Geheimdienstreform: Die geliehene Souveränität

Wie Deutschland seine Sicherheitsbehörden an ein israelisches Privatunternehmen auslagerte

Ein Meinungsbeitrag von Dirk Ellerbrock.

Am 12. August 2026 beschloss das Bundeskabinett eine Reform der deutschen Geheimdienstarchitektur: die Auflösung der G10-Kommission in ihrer bisherigen Form, die Unterbesetzung des Parlamentarischen Kontrollgremiums, ein Vetorecht der Exekutive gegenüber dessen Beschlüssen. Begründet wird das mit der Notwendigkeit schnellerer, schlagkräftigerer Sicherheitsbehörden. Was in der Debatte fehlt, ist ein Präzedenzfall, an dem sich zeigen lässt, was ein solcher Kontrollabbau in der Praxis bedeutet – denn dieser Präzedenzfall existiert bereits, er liegt nur sieben Jahre zurück und heißt Pegasus.

Der Handschlag als Vorzeichen

Am 11. Januar 2026 reist Bundesinnenminister Alexander Dobrindt nach Jerusalem. Er trifft dort, wie das Bundesinnenministerium selbst in seiner Pressemitteilung festhält, Ministerpräsident Benjamin Netanyahu und Außenminister Gideon Sa’ar. Gemeinsam unterzeichnen sie einen Cyber- und Sicherheitspakt, der die Zusammenarbeit beider Länder in Cybersicherheit, Terrorabwehr und künstlicher Intelligenz vertieft. Israel, heißt es aus dem Ministerium, sei Deutschlands wichtigster Sicherheitspartner außerhalb von NATO und EU. Der für die israelische Polizei zuständige Minister, Itamar Ben-Gvir, taucht in keiner der verfügbaren Quellen zu diesem Besuch auf. Ob das Zufall ist oder Kalkül, lässt sich nicht belegen. Belegt ist nur: Man sucht die Nähe zum Regierungschef, gegen den ein Haftbefehl des Internationalen Strafgerichtshofs vorliegt, und nicht die zum Minister, dessen Rhetorik selbst wohlwollenden Partnern zu unbequem sein könnte. Das ist die erste Pointe dieser Geschichte, und sie handelt, wie sich zeigen wird, nicht von Symbolik, sondern von einer sehr viel konkreteren Frage: Wem gehört eigentlich die Kontrolle über deutsche Überwachungstechnik?

Der Kauf und seine verschwiegene Bedingung

Ende 2019 erwirbt das Bundeskriminalamt die Spionagesoftware Pegasus von der israelischen NSO Group. Der Kauf ist amtlich bestätigt. Was seltener erwähnt wird, ist die Bedingung, unter der dieser Kauf überhaupt zustande kam: Das BKA kann Pegasus nicht selbstständig bedienen. Das ist keine Zuspitzung, sondern eine Aussage, die die Behörde selbst im Innenausschuss des Bundestags gemacht hat – demnach ist das BKA für jede einzelne Überwachungsmaßnahme auf die Mithilfe der NSO Group angewiesen und muss der Firma die notwendigen Zielinformationen liefern, etwa die zu überwachende Telefonnummer. Eine deutsche Sicherheitsbehörde kauft also nicht ein Werkzeug, das sie fortan selbst bedient. Sie kauft einen Dienst, für dessen Ausführung sie ein privates ausländisches Unternehmen bei jeder einzelnen Maßnahme neu ins Vertrauen ziehen muss. Bis heute verweigert das BKA die Offenlegung des Kaufvertrags – netzpolitik.org und FragDenStaat klagen deswegen mittlerweile zum dritten Mal.

Genau das ist der Punkt, an dem die neue Geheimdienstreform ihre eigentliche Brisanz gewinnt: Wenn schon das bestehende, formal noch bestehende PKGr über einen solchen Vertrag nicht informiert wurde, was bedeutet dann ein Kontrollgremium mit Vetorecht der Exekutive für den nächsten Fall dieser Art?

Die Firewall, die keine ist

Um verfassungsrechtliche Bedenken zu adressieren, bot NSO dem BKA eine technische Kompromisslösung an: eine Art Firewall, die den Zugriff der Beamten auf die abgegriffenen Daten begrenzen sollte. Das Bundesverfassungsgericht erlaubt den Einsatz solcher Software ohnehin nur in eng umrissenen Ausnahmefällen. Doch die entscheidende Schwäche der Firewall-Konstruktion liegt woanders: Sie wird von genau demselben Unternehmen kontrolliert, dessen Zugriff sie eigentlich begrenzen soll.

Wie wenig sich NSO an selbst gesetzte oder gerichtlich verordnete Grenzen hält, zeigt der Rechtsstreit mit Meta. Im Mai 2025 sprach eine Jury vor einem US-Bundesgericht in Kalifornien dem WhatsApp-Mutterkonzern Schadensersatz zu – ursprünglich rund 167 Millionen US-Dollar Strafschadensersatz, später vom Gericht deutlich auf etwa vier Millionen US-Dollar reduziert. Das Verfahren bewies gerichtlich, was NSO jahrelang bestritten hatte: Das Unternehmen hatte aktiv die Server-Infrastruktur von WhatsApp ausgenutzt, um Zielpersonen zu infizieren – rund 1.400 Nutzer, darunter Journalisten und Menschenrechtsaktivisten. Das Gericht verhängte daraufhin eine dauerhafte Unterlassungsverfügung, rechtskräftig seit dem 28. Januar 2026. Im Juni 2026 stellte Meta fest, dass NSO die Verfügung ignoriert und im Februar und April erneut WhatsApp-Nutzer angegriffen hatte – und beantragte ein Ordnungsgeldverfahren. Ein Gericht hatte es verboten. NSO machte weiter. Das ist der eigentliche Beweis dafür, dass die „Firewall“, die deutschen Behörden Kontrolle suggerieren soll, auf dem Wohlverhalten eines Unternehmens beruht, das sich nachweislich auch an bindende gerichtliche Anordnungen nicht hält.

Der Ausschuss, dessen eigene Mitglieder zu Zielen wurden

Auf europäischer Ebene kam der eigens eingerichtete PEGA-Ausschuss des Europäischen Parlaments zu einem eindeutigen Befund: Pegasus sei für Strafverfolgungszwecke strukturell ungeeignet, weil die Software es ermöglicht, Zielpersonen nachträglich Beweise unterzuschieben. Das ist keine Dual-Use-Frage, sondern eine rechtsstaatliche Inkompatibilität im Kern der Technologie. Der Ausschuss empfahl eine strenge Regulierung. Deutschland legte dagegen sein Veto ein, mit Verweis auf nationale Sicherheitsinteressen – gemeinsam mit Frankreich.

Wie berechtigt die Warnungen des Ausschusses waren, zeigte sich an seinen eigenen Reihen: Der griechische Europaabgeordnete Stelios Kouloglou, der im Ausschuss mitarbeitete, wurde während seiner aktiven Tätigkeit dort mehrfach mit Pegasus gehackt. Citizen Lab konnte den Angriff keiner bestimmten Regierung eindeutig zuordnen, fand aber Verbindungen zu früheren Kampagnen gegen russische und belarussische Exiljournalisten. Wenn nicht einmal ein gewähltes Mitglied des Kontrollgremiums selbst vor der Software sicher ist, die es untersucht, wird die europäische Blockadehaltung gegenüber schärferer Regulierung selbst zum Sicherheitsrisiko.

Kein Unternehmen wie jedes andere

NSO stellt sich seit jeher als unabhängiges Wirtschaftsunternehmen dar, das seine Kunden nicht kenne und keinen Einfluss auf deren Vorgehen habe. Eine aktuelle Recherche von OCCRP, Código Morse und Shomrim stellt diese Erzählung infrage: Panamaische Einreisedokumente belegen, dass NSO-Mitgründer Shalev Hulio im Dezember 2013 mit einem israelischen Diplomatenpass nach Panama einreiste, als Beruf „Diplomat“ angab und die israelische Botschaft als Aufenthaltsadresse nannte. Hulio bestreitet, den Staat Israel repräsentiert zu haben – die Dokumente selbst sind unbestritten.

Diese Nähe zum Staat zeigt sich auch strukturell: Jeder Pegasus-Export benötigt eine Genehmigung des israelischen Verteidigungsministeriums. Das ist keine Formalie. Eine Recherche der New York Times aus dem Jahr 2022 zeigte, dass Israel Verkäufe an Aserbaidschan, Marokko, die Vereinigten Arabischen Emirate und Saudi-Arabien genehmigte, um ein Bündnis gegen den Iran zu schmieden – während Verkäufe an die Ukraine und Estland blockiert wurden, um Russland nicht zu verärgern. Der Zugang zu Pegasus fiel zeitlich mit den Abraham-Abkommen zusammen. Als 2016 eine israelische Parlamentsabgeordnete gemeinsam mit einem Menschenrechtsanwalt vor dem Obersten Gerichtshof den Entzug der Exportlizenz erwirken wollte, scheiterte die Klage – die Gerichtspräsidentin begründete dies mit der wirtschaftlichen Bedeutung des Exporthandels für Israel.

Deutschland verhandelt in dieser Konstellation nicht mit einem gewöhnlichen Technologieanbieter. Es verhandelt mit einem Akteur, dessen Exportentscheidungen der israelische Staat selbst als außenpolitisches Instrument nutzt – nur eben ohne das diplomatische Besteck, das für zwischenstaatliche Abhängigkeiten sonst existiert: keine Rüstungsexportkontrolle, kein bilaterales Datenschutzabkommen, keine parlamentarische Aufsicht auf deutscher Seite, die diesen Namen verdient.

Das Lehrstück aus Spanien

Was es bedeutet, wenn man auf diese Abhängigkeit trifft, selbst mit gutem Willen, zeigt der Fall Spanien. Auch Ministerpräsident Pedro Sánchez wurde selbst Ziel: Sein Telefon wurde zwischen 2020 und 2021 fünfmal mit Pegasus infiziert, mehr als 2,5 Gigabyte an Daten wurden abgezogen. Auch die Telefone der Verteidigungs-, Innen- und Landwirtschaftsministerin bzw. -ministers waren betroffen. Ein spanischer Ermittlungsrichter versuchte aufzuklären, wer dahintersteckt – der Verdacht fiel auf Marokko. Doch im Januar 2026 musste das oberste Gericht Spaniens die Ermittlungen einstellen. Begründung: Israel habe fünf Rechtshilfeersuchen schlicht ignoriert. Der Richter sprach von einem Verstoß gegen völkerrechtliche Treu-und-Glauben-Pflichten. Selbst ein Staat mit erkennbarem politischem Aufklärungswillen – anders als Deutschland hatte Spanien immerhin ein Gerichtsverfahren eingeleitet – stößt an eine Grenze, die nicht die eigene Justiz zieht, sondern das israelische Exportregime.

Eine Verfassung ohne Durchgriff

Diese strukturelle Machtlosigkeit gegenüber israelischen Entscheidungen ist kein Einzelphänomen der Sicherheitsbehörden. Sie zeigt sich, in anderer Form, auch dort, wo das Grundgesetz eigentlich eine klare Vorgabe macht. Artikel 25 GG bestimmt, dass die allgemeinen Regeln des Völkerrechts Bestandteil des Bundesrechts sind und den einfachen Gesetzen vorgehen – das Verbot des Völkermords zählt zu diesen allgemeinen Regeln, unstrittig. Vor dem Internationalen Gerichtshof verhandelt seit Ende 2023 das Verfahren Südafrika gegen Israel wegen mutmaßlicher Verstöße gegen die Völkermordkonvention in Gaza; der IGH hat den Vorwurf im Januar 2024 als „plausibel“ eingestuft und Israel zu Schutzmaßnahmen verpflichtet, ein Urteil in der Hauptsache steht noch aus. Deutschland erwog zunächst, zugunsten Israels zu intervenieren, und zog diese Absicht erst im März 2026 zurück. Ein eigenständiges Verfahren, das Nicaragua gegen Deutschland wegen dessen Rüstungsunterstützung für Israel angestrengt hat, läuft ebenfalls noch.

Was Artikel 25 GG in der Theorie verspricht, zeigt sich in der Praxis als folgenlos: Am 3. Februar 2026 wies das Bundesverfassungsgericht die Verfassungsbeschwerde eines Palästinensers aus Gaza gegen die Genehmigung deutscher Panzerteile-Exporte zurück – nicht in der Sache, sondern mangels Klagebefugnis. Das deutsche Außenwirtschaftsrecht räume, so die Begründung der Vorinstanzen, von Waffenlieferungen betroffenen Menschen im Ausland schlicht kein subjektives Recht ein, gegen die Genehmigung vorzugehen. Es ist damit nicht eine unwillige Behörde, die hier versagt – es ist das einfache Recht selbst, das keine Brücke zwischen dem verfassungsrechtlichen Anspruch aus Artikel 25 GG und der tatsächlichen Exportpraxis vorsieht. Wer errechnen will, wie souverän eine Kontrollarchitektur tatsächlich ist, muss nicht nur fragen, wer entscheidet, sondern auch, wer diese Entscheidung überhaupt anfechten kann. In beiden hier beschriebenen Fällen – Pegasus wie Rüstungsexport – lautet die Antwort: praktisch niemand.

Die doppelte Bewegung

Diese Auslagerung geschieht nicht im luftleeren Raum. Sie fällt zeitlich zusammen mit dem parallelen Abbau innerer Kontrollmechanismen: der Auflösung der G10-Kommission, der Unterbesetzung des Parlamentarischen Kontrollgremiums, dem Vetorecht der Exekutive im Rahmen der jüngsten Geheimdienstreform.

Deutschland baut also gleichzeitig die parlamentarische Aufsicht über die eigenen Dienste ab und vertieft die technische Abhängigkeit von einem Akteur, der selbst keiner deutschen Kontrolle unterliegt. Das ist ein doppelter Souveränitätsverlust – nach innen wie nach außen.

Was das nicht heißt

Man sollte diesen Befund nicht überdehnen. Aus der belegten Abhängigkeit im Bereich der inneren Sicherheit lässt sich keine generelle Steuerung der deutschen Außenpolitik durch Israel ableiten – dafür gibt es in anderen Politikfeldern, Handel, UN-Abstimmungsverhalten, keine vergleichbare Beleglage. Die belastbare These ist enger, aber nicht weniger ernst: Im Bereich der inneren Sicherheit hat Deutschland eine Abhängigkeitsstruktur akzeptiert, die mit dem eigenen Anspruch auf parlamentarische Kontrolle und nationale Souveränität nicht vereinbar ist – und die gerade jetzt, mit der neuen Geheimdienstreform, weiter vertieft statt korrigiert wird.

Verteidiger der Kooperation würden einwenden, Deutschland kaufe hier lediglich technisches Know-how ein, das im Inland fehle, und die Firewall-Konstruktion sei als ernstgemeinter Kompromiss gedacht gewesen – ähnliche Abhängigkeiten von privaten Sicherheitsanbietern seien in der gesamten westlichen Überwachungsarchitektur üblich, man denke an Palantir oder Clearview AI. Der Einwand trifft im Allgemeinen zu. Er verfehlt aber die Besonderheit dieses Falls: Kein anderer Anbieter vertreibt staatswaffenfähige Cyberkapazität kommerziell an mehr als 140 Länder, und kein vergleichbarer Fall zeigt eine derart enge, dokumentierte Verflechtung zwischen Unternehmensgründer und Staatsapparat wie der Diplomatenpass aus Panama. Israel ist, was Pegasus betrifft, nicht das Symptom eines allgemeinen Problems. Es ist dessen bislang am wenigsten regulierter Einzelfall – und Deutschland hat sich, sieben Jahre nach dem ersten Kauf und wenige Tage nach dem nächsten Kontrollabbau, noch immer nicht entschieden, daran etwas zu ändern.

+++

Bildquelle: motioncenter / shuttersock

+++

Quellen:



Kabinettsbeschluss / Geheimdienstreform

• Kabinettsbeschluss vom 12.08.2026 – Gert Ewen Ungar, „Die Büchse der Pandora“, RT DE

Dobrindt in Jerusalem, 11.01.2026

• BMI, Pressemitteilung: „Cybersecurity cooperation with Israel expanded“ – bmi.bund.de/SharedDocs/kurzmeldungen/EN/2026/01/israel-dobrindt-en.html
• israelnetz.com: „Israel und Deutschland stärken Zusammenarbeit bei Cybersicherheit“ (13.01.2026)
• Times of Israel: „Israel, Germany agree to boost counterterrorism cooperation amid threat from Iran“ (14.01.2026)

BKA-Kauf und Abhängigkeit von NSO

• Legal Tribune Online (LTO), 2021 – Bericht zur Aussage des BKA im Innenausschuss des Bundestags zur fehlenden autonomen Bedienbarkeit von Pegasus

Firewall-Konstruktion / Meta-Verfahren

• heise online: „Gerichtsbeschluss missachtet: Meta geht gegen Pegasus-Hersteller NSO Group vor“ – heise.de/news/Gerichtsbeschluss-missachtet-Meta-geht-gegen-Pegasus-Hersteller-NSO-Group-vor-11322252.html
• wallstreet-online.de (08.06.2026): Zahlen zur Reduzierung des Strafschadensersatzes auf 4 Mio. US-$
• ad-hoc-news.de (12.06.2026): Chronologie der Unterlassungsverfügung vom 28.01.2026 und der erneuten Angriffe Feb./Apr. 2026
• it-boltwise.de (12.06.2026): Meta-Ordnungsgeldantrag, Details zum Contempt-Verfahren

PEGA-Ausschuss

• Europäisches Parlament, offizieller Ausschussbericht: „BERICHT über die Prüfung von behaupteten Verstößen gegen das Unionsrecht … im Zusammenhang mit dem Einsatz von Pegasus“ (A9-0189/2023, Berichterstatterin Sophie in ‚t Veld) – europarl.europa.eu/doceo/document/A-9-2023-0189_DE.html
• Netzpolitik.org / Citizen Lab – Bericht zu den Hacking-Vorfällen bei Stelios Kouloglou

NSO/Shalev Hulio, israelische Exportpolitik

• OCCRP: „Co-Founder of Controversial Spyware Firm Had Israeli Diplomatic Passport“ – occrp.org/en/project/the-pegasus-project/co-founder-of-controversial-spyware-firm-had-israeli-diplomatic-passport
• Haaretz (17.07.2026): „Israeli spyware in Morocco, French targets and NSO founder’s diplomatic passport“
• Middle East Eye / Antony Loewenstein: „Why Israel is a friend of budding autocrats around the world“
• taz.de (22.07.2021): „Israelische Spionagesoftware Pegasus: Eng verwoben mit dem Militär“ (Zandberg/Mack-Klage 2016, Zitat der Gerichtspräsidentin)
• netzpolitik.org (25.03.2022): „NSO-Staatstrojaner: Israel blockierte Verkauf von Pegasus an die Ukraine“
• New York Times, 2022 – Recherche zu Pegasus-Exportgenehmigungen als außenpolitisches Instrument (Aserbaidschan/Marokko/VAE/Saudi-Arabien vs. Ukraine/Estland) (nur über Sekundärquellen geprüft)

Spanien

• jungewelt.de (27.01.2026): „Abhörskandal: Keine Aufklärung erwünscht“ – Einstellung der Ermittlungen, Zitat zur „Untätigkeit“ Israels
• UPI/Yahoo News (23.01.2026): „Spain drops probe into targeting of Pedro Sanchez with Pegasus spyware“ – Details zu Calama-Beschluss, betroffenen Ministerien
• Deutsche Welle / Al Jazeera (Mai 2022): erste Bestätigung der Hacks von Sánchez und Robles

Art. 25 GG / IGH-Verfahren / BVerfG

• Wikipedia (DE): „Südafrika gegen Israel (Völkermordkonvention)“ – Chronologie inkl. deutscher Positionswechsel März 2026
• LTO (26.01.2024): „IGH verpflichtet Israel zu Sofortmaßnahmen in Gaza“
• Bundesverfassungsgericht, Beschluss vom 3. Februar 2026, Az. 2 BvR 1626/25 – bundesverfassungsgericht.de/SharedDocs/Entscheidungen/DE/2026/02/rk20260203_2bvr162625.html
• LTO (12.02.2026 / 20.10.2025): Prozessgeschichte der Verfassungsbeschwerde, Zitat zur fehlenden Klagebefugnis
• ECCHR: „Keine deutschen Waffen nach Israel“ – Fallübersicht