Bundesinnenminister Alexander Dobrindt kündigte im Februar eine „Zeitenwende bei Geheimdiensten“ an. Vor zwei Wochen hat sein Ministerium den Referentenentwurf für das „Gesetz zur Reform des Nachrichtendienstrechts“ veröffentlicht. Das rund 700-seitige Gesetz soll die Arbeit des Verfassungsschutzes und des Bundesnachrichtendienstes grundlegend neu strukturieren.
Vertreter:innen der Zivilgesellschaft und die Bundesdatenschutzbeauftragte kritisieren das Gesetzesvorhaben scharf. Aus ihrer Sicht ist es in Teilen verfassungswidrig. Das Gesetz hebe das Trennungsgebot zwischen Geheimdiensten und Polizei auf, senke die Hürden für Grundrechtseingriffe, gebe den Diensten erheblich mehr Befugnisse und beschränke zugleich die Kontrollmöglichkeiten.
Einhellig fällt auch die Kritik an der Beteiligungsfrist von gerade einmal sieben Werktagen aus, die das Bundesinnenministerium (BMI) den Verbänden für ihre Stellungnahmen eingeräumt hat. Besonders deutlich bringt die AG Kritis ihren Frust darüber zum Ausdruck: „Eine so kurze Frist ist der erneute ministerielle Mittelfinger ins Gesicht der Zivilgesellschaft!“
Verwässertes Trennungsgebot
Aus Sicht der Fachleute reißt der Gesetzentwurf gleich mehrere Trennmauern ein.
So sollen BND und Bundesamt für Verfassungsschutz (BfV) künftig operative Befugnisse erhalten. Beide Dienste dürften dann etwa in IT-Systeme eindringen und bei Cyberangriffen zurückhacken. Diese Befugniserweiterung verwässere die historisch begründete Trennung zwischen den bislang überwachenden Nachrichtendiensten und der eingreifenden Polizei, schreibt die Gesellschaft für Freiheitsrechte (GFF). Der Gesetzentwurf führe so nicht nur zu einer „Verpolizeilichung“ der Geheimdienstarbeit, sondern stelle „das gesamte verfassungsrechtliche Gefüge der Sicherheitsbehörden“ infrage, warnt die Nichtregierungsorganisation.
Darüber hinaus weiche der Entwurf die Trennung der Geheimdienste untereinander auf. Denn der Auslandsgeheimdienst BND soll auch beschränkte Überwachungsbefugnisse im Inland erhalten. Er dürfte dann etwa laufende Überwachungsmaßnahmen für einen Zeitraum von bis zu 72 Stunden im Inland fortsetzen, wenn eine überwachte Person in die Bundesrepublik einreist.
Das Bundesverfassungsgericht habe deutlich gemacht, „dass sich die weiten Spielräume des BND bei der Gefahrenfrüherkennung nur dadurch rechtfertigen lassen, dass er über keine operativen Anschlussbefugnisse verfügt“, schreibt der Rechtsanwalt Peter Schantz, ehemals Ministerialdirektor im Bundesjustizministerium. Der Gesetzentwurf des BMI ziele nun aber darauf ab, dass der BND im Inland hoheitliche Befugnisse ausüben kann. Dessen ungeachtet soll er weiterhin weniger strengen Auflagen unterliegen als der Verfassungsschutz.
Für die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stellt sich damit die Frage, „wie eine hinreichende Aufgabenabgrenzung zu den Inlandsnachrichtendiensten, den Polizeien, den Staatsanwaltschaften und der Bundeswehr zukünftig noch gewährleistet wird“. Die Arbeit der verschiedenen Sicherheitsbehörden überschneide sich immer mehr, was die Gefahr „rechtswidriger additiver Grundrechtseingriffe“ erhöhe, schreibt die Bundesdatenschutzbeauftragte in ihrer Stellungnahme.
Gesenkte Hürden, uferlose Zuständigkeiten
Auch die im Entwurf vorgesehenen Eingriffsschwellen der beiden Geheimdienste kritisieren die GFF, Peter Schantz und die BfDI als zu niedrig, zu unbestimmt und als verfassungswidrig.
Eigentlich darf der Inlandsgeheimdienst nicht ins Blaue hinein Informationen sammeln. Das Gesetz definiert deshalb Bedrohungsstufen, aus denen sich jeweils unterschiedliche Aufklärungsmaßnahmen und damit die Zulässigkeit von Grundrechtseingriffen ableiten sollen.
Die GFF kritisiert den aus ihrer Sicht unverhältnismäßigen Automatismus, der es dem Verfassungsschutz ermöglichen würde, bereits frühzeitig weitgehende Maßnahmen einzuleiten. Demnach sollen bereits Bagatellstraftaten eine „erhebliche Beobachtungsbedürftigkeit“ auslösen können. Konkret reiche dann bereits „das Kleben von Stickern oder das Abreißen von Plakaten“ aus, um die Grundrechte von Betroffenen einzuschränken, wie die GFF schreibt.
Auch „wenn die Vorgehensweise bei der Zielverfolgung planmäßig verschleiernd ist“, kann der Verfassungsschutz aktiv werden. Dazu könnten schon Vorkehrungen zur IT-Sicherheit oder zum Datenschutz zählen. Verdächtig wäre es also bereits, die eigene Festplatte oder den E‑Mailverkehr zu verschlüsseln. „Gerade besonders schutzbedürftige Personen, wie Aktivist:innen oder Journalist:innen, die Bedrohungen ausgesetzt sind, ergreifen derartige Maßnahmen“, schreibt die GFF.
Auch im BND-Gesetz ließen die schwammig formulierten Qualifikationsstufen „die Zuständigkeit des BND bei praktisch jedem Auslandsbezug uferlos werden“, schreibt Peter Schantz. Begriffe wie „erhöhtes Gefährdungspotential“ böten keine rechtssichere Grundlage für schwere Grundrechtseingriffe. Auch soll der Einsatz des biometrischen Abgleichs im Internet bereits bei bloßer „Erforderlichkeit für die Auslandsaufklärung“ zulässig sein. Das aber sei die niedrigst denkbare Hürde für ein solch breit gestreutes Instrument, kritisiert Schantz.
Die BfDI kritisiert zudem, dass Auskunftsersuchen des BfV an öffentliche Stellen praktisch unbegrenzt und auch automatisiert erlaubt sein sollen. Der Verfassungsschutz könnte dem Gesetzentwurf zufolge quasi nach Belieben Personendaten von Finanzämtern, Universitäten, Gerichten oder Sparkassen abfragen.
Mehr Befugnisse I: Hacken und Zurückhacken
Dass der Gesetzentwurf die Hürden senken und zugleich die Befugnisse ausweiten will, zeigt sich aus Sicht der Fachleute insbesondere daran, dass die Dienste aktiv in fremde IT-Systeme eindringen und zurückhacken dürfen sollen. Die Gutachten bewerten dies als äußerst kritisch, in Teilen verfassungswidrig und als eine Gefahr für die allgemeine IT-Sicherheit.
Aus Sicht der GFF regelt das Gesetz nicht präzise genug, welche Möglichkeiten das „nachrichtendienstliche Eingreifen“ des Verfassungsschutzes umfasst. Mitunter werde erst in der Gesetzesbegründung klar, dass damit auch Staatstrojaner und Online-Durchsuchungen gemeint sind.
Der Begriff Staatstrojaner bezeichnet Software oder technische Werkzeuge, mit der sich eine Behörde heimlich Zugang zu einem IT-System verschafft. Dieses Eindringen ermöglicht dann die Online-Durchsuchung. Sie gilt als die eingriffsintensivste Maßnahme und ermöglicht den Zugriff auf sämtliche gespeicherten Daten eines IT-Systems, wie lokale Dateien, Fotos, Passwörter und den Browserverlauf.
Verfassungsrechtlich setzt die Online-Durchsuchung eine konkretisierte Gefahr für ein höchstes Rechtsgut voraus, wie Peter Schantz betont. Der Gesetzentwurf löse das jedoch nicht ein. Und die BfDI betont, dass bereits das Eindringen in IT-Systeme einen schwerwiegenden Grundrechtseingriff darstellt, unabhängig vom Umfang der später erhobenen Daten. Der Gesetzentwurf verkenne damit das vom Bundesverfassungsgericht entwickelte Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme.
Besonders kritisch sehen die Fachleute, dass der Gesetzentwurf das Bundesamt für Sicherheit in der Informationstechnik (BSI) dazu verpflichten würde, Schwachstellen an den BND zu übermitteln. Die AG Kritis warnt in ihrer Stellungnahme, dass IT-Sicherheit dadurch nicht gestärkt, sondern abgebaut werde. Wirtschaft und Betreiber kritischer Infrastrukturen müssten sich fragen, „wie vertrauenswürdig das BSI dann noch für sie sein kann, wenn alle hochsensiblen und unternehmensgefährdenden Informationen weitergegeben werden.“
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Mehr Befugnisse II: Automatisierte Datenanalyse
Verfassungsschutz und BND sollen außerdem personenbezogene Daten automatisiert auswerten dürfen. Diese Befugnis zur „qualifizierten Auswertung“ erachten die Gutachter als schwerwiegenden Grundrechtseingriff, der nur unzureichend reglementiert sei.
Die GFF kritisiert, dass die Datenanalyse weder auf rechtmäßig erhobene Daten beschränkt sei, noch seien besonders sensible Daten von der Analyse ausgenommen. Ebenso sei die Palette der vorgesehenen Analysemethoden überaus breit und ermöglichten es dem Verfassungsschutz etwa, Personenprofile zu erstellen. Für Datenanalysen der Polizei sehe das Bundesverfassungsgericht die vergleichsweise hohe Eingriffsschwelle einer konkretisierten Gefahr für ein besonders gewichtiges Rechtsgut vor. Den Einsatz von KI habe das Bundesverfassungsgericht im Gefahrenvorfeld sogar explizit ausgeschlossen. Die GFF bezweifelt daher, dass derart weitreichende Datenanalysen verfassungsrechtlich zulässig sind.
Besonders kritisch sehen die Fachleute die Neuerung, wonach KI-Systeme künftig autonom operative Maßnahmen auslösen, also etwa automatisch sogenannte Hackbacks einleiten und durchführen können sollen. „Ein Zwischenschritt menschlicher Bearbeitung leistet hier keine relevante Qualitätssicherung, verzögert aber Abwehr erfolgsgefährdend“, begründet das BMI diese Befugnis im Gesetzentwurf.
Schantz hält es für „unverantwortlich“, die Frage der Attribution, also die Zuweisung eines Angriffs zu einem Täter, an ein autonomes System zu delegieren. Auch die GFF fordert, dass solche Entscheidungen ohne menschliche Mitwirkung rechtlich auszuschließen sind. „Solche Interventionen können erhebliche Konsequenzen haben“, warnt die Bundesdatenschutzbeauftragte. „All dies birgt diverse verfassungsrechtliche Risiken.“
Gegen Ausweiskontrollen im Netz.
Wir kämpfen für ein offenes Internet. Mit deiner Unterstützung.
Mehr Befugnisse III: Zugriff auf Videoüberwachung
Dass BND und BfV private und öffentliche Videoüberwachungssysteme mitnutzen dürfen sollen, bewerten die Gutachten ebenfalls als unverhältnismäßig, verfassungsrechtlich höchst bedenklich und als Schritt hin zu einer lückenlosen Überwachung des öffentlichen Raums.
Wenn der Verfassungsschutz in Echtzeit Kameras an Bahnhöfen oder in Einkaufszentren anzapfen darf, könne er damit den öffentlichen Raum weitgehend überwachen, so die GFF. Das aber sei „auch unter Berücksichtigung der vorgesehenen Eingriffsschwelle der erheblich beobachtungsbedürftigen Bedrohung unverhältnismäßig.“
Auch für den BND seien hier die Eingriffsvoraussetzungen ausgesprochen niedrig, warnt Peter Schantz. Der Gesetzentwurf „erlaubt potentiell den Zugriff auf jede Kamera im öffentlichen Raum (auch private Kameras in Autos, Drohnen oder Handys) und erfasst damit zwangsläufig eine Vielzahl unbeteiligter Personen in verschiedensten Situationen, z. B. Versammlungen“.
Sowohl Schantz als auch die BfDI kritisieren, dass für den Zugriff auf Videoüberwachungsanlagen keine Vorabkontrolle durch den Unabhängigen Kontrollrat vorgesehen ist.
Mehr Befugnisse IV: Biometrischer Datenabgleich
Dem Verfassungsschutz soll es außerdem erlaubt sein, in großem Umfang biometrische Abgleiche vorzunehmen und dafür auch Daten aus dem Internet zu nutzen.
Mit einer solchen „Datenerhebungs-Generalklausel“ würden massenhaft Daten völlig unbeteiligter Menschen abgeglichen, kritisiert die GFF. Die NGO verweist auf das sogenannte Flächendeckungsverbot, das das Bundesverfassungsgericht im Jahr 2018 für die Kennzeichenerfassung gefordert hat. Es soll verhindern, „dass der Staat ohne hinreichenden Anlass den gesamten öffentlichen Raum nach potenziellen Treffern durchsucht“, so die GFF. Einen solchen Schutz brauche es auch im digitalen Raum.
Auch der BND soll biometrische Abgleiche im Internet durchführen dürfen. Peter Schantz kritisiert, dass es sich dabei „um eine neuartige Befugnis mit erheblicher Streubreite“ handle, für die „zu niedrige Eingriffsschwellen und keine ausreichende Vorabkontrolle“ vorgesehen seien.
Sowohl GFF als auch Schantz kritisieren, dass die Dienste künftig auf kommerzielle Gesichtersuchmaschinen wie etwa Pimeyes oder Clearview zurückgreifen könnten. Das stehe im Widerspruch zu deutschem und europäischem Recht. Der BND dürfe gesetzlichen Vorgaben nicht durch Outsourcing umgehen, so Schantz.
Weniger Kontrolle durch die Black Box
Die Kontrolle des BND und des Verfassungsschutzes soll verschlankt und beim Unabhängigen Kontrollrat (UKRat) gebündelt werden. Auch diese Umstrukturierung sehen die Fachleute negativ, weil dies die Aufsicht über die beiden Dienste schwäche und die öffentliche Transparenz einschränke.
So kritisiert die BfDI, dass die vorgesehenen Kontrollmöglichkeiten nicht mit den erweiterten Zuständigkeiten der Dienste Schritt halten könne. Dem UKRat fehle das Personal und die Fachkenntnis, um komplexe Maßnahmen wie KI-basierte Datenanalysen, Staatstrojaner oder Hackbacks wirksam zu prüfen. Eine rein juristische Kontrolle reiche hier nicht aus, betonen GFF und Peter Schantz. Ohnehin sei zu befürchten, „dass schon aus Kapazitätsgründen keine angemessene Kontrolle in allen Anwendungsfällen gewährleistet werden kann“, so die GFF.
Auf breite Kritik trifft auch die Entscheidung, dass die Bundesdatenschutzbeauftragte bei der Kontrolle der operativen Tätigkeit des BND und des BfV künftig außen vor bleiben soll. Damit werde die unabhängige Aufsicht über die Dienste nachhaltig geschwächt, schreibt die GFF. „Dies gilt insbesondere für die Kontrolle technischer Datenverarbeitungen und Schutzmaßnahmen im digitalen Bereich.“
Darüber hinaus befürchten die Fachleute, dass es künftig weniger Transparenz gibt. Denn laut Gesetzentwurf soll ein öffentlicher Bericht des UKRat erstmals für den Zeitraum 2028 bis 2030 erscheinen – im Jahr 2031 und damit fünf Jahre nach der geplanten Geheimdienstreform. Außerdem können Aufsichtsbehörden Berichte ganz oder teilweise untersagen, wie die BfDI schreibt. Damit droht eine weitere Abschottung der Dienste und ihrer Kontrolleure von der Öffentlichkeit.
Das geplante Gesetz schaffe „einen erheblichen Überwachungsdruck für die Gesellschaft in Deutschland“, mahnt die Bundesdatenschutzbeauftragte. „Nur durch einen öffentlichen Bericht können Bürgerinnen und Bürger nachvollziehen, dass die Dienste einer Kontrolle unterliegen, selbst wenn diese ansonsten eher unsichtbar bleibt. Für die Legitimität nachrichtendienstlichen Handelns ist dies essentiell.“
Die bis zum Stichtag am 14. Juli eingegangenen Stellungnahmen hat das BMI bis heute nicht veröffentlicht. Auf Anfrage von netzpolitik.org erklärte das Ministerium: „Nach Abschluss der Klärung des Einverständnisses der Verbände ist eine Veröffentlichung der Beiträge geplant, zu denen dieses Einverständnis abgegeben wurde.“ Dafür braucht das Ministerium nun bereits ebenso lang, wie die Verbände und Behörden für die Erstellung ihrer fachlichen Einschätzungen.
Schreibe eine Ergänzung!