Mit Zero-Days: BND und Verfassungsschutz sollen „Super-Geheimdienste“ werden

Die deutsche Regierung hat eine bedeutende Reform ihres Geheimdienstgesetzes vorgeschlagen, die Bestimmungen beinhaltet, die das Bundesamt für Informationssicherheit (BSI) verpflichten würden, Informationen über bekannte Zero-Day-Schwachstellen mit der ausländischen Geheimdienstbehörde, dem Bundesnachrichtendienst (BND), zu teilen. Dieser Vorschlag, der vom Bundesministerium des Innern (BMI) vorgelegt wurde, hat bei Experten für Cybersicherheit und Verfechtern der bürgerlichen Freiheiten Kontroversen ausgelöst, die argumentieren, dass er das Vertrauen zwischen staatlichen Institutionen und der IT-Sicherheitsgemeinschaft untergräbt.

Gemäß dem Gesetzentwurf könnten Behörden dem BND Informationen, einschließlich personenbezogener Daten, zur Verfügung stellen, sobald konkrete Anzeichen dafür vorliegen, dass diese Daten für ausländische Geheimdienstoperationen relevant sein könnten. Das BSI, das gesetzlich als zentrale Behörde für die Informationssicherheit auf nationaler Ebene tätig ist, würde ausdrücklich verpflichtet, mit dem BND zusammenzuarbeiten. Dieser Schritt stellt eine grundlegende Verschiebung im deutschen Ansatz für die digitale Sicherheitspolitik dar, die von einem auf gegenseitigem Vertrauen basierenden Modell zu einem Modell mit zunehmendem Verdacht und proaktivem Eingreifen führt.

Der Gesetzentwurf beschreibt eine umfassende Transformation der digitalen Sicherheitsarchitektur Deutschlands und betont aktive Maßnahmen zur Bewältigung von Bedrohungen im Cyberspace. Er ermöglicht es Geheimdienstagenturen, in Bereichen, die zuvor als verfassungsrechtlich geschützt galten, freier zu operieren. Zusätzlich legt der Gesetzentwurf nahe, dass Dritte zunehmend in digitale Ermittlungsmaßnahmen des Staates involviert werden können. Die Einbeziehung einer Kooperationspflicht zwischen dem BSI und dem BND passt nahtlos zu diesem neuen Rahmen und wirft Bedenken über den möglichen Missbrauch kritischer Infrastrukturanfälligkeiten auf.

Die vorgeschlagenen Änderungen zielen darauf ab, den Zeitraum zwischen der Entdeckung einer Schwachstelle, der Benachrichtigung der Softwareanbieter und der eventuellen Behebung der Schwachstelle für Intelligenzzwecke zu nutzen. Dieser Zeitrahmen, der derzeit für die schnelle Lösung von Sicherheitsproblemen vorgesehen ist, würde stattdessen verwendet, um diese Schwächen für strategische Vorteile auszunutzen. Der Entwurf bezeichnet diese Praxis als "Wert" für die Situation und hebt die Spannung zwischen unmittelbarer Bedrohungsminderung und langfristigen strategischen Interessen hervor. Kritiker warnen davor, dass diese Verschiebung schwerwiegende Folgen für die gesamte digitale Sicherheitslage Deutschlands haben könnte.

Wenn das BSI als eine Priorität für Geheimdienstoperationen gegenüber der schnellen Behebung von Schwachstellen wahrgenommen wird, könnte dies Organisationen und Forscher davon abhalten, neu entdeckte Schwachstellen zu melden. Dies könnte zu einer Zunahme von nicht behobenen Schwachstellen innerhalb kritischer Infrastrukturen führen, insbesondere in einer Zeit, in der geopolitische Spannungen und hybride Bedrohungen zunehmen. Der Vertrauensverlust zwischen dem BSI und der IT-Sicherheitsgemeinschaft könnte zu einer verminderten Zusammenarbeit führen und schließlich die Verteidigung des Landes gegen Cyberangriffe schwächen. Der Entwurf führt auch umfangreiche rechtliche Änderungen ohne klare Beweise für entsprechende Sicherheitsvorteile ein.

Während das Ministerium erhöhte Bedrohungen als Rechtfertigung für die Erweiterung der Überwachungsbefugnisse anführt, argumentieren Gegner, dass solche Maßnahmen die digitale Freiheit weiter untergraben könnten. Sie schlagen vor, dass die vorgeschlagenen Reformen ein bekanntes Muster in der Sicherheitsgesetzgebung darstellen, in dem erweiterte Überwachungsfähigkeiten als notwendige Reaktionen auf laufende Bedrohungen dargestellt werden, trotz der möglichen Auswirkungen auf die bürgerlichen Freiheiten.

Wenn beispielsweise ein Geheimdienst Malware in der Infrastruktur eines Angreifers entdeckt, bevor die Strafverfolgungsbehörden reagieren können, darf er sofortige Gegenmaßnahmen ergreifen, anstatt auf traditionelle rechtliche Verfahren zu warten.

Öffentliche Einrichtungen müssten Sicherheitsinformationen in früheren Phasen eines Angriffs an den BND übermitteln, manchmal sogar automatisch. Die Begründung dafür ist, dass der BND aufgrund seiner strategischen Kommunikationsüberwachungsaktivitäten isolierte Vorfälle besser in einem breiteren globalen Rahmen kontextualisieren kann, was eine frühere Erkennung von Bedrohungen ermöglicht. Der Umgang mit IT-Schwachstellen ist besonders umstritten.

In Bezug auf Zero-Day-Exploits - Schwachstellen ohne verfügbare Patches - argumentiert der BMI, dass dieser Zeitrahmen für die entscheidende Arbeit des BND genutzt werden kann. Verzögerungen bei der Lösung dieser Probleme würden ihre Anwendbarkeit erheblich reduzieren. Dies würde die BSI in eine schwierige Position bringen, da sie Geheimdienstoperationen gegenüber der sofortigen Schließung von Sicherheitslücken priorisieren müsste, im Gegensatz zur ursprünglichen Absicht der Koalitionsregierung. Finanziell markiert die Initiative eine erhebliche Erweiterung der Cyber-Fähigkeiten und zeigt eine Verpflichtung zur Verbesserung der operativen Reichweite des BND an.

Der Umfang der Aufsichtsmechanismen bleibt jedoch begrenzt, da die Kontrollbefugnisse im Rahmen des unabhängigen Kontrollrats (UKRat) konsolidiert werden, der eine gerichtliche Vorüberwachung mit beschränktem Anwendungsbereich ausüben könnte.