von Serdar Günal Rütsche & Dr. iur. Andrea Jug-Höhener

Mobiltelefone, Computer, Cloud-Konten, soziale Medien oder digitale Zahlungsströme enthalten heute wichtige Hinweise für Ermittlungen. Für Strafverfolgungsbehörden bedeutet dies jedoch auch: Sie müssen immer grössere und komplexere Datenmengen verarbeiten. Bei digitalen Sicherstellungen ist beispielsweise die Zahl der Geräte über mehrere Jahre relativ konstant geblieben, während die Datenmenge pro Gerät stark zugenommen hat.

Technische Systeme helfen bereits heute dabei, Daten zu filtern, zu strukturieren und miteinander zu verknüpfen. Besonders bei Cyberkriminalität oder seriellen Vermögensdelikten lassen sich etwa IP-Adressen, Domains, Benutzerkonten oder Zahlungsströme automatisiert nach Zusammenhängen durchsuchen. Die Technik übernimmt dabei vor allem Aufgaben wie Datenverdichtung, Mustererkennung oder Visualisierung.

Das Problem: Die rechtlichen Grundlagen halten mit dieser Entwicklung nicht Schritt. Die Schweizer Strafprozessordnung ist noch stark von einer analogen Welt geprägt. Für traditionelle Ermittlungsmethoden und einfache digitale Recherchen bestehen zwar teilweise ausreichende Regeln. Bei weitergehenden technologiegestützten Datenbearbeitungen zeigen sich jedoch eklatante Lücken.

Technologie bringt Chancen aber auch Risiken

Neue Technologien können Ermittlungen beschleunigen und ermöglichen, Zusammenhänge zu erkennen, die Menschen bei grossen Datenmengen kaum mehr selbst entdecken könnten. Gleichzeitig können solche Systeme unter Umständen tief in die Grundrechte eingreifen – nicht nur von beschuldigten Personen, sondern auch von unbeteiligten Dritten.

Deshalb reicht die Frage «KI – ja oder nein?» nicht aus. Entscheidend ist das konkrete Risiko einer Anwendung.

Die Risiken technologiegestützter Datenbearbeitung lassen sich anhand von fünf zentralen Dimensionen beurteilen:

• Governance und Kontrolle: Bleibt ein Mensch in den Entscheidungsprozess eingebunden und kann er Ergebnisse korrigieren?
• Infrastruktur und Drittparteien: Wo werden die Daten gespeichert und verarbeitet, und wer kann darauf zugreifen?
• Systemrisiko: Wie zuverlässig und nachvollziehbar arbeitet die verwendete Technologie?
• Rechtsgrundlage und Zweckbindung: Ist klar geregelt, wofür Daten bearbeitet werden dürfen?
• Datenlage und Betroffenenkreis: Welche Daten werden ausgewertet und wie viele Personen sind davon betroffen?

Damit wird deutlich: Ein System, das eine kleine Menge bspw. aufgrund der Strafprozessordnung gesicherter Daten durchsucht und dessen Ergebnisse anschliessend von Fachpersonen geprüft werden, ist anders zu beurteilen als eine automatisierte Massenauswertung biometrischer Daten zahlreicher unbeteiligter Personen.

Je autonomer das System, desto wichtiger ist die Kontrolle

Eine zentrale Rolle spielt die menschliche Kontrolle. Je stärker ein System automatisiert arbeitet und je weniger seine Entscheidungswege nachvollziehbar sind, desto höher können die Risiken sein.

Gerade bei sogenannten Black-Box-Systemen ist teilweise nicht vollständig erklärbar, wie ein konkretes Ergebnis zustande gekommen ist. Das muss einen Einsatz nicht automatisch ausschliessen. Die Resultate müssen aber überprüfbar bleiben und die Verantwortung darf nicht an die Technik abgegeben werden.

Ein möglicher Ansatz ist der Human-in-the-Loop: Ein Mensch bleibt in den Prozess eingebunden, überprüft die Resultate und kann eingreifen. Kurz gesagt: Je selbstständiger die Technik arbeitet, desto stärker müssen Kontrolle und Verantwortlichkeiten ausgestaltet sein.

Regulieren, ohne der Technologie ständig hinterherzulaufen

Es liegt auf der Hand, dass sich die Legislative und die Strafverfolgung mit neuen Technologien, wie beispielsweise KI, auseinandersetzen und diese wird adaptieren müssen. Ein Schritt in die Zukunft ist zwingend, um weiterhin eine wirkungsvolle Strafverfolgung sicherstellen zu können. Gleichzeitig ist die Beeinträchtigung von Grundrechten im Rahmen staatlicher Überwachungsmassnahmen anzuerkennen und damit einhergehende Sorgen der Bevölkerung sind ernst zu nehmen.  Eine entsprechende Regulierung muss zukunftsfähig ausgestaltet sein. Angesichts der hohen Grundrechtsrelevanz, etwa beim Umgang mit biometrischen Daten, der automatisierten Analyse grosser Datenmengen oder der Erstellung von Risikoprofilen genügt es ausserdem nicht, technologische Systeme allein unter Effizienzgesichtspunkten zu bewerten. Vielmehr bedarf es eines strukturierten Entscheidungsrasters, das es erlaubt, zentrale rechtliche, organisatorische und technische Fragen systematisch zu erfassen und zu prüfen.  Die Autoren schlagen deshalb drei Grundprinzipien für eine zukunftsfähige Regulierung vor.

• Erstens sollte sie technologieneutral sein. Gesetze sollten nicht einzelne Programme oder bestimmte KI-Verfahren regulieren. Sonst besteht die Gefahr, dass sie bereits wieder veraltet sind, sobald sich die Technik weiterentwickelt. Stattdessen sollten Regeln festlegen, unter welchen Voraussetzungen technologiegestützte Datenbearbeitung zulässig ist (Thouvenin/Volz 2024).
• Zweitens sollte die Regulierung sektorspezifisch erfolgen. Für Polizei und Strafverfolgung stellen sich andere Fragen als beispielsweise im Gesundheitswesen, auf dem Finanzmarkt oder in der Privatwirtschaft. Es ist schon innerhalb der Strafverfolgung eine kaum zu meisternde Herausforderung, eine technologieneutrale gesetzliche Grundlage innerhalb eines einzigen Regulierungsumfelds zu formulieren, geschweige denn, eine solche sektorenübergreifend zu definieren.
• Drittens braucht es einen risikobasierten Ansatz. Nicht allein die Bezeichnung einer Anwendung als «KI» soll bestimmen, wie streng sie behandelt wird. Entscheidend sind ihre tatsächlichen Auswirkungen: Wie intensiv greift sie in Grundrechte ein? Wie automatisiert arbeitet sie? Wie transparent ist sie? Welche Fehler oder Verzerrungen können auftreten?

Eine Risikomatrix schafft Orientierung

Wie sich solche Risiken systematisch beurteilen lassen, zeigen Günal Rütsche und Jug-Höhener (2026) mit einer Risikomatrix. Diese betrachtet die oben erwähnten fünf zentralen Risikodimensionen und ordnet den zu beurteilenden Technologieeinsatz je nach Gesamtbewertung einer Risikokategorie zu – von keinem bis zu inakzeptablem Risiko. Je nach Risikolevel sieht dieses Modell gewisse Massnahmen für den Einsatz der entsprechenden Technologie vor, bspw. die Anordnung durch die Staatsanwaltschaft, einen Deliktekatalog, den Einbezug des Zwangsmassnahmengerichts oder Informations- und Dokumentationspflichten. Zusätzlich sieht das Modell Stop-Kriterien vor. Während die Risikomatrix eine abgestufte Bewertung nach Grundrechtsintensität, Zweck und Kontext der Datenbearbeitung ermöglicht, markieren Stop-Kriterien die rote Linie, deren Überschreitung einen Verstoss gegen grundlegende rechtsstaatliche oder sicherheitsrelevante Mindeststandards bedeuten würde, bei deren Überschreiten der Einsatz einer Technologie grundsätzlich ausgeschlossen werden soll – unabhängig davon, wie nützlich sie für die Ermittlungsarbeit wäre.

Damit verbindet die Risikomatrix zwei Ziele: Sie schafft Raum für technologische Innovation und setzt gleichzeitig klare Grenzen.

Technologischer Fortschritt braucht rechtliche Orientierung

Die eigentliche Herausforderung besteht nicht darin, sich zwischen Technologie und Grundrechtsschutz zu entscheiden. Eine zukunftsfähige Strafverfolgung braucht beides. Ermittlungsbehörden benötigen moderne Werkzeuge, um mit der wachsenden Datenmenge und der zunehmend vernetzten, seriellen und organisierten Kriminalität umgehen zu können. Bürgerinnen und Bürger müssen gleichzeitig darauf vertrauen können, dass ihre Daten nicht unkontrolliert verarbeitet werden.

Ein risikobasierter und technologieneutraler Ansatz kann dabei helfen, neue Anwendungen nachvollziehbar zu beurteilen und klare Verantwortlichkeiten zu schaffen. Davon profitieren beide Seiten: Die Strafverfolgungsbehörden erhalten mehr Rechtssicherheit und Handlungsmöglichkeiten und können auch in Zukunft Kriminalität wirksam bekämpfen, während Grundrechte und Datenschutz von Beginn an in die Bewertung neuer Technologien einbezogen werden.

Autor: Serdar Günal Rütsche, EMBA, Chef Cybercrime Kantonspolizei Zürich, Leiter NEDIK

Serdar Günal Rütsche arbeitet seit 2020 als Chef der Abteilung Cybercrime bei der Kantonspolizei Zürich und ist auch der aktuelle Leiter des Netzwerks digitaler Ermittlungsunterstützung Internetkriminalität (NEDIK). Bevor er nach Zürich wechselte, war er bei der Kantonspolizei St. Gallen in einer ähnlichen Funktion tätig. Er ist von Haus aus Informatiker und doziert im MAS Economic Crime Investigation zum Thema Cybersicherheit.

Autorin: Dr. iur. Andrea Jug-Höhener, LL.M., EMBA, Chefin Kriminalabteilung, Stadtpolizei Zürich

Andrea Jug-Höhener leitet seit 2022 die Kriminalabteilung der Stadtpolizei Zürich. Daneben ist sie 2. Stellvertreterin des Kommandanten, amtet als Präsidentin der Vereinigung der Schweizerischen Kriminalpolizeichefs und hat einen Lehrauftrag an der Universität St. Gallen. Sie ist von Haus aus Juristin, arbeitete als Rechtsanwältin in Zürich und New York und als Staatsanwältin in Zürich. Vor ihrer jetzigen Funktion war sie bei der Kantonspolizei Zürich als Leiter der Ermittlungsabteilung Wirtschaftskriminalität tätig.