Geheimdienstreform: „Schaffen Befugnisse, ohne zu wissen, wer sie morgen nutzt“

1. Geheimdienstreform: „Schaffen Befugnisse, ohne zu wissen, wer sie morgen nutzt“
   • Neue Eingriffstiefe und die Grenzen parlamentarischer Kontrolle
   • Gerichtliche Grenzen für die Datenschutzaufsicht
   • BfDI: „Gesetzeslage muss für wirksame Kontrolle korrigiert werden“
   • „Verweigerungshaltung der Bundesregierung schadet den Nachrichtendiensten“
   • Verlagerung zum Unabhängigen Kontrollrat
   • Neue Schwerpunkte bei Bund und Ländern
   • 500-Millionen-Euro-Cloud mit Google-Technik

Wie notwendig eine wirksame Kontrolle der Nachrichtendienste ist, zeigen jüngste Vorkommnisse: Nach den Festnahmen des früheren BND-Präsidenten August Hanning und seines ehemaligen Büroleiters Manfred D. steht der Verdacht im Raum, dass über zwölf Jahre hinweg rund 2000 teils geheime Dokumente aus der Führungsebene des Bundesnachrichtendienstes (BND) abgeflossen sind – aufgedeckt nicht durch interne Revisionen, sondern durch einen polizeilichen Zufallsfund. Für beide gilt die Unschuldsvermutung. Und erst Anfang des Jahres hatten Recherchen nahegelegt, dass der BND einst jahrelang Telefonate von US-Präsident Barack Obama belauschte, vorbei am offiziellen Auftragsprofil der Bundesregierung. Während solche Fälle Fragen zur internen Aufsicht aufwerfen, plant die Bundesregierung mit der Reform des Nachrichtendienstrechts eine weitreichende Ausweitung der Befugnisse – bei gleichzeitigem Umbau der Kontrollstrukturen.

Neue Eingriffstiefe und die Grenzen parlamentarischer Kontrolle

Der Gesetzentwurf erweitert vor allem die Befugnisse von BND und Bundesamt für Verfassungsschutz (BfV). Besonders deutlich wachsen die digitalen Kompetenzen: Der BND soll Daten aus der strategischen Überwachung länger ungesichtet speichern, Server im Ausland abschalten und aktiv in fremde IT-Systeme eindringen dürfen. Wie tief die geplanten Befugnisse in Grundrechte eingreifen, zeigt die Kritik ärztlicher und psychotherapeutischer Verbände: Anders als bei Anwälten, Geistlichen oder Abgeordneten sieht die Reform für Ärzte und Psychotherapeuten keinen absoluten Schutz vor Überwachungsmaßnahmen vor, sondern eine Abwägungslösung – wodurch im Ernstfall auch Therapiegespräche und digitale Patientenakten erfasst werden könnten.

Gegen diese Regelung richtet sich die Petition „Verfassungsschutz und BND: Hände weg vom Patient:innengeheimnis!“. Sie fordert einen stärkeren Schutz vertraulicher Gespräche und sensibler Patientendaten. Eine zweite Petition, „Stoppt die neue deutsche Geheimpolizei!“, wendet sich gegen die Geheimdienstreform insgesamt. Ihre Initiatorinnen warnen unter anderem vor erweiterten Überwachungsbefugnissen und einer Schwächung der Kontrolle. Die Bezeichnung „Geheimpolizei“ ist ihre politische Wertung, keine rechtliche Einordnung des Gesetzentwurfs.

Gleichzeitig entziehen sich neue internationale Sicherheitskooperationen weitgehend der parlamentarischen Einsichtnahme, wie die Antwort der Bundesregierung auf eine Kleine Anfrage der Fraktion Die Linke (Drucksache 21/4306) zum im Januar 2026 geschlossenen deutsch-israelischen „Cyber- und Sicherheitspakt“ verdeutlicht. Weil es sich dabei lediglich um eine politische Absichtserklärung und keinen völkerrechtlichen Vertrag handelt, wird der vollständige Text nicht veröffentlicht. Inhaltlich soll unter anderem ein teilautomatisierter deutscher „Cyber-Dome“ in drei Clustern (Detektionsnetzwerk, Analyseverbund, offenes Ökosystem) aufgebaut werden, an dem auf deutscher Seite vor allem BSI, ZITiS, BKA und Bundespolizei beteiligt sind. Konkrete Fragen zu den notwendigen Rechtsgrundlagen für den KI-Einsatz oder zur möglichen Prüfung von Analysesoftware wie Palantirs Gotham oder „Lavender“ beantwortet die Bundesregierung nicht und verweist darauf, dass laufende Planungen dem parlamentarisch nicht ausforschbaren „Kernbereich exekutiver Eigenverantwortung“ unterliegen.

Noch deutlicher wird die Grenze bei der Frage, ob das BfV gemeinsame Dateien mit israelischen oder anderen ausländischen Nachrichtendiensten nach §§ 22c, 22d BVerfSchG betreibt und wie viele personenbezogene Datensätze darin gespeichert sind. Unter Berufung auf das Staatswohl und die „Third-Party-Rule“ – die zugesagte Vertraulichkeit gegenüber ausländischen Partnerdiensten – verweigert die Bundesregierung nicht nur die öffentliche Antwort, sondern lehnt ausdrücklich auch eine eingestufte Übermittlung an die Geheimschutzstelle des Deutschen Bundestages ab: Selbst unter Wahrung des Geheimschutzes bestehe ein Risiko des Bekanntwerdens, das die internationale Zusammenarbeit der Dienste schwer beeinträchtigen würde; das Fragerecht der Abgeordneten müsse daher zurückstehen.

Gerichtliche Grenzen für die Datenschutzaufsicht

Wenn das parlamentarische Fragerecht an solche Grenzen stößt, kommt der unabhängigen Datenschutzaufsicht eine zentrale Kompensationsfunktion zu. Doch auch sie wurde zuletzt juristisch ausgebremst. Das Bundesverwaltungsgericht (BVerwG) verwarf im März die noch unter Ulrich Kelber erhobene und unter seiner Nachfolgerin Louisa Specht-Riemenschneider fortgeführte Klage der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) gegen den BND als unzulässig (Az. 6 A 2.24). Hintergrund war ein Vor-Ort-Termin, bei dem der Dienst die Einsicht in Anordnungen des BND-Präsidenten zu sogenannten CNE-Maßnahmen (Computer Network Exploitation) verweigert hatte – also genau jenem staatlichen Eindringen in ausländische IT-Systeme, das nun weiter ausgebaut werden soll.

Das Gericht prüfte den Fall inhaltlich nicht, sondern sprach der BfDI die für eine Klage notwendige „wehrfähige Rechtsposition“ ab. Da das BVerwG bei solchen Streitigkeiten auf Bundesebene erste und einzige Instanz ist, gibt es keine Revisionsmöglichkeit. Eine Beanstandung beim Bundeskanzleramt verschafft der Aufsicht jedenfalls keinen unmittelbar gerichtlich durchsetzbaren Zugriff auf die verweigerten Unterlagen.

BfDI: „Gesetzeslage muss für wirksame Kontrolle korrigiert werden“

Ein Sprecher des neuen Bundesdatenschutzbeauftragten Moritz Hennemann nennt auf Anfrage die Folgen: Werden Unterlagen vorenthalten, die für eine Kontrolle notwendig sind, könne der BfDI dies lediglich gegenüber dem Bundeskanzleramt beanstanden. Weil die Beanstandung keine Bindungswirkung habe, entscheide am Ende das Kanzleramt darüber, welche Unterlagen der BND vorlegen müsse. „Die Gesetzeslage muss für eine wirksame Kontrolle korrigiert werden“, heißt es weiter aus der Behörde.

Ob in diesem konkreten Fall eine Kontrollzuständigkeit der BfDI oder vorrangig des Unabhängigen Kontrollrats bestand, ließ das Gericht offen. Specht-Riemenschneider warnte noch während ihrer Amtszeit infolge des Urteils vor „kontrollfreien Räumen“. Sie kritisierte, dass die kontrollierte Stelle faktisch selbst entscheiden könne, was sie der Aufsicht zur Einsicht gebe. Als „absurd“ bezeichnete sie die Gesetzeslage und forderte eine Korrektur durch den Gesetzgeber.

„Verweigerungshaltung der Bundesregierung schadet den Nachrichtendiensten“

Ihr Vorgänger Ulrich Kelber hatte bereits bei Erhebung der Klage im Mai 2024 kritisiert, dass Beanstandungen seiner Behörde bei Meinungsverschiedenheiten unberücksichtigt blieben. Die endgültige Entscheidung über die Rechtmäßigkeit nachrichtendienstlicher Datenverarbeitung solle einem Gericht zustehen, sagte er damals – „nicht der abschließenden Wertung der Bundesregierung“. Seine Behörde hielt zugleich fest, eine effektivere Kontrolle würde die Arbeit der Nachrichtendienste zusätzlich legitimieren. Gegenüber heise online erklärt Kelber auf Anfrage: „Die Verweigerungshaltung der Bundesregierung schadet den Nachrichtendiensten. Denn deren Arbeit wird legitimiert durch eine funktionsfähige unabhängige Aufsicht. Und wenn die regierungseitige Ebene entscheiden kann, was sie der Aufsicht zur Verfügung stellt und was nicht, dann ist das nicht gegeben.“

Verlagerung zum Unabhängigen Kontrollrat

Der Gesetzentwurf sieht vor, wesentliche Kontrollzuständigkeiten der BfDI bei BND und BfV auf den Unabhängigen Kontrollrat (UKRat) zu verlagern; für den Militärischen Abschirmdienst (MAD) sind weitere gesetzliche Anpassungen angekündigt. Die Datenschutzaufsicht über BND und BfV soll vollständig auf den UKRat übergehen, der künftig unter anderem auch vorab prüfen soll, ob Überwachungsmaßnahmen bei Berufsgeheimnisträgern wie Ärzten zulässig sind. Fachleute geben jedoch zu bedenken, dass dem noch jungen Gremium sowohl die über Jahre aufgebaute technische KI-Expertise des BfDI als auch etablierte Strukturen für individuelle Bürgerbeschwerden fehlen.

Zudem sieht der Gesetzentwurf auch für den UKRat keine gerichtlich durchsetzbare Rechtsposition gegenüber den Diensten vor. Der Sprecher des BfDI warnt, der Zuständigkeitswechsel löse dieses Problem nicht: „Nach dem Urteil des Bundesverwaltungsgerichts dürfte auch dem Unabhängigen Kontrollrat zukünftig der Klageweg verwehrt bleiben, um Streitigkeiten mit kontrollierten Stellen über den Umfang der vorzulegenden Unterlagen klären zu lassen.“ Auch die Weitergabe von Wissen sei nach seiner Darstellung nicht gesichert. „Ziel des BfDI ist eine lückenlose professionelle Übergabe.“ Die geltende und nach derzeitigem Stand auch die künftige Gesetzeslage lasse die dafür erforderliche Zusammenarbeit mit dem UKRat jedoch nicht zu. „So kann langjähriges Beratungs- und Kontrollwissen nicht weitergegeben werden.“ Der BfDI sei hierzu mit den Entscheidungsträgern im Austausch.

Parallel dazu sollen die Auskunftsrechte nach dem Informationsfreiheitsgesetz (IFG) im Bereich der Nachrichtendienste eingeschränkt werden. Das Urteil des Bundesverwaltungsgerichts kann der BfDI nach Auskunft seines Sprechers nicht selbst verfassungsgerichtlich überprüfen lassen. „Das Bundesverfassungsgericht ist keine ‚Superrevisionsinstanz‘ für Entscheidungen des Bundesverwaltungsgerichts.“ Stattdessen müssen „die gesetzlichen Grundlagen [...] um eine wehrfähige Rechtsposition ergänzt werden.“

Neue Schwerpunkte bei Bund und Ländern

Zugleich wird die deutsche Datenschutzaufsicht insgesamt neu ausgerichtet. Auf Anfrage teilte ein Sprecher des Bundesinnenministeriums (BMI) mit, dass Bund und Länder in ihrer „Föderalen Modernisierungsagenda“ vom Dezember 2025 vereinbart haben, die Datenschutzaufsicht „im Interesse der Wirtschaft“ bis spätestens Ende 2027 zu bündeln. Im Koalitionsausschuss vom Juli 2026 bekräftigten die Regierungsparteien demnach das Ziel, die Strukturen unter anderem durch eine „Zuständigkeitskonzentration beim BfDI“ zu vereinfachen. Aus Datenschutzkreisen ist von einem Umbau der Behörde in eine „wirtschaftsfreundliche Servicestelle“ die Rede.

Die „Stuttgarter Impulse“, mit denen die Datenschutzkonferenz (DSK) eigene Vorschläge zur Modernisierung vorgelegt hatte, finden in der Antwort des BMI keine Erwähnung. In diese Phase fällt auch der Wechsel an der Spitze des BfDI, die nun mit dem Zivil- und Wirtschaftsrechtler Moritz Hennemann besetzt ist, während auf Landesebene – etwa in Baden-Württemberg – über Stellen- und Budgetkürzungen bei den Aufsichtsbehörden diskutiert wird.

500-Millionen-Euro-Cloud mit Google-Technik

Welche Anforderungen auf die technische Aufsicht zukommen, zeigt das derzeit größte IT-Vorhaben der Dienste: BND, Verfassungsschutz und MAD planen für geschätzt mindestens 500 Millionen Euro eine gemeinsame „Distributed Cloud“ des US-Konzerns Google, um künftig deutlich größere Datenmengen – etwa aus abgehörten Telefonaten oder Videos – auswerten und teilen zu können. Zwar soll das System als „Air-Gapped“-Lösung vom Internet getrennt und mithilfe des Bundeswehr-IT-Systemhauses BWI betrieben werden, doch die Softwareweiterentwicklung und Updates bleiben vom US-Hersteller abhängig; ohne Google liefe das System laut Brancheninsidern einige Monate, im besten Fall ein gutes Jahr weiter. Der ursprünglich für Anfang 2027 geplante Start verzögert sich, da das Bundesamt für Sicherheit in der Informationstechnik (BSI) noch Komponenten prüft, bevor die Haushaltsmittel freigegeben werden.

In dieser Infrastruktur treffen – ähnlich wie beim geplanten Analyseverbund des „Cyber-Dome“ – Daten von Behörden mit unterschiedlichen gesetzlichen Aufträgen aufeinander, was Fragen zum verfassungsrechtlichen Trennungsprinzip und zur digitalen Souveränität aufwirft.

Darüber, wie diese Entwicklungen verfassungsrechtlich einzuordnen sind, haben wir mit dem Rechtswissenschaftler Jonas Botta gesprochen.

Sie beschäftigen sich intensiv mit der Kontrolle staatlicher Datenverarbeitung. Um den rechtlichen Rahmen abzustecken: Warum hat die Datenschutzaufsicht gegenüber den Nachrichtendiensten eine vergleichsweise schwache Stellung?

Zentrales Datenschutzgesetz ist die europäische Datenschutz-Grundverordnung (DSGVO), die unabhängige Datenschutzbehörden sehr stark ausstattet und ihnen Möglichkeiten gibt, auch gegen staatliche Stellen vorzugehen – in Deutschland zwar nicht mit Bußgeldern, aber durchaus mit Gerichtsverfahren. Wichtig ist dabei im deutschen Verwaltungsrecht immer, sowohl für Bürger als auch für Behörden, dass man ein subjektives Recht geltend machen kann, also eine sogenannte wehrfähige Position. Man kann nicht einfach abstrakt vom Verwaltungsgericht Rechtsfragen klären lassen, sondern muss eine Position haben, die man gegenüber der anderen Seite durchsetzen kann. Bei der DSGVO ist das für die unabhängigen Aufsichtsbehörden angesichts ihrer weitreichenden Befugnisse unproblematisch. Aber die DSGVO hat zwar einen weiten, jedoch keinen unendlichen Anwendungsbereich. Für Gefahrenabwehr und Strafverfolgung, also die Polizei, gibt es eine eigene EU-Richtlinie und damit schon mehr Umsetzungsspielräume für die nationalen Gesetzgeber. Bei den Nachrichtendiensten ist nun weder die DSGVO noch die JI-Richtlinie einschlägig, denn die Europäische Union hat keine Kompetenz im Bereich der nationalen Sicherheit. Alles, was nachrichtendienstliche Tätigkeit umfasst, ist unionsrechtlich nicht geregelt – das liegt allein beim nationalen Gesetzgeber. Wer nur die starke DSGVO vor Augen hat, fragt sich natürlich, warum die Aufsichtsbehörde hier deutlich weniger Befugnisse hat. Die Antwort liegt in dieser nationalen Regelungshoheit.

Nun hat das Bundesverwaltungsgericht entschieden, dass die BfDI ihre Einsichtsrechte gegenüber dem BND nicht einklagen kann. Was war der Hintergrund?

Die BfDI wollte Einsicht in Anordnungen des BND-Präsidenten für individuelle Aufklärungsmaßnahmen nehmen und ist nach der Weigerung des Nachrichtendienstes vor das Bundesverwaltungsgericht gezogen. Das Gericht hat im März 2026 entschieden, dass es an der beschriebenen wehrfähigen Position fehle. Die noch unter Ulrich Kelber erhobene und unter seiner Nachfolgerin Louisa Specht-Riemenschneider fortgeführte Klage war also bereits unzulässig. Das Gericht hat nicht materiell geprüft, ob die Voraussetzungen dafür vorlagen, die Einsichtnahme zu verweigern, sondern festgestellt, dass der BfDI dies rechtlich nicht durchsetzen kann. Die Argumentation lautete: Anders als etwa beim Bundeskriminalamt (BKA), wo das Gesetz der Datenschutzbehörde ausdrücklich Durchsetzungsbefugnisse einräumt, fehle eine solche Regelung gegenüber dem BND. Weil die BfDI Verstöße gegenüber dem BND nur beanstanden, aber nicht verbindlich abstellen lassen kann, sei auch die Einsicht nicht einklagbar.

Sie sehen dieses Urteil kritisch. Warum?

Auch ohne unionsrechtliche Vorgaben müssen beim Bundesdatenschutzbeauftragten das Volkszählungsurteil und die weitere Rechtsprechung des Bundesverfassungsgerichts zum Recht auf informationelle Selbstbestimmung beachtet werden, auch im nachrichtendienstlichen Bereich. Gerade dort, wo Bürgerinnen und Bürger im Allgemeinen nicht erfahren, dass ihre Daten verarbeitet werden, ist eine effektive Kontrollinstanz umso wichtiger. Man kann darüber diskutieren, ob die Behörde ihre Beanstandungen am Ende zwangsweise durchsetzen kann oder ob sie lediglich rügen darf. Aber zumindest die Einsichtnahme muss sich aus meiner Sicht verfassungsrechtlich vor Gericht durchsetzen lassen, damit überhaupt eine Kontrollmöglichkeit besteht. Ohne diesen ersten Schritt, ohne den Einblick, lässt sich gar nicht beurteilen, welche Datenverarbeitung stattfindet. Ob daran anschließend Sanktionsmöglichkeiten bestehen, ist eine nachgelagerte Frage.

Dieser Streit um die Rechte des BfDI wird nun durch die laufende Reform des Nachrichtendienstrechts überholt. Was ändert sich?

Die Reform, die sich im Bundestag nach der Öffentlichen Anhörung dem Ende zuneigt, entzieht dem BfDI diese Aufsicht und überträgt sie dem Unabhängigen Kontrollrat (UKRat). Dieses Gremium existiert erst seit einigen Jahren, setzt sich aus einem gerichtsähnlichen und einem administrativen Teil zusammen und kontrolliert bislang Teile der Tätigkeit des BND und soll nun für BND und BfV zuständig werden. Gleichzeitig erhält es zusätzlich die Datenschutzaufsicht, womit der BfDI in diesem Bereich nicht mehr zuständig ist. Das Problem dabei: Auch der Unabhängige Kontrollrat wird nach aktuellem Stand keine wehrfähige Position haben. Er wird seine Rechte ebenfalls nicht gerichtlich geltend machen können, sodass es weiterhin von den Nachrichtendiensten abhängt, welche Informationen sie gewähren. Trotz des Urteils des Bundesverwaltungsgerichts hat sich der Gesetzgeber nicht dafür entschieden, hier eine Klagebefugnis gesetzlich zu verankern.

Welche Folgen hat der Wechsel vom BfDI zum Kontrollrat in der Praxis? Ist das eine Verschlimmbesserung?

Das lässt sich so formulieren. Man muss diese Übertragung hinterfragen, weil dadurch die gesamte Expertise, die die Datenschutzaufsicht in den vergangenen Jahren gerade auch auf technischer Ebene aufgebaut hat, an dieser Stelle wegfällt. Das ist besonders relevant, weil den Nachrichtendiensten gleichzeitig neue KI-Kompetenzen und weitere digitale Befugnisse eingeräumt werden. Einer deutlichen Befugniserweiterung steht also eine Umstrukturierung der Aufsicht gegenüber. Im gerichtsähnlichen Teil des Kontrollrats sitzen vor allem Richterinnen und Richter, ergänzt werden können sie durch zwei Mitglieder aus der künftig abgeschafften G10-Kommission. Technische Expertise ist darin bislang gesetzlich nicht festgeschrieben.

Welche Rolle spielt es, dass der BfDI weiterhin andere Sicherheitsbehörden kontrolliert?

Eine wichtige. Der BfDI ist unter anderem auch für die Gefahrenabwehrbehörden zuständig und behält etwa beim BKA seine Kompetenzen. Natürlich gilt zwischen Nachrichtendiensten und Polizei das Trennungsprinzip. Aber für die Aufsichtspraxis liefert es wichtige Erkenntnisse, wenn man vergleichen kann, wie bei den Polizeibehörden mit KI oder komplexer Datenverarbeitung umgegangen wird. Diese übergreifende Perspektive geht verloren. Hinzu kommt: Der Unabhängige Kontrollrat ist bislang nicht auf individuelle Beschwerden ausgerichtet, während Datenschutzbehörden wie der BfDI regelmäßig Anlaufstelle für Einzelpersonen sind, die ihre Rechte geltend machen. Es ist daher fraglich, ob diese neue Struktur eine ebenso effektive Kontrolle gewährleisten kann.

Wie schwierig Kontrolle in der Praxis ist, zeigt der aktuelle Fall um den verhafteten Ex-BND-Chef August Hanning und seinen ehemaligen Büroleiter, der über Jahre hinweg rund 2000 teils geheime Dokumente aus dem Dienst geschleust haben soll. Die Politik diskutiert nun vor allem über Karenzzeiten für Ex-Präsidenten. Greift das zu kurz?

Im Zusammenhang mit ehemaligen Spitzenbeamten gab es ja schon länger die Forderung, Karenzzeiten und Genehmigungspflichten für anschließende Beratungstätigkeiten längerfristig aufrechtzuerhalten, um so etwas einzuhegen. Aber grundsätzlich gilt: Wenn rechtswidrige Abläufe jenseits der offiziellen Behördenstrukturen stattfinden, ist es für jede externe Aufsicht äußerst schwierig, dies aufzudecken, solange es keine Hinweisgeber oder, wie in diesem Fall, Zufallsfunde in anderen Ermittlungsverfahren gibt. Wenn die Behördenleitung selbst keine Kenntnis von internen Datenabflüssen hat, kann sie auch die Aufsicht nicht informieren. Umso wichtiger sind jedoch eine lückenlose technische Protokollierung und eine wirksame Kontrolle der regulären Abläufe.

Wie hätte eine gesetzliche Lösung stattdessen aussehen sollen?

Ich würde empfehlen, die Aufsicht beim BfDI zu belassen und gesetzlich klarzustellen, dass er in diesem Bereich über eine gerichtlich durchsetzbare Position verfügt. Digitale Befugnisse gehören in unsere Zeit; es müssen neue Befugnisse geschaffen und bestehende angepasst werden. Das kann aber verfassungskonform, und mit Blick auf das Vertrauen der Bevölkerung, nur mit einem hohen Kontrollstandard einhergehen. Diesen sehe ich beim BfDI strukturell besser verankert als beim Unabhängigen Kontrollrat.

Bewegt sich der Gesetzgeber mit dieser Kontrollarchitektur noch im verfassungsrechtlichen Rahmen?

Darüber lässt sich streiten. Das Bundesverfassungsgericht hat in seiner Rechtsprechung offengelassen, wie die unabhängige Aufsicht über die Nachrichtendienste im Detail ausgestaltet sein muss, die Übertragung der BfDI-Zuständigkeiten auf den Unabhängigen Kontrollrat ist also nicht zwingend verfassungswidrig. Aber der Gesetzgeber muss sich nicht nur an der äußersten Grenze des verfassungsrechtlich Zulässigen orientieren. Es steht ihm frei, über das Mindestmaß hinauszugehen und Strukturen zu schaffen, die den Grundrechtsschutz stärker absichern.

Parallel soll auch das Informationsfreiheitsgesetz (IFG) eingeschränkt werden. Gleichzeitig plant die Bundesregierung, die Datenschutzaufsicht über die Wirtschaft beim BfDI zu bündeln.

Die Nachrichtendienste sind schon heute weitgehend vom IFG ausgenommen. Die geplante IFG-Reform erschwert zugleich den Einblick in den digitalisierten Staat insgesamt. Neue Verknüpfungs- und Auswertungsmöglichkeiten staatlicher Stellen dürfen jedoch nicht mit weniger, sondern müssen mit mehr Transparenz einhergehen. Was die Struktur der Datenschutzaufsicht insgesamt betrifft, muss man genau differenzieren: Meine eigene Position ist durchaus, die Aufsicht über die private Datenverarbeitung, also die Wirtschaft, stärker zu zentralisieren. Das bedeutet im Umkehrschluss aber ausdrücklich nicht, die Landesdatenschutzbeauftragten für den öffentlichen Bereich zu schwächen oder die Befugnisse des BfDI gegenüber den Sicherheitsbehörden zu beschneiden. Vielmehr gehört die Aufsicht über die behördliche Datenverarbeitung gestärkt.

Welche Instrumente bleiben Wissenschaft und Zivilgesellschaft, um staatliche Datenverarbeitung nachzuvollziehen?

Wünschenswert wäre ein gesetzlich verpflichtendes Transparenzregister. Ich habe gemeinsam mit der Organisation AlgorithmWatch und dem Verwaltungsnetzwerk NExT ein Konzept für ein solches verbindliches KI-Transparenzregister für die öffentliche Verwaltung erarbeitet. Was der Staat bislang selbst auf freiwilliger Basis anbietet, etwa über den behördlichen „Marktplatz der KI-Möglichkeiten“, überzeugt aus Transparenzsicht noch nicht. Eine gesetzliche Pflicht, über eingesetzte KI-Systeme des Staates zu informieren, würde eine wichtige Informationsgrundlage schaffen, damit man überhaupt weiß, was allgemein passiert – unabhängig davon, ob man im Einzelfall konkret betroffen ist. Natürlich müssen im Sicherheitsbereich Geheimhaltungsinteressen und das Staatswohl abgewogen werden. Aber zumindest auf einer abstrakten Ebene ließe sich dokumentieren, welche Systeme zum Einsatz kommen, um eine öffentliche und wissenschaftliche Begleitung zu ermöglichen.

Warum halten Sie diese Begleitung gerade jetzt für so wichtig?

In Zeiten multipler Krisen wächst nachvollziehbar das Bedürfnis nach einem handlungsfähigen Staat. Dabei dürfen Transparenz und Grundrechte jedoch nicht in den Hintergrund treten. Wir schaffen Befugnisse, ohne zu wissen, wer sie morgen nutzt. Man muss bei der Gesetzgebung immer mitbedenken, dass alle Befugnisse und technischen Möglichkeiten, die heute für Sicherheitsbehörden und Nachrichtendienste geschaffen werden, künftig auch von anderen politischen Akteuren genutzt werden können, die sich nicht mehr an den Grundkonsens einer liberalen Gesellschaftsordnung gebunden fühlen.

Sie denken dabei an mögliche Regierungsbeteiligungen umstrittener Parteien auf Landesebene?

Unter anderem. Ein Beispiel ist Sachsen-Anhalt: Dort hatte die bisherige Koalition den Einsatz der Analyse-Software Palantir politisch ausgeschlossen. Auch in Ländern, in denen Palantirs Software Gotham bereits im Einsatz ist, stehen die Zeichen inzwischen auf Ausstieg. Hintergrund sind die erheblichen Bedenken hinsichtlich digitaler Souveränität und Grundrechtsschutz. Sollte das Magdeburger Innenministerium künftig an die rechtsextreme AfD fallen, wäre es angesichts entsprechender Verbindungen in den US-Tech-Sektor durchaus denkbar, dass trotzdem auf solche Systeme zurückgegriffen wird. Dann würden weitreichende Rechtsgrundlagen neuen Akteuren unmittelbare Instrumente an die Hand geben. Gerade über die Exekutive, etwa über Ministerien und Polizeibehörden, lässt sich politisch stark steuern, selbst wenn parlamentarische Mehrheiten knapp sind. Wer heute weitreichende Überwachungsbefugnisse und technische Infrastrukturen schafft, sollte daher immer absichern, wie diese kontrolliert werden – unabhängig davon, wer morgen die politische Verantwortung trägt.

(mack)