EU vs. Google: Der DMA-Streit um Android, KI und die Sicherheit der Nutzer

Die Europäische Kommission treibt zwei parallele Spezifikationsverfahren gegen Google nach dem Digital Markets Act (DMA) voran – eines zur Android-Interoperabilität, das andere zum Teilen von Online-Suchdaten. Beide stoßen auf scharfen Widerstand von Google und externen Sicherheitsexperten, die erhebliche Risiken für Cybersicherheit, Datenschutz und die Integrität der Plattform sehen.

Was die Kommission fordert

Android-Interoperabilität (Artikel 6(7))

Am 27. Januar 2026 leitete die Kommission ein Spezifikationsverfahren ein, um die technischen Maßnahmen festzulegen, die Google umsetzen muss, damit Dritte „eine wirksame Interoperabilität mit denselben Hard- und Softwarefunktionen erhalten, die auch Google-eigene Dienste nutzen“ . Am 27. April 2026 veröffentlichte die Kommission vorläufige Feststellungen, die sich speziell auf Funktionen für KI-Dienste Dritter beziehen. Google soll rivalisierenden KI-Assistenten denselben Zugang zu den Kernfunktionen von Android gewähren, den Gemini genießt – darunter Sprachaktivierung, systemweite Suchintegration und die Fähigkeit, mit anderer Android-Software zu interagieren . Die vorläufigen Feststellungen wurden zur öffentlichen Konsultation gestellt; interessierte Kreise konnten bis zum 13. Mai 2026 Stellung nehmen .

Der DMA erlaubt Integritäts- oder Sicherheitsmaßnahmen nur dann, wenn sie „streng erforderlich und verhältnismäßig“ sind – Google kann also den Zugang Dritter nicht pauschal aus Sicherheitsgründen blockieren, sondern muss jede Einschränkung eng begründen .

Zugang zu Suchdaten (Artikel 5(10))

Ein separates Spezifikationsverfahren, ebenfalls vom 27. Januar 2026, befasst sich mit Googles Verpflichtung, Suchmaschinen und KI-Entwicklern Dritter Zugang zu seinen Online-Suchdaten zu gewähren – einschließlich Daten zu Gemini – zu „fairen, angemessenen und nichtdiskriminierenden Bedingungen“ (FRAND) . Die Reuters-Berichterstattung zufolge umfasst die Leitlinie der Kommission, wie Wettbewerber auf Googles Suchranking-Daten, Klick- und Abfragedaten sowie KI-bezogene Dienste zugreifen können .

Bedenken von Google und externen Experten zur Cybersicherheit und Privatsphäre

Googles Position

Google betont, dass „Android von Natur aus offen ist“ und man „bereits Suchdaten mit Wettbewerbern gemäß dem DMA teilt“, warnt aber: „Wir befürchten, dass ein vorschreibender Ansatz die Sicherheit und Privatsphäre der Nutzer gefährden könnte“ . In einem Blogbeitrag vom September 2025 erklärte Google, der DMA mache es „schwierig, Nutzer vor Betrug und bösartigen Links auf Android zu schützen, da er uns zwingt, unsere legitimen Sicherheitsvorkehrungen abzubauen“ – insbesondere mit Blick auf den Schutz vor Schadsoftware aus inoffiziellen Quellen (Sideloading) . Zudem beklagt Google, dass als „Gatekeeper“ eingestufte Unternehmen in Untersuchungen keinen vollständigen Zugang zu den Akten der Kommission erhielten – ein Verstoß gegen die Verteidigungsrechte im EU-Recht .

Bedenken externer Experten und Thinktanks

• ECIPE warnt in einem Policy Brief, dass Artikel 5(4) DMA Mobilbetreiber zwingen könnte, „unregulierte externe Links zuzulassen, die kritische Sicherheitskontrollen umgehen und Millionen von Smartphone-Nutzern Cyber-Bedrohungen aussetzen“; auch Androids „weit verbreitetes Open-Source-System könnte durch die DMA-Durchsetzung beeinträchtigt werden, was seine Flexibilität, Sicherheit und Innovationsfähigkeit einschränken könnte“ .
• Das Center for Cybersecurity Policy and Law veröffentlichte ein Papier, wonach der DMA-Vorstoß zur Interoperabilität „die Sicherheitskontrollen mobiler Plattformen schwächen könnte“, wenn Kernfunktionen für externe Entwickler geöffnet werden, die nicht denselben Sicherheitsstandards folgen .
• Die Information Technology and Innovation Foundation (ITIF) reichte Stellungnahmen ein, wonach die Entwürfe der Kommission zu weit gingen und „die Sicherheit des Android-Ökosystems untergraben könnten“, wenn Drittanbieter-KI systemweiten Zugriff ohne entsprechende Sicherheitsauflagen erhält .
• Ein arXiv-Computer-Science-Paper (Februar 2025) stellt fest, dass „Interoperabilitätsinitiativen erhebliche Kontroversen ausgelöst haben, da sie neue Sicherheitslücken schaffen, Plattformabwehr schwächen und die Angriffsfläche für böswillige Akteure vergrößern könnten“ .
• Die Stanford Law School TTLF Working Papers beobachten, dass die DMA-Entscheidungen „das Design und die Geschäftsmodelle [der Plattformen] erheblich beeinflussen könnten, mit Auswirkungen weit über die geografischen Grenzen der EU hinaus“ und den transatlantischen Regulierungsgraben zwischen Sicherheit und Wettbewerb vertiefen .

Der weitere Kontext: Wettbewerbsziele der EU vs. Sicherheitserwägungen

Der grundlegende Konflikt des DMA

Der DMA zielt darauf ab, die „Bestreitbarkeit von Märkten in digitalen Märkten zu erhöhen und mehr Raum für Innovation und mehr Wahlmöglichkeiten für Verbraucher zu schaffen“ . Die Interoperabilitäts- und Datenteilungsvorschriften gelten als Schlüssel, um Plattform-Lock-in-Effekte zu durchbrechen – insbesondere im aufkommenden KI-Markt. Die zweijährige Überprüfung der Kommission (Juni 2026) kam zu dem Schluss, dass der DMA „weiterhin zweckmäßig ist und keiner Überarbeitung bedarf“ – ein Signal, dass die EU trotz Warnungen der Industrie vorpreschen will.

Eskalierende Regulierungskonfrontation

Die Spezifikationsverfahren gegen Google folgen auf ähnliche Maßnahmen gegen Apple im Jahr 2025 zur iOS-Interoperabilität für vernetzte Geräte wie Smartwatches . Sie zeigen einen systematischen regulatorischen Vorstoß in beiden großen Mobil-Ökosystemen. Der Konflikt spitzt sich im KI-Bereich zu: Die Kommission will verhindern, dass Android zu einem Wettbewerbsvorteil für Gemini wird. TNW beschreibt es als die Frage, „ob künstliche Intelligenz zum nächsten großen Plattform-Lock-in wird oder zum ersten, der noch vor seiner Etablierung aufgebrochen wird“ .

Konflikt mit anderen EU-Rechtsrahmen

ECIPE stellt fest, dass die „DMA-Durchsetzung zunehmend Spannungen mit anderen EU-Regulierungsrahmen erzeugt, insbesondere im Bereich Datenschutz, Cybersicherheit, geistige Eigentumsrechte und Verbraucherschutz“ . Die Durchsetzung von Interoperabilitätsverpflichtungen zeige dieses Spannungsfeld besonders deutlich, denn was der DMA für den Wettbewerb fordert, könne direkt mit den Anforderungen der DSGVO, der NIS2-Richtlinie und des Cyber Resilience Act kollidieren. Die Kommission räumt dieses Spannungsfeld selbst ein: Der DMA erlaubt Integritätsmaßnahmen nur, wenn sie „streng erforderlich und verhältnismäßig“ sind . Kritiker monieren jedoch, dass die Beweislast beim Gatekeeper liege, was einen abschreckenden Effekt auf proaktive Sicherheitsmaßnahmen habe.

Fazit: Die EU drängt Google, Android-Kernfunktionen und Suchdaten für Wettbewerber zu öffnen – insbesondere im KI-Bereich. Google und zahlreiche Sicherheitsexperten warnen, dass die erzwungene Interoperabilität den Schutz vor Schadsoftware schwächt, Angriffsflächen vergrößert und in Konflikt mit anderen EU-Cybersicherheitsgesetzen gerät.