Ein Schlüssel für die Behörde, eine verschlossene Tür für den Bürger

Ein Schlüssel für die Behörde, eine verschlossene Tür für den Bürger

Wie die Reform des Nachrichtendienstrechts die Befugnisse ausweitet und die Kontrolle zugleich verschlankt – eine Analyse des Musters dahinter

Deutschland braucht leistungsfähige Nachrichtendienste — an dieser Prämisse lässt sich schwer rütteln, wenn die Bedrohungen von innen und außen wachsen. Die eigentliche Frage beginnt danach: Zu welchem Preis, und unter welcher Aufsicht? Ein mehr als 600 Seiten starker Referentenentwurf des Bundesinnenministeriums¹ gibt darauf eine Antwort, die sich nur versteht, wenn man zwei Bewegungen nebeneinanderlegt, die er zugleich vollzieht. Was Verfassungsschutz und Bundesnachrichtendienst dürfen, wächst so stark wie seit Jahrzehnten nicht. Wer ihnen dabei zusieht, wird zugleich weniger.

Beide Bewegungen stehen im selben Gesetz. Jede für sich ließe sich diskutieren. Zusammen ergeben sie ein Muster, das über die einzelne Regelung hinausweist — und das man am besten an konkreten Vorgängen prüft: jeweils zuerst, wie es heute läuft, dann, was der Entwurf daraus macht.

Die Akteure, kurz vorgestellt

Drei Stellen tauchen im Folgenden wiederholt auf. Es hilft, sie einmal geordnet zu haben.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist die unabhängige Aufsichtsbehörde, die kontrolliert, ob Behörden rechtmäßig mit personenbezogenen Daten umgehen — auch die Nachrichtendienste. Sie hat über Jahre technischen Sachverstand aufgebaut und bearbeitet unter anderem Beschwerden einzelner Bürger.

Die G‑10‑Kommission ist ein Gremium des Bundestags, das Eingriffe in das Brief-, Post- und Fernmeldegeheimnis genehmigt und überwacht — benannt nach Artikel 10 des Grundgesetzes, der dieses Geheimnis schützt.

Der Unabhängige Kontrollrat (UKRat) schließlich ist eine oberste Bundesbehörde, die seit Januar 2022 die technische Auslandsaufklärung des BND prüft — das Abhören von Telefonen, das Mitlesen von E-Mails, das Eindringen in fremde Computer. Er entstand, weil das Bundesverfassungsgericht 2020 eine solche unabhängige Vorabkontrolle ausdrücklich verlangt hatte.² Er ist mit Richterinnen und Richtern besetzt und juristisch, nicht technisch aufgestellt.

Neben ihnen steht das Parlamentarische Kontrollgremium (PKGr) des Bundestags, vor dem die Regierung die Arbeit der Dienste zu verantworten hat. Der Entwurf will die Aufgaben von BfDI und G‑10‑Kommission weitgehend beim UKRat bündeln. Das klingt nach Aufräumen. Ob es das ist, zeigt sich an der Praxis.

So funktioniert Ihr Auskunftsrecht heute — und warum es paradox gebaut ist

Beginnen wir mit dem, was jeder tun kann. Wer wissen will, ob der Verfassungsschutz Daten über ihn gespeichert hat, kann Auskunft verlangen. Kostenlos, und dem Grunde nach besteht darauf ein Anspruch — kein Bittgesuch, sondern ein Recht. So steht es in § 15 des Bundesverfassungsschutzgesetzes.

Die Hürde steht schon im ersten Satz. Der Anspruch besteht nur, „soweit Sie auf einen konkreten Sachverhalt hinweisen und ein besonderes Interesse an einer Auskunft darlegen“.³ Sie können also nicht einfach fragen: Was habt ihr über mich? Sie müssen selbst einen Anlass liefern, aus dem eine Speicherung plausibel erscheint, und begründen, warum Sie es gerade jetzt wissen wollen. Wer diese Schwelle nicht nimmt, behält nur einen Anspruch darauf, dass die Behörde nach Ermessen entscheidet — nicht auf die Auskunft selbst.⁴

Das dreht die Sache auf eigentümliche Weise um. Ein Auskunftsrecht wäre eigentlich für den da, der nichts weiß und Gewissheit sucht. Hier bekommt es am ehesten, wer ohnehin schon eine Vorstellung hat, was gespeichert sein könnte. Um diese Vorstellung zu formulieren, müssen Sie einen Anlass benennen, aus dem heraus der Verfassungsschutz Sie beobachtet haben könnte — Sie müssen also, zugespitzt, einen Verdachtsgrund gegen sich selbst vortragen, um zu erfahren, ob der Staat Sie verdächtigt.

Nun könnte man einwenden: Dann nenne ich eben eine Demonstration, an der ich teilgenommen habe. Hier wird es heikel, und zwar auf eine Weise, die den Kern trifft. Ob eine Demonstration überhaupt im Blickfeld des Verfassungsschutzes liegt, hängt von etwas ab, das Sie als Teilnehmer nicht wissen können. Der Dienst darf nicht Meinungen beobachten und nicht die Wahrnehmung des Versammlungsrechts, sondern nur Bestrebungen gegen die freiheitliche demokratische Grundordnung. Dafür genügen bereits „tatsächliche Anhaltspunkte“ für einen Verdacht.⁵ Das Gesetz kennt Stufen: Beim bloßen Prüffall darf der Dienst nur aus offen zugänglichen Quellen schöpfen. Schon beim Verdachtsfall aber — der Stufe unterhalb der abschließenden Einordnung als „gesichert extremistisch“ — darf er nachrichtendienstliche Mittel einsetzen.⁶ Eine Gruppierung muss also nicht erwiesen verfassungsfeindlich sein, damit ihr Umfeld beobachtet wird. Der Verdacht reicht.

Damit fällt die Grenze dorthin, wo Sie sie als Bürger gerade nicht ziehen können. Ob eine bestimmte Teilgliederung einer Partei — ob am linken oder am rechten Rand — als Verdachtsfall geführt wird, ist oft selbst umstritten, teils vor Gericht, teils gar nicht öffentlich bekannt. Wer an einer Kundgebung teilnimmt, kann nicht verlässlich beurteilen, ob deren Veranstalter in diese Kategorie fällt und ob damit auch Teilnehmer in den Erfassungsbereich geraten. Die Schwelle des Auskunftsrechts verlangt von Ihnen aber genau diese Einschätzung: einen konkreten Sachverhalt, dessen Beobachtungsrelevanz allein die Behörde kennt.

Man sollte der Schwelle zugutehalten, dass sie einen nachvollziehbaren Zweck hat. Sie soll verhindern, dass jemand durch massenhafte oder gezielte Blind-Anfragen den Kenntnisstand der Behörde abtastet — auch ein fremder Nachrichtendienst könnte das versuchen. Der Preis dieser berechtigten Abwehr ist, dass der gutgläubige Uninformierte, der bloß Gewissheit sucht, an derselben Schwelle scheitert. Ein echter Zielkonflikt, kein Konstruktionsfehler aus Nachlässigkeit.

Und wenn Sie die Schwelle nehmen? Der genannte Anlass ist dann der Türöffner, nicht die Grenze: Das Gesetz erstreckt die Auskunft auf alle zu Ihrer Person gespeicherten, auffindbaren Daten, nicht nur auf das eine Ereignis.⁷ Zwei Dinge bleiben Ihnen aber verschlossen — die Herkunft der Daten und die Empfänger, an die sie weitergegeben wurden.⁸ Sie erfahren womöglich, dass etwas über Sie gespeichert ist, aber nicht, woher es stammt und wohin es floss.

Diesen ohnehin voraussetzungsreichen Anspruch schnürt der Entwurf ein weiteres Mal ein, an einer Stelle, die harmlos wirkt. Die Neuregelung — im Entwurf § 71, der den bisherigen § 15 ablöst — stellt die Auskunft unter ein Ermessen, das bei „unverhältnismäßigem Aufwand“ auf Ablehnung vorgeprägt ist: Die Behörde kann das Begehren dann, so die Begründung wörtlich, „ohne fallbezogene Ermessensbetätigung“ abweisen.⁹ Die Begründung geht dabei weiter, als es zunächst scheint: Ein unverhältnismäßiger Aufwand soll schon vorliegen, wenn allein das Auffinden der Daten erheblichen Aufwand verursacht — etwa die Prüfung, ob die gefundenen Informationen überhaupt den Antragsteller betreffen.¹⁰ Die Auskunft kann damit bereits scheitern, bevor feststeht, ob etwas gespeichert ist. Für Sie als Fragenden ist die Ablehnung „zu aufwendig“ dann von der Auskunft „nichts vorhanden“ nicht mehr zu unterscheiden. Sie erfahren in beiden Fällen dasselbe: nichts. Der Entwurf verkauft die Umgestaltung gleichwohl als Verbesserung. Die Datenschutzbeauftragte widerspricht deutlich: Es sei in Wahrheit eine Verschlechterung, die als Fortschritt beschrieben werde.¹¹

Das Aufwandsargument hat eine eigentümliche Logik. Aufwand ist ein ehrliches Argument — aber über das Wie einer Pflicht, nicht über ihr Ob. Wer viel zu tun hat, bittet um eine Frist, um mehr Personal, um ein gestaffeltes Vorgehen. Er sagt nicht, die Aufgabe entfalle, weil sie mühsam sei. Eine Pflicht, die bei genügend Aufwand verschwindet, ist keine Pflicht mehr, sondern eine Gefälligkeit nach Ermessen. Dass dieser Schritt nicht theoretisch ist, zeigt ein anderer Vorgang: Bei einer großen BND-Datei war die Löschung rechtswidrig gespeicherter Daten geltendes Recht — der Dienst verweigerte sie über Jahre mit Verweis auf den Aufwand.¹² Damals eine rechtswidrige Praxis. Der Entwurf erhebt dieselbe Figur beim Auskunftsanspruch zur Regel.

Man könnte dagegenhalten, das Recht kenne durchaus Fälle, in denen Aufwand eine Auskunftspflicht begrenzt. Das stimmt — nur zielen sie anders. Das allgemeine Datenschutzrecht erlaubt es, offenkundig unbegründete oder exzessive Anträge abzuweisen, etwa die immer gleiche, vielfach wiederholte Anfrage. Diese Ausnahme setzt am Verhalten des Antragstellers an; sie diszipliniert den Missbrauch. Der Entwurf setzt an der Mühe der Behörde an. Aus „der Antrag ist missbräuchlich“ wird „die Erfüllung ist uns zu aufwendig“ — nicht die Fortschreibung der bekannten Ausnahme, sondern ihre Umkehrung. Und der Missbrauch, den man fürchten könnte, die Ausforschung des Erkenntnisstands, ist im geltenden Recht bereits doppelt abgewehrt: an der Eingangsschwelle und durch einen ausdrücklichen Versagensgrund, der die Auskunft entfallen lässt, wenn Quellen gefährdet würden oder die Arbeitsweise ausgeforscht werden könnte.¹³ Die neue Schranke schließt keine Lücke. Sie zieht eine zusätzliche Tür ein, hinter der auch der sauber begründete Antrag scheitern kann.

Zwei Jahre, in denen niemand zuständig ist

Wer heute vermutet, ein Dienst habe seine Rechte verletzt, kann sich bei der BfDI beschweren. Weil geheime Maßnahmen sich der eigenen Wahrnehmung entziehen — man merkt nicht, dass man überwacht wird —, ist diese Stelle für Betroffene oft die einzige Möglichkeit überhaupt, ihre Rechte wahrzunehmen. Das Bundesverfassungsgericht nennt das die Kompensationsfunktion: Weil der Einzelne nicht selbst klagen kann, muss eine unabhängige Stelle stellvertretend prüfen. Sie ist keine Zugabe, sondern die Bedingung dafür, dass die geheime Datenverarbeitung überhaupt rechtmäßig ist.

Hier entsteht eine Lücke, nicht aus Nachlässigkeit, sondern aus dem Zusammenspiel zweier Fristen. Die BfDI verliert ihre Zuständigkeit für Einzelbeschwerden mit dem Inkrafttreten des Gesetzes, angestrebt zum 1. Januar 2027.¹⁴ Der UKRat soll solche Beschwerden aber erst ab dem 1. Januar 2029 bearbeiten.¹⁵ Dazwischen liegen zwei Jahre, in denen sich Betroffene an niemanden wenden können. Die Datenschutzbeauftragte bezeichnet diesen Ausschluss ausdrücklich als verfassungswidrig.¹⁶ Zwei Jahre klingen überschaubar. Für jemanden, der in dieser Zeit rechtswidrig überwacht wird und es nicht erfährt, weil keine Stelle mehr prüft, sind sie es nicht.

Die Kontrolle, die sich selbst ankündigen muss

Beim UKRat lohnt der genaue Blick, weil hier der Kern liegt — und weil die Zahlen eine Geschichte erzählen. In seinem ersten Tätigkeitsbericht prüfte der Rat 121 Überwachungsmaßnahmen des BND. Abgelehnt hat er ein einziges Mal, bei einer deutschen Firma mit Russland-Kontakten, deren Überwachung nicht vom Gesetz gedeckt war.¹⁷ Diese Quote lässt sich zweifach lesen, und beide Lesarten gehören nebeneinander. Der Präsident des Rates, Josef Hoch, hält sie nicht für ein Zeichen von Nachgiebigkeit: Schon die bloße Existenz der Kontrolle führe im BND zu Konzentration, Dokumentation, Präzision, Anträge würden vorab zurückgenommen oder geschärft.¹⁸ Ein ernstzunehmender Einwand — Kontrolle wirkt auch, wo sie nicht ablehnt. Andererseits sind 120 von 121 Genehmigungen eine Quote, bei der man fragen darf, wo die Grenze verläuft. Dass der Maßstab im Rat selbst umstritten war, ist belegt: 2024 verließen der Vizepräsident und eine Richterin das Gremium, im Streit darüber, wie streng und wie transparent der Rat kontrollieren solle.¹⁹ Ein junges Organ, das seine Linie noch sucht.

Diesem Organ mutet der Entwurf zweierlei zu. Erstens die Aufgaben der über Jahrzehnte gewachsenen Fachaufsicht obendrauf — ausgerechnet für Instrumente wie KI-gestützte Datenanalyse und Staatstrojaner, deren Prüfung technischen Sachverstand verlangt, den ein rein juristisch besetztes Gremium kaum vorhält.²⁰ Der Entwurf, so die BfDI, liefere keine Begründung, warum diese Verlagerung überhaupt nötig sei.²¹ Zweitens, und konkreter: Der UKRat soll den Diensten sein Prüfprogramm für bis zu 24 Monate im Voraus zuleiten, samt späterer Änderungen.²² Eine Aufsicht aber, die vorab ankündigen muss, wo sie hinschauen wird, verliert das schärfste Werkzeug, das sie hat — kurzfristig und unangekündigt dort zu prüfen, wo gerade etwas nicht stimmt. Wer eine Prüfung zwei Jahre vorher terminiert, prüft eine vorbereitete Behörde.

Ein Schlüssel für die Behörde, eine verschlossene Tür für den Bürger

Über all dem liegt ein Punkt, den erst ein Urteil vom März 2026 vollständig sichtbar gemacht hat. Damit eine Kontrolle wirkt, muss sie im Streitfall Einsicht erzwingen können. Verweigert ein Dienst die Unterlagen, muss die Aufsicht das durchsetzen können — sonst entscheidet der Kontrollierte selbst, was der Kontrolleur sehen darf.

Wie folgenlos die Verweigerung heute bleibt, zeigt der Fall, der bis zum Bundesverwaltungsgericht ging. Ende 2023 verlangte die Datenschutzbeauftragte Einsicht in Anordnungen des BND zu einer bestimmten Datei. Der Dienst lehnte ab. Die BfDI tat daraufhin das Einzige, was ihr blieb: Sie beanstandete die Verweigerung beim Bundeskanzleramt, der für den BND zuständigen obersten Behörde. Das Kanzleramt wies die Beanstandung zurück.²³ Damit war der Weg zu Ende — bis auf die Klage, die das Gericht am 4. März 2026 als unzulässig abwies: Die BfDI habe keine „wehrfähige Rechtsposition“, sie könne ihr Einsichtsrecht nicht einklagen.²⁴ Man sehe sich die Kette an: Die Aufsicht rügt beim Kanzleramt, das Kanzleramt sagt Nein, das Gericht lässt die Klage nicht zu. Der Kontrollierte und die Stelle, die über die Rüge entscheidet, gehören demselben Verantwortungsstrang an — das Kanzleramt beaufsichtigt den BND und befindet zugleich über die Beschwerde gegen ihn.

An dieser Stelle wäre es zu einfach, dem Entwurf pauschal vorzuwerfen, er verewige die Zahnlosigkeit. Das Gegenteil ist zunächst der Fall, und es gehört fairerweise gesagt: Dem Unabhängigen Kontrollrat, der die Aufgabe erbt, gibt der Entwurf ein Zugangsrecht, das die BfDI nie hatte. Der Dienst muss ihm Akten und gespeicherte Daten vorlegen, ihm ist jederzeit Zutritt zu den Dienststellen und Zugang zu den IT-Systemen zu gewähren, und er kann Auskunft zu seinen Fragen verlangen — ausdrücklich als Pflicht des Dienstes formuliert, nicht als Bitte, die im Streit verpufft.²⁵ Wo die BfDI vor verschlossener Tür stand, hat der UKRat einen Schlüssel. In diesem Punkt wird die Kontrolle nicht schwächer, sondern stärker.

Nur endet die Stärke dort, wo es für den einzelnen Bürger am meisten zählt. Der UKRat kann sehen — aber was kann er erzwingen, wenn er einen Verstoß sieht? Hier trennt der Entwurf zwei Welten. Stellt der Kontrollrat einen Verstoß gegen das Verfahren der Vorabkontrolle fest — eine Maßnahme, die ohne die vorgeschriebene Genehmigung lief, eine Auflage des Kontrollorgans, die missachtet wurde, eine unerlaubte Weiterverwendung vorab kontrollierter Daten —, dann kann er eine bindende Anweisung zur Abhilfe erlassen, die der Dienst fristgebunden umsetzen muss.²⁶ Das ist ein echter Zahn. Er sitzt aber allein im Bereich der Genehmigungsmechanik, der der Kontrollrat ohnehin vorsteht.

Für den gewöhnlichen Datenschutzverstoß — Daten liegen zu lange, wurden ohne tragende Rechtsgrundlage erhoben, unrechtmäßig übermittelt, trotz Löschpflicht behalten — bleibt es beim stumpfen Instrument. Hier kann der Kontrollrat, wie zuvor die BfDI, nur beanstanden: rügen und um Stellungnahme bitten.²⁷ Selbst wenn er im Ausnahmefall eine Anweisung erlässt und der Dienst sie nicht befolgt, ist die einzige Folge, dass das Parlamentarische Kontrollgremium davon unterrichtet wird²⁸ — jenes Gremium, dessen eigene Berichte, wie gezeigt, das Kanzleramt untersagen darf. Die schärfste Waffe zielt also auf das Verfahren; das, was den Bürger inhaltlich schützt — ob seine Daten überhaupt liegen durften und wie lange —, bleibt der Rüge überlassen, die folgenlos zurückgewiesen werden kann.

Und der Bürger selbst? Sein eigener Weg ist an mehreren Stellen ausdrücklich versperrt. Der Entwurf hält fest, dass ein Recht auf Akteneinsicht nicht besteht, und schließt den Rechtsweg aus, solange die betroffene Person nicht benachrichtigt wurde — bei Auskunftsersuchen, strategischer Aufklärung, Telekommunikationsüberwachung.²⁹ Weil geheime Maßnahmen sich der eigenen Wahrnehmung entziehen, erfährt der Betroffene von der Benachrichtigung, an die der Rechtsweg geknüpft ist, oft nie. Das Bundesverfassungsgericht hat gerade deshalb der unabhängigen Aufsicht die Kompensationsfunktion zugewiesen: Weil der Einzelne nicht selbst klagen kann, soll die Aufsicht stellvertretend durchsetzen, was ihm verwehrt ist. Genau diese Stellvertretung aber greift beim materiellen Datenschutz ins Leere, sobald der Dienst nicht freiwillig abhilft.

So ergibt sich ein Bild, das keiner der beiden einfachen Erzählungen entspricht. Die Kontrolle wird nicht zum zahnlosen Tiger — der UKRat sieht mehr und darf im Verfahrensbereich zugreifen. Aber der Bürger wird schwächer: Sein direkter Rechtsweg ist versperrt, seine Beschwerdestelle für zwei Jahre unbesetzt, sein Auskunftsanspruch aufwandsbegrenzt, und die stellvertretende Kontrolle, die ihn schützen soll, endet beim eigentlichen Datenschutzverstoß bei einer Rüge ohne Zwang. Die Zähne wandern zur Behörde, die Schnittstelle zum Bürger verschwindet. Ein Recht, das nur so weit trägt, wie der Kontrollierte freiwillig mitspielt, ist genau dann nicht da, wenn es gebraucht wird.

Der fehlende Beleg

Wer Kontrolle zurückbaut, tut das selten aus böser Absicht. Meist steht dahinter die Überzeugung, etwas Hinderliches loszuwerden — die Erfahrung, dass die Aufsicht die Arbeit gebremst habe. Diese Überzeugung müsste sich belegen lassen. In der öffentlich zugänglichen Dokumentation findet sich aber kein Fall, in dem ein Auskunftsanspruch oder eine unabhängige Kontrolle eine rechtmäßige Operation vereitelt, eine Quelle enttarnt oder eine Gefahrenabwehr verzögert hätte. Die Begründung des Entwurfs nennt keinen. Sie argumentiert mit dem, was geschehen könnte: mit Verwaltungsaufwand und der Möglichkeit, fremde Mächte könnten mit KI-gestützten Anfragen die Behörden ausforschen.

Die dokumentierten Fälle erzählen sogar das Gegenteil. Als der BND jahrelang rechtswidrig gespeicherte Daten nicht löschte, verwies er auf den Aufwand — hier hemmte nicht die Kontrolle die Arbeit, sondern die Arbeit die Kontrolle. Als die Datenschutzbeauftragte 2026 Einsicht in Hacking-Anordnungen verlangte, verweigerte der Dienst sie und behielt vor Gericht recht. Als die G‑10‑Kommission die NSA-Selektorenlisten sehen wollte, mit denen teils rechtswidrig abgehört worden war, blieb ihr die Einsicht verwehrt.³⁰ In jedem dieser Fälle setzte sich die Handlungsfähigkeit des Dienstes durch, nicht die Kontrolle. Das ist kein Beweis, dass es hinderliche Fälle nirgends gäbe — ein Teil der Reibung bleibt geheim. Aber der Entwurf, der das Argument am nötigsten hätte, führt keinen an.

Wie der Machtzuwachs praktisch aussieht

Zur anderen Hälfte, ebenfalls an konkreten Regelungen. Fairerweise vorangestellt, was das Ministerium anführt: Andere europäische Dienste dürfen teils mehr, die Abhängigkeit von US-Informationen soll sinken, und das Verfassungsgericht selbst hat 2020 das „überragende öffentliche Interesse an einer wirksamen Auslandsaufklärung“ betont.³¹ Ein Machtzuwachs steht also nicht schon im Widerspruch zum Grundgesetz. Nur zeigt der Entwurf im Detail ein wiederkehrendes Bild: Die Instrumente werden schärfer, die Schwellen davor niedriger.

Verfassungsschutz und BND sollen öffentliche und private Videoüberwachung mitnutzen dürfen — Kameras in Bahnhöfen, Einkaufszentren, an Gebäuden, in Echtzeit.³² Heute dürfen sie das nicht, eine Vorabkontrolle ist nicht vorgesehen. Die Datenschutzbeauftragte weist auf einen bitteren Nebeneffekt hin: Weil ein erheblicher Teil privater Videoüberwachung ohnehin rechtswidrig betrieben wird, erhielten die Dienste Zugriff auch auf Aufnahmen, die es rechtlich gar nicht geben dürfte.³³ Bei den Speicherfristen hebt der Entwurf die Regelhöchstfrist beim Verfassungsschutz von zehn auf fünfzehn Jahre an — und die Frist beginnt jeweils mit der letzten Information, die eine Speicherung begründet. Jede neue speicherbegründende Information setzt die Uhr also zurück, sodass Daten über lange Zeiträume erhalten bleiben können, auch von Personen, über die keine gesicherten Erkenntnisse vorliegen.³⁴ Und ein sprachlich unscheinbares Detail: Die Dienste dürfen „Mittel zur Erprobung“ einsetzen und deren Erträge weiterverwenden — höchstens vier Jahre, ohne dass das Gesetz definiert, was „Erprobung“ heißt.³⁵ Die BfDI hält trocken dagegen: Was vier Jahre dauert und dessen Ergebnisse regulär genutzt werden, ist keine Erprobung, sondern Regelbetrieb.³⁶

Wenn die Geheimhaltung mit dem Dokument wandert

Ein letzter Baustein wirkt technisch, trägt aber weit. Bisher gilt: Wer beim Verfassungsschutz eine Auskunft verlangt, bekommt sie nicht — der Dienst ist von der Auskunftspflicht ausgenommen. Andere Behörden aber müssen im Einzelfall prüfen und herausgeben, was sie haben. Künftig soll die Sperre nicht mehr an der Behörde hängen, sondern an der Information selbst: Der Entwurf entzieht dem Zugang jede Information, die Vorgänge oder Tätigkeiten der Nachrichtendienste betrifft, „insbesondere von diesen stammt oder deren Tätigkeit abbildet oder Rückschlüsse auf diese zulässt“.³⁷ Ein solches Dokument bliebe damit auch dann gesperrt, wenn es längst bei einer anderen Stelle liegt — beim Finanzamt, beim Bundesarchiv, bei jeder Behörde, an die es geraten ist. Die Geheimhaltung reist mit dem Dokument, statt an einem Haus zu bleiben. Zugleich erstreckt der Entwurf die Bereichsausnahme ausdrücklich auf die Aufsichtsbehörden und den UKRat selbst — also gerade auf die Stellen, deren Kontrolltätigkeit man von außen nachvollziehen können müsste.³⁸

Das Ministerium begründet die Sperre mit dem Verwaltungsaufwand und der Sorge, fremde Mächte könnten über KI-gestützte Anfragen Behörden systematisch ausforschen. Diese Sorge ist nicht abwegig. Nur rechtfertigt sie Schutzvorschriften und Schwärzungen im Einzelfall, nicht den pauschalen Ausschluss auch unbedenklicher, historischer oder aufsichtsbezogener Unterlagen, bei dem gar nicht mehr geprüft wird, ob eine Veröffentlichung überhaupt ein Sicherheitsinteresse berührt. Und hier schließt sich der Kreis: Wenn Betroffene wegen der Geheimhaltung kaum klagen können und die institutionelle Aufsicht zugleich ausgedünnt wird, bleibt die öffentliche Nachprüfbarkeit durch Presse, Wissenschaft, Zivilgesellschaft als Rest. Der IFG-Teil des Entwurfs zieht genau diesen Rest ein.

Wenn der Kontrolleur mehr Vorrat verlangt

Wie sich diese Prioritätensetzung selbst dort fortsetzt, wo Kontrolle institutionell verkörpert ist, zeigte eine Wortmeldung von Ende Juli 2026. Marc Henrichmann, Vorsitzender des Parlamentarischen Kontrollgremiums der Geheimdienste, warb für die geplante Reform und nannte als deren Bestandteile reibungslosen Datenaustausch, bessere Analyse und eine „angemessene Datenbevorratung“; Erkenntnisse über Gefährder müssten länger auswertbar sein.³⁹ Bemerkenswert ist die Rollenverteilung. Das Kontrollgremium, dem Henrichmann vorsteht, gehört selbst zu den Organen, deren Informationszugang der Entwurf beschneidet: Kanzleramt oder Innenministerium können dem Kontrollrat künftig untersagen, seinen Tätigkeitsbericht ganz oder in Teilen an das Gremium zu erstatten.⁴⁰ Der oberste parlamentarische Kontrolleur wirbt also für mehr Datenvorrat auf der Seite der Dienste, während die Berichte, auf die seine eigene Kontrolle angewiesen ist, unter den Vorbehalt der Exekutive geraten. Es braucht dafür keine Unterstellung eines Motivs. Es genügt zu sehen, wohin sich die Energie richtet — und wohin nicht.

Das Muster

Für sich betrachtet ließe sich fast jeder Baustein verteidigen. Erweiterte Cyber-Befugnisse folgen einer realen Bedrohungslage. Eine gebündelte Aufsicht kann schlanker sein. Der Schutz sensibler Informationen ist ein legitimes Ziel.

Aber die Bausteine wirken nicht einzeln. Sie greifen ineinander, und immer in dieselbe Richtung. Die Auskunft wird enger. Die Beschwerdestelle fällt für zwei Jahre aus. Die verbleibende Kontrolle muss sich vorher ankündigen, kann Einsicht im Datenschutzfall nicht erzwingen und veröffentlicht erst 2031 einen Bericht über ihre neue Arbeit.⁴¹ Der Weg der Öffentlichkeit zu den Akten schließt sich. Jeder Schritt für sich verschiebt das Gleichgewicht nur ein Stück. Zusammen verschieben sie, in welche Richtung die Beweislast läuft: weg von der Pflicht des Staates, sein Eingreifen zu rechtfertigen, hin zu einem Vertrauen, das der Bürger vorschießen soll.

Das geschieht nicht, weil Akteure böswillig handelten. Eine Behörde, die mehr darf und weniger beaufsichtigt wird, ist ein rationaler Nutznießer ihrer eigenen Anreize — sie müsste etwas begründen, um das Gegenteil zu tun. Das Problem sitzt in der Konstruktion des Entwurfs, der Befugnis und Aufsicht in entgegengesetzte Richtungen bewegt.

Das Bundesverfassungsgericht hat 2020 beides zugleich verlangt: wirksame Aufklärung und wirksame Kontrolle. Es hat die Kontrolle nicht als Preis der Befugnis behandelt, sondern als deren Bedingung. Der Entwurf nimmt die erste Hälfte dieses Satzes ernst und lockert die zweite. Ob eine Demokratie ihre Dienste stärken kann, ohne zugleich die Augen zu schließen, die auf sie gerichtet sind, ist keine rhetorische Frage. Sie ist die, die dieser Entwurf offenlässt.

---

1. Umfang des Entwurfs (in der Presse mit rund 648 Seiten angegeben): heise online, 10.07.2026. [verifiziert] — Link ↩

2. UKRat als Folge des BVerfG-Urteils vom 19.05.2020, 1 BvR 2835/17. [amtlich, verifiziert] — Link ↩

3. § 15 Abs. 1 S. 1 BVerfSchG. [amtlich, verifiziert] — Link ↩

4. Nur Anspruch auf ermessensfehlerfreie Entscheidung bei Nichterreichen der Schwelle: WD 3-009/21, unter Verweis auf BVerwG, 24.03.2010, 6 A 2/09, Rn. 19. [amtlich, verifiziert] — Link ↩

5. „Tatsächliche Anhaltspunkte“ (§ 4 Abs. 1 S. 5 BVerfSchG): OVG NRW, 13.05.2024, 5 A 1216/22; BVerwGE 137, 275. [amtlich, verifiziert] — Link ↩

6. Stufen Prüffall/Verdachtsfall, nachrichtendienstliche Mittel ab Verdachtsfall: WD 3-125/24; Verfassungsblog, 01.02.2021. [amtlich bzw. fachlich, verifiziert] — Link ↩

7. § 15 Abs. 1 S. 2 BVerfSchG. [amtlich, verifiziert] — Link ↩

8. § 15 Abs. 3 BVerfSchG; BVerwG, 15.06.2016, 6 A 7.14, Rn. 15. [amtlich, verifiziert] — Link ↩

9. Auskunft unter aufwandsbedingtem Ermessen: Referentenentwurf, § 71 BVerfSchG-E (Nachfolger des § 15), Begründung: bei unverhältnismäßigem Aufwand „intendiert die Regelung zugleich eine grundsätzlich ablehnende Ausübung des verbleibenden Ermessens“; Ablehnung „ohne fallbezogene Ermessensbetätigung“. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026, Begründung zu Art. 1 § 71. ↩

10. Aufwandsschwelle bereits beim Auffinden: Referentenentwurf, Begründung zu § 71 BVerfSchG-E: unverhältnismäßiger Aufwand könne vorliegen, „wenn bei sonstigen Daten bereits deren Auffinden erheblichen Aufwand verursacht, insbesondere durch Prüfung der Frage, ob die festgestellten Informationen überhaupt den Antragsteller betreffen (Identitätsprüfung)“. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

11. Bewertung als verschleierte Verschlechterung: BfDI-Stellungnahme vom 14.07.2026, Abschnitt III.2. [amtlich, interessengeleitet — Aufsichtsbehörde] ↩

12. BND-Großdatei, Löschverweigerung mit Aufwandsverweis: BfDI-Tätigkeitsberichte, referiert bei Datenschutz-Agentur, 2022. [verifiziert] — Link ↩

13. Versagensgrund Quellengefährdung/Ausforschung (§ 15 Abs. 2 Nr. 2 BVerfSchG). [amtlich, verifiziert] — Link ↩

14. Verlust der BfDI-Zuständigkeit mit Inkrafttreten (Art. 24, angestrebt 01.01.2027): BfDI-Stellungnahme, Abschnitte III.1 und IV; Inkrafttreten nach Art. 21 des Entwurfs, Datum im Entwurf teils als Platzhalter. [amtlich, verifiziert] ↩

15. Individuelle Ersuchen an den UKRat erst ab 1. Januar 2029: Referentenentwurf, Art. 3, Übergangsvorschrift Abs. 3 i. V. m. § 38. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

16. Einordnung der Schutzlücke als verfassungswidrig: BfDI-Stellungnahme, Abschnitt III.1. [amtlich, interessengeleitet — Aufsichtsbehörde] ↩

17. 121 geprüfte Maßnahmen, eine Ablehnung: tagesschau.de, 19.03.2024 (WDR/NDR). [verifiziert] — Link ↩

18. Verteidigung der Quote durch UKRat-Präsident Hoch: tagesschau.de, 19.03.2024. [verifiziert, interessengeleitet — Betroffener] ↩

19. Austritte 2024, Streit um Strenge und Transparenz: tagesschau.de, 19.03.2024. [verifiziert] ↩

20. Fehlender technischer Sachverstand für KI-Analyse/Staatstrojaner: BfDI-Stellungnahme, Abschnitte I und V.2. [amtlich, interessengeleitet — Aufsichtsbehörde] ↩

21. Keine Begründung für die Aufsichtsverlagerung: BfDI-Stellungnahme, Abschnitt I. [amtlich, verifiziert] ↩

22. Prüfprogramm für bis zu 24 Monate, Stellungnahme des Dienstes vor Beschluss, Mitteilung von Änderungen: Referentenentwurf, Art. 3 § 26 Abs. 1. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

23. Beanstandungs-Kette (Einsichtsverlangen Ende 2023, Ablehnung durch den BND, Beanstandung beim Kanzleramt, Zurückweisung mit Verweis auf den Vorrang des UKRat): BVerwG, Pressemitteilung Nr. 15/2026 zum Urteil vom 04.03.2026, 6 A 2.24. [amtlich, verifiziert] — Link ↩

24. Keine wehrfähige Rechtsposition: BVerwG, Urteil vom 04.03.2026, 6 A 2.24. [amtlich, verifiziert] — Link ↩

25. Zugangsrechte des UKRat (Vorlage von Akten und Daten, jederzeitiger Zutritt und Systemzugang, Auskunftsverlangen; Ausnahme nur für die Identität operativ eingesetzter Personen): Referentenentwurf, Art. 3 § 13 Abs. 1–4 UKRat-Gesetz. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

26. Bindende Anweisung nur bei qualifiziertem Verstoß (abschließend: Verstoß gegen das Erfordernis der Vorab-/Einzelfallkontrolle, gegen Maßgaben des gerichtsähnlichen Kontrollorgans, gegen besondere Weiterverarbeitungsregeln): Referentenentwurf, Art. 3 § 34 Abs. 1 und 2 UKRat-Gesetz. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

27. Beim einfachen datenschutzrechtlichen Verstoß nur Beanstandung; Gleichsetzung der UKRat-Rügerechte mit den bisherigen Beanstandungsrechten der BfDI: Referentenentwurf, Art. 3 § 33 UKRat-Gesetz nebst Begründung. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

28. Bei Nichtbefolgung einer Anweisung nur Unterrichtung des PKGr: Referentenentwurf, Art. 3 § 34 Abs. 2 letzter Satz UKRat-Gesetz. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

29. Kein Recht auf Akteneinsicht; Rechtswegausschluss vor Benachrichtigung: Referentenentwurf, Art. 2 § 102 Abs. 6 und § 103 BND-Gesetz. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

30. NSA-Selektorenlisten: BVerfG, Beschluss vom 13.10.2016 (2 BvE 5/15); G‑10‑Kommission und Untersuchungsausschuss ohne Einsicht. [amtlich, verifiziert] — Link ↩

31. „Überragendes öffentliches Interesse an wirksamer Auslandsaufklärung“: BVerfG, 19.05.2020, 1 BvR 2835/17, Rn. 161–162. Kontext EU-Vergleich/US-Abhängigkeit: beck-aktuell, 07.07.2026. [amtlich bzw. verifiziert] — Link ↩

32. Verpflichtung zur Mitnutzung öffentlicher und privater Videoüberwachung, Echtzeit-Ausleitung und Übermittlung gespeicherter Aufzeichnungen: Referentenentwurf, Art. 1 § 15 (BfV) bzw. Art. 2 § 15 (BND). Fehlende Vorabkontrolle: BfDI-Stellungnahme, Abschnitt V.9. [amtlich, verifiziert] ↩

33. Zugriff auch auf rechtswidrig betriebene Anlagen: BfDI-Stellungnahme, Abschnitt V.9, unter Verweis auf die Landesbeauftragte NRW (MMST 18/2863). [amtlich, verifiziert] ↩

34. Regelhöchstspeicherfrist beim BfV von 10 auf 15 Jahre angehoben (Art. 1 § 38); Fristbeginn „mit dem Zeitpunkt der letzten Information, die eine Speicherung begründet“ (Art. 1 § 38 Abs. 4). [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

35. „Mittel zur Erprobung“, höchstens 4 Jahre zulässig, auch für Mittel von erheblicher Eingriffstiefe: Referentenentwurf, Art. 1 (Dienstvorschrift-Regelung, § 16-Bereich) bzw. Art. 2 § 19 Abs. 1 i. V. m. § 95 Abs. 1. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

36. Bewertung als Regelbetrieb: BfDI-Stellungnahme, Abschnitt V.8. [amtlich, interessengeleitet — Aufsichtsbehörde] ↩

37. Wandernde IFG-Sperrwirkung: Referentenentwurf, Art. 6 (Änderung des Informationsfreiheitsgesetzes), neue § 3 Nr. 9 IFG — Ausschluss, „wenn die Information Vorgänge oder Tätigkeiten von [Nachrichtendiensten] betrifft, insbesondere von diesen stammt oder deren Tätigkeit abbildet oder Rückschlüsse auf diese zulässt“. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026, Art. 6. ↩

38. Erstreckung der Bereichsausnahme auf Aufsichtsbehörden und UKRat: Referentenentwurf, Art. 6, neue § 3 Nr. 8 Buchst. b und c IFG. [amtlich, verifiziert] — NDRefG-Entwurf, Art. 6. ↩

39. Forderung nach „angemessener Datenbevorratung“ und längerer Auswertbarkeit: Marc Henrichmann (CDU), Vorsitzender des Parlamentarischen Kontrollgremiums, im Handelsblatt, 27.07.2026; wörtlich wiedergegeben u. a. bei taz.de, 27.07.2026. [interessengeleitet — politische Stimme] — Link ↩

40. Untersagung der Tätigkeitsbericht-Erstattung an das PKGr durch die Aufsichtsbehörden (Kanzleramt/BMI): Referentenentwurf, Art. 3 § 35 Abs. 3. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

41. Öffentlicher UKRat-Bericht erstmals für den Zeitraum 2028–2030, Erstveröffentlichung damit frühestens 2031: Referentenentwurf, Art. 3 § 36 Abs. 1. [amtlich, verifiziert] — NDRefG-Entwurf, Bearbeitungsstand 05.07.2026. ↩

---

Stand: Juli 2026

Die Geometrie des Stillstands

Die Analyse zum Weiterlesen – jetzt als E-Book bei Amazon

Bei Amazon ansehen

📱 Bleiben Sie informiert: Mein WhatsApp-Kanal