Der Hinweis auf eine Sicherheitslücke ist in Deutschland eine heiße Kartoffel

Ein IT-Berater prüft 2021 für einen Kunden eine fehlerhafte Software. Im Programm steht das Passwort zur Datenbank im Klartext. Er meldet sich an, sieht Daten von rund 700.000 Kunden und meldet die Lücke. Die Firma zeigt ihn an. Es folgen Hausdurchsuchung, Beschlagnahme und 3.000 Euro Geldstrafe, seit 2025 rechtskräftig. In dieser Lage bittet das BSI Betriebe, eine security.txt bereitzuhalten, damit Hinweise ankommen. Der Staat wirbt um Hinweise und verfolgt die, die sie geben.

Der Hinweis wandert, bis ihn jemand fallen lässt#

Wer eine Lücke meldet, reicht eine heiße Kartoffel weiter. Wer sie hält, muss handeln, also gibt man sie weiter: an den Dienstleister, an den Datenschutzbeauftragten, an niemanden. Von 747 erreichbaren Domains deutscher Netzbetreiber nennen 687 keinen Meldeweg. Wo es einen gibt, führt er oft zu einer Agentur, bei sechs Versorgern zu einer Datei, die seit September 2024 abgelaufen ist. Die Datei der Bundespolizei ist seit Februar 2025 verfallen, die des BSI gilt bis 2099.

Für eine Recherche mit der ZEIT prüfte der Autor dieses Kommentars im Frühjahr 2026 rund 670 deutschsprachige Websites, die den Datenbankdienst Supabase nutzen; fast die Hälfte der Datenbanken stand offen. Mehr als 250 betroffene Unternehmen wurden informiert, nur zwei antworteten¹. Der Anbieter räumte erst im Austausch mit der Redaktion ein, dass Anpassungen nötig sind. Selbst die amerikanische Cyberbehörde CISA, die allen zivilen Bundesbehörden eine Meldepolitik vorschreibt, ließ im Frühjahr 2026 neun Mails eines Forschers zu ihren eigenen offenliegenden Cloud-Schlüsseln unbeantwortet. In beiden Fällen kam Bewegung erst mit der Presse. Wie viele Hinweise gar nicht erst ankommen, weiß niemand: In Berlin ließen drei Antworten des Senats offen, ob acht gemeldete Vorfälle die Zahl der Angriffe abbilden oder die Zahl der Stellen, die einen Angriff überhaupt melden können².

Finden ist billig geworden, Einordnen nicht#

Lücken zu suchen war lange Arbeit für Spezialisten. Heute übernehmen Werkzeuge einen Teil davon, und dieselben Werkzeuge erzeugen neue Lücken: Die offenen Supabase-Datenbanken entstanden vielfach aus Voreinstellungen, die KI-Programmierhelfer ungeprüft übernahmen. Auch Scheinfunde werden billig. Das Open-Source-Projekt curl beendete im Januar sein Prämienprogramm, weil 2025 nicht einmal jede zwanzigste Meldung eine echte Lücke war.

Vieles, was offen steht, ist gar kein Programmierfehler. Es ist schlechte Einrichtung: ein Standardpasswort, ein vergessener Zugang, eine Datenbank ohne Zugriffsregeln. Im Berliner Verwaltungsleak vom August³ standen Zugangsdaten zu Fachverfahren im Klartext auf der Liste der Angreifer. Wo der Betreiber falsch einrichtet, gibt es keine CVE-Nummer, keine Meldepflicht des Herstellers und keine europäische Plattform. Zuständig ist allein der Betreiber. Hat er keine Adresse, hat der Hinweis keinen Empfänger.

Gute Triage verlangt einen belastbaren Nachweis. Den Nachweis zu erbringen heißt oft, sich mit dem gefundenen Passwort anzumelden. Genau dafür wurde der Berater verurteilt.

Der Staat veröffentlicht die Anlagen und behält die Deutung#

Die Bundesnetzagentur stellt im Marktstammdatenregister Betreiber, Leistung und für größere Anlagen den Standort ins Netz, herunterladbar für jeden. Eine kritische Anlage verschwindet dort nur, wenn ihr Betreiber nachweist, dass ihre Daten besonders schutzbedürftig sind. Ob diese Anlagen gut gesichert sind, darf ein Bürger dagegen kaum prüfen. Der Staat macht das Ziel öffentlich und die Prüfung verdächtig.

Die Umwege sind bekannt. Freiwillige melden nach Beobachtung der Gesellschaft für Informatik eher über das BSI oder den Chaos Computer Club, andere über die Datenschutzaufsicht, die Betreibern das Schließen anordnen kann. Dass Hinweise über einen Verein laufen, spricht für den Verein und gegen den Staat. Solange der direkte Weg ein Strafrisiko trägt, ist der CCC ein Notausgang.

Versprochen ist die Lösung seit 2021#

Die Ampel schrieb 2021 in ihren Koalitionsvertrag, das Identifizieren, Melden und Schließen von Lücken solle legal werden. Der Entwurf kam im November 2024 und endete mit der Koalition. Union und SPD versprechen 2025 erneut Rechtssicherheit für Sicherheitsforschung, bei der Missbrauch verhindert werden soll. Einen öffentlichen Entwurf gibt es, soweit ersichtlich, nicht.

Andere Länder zeigen, was hält#

Die USA klagen gutgläubige Sicherheitsforschung seit 2022 nicht mehr an. Das ist eine interne Richtlinie des Justizministeriums, kein Gesetz, und die nächste Regierung kann sie zurücknehmen. Wie schnell so etwas wackelt, zeigte der April 2025, als der Vertrag für das weltweite CVE-Verzeichnis erst in der Nacht vor dem Auslaufen verlängert wurde.

Die Niederlande kommen seit 2013 ohne Gesetz aus. Firmen veröffentlichen Meldepolitiken, die Staatsanwaltschaft hat Leitlinien, nach denen sie gutgläubige Melder nicht verfolgt. Das funktioniert, weil niederländische Staatsanwälte nach Ermessen handeln. In Deutschland gilt das Legalitätsprinzip; eine Leitlinie verhindert hier nicht die Ermittlung, also auch nicht Durchsuchung und Beschlagnahme.

Die Ukraine hat im Dezember 2025 geregelt, was Deutschland vertagt. Auf Grundlage einer Strafrechtsänderung von 2023 darf dort jeder staatliche Systeme und kritische Infrastruktur auf Lücken prüfen, solange er nicht in den Betrieb eingreift und nichts ausnutzt. Wer etwas findet, informiert binnen 24 Stunden den Betreiber und das nationale CERT, beide zugleich. Ob das wirkt, lässt sich nach neun Monaten nicht sagen. Dass es geht, schon.

Der Eingang braucht ein Gesetz, eine Stelle und eine Zusage#

Das Gesetz folgt dem ukrainischen Muster. Straffrei bleibt, wer ohne Eingriff und ohne Ausnutzung prüft, nichts behält, nichts fordert und binnen kurzer Frist Betreiber und BSI zugleich informiert. Ein staatliches Veto über die spätere Veröffentlichung gehört nicht dazu. Die doppelte Meldung sorgt dafür, dass keiner der beiden den Hinweis allein liegen lassen kann, und sie erfüllt das Koalitionsversprechen, Missbrauch zu verhindern: Wer meldet, hat seine Absicht dokumentiert.

Die Stelle gehört zum BSI und bekommt gesetzliche Vertraulichkeit, wie Frankreich sie seiner Cyberbehörde ANSSI vorschreibt. Sie schützt die Identität der Melder, prüft Nachweise, filtert Scheinfunde und leitet auch Fehlkonfigurationen an Betreiber weiter, die kein Hersteller und keine CVE erfasst. Sie braucht einen festen Haushaltstitel, damit sie nicht wie das CVE-Verzeichnis an einem Vertragsdatum hängt. Wie weit der Weg ist, zeigt Berlin: Das Cyber-Defence-Center sollte zur Meldestelle nach NIS-2 werden, ein Betrieb rund um die Uhr war laut Umsetzungsbericht vom März 2026⁴ nur „vorbereitet“.

Die Zusage kommt ohne neues Gesetz aus. NIS-2-Einrichtungen müssen schon heute die Offenlegung von Schwachstellen regeln. Das BSI erkennt eine veröffentlichte Meldepolitik mit Zusage, gutgläubige Prüfungen nicht zu verfolgen, als Nachweis dafür an; die Datenschutzaufsicht wertet sie bei Bußgeldern zugunsten des Betreibers, was Artikel 83 der DSGVO heute schon erlaubt. Der Bund macht es für seine Domains bis Ende 2026 vor. Wer vorab erlaubt, macht den Finder zum Befugten. Eine Pflicht für den Mittelstand braucht es dafür nicht.

Die Frage dahinter ist, wem die Deutung einer Lücke gehört: dem, der sie findet, dem, der sie hat, oder nur dem Staat. Ein liberaler Rechtsstaat verteilt sie auf alle drei und öffnet den Eingang. Dann wird der Notausgang zur Wahl.