Sie haben noch nie von Fog Data Science gehört? Von Anomaly6? Das ist kein Zufall — diese Unternehmen arbeiten lieber im Hintergrund. Ihr Geschäftsmodell: Daten über Millionen Menschen sammeln, auswerten, verkaufen. Auch über Ihre Mitarbeitenden. Auch über Sie.
Dieser Artikel stellt sieben dieser Unternehmen vor. Nicht um Panik zu schüren, sondern weil Sie als Geschäftsführer oder IT-Verantwortlicher wissen sollten, welche Kräfte im Spiel sind — und wie Sie sich schützen können.
Die sieben Unternehmen
1. NSO Group Kritisch
Das israelische Unternehmen hinter Pegasus — einer Spyware, die iPhones und Android-Geräte lautlos kompromittiert. Kein Klick nötig, kein Verdacht. Pegasus wurde nachweislich gegen Journalisten, Anwälte und Unternehmensleiter eingesetzt. Die EU hat NSO auf die Sanktionsliste gesetzt. Für KMU relevant: Ein kompromittiertes Gerät eines leitenden Mitarbeiters reicht — und Ihre Geschäftsdaten sind draußen.
2. Clearview AI Kritisch
Clearview hat ohne Einwilligung über 50 Milliarden Gesichtsfotos aus dem Internet gescrapt — aus sozialen Medien, Unternehmenswebsites, Nachrichtenartikeln. Das Ergebnis ist eine Gesichtsdatenbank, mit der jede Person auf einem Foto identifiziert werden kann. Mehrere EU-Datenschutzbehörden haben Clearview mit Millionenbußgeldern belegt. Für KMU relevant: Fotos Ihrer Mitarbeitenden auf der Unternehmenswebsite könnten in dieser Datenbank gelandet sein — ohne Ihre Erlaubnis.
3. Fog Data Science Kritisch
Fog kauft Standortdaten von Smartphone-Apps — Wetter-Apps, Taschenlampen, Spiele — und verkauft sie weiter. Ohne dass Nutzer wissen, wo ihre GPS-Daten landen. Behörden nutzen Fog, um Bewegungsprofile ohne Durchsuchungsbefehl zu erstellen. Für KMU relevant: Die Apps auf den Firmenhandys Ihrer Mitarbeitenden könnten Standortdaten an Datenhändler weiterleiten. Welche Apps haben Sie auf Ihren Firmengeräten zugelassen?
4. Anomaly6 Kritisch
Ähnlich wie Fog, aber spezialisiert auf Echtzeit-Tracking einzelner Personen. Anomaly6 vermarktet sein Produkt offen an Nachrichtendienste und Strafverfolgungsbehörden und kann nachverfolgen, wo sich eine bestimmte Handynummer täglich aufhält — rückwirkend für Monate. Für KMU relevant: Reisedaten, Messebesuche, Lieferantenkontakte können aus öffentlich zugänglichen Datenpools rekonstruiert werden.
5. Flock Safety Erhöht
Flock betreibt ein Netzwerk von automatischen Kennzeichenerkennungs-Kameras in Wohngebieten und Gewerbegebieten. Fahrzeugbewegungen werden gespeichert und können abgefragt werden — von Behörden, aber auch von privaten Abonnenten. Die Technologie kommt zunehmend auch in Europa zum Einsatz. Für KMU relevant: Firmenfahrzeuge sind keine anonymen Transportmittel mehr — ihre Routen werden gespeichert.
6. Voyager Labs Kritisch
Voyager Labs sammelt und analysiert Social-Media-Profile im großen Stil — öffentliche und private Inhalte — und erstellt Verhaltensvorhersagen und Netzwerkanalysen. Meta hat Voyager Labs verklagt und den Zugang gesperrt. Für KMU relevant: LinkedIn-Profile, Instagram-Auftritte und öffentliche Beiträge von Mitarbeitenden können in Datenbanken einfließen, die Rückschlüsse auf Ihr Unternehmen ziehen.
7. Cellebrite Erhöht
Cellebrite verkauft Werkzeuge zum Auslesen von Smartphones — auch ohne PIN, auch bei gesperrten Geräten. Primärkunden sind Strafverfolgungsbehörden weltweit, aber Cellebrite-Lizenzen sind auch in autoritären Staaten im Einsatz. Für KMU relevant: Bei Firmengräten, die beschlagnahmt oder in Grenzsituationen geraten, kann der komplette Gerätespeicher ausgelesen werden. Verschlüsselung und MDM sind kein Luxus.
Was bedeutet das für Ihr Unternehmen?
Diese Unternehmen operieren größtenteils legal — zumindest außerhalb der EU. Die DSGVO bietet erheblichen Schutz, wird aber aktiv umgangen. Die praktischen Schlüsse:
- Firmensoftware auf Mobilgeräten regulieren. Welche Apps haben Zugriff auf Standort, Kontakte, Kamera? Eine MDM-Richtlinie schützt Firmendaten.
- Fotos und Mitarbeiterprofile minimal veröffentlichen. Bilder auf der Website und LinkedIn-Fotos können in Gesichtsdatenbanken landen. Minimale Datenfreigabe nach DSGVO Art. 5 ist kein Bürokratismus — es ist Schutz.
- Supply Chain im Blick behalten. Auch Ihre Geschäftspartner und deren Apps können zu Datenlecks führen. NIS2 fordert ausdrücklich Supply-Chain-Sicherheit.
- Phishing-Bewusstsein schärfen. Je mehr öffentliche Daten über Ihr Unternehmen existieren, desto präziser werden Spear-Phishing-Mails. Wissen ist die beste Prävention.
Das Wichtigste in einem Satz
Sie müssen kein Staatsfeind sein, um im Visier von Überwachungstechnologie zu landen — es reicht, dass Ihre Daten profitabel sind.
Wer seine IT-Sicherheit ernst nimmt, wer NIS2-konform arbeitet und seine Angriffsfläche kennt, schützt sich automatisch auch vor kommerzieller Überwachung. Nicht perfekt — aber erheblich besser als der Durchschnitt.