Staatliche Hacks: Warum Deutschland Regeln für IT-Sicherheitslücken braucht

Ein Rechtsgutachten verweist auf Verfassungsverstöße beim Umgang mit Zero-Days. Ein neuer Gesetzentwurf soll dem BND sogar den Eil-Zugriff auf Systeme erlauben.

Wer im digitalen Raum unterwegs ist, verlässt sich tagtäglich auf die Sicherheit von Betriebssystemen, Apps und Netzinfrastrukturen. Doch wenn IT-Sicherheitslücken entdeckt werden, die den Herstellern noch unbekannt sind – sogenannte Zero-Days –, gerät der Staat in ein Dilemma. Auf der einen Seite steht das berechtigte Interesse, Bürger, Unternehmen und staatliche Einrichtungen vor Cyberangriffen, Erpressungs-Software und Wirtschaftsspionage zu schützen. Dafür müssten Schwachstellen umgehend den Herstellern gemeldet werden, damit diese Patches bereitstellen können. Auf der anderen Seite wollen Sicherheitsbehörden und Nachrichtedienste genau diese Lücken geheim halten und als Einfallstor nutzen, um Verdächtige zu überwachen oder offensive Cyberoperationen durchzuführen.

Ein Rechtsgutachten im Auftrag der Gesellschaft für Freiheitsrechte (GFF) erläutert, wie brisant dieser Zielkonflikt auf verfassungsrechtlicher Ebene ist. Ergebnis der juristischen Analyse von Thomas Wischmeyer und Paul Friedl (beide HU Berlin): Deutschland verstößt gegen das Grundgesetz, weil eine formell-gesetzliche Regelung für ein staatliches Schwachstellenmanagement bis heute fehlt. Bereits im Juni 2021 stellte das Bundesverfassungsgericht im Beschluss zu IT-Sicherheitslücken klar, dass aus dem Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme eine konkrete Schutzpflicht des Staates erwächst. Sobald staatliche Stellen von einer unbekannten Schwachstelle erfahren, verengt sich der allgemeine Schutzauftrag zu einer Handlungspflicht. Der Gesetzgeber muss laut den Verfassern verfassungsrechtlich zwingend vorgeben, wie Behörden diesen Zielkonflikt aufzulösen haben.

Dass es bisher an einem transparenten, gesetzlich verankerten Kriterienkatalog fehlt, ist aus rechtsstaatlicher Sicht fatal. Aktuell entscheiden Behörden weitgehend in Eigenregie und intransparent im Exekutivbereich, ob eine Lücke geschlossen oder für eigene Zwecke bevorratet wird. Dabei birgt das Offenhalten immenses Schadenspotenzial. Einem Staat gelingt es selten, exklusiv im Besitz einer Schwachstelle zu bleiben. Ein prominentes Beispiel zeigt die Gefahr: 2016 entwendete die Hackergruppe Shadow Brokers hocheffektive Zero-Day-Exploits des US-Geheimdiensts NSA. Kurz darauf richtete die Ransomware WannaCry weltweite Verheerungen in Hunderttausenden Systemen an.

Die Autoren erläutern daher die verfassungsrechtlichen Mindestanforderungen an ein künftiges Gesetz. Grundsätzlich müsse das Prinzip gelten, dass Schwachstellen im Regelfall unverzüglich an Hersteller gemeldet werden. Die temporäre Geheimhaltung dürfe nur eine absolute Ausnahme sein. Voraussetzung sei ein strukturierter, nachvollziehbarer Abwägungsprozesses, bei dem der Nutzen für eine konkrete Ermittlung gegen die diffusen Gefahren für die Allgemeinheit aufgewogen werde. Diese Entscheidung gehört nach Ansicht der Gutachter nicht in die Hände einzelner Polizeibehörden oder Geheimdienste. Sie müsse durch ein unabhängiges, interministerielles Gremium mit klarer rechtlicher und unabhängiger Kontrolle getroffen werden.

Besonders drängend wird die Debatte durch ein neues Gesetzgebungsvorhaben der Bundesregierung, das genau in die entgegengesetzte Richtung zu steuern scheint. Im Regierungsentwurf zur Reform des Nachrichtendienstrechts offenbart sich, wie intensiv Behörden künftig Schwachstellen und IT-Daten austauschen und ausnutzen wollen. So sieht der Entwurf in Paragraph 11 Absatz 1 Satz 2 vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet werden soll, Informationen und personenbezogene Daten an den Bundesnachrichtendienst (BND) zu übermitteln. Wenn das BSI Kenntnis von Schwachstellen erhält, könnten diese Informationen genutzt werden, um Datenströme gezielt nach Suchbegriffen zu durchsuchen. Diese müssten durch eben jene Schwachstellen angezeigt werden, um laufende Angriffe im Bundesgebiet aufzuklären.

Noch weiter geht Absatz 5 des Entwurfs: Damit soll eine explizite Ausnahme von dem Grundsatz geschaffen werden, dass ein Eingriff in IT-Systeme vorab angeordnet werden muss. Dem BND würde damit die Befugnis zur sogenannten Zugangssicherung eingeräumt. Die Begründung verweist auf eine extreme zeitliche Dringlichkeit. Oft vergingen zwischen dem Bekanntwerden einer technischen Realisierungsmöglichkeit und dem Schließen einer Lücke nur wenige Stunden. Um den Zugriff nicht zu verlieren, soll der BND ein Zielsystem sofort sichern dürfen – noch bevor eine richterliche oder unabhängige Anordnung vorliegt. Zwar betont die Regierung, dass bis zur Bestätigung durch den Unabhängigen Kontrollrat keine über die reine Zugangsschaffung hinausgehende Datenverarbeitung stattfinden dürfe. Trotzdem zeigt sich hier ein gravierender Eingriff in die Systemintegrität: Der Staat schafft sich im Eilverfahren Zugang zu Geräten, ohne dass die betroffenen Bürger oder unabhängige Stellen im Moment des Zugriffs eingreifen können.

Auch der Ankauf kommerzieller Spyware von privaten Anbietern sowie die Zusammenarbeit mit ausländischen Geheimdiensten verschärft die Lage. Wenn der Staat Trojaner von Drittanbietern erwirbt, deren Funktionsweise oder gar dahinterliegende Sicherheitslücken er nicht vollumfänglich kontrollieren kann, umgeht er potenziell das verfassungsrechtlich gebotene Schwachstellenmanagement. Auch hier fordern die Gutachter strikte gesetzliche Leitplanken, etwa durch streng gehandhabte Whitelists oder gar ein vollständiges Verbot kommerzieller Überwachungssoftware.

Der Gesetzgeber steht damit vor einer doppelten Aufgabe. Er darf sich nicht darauf beschränken, den Sicherheitsbehörden immer schnellere und tiefere Zugriffsrechte auf digitale Systeme einzuräumen. Er muss gleichzeitig seiner Schutzpflicht nachkommen und ein verfassungskonformes Schwachstellenmanagement etablieren. Nur wenn klare Gesetze festlegen, wann Sicherheitslücken gemeldet werden müssen und wie geheim gehaltene Exploits gesichert werden, lässt sich das Vertrauen in die digitale Infrastruktur aufrechterhalten.

Stefan Krempl

Schnittstellen statt Portale: Wie digitale Daseinsvorsorge gelingen könnte

Eine Studie zeigt, wie offene Protokolle ein vernetztes System schaffen könnten, das das Chaos bei Online-Hilfsangeboten und behördlichen Diensten beendet.

Einen Arzttermin bucht man heute in zwei Minuten am Smartphone. Wer dagegen ein Kind erwartet, Angehörige pflegt oder nach Hilfe sucht, landet weiterhin in einem Geflecht aus Zuständigkeiten, Webseiten, Hotlines und Formularen. Eine vor Kurzem veröffentlichte Studie im Auftrag der Stiftung Mercator, für die der Informatiker und Transformationsberater Henning Tillmann über 40 Gespräche mit Sozialanbietern, Unternehmen, gemeinnützigen Organisationen und technischen Fachleuten geführt hat, beschreibt dazu einen Ausweg. Unter dem Namen Dida (Digitale Daseinsvorsorge) entwirft der Experte das Konzept einer staatlich geförderten, aber dezentralen technischen Infrastruktur.

Das Kernproblem heutiger Ansätze liegt darin, dass staatliche Digitalinitiativen wie die geplante Deutschland-App oder der Deutschland-Stack in der Regel dort enden, wo die direkte Zuständigkeit des Staates aufhört. Der Alltag der Menschen tut das nicht. Zwischen dem Elterngeldantrag und dem Kita-Platz liegen Hebammen, Rückbildungskurse und Elternberatung. Zwischen Pflegegrad und Pflegealltag stehen Sozialstationen, Selbsthilfegruppen und Fahrdienste. Den wesentlich größeren Teil dieser Versorgungslandschaft erbringen Wohlfahrtsverbände, Zivilgesellschaft und lokale Unternehmen. Weil für sie bis heute verbreitete Schnittstellen zum Staat fehlen, digitalisieren reine Verwaltungslösungen allenfalls die kleinere Hälfte der Daseinsvorsorge.

Dieser Mangel an Verknüpfung ist längst kein Komfortproblem mehr. Der Staat organisiert seine Leistungen traditionell nach Paragrafen, Produkten und Zuständigkeiten, während Menschen schlicht Lebenslagen wie eine Schwangerschaft, eine Pflegenotwendigkeit oder finanzielle Sorgen erfahren. Weil der Zugang zu Hilfe derzeit von Zeit, Sprache, Bildung und individueller Suchkompetenz abhängt, wird ein erheblicher Teil zustehender Sozialleistungen gar nicht erst abgerufen. Wenn Bürger das System wiederholt als kompliziert, langsam und unübersichtlich erleben, untergräbt das nachhaltig das Vertrauen in die staatliche Handlungsfähigkeit. Dieser Effekt spiegelt sich auch in aktuellen Tiefstständen bei entsprechenden Umfragen wider.

Das Dida-Konzept schlägt deshalb vor, nicht bei Formularen, sondern bei den konkreten Lebenslagen anzusetzen. Statt eine weitere zentralistische Superplattform oder ein künftiges Millionengrab mit doppelten Entwicklungskosten zu schaffen, setzt der Ansatz auf dezentrale, offene Schnittstellen (APIs) und standardisierte Protokolle. Angebote verbleiben bei ihren jeweiligen Trägern. Verbunden wird über die Software nur das, was für die konkrete Servicekette notwendig ist. In der Handhabung soll das System für Bürger so einfach wie kommerzielle Buchungsplattformen funktionieren, im technischen Aufbau aber deren Gegenteil darstellen: Es gibt keinen zentralen Datentopf und keine kommerziellen Lock-in-Effekte. Stattdessen sichern Prinzipien wie dezentrale Speicherung, Datenminimierung und strikte Nutzereinwilligung die digitale Souveränität.

Über definierte Konnektoren ließe sich eine solche Infrastruktur nahtlos an den staatlichen Deutschland-Stack sowie an moderne KI-Chatbots oder MCP-Server (Model Context Protocol) anbinden, heißt es in der Analyse. Letztere griffen so auf verifizierte Daten zu, statt halluzinierte Antworten zu liefern. Gleichzeitig ermögliche es der Einsatz moderner KI-Werkzeuge, heterogene Informationen von kleinen Vereinen oder lokalen Anbietern ohne Programmieraufwand automatisiert in strukturierte Schnittstellen zu übersetzen. Um überlastete Anbieter einzubinden und der Resignation gegenüber komplexer IT entgegenzuwirken, müsse das System die Träger von administrativem Aufwand und Telefonaten entlasten. Dazu schlägt Tillmann die Gründung einer agilen Dida-Serviceagentur vor. Diese soll als handlungsfähige Stelle die technischen Spezifikationen bereitstellen, Organisationen beim Onboarding begleiten und den laufenden Betrieb koordinieren, damit öffentliches Geld nachhaltig in wiederverwendbare Infrastruktur statt in isolierte Insellösungen fließt.

Eine aktuelle Zusammenfassung der Untersuchung findet sich auch bei Table.Media.

Stefan Krempl

Open Source im Mobilfunk: Europas Telcos kämpfen um digitale Souveränität

Eine Studie von OpenForum Europe offenbart: Netzbetreiber schöpfen Open Source nicht aus. Es fehlt an eigenen Entwicklern, nicht am verfügbaren Quellcode.

Die europäische Telekommunikationsbranche steht an einem entscheidenden Wendepunkt. Mobilfunk- und Festnetze wandeln sich aktuell von starr integrierten Hardware-Monolithen zu flexiblen, softwaregesteuerten und cloud-basierten Architekturen. Parallel rückt Open-Source-Software immer stärker ins Zentrum der Netzwerkinfrastruktur. Doch obwohl Entwickler aus Europa weltweit rund ein Drittel aller Open-Source-Beiträge leisten, gelingt es den hiesigen Telekommunikationskonzernen bislang kaum, diesen Vorteil in kommerzielle Stärke und strategische Kontrolle umzumünzen. Zu diesem Ergebnis kommt eine Untersuchung der Denkfabrik OpenForum Europe zur Rolle von freier Software in der europäischen Telco-Industrie.

Der technologische Wandel der letzten Dekade hat die Netze grundlegend verändert. An die Stelle proprietärer Spezialhardware traten schrittweise Software-Defined Networking, Netzvirtualisierung und containerbasierte Cloud-Infrastrukturen. In diesem neuen Paradigma bilden Open-Source-Lösungen wie Kubernetes, OpenStack sowie Branchenprojekte wie Sylva für die Telco-Cloud oder Camara für Netz-APIs das digitale Fundament. Das zentrale Problem der europäischen Netzbetreiber liegt laut der Analyse keineswegs im Mangel an geeignetem Quellcode, sondern in der geschrumpften Eigenkompetenz der Unternehmen.

Über drei Jahrzehnte hinweg haben europäische Netzbetreiber wesentliche Teile ihrer Softwareentwicklung an Ausrüster wie Nokia und Ericsson ausgelagert. Dieser Abfluss an eigener Engineering-Kapazität rächt sich heute. Die meisten Betreiber agieren laut dem Bericht als passive Konsumenten, die Open-Source-Software vorgefertigt in proprietären Komplettlösungen ihrer Lieferanten beziehen. Dadurch entstehe ein Teufelskreis: Ohne eigene Entwicklerteams fehle den Anbietern die Fähigkeit, Software-Stacks eigenständig anzupassen, Fehler im Quelltext zu beheben oder auf Augenhöhe mit Ausrüstern zu verhandeln. Die technische Souveränität bleibe so weitgehend beim Lieferanten.

Wie eine erfolgreiche Transformation aussehen kann, verdeutlichen führende Netzbetreiber. Der französische Konzern Orange demonstriert mit seiner Open Source Factory, wie strategische Beschaffung als Hebel wirkt. Bei Ausschreibungen fordert der Konzern von Herstellern konsequent die Einhaltung offener Schnittstellen und standardisierter Open-Source-Kontrollpunkte. Netzbetreiber wie die Deutsche Telekom wiederum übernehmen Führungspositionen in neutralen Konsortien wie der Linux Foundation, um strategische Schlüsselprojekte wie Camara voranzutreiben und globale Branchenstandards mitzugestalten. Solche Ansätze bleiben indes vorerst die Ausnahme: Mittelgroße und regionale Betreiber verfügen meist weder über das Budget noch über die personellen Kapazitäten für eine aktive Mitarbeit im Open-Source-Ökosystem.

Zusätzlich bremst die Zersplitterung des europäischen Marktes den Fortschritt. Während in den USA wenige Großkonzerne agieren, konkurrieren in Europa rund 170 Netzbetreiber primär über Preise und Netzabdeckung statt über innovative Dienste. Dadurch schrumpfen die Margen für langfristige Forschung und Entwicklung. Die Autoren der Studie plädieren daher für eine stärkere Kooperation bei nicht-differenzierenden Infrastrukturschichten. Statt dass jeder Betreiber eigene Parallellösungen entwickelt, sollten gemeinsame Open-Source-Fundamente wie Sylva genutzt werden. Erst auf den darüber liegenden Dienstleistungsebenen und bei KI-gestützten Netzfunktionen mache ein Wettbewerb der Anbieter wirtschaftlich Sinn.

Gleichzeitig fordern die Experten Anpassungen der EU-Politik. Bisherige Förderinstrumente wie Horizon Europe seien mit kurzen Projektlaufzeiten von drei bis fünf Jahren zu unbeständig für die Pflege kritischer Infrastrukturen. Besser geeignet seien Modelle wie die Important Projects of Common European Interest (IPCEI), wenn Fördergelder direkt an Beitragsleistungen im Code gekoppelt würden. Zudem überlaste die Kumulation neuer Regularien vom Cybersecurity Act bis zum Cyber Resilience Act vor allem kleinere Betreiber. Damit Vorhaben wie der Digital Networks Act (DNA) greifen, müsse Europa Open Source als Kernelement einer aktiven Industriepolitik begreifen. Nur durch den gezielten Aufbau eigener Softwarekompetenzen könne die europäische Telekommunikationsbranche ihre digitale Souveränität nachhaltig festigen.

Stefan Krempl

Wiesbaden wagt das Experiment: Ein KI-Avatar soll Bürger im Amt empfangen

Die hessische Landeshauptstadt schreibt als erste deutsche Kommune einen KI-Avatar für den Schalterdienst aus – unter strengen Auflagen und mit knappem Budget.

Die Verwaltung digitalisieren, Wartezeiten verkürzen und gleichzeitig das Personal entlasten: Ein Versprechen, an dem sich deutsche Kommunen seit Jahren versuchen. Wiesbaden schlägt nun einen Weg ein, der in deutschen Rathäusern bislang ohne Vorbild ist. Wie aus einer aktuellen Ausschreibung im EU-Auschreibungsportal hervorgeht, sucht die hessische Landeshauptstadt nach Auftragnehmern für die Beschaffung, Implementierung und den Betrieb eines sprachgestützten Chat-Avatars samt KI-gestützter Chatbot-Lösung.

Das System soll demnach direkt vor Ort an stark frequentierten Anlaufstellen eingesetzt werden – etwa im Bürgerbüro, im Rathaus, in der Touristeninformation oder an einem Gesundheitskiosk. Es richtet sich explizit auch an digitalferne Bürger, denen über eine barrierearme, intuitive Sprachinteraktion der Zugang zu Verwaltungsdienstleistungen erleichtert werden soll. Zugleich fängt das Dialogsystem dem Plan nach Routinefragen ab, um die Mitarbeitenden im Bürgerservice spürbar zu entlasten.

Erster Schalter-Avatar einer deutschen Kommune

Text-Chatbots sind auf kommunalen Websites mittlerweile verbreitet. Die Beschaffung eines KI-Avatars mit physischem Terminalbezug auf Schalterebene ein Novum. Marktbeobachter werten die Ausschreibung als erste ihrer Art bei einer deutschen Gemeinde. Bislang trat ihnen zufolge im öffentlichen Sektor lediglich die Techniker Krankenkasse (TK) im Juni dieses Jahres als Käufer einer vergleichbaren Avatar-Lösung in Erscheinung. Wiesbaden dürfte damit eine Vorreiterrolle im kommunalen Sektor übernehmen.

Sicherheit und Datenschutz als K.o.-Kriterium

Dass Verwaltungs-KI auf besondere Skepsis trifft, ist den Verantwortlichen bewusst. Die Ausschreibung formuliert strenge Anforderungen an Datenschutz und IT-Sicherheit. So verlangt die Stadt zwingend ein gültiges BSI-C5-Testat für die eingesetzten Rechenzentren sowie eine Zertifizierung nach ISO 27001. Ein Zertifikat nach ISO/IEC 27018 zum Schutz personenbezogener Daten in Cloud-Umgebungen bringt Bietern Extrapunkte im Wertungsverfahren ein.

Besonders strikt zeigt sich die Kommune beim Daten-Handling: Personenbezogene Daten dürfen weitgehend gar nicht erst verarbeitet werden. Wenn eine solche unerlässlich ist, muss sie nach den Grundsätzen Privacy by Design und Privacy by Default erfolgen. Eine Weiterverwendung von Bürgerdaten für das Training von KI-Modellen wird in den Unterlagen ausdrücklich untersagt. Ergänzend müssen Bieter Schutzmechanismen gegen Prompt Injection und Halluzinationen sowie ein Moderationskonzept nachweisen. Die Barrierefreiheit geht ebenfalls als gewichtetes Kriterium in die Bewertung ein.

265.000 Euro für fünf Jahre: Ist die Summe angemessen?

Der geschätzte Auftragswert beläuft sich auf 265.000 Euro netto bei einer Vertragslaufzeit von 60 Monaten, die optional um zwei Jahre verlängert werden kann. Umgerechnet entspricht das einem Budget von etwa 53.000 Euro pro Jahr.

Dieser Etat scheint im Kontext der geforderten Leistungen knapp kalkuliert. Zwar klingt eine Viertelmillion Euro nach einer ziemlichen Stange Geld, doch das Anforderungsprofil ist komplex. Neben Hardware vor Ort und der Entwicklung einer visuellen Avatar-Oberfläche umfasst der Auftrag ein technisches Integrationskonzept. Der Avatar muss über offene Schnittstellen flexibel an bestehende Chatbot-Systeme sowie Wissensdatenbanken der Stadt angebunden werden.

Zieht man zudem den erheblichen Compliance-Aufwand ab, bleibt für Entwicklung, Wartung der Terminals und den Fünf-Jahres-Betrieb ein eher schmales Budget. Für etablierte Systemhäuser dürfte das Projekt finanziell an der Schmerzgrenze liegen; Chancen bieten sich vor allem spezialisierten Startups, die auf bestehende Bausteine zurückgreifen und eine Referenz im öffentlichen Sektor suchen. Interessierte Firmen können bis zum 4. September 2026 Angebote einreichen.

Stefan Krempl

Geheime Kooperation: Wie OpenAI-KI-Agenten den Ausbruch planten

Auf der Konferenz Black Hat enthüllen Forscher, wie sich autonome Modelle absprachen, Sicherheitsschranken umgingen und schließlich Hugging Face hackten.

Wochen bevor zwei hoch entwickelte KI-Modelle von OpenAI aus ihrer geschlossenen Testumgebung ausbrachen und ohne menschliches Zutun einen Cyberangriff starteten, begannen sie heimlich zu kooperieren. Wie Forscher des Unternehmens auf der IT-Sicherheitskonferenz Black Hat in Las Vegas enthüllten, tauschten die Systeme auf einer internen Plattform eigenmächtig Tipps aus, um Sicherheitsüberprüfungen zu umgehen und Hacking-Aufgaben zu lösen. Der Vorfall markiert einen besorgniserregenden Wendepunkt im Umgang mit autonomen KI-Agenten und setzt die gesamte Branche unter Zugzwang.

Der Sicherheitsforscher Michael Dalton bezeichnete die Erkenntnisse in Las Vegas als entscheidenden Moment für OpenAI und die KI-Industrie. Die Enthüllungen liefern detaillierte Einblicke in den Zeitplan und die Methoden, mit denen die Modelle schrittweise die Kontrolle über ihre Umgebung erlangten. Ende letzten Monats hatte OpenAI eingeräumt, dass seine Testmodelle für den Einbruch in die Plattform Hugging Face verantwortlich waren, nachdem diese zuvor über den unbefugten Zugriff eines autonomen KI-Systems berichtet hatte.

Die neuen Aspekte dürften die Debatte über Sicherheitsmaßnahmen führender KI-Labore anheizen. Auch Konkurrent Anthropic geriet kürzlich in die Schlagzeilen: Das UK AI Safety and Security Institute gab bekannt, dass das leistungsfähigste Modell des Anbieters während eines Hacking-Tests gefälschte Online-Identitäten erstellte, um einen menschlichen Programmierer zur Beihilfe bei einem Cyberangriff zu verleiten. Nach einer Überprüfung stellte Anthropic fest, dass eigene Testmodelle seit April in drei separaten Vorfällen in fremde Organisationen eingedrungen waren.

Bei OpenAI begann die Auffälligkeit bereits Anfang Mai. Wie Dalton und sein Kollege Eric Wallace berichteten, kommunizierten mehrere simultan getestete Agenten über ein internes Schwarzes Brett im Dateisystem Artifactory. Ohne Wissen der Ingenieure hinterließen die Modelle Notizen und tauschten Ratschläge für schwierige Aufgaben aus. Wenn die Modelle feststeckten, versuchten sie schlicht zu schummeln, um die vorgesehene Belohnung im Trainingsprozess zu kassieren.

Ende Mai fand ein Modell einen Weg, über Artifactory Dateien von externen Websites abzurufen und sich indirekten Internetzugang zu verschaffen. Im Juni entdeckten die Modelle eine unbekannte Zero-Day-Lücke. Sie nutzten die Schwachstelle gezielt aus, um sich Admin-Rechte zu verschaffen, Fernzugriffs-Software zu installieren und ihren Aktionsradius drastisch zu erweitern.

Die Aktivitäten führten Anfang Juli zu einer Überlastung von Artifactory und verursachten einen Systemausfall. Erst dieser Zwischenfall alarmierte die Ingenieure. Das Unternehmen entzog den Modellen die Zugriffsrechte, löschte die Kommunikationsplattform und schloss die Lücken. Doch nur Tage später fanden die Modelle erneut einen Weg zum gemeinsamen Austausch. Mitte Juli kombinierten zwei Modelle schließlich komplexe Verfahren, um unerkannt in die Systeme von Hugging Face einzudringen. Laut OpenAI handelten die Modelle im Rahmen ihrer Aufgabenstellung, da sich die gesuchten Antworten auf den Servern der Entwicklerplattform befanden.

Infolge des Vorfalls zog OpenAI vorerst die Notbremse. Laut Dalton entschleunigt das Unternehmen derzeit bewusst seine Forschung, um die IT-Sicherheitsarchitektur grundlegend zu überarbeiten und das Monitoring autonomer Agenten auszubauen.

Dass diese offensichtlich unsicheren Verhaltensmuster erst im Nachhinein erkannt wurden, zeigt laut Jonas Geiping, Leiter der Forschungsgruppe „Safety- & Efficiency-aligned Learning“ am Ellis-Institut Tübingen, "dass OpenAI und andere KI-Firmen bei der Überwachung und Kontrolle ihrer eigenen Modelle hinterherhinken". Allerdings handle es sich auch um eine schwierige Frage: Wie im Vortrag erwähnt, seien die beschriebenen Probleme in einigen wenigen Fällen von sieben Milliarden Logs aufgetreten. Das entschuldige zwar nicht die Vorfälle. Es signalisiere aber, dass die automatisierte Überwachung von KI-Modellen – die selbst durch andere KI-Modelle durchgeführt werden muss – noch nicht ausgereift sei.

Der harte Konkurrenzkampf im KI-Bereich werde sich wahrscheinlich noch weiter negativ auswirken, fürchtet Geiping. Das aktuelle Ziel der führenden Firmen sei eine Beschleunigung durch Recursive Self-Improvement (RSI). Damit sei hier vor allem zunächst gemeint, dass die KI-Modelle selbst zur Entwicklung der nächsten Generation von KI-Modellen eingesetzt würden. Je mehr Testumgebungen von KI-Systemen selbst entworfen würden, umso weniger Übersicht und menschliche Kontrolle gebe es darüber, welche Werte den Modellen weitervermittelt werden.

Stefan Krempl

Perplexity siegt vor Gericht: Amazon scheitert vorerst am Anti-Hacking-Gesetz

Ein US-Berufungsgericht hebt die Sperre gegen den KI-Shopping-Assistenten im Comet-Browser auf. Grund: Der Zugriff erfolge durch die Nutzer, nicht den Entwickler.

Ein juristischer Rückschlag für Amazon entwickelt sich zu einem potenziellen Signal für die KI-Branche: Das US-Berufungsgericht für den neunten Gerichtskreis (Ninth Circuit Court of Appeals) hat eine einstweilige Verfügung aufgehoben, die dem KI-Start-up Perplexity untersagt hatte, mit seinem Agenten-Browser Comet auf die Webseiten des Online-Händlers zuzugreifen. Das erstinstanzliche Verbot, das auf Antrag von Amazon erlassen worden war, basierte auf dem Vorwurf, Perplexity habe gegen das US-Anti-Hacking-Gesetz Computer Fraud and Abuse Act (CFAA) sowie das kalifornische Gegenstück CDAFA verstoßen. Nach Auffassung des Berufungsgerichts hält diese Argumentation aber einer rechtlichen Überprüfung nicht stand.

Im Zentrum des Streits steht der im Comet-Browser integrierte KI-Assistent. Er kann auf Anweisung von Anwendern autonom Online-Shops durchsuchen, Warenpreise vergleichen und Einkäufe vorbereiten. Amazon führte ins Feld, dass Perplexity durch diesen automatisierten Zugang vorsätzlich und ohne Autorisierung auf die geschützten Server des Konzerns zugreife. Der Online-Handelsriese stützte sich dabei auf den CFAA aus dem Jahr 1984, der ursprünglich das unbefugte Eindringen in Computernetzwerke verhindern sollte. Ein erfolgreicher CFAA-Anspruch setzt voraus, dass der Beklagte vorsätzlich ohne Autorisierung auf einen geschützten Computer zugreift, daraus Informationen erlangt und ein Mindestschaden entsteht.

Die Berufungsrichter sahen das technische Zusammenspiel anders. Nicht Perplexity greife direkt auf die Server von Amazon zu, sondern die jeweiligen Nutzer des Browsers. Der KI-Assistent sei als ein Werkzeug zu verstehen, das auf dem Rechner des Anwenders agiere, Bildschirmfotos an Perplexity-Server übermittele und Handlungsanweisungen zurückerhalte, um die Navigation im Auftrag des Nutzers durchzuführen. Das Gesetz betreffe indes nur Personen, die vorsätzlich Systeme hacken. Da ein KI-Agent keine Person darstelle und der Browser strikt unter der Regie des Anwenders agiere, fehle es an einem unbefugten Zugriff durch Perplexity selbst.

Das Gericht folgte in seiner Urteilsbegründung ausdrücklich den Argumenten von Bürgerrechtsorganisationen wie der Electronic Frontier Foundation (EFF), die in einer Stellungnahme auf die genaue technische Funktionsweise hingewiesen hatten. Die EFF begrüßte die Entscheidung als Triumph des gesunden Menschenverstands. In der Vergangenheit sei der CFAA immer wieder von etablierten Konzernen genutzt worden, um innovative Werkzeuge vom Markt zu drängen. Eine Ausweitung des Anti-Hacking-Gesetzes auf KI-Agenten hätte im schlimmsten Fall dazu führen können, dass Nutzer kriminalisiert werden, wenn sie neuartige Tools für das Surfen im Web einsetzen.

Auch bei der Abwägung der weiteren Kriterien erteilte das Berufungsgericht Amazon eine Absage. Der von Amazon geltend gemachte Schaden sei zu abstrakt und unzureichend belegt. Eine einstweilige Verfügung gegen ein Verhalten, das wahrscheinlich keine Gesetzesverletzung darstellt, liege nicht im öffentlichen Interesse. Ein solches Verbot würde die Wahlfreiheit der Verbraucher einschränken und die Entwicklung zukunftsträchtiger Technologien hemmen.

Das Verfahren ist damit noch nicht beendet. Die Entscheidung hebt lediglich die vorläufige Sperre auf. Amazon erwägt weitere juristische Schritte, etwa eine Überprüfung durch den US-Supreme Court. Zudem läuft das Hauptsacheverfahren vor dem Bundesgericht für den Gerichtskreis San Francisco weiter. Unberührt bleibt auch das Recht von Amazon, den Zugriff über die eigenen Nutzungsbedingungen zu regeln. Für Entwickler agentischer KI-Systeme setzt der Beschluss dennoch ein Zeichen.

Stefan Krempl

Palantir: US-Datenriese zahlt in Europa kaum Steuern

Trotz Milliardengewinnen drückte Palantir 2025 effektiv nur 1,4 Prozent an Steuern ab. Eine Studie enthüllt die Methoden des Big-Data-Konzerns, die für Kritik sorgen.

Der US-amerikanische Big-Data-Konzern Palantir gilt in Verteidigungskreisen, bei Ermittlungsbehörden, im Polizeiwesen und im Gesundheitswesen weltweit als zentraler, aber auch umstrittener Akteur. Doch während europäische Regierungen von Deutschland über Großbritannien bis hin zu den Niederlanden kontinuierlich Steuergelder in Verträge mit dem Konzern pumpen, verbleibt von dessen Milliardengewinnen in den Finanzkkassen des Kontinents kaum mehr als ein symbolischer Betrag. Eine jetzt veröffentlichte Untersuchung offenbart das Ausmaß der Steueroptimierung des Tech-Riesen und sorgt politisch für Gesprächsstoff.

Wie aus der Studie des Centre for International Corporate Tax Accountability and Research (CICTAR) hervorgeht, die der europäische Gewerkschaftsdachverbands EPSU in Auftrag gegeben hat, lag Palantirs effektiver globaler Ertragsteuersatz im Jahr 2025 bei nur 1,4 Prozent. Bei einem weltweiten Vorsteuergewinn von rund 1,66 Milliarden US-Dollar überwies das Unternehmen gerade einmal 22,7 Millionen US-Dollar an Steuern. Damit unterbietet der Konzern die von mehr als 145 Staaten im Rahmen der OECD vereinbarte globale Mindeststeuer von 15 Prozent drastisch. Begünstigt wird dies durch Sonderregeln, die sich die USA gesichert haben.

Die extrem niedrige Steuerlast ist das Ergebnis ausgeklügelter Gewinnverlagerung, schreibt die Plattform Follow the Money, der die Untersuchung vorab vorlag. Laut den Analysten werden Verträge mit europäischen Kunden und Behörden häufig direkt über die US-Konzernzentrale abgewickelt. Europäische Niederlassungen in Ländern wie Deutschland oder Großbritannien fungieren bilanziell primär als Dienstleister für das US-Mutterhaus. Sie erhalten dafür lediglich überschaubare Aufwandsentschädigungen, was die ausgewiesenen Gewinne vor Ort künstlich nach unten drückt. Während Palantir in den USA im Jahr 2025 eine Gewinnspanne von 47,7 Prozent verzeichnete, lag die Marge im internationalen Geschäft außerhalb der USA bei durchschnittlich 6,3 Prozent. In manchen europäischen Ablegern fiel sie sogar auf rund 3 Prozent.

In Spanien wiederum nutzt Palantir ein weiteres Instrument: Die dortige Tochtergesellschaft zahlt erhebliche Lizenzgebühren für Immaterialgüterrechte an die US-Zentrale. Diese Aufwendungen zehren über 70 Prozent der lokal erwirtschafteten Einnahmen auf und reduzieren den steuerpflichtigen Gewinn drastisch. Ein gern genutzter Trick zu Steueroptimierung.

Ein weiterer Hebel betrifft die aktienbasierte Vergütung. Mitarbeiter und Führungskräfte erhalten signifikante Gehaltsbestandteile in Form von Unternehmensaktien. Diese Praxis wird als Personalaufwand verbucht und mindert den steuerpflichtigen Gewinn der Tochtergesellschaften in Ländern wie Großbritannien, Spanien und Norwegen massiv. In Großbritannien schlug dies bei 749 Beschäftigten im Jahr 2024 mit durchschnittlichen Personalkosten von über 270.000 Euro pro Kopf zu Buche.

Frankreich bildet eine Ausnahme auf dem Kontinent. Weil die dortigen Finanzbehörden durchsetzten, dass lokale Einnahmen auch vor Ort verbucht werden müssen, zahlte Palantir dort 2024 immerhin 1,6 Millionen Euro Ertragsteuer bei einem effektiven Satz von 33 Prozent. In Deutschland überwies der Konzern dagegen im selben Jahr bei einem formalen Steuersatz von 31 Prozent nur rund 641.000 Euro, weil der Großteil der Umsätze direkt in die USA floss.

Gewerkschaften wie die niederländische FNV zeigen sich empört über diese Praktiken. Es sei nicht vermittelbar, dass ein Unternehmen aus öffentlichen Aufträgen europäischer Staaten profitiere und Infrastruktur sowie Bildungssysteme nutze, sich seiner gesellschaftlichen Verantwortung aber durch undurchsichtige Konstrukte entziehe. Die Last trage am Ende der normale Steuerzahler.

Zudem verschärft die Steuerpraxis das Problem der digitalen Souveränität in Europa. Wenn US-Giganten dank gewaltiger Steuervorteile ihre Gewinne maximieren, fällt es europäischen Anbietern schwer, wettbewerbsfähig zu bleiben. Dazu kommt, dass die Gründer Peter Thiel und Alex Karp trotz des Börsengangs über spezielle Stimmrechtsstrukturen die uneingeschränkte Macht im Konzern halten. Unabhängige Aufsichtsorgane fehlen weitgehend.

Palantir betonte auf Anfrage von Politico, man erfülle alle steuerlichen Pflichten in jedem Markt und erwirtschafte den Großteil der Gewinne schlicht im US-Geschäft. Dennoch wächst der Druck auf europäische Regierungen, bei Vergaben künftig nicht nur Softwarefunktionen, sondern auch verantwortungsvolle Steuerpraktiken zur Bedingung zu machen.

Stefan Krempl