Investigativ-Reporter: So kam die BSI-Warnung vor Kaspersky zustande

Es sieht dabei so aus, als hätte das Ergebnis, sich für eine Warnung auszusprechen, schon vor der eigentlichen Untersuchung festgestanden - so kann man zumindest die Zusammenfassung der Recherche sehen.

Der Bayerische Rundfunk hatte gemeinsam mit dem Spiegel versucht, Licht in das Dunkel des Entscheidungsprozesses zu bringen, der schließlich zu der Warnung vor Kaspersky geführt hatte. Es zeigt sich nun, dass BSI und Innenministerium eng im Austausch standen und politische Aspekte eine wichtige Rolle gespielt haben. Die Politik stand dabei über einer direkten technischen Einschätzung.

Das BSI hatte dabei eine erste "Krisensitzung" zum Umgang mit Kaspersky etwa eine Woche nach den ersten Angriffen von Russland auf die Ukraine abgehalten. Infografik: Im Visier russischer Hacker Beschlossen wurde, so geht es laut Tagesschau.de aus dem Protokoll hervor, "etwaige Erkenntnisse/technische Gründe" zusammenzustellen, die eine Warnung begründen. "Dass gewarnt werden soll, scheint bereits beschlossene Sache", heißt es dabei.

Aus der Recherche geht aber auch hervor, dass es keine einstimmige Entscheidung war. Nicht alle im Bundesamt waren überzeugt, es gab einige Gegenreden: So wurde laut den Dokumenten, die der BR eingesehen hat, darauf hingewiesen, dass Kaspersky Server in die Schweiz verlegt hatte und andere Maßnahmen getroffen habe, um den Einfluss Russlands zu minimieren. Eine "technische Sicherheitslücke" sei nicht erkenn- oder nachweisbar. Im BSI kommt man daher zu dem Schluss, dass man die Warnung umformulieren wird.

Politische Flankierung "gewünscht"

Man erbat sich daher Hilfe. In einer E-Mail hieß es: "Seitens des BSI sind wir an einer starken politischen Flankierung durch das BMI interessiert." Später wurde die Warnung dann durch den Zusatz "sämtliche Annahmen, die das BSI über Kaspersky getroffen habe, seien mit dem Krieg hinfällig" ergänzt.

Das Journalisten-Team hatte nach ersten Recherchen Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht in Bremen, mit ins Boot geholt. Kipker kommt zum Schluss, dass das BSI "eindeutig vom Ergebnis her" gearbeitet hat. "Das widerspreche dem Auftrag des BSI, auf Grundlage wissenschaftlich-technischer Erkenntnisse zu agieren, wie es in Paragraf 1 des BSI-Gesetzes heiße. Diese Arbeitsmethode setzt eigentlich voraus, dass man gerade nicht das Ergebnis zuerst hat und dann überlegt, wie kann ich es herleiten." Diese Machart müsste man nun noch einmal auf den Prüfstand stellen.

Erste Reaktion von Kaspersky

Kaspersky hat dazu bereits eine umfangreiche Stellungnahme abgegeben. Darin heißt es, dass Kaspersky es begrüßt, dass die Medien von den Möglichkeiten des Bundesinformationsfreiheitsgesetzes Gebrauch gemacht haben, auf der Grundlage der 370 Seiten umfassenden BSI-Akten recherchiert und die Öffentlichkeit über ihre Erkenntnisse informiert haben.

Kaspersky stellt zudem jetzt noch einmal klar, dass das Unternehmen dem BSI seit Februar umfangreiche Informationsangebote gemacht und es zu Tests und Audits eingeladen hat. Auf keines dieser Angebote ist das BSI eingegangen.

Die Stellungnahme schließt mit der Versicherung, dass man bereit ist, mit dem BSI zusammenzuarbeiten: "Kaspersky versichert seinen Partnern und Kunden weiterhin die Qualität und Integrität seiner Produkte und ist bestrebt, mit dem BSI zusammenzuarbeiten, um dessen Entscheidung zu klären und die Bedenken des BSI und anderer Regulierungsbehörden auszuräumen."

Siehe auch: