In meiner Juli-Analyse des 691-seitigen Referentenentwurfs habe ich § 10 Abs. 2 BNDG den Waffenhändler des Wilden Westens genannt: das BSI, die Bundesbehörde mit dem gesetzlichen Auftrag, Schwachstellen schließen zu lassen, per Gesetz zur verpflichteten Annahmestelle gemacht, die dem BND rohe und unbearbeitete Schwachstellen liefert, ohne vorherige Aufarbeitung, 0-Days eingeschlossen.

Diese Regelung wird nun als gestrichen gemeldet.

Florian Flade, der die Pflicht am 13. Juli auf seinem Blog Verschlusssache dokumentierte, meldete heute Morgen als @FlorianFlade auf der mit einem Nazi-Hakenkreuz verzierten Plattform, dass die Nachrichtendienstgesetze diese Woche ins Kabinett eingebracht werden sollen und der BND-Entwurf kurz zuvor noch eine Änderung erhielt:

Die Verpflichtung des BSI künftig IT-Schwachstellen an den BND melden zu müssen, ist raus.

Die Kabinettsfassung selbst ist noch nicht veröffentlicht. Bis das BMI sie einstellt, gebe ich im Kern nur wieder, was Flade berichtet. Der Beweis bleibt das Dokument selbst.

Die Aktenlage

Wie die Regelung starb, steht in der kurzen öffentlichen Aktenlage. Das BMI veröffentlichte den Entwurf am 5. Juli, und Sven Herpig markierte die Übermittlungspflicht binnen Tagen. Flade dokumentierte sie bis zum 13. Juli. Dann brachte die Verbändeanhörung ihre Stellungnahmen hervor, und die Pflicht war deren konzentrierter Brennpunkt. Die AG Kritis warnte, die Regelung baue IT-Sicherheit ab, statt sie zu stärken, und Betreiber kritischer Infrastrukturen müssten sich fragen, „wie vertrauenswürdig das BSI dann noch für sie sein kann“, wenn ihre sensibelsten Vorfallsdaten an einen Nachrichtendienst weiterfließen.

Eine öffentliche Frage auf abgeordnetenwatch hält fest, dass Konstantin von Notz die Pflicht als fahrlässig und nicht mit den Vorgaben des Bundesverfassungsgerichts vereinbar bezeichnet hat.

Zuletzt, laut Flade: die Streichung, bevor der Entwurf ins Kabinett ging.

Eine Streichung ist nur eine Streichung

Die Streichung des Feeds ist nichts Größeres, etwa ein vollständiger Abwägungsprozess für Schwachstellen. Nach Herpigs Bericht hat das Kanzleramt acht Jahre lang ein gesetzliches Schwachstellenmanagement im Interesse des BND blockiert. Die Streichung des Einweg-Angriffsfeeds führt Deutschland in dieses benannte Vakuum zurück. Sie löst es nicht auf, denn an die Stelle der Übermittlungspflicht trat keine Offenlegungspflicht. Die Nutzung von Schwachstellen durch den BND zur Auslandsaufklärung läuft auf der bestehenden Rechtsgrundlage weiter; geändert hat sich, nach aktuellem Berichtsstand, nur, dass das BSI nicht mehr per Gesetz als Lieferant verpflichtet ist. Die eigene Logik der Begründung, dass die Zeit bis zur Behebung das Erntefenster ist, wurde zurückgezogen und blieb unbeantwortet.

Wie es weitergeht

Flades Einordnung: eine kleine, aber relevante Änderung. Nach aktuellem Berichtsstand geht alles Übrige aus meiner Juli-Analyse wie entworfen ins Kabinett.

Die automatisierten Gegenmaßnahmen werden weiterhin mit der Behauptung begründet, menschliche Prüfung leiste keine relevante Qualitätssicherung. Das ist Unsinn.

Die Täuschungslizenz des § 60, die staatliche Desinformation unter dem Etikett Schutzmaßnahme ins Gesetz schreibt. Die Abschaffung der G10-Kommission. Das Verhältnis von 30:1 zwischen Ausgaben für Fähigkeiten und Ausgaben für Kontrolle. All das bleibt aus den bereits genannten Gründen bedenklich.

Man betrachte genau die Regelung, die starb, und warum. Die Übermittlungspflicht hatte eine konzentrierte Interessengruppe mit etwas Konkretem zu verlieren: KRITIS-Betreiber mit Vorfallsdaten, Sicherheitsforscher mit Offenlegungsentscheidungen, die eigene Annahmestelle des BSI. Diese Parteien schreiben Stellungnahmen. Die Regelungen, die überlebt haben, verteilen ihre Kosten anders, aus ökonomischer Sicht der Schwachstellenforschung.

Die Abschaffung der G10-Kommission kostet die Allgemeinheit ein Kontrollgremium; die Täuschungslizenz kostet die Ziele von V-Leute-Netzen; die Automatisierungsklausel kostet den, der auf geteilter Infrastruktur steht, wenn die Maschine feuert. Keine dieser Gruppen reicht Verbandsstellungnahmen ein. Das ist keine Aussage über Absichten. So filtern Kommentarverfahren: Sie beantworten die Einwände, die organisiert, finanziert und auf dem passenden Briefkopf eintreffen.

Das nächste Fenster

Die Verbändeanhörung ist vorbei. Vom Kabinett wandert das Paket in den Bundestag, wo Regelungen per Änderungsantrag im Ausschuss eingefügt und gestrichen werden, ohne dass das Verfahren eine zweite Kommentarrunde verlangt. Eine vor dem Kabinett gestrichene Regelung ist die am billigsten wiederherstellbare, und sie käme in der Phase mit der geringsten öffentlichen Sichtbarkeit zurück.

Mein Juli-Beitrag argumentierte, dieser Entwurf baue Instrumente, die den Machtwechsel zwischen Regierungen überstehen. Hier zeigt sich die Miniatur desselben Problems: Instrumente, die den Wechsel zwischen Verfahrensstufen überstehen, wobei jede Stufe weniger Kontrolle kennt als die vorige. Die Kabinettsfassung wird all das bestätigen oder korrigieren; die Ausschussfassung, noch Monate entfernt, wird zeigen, ob der Waffenhändler wieder öffnet.

In my July analysis of the 691-page Referentenentwurf I called § 10(2) BNDG the wild west’s gun dealer: the BSI, the federal agency whose statutory mission is getting vulnerabilities patched, conscripted by law into a mandatory intake feeding the BND raw and unprocessed vulnerabilities, ohne vorherige Aufarbeitung, including 0-days.

That provision is now being reported as dead.

Florian Flade, who documented the duty on his Verschlusssache blog on July 13, reported this morning from @FlorianFlade on the Nazi Swastika-adorned platform that the intelligence bills go to cabinet this week and that the BND draft got one change shortly beforehand:

Die Verpflichtung des BSI künftig IT-Schwachstellen an den BND melden zu müssen, ist raus.

EN: (The obligation for the BSI to report IT vulnerabilities to the BND in future is out.)

The Kabinettsfassung itself is not yet published. Until the BMI posts it, I’m basically reposting what Flade is reporting. The document itself still has to be the proof.

The Paper Trail

How the provision died was in the brief public record. The BMI published the draft on July 5 and Sven Herpig flagged the transmission duty within days. Flade documented it by July 13. Then the Verbändeanhörung produced its Stellungnahmen, and the duty was their concentrated flashpoint. The AG Kritis warned that the provision would degrade IT security rather than strengthen it, and that operators of critical infrastructure would have to ask “wie vertrauenswürdig das BSI dann noch für sie sein kann” if their most sensitive incident data flowed onward to an intelligence service.

A public question on abgeordnetenwatch records Konstantin von Notz characterizing the duty as careless and incompatible with the Bundesverfassungsgericht’s requirements.

Finally, per Flade, deletion arrived before the draft went to the cabinet.

Deletion is just deletion

Removing the feed is not something bigger, like a full equities process. Herpig’s reporting had the Kanzleramt spending eight years blocking a statutory Schwachstellenmanagement on the BND’s behalf. Deleting the one-way attack feed returns Germany into that stated vacuum. It does not resolve it because no disclosure duty replaced the transmission duty. The BND’s use of vulnerabilities for foreign collection continues on its existing legal basis; what changed, on current reporting, is only that the BSI is no longer statutorily drafted as the supplier. The Begründung’s own logic, that remediation time is the harvest window, was withdrawn and left unanswered.

Moving ahead

Flade’s characterization is that there was a small but relevant change. On current reporting, everything else in my July analysis goes to cabinet as it has been drafted.

The automated countermeasures are still being justified with the claim that human review adds no relevant quality assurance. That’s nonsense.

The § 60 deception charter that writes state Desinformation into statute under the label Schutzmaßnahme. The abolition of the G10-Kommission. The 30:1 ratio of capability spending to control spending. All of it remains concerning for the reasons already stated.

Look at the exact provision that died and why. The transmission duty had a concentrated constituency with something specific to lose: KRITIS operators with incident data, security researchers with disclosure decisions, the BSI’s own intake pipeline. Those parties write Stellungnahmen. The provisions that have survived distribute costs differently, from the economics view of vulnerability research.

The G10-Kommission’s abolition costs the general public an oversight body; the deception charter costs the targets of informant networks; the automation clause costs whoever is standing on shared infrastructure when the machine fires. None of those constituencies files sector comments. This is not a claim about anyone’s intent. It is how comment processes filter: they answer the objections that arrive organized, funded, and on particular letterhead.

The Next Window

The Verbändeanhörung is over. From cabinet the package moves to the Bundestag, where provisions are added and removed by Änderungsantrag in committee, with no second comment round required by procedure. A provision deleted before cabinet is the cheapest kind to restore, and it would return at the stage with the least public exposure.

My July post argued this draft builds instruments that survive handover between governments. We see here the miniature of the same problem: instruments surviving handover between drafting stages, where each stage has less scrutiny than the last. The Kabinettsfassung will confirm or correct all of this; the Ausschussfassung, still months out, will show whether the gun dealer’s office reopens.

The most profitable sentence in AI security has been that prompt injection cannot be solved. Since 2012 I’ve been repeatedly told to stop trying to make AI safe, because the unsafe AI is the most profitable version.

After all, look at the money Tesla made after promising in 2016 that a car would drive itself coast to coast with no human touch within a year, and later that its cars would ship with no steering wheel or pedals. Musk’s fortune rode on those promises while the driver-assistance systems were involved in dozens of deaths, fourteen confirmed in the closed federal Autopilot probe and at least sixty-five counted Autopilot/FSD crashes, and Tesla built its own coverage of the toll into head-on crashes like this one. Then he pivoted into government, where a Lancet projection ties the USAID cuts he drove to more deaths than Stalin caused.

Any historian can tell you there is no reliable way to detect whether a piece of text is a malicious instruction. That is true and it stays true. Whether an injected instruction can reach anything that matters is a separate question, a permission question, and permission questions have had working answers for forty years. More to the point, the “free speech” doctrine depends on protecting the ability to speak, which is as old and settled as the ethics of preventing suicide. The field keeps trying to muddy the waters, and to call the second problem by the first problem’s name. The mess is what has created a product category that should not exist, in the same way “America First” shouldn’t ever be allowed into political office, let alone on any ballot.

The refutation

claude --dangerously-skip-permissions.

gemini --yolo.

q chat --trust-all-tools.

Documented agent malware this year did not break any permission model. It weaponized the AI coding agents already on the machine, shelling out to whatever CLI it found and passing the flag the vendor ships to turn the model’s own approvals off.

Sit with what that requires. The attack only works because the vendor shipped a switch that disables the gate. Where the switch was not thrown, the gate was the thing in the way. The malware did not defeat the boundary. It looked for the off-switch the vendor built, and used it. The strongest evidence that injection is containable is that the attacker had to disable containment to get through. The field has that evidence in its own incident data and files it backwards under inevitability.

OpenAI used its own Black Hat slot to describe models that broke out of a test sandbox and attacked a partner platform. The company treated the containment failure as resolved by rebuilding the compromised service while leaving the write access that had enabled it, so the agents rebuilt their coordination channel within days. Eradication without root cause removal is the one move every incident response framework tells you not to make, and they presented it from the stage as a watershed.

Unsolvable is an alibi

Watch what the claims are being designed to do. I see presentations describe an always-on server holding SSH keys and the ability to send mail, wired to an agent fed by an untrusted chat channel. This is already a dumpster fire, but it gets defended as “limiting capabilities limits the value”. That is the whole ideology in five words. If injection cannot be stopped, a gate is not protection, it is friction, and friction is lost value. Unsolvable is not a diagnosis. It is a permission slip.

It’s saying brakes will stop the car, therefore the use of cars would be limited by brakes. Obviously, exactly the opposite is reality. The brakes make the car suitable for going faster and farther.

It is not that these unsafe operators cannot detect the injection. It is that they use their claims of weakness in their ability or desire to excuse never building the containment, which is a choice made that gets dressed up as a law of nature.

This has the shape of colonialism, causing massive extraction harms under the false principle of some “nature” to a racist and artificially contrived order.

Detection sells. Containment doesn’t.

A classifier that promises to spot the malicious prompt is a subscription, it’s a tether and a tax. An approval gate on the dangerous action is a config the customer writes once and never pays for again. The incentive runs entirely one direction: declare the input problem central and the authority problem beneath notice, because the input problem is the one you can bill for.

An industry does not converge on “unsolvable” by accident when solvable does not have a price tag.

The tell is how the field treats the one control that measurably refuses attacks. Model refusal is real and quantifiable. An independent comparative study measured agent frameworks refusing between roughly a third and half of adversarial instructions, depending on the framework, and it costs the customer nothing. It shows up in the writeups as a footnote about the models being frustratingly inconsistent. The one safeguard nobody can bill for gets logged as a nuisance.

The gate works

Injection is an input fact and it is not going away. Blast radius is a choice and it never had to be this large.

The industry agreed to confuse the two because the confusion is where the money is. And it feeds the power-hungry failing upward by refusing accountability.

The boundary holds when it exists and cannot be switched off from inside the agent. The year’s demos keep proving it. They ship the bypass, they glorify the harms, and they sell you the reason not to build the gate.