↓ Den vollständigen Bericht herunterladen (PDF)
↗ Vollständiges Repository, Belege & ergänzende Recherchen (GitHub)
Wie Regierungen mit Splink die Daten ihrer Bürger verknüpfen — und warum man es den Bürgern nicht wirklich gesagt hat
Ein Bericht im öffentlichen Interesse, der vollständig auf öffentlich zugänglichen Regierungsdokumenten und begutachteter Fachliteratur beruht. Auf nicht-öffentliche Systeme wurde nicht zugegriffen. Erstellt am 02.06.2026. Für jede Behauptung sind Konfidenzgrad und Quelle angegeben; was unbestätigt ist, wird als solches gekennzeichnet.
In einem Absatz
Mehrere nationale Regierungen setzen Splink ein — eine freie, quelloffene Bibliothek für probabilistische Datensatzverknüpfung, entwickelt vom britischen Justizministerium —, um bislang getrennte Datenbestände über Bürger, die keinen gemeinsamen Identifikator haben, zu einzelnen, personenbezogenen verknüpften Datensätzen zusammenzunähen. Das ist kein Leak, kein Hack und kein Geheimprogramm: Es ist rechtmäßig, dokumentiert und in mehreren Fällen technisch exzellent. Die Frage im öffentlichen Interesse, die dieser Bericht aufwirft, ist enger und unbequemer: Den Menschen, die verknüpft werden, wurde es in aller Regel nie individuell mitgeteilt, sie wurden nie gefragt, und in den meisten Fällen haben sie keine Möglichkeit zu widersprechen — weil die Rechtsgrundlage die gesetzliche „public task“ ist und nicht die Einwilligung. Die Fähigkeit wandert außerdem still von der Statistik (Bevölkerungen zählen) hin zum operativen Einsatz (bestimmte Personen in Echtzeit identifizieren). Diese Verschiebung ist die Geschichte.
• Open-Source-Bibliothek, entwickelt vom Datenverknüpfungsteam des MoJ, finanziert von ADR UK im Rahmen des Programms „Data First“. Implementiert das Fellegi–Sunter-Modell (die statistische Standardmethode der Branche für Datensatzverknüpfung), geschätzt über Expectation-Maximisation, aufbauend auf der R-Implementierung von FastLink. (Hohe Konfidenz — GOV.UK; begutachteter IJPDS-Artikel 1794, verfasst von den Entwicklern; offizielle Splink-Dokumentation; GitHub.)
• Ausgelegt auf Skalierung: gebaut, um ~100 Millionen Datensätze zu verknüpfen; das MoJ hat ~15 Millionen in unter einer Stunde verknüpft. Backend-agnostisch (DuckDB / Spark / AWS Athena). (Hoch.)
• Die Mathematik ist solide. Dieser Bericht behauptet nicht, der Algorithmus sei ungenau oder von der Anlage her verzerrt. Fellegi–Sunter ist Standard, und die veröffentlichte Genauigkeit ist hoch. Es geht um die Governance dessen, was das genaue Ergebnis ermöglicht, nicht um einen technischen Fehler.
• In diesem Bericht geht es ausschließlich um die Governance von Datenverknüpfung. Er steht in keinem Zusammenhang mit einem Softwaresicherheitsproblem.
🇬🇧 Vereinigtes Königreich — Justizministerium · „Data First“ (Hohe Konfidenz)
Splink verknüpft Personendatensätze über sieben Bereiche des Justizsystems hinweg, denen eine einheitliche gemeinsame ID fehlt — Magistrates'/LIBRA, Crown/Common Platform, Familiengerichte, Zivilgerichte, Gefängnisse (NOMIS), Bewährungshilfe (DELIUS) und Systeme zur Straftäterbeurteilung —, um die Wege Einzelner durch das System zu verfolgen und Mehrfachnutzer zu erkennen. Es dedupliziert innerhalb jedes Bereichs und führt dann eine weitere Verknüpfung durch, um einen justizsystemweiten verknüpften Identifikator (Cross Justice System / XJS-Tabelle) zu erzeugen. Dokumentierte Datensatzzahlen: Common Platform 2,9 Mio., LIBRA 19,6 Mio., NOMIS 2,2 Mio., DELIUS 2,4 Mio. Geltungsbereich: England & Wales. Die den Forschenden zugänglichen Daten sind de-identifiziert.
Quellen: GOV.UK Algorithmic Transparency Records (moj-data-first-splink, moj-splink-master-record); ADR UK Data First Flaggschiff-Datensatz; IJPDS 1794.
Der Hinweis auf Zweckausweitung: Das MoJ betreibt Splink im Batch-Betrieb (wöchentliche statistische Aktualisierung) und in Echtzeit — „in Gerichten, um Bewährungsakten zu finden, die zu vor Gericht erscheinenden Personen gehören“. Es erprobt „Core Person Record“, ein Echtzeitsystem, das beim Anlegen/Aktualisieren von Datensätzen einen eindeutigen justizübergreifenden Personenidentifikator über Gefängnisse, Bewährungshilfe und Strafgerichte hinweg vergibt. Das ist ein Schritt von der Statistik zur operativen Identifizierung namentlich benannter Personen. (Core Person Record wird als Pilotprojekt beschrieben, noch nicht im Wirkbetrieb — das wird ehrlich so angegeben.) (Hoch.)
🇬🇧 UK — Office for National Statistics (Hohe Konfidenz)
Das ONS hat Splink regierungsübergreifend übernommen und wird im Katalog der UN Statistics Division genannt. Bei der Verknüpfung des Zensus 2021 verband das ONS den Zensus mit Verwaltungsdaten des DWP: 96,7 % der Zensus-IDs (56.673.658 Datensätze) wurden mit einem DWP-Hauptschlüssel oder einer verschlüsselten National-Insurance-Nummer verknüpft, wobei die verschlüsselte NINo zugleich eine Brücke zu HMRC-PAYE-Daten schlug; Präzision 99,87 %, Trefferquote 99,86 %. Eine Nuance, klar gesagt: In dieser konkreten Auswertung wurde Splink auf die nicht verknüpften Datensätze im Rahmen der Falsch-Negativ-Analyse angewandt, nicht als primäre Engine. Das ONS nutzt Splink außerdem für seinen Business Index (früher IDBR) und seinen Demographic Index.
Quelle: ONS-Methodikpapier „2021 Census linkage to DWP master key and encrypted NINo“ (Dez. 2024); IJPDS 1794.
🇬🇧 UK — NHS England (Hohe Konfidenz, aber laufend)
NHS England erzeugt über den Master Person Service (das laufende operative Rückgrat, das demografische Angaben mit der NHS-Nummer abgleicht) einen Identifikator auf Personenebene (Person_ID) und „arbeitet derzeit an der Implementierung eines probabilistischen Verknüpfungsmodells mit Splink“ als Engine für einen neuen Verknüpfungsdienst. Ehrlich festgehalten: Die Splink-Arbeit ist im Gange und vom bereits im Wirkbetrieb befindlichen Person_ID-/MPS-Mechanismus zu unterscheiden.
Quelle: NHS England Data Science, „Data Linkage Hub“; IJPDS 3271; NHS Digital MPS-Handbuch.
🇦🇺 Australien — ABS Person Linkage Spine (Hohe Konfidenz)
„2025 wurde die Spine erstmals mit Splink aufgebaut.“ Sie verknüpft Personen über drei Bundesbehörden hinweg: Medicare (Services Australia), Centrelink/DOMINO (Ministerium für Soziale Dienste) und Personal Income Tax (ATO) — Gesundheit, Sozialleistungen und Steuern — und deckt die jemals ansässige Bevölkerung von Jan. 2006 bis Juni 2025 ab. (Hoch.) Vorbehalt: „jemals ansässig“ ist etwas weiter gefasst als „Staatsbürger“.
Quelle: ABS, „Person Linkage Spine“.
🇦🇺 Australien — National Linkage Spine / National Disability Data Asset (Hohe Konfidenz)
Gemeinsam von ABS und AIHW (technische Co-Leitung) für das NDDA aufgebaut; sie führt jurisdiktionsübergreifende Verknüpfungen durch, um mit deterministischen, probabilistischen und ML-Verfahren (de-identifizierte) Profile von Menschen mit Behinderung auf Personenebene zusammenzustellen, „zur Weitergabe im Rahmen neuer Gesetzgebung“, die einen jurisdiktionsübergreifenden Austausch ermöglicht.
Quelle: IJPDS 2818 (verfasst von ABS/AIHW); NDDA-Seiten von ABS/AIHW; ONDC-Datenaustauschregister DSR-03110.
Bei jedem geprüften Einsatz verweisen die öffentlichen Dokumente auf Governance-Artefakte — DPIAs / DPIA-Screenings (MoJ), Verarbeitung auf der gesetzlichen Grundlage der „öffentlichen Aufgabe“, neue Gesetzgebung zum Datenaustausch (Australien) —, enthalten aber keinerlei Erwähnung einer individuellen Einwilligung der Bürgerinnen und Bürger, einer individuellen Benachrichtigung oder eines Widerspruchsrechts. Die einzige an den Einzelnen gerichtete Zeile im MoJ-Eintrag lautet, dass Daten „routinemäßig erhoben werden … zum Zweck der Verwaltung von Gerichtsverfahren und Straftätern“. Die ABS-Spine-Seite bietet nur eine allgemeine Geste in Richtung „Five Safes / Datenschutz und Vertraulichkeit“.
Das ist der Kernpunkt — und er muss fair dargestellt werden. Das Fehlen ist zum Teil Absicht: Die Verarbeitung von Verwaltungsdaten und amtlicher Statistik stützt sich legitimerweise auf eine gesetzliche Grundlage der öffentlichen Aufgabe (etwa den britischen Digital Economy Act 2017; Australiens Census and Statistics Act / ABS Act), die keine Einwilligung verlangt. Der Befund lautet also nicht „das ist rechtswidrig“ oder „es gibt keine Rechtsgrundlage“. Der Befund ist der eigentliche Punkt des öffentlichen Interesses: Die Rechtsgrundlage ist eine, von der die meisten Bürgerinnen und Bürger nie gehört haben, die Verknüpfung ist für den Einzelnen unsichtbar, und es gibt kein persönliches Widerspruchsrecht — und das, während sich dieselbe Maschinerie in Richtung eines operativen Echtzeiteinsatzes bewegt.
Ehrlichkeitsvermerk: Dies sind eng abgegrenzte Befunde über fehlende Inhalte in den konkret geprüften Dokumenten, kein Beweis dafür, dass es nirgendwo eine Benachrichtigung gibt. Sowohl ABS als auch MoJ verfügen über gesetzliche Befugnisse, die auf anderen Seiten dokumentiert sind.
• Echter öffentlicher Nutzen: genaue Volkszählungen, Gesundheitsforschung, weniger doppelte Krankenhausakten, Verständnis von Rückfälligkeit, Aufbau der Evidenzgrundlage für die Behindertenpolitik. Das sind keine Vorwände.
• Das Five-Safes-Rahmenwerk (safe people/projects/settings/data/outputs) regelt den Zugang. (GOV.UK Datenethik.)
• Verfahren für akkreditierte/zugelassene Forschende und der ONS Secure Research Service bedeuten, dass auf verknüpfte Mikrodaten nur in kontrollierten Umgebungen und nur durch überprüfte Forschende zugegriffen wird, mit De-Identifizierung/Pseudonymisierung — Forschende sehen verknüpfte Datensätze in der Regel ohne direkte Identifikatoren. (ONS; UK Statistics Authority; ADR UK Ethik.)
• Aufsichtsgremien existieren: das Office for Statistics Regulation, das Research Accreditation Panel, die ICO und (Australien) die OAIC / der National Data Commissioner.
Die faire Einordnung: Die Schutzmechanismen sind real, aber weitgehend intern und auf Forschende ausgerichtet; sie schützen vor Missbrauch des Zugangs, nicht vor der vorgelagerten Frage, ob eine Verknüpfung im Bevölkerungsmaßstab ohne Wissen des Einzelnen überhaupt stattfinden sollte — und sie wurden für den statistischen Anwendungsfall gebaut, nicht für den entstehenden operativen.
• Kreditscoring / Auskunfteien: NICHT belegt. Weder eine Primär- noch eine Sekundärquelle gefunden. Ausgeschlossen. (Wenn das jemand weiterträgt, ist es die Zeile, die den Rest diskreditiert.)
• Behauptet, in diesem Durchgang aber nicht erhärtet (verfolgenswert, hier noch nicht zitierfähig): Verknüpfung von HIV-Tests durch die UK Health Security Agency; MoD Veterans Card / aus dem Dienst Ausgeschiedene↔Zensus; US Defense Health Agency (über 200 Mio. Datensätze); Chile, Verknüpfung von Impfdaten Migrierter; Statistics Canada / Stats NZ / Eurostat als Anwender. Die Formulierung der Entwickler, „ONS and other collaborators“, legt weitere Anwender nahe — aber „legt nahe“ ist nicht „bestätigt“.
1. Wie lautet die vollständige regierungsübergreifende / internationale Liste der Behörden, die Splink auf Bürgerdaten anwenden?
2. Wie sieht bei den Pilot-/Wirkbetriebssystemen (MoJ Core Person Record; das Splink-Modell von NHS England; ABS NLS unter „neuer Gesetzgebung“) der Zeitplan aus, und löst der operative Einsatz neue Benachrichtigungs- oder Transparenzpflichten aus?
3. Wird einem Einzelnen jemals mitgeteilt, dass seine Datensätze probabilistisch über Gesundheit/Justiz/Steuern/Sozialleistungen hinweg verknüpft wurden — und gibt es überhaupt eine Widerspruchsmöglichkeit, oder gilt allein die öffentliche Aufgabe, ohne jedes Widerspruchsrecht?
4. Welche unabhängige Stelle (ICO, OSR, OAIC, National Data Commissioner) hat diese konkreten Einsätze und ihr Re-Identifizierungsrisiko tatsächlich geprüft — im Unterschied zu den DPIAs der Behörden selbst?
• GOV.UK — Splink: MoJ’s open-source library for probabilistic record linkage at scale
• GOV.UK Algorithmic Transparency Records — moj-data-first-splink; moj-splink-master-record
• ADR UK — Data First (Cross Justice System, England & Wales); ADR UK ethics & responsibility
• IJPDS Art. 1794 (Splink, von den Entwicklern verfasst, peer-reviewed); Art. 2818 (ABS/AIHW NLS/NDDA); Art. 3271 (NHS, probabilistische Verknüpfung)
• ONS — 2021 Census linkage to DWP master key and encrypted NINo (Dez. 2024); Secure Research Service; Approved Researcher Scheme; Einstellungen der Öffentlichkeit zu Daten (Juni 2023)
• NHS England — Data Science „Data Linkage Hub“; NHS Digital Master Person Service
• ABS — Person Linkage Spine; National Disability Data Asset
• Offizielle Splink-Dokumentation (Fellegi-Sunter) und GitHub (moj-analytical-services/splink)
• Office for Statistics Regulation — „Data sharing and linkage for the public good“
• GOV.UK — Das Five-Safes-Rahmenwerk
• Georgina Sturge, „The silent creep of data linkage“ (Kommentar/Blog — Einordnungsreferenz, als nicht-primär gekennzeichnet)
Verifizierung: 6 Suchrichtungen → 22 abgerufene Quellen → 102 Kandidatenaussagen → 25 adversarisch überprüft (zum Verwerfen einer Aussage waren 2 von 3 Widerlegungsstimmen nötig) → 25 bestätigt, 0 verworfen → zu 9 Befunden zusammengeführt.
Beweisschrank — ihre eigenen Worte, archiviert
Jede Aussage in diesem Bericht stützt sich auf Dokumente, die die Regierungen selbst veröffentlicht haben. Nachfolgend jede Primärquelle, erfasst am 2. Juni 2026 — die belastende Zeile in ihren eigenen Worten hervorgehoben, jede Seite als Screenshot, dazu eine vollständige gespeicherte Kopie (HTML + PDF), falls sich die Live-Seite ändert. Die meisten dieser Seiten sind nicht im Internet Archive, diese Erfassungen könnten also die einzige erhaltene Kopie sein.
↓ Das vollständige Beweispaket herunterladen (alle Seiten, HTML + PDF + Screenshots, 3,9 MB ZIP)
