Reform des Nachrichtendienstrechts: Bitkom und GFF wollen Nachrichtendiensten Grenzen setzen

Was geschehen ist – die Kernmeldung

Im Kontext der anstehenden Reform des Nachrichtendienstrechts haben sich zwei einflussreiche Akteure, der Digitalverband Bitkom und die Gesellschaft für Freiheitsrechte (GFF), mit einer gemeinsamen Forderung zu Wort gemeldet. Die Organisationen verlangen eine gesetzliche Neuregelung für den Umgang mit Sicherheitslücken in IT-Systemen durch staatliche Stellen. Der Kern ihrer Argumentation ist, dass Nachrichtendienste wie der Bundesnachrichtendienst (BND) und das Bundesamt für Verfassungsschutz (BfV) nicht dazu ermutigt werden dürfen, bekannte Schwachstellen in Software und Hardware bewusst offen zu lassen, um diese für eigene operative Zwecke auszunutzen. Die Reform des Nachrichtendienstrechts, die derzeit diskutiert wird, zielt zwar primär auf eine Erweiterung der Aufklärungsfähigkeiten der Dienste im digitalen Raum ab, etwa durch Befugnisse zur aktiven Cyberabwehr. Bitkom und GFF betonen jedoch, dass eine solche Stärkung der Sicherheitsbehörden nicht zu Lasten der allgemeinen IT-Sicherheit der Bevölkerung, der Wirtschaft und kritischer Infrastrukturen gehen darf. Sie fordern daher verbindliche Leitplanken, die den Schutz informationstechnischer Systeme gesetzlich priorisieren und den Nachrichtendiensten klare Grenzen bei der Nutzung von Sicherheitslücken setzen.

Die Einzelheiten der Forderungen

Das von Bitkom und der GFF veröffentlichte Whitepaper konkretisiert die Forderungen in drei wesentlichen Leitplanken. Die erste Leitplanke besagt, dass die Schließung von Schwachstellen grundsätzlich den Vorrang haben muss. Das bedeutet, dass Prozesse wie die Behebung von Fehlern und das Prinzip der „Responsible Disclosure“ – also die verantwortungsvolle Offenlegung von Sicherheitslücken – gegenüber einer operativen Nutzung durch staatliche Stellen priorisiert werden müssen. Zweitens fordern die Verbände ein Gesetz, das den Umgang mit Lücken streng reglementiert. Sollten Nachrichtendienste von einer Sicherheitslücke erfahren, darf diese nicht ohne Weiteres für operative Zwecke instrumentalisiert werden. Stattdessen soll ein verpflichtender, strukturierter Abwägungsprozess gesetzlich vorgeschrieben werden. In diesem Prozess müssen die Gefahren, die von einer weiteren Verbreitung der Schwachstelle ausgehen, gegen den konkreten Nutzen einer möglichen operativen Nutzung abgewogen werden. Zudem verlangen die Organisationen transparente Kriterien und verbindliche Risikominderungsmaßnahmen für den Fall, dass eine Lücke ausnahmsweise nicht sofort geschlossen wird. Drittens fordern die Akteure den Schutz vertrauensbasierter Meldewege. Informationen über Sicherheitslücken, die dem Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen seiner Melde- und Koordinierungsfunktion anvertraut werden, dürfen unter keinen Umständen an Nachrichtendienste weitergegeben werden. Dies soll auch für freiwillige Übermittlungen gelten, um das Vertrauen in die Sicherheitsinfrastruktur nicht zu untergraben.

Hintergrund der Debatte

Die aktuelle Debatte um das Nachrichtendienstrecht ist vor dem Hintergrund einer sich stetig verschärfenden Bedrohungslage im Cyberraum zu sehen. Die Bundesregierung plant eine umfassende Reform, um den Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz besser für die Herausforderungen der digitalen Ära zu wappnen. Ein zentraler Bestandteil dieser Pläne ist die Einführung von Befugnissen zur aktiven Cyberabwehr, die es den Diensten ermöglichen sollen, effektiver gegen digitale Angriffe vorzugehen. Bitkom und GFF erkennen diese Notwendigkeit einer verbesserten Abwehrfähigkeit grundsätzlich an, sehen jedoch eine erhebliche Gefahr in der bisherigen Praxis oder den potenziellen neuen Befugnissen. Wenn Sicherheitsbehörden Schwachstellen horten oder ihre Schließung verzögern, um sie für eigene Zwecke zu nutzen, entsteht ein Sicherheitsrisiko für Dritte. Da jede nicht behobene Schwachstelle auch von kriminellen Akteuren, fremden Geheimdiensten oder anderen Dritten entdeckt und ausgenutzt werden kann, gefährdet dieses Vorgehen laut dem Whitepaper nicht nur Einzelpersonen, sondern auch Unternehmen, Behörden und die kritische Infrastruktur als Ganzes. Die Initiative von Bitkom und GFF ist somit eine Reaktion auf die Befürchtung, dass die Reform die falschen Anreize für die Dienste setzen könnte.

Die Beteiligten und ihre Positionen

Zu den Hauptakteuren dieser Initiative zählen der Digitalverband Bitkom, der die Interessen der deutschen IT-Wirtschaft vertritt, und die Gesellschaft für Freiheitsrechte (GFF), die sich als Organisation für den Schutz von Grundrechten im digitalen Raum engagiert. Auf der Gegenseite stehen die Nachrichtendienste des Bundes, namentlich der Bundesnachrichtendienst (BND) und das Bundesamt für Verfassungsschutz (BfV), deren Befugnisse durch die geplante Reform erweitert werden sollen. Eine zentrale Rolle nimmt zudem das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein, dessen Funktion als neutrale und vertrauenswürdige Instanz für IT-Sicherheit durch die Forderungen von Bitkom und GFF gestärkt und von nachrichtendienstlichen Zugriffen abgeschirmt werden soll. Die Organisationen stützen ihre Forderungen auf die Rechtsprechung des Bundesverfassungsgerichts. Sie verweisen darauf, dass der Staat eine grundrechtliche Schutzpflicht habe, die auch die Sicherheit informationstechnischer Systeme umfasse. Den Berichten zufolge ist die Auffassung der Verbände, dass das Bundesverfassungsgericht bereits klargestellt habe, dass der Umgang mit Sicherheitslücken einer gesetzlichen Regelung bedarf, um das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme zu wahren. Vertragliche Vereinbarungen, so betonen sie, dürften diese gesetzlichen Vorgaben keinesfalls aushebeln können.

Einordnung der Forderungen

Einzuordnen ist das Vorhaben von Bitkom und GFF als ein Versuch, das Spannungsfeld zwischen staatlicher Sicherheit und individueller Freiheit neu zu justieren. Während die Nachrichtendienste argumentieren, dass sie für eine effektive Abwehr von Cyberangriffen über weitreichende Befugnisse verfügen müssen, warnen die Verbände vor einer Aushöhlung der allgemeinen IT-Sicherheit. Den Berichten zufolge ist die Sorge groß, dass die „aktive Cyberabwehr“ zu einer Schwächung der digitalen Infrastruktur führen könnte, wenn der Staat selbst zum Akteur wird, der Sicherheitslücken offen lässt. Die Forderung nach einem strukturierten Abwägungsprozess ist dabei als Versuch zu verstehen, die Arbeit der Nachrichtendienste einer parlamentarischen und rechtlichen Kontrolle zu unterwerfen, statt sie dem Ermessen der Behörden zu überlassen. Dass Bitkom und GFF hier gemeinsam auftreten, unterstreicht die Dringlichkeit der Debatte, da sowohl wirtschaftliche Interessen als auch grundrechtliche Bedenken in dieselbe Richtung weisen: Die Sicherheit der Systeme muss Vorrang vor der operativen Flexibilität der Dienste haben. Die Forderung nach einer strikten Trennung der Meldewege zum BSI ist dabei als essenziell anzusehen, um das Vertrauen in staatliche IT-Sicherheitsstrukturen nicht zu gefährden.

Offene Fragen und wie es weitergeht

Der vorliegende Quelltext lässt einige Fragen offen, die für die weitere politische Debatte entscheidend sein dürften. So bleibt unklar, wie genau ein „strukturierter Abwägungsprozess“ in der Praxis aussehen soll und welche Institution die Letztentscheidung darüber treffen würde, ob eine Sicherheitslücke offen gehalten werden darf oder nicht. Ebenso wird nicht spezifiziert, welche konkreten „Risikominderungsmaßnahmen“ die Verbände im Detail fordern, falls eine Lücke temporär nicht geschlossen wird. Auch die Frage, wie eine effektive Kontrolle dieser Prozesse durch das Parlament oder unabhängige Stellen sichergestellt werden kann, ohne die operative Arbeit der Dienste zu gefährden, wird im Text nicht abschließend beantwortet. Hinsichtlich des weiteren Vorgehens ist festzuhalten, dass die Reform des Nachrichtendienstrechts ein laufender politischer Prozess ist. Die Forderungen von Bitkom und GFF sind als Beitrag zu diesem Gesetzgebungsverfahren zu verstehen, das darauf abzielt, die neuen Befugnisse der Nachrichtendienste in einen gesetzlichen Rahmen zu betten. Wann genau das Gesetz verabschiedet werden soll und inwieweit die Politik bereit ist, die Forderungen der Verbände in den Entwurf aufzunehmen, geht aus dem vorliegenden Material nicht hervor. Es bleibt abzuwarten, wie die Bundesregierung auf den Vorstoß reagiert und ob die Leitplanken in den Gesetzestext einfließen werden.