Die EU-Polizeibehörde Europol soll über Jahre ein umfangreiches Schatten-IT-System aufgebaut haben. Das Medienunternehmen Correctiv veröffentlichte am Dienstag einen Bericht, demzufolge dieses geheimgehaltene System als parallele Plattform zu Europols regulären Datenbanken ohne grundlegende Sicherheits- und Datenschutzvorkehrungen fungiert habe und für groß angelegte Kriminalanalysen genutzt worden sei. Hochsensible Daten seien gespeichert und analysiert worden, zum Beispiel Telefonverbindungsdaten, Ausweisdokumente sowie Finanz- und Standortdaten – auch von Personen, die keiner Straftat verdächtigt wurden. Weder sei der Zugang zu diesen Daten systematisch kontrolliert worden noch könne nachvollzogen werden, wer sich einloggte, Daten löschte oder änderte.

Nach Ansicht des Europäischen Datenschutzbeauftragten brachte dieser Bruch von Grundrechten unschuldige Bürgerinnen und Bürger in Gefahr, mit kriminellen Aktivitäten in Verbindung gebracht zu werden – mit potentiell negativen Folgen für ihr Privat- und Familienleben, ihre Bewegungsfreiheit und ihre berufliche Laufbahn, berichtete Correctiv weiter. Wenn aber eine EU-Behörde, die dazu geschaffen wurde, die Durchsetzung von Recht zu unterstützen, dieses Recht missachtet, steht ihre Existenzberechtigung in Frage. Dieser Skandal im Zentrum Europas wichtigster Kriminalbehörde war auch den politischen Entscheidungsträgerinnen und -trägern, die mit der Kontrolle der Agentur betraut sind, bislang unbekannt.

Bereits im Sommer 2025 war öffentlich geworden, dass die europäische Grenzschutzagentur Frontex Daten, die sie über Jahre gesammelt hatte, ohne rechtliche Grundlage an Europol weitergeleitet hatte. Das widerspricht jedem Grundrecht und führt eingesetzte Kontrollmechanismen ad absurdum. Laut Correctiv finden Inspektionen bei Europol eher in Form höflicher Gespräche statt; Informationen, die der Aufsicht dienten, würden von Europol selbst geliefert. Systeme, die es formell nicht gibt, wurden wahrscheinlich nicht geprüft.

Correctiv beschreibt das Ausmaß der illegalen Datensammlung: 2019 seien mindestens 2.000 Terabyte an Daten gespeichert gewesen, fast 420mal so viel wie in Europols regulären Datenbanken. 99 Prozent der Daten seien ohne grundlegende Datenschutz- und Sicherheitsvorkehrungen gespeichert und verarbeitet worden. Dass fast die gesamte Datengrundlage illegal beschafft, gespeichert und analysiert wurde, verpflichtet die EU dringend dazu, die Befugnisse der Agentur zu überdenken, statt ihr Mandat auszuweiten. Für Europol ist ein paralleles IT-System, in dem es keine Sicherheitsvorkehrungen gibt, selbstverständlich kostengünstiger, schneller und effektiver. Das kann aber so nicht politisch gewollt sein. Ansonsten wären jegliche demokratischen Beschlüsse, die die EU-Institutionen zum Datenschutz fassen, wirkungslos.

Diese Enthüllungen müssen Konsequenzen haben. Sogar der Datenschutzbeauftragte von Europol warnte davor, dass die europäische Datenschutzbehörde ein Verarbeitungsverbot verhängen könnte. Ein solches Verbot käme einem nahezu vollständigen Stillstand des operativen Geschäfts von Europol gleich. Konkret werden auch ineffektive Zuweisungen von Sicherheitsrollen und Verantwortlichkeiten, unzureichendes Management privilegierter Zugriffsrechte, die Nichteinhaltung der eigenen Sicherheitsvorschriften und fehlendes Passwortmanagement kritisiert.

Im dritten Quartal dieses Jahres soll – wenn es nach der Kommission geht – das Mandat von Europol neu aufgesetzt und das Budget sowie das Personal der Behörde verdoppelt werden. Doch statt der Ausweitung des Mandats einer Behörde, die offensichtlich rechtswidrig handelt, brauchen wir eine Aussetzung aller Befugnisse von Europol. Die Transparenz- und Berichtspflichten sowie die Kontrollmechanismen sind offensichtlich gescheitert. Auch die Datenweitergabe zwischen verschiedenen EU-Behörden gehört auf den Prüfstand.