MOZOM-analyse

Erst hacken, dann Genehmigung? Deutscher Gesetzentwurf öffnet Nachrichtendiensten den Zugriff auf Handys und Computer

Deutscher Gesetzesentwurf NDRefG, Tagesschau, Bundesverfassungsgericht, Deutscher Anwaltverein, Reporter ohne Grenzen, AG KRITIS und Europäische Kommission Europa 12 augustus 2026 om 12:25

Type: Analyse Autor: Ron Caroselli Published: 12 augustus 2026 om 12:25 Report a correction

Realistische redaktionelle Karikatur eines Geheimdienstes, der das digitale Schloss um Smartphone und Laptop öffnet, während noch unabhängige Genehmigungen eingeholt werden.

Quelle: Deutscher Gesetzesentwurf NDRefG, Tagesschau, Bundesverfassungsgericht, Deutscher Anwaltverein, Reporter ohne Grenzen, AG KRITIS und Europäische Kommission
MOZOM-Titel: Erst hacken, dann Genehmigung? Deutscher Gesetzentwurf öffnet Nachrichtendiensten den Zugriff auf Handys und Computer
Originaltitel: Mehr Befugnisse für Geheimdienste: Notwendige Reform oder „historischer Tabubruch“?
Autor: Ron Caroselli
Datum: 12 augustus 2026 om 12:25
Thema: MOZOM untersucht, was der deutsche Entwurf zur Nachrichtenrechtsreform tatsächlich erlaubt: verdeckten Zugriff auf Telefone und Computer, technische Eingriffe vor endgültiger Zustimmung, ruhenden Zugriff, Zero-Days, aktive Cyber-Operationen und die Grenzen unabhängiger Aufsicht.

Zusammenfassung des Originalberichts

Die Tagesschau berichtete am 12. August, dass das Bundeskabinett der Reform noch an diesem Tag zustimmen wollte. Der öffentliche Entwurf vom 5. Juli umfasst 691 Seiten und schreibt große Teile der Regeln für das Bundesamt für Verfassungsschutz (BfV), den Inlandsgeheimdienst, und den Bundesnachrichtendienst (BND), den Auslandsgeheimdienst, neu. § 23 gibt dem BfV die Befugnis, unter bestimmten Voraussetzungen heimlich auf IT-Geräte zuzugreifen und gespeicherte personenbezogene Daten auszulesen. Die §§ 25 und 26 regeln tiefergehende oder begrenzte Eingriffe in private Systeme. Für den BND sehen die Paragraphen 36 bis 39 ähnliche Optionen vor, darunter die Änderung oder Löschung von Daten, die Umleitung oder Sperrung des Datenverkehrs sowie die Abschaltung von Systemen für den Fall einer unmittelbar drohenden Situation, in der eine andere Behörde nicht rechtzeitig handeln kann. Unter solche IT-Systeme fallen der Begründung zufolge Smartphones, Laptops, Server und Cloud-Umgebungen. Der Eigentümer wird nicht im Voraus um Erlaubnis gebeten; Geheimhaltung ist eigentlich Teil der Methode.

Was ist erlaubt, wer kontrolliert und wo liegt das Risiko?

Die Tabelle fasst die Bestimmungen des Entwurfs zusammen. „Risiko“ bedeutet hier ein rechtliches oder technisches Missbrauchsrisiko; es handelt sich nicht um die Behauptung, dass der beschriebene Missbrauch bereits stattgefunden hat.

Befugnis	Gesetzliche Schwelle	Kontrolle	Restrisiko
Gespeicherte Daten auf einem IT-Gerät auslesen	Zumindest eine erhebliche erkennbare Bedrohung; Das System muss möglichst genau identifiziert werden.	Interner Befehl. Für die schwerwiegenderen Fälle aus Absatz 23, Absätze 2 und 3 gilt eine unabhängige vorherige Beurteilung, die nicht bei jeder normalen Lesart aus Absatz 1 erkennbar ist.	Für die leichtere Variante führt der Dienst, der zunächst eingreifen will, die rechtliche Prüfung selbst durch. Der Betroffene kann sich nicht vorab verteidigen.
Bereiten Sie den technischen Zugang vor, bevor die Autorisierung abgeschlossen ist	Nur wenn sonst der Erfolg gefährdet ist; noch keine substanzielle Erhebung personenbezogener Daten.	Bevor Daten verarbeitet werden dürfen, erfolgt die endgültige Einwilligung und Verifizierung.	Die Systemintegrität kann beeinträchtigt sein, bevor die Fernprüfung abgeschlossen ist. Dies bedeutet, dass der technische Eingriff früher erfolgt als der Zeitpunkt der Einwilligung.
Vollständiger Eingriff in ein privates System	Eine konkrete Gefahr für besonders wichtige Rechtsgüter, eine sehr ernste Bedrohung und kein zeitgerechtes, gleichwertiges polizeiliches Vorgehen.	Vorherige Beurteilung durch den Unabhängigen Kontrollrat; Zur Wohnungsüberwachung entscheidet das Bundesverwaltungsgericht.	Ein vollständiger Geräteeingriff bietet möglicherweise ein außergewöhnlich vollständiges Bild des Lebens einer Person. Auch unvermeidbar beteiligte Dritte können betroffen sein.
Ermöglichen, dass der technische Zugriff ungenutzt bleibt	Nur wenn konkrete Anhaltspunkte dafür vorliegen, dass die Änderung in absehbarer Zeit erneut erforderlich ist.	Erforderlichkeit und Verhältnismäßigkeit müssen weiterhin gegeben sein und die nachfolgende Datenverarbeitung bedarf einer gültigen Grundlage.	„In absehbarer Zukunft“ ist nicht eindeutig auf eine feste Anzahl von Tagen beschränkt. Unterdessen bleibt der versteckte Zugriff selbst ein Sicherheitsrisiko.
Informieren Sie anschließend die betroffene Person	Für die aufgeführten schwerwiegenden Maßnahmen gilt grundsätzlich die Benachrichtigung nach Beendigung.	Verschiebung, Nichtmeldung und endgültiger Rückzug nach fünf Jahren sind unter bestimmten Voraussetzungen möglich; Einige Entscheidungen bedürfen der Zustimmung des Kontrollrats.	Wer nie erfährt, dass sein Gerät angegriffen wurde, wird Schwierigkeiten haben, die Legitimität unabhängig prüfen zu lassen. Bei Benachrichtigung ist der Rechtsweg gegen Anordnung und Vollstreckung ausgeschlossen.
Aktiv Einfluss auf Systeme und Daten nehmen	Eine unmittelbar bedrohliche Situation, Notwendigkeit und das Fehlen rechtzeitiger Maßnahmen einer anderen zuständigen Behörde.	Interne Anordnungen, unabhängige Überprüfung geeigneter Maßnahmen, Verhältnismäßigkeit und parlamentarische Kontrolle.	Die Grenze zwischen Informationsbeschaffung und operativem Eingriff wird immer dünner. Ein falsches Ziel oder ein von einem unschuldigen Dritten gekapertes System kann Kollateralschäden verursachen.
Profitieren Sie von null Tagen, bevor eine Reparatur verfügbar ist	In der Begründung heißt es, dass der BND den kurzen Zeitraum für einen Software-Patch für nachrichtendienstliche Arbeiten nutzen könne.	Keine generelle Hintertür in jedem Gerät, sondern gezielte Ausnutzung eines noch nicht behobenen Lecks.	Solange das Leck offen bleibt, können auch Kriminelle oder ausländische Dienste dieselbe Schwachstelle finden. Der Angriffsvorteil steht dann im Widerspruch zum Schutz aller Benutzer.
Automatisierte Profile und Vorhersagen	Die Analyse muss im Rahmen der gesetzlichen Aufgaben, Zweckbindung und Datenvorschriften erfolgen.	Die Überwachung und Kontrolle der genutzten Daten und Anwendungen bleibt weiterhin erforderlich.	Automatisierung erhöht den Umfang und die Geschwindigkeit, aber auch die Reichweite falscher Zusammenhänge, Vorurteile und schwer erklärbarer Risikobewertungen.

Eigene Quellenrecherche: Vier Passagen, die die Debatte verändern

MOZOM hat nicht nur die Medienzusammenfassung gelesen, sondern auch das komplette Design und die Erklärung. Vier Passagen stechen hervor. Erstens heißt es in Absatz 33, dass vorbereitende technische Maßnahmen, die die Integrität eines IT-Systems beeinträchtigen, vor Erlass der Anordnung zulässig sind, wenn andernfalls ihr Erfolg gefährdet ist, sofern keine personenbezogenen Daten erhoben werden. In der Begründung des BND heißt es ausdrücklich, dass selbst ein Notfallverfahren manchmal zu lange dauern kann. Zweitens sieht § 23 Abs. 4 vor, dass Systemänderungen nicht immer dann rückgängig gemacht werden müssen, wenn konkrete Anhaltspunkte dafür vorliegen, dass sie bald wieder erforderlich sein werden. Die Erklärung beschreibt diesen Zugriff als „ruhend“ und kann später wieder aktiviert werden. Drittens kann die Meldung nach § 35 aufgeschoben werden, solange der Forschungszweck oder wichtige staatliche Interessen gefährdet sind; Nach Ablauf von fünf Jahren kann bei voraussichtlichem Fortbestehen der Gründe endgültig von der Meldung abgesehen werden. Viertens wird in der Erläuterung beschrieben, dass Informationen über einen Zero-Day des BSI vorübergehend vom BND genutzt werden können, bevor ein Hersteller einen Patch bereitstellt. Das ist keine versteckte Verpflichtung, in jedes Telefon eine staatliche Hintertür einzubauen. Es ist ein sichtbarer Konflikt zwischen offensiven Geheimdienstinteressen und der Aufgabe, Bürger, Unternehmen und lebenswichtige Infrastruktur schnell sicherer zu machen. Die Begründung wird noch konkreter. Auf Seite 292 heißt es, dass das BfV bei einer Wohnraumüberwachung nicht nur eigene Sensorik einbringen, sondern auch vorhandene Sensorik des Wohnungsinhabers nutzen kann; ausdrücklich genannt wird ein Smart Speaker. Wird dafür in ein IT-System eingegriffen, gelten zusätzlich die Voraussetzungen für einen solchen Systemeingriff. Außerdem nennt die Begründung mobile Endgeräte, Cloud-Dienste und IoT-Geräte, während der Entwurf Auskunftsersuchen zu Fahrzeugtelemetrie wie Standort, Geschwindigkeit, Kilometerstand, Nutzungsprofilen und sogar Sensordaten zur Sitzbelegung vorsieht. Markennamen stehen nicht im Gesetz, technisch können darunter aber Kategorien wie Google Nest/Home, Amazon Echo mit Alexa, Meta Quest 3, PCs, Laptops, iPads und andere Tablets, Smartphones mit Kamera und Mikrofon, Ring-Türklingeln, Heimkameras, Smart-TVs, Wearables und vernetzte Elektroautos fallen. Das ist keine automatische Erlaubnis, jedes Online-Gerät dauerhaft abzuhören: Zweck, gesetzliche Schwelle, konkrete Befugnis und erforderliche Kontrolle bleiben für jede Maßnahme entscheidend. Gerade die Verbindung von Mikrofonen, Kameras, Sensoren, Konten und Cloud-Daten macht die mögliche Reichweite so eingriffsintensiv.

Das beruhigende Wort „Kontrolle“

Die Gestaltung umfasst interne Anordnungen, Dokumentation, Verhältnismäßigkeit, den unabhängigen Kontrollrat, die parlamentarische Aufsicht und einen Verwaltungsrichter für die Hausüberwachung. Daher ist die allgemeine Beschreibung „unkontrolliertes Hacken“ falsch. Aber das Wort „Kontrolle“ kann auch zu beruhigend sein. Nicht jede Lesung wird im Vorfeld unabhängig beurteilt, es bestehen Notfallausnahmen, Erweiterungen auf weitere Personen können nachträglich eingereicht werden und die Zielperson nimmt nicht an einem kontradiktorischen Verfahren teil. Für eine gute Kontrolle ist nicht nur erforderlich, dass es irgendwo einen Vorgesetzten gibt, sondern dass dieser rechtzeitig, konkret und mit ausreichenden Informationen über den Eingriff entscheiden kann.

Kein Chat-Kontrollgesetz, aber die gleiche europäische Richtung

Das deutsche Design und die Chatsteuerung sind rechtlich unterschiedliche Dateien. Die erste regelt die Befugnisse der deutschen Nachrichtendienste; Die zweite betrifft Anbieter, Erkennung und Meldung von Online-Material über sexuellen Kindesmissbrauch. Die im Juli 2026 erneut verabschiedete vorübergehende EU-Vereinbarung schließt Ende-zu-Ende-verschlüsselte Kommunikation aus, während der dauerhafte Rahmen noch verhandelt wird. Ein direktes gemeinsames System mit BND oder BfV ist aus dem deutschen Entwurf nicht ersichtlich. Die Ähnlichkeit liegt in der technischen Richtung. Wenn die Verschlüsselung das Abhören unterwegs erschwert, verlagert sich der Fokus auf das Endgerät, die Cloud oder den Anbieter. Die Europäische Kommission arbeitet außerdem offiziell an der Vorratsdatenspeicherung, der grenzüberschreitenden Überwachung, digitalen forensischen Tools, dem Zugriff auf verschlüsselte Daten und neuen Entschlüsselungskapazitäten für Europol. In den Niederlanden dürfen AIVD und MIVD bereits hacken, diese Sonderbefugnis erfordert jedoch eine ministerielle Genehmigung und ein verbindliches Urteil der TIB. Europa baut daher eine immer breitere Infrastruktur für den digitalen Staatszugang nicht durch ein einziges Geheimgesetz, sondern durch mehrere separate Verordnungen auf.

Mögliche Botschaft hinter der Nachricht

Die sichtbare Botschaft ist, dass Deutschland moderne Mittel gegen moderne Bedrohungen braucht. Die entscheidende MOZOM-Botschaft lautet, dass eine Demokratie Befugnisse nicht nur für den gegenwärtigen wohlmeinenden Nutzer entwerfen sollte, sondern auch für ein falsches System, einen weitreichenden Interpretationsdienst und die schlechteste mögliche zukünftige Regierung.

Neutrales Fazit

Das Fazit: Der deutsche Entwurf enthält mehr Garantien, als der Slogan „Der Staat kann sich in jedes beliebige Telefon hacken“ vermuten lässt, geht aber weit über die technische Aufrechterhaltung veralteter Gesetze hinaus. Die Dienste erhalten Zugang zu privaten Systemen, dürfen den technischen Zugang unter Bedingungen vor der endgültigen Genehmigung sichern, können den Zugang ruhen lassen und erhalten Möglichkeiten zur aktiven Einflussnahme auf digitale Systeme. Gleichzeitig kann es sein, dass die Benachrichtigung für längere Zeit oder dauerhaft unterbleibt. Das ist eine echte Machtverschiebung. Die vertretbarste Grenze ist also klar: Jeder verdeckte Eingriff in ein privates Gerät muss vorab unabhängig und konkret beurteilt werden, Ausnahmen müssen kurz und nachweisbar gehalten werden, Hintertüren müssen entfernt werden, Schwachstellen müssen schnell gemeldet werden und diese müssen im Nachhinein mitgeteilt werden, sofern nicht ein Richter mit Begründung etwas anderes entscheidet. Andernfalls wird „Vertrauen Sie uns“ langsam zur wichtigsten Sperre für die Macht des Geheimdienstes.