Rechtliche Einordnung Rechtsstreit zwischen BSI und Kaspersky – Was steckt dahinter?

Anbieter zum Thema

cyberintelligence.institute GmbH

BSI versus Kaspersky: Wer hat recht? Kaspersky könnte klagen, wenn das BSI weiterhin an seiner Warnung aus dem Jahr 2022 vor den Lösungen des Herstellers festhält. Ist die Warnung wirklich anfechtbar? Prof. Dr. Den­nis-Kenji Kipker beleuchtet die rechtlichen Aspekte und die Hin­ter­gründe im Kontext geopolitischer Spannungen.

Seit 2022 liegt eine Warnung des Bundesamts für Sicherheit in der Informationstechnik zu Kas­per­sky vor. Diversen Medienberichten zufolge habe der Hersteller mit rechtlichen Schritten gedroht, sollte das BSI seine Warnung nicht zurücknehmen. Nach dieser Ankündigung bleiben viele Fragen offen: Ist die Warnung des BSI rechtens? Welche Schritte könnte Kaspersky einleiten? Und wieso geht der Hersteller erst jetzt, vier Jahre später, gegen das Bundesamt vor? Prof. Dr. Den­nis-Kenji Kipker, Forschungs­direktor des Cyber Intelligence Institutssowie studierter Rechtswissenschaftler und In­for­matiker, hat uns für diesen Artikel die aktuelle Situation eingeordnet.

Kaspersky nimmt Stellung zur BSI-Warnung

BSI warnt vor Verwendung von Kaspersky-Virenschutz

Die Warnung des BSI

Grund für die Warnung, die das BSI kurz nach Beginn des russischen Angriffs auf die Ukraine aussprach, war, die Befürchtung, der Hersteller könnte durch russische Behörden zur Cy­ber­spionage und Sabotage gezwungen werden. Wortwörtlich heißt es in der Meldung „Warnung nach §13 BSIG: Virenschutzsoftware des Herstellers Kaspersky“ vom 15. März 2022 „Ein rus­si­scher IT-Hersteller kann selbst offensive Operationen durchführen, gegen seinen eigenen Willen gezwungen werden, Zielsysteme anzugreifen, oder selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden.“

Prof. Dr. Dennis-Kenji Kipker, ergänzt: „Das BSI argumentierte seinerzeit, dass Gefahr im Verzug bestehe, weil Antivirus-Pro­dukte nicht nur weitgehende Systemrechte besitzen, sondern die Produkte von Kaspersky auch in staatlichen Einrichtungen und kritischen Infrastrukturen ein­gesetzt werden. Aus BSI-Sicht ist die Warnung zunächst nachvollziehbar, weil sie auf einem Worst-­Case-Risikomodell für einen sicherheitskritischen Soft­waretyp beruht: Wenn ein Pro­dukt technisch tief im System ver­ankert ist, beispielsweise durch Kernel-/Admin-Rechte, reicht schon die plausible Möglichkeit politischer Zwangseinwirkung oder Supply-Chain-Mani­pu­la­tion, um die Risikobewertung an­zu­heben – gerade in einem völkerrechtlichen Kriegskontext. Ge­rich­te haben diese Argumentation zumindest in einem vor­läufigen Eil­verfahren zunächst auch gestützt.“

Doch damit sei noch keine Entscheidung getroffen. Die im Eilrechtsschutz befassten Gerichte würden nicht den ei­gent­lichen Sachverhalt prüfen, sondern nur die Argumentation der Be­hör­de auf Plausibilität. „Solange kein Haupt­sache­ver­fahr­en stattgefunden hat, ist damit nicht erwiesen, dass das BSI tat­sächlich rechtmäßig gehandelt hat. Und tatsächlich spricht gegen­wärtig einiges gegen die Rechtmäßigkeit der BSI-Warnung. So wurde diese schon damals nicht auf eine konkrete tech­nische Analyse gestützt: Es wurde weder seitens des BSI noch seitens der befassten Gerichte im Eilrechtsschutz behauptet oder nachgewiesen, dass tatsächlich eine 'Sicher­heits­lücke' vor­han­den ist, die aber entscheidende tatbestandliche Voraussetzung zum Aussprechen der Warnung ist. Ganz im Gegenteil: Jetzt, knapp vier Jahre später, hat sich der ursprünglich durch das BSI geäußerte Verdacht als nicht begründet erwiesen, da die AV-Produkte des Herstellers nach wie vor bestimmungsgemäß funktionieren und keine tech­ni­schen und damit sicher­heits­relevanten Defizite ermittelt wurden.“

Zudem komme hinzu, dass schon 2022 die Warnung umstritten war. In einer Anfrage nach dem Informationsfreiheitsgesetz (IFG) veröffentlichte das BSI interne Dokumente aus dem Jahr 2022, die im Rahmen einer Investigativrecherche von „Spiegel“ und „Bayerischem Rundfunk“ erlangt wurden. Diese deuten Kipker zufolge klar darauf hin, „dass der Warnung sachwidrige Erwägungen zugrunde gelegt wurden, denn das BSI ist nicht befugt, politische Warnungen vor konkreten Produkten auszusprechen. Es spricht somit einiges für die zeitige Rücknahme der Warnung durch das BSI.“

Mit Inkrafttreten der NIS-2-Richtlinie am 6. Dezember 2025 erhielt das BSI weitreichende Befugnisse. In diesem Zuge wurde auch die Vorschrift der Warnung novelliert. Somit kommt das Bundesamt in Paragraph 13 des BSI-Gesetzes (BSGI) seiner Pflicht nach, vor Sicher­heits­ri­si­ken zu warnen und die Einhaltung von Cybersicherheitsstandards zu überwachen.

Update: NIS 2 tritt morgen in Kraft

Bundestag verabschiedet NIS 2

Kasperskys Gegenschlag

Eugene Kaspersky, russischer IT-Spezialist, hat sein Unternehmen 1997 gegründet. Während der Sitz der Holding in London ist, wird das operative Geschäft in Moskau abgewickelt. Doch das Unternehmen verwies seit der Veröffentlichung der BSI-Warnung immer wieder auf seine Unabhängigkeit und beispielsweise auch auf seine Datenhaltung in der Schweiz. Die Security-Insider-Redaktion hat von Kaspersky ein Statement erhalten, das klarstellt, dass der Hersteller dem BSI nie direkt mit einer Klage gedroht hat. „Kaspersky schätzt das BSI und wird weiterhin mit dem BSI zur Steigerung von Sicherheit und Resilienz des Cyberspace zusammenarbeiten. Kaspersky hat in den vergangenen Jahren das BSI kontinuierlich und transparent informiert, zudem seine Risikomanagementmaßnahmen zielgerichtet ausgebaut und die Qualität externer Audits, Zertifizierungen sowie unabhängiger Test ausgebaut. Aus den vorliegenden BSI-Akten wird deutlich, dass das BSI keine Anhaltspunkte dafür vorlegt, dass im Zeitverlauf Gefahren für die Sicherheit in der Informationstechnik bestehen. Nur das würde ein Festhalten an der Warnung rechtfertigen. In den Jahren seit der Warnung – und auch davor – gab es keine Vorfälle mit Kaspersky-Software, die die Risikoannahmen des BSI vom März 2022 bestätigt hätten. Die Risikomanagementmaßnahmen von Kaspersky haben sich auch seit der Warnung als wirksam erwiesen. Im konkreten Fall erwartet Kaspersky, dass das BSI seinen Pflichten in Übereinstimmung mit dem BSI-Gesetz und und dem Informationsfreiheitsgesetz nachkommt. Kaspersky behält sich rechtliche Schritte vor, sollte das BSI die Warnung nicht, wie im § 13 BSI-Gesetz festgelegt, entfernen.“

Bereits im April 2022 ging Kaspersky erst vor dem Verwaltungsgericht (VG) Nordrhein-West­falen und dann vor dem Oberverwaltungsgericht (OVG) Nordrhein-Westfalen gegen die Ent­scheidung des BSI vor. Doch diese wurde vom OVG für rechtens erklärt. Das BSI habe die Ent­scheidung, die Warnung herauszugeben, ermessensfehlerfrei getroffen und dabei ins­besondere den Grundsatz der Verhältnismäßigkeit gewahrt.

Somit besteht die BSI-Warnung weiterhin. Und bis heute ist sie die einzige Produktwarnung, die das BSI öffentlich ausgesprochen hat. Einem Spiegel-Beitrag zufolge, haben Kaspersky-Ver­treter Mitglieder des zuständigen Innenausschusses des Bundestages angeschrieben. Sie hät­ten in E-Mails gefordert, dass das BSI die Produktwarnung gegen Kaspersky zurücknehmen solle. Dazu sehe Kaspersky das BSI in der Pflicht. Informationen des Spiegels zufolge gebe es BSI-Unterlagen, die belegen würden, dass das Bundesamt keinerlei Anhaltspunkte für Gefahren in Kasperskys Virensoftware gefunden habe. Dem Hersteller sei durch die Warnung mitt­ler­wei­le ein Schaden in dreistelliger Millionenhöhe entstanden. So sind zum Beispiel in den USA bestimmte Produktgruppen verboten.

Nun könnte Kaspersky rechtliche Schritte einleiten. Kipker dazu: „Jedoch ist ein Gerichtsverfahren immer mit erheblichen Auf­wänden verbunden und kann sich über einen längeren Zeitraum ziehen. Auch kann davon aus­gegangen werden, dass das Unternehmen zunächst einen kooperativen Versuch unter­nom­men hat, durch den Nachweis geeigneter technischer Sicherheitsverfahren und Transparenz­maß­nah­men gegenüber dem BSI zu verdeutlichen, dass eine Manipulation der AV-Software im zuvor beschriebenen Sinne nicht möglich ist. Nachdem vor Kurzem zusätzlich bekannt wurde, dass es infolge der Warnung kausal mittlerweile zu Umsatzeinbußen im dreistelligen Mil­lio­nen­be­reich gekommen ist, wird man davon auszugehen haben, dass ein längeres Zuwarten für das Unternehmen aus wirtschaftlichen Gründen schlichtweg nicht mehr tragbar ist, wenn es zu massiven Einbrüchen bei den öffentlichen Aufträgen und im Großkundengeschäft kommt, die aus Compliance-Gründen keine Software mehr einsetzen können, vor der offiziell behördlich gewarnt wird.“

Frauen in der Cybersicherheit

Kaspersky startet Karriere-Test „Future You in Tech“

Könnte die Warnung des BSI anfechtbar sein?

Zweifel an der Rechtmäßigkeit der BSI-Warnung bestehen nicht erst seit Kurzem. Prof. Kipker hat bereits in einer wissenschaftlichen Veröffentlichung im Jahr 2023 ausführlich dargelegt, welche Argumente für eine Rechtswidrigkeit der BSI-Warnung sprechen. Zum einen hätte das BSI in seiner Argumentation gar nicht vor dem Produkt gewarnt, sondern vor dem Hersteller an sich, indem es sich ausschließlich auf den Hersteller und dessen politische Situation gestützt habe. Zum Produkt selbst habe das BSI keine weiteren inhaltlichen Feststellungen getroffen. „Dieser Argumentation fehlt die 'Sicherheitslücke', wie sie die Warnung laut BSIG zwingend voraussetzt, da die Sicherheitslücke in IT-Produkten nachweislich der Rechtsprechung vom Bundesverfassungsgericht patchbar sein muss, also ausschließlich technisch zu verstehen ist. Eine geopolitisch weit verstandene Auslegung und somit eine Herstellerwarnung, wie sie das BSI für Kaspersky vorgenommen hat, war folglich nie durch das BSIG gedeckt. Danach hat die Behörde jahrelang eine rechtswidrige Warnung aufrecht erhalten, die sie schon 2022 so nicht hätte aussprechen dürfen.“

Zum anderen habe das BSI eine Prüfplicht, zu untersuchen, ob die Voraussetzungen für eine Warnung immer noch vorliegen. Kipker stellt infrage, ob das Bundesamt dieser Pflicht aus­reich­end nachgekommen ist: „Selbst wenn man unterstellen würde, dass die Behörde zu Beginn recht­mäßig gehandelt hätte, müsste man sich spätestens jetzt nach knapp vier Jahren die Frage stellen, ob das immer noch gilt, wo die Behörde weder umfassende Prüfungen des Falles durch­geführt hat noch neue Erkenntnisse vorlegen konnte, die eine Aufrechterhaltung der Warnung weiterhin rechtfertigen. Damit könnte der Eindruck einer politisch handelnden Behörde ent­stehen, der für ihr Handeln (bislang) die Rechtsgrundlage fehlt.“

Souveränitäts-Washing?

Ein kritischer Blick auf die Partner­schaft zwischen BSI und AWS

Wie geht es nun weiter?

Bisher zeigte sich das BSI unbeeindruckt. Heise zufolge werde das BSI die Warnung vor AV-Produkten des Herstellers Kaspersky weiterhin aufrecht erhalten. Die Gründe für die Warnung seien einem BSI-Sprecher zufolge in der Warnung selbst dargestellt und hätten sich aus Sicht des BSI nicht geändert.

Hinsichtlich der genannten Argumente, aufgrund derer die Warnung des BSI rechtswidrig sein könnte, stellt sich nun die Frage, ob Bedarf für eine Anpassung des BSIG besteht, um klarere Richtlinien für derartige Warnungen zu schaffen. Kipker dazu: „Natürlich hat sich die Be­droh­ungs­lage im digitalen Raum in den vergangenen fünf Jahren massiv geändert und wir sprechen mittlerweile von einer multipolaren Situation, in der auch hybride Risiken aus Drittstaaten eine zunehmende Rolle spielen. Gleichwohl müssen wir beachten, dass die Rechtslage nicht alles an Möglichkeiten hergibt, was politisch opportun erscheint. Einerseits müssen wir uns deshalb wie gezeigt auch in Krisenzeiten an die gesetzlichen Grenzen behördlichen Handelns halten, an­der­er­seits müssen wir uns überlegen, wie wir mit der zunehmenden Grauzone zwischen tech­ni­scher Gefahrenabwehr als klassischer BSI-Domäne und strategischer Lieferketten-/Sich­er­heits­politik als vorrangige BMI-Zuständigkeit umgehen wollen. Was nämlich nicht geht, ist das eine Fachbehörde wie das BSI zunehmend politische Entscheidungen trifft. Daher müssen neue Wege gefunden werden, wenn der Staat solche herstellerbezogenen geo­po­li­ti­schen Risiko­war­nungen dauerhaft als Instrument nutzen will. Das geltende Recht jedenfalls gibt dies nicht her.“

Spionage

Täglich hybride Angriffe auf Deutschland

Auch im Deutschen Bundestag wurde über die Situation diskutiert. CDU-Digitalpolitiker und IT-Sicherheitsspezialist Henri Schmidt, sagte auf der einen Seite: „Kaspersky steht der Rechtsweg in unserem deutschen Rechtsstaat immer offen.“ Machte jedoch auch ein sehr eindeutiges State­ment: „Wer in der aktuellen Situation immer noch russische Software nutzt, hat den Ernst der Lage nicht verstanden. Die Russische Föderation ist eine Diktatur und selbsterklärter Geg­ner der EU, die jeden vorhandenen Hebel gegen Europa nutzt oder nutzen wird. Kein Unter­neh­men im heutigen Russland kann unabhängig von Putins Regime agieren.“

In diesem Statement von Schmidt wurde deutlich, dass zur Beurteilung der Situation – zu­mindest im Bundestag – geopolitische Faktoren eine große Rolle spielen. Gerade dies sieht Prof. Kipker kritisch: „Ganz zentral für das Verständnis des vorliegenden Falls ist, dass es zur Be­ur­teilung der Rechtmäßigkeit juristisch gerade nicht auf eine geopolitische Bewertung des Sach­verhalts ankommt, was ein großes Missverständnis in der gegenwärtigen öffentlichen Debatte und Wahrnehmung ist. Wenn sich das BSI zu geopolitischen Gefahren im Rahmen des Russ­land-Ukraine-Kriegs äußern will, steht dies der Behörde im Rahmen ihrer Informations­mög­lich­kei­ten natürlich frei – aber eben nicht in der Form einer konkret gegen einen einzelnen Hersteller gerichteten Warnung. Juristisch ist der Sachverhalt damit eigentlich glasklar und wasserdicht. Zurzeit erleben wir eine juristisch hoch fragwürdige öffentliche Debatte zu dem Thema. Wenn gewählte Mitglieder aus dem Digitalausschuss öffentlich behaupten, dass einem Unternehmen 'der Rechtsweg in unserem deutschen Rechtsstaat immer offensteht', zeugt dies von einem interessanten Verständnis dafür, was einen Rechtsstaat ausmacht: Eine Behörde – und damit auch das BSI – hat sich in seinem Verwaltungshandeln an Recht und Gesetz zu halten. Und nur falls dies in Ausnahmefällen nicht geschehen ist, sind die unabhängigen Ge­richte dafür zuständig, ebenjene Rechtmäßigkeit staatlichen Handelns wiederherzustellen.“

Ein Amtshaftungsanspruch, den Kaspersky gegen das BSI geltend machen könnte, hätte laut Kipker gute Erfolgsaussichten. Die weitere Durchsetzung einer solchen Klage hänge in erster Linie von der Möglichkeit ab, einen konkreten, quantifizierbaren Vermögensschaden nach­zu­weisen und einen Kausalzusammenhang zwischen der Warnung und dem geltend gemachten Schaden herzustellen. Ebenso würden gute Erfolgsaussichten für ein Verwaltungs­streit­ver­fah­ren in der Sache gegen die Warnung des BSI bestehen, sollte diese weiter aufrechterhalten werden. „Daher kann man der Behörde jetzt nur raten, die Sachlage neu zu bewerten, er­mes­sens­fehlerfrei zu entscheiden und die Warnung zeitnah zurückzunehmen, um diese ju­ris­ti­schen Risiken weitestgehend zu minimieren und ohne öffentlichen Gesichtsverlust aus der Sache herauszukommen.“

Streit um Digitale Souveränität

Schlagabtausch zwischen BSI-Chefin und Open Source Community

(ID:50705293)