Das Bundesverfassungsgericht hat die Verfassungsbeschwerde des im Modern-Solution-Prozess angeklagten IT-Experten ohne Begründung abgelehnt. In einer Entscheidung vom 15. September, die heise online vorliegt, heißt es, dass drei Richter und Richterinnen der Dritten Kammer des Zweiten Senats des Gerichtes einstimmig beschlossen haben, dass die Verfassungsbeschwerde nicht zur Entscheidung angenommen wird. Damit hat der Fall Modern Solution seit Juni 2021 alle deutschen Gerichtsinstanzen vom Amtsgericht Jülich bis hin zum Bundesverfassungsgericht in Karlsruhe durchlaufen.
Die Geschichte des freiberuflichen IT-Experten aus Heinsberg in Nordrhein-Westfalen, der eine Sicherheitslücke in einer E-Commerce-Software der Firma Moden Solution aus Gladbeck im Ruhrgebiet entdeckte und dafür statt einer Belohnung eine Anzeige und Durchsuchung erntete, war von vielen Beobachtern aus der deutschen IT-Branche mit Interesse verfolgt worden. Nicht wenige hatten sich nicht zuletzt von der Verfassungsbeschwerde eine Klärung der diversen Rechtsunsicherheiten im Alltag von IT-Experten und Sicherheitsforschern erhofft. Stattdessen liefert die letztinstanzliche Entscheidung des Oberlandesgerichts Köln und nun die Ablehnung der Verfassungsbeschwerde das Gegenteil: Der sogenannte Hackerparagraf 202 StGB macht es in Deutschland heikel wie nie, eine gefundene Sicherheitslücke ans Licht der Öffentlichkeit zu bringen.
Die Saga um Modern Solution nahm Ende Juni 2021 ihren Lauf, als die Öffentlichkeit von einer Sicherheitslücke erfuhr, die dazu geführt hatte, dass Namen, Adressen, Kontodaten und weitere Informationen von rund 700.000 Online-Shoppern frei im Internet abrufbar waren. Die Sicherheitslücke befand sich in einer E-Commerce-Middleware der Firma Modern Solution, die es Anbietern von kleineren Online-Shops ermöglichen sollte, ihre Waren in den großen Online-Shops von Kaufland, Otto, Check24 und anderen Unternehmen anzubieten. Modern Solution hatte die Daten aller Einkäufer, die über diese Software an die Betreiber der Modern-Solution-Software übermittelt worden waren, in einer einzigen Datenbank abgelegt. Das Passwort zu dieser Datenbank auf den Servern von Modern Solution war unverschlüsselt in einer ausführbaren Datei der Middleware-Software gespeichert und für alle Modern-Solution-Kunden gleich. Somit war es mit Zugang zu dieser Software, die zu diesem Zeitpunkt frei aus dem Netz heruntergeladen werden konnte, ziemlich einfach möglich, an diese Daten zu gelangen. Bei heise online hatten wir den öffentlichen Zugang zu diesen Daten damals selbst bestätigen können.
Anstatt den Fehler zu beheben, zeigte sich Modern Solution uneinsichtig, weshalb der IT-Berater, der die Lücke entdeckt hatte, diese an einen E-Commerce-Blogger meldete, um den Druck auf das Unternehmen zu erhöhen. Das führte dazu, dass Modern Solution die Lücke schloss, allerdings zeigte man zusätzlich den Berater, der die Lücke gemeldet, und den Blogger, der darüber berichtet hatte, an. Das Verfahren gegen den Blogger wurde eingestellt, bei dem unabhängigen IT-Experten wurde dann im Oktober 2021 allerdings eine Hausdurchsuchung durchgeführt und sein gesamtes Arbeitsgerät beschlagnahmt.
Im Juni 2023 war die Staatsanwaltschaft Köln zuerst damit gescheitert, den IT-Berater anzuklagen. Das Amtsgericht Jülich lehnte den Prozess mit der Begründung ab, es liege keine Straftat vor, da die Daten, auf die der Sicherheitsexperte im Zuge seiner Untersuchungen Zugriff hatte, nicht effektiv geschützt gewesen seien. Die Staatsanwaltschaft Köln ging in Berufung und im Juli 2023 entschied das Landgericht Aachen, der Fall müsse doch in Jülich verhandelt werden. Die Daten seien besonders gesichert gewesen, da ein Passwortschutz vorlag und das „Abrufen“ der Daten „zudem nur nach einer Dekompilierung möglich war“, lautete das Urteil des Landgerichts. „Die Sicherung des Zugangs mittels Passwort reicht als Zugangssicherung aus“, somit sei der Straftatbestand des Hackens erfüllt.
Im Januar 2024 kam es dann schließlich zum Verfahren vor dem beschaulichen Amtsgericht in Jülich. Die Verteidigung stellte sich auf den Standpunkt, der Angeklagte habe eine Software untersucht, die Modern Solution seinem Kunden zur Verfügung gestellt habe, und zwar mit allen dazugehörigen Daten. Er habe somit nur auf Daten zugegriffen, die für ihn bestimmt gewesen seien. Das Gericht schloss sich dieser Argumentation nicht an und sah eine Straftat im Sinne von § 202a StGB als gegeben an.
Die Staatsanwaltschaft hatte einen erheblichen Teil der Beweisaufnahme damit verbracht, dem Angeklagten nachzuweisen, er habe den Programmcode der Software von Modern Solution dekompiliert, um an das Passwort für die Datenbankverbindung zu kommen. Der Angeklagte gab zu Protokoll, die in Frage kommende Datei lediglich mit einem Texteditor betrachtet und so das Datenbankpasswort im Klartext ausgelesen zu haben. Er habe dies in der unmittelbaren Nähe anderer, bekannter Verbindungsdaten der von ihm zuvor beobachteten MySQL-Verbindung gefunden. In der Beweisaufnahme beschäftigte sich das Gericht nicht direkt mit der entsprechenden Datei, und es wurde auch nicht versucht, die Angaben des Angeklagten zu überprüfen. Auch die Polizei scheint dies nach den im Prozess verlesenen Teilen der Ermittlungsakte nicht getan zu haben. Des Weiteren konnte das Gericht dem Angeklagten nicht nachweisen, das Passwort durch Dekompilieren erlangt zu haben. Die Ermittler der Polizei konnten zwar Indizien für das Dekompilieren der Modern-Solution-Software auf den Rechnern des Angeklagten sicherstellen, dies belegte aber nur, dass er die Software *nach* seinem angeblichen Ausspähen der Daten zurückübersetzt hatte.
Am Ende des Prozesses hatte aber auch dies kaum Auswirkungen auf das Urteil. Der Vorsitzende Richter gab zu Protokoll, dass alleine die Tatsache, dass die Software ein Passwort für die Verbindung gesetzt habe, bedeute, dass ein Blick in die Rohdaten des Programms und eine anschließende Datenbankverbindung zu Modern Solution den Straftatbestand des Hackerparagrafen erfülle. Dass dies, wie die Verteidigung mehrmals betont hatte, im Zuge einer „funktionalen Analyse“ der Software im Auftrag eines Kunden von Modern Solution (der das in Frage kommende Passwort ja mit der Software ausgeliefert bekommen hatte) passiert war, schien bei dieser Entscheidung keine Rolle zu spielen. Mit Bezug auf die Entscheidung des Aachener Gerichts sagte der Jülicher Richter nun, nach eingehender Sichtung der Rechtslage sei man zu dem Schluss gekommen, dass der Gesetzgeber mit der Verschärfung von § 202a StGB im Jahre 2007 offensichtlich bezweckt habe, „das Hacken als Solches unter Strafe zu stellen.“ Unter diesem Aspekt sei ein Schutz der „nicht für Jedermann“ einfach zu umgehen sei, ausreichend, um den Straftatbestand zu erfüllen. Da der Angeklagte nicht vorbestraft war, wurde er zu einer Geldstrafe verurteilt und kam um eine Haftstrafe herum.
Der Angeklagte legte Berufung beim Landgericht Aachen ein, das somit zum zweiten Mal über eine Berufung in dem Fall entscheiden musste. Im November 2024 entschied das Gericht, diese als unbegründet abzuweisen. In dem Prozess übernahm das LG Aachen durchgängig die Einschätzung des AG Jülich, dass der Zugriff auf die gesicherte Datenbank den Straftatbestand erfülle. Zudem war es dem Gericht anscheinend egal, wie der Angeklagte an das Passwort gelangt sei. Das Passwort sei nicht ohne Weiteres zu erraten oder öffentlich bekannt gewesen, das mache den Zugriff zu einer Straftat. In dem Prozess betonte die kleine Strafkammer des Gerichts, dass der Angeklagte eine Strafbarkeit hätte vermeiden können, wenn er den Zugriff in dem Moment abgebrochen hätte, als ihm klar wurde, dass er auf die Daten von Kunden zugreifen konnte, die er nicht hätte sehen dürfen. Dass er diese Daten mit Screenshots dokumentiert habe, was im Prozess unstrittig war, besiegele seine Strafbarkeit.
Die Verteidigung beantragte daraufhin eine Revision des Prozesses beim Oberlandesgericht Köln, dessen 1. Strafsenat am 3. Juli 2025 entschied, dass die Entscheidung des LG Aachen keine Rechtsfehler enthielt und somit rechtskräftig sei. Wie bei Revisionen üblich, wurden in diesem Verfahren die tatsächlichen Umstände des Falles nicht noch einmal untersucht. Da die Verteidigung den Umgang mit dem Angeklagten in den zwei Prozessen in Jülich und Aachen nach wie vor als ungerecht ansah und davon ausging, dass seine verfassungsmäßigen Rechte verletzt worden waren, der Rechtsweg nun aber ausgeschöpft war, legte man im August 2025 Beschwerde beim Bundesverfassungsgericht ein, die nun abgelehnt wurde. Die Entscheidung des Bundesverfassungsgerichts ist unanfechtbar.
Aus diesem Verfahren ergeben sich mehrere wichtige Erkenntnisse für alle, die bei ihrer Arbeit auf Sicherheitslücken in IT-Systemen stoßen könnten. Der Umgang mit dem IT-Experten in diesem Fall zeigt, dass es in Deutschland ein fataler Fehler sein kann, Details zu Sicherheitslücken zu veröffentlichen – auch wenn diese bereits geschlossen wurden. Des Weiteren macht das Verfahren deutlich, dass deutsche Gerichte es unter Umständen als strafbar ansehen, wenn sich ein Programmierer im Auftrag seines Kunden, und zur Lösung von Softwareproblemen, Zugriff auf Daten verschafft, die diesem Kunden von Geschäftspartnern zur Verfügung gestellt wurden
Die Sicherung solcher Daten durch ein wie auch immer geartetes Passwort – und sei dies auch noch so simpel und einfach zu erraten – reicht im Zweifel als Zugriffssicherung im Sinne des Gesetzes aus und macht einen Zugriff auf die Daten zur Straftat. Das trifft auch zu, wenn dieses Passwort als Klartext in einer im Internet öffentlich zugänglichen Software zu finden ist. Jedem, der von Berufs wegen Software analysieren muss, sollte es außerdem zu denken geben, dass deutsche Staatsanwälte es offensichtlich als Indiz für strafbares Verhalten ansehen, wenn man einen Dekompilierer auf dem Rechner hat. Diese Meinung wurde in diesem Fall mehrmals vor Gericht geäußert und teilweise sogar von Richtern übernommen.
Abschließend lässt sich sagen, dass über vier Jahre Modern-Solution-Saga nicht dazu geführt haben, die rechtlichen Unsicherheiten bei der Strafbarkeit von Software-Analyse und dem Veröffentlichen von Sicherheitslücken in Deutschland einzuschränken. Ganz im Gegenteil: Die von den Gerichten vertretenen Rechtsmeinungen machen § 202 StGB, wenn überhaupt, zu einer noch größeren Gefahr denn je für alle, die Software-Qualität in Deutschland verbessern wollen. Und auch das Bundesverfassungsgericht scheint eher dazu geneigt, jedwedes sogenanntes „Hacken“ an sich unter Strafe stellen zu wollen, als sich zum Ziel zu setzen, die Arbeitsumstände für solche IT-Profis zu verbessern, die mit guten Absichten im Sinne der Allgemeinheit handeln.
(nie)
Das Bundeskanzleramt treibt eine umfangreiche Reform des Gesetzes für den Bundesnachrichtendienst (BND) voran. Ziel ist es, den Auslandsgeheimdienst technologisch wie operativ aufzurüsten. Das berichten WDR, NDR und Süddeutsche Zeitung. Ein Kernpunkt der Initiative ist demnach die Befugnis für die Agenten, physisch in Wohnungen einzudringen, um Spionagesoftware wie den Bundestrojaner heimlich direkt auf IT-Systemen von Zielpersonen zu installieren. Das soll helfen, technische Hürden wie Verschlüsselung und die Abschottung von Endgeräten zu umgehen. Das spiegelt einen Trend wider, der sich auf Länderebene abzeichnet: Erst jüngst beschloss das Berliner Abgeordnetenhaus: Die dortige Polizei darf Wohnungen heimlich betreten, um Staatstrojaner zu platzieren.
Weiterlesen nach der Anzeige
Brisant ist auch die vorgesehene Einführung „operativer Anschlussmaßnahmen“, die den BND zur Sabotage im Ausland ermächtigen würden. Bisher war die Arbeit der Behörde darauf beschränkt, Erkenntnisse zu gewinnen und diese für die politische Entscheidungsfindung aufzubereiten. Nach den Plänen soll der Dienst eigenständig handeln dürfen, um die Angriffsfähigkeit gegnerischer Akteure zu schwächen. Dies reicht von der Störung feindlicher Kommunikationsnetze bis hin zur Unschädlichmachung von Waffensystemen durch gezielte Cyberoperationen. Bei Cyberangriffen auf deutsche Ziele soll es dem BND so laut den Berichten erlaubt werden, im Rahmen der umstrittenen „Hackbacks“ aktiv zurückzuschlagen. Die Spione dürften etwa Datenströme umleiten oder die für die Attacken genutzte IT-Infrastruktur im Ausland direkt selbst angreifen.
Der Entwurf sieht vor, dass BND-Mitarbeiter physisch an gegnerischen Geräten oder Waffensystemen Manipulationen vornehmen dürfen. Dies könnte die Sabotage von Raketentechnik oder Zentrifugen umfassen, um deren Einsatz oder Weitergabe in Krisenstaaten zu verhindern. Das Kanzleramt setzt ferner auf moderne Analysewerkzeuge: Der Einsatz von KI zur Datenauswertung soll ebenso verankert werden wie die Nutzung von Gesichtserkennungssoftware. Der Dienst könnte zudem künftig Standort- und Routendaten direkt bei Fahrzeugherstellern oder Werkstätten abrufen. Damit diese weitreichenden Befugnisse greifen, müsste der Nationale Sicherheitsrat zuvor eine Sonderlage feststellen, die eine systematische Gefährdung der Bundesrepublik beschreibt. Der BND würde damit in einer Grauzone zwischen klassischer Spionage und militärischer Verteidigung agieren.
Insgesamt umfasst der Entwurf 139 Paragraphen, was einer Verdopplung des bisherigen Normenwerks entspricht und den Anspruch der Reform unterstreicht. Der BND dürfte künftig so auch verdächtige Drohnen über seinen Liegenschaften mit „geeigneten Mitteln“ abwehren. Das Kanzleramt betont, mit der Leistungsfähigkeit internationaler Partnerdienste wie der NSA Schritt halten zu müssen, um in einer veränderten Weltlage handlungsfähig zu bleiben. Die Vorgaben des Bundesverfassungsgerichts zur Datenübermittlung sollen zwar umgesetzt werden, doch der Fokus liegt auf einer offensiven Ausrichtung. Mit dem Mix aus physischer Infiltration, digitaler Sabotage und KI-Überwachung will die Regierungszentrale den Nachrichtendienst als schlagkräftiges Instrument einer „hemdsärmeligeren“ Sicherheitspolitik positionieren. Zunächst müssen aber die anderen Ressorts zustimmen, damit das parlamentarische Verfahren starten kann.
(mki)
Die elektronische Patientenakte (ePA) ist inzwischen einem Großteil der Bevölkerung bekannt. Gleichzeitig kursieren aber noch viele falsche Informationen über sie. Und nur etwa jede:r Zehnte nutzt die eigene Akte aktiv.
Das sind zentrale Ergebnisse einer „Datenbarometer-Befragung“ der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), Louisa Specht-Riemenschneider. In ihrem Auftrag hat das Meinungsforschungsinstitut info im November rund 1.500 gesetzlich Versicherte zur ePA befragt.
Seit Januar haben die Krankenkassen für alle gesetzlich Versicherten, die nicht widersprachen, eine digitale Patientenakte angelegt. Nach einer Pilotphase wurde die ePA im Frühjahr schrittweise bundesweit ausgerollt. Seit Oktober sind alle Ärzt:innen, Apotheken und Krankenhäuser dazu verpflichtet, die ePA zu nutzen.
Nach knapp einem Jahr kennen 95 Prozent der Befragten die ePA zumindest dem Namen nach. Allerdings verfügen nur 12 Prozent über einen Zugang zu ihrer Akte. Das heißt, sie haben etwa eine Gesundheits-ID und sich mit Hilfe der App ihrer Krankenkasse in die persönliche ePA eingeloggt. Zu den aktiven Nutzer:innen zählen laut Datenbarometer vor allem jüngere Menschen unter 40 und Menschen mit höherem Bildungsabschluss.
Knapp 80 Prozent der Befragten haben ihre ePA noch nicht aktiviert, sie gelten als „passiv Nutzende“. Als Grund führen sie einen fehlenden Bedarf (42 Prozent) und Zeitgründe (26 Prozent) an.
7 Prozent der Befragten haben der ePA widersprochen, 5 Prozent wollen dies noch tun, 3 Prozent sind unentschieden – in der Summe sind das 15 Prozent der Befragten. Die BfDI schließt daraus, dass 85 Prozent der gesetzlich Versicherten ihre ePA behalten möchten.
Auch wenn der Bekanntheitsgrad der ePA steigt, zeigt die Umfrage, dass derzeit noch zahlreiche Fehlannahmen über sie kursieren.
Demnach glauben 43 Prozent der Befragten fälschlicherweise, dass die ePA erst eingerichtet werde, wenn sich Versicherte registriert und die entsprechende App auf ihrem Endgerät installiert haben. Und nur gut ein Drittel von ihnen weiß, dass Versicherte eigenständig Dokumente aus der digitalen Patientenakte löschen dürfen.
Immerhin geben 60 Prozent der Befragten korrekt an, dass die ePA nicht verpflichtend ist. Und knapp 90 Prozent wissen, dass der Arbeitgeber die in der Akte hinterlegten Daten nicht einsehen darf.
Diese Zahlen stützen die Kritik an der Informationspolitik des Gesundheitsministeriums und vieler Krankenkassen. Schon vor dem bundesweiten Roll-out im April hatten Nichtregierungsorganisationen und Patientenschützer:innen deren Vorgehen als intransparent und irreführend gerügt.
Auch die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider kritisierte jüngst im Interview mit netzpolitik.org die Informationspolitik der Krankenkassen:
Damit Menschen sich wirklich befähigt fühlen, informierte Entscheidungen zu treffen, muss ich anders informieren als in einem fünfseitigen Brief, den Versicherte bekommen und dann achtlos in den Müll schmeißen, weil sie denken, das es eine weitere Beitragsanpassung ist.
Laut der Datenbarometer-Befragung haben rund 70 Prozent der Befragten das Informationsschreiben der Krankenkassen zur ePA ganz oder teilweise gelesen; jede*r Zehnte sagt, den Brief nicht erhalten zu haben.
Insgesamt sei „viel zu spät und mit viel zu geringer Priorität informiert“ worden, sagt Louisa Specht-Riemenschneider. Eine Informationskampagne zur ePA unter dem Motto „ePA? Na sicher!“ startete das Bundesgesundheitsministerium Anfang Dezember.
Insgesamt wollen 42 Prozent der Befragten die ePA in den kommenden sechs Monaten aktiv nutzen. Gleichzeitig gaben mehr als vier Fünftel (83 Prozent) von ihnen an, sich umfangreichere Einstellungsmöglichkeiten in der digitalen Patientenakte zu wünschen. Diese Einstellungen können unter anderem steuern, wer Befunde oder verschriebene Medikamenten einsehen darf.
Zugleich ist die Bereitschaft unter den Befragten, ihre Gesundheitsdaten weiterzugeben, relativ hoch: Mehr als zwei Drittel der Befragten würde demnach wichtige medizinische Unterlagen mit behandelnden Ärzt:innen teilen. Genauso viele von ihnen wären dazu bereit, pseudonymisierte Daten zu wissenschaftlichen Zwecken bereitzustellen.
Die Bundesdatenschutzbeauftragte sieht hier einen Zusammenhang. „Die Funktionen und Einstellungsmöglichkeiten bei der ePA müssen für alle verständlich und nachvollziehbar sein“, so Louisa Specht-Riemenschneider. „Das ist die Grundvoraussetzung für einen selbstbestimmten Umgang mit den eigenen Gesundheitsdaten, den sich die Menschen wünschen.“
Eine Woche vor Heiligabend hat die UN-Generalversammlung in New York City einen Konsens zur Zukunft der Internet Governance und der internationalen Digitalpolitik gefunden. Dabei stand viel auf dem Spiel. Denn die sogenannte WSIS+20-Resolution entscheidet nicht nur über die Zukunft des Internet Governance Forums (IGF), sondern darüber, wer künftig Macht über das Internet ausübt. Das sorgte für Zündstoff. Auch wenn die Aufmerksamkeit nur in dieser Woche auf der Resolution lag, waren Stakeholder aus der ganzen Welt schon das ganze Jahr mit dem Prozess beschäftigt.
Dabei zeichneten sich viele Spannungsfelder ab. Eines davon: Welche Rolle sollen Akteure aus der Zivilgesellschaft künftig spielen? Zwanzig Jahre nach dem Weltgipfel zur Informationsgesellschaft in Genf und Tunis (World Summits on the Information Society 2003/2005) stand nicht weniger auf dem Spiel als die Frage, wie das Internet künftig gestaltet wird.
Aus Sicht der digitalen Zivilgesellschaft war dabei besonders wichtig: Welche Zukunft hat das Internet Governance Forum? Und wie wird es künftig gestaltet? Denn das IGF ist einer der letzten Orte, an dem Zivilgesellschaft, Wissenschaft, Wirtschaft, Jugend, technische Community, Politik und Verwaltung gemeinsam über die Zukunft des Internets beraten. Für die digitale Zivilgesellschaft ist es eines der wenigen globalen Foren, in denen ihre Perspektiven institutionell verankert sind und tatsächlich Einfluss entfalten können.
Am Vortag der Abstimmung hat Karsten Wildberger, Bundesminister für Digitales und Staatsmodernisierung, eine Rede gehalten. “Wir sind hier, um unser Engagement für das freie, offene und interoperable globale Internet zu bekräftigen. Seine größte Stärke ist die Offenheit.”
Diese Worte sind ein wichtiges Signal für die Prinzipien, für die sich die digitale Zivilgesellschaft einsetzt. Fast noch wichtiger: Die Bundesregierung will Worten auch Taten folgen lassen. Wildberger kündigte an, dass eine Million Euro aus dem Bundeshaushalt an das globale IGF gehen werden.
Der Hauptstreitpunkt im Prozess war die Zukunft des globalen IGF. In diesem kurzen Zeitfenster ist es gelungen, dass Staaten wie die Ukraine und Russland einen Konsens darüber finden konnten, wie es mit dem Internet weitergeht. Sie haben sich sogar darauf verständigt, das IGF als permanentes Forum der Vereinten Nationen zu etablieren.
Dass sich am Ende eine breite Unterstützung für eine Verstetigung des IGF abgezeichnet hat, ist zwar eine wichtige Errungenschaft. Das Ergebnis ist jedoch ambivalent.
Die Diskussionen über neue, primär staatlich geprägte Formate im IGF zeigen, wie brüchig der Konsens für das Multistakeholder-Modell geworden ist. Ein starkes IGF braucht keine geschlossenen Räume, in denen ausschließlich staatliche Akteure verhandeln. Es braucht bessere Modalitäten, eine nachhaltige Finanzierung und eine klare Anerkennung der Relevanz aller Stakeholder-Gruppen als gleichwertige Teilnehmende. Der erzielte Konsens darf nicht darüber hinwegtäuschen, wie umkämpft der Prozess war.
Der Konflikt kulminierte schließlich in Absatz 101 der WSIS+20-Resolution, der eine stärkere Rolle von Regierungen im IGF vorsieht. Das war ein Anliegen der „Gruppe der 77“, in der sich Länder der globalen Mehrheitsgesellschaft zusammengeschlossen haben, dem die EU mit ihrem Festhalten am Multistakeholder-Ansatz entgegen trat. Die Bundesregierung hat sich im Einklang mit den NETmundial+10-Prinzipien kontinuierlich für die Beteiligung von Stakeholder-Gruppen im internationalen Kontext bemüht.
Dabei besteht jedoch durchaus eine Doppelmoral. Denn auf nationaler Ebene verfolgt die Regierung diesen Anspruch nicht so konsequent. Beim Beteiligungsverfahren zum Deutschland-Stack etwa wurde die Zivilgesellschaft erst nach freundlichen Hinweisen neben Wirtschaftsverbänden als Zielgruppe für Workshops aufgeführt. Auch beim deutsch-französischen Gipfel zur digitalen Souveränität im November in Berlin spielte die digitale Zivilgesellschaft eine Nebenrolle.
Um zu verstehen, wie viel umfangreicher die digitale Zivilgesellschaft in die internationale Digitalpolitik eingebunden ist – im Vergleich zur nationalen und europäischen Ebene –, lohnt sich ein Rückblick auf die zahlreichen Beteiligungsmöglichkeiten bei der Vorbereitung der Verhandlungen zur WSIS+20-Resolution.
In Deutschland begann dies mit einer vom Bundesministerium für Digitales und Verkehr (BMDV) organisierten virtuellen Stakeholder-Konsultation im März 2025, die dort als Prozess für “Feinschmecker” bezeichnet wurde. Bereits im April und Mai fand eine umfangreiche Veranstaltungsreihe zum WSIS+20-Prozess statt, organisiert von zivilgesellschaftlichen Organisationen, an der nun auch das neu geschaffene Bundesministerium für Digitales und Staatsmodernisierung (BMDS) teilnahm.
Hinzu kam ein offenes Konsultationsverfahren der Ko-Fazilitatoren aus Albanien und Kenia, die den UN-Verhandlungsprozess leiteten – wenngleich das Verfahren daraus bestand, dass die Beteiligten drei Minuten ein Statement verlesen konnten, dem meist nur Gleichgesinnte zuhörten.
Zudem setzte sich die EU für die Einrichtung eines Informellen Multistakeholder Sounding Boards ein, welches auch eigene Konsultationen ausgerichtet und kontinuierlich Feedback gegeben hat. Anknüpfend daran konnte die Position der Bundesregierung, die als Gruppe über die EU verhandelt wurde, beeinflusst werden. Informiert bleiben konnte man über die regelmäßigen Updates des BMDS über eine Community-Mailing-Liste.
Für den deutschen Kontext bedeutet WSIS+20 vor allem eines: Der Multistakeholder-Ansatz muss auch national konsequent umgesetzt werden. Andernfalls droht der Ansatz zu einem reinen außenpolitischen Lippenbekenntnis zu verkommen. Die über 170 nationalen, regionalen und Jugend-Internet-Governance-Foren und Initiativen (NRIs), die nun auch in der Resolution hervorgehoben werden, spielen dabei eine Schlüsselrolle.
NRIs sind Orte, an denen globale Aushandlungsprozesse übersetzt, diskutiert und weiterentwickelt werden können, um in nationale und regionale Gesetzgebungsverfahren einzufließen. Die Voraussetzung dafür ist allerdings, dass sie ausreichend finanziell und personell ausgestattet und offen gestaltet sind.
Positiv hervorzuheben ist die signifikante Unterstützung des globalen IGFs durch das BMDS. Gleichzeitig zeigt sich, dass Beteiligung weiterhin zu oft projektbezogen und situativ erfolgt. Gerade vor dem Hintergrund der fehlenden Einbeziehung in Diskussionen rund um digitale Souveränität und Verwaltungsdigitalisierung ist es bedeutsam, zivilgesellschaftliche Expertise frühzeitig und strukturell in alle Bereiche einzubinden.
Das Internet Governance Forum Deutschland steht bislang auf einer fragilen Grundlage. Um seiner Rolle gerecht zu werden, braucht es eine stärkere institutionelle Verankerung, verlässliche Finanzierung und eine klare politische Anerkennung als zentraler Ort für Internet Governance in Deutschland. Nur so kann es langfristig dazu beitragen, internationale Prozesse wie WSIS und den Global Digital Compact mit nationalen Diskursen zu verzahnen.
Außerdem fehlen Räume, in denen in Deutschland über das Domain Name System und kritische Internetressourcen gesprochen wird, für die Internet Corporation for Assigned Names and Numbers (ICANN) und Regional Internet Registries (RIRs) zuständig sind. Auch Diskussionen über die grundlegende Arbeit der Internet Engineering Task Force oder des World Wide Web Consortiums (W3C) fallen zu oft hinten runter. Dort sucht man oft vergeblich nach zivilgesellschaftlicher Expertise. Genau darin besteht die Stärke des IGFs. Es führt all diese Stränge, Gremien und Prozesse zusammen und schafft Räume für Themen der Internet Governance.
Dementsprechend ist die WSIS+20-Resolution kein Endpunkt, sondern lenkt notwendige Aufmerksamkeit auf internationale Digitalpolitik. Die entscheidenden Weichenstellungen stehen noch bevor: bei der Reform des IGF und der anstehenden Diskussion über dessen Modalitäten, bei der weiteren Umsetzung des Global Digital Compacts und bei der Verankerung digitaler Zusammenarbeit in den Nachhaltigkeitszielen (Sustainable Development Goals). In den kommenden Jahren wird sich entscheiden, ob Multistakeholder-Governance weiter ausgehöhlt oder nachhaltig gestärkt wird.
Eines bleibt dabei klar: Ohne Zivilgesellschaft am Verhandlungstisch gibt es keine legitime und zukunftsfähige Digitalpolitik – weder in New York noch in Berlin.
Illustrierte Reise nach New York City › PAGE online
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
SK Rapid Wien erneuert visuelle Identität
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Neue PC-Spiele im November 2025: „Anno 117: Pax Romana“
Donnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
Arndt Benedikt rebranded GreatVita › PAGE online
