Параграф об автоматической передаче уязвимостей BSI в БНД исключен из закона о разведке

Im Juli stand im Referentenentwurf ein Satz, der das Bundesamt für Sicherheit in der Informationstechnik in eine unmögliche Lage gebracht hätte: Es sollte entdeckte Sicherheitslücken an den Bundesnachrichtendienst weiterreichen, möglichst automatisiert, Zero-Days eingeschlossen. Über diese Passage habe ich im Juli geschrieben. Am Mittwoch hat das Bundeskabinett die Geheimdienstreform beschlossen — und genau diese Regelung ist nach übereinstimmenden Berichten nicht mehr dabei. Die Regelung, die es nicht ins Kabinett schaffte Das Innenministerium hatte den Entwurf am 5. Juli veröffentlicht. Der geplante Paragraf 10 Absatz 2 des BND-Gesetzes machte aus dem BSI eine gesetzlich verpflichtete Annahmestelle, die dem Auslandsdienst rohe Schwachstellen durchreicht. In der Verbändeanhörung wurde daraus der Brennpunkt: Die AG Kritis warnte, die Regelung baue IT-Sicherheit ab, statt sie zu stärken, und Betreiber kritischer Infrastrukturen müssten sich fragen, wie vertrauenswürdig das BSI für sie dann noch sei. Der Grünen-Abgeordnete Konstantin von Notz nannte die Pflicht fahrlässig und nicht mit den Vorgaben des Bundesverfassungsgerichts vereinbar. Die Stellungnahmen gingen in dieselbe Richtung. Dass die Pflicht kurz vor der Kabinettsbefassung aus dem Entwurf flog, hat der ARD-Rechercheur Florian Flade am Morgen der Sitzung berichtet. Belastbar ist das bislang nur über seine Meldung: Die Kabinettsfassung selbst ist noch nicht veröffentlicht, und bis das Innenministerium sie einstellt, bleibt das Dokument der eigentliche Beweis. Es gibt eine Behörde, deren Warnmeldungen bei mir im Tagesgeschäft niemand wegklickt, und das ist das BSI. Diese Wirkung hängt daran, dass so eine Meldung genau eine Botschaft hat: schließt das, und zwar schnell. Ein Amt, das dieselbe Lücke parallel an den Auslandsdienst durchreicht, hätte zwei gehabt. Gestrichen ist nicht geregelt An die Stelle der Übermittlungspflicht ist allerdings keine Offenlegungspflicht getreten. Die Streichung führt zurück in das Vakuum, das vorher bestand: Ein gesetzlich geregelter Abwägungsprozess, der festlegt, wann eine dem Staat bekannte Lücke gemeldet und wann sie zurückgehalten wird, fehlt in Deutschland weiterhin. Die Nutzung von Schwachstellen durch den BND läuft auf Grundlage der bestehenden Regelungen weiter. Das erklärt, warum Fachmedien am selben Tag weiter titeln, der BND bekomme Zugriff auf Schwachstellen. Beides stimmt gleichzeitig — verschwunden ist die gesetzliche Zulieferpflicht des BSI, nicht die Praxis dahinter. Für die Verteidigung ist das ein halber Erfolg: Die Behörde, die Lücken schließen soll, wird nicht per Gesetz zur Gegenseite verpflichtet. Mehr aber auch nicht. Was das Kabinett tatsächlich beschlossen hat Das Paket umfasst rund 700 Seiten, stammt aus Kanzleramt und Innenministerium und wurde von Innenminister Alexander Dobrindt und Kanzleramtschefin Nina Warken vorgestellt. Neu ist vor allem, dass die Dienste in eng begrenzten Fällen aktiv eingreifen dürfen — der BND darf laut Legal Tribune Online etwa die IT-Infrastruktur einer fremden Macht während einer laufenden Cyber- oder Desinformationsattacke manipulieren. Dazu kommen der Abgleich biometrischer Daten mit Material aus dem Internet und eine Online-Durchsuchung, die der Auslandsdienst in begründeten Ausnahmefällen auch im Inland fortsetzen darf. Es gibt auch Einschränkungen: Die Beobachtung einer Vereinigung als extremistischer Verdachtsfall wird auf fünf Jahre begrenzt, jede Verlängerung um zwei Jahre braucht die Zustimmung des Innenministeriums. Bisher gibt es auf Bundesebene keine Frist. Der Zeitdruck hinter dem Ganzen ist übrigens kein politischer: Das Bundesverfassungsgericht hat dem Gesetzgeber bis Jahresende gesetzt, um die Regeln zur Inland-Ausland-Fernmeldeaufklärung nachzubessern. Die Kontrolllücke hat ein Datum Interessanter als die Befugnisse ist, wer sie künftig prüft. Die Geheimdienstreform verlagert Zuständigkeiten von der Bundesdatenschutzbeauftragten und der G-10-Kommission zum Unabhängigen Kontrollrat. In einer Analyse für netzpolitik.org ist nachgerechnet worden, was das im Übergang bedeutet: Die Datenschutzbeauftragte verliert ihre Zuständigkeit für individuelle Eingaben Betroffener sofort mit dem Inkrafttreten Anfang 2027, der Kontrollrat soll solche Ersuchen aber erst ab 2029 bearbeiten. Zwei Jahre, in denen sich jemand, der überwacht worden sein könnte, nirgendwo hinwenden kann. Auch die Öffentlichkeit bekommt die Praxis der neuen Regeln lange nicht zu sehen: Der erste öffentliche Bericht des Kontrollrats zu seinen neuen Aufgaben soll die Jahre 2028 bis 2030 abdecken und damit frühestens 2031 erscheinen. Dass die Zero-Day-Zulieferung fiel, zeigt, dass eine Verbändeanhörung wirken kann — wenn eine Regelung eine benennbare Gruppe mit etwas Konkretem zu verlieren hat. KRITIS-Betreiber und Sicherheitsforscher schreiben Stellungnahmen. Die Befugnisse, die in der Geheimdienstreform geblieben sind, verteilen ihre Kosten breiter und leiser. Der Bundestag muss noch zustimmen; die passende Ergänzung bis dahin wäre keine weitere Befugnis, sondern die Regel, die seit Jahren fehlt: verbindliche Kriterien dafür, wann der Staat eine Lücke schließen lässt und wann er sie behält.