StPO-Reform: Wie Deutschland KI-Ermittlungen jetzt erlaubt

Ein Gesichtsfoto aus den Ermittlungsakten, abgeglichen mit Millionen öffentlich zugänglichen Bildern im Netz – automatisiert, per Knopfdruck, richterlich abgesegnet. Was lange als rechtliches Graufeld galt, ist seit dem 29. April 2026 kodifiziertes Recht: Der Bundestag hat an diesem Tag einen Gesetzentwurf verabschiedet, der die Paragrafen 98d und 98e in die Strafprozessordnung einfügt. Damit bekommt KI in Strafverfolgung erstmals eine explizite gesetzliche Grundlage in Deutschland – und gleichzeitig entsteht ein Konflikt mit dem europäischen Regulierungstakt, der an anderer Stelle gerade eher bremst als beschleunigt.

Für Ermittlungsbehörden ist das ein handfester Fortschritt gegenüber der bisherigen Praxis. Wer bislang biometrische Bildanalyse einsetzen wollte, musste sich auf Auffangnormen wie die §§ 100g oder 100i StPO stützen oder operierte in einer rechtlich unsicheren Grauzone. Genau diese Unsicherheit hat die neue StPO-Reform beseitigen sollen – nicht durch eine pauschale Erlaubnis, sondern durch eng gefasste, an hohe Hürden gebundene Befugnisnormen. Ob das reicht, um Grundrechtseingriffe wirklich einzuhegen, ist eine andere Frage.

Was §98d und §98e StPO konkret erlauben

Der neue § 98d StPO erlaubt den automatisierten biometrischen Abgleich von Daten aus einem laufenden Strafverfahren – etwa einem Lichtbild oder einer Videosequenz – mit biometrischen Daten aus öffentlich zugänglichen Internetquellen. Gemeint sind also frei einsehbare Fotos und Videos, keine privaten oder zugangsbeschränkten Inhalte. Der Zweck ist auf drei Fälle begrenzt: die Erforschung des Sachverhalts, die Feststellung der Identität und die Ermittlung des Aufenthaltsortes einer beschuldigten oder gesuchten Person.

Parallel dazu schafft § 98e StPO eine Rechtsgrundlage für verfahrensübergreifende Analyseplattformen. Ermittlungsbehörden dürfen damit bereits rechtmäßig gespeicherte Daten aus verschiedenen Verfahren automatisiert zusammenführen und auswerten – etwa um Muster zwischen Personen, Tatorten und Kommunikationsdaten zu erkennen, die einem einzelnen Sachbearbeiter kaum auffallen würden. Die Software soll dabei ausdrücklich nur Hilfsmittel sein: Bewertungen und Entscheidungen sollen weiterhin durch Menschen getroffen werden, nicht durch den Algorithmus.

Klingt nach einer sauberen Trennung zwischen Werkzeug und Entscheider. In der Praxis ist diese Trennung aber selten so scharf, wie sie im Gesetzestext klingt. Wenn ein System einen Treffer mit hoher Konfidenz ausspuckt, unterschreibt die zuständige Sachbearbeiterin selten eine grundlegend eigene Einschätzung – sie bestätigt in aller Regel das Ergebnis. Das ist keine Kritik an der einzelnen Person, sondern ein strukturelles Problem automatisierter Entscheidungsunterstützung, das die neue StPO-Reform nicht löst, sondern nur verwaltet.

Richtervorbehalt und erhebliche Bedeutung: Wo die Grenzen liegen

Der Gesetzgeber hat die neuen Befugnisse nicht pauschal freigegeben. Voraussetzung ist ein konkreter Tatverdacht wegen einer Straftat, die auch im Einzelfall von erheblicher Bedeutung ist – ein Maßstab, der sich an schweren Gewalt- und Staatsschutzdelikten orientiert, wie sie etwa im Katalog des § 100a Abs. 2 StPO aufgeführt sind. Bagatelldelikte fallen damit von vornherein heraus.

Hinzu kommt eine Subsidiaritätsklausel: Die automatisierte biometrische Bildanalyse darf nur eingesetzt werden, wenn die Aufklärung des Sachverhalts, die Identitätsfeststellung oder die Aufenthaltsermittlung auf anderem Weg wesentlich erschwert oder aussichtslos wäre. Angeordnet wird die Maßnahme grundsätzlich durch die Staatsanwaltschaft, bei Gefahr im Verzug können Ermittlungspersonen selbst handeln, müssen sich die Anordnung aber binnen 48 Stunden bestätigen lassen. Nicht ermittlungsrelevante Treffer – also Datenabgleiche ohne konkreten weiterführenden Ansatz – sollen unverzüglich gelöscht werden.

Diese Schwellen sind real, keine reine Kosmetik. Trotzdem bleibt eine Leerstelle: Wer prüft im Nachhinein, ob „erheblicher Bedeutung“ im Einzelfall tatsächlich vorlag, wenn die Maßnahme längst durchgeführt ist? Ein Richtervorbehalt schützt vor Willkür im Moment der Anordnung, aber er ersetzt keine nachträgliche, unabhängige Fehlerkontrolle über die tatsächliche Trefferqualität der eingesetzten Systeme.

Nachträglicher Abgleich statt Echtzeit-Überwachung

Ein Missverständnis hält sich hartnäckig in der öffentlichen Debatte: die Vorstellung, Deutschland führe mit dieser StPO-Reform eine Art Echtzeit-Gesichtserkennung im öffentlichen Raum ein. Das ist falsch. Der Gesetzestext schließt Echtzeitdaten – also Livestreams, Webcam-Feeds oder laufende Überwachungskameras – ausdrücklich aus. Erlaubt ist ausschließlich der nachträgliche Abgleich mit bereits veröffentlichten Bildern und Videos, etwa aus sozialen Netzwerken oder öffentlichen Webseiten.

Diese Unterscheidung ist juristisch alles andere als Nebensache. Die europäische KI-Verordnung stuft die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken grundsätzlich als verbotene Praxis ein, mit sehr engen Ausnahmen. Hätte der deutsche Gesetzgeber diese Grenze überschritten, wäre die StPO-Reform von Anfang an auf Kollisionskurs mit EU-Recht gegangen. Genau deshalb ist die Beschränkung auf nachträgliche Bildanalyse kein Zufall, sondern eine bewusste Anpassung an den europäischen Rechtsrahmen.

Wer also fragt, ob die Polizei künftig automatisch Gesichter in Menschenmengen scannen darf: Nein, das ist nicht der Gegenstand dieser Reform. Wer aber fragt, ob ein öffentlich einsehbares Profilbild bei konkretem Tatverdacht Teil eines automatisierten Abgleichs werden kann: Ja, genau das erlaubt § 98d StPO jetzt ausdrücklich.

Das EU-Spannungsfeld: Hochrisiko-Auflagen erst Ende 2027

Während Deutschland mit der StPO-Reform nationale Befugnisse schärft, tut sich auf europäischer Ebene das Gegenteil: Die EU hat entschieden, die konkreten Hochrisiko-Auflagen für KI-Anwendungen in Strafverfolgung und biometrischer Erkennung erst Ende 2027 greifen zu lassen – später als ursprünglich im Zeitplan der KI-Verordnung vorgesehen. Das bringt einen zeitlichen Bruch zwischen nationaler Praxis und europäischem Regelwerk mit sich, der sich kaum wegdiskutieren lässt.

Der Verschiebung der EU-Regeln liegt eine größere Debatte über Tempo und Umsetzbarkeit der KI-Verordnung zugrunde, die auch internationalen Druck auf einheitlichere Standards widerspiegelt. Für deutsche Ermittlungsbehörden bedeutet das im Ergebnis: Sie dürfen KI-gestützte biometrische Bildanalyse schon jetzt nutzen, während die spezifischen Transparenz- und Dokumentationspflichten für Hochrisiko-KI-Systeme aus dem AI Act erst rund anderthalb Jahre später verbindlich werden. Diese Lücke ist keine Randnotiz – sie betrifft genau jenen Zeitraum, in dem die neuen Befugnisse erstmals in der Praxis erprobt werden.

Wirtschaftlich betrachtet mag diese Verschiebung für Unternehmen und Behörden Planungssicherheit schaffen, weil weniger kurzfristiger Umsetzungsdruck entsteht. Aus grundrechtlicher Sicht ist genau das aber das Problem: Die strengeren Kontrollmechanismen für Hochrisiko-KI kommen später als die Befugnis, solche Systeme im Strafverfahren einzusetzen. Das ist, mit Verlaub, die falsche Reihenfolge.

Kritik von Menschenrechtsorganisationen und Datenschutzaufsicht

Die Kritik an der StPO-Reform speist sich vor allem aus zwei Richtungen. Zum einen warnen Menschenrechtsorganisationen vor der Entstehung einer faktischen Gesichts-Datenbank der Bevölkerung, wenn Ermittlungsbehörden systematisch öffentlich zugängliche Internetbilder für biometrische Bildanalyse heranziehen. Der Kern der Sorge: Auch wenn jede Einzelmaßnahme an einen konkreten Tatverdacht gebunden ist, summiert sich die technische Infrastruktur über viele Verfahren hinweg zu einer Fähigkeit, die weit über den Einzelfall hinausreicht. Wie schnell aus einer eng gefassten Ausnahme eine breiter genutzte Praxis werden kann, zeigt die Debatte um die Schlupflöcher bei biometrischer Massenüberwachung, die zivilgesellschaftliche Organisationen auf europäischer Ebene seit Jahren begleiten.

Zum anderen weisen Strafrechtsjuristen darauf hin, dass Fehlerquoten und Verzerrungen biometrischer Systeme – etwa bei bestimmten Bevölkerungsgruppen – nicht verschwinden, nur weil eine gesetzliche Grundlage existiert. Eine Rechtsnorm macht ein Erkennungssystem nicht automatisch treffsicherer. Sie legitimiert lediglich dessen Einsatz. Genau diese Verwechslung – Rechtsgrundlage als Qualitätssiegel – halte ich für den größten blinden Fleck der aktuellen Debatte.

Die Datenschutzaufsicht wiederum betont, dass KI-Systeme in der Strafverfolgung nach der europäischen KI-Verordnung regelmäßig als Hochrisiko-KI gelten und deshalb strengen Anforderungen an Risikomanagement, Dokumentation und menschliche Aufsicht unterliegen sollten. Dass diese konkreten Pflichten für Strafverfolgungssysteme erst Ende 2027 verbindlich greifen, während die nationale Befugnisnorm längst gilt, verschärft genau das Spannungsfeld, das eingangs beschrieben wurde. Ein Sicherheitsnetz, das erst nach der ersten Anwendungsphase gespannt wird, ist kein Sicherheitsnetz – es ist eine Ankündigung.

Technische Grenzen: Warum ein Treffer kein Beweis ist

Wer die Debatte nur auf Rechtsfragen verkürzt, übersieht einen wichtigen Punkt: Biometrische Bildanalyse ist eine statistische Methode, keine exakte Wissenschaft. Bildqualität, Beleuchtung, Aufnahmewinkel, Alter des Vergleichsfotos oder schlicht die Menge an verfügbaren Referenzbildern beeinflussen die Trefferwahrscheinlichkeit erheblich. Ein System, das unter Laborbedingungen hohe Genauigkeitswerte erreicht, kann bei schlecht belichteten Handyfotos aus dem Internet deutlich unzuverlässiger arbeiten. Genau solche Aufnahmen sind aber der typische Ausgangspunkt für den Abgleich nach § 98d StPO.

Hinzu kommt ein Effekt, der in der Forschung zu automatisierter Gesichtserkennung seit Langem dokumentiert ist: Die Fehlerquoten verteilen sich nicht gleichmäßig über alle Bevölkerungsgruppen. Je nach System, Trainingsdatensatz und Bildmaterial können bestimmte Personengruppen überproportional häufig falsch zugeordnet werden. Für die Ermittlungspraxis bedeutet das: Ein automatisierter Treffer ist im besten Fall ein Hinweis, der weiterer Überprüfung bedarf – niemals aber ein Ersatz für klassische Beweisführung. Die StPO-Reform selbst erkennt das an, indem sie ausdrücklich festhält, dass die Software nur Hilfsmittel sein soll. Ob diese Vorsicht auch dann durchgehalten wird, wenn ein Verfahren unter Zeitdruck steht und ein Treffer mit angeblich hoher Konfidenz vorliegt, ist eine Frage, die sich nur in der praktischen Anwendung beantworten lässt – nicht am Schreibtisch des Gesetzgebers.

Ein vorsichtiges Praxisszenario

Um die Reichweite der neuen Normen greifbarer zu machen, hilft ein rein hypothetisches, bewusst vorsichtig formuliertes Beispiel: Angenommen, ein Ermittlungsverfahren wegen eines schweren Gewaltdelikts liegt vor, und die einzige verfügbare Spur ist ein unscharfes Überwachungsbild einer tatverdächtigen Person. Klassische Ermittlungsmethoden – Zeugenbefragung, Abgleich mit bekannten Aufenthaltsorten – führen zu keinem belastbaren Ergebnis. In einem solchen Fall könnte die Staatsanwaltschaft, gestützt auf § 98d StPO, einen automatisierten Abgleich mit öffentlich zugänglichen Internetbildern beantragen, um die Identität der Person einzugrenzen.

Selbst in diesem denkbaren Szenario bliebe die Maßnahme an mehrere Bedingungen gekoppelt: die Subsidiaritätsklausel müsste tatsächlich erfüllt sein, die richterliche oder staatsanwaltschaftliche Anordnung müsste dokumentiert werden, und ein automatisierter Treffer dürfte nicht ohne weitere Ermittlungsschritte zur Grundlage einer Anklage werden. Würde sich später herausstellen, dass die abgeglichene Person nichts mit der Tat zu tun hat, müsste der entsprechende Datensatz unverzüglich gelöscht werden. Genau an dieser Kette von Bedingungen – nicht am einzelnen Systemtreffer – lässt sich ablesen, ob die gesetzlichen Schutzmechanismen in der Praxis tatsächlich greifen oder nur auf dem Papier stehen.

Was das für Betroffene und Verteidigung bedeutet

Für Menschen, die ins Visier eines Ermittlungsverfahrens geraten, ändert sich mit der StPO-Reform vor allem die technische Reichweite der Beweiserhebung, nicht die grundlegende Verfahrenslogik. Ein automatisierter Treffer aus einem biometrischen Bildabgleich ist zunächst ein Ermittlungsansatz, kein Beweis im engeren Sinn – er muss weiterhin durch klassische Ermittlungsarbeit untermauert werden. Wer als Beschuldigter oder Zeuge von einer solchen Maßnahme betroffen ist, erfährt davon in der Regel erst deutlich später, wenn Akteneinsicht möglich wird.

Für die Verteidigung entstehen dadurch neue Prüffelder: Lag tatsächlich eine Straftat von erheblicher Bedeutung vor? War die Subsidiaritätsklausel eingehalten, also waren mildere Ermittlungsmittel wirklich aussichtslos? Wurde die richterliche oder staatsanwaltschaftliche Anordnung ordnungsgemäß dokumentiert, und wurden nicht relevante Treffer tatsächlich gelöscht? Diese Fragen werden künftig fester Bestandteil der Verteidigungsstrategie in Verfahren mit technisch gestützter biometrischer Bildanalyse sein – ähnlich wie sich Verteidiger heute schon mit der Rechtmäßigkeit von Telekommunikationsüberwachung auseinandersetzen.

Praktisch bedeutet das für Betroffene: Wer öffentlich sichtbare Fotos oder Videos im Netz teilt, sollte sich bewusst sein, dass diese Inhalte künftig grundsätzlich Teil eines automatisierten Abgleichs werden können, wenn ein hinreichender Tatverdacht wegen einer schweren Straftat besteht. Private, zugangsbeschränkte Inhalte bleiben davon unberührt – ein Unterschied, der in der öffentlichen Debatte oft untergeht, aber rechtlich entscheidend ist.

Zwischen Ermittlungseffizienz und Kontrollverlust

Befürworter der Reform verweisen zu Recht darauf, dass digitale Ermittlungsarbeit ohne technische Unterstützung an ihre Grenzen stößt. Wer heute Terabytes an Bild- und Videodaten aus einem einzigen Verfahren sichten muss, kann das ohne automatisierte Vorfilterung kaum in vertretbarer Zeit leisten. Die verfahrensübergreifenden Analyseplattformen nach § 98e StPO sollen genau hier ansetzen: Zusammenhänge zwischen Personen, Taten und Datenbeständen sichtbar machen, die menschlichen Ermittlern sonst verborgen blieben.

Das ist ein nachvollziehbares Argument, gerade bei komplexen Fällen organisierter Kriminalität oder schwerer Gewaltdelikte. Es entkräftet aber nicht die strukturelle Sorge, dass jede neu geschaffene technische Fähigkeit tendenziell über ihren ursprünglichen Zweck hinauswächst – ein Phänomen, das in der Debatte als Function Creep bezeichnet wird. Werden die engen Voraussetzungen von „erheblicher Bedeutung“ und Subsidiarität in der Praxis tatsächlich streng gehandhabt, oder erweitert sich der Anwendungsbereich schleichend, wie es bei anderen Ermittlungsbefugnissen in der Vergangenheit schon zu beobachten war?

Genau an dieser Stelle wird sich zeigen, ob die StPO-Reform ihr Versprechen einer eng begrenzten, kontrollierten Befugnis einhält. Die gesetzlichen Schranken sind auf dem Papier klar formuliert. Ob sie in der täglichen Ermittlungspraxis, unter Zeitdruck und mit wachsendem Vertrauen in automatisierte Trefferlisten, auch tatsächlich eingehalten werden, lässt sich heute noch nicht beantworten.

Handlungsbedarf für Gesetzgeber, Aufsicht und Justiz

Aus den offenen Fragen lassen sich einige konkrete Handlungsschritte ableiten, die unabhängig von der grundsätzlichen Bewertung der StPO-Reform sinnvoll wären. Erstens bräuchte es eine verbindliche, regelmäßige Berichtspflicht der Ermittlungsbehörden über den tatsächlichen Einsatz von § 98d und § 98e StPO – wie viele Anordnungen ergingen, wie viele Treffer ermittlungsrelevant waren und wie viele Datensätze gelöscht wurden. Ohne solche Zahlen bleibt jede Debatte über Verhältnismäßigkeit abstrakt.

Zweitens sollte die Frist bis zum Inkrafttreten der EU-Hochrisiko-Auflagen Ende 2027 nicht ungenutzt verstreichen. Nationale Aufsichtsbehörden könnten schon jetzt freiwillige Standards für Dokumentation, Risikobewertung und menschliche Kontrolle etablieren, die sich eng an den kommenden EU-Vorgaben orientieren – statt zu warten, bis die europäischen Fristen ohnehin greifen. Drittens wäre eine unabhängige technische Evaluierung der eingesetzten Systeme sinnvoll, die Fehlerquoten und mögliche Verzerrungen bei unterschiedlichen Bevölkerungsgruppen offenlegt, bevor sich flächendeckende Ermittlungspraxis um diese Systeme herum verfestigt.

Viertens brauchen Strafverteidigung und Gerichte praktikable Möglichkeiten, die Grundlagen eines automatisierten Treffers tatsächlich nachzuvollziehen – nicht nur formal per Akteneinsicht, sondern inhaltlich in Bezug auf die verwendete Software und deren Fehleranfälligkeit. Ohne diese Transparenz bleibt der Richtervorbehalt eine Formalie, die zwar die Anordnung kontrolliert, aber nicht die Qualität dessen, was am Ende als Ermittlungsergebnis in die Akte kommt.

Was bleibt?

Die neuen Paragrafen 98d und 98e StPO schaffen erstmals eine explizite, gerichtlich kontrollierte Grundlage für KI in Strafverfolgung in Deutschland – das ist ein Fortschritt gegenüber der bisherigen Grauzone. Gleichzeitig entsteht eine zeitliche Lücke: Die deutsche Praxis läuft an, während die europäischen Kontrollmechanismen für Hochrisiko-KI-Systeme erst Ende 2027 greifen. Wer beobachtet, wie streng Staatsanwaltschaften die Schwelle „erheblicher Bedeutung“ in der Praxis auslegen und wie transparent gelöschte Fehltreffer tatsächlich dokumentiert werden, bekommt die eigentliche Antwort auf die Frage, ob diese Reform ein Kontrollinstrument ist – oder der Anfang einer schleichenden Ausweitung.