Spyware, Suchbegriffe und Catcher: Geheimdienste rüsten bei Überwachung auf

Der neue Bericht des Kontrollgremiums zeigt einen deutlichen Anstieg staatlicher Eingriffe 2024, vor allem bei verdeckten Auskunftsersuchen und beim Einsatz von IMSI-Catchern.

Die Nachrichtendienste des Bundes greifen bei der Aufklärung potenzieller Gefahren zunehmend auf verdeckte Auskunftsersuchen und technische Überwachungsmittel zurück. Wie aus der aktuellen Unterrichtung des Parlamentarischen Kontrollgremiums (PKGr) an den Bundestag hervorgeht, haben das Bundesamt für Verfassungsschutz (BfV), der Bundesnachrichtendienst (BND) und der Militärische Abschirmdienst (MAD) 2024 die Zügel bei der Eingriffssphäre spürbar angezogen. Neben den klassischen Überwachungsmaßnahmen nach dem Artikel 10-Gesetz verzeichneten vor allem die Befugnisse aus dem Terrorismusbekämpfungsgesetz einen signifikanten Zuwachs.

Ein zentrales Instrument der strategischen Telekommunikationsaufklärung durch den Bundesnachrichtendienst bleibt laut dem Bericht die automatisierte Überwachung internationaler Datenströme nach Paragraph 5 des Artikel 10-Gesetzes. Dabei filtert der BND gebündelte Telekommunikationsverkehre mithilfe gezielter Suchbegriffe, um Gefahren wie den internationalen Terrorismus oder die Verbreitung von Massenvernichtungswaffen frühzeitig zu erkennen. Im ersten Halbjahr 2024 ordnete das Bundesinnenministerium mit Zustimmung der Kontrollorgane 508 Suchbegriffe an, im zweiten Halbjahr stieg diese Zahl leicht auf 537. Die Intensität dieser Überwachung konzentrierte sich dabei ausschließlich auf die Bereiche Terrorismus und Proliferation.

Auf Basis dieser Selektoren erfasste der Auslandsnachrichtendienst im gesamten Jahr 157 Telekommunikationsverkehre, die sowohl Sprachverbindungen als auch E-Mails umfassten. Trotz dieser breiten Filterung stufte der Dienst im Jahresverlauf lediglich 23 Erfassungen als nachrichtendienstlich relevant ein und verarbeitete sie als offizielle Meldungen. Ein historischer Vergleich verdeutlicht die veränderten Prioritäten und rechtlichen Rahmenbedingungen: Noch im ersten Halbjahr 2017 setzte der BND mehr als 7600 Suchbegriffe ein, woraufhin die Zahlen in den Folgejahren schrittweise und massiv zurückgingen.

Einen besonders kräftigen Anstieg wiesen 2024 die Befugnisse nach dem Terrorismusbekämpfungsgesetz auf. Das Normenwerk erlaubt es den drei Bundesdiensten, bei Fluggesellschaften, Finanzdienstleistern, Telekommunikationsanbietern und dem Bundeszentralamt für Steuern kunden- und nutzerbezogene Auskünfte einzuholen. Im Berichtszeitraum führten die Behörden insgesamt 176 solcher Auskunftsverlangen durch – ein deutliches Plus gegenüber dem Vorjahr, in dem 114 Fälle gezählt wurden. Die Reichweite dieser Maßnahmen ist beträchtlich: Allein im zweiten Halbjahr 2024 waren hiervon 492 Personen betroffen, aufgeteilt in 215 Haupt- und 277 Nebenbetroffene.

Noch dynamischer entwickelte sich der Einsatz sogenannter IMSI-Catcher. Mit diesen technischen Geräten simulieren die Geheimdienste eine Mobilfunkbasisstation, um den genauen Standort aktiv geschalteter Smartphones zu lokalisieren oder deren eindeutige Geräte- und Kartennummern zu ermitteln. Im Jahr 2024 griffen BfV, BND und MAD insgesamt 56 Mal zu dieser Maßnahme. Im Vergleich zum Vorjahr mit 37 Einsätzen bedeutet dies einen Anstieg um mehr als 50 Prozent. Der Einsatz dieser Catcher gilt in der Praxis oft als entscheidender Ermittlungsschritt, um Anonymisierungsversuche verdächtiger Personen zu durchkreuzen und eine zielgerichtete Telekommunikationsüberwachung überhaupt erst zu ermöglichen.

Heikel bleibt die nachgelagerte Transparenz gegenüber den betroffenen  Bürgern. Grundsätzlich schreibt das Gesetz vor, dass Personen über heimliche Überwachungsmaßnahmen im Nachhinein benachrichtigt werden müssen. Die Realität sieht indes anders aus: Bei den Maßnahmen nach dem Terrorismusbekämpfungsgesetz wurde 2024 bei 65 Prozent der geprüften Personen von einer Benachrichtigung vorerst oder weiterhin abgesehen, da eine Gefährdung des Aufklärungszwecks nicht ausgeschlossen werden konnte. Lediglich 15 Prozent der Betroffenen erhielten tatsächlich eine nachträgliche Information. Der Bericht unterstreicht damit das anhaltende Spannungsverhältnis zwischen dem verfassungsrechtlich verankerten Fernmeldegeheimnis und dem weitgehend im Verborgenen agierenden Sicherheitsapparat.

Stefan Krempl

Bestandsdaten-Abfragen: Bund meldet stabile Systeme trotz Rekordauslastung

Die IT-Systeme zur Bestandsdatenauskunft verkraften den neuen Abfragerekord laut Bundesregierung problemlos. Bei Details zum Schutz vor Missbrauch mauert Berlin aber.

Die digitale Infrastruktur für die Auskunft über Telefon- und Kundendaten läuft stabil, hält der extremen Dauerbelastung stand und verzeichnet keinerlei Ausfälle. Das geht aus einer Antwort der Bundesregierung auf eine Anfrage der AfD-Fraktion hervor, die sich nach den technischen Kapazitäten und der Belastbarkeit des Automatisierten Auskunftsverfahrens der Bundesnetzagentur erkundigten. Hintergrund der parlamentarischen Nachfrage war die drastische Zunahme der Abrufzahlen 2025, in dem Behörden mit 35,11 Millionen Abfragen einen historischen Höchststand erreichten. Statistisch betrachtet wird in Deutschland damit in jeder einzelnen Sekunde mindestens eine Bestandsdatenauskunft eingeleitet, was Fragen nach der Belastbarkeit der Schnittstellen und der Skalierbarkeit der beteiligten Serverlandschaften aufwarf.

Die Exekutive wiegelt bezüglich eventueller IT-Engpässe ab und betont, dass die Skalierbarkeit des Systems angemessen ausgelegt sei. Das automatisierte Verfahren und die dazugehörigen autarken IT-Systeme würden kontinuierlich an den steigenden Bedarf angepasst und nach dem aktuellen Stand der Technik fortentwickelt. 2024 und 2025 habe es beim zentralen Vermittlungssystem der Bundesnetzagentur keinerlei Ausfälle, Überlastungen oder ungeplante IT-Einschränkungen gegeben. Auch die gesetzlich zur Mitwirkung verpflichteten Telekommunikationsanbieter seien zur Bereitstellung hochverfügbarer Schnittstellen angehalten und träfen entsprechende Vorkehrungen. Wie hoch die durchschnittlichen Server-Antwortzeiten oder Latenzen beim einzelnen Abruf ausfallen, teilt das Ministerium allerdings nicht mit: dazu lägen keine statistischen Durchschnittswerte vor.

Ein Missverständnis bezüglich der technischen Funktionsweise räumt die Exekutive aus. Im Automatisierten Auskunftsverfahren werden ihr zufolge ausschließlich Bestandsdaten wie Namen, Anschriften oder Telefonnummern übermittelt, die den Providern von ihren Kunden mitgeteilt wurden. Eine Ermittlung von Anschlussinhabern über dynamische oder statische IP-Adressen sei über die Schnittstellen der Bundesnetzagentur technisch und rechtlich dagegen nicht möglich. Das System verarbeite weder Abfragen zur Identifizierung von Internetnutzern hinter IP-Adressen noch Auskunftsersuchen im Zusammenhang mit Äußerungsdelikten oder zivilrechtlichen Urheberrechtsverletzungen. Die Bundesnetzagentur betreibt zudem selbst keine zentrale Bestandsdatenbank, sondern leitet die automatisierten Ersuchen der berechtigten Stellen an die dezentralen Datenbanksysteme der jeweiligen Telekommunikationsanbieter weiter.

Keine Auskunft gibt es zu den konkreten Ursachen des rasanten Anstiegs der Abfragezahlen. Mangels entsprechender statistischer Erhebungen kann die Regierung nach eigenen Angaben keine Aussagen dazu treffen, warum die Zahl der Auskunftsersuchen innerhalb weniger Jahre so stark angestiegen ist. Die rechtlichen Rahmenbedingungen für den Datenzugriff wurden in den vergangenen Jahren mehrfach reformiert, nachdem das Bundesverfassungsgericht strenge verfassungsrechtliche Hürden für die Bestandsdatenauskunft und auch für die Herausgabe von Passwörtern aufgestellt hatte. Trotz dieser Nachbesserungen und der geforderten Verhältnismäßigkeit nimmt die praktische Nutzung durch die Behörden im digitalen Ermittlungsalltag unverdrossen zu.

Die parlamentarische Kontrolle bei Sicherheitsbehörden und Nachrichtendiensten stößt ferner schnell an klare Grenzen. Auf Fragen nach der konkreten Nutzungshäufigkeit, den eingesetzten Client-Softwares oder den entstandenen IT-Kosten verweist die Bundesregierung gebetsmühlenartig auf das Staatswohl. Beim Bundeskriminalamt finde eine statistische Erfassung der Abrufe gar nicht erst statt, während die Bundespolizei über keine direkte automatisierte Softwareschnittstelle verfüge.

Das Bundesamt für Verfassungsschutz, der Militärische Abschirmdienst sowie der Bundesnachrichtendienst verweigern detaillierte Angaben mit der Begründung, dass Rückschlüsse auf operative Fähigkeiten, technische Aufklärungspotenziale und nachrichtendienstliche Methodiken die Sicherheit der Bundesrepublik gefährden könnten. Selbst die Frage nach aufgetretenen IT-Sicherheitsvorfällen oder unberechtigten Datenzugriffen durch Behördenmitarbeiter bleibt aus Geheimhaltungsgründen unbeantwortet.

Zur Wahrung der Privatsphäre Betroffener setzt das System auf technische Schutzmechanismen. Die Protokolldaten über die durchgeführten Abrufe werden doppelt verschlüsselt und lassen sich nur nach dem Vier-Augen-Prinzip gemeinsam mit der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entschlüsseln. Die automatisierte und datenschutzkonforme Löschung dieser Protokolle nach Ablauf der gesetzlichen Aufbewahrungsfristen wird nach Angaben der Bundesregierung tagesgenau durch die genutzte Software gesteuert. Eine nachträgliche Benachrichtigung betroffener Bürger über die Bundesnetzagentur erfolge dagegen nicht, da die Regulierungsbehörde selbst zu keinem Zeitpunkt Einblick in die klaren personenbezogenen Daten der Bürger erhalte.

Stefan Krempl

Geheimdienstreform: Bundesrat fordert mehr Datenfluss und Befugnisse

Die Länderkammer verlangt eine leichtere Datenweitergabe an Ermittler und rüttelt am Trennungsgebot, pocht aber zugleich auf Garantien für starke Verschlüsselung.

Die Debatte über die umfassende Reform des deutschen Nachrichtendienstrechts geht munter weiter. Nachdem bereits die Datenschutzkonferenz der Länder und des Bundes eindringlich vor einer gefährlichen Kumulation von Eingriffsbefugnissen gewarnt hatte, hat sich nun auch der Bundesrat offiziell zu dem Gesetzentwurf der Bundesregierung geäußert. Die Stellungnahme der Länderkammer offenbart ein vielschichtiges Bild: Bei der praktischen Ermittlungsarbeit drängt sie nachdrücklich auf erweiterte Überwachungsbefugnisse und einen leichteren Informationsaustausch. An anderer Stelle fordert das Gremium dagegen klare rote Linien beim Schutz digitaler Infrastrukturen und starker Verschlüsselung.

Ein Schwerpunkt der Stellungnahme der Länder betrifft das sensible Verhältnis zwischen Nachrichtendiensten und Strafverfolgungsbehörden. Während Datenschützer vor einem schleichenden Verblassen der Trennlinie zwischen präventiver Aufklärung und repressiver Verfolgung warnen, will der Bundesrat eine noch engere Verzahnung.

Um extremistische Bestrebungen frühzeitig zu stoppen, bevor schwere Straftaten begangen werden, verlangt die Länderkammer eine Ausweitung des Katalogs derjenigen Delikte, bei denen die Geheimdienste ihre Erkenntnisse an die Staatsanwaltschaften weitergeben dürfen. Explizit wollen sie, dass der Straftatbestand der Volksverhetzung in diesen Übermittlungskatalog aufgenommen wird. Eine zu restriktive Handhabung beim Informationsaustausch führe nzu unnötiger Doppelarbeit und zusätzlichen Grundrechtseingriffen, wenn die Polizei Daten, die beim Verfassungsschutz bereits vorliegen, erneut mühsam erheben müsse.

Ebenso intensiv befasst sich der Bundesrat mit Neuerungen im Bereich der Telekommunikationsüberwachung. Der Gesetzentwurf sieht vor, bisher im Artikel 10-Gesetz verankerte Befugnisse direkt in den Fachgesetzen wie dem Bundesverfassungsschutzgesetz zu bündeln. Dies betrifft neben dem klassischen Abhören laufender Kommunikation auch Instrumente wie die Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) mit Staatstrojanern.

Die Länder verlangen hier Klarheit über das Zusammenspiel zwischen Bundes- und Landesrecht. Es dürfe nicht passieren, dass die Umstellung der gesetzlichen Verweise zu rechtlichen Unsicherheiten führt oder bewährte eigene Eingriffsschwellen und Kontrollmechanismen ausgehebelt werden. Solange in den einzelnen Bundesländern noch keine eigenständigen Anpassungen für eine unabhängige vorherige Anordnungskontrolle getroffen wurden, müsse das bisherige Schutzniveau nahtlos weitergelten. Zudem sollte das Telekommunikationsgesetz so angepasst werden, dass die Mitwirkungspflichten der Provider auch für nachrichtendienstliche Maßnahmen der Länder lückenlos fortbestehen.

Gleichzeitig sendet der Bundesrat beim Thema Verschlüsselung und IT-Sicherheit ein Stoppsignal. Er will durchsetzen, dass im Gesetzgebungsverfahren ausdrücklich verankert wird, was der Entwurf bislang nur implizit vermuten lässt: Die Pflicht von Telekommunikations- und Internetanbietern zur Mitwirkung bei Überwachungsmaßnahmen dürfe keinesfalls so weit gehen, dass Unternehmen gezwungen werden, Ende-zu-Ende-Verschlüsselungen aufzubrechen, Sicherheitslücken offen zu halten oder Hintertüren einzubauen. Eine strukturelle Schwächung von Sicherheitsarchitekturen oder modernen Zero-Trust-Konzepten würde unweigerlich die IT-Sicherheit aller  Bürger sowie der Wirtschaft massiv gefährden. Wer Sicherheitsarchitekturen für staatliche Zugriffe aufweiche, untergrabe das Fundament des digitalen Vertrauens.

Der Bundesrat mahnt auch an anderen Stellen zur Vorsicht, an denen Bürgerrechte durch eine pauschale Übermittlungspflicht weiterer Behörden ausgehöhlt werden könnten. Ein eindringliches Warnsignal senden die Länder angesichts der vorgesehenen Weitergabe von Finanzdaten. Der Entwurf sieht vor, dass Finanzbehörden verpflichtet werden können, dem Bundesnachrichtendienst oder den Verfassungsschutzämtern Daten zu übermitteln. Hier weist der Bundesrat auf die überragende Bedeutung des Steuergeheimnisses hin, das als Ausprägung des Rechts auf informationelle Selbstbestimmung Verfassungsrang genieße. Es sei den Finanzämtern kaum zuzumuten, eigenständig zu beurteilen, ob Steuerdaten für die nachrichtendienstliche Auslandsaufklärung erforderlich sind. Eine derartige Verpflichtung berberge ferner das Risiko diskriminierender Effekte, wenn bloße Auslandsbezüge von Steuerpflichtigen zum Anlass für verdachtsunabhängige Datenübermittlungen genommen würden. Der Bundesrat fordert daher strenge Hürden und klar definierte Tatbestandsvoraussetzungen, anstatt das Steuergeheimnis pauschal aufzuweichen.

Auch bei der begrifflichen Definition der Schutzzwecke ist die Länderkammer für Nachbesserungen. Die im Entwurf geplante Übernahme eines verengten Begriffs der freiheitlichen demokratischen Grundordnung, wie ihn das Bundesverfassungsgericht für Parteiverbotsverfahren entwickelt hat, lehnt sie ab. Eine solche Verengung würde die Beobachtungsobjekte der Verfassungsschutzbehörden spürbar reduzieren und die Extremismusbekämpfung schwächen. Um der wehrhaften Demokratie keine Fesseln anzulegen, müsse der Verfassungsschutz weiterhin auf der Grundlage des breiteren, im einfachen Recht verankerten Begriffs arbeiten können.

Nicht zuletzt übt der Bundesrat Kritik an der finanziellen und organisatorischen Abschätzung der Gesetzesfolgen. Die Annahme der Bundesregierung, die Reform verursache bei den Ländern keinen Erfüllungsaufwand, sei fernab der Realität. Die Erstreckung bundesrechtlicher Überwachungsbefugnisse auf die Landesbehörden erfordere erhebliche Investitionen in IT-Schnittstellen, die Umstellung betrieblicher Abläufe sowie umfassende Schulungen des Personals. Diese Kosten müssten gemeinsam mit den Ländern ermittelt und im weiteren Verfahren angemessen berücksichtigt werden.

Stefan Krempl

Geheimdienst-Reform: Wie viel Überwachung verträgt der Rechtsstaat?

Die geplante Neuausrichtung von BND und Verfassungsschutz spaltet die Gemüter. Kritiker befürchten einen Überwachungsstaat, Rechtsexperten sprechen von moderaten Anpassungen.

Die Bundesregierung hat eine umfassende Überarbeitung des Nachrichtendienstrechts auf den Weg gebracht. Das mehr als 700 Seiten starke Gesetzespaket stellt die bisher grundlegendste Neugestaltung der rechtlichen Fundamente des Bundesnachrichtendienstes (BND) sowie des Bundesamtes für Verfassungsschutz (BfV) dar. Die Reaktionen auf das Reformvorhaben fallen denkbar unterschiedlich aus: Bürgerrechtsorganisationen wie die Humanistische Union (HU) warnen vor einer schleichenden Umwandlung Deutschlands in einen Überwachungsstaat. Rechtswissenschaftler aus dem Dunstkreis der Geheimdienste ordnen viele der Neuregelungen dagegen als verfassungsrechtlich vertretbare Reaktionen auf eine veränderte globale Bedrohungslage ein.

Ein Streitpunkt ist die Einführung sogenannter operativer Befugnisse. Künftig sollen BND und BfV unter bestimmten Bedingungen aktiv eingreifen dürfen. Beim Verfassungsschutz betrifft dies etwa die Manipulation von Tatmitteln oder das Verhindern von Gefahren durch gezielte Einwirkung auf Gegenstände, Software und digitale Infrastrukturen. Der BND wiederum soll im Cyberraum oder unter Verwendungsabsicht kinetischer Mittel gegen fremde Mächte vorgehen können.

Die HU sieht hierin einen gefährlichen Paradigmenwechsel und einen Bruch mit dem grundgesetzlichen Trennungsgebot zwischen Polizei und Nachrichtendiensten. Da Geheimdienste bereits im Vorfeld konkreter Gefahren und mit niedrigeren Eingriffsschwellen überwachen dürfen als Polizeibehörden, führe die Übertragung polizeilicher Handlungsrechte zu einer Verpolizeilichung der Dienste. Dem halten Befürworter entgegen, dass die Befugnisse strikt subsidiär ausgestaltet seien. Die Maßnahmen richteten sich primär gegen Sachen oder fremde Mächte und griffen nur, wenn andere Behörden nicht rechtzeitig handeln könnten oder die Geheimhaltung gefährdet wäre.

Ein weiterer Aspekt des Entwurfs betrifft die Umstrukturierung der Telekommunikationsüberwachung. Bislang im Artikel-10-Gesetz verankert, soll die Individualüberwachung künftig direkt in den jeweiligen Fachgesetzen geregelt werden. Während das Schutzniveau für Bundesbürger weitgehend unberührt bliebe, sieht der Entwurf für Ausländer im Ausland niedrigere Eingriffsschwellen vor.

Diese Differenzierung greift Vorgaben des Bundesverfassungsgerichts aus dem Jahr 2020 auf, wonach der Grundrechtsschutz im Ausland abgestuft angewendet werden darf. Umstritten bleibt allerdings eine Sonderregelung für Inländer: Wer im Verdacht steht, als Handlanger oder Agent einer fremden Macht zu agieren, soll künftig unter den vereinfachten Bedingungen für Ausländer überwacht werden können. Das erinnert an die umstrittene Funktionsträgertheorie beim BND. Ob diese abgesenkte Hürde vor den Karlsruher Richtern Bestand hätte, ist Gegenstand juristischer Debatten.

Bei der technischen Auswertung geht der Entwurf ebenfalls neue Wege. Die Zersplitterung der Fernmeldeaufklärung auf verschiedene Gesetze wird beendet und im BND-Gesetz konsolidiert. Gleichzeitig werden die Speicherfristen für abgefangene Kommunikationsdaten ausgeweitet: Inhaltsdaten dürfen künftig sechs Monate statt bisher gar nicht, Metadaten bis zu zwölf Monate zwischengespeichert und durchsucht werden. Im europäischen Vergleich bewegen sich diese Fristen im Mittelfeld, da Nachbarstaaten wie Frankreich oder die Niederlande teils deutlich längere Speicherzeiten erlauben.

Zudem will die Regierung den Einsatz von Künstlicher Intelligenz zur Datenanalyse legalisieren. Kritiker warnen hier vor unverhältnismäßiger Massenüberwachung, fehlerhaften KI-Analysen und Risiken durch den Einsatz kommerzieller US-Software. Andere weisen  darauf hin, dass Sicherheitsrisiken durch eine strikte technische Isolation der Systeme von externen Netzwerken eingedämmt werden könnten.

Ein entscheidender Dreh- und Angelpunkt der gesamten Reform bleibt die Kontrolle der Geheimdienste. Der Regierungsentwurf sieht vor, die Aufsicht beim Unabhängigen Kontrollrat zu bündeln. Damit fallen die bisherigen Aufgaben der G10-Kommission und Teile der Datenschutzaufsicht an dieses Gremium.

Bürgerrechtler bemängeln, dass die Aufsichtsstruktur nicht mit der Fülle der neuen Befugnisse Schritt halte und vor allem in Krisenlagen wie dem neu geschaffenen Besonderen Feststellungsfall Kontroll- und Protokollierungspflichten aufgeweicht werden. Befürworter halten dagegen, dass ein zentrales, gerichtsähnliches Organ aus erfahrenen Richtern die Rechtmäßigkeit der Maßnahmen effektiv gewährleisten könne. Am Ende zeigt die Debatte das klassische Spannungsfeld eines liberalen Rechtsstaats: Das Streben nach operativer Handlungsfähigkeit im digitalen Zeitalter muss stets gegen den Schutz der bürgerlichen Freiheitsrechte abgewogen werden.

Stefan Krempl

Staatliche Hacks: Warum Deutschland Regeln für IT-Sicherheitslücken braucht

Ein Rechtsgutachten verweist auf Verfassungsverstöße beim Umgang mit Zero-Days. Ein neuer Gesetzentwurf soll dem BND sogar den Eil-Zugriff auf Systeme erlauben.

Wer im digitalen Raum unterwegs ist, verlässt sich tagtäglich auf die Sicherheit von Betriebssystemen, Apps und Netzinfrastrukturen. Doch wenn IT-Sicherheitslücken entdeckt werden, die den Herstellern noch unbekannt sind – sogenannte Zero-Days –, gerät der Staat in ein Dilemma. Auf der einen Seite steht das berechtigte Interesse, Bürger, Unternehmen und staatliche Einrichtungen vor Cyberangriffen, Erpressungs-Software und Wirtschaftsspionage zu schützen. Dafür müssten Schwachstellen umgehend den Herstellern gemeldet werden, damit diese Patches bereitstellen können. Auf der anderen Seite wollen Sicherheitsbehörden und Nachrichtedienste genau diese Lücken geheim halten und als Einfallstor nutzen, um Verdächtige zu überwachen oder offensive Cyberoperationen durchzuführen.

Ein Rechtsgutachten im Auftrag der Gesellschaft für Freiheitsrechte (GFF) erläutert, wie brisant dieser Zielkonflikt auf verfassungsrechtlicher Ebene ist. Ergebnis der juristischen Analyse von Thomas Wischmeyer und Paul Friedl (beide HU Berlin): Deutschland verstößt gegen das Grundgesetz, weil eine formell-gesetzliche Regelung für ein staatliches Schwachstellenmanagement bis heute fehlt. Bereits im Juni 2021 stellte das Bundesverfassungsgericht im Beschluss zu IT-Sicherheitslücken klar, dass aus dem Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme eine konkrete Schutzpflicht des Staates erwächst. Sobald staatliche Stellen von einer unbekannten Schwachstelle erfahren, verengt sich der allgemeine Schutzauftrag zu einer Handlungspflicht. Der Gesetzgeber muss laut den Verfassern verfassungsrechtlich zwingend vorgeben, wie Behörden diesen Zielkonflikt aufzulösen haben.

Dass es bisher an einem transparenten, gesetzlich verankerten Kriterienkatalog fehlt, ist aus rechtsstaatlicher Sicht fatal. Aktuell entscheiden Behörden weitgehend in Eigenregie und intransparent im Exekutivbereich, ob eine Lücke geschlossen oder für eigene Zwecke bevorratet wird. Dabei birgt das Offenhalten immenses Schadenspotenzial. Einem Staat gelingt es selten, exklusiv im Besitz einer Schwachstelle zu bleiben. Ein prominentes Beispiel zeigt die Gefahr: 2016 entwendete die Hackergruppe Shadow Brokers hocheffektive Zero-Day-Exploits des US-Geheimdiensts NSA. Kurz darauf richtete die Ransomware WannaCry weltweite Verheerungen in Hunderttausenden Systemen an.

Die Autoren erläutern daher die verfassungsrechtlichen Mindestanforderungen an ein künftiges Gesetz. Grundsätzlich müsse das Prinzip gelten, dass Schwachstellen im Regelfall unverzüglich an Hersteller gemeldet werden. Die temporäre Geheimhaltung dürfe nur eine absolute Ausnahme sein. Voraussetzung sei ein strukturierter, nachvollziehbarer Abwägungsprozesses, bei dem der Nutzen für eine konkrete Ermittlung gegen die diffusen Gefahren für die Allgemeinheit aufgewogen werde. Diese Entscheidung gehört nach Ansicht der Gutachter nicht in die Hände einzelner Polizeibehörden oder Geheimdienste. Sie müsse durch ein unabhängiges, interministerielles Gremium mit klarer rechtlicher und unabhängiger Kontrolle getroffen werden.

Besonders drängend wird die Debatte durch ein neues Gesetzgebungsvorhaben der Bundesregierung, das genau in die entgegengesetzte Richtung zu steuern scheint. Im Regierungsentwurf zur Reform des Nachrichtendienstrechts offenbart sich, wie intensiv Behörden künftig Schwachstellen und IT-Daten austauschen und ausnutzen wollen. So sieht der Entwurf in Paragraph 11 Absatz 1 Satz 2 vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet werden soll, Informationen und personenbezogene Daten an den Bundesnachrichtendienst (BND) zu übermitteln. Wenn das BSI Kenntnis von Schwachstellen erhält, könnten diese Informationen genutzt werden, um Datenströme gezielt nach Suchbegriffen zu durchsuchen. Diese müssten durch eben jene Schwachstellen angezeigt werden, um laufende Angriffe im Bundesgebiet aufzuklären.

Noch weiter geht Absatz 5 des Entwurfs: Damit soll eine explizite Ausnahme von dem Grundsatz geschaffen werden, dass ein Eingriff in IT-Systeme vorab angeordnet werden muss. Dem BND würde damit die Befugnis zur sogenannten Zugangssicherung eingeräumt. Die Begründung verweist auf eine extreme zeitliche Dringlichkeit. Oft vergingen zwischen dem Bekanntwerden einer technischen Realisierungsmöglichkeit und dem Schließen einer Lücke nur wenige Stunden. Um den Zugriff nicht zu verlieren, soll der BND ein Zielsystem sofort sichern dürfen – noch bevor eine richterliche oder unabhängige Anordnung vorliegt. Zwar betont die Regierung, dass bis zur Bestätigung durch den Unabhängigen Kontrollrat keine über die reine Zugangsschaffung hinausgehende Datenverarbeitung stattfinden dürfe. Trotzdem zeigt sich hier ein gravierender Eingriff in die Systemintegrität: Der Staat schafft sich im Eilverfahren Zugang zu Geräten, ohne dass die betroffenen Bürger oder unabhängige Stellen im Moment des Zugriffs eingreifen können.

Auch der Ankauf kommerzieller Spyware von privaten Anbietern sowie die Zusammenarbeit mit ausländischen Geheimdiensten verschärft die Lage. Wenn der Staat Trojaner von Drittanbietern erwirbt, deren Funktionsweise oder gar dahinterliegende Sicherheitslücken er nicht vollumfänglich kontrollieren kann, umgeht er potenziell das verfassungsrechtlich gebotene Schwachstellenmanagement. Auch hier fordern die Gutachter strikte gesetzliche Leitplanken, etwa durch streng gehandhabte Whitelists oder gar ein vollständiges Verbot kommerzieller Überwachungssoftware.

Der Gesetzgeber steht damit vor einer doppelten Aufgabe. Er darf sich nicht darauf beschränken, den Sicherheitsbehörden immer schnellere und tiefere Zugriffsrechte auf digitale Systeme einzuräumen. Er muss gleichzeitig seiner Schutzpflicht nachkommen und ein verfassungskonformes Schwachstellenmanagement etablieren. Nur wenn klare Gesetze festlegen, wann Sicherheitslücken gemeldet werden müssen und wie geheim gehaltene Exploits gesichert werden, lässt sich das Vertrauen in die digitale Infrastruktur aufrechterhalten.

Stefan Krempl

BND plant Tech-Hub in Bonn: „Deutsche Mini-NSA“ nimmt Formen an

Mit einem neuen Zentrum für KI und Quantencomputing will Geheimdienst-Chef Martin Jäger den BND technologisch an die Weltspitze der Cyberspionage führen.

Der Bundesnachrichtendienst (BND) steht vor einer strategischen Neuausrichtung seiner technischen Abteilungen. Wie Recherchen von WDR und Süddeutscher Zeitung nahelegen, bricht der Auslandsgeheimdienst mit bisherigen Plänen, seine Kapazitäten am Berliner Hauptsitz zu bündeln. Stattdessen soll die Ex-Hauptstadt Bonn zum neuen Epizentrum für digitale Aufklärung und Kryptoanalyse werden. In Sicherheitskreisen kursiert für das ambitionierte Projekt bereits ein Vergleich, der die Stoßrichtung verdeutlicht: Man arbeite an einer Art „deutschen Mini-NSA“.

Das Vorhaben markiert eine Kehrtwende für den Standort Bonn-Mehlem. Bisher beherbergte die dortige BND-Außenstelle ein Team aus IT-Fachkräften, Kryptologen und Experten für offensives Hacking, dessen Umzug in die Hauptstadt eigentlich längst beschlossene Sache war. Doch unter dem neuen BND-Präsidenten Martin Jäger haben sich die Prioritäten verschoben. Anstatt die bestehende Einheit abzuwickeln, soll sie zum „Krypto-Cyber-Technologiezentrum“ (KCT) transformiert und ausgebaut werden. Er sieht das dem Bericht zufolge als Antwort auf eine Welt, in der die klassische Spionage zunehmend von Algorithmen und Rechenleistung verdrängt wird.

Die Herausforderungen, vor denen der Dienst steht, sind immens. Moderne Verschlüsselungsverfahren und die Anonymität von Kryptowährungen machen es den Agenten immer schwerer, Finanzströme zu verfolgen oder Kommunikation abzugreifen. Gleichzeitig sorgt der Einsatz von Gesichtserkennungssoftware dafür, dass die klassische Legendenbildung für Agenten im Feld fast unmöglich wird. Der BND reagiert darauf mit einer Flucht nach vorn: Das KCT soll gezielt Technologien wie Künstliche Intelligenz und Quantencomputing erforschen, um verschlüsselte Datenberge schneller zu durchleuchten und IT-Sicherheitsbarrieren zu überwinden.

Dabei spielt Geld eine entscheidende Rolle. In den vergangenen Jahren litt der Standort Mehlem unter einem massiven Investitionsstau. Das Gelände gilt als sanierungsbedürftig und technisch veraltet. Dies soll nun ändern. Das Kanzleramt ist offenbar bereit, erhebliche Mittel in die Hand zu nehmen, um die technologische Souveränität des Dienstes zu sichern. Der BND selbst gibt sich zu den Plänen gewohnt wortkarg. Eine Sprecherin betonte lediglich, dass man zu operativen Details und nachrichtendienstlichen Kapazitäten grundsätzlich nur gegenüber der Bundesregierung und den zuständigen Geheimschutzgremien des Bundestages Stellung beziehe.

Innerhalb der Sicherheitsarchitektur sorgt der Bonner Vorstoß für Diskussionsstoff, da er Fragen zur Aufgabenverteilung aufwirft. Schließlich existiert in München bereits die Zentrale Stelle für Informationstechnik im Sicherheitsbereich (Zitis). Diese wurde 2017 explizit als Dienstleister für alle Bundesbehörden – vom BKA bis zum Verfassungsschutz – gegründet, um Hacking-Tools zu entwickeln und Datenanalysen zu unterstützen. Kritiker könnten hier eine Doppelstruktur wittern, doch in Sicherheitskreisen wird die Differenzierung betont: Während die Hackerbehörde Zitis als reine Forschungs- und Entwicklungsschmiede fungiert, die selbst keine operativen Eingriffe vornimmt, ist der BND ein operativer Akteur. Er benötigt die Werkzeuge nicht nur im Labor, sondern muss sie im Rahmen seiner weltweiten Aufklärungsmissionen unmittelbar anwenden und bei Bedarf in Echtzeit anpassen können.

Das größte Hindernis für die Pläne am Rhein ist weder das Budget noch die Bürokratie, sondern der akute Mangel an Fachkräften. Hochspezialisierte IT-Experten, die in der Lage sind, Quantenalgorithmen zu verstehen oder komplexe Schadsoftware zu analysieren, sind auf dem Arbeitsmarkt rar. Der BND tritt hier in direkte Konkurrenz zur Privatwirtschaft und zu anderen staatlichen Stellen wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI), das ebenfalls in Bonn sitzt und früher eng mit dem BND verbandelt war. Ob der Glanz einer „deutschen Mini-NSA“ ausreicht, um die klügsten Köpfe im Rheinland zu halten, wird über den Erfolg der neuen Strategie entscheiden.

Stefan Krempl

Trumps Masterplan: Eine KI-gestützte Zentraldatenbank für alle US-Bürger

Die US-Regierung reißt unter Trump Schutzwälle zwischen Behörden ein, um ein umfassendes Data-Mining-System zu errichten. NGOs klagen gegen den Vorstoß für den gläsernen Bürger.

Diese Dystopie aus einem schlechten Science-Fiction-Roman ist für die US-Regierung unter Donald Trump bereits in vollem Gange: Der Aufbau einer zentralen Datenbank, die intimste Details über jeden Einwohner der Vereinigten Staaten bündelt und mithilfe von Künstlicher Intelligenz durchsuchbar macht. Was die Administration offiziell als Maßnahme gegen Bürokratie und Betrug deklariert, entpuppt sich bei genauerem Hinsehen als ein mächtiges Werkzeug zur Überwachung und potenziellen Schikane der eigenen Bevölkerung. Die Freedom of the Press Foundation will daher nun laut The Intercept Klage gegen die Regierung einreichen, um Licht in das Dunkel hinter diesem massiven Datenhunger zu bringen.

Den Grundstein für dieses Szenario legte Trump bereits vor einem Jahr. Mit einer Exekutivverordnung, die den harmlos klingenden Titel „Stopp von Verschwendung, Betrug und Missbrauch durch die Beseitigung von Informations-Silos“ trägt, weitete er die Option für den Datenaustausch innerhalb der Bundesbehörden deutlich aus. Doch hinter der Rhetorik von Effizienz und Verschlankung verbirgt sich ein frontaler Angriff auf langjährige Datenschutzbestimmungen. Bisher galt der Grundsatz, dass Behörden Daten nur dann teilen dürfen, wenn dies für ihre spezifische Aufgabe absolut notwendig ist. Trump hat diesen Schutzwall mit der sprichwörtlichen Machete eingerissen, um an dessen Stelle eine gigantische Data-Mining-Operation zu setzen.

Die Auswirkungen dieser Politik werden nun schrittweise sichtbar, auch wenn die Regierung versucht, die Berichte über die Umsetzung unter Verschluss zu halten. So erhielt die CIA erweiterten Zugriff auf nationale Datenbanken der Strafverfolgungsbehörden, wodurch die traditionell strikte Trennung zwischen Auslandsspionage und inländischer Polizeiarbeit weiter aufweicht. Selbst das neu geschaffene „Department of Government Efficiency“ greift laut Whistleblower-Berichten direkt auf Zahlungssysteme des Finanzministeriums zu, inklusive Sozialversicherungsnummern und Geburtsdaten. Sogar die Gesundheitsdaten von Medicaid-Empfängern oder biometrische Informationen von Flugreisenden landen nun in den Händen der Einwanderungsbehörden.

Experten warnen davor, dass diese Entwicklung nur die Spitze des Eisbergs darstellt. Das erklärte Ziel der Administration scheint die Schaffung eines gläsernen Bürgers zu sein. Durch die Zusammenführung von Finanzdaten, Gesundheitsakten, Standortverläufen und sogar Online-Aktivitäten lassen sich detaillierte Profile erstellen, die politisch instrumentalisiert werden können. Kritiker befürchten, dass diese Informationen für Vergeltungsmaßnahmen gegen Oppositionelle oder zur massenhaften Überwachung unliebsamer Gruppen genutzt werden könnten.

Besonders besorgniserregend ist dabei die Rolle der künstlichen Intelligenz. Während das Heimatschutzministerium seine Überwachungskapazitäten rasant ausbaut, wird KI eingesetzt, um die geernteten Datenpunkte in Echtzeit zu analysieren und Muster zu erkennen. Was früher mühsame Kleinarbeit für Ermittler war, erledigen heute Algorithmen auf Knopfdruck. Die Beseitigung der Informations-Silos erweist sich hierbei als Fehler für die Sicherheit. Diese Trennungen waren nie eine bloße Ineffizienz, sondern ein bewusst eingebauter Schutzmechanismus gegen Machtmissbrauch.

Zusätzlich zur Gefahr des staatlichen Missbrauchs schafft die Zentralisierung ein enormes Sicherheitsrisiko nach außen. Eine einzige Datenbank, die alle sensiblen Informationen der Amerikaner bündelt, fungiert als „Single Point of Failure“. Für Cyberangreifer oder ausländische Geheimdienste wird sie zum ultimativen Ziel. Gelingt ein Einbruch, liegen die intimsten Details eines ganzen Volkes offen.

Während die Regierung immer gieriger nach den Daten ihrer Bürger greift, verschließt sie sich gleichzeitig der öffentlichen Kontrolle. Wichtige Informationen über das Klima, den Haushalt oder die Wirtschaft wurden systematisch aus der Öffentlichkeit zurückgezogen. Die Regierung verwandelt sich in einen Einwegspiegel: Sie sieht alles, während der Bürger im Dunkeln bleibt. Die Klage der Freedom of the Press Foundation soll nun erzwingen, dass die Berichte über die Datenbankpläne offengelegt werden. Es geht um nicht weniger als das Recht auf eine individuelle Identität und den Schutz vor einem Staat, der seine Bürger nicht mehr als zu schützende Subjekte, sondern als zu verwaltende Datensätze betrachtet.

Stefan Krempl

Gesichtserkennung im Iran: Wie russische KI den Widerstand bricht

Ein Leak enthüllt: Das Mullah-Regime nutzt die mächtige Software FindFace zur Jagd auf Demonstranten und zur Kartierung ihrer sozialen Kontakte.

Während am Morgen des 1. März 2025 die Einschläge israelischer und US-amerikanischer Bomben den Iran erschütterten, flimmerten auf den Smartphones vieler Bürger Drohbotschaften der Revolutionsgarden auf. Jede Aktion, die die Sicherheit störe, werde als Kooperation mit dem Feind gewertet und hart bestraft, hieß es in den SMS. Es war die unmittelbare Reaktion des Regimes auf die Aufrufe von Donald Trump und Benjamin Netanjahu, die nach der Bestätigung des Todes von Revolutionsführer Ali Chamenei zum Umsturz aufgestachelt hatten. Doch wer im Iran auf die Straße geht, kämpft nicht nur gegen gepanzerte Fahrzeuge und Sturmgewehre, sondern gegen einen unsichtbaren, digitalen Gegner, der niemals schläft.

Gemeinsame Recherchen von Forbidden Stories, dem Spiegel, dem ZDF und weiteren internationalen Partnern zeigen das wahre Ausmaß der technologischen Aufrüstung Teherans. Unter dem Codenamen „Eyes of Iran“ legen geleakte Daten aus russischen und iranischen Quellen offen, dass das Regime seit Jahren im Geheimen eine der weltweit leistungsfähigsten Gesichtserkennungssoftwares einsetzt: FindFace des russischen Unternehmens NtechLab. Diese Technologie ermöglicht es, Gesichter in einer Menschenmenge innerhalb von Millisekunden mit einer Datenbank von 500 Millionen Einträgen abzugleichen. Die Trefferquote liegt laut internen Dokumenten bei 98 Prozent.

Die Spur dieser digitalen Waffe führt zurück in den Sommer 2019. Damals nutzte NtechLab die Fußball-Weltmeisterschaft in Russland als globales Schaufenster für seine Überwachungstechnik. Kurz darauf unterschrieb die iranische Firma Rasadco, die später mit dem Unternehmen Kama verschmolz, einen Vertrag als Systemintegrationspartner. Damit wanderte die Software in den Iran – ein Deal, der bis heute geheim gehalten wurde. Kama ist aber keine gewöhnliche IT-Firma. Die Führungsebene ist eng mit den Revolutionsgarden (IRGC) verknüpft, jener Organisation, die erst Anfang 2026 von der EU als Terrororganisation eingestuft wurde.

Was FindFace für die Opposition so gefährlich macht, ist eine Funktion namens „Interaction Tracking“. Es geht dem Regime nicht mehr nur darum, eine einzelne Person auf einer Demo zu identifizieren. Das System erstellt automatisch soziale Landkarten. Es erkennt, wer mit wem in der U-Bahn unterwegs ist, welche Freunde ein Zielobjekt hat und welche Autokennzeichen mit diesen Personen verknüpft sind. Einmal erfasst, wird das gesamte soziale Umfeld gläsern. Die Software liefert Details wie das geschätzte Alter, das Geschlecht und sogar den emotionalen Zustand der Passanten – und das selbst dann, wenn diese Masken oder Bärte tragen.

Besonders perfide ist der „Offline-Modus“. Das Regime muss Verdächtige nicht sofort während eines Protests festnehmen, was oft zu weiteren Eskalationen führt. Die Behörden speichern das Videomaterial der tausenden Kameras in den Metropolen wie Teheran oder Maschhad ab und lassen die Algorithmen später darüberlaufen. Wochen nach einer Demonstration, wenn die mediale Aufmerksamkeit abgeklungen ist, erfolgt der Zugriff in der Wohnung oder an der Schule. Wie effektiv und grausam dieses System arbeitet, zeigt der Fall der 13-jährigen Hasti. Ihr Vater wurde von einer Bankkamera beim Verteilen von Flugblättern gefilmt. Die Software identifizierte ihn und führte die Sicherheitskräfte direkt zu seiner Tochter in die Schule, die bei dem anschließenden Einsatz schwere neurologische Schäden erlitt.

Die technische Infrastruktur hinter dieser Überwachung ist tief im iranischen Staatsapparat verwurzelt. Dokumente belegen, dass neben den Revolutionsgarden auch das berüchtigte Ministerium für Geheimdienste sowie Universitäten und Stadtverwaltungen Lizenzen erworben haben. Oft geschieht das über Tarnfirmen wie BPO, die als Briefkastengesellschaften fungieren, um Sanktionen zu umgehen und die Herkunft der Technologie zu verschleiern. In einem Vertrag von 2021 ist die Rede von „unbegrenzten“ Lizenzen für hunderte Kameras, die Millionen von „Events“ – also Identifizierungen – verarbeiten können.

Während der Westen über die Regulierung von Künstlicher Intelligenz debattiert und biometrische Überwachung im öffentlichen Raum durch den AI Act streng begrenzt, zeigt der Iran das dystopische Endstadium dieser Technologie. In einem Land, in dem es keine unabhängige Justiz und kaum Pressefreiheit gibt – der Iran rangiert auf der Rangliste von Reporter ohne Grenzen auf Platz 176 von 180 –, wird der Algorithmus zum Richter. Ein technischer Fehler oder ein falscher Treffer kann hier tödliche Folgen haben, ohne dass es eine Instanz zur Korrektur gäbe.

NtechLab selbst, das Unternehmen hinter FindFace, ist eng mit dem russischen Staatskonzern Rostec verwoben. Dieser untersteht direkt dem Verteidigungsministerium in Moskau. Obwohl das Unternehmen wegen Menschenrechtsverletzungen auf US- und EU-Sanktionslisten steht, rühmt es sich weiterhin seiner über 1100 Kunden in 60 Ländern. Dass die Islamische Republik einer der wichtigsten Abnehmer ist, taucht auf der offiziellen Website nicht auf. Für die iranische Bevölkerung bedeutet diese unheilige Allianz zwischen russischer Technik und iranischer Repression, dass jeder Schritt im öffentlichen Raum zum existenziellen Risiko geworden ist. Der Widerstand gegen das Regime ist nach dem Tod Khameneis zwar ungebrochen. Doch die „Augen des Staats“ wachen weiter über jede Straße und jeden Platz.

Teherans Kameras gehackt: Wie digitale Spionage zur Tötung Khameneis führte

Präzise Überwachung über Jahre: Israels Geheimdienste infiltrierten das Herz der iranischen Macht und machten Ali Khamenei durch Cyber-Operationen zum Ziel.

Der tödliche Luftschlag gegen Irans Obersten Religionsführer Ali Khamenei war kein bloßer Akt militärischer Überlegenheit, sondern das Ergebnis einer jahrelangen, tiefgreifenden Infiltration der iranischen Infrastruktur. Wie die Financial Times meldet, verwandelte der israelische Geheimdienst das Herz der Macht in Teheran in ein gläsernes Ziel, indem er über Jahre hinweg fast das gesamte Verkehrsüberwachungssystem der Hauptstadt unter seine Kontrolle brachte.

Verschlüsselt und in Echtzeit sollen die Bilder der Kameras auf Server in Tel Aviv geflossen sein, wo komplexe Algorithmen aus den banalen Bewegungen von Leibwächtern und Fahrern präzise Bewegungsprofile, sogenannte „Patterns of Life“, erstellten. Diese digitale Überwachung erlaubte es den Strategen dem Bericht zufolge, kleinste Abweichungen im Alltag der Machtelite zu erkennen und den optimalen Zeitpunkt für den Zugriff zu bestimmen.

Die technologische Dominanz beschränkte sich nicht auf die visuelle Übermittlung. Während israelische Kampfjets für die „Operation Epic Fury“ bereits in der Luft waren, wurde das Mobilfunknetz rund um das hochgesicherte Viertel an der Pasteur-Straße gezielt manipuliert. Durch die Sabotage von rund einem Dutzend Funkmasten erhielten Sicherheitskräfte bei Warnanrufen lediglich ein Besetztzeichen, was die Kommunikation der Schutzeinheiten im entscheidenden Moment effektiv unterband. Diese Kombination aus Cyber-Kriegsführung und klassischer Signalerfassung ermöglichte es, Khamenei und Teile der Führungsriege bei einem Treffen am Samstagmorgen unter freiem Himmel zu überraschen, statt sie in ihren atomfesten Bunkern bekämpfen zu müssen.

Obwohl die USA offiziell schweigen, deutet vieles darauf hin, dass die technologische Aufklärung durch eine menschliche Quelle der CIA ergänzt wurde, die den Ort des Treffens final bestätigte. Der Einsatz von Präzisionsmunition wie der Sparrow-Rakete, die Ziele aus über 1000 Kilometern Entfernung zentimetergenau trifft, markiert den vorläufigen Höhepunkt einer Strategie, die Iran seit der Ära von Ariel Sharon zum Primärziel erklärt hat. Während der Erfolg in Israel als triumphales Ergebnis jahrzehntelanger Arbeit der Einheit 8200 und des Mossad gefeiert wird, bleibt die strategische Tragweite des Attentats umstritten. Kritiker geben zu bedenken, dass die totale technologische Transparenz des Gegners zwar taktische Siege ermöglicht, die daraus resultierende politische Instabilität und der Drang nach weiterer Eskalation jedoch unvorhersehbare Folgen für die gesamte Region haben könnten.

"Coruna": Mächtiges iPhone-Hacking-Toolkit außer Kontrolle

Ein ursprünglich wohl für US-Behörden entwickeltes Exploit-Kit kursiert in der Wildnis und wird nun von russischen Spionen und Kriminellen genutzt.

Die IT-Sicherheitswelt blickt auf einen beispiellosen Fall von Proliferation: Ein hochkomplexes Hacking-Toolkit namens „Coruna“, das in der Lage ist, iPhones beim bloßen Besuch einer präparierten Webseite vollständig zu übernehmen, verbreitet sich unkontrolliert. Was als mutmaßliches Präzisionswerkzeug für staatliche Akteure begann, ist mittlerweile zu einem Allzweckwerkzeug für Cyberspione und Finanzkriminelle geworden. Sicherheitsforscher von Google und dem Mobilfunk-Sicherheitsspezialisten iVerify warnen vor einer Entwicklung, die Parallelen zum berüchtigten „EternalBlue“-Leak der NSA aufweist.

Der Umfang des Toolkits ist beeindruckend und beängstigend zugleich. Coruna nutzt laut den Google-Experten insgesamt 23 verschiedene Schwachstellen in Apples Betriebssystem iOS aus, um Schutzmechanismen wie das Sandboxing oder die Pointer Authentication (PAC) zu umgehen. Betroffen sind Geräte mit den Versionen iOS 13 bis einschließlich iOS 17.2.1. Da das Toolkit gezielt Schwachstellen im WebKit-Framework anspricht, reicht der Aufruf einer infizierten URL im Safari-Browser aus, um eine Infektion zu starten. Besonders pikant: Die Code-Analysen deuten darauf hin, dass die ursprüngliche Entwicklung Millionen von US-Dollar gekostet haben muss und von englischsprachigen Profis stammt. Viele Komponenten ähneln „Wired“  zufolge auffallend Modulen, die bereits früher US-Geheimdiensten zugeschrieben wurden.

Die Reise des Schadcodes durch die Hände verschiedenster Akteure liest sich wie ein Cyber-Thriller. Zuerst beobachtete Google den Einsatz bei einem namentlich nicht genannten Kunden einer Überwachungsfirma. Kurze Zeit später tauchte das Toolkit im Sommer 2025 in einer Spionagekampagne auf, die mutmaßlich von russischen Hackern gesteuert wurde. Diese infizierten ukrainische Webseiten, um gezielt die Geräte von Besuchern zu kompromittieren.

Aktuell wird Coruna jedoch in großem Stil von finanziell motivierten Kriminellen aus dem chinesischsprachigen Raum genutzt. Diese platzieren den Exploit auf gefälschten Krypto-Börsen und Glücksspielseiten, um die digitalen Wallets der Opfer leerzuräumen. Schätzungen von iVerify gehen davon aus, dass allein durch diese kriminelle Kampagne bereits über 40.000 iPhones infiziert wurden.

Die technische Professionalität des Kerns von Coruna steht dabei in krassem Gegensatz zu den später hinzugefügten Modulen. Während das ursprüngliche Toolkit als „beeindruckend poliert“ und modular beschrieben wird, wirken die von den Kriminellen ergänzten Funktionen zum Diebstahl von Kryptowährungen eher hölzern und weniger ausgereift. Dies stützt die These, dass ein hocheffizientes staatliches Werkzeug auf dem Schwarzmarkt für Zero-Day-Exploits gelandet ist und dort mehrfach weiterverkauft wurde. Experten sprechen von einem „Second-Hand-Markt“ für digitale Waffen, auf dem Exklusivität kaum noch existiert.

Für iPhone-Nutzer gibt es immerhin eine teilweise Entwarnung: Apple hat die meisten der genutzten Sicherheitslücken in aktuellen Versionen ab iOS 17.3 sowie im aktuellen iOS 26 geschlossen. Zudem erkennt das Toolkit, ob auf einem Gerät der besonders restriktive Blockierungsmodus“ (Lockdown Mode) aktiviert ist – in diesem Fall bricht der Exploit den Angriffsversuch ab. Google und Sicherheitsforscher raten daher dringend zu zeitnahen Updates. Der Fall Coruna bleibt dennoch ein Mahnmal für die Risiken staatlich entwickelter Überwachungssoftware: Einmal in der Welt, lässt sich der digitale Geist kaum wieder in die Flasche zurückholen.

Experten: "Systemische Missgriffe" bei der Geheimdienstkontrolle

Der frühere Bundesrichter und Abgeordnete Wolfgang Nešković hat die parlamentarische Überwachung von BND & Co. als völlig ineffektiv kritisiert. Der Ex-Bundesdatenschützer Peter Schaar beklagte "riesige kontrollfreie Räume".

Die Rufe nach einer besseren demokratischen Kontrolle des Bundesnachrichtendiensts (BND) und anderer deutscher Spionagebehörden werden parallel zur Aufarbeitung des NSA-Skandals im Bundestag immer lauter. Die Überwachung der Überwacher sei nur "in der Hinsicht effektiv, dass sie optimal ineffektiv ist", monierte Wolfgang Nešković, Ex-Richter am Bundesgerichtshof und früheres Mitglied des Parlamentarischen Kontrollgremiums PKGr des Bundestags, am Dienstag auf einer Tagung zivilgesellschaftlicher Organisationen zu "grund- und menschenrechtlichen Anforderungen an die Kommunikationsüberwachung" des BND. "Systemische Missgriffe" rund um die Institution müssten abgeschafft werden.

Nešković räumte zunächst mit dem Mythos auf, dass das PKGr die Nachrichtendienste direkt in den Blick nähme. "Wir kontrollieren die Kontrolltätigkeit der Regierungsaufsicht", berichtete er aus seiner siebenjährigen Zeit bei dem Gremium. Außen vor blieben schon "60 bis 70 Prozent" des BND-Gesamtmaterials, da diese mit Informationen ausländischer Geheimdienste verknüpft und damit für die demokratischen Aufpasser tabu seien. Auch der dehnbare Bereich der "exekutiven Eigenverantwortung" dürfe nicht einbezogen werden.

Von sich aus müsse der Auslandsgeheimdienst zudem nur über Vorkommnisse von "besonderer Bedeutung" dem PKGr berichten, führte der einst für die Linksfraktion im Bundestag sitzende Parteiunabhängige aus. Damit hätten die Agenten "letztlich freie Auswahl, was sie vorlegen". Fragerunden verkämen so oft zur reinen "Märchenstunde", wenn nicht Presseberichte Anhaltspunkte für konkrete Nachforschungen bildeten. Zudem leide das Gremium an "institutionalisierte Antriebsarmut", da nur die Mehrheit Untersuchungsverfahren einleiten und Berichte öffentlich machen könne.

Peter Schaar verwies aus seiner früheren Tätigkeit als Bundesdatenschutzbeauftragter auf "riesige kontrollfreie Räume" beim BND. Die reine Ausland-Ausland-Überwachung mit sogenannten Transit- oder Routineverkehren dürfe etwa weder von der G10-Kommission des Bundestags geprüft werden, die Abhöranordnungen für hiesige Grundrechtsträger und Suchbegriffe für die strategische Telekommunikationsaufklärung genehmigt, noch von der Bundesdatenschutzbehörde. Letzteres habe ihm das Bundesinnenministerium mit "grenzwertigen Schreiben" verdeutlicht.

So komme es zu dem "strukturellen Problem", dass "nirgends ein Gesamtbild entsteht", erläuterte Schaar. Die Kontrollregimes müssten daher verknüpft und eine "quasi-justizielle" Instanz geschaffen werde, die auch präventiv arbeite und mit einem "Anwalt der Bürgerrechte" bestückt sei.

Die Staatsrechtler Matthias Bäcker und Christoph Gusy waren sich einig, dass der BND vor allem bei der Überwachung rein ausländischer Kommunikation in einem weitgehend rechtsfreien Raum agiere, in dem sogar Speicher- und Löschfristen Fehlanzeige seien. In diesem Fall sei es "unklar, welches Gesetz man anwenden muss", zeigte sich Bäcker perplex. Er tue sich schwer mit der Position der Bundesregierung, dass hier der Schutz des Fernmeldegeheimnisses nicht greife. Die BND-Tätigkeit bleibe insgesamt "juristisch so ein bisschen unsichtbar".

Mit seiner abgehobenen "Weltraumtheorie" habe der BND an seinem Horchposten in Bad Aibling "den Ausstieg aus den Grundrechten geschafft", ergänzte Gusy. Die These werde zwar "von niemand außerhalb der Nachrichtendienste selbst vertreten". Der BND erkläre damit aber die "Erhebung und Verwendung" von Auslandskommunikation für "grundrechtsfrei". Keine Regeln enthalte das Gesetz für den Geheimdienst auch für dessen Praxis, Kommunikationsanschlüsse mit Verbindungsdaten abzugrenzen zu versuchen. In dieses Verfahren seien die Grundrechtseingriffe schon von vornherein eingeschlossen.

Ob aus den laut Schaar "zaghaften" Initiativen des Bundeskanzleramts oder der Koalition noch etwas wird, den BND stärker an die Kandare zu nehmen, erschien vielen Rednern zweifelhaft. Georg Mascolo, Leiter des Rechercheverbunds von NDR, WDR und Süddeutscher Zeitung, machte hier einen Dissens "in der Regierung zwischen verschiedenen Denkschulen" aus. Der frühere Innen- und jetzige Finanzminister Wolfgang Schäuble (CDU) etwa führe ein Lager an, wonach die Politik aufpassen müsse, es mit der parlamentarischen Kontrolle nicht zu übertreiben. Die Dienste seien schon jetzt verunsichert, zudem würden zu viele Dinge nach außen getragen.

Die andere Seite wolle eine Art "Parlamentsgeheimdienst" vergleichbar zum Genehmigungsverfahren für Bundeswehreinsätze, konstatierte Mascolo. Im Bundestag selbst regten sich fast alle Abgeordnete dagegen parteiübergreifend darüber auf, dass sie über wesentliche Vorkommnisse rund um die Kooperation zwischen NSA und BND "nicht oder falsch informiert worden" seien. Er habe auch selten etwas Eklatanteres erlebt wie die Tatsache, dass das Parlament "so lange in die Irre geführt worden ist". Ohne den NSA-Untersuchungsausschuss und Presseberichte wäre vieles daraus nicht öffentlich geworden. Aus dem Skandal werde aber wohl eher die Industrie Konsequenzen ziehen als der Gesetzgeber.

Thorsten Wetzling, der im Namen der Stiftung Neue Verantwortung Vorschlägefür eine effektivere Geheimdienstkontrolle skizziert hat, befürchtete, dass die geplante Reform zwischen einer "Lizenz zum Lügen" und einer "zum Schlafen" landen werde. Die große Gefahr sei, dass die G10-Kommission nicht für die Auslandsaufklärung zuständig werde. Der zunächst angestrebte bessere Schutz von EU-Bürgern und -Institutionen vor BND-Spähmaßnahmen gelte bei allen Beteiligten inzwischen als "Verhandlungsmasse".

Langfassung eines Texts für heise online.

CDU-General: Vorratsdatenspeicherung und Datenschutz sind überbewertet

 Peter Tauber hält als CDU-Generalsekretär wenig von der Haudrauf-Rhetorik, die viele seiner Vorgänger pflegten. Er drückt sich lieber diplomatisch aus und möchte sich nicht gern festnageln lassen. Wenn ihm der deutsche Datenschutz als zu enges Korsett erscheint, sagt er dies etwa nicht gradheraus. Vielmehr verweist er darauf, dass das Thema hierzulande "in einer Weise emotionalisiert wird", die sich nicht allen erschlösse. Er zählt diesen Bereich zu "einigen Stellen", an denen man fragen müsse: "Haben wir dazu den richtigen Zugang?"

Zahlreiche Beispiele für die Kunst, sich mäandrierend an politische Herausforderungen anzunähern, brachte der gebürtige Gelnhausener am Mittwoch bei einem Gespräch in der Reihe "Digitales Deutschland" bei Microsoft in Berlin. Startups sagten ihm, sie hätten eine tolle Idee, könnten sie hierzulande aber nicht umsetzen wegen der Vorgaben zum Verarbeiten personenbezogener Informationen, führte er etwa aus. Mit dem viel beschworenen "Geschäftsmodell Datenschutz" sei es offenbar nicht weit her. Er habe zumindest "noch keinen getroffen, der mir konkret gezeigt hat, wie man damit Geld verdienen kann". Es gelte, angesichts von Big Data "chancenorientierter über Datenschutz zu reden".

Viel und schnell reden ist generell nicht nur ein Markenzeichen des mit seinen gut 40 Jahren vergleichsweise jungen Spitzenpolitikers, sondern auch eine seiner Lieblingsempfehlungen neben dem Aufwerfen von Fragen. Angesichts der Übermacht von US-Internetkonzernen in Sektoren wie Suchmaschinen oder sozialen Netzwerken hält er es etwa für nötig, einmal "ordnungspolitisch darüber zu reden, wo noch Gestaltungsspielraum" sei. Dies dürfe aber nicht "immer aus einer Abwehrhaltung heraus" erfolgen. Das neue Leistungsschutzrecht sei ein Beispiel dafür, dass diese Taktik nicht stets greife. Er sei zumindest nach wie vor sehr skeptisch, ob dieses "die richtige Antwort auf die Herausforderungen ist".

Als aufstrebender Netzpolitiker war Tauber auch einst ein ausgewiesener Gegner der Vorratsdatenspeicherung. "Ich kann es mit meinem persönlichen Freiheitsbegriff nur schwer vereinbaren, dass der Staat meine sämtlichen Telefondaten für eine bestimmte Dauer ohne Verdacht auf eine vorliegende Straftat speichert", schrieb er 2012. Er lehne das Mittel prinzipiell ab. Jüngst zählte er den Plan der Koalition, das umstrittene Instrument wieder einzuführen, dagegen zu den Erfolgen der CDU.

Dies sei "eine der Sachen, die sich in meinem Job verändert haben", erläuterte der Spindoktor seinen neuen Ansatz. Er habe immer gesagt, er sei sich "nicht so sicher", dass das anlasslose Protokollieren von Nutzerspuren "das zentrale Element bei der Kriminalitätsbekämpfung" sei, relativierte der CDU-General seine frühere Darstellung. Es sei "nicht klug zu denken", dass alle immer wieder genannten Probleme von Kinderpornographie bis Terrorismus damit gelöst würden.

Andererseits verwies der promovierte Politikwissenschaftler auf die "Beschlusslage" seiner Partei, wonach die Vorratsdatenspeicherung "ein Instrument sein kann in der Sicherheitspolitik". Dies stehe auch im Koalitionsvertrag, der sich aber auf die Umsetzung der mittlerweile gekippten EU-Vorgaben bezieht. Er müsse hier also "die Meinung der gesamten Partei" verkaufen, auch wenn er dies "nicht mit so einer Verve" tue wie CDU-Innenpolitiker. Zudem sei der mit der SPD gefundene Kompromiss "Lichtjahre von dem weg, was am Anfang der Debatte stand". Die Speicherfristen etwa seien deutlich verkürzt worden.

Wieso versuche die Union nicht, das "Symbolthema" einfach umzubenennen und positiver zu besetzen, wollte Taubers Fragepartner Wolfram Weimer wissen. Dem Journalist schien entgangen zu sein, dass die Konservativen dieses Unterfangen seit Jahren mit der Rede von Mindest- und Höchstspeicherfristen sowie vom "Sichern digitaler Fingerabdrücke" längst in Angriff genommen haben. "Ich hätte gerne das Geld, um drei Semantiker zu beschäftigen, die nur über schöne Begriffe nachdenken", unkte der Angesprochene. Wenn die Leute aber merkten, dass man sie "hinter die Fichte" führen wolle, "nehmen sie es einem übel".

Als "ziemlich kompliziert" beschrieb Tauber die Gemengelage in der neuen BND-NSA-Affäre. Leicht auf den Punkt zu bringen sei sie nicht: "Die Wahrheit ist meistens nicht 140 Zeichen lang." Er glaube nicht, dass der Skandal schon wieder ausgestanden sei – unabhängig davon, "ob 80 oder acht Prozent hinschauen". Auch wenn der Großteil der Bevölkerung sich im Gegensatz etwa zu einem Breitbandzugang nicht für Geheimdienstkooperationen interessiere, sei es trotzdem wichtig zu klären, auf welcher Grundlage diese erfolgten und ob die Partner die vereinbarten Regeln einhielten.

Zugleich überlegte der Generalsekretär laut, ob nicht auch diese Affäre "in etwas Positives" gedreht werden könne. "Es ist eine Stärke, dass wir das diskutieren, das gibt es in China oder Russland so nicht", spann er den Gedanken weiter. Schon die Tatsache, dass es hierzulande eine Debatte über die Vorgehensweise der Geheimdienste gebe, zeige, dass "die Kontrolle doch funktioniert". Eine demokratische Gesellschaft tue sich keinen Gefallen, wenn sie ihren eigenen Institutionen wie den Volksvertretern und Funktionsträgern nicht vertraue. Zudem sei er "skeptisch, ob alle aufregenden Schlagzeilen eine Substanz haben".

Dass die Bundeskanzlerin und CDU-Vorsitzende ihr Bonmot über das "geht gar" nicht zum Ausspähen unter Freunden mittlerweile relativiert habe, wollte ihr Vertrauter nicht nachvollziehen: "Ich kann nicht erkennen, dass Angela Merkel hier ihre Meinung geändert hat." Die Deutschen müssten sich bewusst machen, dass sie schon angesichts 700 in Syrien kämpfender Gotteskrieger auf die Erkenntnisse ausländischer Nachrichtendienste angewiesen seien. Man könne aber "gerne darüber reden", ob die Auflagen für Datentransfers "strenger sein können".

Um die Chancen der Digitalisierung und der Industrie 4.0 der gesamten Partei aufzuzeigen, werde die CDU im September alle Mitglieder ins "deutsche Silicon Valley" nach Berlin einladen, kündigte der General an. Auch die Kanzlerin werde bei dem großen Treffen dabei sein. Bei vielen an der Basis spreche sich langsam herum, dass das Internet "eigentlich andere Formen der Mitbestimmung" ermögliche. Es sollten daher alle Gremien verpflichtet werden, regelmäßig Online-Konferenzen für den direkten Austausch zwischen den Ebenen durchzuführen.

Langfassung eines Beitrags für heise online.

Die "Evaluierung" der Anti-Terror-Datei: Unabhängig geht anders

Die Anti-Terror-Datei (ATD) hat die Zusammenarbeit zwischen Polizeien und Geheimdiensten verbessert und sich insofern bewährt. Das ist der Tenor eines Evaluierungsberichts (PDF-Datei) zu der umstrittenen und vom Bundesverfassungsgericht überprüften Datenbank, den die Bundesregierung jetzt veröffentlicht hat. Konkrete Ermittlungserfolge oder Maßnahmen zum Verhindern terroristischer Anschläge könnten den durchgeführten Abfragen zwar nicht zugeordnet werden, da das System vor allem der "Kontaktanbahnung" zwischen den unterschiedlichen Behörden diene. Die Nutzungshäufigkeit und Rückmeldungen der Anwender belegten aber, dass das Instrument recht häufig zum Auffinden von Informationen mit Bezug auf den internationalen Terrorismus genutzt werde.

Dem Report nach blieb die Zahl der in der ATD erfassten rund 18.000 Personen nach ihrem Aufbau seit 2008 annähernd konstant. Der Anteil der mit abgespeicherten Kontaktpersonen habe im Untersuchungszeitraum 2007 bis 2011 tendenziell abgenommen und zuletzt bei 18,5 Prozent gelegen. Der überwiegende Teil der Informationen stamme vom Bundesnachrichtendienst mit etwa 46 Prozent, gefolgt vom Bundeskriminalamt (BKA) und den Landeskriminalämtern (LKAs) mit 31 Prozent. Während der Analysezeit seien rund 300.000 Suchabfragen durchgeführt worden, die etwa 1,4 Millionen Treffer ergeben hätten. Die Nutzungen, die von zunächst jährlich knapp 50.000 auf rund 67.000 pro Anno gestiegen seien, erfolgten zu 79 Prozent beim BKA und den LKAs.

Die "erweiterten Grunddaten", die erste Bewertungen erlauben und nicht automatisch einzusehen sind, nahmen Fahnder der Unterrichtung nach insgesamt im Nachgang zu etwa 1000 Suchabfragen in Augenschein. Von der Eilfallklausel, wonach die Zusatzinformationen zur Abwehr einer gegenwärtigen Gefahr unmittelbar abgerufen werden dürfen, sei nur einmal Gebrauch gemacht worden. Insgesamt würden die Daten "intensiv gepflegt", Datenschutzkontrollen seien mithilfe der vorhandenen Server zur Protokollierung der Nutzung "fest etabliert".

Als Problem macht die Untersuchung die Tatsache aus, dass 47 Prozent der befragten Anwender die Bedienoberfläche der auf dem INPOL-System basierenden Benutzeroberfläche der Datei als nicht sonderlich nutzerfreundlich eingestuft hätten. Kritik komme hier vor allem von den Nachrichtendiensten, die vorab keine Erfahrungen mit der in die Jahre gekommenen Polizeidatenbank gesammelt hätten. Dazu sei es bis Mitte vergangenen Jahres bei geschätzten 920 Einträgen noch nicht gelungen, Dubletten aus der Mehrfachanlage von Dateien durch unterschiedliche Behörden auszumerzen.

Das Trennungsgebot zwischen polizeilicher und geheimdienstlicher Arbeit sieht die Untersuchung nicht verletzt, da die Befugnis zum Verarbeiten personenbezogener Daten aus beiden Bereichen "nicht zu einer Verschmelzung der entsprechenden Behörden führt". Beide Seiten gingen nach wie vor jeweils ihren besonderen Aufgaben nach. Auch Sicht der Anwender empfiehlt der Bericht sogar, einen systematischen "Datenaustausch" zwischen beiden Parteien angesichts "weiterhin erheblicher Bedrohungen" gesetzlich zuzulassen.

Die Evaluierung führte ein vom Bundesinnenministerium in Kooperation mit der Beratungsfirma Rambøll Management Consulting bestelltes Team durch. Experten wie der Bundesdatenschutzbeauftragte Peter Schaar drängen dagegen seit Längerem auf eine unabhängige Gesetzesüberprüfung anhand "wissenschaftlicher Kriterien". Die ATD und andere Sicherheitsgesetze werden derzeit auch von einer Regierungskommission "losgelöst vom politischen Tagesgeschäft" beleuchtet.

Langfassung eines Beitrags für heise online.