Nachrichtendienstrecht: Bitkom und GFF fordern Schwachstellen-Verbot

Ein ungewöhnliches Bündnis aus Digitalwirtschaft und Zivilgesellschaft verlangt verbindliche Regeln für den staatlichen Umgang mit IT-Schwachstellen. In einem gemeinsamen Whitepaper fordern der Digitalverband Bitkom und die Gesellschaft für Freiheitsrechte (GFF), staatliches Schwachstellenmanagement gesetzlich klar zu regeln und das bewusste Offenhalten bekannter Lücken zu verbieten. Anlass ist die Reform des Nachrichtendienstrechts, deren Gesetzentwurf das Bundeskabinett beschließen will; er soll die operativen Fähigkeiten der Dienste stärken und die Auskunfts- und Mitwirkungspflichten für Unternehmen ausweiten.

Staatliches Schwachstellenmanagement: Lücken dürfen nicht offen bleiben

Die zentrale Forderung des Papiers ist ein klares Verbot: Bekannte Lücken müssen geschlossen werden, statt sie für nachrichtendienstliche Zwecke offenzuhalten. Bitkom-Geschäftsleiterin Susanne Dehmel formuliert es in der offiziellen Verbandsposition unmissverständlich: „Bekannte Schwachstellen müssen unverzüglich für alle geschlossen werden und dürfen niemals bewusst offengehalten werden."

Das ist bemerkenswert, weil hier ein Wirtschaftsverband und eine Bürgerrechtsorganisation an einem Strang ziehen. Die GFF ist auf digitale Grundrechte spezialisiert; als Autoren des gemeinsamen Dokuments werden Felix Kuhlenkamp (Bitkom, Leiter Sicherheit) und Luzie Neyenhuys (GFF) genannt. Das Whitepaper trägt den Titel „Staatliches Schwachstellenmanagement klar regeln"; im Dateinamen ist das Datum 14. Oktober 2026 hinterlegt.

Die Linie ist nicht neu. Bereits seit 2021 plädiert Bitkom für ein Schwachstellenmanagement „in Abstimmung mit einer neutral agierenden Institution" und für ein standardisiertes Verfahren zur koordinierten Offenlegung — also Responsible Disclosure. Schon damals hieß es, haftungsrechtliche Pflichten seien in einem klaren Rahmen denkbar, wie eine frühere Bitkom-Position zeigt.

Ausgeweitete Pflichten: Wen die Reform trifft

Betroffen sind zunächst die Unternehmen. Der Entwurf sieht erweiterte Auskunfts- und Mitwirkungspflichten vor — nach Einschätzung von Bitkom sind viele davon jedoch noch zu unbestimmt formuliert. Für Firmen, die ohnehin mit Sicherheitsbehörden kooperieren, entsteht damit eine schwer kalkulierbare Rechtslage: Wer weiß, welche Informationen wann herauszugeben sind?

Ein zweiter Kreis sind die Melder von Schwachstellen. Bitkom argumentiert, wer eine Lücke an Behörden melde, dürfe nicht befürchten müssen, dass sie anschließend für nachrichtendienstliche Zwecke genutzt wird. Genau diese Erwartung ist die Grundlage jedes funktionierenden Responsible-Disclosure-Prozesses — wird sie enttäuscht, sinkt die Meldebereitschaft.

Für Produkthersteller enthält der Entwurf nach Bitkom-Lesart eine gute Nachricht: Eine generelle Pflicht zur Entschlüsselung oder zum Einbau von Hintertüren sei nicht vorgesehen, und das begrüßt der Verband. Zugleich warnt er vor neuen Risiken durch mögliche Zugriffe auf technische Informationen, Systemkopien und laufende IT-Infrastruktur. Solche Eingriffe dürften nur letztes Mittel sein und dürften Verschlüsselung und sichere Produktarchitekturen nicht schwächen.

Der kritische Punkt: BSI-Erkenntnisse beim BND

Der heikelste Baustein der Reform liegt aus Sicht der Kritiker im Informationsfluss zwischen Behörden. Bitkom hält es für „besonders kritisch, dass Erkenntnisse des BSI über Schwachstellen künftig an den BND fließen können". Das BSI ist die Stelle, an die Hersteller und Forscher Schwachstellen melden; fließen diese Informationen anschließend an einen Nachrichtendienst, verschiebt sich die Rolle des BSI von der koordinierenden Meldestelle zum Zulieferer operativer Fähigkeiten.

Wie die englischsprachige Einordnung der Hauptkritikpunkte zeigt, ist dieser Konflikt nicht auf Bitkom und GFF beschränkt — er berührt das Grundverhältnis zwischen IT-Sicherheitsbehörde und Nachrichtendiensten.

Auf Normebene fordert Bitkom eine ausdrückliche Klarstellung, dass § 10 BNDG-E keine Grundlage für die operative Ausnutzung von Schwachstellen durch den BND schafft. Der genaue Wortlaut und die Regelungswirkung dieser Norm ließen sich anhand der ausgewerteten Quellen allerdings nicht überprüfen; die Einschätzung stützt sich auf ein Suchergebnis-Snippet zur Stellungnahme zum Referentenentwurf. Auch die konkreten Detailforderungen des Whitepapers sind über Titel, Autoren und Datum hinaus nicht belegt.

In einer weiteren Stellungnahme beziffert Bitkom den Schaden durch Cyberangriffe mit 202 Milliarden Euro — Zeitraum und Erhebungsgrundlage nennt der ausgewertete Text jedoch nicht. Eine Gegenstellungnahme der zuständigen Ministerien oder der Dienste liegt in den ausgewerteten Quellen nicht vor.

Fazit

Die Reform des Nachrichtendienstrechts steht unmittelbar vor der Kabinettsbefassung. Bitkom und GFF verlangen, dass der Gesetzgeber das staatliche Schwachstellenmanagement ausdrücklich regelt, statt es der Praxis zu überlassen. Ob das gelingt, hängt an zwei offenen Punkten: ob der Informationsfluss BSI → BND gesetzlich begrenzt wird und ob § 10 BNDG-E so gefasst wird, dass er nicht als Einfallstor für das Offenhalten von Lücken dient. Beides ist bislang nicht ausdrücklich bestätigt. Referentenentwurf, Stellungnahme und Whitepaper sind datiert, der genaue Ablauf bis zum Kabinettsbeschluss bleibt in den vorliegenden Quellen jedoch unklar.

Quellen