Zur vom Bundeskabinett beschlossenen BND-Reform erklärt Klaus Landefeld, Mitglied des Vorstands von eco – Verband der Internetwirtschaft e. V.:
„Nachrichtendienste brauchen angesichts der veränderten Sicherheitslage moderne technische Fähigkeiten. Aber die Grenze ist dort erreicht, wo der Staat für seine eigenen Zugriffe ein Interesse daran entwickelt, Sicherheitslücken offenzuhalten. Schwachstellen müssen geschlossen werden und dürfen nicht zum Werkzeug für nachrichtendienstliche Zugriffe werden.“
Besonders kritisch bewertet eco die vorgesehene Rolle des BSI. Unternehmen müssen darauf vertrauen können, dass Informationen über Sicherheitslücken beim BSI in erster Linie dazu dienen, diese schnellstmöglich zu schließen und betroffene Systeme abzusichern. Eine grundsätzliche Pflicht zur Informationsweitergabe an den BND schafft hier einen problematischen Zielkonflikt.
„Das BSI darf nicht zum Zulieferer für nachrichtendienstlich nutzbare Schwachstellen werden. Wer eine Sicherheitslücke meldet, muss darauf vertrauen können, dass der Staat alles daransetzt, sie zu schließen und nicht prüft, wie sie sich zunächst noch für eigene Zugriffe nutzen lässt.“
Gerade das kurze Zeitfenster bei neu bekannt gewordenen Schwachstellen zeigt aus Sicht von eco, wo die Priorität liegen muss. Wenn zwischen Bekanntwerden und Behebung teilweise nur wenige Stunden liegen, müssen staatliche Ressourcen auf Absicherung und schnelles Patchen konzentriert werden.
„Wenn nur wenige Stunden bleiben, muss die Antwort des Staates lauten: patchen, nicht zugreifen. Denn jede Schwachstelle, die für den BND nutzbar ist, kann grundsätzlich auch von Cyberkriminellen oder ausländischen Nachrichtendiensten entdeckt und ausgenutzt werden.“
Mit den neuen Einwirkungsbefugnissen verändert sich zudem die Rolle des BND grundlegend. Besonders kritisch ist aus Sicht von eco, dass der Auslandsnachrichtendienst in bestimmten Konstellationen künftig auch im Inland tätig werden kann. Damit können auch Unternehmen und Betreiber digitaler Infrastrukturen in Deutschland unmittelbar in den Wirkungsbereich nachrichtendienstlicher Maßnahmen geraten.
„Ein Auslandsnachrichtendienst darf nicht durch die Hintertür zum Inlandsakteur werden. Wenn der BND künftig auch in Deutschland in IT-Systeme eingreifen kann, braucht es dafür besonders hohe Hürden und eine wirksame unabhängige Kontrolle. Das betrifft die Internetwirtschaft ganz unmittelbar.“
Umso problematischer ist, dass die Reform zugleich die Kontrollmechanismen neu ordnet. Die Aufgaben der bisherigen G10-Kommission sollen weitgehend auf den Unabhängigen Kontrollrat übergehen. Bei Gefahr im Verzug sollen Maßnahmen, die grundsätzlich einer Vorabkontrolle unterliegen, zudem bereits vollzogen werden können, bevor der Kontrollrat sie geprüft hat.
„Mehr Eingriffsbefugnisse dürfen nicht mit weniger Kontrolle einhergehen. Bei so weitreichenden Maßnahmen reicht es nicht, wenn der Nachrichtendienst zunächst handelt und die unabhängige Kontrolle erst im Nachhinein erfolgt. Eine nachträgliche Prüfung kann eine wirksame Kontrolle vor dem Eingriff nicht ersetzen.“
Auch der Einsatz von KI und automatisierten Systemen verschärft diese Frage. Wenn technische Systeme staatliche Eingriffe vorbereiten oder sogar auslösen können, müssen Verantwortlichkeiten eindeutig und Entscheidungen jederzeit nachvollziehbar bleiben.
eco fordert den Bundestag deshalb auf, die Reform insbesondere beim Umgang mit Schwachstellen, bei der Rolle des BSI, bei BND-Maßnahmen im Inland sowie bei der unabhängigen Vorabkontrolle und Begrenzung der neuen Befugnisse deutlich nachzuschärfen.
