaltung kein Problem.
Modernes Gefängnis, veraltete Software? Das Programm, das in Luxemburg zur Verwaltung von Gefangenendaten eingesetzt wird, ist vermutlich nicht konform mit dem Datenschutz. (Foto: © SIP/Jean-Christophe Verhaegen)
Wer an Gefängnisse denkt, denkt nicht unbedingt an Datenschutz. Immerhin ist das Konzept des „Panopticons“ ein Inbegriff der Überwachung. Es sieht vor, Gefängnisse rund anzulegen, sodass jede Zelle von einem zentralen Überwachungsturm in der Mitte eingesehen werden kann. Doch selbstverständlich haben die Insassen von Gefängnissen auch Menschenrechte und damit auch jenes auf den Schutz ihrer Daten. Ob der jedoch in Luxemburg gegeben ist, ist wegen dem Einsatz veralteter und unangepasster Software unklar.
Ende Dezember 2024 präsentierte Lilith Wittmann auf dem „Chaos Communication Congress“ in Hamburg die Ergebnisse ihrer Recherchen unter dem Titel „Knäste hacken“. Im Wesentlichen ging es dabei um ein Datenleck in dem System, das in deutschen Gefängnissen zum Telefonieren benutzt wird. Dadurch waren die Daten zehntausender Gefangener jahrelang öffentlich abrufbar. In ihrem Vortrag erwähnte Wittmann auch das Programm „Basis-Web“, mit dem die Daten der Gefangenen in 13 der 16 Bundesländern Deutschlands verwaltet werden. Als sie bei den Behörden nach Details zu der Software fragt und sich dabei auf das Informationsfreiheitsrecht beruft, wird sie abgewiesen. Die Begründung: Luxemburg sei dagegen.
Denn auch Luxemburg benutzt die Software mit dem klingenden Namen „Buchhaltungs- und Abrechnungssystem im Strafvollzug“ (Basis, zum Teil auch Basis-Web genannt), um die Daten seiner Gefängnisinsass*innen zu verwalten und bestimmt über ihre Verwendung mit. Mit der Software werden zum Beispiel die Konten und Löhne der Gefangenen verwaltet. „Ich vermute, dass Luxemburg das auch benutzt, weil es eine der ersten Programme dieser Art war. Deutschland ist zwar nicht besonders gut, was Digitalisierung angeht, außer bei Steuern und Knästen.“, lachte Wittmann im Gespräch mit der woxx.
Da es sich bei Basis-Web um ein Gemeinschaftsprojekt mehrerer deutscher Bundesländer handelt, haben diese einen sogenannten „Lenkungskreis“ geschaffen, in dem sie gemeinsam über die Weiterentwicklung der Software diskutieren. Dort werden Entscheidungen über „Systemplattformen, Tools, IT-und Fachprojektstandards, Architektur, Ressourceneinsatz, Definition fachlicher Inhalte, Abnahmen [und] Vertragswerke“ getroffen, wie es in einem Organigram, das die Struktur des Projekts „Basis“ aufzeigt, heißt.
Luxemburg blockiert
Es sei, so Wittmann in ihrem Vortrag, eher unüblich, dass sich so viele Bundesländer auf eine gemeinsame Vorgehensweise einigen. Auch Luxemburg ist Teil des „Lenkungskreis.“ Am 6. November 2024 wurde dort über Wittmanns Anfrage diskutiert. Später antworten die verschiedenen Behörden, die sie angeschrieben hat, alle das Gleiche: Luxemburg habe sich gegen die Herausgabe der Daten gestellt, daher könne man die Informationen nicht preisgeben.
Da dies bei ihr für Stirnrunzeln sorgte, stellte Lilith Wittmann auch Anträge, um die Korrespondenz zwischen den Justizbehörden der verschiedenen Bundesländer zu ihrer Anfrage einzusehen. Diese Dokumente liegen der woxx vor. Am 30. Oktober, eine Woche vor der Sitzung, lässt ein*e Beamt*in aus Kiel Wittmanns Antrag auf die Tagesordnung des „Lenkungskreises“ setzen. Die Sitzung findet am 6. November statt. Am 20. November bittet ein*e Beamt*in aus Hamburg um die Argumente, die andere Bundesländer Wittmann genannt haben und fragt „bestehen die Bedenken von Luxemburg weiterhin?“ Nur eine Stunde später kommt die Bestätigung aus Nordrhein-Westfalen: „Die Bedenken von Luxemburg bestehen weiterhin.“ Doch warum hat ausgerechnet Luxemburg etwas dagegen, dass eine deutsche Aktivistin, die sich für Datenschutz einsetzt, mehr Details über diese Software erhält?
Auf diese Frage hat die woxx bis zu Redaktionsschluss keine Antwort von der Administration pénitentiaire erhalten. Sie interessiert ebenfalls den Piratepartei-Abgeordneten Sven Clement, der dazu eine parlamentarische Anfrage gestellt hat. Darin zog er Parallelen zur „Casier-bis“-Affäre, bei der aufgedeckt worden war, dass Justiz und Polizei jahrelang eine nicht mit dem Datenschutz konforme Datenbank mit Informationen über Gesetzesverstöße betrieben. „Angesichts der historischen Erfahrungen mit dem ‚Casier-bis’ und den daraus resultierenden Reformen im Justizwesen ist diese mangelnde Transparenz besonders bedenklich“, schreibt Clement.
Was gibt es zu verbergen?
Laut einer Sprecherin der Administration pénitentiaire setze Luxemburg Basis seit etwa 1998 ein und arbeite mit der Entwicklungsfirma Materna zusammen, um das Programm an die luxemburgische Gesetzgebung anzupassen. Benutzt würden die Module zur „Arbeitsverwaltung“, „Zahlstelle“ und „Vollzug“. Es verwundert zwar nicht, dass das Programm an hiesige Gesetze angepasst werden muss, Wittmanns Vortrag wirft aber doch einige Fragen auf: So zitierte sie darin eine Gefangenenzeitung aus dem Jahr 2000, in der es hieß, den Gefangenen in Berlin seien infolge der Einführung von „Basis“ die Urlaubstage von 18 auf 15 gekürzt worden. Das, weil die Software zur Berechnung der Bezahlung von Gefangenen nur 15 Urlaubstage kannte.
Doch Probleme gibt es an vielen Stellen. Die Software sei nicht datenschutzkonform, wie Wittmann anhand der Aussage eines Gefangenen in ihrem Vortrag erklärte: „Wenn du Infos aus Basis-Web von einer anderen Person brauchst, gehst du halt ins Stationsbüro und fragst den Beamten, der gerade da sitzt, ob der einen Auszug aus Basis von einer anderen Person ausdrucken kann.“ So kämen Gefangene leicht an die Information, in welche Gefängnisse andere Häftlinge verlegt worden seien – oder aber aus welchem Grund sie überhaupt in Haft seien. Heikle Informationen also, auf die nicht jede*r Zugriff haben sollte. Spätestens seit der Datenschutzgrundverordnung der EU (DSVGO oder GDPR), hätte dem ein Riegel vorgeschoben werden müssen.
Schleppende Erneuerung
„Bis zur Einführung der GDPR war es in Deutschland so, dass alle, die Zugriff auf Basis hatten, alles einsehen konnten, darunter auch medizinische Daten, wie Gefangene mir geschildert haben. Mittlerweile gibt es Rollen, mit denen die Zugriffsrechte gelöst wurden, aber soweit mir bekannt gibt es immer noch kein Logging in der Software davon, wer auf welche Daten zugreift“, so Wittmann gegenüber der woxx. Das ist aber eine der Grundlagen des Datenschutzes: Man muss erfahren können, wer aus welchem Grund auf die eigenen Daten zugegriffen hat.
Die Administration pénitentiaire macht sich wenig Sorgen um den Datenschutz bei „Basis-Web“: „Seit der Einführung der GDPR wurde an Anpassungen im Bereich der Nutzungsrechte gearbeitet. Unser DPO (Data Protection Officer, Anm. d. Red.) arbeitet außerdem kontinuierlich an der Umsetzung, um eine effiziente und konforme Benutzung des Programms zu erlauben.“ Mit den „Anpassungen im Bereich der Nutzungsrechte“ sind vermutlich die Nutzer*innen-Rollen gemeint, die auch Wittmann erwähnte. Eine „kontinuierliche Arbeit“ deutet jedoch darauf hin, dass eine Umstellung auf eine datenschutzrechtlich konforme Arbeitsweise noch nicht abgeschlossen ist.
Da die 13 deutschen Bundesländer und Luxemburg keine Informationen zur Software herausgeben wollen, kann über den tatsächlichen Stand des Datenschutzes von „Basis“ nur gemutmaßt werden. Immerhin ist eine Neuerung angekündigt: „Es laufen aktuell Umschreibungsarbeiten, um das Programm mit einem neuen User Interface auszustellen. Das soll 2026 in Produktion gehen“, so eine Sprecherin der Administration pénitentiaire gegenüber der woxx. Bei Wittmann sorgt diese Ankündigung für Gelächter: „Zuletzt hieß es noch, die kommt 2025. Aber eigentlich war schon 2015 ein ‚Rewrite‘ angekündigt, das 2018 erscheinen sollte.“
