Täuschung mit Millionenfolge: Firmenschatzmeister haftet nach CEO-Betrug

Ein leitender Finanzmanager veranlasste nach einem Social-Engineering-Angriff Millionenüberweisungen am Kontrollsystem vorbei. Das Landesarbeitsgericht Köln entschied hart.

In einer digital vernetzten Unternehmenswelt gehört der sogenannte CEO-Betrug zu den perfidesten Angriffsvektoren im Bereich Wirtschaftskriminalität. Ein aktueller Fall, der das Landesarbeitsgericht NRW in Köln beschäftigt hat und nun beim Bundesarbeitsgericht vorliegt, wirft ein Schlaglicht auf die Schnittstelle zwischen IT-Sicherheit, interner Governance und persönlicher Haftung von Mitarbeitern (Az.: 8 AZR 164/26). Im Zentrum des Rechtsstreits steht ein ehemaliger Head of Global Treasury, der Opfer einer ausgefeilten Social-Engineering-Attacke wurde. Er setzte sich dabei aber in einem Ausmaß über interne Sicherheitsarchitekturen hinweg, dass das nun juristische Konsequenzen nach sich zieht.

Der betroffene Finanzchef war in seinem Unternehmen mit umfassenden Vollmachten für die Abwicklung internationaler Zahlungsströme ausgestattet. Über einen längeren Zeitraum hinweg kontaktierten ihn Kriminelle, die sich mit gefälschten Identitäten als Vorstände und externe Berater ausgaben. Unter dem Vorwand streng vertraulicher, angeblich unternehmenskritischer Akquisitionen forderten die Betrüger den Finanzmanager auf, Millionensummen auf ausländische Konten zu transferieren. Anstatt die ungewöhnlichen Transaktionen zu hinterfragen, ließ sich der Abteilungsleiter auf die manipulative Gesprächsführung der Angreifer ein und veranlasste schrittweise Überweisungen in zweistelliger Millionenhöhe.

Besonders schwer wiegt in dem Fall, dass sich im Laufe des Geschehens zahlreiche Warnsignale häuften. Neben extrem ungewöhnlichen Empfängerarchitekturen im Ausland und intransparenten Zahlungszwecken widersprachen die Vorgänge eklatant den etablierten Richtlinien der Firma. Um die angeblich hochgeheimen Transaktionen nicht zu gefährden, ging der Manager dazu über, die intern verankerten Kontrollmechanismen aktiv zu umgehen. Das im Finanzwesen elementare Vier-Augen-Prinzip sowie automatisierte Freigabeprozesse wurden von ihm eigenmächtig ausgehebelt. Selbst als interne IT-Systeme und Nachfragen aus der Buchhaltung Bedenken aufkommen ließen, setzte der Treasury-Chef die Zahlungen fort, ohne die Geschäftsführung auf offiziellem Wege zu informieren.

Erst als das Fehlen der enormen Geldsummen bei einer konsolidierten Abschlussprüfung auffiel, flog der Betrug auf. Das Unternehmen reagierte unverzüglich mit einer fristlosen außerordentlichen Kündigung des Managers und forderte den entstandenen Millionenschaden gerichtlich von ihm zurück. Der Betroffene wehrte sich gerichtlich gegen seine Entlassung und argumentierte, selbst Opfer einer hochkomplexen Straftat geworden zu sein. Er habe im vermeintlichen Interesse der Firma gehandelt und sei durch den psychologischen Druck der Betrüger getäuscht worden.

Das Landesarbeitsgericht folgte dieser Argumentation jedoch nicht und entschied zugunsten des Arbeitgebers. Die Richter hielten die außerordentliche Kündigung für rechtmäßig und bejahten zudem umfangreiche Schadensersatzansprüche gegen den ehemaligen Finanzchef. Wer Warnsignale schuldhaft ignoriere und Sicherheitsbarrieren bewusst außer Kraft setze, handle grob fahrlässig und verletze seine arbeitsvertraglichen Treuepflichten in erheblichem Maße. Die Täuschung durch Dritte entbinde eine Führungskraft nicht von der Pflicht, Mindeststandards der IT- und Finanzsicherheit einzuhalten.

Rechtsexperten ordnen das Urteil als wegweisendes Signal für die betriebliche Cyber-Sicherheit ein. Stefan Hessel von der Kanzlei Reuschlaw betont die Tragweite des Urteils: „Die Entscheidung zeigt, dass bei Social-Engineering-Fällen nicht nur der Angriff selbst, sondern auch ein eigenmächtiges Abweichen von bestehenden Kontrollmechanismen rechtlich relevant werden kann." Besonders kritisch werde es, wenn erkennbare Warnsignale unbeachtet blieben und Kontrollmechanismen bewusst umgangen würden. Unternehmen, die Mitarbeitern klare Vorgaben machten und diese auch überwachten und durchsetzten, könnten ihr Risiko deutlich reduzieren.

Das Urteil macht deutlich, dass technische Schutzmaßnahmen und Compliance-Richtlinien in Unternehmen keine bloßen Papiertiger sein dürfen. Das letzte Wort ist in der Angelegenheit aber noch nicht gesprochen: Das Verfahren liegt nun beim Bundesarbeitsgericht in Erfurt, das klären muss, wo die genauen Grenzen der Mitarbeiterhaftung bei komplexen Social-Engineering-Szenarien verlaufen.

Stefan Krempl

Staatliche Hacks: Warum Deutschland Regeln für IT-Sicherheitslücken braucht

Ein Rechtsgutachten verweist auf Verfassungsverstöße beim Umgang mit Zero-Days. Ein neuer Gesetzentwurf soll dem BND sogar den Eil-Zugriff auf Systeme erlauben.

Wer im digitalen Raum unterwegs ist, verlässt sich tagtäglich auf die Sicherheit von Betriebssystemen, Apps und Netzinfrastrukturen. Doch wenn IT-Sicherheitslücken entdeckt werden, die den Herstellern noch unbekannt sind – sogenannte Zero-Days –, gerät der Staat in ein Dilemma. Auf der einen Seite steht das berechtigte Interesse, Bürger, Unternehmen und staatliche Einrichtungen vor Cyberangriffen, Erpressungs-Software und Wirtschaftsspionage zu schützen. Dafür müssten Schwachstellen umgehend den Herstellern gemeldet werden, damit diese Patches bereitstellen können. Auf der anderen Seite wollen Sicherheitsbehörden und Nachrichtedienste genau diese Lücken geheim halten und als Einfallstor nutzen, um Verdächtige zu überwachen oder offensive Cyberoperationen durchzuführen.

Ein Rechtsgutachten im Auftrag der Gesellschaft für Freiheitsrechte (GFF) erläutert, wie brisant dieser Zielkonflikt auf verfassungsrechtlicher Ebene ist. Ergebnis der juristischen Analyse von Thomas Wischmeyer und Paul Friedl (beide HU Berlin): Deutschland verstößt gegen das Grundgesetz, weil eine formell-gesetzliche Regelung für ein staatliches Schwachstellenmanagement bis heute fehlt. Bereits im Juni 2021 stellte das Bundesverfassungsgericht im Beschluss zu IT-Sicherheitslücken klar, dass aus dem Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme eine konkrete Schutzpflicht des Staates erwächst. Sobald staatliche Stellen von einer unbekannten Schwachstelle erfahren, verengt sich der allgemeine Schutzauftrag zu einer Handlungspflicht. Der Gesetzgeber muss laut den Verfassern verfassungsrechtlich zwingend vorgeben, wie Behörden diesen Zielkonflikt aufzulösen haben.

Dass es bisher an einem transparenten, gesetzlich verankerten Kriterienkatalog fehlt, ist aus rechtsstaatlicher Sicht fatal. Aktuell entscheiden Behörden weitgehend in Eigenregie und intransparent im Exekutivbereich, ob eine Lücke geschlossen oder für eigene Zwecke bevorratet wird. Dabei birgt das Offenhalten immenses Schadenspotenzial. Einem Staat gelingt es selten, exklusiv im Besitz einer Schwachstelle zu bleiben. Ein prominentes Beispiel zeigt die Gefahr: 2016 entwendete die Hackergruppe Shadow Brokers hocheffektive Zero-Day-Exploits des US-Geheimdiensts NSA. Kurz darauf richtete die Ransomware WannaCry weltweite Verheerungen in Hunderttausenden Systemen an.

Die Autoren erläutern daher die verfassungsrechtlichen Mindestanforderungen an ein künftiges Gesetz. Grundsätzlich müsse das Prinzip gelten, dass Schwachstellen im Regelfall unverzüglich an Hersteller gemeldet werden. Die temporäre Geheimhaltung dürfe nur eine absolute Ausnahme sein. Voraussetzung sei ein strukturierter, nachvollziehbarer Abwägungsprozesses, bei dem der Nutzen für eine konkrete Ermittlung gegen die diffusen Gefahren für die Allgemeinheit aufgewogen werde. Diese Entscheidung gehört nach Ansicht der Gutachter nicht in die Hände einzelner Polizeibehörden oder Geheimdienste. Sie müsse durch ein unabhängiges, interministerielles Gremium mit klarer rechtlicher und unabhängiger Kontrolle getroffen werden.

Besonders drängend wird die Debatte durch ein neues Gesetzgebungsvorhaben der Bundesregierung, das genau in die entgegengesetzte Richtung zu steuern scheint. Im Regierungsentwurf zur Reform des Nachrichtendienstrechts offenbart sich, wie intensiv Behörden künftig Schwachstellen und IT-Daten austauschen und ausnutzen wollen. So sieht der Entwurf in Paragraph 11 Absatz 1 Satz 2 vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet werden soll, Informationen und personenbezogene Daten an den Bundesnachrichtendienst (BND) zu übermitteln. Wenn das BSI Kenntnis von Schwachstellen erhält, könnten diese Informationen genutzt werden, um Datenströme gezielt nach Suchbegriffen zu durchsuchen. Diese müssten durch eben jene Schwachstellen angezeigt werden, um laufende Angriffe im Bundesgebiet aufzuklären.

Noch weiter geht Absatz 5 des Entwurfs: Damit soll eine explizite Ausnahme von dem Grundsatz geschaffen werden, dass ein Eingriff in IT-Systeme vorab angeordnet werden muss. Dem BND würde damit die Befugnis zur sogenannten Zugangssicherung eingeräumt. Die Begründung verweist auf eine extreme zeitliche Dringlichkeit. Oft vergingen zwischen dem Bekanntwerden einer technischen Realisierungsmöglichkeit und dem Schließen einer Lücke nur wenige Stunden. Um den Zugriff nicht zu verlieren, soll der BND ein Zielsystem sofort sichern dürfen – noch bevor eine richterliche oder unabhängige Anordnung vorliegt. Zwar betont die Regierung, dass bis zur Bestätigung durch den Unabhängigen Kontrollrat keine über die reine Zugangsschaffung hinausgehende Datenverarbeitung stattfinden dürfe. Trotzdem zeigt sich hier ein gravierender Eingriff in die Systemintegrität: Der Staat schafft sich im Eilverfahren Zugang zu Geräten, ohne dass die betroffenen Bürger oder unabhängige Stellen im Moment des Zugriffs eingreifen können.

Auch der Ankauf kommerzieller Spyware von privaten Anbietern sowie die Zusammenarbeit mit ausländischen Geheimdiensten verschärft die Lage. Wenn der Staat Trojaner von Drittanbietern erwirbt, deren Funktionsweise oder gar dahinterliegende Sicherheitslücken er nicht vollumfänglich kontrollieren kann, umgeht er potenziell das verfassungsrechtlich gebotene Schwachstellenmanagement. Auch hier fordern die Gutachter strikte gesetzliche Leitplanken, etwa durch streng gehandhabte Whitelists oder gar ein vollständiges Verbot kommerzieller Überwachungssoftware.

Der Gesetzgeber steht damit vor einer doppelten Aufgabe. Er darf sich nicht darauf beschränken, den Sicherheitsbehörden immer schnellere und tiefere Zugriffsrechte auf digitale Systeme einzuräumen. Er muss gleichzeitig seiner Schutzpflicht nachkommen und ein verfassungskonformes Schwachstellenmanagement etablieren. Nur wenn klare Gesetze festlegen, wann Sicherheitslücken gemeldet werden müssen und wie geheim gehaltene Exploits gesichert werden, lässt sich das Vertrauen in die digitale Infrastruktur aufrechterhalten.

Stefan Krempl

Cyber Resilience Act: Entwarnung für Open Source, Pflichtenheft für Hersteller

Ein neuer EU-Leitfaden schafft Klarheit bei Updates, Haftung und Supportfristen. Wer für Code kassiert, muss liefern. Viele Open-Source-Entwickler können aufatmen.

Herstellern, Entwicklern und Unternehmen hat die EU-Kommission am Montag eine Orientierungshilfe für die praktische Umsetzung des Cyber Resilience Act (CRA) an die Hand gegeben. Die Brüsseler Regierungsinstitution hat ihren offiziellen Leitfaden nebst detailliertem Anhang vorgelegt, um Wirtschaftsakteure auf die bevorstehenden Pflichten zur IT-Sicherheit und Meldewesen vorzubereiten. Das Regelwerk, das prinzipiel bereits seit Dezember 2024 in Kraft ist, stellt erstmals EU-weit einheitliche Mindeststandards für die Cybersicherheit digitaler Produkte über deren gesamten Lebenszyklus hinweg auf.

Mit der Veröffentlichung der Orientierungshilfe beantwortet die Kommission nach eigener Darstellung zentrale Fragen der Industrie und widmet sich der Reduzierung bürokratischer Hürden. Das Dokument erläutert demnach praxisnah, welche Erzeugnisse konkret unter den Anwendungsbereich fallen, wie wesentliche Produktveränderungen einzustufen sind, nach welchen Maßstäben Supportzeiträume bemessen werden und wie Risikoanalysen sowie gesetzliche Berichtspflichten im Arbeitsalltag umzusetzen sind.

Ein Schwerpunkt liegt auf der Entlastung von Startups sowie kleinen und mittleren Unternehmen, für die komplexe Compliance-Anforderungen oft eine besondere Herausforderung darstellen. Anschauliche Fallbeispiele und Anwendungsszenarien sollen Rechtssicherheit schaffen, ohne unnötigen Verwaltungsaufwand zu erzeugen.

Besondere Aufmerksamkeit widmet die Handreichung der Abgrenzung bei Open-Source-Software. Die Kommission stellt klar, dass die reine Bereitstellung von freier Software ohne kommerzielle Monetarisierung nicht als Inverkehrbringen gilt. Erst wenn Entwickler oder Organisationen für solche Programme Entgelte verlangen, damit verbundene Dienstleistungen monetarisieren oder personenbezogene Daten zu Werbezwecken verarbeiten, greifen die strengen Pflichten für Hersteller.

Für nicht-kommerzielle Open-Source-Akteure hat der EU-Gesetzgeber die spezifische Rolle der Stewards geschaffen, deren Pflichtenpaket deutlich zielgerichteter ausfällt und sich primär auf die Gewährleistung der dauerhaften Verlässlichkeit der Software beschränkt.

Ebenfalls präzisiert wird der Begriff der wesentlichen Änderung bei Software-Updates. Wer reine Sicherheitsaktualisierungen bereitstellt, um Schwachstellen zu schließen oder das Risikoniveau zu senken, nimmt in der Regel keine wesentliche Veränderung vor und muss folglich kein neues Konformitätsbewertungsverfahren durchlaufen. Erst wenn funktionale Erweiterungen das ursprüngliche Risikoprofil signifikant verändern oder neue Bedrohungsvektoren eröffnen, gilt das Produkt als neu auf dem Markt platziert. Bei physischen Reparaturen und Ersatzteilen gilt: Baugleiche Komponenten, die zur Reparatur geliefert werden, sind vom Anwendungsbereich ausgenommen.

„Dieser Leitfaden ist Teil unserer Vereinfachungsagenda", erklärte Henna Virkkunen, Vizepräsidentin der Kommission für Tech-Souveränität. Er helfe Firmen, ihre Pflichten unter dem CRA pünktlich zu erfüllen. „Ein cybersicheres Europa und ein unternehmensfreundliches Europa gehen Hand in Hand: Die heutigen Leitlinien tragen dazu bei, dass Produkte auf unserem Markt vor Cyberbedrohungen geschützt sind, während unnötige Belastungen und Rechtsunsicherheiten für Unternehmen vermieden werden.“

Die Dringlichkeit einer präzisen Umsetzung hat sich zuletzt durch Entwicklungen im Bereich der KI-Modelle der nächsten Generation mit ausgeprägten Cybersicherheitsfähigkeiten verschärft. Der zeitliche Fahrplan steht fest: Die ersten verbindlichen Berichterstattungspflichten gemäß Kapitel IV werden am 11. September 2026 wirksam. Die vollständige Anwendung aller Vorgaben folgt zum 11. Dezember 2027. Bis dahin soll der Leitfaden Betroffenen eine Richtschnur bieten, um die Umstellungsphase effizient und rechtskonform zu gestalten.

Stefan Krempl

Flug in die digitale Cloud: Neue Luftfahrtstrategie setzt auf IT und Drohnen

Die Bundesregierung will den Luftraum umfassend digitalisieren, autonome Flugsysteme etablieren und die Cybersicherheit gegen geopolitische Schocks wappnen.

Das Bundeskabinett hat am Mittwoch eine neue Luftfahrtstrategie verabschiedet, um Deutschland zu einem führenden Standort für eine nachhaltige, sichere und wettbewerbsfähige Luftfahrt zu machen. Die technologische Modernisierung der gesamten Branche steht im Mittelpunkt dieses strategischen Fahrplans, der als Orientierungsrahmen für die kommenden 15 Jahre dient. Die Bundesregierung reagiert damit auf den anhaltenden internationalen Wettbewerbsdruck und untermauert den politischen Anspruch, die Luftfahrt wirtschaftlich, technologisch, souverän und resilient weiterzuentwickeln.

Ein funktionierender, sicherer und nachhaltiger Luftverkehr bewegt Menschen und Güter. Die Luftfahrt ist damit von zentraler Bedeutung für die Mobilität und für die Anbindung deutscher Güter an Märkte weltweit – ein wesentliches Merkmal für wirtschaftliche Stärke, Innovationskraft und Beschäftigung. Angesichts globaler Herausforderungen gewinnt dabei vor allem die digitale Transformation als Katalysator für Effizienz und Sicherheit an Bedeutung.

Die Luftfahrtindustrie ist laut dem Dokument eine industrielle Hightech-Branche, sie fördert Innovationen und garantiert Anbindung, Wertschöpfung und hochqualifizierte Arbeitsplätze. Sie leistet einen wichtigen Beitrag zu einem starken und leistungsfähigen Industriestandort und auch dazu, dass die Bundeswehr ihre Aufgaben erfüllen kann und einsatzbereit ist. Für all diese Aspekte enthält die Strategie unterschiedliche Handlungsansätze. Sie stellen vier Ziele in den Vordergrund: ökonomische und technologische Wettbewerbsfähigkeit, Souveränität durch Luftfahrt als militärische und zivile Sicherheitstechnologie, Resilienz des Luftfahrtstandorts als Zukunftsvorsorge sowie Nachhaltigkeit durch eine klimaschonende und umweltverträgliche Luftfahrt.

Ein Pfeiler der digitalen Transformation ist die wirtschaftliche Skalierung der unbemannten Luftfahrt. Die Potenziale der Drohnen-Ökonomie sollen umfassend genutzt und zu einem technologisch starken Ökosystem fortentwickelt werden. Neue Formen der Mobilität und unbemannte Luftfahrtsysteme fungieren dabei als Treiber, um zu einer umfassenden Digitalisierung des gesamten Luftraums und des Flugverkehrsmanagements zu gelangen. Das Flugtaxi von Dorothee Bär (CSU) lässt grüßen.

Um den Akteuren Planungssicherheit zu geben, arbeitet die Regierung an einem neuen Rechtsrahmen. Bis Ende 2026 soll ein nationales U-Space-Gesetz zur unbemannten Luftfahrt erarbeitet werden, das den sicheren Betrieb bemannter und unbemannter Systeme in gemeinsamen Lufträumen ermöglicht, zeitintensive Einzelfallprüfungen abbaut und standardisierte Zulassungsverfahren etabliert. Auch im militärischen Bereich übernehmen unbemannte Systeme zunehmend wichtige Aufgaben. Hier steigen die Anforderungen an KI-gestützte Autonomie, Sensorik sowie an eine sichere und resiliente Datenübertragung im vernetzten Systemverbund.

Mit der fortschreitenden Digitalisierung und Vernetzung rückt die IT-Sicherheit in den Fokus. Die Strategie betont, dass hochkomplexe, vernetzte Systeme in hohem Maße von einer robusten und resilienten Informationstechnik abhängig sind. Da die Luftfahrt ein attraktives Ziel für Cyberangriffe darstellt, ist eine signifikante Stärkung der Cybersicherheit unerlässlich, um die Flugsicherheit in einer digitalisierten Welt zu gewährleisten.

Die Bundesregierung stärkt dazu die Rolle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und intensiviert die zwischenbehördliche Zusammenarbeit. Betroffene Unternehmen erhalten ergänzende Beratungs- und Hilfeleistungen bei der Implementierung von Sicherheitsmaßnahmen, wobei ein besonderer Fokus auf den von der NIS2-Richtlinie erfassten Akteuren liegt. Auch die Verwaltung selbst soll modernisiert werden. Geplant ist eine durchgehende Digitalisierung der Luftfahrtverwaltung, bei der Bundes- und Landesbehörden über einen automatisierten Datenaustausch bei Genehmigungen, Lizenzen und Anerkennungen zusammenarbeiten, um Bürokratie abzubauen und Prozesse zu beschleunigen.

Neben der digitalen Infrastruktur addressiert die Strategie die Transformation der physischen Basis. Die Regierung setzt auf ein effizientes Netz an Flughäfen mit Regional-, Fracht- und Verkehrsflughäfen im 24-Stunden-Betrieb. An den Standorten sollen der digitale und klimaneutrale Betrieb sowie die Einbindung in intermodale Verkehrsnetze optimiert werden. Um den Luftverkehr in der Transformation zu unterstützen, entlastet der Bund die Branche bis 2029 bei den Flugsicherungsgebühren und Luftsicherheitskosten und senkt die Luftverkehrssteuer.

Gleichzeitig sollen die Bedingungen für erneuerbare Kraftstoffe (Sustainable Aviation Fuels) durch eine gezielte Stärkung der heimischen Produktion und eine bessere Berücksichtigung im Emissionshandel verbessert werden. Langfristig liegt der Schwerpunkt auf strombasierte Kraftstoffe (eSAF), um den Luftverkehr auf einen Netto-Null-Reduktionspfad zu führen.

Die Strategie stößt aber auf Kritik. Umwelt- und Verkehrsverbände wie die Bundesvereinigung gegen Fluglärm, Germanwatch und der Verkehrsclub Deutschland (VCD) bezeichnen das Papier als unzureichend. Sie bemängeln, dass die Strategie einseitig auf Wachstum und Wettbewerbsfähigkeit setze, ohne ambitionierte Antworten auf den Klima- und Ressourcenschutz zu geben. Germanwatch betont, der Hochlauf erneuerbarer synthetischer Kraftstoffe werde nicht mutig genug angepackt, um das Ziel der Klimaneutralität bis spätestens 2050 verlässlich zu erreichen. Die Exekutive will die Umsetzung der Strategie gemeinsam mit der Branche in einem kontinuierlichen Prozess weiterentwickeln und nach fünf Jahren einen ersten Fortschrittsbericht vorlegen.

Stefan Krempl

Cyber-Paradigmenwechsel: Deutschland gründet eigenes KI-Sicherheitsinstitut

Der Nationale Sicherheitsrat beschließt das DE-AISI. Experten warnen vor starren Behördenstrukturen im globalen Wettlauf um die besten Frontier-Modelle.

Die Fortschritte bei der Entwicklung Künstlicher Intelligenz haben die Bundesregierung zu einem strategischen Kurswechsel bewogen. Nun trat sogar der Nationale Sicherheitsrat unter dem Vorsitz des Bundeskanzlers zusammen, um die Folgen fortgeschrittener KI-Modelle für die Cybersicherheit in Deutschland zu bewerten. Dabei beschloss er zugleich die Gründung eines KI-Sicherheitsinstituts. Das Deutsche AI Security Institute (DE-AISI) soll als zentrale Anlaufstelle fungieren, um Kapazitäten zur Analyse moderner KI-Modelle samt ihrer Risiken zu bündeln, den Informationsaustausch mit ausländischen Partnern zu intensivieren und auf einheitliche internationale Standards hinzuwirken.

Die Notwendigkeit einer solchen Institution zeichnete sich seit Monaten ab. Anfang Mai forderte das Bundesamt für Sicherheit in der Informationstechnik (BSI) Sofortmaßnahmen, um die digitale Souveränität Deutschlands zu gewährleisten und kritische Abhängigkeiten zu verhindern. Dass das BSI eine Instanz zur Bewertung von Frontier-KI-Modellen verlangt, liegt auch an der Dynamik des Marktes. Ein Beispiel ist das neue Modell Mythos von Anthropic, das auf das Finden von Programmierfehlern spezialisiert ist. Was Entwicklern hilft, kann von Angreifern missbraucht werden, um Schwachstellen auszunutzen. BSI-Chefin Claudia Plattner spricht bereits von einem Paradigmenwechsel bei den Cyberbedrohungen.

Aus der Wirtschaft kommt Rückhalt für den Regierungsbeschluss. Susanne Dehmel vom Bitkom-Vorstand betont, dass Deutschland so endlich mit Staaten wie Großbritannien, den USA oder Frankreich gleichziehe. Neue KI-Systeme eröffneten Chancen, brächten aber auch systemische Risiken für Deutschlands Sicherheit und Souveränität mit sich. Das DE-AISI sollte laut Bitkom ein klar abgegrenztes Forschungsmandat erhalten und ein Lagebild zu Frontier-Modellen erstellen. Fragen des Arbeits-, Verbraucher- und Datenschutzes oder der KI-Ethik seien an anderer Stelle bereits kompetent abgedeckt. Das Institut werde aber nur erfolgreich sein, wenn internationale Spitzenkräfte gewonnen werden, wofür eine Finanzierung auf britischem Niveau nötig sei.

Genau hier sehen Experten erhebliche Hürden. Während Verhandlungen zwischen Kanzleramt, Digital- und Innenministerium sowie BSI und Bundesnetzagentur laufen, zeichnet sich eine Ansiedlung beim BSI mit kleiner Personalausstattung im unteren zweistelligen Bereich ab. Vor diesem Szenario warnt Felix Sieker, KI-Experte der Bertelsmann Stiftung. Das britische Vorbild arbeite mit über einhundert Stellen weitgehend autonom. Es funktioniere durch politisches Commitment, Top-Recruiting und ein agiles Umfeld. Dem britischen AISI sei es so gelungen, Spitzenkräfte von OpenAI und anderen Marktführern zu gewinnen. Deshalb erhielt das Institut auch frühzeitig exklusiven Vorab-Zugang zu neuen Modellen wie Mythos.

Ein Knackpunkt im Kampf um Talente ist die deutsche Behördenkultur. Spitzenforscher sind oft bereit, für gesellschaftlich relevante Arbeit auf die hohen Gehälter der Tech-Konzerne zu verzichten – allerdings nicht in starren Amtsstrukturen. Experten plädieren deshalb für eine eigenständige Behörde nach dem Vorbild der Innovationsagentur Sprind. Dies würde es erlauben, Fachkräften echten Gestaltungsspielraum zu bieten und die starre Tarifbindung des öffentlichen Dienstes zu umgehen. Ohne diese Flexibilität drohe das neue deutsche Sicherheitsinstitut im internationalen Netzwerk, dem mittlerweile zahlreiche globale Partner angehören, vom Fleck weg den Anschluss zu verlieren.

Stefan Krempl

Gegenangriff im Netz: Regierung bringt umstrittene Hackbacks auf den Weg

Ein neues Gesetz zur Cybersicherheit soll BKA und Bundespolizei offensive Befugnisse geben. Kritiker warnen vor staatlicher Netzlenkung nach autoritärem Vorbild.

Die Zeiten, in denen sich deutsche Sicherheitsbehörden im digitalen Raum weitgehend auf die Beobachtung und anschließende Strafverfolgung beschränkten, sind vorbei. Das Bundeskabinett hat am Mittwoch das lang diskutierte Gesetz zur Stärkung der Cybersicherheit auf den Weg gebracht. Damit reagiert die Bundesregierung auf eine Bedrohungslage, die sich seit Jahren verschärft. Wie massiv die wirtschaftlichen Dimensionen inzwischen sind, untermauern Zahlen des Digitalverbands Bitkom, der den jährlichen Schaden durch Cyberangriffe für die deutsche Wirtschaft zuletzt auf 202 Milliarden Euro beziffert. Angesichts hochprofessioneller Attacken staatlicher und nichtstaatlicher Akteure sowie wachsender hybrider Bedrohungen könnte das Gesetzesvorhaben eine Zäsur in der deutschen Sicherheitsarchitektur markieren.

Grundsätzlich stößt der Vorstoß, die Cybersicherheit für Wirtschaft, Verwaltung und Gesellschaft mit mehr Nachdruck anzugehen, in Branchenkreisen auf Zustimmung. Der Entwurf enthält dafür eine Reihe von Instrumenten, die auch von der Digitalwirtschaft begrüßt werden. So soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) durch den Ausbau seiner Mobilen Incident Response Teams (MIRT) die Möglichkeit erhalten, bereits bei konkreten Verdachtsfällen frühzeitig vor Ort zu unterstützen.

Ferner würde das Vorhaben eine klare Grundlage für DNS-Blocklisten schaffen. Das gäbe Unternehmen Rechtssicherheit, wenn sie auf freiwilliger Basis gegen identifizierte Angreiferstrukturen vorgehen wollen. Auch der geplante, dreistellige Stellenzuwachs beim BSI, der Bundespolizei und dem Bundeskriminalamt (BKA) gilt als notwendiger Schritt, um langjährige Personalengpässe in der staatlichen Cyberabwehr zu beheben.

An entscheidenden Stellen schießt der Entwurf nach Ansicht von Kritikern jedoch weit über das Ziel hinaus. Im Zentrum der Kritik stehen die erweiterten Anordnungs- und Eingriffsbefugnisse, die faktisch sogenannte Hackbacks legalisieren. BKA und Bundespolizei sollen Angriffe künftig nicht mehr nur dokumentieren, sondern proaktiv im Ausland unterbinden dürfen. In der Praxis würde das bedeuten, dass Ermittler Datenverkehr blockieren, Systeme stilllegen und im Extremfall Daten auf fremden Servern löschen oder verändern dürften. Und das auch per Eilkompetenz bis zu drei Tage vor einer nachträglichen richterlichen Genehmigung.

Die Wirtschaft warnt hierbei vor unkalkulierbaren Risiken: Da sich Cyberangriffe technisch extrem schwer zweifelsfrei zuordnen lassen und Angreifer gezielt falsche Spuren legen, drohen bei solchen digitalen Gegenschlägen unbeteiligte Dritte getroffen zu werden. Statt mehr Schutz zu bieten, könnten Hackbacks die globale Sicherheit im Internet somit insgesamt schwächen. Der Branchenverband eco befürchtet gar einen Paradigmenwechsel weg von der Resilienz hin zu einer staatlichen Netzsteuerung durch Instrumente wie Datenumleitungen auf polizeiliche Server (Sinkholes). Mechanismen zur Inhalts- und Verkehrs-Lenkung, die auch die Bundesregierung bisher primär bei autoritären Staaten wie Russland oder der Türkei kritisiert habe, drohten so in Deutschland normalisiert zu werden.

Ein weiterer wunder Punkt des Gesetzes betrifft die geplante breite Pflicht für Telekommunikationsanbieter und IT-Unternehmen, sicherheitsrelevante technische Informationen an das BSI weiterzugeben. Bei Verweigerung stehen Bußgelder von bis zu 20 Millionen Euro im Raum. Der Bitkom malt eindringlich die Folgen dieses Eingriffs an die Wand: Diese Daten würden von privaten Cybersicherheitsunternehmen unter erheblichem finanziellem und personellem Aufwand erhoben und flössen bereits jetzt in die Abwehrstrukturen ein. Eine erzwungene Datenweitergabe an den Staat könnte dazu führen, dass Unternehmen weniger in diese Fähigkeiten investierten, was den gesamten deutschen Cybersicherheitsmarkt nachhaltig schwächen würde. Ferner erzeugten solche staatlichen Eingriffsbefugnisse erfahrungsgemäß einen immensen bürokratischen Aufwand, ohne im Ernstfall die flexibelste Antwort zu liefern.

Aus Sicht der Digital- und Internetwirtschaft lässt sich echte Cybersicherheit nicht durch Systemmanipulation und Netzeingriffe erzwingen, sondern vor allem durch Prävention, robuste Abwehrstrukturen und eine enge, kooperative Zusammenarbeit entlang der digitalen Lieferkette. Bewährte Formate wie koordinierte Schwachstellenmeldungen und der strukturierte, freiwillige Austausch von Bedrohungsinformationen zwischen Wirtschaft und Behörden seien deutlich schneller an neue, KI-gestützte Angriffsszenarien anpassbar als starre gesetzliche Vorgaben.

Im anstehenden parlamentarischen Verfahren fordern die Verbände daher umfangreiche Nachbesserungen: Weitreichende staatliche Eingriffe müssten auf klar umrissene Ausnahmesituationen begrenzt und so ausgestaltet werden, dass sie technisch sicher, verhältnismäßig und in der Praxis überhaupt fehlerfrei umsetzbar sind.

Stefan Krempl

Sachsen-Anhalts IT-Sicherheitsgesetz: Ein stumpfes Schwert gegen Cyberwar?

Nach jahrelangem Streit liegt endlich ein Entwurf für ein sachsen-anhaltinisches Informationssicherheitsgesetz vor. Doch Experten kritisieren massive Lücken und Ausnahmen.

Es war ein digitaler Paukenschlag, der ganz Deutschland aufrüttelte: Im Juli 2021 sah sich der Landkreis Anhalt-Bitterfeld gezwungen, den ersten Katastrophenalarm der bundesdeutschen Geschichte wegen eines Cyberangriffs auszurufen. Wochenlang blieben Verwaltungen gelähmt, Bürger konnten keine Anträge stellen, sensible Daten gerieten in die Hände von Kriminellen. Die Botschaft war unmissverständlich: Die kritische Infrastruktur ist verwundbar. Die damals frisch gewählte sachsen-anhaltische Regierungskoalition aus CDU, SPD und FDP reagierte prompt und verankerte im September 2021 das Versprechen im Koalitionsvertrag, ein umfassendes IT-Sicherheitsgesetz zu erarbeiten. Ziel war eine effiziente Cybersicherheit, die den modernen Bedrohungen standhalten kann. Nach europäischen Vorgaben hätte eine entsprechende Regelung eigentlich schon im Jahr 2024 in Kraft sein müssen. Doch die Realität der Landespolitik hinkte dem eigenen Anspruch weit hinterher.

Erst jetzt, nach monatelangen, zähen Debatten hinter verschlossenen Türen, hat die Landesregierung in Magdeburg einen Entwurf für ein Informationssicherheitsgesetz vorgelegt. Der Ton im Papier sei allerdings spürbar defensiv geraten, schreibt der MDR. Statt einer technologischen Vorreiterrolle sei nur noch davon die Rede, das IT-Sicherheitsniveau auf ein angemessenes Maß anzuheben.

Lydia Hüskens, Ministerin für Digitales und Infrastruktur von der FDP, verteidigte das Vorhaben gegenüber dem Sender. Sie betont, der Entwurf bilde das dringend benötigte Fundament für eine moderne und einheitliche Informationssicherheitsarchitektur im gesamten Bundesland. Die neu geschaffenen Zuständigkeiten und Strukturen auf Landesebene sollen die administrative Handlungsfähigkeit stärken, um künftige Cyberangriffe deutlich besser und koordinierter zu bewältigen als in der Vergangenheit.

Doch die Euphorie in den Ministerien wird von Expertenseite nicht geteilt. Unabhängige Beobachter und IT-Fachleute äußern scharfe Kritik an den Inhalten des Papiers. Der Kernvorwurf lautet, dass viele der formulierten Vorgaben völlig unverbindlich blieben und sich im Wesentlichen auf absolute Mindeststandards beschränkten.

Zwar soll das Gesetz erstmals rechtlich verbindlich festlegen, wie öffentliche Stellen in Sachsen-Anhalt ihre informationstechnischen Systeme zu schützen haben. Doch die praktische Umsetzung wirft erhebliche Fragen auf. So soll etwa eine neue Aufsichtsbehörde ins Leben gerufen werden, bei der Behörden schwerwiegende IT-Sicherheitsvorfälle verpflichtend melden müssen. Die Planer rechnen mit 50 bis 200 solcher Vorfälle pro Jahr. Um diese Mammutaufgabe zu bewältigen, sind acht neue Planstellen sowie ein spezialisiertes Computer-Sicherheitsnotfallteam vorgesehen, flankiert von Schulungsprogrammen und regelmäßigen Kontrollen. Die kalkulierten jährlichen Kosten belaufen sich auf knapp 3,3 Millionen Euro.

Der größte Schwachpunkt des Gesetzes liegt in seinen umfassenden Ausnahmeregelungen. Ein genauer Blick auf den Kreis der Betroffenen offenbart eine gravierende Sicherheitslücke: Ausgerechnet jene Institutionen, die die sensibelsten Daten der Bürger verwalten und schützen, sind ausdrücklich von den Verpflichtungen des Gesetzes ausgenommen. Weder die Landespolizei noch der Verfassungsschutz, die Gerichte oder die Staatsanwaltschaften müssen sich an die neuen Vorgaben halten.

Besonders schwer wiegt zudem der Ausschluss der Kommunen und Landkreise. Damit bleibt die kommunale Ebene, die im direkten Bürgerkontakt die größte Datenmenge überhaupt verarbeitet, außen vor. Politische Insider berichten, dass es vor allem das von der CDU geführte Innenministerium war, das sich vehement gegen eine Einbeziehung dieser Kernbereiche wehrte.

Die Ohnmacht der neuen Sicherheitsarchitektur zeigt sich auch an den Kompetenzen der künftigen Aufsichtsstelle. Diese soll laut dem Bericht die Verwaltung zwar vor bekannten Sicherheitslücken warnen und darf theoretisch sogar Schutzmaßnahmen anordnen oder anweisen. Das Problem dabei ist, dass sie keinerlei Durchsetzungsmacht besitzt. Wenn sich eine andere Landesbehörde weigert, die Anweisungen umzusetzen, hat die IT-Aufsicht keine rechtlichen oder sanktionierenden Hebel in der Hand.

Zudem drängt die Zeit: Der Gesetzentwurf soll im Juni im Magdeburger Landtag debattiert werden. Angesichts der bevorstehenden Landtagswahl im September wird das Zeitfenster für eine erfolgreiche Verabschiedung extrem eng. Es droht das Szenario, dass das Gesetz im Wahlkampfgetöse stecken bleibt.

Dennoch gibt es auch Stimmen aus der Wirtschaft, die den Entwurf trotz aller Mängel als überfälligen Schritt betrachten. Marco Langhof, Vorsitzender des Verbands der IT-Unternehmer in Sachsen-Anhalt, mahnt zur Eile und betont, dass es angesichts der angespannten globalen Sicherheitslage und der spürbar zunehmenden Angriffe höchste Zeit für eine gesetzliche Grundlage sei. Als warnendes Beispiel nennt er einen Vorfall aus dem Januar dieses Jahres, bei dem Cyberkriminelle die Kontrolle über das Sirenennetzwerk in Halle an der Saale übernahmen und Fehlalarme auslösten. Das habe schmerzhaft vor Augen geführt, dass vitale Infrastrukturen im Land unzureichend geschützt seien, erklärt Langhof. Dass ausgerechnet diese Kommunen nun nicht unter das neue Gesetz fallen, bedauert auch er.

Aus dem Digitalministerium heißt es dazu lediglich, dass sich für die Landkreise und Kommunen zwar keine unmittelbaren Verbesserungen ergeben, ein schwerer Cyberangriff wie der im Jahr 2021 in Anhalt-Bitterfeld durch die neuen Landesstrukturen jedoch besser abgewehrt werden könne. Sandro Wefel, IT-Sicherheitsforscher an der Universität Halle, vermutet finanzielle Gründe hinter den Ausnahmen. Den Kommunen feste Pflichten aufzuerlegen, ohne das nötige Geld bereitzustellen, sei politisch kaum durchsetzbar.

Wefel hofft immerhin auf einen psychologischen Effekt durch eine höhere Sensibilisierung der Mitarbeiter, warnt aber gleichzeitig davor, dass Landesbehörden hochgradig anfällig für Angriffe bleiben, bei denen Daten verschlüsselt oder manipuliert werden, um Lösegeld zu erpressen. Ein struktureller Aufbau von dringend benötigtem IT-Fachpersonal im Land werde durch dieses Gesetz wohl kaum angestoßen.

Im bundesweiten Vergleich landet Sachsen-Anhalt mit diesem Entwurf nach Einschätzung von Experten lediglich im grauen Mittelfeld. Dennis Kipker, Professor für IT-Sicherheitsrecht, verweist auf das Nachbarland Sachsen, wo die Kommunen konsequent in die Pflicht genommen werden, was den sachsen-anhaltischen Entwurf im direkten Vergleich stark einschränkt. Thüringen schneide mit einer bloßen Verwaltungsvorschrift noch schlechter ab.

Vernichtend fällt das Urteil von Manuel Atug aus, Sprecher der AG Kritis. Er sieht Sachsen meilenweit vorne, da dort das Gesetz seit 2019 bereits dreimal an die Realität angepasst worden sei. Die Regierung in Sachsen-Anhalt habe den Entwurf unnötig kompliziert formuliert. Zudem rügt Atug, dass die Aufsicht nicht in der Staatskanzlei angesiedelt sei. Damit werde die Informationssicherheit im Land nicht zur echten Chefsache erklärt, sondern im bürokratischen Unterbau der Ministerien versteckt.

Stefan Krempl

Signal-Phishing: Wie russische Agenten den „Faktor Mensch“ im Bundestag knacken

Trotz starker Verschlüsselung geraten hunderte Politiker und Militärs ins Visier der aktuellen Phishing-Operation via Signal. Das BSI plant nun In-App-Warnungen gegen die anhaltende Spionage-Welle.

Die Methoden der Geheimdienste passen sich rasant dem digitalen Zeitalter an. Was früher der klassische Briefkasten oder das konspirative Treffen im Park war, hat sich längst in die Hosentaschen von Entscheidungsträgern verlagert. Jüngste Berichte und eine Sitzung des Digitalausschusses des Bundestags am Mittwoch verdeutlichen eine beunruhigende Entwicklung: Russische Agenten agieren zunehmend unverfroren mit Blick auf Deutschland, wobei sie insbesondere den verschlüsselten Messenger-Dienst Signal für ihre Zwecke missbrauchen.

Im Zentrum der aktuellen Ermittlungen steht eine großangelegte Phishing-Kampagne, die bereits seit Monaten andauert und laut Bundesinnenministerium weiterhin aktiv ist. Die Strategie der Angreifer ist so simpel wie effektiv. Anstatt komplexe Schadsoftware zu entwickeln oder bisher unbekannte Sicherheitslücken in der Programmierung auszunutzen, setzen die Akteure auf den Faktor Mensch. Über gezielte Nachrichten werden potenzielle Opfer – darunter hochrangige Politiker, Journalisten und Angehörige des Militärs – unter Vorwänden dazu verleitet, sensible Zugangsdaten preiszugeben. Sobald die Angreifer Zugriff auf den Account haben, steht ihnen das gesamte Kontaktnetzwerk und die bisherige Kommunikation offen.

Dass hinter diesen Aktivitäten staatliche russische Stellen stehen, gelte unter Experten als gesichert, schreibt der Spiegel. Sowohl niederländische als auch US-amerikanische Geheimdienstbehörden hätten die Kampagne bereits Moskau zugeordnet. Auch das Bundesamt für Verfassungsschutz (BfV) sehe keinen Grund, an dieser Einschätzung zu zweifeln. Die Intensität der Angriffe sei bemerkenswert: Rund 13.200 Nummern seien ins Visier geraten, wobei die Mehrzahl der Betroffenen auf Bundesebene zu finden sei. Das unterstreicht die strategische Absicht der Operation, die primär auf die Informationsbeschaffung und das Ausspähen politischer Entscheidungsprozesse abzielt.

Interessanterweise rückt dabei ausgerechnet Signal in den Fokus, ein Dienst, der eigentlich für seine hohe Sicherheit und Ende-zu-Ende-Verschlüsselung bekannt ist. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont jedoch, dass die App an sich weiterhin als sicher einzustufen sei. Das Problem liege nicht in der Verschlüsselung, sondern in der Manipulation der Anwender. Das Unternehmen hinter Signal arbeitet bereits eng mit deutschen Behörden zusammen, um Nutzer proaktiver zu schützen – beispielsweise durch automatisierte Warnhinweise in dem Moment, in dem Nutzer aufgefordert werden, ihren PIN mit Dritten zu teilen.

Die politische Reaktion auf diese Bedrohungslage fällt deutlich aus. Der Verfassungsschutz soll verstärkt zum Abwehrdienst transformiert werden, um der neuen Dynamik der "Billigspione" und digitalen Angreifer entgegenzuwirken. Deutschland sieht sich hier an einer ersten Verteidigungslinie, die nicht mehr nur an physischen Grenzen verläuft, sondern in den Datenleitungen und auf den Displays der Mobiltelefone. In den Sicherheitsbehörden wird intensiv darüber diskutiert, wie man die Balance zwischen notwendiger Warnung und der Vermeidung von Panik hält.

Für die Betroffenen in Politik und Wirtschaft bedeutet das eine Rückkehr zur ständigen Wachsamkeit. Die Erkenntnisse aus dem Digitalausschuss zeigen, dass die Angreifer ihre Methoden ständig an die Abwehrmaßnahmen anpassen. Schulungen und Simulationen von Phishing-Angriffen werden als Pflichtmaßnahmen für Beschäftigte in sensiblen Bereichen diskutiert.

Denn wer über spannende Informationen oder ein einflussreiches Kontaktnetzwerk verfügt, steht automatisch im Fadenkreuz der Geheimdienste. In einer Welt, in der Drohnenunternehmer und vermeintliche Geschäftspartner als Deckmantel für Spionage dienen können, ist gesundes Misstrauen gegenüber unaufgeforderten Nachrichten auf dem Smartphone zur digitalen Überlebensstrategie geworden.

Stefan Krempl

Milliarden für Cyberabwehr: Bund plant neues Programm für IT-Sicherheit

Die Bundesregierung will die IT-Sicherheitsforschung bis 2032 mit rund 900 Millionen Euro fördern und setzt dabei auf KI, Quanten-Tech und Desinformationsschutz.

Die fortschreitende Digitalisierung ist Fluch und Segen zugleich. Während sie Effizienz und neue Chancen verspricht, wachsen die wirtschaftlichen Schäden durch Datendiebstahl und Industriespionage in astronomische Höhen. Allein 2024 belief sich der Schaden in Deutschland laut Schätzungen auf rund 267 Milliarden Euro. Vor diesem Hintergrund hat die Bundesregierung nun Details zu ihren Plänen für die kommenden Jahre vorgelegt. In seiner Antwort auf eine Anfrage der Grünen-Fraktion zeichnet das Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR) den Weg für die IT-Sicherheit der Zukunft vor.

Das derzeitige Forschungsrahmenprogramm „Digital. Sicher. Souverän.“ nähert sich seinem Ende und wird dieses Jahr auslaufen. Damit die Forschung an elementaren Sicherheitstechnologien nicht ins Stocken gerät, bereitet die Regierung ein Nachfolgeprogramm vor. Es soll eine Laufzeit von 2027 bis 2032 haben. Finanziell plant der Bund dabei zweigleisig: Rund 700 Millionen Euro sollen aus dem regulären Haushalt des BMFTR fließen, während weitere 200 Millionen Euro aus dem Sondervermögen Investitionen und Klimaschutz beigesteuert werden. Diese Summen stehen jedoch unter dem Vorbehalt, dass die bestehende Finanzplanung wie vorgesehen fortgeschrieben werden kann.

Kritiker hatten im Vorfeld befürchtet, dass zwischen dem Ende des alten und dem Start des neuen Programms eine Förderlücke entstehen könnte. Die Exekutive beschwichtigt jedoch und betont, dass ein nahtloser Übergang gewährleistet sei. Zwar ist die offizielle Kabinettbefassung erst für das erste Quartal 2027 vorgesehen. Doch bereits seit Ende 2022 ergänze die „Agenda Cybersicherheitsforschung“ die bestehenden Maßnahmen. Erste Förderprojekte des neuen Programms sollen zudem schon im Laufe des Jahres 2027 starten.

Inhaltlich will der Bund die Schwerpunkte neu ausrichten. Ein zentrales Feld ist dabei die Cybersicherheit im Quantenzeitalter. Besonders die Entwicklung abhörsicherer Quantenkommunikation sieht das BMFTR als essenziell an, um technologisch nicht hinter die globale Entwicklung von Angriffsmethoden zurückzufallen. Auch die hochdynamische Entwicklung von KI betrachtet das Ressort als zweischneidiges Schwert. Es biete zwar neue Sicherheitslösungen, schaffe aber auch neue Angriffsvektoren. Ein weiterer Fokus des künftigen Programms liegt auf der Abwehr hybrider Bedrohungen. Dabei geht es vor allem um den Schutz der staatlichen Handlungsfähigkeit und des demokratischen Vertrauens vor gezielter Desinformation und Sabotage.

Ein wunder Punkt bleibt für viele Forscher die rechtliche Lage. Die Hackerparagrafen stehen seit Jahren in der Kritik, da sie IT-Sicherheitsexperten bei ihrer Arbeit kriminalisieren können. Die Regierung verweist hier nur auf den Koalitionsvertrag, in dem eine Schaffung von Rechtssicherheit für die Forschung vereinbart wurde. Das Bundesjustizministerium prüfe derzeit die Umsetzung, wobei insbesondere Missbrauchsmöglichkeiten verhindert werden sollen.

Damit die Ergebnisse nicht in den Laboren verstauben, soll der Transfer in die Praxis gestärkt werden. Besonders kleine und mittlere Unternehmen (KMU) stehen dabei im Blickpunkt, um deren Resilienz gegenüber Ransomware und Spionage zu erhöhen. Dass solche Förderungen funktionieren können, zeigen Beispiele wie der „Consenter“, ein Dienst fürs Cookie-Einwilligungsmanagement, oder erste kommerzielle Lösungen im Bereich Confidential Computing, die aus staatlich geförderter Spitzenforschung hervorgegangen sind. Um den Forschungsstandort Deutschland langfristig als Nukleus für Innovationen zu etablieren, setzt der Bund ferner auf Programme wie „1000-Köpfe-Plus“, um internationale Toptalente zu gewinnen und dem Fachkräftemangel entgegenzuwirken.

Stefan Krempl

Gefahr aus der Blackbox: Anthropic schockt mit "Sicherheits-KI" Claude Mythos

Das neue Sprachmodell von Anthropic findet jahrzehntealte Lücken in Sekunden. Experten nicht nur vom BSI warnen vor einer neuen Ära der Cyberkriminalität durch automatisierte Angriffe.

Der KI-Pionier Anthropic sorgt für erhebliche Unruhe in der Tech-Welt und bei Sicherheitsbehörden. Mit der Vorstellung von Claude Mythos Preview hat das US-Unternehmen ein Modell präsentiert, das die Spielregeln der Cybersicherheit fundamental verändern könnte. Die neue KI ist nicht nur in der Lage, tief im Code verborgene Sicherheitslücken aufzuspüren. Sie kann diese laut den Entwicklern auch autonom validieren und ausnutzen. Betroffen sind offenbar fast alle gängigen Betriebssysteme und Web-Browser. Da das Modell ein erhebliches Risiko für die öffentliche Infrastruktur darstellt, hält Anthropic die Technologie vorerst unter Verschluss und informiert nur ausgewählte Partner.

Überraschend ist der Ursprung dieser Fähigkeiten. Claude Mythos Preview wurde nicht explizit als Werkzeug für Hacker konzipiert, sondern ist ein klassisches Allzweckmodell. Die Fähigkeit zum Finden von Exploit-Ketten ergab sich als Nebeneffekt der allgemeinen Leistungssteigerung. „Frontier-Modelle spielen bereits heute eine Rolle bei Cyberangriffen und deren Abwehr“, erklärt Thorsten Holz vom Max-Planck-Institut für Sicherheit und Privatsphäre gegenüber dem Science Media Center (SMC). Die Bedenken von Anthropic seien daher grundsätzlich plausibel. Das Problem ist weniger die Entdeckung völlig neuer Angriffsarten, sondern die deutliche Skalierung: „Der Punkt ist, dass sie bestehende Fähigkeiten beschleunigen und sie teilweise auch weniger erfahrenen Akteuren zugänglich machen.“

Was die Fachwelt aufhorchen lässt, ist die Qualität der Funde. Anthropic demonstrierte das Potenzial anhand einer 27 Jahre alten Schwachstelle im hochsicheren Betriebssystem OpenBSD sowie einer 16 Jahre alten Lücke im Multimedia-Framework FFmpeg. Dass ein Sprachmodell Fehler findet, die menschliche Experten über Jahrzehnte übersahen, deutet auf einen echten Sprung hin. Jörn Müller-Quade vom Karlsruher Institut für Technologie (KIT) sieht darin eine Zeitenwende: „Bisher benötigte es sehr fähige Hacker, um solche Schwachstellen zu finden. Nun erlaubt es ein KI-Modell jedem Laien, Angriffe durchzuführen. Eine Welle von Angriffen mit KI ist zu erwarten.“

Project Glasswing: Allianz der Giganten

Um das drohende Chaos abzuwenden, hat Anthropic das „Project Glasswing“ ins Leben gerufen. Dabei wird das Modell Branchengrößen wie Apple, Google, Microsoft, Crowdstrike und Nvidia zur Verfügung gestellt, damit diese ihre Software härten können, bevor die Details der Schwachstellen an die Öffentlichkeit gelangen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) steht bereits im Austausch mit dem Hersteller. BSI-Präsidentin Claudia Plattner erwartet „Umwälzungen in der Schwachstellenlandschaft“. Mittelfristig könnten klassische Softwarefehler durch solche KI-Werkzeuge fast vollständig verschwinden, was jedoch zu einer Verschiebung der Angriffsvektoren führen dürfte.

Konrad Rieck von der TU Berlin gibt zu bedenken, dass die Leistungsfähigkeit von KI oft überschätzt werde. Das Finden von Fehlern sei zwar beeindruckend. Doch es gelte nicht zu vergessen, dass eine „perfekte Erkennung beweisbar unmöglich“ bleibe. Dennoch räumt der Wissenschaftler ein: „Insbesondere bei der Ausnutzung von Schwachstellen scheint es einen großen Sprung gegeben zu haben. Das ist tatsächlich keine gute Neuigkeit für die IT-Sicherheit.“

Politisches Versäumnis beim Schwachstellen-Management?

Die Nachricht trifft Deutschland in einer Phase politischer Uneinigkeit. Die einstige Ampel-Koalition konnte sich bis zuletzt nicht auf ein effektives, zentrales Schwachstellen-Management einigen. Von Schwarz-Rot ist auf diesem Feld noch weniger zu erwarten. Kritiker sehen darin ein wachsendes Risiko: Wenn KI-Modelle wie Mythos die Entdeckung von Zero-Day-Lücken automatisieren, wird die staatliche Zurückhaltung von Informationen – etwa für Ermittlungszwecke der Geheimdienste – brandgefährlich. Die Vergangenheit zeigte mit dem Fall „WannaCry“, wie verheerend staatlich gehortete, aber dann durchgesickerte Lücken wirken können.

Angesichts der neuen KI-Gefahr fordern Akademiker wie Müller-Quade einen Kurswechsel: „Eine Softwareentwicklung, die Fehler in Kauf nimmt und nach und nach schließt, können wir uns in Zukunft nicht mehr leisten. Wir müssen wegkommen von einer Entwicklung, die Sicherheitslücken hinterher schließt, hin zu einer, die Qualität von Anfang an sicherstellt.“ Ein Entwicklungsstopp für KI sei hingegen unrealistisch, da solche Modelle ohnehin weltweit entständen. Es bleibe nur der Weg der risikobasierten Regulierung und einer verantwortungsvollen Offenlegung – ein schmaler Grat zwischen Transparenz und dem Schutz vor digitalem Kahlschlag.

Stefan Krempl

Digitale Söldner im Visier: Gezielte Spionage gegen Ägyptens Opposition

Eine Untersuchung von Access Now enttarnt eine „Hack-for-Hire“-Kampagne gegen prominente Journalisten und Regierungskritiker im Nahen Osten. Die Cyberangriffe sind hochgradig personalisiert.

Eine am Donnerstag veröffentlichte Analyse der Digital Security Helpline von Access Now deckt eine koordinierte Spear-Phishing-Kampagne auf, die vor allem prominente ägyptische Journalisten und Regierungskritiker ins Visier nimmt. Die Angriffe richteten sich etwa gegen Mostafa Al-A’sar und Ahmed Eltantawy, die beide bereits in der Vergangenheit politische Verfolgung und Haft in Ägypten erfahren haben. Durch die Zusammenarbeit mit dem Sicherheitsunternehmen Lookout haben die Forscher die Kampagne einer professionellen „Hack-for-Hire“-Organisation mit Verbindungen nach Asien zugeordnet, die im Auftrag unbekannter Einheiten Spionage gegen die Zivilgesellschaft im Nahen Osten und Nordafrika betreiben soll.

Hochgradig personalisierte Angriffe

Die Angreifer operierten laut der Untersuchung im Zeitraum von 2023 bis 2024 mit Methoden des Spear-Phishings, einer besonders präzisen Form des digitalen Angriffs. Im Gegensatz zu breiten Phishing-Wellen werden hier Nachrichten versendet, die täuschend echt wirken und scheinbar von vertrauenswürdigen Personen oder Diensten stammen. Im Fall von Mostafa Al-A’sar, einem preisgekrönten Journalisten im Exil, versuchten die Täter zunächst im Oktober 2023, sein Apple-Konto zu kompromittieren. Sie gaben sich als Apple-Support aus und drängten ihn über iMessage zur Verifizierung seiner Telefonnummer.

Al-A’sar gab seine Zugangsdaten auf einer gefälschten Seite ein, schöpfte jedoch Verdacht, als er eine offizielle Apple-Benachrichtigung über einen Anmeldeversuch aus Kairo erhielt, während er sich selbst im Libanon aufhielt. Dieser entscheidende Moment der Aufmerksamkeit verhinderte den vollständigen Zugriff der Angreifer auf seine privaten Daten, Kontakte und Cloud-Speicher. Nur wenige Monate später folgte ein zweiter Versuch: Über ein gefälschtes LinkedIn-Profil namens „Haifa Kareem“ wurde Al-A’sar ein vermeintliches Jobangebot unterbreitet. Ein zugesandter Link zu einem angeblichen Zoom-Meeting entpuppte sich als raffinierte Falle, die Google-OAuth-Berechtigungen ausnutzen sollte, um dauerhaften Zugriff auf sein Google-Konto zu erhalten.

Die Spur führt zur ägyptischen Repression

Auch Ahmed Eltantawy, ein ehemaliges Parlamentsmitglied und Herausforderer von Präsident Abdel Fattah al-Sisi, wurde auf identische Weise angegriffen. Seine Geschichte mit digitaler Überwachung ist lang: Untersuchungen des Citizen Lab bestätigten bereits früher Infektionen seines Geräts mit der berüchtigten „Predator“-Spyware von Intellexa. Die neuen Angriffe fielen zeitlich mit der Eskalation der staatlichen Repression gegen ihn und seine Familie zusammen, die schließlich in seiner erneuten Inhaftierung im Jahr 2024 gipfelte.

Die forensische Analyse der Infrastruktur zeigt eine professionelle Handschrift. Die Angreifer nutzten kurzlebige Domains und verschleierten ihren Code, um Sicherheitsforscher zu täuschen. Neben dem Diebstahl von Zugangsdaten wurde die Infrastruktur auch dazu verwendet, bösartige Android-Apps zu verbreiten, die sich als verschlüsselte Messenger wie Signal tarnen. Diese Spyware, die von Sicherheitsfirmen wie Eset „ProSpy“ genannt wird, ist in der Lage, SMS-Nachrichten mitzulesen, Kontakte zu stehlen, Standorte zu tracken sowie Mikrofon und Kamera fernzusteuern.

Ein grenzüberschreitendes Netzwerk der Überwachung

Die Ermittlungen dehnen sich über die Grenzen Ägyptens aus. Access Now unterstützte auch die Organisation Smex bei der Untersuchung eines Falls im Libanon aus dem Jahr 2025. Dort soll die gleiche Tätergruppe erfolgreich gewesen sein: sie konnte demnach das Apple-Konto eines einflussreichen libanesischen Journalisten kompromittieren. Die Übereinstimmungen bei den verwendeten Werkzeugen und Servern deuten darauf hin, dass die „Hack-for-Hire“-Gruppe ein breites Portfolio an Zielen in der gesamten Region abarbeitet.

Zwar lässt sich die Identität der letztendlichen Auftraggeber aufgrund der zwischengeschalteten Dienstleister nicht mit absoluter Sicherheit belegen. Aber die Profile der Opfer und technische Details wie der Anmeldeversuch aus Kairo weisen eine Richtung auf. Ägypten ist bekannt für den Einkauf europäischer und kanadischer Überwachungstechnologie und hat laut Amnesty International eine dokumentierte Historie des Einsatzes von Spyware gegen Kritiker.

Schutzmaßnahmen für die Zivilgesellschaft

Angesichts dieser Bedrohungslage betont Access Now die Bedeutung präventiver digitaler Sicherheit. Social Engineering zielt auf menschliche Schwachstellen ab, weshalb Skepsis gegenüber unaufgeforderten Nachrichten oberstes Gebot bleibt. Die Nutzung von Zwei-Faktor-Authentifizierung (2FA) ist essenziell. Allerdings warnen Experten davor, dass Angreifer auch diese Codes über gefälschte Seiten abgreifen könnten. Sicherheitskeys oder Programme wie Googles „erweiterter Sicherheitsschutz“ böten hier einen besseren Schutz.

Betroffenen rät die Organisation, bei Verdacht auf einen Angriff sofort professionelle Hilfe, etwa durch die rund um die Uhr erreichbare Helpline von Access Now, in Anspruch zu nehmen. Die Untersuchung veranschaulicht: Während hochentwickelte Spyware die Schlagzeilen beherrscht, bleibt das vergleichsweise günstige Phishing eine der effektivsten Waffen im Arsenal digitaler Despoten, um Netzwerke der Zivilgesellschaft zu infiltrieren und mundtot zu machen.

Stefan Krempl

EU-Kommission unter Beschuss: Massiver Datenklau in der Cloud

Unbekannte erbeuten offenbar hunderte Gigabyte an Daten von der Europa-Plattform der EU-Kommission. Interne Systeme der Brüsseler Behörde sollen aber sicher geblieben sein.

Die EU-Kommission kämpft mit den Folgen eines schwerwiegenden Sicherheitsvorfalls. Wie die Brüsseler Regierungsinstitution am Freitag offiziell bestätigte, wurde bereits am 24. März ein gezielter Cyberangriff auf Teile ihrer digitalen Infrastruktur entdeckt. Betroffen ist die Cloud-Umgebung, die den Webauftritt der Kommission sowie die zentrale Plattform Europa.eu beherbergt. Über dieses Portal laufen nicht nur die Informationsseiten der Exekutivinstanz selbst, sondern auch die Webpräsenzen des Europäischen Parlaments und des Ministerrates.

Erste Untersuchungsergebnisse deuten darauf hin, dass die Angreifer erfolgreich Daten von den betroffenen Webseiten extrahieren konnten. Ein namentlich nicht bekannter Akteur behauptet laut Bleeping Computer sogar, Zugriff auf mindestens ein AWS-Cloud-Konto der Kommission erlangt zu haben. Dabei sollen rund 350 Gigabyte an Daten abgeflossen sein, darunter umfangreiche Datenbanken sowie Informationen über Mitarbeiter der EU-Institutionen. Als Beleg für das Eindringen kursieren Screenshots im Netz, die unter anderem Verzeichnisse eines Mailservers und persönliche Details von Kommissionsangestellten zeigen sollen. Der mutmaßliche Angreifer gab an, auf Erpressungsversuche verzichten zu wollen und stattdessen eine spätere Veröffentlichung der Daten zu planen.

Trotz der Brisanz der entwendeten Informationen betont die Kommission, dass ihre internen IT-Systeme nicht von dem Vorfall betroffen gewesen seien. Durch eine schnelle Reaktion des IT-Sicherheitsteams (CERT-EU) habe der Angriff zügig eingedämmt werden können. Die Verfügbarkeit der Webseiten sei zu keinem Zeitpunkt unterbrochen worden. Gleichzeitig seien umfassende Maßnahmen zur Risikominimierung eingeleitet worden. Die Institution ist derzeit damit beschäftigt, jene EU-Einrichtungen zu informieren, deren Daten potenziell in die Hände der Cyberkriminellen gefallen sein dürften. Die genaue Analyse des Schadensausmaßes dauert unterdessen an.

Der Vorfall reiht sich ein in eine Serie von Angriffen auf europäische Institutionen. Erst Anfang des Jahres wurde eine Schwachstelle in einer Mobile-Device-Management-Lösung bekannt, die ebenfalls zum Abfluss von Mitarbeiterdaten geführt haben soll. Experten weisen darauf hin, dass solche Einbrüche oft auf Fehlkonfigurationen in der Cloud-Infrastruktur zurückzuführen sind. Während Cloud-Anbieter wie Amazon Web Services (AWS) für die Sicherheit der zugrunde liegenden Hardware garantieren, liegt die Verantwortung für die Absicherung der darauf laufenden Anwendungen und Konten beim Kunden – in diesem Fall bei der Kommission.

Der Zeitpunkt des Angriffs ist für Brüssel besonders unangenehm. Erst im Januar 2026 hatte die Kommission ein neues, umfangreiches Cybersicherheitspaket vorgestellt, das die kollektive Verteidigung der Gemeinschaft stärken soll. Dazu gehören neben der NIS2-Richtlinie und dem Cyber Solidarity Act auch verschärfte Regeln für die Sicherheit von Lieferketten. Angesichts der "anhaltenden hybriden Bedrohungen", wie es in der offiziellen Mitteilung heißt, steht die EU unter massivem Druck, ihre eigene Resilienz unter Beweis zu stellen. Die aktuelle Sicherheitslücke führt vor Augen, wie verwundbar selbst die zentralen Verwaltungsorgane Europas sind, wenn sie ins Visier professioneller Angreifer geraten. Die Ergebnisse der laufenden Untersuchung sollen nun dazu genutzt werden, die Schutzwälle der Union zu erhöhen.

Stefan Krempl

Advocado-Datenleck: Mandantengeheimnisse im offenen Cloudspeicher

Ein falsch konfigurierter Server bei der Rechtsplattform Advocado legte sensible Dokumente von über 18.000 Kunden offen. Der Chaos Computer Club übt scharfe Kritik.

Wer juristischen Rat sucht, vertraut darauf, dass seine intimsten Angelegenheiten hinter einer Mauer aus Verschwiegenheit und Sicherheit geschützt sind. Ob es um Probleme mit dem Betäubungsmittelgesetz, Ärger mit der Unfallversicherung oder die Folgen eines Kreditkartenbetrugs geht: Mandantendaten gehören zu den sensibelsten Informationen überhaupt. Für das Portal Advocado, das sich als moderne Schnittstelle zwischen Ratsuchenden und über 550 Partneranwälten präsentiert, ist dieses Vertrauen die Geschäftsgrundlage. Doch ein gravierendes Datenleck zeigt nun, dass die digitale Sicherheit hinter dem Versprechen der schnellen Rechtshilfe offenbar nicht zurückstehen konnte.

Der Chaos Computer Club (CCC) hat eine eklatante Sicherheitslücke aufgedeckt, die den Zugriff auf einen öffentlich erreichbaren Cloudspeicher des Unternehmens ermöglichte. Wie die Hackerorganisation dem Spiegel steckte, stießen die Experten auf einen digitalen Schatz an Vertraulichkeite. Dieser soll nahezu ungeschützt im Netz gelegen haben. Die Liste der betroffenen Dokumente liest sich wie ein Albtraum für Datenschützer: Rechnungen, Kopien von Personalausweisen, Inkassoschreiben und sogar Aufzeichnungen von Beratungsgesprächen waren offenbar über den Amazon-S3-Bucket einsehbar.

CCC-Sprecher Matthias Marx, der die Schwachstelle bereits 2025 ausmachte, beschreibt den Vorfall gegenüber dem Magazin als Paradebeispiel für mangelnde Sorgfalt. Technisch gesehen war der Einbruch in das System keine Meisterleistung, da die Sicherheitsbarrieren quasi nicht existent waren. Ein falsch konfigurierter Webserver der Plattform gab Konfigurationsdateien preis, die niemals für die Öffentlichkeit bestimmt waren. In diesen Dateien fanden sich dem Bericht nach Zugangsdaten für verschiedene interne Dienste, darunter auch für das Gitlab-Konto des Unternehmens. Über diesen Umweg gelangte Marx an die Software-Interna und schließlich an die Zugangsdaten für den besagten Cloudspeicher.

Das Bild, das der CCC zeichnet, ist drastisch und anschaulich: Die Schlüssel zu den hochvertraulichen Daten lagen gewissermaßen unter einer digitalen Fußmatte. Angreifer müssen für solche Funde oft nicht einmal gezielt ein einzelnes Unternehmen ins Visier nehmen. Automatisierte Scans durchsuchen das Internet kontinuierlich nach genau solchen Fehlkonfigurationen. Werden sie fündig, stehen den Akteuren Tür und Tor offen. Im Fall von Advocado reichte ein einfacher Blick in den S3-Bucket, um die Brisanz der Lage zu erkennen.

Nachdem der CCC das Unternehmen und die zuständige Berliner Datenschutzbehörde informierte, schloss Advocado die Lücke zwar umgehend. Doch der Imageschaden dürfte länger bleiben. Die Berliner Datenschutzbeauftragte Meike Kamp bestätigte den Vorgang und gab an, dass insgesamt 18.535 Personen von dem Leck betroffen seien. Zwar gibt es laut der Behörde bisher keine Hinweise darauf, dass Kriminelle die Daten bereits kopiert oder missbraucht haben. Doch allein die theoretische Abrufbarkeit stellt einen schweren Verstoß gegen die Integrität des Mandantengeheimnisses dar.

Die Kritik des CCC wiegt schwer, da es sich um einen „technisch langweiligen“ Fehler handelt. Es mussten keine komplexen Firewalls überwunden oder Zero-Day-Exploits genutzt werden. Stattdessen war es schlichte Nachlässigkeit bei der Administration der Serverlandschaft. Marx bemängelt, dass Sicherheit bei der Entwicklung und dem Betrieb der Plattform offenbar keine Priorität genossen habe. Für die Experten ist Advocado aber kein Einzelfall. Immer wieder stoßen die ehrenamtlichen Helfer des Clubs auf ähnliche Versäumnisse bei Legal-Tech-Dienstleistern, die beispielsweise Entschädigungen für Fluggastrechte durchsetzen wollen.

Kamp appelliert daher an die Branche: Der Vorfall müsse als Weckruf für Rechtsbeistände und Kanzleien dienen, den Stellenwert der IT-Sicherheit zu erhöhen. Wenn die Digitalisierung des Rechtswesens gelingen soll, darf die Vertraulichkeit nicht der Bequemlichkeit oder einer schnellen Markteinführung geopfert werden. Während das Unternehmen selbst auf Anfragen bisher schweigt, bleibt für die über 375.000 Kunden der Plattform die Ungewissheit, wie sicher ihre sensiblen Daten in der Zukunft tatsächlich sind.

Stefan Krempl

Digitaler Gegenschlag: SPD bremst Dobrindts Pläne für „Hackbacks“ aus

Sicherheitsbehörden wie das BKA sollen laut Innenminister Dobrindt im Netz offensiv agieren dürfen, doch der Koalitionspartner SPD warnt vor unkalkulierbaren Risiken und Eskalationsgefahren.

Die Fronten im digitalen Raum verhärten sich, und das nicht nur zwischen Staaten, sondern zunehmend auch innerhalb der Bundesregierung. Bundesinnenminister Alexander Dobrindt (CSU) treibt sein Vorhaben voran, die deutsche Cyberabwehr massiv aufzurüsten. Angesichts einer veränderten Weltlage und der stetigen Bedrohung durch hybride Angriffe – insbesondere aus Russland – sieht der Christsoziale die Zeit für eine „Zeitenwende“ in der Cybersicherheit gekommen. Sein Plan: Sicherheitsbehörden wie das Bundeskriminalamt (BKA) und die Bundespolizei sollen künftig nicht mehr nur zuschauen und Spuren sichern dürfen, sondern aktiv in fremde IT-Systeme eingreifen. Doch genau hier zieht der Koalitionspartner SPD nun eine deutliche rote Linie.

Im Kern der Debatte stehen die sogenannten „Hackbacks“. Dieser Begriff beschreibt digitale Gegenangriffe, bei denen Ermittler in die Infrastruktur der Angreifer eindringen, um dort Daten zu löschen, Systeme abzuschalten oder gar eigene Schadsoftware zu verbreiten. Was für das Innenministerium nach notwendiger Verteidigung klingt, ist für viele SPD-Innenpolitiker ein brandgefährliches Spiel mit dem Feuer. Johannes Schätzl, einer der profilierten Digitalexperten der SPD-Fraktion, lässt an seiner Ablehnung keinen Zweifel. Für ihn sind Hackbacks kein Mittel der Wahl, wie er gegenüber dem Tagesspiegel ausführte.

Die Skepsis der Sozialdemokraten speist sich vor allem aus der technischen Realität des Netzes. Die eindeutige Identifizierung eines Angreifers, die sogenannte Attribution, ist ein langwieriger Prozess. Oft dauert es Monate oder sogar Jahre, bis zweifelsfrei feststeht, wer hinter einer Attacke steckt. Im digitalen Raum ist es ein Leichtes, falsche Fährten zu legen und den Angriff so aussehen zu lassen, als käme er von einem unbeteiligten Dritten.

Schätzl warnt daher eindringlich davor, dass vorschnelle Reaktionen Unbeteiligte treffen könnten. Wer in der Hitze des Gefechts zurückschlägt und dabei die falsche Infrastruktur trifft, riskiert nicht nur zivile Kollateralschäden, sondern im schlimmsten Fall eine internationale Eskalation. Wenn staatliche Stellen aktiv in ausländische Netze eingreifen, verschwimmt die Grenze zwischen Gefahrenabwehr und kriegerischer Handlung.

Ungeklärte Verantwortlichkeiten und rechtliche Grauzonen

Ein weiterer wunder Punkt im Gesetzentwurf ist die Frage der Haftung. Wenn das BKA bei einem Hackback versehentlich ein Krankenhausnetzwerk lahmlegt oder kritische Infrastruktur beschädigt, bleibt nach dem aktuellen Entwurf völlig unklar, wer die rechtliche Verantwortung trägt. Für die SPD ist dieser Mangel an Rechtssicherheit nicht hinnehmbar. Die Fraktion pocht darauf, dass Cyberabwehr internationale Rechtsnormen nicht aushöhlen darf. Zivile Infrastrukturen müssten unter allen Umständen geschützt bleiben.

Bisher war den deutschen Behörden ein solch aktives Eingreifen nur in extremen Ausnahmefällen gestattet, etwa zur Abwehr von internationalem Terrorismus. Dobrindts Vorstoß würde diese Befugnisse drastisch erweitern. So sollen künftig auch Telekommunikationsanbieter und Internetprovider verpflichtet werden können, Datenströme nach Anweisung der Polizei umzuleiten oder zu blockieren. Kritiker sehen darin einen tiefgreifenden Eingriff in die Netzneutralität und die Privatsphäre der Nutzer.

Dobrindt verteidigt seine Pläne mit dem Verweis auf die technologische Überlegenheit der Gegner. Er strebt den Aufbau eines „Cyber Dome“ nach israelischem Vorbild an – ein digitales Schutzschild, das Angriffe bereits im Keim ersticken soll. Ein entsprechender Pakt wurde bereits während einer Reise nach Israel mit Ministerpräsident Benjamin Netanjahu besiegelt.

Doch der Weg durch den Bundestag wird für das Gesetz steinig. Bevor das Kabinett dem Entwurf zustimmt, müssen die Bedenken der SPD ausgeräumt werden. Auch aus der Opposition hagelt es Einwände. Konstantin von Notz (Grüne) hob hervor, dass die verfassungsrechtlichen Hürden für Hackbacks extrem hoch seien. Aktuell läuft die Verbändeanhörung, in der auch Wissenschaftler und Gewerkschaften ihre Einschätzungen abgeben können.