Auf den Punkt: Ein geplantes Nachrichtendienstgesetz würde das BSI dazu verpflichten, bislang unbekannte Sicherheitslücken dem BND zu melden — eine Praxis, die Cybersecurity-Experten kritisch sehen.
Der Entwurf zur Novellierung des Nachrichtendienstgesetzes sieht vor, dass das BSI Zero-Day-Schwachstellen verpflichtend an den BND weitergeben müsste. Experten warnen vor grundsätzlichen Sicherheitsrisiken dieser Regelung.
Der Gesetzentwurf zur Reform des Nachrichtendienstrechts schreibt vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) Zero-Day-Schwachstellen systematisch an den Bundesnachrichtendienst (BND) leiten soll. Zero-Days sind Sicherheitslücken, die Softwarehersteller noch nicht kennen und daher nicht patchen können — sie gelten als besonders wertvoll für Angriffsoperationen und kritisch für die Sicherheit von Systemen weltweit.
Die Kritik an dieser Regelung zielt auf das Grundspannungsverhältnis zwischen Geheimdienstauftrag und Schutzauftrag ab. Das BSI hat als Cybersecurity-Agentur des Staates die Aufgabe, deutsche kritische Infrastrukturen und Regierungssysteme zu schützen. Eine systematische Weitergabe von Zero-Days an den BND, auch wenn dieser die Lücken selbst nutzen möchte, schafft Nutzungs- und Kontrollkonflikte: Lücken, die dem BND bekannt sind, können nicht zeitnah gestopft werden, und die langfristige Sicherheit der Systeme, die das BSI schützen soll, könnte darunter leiden.
Hinzu kommt das Risiko der Sicherheitspolitik: Werden Zero-Days in Geheimdienst-Besitz nicht patched oder zu lange zurückgehalten, besteht die Gefahr, dass Gegner oder nicht autorisierte Akteure dieselben Lücken entdecken und ausnutzen — mit unkalkulierbaren Folgen für die Sicherheit kritischer Systeme im In- und Ausland. Das BSI würde in dieser Konstellation von der Schutzinstanz zum reinen Zulieferer von Offensive-Capability degradiert.
Quelle: www.heise.de · Erschienen 11. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.