Palantir bei der Polizei: Was Hessendata, DAR und VeRA dürfen

Die Polizei speichert Daten in vielen getrennten Systemen: Vorgänge und Anzeigen, Fahndungen, Einsätze, Kommunikation. Eine Analyseplattform führt diese Bestände zusammen und macht sie in Sekunden durchsuchbar. Sie zeigt, wer mit wem in Verbindung steht, wer an welchem Ort war, welche Telefonnummer, welches Auto, welche Adresse in mehreren Akten auftaucht.

Die Software dafür stammt in Hessen, Nordrhein-Westfalen und Bayern vom selben Hersteller: Gotham von Palantir Technologies. Jedes Land gibt ihr einen eigenen Namen. Hessen nennt sie Hessendata, Nordrhein-Westfalen DAR für Datenbankübergreifende Analyse und Recherche, Bayern VeRA für Verfahrensübergreifende Recherche- und Analyseplattform.

Die Befürworter sagen, ohne solche Werkzeuge kämen Ermittler gegen Terror und organisierte Kriminalität nicht mehr hinterher; der hessische Innenminister spricht von einer sonst „erheblichen Sicherheitslücke“. Die Kritiker sagen, die Software mache aus vorhandenen Daten neues Wissen über Menschen, die nie etwas getan haben, und mache die Polizei von einem US-Konzern abhängig.

Berlin, Niedersachsen, Rheinland-Pfalz und Schleswig-Holstein setzen nach eigenen Angaben nicht auf Palantir; Hamburg und Mecklenburg-Vorpommern haben sich 2025 im Bundesrat dagegen ausgesprochen. Quellen unten.

Am 16. Februar 2023 hat das Bundesverfassungsgericht über die Regeln in Hessen und Hamburg entschieden (1 BvR 1547/19, 1 BvR 2634/20). Die hessische Vorschrift war mit dem Grundgesetz unvereinbar und durfte nur noch eingeschränkt bis 30. September 2023 angewendet werden. Die Hamburger Vorschrift, die noch nie genutzt worden war, ist nichtig.

Verboten hat das Gericht die Datenanalyse nicht. Es hat aber Maßstäbe gesetzt. Die automatisierte Analyse ist ein eigener Eingriff in das Recht auf informationelle Selbstbestimmung, und zwar für alle, deren Daten einbezogen werden. Sein Gewicht hängt vor allem davon ab, welche und wie viele Daten verarbeitet werden und mit welcher Methode.

Ist der Eingriff schwer, darf die Polizei nur zum Schutz besonders gewichtiger Rechtsgüter und bei einer hinreichend konkretisierten Gefahr analysieren. Die wesentlichen Grenzen muss das Parlament selbst festlegen. Überlässt es Einzelheiten der Verwaltung, müssen diese dokumentiert und veröffentlicht werden.

Das Gericht hat ausdrücklich beanstandet, dass die Daten von Dritten weitreichend einbezogen werden durften, die dadurch selbst ins Visier geraten können, und dass nicht zwischen Personen mit und ohne Bezug zu einer Straftat unterschieden wurde.

In Vorgangssystemen der Polizei landet jeder, der in einem Vorgang vorkommt: Beschuldigte, aber auch Geschädigte, Zeugen, Hinweisgeber, Unfallbeteiligte und Anzeigeerstatter. Nach Presseberichten sind in der hessischen Datenbank auch Opfer und Zeugen erfasst. Datenschützer schätzen für Bayern, dass es um Millionen Nichtverdächtige geht.

In Bayern darf VeRA nach Art. 61a Abs. 3 PAG auf vier Arten polizeieigener Systeme zugreifen: Vorgangs- und Fallbearbeitung, Informations- und Fahndungssysteme, Kommunikationssysteme sowie Einsatzleit- und Einsatzdokumentationssysteme. Ausgeschlossen sind unter anderem DNA-Muster, Fingerabdrücke, Daten aus Wohnraumüberwachung und Online-Durchsuchung sowie Audio- und Videodateien. Welche Datenbanken konkret angebunden sind, nennt die Staatsregierung nicht.

Hessen hat nach dem Urteil eingeschränkt: Unbeteiligte Unfallbeteiligte dürfen laut Landeskriminalamt nicht mehr einbezogen werden.

Von September 2024 bis Mitte Mai 2025 gab es knapp 100 Einsätze, mehr als 20 davon nicht wegen Terrorismus oder organisierter Kriminalität, sondern etwa wegen Eigentums- und Vermögensdelikten. Das Gesetz erlaubt das bei gewerbs- oder bandenmäßigen Taten.

Vom 20. Mai 2025 bis 23. März 2026 kamen 58 Einsätze dazu, 20 zur Gefahrenabwehr bei Gefahr für Leib, Leben oder Freiheit und 38 wegen schwerer Straftaten. Zusammen sind das gut 150 Einsätze in rund anderthalb Jahren.

Konkret nennt das Innenministerium nur zwei Fälle: die Anschläge in München am 5. September 2024 und am 13. Februar 2025. Dort habe sich der „fachliche Mehrwert insbesondere bei der Relevanzprüfung von eingehenden Spuren“ gezeigt, nicht relevante Spuren hätten schnell ausgeschlossen werden können. In beiden Fällen war der Täter sofort bekannt; VeRA wurde nach der Tat eingesetzt, um Mittäter und weitere Verbindungen zu prüfen. Eine Erfolgsbilanz, etwa aufgeklärte oder verhinderte Taten, veröffentlicht das Ministerium nicht. Zu den übrigen Einsätzen gibt es nur Datum, Rechtsgrundlage und grob den Zweck.

In Bayern ist VeRA damit ein Werkzeug für Ausnahmefälle: Jeder Einsatz braucht einen Anlass nach Art. 61a PAG und wird an die Projektgruppe VeRA gemeldet. In Hessen sieht es anders aus. Dort hatten nach Presseberichten über 2.000 Beamte im regulären Dienst Zugriff auf Hessendata, bei rund 14.000 Abfragen im Jahr (Stand 2023). Es sind Ermittler und Analysten, die die Software für ihre Fälle nutzen, keine Mitarbeiter, die sie betreuen. Neuere Zahlen hat Hessen nicht veröffentlicht; auch die letzte Antwort auf eine Landtagsanfrage dazu (Drs. 20/8794, 2022) nennt keine.

Bevor es die gesetzliche Grundlage gab, hatte Bayern VeRA ab März 2023 bereits mit echten Polizeidaten getestet. Der Landesbeauftragte für den Datenschutz hielt diesen Test mangels Rechtsgrundlage für rechtswidrig, ebenso die Wissenschaftlichen Dienste des Bundestags. Ein Gericht hat darüber nicht entschieden. Art. 61a PAG trat erst am 1. August 2024 in Kraft.

Antwort des Innenministeriums vom 21.04.2026, Landtags-Drucksache 19/11697. Interne Personalkosten der Polizei sind nicht enthalten.

Bei gut 150 bekannten Einsätzen bis März 2026 kostete in Bayern jeder Einsatz rechnerisch rund 160.000 Euro (eigene Rechnung, ohne Personalkosten). Für weitere Abfragen entstehen nach Angaben des Ministeriums keine zusätzlichen Kosten. Der Vertrag läuft bis April 2027; das Ministerium hält eine Verlängerung um ein Jahr für erforderlich, möglich sind bis zu vier.

Für Hessen sind keine Kosten veröffentlicht. Für Nordrhein-Westfalen nennt netzpolitik.org mindestens 39 Millionen Euro seit 2019, für den Überbrückungsvertrag gibt es keine Zahl. In Baden-Württemberg sollen die Lizenzen laut Presse 25 Millionen Euro für fünf Jahre kosten, nach Recherchen der Schwäbischen Zeitung samt Betrieb 7,5 bis 11 Millionen Euro im Jahr. Zusammen sind das in drei Ländern fast 90 Millionen Euro für im Kern dieselbe Software, Hessen nicht mitgerechnet. Jedes Land bezahlt dabei eigene Anbindung, eigene Projektgruppen und eigene Juristen.

VeRA läuft nach Angaben der Staatsregierung ohne Internetverbindung in einem abgeschotteten Rechenzentrum des Landeskriminalamts. Sieben externe Palantir-Mitarbeiter haben Zugangsdaten, alle sicherheitsüberprüft; Arbeiten im Rechenzentrum finden nur in Begleitung der Polizei statt. Nordrhein-Westfalen hat die Fernwartung ausgeschlossen.

Das Fraunhofer-Institut SIT hat im Auftrag Bayerns den Quellcode für 430.000 Euro geprüft und nach Angaben der Länder keine Hintertüren oder Schwachstellen gefunden. Das ist ein ernstzunehmender Befund. Allerdings ist das Gutachten geheim, unabhängige Fachleute können es nicht nachprüfen, und es gilt nur für die geprüfte Version. Neue Versionen erscheinen etwa monatlich.

Offen bleibt die Frage der Abhängigkeit. Die nordrhein-westfälische Datenschutzbeauftragte verweist auf Zugriffsrechte, die US-Gesetze amerikanischen Behörden gegenüber US-Unternehmen einräumen. Der hessische Innenminister will nach Vertragsende auf eine gleichwertige europäische Lösung umsteigen, sieht derzeit aber keine.

Palantir wurde 2003 gegründet. Der bekannteste Gründer ist Peter Thiel, der zuvor PayPal mitgegründet hatte und früh bei Facebook eingestiegen war. Chef ist von Anfang an Alexander Karp, der in Frankfurt am Main in Sozialtheorie promoviert hat. Den Namen entlehnten die Gründer den sehenden Steinen aus „Der Herr der Ringe“.

Das Startkapital kam überwiegend von Thiel und privaten Investoren. Früh stieg In-Q-Tel ein, der Wagniskapitalfonds der CIA, mit einem niedrigen Millionenbetrag. Wichtiger als das Geld war der Zugang: Die CIA gehörte zu den ersten Kunden, und Palantir entwickelte seine Software über Jahre zusammen mit Analysten der Geheimdienste. Später kamen FBI, Militär und weitere US-Behörden dazu. Die US-Regierung hat Palantir nicht gegründet, aber wesentlich mitgeformt.

Auch mit der NSA und ihren Partnern hat Palantir gearbeitet. Das zeigen Dokumente aus dem Archiv von Edward Snowden, die The Intercept 2017 veröffentlicht hat. Danach nutzten mindestens drei der „Five Eyes“-Staaten Palantir, darunter der britische Geheimdienst GCHQ. Ein Zusatzwerkzeug namens „XKEYSCORE Helper“ erlaubte es, Daten aus dem NSA-Programm XKEYSCORE, das Internetverkehr in großem Stil erfasst, in Palantir zu übernehmen und auszuwerten. Laut einer Präsentation entstand die Software in fast drei Jahren „iterativer Zusammenarbeit“ mit Geheimdienstanalysten. Palantir hat dazu nicht Stellung genommen und verweist allgemein darauf, dass es seine Kunden nicht nennt.

Heute ist Palantir an der Börse rund 470 Milliarden US-Dollar wert (Ende Oktober 2026). Thiel, Karp und Mitgründer Stephen Cohen halten zwar nur noch einen kleinen Teil der Aktien, sichern sich über eine besondere Aktienklasse aber die Kontrolle über die Stimmrechte. Wer bei Palantir entscheidet, steht damit fest, egal wer die Aktien kauft.

Politisch ist Thiel der auffälligste Kopf. 2009 schrieb er in einem Essay für das Cato Institute: „Ich glaube nicht mehr, dass Freiheit und Demokratie vereinbar sind.“ 2016 unterstützte er Donald Trump offen, später finanzierte er den Senatswahlkampf von JD Vance. Karp hat sich lange als eher links beschrieben und vertritt heute vor allem eine Linie: Technologiekonzerne sollen dem Westen und seinem Militär dienen.

Diese Linie hat Palantir am 18. April 2026 in 22 Thesen auf X zusammengefasst, nach dem Buch „The Technological Republic“ von Karp und Nicholas Zamiska. Darin heißt es unter anderem, die Tech-Elite schulde ihrem Land eine moralische Schuld und müsse an der Verteidigung mitwirken. Die Frage sei nicht, ob KI-Waffen gebaut würden, sondern wer sie baue. Kritisiert wird ein „hohler Pluralismus“, der kulturelles Versagen ignoriere. Und die „Kastrierung Deutschlands und Japans“ nach dem Krieg sei eine Ursache heutiger Probleme Europas. Kritiker sprachen von „Technofaschismus“; Eliot Higgins, Gründer der Rechercheplattform Bellingcat, sah darin die Ideologie eines Unternehmens, das von Aufträgen aus Militär und Geheimdiensten lebt. Für die Polizei in Deutschland heißt das vor allem: Sie kauft ihre wichtigste Analysesoftware bei einem Konzern, der offen politische Ziele verfolgt.

Das Bundesamt für Verfassungsschutz hat sich für ArgonOS des französischen Anbieters ChapsVision entschieden. Diskutiert werden außerdem Lösungen deutscher und europäischer Anbieter. Bund und Länder bauen im Programm P20 eine gemeinsame Polizei-IT auf und setzen dabei nach Angaben des Bundes vorrangig auf Open Source und europäische Produkte; das Bundesinnenministerium hat sich nach eigener Aussage für kein Produkt entschieden.

Auch der Bund will eine eigene Grundlage für solche Analysen. Im Bundestag liegen seit Mai 2026 Gesetzentwürfe für das BKA, die Bundespolizei und die Strafprozessordnung (BT-Drs. 21/6131, 21/6132 und 21/6806). In der Anhörung des Innenausschusses am 21. September 2026 hielten Sachverständige die Regeln teils für verfassungs- oder europarechtswidrig, BKA und Gewerkschaft der Polizei befürworteten sie. Beschlossen ist noch nichts.

Ob es heute schon eine gleichwertige europäische Software gibt, ist umstritten. Und eine europäische Software löst nur das Problem der Abhängigkeit, nicht das der Grundrechte: Dieselben Fragen nach Datenumfang, Personenkreis und Kontrolle stellen sich bei jedem Anbieter.

Wer nicht weiß, dass seine Daten in einer Analyse auftauchten, kann sich nicht wehren. Keines der Landesgesetze sieht vor, dass Betroffene benachrichtigt werden, wenn ihre Daten in eine Analyse einbezogen wurden. Die Polizei protokolliert die Analysen, in Bayern nach Art. 61a Abs. 4 PAG, in NRW nach § 23 Abs. 6a PolG NRW. Ob diese Protokolle Teil einer Auskunft an Betroffene sein müssen, ist gerichtlich nicht geklärt.

Was bleibt, ist das Auskunftsrecht: in Bayern nach Art. 65 PAG, in Hessen nach § 52 HDSIG, in Nordrhein-Westfalen nach § 49 DSG NRW. Darf die Polizei die Auskunft verweigern, kann der Landesdatenschutzbeauftragte die Speicherung prüfen. Berichte von Bürgern, die gezielt nach ihrer Einbeziehung in eine Palantir-Analyse gefragt haben, haben wir nicht gefunden. Genau deshalb gibt es dafür jetzt ein Muster.

• Fragen Sie beim Landeskriminalamt Ihres Landes nach, was über Sie gespeichert ist und ob Ihre Daten in Analysen einbezogen wurden. Das Muster dafür steht bei Datenspur und funktioniert für jedes Bundesland; die passende Norm finden Sie auf der Seite Bundesländer.
• Schreiben Sie Ihren Landtagsabgeordneten, wenn Ihnen eine der Forderungen wichtig ist. In Bayern läuft der Vertrag im April 2027 aus; über die Verlängerung entscheidet derzeit allein das Innenministerium.
• Die wichtigste offene Frage kann nur das Parlament stellen: Wie viele Menschen sind in Analyseergebnissen aufgetaucht, obwohl sie vorher nicht verdächtig waren, und wie viele wurden dadurch zu Beschuldigten? Regen Sie bei Abgeordneten mehrerer Fraktionen eine Schriftliche Anfrage dazu an. Wir haben das in Bayern getan und berichten, wer reagiert.

• BVerfG, Urteil vom 16.02.2023, 1 BvR 1547/19, 1 BvR 2634/20, Pressemitteilung 18/2023 (16.02.2023)
• LTO: Hessendata-Einsatz verfassungswidrig (16.02.2023)
• Bayerischer Landtag, Drs. 19/11697: Kosten und Einsätze von VeRA (26.05.2026)
• Bayerischer Landtag, Drs. 19/7043: Betrieb, Zugänge, Einsätze von VeRA (04.06.2025)
• Bayerischer Landtag, Drs. 19/9374: Vertrag mit Palantir (11.12.2025)
• Bayerisches Gesetz- und Verordnungsblatt 2024, S. 247 (Art. 61a PAG) (23.07.2024)
• Art. 61a PAG (lexmea)
• § 23 PolG NRW (lexmea)
• Land NRW: Überbrückungsvertrag für die Datenanalyse (10.07.2026)
• dpa: Bayern will Vertrag mit Palantir verlängern (09.09.2026)
• Deutscher Bundestag, Drs. 21/4923: Antwort der Bundesregierung zu Analyseplattformen (23.03.2026)
• GFF: Verfassungsbeschwerde gegen Art. 61a PAG (24.07.2025)
• GFF: Automatisierte Datenanalyse, Übersicht der Verfahren
• Verfassungsblog: Palantir-Gesetzgebung in den Ländern (02.09.2026)
• netzpolitik.org: Baden-Württemberg, Grüne geben Polizeidaten für Palantir frei (13.11.2025)
• netzpolitik.org: Palantir-Gesetz in NRW nicht verfassungskonform (20.04.2026)
• Schwäbische Zeitung: Millionen für eine Software auf Abruf (30.07.2026)
• ZDFheute: Palantir-Manifest und die Reaktion der Länder (22.04.2026)
• hessenschau.de: Hat Trump den Ausschalter für hessische Polizei-Software? (09.05.2025)
• The Intercept: How Peter Thiel's Palantir helped the NSA spy on the whole world (22.02.2017)
• Cato Unbound: Peter Thiel, The Education of a Libertarian (13.04.2009)
• Dataconomy: Palantir wird nach Veröffentlichung eines ideologischen Manifests kritisiert (20.04.2026)
• netzpolitik.org: Bayern testet rechtswidrig Palantir-Software (30.01.2024)
• netzpolitik.org: Baden-Württemberg, Grüne Basis stimmt gegen Palantir (30.07.2026)
• Deutscher Bundestag: Anhörung des Innenausschusses zu digitalen Ermittlungsbefugnissen (21.09.2026)
• Hessischer Landtag, Drs. 20/8794: Nutzung von hessenDATA (22.10.2022)
• CompaniesMarketCap: Börsenwert Palantir (28.10.2026)
• beck-aktuell: Verfassungsbeschwerde gegen Polizei-Software in Bayern (24.07.2025)

Stand 29.10.2026. Allgemeine Information, keine Rechts- oder Steuerberatung. Rechtliche Hinweise

Folgen auf Instagram und Threads: @sebybittner