Fünfundzwanzig Jahre nach dem 11. September: Die Notstandsbefugnisse, die nie wieder verschwanden

Heute vor fünfundzwanzig Jahren begannen Regierungen, die Überwachungssysteme zu errichten, in denen wir heute leben, und nahezu jedes einzelne wurde als vorübergehend angekündigt. Einige trugen Ablaufdaten im Text. Frankreich schrieb eines ins Gesetz: den 31. Dezember 2003. Der Kongress versah die umstrittensten Abschnitte des PATRIOT Act mit Verfallsklauseln. Das Argument im Herbst 2001, in Washington, in Paris und in London, lautete, ein außergewöhnlicher Moment erfordere außergewöhnliche Befugnisse, und dieser Moment werde vorübergehen.

Er ging nicht vorüber. Am deutlichsten sieht man, was der 11. September mit der digitalen Privatsphäre gemacht hat, nicht beim erneuten Lesen der Reden von 2001. Man sieht es beim Lesen der Zahlen, die dieselben Regierungen in diesem Jahr veröffentlicht haben.

Was änderte sich in den Wochen nach dem 11. September 2001 tatsächlich?

Drei Dinge geschahen nahezu gleichzeitig, und nur eines davon war damals öffentlich.

Am 4. Oktober 2001 unterzeichnete Präsident Bush ein Memorandum mit dem Titel „Genehmigung bestimmter elektronischer Überwachungsmaßnahmen für einen begrenzten Zeitraum zur Aufdeckung und Verhinderung terroristischer Handlungen innerhalb der Vereinigten Staaten“. Dieses Programm, später unter dem Decknamen Stellar Wind bekannt, genehmigte die Erfassung innerhalb der Vereinigten Staaten ohne die richterlichen Beschlüsse, die der Foreign Intelligence Surveillance Act verlangte. Es wurde wiederholt verlängert, etwa alle 30 bis 45 Tage, und es wurde der Öffentlichkeit über vier Jahre lang nicht offengelegt. Beachten Sie die Formulierung „für einen begrenzten Zeitraum“ im Titel des Dokuments selbst.

Am 26. Oktober 2001 wurde der USA PATRIOT Act im Rosengarten unterzeichnet. Das Repräsentantenhaus verabschiedete ihn mit 357 zu 66 und der Senat mit 98 zu 1, wobei Senator Russ Feingold die einzige Gegenstimme abgab. Section 215 erlaubte dem FBI, die Herausgabe „jeder körperlichen Sache“ zu erzwingen, die für eine Terrorismusermittlung relevant ist. Section 505 weitete die National Security Letters aus, behördliche Anordnungen, die keinen Richter erfordern und mit einer Schweigeverpflichtung einhergingen, die dem Empfänger verbot mitzuteilen, dass er eine erhalten hatte.

Und Anfang 2002 richtete das Pentagon unter John Poindexter das Information Awareness Office ein, dessen Programm Total Information Awareness vorschlug, Finanz-, Reise-, Gesundheits- und Kommunikationsdaten in einem einzigen durchsuchbaren System zusammenzuführen. Das ging zu weit und zu öffentlich. Ein Vermittlungsausschuss von Repräsentantenhaus und Senat beschloss am 24. September 2003, ihm die Mittel zu streichen. Mehrere seiner Teilforschungsprojekte wurden an andere Stellen im Nachrichtendienstapparat übertragen und liefen unter anderen Namen weiter, und genau dieses Muster lohnt es sich zu merken: Das Programm mit dem schlechten Namen starb, die Fähigkeit nicht.

Europa folgte demselben Takt. Frankreichs loi relative à la sécurité quotidienne, veröffentlicht im Journal Officiel am 16. November 2001, verpflichtete Telekommunikationsbetreiber, Verkehrsdaten bis zu einem Jahr für die Ermittlung und Verfolgung von Straftaten aufzubewahren. Ihr Kapitel V, das diese Regelung enthielt, wurde beschlossen „pour une durée allant jusqu’au 31 décembre 2003“. Der britische Anti-terrorism, Crime and Security Act erhielt am 14. Dezember 2001 die königliche Zustimmung, mit einem Teil 11, der ein System zur Vorratsspeicherung von Kommunikationsdaten schuf, zunächst freiwillig, mit einer Reservebefugnis, es verpflichtend zu machen.

Warum gibt es diese „vorübergehenden“ Befugnisse 2026 immer noch?

Weil eine vorübergehende Befugnis um sich herum eine Institution aufbaut, und die Institution überlebt die Frist.

Frankreich zeigt das am deutlichsten, weil das Ablaufdatum ins Gesetz geschrieben war und wir genau verfolgen können, was daraus wurde. Die Frist 2003 wurde nicht mit einem Federstrich aufgehoben. Sie wurde bis Ende 2005 verlängert, dann durch das Antiterrorgesetz von 2006 erneut fortgeschrieben, dann 2008 noch einmal bis 2012 verlängert, und zu diesem Zeitpunkt tat niemand mehr so, als sei die Regelung vorläufig. Drei aufeinanderfolgende Verlängerungen, jede davon Routine, und die einjährige Speicherpflicht setzte sich als dauerhafter Bestandteil im französischen Recht fest. Als der Gerichtshof der Europäischen Union klarstellte, dass eine allgemeine und unterschiedslose Speicherung mit dem Unionsrecht unvereinbar ist, entschied der Conseil d’État am 21. April 2021, dass „la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale“. Die Begründung sollte man klar aussprechen: Die allgemeine Speicherung ist rechtmäßig, weil eine Bedrohung der nationalen Sicherheit besteht, und die Regierung muss regelmäßig erneut prüfen, ob die Bedrohung fortbesteht. Ein dauerhafter Notstand, unter Vorbehalt der Überprüfung.

Auf EU-Ebene verläuft die Geschichte genauso, nur mit mehr Gerichtsdrama. Die Richtlinie zur Vorratsdatenspeicherung wurde am 15. März 2006 im Nachgang der Anschläge von Madrid und London angenommen und verpflichtete die Mitgliedstaaten, die Speicherung von Kommunikationsmetadaten vorzuschreiben. Der Gerichtshof erklärte sie am 8. April 2014 in Digital Rights Ireland für ungültig und befand, sie bewirke einen weitreichenden und besonders schwerwiegenden Eingriff in die Grundrechte, der nicht auf das absolut Notwendige beschränkt sei. Zwölf Jahre später arbeitet die Kommission an einer neuen. Ihre ProtectEU-Strategie vom April 2025 startete eine Folgenabschätzung zur Speicherung von Daten durch Diensteanbieter für Strafverfahren, mit einem Gesetzesvorschlag, der im Laufe des Jahres 2026 erwartet wird und Metadaten wie IP-Adressen und Bestandsdaten bei einem breiteren Kreis von Anbietern erfasst als die Richtlinie, die der Gerichtshof gekippt hat.

Die amerikanische Variante der Dauerhaftigkeit ist noch seltsamer, und sie ereignete sich vor drei Monaten.

Section 702 lief im Juni 2026 aus. Warum läuft sie immer noch?

Section 702 des FISA ist die Rechtsgrundlage, die für alle am wichtigsten ist, die einen amerikanischen Internetdienst nutzen. Sie erlaubt die Erfassung ohne richterlichen Beschluss bei Anbietern innerhalb der Vereinigten Staaten, gerichtet auf Nicht-US-Personen, von denen begründet angenommen wird, dass sie sich außerhalb der Vereinigten Staaten aufhalten. Die Kommunikation mit diesen Zielpersonen wird ebenfalls erfasst. So landen die Konten von Menschen, die nie Zielpersonen waren, in einer Datenbank, die später durchsucht werden kann.

Der Kongress konnte sich nicht einigen, ob das FBI einen richterlichen Beschluss brauchen sollte, bevor es diese Datenbank nach der Kommunikation eines Amerikaners durchsucht. Die Frist kam, und nichts wurde verabschiedet. Section 702 lief um Mitternacht am Freitag, dem 12. Juni 2026, aus, nach einer Reihe kurzer Verlängerungen, darunter eine Übergangsregelung von zehn Tagen im April.

Die Erfassung endete nicht. Nach den Übergangsvorschriften des FISA Amendments Act laufen Erhebungen, die durch bereits geltende Zertifizierungen und Anordnungen genehmigt sind, weiter, bis diese Zertifizierungen auslaufen. Das FISA-Gericht genehmigte die aktuellen Zertifizierungen im März 2026. Praktisch bedeutet das, dass ein im Juni 2026 ausgelaufenes Gesetz Überwachung bis in den März 2027 genehmigt und die maßgebliche Frist für den Kongress nun vom Zertifizierungskalender eines Gerichts bestimmt wird statt vom Ablaufdatum, das er sich selbst gesetzt hatte.

Von allem, was fünfundzwanzig Jahre Überwachungsrecht hervorgebracht haben, ist dies die Tatsache, die ich jedem vorlegen würde, der noch glaubt, der Handel von 2001 habe einen eingebauten Ausstieg gehabt. Die Verfallsklausel war die Schutzvorkehrung. Sie war das Versprechen, dass Notstandsbefugnisse überprüft würden und wirklich enden könnten. Im Juni 2026 wurde dieser Mechanismus ernsthaft getestet. Er lief aus, und die Überwachung ging weiter.

Ist die Überwachung heute tatsächlich größer als 2001?

Ja, und die Quelle dafür ist die jährliche Rechenschaftslegung der Nachrichtendienste selbst. Das ODNI veröffentlichte im April 2026 seinen dreizehnten Annual Statistical Transparency Report für das Kalenderjahr 2025.

Die FBI-Abfragezahlen werden für Zeiträume von Dezember bis November gemeldet, nicht für Kalenderjahre.

Die Zahl der Zielpersonen ist die Schlagzeile. Sie ist in jedem hier erfassten Jahr gestiegen, und der Wert von 349.823 für 2025 ist der höchste je veröffentlichte, ein Anstieg von etwa 20 % in einem einzigen Jahr. Das ODNI führt die Veränderungen von Jahr zu Jahr unter anderem auf Erfassungsprioritäten, Weltereignisse, technische Fähigkeiten und das Verhalten der Zielpersonen zurück.

Die FBI-Abfragezahlen erzählen eine interessantere Geschichte, als der bloße Rückgang vermuten lässt. Der Einbruch von 119.383 auf 5.518 folgte den Reformen von 2024 im Reforming Intelligence and Securing America Act, und das ODNI schreibt ihn technischen Kontrollen und individueller Vorsicht zu. Doch der Wert für 2025 stieg wieder auf 7.413. Noch bezeichnender: Die National Security Division des Justizministeriums stellte im August 2024 fest, dass das FBI eine erweiterte Filterfunktion nutzte, um die Kommunikation von US-Personen zu durchsuchen, die es nicht als Abfrage behandelte und deshalb nicht zählte. Der Generalinspekteur des Ministeriums dokumentierte den Vorgang 2025, und die Funktion wurde erst Anfang jenes Jahres abgeschaltet. Eine Statistik, die von der Definition des Wortes „Abfrage“ durch eine Behörde abhängt, ist eine schwächere Zahl, als sie aussieht.

Die National Security Letters sind der stille Riese. 2025 stellte das FBI 8.865 davon aus, mit 29.203 einzelnen Auskunftsersuchen. Das sind keine Gerichtsbeschlüsse. Kein Richter prüft sie, bevor sie ergehen.

Und was ist mit der Überwachung, die niemand gesetzlich geregelt hat?

Die bedeutsamste Veränderung seit 2001 ist kein einzelnes Gesetz. Es ist, dass die Menge an Daten über das alltägliche Leben schneller gewachsen ist als jedes Gesetz, das den Zugriff darauf regelt.

2001 erforderte es, jemandem zu folgen, um seine Bewegungen nachzuverfolgen. Heute existiert der Standortverlauf standardmäßig, erzeugt von einem Handy, gespeichert von einem Unternehmen. Im Juni 2023 gab das ODNI auf einen Antrag nach dem Freedom of Information Act hin einen Bericht vom Januar 2022 über kommerziell verfügbare Informationen frei, der einräumte, dass die Nachrichtendienste Daten über Amerikaner von kommerziellen Datenhändlern kaufen, und warnte, solche Informationen „könnten Erpressung, Nachstellung, Belästigung und öffentliche Bloßstellung erleichtern“. Ein richterlicher Beschluss ist daran nicht beteiligt. Die Daten werden gekauft.

Die Grenze ist der andere Ort, an dem die Rechtsarchitektur von 2001 auf das Smartphone von 2026 traf. Die US-Zoll- und Grenzschutzbehörde meldet 55.318 Durchsuchungen elektronischer Geräte im Haushaltsjahr 2025, ein Plus von 17,6 % gegenüber 47.047 im Jahr davor. 50.922 waren einfache Durchsuchungen, die überhaupt keinen Verdacht erfordern. 13.590 betrafen US-Staatsbürger. Die Grenzdurchsuchungsausnahme ist weit älter als 2001, aber sie wurde für Koffer geschrieben, und ein Handy ist kein Koffer.

Flughäfen zeigen, wie gründlich die Haltung von 2001 zum Normalzustand wurde. Die Gesichtsvergleichstechnik der TSA ist inzwischen an rund 350 Flughäfen im ganzen Land im Einsatz, und die Behörde erklärt, Reisende „dürfen das optionale Foto ohne Nachteile ablehnen“. Die meisten Menschen wissen das nicht, denn ein System, das als Routine präsentiert wird, wird selten hinterfragt.

Hat all das verändert, wie Menschen sich verhalten?

Das ist der Teil, der meist behauptet und selten gemessen wird. 2016 veröffentlichte Jonathon Penney im Berkeley Technology Law Journal eine Studie, die den Wikipedia-Traffic vor und nach den Enthüllungen vom Juni 2013 über NSA-Überwachungsprogramme untersuchte. Er fand, dass die durchschnittlichen monatlichen Aufrufe der achtundvierzig terrorismusbezogenen Artikel, die er verfolgte, nach Juni 2013 um rund 19,5 % zurückgingen, und ein Regressionsmodell bezifferte den unmittelbaren Einbruch auf über 30 % der Gesamtaufrufe.

Niemand wurde verhaftet, weil er einen Wikipedia-Artikel gelesen hat. Genau das ist der Punkt. Ein Überwachungssystem muss nicht gegen Sie eingesetzt werden, um zu verändern, was Sie nachzuschlagen bereit sind. Zu wissen, dass es existiert, genügt, und die Kosten tragen Menschen, die nichts falsch gemacht haben.

Das erklärt auch, warum sich über diesen Handel so schwer ehrlich streiten lässt. Der Nutzen von Überwachung ist konkret und leicht zu verkünden. Die Kosten verteilen sich dünn auf Millionen von Menschen, die nie erfahren werden, welche Suche sie beschlossen haben nicht durchzuführen. Die Gerichte, die sich das aus Section 215 hervorgegangene Programm schließlich ansahen, waren von dem Nutzen nicht beeindruckt. Der Second Circuit entschied am 7. Mai 2015 in ACLU v. Clapper, dass das Gesetz die massenhafte Erfassung von Verbindungsdaten nie erlaubt hatte. Der Ninth Circuit ging am 2. September 2020 in United States v. Moalin weiter und befand, die massenhafte Erfassung habe gegen den FISA verstoßen und sei möglicherweise verfassungswidrig gewesen. Section 215 selbst lief am 15. März 2020 aus. Das Programm, zu dessen Rechtfertigung sie diente, lief vierzehn Jahre, bevor ein Berufungsgericht überhaupt zur Frage gelangte, ob das Gesetz es erlaubte.

Was bedeutet all das für die Person, die es liest?

Fünfundzwanzig Jahre ergeben ein klares Bild davon, was individuelles Handeln leisten kann und was nicht.

Es kann die Rechtsarchitektur nicht rückgängig machen. Kein Verbraucherprodukt ändert, was ein National Security Letter erzwingt, was ein Grenzbeamter prüfen darf oder was eine Zertifizierung des FISA-Gerichts genehmigt. Wer ein Werkzeug als Schutz vor einem Staat vermarktet, beschreibt ein Produkt, das es nicht gibt.

Was individuelle Entscheidungen tatsächlich erreichen, ist die alltägliche kommerzielle Ebene der Datenerhebung, die neben der rechtlichen herangewachsen ist. Diese Ebene betrifft nahezu alle und ist kaum reguliert. Der Datenverkehr in einem Netzwerk, das Sie nicht kontrollieren, ist für den sichtbar, der es betreibt, und Speicherpflichten wie die einjährige französische Vorgabe treffen die Internetanbieter. Die Verbindung zwischen Ihrem Gerät und einem VPN-Server zu verschlüsseln bedeutet, dass der Netzbetreiber einen Tunnel sieht statt einer Liste von Zielen. Dieser Nutzen ist real, und er ist zugleich begrenzt, und beide Hälften dieses Satzes zählen. Le VPN wurde im November 2010 in Paris gegründet, führt Verbindungsprotokolle, keine Aktivitätsprotokolle, unterstützt bis zu 10 gleichzeitige Verbindungen und bietet beim Erstkauf eine 30-tägige Geld-zurück-Garantie.

Die andere Lehre handelt von Fristen, und sie ist wenig ermutigend. Frankreichs Ablaufdatum verstrich 2003, und die Befugnis blieb. Section 215 lief bis 2020, und zu diesem Zeitpunkt war das Programm, das sie rechtfertigte, bereits vierzehn Jahre in Betrieb. Section 702 lief vor drei Monaten aus, und die Erfassung geht auf Grundlage einer Gerichtszertifizierung bis 2027 weiter.

Zwei Entscheidungen werden den nächsten Abschnitt prägen. Der Kongress muss sich Section 702 erneut vornehmen, bevor diese Zertifizierungen im März 2027 auslaufen, und die Europäische Kommission wird ihren Vorschlag zur Vorratsdatenspeicherung vorlegen. Beides lohnt genaues Hinsehen, denn daran entscheidet sich, ob über den Notstand, der an einem Dienstagmorgen im September 2001 begann, endlich in der Sache gestritten wird, oder ob er sich einfach erneut verlängert, während niemand hinschaut.

Für einen längeren Blick darauf, wie sich diese Werkzeuge entwickelt haben, siehe unseren Leitfaden zur Online-Privatsphäre, wie starke Verschlüsselung funktioniert und VPN-Server in den Vereinigten Staaten. Unser Blog begleitet neue Überwachungsgesetze, während sie entstehen.