Die Cybersicherheit im Bund hat seit dem 12. August 2026 ein amtliches Zeugnis, und es liest sich wie die Beurteilung eines Auszubildenden, den man leider nicht kündigen kann. Der Bundesrechnungshof hat dem Haushaltsausschuss auf 31 Seiten aufgeschrieben, wie die Bundesregierung ihre eigene IT schützt. Kurzfassung: Sie weiß es nicht. Dafür weiß sie jetzt, wie ein Pirol klingt.

Auf dem Bericht steht, eine Veröffentlichung sei nicht zulässig. netzpolitik.org hat ihn trotzdem veröffentlicht, und man versteht nach der Lektüre, warum der Bund ihn lieber im Schrank gelassen hätte.

Ich betreue die IT einer Gemeinde. Ich lese solche Berichte mit einer Mischung aus Schadenfreude und Sodbrennen, weil ich weiß, wer am Ende die Formulare ausfüllt.

Was die Bereichsausnahme der Schuldenbremse mit IT-Sicherheit zu tun haben sollte

Erst die Fakten. Artikel 115 Absatz 2 Grundgesetz erlaubt dem Bund, bestimmte Ausgaben an der Schuldenregel vorbei über Kredite zu finanzieren, soweit sie zusammen ein Prozent des Bruttoinlandsprodukts übersteigen. Dazu gehören Verteidigung, Zivilschutz, Nachrichtendienste, Hilfe für angegriffene Staaten und der Schutz informationstechnischer Systeme. Der Haushaltsausschuss hat im November 2025 verlangt, dass der Bund damit seine IT-Sicherheit stärkt, zentral gesteuert vom Bundesministerium für Digitales und Staatsmodernisierung (BMDS).

In den Haushalten 2025 und 2026 stehen laut Bericht 4,5 Milliarden Euro in dieser Kategorie. Jede Titelgruppe trägt einen Vermerk, dass daraus nur Ausgaben für den Schutz informationstechnischer Systeme bezahlt werden dürfen. Für 2027 soll der Betrag von 2,8 auf 3,9 Milliarden Euro steigen.

Kriterien dafür, was „Schutz informationstechnischer Systeme” eigentlich ist, gibt es nicht. Das Finanzministerium hat das Risiko erkannt, es schriftlich festgehalten und dann beschlossen, lieber nichts zu definieren, weil jede Definition anfechtbar wäre. Das muss man sich als Admin einmal gönnen: eine Firewall-Regel nicht schreiben, weil sie falsch sein könnte.

1,2 Milliarden Euro, und die Vogelstimmen-App ist kein Ausrutscher

Der Rechnungshof hat fünf Titel der Forschungsförderung geprüft, zusammen mehr als 1,2 Milliarden Euro in zwei Jahren. Ergebnis: Keine der 68 zugehörigen Förderrichtlinien nennt den Schutz informationstechnischer Systeme als vorrangigen Zweck. Fünf davon schließen IT-Sicherheit als Forschungsgegenstand ausdrücklich aus. Das ist gut ein Viertel der gesamten Kategorie (eigene Rechnung: 1,2 von 4,5 Milliarden sind 26,7 Prozent).

Allein 2025 flossen aus diesen Titeln mehr als 600 Millionen Euro ab. Gefördert wurden Rechenzeit, KI-Methoden und Robotik. Einzelne Projekte entwickelten eine App zur Erkennung von Vogelstimmen, Verfahren zur Füllstandsmessung von Wertstoffcontainern und Röntgenstrahlquellen.

Ich habe nichts gegen Vögel. Ich habe auch nichts gegen volle Altglascontainer, die sich rechtzeitig melden. Nur schützt beides keinen Domänencontroller. Der Rechnungshof betont, dass die Beispiele keine herausgepickten Einzelfälle sind, sondern das Muster. Er spricht von verfassungs- und haushaltsrechtlichen Verstößen und einer höheren Nettokreditaufnahme, als die Schuldenregel erlaubt.

Dass kreditfinanzierte Sondertöpfe in Berlin ein Eigenleben entwickeln, kennen Leser dieses Blogs schon vom Sondervermögen, von dem bei den Kommunen rund 12 Prozent ankommen.

Die andere Hälfte des Befunds ist fast noch schöner. Von 105 Haushaltskapiteln mit IT-Ausgaben haben 64 keinen einzigen Euro für IT-Sicherheit in der Bereichsausnahme veranschlagt. Die einen buchen also Vogelkunde als Cyberabwehr, die anderen betreiben IT und melden für deren Schutz nichts an.

Die Gegenposition: Souveränität ist auch irgendwie Sicherheit

Fairerweise: Die Bundesregierung sieht das anders, und ihr Argument ist nicht völlig abwegig. Das Forschungsministerium erklärt, Schutz dürfe nicht auf operative Sicherheitsmaßnahmen verengt werden. Wer IT schützen wolle, müsse die gesamte Architektur im Sinne technologischer Souveränität beherrschen, von der Physik bis zur Anwendung. Die Gesetzesmaterialien zur Grundgesetzänderung definierten den Begriff zudem nicht näher.

Der Rechnungshof gibt ihr sogar ein Stück recht: Forschung kann dem Schutz dienen. Dann muss es aber im Förderzweck stehen. Wer alles, was einen Stecker hat, pauschal zur Cybersicherheit erklärt, hat keine Ausnahme mehr, sondern einen zweiten Haushalt. Der Linken-Haushälter Sascha H. Wagner nennt das gegenüber netzpolitik.org „neue Tricks, um alle möglichen IT-Ausgaben an der Schuldenbremse vorbeizuschmuggeln”. Ich hätte es unfreundlicher formuliert.

BSI-Kontrollen in der Bundesverwaltung: einmal pro Generation

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) darf seit Dezember 2021 die Sicherheit der Kommunikationstechnik des Bundes kontrollieren. Geplant war eine Standardrevision vor Ort bei allen Einrichtungen im Drei-Jahres-Rhythmus. Tatsächlich hat das BSI in den Jahren 2024 und 2025 zusammen 15 Einrichtungen geprüft. Für 2026 sind zehn weitere vorgesehen.

Bei mindestens 200 zu prüfenden Einrichtungen kommt der Rechnungshof auf rund 20 Jahre für einen Durchgang. Das ist noch freundlich gerechnet: Mit dem bisherigen Tempo von 7,5 Kontrollen pro Jahr wären es knapp 27 Jahre (eigene Rechnung: 200 geteilt durch 7,5). Und seit Dezember 2025 gilt die Kontrollbefugnis für alle Einrichtungen der Bundesverwaltung, die Liste ist also länger geworden.

Das BMDS antwortet, dem BSI fehle das Personal. Der Rechnungshof erinnert daran, dass das BSI über mehr als 1.700 Stellen verfügt und selbst entscheidet, wo es sie einsetzt. Ich kenne Gemeinden, die mit einer halben Stelle mehr Server anfassen.

Selbstauskunft statt Audit: das IS-Controlling, das seit 2022 kommt

Ein Informationssicherheitscontrolling, kurz IS-Controlling, soll dem Bund mit Kennzahlen zeigen, wie sicher seine IT tatsächlich ist. Der Haushaltsausschuss hat es im November 2022 gefordert. Zugesagt war es zuerst bis 2025. Jetzt soll bis Ende 2026 eine Grundversion stehen und 2027 ein erster belastbarer Bericht. Immerhin gibt es schon 18 Kennzahlen. Daten dazu gibt es nicht.

Woher sollen sie kommen? Aus einer jährlichen Basisdatenerhebung, also einem Fragebogen, den jede Behörde über sich selbst ausfüllt. Das BMDS nennt das eine „optimale Balance von Datenqualität und Aufwand”. Der Rechnungshof nennt es ein verzerrtes Bild: zehn Kontrollen vor Ort stehen weit über 200 Selbstauskünften gegenüber. Er empfiehlt unabhängige Auditoren. Das BMDS will den wesentlichen Empfehlungen nicht folgen.

Verbindliche Nachweise müssen die Einrichtungen des Bundes dem BSI übrigens erst zum 6. Dezember 2030 vorlegen. Auch die sollen als Selbstauskunft kommen. Ein Verfahren dafür hat das BSI laut Bericht bisher weder konzipiert noch erprobt.

Wer hier regelmäßig mitliest, erkennt das Muster. Der Bund weiß nicht, welche Software er überhaupt einsetzt, er weiß nicht, was seine Deutschland-App kostet, und jetzt weiß er auch nicht, wie sicher das Ganze ist. Aber er fragt nach. Bei sich selbst.

Was das für die IT-Sicherheit in Kommunen bedeutet

Hier endet der Bericht und beginnt meine Bewertung.

Derselbe Staat verpflichtet seit dem 5. Dezember 2025 rund 29.500 Unternehmen und Organisationen zu verbindlichen Sicherheitsmaßnahmen, mit Meldepflichten und Sanktionen. Für sich selbst plant er Fragebögen und eine Frist bis 2030. Die Kommunen hat er gleich ganz ausgenommen, was ich in Null von 421 für Hessen aufgeschrieben habe: 421 Gemeinden, kein gesetzlicher Mindeststandard.

Wohin das führt, war im August in Berlin zu besichtigen, als Angreifer 5,79 Terabyte aus zwei Senatsverwaltungen zogen und die Daten anschließend im Darknet landeten. Ich wüsste gern, was in der Selbstauskunft dieser Häuser gestanden hätte. Vermutlich „weitgehend umgesetzt”.

Und während oben Milliarden für Sicherheit in Robotik und Vogelkunde fließen, erklären Verbände und Ministerien den Rathäusern, wie wichtig Resilienz sei, verbindlich bitte nur für die anderen. In Hessen sitzt die Zuständigkeit dafür in drei Häusern gleichzeitig. Die Debatte der Saison dreht sich derweil um Hackbacks. Zurückschlagen will man also. Nachsehen, ob die eigene Tür zu ist, dauert noch bis 2030.

Für Admins und Verwaltungsleitungen steckt trotzdem etwas Brauchbares im Bericht, nämlich seine Methode. Der Rechnungshof hat nicht gefragt, ob die Ressorts sich für sicher halten. Er hat in Förderrichtlinien und Haushaltstitel geschaut. Das können Sie im Kleinen auch:

• Nehmen Sie Ihren letzten Sicherheits-Fragebogen, egal von wem, und lassen Sie drei Antworten von jemandem prüfen, der sie nicht selbst gegeben hat.
• Sehen Sie nach, was in Ihrem Haushalt unter IT-Sicherheit verbucht ist und was davon tatsächlich ein System schützt.
• Fragen Sie Ihren Dienstleister nicht, ob die Datensicherung läuft. Lassen Sie eine Datei zurückspielen.

Fazit

Der Bund hat sich eine Ausnahme von der Schuldenbremse ins Grundgesetz geschrieben, um seine IT zu schützen, und dann nicht festgelegt, was Schutz ist. Er hat eine Kontrollbehörde mit über 1.700 Stellen, die 15 Einrichtungen in zwei Jahren schafft. Und er will die Lücke mit Fragebögen schließen, deren Verfahren noch niemand entworfen hat. Das alles steht nicht in einem Oppositionspapier, sondern in einem Bericht seines eigenen Rechnungshofs, dessen Empfehlungen das zuständige Ministerium überwiegend ablehnt.

Der Haushalt 2027 wird gerade beraten. Wenn Sie einen Abgeordneten im Haushaltsausschuss kennen oder in dessen Wahlkreis wohnen, schicken Sie ihm die Seiten 13 und 24 des Berichts und fragen Sie, wofür die 3,9 Milliarden diesmal gedacht sind. Und prüfen Sie diese Woche eine einzige Ihrer eigenen Selbstauskünfte nach.

Der Pirol ist übrigens zuverlässig zu erkennen. Immerhin etwas.

Quellen:

• Bundesrechnungshof, Bericht nach § 88 Abs. 2 BHO „Cybersicherheit – Effektiver Ressourceneinsatz durch bessere Steuerung”, Gz. VII 4 – 0000583-5 (12.08.2026), veröffentlicht von netzpolitik.org;
• netzpolitik.org, Esther Menhard: „Digitalminister macht IT-Sicherheit per Vogelstimmen-App” (08.10.2026)

Die private Handynummer des BND-Vize Dag Baehr steht im Internet, zusammen mit E-Mail-Adresse und Wohnanschrift. Die Daten stammen aus dem Hack eines amerikanischen Online-Auktionshauses im Jahr 2020, bei dem die Angreifer Daten von mehr als drei Millionen Kunden veröffentlichten. Das haben WDR und Süddeutsche Zeitung recherchiert.

So weit, so alltäglich. Datenlecks passieren, auch Generälen. Der Teil, bei dem mir der Kaffee aus der Hand gefallen ist, kommt danach: Die Nummer ist bis heute aktiv. Golem bringt es in der Überschrift auf den Punkt: Der Mann hat die geleakte Nummer einfach weiter genutzt.

Ich betreue die IT einer Gemeinde. Bei uns gibt es für so etwas eine Unterweisung und einen ernsten Blick. Beim Auslandsnachrichtendienst gibt es dafür offenbar den Posten des Vizepräsidenten.

Was beim Datenleck des Auktionshauses 2020 passiert ist

Erst die Fakten, dann der Spott. Das Auktionshaus gibt an, die Betroffenen damals per E-Mail über das Leck informiert zu haben. Baehr war 2020 noch nicht beim BND. Er kam im September 2023, davor war er unter anderem Kommandeur des KSK und in der Führung des Kommandos Strategische Aufklärung.

Gegenüber WDR und SZ erklärte Baehr, er nutze die Nummer ausschließlich privat. Dem stehen Militärangehörige und Beamte gegenüber, die den Reportern sagten, sie hätten von ihm nur diese eine Nummer, ohne privat mit ihm zu tun zu haben.

Er ist nicht allein. Laut der Recherche sind mehrere europäische Geheimdienstchefs von solchen Datenpannen betroffen, darunter der Chef des niederländischen Militärgeheimdienstes MIVD.

Strategische Aufklärung, nur eben nicht in eigener Sache

Jetzt die Bewertung. Ein Mann, der in der Führung eines Kommandos mit dem Namen „Strategische Aufklärung“ saß, lässt sechs Jahre lang eine Nummer in Betrieb, die jeder mit Suchmaschine und Geduld finden kann. Aufklärung ist offenbar etwas, das man bei anderen betreibt.

Was er bei dem Auktionshaus ersteigern wollte, ist nicht überliefert und geht mich nichts an. Ich hoffe nur, es war den Preis wert. Bezahlt hat er am Ende mit Anschrift, Mailadresse und Telefonnummer, und die Quittung hängt seit 2020 öffentlich aus.

Auf der Leitungsseite des BND steht Baehr als „Vizepräsident und Dienstältester Offizier“. Dienstältester. Man möchte ergänzen: mit der dienstältesten Handynummer des Hauses.

Private Handynummer, dienstlich bekannt: die Sache mit „ausschließlich privat“

„Ausschließlich privat“ ist ein schöner Satz. Er hält genau so lange, bis Offiziere und Beamte erzählen, dass sie keine andere Nummer von ihm kennen. Entweder pflegt der Vizepräsident ein ungewöhnlich großes privates Umfeld in Uniform, oder die Trennung zwischen privat und dienstlich ist beim BND ähnlich stabil wie in jedem Rathaus, in dem der Chef „schnell mal per WhatsApp“ erreichbar sein will.

Und selbst wenn es stimmt: Eine private Nummer ist für einen Angreifer kein Trostpreis. Sie ist der Hauptgewinn. Am privaten Gerät hängen Familie, Messenger, Standort, Gewohnheiten.

Warum eine Telefonnummer für Spionage reicht

Mit Mailadresse und Telefonnummer lassen sich laut der Recherche Aufenthaltsorte und Hobbys nachvollziehen, im schlechtesten Fall auch Geheimes. Russische Dienste gelten als geübt in genau diesen Methoden. Dazu braucht es keinen Zero-Day. Es reicht eine Nummer, die in Messengern registriert ist, ein Profilbild, ein „zuletzt online“ und jemand in Moskau mit einer Excel-Tabelle.

Der Mann, dessen Behörde uns erklärt, wie gefährlich hybride Bedrohungen sind, liefert dem Gegner also die Stammdaten frei Haus. Ich nenne das Bürgernähe. Nur eben gegenüber den falschen Bürgern.

Fairerweise: Was für Baehr spricht

Baehr ist hier zunächst Opfer. Gehackt wurde ein Auktionshaus, nicht er. 2020 war er nicht beim BND, und niemand wechselt gern eine Nummer, die seit Jahren in jedem Adressbuch steht. Dass gleich mehrere europäische Geheimdienstchefs betroffen sind, spricht außerdem für ein Systemproblem und gegen die Geschichte vom einzelnen Schussel.

Nur trägt das nicht weit. Spätestens mit dem Wechsel in die BND-Spitze 2023 hätte jemand fragen müssen, welche Daten des neuen Vizepräsidenten schon draußen sind. Das ist keine Raketenwissenschaft, das ist ein Leak-Check und eine neue SIM-Karte. Wenn eine Sicherheitsüberprüfung so etwas nicht findet oder findet und liegen lässt, dann ist das Problem größer als ein Mann und sein Telefon. Ob man das Vorsatz oder Irrsinn nennt, überlasse ich Ihnen. Ich schwanke noch.

OPSEC in der Verwaltung: Was Kommunen daraus mitnehmen

Lachen Sie nicht zu laut. In fast jeder Verwaltung, die ich kenne, läuft dasselbe Muster, nur ohne Geheimdienst. Die private Nummer der Bürgermeisterin steht im Vereinsverteiler, der Amtsleiter registriert sich mit der Dienstadresse bei einem Onlineshop, und der Admin hat seit 2014 dieselbe Mobilnummer im Notfallplan, im Impressum eines alten Projekts und in drei geleakten Kundendatenbanken.

Was ich in der Praxis für sinnvoll halte:

• Dienstliche Mailadressen der Führungsebene und der Admins regelmäßig gegen bekannte Leaks prüfen, etwa mit dem Identity Leak Checker des HPI oder Have I Been Pwned.
• Dienstadressen nie für private Konten verwenden, und das schriftlich regeln, nicht nur beim Kaffee.
• Wer in exponierter Funktion ist und in einem Leak mit Nummer und Anschrift auftaucht, bekommt eine neue Nummer. Das kostet einen Nachmittag.
• Dienstliche Kommunikation läuft über dienstliche Geräte. Wenn es keine gibt, ist das die eigentliche Baustelle.

Nichts davon ist teuer. Es scheitert in der Regel daran, dass es unbequem ist und niemand dem Chef sagen will, dass er seine Nummer wechseln muss. Beim BND anscheinend auch.

Fazit

Ein Datenleck von 2020 ist kein Skandal. Sechs Jahre danach mit denselben Daten an der Spitze eines Nachrichtendienstes zu sitzen, ist einer. Die Behörde, die von uns allen Wachsamkeit verlangt, hat bei ihrem eigenen Vizepräsidenten nicht nachgesehen oder nicht gehandelt.

Prüfen Sie heute Ihre eigene Dienstadresse in einem Leak-Checker, und danach die Ihrer Verwaltungsspitze. Das dauert zehn Minuten. Damit sind Sie dem BND dann sechs Jahre voraus.

Am 21. September 2026 hat noyb zwei interne Ratsdokumente zum Digital Omnibus veröffentlicht, die zuvor von Politico berichtet worden waren: den überarbeiteten Kompromisstext der irischen Ratspräsidentschaft sowie Formulierungsvorschläge der deutschen Bundesregierung. Beide Texte tragen den Vermerk „LIMITE“, sind also eigentlich nicht für die Öffentlichkeit bestimmt. Zusammen zeigen sie, wie weit die DSGVO-Reform inzwischen geht: KI-Training mit personenbezogenen Daten soll per Gesetz als berechtigtes Interesse gelten, ohne Einwilligung und ohne Abwägung im Einzelfall.

Wenn Sie in einer Verwaltung arbeiten, bei einem Dienstleister oder einfach ein Konto bei Meta haben, betrifft Sie das. Ich habe die Dokumente gelesen und mit der Berichterstattung verglichen. Was mich dabei am meisten beschäftigt hat, ist ein Detail, das mit dem Digital Omnibus auf den ersten Blick nichts zu tun hat. Dazu am Ende.

Was der Digital Omnibus ist und warum er die DSGVO-Reform bringt

Der Daten-Omnibus ist Teil einer größeren Vereinfachungs- und Deregulierungsagenda der EU-Kommission. Nachdem unter anderem bereits Umweltberichtspflichten gekappt und KI-Regeln aufgeweicht wurden, ist jetzt die Datenschutzgrundverordnung dran. Der Kommissionsvorschlag stammt vom 19. November 2025. Das Sammelgesetz soll zwar unter anderem auch mehrere Daten-Nutzungs-Gesetze der EU bündeln und Meldewege für Datenpannen vereinheitlichen, was weitgehend unumstritten ist. Der Omnibus soll allerdings auch erstmals weitgehende Änderungen an der DSGVO vornehmen.

Das sollte man sich merken, bevor man sich aufregt: Ein Großteil des Pakets ist technische Bereinigung, und manches davon ist sinnvoll. Der Streit dreht sich um wenige Artikel in einem Dokument von 158 Seiten. In so einem Umfang lässt sich viel verstecken.

Die Kommission hat den Omnibus als Paket kleiner Vereinfachungen verkauft, bei dem das Schutzniveau für Europäer erhalten bleibe. Deshalb wurde ein beschleunigtes Verfahren gewählt, ohne Grundrechtsprüfung und ohne direkte Einbindung der europäischen Datenschutz-Expertengruppe. Das Verfahren passt nicht zum Inhalt. Wer die Rechtsgrundlage für eine ganze Technologie neu schreibt, macht keine Detailkorrektur.

Artikel 88bis: KI-Training mit personenbezogenen Daten als berechtigtes Interesse

Im Zentrum steht ein neuer Artikel, der im Kommissionsvorschlag als Artikel 88c firmiert und im Ratstext nun als Artikel 88 bis geführt wird. Er soll regeln, auf welcher Rechtsgrundlage personenbezogene Daten „im Kontext der Entwicklung und des Betriebs“ von KI-Systemen und KI-Modellen verarbeitet werden dürfen.

Der Text der irischen Präsidentschaft (Ratsdokument 12535/26) formuliert, dass diese Verarbeitung auf das berechtigte Interesse nach Artikel 6 Absatz 1 lit. f DSGVO gestützt werden kann. Eine Abwägung mit den Grundrechten der Betroffenen bleibt im Text grundsätzlich vorgesehen, ebenso ein Verweis darauf, dass die Verantwortlichen weiterhin eine passende Rechtsgrundlage nach Artikel 6 wählen müssen.

Der Artikel war schon einmal weg. Die Kommission hatte ihn im November vorgeschlagen, Zypern hatte ihn während der Ratspräsidentschaft in der ersten Jahreshälfte gestrichen, jetzt ist er wieder da. Zurückgeholt hat ihn Irland, und Irland ist der EU-Sitz der meisten amerikanischen und chinesischen KI-Konzerne. Das muss kein Zusammenhang sein. Ein Zufall, den man einfach übergeht, ist es aber auch nicht.

Im selben Text stecken zwei weitere Änderungen, die weniger Aufmerksamkeit bekommen. Bei der Definition personenbezogener Daten in Artikel 4 soll ergänzt werden, dass Informationen über eine Person nicht für jede andere Stelle personenbezogen sind, nur weil irgendeine Stelle die Person identifizieren könnte. Ob Daten personenbezogen sind, hinge dann von der jeweiligen Stelle und deren Mitteln ab. Und Artikel 12 Absatz 5 soll erlauben, Betroffenenanfragen abzulehnen, wenn jemand seine Rechte für andere Zwecke als den Schutz seiner Daten missbraucht. Wer entscheidet, ob eine Anfrage missbräuchlich ist? Das Unternehmen, das die Anfrage bekommt.

Die deutschen Formulierungsvorschläge: Was das Digitalministerium zusätzlich will

Jetzt zum deutschen Papier, Ratsdokument WK 11020/2026 ADD 4 vom 17. August 2026. LobbyControl zählt die Bundesregierung zu den treibenden Kräften hinter dem Vorhaben, weil sie den Entwurf der Ratspräsidentschaft mit einem eigenen Vorschlag unterstützt. Eine zentrale Rolle spielen dabei das zuständige Digitalministerium unter Karsten Wildberger sowie das Bundesinnenministerium.

Das deutsche Papier geht an mehreren Stellen über den Kompromisstext hinaus. Der zentrale Satz, den Deutschland in Absatz 1 einfügen will: Die Verarbeitung personenbezogener Daten für Training und technischen Betrieb eines KI-Systems oder KI-Modells soll als berechtigtes Interesse vermutet werden. Aus der Möglichkeit, sich auf ein berechtigtes Interesse zu stützen, würde damit eine gesetzliche Vermutung. Zugleich streicht der deutsche Vorschlag in diesem Absatz die Einschränkungen „where appropriate“ sowie den Verweis auf nationale Gesetze, die eine Einwilligung verlangen.

Der Unterschied zwischen „kann“ und „wird vermutet“ ist kein Wortklauberei. Bisher muss ein Unternehmen im Einzelfall abwägen, ob sein Interesse die Grundrechte der Betroffenen überwiegt. Diese Abwägung kann für KI-Training positiv ausgehen, das bestreitet niemand. Aber sie muss stattfinden, und sie ist angreifbar. Eine gesetzliche Vermutung dreht die Beweislast um. Nicht mehr das Unternehmen muss begründen, warum es Ihre Daten nutzen darf. Sie müssten darlegen, warum in Ihrem Fall die Vermutung nicht greift.

Es geht weiter. Eine zweite Vermutung betrifft die Zweckbindung: Daten, die ursprünglich zu ganz anderen Zwecken erhoben wurden, gälten für KI-Training also im Regelfall als zweckkompatibel. Wer vor zehn Jahren einem Onlineshop seine Adresse gegeben hat, dessen Daten wären damit für ein Sprachmodell „kompatibel“. Und dann Absatz 6: Die Pflichten und Rechte aus den Artikeln 14 und 16 bis 18 sollen nicht gelten, wenn die Einhaltung unmöglich ist oder einen unverhältnismäßigen Aufwand bedeuten würde. Betroffen wären damit die Informationspflicht bei nicht direkt erhobenen Daten (Artikel 14), das Recht auf Berichtigung (Artikel 16), das Recht auf Löschung (Artikel 17) und das Recht auf Einschränkung der Verarbeitung (Artikel 18). Als Ersatz sollen Unternehmen vor dem Training öffentlich bekanntgeben, dass Daten genutzt werden. Wer die Bekanntmachung verpasst, hat Pech gehabt.

Auffällig ist außerdem, was Deutschland streichen will: Im Schutzklausel-Absatz 4 entfällt die von der Präsidentschaft vorgesehene Liste an Garantien, darunter die Datenminimierung bei der Quellenauswahl und ausdrücklich das unbedingte Widerspruchsrecht der Betroffenen. Die Iren hatten diese Garantien immerhin vorgesehen. Berlin hält sie für verzichtbar.

Fairerweise: Der deutsche Text enthält auch Einschränkungen zugunsten der Betroffenen. Die Vermutung soll nicht gelten, wenn die Verarbeitung gezielt auf bestimmte Personen gerichtet ist, wenn ein System zur Identifizierung, Überwachung oder Bewertung von Personen ausgelegt ist oder wenn es der synthetischen Erzeugung von Stimme, Bild oder anderen persönlichen Merkmalen einer bestimmten Person dient. Ausdrücklich ausgenommen ist zudem die Verarbeitung durch Behörden. Das sind sinnvolle Grenzen. Für den Normalfall, also das Training großer Modelle auf allem, was irgendwo gespeichert ist, gilt der Freifahrtschein trotzdem.

Wildberger verbirgt seine Linie nicht. Beim EU-Telekommunikationsrat im Juni ging es ihm laut Ministerium darum, wie man Daten besser nutzen könne, auch für KI-Training, und wie man die Wettbewerbsfähigkeit stärke. Man werde sich einbringen, das Ambitionsniveau hochzuhalten. Auf der Digitalministerkonferenz im Mai hatte er den Datenschutz als eines der Hindernisse benannt, die dem Einsatz von KI-Sprachmodellen in der Verwaltung im Weg stünden. Ganz oben auf der Liste: der Datenschutz.

Kritik von noyb und den Aufsichtsbehörden: „digitale Enteignung“

Max Schrems, Vorsitzender von noyb, widerspricht vehement: „Der Vorschlag macht klar, dass die Interessen von KI-Konzernen gegenüber dem Grundrecht auf Datenschutz zukünftig vorgezogen sollen.“ Das sei „nichts anderes als die digitale Enteignung der Europäer“.

Mich überzeugt weniger die Vokabel als der strukturelle Einwand dahinter. Die DSGVO erlaubt Verarbeitungen für bestimmte Zwecke. Der vorgeschlagene Artikel 88bis (früher: 88c) legitimiere jegliche Art von Künstlicher Intelligenz an sich, unabhängig davon, für welchen Zweck man sie einsetze. „Der Artikel könnte damit auch beispielsweise Training und Nutzung von KI für Manipulation, Desinformation oder Killer-Drohnen erlauben – und damit weit über die bisher legale Nutzung hinausgehen.“ Ein Beispiel aus dem Alltag: Personalisierte Werbung ohne Einwilligung ist in der EU derzeit illegal. Wird die Werbung mit KI personalisiert, wäre sie plötzlich legal. Gleiche Handlung, anderes Werkzeug, anderes Recht.

Das zweite Argument von noyb ist industriepolitisch, und das halte ich für das stärkste. Die meisten EU-Unternehmen haben weder Zugang zu vergleichbaren Datenmengen noch das Kapital, um mit US-Konzernen zu konkurrieren. In vielen Fällen könnte das auch bedeuten, dass Daten, die von EU-Unternehmen gesammelt, aber auf Plattformen oder Diensten in den USA verarbeitet werden, an Anbieter in den USA oder China abfließen. Wer die Daten schon hat, gewinnt. Und wer die Daten schon hat, sitzt nicht in Nordhessen.

Die Kritik kommt nicht nur von Aktivisten. Kritik an der Neudefinition personenbezogener Daten kommt auch vom Europäischen Datenschutzausschuss und vom Europäischen Datenschutzbeauftragten. Beide hatten in einer gemeinsamen Stellungnahme erhebliche Bedenken angemeldet, weil das Schutzniveau sinken könnte. EDPB-Vorsitzende Anu Talus forderte die beiden gesetzgebenden Organe nachdrücklich auf, die vorgeschlagenen Änderungen der Definition personenbezogener Daten nicht anzunehmen, da sie den Schutz personenbezogener Daten erheblich schwächen könnten. Dieselben Behörden begrüßen einige Vorschläge, die zu tatsächlichen Vereinfachungen führen, etwa eine Anhebung des Risikoschwellenwerts, ab dem eine Datenschutzverletzung der zuständigen Datenschutzbehörde gemeldet werden muss. Das ist also keine Fundamentalopposition. Es ist Kritik an genau den Punkten, die Berlin noch verschärfen will.

Was die Betroffenen selbst wollen, hat noyb gemessen: Nur 7 Prozent der deutschen Meta-Nutzer stimmen einer Nutzung ihrer Daten für KI-Training zu.

Die Gegenposition: Rechtssicherheit für europäische KI-Anbieter

Die Befürworter nur als Handlanger der Lobby darzustellen, wäre zu einfach. Ihre Argumente sollten Sie kennen, auch wenn ich sie am Ende nicht teile.

Die EU-Kommission begründet den Digital Omnibus damit, Unternehmen, Verwaltungen und Bürger rasch zu entlasten und die Wettbewerbsfähigkeit zu stärken. Aus Sicht der Kommission handelt es sich bei einem Großteil der Änderungen um Klarstellungen, die das Schutzniveau nicht absenken. Der Bitkom etwa fordert „gezielte und verhältnismäßige Anpassungen“, die praktische Reibungen im bestehenden Rechtsrahmen adressieren, ohne Grundrechte oder Schutzstandards zu schwächen. Branchenverbände verweisen darauf, dass europäische Anbieter derzeit im Unklaren darüber sind, auf welcher Rechtsgrundlage sie Modelle trainieren dürfen, während außereuropäische Wettbewerber ihre Modelle anderswo trainieren.

Auch aus der Anwaltschaft gab es zum Kommissionsvorschlag gelassene Stimmen. Auf LTO hieß es im November 2025, in der gelebten Datenschutzpraxis würde sich durch Artikel 88c erst recht nichts ändern, weil die Abwägungspflicht bestehen bleibe.

Das Argument mit der Rechtsunsicherheit ist berechtigt. Es gilt aber nur für die Fassung der Kommission und der Ratspräsidentschaft, denn die lassen die Abwägung stehen. Das deutsche Papier tut das nicht. Es ersetzt die Abwägung durch eine Vermutung und streicht das Widerspruchsrecht aus der Schutzklausel. Wer heute noch sagt, in der Praxis ändere sich nichts, hat den deutschen Vorschlag nicht gelesen. Der ist vom August, die LTO-Einschätzung vom November davor.

Bleibt die Behauptung, europäische Anbieter profitierten. Ein Mittelständler aus Kassel hat keine zwanzig Jahre Nutzerdaten im Archiv. Meta hat sie. Die Vermutungsregel macht aus diesem Archiv einen Rohstoff, und der liegt fast vollständig bei den Konzernen, von denen Europa angeblich unabhängiger werden will.

Die KI-Lobby in Brüssel: Wer den Text mitgeschrieben hat

Dass die Tech-Konzerne das Ergebnis vorgezeichnet haben, ist keine Vermutung mehr. Corporate Europe Observatory und LobbyControl haben in einer Analyse Big Techs Fingerabdrücke auf den Digital-Omnibus-Vorschlägen nachgezeichnet und dazu die Kommissionsvorschläge mit den Lobbypositionen von Big Tech und seinen Verbänden verglichen. Artikel für Artikel.

Google, Meta, Microsoft, Amazon und Apple zählen in Brüssel zu den mächtigsten Konzernen. Aktuell geben die Tech-Konzerne in Brüssel mehr als 39,5 Mio. € pro Jahr für Lobbyarbeit aus. Die rechtliche Anerkennung des Trainings von KI-Modellen mit personenbezogenen Daten als „berechtigtes Interesse“ ist eine zentrale Forderung der Tech-Lobby in Deutschland und Europa. Die Bundesregierung geht mit ihrer Vermutungsregel sogar noch einen Schritt weiter, als die Lobby gefordert hat.

Felix Duffy von LobbyControl benennt den Widerspruch: Von den Plänen würden vor allem die großen US-Tech-Konzerne profitieren. Anstatt Vorteile für europäische Unternehmen zu verschaffen, untergräbt die Bundesregierung damit ihr selbst gesetztes Ziel, unabhängiger von Big Tech und den USA zu werden.

Informationsfreiheitsgesetz-Reform: Berechtigtes Interesse, nur andersherum

Jetzt zu dem Detail, das mich nicht loslässt.

Am 2. Juli 2026 beschloss der Koalitionsausschuss der Bundesregierung, das Informationsfreiheitsgesetz (IFG) erheblich zu ändern. Zivilgesellschaft und Journalisten bekämen damit deutlich schwerer Zugang zu amtlichen Informationen über das, was Regierung und Behörden tun. Im Abschlusspapier heißt es: „Wir wollen die Auskunftsrechte künftig auf natürliche Personen fokussieren, die ein berechtigtes Interesse an einer Auskunft haben und diese nicht durch andere Regelungen erreichen können“. Weiterhin werde geprüft, ob der Kreis der betreffenden Personen auf in Deutschland lebende Deutsche und Unionsbürger beschränkt wird.

Lesen Sie den Satz noch einmal. Berechtigtes Interesse.

Ein KI-Konzern, der die Daten von Millionen Menschen ohne deren Wissen in ein Modell kippt, soll das berechtigte Interesse per Gesetz vermutet bekommen. Ein Bürger, der wissen will, was sein eigenes Innenministerium in seinem Namen tut, soll das berechtigte Interesse künftig nachweisen müssen. Derselbe Rechtsbegriff, entgegengesetzte Richtung. Für Konzerne die Vermutung, für Bürger die Hürde.

Das IFG gewährt seit 2006 einen voraussetzungslosen Anspruch auf Informationen der Behörden des Bundes, unabhängig davon, ob der Fragende ein besonderes Interesse nachweisen kann. Genau das würde umgekehrt. Wenn künftig nur noch Privatpersonen frageberechtigt seien, blieben Organisationen wie die Deutsche Umwelthilfe, Amnesty International und FragDenStaat außen vor, sagt Arne Semsrott von FragDenStaat. Die Recherchen zur gescheiterten Pkw-Maut und zur Maskenaffäre wären ohne IFG-Anfragen möglicherweise nie publik geworden.

Dass es um mehr geht als Bürokratieabbau, zeigt ein Vermerk aus dem Bundesinnenministerium. Der Vermerk stammt bereits aus dem Februar 2026, also von lange vor dem Koalitionsbeschluss, und benennt ein Ziel, das im öffentlichen „Bürokratieabbau“-Vokabular nicht vorkommt: Über FragDenStaat sollen künftig „keine Anfragen nach dem IFG an Bundesbehörden gestellt werden können“. Das Mittel dazu ist eine Identifizierungspflicht. Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider warnte vor einer „Abschaffung der seit zwanzig Jahren bestehenden Informationsfreiheit“. Selbst in der SPD-Fraktion regt sich Widerstand: Der zuständige Berichterstatter Johannes Schätzl bezeichnete das Vorhaben als „De-facto-Abschaffung des Informationsfreiheitsgesetzes“.

Es ist dasselbe Haus. Das Bundesinnenministerium schreibt den Gesetzentwurf zum IFG-Umbau und steht laut LobbyControl zugleich hinter dem deutschen Vorstoß beim Digital Omnibus. Weniger Kontrolle über den Staat, weniger Kontrolle über die eigenen Daten, beides unter dem Etikett „Vereinfachung“.

Was der Digital Omnibus für Kommunen und Verwaltungs-IT bedeutet

Ich schreibe hier als jemand, der Datenschutz in einer Kommunalverwaltung umsetzt und nicht nur darüber liest. Die DSGVO ist im Alltag unbequem. Sie kostet Zeit, zwingt zu Dokumentation, macht Projekte langsamer. Ich verstehe jeden, der sich Vereinfachungen wünscht, und einige im Omnibus sind welche. Artikel 88bis ist keine.

Für die Verwaltungs-IT hat die Sache eine praktische Seite, die in der Debatte kaum vorkommt. Behörden selbst sind im deutschen Vorschlag ausgenommen. Die Daten, die Behörden über ihre Bürger halten, liegen aber zunehmend bei Dienstleistern: in Cloud-Diensten, in Fachverfahren mit KI-Funktionen, bei Anbietern, die ihre Modelle mit dem trainieren, was sie verarbeiten. Auftragsverarbeiter sind keine Behörden. Wenn für sie das berechtigte Interesse vermutet wird und die Zweckbindung als kompatibel gilt, dann ist die Frage, ob Melderegister, Bauakten oder Sozialdaten in Trainingssets landen, keine juristische mehr, sondern eine technische.

Was ich daraus ziehe: Prüfen Sie Ihre Auftragsverarbeitungsverträge daraufhin, ob sie die Nutzung von Daten für Modelltraining ausdrücklich ausschließen. „Verarbeitung nur nach Weisung“ reicht nach geltendem Recht. Ob es nach einer Vermutungsregel noch reicht, weiß ich nicht, und ein Vertrag, der das Training explizit verbietet, ist in jedem Fall die sicherere Seite.

Der Omnibus ist außerdem ein weiteres Argument für On-Premises-Lösungen und europäische Anbieter. Nicht aus Prinzip, sondern weil sich die Rechtslage gerade unter den Füßen wegdreht. Was auf eigenen Servern liegt, landet in keinem fremden Trainingsset.

Und dann die Frage, ob das Ganze überhaupt hält. Offen ist auch, ob eine Regelung dieser Art vor dem Europäischen Gerichtshof Bestand hätte. Der EuGH hat in der Vergangenheit Eingriffe in das Grundrecht auf Datenschutz mehrfach gekippt, etwa bei der Vorratsdatenspeicherung und bei der Übermittlung von EU-Daten in die USA. Wer seine KI-Projekte auf Artikel 88bis aufbaut, baut auf Sand. Für Verwaltungen, die in Zehnjahreszyklen beschaffen, ist das kein theoretisches Risiko.

Wie es weitergeht: Zeitplan und Verfahrensstand

Der Kompromisstext der Präsidentschaft ist ein Verhandlungsdokument, die deutschen Anmerkungen sind Formulierungsvorschläge einer Delegation. Ob und in welcher Fassung Artikel 88 bis in die allgemeine Ausrichtung des Rates gelangt, ist offen. Der Digital Omnibus muss am Ende von Rat und EU-Parlament beschlossen werden, ein Abschluss gilt frühestens für Anfang 2027 als realistisch. Die Position des Parlaments ist noch offen: Teile der Europäischen Volkspartei unterstützen eine weitreichende Vereinfachung, während Abgeordnete der Mitte-links-Fraktionen sowie Teile der rechten Fraktionen dagegenhalten.

Beim IFG ist der Zeitplan enger. Den Gesetzentwurf schreiben soll das Bundesinnenministerium unter Alexander Dobrindt. Verabschiedet werden soll die Änderung von den Fraktionen von Union und SPD bis Ende 2026.

Beides ist also noch nicht entschieden. Und beim IFG hat öffentlicher Druck schon einmal gewirkt. Der Aufschrei über die geleakten Pläne der schwarz-roten Koalitionäre, das IFG abzuschaffen, war groß. Union und SPD nahmen daraufhin Abstand von dem Vorhaben. Das war 2025. Ein Jahr später versuchen sie es erneut, im Windschatten eines Reformpakets.

Fazit

Der Digital Omnibus ist im Kern keine Vereinfachung, sondern ein Tausch: Rechtssicherheit für KI-Konzerne gegen die Zweckbindung, also gegen das Prinzip, das seit den 1980er-Jahren den europäischen Datenschutz trägt. Der Ratstext lässt die Abwägung immerhin stehen. Der deutsche Vorschlag ersetzt sie durch eine Vermutung, streicht das Widerspruchsrecht und setzt Betroffenenrechte aus, sobald ihre Einhaltung aufwendig wird. Und dieselbe Regierung will Bürgern das Auskunftsrecht gegenüber dem Staat nur noch bei nachgewiesenem berechtigtem Interesse gewähren. Man muss beides nebeneinanderlegen, um zu sehen, was hier passiert.

Stand: 4. September 2026. Die Auktion im Darknet läuft heute aus. Sollte sich bis zum Abend noch etwas ändern, wird dieser Beitrag aktualisiert. Falls das Berliner Landesnetz das erlaubt.

Es gibt Nachrichten, die überraschen. Und es gibt Nachrichten, bei denen man nur den Kalender aufschlägt und nachsieht, ob die Prognose von 2019 wirklich sieben Jahre gebraucht hat, um sich zu erfüllen. Der Cyberangriff auf das Berliner Landesnetz gehört in die zweite Kategorie. Der Tagesspiegel hat es in seinem Kommentar vom 19. August schön auf den Punkt gebracht: Überraschend sei am erfolgreichen Angriff nur eines, nämlich dass er erst jetzt gelungen ist.

Ich bin IT-Dienstleister für eine Gemeinde mit ein paar tausend Einwohnern. Wenn ich mir ansehe, was in Berlin passiert ist, dann sehe ich keinen hochkomplexen Nation-State-Angriff mit Zero-Days, den man beim besten Willen nicht hätte verhindern können. Ich sehe eine Verwaltung, die mit einem Haushalt jenseits der 40 Milliarden Euro Dinge falsch macht, für die ich in einer Gemeinde mit einem Bruchteil davon zu Recht rausgeworfen würde.

Aber der Reihe nach. Erst die Fakten, dann die Wut.

Was passiert ist (der nüchterne Teil)

7. bis 12. August 2026: Angreifer ziehen über rund eine Woche hinweg nach eigenen Angaben 5,79 Terabyte Daten aus zwei Berliner Senatsverwaltungen ab: der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Fünf Tage. Ohne dass jemandem etwas auffällt.

14. August 2026: Das IT-Dienstleistungszentrum Berlin (ITDZ) stellt im Rahmen forensischer Untersuchungen eine „Inkriminierung des Landesnetzes“ fest. Beide Häuser werden vom Landesnetz getrennt. Die Mitarbeiter arbeiten fortan mit Telefon und Papierakte. Wohngeld kann weder beantragt noch ausgezahlt werden.

19. August 2026: Der Regierende Bürgermeister Kai Wegner erklärt, der Vorfall „war ernst und ist ernst“. Nach aktuellem Kenntnisstand seien aber keine sensiblen Daten abgeflossen. Senatssprecherin Christine Richter präzisiert: Es handle sich um Daten, die über Open Data ohnehin frei zugänglich gewesen seien.

Ende August 2026: Der Kenntnisstand ändert sich. Es könne nicht ausgeschlossen werden, dass personenbezogene oder andere nicht öffentliche Daten abgeflossen sind.

28. August 2026: Die Ransomware-Gruppe Rhysida bekennt sich zur Tat und stellt die Daten auf ihrer Leak-Seite zur Auktion. Mindestgebot: 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Frist: Freitag, 4. September. Nach Darstellung der Gruppe enthält der Datensatz unter anderem 46.500 Verträge, 80.000 Verfahren zu Ordnungswidrigkeiten, rund 6.000 Dateien mit Login-Daten sowie Unterlagen zu Kritischer Infrastruktur, Notfallplänen und Justizangelegenheiten. Berlin erklärt, es lasse sich nicht erpressen. Das ist übrigens die einzige Entscheidung in dieser Geschichte, die ich uneingeschränkt richtig finde.

31. August 2026: Der Tagesspiegel veröffentlicht eine Auswertung der bereits einsehbaren Datenfragmente. Darunter befindet sich eine Datei mit dem Namen „Passwort.docx“. Sie ist eine von mehreren Office-Dateien, in denen Zugangsdaten von Mitarbeitern im Klartext abgelegt waren. Eines der Passwörter: „Sonnenschein13“.

1. September 2026: Der Senat bestätigt auf einer Pressekonferenz erstmals, dass Passwörter für Fachverfahren abgeflossen sind. Alle 12.000 Systeme des Landes würden nun „rund um die Uhr“ überprüft. Der Homeoffice-Zugang für beide Verwaltungen wird zum zweiten Mal gekappt, nachdem er eine Woche zuvor wieder freigegeben worden war. Alle Landesbehörden erhalten die Anweisung, Passwörter zu ändern und „vorsorglich verschärfte Passwortregeln“ anzuwenden.

Der genaue Angriffsvektor ist offiziell nicht bestätigt. Der rbb berichtet, Ausgangspunkt sei eine Schwachstelle in der IT der Senatsbauverwaltung gewesen, also in Infrastruktur, die das Land seit 2018 zum ITDZ migrieren will. Ob Phishing, eine ungepatchte Appliance oder etwas anderes am Anfang stand, ist Stand heute Spekulation. Ich lasse das so stehen.

Die Kommunikation: von „Open Data“ zu „Passwort.docx“ in zwölf Tagen

Man muss sich den Ablauf noch einmal langsam vorsagen. Erst: Es sind nur frei verfügbare Geodaten weg. Dann: Naja, personenbezogene Daten können wir nicht ausschließen. Dann: Okay, Passwörter. Im Klartext. In Word.

Ich möchte niemandem Böswilligkeit unterstellen. Vermutlich wusste der Senat am 19. August tatsächlich nicht, was abgeflossen war. Aber genau das ist das Problem. Wenn eine Verwaltung nach fünf Tagen Datenabfluss und weiteren fünf Tagen Forensik nicht sagen kann, welche Daten überhaupt auf den betroffenen Systemen lagen, dann fehlt nicht nur die Sicherheit. Dann fehlt das Inventar. Dann weiß niemand, was wo liegt. Und wer nicht weiß, was er hat, kann es auch nicht schützen.

Dass die Erpresser dem Senat den Inhalt seines eigenen Datenbestands erklären mussten, ist die vermutlich treffendste Zusammenfassung des Berliner IT-Zustands, die man sich ausdenken kann.

Das Einmaleins, das offenbar niemand gelesen hat

Ich unterrichte keine Informatik. Ich betreue Windows-Domänen, Server und Netzwerke für eine Gemeinde. Was ich dabei gelernt habe, passt auf einen Bierdeckel, und es ist nichts, was man nicht auch in jedem BSI-Grundschutz-Baustein nachlesen könnte.

1. Zentralisieren (mit Ausfallsicherheit)

Berlin hat ein zentrales IT-Dienstleistungszentrum. Das ITDZ ist BSI-zertifiziert, betreibt seit 2022 ein Security Operations Center und hat den aktuellen Angriff überhaupt erst entdeckt. Man hat also das Werkzeug. Man hat es nur nicht benutzt.

Denn die beiden betroffenen Senatsverwaltungen wurden nie zum ITDZ migriert. Sie betrieben ihre IT in eigener Verantwortung, in einer Sicherheitsarchitektur, die sie selbst nicht überblickten. Laut Tagesspiegel sind nach wie vor rund zwei Drittel aller Senatsverwaltungen und Landesbehörden selbst für ihre IT-Sicherheit zuständig. Auf parlamentarische Anfragen hat der Senat wiederholt darauf verwiesen, dass es Aufgabe der jeweiligen Senats- oder Bezirksverwaltung sei, Hard- und Software in eigener Zuständigkeit aktuell zu halten. Ein zentrales Controlling darüber ist nicht vorgesehen. Die eigene IT-Landschaft beschreibt der Senat in einer Antwort auf eine Schriftliche Anfrage als „eher heterogen“.

„Eher heterogen“ ist die verwaltungsdeutsche Übersetzung von „jeder macht, was er will, und keiner weiß, was der andere macht“.

Man stelle sich einen Konzern mit 100.000 Mitarbeitern vor, in dem zwei Drittel der Abteilungen ihre eigenen Server unter dem Schreibtisch betreiben und der zentrale IT-Betrieb per Anfrage erfahren muss, ob dort eigentlich gepatcht wird. Kein Vorstand würde das eine Woche überleben. In Berlin ist es seit 2018 der offizielle Migrationsplan, mit Zielhorizont in den 2030er Jahren.

Und damit mich niemand falsch versteht: Zentralisierung ohne Redundanz ist nur ein größerer Single Point of Failure. Georedundanz, getestete Wiederanlaufpläne, offline gelagerte Backups. Das gehört dazu. Aber es ist kein Argument gegen Zentralisierung. Es ist ein Argument dafür, sie richtig zu machen.

2. Standardisieren

Wenn jede Behörde ihre eigene IT betreibt, dann hat jede Behörde ihre eigene Passwortrichtlinie. Oder keine. Der Senat hat am 1. September „vorsorglich verschärfte Passwortregeln“ angeordnet. Für alle Behörden. Landesweit. Per Anweisung des Chief Digital Officers.

Das klingt nach einer Maßnahme. Es ist aber ein Eingeständnis: Bis zum 1. September 2026 gab es offenbar keine landesweit verbindliche und technisch durchgesetzte Passwortrichtlinie, die „Sonnenschein13“ verhindert hätte. In einer Active-Directory-Umgebung ist das eine Gruppenrichtlinie. Eine. Man klickt sie an, und sie gilt für alle. Dazu Multi-Faktor-Authentifizierung für jeden externen Zugang, ein Passwortmanager als Standardwerkzeug und die schlichte Regel, dass Zugangsdaten nicht in Office-Dateien gehören. Das ist keine Raketenwissenschaft. Das ist der erste Tag der Ausbildung.

Ich habe in Fuldatal keinen Chief Digital Officer. Ich habe eine Gruppenrichtlinie.

3. Automatisieren

5,79 Terabyte. Über fünf Tage. Das sind im Schnitt rund 13 Gigabyte pro Stunde, die das Haus verlassen haben, rund um die Uhr, auch nachts, auch am Wochenende. Wer auf ausgehenden Verkehr auch nur rudimentär schaut, sieht das. Nicht, weil er ein KI-gestütztes Anomalie-Erkennungssystem für Millionen betreibt, sondern weil ein Graph plötzlich eine Wand ist.

Dass es keinen Alarm gab, bedeutet: Es gab nichts, was hätte alarmieren können. Kein Egress-Monitoring, keine Volumenschwellen, keine automatisierte Reaktion. Das ITDZ-SOC erkennt nach eigenen Angaben jährlich Millionen unautorisierter Zugriffsversuche auf das Landesnetz. Nur die Häuser, die nicht am ITDZ hängen, sieht es eben nicht. Das SOC überwachte die Haustür des Rathauses, während im Nebengebäude fünf Tage lang ein Umzugswagen beladen wurde.

Die Chronik der Ankündigung

Das alles wäre halb so ärgerlich, wenn es das erste Mal wäre. Es ist nicht das erste Mal.

2019, Kammergericht. Ein Emotet-Trojaner legt das höchste Berliner Gericht lahm. Totalschaden, monatelang provisorischer Betrieb, 500 Rechner werden ausgetauscht. Der anschließende Forensikbericht liest sich, freundlich formuliert, wie eine Anleitung, was man alles nicht tun sollte. Berlin hatte damit sieben Jahre Vorwarnung.

Juli 2025, Justizverwaltung. Der Senatsverwaltung für Justiz fallen Unstimmigkeiten in einer E-Mail-Korrespondenz auf. Angreifer, die der Spiegel unter Berufung auf Sicherheitskreise der iranischen Gruppe Charming Kitten zuordnet, hatten Zugriff auf Kalender und weitere Daten der Justizsenatorin Felor Badenberg.

August 2026. Siehe oben.

Dazwischen: jedes Jahr ein IT-Sicherheitsbericht des Senats, in dem die Defizite aufgelistet werden. Der Bericht ist unter Verschluss. Man braucht ihn auch nicht. Die taz hat es treffend formuliert: Es gibt ohnehin immer wieder größere und kleinere Pannen, an denen man den Zustand ablesen kann.

Und was hat die Politik daraus gemacht? Im Doppelhaushalt 2026/2027 kürzte die Koalition aus CDU und SPD mehr als 50 Millionen Euro im Digitalisierungsetat. So drastisch, dass die damalige Digitalisierungs-Staatssekretärin öffentlich protestierte, bevor sie nach Potsdam wechselte. Das ITDZ selbst ist derart unterfinanziert, dass laut Berichten Ende 2025 ohne zwei Notkredite weder Gehälter noch Lieferanten hätten bezahlt werden können.

Man hat also den einen Dienstleister, der den Angriff erkannt hat, an den Rand der Zahlungsunfähigkeit gespart, während zwei Drittel der Behörden weiter ihre eigenen Server pflegen. Man nennt das in der Betriebswirtschaft „Fehlallokation“. Ich nenne es etwas anderes, aber das gehört nicht in einen Blog.

Der Blick aus der Provinz

Und jetzt zu dem Teil, der mich wirklich beschäftigt.

Berlin hat einen Landeshaushalt, von dem 98 Prozent der deutschen Kommunen nicht einmal zu träumen wagen. Berlin hat einen eigenen IT-Dienstleister mit BSI-Zertifikat und SOC. Berlin hat einen Chief Digital Officer, einen Landesbevollmächtigten für Informationssicherheit, ein E-Government-Gesetz und einen Digitalisierungsausschuss im Abgeordnetenhaus. Berlin hat Personal, Budget, Strukturen und seit 2019 den handfesten Beweis, was passiert, wenn man sie nicht nutzt.

Und Berlin schafft es trotzdem nicht.

Was heißt das für eine Gemeinde mit 12.000 Einwohnern, einem IT-Budget im fünfstelligen Bereich und einem externen Dienstleister, der einen Nachmittag pro Woche vorbeikommt? Was heißt das für die Verwaltungsgemeinschaft, in der der Kämmerer nebenbei die Firewall administriert, weil er „sich mit Computern auskennt“? Was heißt das für die tausenden Kommunen, in denen der Domänencontroller noch auf Windows Server 2012 läuft, weil das Fachverfahren angeblich nichts anderes unterstützt?

Die ehrliche Antwort: In vielen kleinen Kommunen sieht es nicht schlechter aus als in Berlin. Es sieht genauso aus. Nur mit weniger Terabyte.

Der Unterschied ist: Die kleine Kommune hat eine Ausrede. Sie hat wirklich kein Geld, wirklich kein Personal und wirklich keinen eigenen Dienstleister. Berlin hat all das und hat sich trotzdem entschieden, es nicht zu benutzen. Das ist nicht Unvermögen. Das ist eine Entscheidung. Jedes Jahr aufs Neue, in jedem Haushalt, in jeder verschobenen Migration.

Nur gut, dass NIS-2 nicht für Kommunen gilt

Da fällt mir ein: Die NIS-2-Richtlinie, die in Deutschland mit einiger Verspätung umgesetzt wurde, verpflichtet Betreiber wichtiger und besonders wichtiger Einrichtungen zu Risikomanagement, Meldepflichten, Lieferkettensicherheit und persönlicher Haftung der Geschäftsleitung. Die Kommunalverwaltung wurde vom Bund bewusst ausgeklammert. Ob die Länder ihre Kommunen einbeziehen, bleibt ihnen überlassen. Die meisten haben es bislang nicht getan.

Was für ein Glück. Man stelle sich vor, ein Bürgermeister müsste persönlich dafür geradestehen, dass sein Rathaus Zugangsdaten in einer Datei namens „Passwort.docx“ ablegt. Man stelle sich vor, eine Verwaltung müsste binnen 24 Stunden eine Erstmeldung abgeben, statt fünf Tage lang gar nichts zu bemerken und dann zwölf Tage lang „Open Data“ zu sagen. Man stelle sich vor, jemand müsste nachweisen, dass er ein Konzept zur Aufrechterhaltung des Betriebs hat, bevor 50.000 Haushalte drei Wochen auf ihr Wohngeld warten.

Nein, das wäre für die Verwaltungen wirklich zu viel Bürokratie. Also lieber keine Regeln, keine Pflichten, keine Haftung. Dann kann auch nichts schiefgehen. Fragen Sie in Berlin.

Der eigentliche Punkt ist ernst: Die Angreifer interessiert es nicht, ob eine Verwaltung unter NIS-2 fällt. Rhysida hat in diesem Jahr Stuttgart angegriffen, davor die British Library, davor Krankenhäuser und die Stadt Columbus in Ohio. Die Gruppe sucht sich keine Ziele nach Rechtsrahmen aus, sondern nach Erreichbarkeit. Und eine deutsche Kommunalverwaltung, die ihre Sicherheit selbst in die Hand nimmt, ist erreichbar. Sehr.

Was jetzt eigentlich passieren müsste

Ich mache es kurz, weil es so kurz ist:

1. Betriebsverantwortung für alle sicherheitskritischen Systeme zum ITDZ. Nicht in den 2030er Jahren. Jetzt. Mit einem Fahrplan, der in Monaten und nicht in Legislaturperioden gemessen wird. Und mit einer Finanzierung, die den Dienstleister nicht in die Notkredite treibt.
2. Ein landesweites Identity-Konzept: MFA für jeden Fernzugriff, zentrale Passwortrichtlinien per Gruppenrichtlinie, Passwortmanager als Pflichtwerkzeug, technisch durchgesetzt, nicht per Rundschreiben empfohlen.
3. Egress-Monitoring und Netzsegmentierung. Wer 5,79 Terabyte nicht bemerkt, bemerkt auch 50 Terabyte nicht.
4. Ein Inventar. Welche Daten liegen wo, wer ist verantwortlich, wie kritisch sind sie. Wer das nicht weiß, kann weder schützen noch nach einem Vorfall ehrlich kommunizieren.
5. Den IT-Sicherheitsbericht veröffentlichen. Zumindest in Teilen. Die Angreifer kennen die Schwachstellen ohnehin. Die einzigen, die sie nicht kennen, sind die Bürger, die den Laden bezahlen.

Nichts davon ist neu. Alles davon stand sinngemäß bereits 2019 im Bericht zum Kammergericht. Berlin hat es sieben Jahre lang nicht gelesen.

Schluss

Heute Abend läuft die Auktion aus. Vielleicht veröffentlicht Rhysida die Daten, vielleicht verlängert die Gruppe die Frist, vielleicht findet sich ein Käufer, und wir erfahren nie, was genau in den 5,79 Terabyte steckt. Für die Betroffenen, die Mitarbeiter, deren Passwörter im Netz stehen, die Bürger, deren Bußgeldverfahren und Bauakten möglicherweise bald frei verfügbar sind, macht das keinen Unterschied mehr.

Für alle anderen Verwaltungen in Deutschland ist der Fall eine Vorlage. Nicht, weil Berlin besonders schlecht wäre. Sondern weil Berlin mit allen Mitteln, die man sich wünschen kann, exakt die Fehler gemacht hat, die überall gemacht werden. Der Unterschied zwischen Berlin und der Gemeinde nebenan ist nicht die Qualität der IT-Sicherheit. Es ist die Größe der Datei, die am Ende im Darknet landet.

Wer in seiner Kommune heute eine Datei namens „Passwort.docx“ findet, hat noch die Chance, sie zu löschen, bevor es jemand anderes tut.

Es ist wieder so weit. Wie ein Untoter in einem zweitklassigen Horrorfilm kriecht sie aus ihrem Grab, schüttelt sich den Staub der Verfassungswidrigkeit von den Schultern und grinst uns mit der Zahnlücke des autoritären Wahnsinns an: Die Vorratsdatenspeicherung. Oder wie man sie heute nennt, um die Gerichte nicht direkt zu provozieren: „Verkehrsdatenspeicherung“, „Sicherheits-Backup für Deutschland“ oder vielleicht bald „Digitaler Umarmungsservice des Staates“.

Es ist faszinierend und erschreckend zugleich. Seit nunmehr fast zwei Jahrzehnten versuchen wechselnde Bundesregierungen – egal ob unter Merz, Scholz oder Merkel – uns einzureden, dass das Abendland untergeht, wenn der Staat nicht weiß, wann Sie gestern Abend um 23:14 Uhr bei der anonymen Seelsorge angerufen haben oder ob Sie sich öfter auf Seiten für vegane Hardcore-Strickmuster herumtreiben.

Die Definition von Wahnsinn: Immer das Gleiche tun und ein anderes Ergebnis erwarten

Albert Einstein wird oft der Satz zugeschrieben, dass Wahnsinn darin bestehe, immer wieder das Gleiche zu tun und ein anderes Ergebnis zu erwarten. Wenn das stimmt, dann ist das Bundesinnenministerium die größte geschlossene Abteilung der Republik.

Wir haben es schwarz auf weiß. Mehrfach. Das Bundesverfassungsgericht hat nein gesagt. Der Europäische Gerichtshof hat nein gesagt. Sogar die Realität hat nein gesagt. Aber unsere Politiker sind wie bockige Kleinkinder im Supermarkt, die so lange mit den Fäusten auf den Boden trommeln, bis ihnen jemand die Überwachungstüte kauft. Sie ändern ein paar Kommas, taufen das Kind um und präsentieren uns denselben verfassungsfeindlichen Müll als „neuen, grundrechtskonformen Ansatz“. Spoiler-Alarm: Es ist immer noch anlasslose Massenüberwachung. Es ist immer noch der Generalverdacht gegen 84 Millionen Menschen.

„Ich habe doch nichts zu verbergen“ – Der Satz, der Freiheit tötet

Man hört ihn immer wieder, diesen Klassiker der intellektuellen Kapitulation. Doch wer das sagt, hat das Prinzip der Freiheit nicht verstanden. Privatsphäre ist nicht dazu da, um Verbrechen zu verstecken. Sie ist dazu da, um Individualität zu schützen.

Stellen Sie sich vor, der Staat würde verlangen, dass Sie eine Kamera in Ihrem Schlafzimmer installieren, die nur „im Bedarfsfall“ eingeschaltet wird. Würden Sie das akzeptieren? Wahrscheinlich nicht. Aber bei Ihren digitalen Metadaten zucken Sie mit den Schultern? Dabei verraten diese Metadaten mehr über Sie als jedes Schlafzimmervideo. Wer weiß, wen Sie anrufen, wo Sie sich aufhalten und wem Sie schreiben, der weiß, wer Sie sind. Der Staat baut sich eine digitale Voodoo-Puppe von jedem Bürger, an der er nach Belieben Nadeln ansetzen kann.

Die technische Bankrotterklärung: Ein Netz für Goldfische, während die Haie lachen

Aber kommen wir zum amüsantesten Teil dieser ganzen Farce: Der technischen Sinnlosigkeit. Unsere Sicherheitsbehörden verkaufen uns die VDS als das ultimative Werkzeug gegen Terrorismus und schwere Kriminalität. In Wahrheit ist es ein gigantisches Milliarden-Grab, das genau gar nichts bringt. Warum? Weil jeder, der auch nur einen Funken krimineller Energie und den IT-Sachverstand eines zwölfjährigen Minecraft-Spielers besitzt, diese Überwachung in drei Klicks aushebelt.

VPNs: Der digitale Tarnumhang für Einsteiger
Ein VPN (Virtual Private Network) kostet heute fünf Euro im Monat und lässt sich per App mit einem Klick aktivieren. Was sieht der Provider dann noch? Nichts. Er sieht einen verschlüsselten Brei, der zu einem Server nach Island, Panama oder in die Schweiz fließt. Die Vorratsdatenspeicherung speichert in diesem Fall nur eines: Dass Sie eine verschlüsselte Verbindung haben. Herzlichen Glückwunsch, Herr Innenminister, Sie haben gerade fünf Euro Steuergeld pro Bürger investiert, um heiße Luft zu überwachen.

DNS-over-HTTPS: Wenn das Adressbuch verschlüsselt wird
Bisher konnte der Provider sehen, welche Webseiten Sie aufrufen, weil Ihr Computer brav beim DNS-Server des Providers nach der Adresse gefragt hat. Mit DNS-over-HTTPS (DoH) – einer Funktion, die mittlerweile in fast jedem Browser (Chrome, Firefox, Safari) standardmäßig aktiviert werden kann – wird diese Abfrage verschlüsselt. Der Provider weiß nicht einmal mehr, ob Sie auf bundesregierung.de oder wie-baue- ich-eine-guillotine.org surfen.

SSH-Tunnel und ferne Geräte
Für die etwas Fortgeschritteneren: Ein SSH-Tunnel zu einem günstigen Server im Ausland oder einfach zum Router eines Freundes in einem Land ohne Überwachungsfetisch reicht aus, um die gesamte Kommunikation umzuleiten. Das ist keine Raketenwissenschaft. Das ist Basis-Wissen für jeden Informatik-Studenten im ersten Semester.

Die „Störerhaftung“ und das offene WLAN
Erinnern Sie sich noch an die Panik vor offenen WLANs? Das ist vorbei. Dank der Abschaffung der Störerhaftung kann heute jeder sein WLAN öffnen oder sich in eines einwählen. Wenn ich als Krimineller etwas Unrechtes tun will, setze ich mich mit meinem Tablet in ein Café, nutze deren Freifunk oder das WLAN einer Fast-Food-Kette und lache über die VDS meines Heimanschlusses.

Das Ergebnis: Überwachung der Unschuldigen, Freiheit für die Profis

Was bleibt also übrig, wenn man den ganzen politischen Spin abzieht? Ein System, das ausschließlich die „dummen“ Bürger überwacht. Die Oma, die vergisst, ihr VPN einzuschalten. Den Studenten, der sich nicht für IT-Sicherheit interessiert. Den unbescholtenen Bürger, der nichts Böses ahnt.

Die wirklichen Verbrecher, die Terroristen, die organisierten Banden? Die nutzen Ende-zu-Ende-Verschlüsselung, Tor, VPN-Kaskaden und anonyme SIM-Karten aus dem Ausland. Die lachen sich kaputt über ein Deutschland, das Milliarden in eine Infrastruktur pumpt, die sie nicht einmal im Ansatz tangiert.

Es geht bei der Vorratsdatenspeicherung nicht um Sicherheit. Es ging nie um Sicherheit. Es geht um Kontrolle. Es geht um das Gefühl der Macht, auf Knopfdruck in das Leben jedes Bürgers blicken zu können. Es ist der feuchte Traum jedes Bürokraten, der Ordnung über Freiheit stellt.

Ein zynischer Ausblick

Wir können die Uhr danach stellen: In zwei Jahren wird das aktuelle Vorhaben wieder von einem Gericht einkassiert werden. Dann wird ein Politiker mit betroffener Miene vor die Presse treten und behaupten, man habe nun eine „Sicherheitslücke“, die dringend geschlossen werden müsse. Und dann beginnt das Spiel von vorn.

Wie viele Milliarden wollen wir noch in dieses tote Pferd investieren? Wie oft wollen wir uns noch anhören, dass unsere Grundrechte eigentlich nur „lästige Hindernisse“ bei der Verbrechensbekämpfung sind?

Die Vorratsdatenspeicherung ist das Denkmal einer politischen Klasse, die das Internet nicht versteht, die Freiheit für gefährlich hält und die ihre Bürger für so dumm verkauft, dass sie den Unterschied zwischen „Sicherheit“ und „Totalüberwachung“ nicht bemerken sollen.

Schalten Sie Ihr VPN ein. Verschlüsseln Sie Ihr DNS. Zeigen Sie ihnen, dass Ihre Privatsphäre keine Verhandlungsmasse ist. Denn wenn wir nicht aufhören, diesen Unsinn zu tolerieren, wird der Staat nicht aufhören, uns als Verdächtige zu behandeln.

In diesem Sinne: Fröhliches Überwachtwerden – oder eben auch nicht, wenn man weiß, wie man den „Aus“-Knopf drückt.

Ich habe mir die technischen Details der neuen EU-Altersverifikation angesehen, und mein Urteil könnte nicht vernichtender ausfallen. Um es direkt auf den Punkt zu bringen: Wer auch immer als CTO, CIO oder Datenschutzbeauftragter bei der EU für diese Lösung der Altersverifikation verantwortlich ist, sollte sofort entlassen werden. Es ist mir völlig unbegreiflich, wie man mit einer solchen Selbstsicherheit ein Produkt präsentieren kann, das nicht einmal ansatzweise aktuellen technischen Sicherheitsstandards entspricht. Die simplen „Hacks“, die nur Minuten nach der Veröffentlichung publik wurden, sind kein Zufall – sie sind das Ergebnis einer Architektur, die jedes einzelne Prinzip der eigenen EU-DSGVO ignoriert.

Wo bleiben die Datenminimierung oder die Sicherheit als oberste Direktive? Fehlanzeige. Stattdessen sehen wir einen pureren Dilettantismus, der unter dem Deckmantel des Jugendschutzes auf Hunderte Millionen Bürger losgelassen werden soll. Wir reden hier nicht von einem kleinen Bug in einer Gaming-App. Wir reden von der Infrastruktur, die künftig darüber entscheiden soll, wer in Europa welche Inhalte konsumieren darf. Und diese Infrastruktur ist, gelinde gesagt, konzeptionell kaputt.

In diesem massiven Artikel werde ich dieses Kartenhaus Stein für den Stein abtragen. Wir schauen uns an, wie Paul Moore die App in 120 Sekunden lächerlich gemacht hat, warum der „Digital Omnibus“ die DSGVO von innen heraus auffrisst und wie eine echte, technisch saubere Lösung auf Basis von Passkeys und Zero-Knowledge Proofs (ZKP) aussehen müsste, die Anonymität wirklich ernst nimmt.

I. Der regulatorische Masterplan: Schutz als Vorwand für Kontrolle?

Die Europäische Union hat mit dem Gesetz über digitale Dienste (Digital Services Act, DSA) und der novellierten eIDAS-Verordnung (eIDAS 2.0) einen Rahmen geschaffen, der angeblich die Sicherheit im Netz erhöhen soll. Ein zentrales Element ist dabei die Altersverifikation. Ab 2026 sollen Online-Plattformen verpflichtet werden, den Zugriff auf „schädliche“ Inhalte wie Pornografie, Glücksspiel oder den Erwerb von Alkohol für Minderjährige radikal zu reglementieren.

Das Ende des „Ich bin 18“-Buttons

Bisher reichte oft eine einfache Selbstdeklaration. Die Kommission hat jedoch klargestellt, dass das sogenannte „Tick-Box“-Verfahren rechtlich nicht mehr ausreicht. Die neuen Leitlinien fordern „effektive, robuste und nicht-intrusive“ Methoden. Doch was die EU unter „nicht-intrusiv“ versteht, ist ein schlechter Witz. Am 15. April 2026 präsentierte Kommissionspräsidentin Ursula von der Leyen eine Referenz-App als „technisch bereit“ und „datenschutzfreundlich“.

Diese App fungiert als eine Art „Mini-Wallet“, eine Vorstufe zur umfassenden EUDI-Wallet (EU Digital Identity), die bis Ende 2026 für jeden Mitgliedstaat verpflichtend wird. Das Ziel klingt in der Theorie edel: Nutzer sollen beweisen können, dass sie über 18 sind, ohne ihren Namen oder ihr Geburtsdatum preiszugeben. Doch wie wir gleich sehen werden, ist der Weg dorthin gepflastert mit technischer Inkompetenz.

II. Die Anatomie des Versagens: Der Paul Moore Hack

Es dauerte keine zwei Stunden, nachdem die Kommission den Quellcode der App veröffentlicht hatte, bis der Sicherheitsberater Paul Moore demonstrierte, dass das gesamte Sicherheitskonzept ein schlechter Scherz ist. Wenn von der Leyen von „höchsten Datenschutzstandards“ spricht, während ein Profi das System mit einem einfachen Datei-Explorer aushebelt, dann ist das politischer Selbstmord auf Raten.

Die „Clown-Tier“-Designentscheidungen

Moore identifizierte Schwachstellen, die so basal sind, dass man sich fragen muss, ob die Entwickler jemals ein Buch über Mobile Security gelesen haben.

1. Unsichere lokale Speicherung (PIN-Bypass): Die App speichert die PIN des Nutzers in einer einfachen XML-Datei im Verzeichnis shared_prefs. Diese PIN ist nicht kryptografisch an den Datentresor (Vault) gebunden, in dem die Identitätsnachweise liegen. Moore löschte einfach die Einträge PinEnc und PinIV. Nach einem Neustart akzeptierte die App die Erstellung einer neuen PIN und gewährte vollen Zugriff auf die Identität des ursprünglichen Nutzers.
2. Der Biometrie-Schalter: Ob eine biometrische Authentifizierung (Face ID/Fingerabdruck) nötig ist, wird über ein simples Flag gesteuert: UseBiometricAuth. Moore änderte diesen Wert in der Konfigurationsdatei einfach von „true“ auf „false“. Ergebnis: Die App fragte gar nicht erst nach dem Gesichtsscan. Wer das Handy physisch in der Hand hält, ist der Chef – Jugendschutz adé.
3. Manipulation der Ratenbegrenzung: Um Brute-Force-Angriffe auf die PIN zu verhindern, gibt es einen Zähler. Dieser Zähler wurde jedoch als einfache Ganzzahl in derselben ungeschützten Datei gespeichert. Ein Angreifer kann ihn jederzeit manuell auf Null zurücksetzen und unendlich viele Kombinationen testen.
4. Hardware-Sicherheitsanker ignoriert: Moderne Smartphones besitzen eine „Secure Enclave“ (Apple) oder ein „Trusted Execution Environment“ (Android). Das sind physikalisch isolierte Bereiche für kryptografische Schlüssel. Die EU-App nutzt diese jedoch nicht konsequent, sondern lässt sensible Sicherheits-Flags im regulären, editierbaren Dateisystem liegen. Das ist so, als würde man ein Hochsicherheitsschloss kaufen, den Schlüssel aber unter die Fußmatte legen.

III. Biometrie-Lecks: Wenn der Datenschutz zur Falle wird

Ein besonders brisanter Aspekt der App ist das Onboarding. Nutzer müssen ihren Reisepass via NFC scannen und ein Selfie aufnehmen, um die Echtheit ihrer Daten zu beweisen.

Unverschlüsselte Bilder im Cache

Die technische Analyse offenbarte ein Horrorszenario für Datenschützer:

• Die aus dem NFC-Chip extrahierten hochauflösenden Gesichtsbilder (DG2-Daten) werden als unverschlüsselte PNG-Dateien auf dem Gerät abgelegt.
• Diese Bilder werden nur gelöscht, wenn der Verifizierungsprozess erfolgreich abgeschlossen wurde. Stürzt die App ab oder bricht der Nutzer ab, verbleiben diese sensiblen Biometriedaten ungeschützt auf dem Smartphone.
• Selfies werden teilweise im externen Speicher abgelegt und laut Berichten überhaupt nicht gelöscht.

Gemäß Artikel 9 der DSGVO sind biometrische Daten besonders schutzwürdig. Dass eine offizielle EU-App solche Daten unverschlüsselt im Dateisystem „vergisst“, ist ein massiver Verstoß gegen die eigenen Gesetze. Paul Moore warnte Ursula von der Leyen direkt: Dieses Produkt wird der Katalysator für einen gigantischen Daten-Breach sein.

IV. Das legislative Schlupfloch: Der „Digital Omnibus“

Während die Technik versagt, bereitet die EU im Hintergrund eine gesetzliche Aufweichung vor, die noch viel gefährlicher ist. Das am 19. November 2025 vorgestellte „Digital Omnibus“-Paket wird von Organisationen wie noyb (Max Schrems) und EDRi als massiver Angriff auf die digitalen Grundrechte gewertet.

Die subjektive Identifizierbarkeit

Der Kern der Kritik liegt in einer geplanten Neudefinition von „personenbezogenen Daten“ in Artikel 4(1) der DSGVO. Bisher gilt ein objektiver Maßstab: Daten sind personenbezogen, wenn sie irgendjemand einer natürlichen Person zuordnen kann.

Der neue Vorschlag führt einen subjektiven Ansatz ein: Informationen sollen für eine bestimmte Firma dann nicht als personenbezogen gelten, wenn diese Firma die Person mit vernünftigerweise wahrscheinlichen Mitteln nicht identifizieren kann.

Die Gefahr für die Altersverifikation: Plattformen könnten künftig behaupten: „Wir erhalten von der EU-App nur einen kryptografischen Token. Wir wissen nicht, wer dahintersteckt, also ist das für uns kein personenbezogenes Datum.“ Dass Datenbroker im Hintergrund diese Token längst wieder mit Klarnamen verknüpft haben, würde dann keine Rolle mehr spielen. Dies entzieht den Bürgern ihre Rechte auf Auskunft, Löschung und Widerspruch.

KI-Training als „legitimes Interesse“

Zudem soll das Training von KI-Modellen als „legitimes Interesse“ (Art. 88c) eingestuft werden. Das bedeutet das Ende der Opt-In-Kultur. Firmen könnten Ihre Daten ohne explizite Einwilligung für ihre Algorithmen nutzen. Wir bewegen uns weg vom Schutz der Privatsphäre hin zu einem System, in dem der Mensch nur noch als Datenquelle für die europäische KI-Industrie dient.

V. Der dezentrale Ausweg: Anonymität durch Passkeys und ZKP

Es gibt eine Lösung für das Problem der Altersverifikation, die keine Überwachungsinfrastruktur benötigt. Die Technologie ist bereits in unseren Taschen vorhanden: Passkeys auf Basis von FIDO2/WebAuthn kombiniert mit Zero-Knowledge Proofs (ZKP).

Warum Passkeys die Basis sind

Ein Passkey ist ein kryptografisches Schlüsselpaar, das hardwaregebunden auf dem Gerät erzeugt wird. Der private Schlüssel $K_{priv}$ verlässt die „Secure Enclave“ niemals. Im Gegensatz zu Passwörtern sind Passkeys resistent gegen Phishing und Server-Breaches.

Die Magie der Zero-Knowledge Proofs (ZKP)

Der entscheidende Fehler der EU-App ist die Verknüpfung von Identität und Attestierung. Eine Website braucht nicht zu wissen, wer ich bin, sondern nur, was ich bin (über 18).

Ein anonymes System funktioniert in vier Phasen:

1. Einmaliges Onboarding: Der Nutzer weist sein Alter gegenüber einer vertrauenswürdigen Stelle nach (z.B. staatliches Register). Diese stellt ein kryptografisch signiertes Attest aus, das lokal auf dem Handy gespeichert wird.
2. Anonymer Passkey: Für jede Plattform wird ein einzigartiger, domain-spezifischer Passkey generiert. Dies verhindert, dass verschiedene Webseiten Nutzerprofile verknüpfen können.
3. ZKP-Präsentation: Wenn eine Plattform das Alter anfordert, generiert das Handy einen mathematischen Beweis (ZKP). Die Aussage lautet: „Ich besitze ein gültiges Zertifikat für ‚Alter $\geq$ 18‘, ohne das Geburtsdatum zu verraten.“
4. Double-Blind Prinzip: Weder der Staat noch die Plattform wissen alles. Der Staat weiß, wem er das Attest gab, aber nicht, wo es genutzt wird. Die Plattform weiß, dass der Nutzer über 18 ist, aber nicht, wer er ist.

Vergleich der Modelle

VI. Das Scheitern hat Tradition: Von der ID Wallet zum Führerschein-Chaos

Man sollte meinen, die EU hätte aus den Fehlern der Vergangenheit gelernt. Doch weit gefehlt. Das Scheitern der deutschen „ID Wallet“ im Jahr 2021 war eine Vorwarnung. Auch damals wurde eine blockchain-basierte Lösung mit großer Fanfare (Andreas Scheuer, Dorothee Bär) gelauncht, nur um Tage später wegen Sicherheitsmängeln und mangelnder Skalierbarkeit aus den App-Stores entfernt zu werden.

Die Sicherheitsforscherin Lilith Wittmann sprach damals von einem „Kaiser ohne Kleider“. IT-Experten warnten Monate im Voraus, doch die Politik ignorierte die Realität zugunsten von PR-Terminen kurz vor der Wahl. Heute sehen wir dasselbe Muster auf europäischer Ebene: Man forciert einen Rollout, bevor die Wissenschaft konsolidiert ist und bevor die Sicherheitsarchitektur überhaupt den Namen verdient.

VII. Die Rolle von Big Tech und die Souveränitätslüge

Ein weiteres Problem ist die Abhängigkeit von Google und Apple. Die EUDI-Wallet und die Altersverifikations-App sind auf die Betriebssysteme und App-Stores dieser Giganten angewiesen. Wenn die EU-App Sicherheitsstandards fordert, die nur durch die Integration in die proprietären Hardware-Enklaven von Apple oder Google erreicht werden können, zementiert sie die Marktmacht dieser Unternehmen.

Gleichzeitig positionieren sich Konzerne wie Meta als Unterstützer von Initiativen wie OpenAge, um von den eigentlichen Problemen – ihren schädlichen Algorithmen und der Datenausbeutung – abzulenken. Eine Altersverifikation, die lediglich den Zugang regelt, aber das „Engagement-Mining“ der Plattformen unberührt lässt, bekämpft nur die Symptome, nicht die Ursache der Gefährdung von Minderjährigen.

Fazit: Zeit für digitale Notwehr

Die Altersverifikation in der EU befindet sich in einer Sackgasse aus technischer Inkompetenz und legislativer Übergriffigkeit. Das aktuelle Modell hebelt den Datenschutz aus, indem es einerseits unsichere Apps bereitstellt und andererseits durch den „Digital Omnibus“ rechtliche Schlupflöcher schafft, die die Zweckbindung personenbezogener Daten untergraben.

Wer als Verantwortlicher zulässt, dass biometrische Daten unverschlüsselt in Cache-Ordnern liegen, hat jede Glaubwürdigkeit verloren. Wir brauchen keine staatliche App, die unsere Ausweise scannt. Wir brauchen eine Altersverifikation, die nur ein Merkmal bestätigt, aber niemals eine Identität preisgibt.

Forderungen für einen echten Jugendschutz:

1. Sofortiger Stopp der Referenz-App: Keine produktive Nutzung einer App, die lokale Sicherheitsflags in Textdateien speichert.
2. Hardware-Zwang: Altersnachweise dürfen nur in zertifizierten Hardware-Sicherheitsmodulen (HSM/Secure Enclave) verarbeitet werden.
3. ZKP-Standardisierung: Die EU muss offene kryptografische Standards für Zero-Knowledge Proofs forcieren, statt auf „Gaffa-Tape-Lösungen“ zu setzen.
4. Stopp des Digital Omnibus: Die DSGVO darf nicht für die Interessen der KI-Lobby geopfert werden.

Nur durch eine radikale Abkehr vom jetzigen Modell der „staatlich kontrollierten Identitäts-App“ hin zu einer „nutzerzentrierten Attributs-Kryptografie“ kann der Schutz von Kindern im Netz realisiert werden, ohne das Recht auf Anonymität für uns alle zu opfern.

Hören Sie das? Das ist das schrille Pfeifen der Bundesregierung, die im Wald der digitalen Abhängigkeit laut „Souveränität“ ruft, während sie gleichzeitig die Haustürschlüssel der deutschen Sicherheitsarchitektur an einen US-Milliardär übergibt. Es ist ein lächerliches Schauspiel. Einerseits schwafelt die CDU-geführte Regierung unter Kanzler Friedrich Merz von der „Zeitenwende“ und der Notwendigkeit, sich von autokratischen Systemen und der technologischen Vorherrschaft des Silicon Valley zu emanzipieren. Andererseits rollt man für Palantir den roten Teppich aus – ein Unternehmen, dessen DNA so tief mit dem US-Geheimdienstapparat und der MAGA-Bewegung von Donald Trump verwoben ist, dass man sich fragen muss: Ist das Naivität oder nackter Zynismus?

In diesem Artikel zerlegen wir das Kartenhaus der deutschen Digitalpolitik. Wir blicken hinter die Fassade von Gotham und Foundry und analysieren, warum die Bundesregierung sehenden Auges in die totale Abhängigkeit steuert, während sie den Bürgern das Märchen vom Datenschutz erzählt.

1. Wasser predigen, Wein trinken: Die „Souveränitäts“-Heuchelei der CDU

Es ist fast schon amüsant, wenn man es nicht mit seinen eigenen Steuergeldern bezahlen müsste. Die Union schreit bei jeder Gelegenheit nach europäischer Cloud-Infrastruktur und digitaler Eigenständigkeit. Doch wenn es ernst wird, wenn es um die Innere Sicherheit geht, greift man zum bequemsten Werkzeug im Kasten: Palantir.

Der Widerspruch als Prinzip

Warum baut Deutschland keine eigenen Lösungen? Warum investiert man Milliarden in Aufrüstung, aber lässt die digitale Flanke sperrangelweit offen? Die Antwort ist simpel: Bequemlichkeit schlägt Prinzipien. Man will die Macht des „Data Mining“, ohne die Verantwortung für die Entwicklung zu tragen. Dass man sich damit zum digitalen Vasallen Washingtons macht, wird in Berlin geflissentlich ignoriert.

Digitale Souveränität

Was bedeutet „Digitale Souveränität“ eigentlich noch, wenn die Kernprozesse unserer Polizei und Geheimdienste auf proprietärer Software aus den USA laufen? Es ist ein hohler Begriff, eine Worthülse für Sonntagsreden, während man im Hinterzimmer die Verträge mit Peter Thiels Daten-Krake unterschreibt.

2. Peter Thiel und die MAGA-Connection: Ein „Partner“ zum Fürchten

Reden wir Tacheles: Wer Palantir kauft, kauft nicht nur Software. Er kauft die Ideologie seiner Schöpfer. Peter Thiel, der Mann hinter dem Unternehmen, ist kein neutraler Tech-Genie. Er ist einer der wichtigsten Finanziers der Trump-Bewegung und ein erklärter Skeptiker der Demokratie.

Daten für den „Commander-in-Chief“

In einem Szenario, in dem Donald Trump und seine MAGA-Gefolgschaft das Weiße Haus kontrollieren, ist die Vorstellung, deutsche Geheimdienstdaten lägen auf Systemen eines Thiel-Unternehmens, schlichtweg beängstigend. Glaubt in der Bundesregierung wirklich jemand ernsthaft, dass Palantir im Zweifelsfall den deutschen Datenschutz über die Anforderungen der US-Regierung stellen würde?

Die Rolle von Palantir im US-Apparat

Palantir wurde mit Startkapital von In-Q-Tel, dem Investmentarm der CIA, gegründet. Das Unternehmen ist kein „Partner“ der deutschen Regierung – es ist ein integraler Bestandteil des US-Sicherheitskomplexes. Wer hier von Unabhängigkeit spricht, hat entweder keine Ahnung oder lügt sich schamlos in die eigene Tasche.

3. Der CLOUD Act: Das Ende der Illusion vom deutschen Serverstandort

Ein beliebtes Argument der Palantir-Apologeten in den deutschen Innenministerien ist: „Die Daten liegen doch in Frankfurt!“ Ein schönes Märchen, das leider an der harten Realität des US-Rechts zerschellt.

Zugriff per Gesetz

Der U.S. CLOUD Act erlaubt es US-Behörden, Zugriff auf Daten zu verlangen, die von US-Unternehmen kontrolliert werden – völlig egal, wo auf der Welt der Server steht. Ob die Daten in Berlin, Frankfurt oder auf dem Mond liegen, spielt keine Rolle. Wenn Washington pfeift, muss Palantir liefern.

CLOUD Act

Die Bundesregierung ignoriert diesen Fakt beharrlich. Man versteckt sich hinter juristischen Gutachten, die das Papier nicht wert sind, auf dem sie stehen. Die technologische Realität ist: Software-Updates, Fernwartung und die proprietäre Struktur von Gotham erlauben technisch immer einen Abfluss von Metadaten oder sogar Kerninhalten. Ein „Backdoor per Design“ lässt sich bei geschlossener Software niemals ausschließen.

4. Karlsruhe im Rückspiegel: Warum das Verfassungsgericht ignoriert wird

Wir erinnern uns an das Jahr 2023. Das Bundesverfassungsgericht hat der automatisierten Datenanalyse in Hessen und Hamburg eine schallende Ohrfeige verpasst. Die Richter in Karlsruhe machten klar: Massives Data-Mining ohne konkreten Tatverdacht ist mit dem Grundgesetz nicht vereinbar.

Das Prinzip der informationellen Selbstbestimmung

Doch was macht die Bundesregierung unter Merz? Sie baut „Bundes-VeRA“ (Verfahrensübergreifende Recherche- und Analyseplattform) weiter aus. Man versucht, die Urteile mit kosmetischen Änderungen zu umgehen, während der Kern der Überwachungstechnologie von Palantir unberührt bleibt.

Datenschutz

Datenschutz wird hier zum reinen „Compliance-Check“ degradiert. Man hakt Listen ab, anstatt die Bürgerrechte zu schützen. Dass Palantir darauf spezialisiert ist, disparate Datenquellen zu verknüpfen und Profile zu erstellen, die weit über das hinausgehen, was ein menschlicher Ermittler jemals könnte, wird als „Fortschritt“ verkauft. In Wahrheit ist es der langsame Tod der Privatsphäre.

5. Die „Ontology“-Falle: Warum Vendor Lock-in eine nationale Gefahr ist

Eines der mächtigsten Werkzeuge von Palantir ist die sogenannte „Ontology“. Sie bildet die gesamte operative Welt einer Behörde digital ab. Das klingt effizient, ist aber in Wahrheit die perfekte Fessel.

Einmal Palantir, immer Palantir

Wer seine gesamten Datenstrukturen erst einmal in das proprietäre Format von Palantir überführt hat, kommt dort nie wieder heraus. Ein Wechsel zu einem europäischen Anbieter? Technisch nahezu unmöglich und finanziell ein Desaster.

Datenanalyse

Indem die Bundesregierung Palantir tief in die Infrastruktur von BKA und Landespolizeien einsinken lässt, begeht sie einen strategischen Fehler ersten Ranges. Wir machen uns für Jahrzehnte abhängig von den Preisvorstellungen und der technologischen Gnade eines US-Konzerns. Das ist keine Souveränität, das ist digitale Leibeigenschaft.

6. Die Ignoranz der Bundesregierung: Ein gefährliches Spiel

Es ist schwer zu sagen, was schlimmer ist: Die Ignoranz gegenüber den technischen Risiken oder der Verrat an den eigenen politischen Idealen. Während man in Brüssel über den AI Act streitet und ethische KI fordert, implementiert man zu Hause die mächtigste und intransparenteste Analyse-KI der Welt.

US-Geheimdienste

Die Verstrickung mit US-Geheimdiensten wird in Berlin als „notwendiges Übel“ abgetan. Doch in einer Welt, in der die USA zunehmend isolationistisch agieren und ihre Technologie als politisches Druckmittel einsetzen, ist dieses Vertrauen nicht nur naiv, sondern gefährlich.

Fazit: Zeit für eine digitale Umkehr

Palantir ist kein Segen für die deutsche Sicherheit. Es ist ein Symptom für das Versagen einer politischen Elite, die zu faul ist, eigene Kompetenzen aufzubauen, und zu feige, dem „Partner“ USA die Stirn zu bieten. Die CDU-geführte Bundesregierung opfert unsere digitale Souveränität auf dem Altar einer vermeintlichen Effizienz.

Was jetzt passieren muss:

• Sofortiger Stopp des Ausbaus von Palantir-Systemen auf Bundesebene.
• Investition in Open-Source-Alternativen, die unter europäischer Kontrolle stehen.
• Echte Transparenz über die Datenabflüsse und Zugriffsmöglichkeiten durch den CLOUD Act.

Wir dürfen nicht zulassen, dass unsere Sicherheit zum Geschäftsmodell für US-Milliardäre und zum Spielball der MAGA-Politik wird. Es ist Zeit, dass „Digitale Souveränität“ mehr wird als nur ein billiger Slogan in einem Wahlwerbespot.

Quelle: ec.europa.eu

Die digitale Welt von 2026 ist nicht mehr die von 2019. Wo früher einfache Malware dominierte, stehen heute staatlich gesteuerte Ransomware-Gruppen, KI-gestützte Angriffe und die Bedrohung durch Quantencomputer im Vordergrund. Als Reaktion darauf hat die Europäische Kommission am 20. Januar 2026 den Vorschlag für den Cybersecurity Act 2 (CSA 2) vorgelegt.

Wie es im Vorschlag (COM(2026) 11) heißt:

„The cybersecurity threat landscape has significantly evolved in an increasingly complex geopolitical reality. Cyberattacks have surged and became more sophisticated, targeting critical infrastructure.“ > (Die Bedrohungslandschaft der Cybersicherheit hat sich in einer zunehmend komplexen geopolitischen Realität erheblich weiterentwickelt. Cyberangriffe haben zugenommen und sind anspruchsvoller geworden…)

Dieser Artikel analysiert, warum der CSA 2 weit mehr ist als nur ein Update – er ist das Fundament für die digitale Souveränität Europas.

Die 4 Säulen des Cybersecurity Act 2

Der neue Entwurf zielt darauf ab, die Schwachstellen der ersten Verordnung zu beheben und gleichzeitig neue Schutzwälle hochzuziehen.

1. Ein erweitertes Mandat für die ENISA

Die ENISA (EU-Agentur für Cybersicherheit) wird von einer beratenden Rolle stärker in die operative Verantwortung gerückt. Sie soll nicht mehr nur koordinieren, sondern aktiv bei der Identifizierung kritischer Abhängigkeiten helfen.

2. Reform des Zertifizierungsrahmens (ECCF)

Die bisherige Zertifizierung galt oft als zu träge. Der CSA 2 verspricht eine Straffung. Das Ziel ist klar: Sicherheit „by Design“ muss schneller marktfähig sein, ohne die Qualität zu vernachlässigen. Ein wesentlicher Bestandteil ist hier die Einführung von Peer-Reviews zwischen nationalen Behörden.

3. Sicherheit der IKT-Lieferkette: Kampf gegen Hochrisiko-Anbieter

Dies ist das wohl politischste Element des CSA 2. Der Gesetzgeber erkennt an, dass technische Sicherheit allein nicht ausreicht, wenn die Hardware oder Software aus unsicheren Quellen stammt. Der Text betont:

„There is a need to establish a framework to identify and manage ICT supply chain risks related to high-risk suppliers.“ (Es besteht die Notwendigkeit, einen Rahmen zur Identifizierung und Bewältigung von Risiken in der IKT-Lieferkette im Zusammenhang mit Hochrisiko-Anbietern zu schaffen.)

Unternehmen müssen sich darauf einstellen, dass Anbieter, die unter der Kontrolle von Drittstaaten mit Sicherheitsbedenken stehen, in kritischen Sektoren verboten werden könnten.

4. Harmonisierung und „One-in, One-out“

Um den administrativen Aufwand zu begrenzen, wird der CSA 2 eng mit der NIS2-Richtlinie verzahnt. Zertifizierungen unter dem CSA 2 sollen künftig als direkter Nachweis für die Compliance-Anforderungen der NIS2 dienen.

Vergleich: Was ändert sich konkret?

Warum der CSA 2 für Unternehmen entscheidend ist

Besonders für Betreiber kritischer Anlagen und große IKT-Anbieter bedeutet der CSA 2 einen erhöhten Prüfaufwand. Der Impact Assessment Report (SWD(2026) 11) hebt hervor, dass insbesondere die De-Risking-Strategie von entscheidender Bedeutung ist:

„De-risk critical ICT supply chains from entities established in or controlled by entities from third countries posing cybersecurity concerns.“ (Kritische IKT-Lieferketten von Unternehmen entkoppeln, die in Drittländern mit Sicherheitsbedenken ansässig sind oder von dort kontrolliert werden.)

Erleichterungen für KMU

Gleichzeitig gibt es gute Nachrichten für den Mittelstand. Durch vereinfachte Selbstbewertungen für niedrigere Vertrauensstufen sollen die Kosten für Zertifizierungen gesenkt werden. Die Kommission verfolgt hier den „Digital by Default“-Ansatz, um Prozesse schlanker zu gestalten.

Fazit: Ein notwendiger Schritt für Europa

Der Cybersecurity Act 2 ist die Antwort auf eine Welt, in der Technologie zunehmend als geopolitische Waffe eingesetzt wird. Während der alte CSA den Binnenmarkt ordnete, soll der neue CSA die Union verteidigen. Für Unternehmen bedeutet dies: Die Auswahl der Partner in der IKT-Lieferkette wird künftig genauso wichtig wie die technische Firewall.

Stellen Sie sich vor, Sie verschlüsseln Ihre sensibelsten Geschäftsdaten mit einem digitalen Hochsicherheitsschloss, nur um festzustellen, dass der Hersteller des Schlosses dem FBI heimlich einen Zweitschlüssel ausgehändigt hat. Was wie ein Plot aus einem Cyber-Thriller klingt, wurde im Januar 2026 bittere Realität. Ein aktueller Bericht enthüllte, dass Microsoft im Rahmen strafrechtlicher Ermittlungen BitLocker-Wiederherstellungsschlüssel an US-Behörden übergeben hat.

Dieser Vorfall wirft ein grelles Licht auf eine unbequeme Wahrheit: In der modernen Cloud-Ära ist Ihre Verschlüsselung nur so sicher wie der Ort, an dem der Schlüssel aufbewahrt wird. Für deutsche Unternehmen, die massiv auf Microsoft 365 und Azure setzen, stellt dies nicht nur ein technisches Risiko, sondern ein massives rechtliches Dilemma dar. In diesem Artikel analysieren wir den „Guam-Fall“, die Macht des US-CLOUD-Acts und zeigen Ihnen, wie Sie die Kontrolle über Ihre Datenhoheit zurückgewinnen.

1. Der Guam-Fall: Ein Präzedenzfall für die Cloud-Sicherheit

Anfang 2025 leitete das FBI Ermittlungen wegen eines großangelegten Betrugs mit COVID-19-Hilfsgeldern auf der Insel Guam ein. Im Zuge der Razzien wurden drei Laptops beschlagnahmt. Diese waren mit Microsoft BitLocker geschützt – einer Technologie, die eigentlich als unknackbar gilt, sofern man den Schlüssel nicht besitzt.

Das technische Versagen der Ermittler

Trotz modernster Forensik-Tools bissen sich die Ermittler an der Verschlüsselung die Zähne aus. Eine „Brute-Force“-Attacke auf BitLocker ist bei komplexen Passwörtern praktisch aussichtslos. Doch hier kam der entscheidende Faktor ins Spiel: Die Bequemlichkeit der Cloud-Synchronisation.

Die Cloud als Schwachstelle

Die betroffenen Nutzer hatten ihre Geräte mit ihren privaten oder geschäftlichen Microsoft-Konten verknüpft. Standardmäßig bietet Windows an, den BitLocker-Wiederherstellungsschlüssel automatisch in der Microsoft-Cloud zu sichern. Das FBI nutzte diesen Umstand und zwang Microsoft per Durchsuchungsbeschluss zur Herausgabe dieser Schlüssel.

Das Ergebnis: Microsoft händigte die Schlüssel aus. Das FBI konnte die Laptops ohne weitere Gegenwehr entsperren. Laut Microsoft werden jährlich etwa 20 solcher Anfragen für BitLocker-Keys bearbeitet, doch erst jetzt wurde die Tragweite durch eine öffentliche Dokumentation für die Welt sichtbar.

2. Der CLOUD Act: Der lange Arm der US-Justiz

Um zu verstehen, warum ein US-Unternehmen wie Microsoft Daten herausgeben muss, auch wenn diese vielleicht auf europäischen Servern liegen, muss man den CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 kennen.

Extraterritoriale Reichweite ohne Grenzen

Das wichtigste Merkmal des CLOUD Act ist seine extraterritoriale Wirkung. Er besagt, dass US-Provider verpflichtet sind, Daten herauszugeben, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden – völlig unabhängig davon, wo die Daten physisch gespeichert sind.

• Beispiel: Selbst wenn ein deutsches Unternehmen seine Daten ausschließlich in der Microsoft-Region „Germany West Central“ (Frankfurt) speichert, kann eine US-Behörde Zugriff verlangen, da die Muttergesellschaft Microsoft Corp. ihren Sitz in den USA hat.

Umgehung internationaler Standards

Früher mussten US-Behörden über langwierige Rechtshilfeabkommen (MLAT) gehen, bei denen deutsche Behörden prüfen konnten, ob die Anfrage rechtmäßig ist. Der CLOUD Act hebelt diesen Prozess aus und erlaubt den direkten Zugriff über den Provider.

Die Mauer des Schweigens: Gag Orders

Oftmals sind diese Anordnungen mit sogenannten „Gag Orders“ verbunden. Das bedeutet: Microsoft darf Sie als Kunden nicht einmal darüber informieren, dass Ihre Schlüssel oder Daten gerade an das FBI übergeben wurden. Sie wiegen sich in Sicherheit, während Ihre Verschlüsselung bereits kompromittiert wurde.

3. Die Zwickmühle für deutsche Kunden: DSGVO vs. US-Recht

Für deutsche Unternehmen, die der strengen Datenschutz-Grundverordnung (DSGVO) unterliegen, ist diese Situation brandgefährlich. Wir befinden uns in einer rechtlichen Pattsituation, die oft als „Zwickmühle“ bezeichnet wird.

Das rechtliche Dilemma

1. US-Recht (CLOUD Act): Zwingt US-Unternehmen zur Kooperation bei Vorliegen eines US-Interesses.
2. EU-Recht (DSGVO): Verlangt den Schutz personenbezogener Daten. Die Weitergabe an Behörden eines Drittstaates ohne ein angemessenes Schutzniveau ist grundsätzlich untersagt.

Ein deutsches Unternehmen, das Microsoft-Dienste nutzt, trägt das Risiko, dass Daten ohne richterlichen Beschluss in Deutschland abfließen. Viele Datenschutzbeauftragte werten eine solche Herausgabe allein auf Basis eines US-Warrants als klaren DSGVO-Verstoß mit drohenden Bußgeldern in Millionenhöhe.

Strategisches Risiko: Verlust von Betriebsgeheimnissen

Es geht nicht nur um den Datenschutz. Für den deutschen Mittelstand und die Industrie steht der Schutz von Betriebsgeheimnissen auf dem Spiel. Wenn Schlüssel zentral bei einem Anbieter liegen, der staatlichem Zwang unterliegt, ist Industriespionage oder politisch motivierte Datenabfrage kein theoretisches Szenario mehr, sondern eine reale Bedrohung der Wettbewerbsfähigkeit.

4. Handlungsempfehlungen: So sichern Sie Ihre Datenhoheit

Der Vorfall zeigt: Blindes Vertrauen in Standard-Cloud-Konfigurationen ist riskant. Um sich vor unbefugten Zugriffen durch Drittstaaten zu schützen, sollten Sie folgende Maßnahmen implementieren:

A. Lokale Schlüsselverwaltung (On-Premise Key Management)

Die einfachste und effektivste Methode: Sorgen Sie dafür, dass Microsoft den Schlüssel gar nicht erst besitzt.

• Deaktivieren Sie das automatische Hochladen von BitLocker-Keys in das Microsoft-Konto per Gruppenrichtlinie (GPO).
• Speichern Sie Wiederherstellungsschlüssel lokal auf verschlüsselten USB-Sticks oder in einem dedizierten, internen Key-Management-System (KMS).

B. Double Key Encryption (DKE) und BYOK

Für hochsensible Daten in Microsoft 365 oder Azure sollten Sie auf „Double Key Encryption“ setzen.

• Prinzip: Die Daten werden mit zwei Schlüsseln verschlüsselt. Einen hält Microsoft, den zweiten halten ausschließlich Sie.
• Ohne Ihren privaten Schlüssel kann selbst Microsoft (und damit auch keine US-Behörde) die Daten lesbar machen. Dies wird oft auch als „Bring Your Own Key“ (BYOK) bezeichnet.

C. Wechsel zu souveränen Cloud-Lösungen

Prüfen Sie, ob für besonders kritische Workloads alternative Cloud-Modelle in Frage kommen:

• Souveräne Clouds: Anbieter wie die „T-Systems Sovereign Cloud“ bieten Azure-Dienste an, bei denen die Kontrolle über die Verschlüsselung und den Betrieb strikt von der US-Muttergesellschaft getrennt ist.
• Europäische Alternativen: Nutzen Sie für Backup oder Storage rein europäische Provider (z.B. OVHcloud, Ionos), die keiner US-Jurisdiktion unterliegen.

Fazit: Zeit für ein neues Sicherheitsbewusstsein

Der Fall Microsoft gegen FBI ist ein Weckruf. Er beweist, dass technischer Schutz (Verschlüsselung) wertlos ist, wenn der rechtliche Rahmen (CLOUD Act) Hintertüren erzwingt. Als deutsches Unternehmen oder sicherheitsbewusster Nutzer müssen Sie jetzt handeln.

Prüfen Sie Ihre IT-Infrastruktur: Wo liegen Ihre Schlüssel? Wer hat theoretischen Zugriff darauf? Echte digitale Souveränität erreichen Sie nur, wenn Sie der alleinige Herr über Ihre kryptografischen Schlüssel bleiben.

Disclaimer: Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Bei spezifischen Fragen zur DSGVO-Konformität konsultieren Sie bitte Ihren Datenschutzbeauftragten oder einen spezialisierten Rechtsanwalt.

Einleitung: Brauchen wir ein neues Social Network aus Europa?

In einer Zeit, in der Desinformation, Bot-Armeen und fragwürdige Algorithmen den digitalen Diskurs auf Plattformen wie X (ehemals Twitter) oder Facebook dominieren, sehnen sich viele Nutzer nach einer seriösen Alternative. Hier setzt W Social an. Als ambitioniertes Projekt aus dem Herzen Europas verspricht die Plattform nicht weniger als eine Revolution der sozialen Medien: Ein digitaler Raum, der auf europäischen Werten basiert und die Privatsphäre der Nutzer schützt. Doch kann W Social wirklich gegen die übermächtigen Giganten aus dem Silicon Valley bestehen oder wird es als eine weitere gut gemeinte Randerscheinung enden? In diesem Artikel analysieren wir, was hinter dem Projekt steckt und ob der Wechsel für Sie sinnvoll ist.

1. Was ist W Social? Hintergründe und Vision

W Social (oft kurz nur „W“ genannt) positioniert sich strategisch als die „europäische Antwort“ auf die zunehmende Polarisierung auf US-amerikanischen Plattformen. Es handelt sich um einen Microblogging-Dienst, der den Fokus auf Qualität statt Quantität legt.

Die Köpfe hinter dem Projekt

Ein wesentlicher Faktor für das Vertrauen in eine neue Plattform ist das Team. W Social wurde von Anna Zeiter initiiert. Als ehemalige Datenschutzchefin (CPO) von eBay bringt sie eine Expertise mit, die genau den Nerv der Zeit trifft: Die Verbindung von großskalierbaren Plattformen mit strikter Compliance.

Der Name als Programm

Das „W“ steht symbolisch für „We“ (Wir). Das Logo, das visuell aus zwei ineinandergreifenden „V“ besteht, repräsentiert die Grundpfeiler der Plattform:

• Values (Werte): Die Einhaltung demokratischer Grundregeln.
• Verified (Verifiziert): Die Garantie, dass man mit echten Menschen kommuniziert.

Der offizielle Launch wurde medienwirksam im Januar 2026 beim Weltwirtschaftsforum in Davos vollzogen, was den hohen politischen und gesellschaftlichen Anspruch der Plattform unterstreicht.

2. Wie funktioniert W Social? Die Technik unter der Haube

Während die Benutzeroberfläche vertraut wirkt – kurze Textbeiträge, Bilder und Thread-Diskussionen –, unterscheidet sich das technische Fundament von W Social grundlegend von den „Platzhirschen“.

Die „Human-Only“-Strategie: Ende der Bot-Armeen

Das radikalste Merkmal von W Social ist die Verifizierungspflicht. Während man bei X einen blauen Haken einfach kaufen kann und bei Facebook oft Pseudonyme geduldet werden, verlangt W einen echten Identitätsnachweis. Nutzer müssen sich per Ausweisdokument und biometrischem Abgleich verifizieren.

Dies führt zu zwei entscheidenden Vorteilen:

1. Eliminierung von Bots: Automatisierte Accounts, die oft zur Manipulation von Wahlen oder Meinungen genutzt werden, haben keine Chance.
2. Zivilisierter Diskurs: Wer mit seinem echten Namen einsteht, überlegt sich zweimal, ob er Hasskommentare verfasst (De-Anonymisierung des Hasses).

Datenschutz und Hosting „Made in Europe“

In puncto Datenschutz geht W Social keine Kompromisse ein. Die Daten werden dezentral auf europäischen Servern gespeichert. Damit unterliegt die Plattform vollumfänglich der DSGVO. Im Gegensatz zu US-Diensten gibt es keine Hintertüren durch den Cloud Act, was besonders für Unternehmen und Behörden ein wichtiges Argument ist.

3. Der große Vergleich: W Social vs. X, Facebook & Threads

Um die Marktchancen von W Social zu verstehen, hilft ein Blick auf die Unterschiede zu den etablierten Netzwerken:

4. Das WhatsApp-Paradoxon: Warum der Wechsel so schwer fällt

Sie kennen das sicher aus Ihrem Alltag: Obwohl es sicherere Alternativen wie Signal oder Threema gibt, nutzen Sie wahrscheinlich immer noch WhatsApp. Warum ist das so? Experten sprechen hier vom sogenannten Netzwerkeffekt.

Der Netzwerkeffekt (The Network Effect)

Ein soziales Netzwerk ist für Sie nur dann nützlich, wenn Ihre Kontakte ebenfalls dort sind. Ob in der Schule, im Verein oder in der Firma – wenn die Kommunikation über WhatsApp läuft, ist man als Einzelner fast gezwungen, dabei zu bleiben. W Social steht vor dem klassischen „Henne-Ei-Problem“: Nutzer kommen erst, wenn Content da ist; Content kommt erst, wenn Nutzer da sind.

Die „Convenience“-Falle: Bequemlichkeit schlägt Sicherheit

Die hohe Sicherheit von W Social ist gleichzeitig ihre größte Einstiegshürde. Während Sie bei X in 30 Sekunden einen anonymen Account erstellen können, fordert W Social den Griff zum Personalausweis. Die menschliche Psychologie ist hier eindeutig: Bequemlichkeit gewinnt im Alltag oft gegen abstrakte Werte wie Datenschutz.

Der Lock-In-Effekt und das digitale Kapital

Wer seit zehn Jahren auf Instagram oder X aktiv ist, hat dort ein „digitales Erbe“ aufgebaut: Tausende Follower, hunderte Beiträge und ein Netzwerk an Bekanntschaften. Ein Umzug zu W Social bedeutet, bei null anzufangen. Dieser psychologische Effekt der „Sunk Cost Fallacy“ hält viele davon ab, alten Plattformen den Rücken zu kehren.

5. Strategien für die Zukunft: Hat W Social eine echte Chance?

Wird W Social das nächste Facebook? Wahrscheinlich nicht im Sinne eines Massenphänomens für schnelle Unterhaltung. Aber die Plattform könnte eine extrem wichtige Nische besetzen.

Das „LinkedIn für den öffentlichen Diskurs“

Es zeichnet sich ab, dass W Social vor allem für Politik, Journalismus und offizielle Institutionen attraktiv wird. Wenn der Ton auf X zu toxisch wird, benötigen gewählte Volksvertreter und seriöse Medienhäuser einen geschützten Raum für Kommunikation. Hier kann W Social glänzen:

• Offizielle Statements: Man kann sicher sein, dass der Minister wirklich der Minister ist.
• Fakten-Check: Durch die Transparenz der Algorithmen verbreiten sich Fake News schwerer.

Fragmentierung des Marktes

Wir beobachten derzeit eine Zersplitterung der Social-Media-Welt. Anstatt eines großen Platzhirschs gibt es viele spezialisierte Dienste (Mastodon, Bluesky, Threads). W Social wird seinen Platz in diesem Ökosystem als der „seriöse, europäische Hafen“ finden müssen.

Fazit: Lohnt sich die Anmeldung bei W Social?

W Social ist mehr als nur eine weitere App; es ist ein Experiment zur digitalen Souveränität Europas. Wenn Sie Wert auf Datenschutz legen und eine Diskussionskultur ohne Trolls suchen, sollten Sie die Hürde der Verifizierung auf sich nehmen.

Unsere Einschätzung: W Social wird X nicht morgen ablösen. Aber für alle, die beruflich oder privat auf verlässliche Informationen und einen respektvollen Umgang Wert legen, ist es die derzeit spannendste Entwicklung im Web.