- 600.000 Gaza-Haushalte: Namen, Telefonnummern und Standortdaten gestohlen
- Deutschland zahlte seit 2019 über 180 Mio. Euro ans WFP ohne Datenschutzauflagen
- Bundesregierung plant keine eigene Zusammenarbeit mit Palantir Technologies
Hintergrund
Am 14. Mai 2026 wurde die Self-Registration Application (SRA) des UN-Welternährungsprogramms (WFP) durch einen Cyberangriff kompromittiert. Dabei gelangten Daten von rund 600.000 Haushalten aus den Palästinensischen Gebieten in unbefugte Hände. Das WFP kooperiert seit 2019 mit dem US-Unternehmen Palantir Technologies für Datenintegrations- und Analysedienstleistungen. Die Fraktion Die Linke stellte daraufhin eine Kleine Anfrage (BT-Drs. 21/7591), um die Haltung der Bundesregierung als größter WFP-Zuwendungsgeber zu erfragen. Die Antwort wurde am 28. August 2026 durch das Bundesministerium für wirtschaftliche Zusammenarbeit und Entwicklung übermittelt und am 31. August 2026 als BT-Drs. 21/7787 veröffentlicht.
- ca. 600.000 Haushalte — Umfang des Datenlecks; betroffen waren Namen, Alter, Mobiltelefonnummern und Standortinformationen auf Nachbarschaftsebene.
- 16 Tage — Zeitspanne zwischen Cyberangriff (14. Mai 2026) und Information der Bundesregierung (30. Mai 2026).
- 183,3 Mio. Euro — Gesamtauszahlungen Deutschlands (BMZ + AA) an WFP-Programme in den Palästinensischen Gebieten 2019–2025.
- 10,76 Mio. Euro — Für 2026 bereits zugesagte Fördermittel (6,5 Mio. Euro BMZ + 4,26 Mio. Euro AA); Planung noch nicht abgeschlossen.
- Seit 2019 — Dauer der WFP-Zusammenarbeit mit Palantir Technologies für Datenintegrations- und Analysedienstleistungen.
Im Detail
Die Bundesregierung nimmt die möglichen Risiken, die mit einer Zusammenarbeit von WFP mit Palantir im Gazastreifen verbunden sind, ernst. WFP hat gegenüber der Bundesregierung jedoch versichert, dass der Datenzugang für Palantir wie für jeden anderen Anbieter vertraglich abgesichert und auf die zur Erbringung der Dienstleistung unbedingt erforderlichen Informationen beschränkt ist.
— Antwort der Bundesregierung, BT-Drs. 21/7787, Fragen 12 und 13
Rund 600.000 Haushalte in den Palästinensischen Gebieten waren am 14. Mai 2026 von einem Cyberangriff auf das UN-Welternährungsprogramm (WFP) betroffen. Abgeflossen sind Namen, Alter, Mobiltelefonnummern und Standortinformationen auf Nachbarschaftsebene — laut den Fragestellern der bislang größte bekannte Datendiebstahl im humanitären System. Das WFP informierte die betroffenen Haushalte erst 14 Tage nach dem Vorfall per Telegram-Nachricht; die Bundesregierung erfuhr davon am 30. Mai 2026.
Deutschland ist einer der größten staatlichen Geldgeber des WFP. Zwischen 2019 und 2025 zahlten das Bundesministerium für wirtschaftliche Zusammenarbeit und Entwicklung (BMZ) und das Auswärtige Amt zusammen mehr als 183 Millionen Euro an WFP-Programme in den Palästinensischen Gebieten aus. Allein 2023 flossen 49,5 Millionen Euro. Für 2026 sind bereits 10,76 Millionen Euro zugesagt. Angesichts dieser Größenordnung stellte die Fraktion Die Linke eine Kleine Anfrage (BT-Drs. 21/7591), auf die das BMZ nun mit BT-Drs. 21/7787 antwortete.
WFP-Datenleck: Was die Bundesregierung weiß
Das WFP-Datenleck betraf nach Angaben der Bundesregierung die sogenannte Self-Registration Application (SRA) — eine vom WFP selbst entwickelte und betriebene Anwendung zur Selbstregistrierung von Hilfsempfängern. Die Bundesregierung stellt fest, dass ihr keine Erkenntnisse darüber vorliegen, dass die gestohlenen Informationen weitergegeben oder veröffentlicht wurden. Zur Frage, ob Daten von militärischen Akteuren oder Sicherheitsbehörden genutzt werden, bleibt die Antwort ebenfalls ohne gesicherte Erkenntnisse.
Palantir-Kooperation: WFP versichert Datentrennung
Seit 2019 kooperiert das WFP mit dem US-Unternehmen Palantir Technologies für Datenintegrations- und Analysedienste. Die Bundesregierung erklärt, die möglichen Risiken dieser Zusammenarbeit ernst zu nehmen. Laut WFP-Versicherung gegenüber der Bundesregierung ist der Datenzugang für Palantir vertraglich auf das unbedingt Erforderliche beschränkt; persönliche Informationen der Hilfsempfänger werden anonymisiert, bevor sie eine von Palantir unterstützte Plattform erreichen. Aggregierte Daten könnten demnach nicht zur Identifizierung einzelner Personen genutzt werden. Die Bundesregierung kündigt an, weiter im kritischen Austausch mit WFP zu bleiben. Entscheidend für die Bewertung des WFP-Datenlecks ist zudem, dass die betroffene SRA nach WFP-Angaben keine Software oder Technologie von Palantir nutzt und auch nicht damit verbunden ist.
Keine zusätzlichen Datenschutzauflagen für Fördermittel
Eine zentrale Feststellung der Drucksache: Über den bestehenden WFP-eigenen Datenschutzrahmen hinaus hat die Bundesregierung keine weiteren vertraglichen Auflagen zu Datenschutz, Informationssicherheit oder Daten-Governance mit den Zuwendungen verknüpft. Das gilt für sämtliche Auszahlungen seit 2019. Die Bundesregierung verweist darauf, dass die Auswahl und Verwaltung technischer Systeme allein in der Verantwortung des WFP liege. Im WFP-Exekutivrat wirkt Deutschland zwar an der strategischen Ausrichtung mit, hat aber nach eigener Auskunft nur begrenzte Kenntnisse der konkreten technischen Systemlandschaft des WFP.
Zu den Fragen nach Datenflüssen zwischen verschiedenen WFP-Systemen — etwa dem People Portal, dem SCOPE-Archivsystem oder dem DOTS-Datenstack — teilt die Bundesregierung mit, dass ihr hierzu keine Erkenntnisse vorliegen. Diese Wissenslücken sind politisch relevant, da Deutschland über das Vollkostenerstattungsprinzip des WFP auch anteilig IT-bezogene Gemeinkosten mitfinanziert, ohne vertragliche Einblicke in die Systemarchitektur zu haben.
Keine Palantir-Kooperation in der deutschen Entwicklungszusammenarbeit
Auf die direkte Frage, ob die Bundesregierung selbst eine Zusammenarbeit mit Palantir Technologies plant, antwortet sie klar: weder im Rahmen der Entwicklungszusammenarbeit noch der humanitären Hilfe ist eine solche Kooperation beabsichtigt. Für künftige Förderentscheidungen kündigt die Bundesregierung an, regelmäßig zu prüfen, ob internationale Organisationen die maßgeblichen Anforderungen erfüllen, und die Zusammenarbeit gegebenenfalls anzupassen — ohne konkrete Kriterien oder Fristen zu benennen.
Das WFP-Datenleck stellt laut Drucksache einen Präzedenzfall für den Umgang mit personenbezogenen Daten in der humanitären Hilfe dar. Die Frage, wie Datenschutzstandards gegenüber multilateralen Organisationen durchgesetzt werden können, bleibt damit auch nach der Beantwortung der Kleinen Anfrage offen. Ähnliche Fragen der staatlichen Ausgabenkontrolle bei multilateralen Programmen thematisiert auch der Bericht zur Klimafinanzierung aus dem Bundeshaushalt 2024.
Weiterlesen:
- Bundestag 12.09.2026: Die wichtigsten Drucksachen
- Seehäfen: 15 Mrd. Euro Investitionsbedarf und 38 Mio. Bundeshilfe
Unmittelbar betroffen sind rund 600.000 Haushalte in den Palästinensischen Gebieten, deren Namen, Telefonnummern, Alter und Standortinformationen durch den Cyberangriff abgeflossen sind. Mittelbar betroffen sind alle Empfänger humanitärer Hilfe, deren Daten in WFP-Systemen gespeichert werden. Deutschland als größter staatlicher Geldgeber des WFP ist durch die Fragen zur Verwendung der Fördermittel und zu Datenschutzstandards ebenfalls in die Debatte einbezogen.
Auf mehrere Fragen zu technischen Systemdetails und Datenflüssen (Fragen 4, 5, 10) verweist die Bundesregierung auf die Eigenverantwortung des WFP und erklärt, nur begrenzte Kenntnisse zu besitzen. Zur Folgenabschätzung bei Sicherheitsrisiken (Frage 3) beschränkt sie sich auf die WFP-Aussage, die betroffene Anwendung nutze keine Palantir-Software.
Die Kleine Anfrage ist durch die Antwort der Bundesregierung vom 28. August 2026 abgeschlossen. Die Bundesregierung kündigt an, weiter im kritischen Austausch mit WFP zur Palantir-Kooperation zu bleiben und Förderentscheidungen regelmäßig an den eingehaltenen Standards auszurichten. Konkrete gesetzgeberische oder vertragliche Folgemaßnahmen sind der Drucksache nicht zu entnehmen.
- Self-Registration Application (SRA)
- Eine vom WFP entwickelte und betriebene digitale Anwendung, über die sich Hilfsbedürftige in den Palästinensischen Gebieten für Unterstützungsleistungen registrieren. Sie war das Ziel des Cyberangriffs vom 14. Mai 2026.
- Palantir Technologies
- US-amerikanisches Softwareunternehmen, das seit 2019 dem WFP Datenintegrations- und Analyseplattformen bereitstellt. Das Unternehmen ist auch für Verträge mit staatlichen Sicherheitsbehörden bekannt.
- Vollkostenerstattung
- Prinzip bei internationalen Organisationen wie dem WFP, nach dem auch IT-bezogene Gemeinkosten anteilig auf die von Gebern finanzierten Programme umgelegt werden.
Wann wurde Deutschland über den WFP-Cyberangriff informiert?
Die Bundesregierung wurde am 30. Mai 2026 über den Cyberangriff informiert, der am 14. Mai 2026 stattfand — also 16 Tage nach dem Vorfall.
Welche Daten wurden beim WFP-Datenleck gestohlen?
Betroffen waren laut Bundesregierung Namen, Alter, Mobiltelefonnummern und Standortinformationen (auf Nachbarschaftsebene) von rund 600.000 registrierten Haushalten in den Palästinensischen Gebieten.
Hat Deutschland besondere Datenschutzauflagen an das WFP gestellt?
Nein. Laut Antwort der Bundesregierung wurden über den bestehenden WFP-eigenen Datenschutzrahmen hinaus keine weiteren vertraglichen Auflagen zu Datenschutz, Informationssicherheit oder Daten-Governance vereinbart.
Dieser Beitrag bezieht sich auf BT-Drs. 21/7787 und gibt den Inhalt der Drucksache zusammenfassend wieder. Die inhaltliche Verantwortung liegt beim jeweiligen Verfasser der Drucksache. Der Beitrag spiegelt nicht notwendigerweise die Meinung des Seitenbetreibers wider.
Weitere Beiträge
