Das Bundesinnenministerium (BMI) plant eine Zäsur in der deutschen Sicherheitsarchitektur. Ein 648 Seiten starker Referentenentwurf zur Reform des Nachrichtendienstrechts sieht vor, die bisherigen rechtlichen Befugnisse des Bundesamts für Verfassungsschutz (BfV) und des Bundesnachrichtendienst (BND) sowie die Verflechtungen zwischen beiden Institutionen grundlegend neu zu ordnen.

Dahinter verbirgt sich eine umfassende digitale Aufrüstung: Inlands- und Auslandsgeheimdienst sollen im cyber-operativen Bereich zu eigenständigen Akteuren mit erweiterten Hackbefugnissen werden. Zugleich droht das Bundesamt für Sicherheit in der Informationstechnik (BSI) zum digitalen Zulieferer für die Spione zu werden.

Das Innenministerium begründet sein Reformvorhaben mit einer verschärften Bedrohungslage. Die operativen Fähigkeiten der Dienste müssten an die digitale Welt angepasst werden. Ein neues Frühwarnsystem und die Ausweitung der heimlichen Online-Durchsuchung sollen „Schutzlücken“ schließen.

Kritiker sehen darin das bekannte Muster sicherheitspolitischer Gesetzgebung: Tiefgreifende Überwachungsbefugnisse werden als alternativlose Antwort auf eine permanente Gefährdung dargestellt, während digitale Freiheitsrechte weiter unter Druck geraten.

Basis für Hackbacks und Zero-Day-Exploits

Deutlich wird der Kurswechsel etwa bei den „aktiven“ Schutzmaßnahmen. Künftig sollen die Agenten unter bestimmten Voraussetzungen in laufende Cyberattacken eingreifen dürfen, wenn andere Behörden wie die Polizei nicht rechtzeitig handeln können.

Als Beispiel nennt das BMI den Fall, dass ein Dienst bereits die Infrastruktur eines Angreifers infiltriert und dort ein Schadprogramm entdeckt. Dann soll er unmittelbar Gegenmaßnahmen starten dürfen, anstatt die Attacke weiterlaufen zu lassen. Gegner sprechen von einer gesetzlichen Basis für staatliche Hackbacks, durch die die Grenze zwischen defensiver Aufklärung und offensiven Gegenmaßnahmen verschwimmt.

Von besonderer Tragweite ist die Neuregelung des Verhältnisses zwischen BSI und BND. Der geplante Paragraf 10 Absatz 2 BND-Gesetz soll die Übermittlungspflichten öffentlicher Stellen neu regeln. Dem BMI ist etwa die im BSI-Gesetz gesetzte Hürde für die Übermittlung an den BND nur bei „erheblicher Bedeutung für die Bundesrepublik“ zu hoch.

Künftig soll das BSI sicherheitsrelevante Erkenntnisse bereits in frühen Phasen eines Angriffs und teils automatisiert an den BND übermitteln. Begründet wird das damit, dass der Auslandsdienst dank seiner umstrittenen strategischen Fernmeldeaufklärung einzelne Vorfälle in einen globalen Zusammenhang einordnen und so Gefahren früher erkennen könne.

Schwachstellenmanagement für Spione

Brisant ist hier der Umgang mit IT-Schwachstellen. Laut dem Entwurf soll das BSI Erkenntnisse über die technische Funktionsweise entdeckter Sicherheitslücken unverzüglich und möglichst automatisiert an den BND weitergeben. Gerade bei Zero-Days – Sicherheitslücken ohne verfügbaren Hersteller-Patch – entstünde dem BMI zufolge so ein erheblicher operativer Vorteil.

In der Gesetzesbegründung heißt es, der Zeitraum bis zur Schließung einer Schwachstelle könne für „wichtige Arbeiten“ des BND genutzt werden. Zeitverzögernde Prozesse würden die Anwendbarkeit erheblich verringern.

Damit würde das BSI in einen kaum lösbaren Zielkonflikt geraten. Statt Sicherheitslücken möglichst schnell zu schließen, wie es die Ampel-Koalition plante, wird die Zeit bis zur Bereitstellung eines Updates bewusst für geheimdienstliche Zwecke einkalkuliert.

Kontrolle mit begrenzter Reichweite

Als Ausgleich für die erweiterten Befugnisse verweist das Haus von Alexander Dobrindt (CSU) auf eine stärkere rechtsstaatliche Kontrolle. Die Zuständigkeiten sollen beim Unabhängigen Kontrollrat (UKRat) gebündelt werden, der künftig eine gerichtsähnliche Vorabaufsicht ausüben könnte. Doch dessen Möglichkeiten blieben begrenzt.

Auch finanziell markiert die Initiative einen deutlichen Ausbau der Cyberfähigkeiten. Für den BND sind mindestens 40 Millionen Euro an Einmalkosten sowie jährlich 35 Millionen Euro vorgesehen. Beim Verfassungsschutz werden rund 94 Millionen Euro für die Umstellung der IT-Strukturen und laufende Betriebskosten von etwa 269 Millionen Euro veranschlagt.

Parallel zu der Aufrüstung würde die ursprüngliche Schutzfunktion des BSI gegenüber Staat, Wirtschaft und Bürgern in den Hintergrund treten. Der Gesetzentwurf soll den Weg ebnen für zwei deutlich schlagkräftigere Cyber-Nachrichtendienste, deren weitreichende Eingriffe nur begrenzt überprüfbar wären. Die Vorlage muss als nächstes durchs Bundeskabinett. Das Kanzleramt hat bereits ähnliche Überlegungen.

(vbr)

Vor zwei Jahren hat die Europäische Kommission ein Verfahren gegen Meta gestartet, um das süchtig machende Design von Facebook und Instagram zu untersuchen. Heute hat die Behörde die vorläufigen Ergebnisse der Untersuchung vorgestellt: Meta verstößt demnach gegen den Digital Services Act, weil das Unternehmen die Risiken seines Plattformdesigns nicht ausreichend bewertet und ihnen nicht wirksam entgegengewirkt habe.

Zu den problematischen Elementen zählen nach Ansicht der Kommission unter anderem endloses Scrollen, automatische Wiedergabe, Push-Benachrichtigungen und hochgradig personalisierte Empfehlungssysteme. Diese versetzten Nutzer:innen in einen „Autopilot-Modus“ und förderten ungesunde Anwendungsgewohnheiten sowie zwanghafte Nutzung. Nach Angaben der Behörde habe Meta auch nicht ausreichend berücksichtigt, wie viel Zeit Minderjährige nachts auf Facebook oder Instagram verbringen und wie die Formate „Reels“ und „Stories“ ebenfalls zu exzessiver oder zwanghafter Nutzung führen können.

Hilfsmittel sind nicht wirksam genug

Facebook und Instagram bieten zwar Werkzeuge zur Begrenzung der Bildschirmzeit und Funktionen für die elterliche Kontrolle an, doch diese seien nach Einschätzung der Kommission nicht wirksam genug. Die Zeitmanagement-Tools könnten leicht weggeklickt werden und führten nicht zu einer spürbaren Verringerung der Nutzung. Über die Eltern-Tools sagte eine Kommissionsbeamtin gegenüber Journalist:innen: „Man muss schon ein Experte sein, um sie zu finden und zu aktivieren.“

Die Kommission verlangt daher Änderungen des Designs von Facebook und Instagram: Das endlose Scrollen und die automatische Wiedergabe sollen standardmäßig deaktiviert werden, Meta soll wirksame Bildschirmzeit-Pausen einführen und das Empfehlungssystem so ändern, dass es weniger auf möglichst viel Engagement ausgerichtet ist.

Die Grünen-Abgeordnete des Europäischen Parlaments, Alexandra Geese, begrüßt die Entscheidung und kommentiert: „Die Europäische Kommission benennt die Mechanismen, mit denen Instagram und Facebook sehr bewusst Kinder und Jugendliche, aber auch Erwachsene manipulieren und ausbeuten. Und sagt klar: Das verletzt den DSA. Jetzt heißt es dranbleiben, bis echte Änderungen sichtbar sind.”

Kommission gibt keine Frist vor

Meta hat nun die Gelegenheit, zu den vorläufigen Ergebnissen Stellung zu nehmen. Eine Frist gibt es dafür nicht. Die Erfahrung in anderen Verfahren zeigt, dass viel Zeit vergehen kann, bevor eine endgültige Entscheidung getroffen wird. Im Februar hatte die Kommission sehr ähnliche Vorwürfe gegen TikTok erhoben. Seitdem hat es noch keine weitere Entwicklung gegeben.

Es gibt zwei mögliche Ausgänge: Entweder könnte die Behörde Änderungen von Meta akzeptieren und das Verfahren einstellen. Oder sie könnte final feststellen, dass ein Verstoß vorliegt und eine Geldstrafe verhängen, so wie es bisher in zwei Verfahren gegen X sowie Temu passiert ist. Die Strafe kann bis zu sechs Prozent des weltweiten Jahresumsatzes von Meta betragen, aber auch deutlich geringer ausfallen.

Die Kommission stützt ihre Einschätzung auf Metas Risikoanalysen, internen Daten und Dokumenten des Unternehmens, wissenschaftlichen Studien sowie Gesprächen mit Expert:innen.

Ohne sich gründlich darauf vorbereiten oder gar Expert*innen konsultieren zu können, haben die Abgeordneten des Bundestag heute das Zeitalter der automatisierten Überwachung auf Bundesebene eingeläutet. Die massive Verschärfung des Bundespolizeigesetzes hat die schwarz-rote Koalition erst drei Tage vor der Abstimmung offenbart. Mit ihren Stimmen wurde das Gesetz auch verabschiedet. Eigentlich sollte nur eine Anpassung an die Vorgaben des Grundgesetzes beschlossen werden.

2016 hatte das Bundesverfassungsgericht wesentliche Teile des BKA-Gesetzes für verfassungswidrig erklärt. Heimliche Überwachung darf nur in engen Grenzen stattfinden, so der Tenor. Da sich viele Regelungen aus dem BKA-Gesetz auch im Bundespolizeigesetz fanden, wurde auch dessen Entschärfung notwendig. Und aus dieser Entschärfung ist nun eine Verschärfung und damit der Beginn einer neuen Ära der Kontrolle geworden.

Software soll der Polizei bei der Arbeit helfen, sie effizienter machen und Personal einsparen. Eine ganze Reihe von softwaregestützten Überwachungsbefugnissen ist gerade auf dem Weg durch den Bundestag, wurde dort diese Woche bereits in erster Lesung besprochen.

Als erstes final beschlossen wurde am heutigen Freitag das Bundespolizeigesetz: Es erlaubt Videoüberwachung, beispielsweise an Bahnhöfen, die automatisch Menschen identifiziert und Verhalten bewertet. Irene Mihalic, Grünen-Abgeordnete sagte während der Bundestagsdebatte zum Gesetz: „Mit der biometrischen Echtzeitüberwachung greift die Koalition tief in Grundrechte ein.“ Clara Bünger von der Linken sagte: „Die flächendeckende Überwachung wird für Millionen zum Normalzustand.“ Und: „Dafür bekommt der Innenminister fast eine Milliarde mehr als im Vorjahr. Eine Milliarde für Überwachung.“

Mit den kommenden Sicherheitsgesetzen soll die Bundespolizei – wie auch das BKA – zudem eine Art Internet-Suchmaschine für Gesichter und Stimmen und eine KI-gestützte Megadatenbank erhalten, die selbstständig Verdächtige definiert. Die Befugnisse aus den Sicherheitsgesetzen bilden ab, was aktuell technisch möglich ist. Sie sind aus Perspektive der Grundrechte höchst fragwürdig, denn sie setzen alle Menschen unter Generalverdacht.

Entmenschlichung der Polizeiarbeit

Es ist eine Zeitenwende. Wo bislang noch menschliche Polizist*innen uns auf Bildschirmen beobachteten oder Schlüsse aus persönlichen Daten zogen, wird künftig immer öfter Software agieren. Es ist auch: eine Entmenschlichung der Polizeiarbeit.

In zahlreichen Bundesländern wurden oder werden Gesichtersuchmaschine, Megadatenbank und KI-Kameras bereits erlaubt, doch mit der Änderung des Bundespolizeigesetzes werden die Technologien, die bislang nur vereinzelt und in Insellösungen genutzt wurden, bundesweit ausgerollt. Alexander Throm von der CDU sagte bei der finalen Bundestagsdebatte zur Einführung der KI-Kameras: „Das wird maßstabsbildend werden für die Länder der Bundesrepublik.“

Der nun verabschiedete Gesetzentwurf enthält neben der Befugnis zur automatisierten Videoanalyse auch weitere digitale Überwachungsbefugnisse, nämlich Regelungen zur Nutzung von Staatstrojanern, Drohnen, Stillen SMS, IMSI-Catchern, Fluggastdaten-Erhebung und Kennzeichenscannern.

Die KI-Überwachung ist ein Projekt aus Ampel-Zeiten. Es wurde vom Scheitern der Koalition gestoppt, jetzt versucht Schwarz-Rot, es zu vollenden. Doch es kann noch verhindert werden. 2021 hat der Bundesrat eine vorhergehende Fassung des Gesetzes abgelehnt, auch dieses Mal muss er seine Zustimmung geben.