Die Kennzeichenkameras von Flock Safety stehen vor einem Architekturproblem

Immer wenn Marci Bakely das Haus verließ – ein Gang zum Supermarkt, ein Abend auswärts bei einem Date –, summte ihr Telefon innerhalb von Minuten. Ihr Ex-Freund schien ihre Bewegungen fast in Echtzeit zu kennen. Eine Untersuchung der Washington Post dokumentierte später, wie: Braseltons Polizeichef Michael Steffman, ihr früherer Partner, hatte ihr Kennzeichen und das ihrer jugendlichen Tochter rund 600 Mal über Flock Safety abgefragt – ein Unternehmen, das Netzwerke automatisierter Kennzeichenleser, gemeinhin als ALPRs bekannt, aufbaut und betreibt.

Das Georgia Bureau of Investigation verhaftete Steffman im November 2025 wegen Stalking, Belästigung und Missbrauchs eines ALPR-Systems. Er wurde tot aufgefunden, bevor der Fall vor Gericht kommen konnte. Für Bakely endete die Angelegenheit ohne gerichtliche Aufarbeitung oder öffentliche Rechenschaft darüber, wie ein einziger offizieller Account so oft auf eine Privatperson gerichtet werden konnte.

Kein Einzelfall: Das Ausmaß des Missbrauchs

Bakelys Erfahrung ist alles andere als ein Einzelfall. Die Untersuchung der Post identifizierte mindestens 50 Strafverfolgungsbeamte, die des Missbrauchs von ALPR-Netzwerken beschuldigt werden. Von diesen sollen 26 die Kameras von Flock genutzt haben, um aktuelle oder frühere romantische Partner zu überwachen – oder Personen, die sie romantisch verfolgen wollten. Seit dieser ersten Berichterstattung, so die Zeitung, habe man mindestens 100 Mitarbeiter von Polizeibehörden identifiziert, die des Missbrauchs beschuldigt oder angeklagt wurden.

In Bakelys Fall reichten die Abfragen über ein einzelnes Ziel hinaus: Steffman suchte laut der Untersuchung auch Kennzeichen, die ihrer jugendlichen Tochter gehörten. Dieses Detail veranschaulicht, wie ein einziger autorisierter Account die täglichen Muster eines ganzen Haushalts offenlegen kann – von Schulwegen bis zu Arztterminen –, ohne dass die betroffene Person je erfährt, dass eine Suche stattgefunden hat.

Dieses Muster ordnet die Debatte neu ein. Die Frage ist nicht mehr nur, ob eine Handvoll Beamter sich kriminell verhalten hat. Sie ist, ob die Systeme, die sie nutzten, dieses Verhalten einfach, still und wiederholbar machten.

Flock's Antwort – und ihre Grenzen

Flock Safety bestreitet diese Darstellung. Das Unternehmen weist darauf hin, dass die betroffenen Personen einen sehr kleinen Anteil seiner mehr als 140.000 monatlichen Nutzer ausmachen, und verweist auf permanente Audit-Protokolle als Instrument, das hilft, Fehlverhalten im Nachhinein aufzudecken.

Beide Aussagen haben Gewicht. Eine Plattform mit einer so großen Nutzerbasis wird unweigerlich schlechte Akteure umfassen, und durchsuchbare Protokolle sind wirklich besser als nichts – sie sind der Grund, warum mehrere dieser Fälle überhaupt ans Licht kamen.

Aber Audit-Trails sind ein Erkennungsmechanismus, kein Präventionsmechanismus. Sie dokumentieren Missbrauch, nachdem die Standorthistorie einer Person bereits offengelegt wurde. Für eine Person, die von einem Ex-Partner verfolgt wird, bietet ein Protokolleintrag, der Monate später auftaucht, während der Monate der Überwachung selbst wenig Schutz.

Die Vordertür stand weit offen

Was die ALPR-Fälle besonders macht, ist das Fehlen eines technischen Einbruchs. Kein Hacker knackte eine Datenbank. Keine Zugangsdaten wurden per Phishing erbeutet. Kein Insider schmuggelte eine Festplatte hinaus. Laut der Berichterstattung meldeten sich diese Nutzer einfach durch die Vordertür an und nutzten autorisierten Zugriff für einen nicht autorisierten Zweck.

Diese Unterscheidung trennt diese Episode von einer herkömmlichen Cybersicherheitsgeschichte. Firewalls, Verschlüsselung und Penetrationstests tun fast nichts, um einen legitimen Account-Inhaber davon abzuhalten, aus persönlichen Gründen eine Kennzeichennummer in ein Suchfeld einzugeben. Die Schwachstelle liegt nicht in den Abwehrmechanismen der Software; sie liegt im Berechtigungsmodell, das um die Daten herum gebaut ist.

Warum dies ein Architekturproblem ist

Ein Wissenschaftler des Strafverfahrensrechts, der eine auf Forensik spezialisierte Schule leitet, hat argumentiert, dass die ALPR-Kontroverse auf einen Defekt hinweist, der in das Design des Überwachungssystems eingebaut ist, und nicht bloß auf die Kriminalität bestimmter Nutzer. Diese Einordnung ist nützlich, weil sie die Aufmerksamkeit von individuellem Fehlverhalten auf strukturelle Entscheidungen lenkt, die neu gestaltet werden können.

Zweckbindung und geringstes Privileg

Zwei seit Langem bestehende Prinzipien aus der Datenschutzpraxis sind hier relevant. Zweckbindung besagt, dass Informationen, die aus einem bestimmten angegebenen Grund gesammelt wurden, nicht für einen anderen Zweck wiederverwendet werden sollten. Geringstes Privileg besagt, dass Personen den minimalen Zugriff erhalten sollten, der zur Ausübung ihrer Arbeit erforderlich ist.

Eine Architektur, die Tausenden einzelner Beamter uneingeschränkte Freitext-Kennzeichensuchen ermöglicht – ohne Fallnummer, ohne angegebenen Grund und ohne Aufsichtsgenehmigung –, verstößt gleichzeitig gegen beide Prinzipien. In diesem Design ist das Einzige, was zwischen einem Kennzeichen und der Standorthistorie einer Person steht, die Selbstbeherrschung des Nutzers. Richtlinienhandbücher und Schulungsmodule gehen davon aus, dass diese Selbstbeherrschung im Allgemeinen hält. Das von der Post dokumentierte Muster legt nahe, dass dies nicht immer der Fall ist.

Wie ein besseres Design aussehen würde

Nichts davon bedeutet, dass Kennzeichenleser aufgegeben werden müssen oder dass Behörden ein Instrument verlieren sollten, das tatsächlich helfen kann, Straftaten aufzuklären. Es bedeutet, dass die Zugriffsebene dieselbe Prüfung verdient wie die Kameraebene.

• Eine dokumentierte, fallgebundene Begründung verlangen, bevor eine Abfrage Ergebnisse liefert, statt eines nachträglich geschriebenen Protokolleintrags.
• Suchberechtigungen nach Rolle einschränken, sodass eine kleine Zahl überprüfter Mitarbeiter breite Abfragen durchführen kann statt jeder Account-Inhaber.
• Suchen mit Kennzeichen, die mit Adressen von Beamten selbst, Verwandten oder bekannten persönlichen Kontakten verbunden sind, markieren und sperren.
• Die betroffene Person oder eine unabhängige Aufsichtsstelle benachrichtigen, wenn Abfragen außerhalb der erklärten Fallarbeit liegen.
• Zivilpersonen eine sinnvolle Rolle bei der Prüfung aggregierter Audit-Daten geben, statt die Aufsicht vollständig innerhalb der Behörde zu belassen.

Jede Maßnahme erhöht die Kosten: administrativer Aufwand, langsamere Ermittlungen, komplexere Software. Diese Kosten sind real und es lohnt sich, sie ehrlich abzuwägen. Aber sie sind der Preis dafür, von der Erkennung nach dem Schaden zur Prävention davor überzugehen.

Der größere Einsatz

Kennzeichenleser sind nur ein Knoten in einem sich weitenden Netz automatisierter Beobachtung. Dieselben Designfragen tauchen bei Gesichtserkennung, Drohnenaufnahmen und aggregierten Standortdaten aus Fahrzeugen und Telefonen wieder auf. Während diese Netzwerke wachsen, wird die Lücke zwischen einem „autorisierten Nutzer“ und einem vertrauenswürdigen zu einem systemischen Risiko statt zu einem Personalproblem.

Der Fall Bakely endete ohne Prozess, und der Beamte, der beschuldigt wurde, sie verfolgt zu haben, lebt nicht mehr, um sich den Anschuldigungen zu stellen. Aber die Architektur, die Hunderte von Abfragen möglich machte, läuft in Behörden im ganzen Land weiter. Bis der Zugriff rund um Zweck, Privileg und externe Aufsicht neu gestaltet wird, wird die nächste verfolgte Person wahrscheinlich von jemandem verfolgt, der nie die Abwehrmechanismen der Software überwinden musste – nur die Grenzen seiner eigenen Stellenbeschreibung.

Dieser Artikel basiert auf einer Berichterstattung von Fast Company. Lesen Sie den Originalartikel.