Kaspersky: Entweder das BSI streicht seine Warnung, oder…

Inhaltsverzeichnis

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Die IT-Sicherheitsfirma Kaspersky hat ein Problem – und das ist ihr Herkunftsland: Russland. Als das Bundesamt für Sicherheit in der Informationstechnik (BSI) im März 2022 erstmals öffentlich vor dem kompletten Produktsegment eines Herstellers gewarnt hatte, war das ein Novum. Bis heute ist die Warnung vor Kasperskys Virensoftware die einzige vom BSI ausgesprochene öffentliche Produktwarnung – und sie soll weg, fordert die Firma.

Kaspersky-Lobbyisten schrieben kürzlich Mitglieder des zuständigen Innenausschusses an, worüber zuerst der Spiegel berichtet hatte. In den E-Mails legte das Unternehmen sein Ansinnen dar, dass das BSI die Produktwarnung zurücknehmen solle. Kaspersky sieht das BSI dazu in der Pflicht: Unterlagen der Bonner Behörde sollen belegen, dass das BSI keinerlei Anhaltspunkte für Gefahren gefunden habe. Dem Unternehmen sei durch die Warnung mittlerweile ein Schaden in dreistelliger Millionenhöhe entstanden. Auch in den USA und anderen Staaten sind verschiedene Kaspersky-Unternehmensteile, darunter Kaspersky Lab und dessen Führungspersonal wie Gründer Eugene Kaspersky, sanktioniert.

BSI hält an Warnung fest

Die Behörde gibt sich von den Forderungen der Firma unbeeindruckt, nachdem sie erst vor wenigen Wochen noch einmal intern über die Einstufung gesprochen hat – Warnungen müssen regelmäßig überprüft werden. „Das BSI hält die Warnung vor AV-Produkten des Herstellers Kaspersky weiterhin aufrecht“, teilt ein Sprecher am Dienstagmittag auf Anfrage von heise online mit. „Die Gründe für die Warnung sind in der Warnung selbst hinlänglich dargestellt und haben sich aus Sicht des BSI nicht geändert.“ Zur Kommunikation durch den Hersteller äußere sich das BSI nicht.

Im Parlament führt der Kaspersky-Vorstoß eher zu Irritation als zu Unterstützung für das Unternehmen. „Kaspersky steht der Rechtsweg in unserem deutschen Rechtsstaat immer offen“, sagt der CDU-Digitalpolitiker und IT-Sicherheitsspezialist Henri Schmidt. Und appelliert: „Wer in der aktuellen Situation immer noch russische Software nutzt, hat den Ernst der Lage nicht verstanden.“ Russland führe seit Jahren hybride Angriffe gegen Deutschland durch. „Die Russische Föderation ist eine Diktatur und selbsterklärter Gegner der EU, die jeden vorhandenen Hebel gegen Europa nutzt oder nutzen wird“, sagt der CDU-Politiker Schmidt. „Kein Unternehmen im heutigen Russland kann unabhängig von Putins Regime agieren.“ Also auch nicht Kaspersky mit Hauptsitz an der Leningrader Chaussee in Moskau.

Politische oder wissenschaftlich-technische Entscheidung?

Die Vorgänge würden sehr aufmerksam verfolgt, sagt Konstantin von Notz, Grünen-Innenpolitiker und stellvertretender Vorsitzender des Geheimdienstaufsichts-Gremiums des Deutschen Bundestages. „Als Parlament interessiert uns hierbei vor allem die Positionierung der Bundesregierung in dem nunmehr schon länger bestehenden Konflikt zwischen Kaspersky und dem BSI, die ja weiterhin die Fach- und Rechtsaufsicht über das Bundesamt ausübt.“ Das zielt in erster Linie auf das von Alexander Dobrindt geführte Bundesministerium des Innern ab, dem das BSI nachgeordnet ist. Das neue Digitalministerium ist nur für jene Teile des BSI zuständig, die unmittelbar für die Bundesverwaltung relevant sind.

Seit dem Aussprechen der Warnung wird immer wieder der Verdacht laut, das BSI habe die Warnung nicht aufgrund technischer Beurteilungen ausgesprochen, sondern politische Gründe hätten eine Rolle gespielt. Doch das hat sich bis heute nicht weiter erhärtet, auch wenn das BSI damals in enger Abstimmung mit dem Bundesinnenministerium agierte. Andere wiederum hatten das BSI dafür kritisiert, mit der Produktwarnung vor Kaspersky viel zu lange gezögert zu haben. Das BSI ist, was seine Entscheidungsgrundlage angeht, eine ungewöhnliche Bundesbehörde: „Seine Aufgaben führt das Bundesamt auf Grundlage wissenschaftlich-technischer Erkenntnisse durch“, heißt es im BSI-Gesetz. Sprich: es darf sich anders als andere Behörden nicht politisieren lassen, wenn das der Erkenntnislage widerspricht.

Kein Gerichtsverfahren anhängig

Kaspersky war bislang mit allen Versuchen gescheitert, rechtlich gegen die Warnung des BSI vorzugehen. Das Unternehmen hatte sowohl auf dem Weg des einstweiligen Rechtschutzes als auch mit einer Verfassungsbeschwerde seine Rechte geltend gemacht, die Richter aber nicht davon überzeugen können, dass das BSI hier unverhältnismäßig gehandelt habe. Eine weitere gerichtliche Klärung – sprich: ein Hauptsacheverfahren – hatte das Unternehmen bislang aber ebenfalls nicht auf den Weg gebracht.

Beim örtlich für das BSI zuständigen Verwaltungsgericht Köln ist jedenfalls aktuell keinerlei solches Verfahren bekannt, teilte der zuständige Pressesprecher auf Anfrage mit. Es gibt also weiterhin kein Anzeichen dafür, dass Kaspersky vier Jahre nach dem Aussprechen der Produktwarnung nun ein Hauptsacheverfahren anstrengen würde. Eine Kaspersky-Sprecherin betont denn auch, dass Kaspersky dem BSI nicht mit einer Klage drohe, sondern sich lediglich rechtliche Schritte vorbehalte.

(cku)