Sachsen nimmt auch USA und Israel beim Wirtschaftsschutz in den Blick
Dresden. Wer kann auf sensible Daten sächsischer Unternehmen und Forschungseinrichtungen zugreifen – und welche Risiken entstehen, wenn ausländische Konzerne gesetzlichen Verpflichtungen ihrer Heimatstaaten unterliegen?
Eine neue Antwort der sächsischen Staatsregierung liefert darauf bemerkenswerte Aussagen.
Ausgangspunkt ist eine Kleine Anfrage des BSW-Landtagsabgeordneten Bernd Rudolph. Er wollte wissen, wie amerikanische und israelische Sicherheits- und Nachrichtendienstgesetze beim Wirtschaftsschutz in Sachsen berücksichtigt werden.
Konkret nennt die Anfrage unter anderem den amerikanischen CLOUD Act, die Überwachungsbefugnisse nach Section 702 des Foreign Intelligence Surveillance Act (FISA) sowie israelische Rechtsgrundlagen.
Die Antwort des Innenministeriums stammt vom 22. September und wurde inzwischen als Landtagsdrucksache 8/8167 veröffentlicht. Der Sächsische Landtag führt sie unter den neuesten parlamentarischen Dokumenten.
Staatsregierung nennt Datenabfluss und Wissenstransfer als Risiko
Besonders deutlich wird die Antwort bei der Frage nach amerikanischen Unternehmen.
Gefragt wurde, welche Gefahren Sachsen darin sieht, dass US-amerikanische Unternehmen unter bestimmten rechtlichen Voraussetzungen Daten herausgeben müssen, die sich in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befinden – auch wenn diese Daten außerhalb der Vereinigten Staaten gespeichert werden.
Die Antwort der Staatsregierung:
> „Insbesondere das Risiko des ungewollten Datenabflusses und Wissenstransfers“
könne bestehen.
Die Aussage ist bemerkenswert, weil sie nicht nur personenbezogene Daten betrifft. Die Anfrage bezieht sich ausdrücklich auch auf Unternehmen, Forschungseinrichtungen und strategisch bedeutsame Industrieanlagen in Sachsen.
Damit berührt das Thema Bereiche wie Forschungsergebnisse, technische Entwicklungen, industrielle Informationen und Unternehmensdaten.
Die Staatsregierung sagt allerdings nicht, dass ein solcher Datenabfluss tatsächlich stattgefunden habe. Sie beschreibt ein mögliches Risiko, wenn entsprechende gesetzliche Herausgabepflichten greifen.
Was der CLOUD Act tatsächlich erlaubt
Ein zentraler Hintergrund der Anfrage ist der 2018 in Kraft getretene amerikanische Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act.
Das US-Justizministerium beschreibt seine Wirkung so: Ein Anbieter, der der amerikanischen Gerichtsbarkeit unterliegt, kann aufgrund eines rechtmäßigen Verfahrens verpflichtet werden, elektronische Daten herauszugeben, die sich in seinem Besitz oder unter seiner Kontrolle befinden – unabhängig davon, in welchem Land diese Daten gespeichert sind.
Entscheidend ist deshalb nicht zwangsläufig der physische Standort eines Servers.
Ein in Europa betriebenes Rechenzentrum bedeutet demnach nicht automatisch, dass Daten grundsätzlich außerhalb der Reichweite amerikanischer Rechtsvorschriften liegen, wenn der betreffende Anbieter selbst der US-Gerichtsbarkeit unterliegt.
Das US-Justizministerium betont zugleich, dass der CLOUD Act keinen pauschalen oder voraussetzungslosen Zugriff auf sämtliche gespeicherten Daten eröffnet. Vielmehr gehe es um gesetzlich zulässige Anordnungen und um elektronische Beweismittel insbesondere im Rahmen von Strafverfahren.
Auch Section 702 wird ausdrücklich angesprochen
Noch sensibler ist die zweite in der Anfrage genannte amerikanische Rechtsgrundlage: Section 702 des Foreign Intelligence Surveillance Act.
Nach Angaben des amerikanischen Director of National Intelligence ermöglicht Section 702 die Gewinnung ausländischer Nachrichtendienstinformationen über bestimmte Nicht-US-Personen außerhalb der Vereinigten Staaten. Nach Genehmigung der entsprechenden Verfahren durch das zuständige FISA-Gericht können der US-Justizminister und der Director of National Intelligence schriftliche Anordnungen erlassen, durch die amerikanische Anbieter elektronischer Kommunikationsdienste zur Mitwirkung verpflichtet werden.
Das unterscheidet Section 702 in seiner Funktion deutlich vom CLOUD Act: Während der CLOUD Act wesentlich den Zugriff auf elektronische Beweismittel im Rahmen rechtmäßiger Ermittlungsverfahren betrifft, ist Section 702 ein Instrument der Auslandsnachrichtengewinnung.
Welche Bedeutung die einzelnen amerikanischen Vorschriften konkret für die Risikobewertung des sächsischen Verfassungsschutzes haben, legt die Staatsregierung allerdings nicht offen.
Verfassungsschutz prüft ausländische Rechtsgrundlagen
Das Innenministerium erklärt grundsätzlich, dass in der Spionageabwehr eine sogenannte „360°-Bearbeitung“ vorgenommen werde.
Dabei werde allen tatsächlichen Anhaltspunkten für sicherheitsgefährdende oder geheimdienstliche Tätigkeiten für eine fremde Macht nachgegangen.
Ausländische Rechtsgrundlagen für nachrichtendienstliche Tätigkeiten seien dabei Bestandteil der Risikobewertung.
Gleichzeitig stellt die Staatsregierung klar: Wenn ausländische Nachrichtendienste in Deutschland tätig werden, müssen ihre Aktivitäten nach deutschem Recht beurteilt werden.
Eingriffe ausländischer Nachrichtendienste in deutsche Grundrechte seien auf deutschem Boden unzulässig. Maßnahmen aus dem Ausland könnten zudem strafbar sein, wenn sie in Deutschland einen Straftatbestand verwirklichen – beispielsweise bei bestimmten Zugriffen auf IT-Systeme.
Auch bei Israel sieht Sachsen mögliche Risiken
Die Anfrage beschränkt sich nicht auf die Vereinigten Staaten.
Für Israel wurde gefragt, welche Risiken aus gesetzlichen Zugriffs-, Übermittlungs- oder Überwachungsbefugnissen entstehen können.
Auch hier antwortet das Innenministerium deutlich.
Soweit entsprechende Befugnisse bestehen, sieht die Staatsregierung insbesondere Risiken beim Zugriff auf sensible Unternehmensdaten, bei möglichen Verletzungen datenschutzrechtlicher Bestimmungen sowie bei Reputationsschäden.
Damit macht Sachsen grundsätzlich deutlich, dass beim Wirtschaftsschutz nicht allein Staaten wie China oder Russland betrachtet werden, sondern auch rechtliche Zugriffsmöglichkeiten verbündeter Staaten in die Bewertung einfließen können.
Warum wurde China ausführlicher behandelt?
Genau hier setzt der politisch interessante Teil der Anfrage an.
Rudolph verweist auf eine frühere Kleine Anfrage mit der Drucksachennummer 8/7658. Dort hatte die Staatsregierung nach Darstellung der jetzigen Drucksache gesetzliche Zugriffs- und Mitwirkungspflichten der Volksrepublik China ausführlicher dargestellt.
USA und Israel waren ebenfalls ausdrücklich abgefragt worden, wurden aber nicht in vergleichbarer Weise behandelt.
Deshalb stellte Rudolph nun die Frage:
Warum wurden die chinesischen Rechtsgrundlagen ausführlich dargestellt, entsprechende Vorschriften aus den USA und Israel jedoch nicht?
Darauf gibt die Staatsregierung keine öffentliche inhaltliche Antwort.
Geheimschutz hat Vorrang
Die Begründung des Innenministeriums ist umfangreich.
Eine Antwort könne Rückschlüsse auf Methoden der Nachrichtenbeschaffung, nachrichtendienstliche Zugänge oder die für die Bearbeitung eingesetzten Ressourcen ermöglichen. Dadurch könnte die Arbeitsfähigkeit des sächsischen Landesamtes für Verfassungsschutz beeinträchtigt werden.
Die betreffenden Informationen seien deshalb als Verschlusssache eingestuft.
Das Informationsinteresse des Abgeordneten sei gegen das staatliche Geheimhaltungsinteresse abgewogen worden.
Das Ergebnis:
Der Geheimschutz erhält Vorrang.
Auch eine andere Form der öffentlichen Informationsübermittlung hält die Staatsregierung nach eigener Darstellung nicht für möglich. Nur wenn die Informationen vollständig zurückgehalten würden, könne der notwendige Geheimschutz gewährleistet werden.
Parlamentarische Kontrollkommission kann mehr erfahren
Ganz verschlossen bleiben die Informationen gegenüber dem Parlament allerdings nicht.
Das Innenministerium weist darauf hin, dass die Parlamentarische Kontrollkommission im Rahmen ihrer gesetzlichen Kontrollrechte weitergehende Auskünfte verlangen und Einsicht in Akten und Dateien des Landesamtes für Verfassungsschutz nehmen kann.
Verschlusssachen können damit parlamentarisch kontrolliert werden, ohne öffentlich gemacht zu werden.
Für Öffentlichkeit und Unternehmen bleibt dagegen offen, welche amerikanischen oder israelischen Vorschriften Sachsen konkret wie bewertet.
Serverstandort allein beantwortet die Sicherheitsfrage nicht
Aus der Regierungsantwort ergibt sich damit ein für Unternehmen relevanter Punkt.
Bei der Bewertung von Cloud- und IT-Dienstleistungen reicht es nicht zwangsläufig aus, nur darauf zu schauen, wo ein Server physisch steht.
Mindestens ebenso wichtig kann sein, welchem nationalen Recht ein Anbieter unterliegt und welche Herausgabe- oder Mitwirkungspflichten daraus entstehen können.
Der CLOUD Act zeigt dieses Prinzip besonders anschaulich: Nach Darstellung des US-Justizministeriums kann ein der amerikanischen Gerichtsbarkeit unterliegender Anbieter zur Herausgabe von Daten in seinem Besitz oder unter seiner Kontrolle verpflichtet werden, auch wenn diese außerhalb der USA gespeichert sind.
Das bedeutet allerdings nicht, dass amerikanische Behörden jederzeit beliebig auf sämtliche Daten amerikanischer Cloudanbieter zugreifen könnten. Auch diese Verfahren unterliegen gesetzlichen Voraussetzungen.
Wirtschaftsschutz wird zur Frage der digitalen Souveränität
Für Sachsen ist die Angelegenheit besonders relevant.
Der Freistaat beherbergt mit seinen Halbleiterstandorten, Forschungsinstituten, Universitäten, Maschinenbauunternehmen und anderen technologisch spezialisierten Betrieben zahlreiche Einrichtungen, bei denen Wissen und Daten einen erheblichen wirtschaftlichen und strategischen Wert besitzen.
Die jetzt veröffentlichte Antwort zeigt, dass der sächsische Wirtschaftsschutz ausländische Rechtsordnungen bei seiner Risikobewertung grundsätzlich berücksichtigt.
Sie zeigt zugleich die Grenze dessen, was die Staatsregierung darüber öffentlich mitteilen will.
Dass bei möglichen US-amerikanischen Zugriffspflichten ungewollter Datenabfluss und Wissenstransfer als Risiko genannt werden und bei israelischen Regelungen sensible Unternehmensdaten und Datenschutz angesprochen werden, steht nun ausdrücklich in einer öffentlichen Landtagsdrucksache.
Wie groß die Staatsregierung diese Risiken einschätzt, welche Branchen besonders betroffen sein könnten und welche konkreten amerikanischen oder israelischen Vorschriften der Verfassungsschutz in welcher Weise bewertet, bleibt dagegen geheim.
