Kontrollfreie Räume: Wie die Aufsicht über den BND verschwindet | Von Michael Hollister

Drei Bewegungen laufen 2026 auf einen Punkt zu: Das Bundesverwaltungsgericht entzieht der obersten Datenschutzaufsicht die Macht, ihre Kontrollrechte gegenüber dem BND überhaupt einzuklagen. Die Bundesregierung will demselben Dienst neue Befugnisse verschaffen – und der Aufsicht die Zuständigkeit ganz nehmen. Und in Straßburg prüft der Europäische Gerichtshof für Menschenrechte die Rechtsgrundlage des BND-Gesetzes selbst. Mehr Macht, weniger Kontrolle. Eine Rekonstruktion zeigt, wie die Aufsicht nicht abgeschafft, sondern strukturell ins Leere geführt wird – bis kontrollfreie Räume entstehen.

Ein Meinungsbeitrag von Michael Hollister.

Am 04. März 2026 verlor die oberste Datenschutzaufsicht der Bundesrepublik vor dem höchsten deutschen Verwaltungsgericht – nicht in der Sache, sondern in einer Frage, die noch grundlegender ist. Das Bundesverwaltungsgericht entschied nicht, ob der Bundesnachrichtendienst der Bundesbeauftragten für den Datenschutz zu Recht die Einsicht in seine Unterlagen verweigert hatte. Es entschied, dass sie dagegen gar nicht erst klagen darf. Der Kontrolleurin fehle, so das Gericht, die „wehrfähige Rechtsposition“, um ihre eigenen Kontrollrechte gerichtlich durchzusetzen. Wer den Geheimdienst überwachen soll, kann seine Befugnis dazu nicht vor einem Gericht einfordern, wenn der Geheimdienst nicht mitspielt.

Während dieses Urteil in Leipzig gesprochen wurde, arbeitete die Bundesregierung bereits an der Gegenrichtung. Ein Referentenentwurf aus dem Bundesinnenministerium soll den Diensten neue Befugnisse verschaffen – Zugriff, der weiter reicht als je zuvor. Parallel verfolgte dieselbe Regierung den Plan, der Datenschutzbeauftragten die Aufsicht über den BND vollständig zu entziehen. Und in Straßburg steht seit Juni 2026 die geltende gesetzliche Grundlage des Dienstes selbst auf dem Prüfstand: Der Europäische Gerichtshof für Menschenrechte prüft, ob das BND-Gesetz mit der Europäischen Menschenrechtskonvention vereinbar ist. Drei Bewegungen, die auf einen einzigen Punkt zulaufen.

Der Satz, den man dreimal lesen muss

Christian Mihr, Geschäftsführer von Reporter ohne Grenzen, hat diese Konstellation in einem einzigen Satz zusammengefasst, als der EGMR die Beschwerden seiner Organisation der Bundesregierung zustellte. „Während die Bundesregierung dem BND mehr Macht geben und ihn zugleich der unabhängigen Datenschutzaufsicht entziehen will, steht in Straßburg seine geltende Gesetzesgrundlage auf dem Prüfstand.“ Mehr Macht, weniger Kontrolle, und ein internationales Gericht, das die Grundlage des Ganzen zur Prüfung annimmt – drei Vorgänge, die sich in ihrer Wirkung addieren.

Die zentrale Frage dieses Textes ist damit gestellt: Wer kontrolliert den Bundesnachrichtendienst, wenn seine Aufsicht im Inland gerichtlich entmachtet wird, seine Rechtsgrundlage international auf dem Prüfstand steht, und die Antwort der Regierung nicht in mehr Kontrolle besteht, sondern im Abbau der Kontrolleurin? Die einzelnen Vorgänge sind, jeder für sich, in Fachmedien dokumentiert. Ihr Zusammenspiel ergibt ein Bild, das in der breiten politischen Berichterstattung bislang kaum auftaucht. Es ist ein Bild von Kontrolle, die nicht abgeschafft, sondern strukturell ins Leere geführt wird.

Der Zusammenbruch im Inland

Der Ausgangspunkt liegt in einem Kontrolltermin. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Louisa Specht-Riemenschneider, verlangte beim BND Einsicht in Anordnungen des BND-Präsidenten – konkret in Anordnungen zu sogenannten CNE-Maßnahmen. CNE steht für Computer Network Exploitation, das gezielte Eindringen in informationstechnische Systeme. Nach Paragraf 34 des BND-Gesetzes darf der Dienst ohne Wissen der Betroffenen mit technischen Mitteln in von Ausländern im Ausland genutzte IT-Systeme eingreifen und dort gespeicherte personenbezogene Daten erheben. Für jede einzelne Maßnahme ist eine vorherige Anordnung des BND-Präsidenten erforderlich. Genau diese Anordnungen wollte die Datenschutzaufsicht sehen, um prüfen zu können, ob der Dienst sich an das Gesetz hält. Es handelt sich um einen der sensibelsten Bereiche nachrichtendienstlicher Tätigkeit überhaupt: staatliches Hacking.

Der BND verweigerte die Einsicht. Der Aufsicht blieb daraufhin nach dem Gesetz nur ein einziges Mittel: die Beanstandung beim Bundeskanzleramt. Eine Beanstandung, die keine durchsetzbare Folge hat. Das Kanzleramt ist dem BND als Dienst- und Fachaufsicht übergeordnet – die Datenschutzaufsicht müsste sich also an genau jene Stelle wenden, die für den Dienst politisch verantwortlich ist, und hätte selbst dann kein Mittel in der Hand, ihre Einsicht durchzusetzen. Specht-Riemenschneider zog vor Gericht, um dieses Mittel zu erhalten. Sie verlor.

Das Bundesverwaltungsgericht wies die Klage als unzulässig ab. Az. 6 A 2.24, Urteil vom 04. März 2026. Die Begründung ist der eigentliche Kern des Vorgangs: Der Anspruch auf Einsicht, gestützt auf Paragraf 63 des BND-Gesetzes in Verbindung mit dem Bundesverfassungsschutzgesetz, begründe keine durchsetzbare Rechtsposition. Der Gesetzgeber habe neben der Beanstandung beim Kanzleramt bewusst keine unmittelbar durchsetzbaren Abhilfe- oder Durchgriffsbefugnisse vorgesehen. Und diese Entscheidung des Gesetzgebers, so das Gericht, dürfe nicht dadurch unterlaufen werden, dass ein Gericht der Datenschutzaufsicht eine wehrfähige Rechtsposition einräumt, die das Gesetz ihr nicht gegeben hat. Anders formuliert: Die Kontrolllücke ist kein Versehen des Gesetzes, das ein Gericht schließen dürfte. Sie ist im Gesetz angelegt – und deshalb muss sie bestehen bleiben, bis der Gesetzgeber sie schließt.

Juristisch bewegt sich der Fall auf einem heiklen Terrain, das die Tragweite des Urteils erklärt. Wenn eine staatliche Stelle gegen eine andere staatliche Stelle klagt, spricht das Verwaltungsrecht von einem Insichprozess – dem Prozess des Staates gegen sich selbst. Solche Verfahren sind nach der Rechtsprechung des Bundesverwaltungsgerichts nicht grundsätzlich ausgeschlossen; es gibt kein allgemeines Verbot, wonach der Staat nicht gegen sich selbst prozessieren dürfte. Entscheidend ist, ob die klagende Stelle eine eigene, gesetzlich verliehene und wehrfähige Rechtsposition geltend machen kann. Genau diese Position sprach das Gericht der Datenschutzaufsicht ab. Die Befugnis aus Paragraf 63 des BND-Gesetzes in Verbindung mit dem Bundesverfassungsschutzgesetz, so der 6. Senat, sei zwar eine Kontrollbefugnis – aber keine, deren Durchsetzung der Gesetzgeber gerichtlich vorgesehen habe. Wo das Gesetz nur die folgenlose Beanstandung kennt, dürfe kein Gericht eine einklagbare Rechtsposition daraus konstruieren. Die Zuständigkeit für die inhaltliche Kontrolle der CNE-Anordnungen liege ohnehin primär beim Unabhängigen Kontrollrat, einem gesonderten Gremium der Geheimdienstkontrolle – nicht bei der Datenschutzaufsicht.

Diese Verweisung auf den Unabhängigen Kontrollrat ist bedeutsam, weil sie das eigentliche Problem nur verschiebt. Der Kontrollrat kontrolliert die nachrichtendienstliche Rechtmäßigkeit; die Datenschutzaufsicht kontrolliert die Einhaltung des Datenschutzrechts. Es sind zwei verschiedene Prüfaufträge, aus zwei verschiedenen Rechtsgebieten. Dass es das eine Gremium gibt, ersetzt nicht die Prüfung des anderen. Der Verweis darauf, es gebe ja noch eine andere Kontrolle, beantwortet nicht die Frage, warum die datenschutzrechtliche Kontrolle künftig davon abhängen soll, ob der kontrollierte Dienst freiwillig Einsicht gewährt.

Die Reaktion der Behördenchefin fiel für die zurückhaltende Sprache einer obersten Bundesbehörde bemerkenswert deutlich aus. „Als Folge des Urteils befürchte ich, dass im Bereich der Nachrichtendienste kontrollfreie Räume entstehen“, erklärte Specht-Riemenschneider.

„Die kontrollierte Stelle kann nunmehr faktisch selbst darüber entscheiden, was mir zur Einsicht gegeben und was damit durch mich kontrolliert wird. Die Gesetzeslage ist absurd und muss korrigiert werden.“

Der kontrollierte Dienst entscheidet selbst, was die Kontrolle zu sehen bekommt. Das ist die Umkehrung des Prinzips, für das eine unabhängige Aufsicht überhaupt existiert. Ihr Appell richtete sich denn auch nicht an das Gericht, dessen Urteil endgültig ist – das Bundesverwaltungsgericht ist bei Streitigkeiten mit dem BND erste und letzte Instanz -, sondern an den Gesetzgeber: Er müsse ihr für Streitigkeiten über ihre Kontrollrechte beim BND einen Rechtsweg eröffnen. Die Kontrolle, die sie ausüben soll, existiert damit vorerst nur so weit, wie der kontrollierte Dienst sie zulässt.

Hinzu kommt eine Ebene, die über den Einzelfall hinausweist. Das Bundesverfassungsgericht hatte der Datenschutzaufsicht in seiner Rechtsprechung eine Kompensationsfunktion zugewiesen. Der Gedanke dahinter: Bürgerinnen und Bürger haben gegenüber den Nachrichtendiensten kaum Möglichkeiten, sich selbst zu wehren, weil die Datenverarbeitung geheim stattfindet. Sie erfahren in aller Regel nicht, ob und wann sie überwacht wurden. Weil dieser individuelle Rechtsschutz faktisch leerläuft, soll eine unabhängige Aufsicht stellvertretend prüfen. Genau diese stellvertretende Prüfung ist es, die das Leipziger Urteil aushöhlt. „Meine Möglichkeiten zur Durchsetzung der Betroffenenrechte sind mit dem heutigen Urteil massiv beschränkt“, so Specht-Riemenschneider. Wo der Einzelne nicht klagen kann, weil er nichts weiß, und die Aufsicht nicht klagen kann, weil ihr die Rechtsposition fehlt, bleibt am Ende niemand, der die Einhaltung des Gesetzes vor einem Gericht erzwingen könnte.

Die Person, die geht

Dreizehn Tage nach dem Urteil, am 17. März 2026, kündigte Louisa Specht-Riemenschneider ihren Rückzug an. Sie werde sich aus gesundheitlichen Gründen von ihrem Amt zurückziehen, sobald die Nachfolge geregelt sei. Datenschutz sei ein zentraler Wert, das Amt müsse von einer Person vertreten werden, die jederzeit und uneingeschränkt präsent sein könne; sie selbst brauche Zeit, um vollständig zu genesen. Der angegebene Grund ist offiziell und wurde parteiübergreifend bestätigt. Konstantin von Notz, stellvertretender Fraktionsvorsitzender der Grünen, würdigte die Entscheidung mit Respekt und wünschte eine rasche Genesung. An der offiziellen Darstellung gibt es keinen dokumentierten Widerspruch. Sie war zu diesem Zeitpunkt gut eineinhalb Jahre im Amt; gewählt worden war sie im Mai 2024 für eine reguläre Amtszeit von fünf Jahren.

Zwischen das Urteil und den Rückzug gehört ein weiterer Vorgang, der sich zeitlich mit beiden überschneidet. Parallel zu dem Verfahren, in dem die Aufsicht um ihre Kontrollrechte gegenüber dem BND kämpfte, verfolgte die Bundesregierung den Plan, ihr die Datenschutzaufsicht über den BND ganz zu entziehen. Die Kontrolleurin lief also nicht nur vor Gericht gegen eine Wand – ihr sollte die Zuständigkeit, an der sie gerade scheiterte, zugleich vollständig genommen werden. Beide Vorgänge liefen nebeneinanderher: das gerichtliche Scheitern der Durchsetzung und der politische Plan, die Zuständigkeit abzuziehen.

Wenige Wochen später, bei der Vorstellung ihres Tätigkeitsberichts für 2025 Anfang Mai 2026, äußerte sich Specht-Riemenschneider zur Gesamtrichtung deutlicher, als es das Protokoll eines einzelnen Rechtsstreits erfordert hätte. „Die Breite und Intensität der Sicherheitsbefugnisse nimmt zu“, mahnte sie, während zugleich die Kontrolle der Sicherheitsbehörden eingeschränkt werde. „Ich kann nicht verstehen, dass das so kommt, wie es kommt.“ Und weiter, in einem Satz, der weit über den BND-Fall hinausreicht: „Das ist eine Intensität, die ich in diesem Land nicht für zulässig halte.“ Sie warnte zudem vor der geplanten dritten Auflage der Vorratsdatenspeicherung; sie könne bei dem Entwurf nicht „frenetisch klatschen“. Es ist die Bilanz einer scheidenden Kontrolleurin über die Richtung, in die sich die Sicherheitsgesetzgebung des Landes bewegt – abgegeben in dem Moment, in dem sie das Amt verlässt.

Die Fakten liegen damit nebeneinander: ein Urteil, das die Kontrolle entwaffnet; ein Regierungsplan, der der Kontrolleurin die Zuständigkeit ganz entziehen soll; ein Rückzug dreizehn Tage nach dem Urteil aus offiziell gesundheitlichen Gründen; und eine Abschiedsbilanz, die eine Entwicklung für „nicht zulässig“ erklärt. Diese Fakten stehen für sich. Welche Schlüsse ein Leser aus ihrer Reihenfolge zieht, ist seine Sache, nicht unsere.

Der Nachfolger

Am 25. Juni 2026 wählte der Bundestag den Nachfolger: Prof. Dr. Moritz Hennemann, Rechtswissenschaftler an der Universität Freiburg. Die Wahl fiel deutlich aus – 391 Ja-Stimmen bei 122 Nein-Stimmen und 77 Enthaltungen, erforderlich waren 316. Vorgeschlagen hatte ihn die Unionsfraktion. Hennemann ist Inhaber des Lehrstuhls für Bürgerliches Recht, Wirtschaftsrecht und Medienrecht an der Universität Freiburg und gilt als Experte für Datenregulierung und digitale Geschäftsmodelle. Specht-Riemenschneider, die die Amtsgeschäfte noch bis zum 30. September 2026 weiterführt, begrüßte die Wahl ausdrücklich und würdigte Hennemann als klugen und engagierten Kollegen. Das breite Abstimmungsergebnis und die Zustimmung der Vorgängerin gehören zum Bild und sollen hier nicht verschwiegen werden.

Zum Bild gehört aber auch, was Fachöffentlichkeit und Zivilgesellschaft an der Personalie kritisierten. Hennemann gilt als Vertreter eines wirtschaftsorientierten Datenschutzes – eines Ansatzes, der Daten primär als ökonomisches Gut versteht und die Nutzung von Daten für Innovation und Geschäftsmodelle betont. Für das Thema Informationsfreiheit, das neben dem Datenschutz zum Kernaufgabenfeld des BfDI gehört, weist er nach Darstellung von netzpolitik.org und Fachdiensten keine ausgewiesene Expertise vor. Ende 2025 hatte er in einem Gastbeitrag das sogenannte Digital-Omnibus-Gesetzespaket der Europäischen Union begrüßt – ein Paket, das von Datenschutzbehörden, Forschenden und Zivilgesellschaft als Einschränkung der Datenschutzgrundverordnung und der KI-Verordnung kritisiert wird. Ein transparentes Ausschreibungsverfahren für die Nachbesetzung fand nicht statt.

Der Zuschnitt des Amtes verschärft diese Kritik, statt sie zu relativieren. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit vereint zwei Aufgaben in einer Person: den Schutz personenbezogener Daten und die Durchsetzung des Rechts der Bürger auf Zugang zu staatlichen Informationen. Beide Aufgaben laufen in dieselbe Richtung – sie sollen den Staat für den Bürger durchschaubar und die Macht des Staates über die Daten des Bürgers begrenzbar halten. Ein Amtsinhaber, der bei einem der beiden Standbeine keine ausgewiesene Erfahrung mitbringt und beim anderen einem wirtschaftsnahen, deregulierungsfreundlichen Kurs zugerechnet wird, tritt an die Spitze genau jener Behörde, die dem Bundesnachrichtendienst als datenschutzrechtliche Aufsicht gegenübersteht – jener Aufsicht, deren Durchsetzungsmacht das Bundesverwaltungsgericht soeben beschnitten hat. Die Kontrolle des Dienstes hängt damit nicht nur an einer geschwächten Rechtsposition, sondern künftig auch an der Person, die diese Position ausfüllt.

Damit steht am Ende dieses Strangs eine nüchterne Gegenüberstellung. Die scheidende Amtsinhaberin hatte in einem der sensibelsten Kontrollbereiche des Staates prozessiert, war gescheitert und hatte den Zustand öffentlich „absurd“ genannt. Ihr folgt ein Jurist, der als wirtschaftsnah gilt, dem Kritiker Erfahrung in einem Kernbereich des Amtes absprechen, und der einer europäischen Deregulierung des Datenschutzes zugestimmt hat. Ob diese Konstellation die Kontrolle des Bundesnachrichtendienstes stärkt oder schwächt, muss hier nicht behauptet werden. Die Bausteine liegen auf dem Tisch.

Straßburg – die zweite Front

Während sich im Inland die Aufsicht auflöst, hat sich international eine zweite Front geöffnet, die das Fundament betrifft: die Rechtsgrundlage des BND selbst. Im Juni 2026 stellte der Europäische Gerichtshof für Menschenrechte der Bundesregierung gleich zwei Beschwerden zu. Es handelt sich um zwei getrennte Verfahren, die man nicht verwechseln sollte, weil sie unterschiedliche Angriffspunkte haben.

Das erste Verfahren richtet sich gegen die gesetzlichen Grundlagen für den Einsatz von Staatstrojanern. Es wird vom Berliner Rechtsanwalt Niko Härting als Prozessbevollmächtigtem von Reporter ohne Grenzen geführt. Das zweite Verfahren betrifft die strategische Fernmeldeaufklärung durch den BND und damit das BND-Gesetz in seinem Kern; hier klagen Reporter ohne Grenzen und die Gesellschaft für Freiheitsrechte gemeinsam, die zugrunde liegende Beschwerde verfasste Prof. Dr. Matthias Bäcker von der Universität Mainz. Nach Auffassung der Beschwerdeführer verletzt das BND-Gesetz mehrere Garantien der Europäischen Menschenrechtskonvention: Artikel 8 (Recht auf Achtung des Privat- und Familienlebens, einschließlich des Fernmeldegeheimnisses), Artikel 10 (Informations- und Pressefreiheit) und Artikel 13 (Recht auf wirksame Beschwerde). Der Kern der Kritik: Nachrichtendienstliche Aufklärung müsse präzise bestimmbare Ziele haben und dürfe nur für bestimmte Zwecke genutzt werden; die Vertraulichkeit zwischen Medienschaffenden und ihren Quellen verlange besonderen Schutz. Beides gewährleiste das Gesetz nicht ausreichend – und Journalistinnen und Journalisten aus dem EU- und Nicht-EU-Ausland seien deutlich schlechter gestellt als ihre deutschen Kolleginnen und Kollegen.

Der Unterschied zwischen den beiden Verfahren liegt in der Art des Zugriffs, den sie angreifen, und beide Zugriffsarten treffen unterschiedliche Schutzgüter. Bei der strategischen Fernmeldeaufklärung werden nach Darstellung der Beschwerdeführer zwar keine Kommunikationsinhalte in der Fläche erfasst, wohl aber Verkehrsdaten – wer mit wem, wann, wie und wie lange kommuniziert. Diese Metadaten sind nicht in gleicher Weise geschützt wie Inhalte, obwohl sie ein präzises Bild von Kontakten, Bewegungen und Vertrauensbeziehungen zeichnen. Für einen investigativen Journalisten kann bereits die bloße Tatsache eines Kontakts – wer wann mit welcher Quelle telefonierte – die Quelle enttarnen, ohne dass ein einziges Wort des Gesprächs bekannt sein müsste. Beim Staatstrojaner-Verfahren geht es dagegen um den denkbar tiefsten Eingriff: Wird das Gerät einer überwachten Person infiziert, liegt dessen gesamter Inhalt offen, und jede Verschlüsselung läuft leer, weil die Software den Zugriff vor der Verschlüsselung oder nach der Entschlüsselung abgreift.

Zu den Beschwerdeführern zählen neben den Organisationen selbst auch einzelne Medienschaffende und Menschenrechtsverteidiger aus Deutschland, der EU und dem Nicht-EU-Ausland, darunter Meron Estefanos in Schweden, Goran Lefkov in Nordmazedonien, Dragana Pećo in Serbien und Kerem Schamberger in Deutschland. Sie arbeiten überwiegend investigativ und grenzüberschreitend, zu Themen wie Korruption, Steuerbetrug, organisierter Kriminalität und schweren Menschenrechtsverletzungen – Themen, die zugleich zum Aufklärungsauftrag des BND gehören. Genau in dieser Überschneidung liegt das strukturelle Problem: Der Dienst und die Journalisten interessieren sich für dieselben Personen und Netzwerke, und das Gesetz schützt die einen nicht zuverlässig vor den Werkzeugen, die gegen die anderen gerichtet sind. Als EU-Mitgliedstaat ist Deutschland zudem an das neue Europäische Medienfreiheitsgesetz gebunden, das den Schutz von Journalisten vor Überwachung ausdrücklich stärkt – ein weiterer Maßstab, an dem sich die deutsche Regelung wird messen lassen müssen.

Dass der EGMR die Beschwerden überhaupt der Gegenseite zustellt und einen Fragenkatalog übersendet, ist bereits ein prozessualer Einschnitt. Nach Angaben von Reporter ohne Grenzen nehmen nur etwa zwei Prozent aller Beschwerden am EGMR diese Hürde. Darüber hinaus signalisierte das Gericht, die Verfahren möglicherweise als Musterverfahren – sogenannte „impact cases“ – einzustufen und wegen ihrer grundsätzlichen Bedeutung beschleunigt zu behandeln. Ein solches Musterverfahren hätte Strahlkraft über Deutschland hinaus: Es würde Maßstäbe setzen, an denen sich auch die Überwachungsgesetze anderer Mitgliedstaaten des Europarates messen lassen müssten. Die Bundesregierung ist damit gezwungen, sich bis Oktober 2026 inhaltlich zu äußern. Zur Einordnung des Umfelds: Auf der weltweiten Rangliste der Pressefreiheit, deren aktuelle Jahresausgabe Reporter ohne Grenzen am 30. April 2026 veröffentlichte, steht Deutschland auf Platz 14 von 180 Staaten – ein Rückgang um drei Plätze gegenüber der vorherigen Jahresausgabe, die Deutschland noch auf Platz 11 geführt hatte. Es handelt sich um den Vergleich zweier aufeinanderfolgender Jahresausgaben, nicht um eine Herabstufung innerhalb desselben Zyklus.

Die historische Tiefe dieses Strangs ist beträchtlich und erklärt, warum die Beschwerdeführer den Weg nach Straßburg als letzten Ausweg beschreiben. Bereits 2020 hatten RSF und GFF vor dem Bundesverfassungsgericht ein Grundsatzurteil erstritten, das weite Teile der Auslandsüberwachung durch den BND für grundrechtswidrig erklärte und den Gesetzgeber verpflichtete, die Kommunikation ausländischer Medienschaffender besonders zu schützen. Dieses Urteil stellte erstmals klar, dass deutsche Nachrichtendienste auch bei ihrer Arbeit im Ausland an das Grundgesetz gebunden sind. Die darauffolgende Reform des BND-Gesetzes verfehlte nach Darstellung der Beschwerdeführer die Maßgaben des Urteils jedoch zum Teil klar und brachte neue Regelungen hervor, die sie für verfassungswidrig halten. Ende 2022 legten RSF und GFF mit insgesamt zwanzig Beschwerdeführern erneut Verfassungsbeschwerde in Karlsruhe ein. Das Bundesverfassungsgericht nahm diese Beschwerde im November 2024 ohne Begründung nicht zur Entscheidung an. Erst danach wandten sich die Organisationen an Straßburg.

Es ist nicht der erste Gang dorthin. Bereits 2017 hatte RSF eine erste Beschwerde gegen die BND-Massenüberwachung beim EGMR eingebracht, die im Januar 2021 zur Entscheidung angenommen wurde; auch dort geht es unter anderem um das Recht auf wirksame Beschwerde. Und die deutschen Gerichte hatten vergleichbare Klagen in der Vergangenheit wiederholt mit der Begründung abgewiesen, die Kläger könnten ihre eigene Betroffenheit durch die geheime Überwachung nicht ausreichend belegen – jene Beweishürde, die bei geheim bleibender Überwachung naturgemäß kaum zu nehmen ist. Der Weg nach Straßburg ist also kein Auftakt, sondern der vorläufige Endpunkt eines über fast ein Jahrzehnt erfolglosen Bemühens, die Auslandsaufklärung des BND an menschenrechtlichen Maßstäben zu messen. Dass ein internationales Gericht die Sache nun als potenzielles Musterverfahren behandelt, wiegt vor diesem Hintergrund schwerer als eine bloße prozessuale Formalität.

Pegasus und die Immunität des Systems

Der schärfste Punkt beider Verfahren betrifft eine bestimmte Klasse von Werkzeugen: Spähsoftware, die tief in die Endgeräte der Überwachten eindringt. Dass der BND solche Software einsetzt, ist seit Oktober 2021 öffentlich. Nach übereinstimmenden Recherchen von ZEIT, Süddeutscher Zeitung, WDR und NDR nutzt der Auslandsgeheimdienst eine angepasste Version von Pegasus, der Spähsoftware der israelischen Firma NSO Group, um im Ausland zu spionieren. Pegasus gilt als eines der leistungsfähigsten kommerziellen Überwachungswerkzeuge überhaupt: Die Software kann Smartphones über sogenannte Zero-Click-Angriffe übernehmen, also ohne dass der Betroffene einen Link anklicken oder eine Datei öffnen müsste, und verschafft dem Angreifer anschließend Zugriff auf Nachrichten, Anrufe, Kamera, Mikrofon und Standort. Dieselbe Software taucht weltweit in Skandalen um die Ausspähung von Journalisten, Oppositionellen und Menschenrechtsverteidigern auf; die USA setzten die NSO Group Ende 2021 auf eine Sanktionsliste.

Der zeitliche Ablauf der deutschen Beschaffung wirft dabei eigene Fragen auf. Deutsche Geheimdienste dürfen Staatstrojaner überhaupt erst seit dem „Gesetz zur Anpassung des Verfassungsschutzrechts“ einsetzen, das am 09. Juli 2021 in Kraft trat. Der Einsatz durch den BND war jedoch schon zuvor angelegt, was einen längeren Vorlauf der Beschaffung nahelegt, als die öffentliche Rechtsgrundlage vermuten ließe. Das Bundeskanzleramt war nach den Berichten in den Vorgang eingeweiht und billigte ihn; dem geheim tagenden Parlamentarischen Kontrollgremium des Bundestages wurde nach denselben Berichten verschwiegen, dass der BND Kunde von NSO ist. In einer Antwort auf eine parlamentarische Anfrage bestätigte die Bundesregierung den Vorgang der Sache nach, verweigerte aber unter Verweis auf das Staatswohl detaillierte Auskünfte über die technischen Fähigkeiten der Dienste. Reporter ohne Grenzen führt gegen den BND wegen des Pegasus-Einsatzes ein eigenes juristisches Verfahren; die entsprechende Klageschrift ist über die Plattform FragDenStaat öffentlich dokumentiert und fragt unter anderem, wie oft die Software eingesetzt wurde, ob sie modifiziert wurde und wie der Dienst sicherstellt, dass der Hersteller keine Kenntnis über die Ziele erlangt.

Der EGMR geht in seinen Fragenkatalogen an die Bundesregierung über das eigentliche Anliegen der Beschwerden hinaus. Er stellt grundsätzliche Fragen zu den Voraussetzungen, unter denen Spähsoftware überhaupt eingesetzt werden darf. Und er fragt die Bundesregierung ausdrücklich, ob der staatliche Zugriff die IT-Sicherheit aller Nutzenden schwächt – ob also die Sicherheitslücken, die eine solche Software ausnutzt und offenhält, auch von kriminellen Netzwerken ausgenutzt werden können. Der Gerichtshof betrachtet staatliche Überwachung in beiden Verfahren damit als potenzielles Sicherheitsrisiko für alle. Ein Schwachstellenmanagement, wie es das Bundesverfassungsgericht bereits eingefordert hat, ist die Bundesregierung nach Darstellung von RSF bislang schuldig geblieben. Hier stellt nicht ein Journalist eine unbequeme Frage, sondern ein internationales Gericht: Wer eine Software einsetzt, die von Sicherheitslücken lebt, hält diese Lücken offen – und offene Lücken kennen keinen Adressaten. Wie der Zugriff auf ein solches Werkzeug innerhalb des Apparats technisch abgesichert ist, wer darauf zugreifen kann und ob ein solcher Zugriff seinerseits von außen kompromittierbar wäre, gehört zu den Fragen, die aus dieser Feststellung folgen.

Die tiefste Wirkung liegt jedoch in einem Mechanismus, den man die Immunität des Systems nennen kann. Um von der Überwachung durch den BND betroffen zu sein, muss eine Journalistin nicht selbst das Ziel des Dienstes sein. Es genügt unter Umständen bereits, mit einer Person in Kontakt zu stehen, die überwacht wird – dann liegt die gesamte Kommunikation offen. Wird das Endgerät einer Quelle mit Spähsoftware infiziert, haben die Dienste potenziell umfassenden Zugriff auf alles, was auf dem Gerät geschieht; Verschlüsselung wird wirkungslos. Und der entscheidende Punkt: Betroffene werden nach dem Ende der Maßnahmen in aller Regel nicht benachrichtigt. Wer nicht weiß, dass er überwacht wurde, kann es vor Gericht nicht nachweisen. Ohne diesen Nachweis bleibt ihm der Zugang zum Gericht verwehrt. Die lückenlose Geheimhaltung macht tiefgreifende Grundrechtseingriffe damit faktisch immun gegen jede nachträgliche gerichtliche Überprüfung. Es ist genau jene Lücke, die die Datenschutzaufsicht stellvertretend schließen sollte – und die das Leipziger Urteil nun auch auf der Ebene der Aufsicht offen lässt. Der Einzelne kann nicht klagen, weil er nichts weiß. Die Aufsicht kann nicht klagen, weil ihr die Rechtsposition fehlt. Der Kreis schließt sich.

Die Uhr, die Machtlogik und die Gegenseite

Über all dem läuft eine Frist. Mit Beschluss vom Herbst 2024 hatte das Bundesverfassungsgericht Teile der BND-Überwachung für verfassungswidrig erklärt und dem Gesetzgeber aufgegeben, bis spätestens Ende 2026 eine neue Regelung zu schaffen. Die geltende Rechtsgrundlage darf bis dahin mit Einschränkungen weitergelten. Das bedeutet: Ausgerechnet in dem Jahr, in dem die Aufsicht vor Gericht verliert, in dem die scheidende Amtsinhaberin vor der Richtung der Sicherheitsgesetzgebung warnt und in dem Straßburg die Rechtsgrundlage prüft, muss der Gesetzgeber das BND-Gesetz ohnehin neu fassen. Die Reform kommt nicht als freie politische Entscheidung, sondern als Erfüllung einer verfassungsgerichtlichen Auflage. Die entscheidende Frage ist nicht, ob reformiert wird, sondern in welche Richtung – hin zu mehr durchsetzbarer Kontrolle oder hin zu mehr Befugnis bei gleichbleibend zahnloser Aufsicht.

An dieser Stelle muss die Gegenseite gehört werden. Die Bundesregierung handelt nicht im luftleeren Raum. Sie steht unter dem Druck einer verfassungsgerichtlichen Frist und muss das Gesetz reparieren, ob sie will oder nicht. Sie kann auf reale Bedrohungslagen verweisen – auf Cyberangriffe, auf Spionage, auf eine sicherheitspolitische Lage, die sich seit den Grundsatzurteilen der Jahre 2020 und 2024 verschärft hat. Das Bundesverfassungsgericht selbst hat in seiner Rechtsprechung anerkannt, dass an einer wirksamen Auslandsaufklärung ein überragendes öffentliches Interesse besteht, und die Ausland-Ausland-Fernmeldeaufklärung ausdrücklich für grundsätzlich verfassungskonform ausgestaltbar gehalten. Und die parallel geplante Reform sieht durchaus neue Kontrollstrukturen vor; der Unabhängige Kontrollrat wird ausgestattet. Wer der Bundesregierung pauschal unterstellt, sie wolle Kontrolle abschaffen, verkennt, dass ein Teil dieser Vorgänge die Umsetzung gerichtlicher Vorgaben ist. Der Befund dieses Textes ist deshalb kein Vorwurf der Absicht, sondern eine Beobachtung der Struktur: Unabhängig davon, was einzelne Akteure beabsichtigen, verschieben sich Befugnis und Kontrolle in entgegengesetzte Richtungen.

Genau diese strukturelle Beobachtung aber bleibt bestehen, auch wenn man der Gegenseite jedes ihrer Argumente zugesteht. Das Bundesverwaltungsgericht hat entschieden, dass die Aufsicht ihre Kontrollrechte nicht einklagen kann. Die Regierung wollte der Aufsicht die Zuständigkeit entziehen. Die scheidende Amtsinhaberin hält die Entwicklung für nicht zulässig. Straßburg prüft die Grundlage. Und die Frist zwingt zur Neuregelung in genau dem Jahr, in dem all das zusammenfällt. Keine dieser Tatsachen hängt von einer Absicht ab, die man erst unterstellen müsste. Sie sind, jede für sich, dokumentiert.

Schluss

Am Ende steht eine einfache Asymmetrie. Der Bürger wird für den Staat durchsichtiger – über CNE-Maßnahmen, über strategische Fernmeldeaufklärung, über Spähsoftware, die Verschlüsselung wirkungslos macht und deren Einsatz der Betroffene nie erfährt. Der Staat wird für den Bürger zugleich unkontrollierbarer – weil die Aufsicht, die stellvertretend prüfen sollte, ihre Prüfung nicht mehr erzwingen kann. Das eine wird von unten erzwungen, durch ein Gericht, das der Kontrolle die Waffe aus der Hand nimmt. Das andere wird von oben beantwortet, durch eine Regierung, die der Kontrolleurin die Zuständigkeit entziehen wollte und ihr einen Nachfolger bestellt, dessen Eignung für die Kontrolle des Geheimdienstes bestritten wird. Kontrollfreie Räume, hat die scheidende Datenschutzbeauftragte gesagt, seien die Folge. Sie hat das Wort für den BND gewählt. Es beschreibt, wohin die Aufsicht insgesamt verschwindet.

+++

Anmerkungen und Quellen

Michael Hollisterwar sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik – jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.

+++

Bundesverwaltungsgericht, Urteil vom 04. März 2026 (Az. 6 A 2.24) Pressemitteilung Nr. 15/2026 des Bundesverwaltungsgerichts: https://www.bverwg.de/pm/2026/15

BfDI-Pressemitteilung zum Urteil (Zitate „kontrollfreie Räume“, „absurd“, „wehrfähige Rechtsposition“, Kompensationsfunktion) Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Pressemitteilung 2/2026 vom 04. März 2026: https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2026/02_Entscheidung-BVerwG-BND.html

Einordnung des Urteils, CNE-Kontext, § 34 / § 37 BNDG, Datei S Legal Tribune Online: https://www.lto.de/recht/nachrichten/n/bverwg-6a224-datenschutzaufsicht-klage-unzulaessig-bfdi-bnd heise online: https://www.heise.de/news/BND-BfDI-kann-Kontrolle-nicht-einklagen-und-warnt-vor-weitreichenden-Folgen-11199530.html

Rücktrittsankündigung vom 17. März 2026 (offizieller Grund, gesundheitliche Gründe) BfDI-Pressemitteilung vom 17. März 2026: https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2026/05_BfDI-R%C3%BCckzug.html heise online: https://www.heise.de/news/Bundesdatenschutzbeauftragte-kuendigt-Rueckzug-an-11214200.html

Parteiübergreifende Bestätigung des Rücktrittsgrundes (von Notz) Bundestagsfraktion Bündnis 90/Die Grünen: https://www.gruene-bundestag.de/presse/2026/pm-maerz-2026/konstantin-von-notz-ruecktritt-der-bfdi-aus-gesundheitlichen-gruenden/

Abschiedskritik im Tätigkeitsbericht 2025 (Zitate „Breite und Intensität“, „nicht für zulässig halte“, Vorratsdatenspeicherung) heise online, 06. Mai 2026: https://www.heise.de/news/BfDI-Neue-Sicherheitsbefugnisse-nicht-zulaessig-11284895.html

Wahl Moritz Hennemann am 25. Juni 2026 (Abstimmungsergebnis) Deutscher Bundestag, Textarchiv: https://www.bundestag.de/dokumente/textarchiv/2026/kw26-de-wahl-datenschutzbeauftragter-1184320 BfDI-Pressemitteilung: https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2026/10_BfDI-Wahl-Hennemann.html

Kritik an der Personalie Hennemann (fehlende IFG-Expertise, wirtschaftsorientierter Datenschutz, Digital-Omnibus, kein Ausschreibungsverfahren) netzpolitik.org: https://netzpolitik.org/2026/moritz-hennemann-neuer-bundesbeauftragter-fuer-datenschutz-und-informationsfreiheit-gewaehlt/ DataAgenda: https://dataagenda.de/neuer-bfdi-bundestag-waehlt-prof-dr-moritz-hennemann/

EGMR-Zustellung Juni 2026, zwei Verfahren, Musterverfahren, Zwei-Prozent-Hürde, Mihr-Zitat, Fragen zur IT-Sicherheit Reporter ohne Grenzen, Pressemitteilung vom 29. Juni 2026: https://www.reporter-ohne-grenzen.de/artikel/pressemitteilungen/4266/egmr-ubermittelt-rsf-beschwerden-und-sieht-potenzial-fur-musterverfahren heise online: https://www.heise.de/news/Geheimdienste-im-Visier-Strassburger-Gericht-prueft-deutsche-Ueberwachungspraxis-11348311.html

EGMR-Beschwerde: Verfahrensgrundlagen, Art. 8/10/13 EMRK, Bäcker, GFF (Moini), 2020er Grundsatzurteil Reporter ohne Grenzen, Pressemitteilung vom 11. März 2025: https://www.reporter-ohne-grenzen.de/artikel/pressemitteilungen/26/beschwerde-gegen-das-bnd-gesetz-beim-egmr Gesellschaft für Freiheitsrechte: https://freiheitsrechte.org/ueber-die-gff/presse/pressemitteilungen-der-gesellschaft-fur-freiheitsrechte/staatstrojaner-geheimdienste-gff-beschwerde-egmr

BND-Einsatz von Pegasus (NSO Group), Billigung durch das Kanzleramt, PKGr nicht informiert netzpolitik.org, 08. Oktober 2021: https://netzpolitik.org/2021/geheimdienst-bundesnachrichtendienst-setzt-staatstrojaner-pegasus-ein/ Antwort der Bundesregierung, Bundestags-Drucksache 20/321: https://dserver.bundestag.de/btd/20/003/2000321.pdf

Klageschrift RSF gegen BND wegen Pegasus (Primärdokument) FragDenStaat: https://fragdenstaat.de/dokumente/250144-klageschrift-bnd-pegasus/

BVerfG-Frist bis Ende 2026 (Verfassungswidrigkeit von Teilen der BND-/G10-Überwachung) netzpolitik.org, 07. November 2024: https://netzpolitik.org/2024/verfassungswidrig-bnd-muss-kommunikations-ueberwachung-einschraenken/ Bundesverfassungsgericht, Beschluss vom 08. Oktober 2024: https://www.bundesverfassungsgericht.de/SharedDocs/Entscheidungen/DE/2024/10/rs20241008_1bvr174316.html

Pressefreiheitsindex 2026, Deutschland Platz 14 (Rückgang um drei Plätze gegenüber 2025) Reporter ohne Grenzen, Rangliste der Pressefreiheit: https://www.reporter-ohne-grenzen.de/rangliste

+++

Michael Hollister –Alle Rechte vorbehalten. Die Weitergabe, Veröffentlichung oder Nutzung dieses Textes bedarf der ausdrücklichen schriftlichen Genehmigung des Autors. Bei Interesse an einer Weiterverwendung kontaktieren Sie bitte den Autor über www.michael-hollister.com.

+++

Dank an den Autor für das Recht zur Veröffentlichung dieses Beitrags.

+++

Bild: Gebäudewand mit Schriftzug des Bundesnachrichtendienstes
Bildquelle: Tobias Arhelger / shutterstock