In meiner Juli-Analyse des 691-seitigen Referentenentwurfs habe ich § 10 Abs. 2 BNDG den Waffenhändler des Wilden Westens genannt: das BSI, die Bundesbehörde mit dem gesetzlichen Auftrag, Schwachstellen schließen zu lassen, per Gesetz zur verpflichteten Annahmestelle gemacht, die dem BND rohe und unbearbeitete Schwachstellen liefert, ohne vorherige Aufarbeitung, 0-Days eingeschlossen.
Diese Regelung wird nun als gestrichen gemeldet.
Florian Flade, der die Pflicht am 13. Juli auf seinem Blog Verschlusssache dokumentierte, meldete heute Morgen als @FlorianFlade auf der mit einem Nazi-Hakenkreuz verzierten Plattform, dass die Nachrichtendienstgesetze diese Woche ins Kabinett eingebracht werden sollen und der BND-Entwurf kurz zuvor noch eine Änderung erhielt:
Die Verpflichtung des BSI künftig IT-Schwachstellen an den BND melden zu müssen, ist raus.
Die Kabinettsfassung selbst ist noch nicht veröffentlicht. Bis das BMI sie einstellt, gebe ich im Kern nur wieder, was Flade berichtet. Der Beweis bleibt das Dokument selbst.
Die Aktenlage
Wie die Regelung starb, steht in der kurzen öffentlichen Aktenlage. Das BMI veröffentlichte den Entwurf am 5. Juli, und Sven Herpig markierte die Übermittlungspflicht binnen Tagen. Flade dokumentierte sie bis zum 13. Juli. Dann brachte die Verbändeanhörung ihre Stellungnahmen hervor, und die Pflicht war deren konzentrierter Brennpunkt. Die AG Kritis warnte, die Regelung baue IT-Sicherheit ab, statt sie zu stärken, und Betreiber kritischer Infrastrukturen müssten sich fragen, „wie vertrauenswürdig das BSI dann noch für sie sein kann“, wenn ihre sensibelsten Vorfallsdaten an einen Nachrichtendienst weiterfließen.
Eine öffentliche Frage auf abgeordnetenwatch hält fest, dass Konstantin von Notz die Pflicht als fahrlässig und nicht mit den Vorgaben des Bundesverfassungsgerichts vereinbar bezeichnet hat.
Zuletzt, laut Flade: die Streichung, bevor der Entwurf ins Kabinett ging.
Eine Streichung ist nur eine Streichung
Die Streichung des Feeds ist nichts Größeres, etwa ein vollständiger Abwägungsprozess für Schwachstellen. Nach Herpigs Bericht hat das Kanzleramt acht Jahre lang ein gesetzliches Schwachstellenmanagement im Interesse des BND blockiert. Die Streichung des Einweg-Angriffsfeeds führt Deutschland in dieses benannte Vakuum zurück. Sie löst es nicht auf, denn an die Stelle der Übermittlungspflicht trat keine Offenlegungspflicht. Die Nutzung von Schwachstellen durch den BND zur Auslandsaufklärung läuft auf der bestehenden Rechtsgrundlage weiter; geändert hat sich, nach aktuellem Berichtsstand, nur, dass das BSI nicht mehr per Gesetz als Lieferant verpflichtet ist. Die eigene Logik der Begründung, dass die Zeit bis zur Behebung das Erntefenster ist, wurde zurückgezogen und blieb unbeantwortet.
Wie es weitergeht
Flades Einordnung: eine kleine, aber relevante Änderung. Nach aktuellem Berichtsstand geht alles Übrige aus meiner Juli-Analyse wie entworfen ins Kabinett.
Die automatisierten Gegenmaßnahmen werden weiterhin mit der Behauptung begründet, menschliche Prüfung leiste keine relevante Qualitätssicherung. Das ist Unsinn.
Die Täuschungslizenz des § 60, die staatliche Desinformation unter dem Etikett Schutzmaßnahme ins Gesetz schreibt. Die Abschaffung der G10-Kommission. Das Verhältnis von 30:1 zwischen Ausgaben für Fähigkeiten und Ausgaben für Kontrolle. All das bleibt aus den bereits genannten Gründen bedenklich.
Man betrachte genau die Regelung, die starb, und warum. Die Übermittlungspflicht hatte eine konzentrierte Interessengruppe mit etwas Konkretem zu verlieren: KRITIS-Betreiber mit Vorfallsdaten, Sicherheitsforscher mit Offenlegungsentscheidungen, die eigene Annahmestelle des BSI. Diese Parteien schreiben Stellungnahmen. Die Regelungen, die überlebt haben, verteilen ihre Kosten anders, aus ökonomischer Sicht der Schwachstellenforschung.
Die Abschaffung der G10-Kommission kostet die Allgemeinheit ein Kontrollgremium; die Täuschungslizenz kostet die Ziele von V-Leute-Netzen; die Automatisierungsklausel kostet den, der auf geteilter Infrastruktur steht, wenn die Maschine feuert. Keine dieser Gruppen reicht Verbandsstellungnahmen ein. Das ist keine Aussage über Absichten. So filtern Kommentarverfahren: Sie beantworten die Einwände, die organisiert, finanziert und auf dem passenden Briefkopf eintreffen.
Das nächste Fenster
Die Verbändeanhörung ist vorbei. Vom Kabinett wandert das Paket in den Bundestag, wo Regelungen per Änderungsantrag im Ausschuss eingefügt und gestrichen werden, ohne dass das Verfahren eine zweite Kommentarrunde verlangt. Eine vor dem Kabinett gestrichene Regelung ist die am billigsten wiederherstellbare, und sie käme in der Phase mit der geringsten öffentlichen Sichtbarkeit zurück.
Mein Juli-Beitrag argumentierte, dieser Entwurf baue Instrumente, die den Machtwechsel zwischen Regierungen überstehen. Hier zeigt sich die Miniatur desselben Problems: Instrumente, die den Wechsel zwischen Verfahrensstufen überstehen, wobei jede Stufe weniger Kontrolle kennt als die vorige. Die Kabinettsfassung wird all das bestätigen oder korrigieren; die Ausschussfassung, noch Monate entfernt, wird zeigen, ob der Waffenhändler wieder öffnet.