Deutsche Ermittler drangen 2024 in 79 Fällen in Rechner und Mobiltelefone ein, 64 mal per Quellen-TKÜ und 15 mal per Online-Durchsuchung. Jeder dieser Zugriffe setzt eine offene Sicherheitslücke voraus. Der Kryptograf Matthew Green erwartet, dass KI-gestützte Fehlersuche solche Lücken binnen zwei Jahren beseitigt. Danach kehrt der Ruf nach eingebauten Hintertüren zurück.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein Staatstrojaner braucht keinen Gesetzestext, sondern einen Programmierfehler. Genau diese Grundlage wird knapp, seit Sprachmodelle Schwachstellen schneller aufspüren als menschliche Angreifer. Matthew Green, Kryptograf an der Johns Hopkins University in Baltimore, hält ausgerechnet das für eine schlechte Nachricht.
Das Wichtigste in Kürze
- Green rechnet damit, dass große Software-Produkte binnen zwei Jahren kaum noch aus der Ferne ausnutzbare Fehler enthalten.
- Der Streit um staatliche Hintertüren ruhte seit 2016, weil Behörden den Zugriff schlicht einkaufen konnten.
- Deutsche Gerichte ordneten 2024 97 Quellen-TKÜ und 32 Online-Durchsuchungen an, durchgeführt wurden 64 und 15.
- Die EU-Kommission bereitet Europol schon heute auf den Ausfall dieser Zugriffe vor.
Warum hängt staatliches Hacken an fremden Programmierfehlern?
Die Zäsur liegt im Jahr 2016. Apple verschlüsselte ab 2010 den iPhone-Speicher mit einem Schlüssel aus dem Gerätecode, ein Jahr darauf folgte die Ende-zu-Ende-Verschlüsselung für Textnachrichten. FBI-Direktor James Comey rief 2014 die Initiative „Going Dark“ aus. Zwei Jahre später verlangte die Behörde vor Gericht Apples Hilfe beim Entsperren eines iPhones. Aufgegeben hat das FBI erst, nachdem ein externer Anbieter das Gerät ohne Apple aufbrach.[1]
Seither kauften Strafverfolger den Zugriff, statt ihn zu erzwingen: Entsperrwerkzeuge wie GrayKey, Fernangriffe wie Pegasus. Green liest den ruhenden Hintertür-Streit deshalb nicht als Sieg der Bürgerrechte, sondern als Marktlage. Solange Schwachstellen käuflich blieben, brauchte niemand ein Gesetz.[1] Damit rückt die Frage in dieselbe Etage wie die Verantwortung der Geschäftsleitung für die IT-Sicherheit.
Was ändert die KI-gestützte Fehlersuche?
Auf der Angebotsseite kippte 2026 das Gleichgewicht. Anthropic stellte im April das Modell Claude Mythos vor, das Schwachstellen selbstständig findet; das US-Handelsministerium beschränkte den Export und gab die Modelle später wieder frei. Ein Monopol entstand daraus nicht. OpenAI und chinesische Labore mit offenen Gewichten zeigten dieselbe Fähigkeit binnen weniger Monate.[1]
Die Verteidiger holen dabei schneller auf als die Angreifer. Entwicklungsketten bekommen eine maschinelle Schwachstellenprüfung vorgeschaltet, bevor ein Mensch den Code überhaupt liest.[1] Die US-Cyberbehörde CISA prüft ihren eigenen Bestand mit demselben Modell und CrowdStrike öffnete sein Werkzeug für den Mittelstand. Greens Schluss fällt nüchtern aus: Den großen Software-Produkten geht in zwei Jahren der Vorrat an fernnutzbaren Fehlern aus.
Sichere Software nimmt dem Staat sein bequemstes Werkzeug. Genau deshalb kommt die Forderung nach der eingebauten Hintertür zurück, schneller als der Beschaffungsmarkt darauf vorbereitet ist.
— Markus Seyfferth, Chefredakteur Dr. Web
Wie oft deutsche Ermittler 2024 tatsächlich in Geräte eindrangen und woran der Zugriff hängt.
Der Brüsseler Fahrplan reicht bis 2030
Die EU-Kommission kündigte am 24. Juni 2025 für 2026 eine Technologie-Roadmap zur Verschlüsselung an, die den rechtmäßigen Zugriff auf verschlüsselte Daten bewerten soll. Europol bekommt ab 2030 eine Entschlüsselungsfähigkeit der nächsten Generation, die grenzüberschreitende Überwachungskooperation prüft die Kommission bis 2027.
Was bedeutet das für deutsche Entscheider?
Die deutsche Bilanz fällt schmal aus. Gerichte ordneten 2024 die Quellen-TKÜ 97 mal an, tatsächlich durchgeführt wurde sie 64 mal.[2] Die Online-Durchsuchung kam auf 32 Anordnungen in 16 Verfahren und 15 Ausführungen.[3] Der deutsche Staatstrojaner-Betrieb ruht damit auf 79 Zugriffen im Jahr. Jeder einzelne davon setzt eine Lücke voraus, die der Hersteller noch nicht geschlossen hat.
Brüssel plant bereits für den Ausfall dieser Werkzeuge. Der Fahrplan der EU-Kommission für den rechtmäßigen Datenzugang kündigt für 2026 eine Technologie-Roadmap zur Verschlüsselung an und rüstet Europol ab 2030 neu aus.[4] Wohin der Weg führt, zeigt der Streit um die verpflichtende Durchsuchung privater Nachrichten ebenso wie Apples Klage gegen den britischen Geheimbefehl zur iCloud.
Für Unternehmen liegt der Nutzwert in der Beschaffung. Eine gesetzlich erzwungene Hintertür schwächt zuerst die Systeme des Landes, das sie verlangt, und öffnet fremden Diensten dieselbe Tür.[1] Klären Sie deshalb mit Cloud- und Kommunikationsanbietern gerne vertraglich, welcher Jurisdiktion die Schlüsselverwaltung untersteht. Ihre Pflicht nach Artikel 32 DSGVO bleibt bestehen, auch bei staatlich bestellten Schwachstellen.
Quellen
[1] Matthew Green, Johns Hopkins University: „Everything is about to go dark“, 14. August 2026
[2] Bundesamt für Justiz, Referat III 3: „Übersicht Telekommunikationsüberwachung für 2024, Maßnahmen nach § 100a StPO“
[3] Bundesamt für Justiz, Referat III 3: „Übersicht Telekommunikationsüberwachung für 2024, Maßnahmen nach § 100b StPO“
[4] Europäische Kommission, Generaldirektion Migration und Inneres: „Commission presents Roadmap for effective and lawful access to data for law enforcement“, 24. Juni 2025
Mehr Newshunger?
- iCloud-Verschlüsselung: Apple klagt gegen Londons zweiten Geheimbefehl
- Post-Quanten-Verfahren HAWK: Anthropics KI halbiert die Schlüsselstärke in 60 Stunden
- Kritische Cyberfähigkeiten: OpenAI stoppt Teile der Astra-Entwicklung
- KI findet Schwachstellen schneller: CrowdStrike öffnet QuiltWorks für den Mittelstand
- GrapheneOS: Notfall-PIN an der Grenze führt zur Anklage
- Alle Beiträge aus dem Cybersecurity-Ressort von Dr. Web
