Europol, die Polizeibehörde der EU, hat offenbar geheime Analyseplattformen betrieben, auf denen Mitarbeiter riesige Mengen sensibler Daten auswerten konnten. Das zeigt eine Recherche von CORRECTIV in Kooperation mit Solomon und Computer Weekly, basierend auf internen Dokumenten und Aussagen von Insidern.

Ehemalige Europol-Mitarbeiter beschreiben das System als „Schatten-IT-Umgebung“, die parallel zu den offiziellen Systemen der Strafverfolgungsbehörde genutzt wurde – allerdings ohne die rechtlich notwendigen Sicherheits- und Datenschutzvorkehrungen.

Eines der Systeme ermöglichte es Europolmitarbeitern, sensible Daten abzurufen und zu analysieren, darunter Telefonverbindungsdaten, Ausweisdokumente sowie Finanz- und Standortdaten – auch von Personen, die keiner Straftat verdächtigt wurden. 

Dieser Teil der Schatten-IT entwickelte sich laut einem Europol-internen Bericht zur wichtigsten Plattform der Behörde für groß angelegte Kriminalanalysen. Dabei wurde allerdings nicht ordnungsgemäß kontrolliert, wer auf die Daten zugreifen oder diese ändern konnte. Nach Ansicht des Europäischen Datenschutzbeauftragten brachte das unschuldige Bürger in Gefahr, mit kriminellen Aktivitäten in Verbindung gebracht zu werden – mit potenziell negativen Folgen für ihr Privat- und Familienleben, ihre Bewegungsfreiheit und ihre berufliche Laufbahn. 

Zum ersten Mal melden sich nun mehrere ehemalige hochrangige Mitarbeiter zu Wort, um die Schatten-IT aufzudecken. Ihre Berichte werden von internen Europol-Dokumenten bestätigt, die CORRECTIV durch Informationsfreiheitsanfragen vorliegen, und von internen geleakten Emails. Demnach hat Europol zwar einige Datenschutzprobleme öffentlich gemacht. Weite Teile, darunter eine irreguläre Anwendung namens „Pressure Cooker“ – Schnellkochtopf – mit der Europol-Analysten laut Insidern EU-Gesetze umgehen konnten, wurden jedoch offenbar vor dem Europäischen Datenschutzbeauftragten geheim gehalten. Das System ist möglicherweise noch heute im Einsatz.

„Sie schützen das Gesetz – und brechen es“, sagt ein Insider. Wie die anderen ehemaligen hochrangigen Europol-Mitarbeiter, mit denen wir für diese Recherche gesprochen haben, muss auch er anonym bleiben, aus Sorge vor Konsequenzen. Die Namen sind der Redaktion bekannt.

Mit den Ergebnissen der Recherche konfrontiert, antwortet ein Sprecher, dass Europol dem Europäischen Datenschutzbeauftragten transparent über seine operativen Datenverarbeitungssysteme und -anwendungen berichtet habe. Der Vorwurf, dass Europol Informationen über Verarbeitungsumgebungen oder -systeme versteckt habe, sei eine falsche Darstellung der Tatsachen.

Für Europol ist dies ein kritischer Moment: Noch in diesem Jahr wird die Europäische Kommission voraussichtlich ein Gesetz einbringen, dass Budget und Befugnisse der Behörde ausweiten würde. Gleichzeitig wird ein Nachfolger für Direktorin Catherine De Bolle gesucht, deren Amtszeit am 1. Mai endete.

Polizei unter Erfolgsdruck

Europols größere Rolle in der europäischen Polizeiarbeit – und das Schatten-IT-System – nahm in einer Krisensituation Form an.

Im November 2015 kamen bei Terroranschlägen in Paris 130 Menschen ums Leben, Hunderte weitere wurden verletzt. „Von uns wurde zu diesem Zeitpunkt erwartet, dass wir uns stärker engagieren“, erinnert sich der damalige Europol-Direktor Rob Wainwright später. „Das war der Moment, in dem wir liefern mussten.“

Europol richtete daraufhin eine Task Force namens „Fraternité“ ein. Die Strafverfolgungsbehörden der Mitgliedstaaten begannen, große Datenmengen an die Behörde zu übermitteln: Telefonverbindungsdaten, Polizeiberichte, Standortdaten. Die Erwartung: Europol solle diese Flut an Informationen in verwertbare Erkenntnisse umwandeln.

In der Folge übernahm Europols Cybercrime-Einheit die Kontrolle über das sogenannte Computerforensik-Netzwerk, kurz CFN. Laut Europol war das CFN 2012 ursprünglich dafür konzipiert worden, die wachsenden Mengen an digitalem Material vorab zu verarbeiten oder zu filtern und mit konkreten Ermittlungen zu verknüpfen. Die Daten wurden in dafür vorgesehenen Analyseprojekten organisiert. Normalerweise verwaltet und kontrolliert die IT-Abteilung solche Infrastrukturen.

Das CFN sollte von der Cybercrime-Einheit und der IT gemeinsam verwaltet werden, diese Regel sei auch 2019 noch in Kraft und allen Beteiligten bekannt gewesen, antwortet Europol auf Anfrage. Auf dem Papier war also die gemeinsame Kontrolle festgelegt. Doch in der Praxis, so bestätigen es mehrere Insider, entzog sich dieses System bald der Aufsicht der IT-Abteilung.

Innerhalb weniger Jahre entwickelte sich das CFN weit über seinen ursprünglichen Zweck hinaus. Ein ehemaliger hochrangiger Europol-Mitarbeiter bezeichnete es als „Schwarzes Loch“ für die unregulierte Datenanalyse durch die Cybercrime-Einheit.

Ein System, das weder genau protokollierte, wer auf Daten zugriff, noch wer diese möglicherweise änderte oder löschte, wie sich später herausstellte. 2019 waren im CFN mindestens 2.000 Terabyte Daten gespeichert, fast 420 mal so viele wie in Europols regulären Kriminaldatenbanken zu jenem Zeitpunkt.

2018 traten EU-weit neue Datenschutzgesetze in Kraft. Im Jahr darauf war das Ausmaß der regelwidrigen Datenpraktiken bei Europol nicht mehr zu ignorieren.

Europols hauseigener Datenschutzbeauftragter, Daniel Drewer, schlug in einer fünfseitigen internen Mitteilung an die drei stellvertretenden Europol-Direktoren Alarm. Dieser Bericht liegt CORRECTIV durch eine Informationsfreiheitsanfrage vor.

Die Botschaft war unmissverständlich: 99 Prozent der Daten von Europol wurden im CFN gespeichert und verarbeitet, ohne grundlegende Datenschutz- und Sicherheitsvorkehrungen. Europol-Analysten konnten so riesige Mengen an personenbezogenen Daten durchforsten, darunter auch Informationen, die sie nicht hätten speichern dürfen, und diese für kriminalistische Analysen zweckentfremden.

Die Daten stammten laut Europol von den Strafverfolgungsbehörden der Mitgliedstaaten sowie von anderen Partnern und wurden von der Behörde im Rahmen von Open-Source-Intelligence-Aktivitäten gesammelt. Mindestens eines der Projekte, „Focal Point Travellers“, enthielt laut Europols eigener Meldung Daten, die vom US-amerikanischen Federal Bureau of Investigation (FBI) bereitgestellt wurden. 

Drewer warnte vor einem möglichen Verbot des CFN, wenn Europol das gesamte parallele Datensystem nicht grundlegend überarbeite. Das würde „faktisch einer vollständigen Einstellung des operativen Geschäfts bei Europol gleichkommen“ und „das Vertrauen“ der Mitgliedstaaten „erheblich beeinträchtigen“.

„Ein paralleles System, in dem es keine Sicherheitsvorkehrungen gibt, ist kostengünstiger, schneller und effektiver“, erklärte ein ehemaliger hochrangiger Europol-Mitarbeiter gegenüber CORRECTIV. „Aber ohne diese Vorkehrungen ist man demjenigen ausgeliefert, der vor dem Bildschirm sitzt“, sagt er. Mit anderen Worten: Entscheidungen darüber, wie auf sensible Daten zugegriffen und wie diese genutzt werden, lagen offenbar weitgehend im Ermessen einzelner Mitarbeiter.

Ein Europol-Sprecher erklärte auf Anfrage, diese Aussage sei eine falsche Darstellung der Tatsachen. Der Sprecher antwortete nicht auf Fragen dazu, ob die Mitgliedsstaaten oder das us-amerikanische FBI darüber informiert waren, dass die von ihnen gelieferten Daten in dieses unregulierte System gelangten.

Am 1. April 2019 informierte Europol-Direktorin De Bolle den EU-Datenschutzbeauftragten über Drewers Erkenntnisse. Das löste die sogenannte „Big Data Challenge“ aus – eine jahrelange Auseinandersetzung zwischen Europol und der externen Aufsichtsbehörde. Sie gipfelte in einer Anordnung der Datenschutzbehörde, Daten zu löschen, die rechtswidrig gespeichert worden waren.

Die Aufsichtsbehörde prüfte das System auch in den folgenden Jahren. Ende 2023 stellte sie fest, dass es weiterhin nicht immer möglich war, festzustellen, ob jemand auf bestimmte personenbezogene Daten zugegriffen oder sie geändert hatte. Im Februar 2026 teilte sie der Gemeinsamen Parlamentarischen Kontrollgruppe – einem Aufsichtsausschuss für Europol aus europäischen und nationalen Abgeordneten – mit, dass sie die Prüfung des CFN nach fast einem Jahrzehnt einstellen werde – obwohl 15 von 150 Empfehlungen nicht umgesetzt waren. Diese offenen Punkte betrafen „Fragen von besonderer Bedeutung“, darunter zentrale Sicherheitsvorkehrungen.

Das tatsächliche Ausmaß der unzulässigen Praktiken bei Europol, das diese Recherche offenlegt, war bislang weder der Öffentlichkeit noch den Parlamentariern, die Europol kontrollieren sollen, bekannt.

Selbst nachdem Europol Teile einige Datenschutzprobleme offengelegt hatte, gingen intern weitere Warnungen ein. Sie deuten darauf hin, dass Teile der Schatten-IT weiterliefen. Der Europäische Datenschutzbeauftragte erhielt offenbar nur Einblick in Teile dieses „schwarzen Lochs“. 

Alarm wegen des „Pressure Cooker“

Am 5. Oktober 2022 schickte ein Europol-Mitarbeiter eine E-Mail mit „Wichtigkeit: Hoch“ an die Postfächer hochrangiger Mitarbeiter. Darin warnte er, der Europäische Datenschutzbeauftragte könne bald von der „irregulären Situation mit dem Pressure Cooker“ erfahren. 

Laut Insidern galt der „Pressure Cooker“ in Teilen der Behörde als ein Bereich, in dem operative Daten schnell und ohne die Beschränkungen des EU-Rechts gespeichert und analysiert werden konnten. In der E-Mail schreibt der Mitarbeiter, Pressure Cooker sei die Bezeichnung der operativen Einheiten für ein Netzwerk, in dem sie „einige Aktivitäten ohne richtige IT-Kontrolle“ entwickeln.

„Wir haben mehrfach darauf hingewiesen, wie wichtig es ist, den ‚Pressure Cooker‘ zu beseitigen“, schrieb der Mitarbeiter in seiner E-Mail. Nach seinen Angaben drängte Europols IT-Abteilung die Leitung, die Systeme in solche „mit ordnungsgemäßen Designs, Kontrollen usw. “ umzuwandeln.

Auf Fragen erklärt Europol, „Pressure Cooker“ sei lediglich der interne Name für sein Internet Facing Operational Environment (IFOE) und werde im Einklang mit dem EU-Recht betrieben. Dem Europäischen Datenschutzbeauftragten zufolge erwähnte Europol den Begriff 2022 ihm gegenüber als ein geplantes Übergangs-Tool.

Interne Nachrichten und Aussagen ehemaliger hochrangiger Mitarbeiter deuten jedoch darauf hin, dass der Pressure Cooker damals bereits als unreguliertes, paralleles System lief. Dieses System hielt Europol dem Europäischen Datenschutzbeauftragten offenbar jahrelang verborgen. 

Intern gewarnt wurde bereits seit spätestens 2019. „Was ihr IFOE nennt, ist eine Umgebung, die im Notfallmodus unter der Pressure Cooker-Vereinbarung erstellt wurde“, schrieb ein IT-Mitarbeiter damals an eine operative Einheit, und diese Umgebung werde auch allein von dieser Einheit verwaltet, nicht von der IT-Abteilung.

Europol erklärte außerdem, es habe den Europäischen Datenschutzbeauftragten gemäß der Europol-Verordnung über die Entwicklungen des IFOE konsultiert und keine Informationen über Datenverarbeitungssysteme versteckt gehalten. Das scheint jedoch nur für das offizielle System zu gelten, nicht für die parallele IT-Infrastruktur. 

Ein ehemaliger hochrangiger Europol-Mitarbeiter erklärt, wie das irreguläre System womöglich trotz der Inspektionen vor dem Europäischen Datenschutzbeauftragten verborgen bleiben konnte. „Wenn wir von Inspektion sprechen“, sagt er, „meinen wir keine Razzia, bei der IT-Experten Systeme überwachen und Server beschlagnahmen. Wir sprechen von einem höflichen Gespräch. “ 

Die Aufsicht, so erklärt er, stützte sich weitgehend auf Informationen, die die Behörde selbst lieferte. Systeme, die nicht klar benannt oder formell vorgestellt wurden, wurden möglicherweise nicht geprüft. 

Das wirft die Frage auf, was auch heute noch verborgen bleibt. 

Im Jahr 2025 konsultierte Europol den Europäischen Datenschutzbeauftragten zu einem geplanten System namens IFOE-Quick Response Area. Und zwar laut Europol, weil IFOE-Komponenten aktualisiert wurden, „um sie im Einklang mit technologischen Entwicklungen zu modernisieren“. Deshalb sei nach der Europol-Verordnung eine Konsultation des Datenschutzbeauftragten erforderlich gewesen. 

Europol stellte es als künftiges Instrument vor. Die Aufsichtsbehörde prüfte – und kam zu dem Schluss: Würde es wie beschrieben umgesetzt, laufe es Gefahr, zu „einer vollwertigen Parallelumgebung zur regulären Betriebsumgebung von Europol“ zu werden. Auf Nachfrage erklärte der Europäischen Datenschutzbeauftragte, er sehe die Gefahr, dass Europol-Mitarbeiter „Angeltouren“ unternehmen könnten, also personenbezogene Daten sammeln, die für laufende strafrechtliche Ermittlungen irrelevant sind – und so Grundrechte verletzen.

Nach Angaben eines ehemaligen hochrangigen Europol-Mitarbeiters war das, was vorgelegt wurde, jedoch keineswegs ein neues Instrument. Sondern vielmehr der Versuch, den „Pressure Cooker“ nachträglich zu formalisieren. 

Ein Europol-Sprecher sagte darauf, der Vorwurf der Datenschutzbehörde, Europol wolle Informationen ohne Bezug zu Ermittlungen, außerhalb ihres Aufgabenbereichs, sammeln, sei eine falsche Darstellung der Tatsachen.

Die neue Warnung des Europäischen Datenschutzbeauftragten verweist auf eine grundlegendes Problem: Während Europol mit Teilen seiner parallelen Dateninfrastruktur aufräumt, bleibt das Risiko, dass andere, unregulierte Teile bestehen bleiben. 

Mindestens eine E-Mail zum „Pressure Cooker“ erreichte auch stellvertretende Europol-Direktoren. Unklar bleibt jedoch, inwieweit die in internen Dokumenten beschriebenen Systeme dem jeweiligen Direktor der Behörde bekannt waren – Rob Wainwright und nach 2018 Catherine de Bolle. Auf Nachfrage antwortet Wainwright, er könne sich „an keine konkreten Diskussionen zu diesem Thema während meiner Amtszeit erinnern“. Er fügt hinzu, er erinnere sich daran, „sehr eng“ mit dem Datenschutzbeauftragten von Europol, Daniel Drewer, zusammengearbeitet zu haben. Die Schaffung und Förderung eines starken Datenschutzrahmens sei „ein wesentlicher Bestandteil der Mission von Europol und eine zentrale strategische Priorität“ gewesen. 

Ein erweitertes Mandat

Der Wandel bei Europol ist in vollem Gange. 

Noch vor dem Sommer wird die Europäische Kommission voraussichtlich ein Gesetz einbringen, das Budget und Personal der Behörde verdoppeln würde. Das ist Teil einer breiteren Initiative, Europol in eine „wirklich operative Polizeibehörde“ umzuwandeln. 

Das würde die Macht der Behörde deutlich ausweiten. Allerdings vor dem Hintergrund offener Fragen: ob diese Macht in der Vergangenheit verantwortlich ausgeübt wurde – und was verborgen bleibt. 

„Den Entscheidungen von Europol müssen einer intensiven rechtlichen Prüfung standhalten“, sagte Jim Killock, Geschäftsführer der britischen Organisation für digitale Rechte Open Rights Group, unserem Team. „Europol muss dringend darlegen, wie tiefgreifend diese Probleme sind und ob sie sich auf Fragen der Beweisintegrität erstrecken.“ 

Direktorin De Bolle hat eine Interviewanfrage für diese Recherche abgelehnt.

„Wir versuchen immer, eine Lösung zu finden“, beschrieb sie ihre Organisation 2024 in einem Podcast zum 25-jährigen Bestehen von Europol. „Und ich denke, das liegt in der DNA von Europol – wir sind eine kreative Organisation, die sich täglich mit Sicherheit befasst.“

---

• Text und Recherche: Lydia Emmanouilidou, Apostolis Fotiadis, Bill Goodwin, Sebastian Klovig Skelton, Luděk Stavinoha, Frida Thurm, Giacomo Zandonini
• Redaktion: Till Eckert, Justus von Daniels
• Faktencheck: Till Eckert
• Art Direktion: Mohammed Anwar

 Veröffentlicht am: 05. Mai 2026