IT-Sicherheits-lücken melden oder geheim halten?
Ein neues Gutachten, das die GFF in Auftrag gegeben hat, skizziert, wie ein funktionierendes staatliches Schwachstellenmanagement aussehen kann.
Das Gutachten können Sie hier herunterladen.
Gemeindeverwaltungen, die für Bürger*innen über Monate nur eingeschränkt erreichbar sind, Krankenhäuser, die Notfallpatient*innen abweisen müssen: Cyberangriffe können in der digitalen Gesellschaft gravierende Folgen haben. Einfallstore sind häufig Fehler bzw. Schwachstellen in einem IT-System oder einer Software, die es Kriminellen oder staatlichen Akteur*innen ermöglichen, in das System einzudringen. So können sie Daten manipulieren oder Kommunikation ausspähen – häufig trifft das etwa Politiker*innen, Journalist*innen und Aktivist*innen.
Unbekannte Schwachstellen sind besonders gefährlich
Sind solche Schwachstellen den Herstellern selbst noch unbekannt, werden sie als zero-day vulnerabilities bezeichnet. Von ihnen geht ein besonderes Risiko aus, weil sich Nutzer*innen der betroffenen Software nicht mit Patches oder Updates dagegen schützen können. Neu auftretende Sicherheitslücken sollten deshalb nach Bekanntwerden sofort geschlossen werden.
Zu den Akteur*innen, die von solchen zero-day vulnerabilities erfahren, gehören auch Sicherheitsbehörden – etwa Polizei und Geheimdienste. Gerade sie haben aber immer wieder ein eigenes Interesse daran, die Sicherheitslücken geheim- und damit offenzuhalten, um sie für ihre Zwecke nutzen zu können: etwa, um mit Staatstrojanern Smartphones verdächtiger Personen zu durchsuchen.
Stellungnahmen zur Nachrichtendienstreform
Die im Juli 2026 vorgelegten Pläne zur Reform des Nachrichtendienstrechts sehen vor, dass der BND und das Bundesamt für Verfassungsschutz künftig sogenannte Hackbacks einsetzen dürfen – also selbst aktive Cybermaßnahmen durchführen können. Ein weiterer Gesetzentwurf, der Entwurf zur Stärkung der Cybersicherheit, sieht vor, dass auch die Bundespolizei und das Bundeskriminalamt solche Befugnisse bekommen sollen. Geheimgehaltene zero-day vulnerabilities sind auch für Hackbacks von zentraler Bedeutung.
Aus grundrechtlicher Perspektive sind Hackbacks ein Problem. Mehr Informationen dazu finden Sie in der Stellungnahme, die die GFF im Rahmen der Verbändeanhörung zur Nachrichtendienstreform eingereicht hat. Mit der Problematik beschäftigt sich außerdem eine Stellungnahme, die Dr. Peter Schantz auf Bitte der GFF für die Verbändeanhörung erstellt hat.
Nutzen oder schließen – ein Zielkonflikt
Der Staat steht bei zero-day-vulnerabilities also vor einem Zielkonflikt: Einerseits können sie für die Arbeit der Sicherheitsbehörden wertvoll sein. Bleiben sie offen, können die Schwachstellen andererseits aber die Sicherheit der Bürger*innen gefährden. Um sie zu schützen, muss der Staat also eigentlich möglichst schnell darauf hinwirken, die Sicherheitslücken zu schließen. Das gebietet auch das sogenannte IT-Grundrecht: Der Staat muss die Integrität und Vertraulichkeit digitaler Systeme schützen.
Cybergefahren nehmen ständig zu. Bürger*innen und Unternehmen müssen sich darauf verlassen können, dass der Staat mit IT-Schwachstellen und Spyware verantwortungsvoll umgeht.
Aus dem Grundgesetz ergibt sich, dass der Gesetzgeber ein Verfahren schaffen muss, um solche Zielkonflikte aufzulösen. Konkret bedeutet das: Wenn ein Gesetz es dem Staat ermöglicht, digitale Schwachstellen auszunutzen, muss es auch grundsätzlich regeln, wie der Staat mit unbekannten IT-Sicherheitslücken umgeht und die Sicherheit der Bürger*innen gewährleistet. Ein solches Gesetz muss außerdem bestimmen, inwieweit staatliche Stellen externe Spionagesoftware ankaufen und einsetzen dürfen, die selbst wiederum Schwachstellen ausnutzt.
Dass der Gesetzgeber ein solches Schwachstellenmanagement einführen muss, hat das Bundesverfassungsgericht in einer Entscheidung zu IT-Sicherheitslücken festgestellt. Die Entscheidung haben wir bereits 2021 erstritten. Dennoch gibt es eine solche Regelung bisher in Deutschland nicht.
Ein funktionierendes Schwachstellenmanagement
Das von der GFF beauftragte und von Prof. Dr. Thomas Wischmeyer sowie Dr. Paul Friedl erstellte Gutachten setzt an dieser Stelle an. Es zeigt, dass ein Gesetz zwingend folgende Anforderungen an das Schwachstellenmanagement regeln muss:
- Der Gesetzgeber muss ein strukturiertes Verfahren vorsehen, um zu entscheiden, welche unbekannten IT-Schwachstellen offenbleiben sollen. Dieses Verfahren muss Gefahren und Nutzen abwägen.
- Der Gesetzgeber muss bestimmen, welche Institution für diese Entscheidungen zuständig ist, und die Grundzüge des Verfahrens festlegen.
- Das Gesetz muss vorsehen, dass der Staat Sicherheitslücken nur ausnahmsweise und zeitweise geheim halten darf – in der Regel muss er sie also offenlegen. Behörden, die Schwachstellen geheim halten, müssen Maßnahmen ergreifen, um die negativen Folgen ihrer Entscheidung zu minimieren. Ihre Entscheidungen müssen sie außerdem immer wieder überprüfen.
- Eine unabhängige Kontrollinstanz muss die Entscheidungen der Behörden effektiv überprüfen können.
Nur die Details können in einer Rechtsverordnung geregelt werden, die sich flexibler an technische und organisatorische Änderungen anpassen lässt als ein Gesetz.
Zero-Day-Schwachstellen und kommerzielle Spyware stellen eine systemische Bedrohung für die gesamte Gesellschaft dar. Deshalb braucht ihr Einsatz durch staatliche Akteure klare Regeln.
Die Autoren kommen außerdem zu dem Schluss, dass das Gesetz zwingend regeln muss, wie staatliche Stellen mit externen Cyberkapazitäten umgehen: Behörden sind auch dann verpflichtet, für Grundrechtsschutz zu sorgen, wenn sie etwa auf kommerzielle Spyware-Anbieter zurückgreifen. Neben einem umfassenden Verbot kommerzieller Spyware wäre es unter anderem auch denkbar, eine Pflicht zur Anbieter- und Produktbewertung sowie flankierende Schutzregelungen einzuführen – insbesondere angemessene Sanktionsmechanismen.
Darüber hinaus macht das Gutachten weitere Empfehlungen, wie sich das Gesetz konkret ausgestalten ließe:
- Ein überbehördliches und interministerielles Gremium sollte als Entscheidungsgremium eingesetzt werden.
- Die Autoren empfehlen außerdem, den Unabhängigen Kontrollrat mit der Rechtskontrolle zu betrauen und eine Berichtspflicht gegenüber dem Parlamentarischen Kontrollgremium einzuführen.
