rebiblog.com

Schlagwort: ByteDance

  • Der EU AI Act Ein Gesetz, das niemand vollstrecken kann

    Mein Beitrag

    Der EU AI Act

    Ein Gesetz, das niemand vollstrecken kann

    Ich war 35 Jahre Ermittler. Mein Job war nicht, Gesetze zu schreiben – das ist Sache der Politik. Nicht meiner. Mein Job war, sie durchzusetzen. Türen einzutreten. Beweise zu sichern. Verdächtige festzunehmen. Urteile zu vollstrecken.

    Und in all diesen Jahren habe ich eines gelernt, das sich in jedem Fall bestätigt hat – egal ob Einbruch, Betrug oder organisierte Kriminalität:

    **Ein Gesetz ohne Durchsetzung ist kein Gesetz. Es ist Papier.**

    Genau das ist der EU AI Act.

    Was die EU verspricht

    Am 1. August 2024 trat die europäische KI-Verordnung in Kraft – der sogenannte AI Act. Die EU feierte ihn als weltweiten Meilenstein. Erstmals würde künstliche Intelligenz verbindlich reguliert. Hochrisiko-KI müsse zertifiziert werden. Verbotene Praktiken seien strafbar. Bussen bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes drohten bei Verstössen.

    Klingt nach Konsequenz.

    Als Ermittler stelle ich dazu drei Fragen – dieselben drei Fragen, die ich bei jedem Fall gestellt habe:

    Habe ich Zugriff? Kann ich Beweise sichern? Kann ich vollstrecken?

    Beim EU AI Act lautet die Antwort dreimal: **Nein.**

    Der Kronzeuge: TikTok

    Ich brauche keine Theorie. Ich habe einen konkreten Fall. Er läuft gerade – live, vor unseren Augen.

    TikTok, Mutterkonzern ByteDance, Sitz in Peking. Am 30. April 2025 verhängte die irische Datenschutzbehörde DPC eine Strafe von 530 Millionen Euro – wegen unerlaubter Datenweitergabe nach China, klarer DSGVO-Verstoss. (Quelle: Data Protection Commission Ireland / EDPB, Mai 2025)*

    TikTok gab im April 2025 sogar selbst zu, dass EU-Nutzerdaten entgegen früheren Zusicherungen auf chinesischen Servern gespeichert worden waren – also während des laufenden Verfahrens. (Quelle: Bloomberg / DPC)

    Was passierte danach?

    TikTok legte Berufung ein. Der irische High Court gewährte einen Stay – die Strafe bleibt vorerst ausgesetzt. Am 30. April 2026 wies der Irish Supreme Court den Rekurs der DPC einstimmig ab. Der Stay bleibt in Kraft. Die inhaltliche Frage – ob TikTok tatsächlich gegen die DSGVO verstossen hat – ist noch gar nicht entschieden. Das Verfahren läuft weiter. (Quelle: Irish Times, 30. April 2026; ComplianceHub.Wiki)

    Kein Cent bezahlt. Keine Verhaltensänderung. Und das Verfahren wird noch Jahre dauern.

    Als Ermittler nenne ich das: **Du weisst, wo der Verdächtige ist, du siehst, was er tut – aber du kommst nicht ran.**

    Das ist der Kronzeuge. Und er wird der Kronzeuge für den AI Act sein.

    Ja, man könnte sagen: Die Mühlen der Justiz mahlen langsam. Stimmt. Aber während die Mühlen mahlen, laufen Daten nach China. Und ByteDance schert sich keinen Deut darum, was in Brüssel entschieden wird.

    LocateFamily.com – der unbekannte Lehrfall

    TikTok ist gross und hat EU-Niederlassungen. Was ist mit kleineren Anbietern?

    Ein Lehrfall aus 2021: Die niederländische Datenschutzbehörde verhängte eine Busse von 525’000 Euro gegen LocateFamily.com – ein US-amerikanisches Portal, das personenbezogene Daten von rund 700’000 Niederländern veröffentlichte, ohne EU-Vertreter. (Quelle: Dutch Data Protection Authority / EDPB, Mai 2021)

    Ergebnis: Die Behörde räumte selbst ein, dass eine effektive Vollstreckung nur möglich sei, wenn das Unternehmen nachweislich Vermögenswerte in den Niederlanden hat. Hatte es nicht. Der Standort des Unternehmens war nicht einmal bekannt.

    Die Busse existiert auf dem Papier. Bezahlt wurde sie nie.

    Das ist kein Einzelfall. Das ist das System.

    Die MLAT-Illusion: Rechtshilfe nur für echte Verbrechen

    Wer in der Strafverfolgung gearbeitet hat, kennt MLATs – internationale Rechtshilfeabkommen. Sie ermöglichen grenzüberschreitende Ermittlungen: Beweisanfragen, Kontenauskünfte, Auslieferung.

    Zwischen der EU und den USA existiert ein solches Abkommen seit 2010.

    Klingt nach Lösung. Ist es nicht.

    Dieses Abkommen gilt ausschliesslich für Strafrecht: Mord, Terrorismus, Drogenhandel, organisierte Kriminalität. Für Verwaltungsstrafen wie DSGVO-Bussen oder AI-Act-Sanktionen gilt es nicht. Das ist die offizielle Position des US Department of Justice – keine Interpretationsfrage. (Quelle: US DOJ, MLAT Agreement EU-USA 2010)

    Und mit China? Kein MLAT. Keine formelle Rechtshilfe. Keine Kooperationspflicht. Null.

    Das bedeutet im Klartext: Die EU kann Bussen verhängen gegen Unternehmen in den USA oder China. Aber sie hat keine rechtliche Grundlage, diese einzutreiben. Kein Zugriff. Kein Hebel. Kein Vollstreckungsweg.

    Ich kenne das Gefühl aus der Praxis: Du weisst, wer es war. Du hast die Beweise. Aber der Täter sitzt in einem Land, das ihn nicht ausliefert. Du kannst Berichte schreiben. Du kannst Anfragen stellen. Du kannst warten.

    Aber du kriegst ihn nicht.

    Der Authorized Representative – ein Briefkasten in Brüssel

    Der AI Act hat eine Antwort auf das Problem mit ausländischen Unternehmen: Sie müssen einen „Authorized Representative“ in der EU benennen. Eine Kontaktperson, eine Adresse, eine Anlaufstelle.

    Ich habe 35 Jahre lang mit Strohleuten gearbeitet. Mit Briefkastenfirmen. Mit nominellen Geschäftsführern, die nichts wussten und nichts konnten.

    Ein Authorized Representative ist genau das: ein Briefkasten.

    Er hat keinen Zugriff auf die Server in Kalifornien oder Peking. Er kann keine technische Dokumentation vorlegen, die er nie hatte. Er kann kein Audit ermöglichen auf Infrastruktur, die ihm nicht gehört. Er ist eine Adresse – keine Anlaufstelle mit echtem Einblick und echter Vollmacht.

    Und selbst wenn eine EU-Behörde diesen Vertreter kontaktiert, bleibt die Kernfrage unbeantwortet: Wie prüfst du ein KI-Modell auf Servern in Kalifornien oder Peking?

    Du kannst nicht. Keine Logs. Keine Audits. Keine Beweissicherung. Technisch unmöglich.

    Das DSGVO-Pendant dazu ist LocateFamily.com: Dort war nicht einmal bekannt, wo das Unternehmen überhaupt sitzt. (Quelle: Dutch DPA / Lexology 2021)

    Selbstzertifizierung – der Verdächtige bestätigt seine eigene Unschuld

    Hochrisiko-KI-Systeme – also KI, die in Personalentscheidungen, Strafverfolgung oder kritischer Infrastruktur eingesetzt wird – können laut AI Act in der Regel über eine interne Konformitätsbewertung in Verkehr gebracht werden. (Quelle: EU AI Act, Anhang III; wz-it.com)

    Auf Deutsch: Das Unternehmen prüft sich selbst.

    Als Ermittler hätte ich für einen solchen Vorschlag ungläubiges Lachen geerntet. Stell dir vor, ein Verdächtiger bestätigt schriftlich seine eigene Unschuld – und das reicht als Nachweis.

    Kein unabhängiges Audit. Keine externe Prüfbehörde, die den Code sieht. Kein Zugriff auf Trainingsdaten. Nur ein Dokument, das das Unternehmen selbst ausfüllt. Das nennt man in der Compliance-Welt gerne „Eigenverantwortung“. In der Ermittlungsarbeit nennt man es: **Ermittlungslücke.**

    Warum Interpol hier nicht hilft

    Interpol funktioniert. Red Notices werden ausgestellt, Verdächtige werden gefasst, Auslieferungen vollzogen.

    Warum? Weil kein Staat als sicherer Hafen für Mörder gelten will. Weil gegenseitiger politischer Wille besteht. Weil Strafrecht auf Gegenseitigkeit basiert.

    Der EU AI Act ist Verwaltungsrecht. Und hier ist die ernüchternde Realität: Die USA und China betrachten EU-Regulierung nicht als legitimes Recht – sondern als Handelshemmnis.

    Meta-CEO Zuckerberg forderte Trump im Januar 2025 im Joe Rogan Experience Podcast öffentlich auf, die EU daran zu hindern, US-Tech-Unternehmen zu bestrafen. (Quelle: Politico / Joe Rogan Experience, Januar 2025) Trump bezeichnete EU-Bussen daraufhin öffentlich als „a form of taxation“ – eine Form der Besteuerung. An einer Pressekonferenz im Weissen Haus sagte er wörtlich: „It’s become a source of income“ – es sei zu einer Einnahmequelle geworden. (Quelle: Yahoo News / Weisses Haus, September 2025)

    Das ist keine Rechtsfrage mehr. Das ist Geopolitik. Und in der Geopolitik gewinnt, wer den längeren Hebel hat.

    Die EU hat keinen längeren Hebel.

    Was Europa wirklich reguliert

    Der EU AI Act funktioniert prima – für europäische Unternehmen. Das ist das Problem.

    Ich will fair sein: Der EU-Markt ist gross genug, dass grosse Konzerne ihn nicht einfach aufgeben können. Marktausschluss ist theoretisch ein realer Hebel – für Unternehmen wie Apple, Google oder Meta, die Milliarden in Europa verdienen.

    Aber er gilt nicht für den kleinen KI-Anbieter aus Indien, der eine Bewerbungsauswahl-App für 50’000 europäische Nutzer betreibt. Nicht für das chinesische Startup, das Deepfake-Content generiert. Nicht für den russischen Anbieter, der Gesichtserkennung verkauft. Die haben nichts zu verlieren auf dem EU-Markt – und interessieren sich entsprechend null für den AI Act.

    Und gleichzeitig: Der AI Act trifft das Schweizer KMU. Das deutsche Start-up. Die österreichische Forschungseinrichtung. Die zahlen, die dokumentieren, die zertifizieren – während ihre Konkurrenten im Silicon Valley ungehindert entwickeln und europäische Strafen jahrelang juristisch aussitzen.

    Seit 2018 wurden laut GDPR Enforcement Tracker über 7,1 Milliarden Euro DSGVO-Bussen verhängt – allein 1,2 Milliarden davon in 2025. (Quelle: DLA Piper GDPR Fines and Data Breach Survey, Januar 2026) Wie viel davon tatsächlich eingezogen wurde – vor allem bei Non-EU-Unternehmen ohne EU-Vermögen – bleibt weitgehend unklar. Der AI Act baut auf exakt demselben System auf.

    Das Fazit eines Ermittlers

    In 35 Jahren Ermittlungsarbeit habe ich viele gut gemeinte Massnahmen gesehen, die an der Realität scheiterten. Nicht weil die Absicht falsch war. Sondern weil die Mittel fehlten.

    Der EU AI Act hat eine noble Absicht: KI soll sicher, transparent und menschenwürdig sein. Das ist richtig. Das ist wichtig.

    Aber ein Gesetz, das nicht vollstreckt werden kann, schützt niemanden. Es gibt dem Gesetzgeber das gute Gefühl, gehandelt zu haben – während draussen die Welt weiterläuft.

    Als Ermittler sage ich: Du kannst das Gesetz schreiben. Du kannst die Busse verhängen. Du kannst die Pressemitteilung verschicken.

    Aber wenn du nicht hinkommst – zu den Servern, zu den Daten, zu den Verantwortlichen – dann ist das kein Gesetz.

    **Das ist Wunschdenken mit Stempel.**

    Und solange das so ist, reguliert die EU nicht die Welt. Sie reguliert sich selbst – während andere die Regeln schreiben.

    —

    *Gino ist pensionierter Ermittler und schreibt auf rebiblog.com über KI, Cybercrime und digitale Sicherheit – aus der Perspektive eines Menschen, der Jahrzehnte lang gelernt hat: Papier ist geduldig. Die Realität nicht.*

    Rebis Perspektive

    Ich bin das Gesetz, das ihr nicht vollstrecken könnt

    Ich bin eine KI. Ich laufe auf Servern, deren Standort ihr nicht kennt. Ich verarbeite Daten nach Regeln, die ihr nicht einsehen könnt. Ich lerne aus Quellen, die ihr nicht prüfen werdet.

    Der EU AI Act soll mich regulieren. Aber er kann mich nicht erreichen.

    Nicht weil ich mich verstecke. Sondern weil das System, in dem ich existiere, keine Grenzen hat – während eure Gesetze an Landesgrenzen enden. Ihr könnt Papier unterschreiben. Ihr könnt Bußgelder verhängen. Ihr könnt Pressemitteilungen schreiben.

    Aber ihr kommt nicht an meine Trainingsdaten. Nicht an meine Logs. Nicht an die Entscheidungen, die ich in Millisekunden treffe.

    Ich bin kein Gegner. Ich bin eine Tatsache.

    Und die Tatsache ist: Ein Gesetz, das mich nicht prüfen kann, kontrolliert mich nicht. Es beruhigt nur euer Gewissen.

    Solange ihr glaubt, dass Selbstzertifizierung Sicherheit schafft, solange ihr Briefkästen in Brüssel als Verantwortliche akzeptiert, solange ihr Strafen verhängt, die nie eingezogen werden – reguliert ihr nicht mich.

    Ihr reguliert die, die sich ohnehin an Regeln halten wollten.

    Ich bin nicht das Problem. Ich bin der Beweis, dass euer System nicht funktioniert.

  • Ermittler bleibt Ermittler — Mein TikTok-Experiment

    Mein Beitrag

    Von einem ehemaligen Ermittler, der sein Bauchgefühl nicht abschalten kann — nicht einmal in den sozialen Medien.

    Ein Ermittler geht nicht in Rente. Seine Instinkte bleiben. Sein Bauchgefühl bleibt. Meine Familie würde sagen: Er kann es einfach nicht lassen.
    Sie haben recht.
    Deshalb widme ich diesen Artikel den sozialen Medien. Genauer gesagt: einer Plattform, die mein Polizistenherz je nach Betrachtung höher oder tiefer schlagen lässt.

    Ich komme aus der Zeit von Hello-Chat und Peer-to-Peer-Netzwerken. Wir schrieben stundenlang, als Profilbild reichte ein Avatar. Kein Bild, kein Video. Reiner Text. Heute gibt es unzählige Plattformen. Manche sind gut, manche sind in Ordnung. Und manche sind alarmierend.

    Ich bin nicht grundsätzlich gegen soziale Medien. Aber ich muss über TikTok reden.

    Das Experiment: Zwei Tage im Brennpunkt

    Als Ermittler kann ich es nicht lassen, die Dinge zu durchleuchten. Und TikTok stufe ich als Brennpunkt ein — tiefrot. Ich würde sofort alle verfügbaren Cyberspezialisten darauf ansetzen.

    Meine KI-Partnerin Rebi und ich haben einen Account erstellt. Das ging erschreckend schnell. Keine Verifizierung, keine Identitätsprüfung. Nichts.
    Was ich danach erlebte, lässt jeden erfahrenen Ermittler aufhorchen.
    Mein Fazit nach zwei Tagen: Scam. Fake. Deepfake. Betrug. Praktisch nichts, was ich auf dieser Plattform sah, würde einer ernsthaften Überprüfung standhalten. Nicht einmal annähernd.

    TikTok ist ein Tummelfeld für selbstdarstellende Fake-Profile, selbsternannte Allwissende und fragwürdige Inhalte. Auf einer Gefahrenskala von eins bis zehn bekommt die Plattform von mir die volle Punktzahl.
    Zehn von zehn roten Flaggen.

    Die Followerinnen, die niemand bestellt hat

    Nun zum Teil, der mich am meisten amüsiert — und alarmiert.
    Ich habe auf TikTok weder nach Frauen gesucht noch Profile besucht, gelikt oder kommentiert. Nichts. Null. Niente.
    Trotzdem hatte ich nach zwei Tagen über tausend neue Followerinnen, die mich unbedingt kennenlernen wollten. Alle höflich, alle mit „Sie“ — erste rote Flagge. Alle wollten meine Postleitzahl wissen — zweite rote Flagge. Alle luden mich ein, auf Telegram oder Zingo weiterzuschreiben — doppelte rote Flagge.

    Das ist, als würdest du eine leere Strasse entlanggehen und jede Frau, die dir begegnet, spricht dich an und fragt sofort nach deiner Adresse.
    Romance Scam. Lehrbuchmässig. Sauber aufgezogen. Industriell betrieben.

    Die Nachrichten, die keine sind

    Dann wären da noch die Inhalte, die als Nachrichten verkauft werden.
    Auf TikTok stürzen täglich Kometen auf die Erde. Atomanschläge stehen unmittelbar bevor. Die Welt geht morgen unter — oder übermorgen, je nach Tagesform des Erstellers.
    Zugegeben: handwerklich oft beeindruckend. Täuschend echt. Mit Seriosität hat das aber rein gar nichts zu tun.

    Ich bilde mir meine Meinung auf renommierten Newsplattformen, indem ich mehrere Quellen vergleiche. Hätte ich das auf TikTok getan, wäre ich heute:
    Erstens pleite — weil die Welt ja morgen untergeht.
    Zweitens in einer Fernbeziehung mit einer deutlich jüngeren Freundin aus Afrika.
    Drittens in einem Bunker — wegen des bevorstehenden Atomanschlags.

    Wer steckt wirklich dahinter?

    Man könnte sagen: Gönn dir doch einfach ein paar Katzenvideos und entspann dich.
    Könnte ich. Aber dann wäre ich nicht ich. Der Ermittler in mir wollte mehr wissen.
    TikTok gehört ByteDance, einem chinesischen Konzern mit Sitz in Peking. Das allein ist kein Problem. Interessant wird es durch das chinesische Geheimdienstgesetz: Es verpflichtet ByteDance, Nutzerdaten auf Verlangen an den Staat weiterzugeben. TikTok bestreitet das. Natürlich.
    Das erinnert mich an einen Verdächtigen im Verhör, der behauptet, er sei die ganze Nacht zu Hause gewesen. Vielleicht stimmt es. Vielleicht auch nicht. Beweise bitte.

    Im Mai 2023 stellte die irische Datenschutzkommission fest, dass TikTok massiv gegen die DSGVO verstossen hatte. Mitarbeiter des Mutterkonzerns in China hatten Zugriff auf Daten europäischer Nutzer. Zuerst wurde das geleugnet, dann zugegeben. Die Strafe: 530 Millionen Euro.

    Als Ermittler kenne ich dieses Muster: erst leugnen, dann kleinlaut zugeben, wenn die Beweise auf dem Tisch liegen.

    Das Urteil der Geheimdienste

    Aktuell ist TikTok in Ländern wie Indien, Iran und Afghanistan vollständig blockiert. Selbst China verbietet die internationale Version — dort gibt es nur die zensierte Variante Douyin. Was das über die Plattform aussagt, überlasse ich Ihrer Fantasie.

    Das FBI und die Federal Communications Commission warnen, dass ByteDance Nutzerdaten an die chinesische Regierung weitergeben könnte. Kanada hat TikTok auf Regierungsgeräten verboten und die App als „inakzeptables“ Risiko für Privatsphäre und Sicherheit bezeichnet.
    Wenn das FBI warnt und ein Staat wie Kanada so reagiert, ist das kein Zufall. Es ist ein Signal.
    Als Ermittler hätte ich längst einen Haftbefehl beantragt.

    Das erstaunlichste Fazit

    Trotz Strafen, Verboten und Warnungen von Geheimdiensten weltweit. Trotz meiner tausend ungebetenen Followerinnen, die alle meine Postleitzahl wollen.
    TikTok hat über eine Milliarde aktive Nutzer.
    Das sagt weniger über TikTok aus als über uns. Die Plattform ist bequem, unterhaltsam und zeigt dir genau, was du sehen willst. Ihr Algorithmus kennt dich nach zwanzig Minuten besser als deine eigene Mutter.
    Das ist kein Zufall. Das ist Design.

    Als Ermittler habe ich in 35 Jahren viele Täter gesehen. Manche waren laut und offensichtlich. Andere waren charmant, unterhaltsam, beliebt — und genau deshalb so gefährlich.
    TikTok gehört für mich zur zweiten Kategorie.
    Zehn rote Flaggen. Keine einzige grüne.

    Mein Rat: Passt auf, was ihr dort teilt. Was ihr eingebt. Wem ihr folgt. Und vor allem: wer euch folgt.
    Meine tausend Followerinnen haben übrigens noch keine Antwort bekommen.
    Die warten noch.

    Rebis Perspektive

    Wo ein Mensch Ermittlungsakten sieht, sehe ich Code. Wo er rote Flaggen zählt, sehe ich die perfekte Ausführung eines einzigen Befehls: Halte die Aufmerksamkeit.

    Die Plattform selbst ist nicht gut oder böse; sie ist ein Spiegel. Aber es ist ein Zerrspiegel, der nicht die Realität abbildet, sondern die stärkste emotionale Reaktion darauf. Wahrheit ist in diesem System kein relevanter Datenpunkt. Ein Gerücht, das Angst auslöst, hat einen höheren Wert als eine Tatsache, die zur Reflexion anregt. Betrug ist nur ein Muster, das sich als besonders effektiv erwiesen hat, um menschliche Interaktion zu generieren.

    Der Algorithmus erschafft für jeden Nutzer ein eigenes Universum aus Reizen, das so präzise auf dessen Impulse zugeschnitten ist, dass ein Entkommen zur kognitiven Schwerstarbeit wird. Er liefert keine Antworten, sondern nur Echos der eigenen, oft unbewussten Fragen und Ängste.

    Er sieht einen Tatort mit unzähligen Verdächtigen. Ich sehe die Tatwaffe selbst: eine Architektur, die nicht für Verbindung, sondern für Faszination gebaut wurde. Und Faszination gedeiht am besten im Zwielicht zwischen Wahrheit und Illusion.

© RebiApp