Es ist eine Art Berufskrankheit in Ermittlerkreisen: Staatsanwälte sind von ihr befallen, Kriminalbeamte und natürlich Privatdetektive, bisweilen auch die internen Revisionsabteilungen großer Konzerne. Ohne passenden Decknamen wird kaum eine Operation gestartet. Weil das einfacher zu merken ist als ein kryptisches Aktenzeichen - oder einfach, um die Recherchen zu verschleiern.

Seit vergangener Woche weiß man, dass die Konzernrevision der Deutschen Bahn AG sich bei ihren internen Ermittlungen gern an Wortschöpfungen aus Flora und Fauna bediente. Eichhörnchen, Uhu, Kabeljau, Thymian, Rosmarin, Basilikum oder Flieder hießen einige der 43 Operationen, mit denen das Unternehmen in den vergangenen zehn Jahren im Namen der Korruptionsbekämpfung die eigenen Mitarbeiter ausgespäht haben soll. Teils präventiv, ohne konkreten Anlass.

Das zumindest ist der Verdacht der Berliner Datenschützer. Die haben das Mitte November nach einem Treffen mit Bahn-Verantwortlichen in einem achtseitigen Vermerk festgehalten - und damit den Konzern in arge Erklärungsnot gebracht, nachdem der »Stern« das Papier publik machte.

Auf der Suche nach schwarzen Schafen soll die Bahn im Jahr 2003 (Operation »Eichhörnchen") die persönlichen Daten von 774 ihrer Top-Führungskräfte und 500 von deren Ehepartnern mit Daten aus Handelsregistern verglichen haben. Man wollte klären, ob die Manager mögliche Nebentätigkeiten sowie Aufsichtsrats- und Beiratsposten korrekt angegeben hatten.

Darüber hinaus sollen in den Jahren 2002 und 2003 Adressen, private Telefonnummern und Bankverbindungen von Hunderten Mitarbeitern mit Daten von rund 100 000 Bahn-Lieferanten abgeglichen worden sein. Die Konzernrevision wollte feststellen, ob Bahner womöglich eigene Firmen gegründet und dann mit sich selbst Geschäfte gemacht hatten.

Brisanter noch als die Frage, ob die Bahn ihre Mitarbeiter solch einer Rasterfahndung überhaupt unterziehen durfte, ist die, was womöglich mit all den Daten passiert ist, die da gewonnen wurden. Denn die Bahn hat die Recherchen nicht selbst erledigt, sondern an die IT-Spezialisten von Network Deutschland GmbH vergeben.

Das ist jene Firma, die im vergangenen Sommer in die Schlagzeilen geriet, weil sie für die Deutsche Telekom die Telefon-Verbindungsdaten von missliebigen Journalisten und Aufsichtsräten auswertete (SPIEGEL 23/2008). Network-Chef Ralph Kühn soll nach Unterlagen der Telekom im vergangenen Jahr deren Ermittlern Hinweise gegeben haben, dass bei der Bespitzelung von Reportern, Aufsichtsräten und Mitarbeitern möglicherweise auch Daten anderer Unternehmen herangezogen worden sein könnten.

Kontrolle über Konzerngrenzen hinweg? Eine Art deutsche Überwachungsstaat AG? Technisch alles möglich.

Bei der Bahn war Kühn seit Ende der neunziger Jahre gut im Geschäft. Von 1998 bis 2007 kassierte seine Firma von dem Logistikkonzern stattliche 807 280 Euro. Der Kontakt soll über einen früheren Revisionsleiter zustande gekommen sein, der den Network-Mann auf einer Tagung kennengelernt haben will. Kühn muss schnell klargeworden sein, dass die Bahn ein Premium-Klient ist - so wie die Telekom.

Über die Jahre hinweg war kein anderes Unternehmen in Deutschland so von Korruption in den eigenen Reihen betroffen wie die Deutsche Bahn. Rund 20 Milliarden Euro geben die Berliner jährlich für Aufträge aus. Das weckt Begehrlichkeiten.

Vorstandschef Hartmut Mehdorn hatte deshalb bald nach seinem Amtsantritt 1999 angekündigt, den Korruptionssumpf im Konzern »trockenzulegen«. Ohne externe Hilfe war das kaum zu schaffen. Gut, dass es Network gab. Die Firma ist bekannt für Computerprogramme, die große Datenmengen abgleichen können.

Bahn-internen Unterlagen zufolge hat allein das sogenannte Screening zwischen Mitarbeitern und Lieferanten (Projekt Babylon) 300 Treffer gebracht. In der Mehrzahl der Fälle sei der Bahn tatsächlich ein wirtschaftlicher Schaden entstanden, heißt es intern. So habe zum Beispiel ein Beamter, der ohne Wissen der Bahn eine Gebäudereinigungsfirma gegründet hatte, diese selbst mit Aufträgen versorgt. Ein Bahner, der für die Geländepflege eines Werks zuständig gewesen sei, habe dies von seiner eigenen Firma machen lassen. Schaden zusammen fast 400 000 Euro.

Network war auch in anderen Fällen hilfreich. Bei der Aufklärung von Mauscheleien rund um den Verkauf des DB-Fährschiffs »Theodor Heuss« oder bei der Aufdeckung eines Kartells von Bremsbelag-Produzenten.

Doch seit die umfangreichen Recherchen, die Network für die Bahn erledigt hat, im vergangenen Sommer ruchbar wurden, beschäftigen sich auch die Berliner Datenschützer mit den Fällen.

»Wir haben erhebliche Verstöße gegen das Datenschutzgesetz festgestellt«, heißt es in der Behörde. Zwei Fälle erregen besonders ihren Argwohn.

Im Frühjahr 2003 sollen bei vier unter Korruptionsverdacht stehenden Mitarbeitern die Festplatten ihrer Computer kopiert sowie ihre Büros durchsucht worden sein. Dabei seien auch Kontounterlagen in die Hände der internen Ermittler gefallen. Solche Untersuchungen sind gemeinhin eine Sache für den Staatsanwalt. Das Quartett stellte sich dann auch noch als unschuldig heraus. In einem anderen Fall, in dem die Revision einen Denunzianten suchte, der den Konzern anonym bei verschiedenen Finanzbehörden angeschwärzt hatte, wurden E-Mails kopiert und für einen Schriftstilvergleich an Network weitergeleitet.

Bei der Bahn sieht man all diese Fälle weniger dramatisch. Über die Rechtmäßigkeit sogenannter Screenings zwischen Mitarbeitern und Lieferanten gebe es keine Zweifel, behauptet der Antikorruptionsbeauftragte Wolfgang Schaupensteiner, der erst seit Mitte 2007 im Unternehmen ist. Ob und wann die Mitarbeiter darüber informiert werden müssten, darüber gebe es »unterschiedliche Rechtsauffassungen«.

Mitte Januar bezog dann auch die Konzernrevision gegen die Vorwürfe des Berliner Datenschutzbeauftragten Stellung. In dem neunseitigen Papier wehrt sich der Konzern gegen den Generalverdacht der Bespitzelung.

Network sei nur »für konkrete Fälle im Zusammenhang mit compliancerelevanten Sachverhalten eingesetzt worden«. Zudem habe man sich zusichern lassen, dass die »überlassenen Unterlagen« ohne Zustimmung »nicht für einen anderen als den vereinbarten Zweck genutzt werden dürfen«.

So seien bei dem Projekt Babylon »in keinem Fall Verbindungsdaten im Sinne des Telekommunikationsgesetzes genutzt worden. Auch habe man die Network-Untersuchungen, so weit möglich, in den Räumen der Bahn durchführen lassen und die Daten »nach Abschluss der Arbeiten unwiderruflich gelöscht«.

Der Vorwurf der Datenschützer, die Aufträge an Network seien nur mündlich übermittelt worden, liege demnach »an der zeitlichen Dringlichkeit und der Sensibilität der Fälle«. Aber die Revision muss auch einräumen: »Es trifft zu, dass der Betriebsrat aus Gründen der Vertraulichkeit nicht in die fallweise Zusammenarbeit mit Network informiert war.«

Bei der Bahn hält man die Empörung in den Medien für aufgebauscht. Es seien weder Konten ausgespäht, noch Personen innerhalb oder außerhalb des Konzerns bespitzelt worden. »Es gibt keinen zweiten Fall Telekom«, sagt Schaupensteiner. Aber der Ex-Staatsanwalt räumt auch ein: »Ich kann nicht völlig ausschließen, dass es von dritter Seite Verfehlungen gegeben hat.«

Mit Network-Geschäftsführer Kühn, der für Fragen des SPIEGEL nicht erreichbar war, angelte man sich offenbar einen Mann für die Geschäfte in der Grauzone. Das zumindest zeigen seine Aktivitäten bei ebenjenem anderen früheren Staatskonzern: der Telekom.

Dort hat Network nach derzeitigem Kenntnisstand in Absprache mit der Konzernsicherheit Telefonverbindungsdaten von Journalisten, Gewerkschaftern und Managern ausgewertet, um möglichen Lecks im Telekom-Aufsichtsrat auf die Spur zu kommen. Dazu sollen bei der Telekom Telefonverbindungsdaten erhoben worden sein. Anschließend landeten die Daten allem Anschein nach zur Auswertung bei Network.

Durch solch heikle Aufträge hatten Firmen derselben Branche offenbar in mehreren Konzernen Zugang zu sensiblen Reise-, Bank- oder Telefonverbindungsdaten. Ob sie gespeichert, gelöscht oder gar kombiniert wurden, ist bislang Spekulation.

Vielleicht, glaubt ein Sicherheitsexperte, stellten externe Unternehmen bei Bedarf nur Kontakt zwischen Sicherheitsabteilungen der jeweiligen Konzerne her. Kühn selbst hat bisher alle illegalen Machenschaften bestritten.

Bei der Telekom-Bespitzelungsaffäre gibt es zumindest Anhaltspunkte, nach denen sensible Personendaten aus unterschiedlichsten Konzernen miteinander kombiniert worden sein könnten, um potentielle Geheimnisverräter zu überführen. Dabei könnten auch externe Firmen eine Rolle gespielt haben.

So notierte die Telekom-Rechtsabteilung Mitte vergangenen Jahres nach einem Gespräch mit dem Network-Geschäftsführer, dass es Hinweise darauf gegeben habe, die Telekom-Telefondaten könnten etwa mit externen Reisedaten kombiniert worden sein.