KI und Biowaffen: Wie groß ist die Gefahr durch intelligente Systeme?

Technikfolgenabschätzer des Bundestags analysieren die Risiken an der Schnittstelle von KI und Biotechnologie. Sie geben nur vorläufig Entwarnung und sehen Handlungsbedarf.

Die Fortschritte in der Biotechnologie und der Künstlichen Intelligenz verlaufen in beachtlichem Tempo. Wo Forschende noch vor wenigen Jahren monatelang Proteinstrukturen analysierten oder Laborprotokolle manuell anpassten, liefern moderne biologische KI-Modelle und große Sprachmodelle heute in Sekundenschnelle präzise Vorhersagen und Designs. Diese Synergie aus KI und Biotechnologie verspricht Durchbrüche in der Medizin, der Medikamentenentwicklung und der industriellen Produktion. Gleichzeitig wächst weltweit die Sorge vor den Schattenseiten dieser Entwicklung. Kann die Kombination aus Algorithmen und Genforschung dazu führen, dass die Entwicklung gefährlicher Erreger oder gar biologischer Waffen für Laien und Kriminelle zum Kinderspiel wird?

Ein neuer Bericht des Büros für Technikfolgen-Abschätzung beim Deutschen Bundestag (TAB) widmet sich dieser Frage. Die Autoren Harald König und Arnold Sauter haben die verfügbare wissenschaftliche Evidenz ausgewertet und ein differenziertes Bild gezeichnet. Die beruhigende Nachricht vorweg: Nach aktuellem Kenntnisstand senken KI-Modelle die Hürden für die Herstellung biologischer Waffen für Personen ohne tiefgreifende Fach- und Laborerfahrung nicht so entscheidend, wie oft befürchtet wird. Eine Entwarnung für die Zukunft bedeutet das aber nicht, denn die Unsicherheiten sind groß, der Anpassungsbedarf bei den Sicherheitsmechanismen ist akut.

In der internationalen Debatte stehen vor allem drei technologische Stränge im Fokus: generative Sprachmodelle, spezialisierte Biodesignmodelle und automatisierte Laborsysteme. Bei Sprachmodellen wie ChatGPT, Claude oder Gemini zeigten Tests zwar, dass KI-Systeme Fachwissen auf Expertenniveau abrufen können. Doch wenn es um die praktische Anwendung geht, relativieren sich die Befürchtungen. Experimente in realen Laborumgebungen machten deutlich, dass Sprachmodelle Personen ohne Biologie- und Laborerfahrung bei konkreten Aufgaben – etwa der Erzeugung eines einfachen Virus – derzeit nicht besser unterstützen als eine herkömmliche Internetsuche. Das Verstehen von Theorie ersetzt nicht das handwerkliche Geschick und das implizite Wissen, das für die Arbeit im Labor zwingend erforderlich ist.

Komplexer stellt sich die Lage laut dem Report bei den biologischen KI-Modellen dar, die gezielt Proteine und Enzyme entwerfen. Solche Systeme können Gensequenzen von Toxinen theoretisch so umgestalten, dass deren biologische Funktion erhalten bleibt, sie aber von den bisherigen automatischen Sicherheitsfiltern der Gen-Synthese-Hersteller nicht mehr erkannt werden. Dennoch hakt es auch hier an der Praxis: Experimentelle Daten deuten darauf hin, dass rein digital entworfene Varianten komplexer Proteine in der Realität häufig ihre Wirksamkeit verlieren und aufwendig im Labor nachoptimiert werden müssen. Vollständig neuartige Krankheitserreger mit hoher Übertragbarkeit oder Ausweichmechanismen gegen das Immunsystem per Mausklick zu erschaffen, scheitert so bislang an fehlenden qualitativ hochwertigen Datensätzen sowie an der Unberechenbarkeit biologischer Evolution.

Ein drittes Feld betrifft automatisierte Laborplattformen und sogenannte Cloud Labs. Diese ermöglichen es, Experimente remote über das Internet auszuführen. Noch erfordert die Programmierung solcher Abläufe aber tiefes Spezialwissen. Sollten KI-Systeme künftig als Steuerungsschicht fungieren und autarke biologische Forschungslabore ermöglichen, könnten die Anforderungen an die menschliche Expertise allerdings deutlich sinken.

Aus diesen Befunden leitet das TAB ab, dass staatliche Akteure mit den entsprechenden Ressourcen und Großlaboratorien auch weiterhin das Hauptrisiko für komplexe Biowaffenprogramme darstellen. Für nichtstaatliche Akteure oder Einzeltäter blieben bisher eher technisch einfache Angriffe realistisch. Doch genau in diesem Bereich könnten KI-Werkzeuge in Zukunft schrittweise Hürden abbauen, sei es beim Umgehen von Synthese-Kontrollen oder beim Beschaffen von Anleitungen zur Erreger-Isolierung.

Da die Entwicklung extrem dynamisch verläuft und Überraschungen nicht ausgeschlossen werden können, empfiehlt das TAB der Politik eine engmaschige, kontinuierliche Überwachung an der Schnittstelle von KI und Biotechnologie. Ferner gelte es, vorsorgende Sicherheitsarchitekturen aufzubauen. Dazu gehöre eine verpflichtende, EU-weit harmonisierte Überprüfung aller Aufträge für synthetische Nukleinsäuren, um anonymen Nachbestellungen gefährlicher Gensequenzen einen Riegel vorzuschieben. Zudem sollten Fördergelder nur noch an Forschungseinrichtungen fließen, die bei zertifizierten Synthese-Anbietern bestellen.

Auch gestufte Zugangskontrollen für besonders mächtige KI-Biodesignmodelle werden diskutiert. Dabei muss den Experten zufolge stets sorgfältig abgewogen werden, dass die zivile medizinische Forschung und die Entwicklung von Impfstoffen dadurch nicht behindert würden. Nicht zuletzt plädiert das Duo für eine Stärkung der internationalen Biowaffenkonvention sowie für den gezielten Einsatz von KI bei der Früherkennung von Erregern und der Abwehr biologischer Gefahren.

Stefan Krempl

Rechenzentren im Orbit: China zieht ab, Europa droht den Anschluss zu verlieren

Während Peking weltraumgestützte Supercomputer mit staatlicher Macht vorantreibt, droht der EU laut dem Europäischen Institut für Weltraumpolitik eine gefährliche digitale Abhängigkeit im All.

Die Datenmengen, die Tag für Tag auf der Erde und im erdnahen Orbit entstehen, wachsen in exponentiellem Tempo. Satelliten zur Erdbeobachtung, hochauflösende Sensoren und globale Kommunikationsnetze produzieren gewaltige Informationsströme. Marktanalysen prognostizieren bis zum Ende des Jahrzehnts eine Vervierzehnfachung des weltweiten Datenvolumens aus dem All auf rund 500 Exabyte. Doch die Übertragung dieser riesigen Datenmengen auf die Erde stößt zunehmend an physikalische und technische Grenzen. Geringe Bandbreiten bei der Datenverbindung zur Erdoberfläche führen zu Verzögerungen und Engpässen. Gleichzeitig stoßen terrestrische Rechenzentren aufgrund ihres enormen Bedarfs an Strom und Kühlwasser auf der Erde immer öfter an kapazitäre und ökologische Grenzen.

Vor diesem Hintergrund könnten weltraumgestützte Rechenzentren, sogenannte Orbital Data Centres (ODC), an Bedeutung gewinnen. Das Grundprinzip ist einfach, aber technisch anspruchsvoll: Statt Rohdaten zeitintensiv und bandbreitenhungrig zur Erde zu senden, verarbeiten hochleistungsfähige Server direkt im Orbit die Informationen vor Ort. Das würde Echtzeitanwendungen wie die unmittelbare Auswertung von Erdbeobachtungsdaten, KI-Berechnungen oder Sicherheitsanalysen drastisch beschleunigen.

In diesem Wirtschaftszweig zeichnet sich bereits jetzt ein globales Ungleichgewicht ab. Wie ein aktueller Report des European Space Policy Institute (ESPI) von Jermaine F. Gutierrez und Lea Thome darlegt, geht insbesondere China mit großer Entschlossenheit und einer konsequenten Gesamtstrategie voran. Während Europa noch über Machbarkeiten berät, schafft Peking längst vollendete Tatsachen.

Chinas Vorsprung ist kein Zufallsprodukt, sondern das Resultat einer verzahnten Industriepolitik. Bereits im März 2025 brachte das chinesische KI-Satelliten-Startup ADAspace die ersten Einheiten seiner sogenannten Three-Body Computing Constellation ins All, die längerfristig aus Tausenden Rechen-Satelliten bestehen soll. Begleitet wird dieser Trend von einer Vielzahl weiterer Akteure: Startups wie Orbital Chenguang warben Milliarden an Finanzierungen ein, während Unternehmen wie Nayuta Space gigantische Konstellationen planen und Firmen wie Shanghai Xingshu Tiansuan Space Technology eigene Rechennetzwerke im All aufbauen.

Peking betrachtet die Rechenleistung im All laut der Analyse längst nicht mehr nur als Nische, sondern als nächste Schicksalsfrage seiner umfassenden Technologiestrategie. Die staatliche Raumfahrtbehörde CASC verankerte ODCs tief in ihren Fünfjahresplänen. Chinas Staatsführung verbindet straffe politische Vorgaben mit gezielten Anreizen für Kommunal- und Provinzregierungen sowie einer massiven Anschubfinanzierung für private Startups. Förderprogramme der Stadt Peking und der Aufbau spezialisierter Innovationszentren bringen führende Universitäten und Industriepartner zusammen. Durch diesen Vorsprung sichere sich China nicht nur strategische Autonomie, heißt es. Es schicke sich auch an, künftige globale Standards, Regularien und technische Protokolle für eine völlig neue Industrie vor allen anderen Akteuren zu diktieren.

Jenseits von China schläft die Konkurrenz ebenfalls nicht. US-amerikanische Unternehmen treiben die Entwicklung mit voran. So schickte die Firm Starcloud einen Satelliten mit einem Nvidia-Chip in den Orbit, auf dem Googles KI-Sprachmodell Gemma getestet wurde.

Europa drohe in diesem globalen Wettlauf den Anschluss zu verlieren, warnen die Autoren. Zwar gebe es auch auf dem alten Kontinent vielversprechende Ansätze und Pioniergeist. Die Europäische Weltraumorganisation ESA startete im August 2024 den KI-fähigen Forschungssatelliten Φ-sat-2. Initiativen wie das EU-Forschungsprojekt Ascend untersuchten die Machbarkeit weltraumgestützter Serverpark-Architekturen. Ferner kündigte das französische Start-up Alatyr an, ODCs robotergestützt im Weltall fertigen zu wollen. Doch im Vergleich zur staatlich durchchoreografierten Dynamik in China und der Innovationskraft der USA beginnt sich der Rückstand Europas zu vergrößern.

Die Verfasser des Berichts warnen vor den Konsequenzen der europäischen Zögerlichkeit. Sollte der alte Kontinent den Trend verschlafen, drohe eine Abhängigkeit von außereuropäischen Anbietern. Europäischen Institutionen und Unternehmen bliebe in der Folge kaum eine andere Wahl, als kritische Datenströme über fremde Infrastrukturen im All zu verarbeiten. Das würde nicht nur die angestrebte digitale und technologische Souveränität des Kontinents untergraben, sondern auch strategische Nachteile bei der zivilen und militärischen Auswertung von Weltraumdaten nach sich ziehen.

Um dieser Entwicklung entgegenzuwirken, fordert das ESPI einen raschen und entschlossenen Kurswechsel der europäischen Politik. Die EU müsse orbitale Rechenzentren offiziell als Schlüsseltechnologie für die europäische Souveränität anerkennen. Gefragt sei eine gemeinsame Strategie aus politischer Steuerung, gezielter Investitionsförderung und verlässlichen regulatorischen Rahmenbedingungen.

Konkret schlagen die Experten vor, im Rahmen der Moonshot-Projekte des Forschungsrahmenprogramms Horizon Europe für den Finanzzeitraum 2028 bis 2034 eine europäische ODC-Flaggschiff-Initiative ins Leben zu rufen. Zudem sollten ESA und EU durch verbindliche Abnahmeverträge und Auftragsvergaben eine verlässliche Nachfrage signalisieren, um heimischen Startups und Industrieunternehmen Planungssicherheit zu bieten. Durch Arbeitsgruppen mit internationalen Partnern müsse Europa zudem aktiv an globalen Standards für Datenhoheit im Orbit mitwirken.

Allerdings bringt der Boom der orbitalen Serverfarmen nicht nur weltraumpolitische und wirtschaftliche Herausforderungen mit sich. Experten und Umweltschützer schlagen bereits Alarm und warnen vor den gravierenden ökologischen Begleiterscheinungen eines unkontrollierten Wettrüstens im Orbit. Tausende zusätzliche Satelliten erhöhen nicht nur das Risiko von Weltraummüll und Kollisionen. Beim Verglühen ausgedienter Trabanten in der Atmosphäre werden zudem große Mengen an Metalloxiden freigesetzt, welche die empfindliche Stratosphäre und die Ozonschicht dauerhaft schädigen könnten

Parallel droht durch die gigantischen Satellitenflotten eine zunehmende Lichtverschmutzung, die den Nachthimmel für die astronomische Forschung nachhaltig verändert. Europa steht so vor der gewaltigen Aufgabe, den technologischen Anschluss im All zu sichern, ohne dabei die ökologischen Gefahren der Weltraumnutzung aus den Augen zu verlieren.

Algorithmus offen gelegt: So wählt X Inhalte für den „For You“-Feed aus

Die Plattform X gewährt tiefere Einblicke in ihre Empfehlungsmechanismen. Experten bewerten den Schritt positiv, sehen aber deutliche Grenzen.

Die Social-Media-Plattform X hat weitere Bestandteile des Algorithmus veröffentlicht, der hinter dem zentralen „For You“-Empfehlungsfeed steht. Bereits Anfang des Jahres hatte das Unternehmen erste technische Details zugänglich gemacht. Nach eigener Darstellung verfolgt X das Ziel, mehr Transparenz darüber zu schaffen, nach welchen Kriterien Beiträge und Nutzerkonten auf der Plattform verbreitet und bewertet werden.

Ergänzend stellt die Plattform mit dem Werkzeug „Under the Hood“ eine Anwendung bereit, über die Nutzer nachvollziehen sollen können, wie das System ihr Profil und ihre Veröffentlichungen intern einstuft. Das Transparenz-Tool wird vorerst im Rahmen eines Tests nur einer ausgewählten Gruppe von Anwendern verfügbar gemacht. Da soziale Netzwerke den täglichen Medienkonsum von Millionen Menschen maßgeblich prägen, stehen ihre Sortier- und Filtermechanismen seit Langem in der Kritik.

Die Funktionsweise des Empfehlungssystems basiert nach Angaben von X auf einer zwei Teilen. Der Feed enthält einerseits Beiträge von Profilen, denen ein Nutzer aktiv folgt. Dazu kommen Empfehlungen von netzwerkfremden Accounts. Welche fremden Inhalte ausgewählt werden, bestimmen Modelle des maschinellen Lernens. Künstliche Intelligenz übernimmt zudem die spätere Gewichtung der Beiträge. In die Berechnung der Sichtbarkeit fließt maßgeblich ein, wie hoch das System die Wahrscheinlichkeit schätzt, dass ein Anwender mit einem Beitrag interagiert, also beispielsweise ein Like hinterlässt, antwortet oder den Beitrag weiterverbreitet.

Allerdings hat X bestimmte Kernelemente bewusst nicht im Quellcode offengelegt. Dazu gehören etwa die Anweisungen (Prompts) für das Content-Bewertungssystem Grox. Das Plattformmanagement begründet diese Auslassung damit, Manipulationen vorzubeugen und zu verhindern, dass Akteure das System gezielt zu ihrem Vorteil ausnutzen.

Heiko Paulheim, Professor für Data Science an der Universität Mannheim, bewertet das Ausmaß der offengelegten Daten gegenüber dem Science Media Center (SMC) grundsätzlich als Fortschritt. Die aktuelle Veröffentlichung sei deutlich umfangreicher als die Version vom Januar, als noch zentrale Bestandteile fehlten. Mittlerweile seien sowohl Grox als auch große Teile des Ranking-Systems Phoenix öffentlich dokumentiert und in Teilen ausführbar. Dadurch lässt sich die prinzipielle Funktionsweise des Feeds wesentlich besser nachvollziehen.

Allerdings weist Paulheim auf Einschränkungen hin. Sowohl von Grox als auch von Phoenix lägen lediglich vereinfachte Modelle vor. Die im Live-Betrieb tatsächlich genutzten produktiven Systeme, die zugehörigen Trainingsdaten sowie laufende Aktualisierungen bleiben weiterhin unter Verschluss. Zudem fehlen wichtige interne Signale wie Account- und Vertrauensbewertungen, die die Sichtbarkeit erheblich beeinflussen können.

Aus technischer Sicht spielen im Feed zwei Systeme eine Schlüsselrolle: Phoenix prognostiziert Reaktionen und bildet die Basis für das Ranking. Grox prüft Inhalte auf Spam, Sicherheitsrisiken oder Erwachseneninhalte. Die Veröffentlichung erlaubt Forschern zwar Simulationen. Doch da diese in einer synthetischen Umgebung ohne Echtzeit-Signale wie aktuelle Netzwerkstrukturen stattfinden, kann das Verhalten stark von der realen Plattform abweichen. Eine exakte Vorhersage über die Verbreitung konkreter Beiträge ist so nicht möglich.

Auch für gewöhnliche Nutzer bleibt der Mehrwert überschaubar. Zwar können technisch versierte Anwender Teile der Bewertung näherungsweise simulieren. Aber die komplexen KI-Modelle liefern vor allem Scores und Wahrscheinlichkeiten statt verständlicher Begründungen. Das Test-Instrument „Under the Hood“ stellt ferner primär Signale dar. Es erklärt aber nicht deren Zustandekommen oder Wege zur Reichweitensteigerung. Symbolisch bleibt die Veröffentlichung Paulheim zufolge trotzdem bedeutsam, da sie der Forschung wertvolle Experimente mit einem nachgebildeten System erlaube.

Stefan Krempl

Bafög Digital wird Pflicht: Der Papierstapel soll künftig online ins Amt wandern

Das neue Bafög-Gesetz zwingt Studierende ins Online-Portal. Doch weil die E-Akte in den Ländern fehlt, droht hinter den Kulissen der große Digitalstau.

Das Bundeskabinett hat am Mittwoch das 30. Bafög-Änderungsgesetz auf den Weg gebracht und damit das parlamentarische Beratungsverfahren eingeleitet. Erste Verbesserungen sollen zum 1. April 2027 in Kraft treten. Das Bundesministerium für Forschung, Technologie und Raumfahrt unter Dorothee Bär (CSU) verspricht moderne, bürokratiearme Abläufe und eine konsequente Digitalisierung der Bildungsförderung. Der Gesetzentwurf setzt dabei vor allem auf eine digitale Pflicht: Künftig soll die Beantragung von Bafög-Leistungen ausschließlich elektronisch über das zentrale Portal „Bafög Digital“ erfolgen. Papieranträge werden damit zur Ausnahme im Härtefall: Wer Unterstützung braucht oder keinen digitalen Zugang hat, soll von den lokalen Ämtern für Ausbildungsförderung betreut werden. Der Vorstoß zielt darauf ab, die Abläufe für Studierende wie auch für die Verwaltung spürbar zu beschleunigen.

Durch die rein digitale Antragstellung verspricht sich die Bundesregierung erhebliche Effizienzgewinne. Die im Portal integrierten Hilfetexte, Vorauswahlen und automatischen Vollständigkeits-Checks sollen Fehleingaben verhindern und die Bearbeitungszeiten deutlich verkürzen. Für Antragsteller entfällt damit das zeitaufwendige Ausfüllen klassischer Formblätter. Gleichzeitig ermöglicht das Portal den Ämtern die direkte und automatische Übernahme der Antragsdaten in die elektronischen Fachverfahren.

Ergänzt wird die digitale Ausrichtung durch den Wegfall bürokratischer Auflagen: Der Leistungsnachweis ab dem fünften Fachsemester nach § 48 Bafög soll gestrichen werden, was die Verfahren weiter entlasten dürfte. In der Summe weist der Gesetzentwurf einen enormen Bürokratieabbau aus. Für Bürger berechnet die Bundesregierung eine zeitliche Entlastung von über 260.000 Stunden sowie Einsparungen bei Sachkosten von rund 758.000 Euro pro Jahr. Auch auf Verwaltungsseite soll sich der jährliche Erfüllungsaufwand in den Ländern um knapp zwei Millionen Euro verringern.

Die ambitionierten Digitalisierungspläne offenbaren aber eine fundamentale Schwachstelle im Verwaltungsablauf. Während die Antragstellenden zur Nutzung des Online-Portals verpflichtet werden, hapert es auf Seiten der Behörden an den internen Voraussetzungen. Forschungsministerin Bär musste laut Tagesspiegel Background einräumen, dass unklar sei, wann die Bundesländer die elektronische Akte in ihren Förderämtern flächendeckend einführten.

Damit droht das Kernversprechen der Digitalisierung ins Leere zu laufen. Ein rein digitaler Antragseingang bringt kaum Geschwindigkeitsvorteile, wenn die eingehenden Daten auf Seiten der Ämter ausgedruckt, in Papierakten abgeheftet und händisch weiterverarbeitet werden müssen. Die Umstellung der Fachsysteme und Fachanwendungen in den Ländern verursacht auch einmalige Anpassungskosten in Millionenhöhe, ohne dass die administrative Infrastruktur in den Ländern zeitnah mit dem digitalen Antragsportal Schritt halten kann.

Diese strukturelle Verzögerung führt dazu, dass die Digitalisierung der Ausbildungsförderung nach wie vor schleppend verläuft und wertvolle Zeit verstreicht. Obwohl das Gesetz im Kabinett beschlossen wurde, treten wesentliche Teile der Reform erst im Jahr 2027 in Kraft. Bis dahin bleibt das digitale Verfahren ein halbes Versprechen. Das Antragsportal „Bafög Digital“ vereinfacht zwar die Eingabe für die Studierenden und Schüler, verhindert aber nicht die Bürokratiebremse an den Schnittstellen der Länderverwaltung. Solange die E-Akte in den zuständigen Ämtern fehlt, führt der medienbruchfreie Digitalkanalservice an der Behördentür in einen administrativen Stau. Die Reform greift damit zu kurz: Sie verpflichtet die Bürger zur digitalen Kommunikation, verfehlt aber das Ziel eines vollumfänglich durchdigitalisierten Verwaltungsverfahrens, solange der Bund keine verbindlichen Standards für die E-Akte-Einführung in den Ländern durchsetzen kann.

Stefan Krempl

Staatliche Hacks: Warum Deutschland Regeln für IT-Sicherheitslücken braucht

Ein Rechtsgutachten verweist auf Verfassungsverstöße beim Umgang mit Zero-Days. Ein neuer Gesetzentwurf soll dem BND sogar den Eil-Zugriff auf Systeme erlauben.

Wer im digitalen Raum unterwegs ist, verlässt sich tagtäglich auf die Sicherheit von Betriebssystemen, Apps und Netzinfrastrukturen. Doch wenn IT-Sicherheitslücken entdeckt werden, die den Herstellern noch unbekannt sind – sogenannte Zero-Days –, gerät der Staat in ein Dilemma. Auf der einen Seite steht das berechtigte Interesse, Bürger, Unternehmen und staatliche Einrichtungen vor Cyberangriffen, Erpressungs-Software und Wirtschaftsspionage zu schützen. Dafür müssten Schwachstellen umgehend den Herstellern gemeldet werden, damit diese Patches bereitstellen können. Auf der anderen Seite wollen Sicherheitsbehörden und Nachrichtedienste genau diese Lücken geheim halten und als Einfallstor nutzen, um Verdächtige zu überwachen oder offensive Cyberoperationen durchzuführen.

Ein Rechtsgutachten im Auftrag der Gesellschaft für Freiheitsrechte (GFF) erläutert, wie brisant dieser Zielkonflikt auf verfassungsrechtlicher Ebene ist. Ergebnis der juristischen Analyse von Thomas Wischmeyer und Paul Friedl (beide HU Berlin): Deutschland verstößt gegen das Grundgesetz, weil eine formell-gesetzliche Regelung für ein staatliches Schwachstellenmanagement bis heute fehlt. Bereits im Juni 2021 stellte das Bundesverfassungsgericht im Beschluss zu IT-Sicherheitslücken klar, dass aus dem Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme eine konkrete Schutzpflicht des Staates erwächst. Sobald staatliche Stellen von einer unbekannten Schwachstelle erfahren, verengt sich der allgemeine Schutzauftrag zu einer Handlungspflicht. Der Gesetzgeber muss laut den Verfassern verfassungsrechtlich zwingend vorgeben, wie Behörden diesen Zielkonflikt aufzulösen haben.

Dass es bisher an einem transparenten, gesetzlich verankerten Kriterienkatalog fehlt, ist aus rechtsstaatlicher Sicht fatal. Aktuell entscheiden Behörden weitgehend in Eigenregie und intransparent im Exekutivbereich, ob eine Lücke geschlossen oder für eigene Zwecke bevorratet wird. Dabei birgt das Offenhalten immenses Schadenspotenzial. Einem Staat gelingt es selten, exklusiv im Besitz einer Schwachstelle zu bleiben. Ein prominentes Beispiel zeigt die Gefahr: 2016 entwendete die Hackergruppe Shadow Brokers hocheffektive Zero-Day-Exploits des US-Geheimdiensts NSA. Kurz darauf richtete die Ransomware WannaCry weltweite Verheerungen in Hunderttausenden Systemen an.

Die Autoren erläutern daher die verfassungsrechtlichen Mindestanforderungen an ein künftiges Gesetz. Grundsätzlich müsse das Prinzip gelten, dass Schwachstellen im Regelfall unverzüglich an Hersteller gemeldet werden. Die temporäre Geheimhaltung dürfe nur eine absolute Ausnahme sein. Voraussetzung sei ein strukturierter, nachvollziehbarer Abwägungsprozesses, bei dem der Nutzen für eine konkrete Ermittlung gegen die diffusen Gefahren für die Allgemeinheit aufgewogen werde. Diese Entscheidung gehört nach Ansicht der Gutachter nicht in die Hände einzelner Polizeibehörden oder Geheimdienste. Sie müsse durch ein unabhängiges, interministerielles Gremium mit klarer rechtlicher und unabhängiger Kontrolle getroffen werden.

Besonders drängend wird die Debatte durch ein neues Gesetzgebungsvorhaben der Bundesregierung, das genau in die entgegengesetzte Richtung zu steuern scheint. Im Regierungsentwurf zur Reform des Nachrichtendienstrechts offenbart sich, wie intensiv Behörden künftig Schwachstellen und IT-Daten austauschen und ausnutzen wollen. So sieht der Entwurf in Paragraph 11 Absatz 1 Satz 2 vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet werden soll, Informationen und personenbezogene Daten an den Bundesnachrichtendienst (BND) zu übermitteln. Wenn das BSI Kenntnis von Schwachstellen erhält, könnten diese Informationen genutzt werden, um Datenströme gezielt nach Suchbegriffen zu durchsuchen. Diese müssten durch eben jene Schwachstellen angezeigt werden, um laufende Angriffe im Bundesgebiet aufzuklären.

Noch weiter geht Absatz 5 des Entwurfs: Damit soll eine explizite Ausnahme von dem Grundsatz geschaffen werden, dass ein Eingriff in IT-Systeme vorab angeordnet werden muss. Dem BND würde damit die Befugnis zur sogenannten Zugangssicherung eingeräumt. Die Begründung verweist auf eine extreme zeitliche Dringlichkeit. Oft vergingen zwischen dem Bekanntwerden einer technischen Realisierungsmöglichkeit und dem Schließen einer Lücke nur wenige Stunden. Um den Zugriff nicht zu verlieren, soll der BND ein Zielsystem sofort sichern dürfen – noch bevor eine richterliche oder unabhängige Anordnung vorliegt. Zwar betont die Regierung, dass bis zur Bestätigung durch den Unabhängigen Kontrollrat keine über die reine Zugangsschaffung hinausgehende Datenverarbeitung stattfinden dürfe. Trotzdem zeigt sich hier ein gravierender Eingriff in die Systemintegrität: Der Staat schafft sich im Eilverfahren Zugang zu Geräten, ohne dass die betroffenen Bürger oder unabhängige Stellen im Moment des Zugriffs eingreifen können.

Auch der Ankauf kommerzieller Spyware von privaten Anbietern sowie die Zusammenarbeit mit ausländischen Geheimdiensten verschärft die Lage. Wenn der Staat Trojaner von Drittanbietern erwirbt, deren Funktionsweise oder gar dahinterliegende Sicherheitslücken er nicht vollumfänglich kontrollieren kann, umgeht er potenziell das verfassungsrechtlich gebotene Schwachstellenmanagement. Auch hier fordern die Gutachter strikte gesetzliche Leitplanken, etwa durch streng gehandhabte Whitelists oder gar ein vollständiges Verbot kommerzieller Überwachungssoftware.

Der Gesetzgeber steht damit vor einer doppelten Aufgabe. Er darf sich nicht darauf beschränken, den Sicherheitsbehörden immer schnellere und tiefere Zugriffsrechte auf digitale Systeme einzuräumen. Er muss gleichzeitig seiner Schutzpflicht nachkommen und ein verfassungskonformes Schwachstellenmanagement etablieren. Nur wenn klare Gesetze festlegen, wann Sicherheitslücken gemeldet werden müssen und wie geheim gehaltene Exploits gesichert werden, lässt sich das Vertrauen in die digitale Infrastruktur aufrechterhalten.

Stefan Krempl

Schnittstellen statt Portale: Wie digitale Daseinsvorsorge gelingen könnte

Eine Studie zeigt, wie offene Protokolle ein vernetztes System schaffen könnten, das das Chaos bei Online-Hilfsangeboten und behördlichen Diensten beendet.

Einen Arzttermin bucht man heute in zwei Minuten am Smartphone. Wer dagegen ein Kind erwartet, Angehörige pflegt oder nach Hilfe sucht, landet weiterhin in einem Geflecht aus Zuständigkeiten, Webseiten, Hotlines und Formularen. Eine vor Kurzem veröffentlichte Studie im Auftrag der Stiftung Mercator, für die der Informatiker und Transformationsberater Henning Tillmann über 40 Gespräche mit Sozialanbietern, Unternehmen, gemeinnützigen Organisationen und technischen Fachleuten geführt hat, beschreibt dazu einen Ausweg. Unter dem Namen Dida (Digitale Daseinsvorsorge) entwirft der Experte das Konzept einer staatlich geförderten, aber dezentralen technischen Infrastruktur.

Das Kernproblem heutiger Ansätze liegt darin, dass staatliche Digitalinitiativen wie die geplante Deutschland-App oder der Deutschland-Stack in der Regel dort enden, wo die direkte Zuständigkeit des Staates aufhört. Der Alltag der Menschen tut das nicht. Zwischen dem Elterngeldantrag und dem Kita-Platz liegen Hebammen, Rückbildungskurse und Elternberatung. Zwischen Pflegegrad und Pflegealltag stehen Sozialstationen, Selbsthilfegruppen und Fahrdienste. Den wesentlich größeren Teil dieser Versorgungslandschaft erbringen Wohlfahrtsverbände, Zivilgesellschaft und lokale Unternehmen. Weil für sie bis heute verbreitete Schnittstellen zum Staat fehlen, digitalisieren reine Verwaltungslösungen allenfalls die kleinere Hälfte der Daseinsvorsorge.

Dieser Mangel an Verknüpfung ist längst kein Komfortproblem mehr. Der Staat organisiert seine Leistungen traditionell nach Paragrafen, Produkten und Zuständigkeiten, während Menschen schlicht Lebenslagen wie eine Schwangerschaft, eine Pflegenotwendigkeit oder finanzielle Sorgen erfahren. Weil der Zugang zu Hilfe derzeit von Zeit, Sprache, Bildung und individueller Suchkompetenz abhängt, wird ein erheblicher Teil zustehender Sozialleistungen gar nicht erst abgerufen. Wenn Bürger das System wiederholt als kompliziert, langsam und unübersichtlich erleben, untergräbt das nachhaltig das Vertrauen in die staatliche Handlungsfähigkeit. Dieser Effekt spiegelt sich auch in aktuellen Tiefstständen bei entsprechenden Umfragen wider.

Das Dida-Konzept schlägt deshalb vor, nicht bei Formularen, sondern bei den konkreten Lebenslagen anzusetzen. Statt eine weitere zentralistische Superplattform oder ein künftiges Millionengrab mit doppelten Entwicklungskosten zu schaffen, setzt der Ansatz auf dezentrale, offene Schnittstellen (APIs) und standardisierte Protokolle. Angebote verbleiben bei ihren jeweiligen Trägern. Verbunden wird über die Software nur das, was für die konkrete Servicekette notwendig ist. In der Handhabung soll das System für Bürger so einfach wie kommerzielle Buchungsplattformen funktionieren, im technischen Aufbau aber deren Gegenteil darstellen: Es gibt keinen zentralen Datentopf und keine kommerziellen Lock-in-Effekte. Stattdessen sichern Prinzipien wie dezentrale Speicherung, Datenminimierung und strikte Nutzereinwilligung die digitale Souveränität.

Über definierte Konnektoren ließe sich eine solche Infrastruktur nahtlos an den staatlichen Deutschland-Stack sowie an moderne KI-Chatbots oder MCP-Server (Model Context Protocol) anbinden, heißt es in der Analyse. Letztere griffen so auf verifizierte Daten zu, statt halluzinierte Antworten zu liefern. Gleichzeitig ermögliche es der Einsatz moderner KI-Werkzeuge, heterogene Informationen von kleinen Vereinen oder lokalen Anbietern ohne Programmieraufwand automatisiert in strukturierte Schnittstellen zu übersetzen. Um überlastete Anbieter einzubinden und der Resignation gegenüber komplexer IT entgegenzuwirken, müsse das System die Träger von administrativem Aufwand und Telefonaten entlasten. Dazu schlägt Tillmann die Gründung einer agilen Dida-Serviceagentur vor. Diese soll als handlungsfähige Stelle die technischen Spezifikationen bereitstellen, Organisationen beim Onboarding begleiten und den laufenden Betrieb koordinieren, damit öffentliches Geld nachhaltig in wiederverwendbare Infrastruktur statt in isolierte Insellösungen fließt.

Eine aktuelle Zusammenfassung der Untersuchung findet sich auch bei Table.Media.

Stefan Krempl

Open Source im Mobilfunk: Europas Telcos kämpfen um digitale Souveränität

Eine Studie von OpenForum Europe offenbart: Netzbetreiber schöpfen Open Source nicht aus. Es fehlt an eigenen Entwicklern, nicht am verfügbaren Quellcode.

Die europäische Telekommunikationsbranche steht an einem entscheidenden Wendepunkt. Mobilfunk- und Festnetze wandeln sich aktuell von starr integrierten Hardware-Monolithen zu flexiblen, softwaregesteuerten und cloud-basierten Architekturen. Parallel rückt Open-Source-Software immer stärker ins Zentrum der Netzwerkinfrastruktur. Doch obwohl Entwickler aus Europa weltweit rund ein Drittel aller Open-Source-Beiträge leisten, gelingt es den hiesigen Telekommunikationskonzernen bislang kaum, diesen Vorteil in kommerzielle Stärke und strategische Kontrolle umzumünzen. Zu diesem Ergebnis kommt eine Untersuchung der Denkfabrik OpenForum Europe zur Rolle von freier Software in der europäischen Telco-Industrie.

Der technologische Wandel der letzten Dekade hat die Netze grundlegend verändert. An die Stelle proprietärer Spezialhardware traten schrittweise Software-Defined Networking, Netzvirtualisierung und containerbasierte Cloud-Infrastrukturen. In diesem neuen Paradigma bilden Open-Source-Lösungen wie Kubernetes, OpenStack sowie Branchenprojekte wie Sylva für die Telco-Cloud oder Camara für Netz-APIs das digitale Fundament. Das zentrale Problem der europäischen Netzbetreiber liegt laut der Analyse keineswegs im Mangel an geeignetem Quellcode, sondern in der geschrumpften Eigenkompetenz der Unternehmen.

Über drei Jahrzehnte hinweg haben europäische Netzbetreiber wesentliche Teile ihrer Softwareentwicklung an Ausrüster wie Nokia und Ericsson ausgelagert. Dieser Abfluss an eigener Engineering-Kapazität rächt sich heute. Die meisten Betreiber agieren laut dem Bericht als passive Konsumenten, die Open-Source-Software vorgefertigt in proprietären Komplettlösungen ihrer Lieferanten beziehen. Dadurch entstehe ein Teufelskreis: Ohne eigene Entwicklerteams fehle den Anbietern die Fähigkeit, Software-Stacks eigenständig anzupassen, Fehler im Quelltext zu beheben oder auf Augenhöhe mit Ausrüstern zu verhandeln. Die technische Souveränität bleibe so weitgehend beim Lieferanten.

Wie eine erfolgreiche Transformation aussehen kann, verdeutlichen führende Netzbetreiber. Der französische Konzern Orange demonstriert mit seiner Open Source Factory, wie strategische Beschaffung als Hebel wirkt. Bei Ausschreibungen fordert der Konzern von Herstellern konsequent die Einhaltung offener Schnittstellen und standardisierter Open-Source-Kontrollpunkte. Netzbetreiber wie die Deutsche Telekom wiederum übernehmen Führungspositionen in neutralen Konsortien wie der Linux Foundation, um strategische Schlüsselprojekte wie Camara voranzutreiben und globale Branchenstandards mitzugestalten. Solche Ansätze bleiben indes vorerst die Ausnahme: Mittelgroße und regionale Betreiber verfügen meist weder über das Budget noch über die personellen Kapazitäten für eine aktive Mitarbeit im Open-Source-Ökosystem.

Zusätzlich bremst die Zersplitterung des europäischen Marktes den Fortschritt. Während in den USA wenige Großkonzerne agieren, konkurrieren in Europa rund 170 Netzbetreiber primär über Preise und Netzabdeckung statt über innovative Dienste. Dadurch schrumpfen die Margen für langfristige Forschung und Entwicklung. Die Autoren der Studie plädieren daher für eine stärkere Kooperation bei nicht-differenzierenden Infrastrukturschichten. Statt dass jeder Betreiber eigene Parallellösungen entwickelt, sollten gemeinsame Open-Source-Fundamente wie Sylva genutzt werden. Erst auf den darüber liegenden Dienstleistungsebenen und bei KI-gestützten Netzfunktionen mache ein Wettbewerb der Anbieter wirtschaftlich Sinn.

Gleichzeitig fordern die Experten Anpassungen der EU-Politik. Bisherige Förderinstrumente wie Horizon Europe seien mit kurzen Projektlaufzeiten von drei bis fünf Jahren zu unbeständig für die Pflege kritischer Infrastrukturen. Besser geeignet seien Modelle wie die Important Projects of Common European Interest (IPCEI), wenn Fördergelder direkt an Beitragsleistungen im Code gekoppelt würden. Zudem überlaste die Kumulation neuer Regularien vom Cybersecurity Act bis zum Cyber Resilience Act vor allem kleinere Betreiber. Damit Vorhaben wie der Digital Networks Act (DNA) greifen, müsse Europa Open Source als Kernelement einer aktiven Industriepolitik begreifen. Nur durch den gezielten Aufbau eigener Softwarekompetenzen könne die europäische Telekommunikationsbranche ihre digitale Souveränität nachhaltig festigen.

Stefan Krempl