Es klingt wie ein Widerspruch — und ist einer. Eine staatliche Behörde, das BSI, soll dafür sorgen, dass Sicherheitslücken in Software geschlossen werden. Andere staatliche Stellen haben ein handfestes Interesse daran, genau dieselben Lücken offenzuhalten — um sie für Überwachung zu nutzen. Willkommen in der deutschen Cybersicherheitspolitik.
Das BSI: eigentlich auf deiner Seite
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die defensive Behörde. Seine Aufgabe: Schwachstellen erkennen, melden, schließen. Die BSI-Leitung betont regelmäßig, dass bekannt gewordene Lücken so schnell wie möglich geschlossen werden. So weit, so gut.
Der Interessenkonflikt
Das Problem steckt in der Struktur: Das BSI ist dem Bundesinnenministerium unterstellt — demselben Ministerium, das auch die Sicherheits- und Nachrichtendienste beaufsichtigt (Verfassungsschutz, BKA). Und die haben ein gegenläufiges Interesse: Sie profitieren von unsicherer IT, weil sie Lücken für ihre Ermittlungen und Überwachung brauchen. Kritiker — unter anderem netzpolitik.org, die Gesellschaft für Informatik und die Stiftung Neue Verantwortung — fordern deshalb seit Jahren ein wirklich unabhängiges BSI. Bisher ist nur eine „selbständigere" Behörde geplant; echte Unabhängigkeit gibt es nicht.
ZITiS und die Staatstrojaner
Die offensive Seite hat einen Namen: ZITiS, die „Zentrale Stelle für Informationstechnik im Sicherheitsbereich". Sie entwickelt und beschafft Werkzeuge für staatliches Hacking — Stichwort Staatstrojaner (Quellen-TKÜ und Online-Durchsuchung). Ob der Staat dafür gezielt Zero-Day-Lücken einkauft, ist seit Jahren umstritten; Berichte legen nahe, dass Behörden solche Exploits vorhalten. Klar ist: Wer einen Trojaner aufs Gerät bringen will, braucht eine offene Tür — also eine ungeschlossene Lücke.
Warum das ein Problem fĂĽr alle ist
Der entscheidende Punkt: Es gibt keine Sicherheitslücke, die nur „die Guten" nutzen können. Hält der Staat eine Lücke absichtlich offen, kann dieselbe Lücke von Kriminellen, fremden Geheimdiensten oder Erpressern gefunden und ausgenutzt werden. Jede zurückgehaltene Schwachstelle ist ein Risiko für Krankenhäuser, Unternehmen, Journalistinnen und ganz normale Nutzer. Genau das untergräbt die eigentliche Aufgabe des BSI.
Der Dauerstreit
Fair bleiben: Ermittler und Dienste argumentieren, sie bräuchten diese Fähigkeiten gegen schwere Kriminalität und Terror. Deshalb ringt die Politik seit Jahren um ein transparentes Schwachstellenmanagement, das den Nutzen für Behörden gegen das Risiko für die Allgemeinheit abwägt. Gleich mehrere Koalitionsverträge versprachen ein solches Verfahren, ein unabhängiges BSI und einen Verzicht auf „Hackbacks". In ein verbindliches Gesetz gegossen wurde davon bis heute nichts.
Was das fĂĽr dich bedeutet
Solange der Staat Lücken offenlässt, kannst du dich nicht darauf verlassen, dass jede Tür rechtzeitig geschlossen wird. Die beste Antwort ist, deine Angriffsfläche selbst zu verkleinern:
- Ein degoogltes Smartphone mit GrapheneOS bekommt schnelle Sicherheitsupdates und ist gehärtet — unsere SaferPhone-Modelle.
- Ein Messenger, der Ende-zu-Ende verschlüsselt und keine Metadaten hinterlässt — VOID.
- Weniger Daten preiszugeben heiĂźt weniger, das abgegriffen werden kann. Mehr dazu in unserem Chatkontrolle-Ăśberblick.
Fazit
Die Debatte ist berechtigt und noch lange nicht entschieden. Aber solange es kein verbindliches, transparentes Schwachstellenmanagement und kein unabhängiges BSI gibt, gilt: Verlass dich nicht allein auf den Staat — schütze dich selbst.
Quellen (Auswahl)
- netzpolitik.org — Schwachstellen: Bruch des Koalitionsvertrags
- heise online — BSI soll „selbständig" werden, Schwachstellenmanagement wackelt
- SWP — Governance von 0-Day-Schwachstellen
- Verfassungsblog — Schrödingers BSI-Präsidentin
- Tagesspiegel Background — Kommt die BSI-Zentralstelle?