Polizei-Drohnen filmten San Francisco live – und niemand schützte die Aufnahmen
Ein ungesicherter Link streamte stundenlang Echtzeit-Drohnenaufnahmen der SFPD ins offene Internet. Was der Vorfall über die neue Realität urbaner Massenüberwachung verrät – und was das für Deutschland, Österreich und die Schweiz bedeutet.
Stellen Sie sich vor, eine Polizeidrohne folgt Ihnen durch die Stadt, zoomt auf Ihr Kennzeichen, verfolgt Sie bis in den Hauseingang – und all das wird live ins Internet gestreamt, für jeden zugänglich, der zufällig den richtigen Link findet. Genau das ist in San Francisco passiert. Und es war kein gezielter Hackerangriff, keine Sicherheitslücke in einem System – es war schlicht ein ungesicherter Link, den jemand bei der Polizei angelegt und vergessen hatte.
Was genau passiert ist
Zwei Sicherheitsforscher, Sam Curry und Maik Robert, entdeckten im Juni 2026 einen öffentlich zugänglichen Weblink, über den fünf Drohnen der San Francisco Police Department (SFPD) ihre Echtzeit-Videoaufnahmen streamten – vollständig ungeschützt, ohne Passwort, ohne Authentifizierung. Der Link führte zur Plattform Skydio, einem amerikanischen Drohnenhersteller, der unter anderem Polizeidienststellen beliefert. Jemand bei der SFPD hatte im Dezember 2025 einen sogenannten ReadyLink angelegt, der fünf Drohnen-Feeds mit einer Laufzeit von einem Jahr und ohne jegliche Zugangsbeschränkung freigab.
Was die Forscher dann sahen, war beunruhigend: Polizeidrohnen vom Typ Skydio X10 verfolgten Fahrzeuge durch den Stadtverkehr, zoomten auf Nummernschilder, folgten Verdächtigen in Wohnkomplexe und filmten Festnahmen aus der Luft. Gleichzeitig schauten die Kameras in Wohnungsfenster von Hochhäusern, beobachteten Obdachlose in Gassen und filmten einen jungen Menschen mit Kopfhörern auf einem Dach – ohne jeden erkennbaren Anlass. Alles davon war für jeden sichtbar, der den Link kannte.
Wie der Link gefunden wurde: Die Forscher nutzten das frei verfügbare Tool GetAllURLs, das archivierte Webadressen aus öffentlichen Quellen wie dem AlienVault Open Threat Exchange sammelt. Der SFPD-Drohnen-Link tauchte dort auf – was bedeutet, dass er bereits seit Monaten in öffentlichen Sicherheitsdatenbanken stand und potenziell von jedem hätte gefunden werden können.
Die Technik: Was Skydio X10-Drohnen wirklich können
Der Vorfall zeigt, wie leistungsfähig moderne Polizeidrohnen inzwischen sind. Die Skydio X10 ist ein 5-Pfund-Quadcopter, der sowohl Farbkameras als auch Wärmebildkameras trägt und damit Menschen als Wärmesignaturen auch in der Nacht sichtbar macht. Das Gerät verfügt über autonomes Auto-Tracking: Einmal auf ein Ziel gesetzt, hält die Drohne das Objekt automatisch im Zentrum des Bildes, auch wenn es sich durch Straßen, hinter Gebäude oder in Innenhöfe bewegt. Im dokumentierten Fall wurden innerhalb einer einzigen Stunde vier verschiedene Drohnen eingesetzt, um einen einzigen Verdächtigen zu verfolgen.
Das archivierte Material umfasste 60 Videos aus 20 separaten Flügen, jeweils aufgezeichnet aus drei Perspektiven: Farbkamera, Wärmebildkamera und einer Draufsicht-Kamera von der Dockingstation. Dazu kamen sekundengenaue Telemetriedaten mit GPS-Koordinaten, Flughöhe, Geschwindigkeit und Batteriestand für jeden Flug. Sechs Pilotennamen und deren dienstliche E-Mail-Adressen waren ebenfalls im Datenstrom enthalten.
Der eigentliche Skandal: Unbeteiligte im Visier
Was den Vorfall von einem technischen Versehen zu einem echten Datenschutzskandal macht, ist nicht der Leak selbst – sondern was die Drohnen filmten. Eine automatisierte Bildanalyse der 20 Farbvideos zählte in einem einzigen Frame an einer Kreuzung 34 Menschen, die die Straße überquerten oder auf dem Bürgersteig standen. Über alle Videos hinweg wurden Gesichter von Dutzenden Personen klar erkennbar aufgezeichnet.
Besonders aufschlussreich sind die Einsatzgründe, die in den Polizeiprotokollen vermerkt wurden. Eine Drohne wurde wegen eines angeblichen Autodiebstahls losgeschickt und verfolgte dabei zwei junge Männer bis zu einem Basketballplatz – wo sie einfach anfingen zu spielen. Eine andere Drohne, ausgelöst durch den Hinweis auf eine „bewaffnete Person", zoomte auf einen offensichtlich betrunkenen Mann, der auf einem Bürgersteig kauerte. Eine dritte Drohne, eingesetzt wegen eines angeblichen „Eindringlings", filmte minutenlang einen Jugendlichen mit Kopfhörern, der allein auf einem Dach saß.
Das Kernproblem: Polizeidrohnen werden in San Francisco offiziell nur für aktive Ermittlungen und Fahrzeugverfolgungen genehmigt. Was die Aufnahmen zeigen, geht weit darüber hinaus: anlassloses Beobachten von Unbeteiligten, Blicke in Wohnungsfenster, Verfolgung von Menschen, die sich nichts zuschulden kommen lassen. Und all das wurde unbeabsichtigt öffentlich – niemand weiß, wer den Link in den sechs Monaten davor noch gesehen hat.
Wie SFPD und Skydio reagierten
Die SFPD bezeichnete den exponierten Link in einer Stellungnahme als „internen, eingeschränkten Link für Strafverfolgungszwecke", der „unbefugt erlangt und abgerufen" worden sei. Curry und Robert widersprechen dieser Darstellung: Sie haben keine einzige Sicherheitsmaßnahme umgangen – der Link war schlicht offen zugänglich. Die SFPD hat nach dem Hinweis der Forscher strengere Freigabeprotokolle eingeführt. Skydio hat auf eine Anfrage von Wired nicht reagiert.
Das Drohnenprogramm der SFPD: Zahlen und Fakten
| Kennzahl | Stand | Quelle |
|---|---|---|
| Drohnen in der Flotte | 98 (gestartet mit 6 im Jahr 2024) | SFPD Jahresbericht 2025 |
| Einsätze Mai 2024 – März 2026 | Über 1.400 Starts | San Francisco Chronicle |
| Genehmigter Einsatzbereich | Fahrzeugverfolgung, aktive Ermittlungen, Training | SFPD-Richtlinien |
| Dauer des offenen Links | Ca. 6 Monate (Dezember 2025 – Juni 2026) | Wired-Recherche |
| Archiviertes Videomaterial | Über 3 Stunden Farb- und Wärmebild | Curry & Robert |
USA vs. Europa: Was dieser Vorfall für den DACH-Raum bedeutet
In Deutschland, Österreich und der Schweiz gelten für den Einsatz von Polizeidrohnen und die Verarbeitung von Videodaten deutlich strengere Regeln als in den USA. Die Datenschutz-Grundverordnung (DSGVO) verlangt eine klare Rechtsgrundlage für jede Videoüberwachung, einen definierten Zweck und eine strenge Datensparsamkeit. Der EU AI Act, der ab August 2026 voll wirksam wird, verbietet die anlasslose biometrische Massenüberwachung im öffentlichen Raum weitgehend. Was in San Francisco passiert ist – das automatische Verfolgen und Identifizieren von Personen ohne konkreten Verdacht – wäre in dieser Form in Europa rechtlich nicht zulässig.
Das bedeutet jedoch nicht, dass der Vorfall für Europa irrelevant ist. Erstens setzen auch europäische Polizeibehörden zunehmend Drohnen ein, und die technischen Möglichkeiten sind dieselben. Zweitens zeigt der Fall ein strukturelles Problem, das keine Grenzen kennt: Selbst die beste Überwachungstechnologie ist wertlos, wenn die Zugangssicherung versagt. Ein einziger ungesicherter Link, ein vergessenes Passwort, eine falsch konfigurierte Freigabe – und sensible Aufnahmen landen im offenen Netz.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Alle Angaben basieren auf der Wired-Recherche vom Juli 2026 sowie öffentlich zugänglichen SFPD-Berichten.