Der in dieser Woche vom Bundesinnenministerium (BMI) vorgelegte Entwurf zur Reform des Nachrichtendienstrechts verpflichtet das Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig, ihm bekannte Zero-Day-Schwachstellen an den Bundesnachrichtendienst weiterzugeben. Und das noch bevor überhaupt ein Patch existiert. Was hier als nachrichtendienstliche Notwendigkeit verkauft wird, bedeutet in der Sache die Preisgabe einer über Jahre mühsam erarbeiteten Vertrauensbasis zwischen Staat und IT-Sicherheits-Community und markiert einen Bruch mit dem eigentlichen Auftrag der Behörde.

Wer den Referentenentwurf liest, erkennt schnell, dass es hier lange nicht mehr nur um einzelne Kompetenzverschiebungen geht, sondern um einen grundlegenden Kurswechsel in der digitalen nationalen Sicherheitspolitik. Auf rund 700 Seiten zeichnet sich eine zunehmend aktive Sicherheitsarchitektur ab, in der das Misstrauen im digitalen Raum vom Ausnahmefall zum Regelfall wird.

Die Nachrichtendienste dürfen immer früher im Gefahrenvorfeld tätig werden, der grundrechtliche Kernbereichsschutz wird eingeschränkt und selbst unbeteiligte Dritte können zunehmend in digitale staatliche Aufklärungsmaßnahmen einbezogen werden. Dass ausgerechnet in diesem Entwurf auch eine Kooperationspflicht des BSI gegenüber dem Bundesnachrichtendienst (BND) verankert wird, fügt sich nahtlos in dieses neue Bild.

Sicherheitslücken „in Wert bringen“

Konkret sieht der Gesetzentwurf vor, dass inländische öffentliche Stellen dem BND Informationen einschließlich personenbezogener Daten übermitteln dürfen, sobald tatsächliche Anhaltspunkte für eine Erforderlichkeit zur nachrichtendienstlichen Auslandsaufklärung vorliegen. Für das BSI wird sogar ausdrücklich eine Verpflichtung statuiert. Wer sich ernsthaft mit Cybersicherheit befasst, traut seinen eigenen Augen kaum. Die Begründung des Entwurfs macht einige Hundert Seiten später nämlich deutlich, worum es dem BMI eigentlich geht. Gerade bei Zero-Day-Schwachstellen soll die Zeit zwischen interner Bearbeitung, Meldung an die Hersteller, Behebung des Softwarefehlers und finaler Installation eines Patches künftig genutzt werden, um solche Lücken für nachrichtendienstliche Zwecke auszunutzen – im Entwurf nur lapidar als „in Wert bringen“ bezeichnet.

Das führt die nationale Cybersicherheitsarchitektur Deutschlands in Zukunft ad absurdum. Denn das BSI ist eine Behörde, deren gesetzlicher Auftrag im ersten Paragrafen des BSI-Gesetzes „als zentrale Stelle für Informationssicherheit auf nationaler Ebene“ definiert wird. Und die soll jetzt dazu verpflichtet werden, Informationen über Schwachstellen weiterzugeben, deren rasche Schließung eigentlich ihre Kernaufgabe wäre.

Der Preis des Schweigens

Wenn das BMI nun glaubt, dieser fatale Konstruktionsfehler bliebe folgenlos, irrt es. Sicherheitsforschende und Betreiber kritischer Infrastrukturen und nicht zuletzt NIS2-Betroffene werden sich künftig zweimal überlegen, ob sie entdeckte Schwachstellen noch mit dem BSI teilen. Zumindest solange unklar bleibt, ob eine gemeldete Lücke möglichst zügig geschlossen oder vielmehr geteilt und für nachrichtendienstliche Operationen offengehalten wird. Genau jenes Vertrauen, das die Behörde in den vergangenen Jahren mühsam als neutrale Ansprechpartnerin der IT-Sicherheits-Community aufgebaut hat, steht damit auf dem Spiel – und mit ihm die Bereitschaft, überhaupt noch freiwillig zu kooperieren.

Mittel- und langfristig drohen dadurch mehr offene Flanken in der digitalen Infrastruktur, gerade in einer Zeit, in der ohnehin schon außenpolitische Spannungen und hybride Bedrohungen zunehmen. Der Gesetzgeber handelt sich so ein zusätzliches digitales Sicherheitsrisiko ein.

Kein Beleg für Sicherheitsgewinn

Bemerkenswert ist auch: Der Entwurf nimmt weitreichende Eingriffe vor, obwohl bislang nicht belegt ist, dass offensive Cyberfähigkeiten tatsächlich einen Sicherheitsgewinn erzeugen, der die entstehenden Risiken rechtfertigt. Stattdessen wird mit dem allgemeinen Verweis auf die Erforderlichkeit für die Auslandsaufklärung gearbeitet. Handfeste Evidenz darüber, wie oft solche Zero-Day-Informationen tatsächlich zu belastbaren Erkenntnissen führen, ob man überhaupt in der kurzen Zeitspanne zwischen Bekanntwerden der Schwachstelle und Ausrollen eines Patches sinnvoll tätig werden kann und wie viele zusätzliche Angriffsflächen durch die verzögerte Schließung entstehen – all das bleibt in der Begründung auffällig dünn.

Ein Gesetzentwurf, der derart tief in unsere nationale Cybersicherheitsarchitektur eingreift, sollte diese fachliche Abwägung nicht der politischen Debatte überlassen. Das muss von Anfang an mit belastbaren Zahlen und Nachweisen unterlegt werden.

Verpasste Chancen bei der Geheimdienstkontrolle

Die Reform wäre eine gute und überfällige Gelegenheit gewesen, um die rechtlich diffuse Stellung der Zentralen Stelle für Informationstechnik im Sicherheitsbereich, kurz ZITiS, jenseits eines bloßen Errichtungsbeschlusses auf eine solide gesetzliche Grundlage zu stellen. Doch stattdessen konzentriert man sich auf die falschen Baustellen. Gleichzeitig werden die nachrichtendienstlichen Kontrollmechanismen zunehmend aufgeweicht und in einer Weise zentralisiert, die kaum noch Transparenz über das Vorgehen zulässt.

Was lange währt, wird manchmal eben auch schlecht. Das trifft auf kaum ein Gesetzesvorhaben so sehr zu wie auf diesen Entwurf zur Reform des Nachrichtendienstrechts. Wer das BSI zur Zulieferin einer offensiven Nachrichtendienstpraxis macht, beraubt die Behörde ihrer Glaubwürdigkeit gegenüber der Sicherheits-Community und demoliert ihre Funktion als vertrauenswürdige Mittlerin zwischen Staat und Zivilgesellschaft. Der Gesetzgeber sollte diesen massiven Konstruktionsfehler unbedingt noch im weiteren parlamentarischen Verfahren korrigieren, bevor daraus ein dauerhafter Rückschritt für die Cybersicherheit und digitale Souveränität Deutschlands wird.

(axk)

Der heißeste Juni in Europa seit Beginn der Wetteraufzeichnung. Der letzte Rekord ist erst vom Vorjahr. Sommerliche Hitzewellen sind längst auch in Deutschland Realität. Klimaanlagen, früher hierzulande eher verpönt, rücken deshalb immer stärker in den Fokus. Viele Modelle zum Selberaufstellen sind zeitweise ausverkauft. In der aktuellen Folge von c’t uplink sprechen wir darüber, was die kleinen Klimaanlagen taugen, und blicken auch auf ungewöhnliche Gadgets.

Die heise+-Redakteure Alexander Spier und Jan Philipp Wöbbeking beschäftigen sich schon länger mit den Klimageräten. Alexander Spier hat kürzlich eine günstige Monoblock-Klimaanlage vom Baumarkt getestet. Jan Philipp Wöbbeking bastelt schon länger daran, seine Monoblock-Klimaanlage effizienter zu bekommen, und berichtet von seinen Erfahrungen.

Gemeinsam mit Moderator Keywan Tonekaboni sprechen sie über die verschiedenen Funktionsweisen der Bautypen und darüber, welche Kniffe wirklich helfen und wie praktikabel mobile Split-Klimaanlagen für Mieter sind.

Abseits von Klimaanlagen hat Jan Philipp Wöbbeking gerade noch ganz verrückte Gadgets im Test, angefangen bei einer Weste mit eingebauten Ventilatoren bis hin zu Kühlsystemen fürs Bett. Wie es Jan Philipp Wöbbeking mit der Kühlweste auf einem Festival ergangen ist und welche auch einfachen Tipps die beiden noch für heiße Tage haben, erfahrt ihr in diesem c’t uplink. Bleibt cool!

Zu Gast im Studio: Alexander Spier und Jan Philipp Wöbbeking
Host: Keywan Tonekaboni
Produktion: Tobias Reimer

Artikel zum Thema auf heise+:

► Kühl durch die Hitze: Mythen und Fakten rund um die Klimaanlage 
► Billige Klimaanlage aus dem Baumarkt im Test: Abkühlung für unter 200 Euro 
► Klimaanlagen-Tuning: Mehr Kühlleistung dank Fensterdurchführung und Isolierung 
► Mobile Split-Klimaanlage im Praxistest: Midea PortaSplit sorgt für kühle Sommer 
► Die Klimaanlage fürs Bett im Test: Kühler schlafen in heißen Nächten 
► Sonnenschutzfolien: Einfacher Hitzeschutz für jedes Fenster 

► heise+ Expertentalk: Mobile Klimageräte – Tipps für den Kauf und Betrieb 

► c’t Magazin
► c’t auf Mastodon
► c’t auf Instagram
► c’t auf Facebook
► c’t auf Bluesky
► c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!

(ktn)

Nun also doch: Nach einer bisher beispiellosen Scharade und unter tätiger Mithilfe der Europäischen Volkspartei (EVP) haben die EU-Kommission und die Mitgliedsländer eine erneute Verlängerung der Ausnahmeregelung für die „freiwillige“ Chatkontrolle durchgedrückt. Unter der Fahne des Kinderschutzes geht die Überwachungsmaßnahme kurz vor der Sommerpause doch noch durch das Parlament – und das trotz einer erneuten Mehrheit der Gegenstimmen.

Im Parlament hat sich damit dreimal eine Mehrheit gegen diese Verlängerung ausgesprochen. Sie ist dank einiger Winkelzüge und Hintertürchen in der Geschäftsordnung aber trotzdem nicht vom Tisch. Diese Europäische Union bringt sich damit in Erklärungsnot, warum sie mehr sein soll als nur eine Simulation von Demokratie.

Wie tief darf der Staat blicken?

Konzerne wie Meta oder Google machen es seit Jahren: Sie suchen auf ihren Plattformen nach Darstellungen von sexuellem Kindesmissbrauch. Dabei scannen sie auch private Chats. Weil das gegen EU-Datenschutzregeln verstößt, sollte die befristete Ausnahmeregelung diese Praxis weiter ermöglichen, solange noch um eine solide rechtliche Basis gerungen wird. Besonders strittig dabei: Das von Kommission und Staaten gewünschte „Client Side Scanning“ direkt auf dem Gerät, um Verschlüsselung zu umgehen.

Wir erinnern uns: In einem seltenen Moment der Rebellion hatte sich das Parlament im März dem Wunsch von Kommission und Rat verweigert, die Ausnahmeregelung erneut bedingungslos zu verlängern – und das sogar zwei Mal. Das Parlament zeigte sich allerdings kompromissbereit und verlangte zusätzliche Sicherungen, um die Grundrechte der Europäer zu schützen. Schließlich geht es hier um Eingriffe in die private Kommunikation. Stichwort: Briefgeheimnis.

Schon im März hatte es die EVP mit einem Trick versucht und nach der ersten Ablehnung eine erneute Abstimmung erzwungen. Doch das Parlament blieb standhaft und erteilte der Chatkontrolle auch im zweiten Durchgang eine Abfuhr – mit dem Ergebnis, dass die Ausnahmegenehmigung für Big Tech im April tatsächlich endete.

Demokratie ist, wenn wir bestimmen

Mit diesem Ergebnis eines demokratischen Prozesses hätte die Angelegenheit eigentlich erledigt sein müssen. Doch anstatt sich nun in den stockenden Verhandlungen über eine saubere und grundrechtskonforme Lösung verstärkt zu engagieren, greifen Kommission, Länder und EVP ganz tief in die Trickkiste – und können dabei auf die tatkräftige Unterstützung von Parlamentspräsidentin Roberta Metsola zählen.

Ob Metsola mit dieser Scharade gegen die Geschäftsordnung des Parlaments verstoßen hat, wie einige Abgeordnete meinen, wird im Nachgang zu klären sein. Und immerhin hat das Parlament sich erneut für Änderungen ausgesprochen, die den Plattformen den Zugriff nur auf unverschlüsselte Chats erlauben und Client Side Scanning untersagen sollen. Damit liegt der Ball wieder beim Rat: Die Länder müssen nun entscheiden, ob sie die Änderungen akzeptieren oder die Geschichte nochmal in einen Vermittlungsausschuss geht.

Unabhängig davon bleibt der fatale Eindruck, dass eine europäische Machtelite das Parlament so lange vortanzen lässt, bis sie ihren Willen bekommt. Kommissionspräsidentin Ursula von der Leyen, die ihr ganz persönliches Projekt der Netzkontrolle im Namen des Kinderschutzes seit nunmehr über 15 Jahren vorantreibt, sei klar gesagt: Wer mit einem Parlament so umgeht, verwirkt jedes Recht, mit dem Finger auf Autokraten in Washington oder Budapest zu zeigen. „Unsere Demokratie“ ist dann keinen Deut besser.

(vbr)