Claire Stapleton’s new book, Don’t Be Evil , recounts her journey from company cheerleader to outspoken dissident.
A workforce chosen for belief based loyalty produces exactly this enablement arc at scale: late disillusionment narrated as betrayal, with so called discovery dated to whenever a believer stopped believing, rather than to when the harmful conduct started.
Enablement, then monetization of narrating that period. Come on. The late walkout arrives eleven years into what was well documented as harm. Ten years of her going along with it, TEN YEARS, sits there staring us in the face and the book converts the author waking up late as her “I care” switching sides as a new income source instead of accountability.
Opening your eyes is not the measure of how long you have had the eyes to see with.
The police officer calmly explains that Tesla design defects are still the responsibility of the driver. Issues a speeding ticket, and says Tesla autopilot often breaks the law.
Do you have a driver’s license? The car doesn’t have a driver’s license.
The Tesla driver doesn’t want to accept responsibility, says he wasn’t driving, and the car is the criminal, not him.
His argument, like Elon Musk, is that his money alone makes him a good citizen and shields him from following laws.
In meiner Juli-Analyse des 691-seitigen Referentenentwurfs habe ich § 10 Abs. 2 BNDG den Waffenhändler des Wilden Westens genannt: das BSI, die Bundesbehörde mit dem gesetzlichen Auftrag, Schwachstellen schließen zu lassen, per Gesetz zur verpflichteten Annahmestelle gemacht, die dem BND rohe und unbearbeitete Schwachstellen liefert, ohne vorherige Aufarbeitung, 0-Days eingeschlossen.
Die Verpflichtung des BSI künftig IT-Schwachstellen an den BND melden zu müssen, ist raus.
Diese künstlerische Darstellung der Marke X wurde von der Plattform gelöscht, die der sich selbst so vermarktende „Redefreiheits-Extremist“ Elon Musk betreibt. Quelle: Ai Weiwei
Die Kabinettsfassung selbst ist noch nicht veröffentlicht. Bis das BMI sie einstellt, gebe ich im Kern nur wieder, was Flade berichtet. Der Beweis bleibt das Dokument selbst.
Die Aktenlage
Wie die Regelung starb, steht in der kurzen öffentlichen Aktenlage. Das BMI veröffentlichte den Entwurf am 5. Juli, und Sven Herpig markierte die Übermittlungspflicht binnen Tagen. Flade dokumentierte sie bis zum 13. Juli. Dann brachte die Verbändeanhörung ihre Stellungnahmen hervor, und die Pflicht war deren konzentrierter Brennpunkt. Die AG Kritis warnte, die Regelung baue IT-Sicherheit ab, statt sie zu stärken, und Betreiber kritischer Infrastrukturen müssten sich fragen, „wie vertrauenswürdig das BSI dann noch für sie sein kann“, wenn ihre sensibelsten Vorfallsdaten an einen Nachrichtendienst weiterfließen.
Eine öffentliche Frage auf abgeordnetenwatch hält fest, dass Konstantin von Notz die Pflicht als fahrlässig und nicht mit den Vorgaben des Bundesverfassungsgerichts vereinbar bezeichnet hat.
Zuletzt, laut Flade: die Streichung, bevor der Entwurf ins Kabinett ging.
Eine Streichung ist nur eine Streichung
Die Streichung des Feeds ist nichts Größeres, etwa ein vollständiger Abwägungsprozess für Schwachstellen. Nach Herpigs Bericht hat das Kanzleramt acht Jahre lang ein gesetzliches Schwachstellenmanagement im Interesse des BND blockiert. Die Streichung des Einweg-Angriffsfeeds führt Deutschland in dieses benannte Vakuum zurück. Sie löst es nicht auf, denn an die Stelle der Übermittlungspflicht trat keine Offenlegungspflicht. Die Nutzung von Schwachstellen durch den BND zur Auslandsaufklärung läuft auf der bestehenden Rechtsgrundlage weiter; geändert hat sich, nach aktuellem Berichtsstand, nur, dass das BSI nicht mehr per Gesetz als Lieferant verpflichtet ist. Die eigene Logik der Begründung, dass die Zeit bis zur Behebung das Erntefenster ist, wurde zurückgezogen und blieb unbeantwortet.
Wie es weitergeht
Flades Einordnung: eine kleine, aber relevante Änderung. Nach aktuellem Berichtsstand geht alles Übrige aus meiner Juli-Analyse wie entworfen ins Kabinett.
Die automatisierten Gegenmaßnahmen werden weiterhin mit der Behauptung begründet, menschliche Prüfung leiste keine relevante Qualitätssicherung. Das ist Unsinn.
Die Täuschungslizenz des § 60, die staatliche Desinformation unter dem Etikett Schutzmaßnahme ins Gesetz schreibt. Die Abschaffung der G10-Kommission. Das Verhältnis von 30:1 zwischen Ausgaben für Fähigkeiten und Ausgaben für Kontrolle. All das bleibt aus den bereits genannten Gründen bedenklich.
Man betrachte genau die Regelung, die starb, und warum. Die Übermittlungspflicht hatte eine konzentrierte Interessengruppe mit etwas Konkretem zu verlieren: KRITIS-Betreiber mit Vorfallsdaten, Sicherheitsforscher mit Offenlegungsentscheidungen, die eigene Annahmestelle des BSI. Diese Parteien schreiben Stellungnahmen. Die Regelungen, die überlebt haben, verteilen ihre Kosten anders, aus ökonomischer Sicht der Schwachstellenforschung.
Die Abschaffung der G10-Kommission kostet die Allgemeinheit ein Kontrollgremium; die Täuschungslizenz kostet die Ziele von V-Leute-Netzen; die Automatisierungsklausel kostet den, der auf geteilter Infrastruktur steht, wenn die Maschine feuert. Keine dieser Gruppen reicht Verbandsstellungnahmen ein. Das ist keine Aussage über Absichten. So filtern Kommentarverfahren: Sie beantworten die Einwände, die organisiert, finanziert und auf dem passenden Briefkopf eintreffen.
Das nächste Fenster
Die Verbändeanhörung ist vorbei. Vom Kabinett wandert das Paket in den Bundestag, wo Regelungen per Änderungsantrag im Ausschuss eingefügt und gestrichen werden, ohne dass das Verfahren eine zweite Kommentarrunde verlangt. Eine vor dem Kabinett gestrichene Regelung ist die am billigsten wiederherstellbare, und sie käme in der Phase mit der geringsten öffentlichen Sichtbarkeit zurück.
Mein Juli-Beitrag argumentierte, dieser Entwurf baue Instrumente, die den Machtwechsel zwischen Regierungen überstehen. Hier zeigt sich die Miniatur desselben Problems: Instrumente, die den Wechsel zwischen Verfahrensstufen überstehen, wobei jede Stufe weniger Kontrolle kennt als die vorige. Die Kabinettsfassung wird all das bestätigen oder korrigieren; die Ausschussfassung, noch Monate entfernt, wird zeigen, ob der Waffenhändler wieder öffnet.
In my July analysis of the 691-page Referentenentwurf I called § 10(2) BNDG the wild west’s gun dealer: the BSI, the federal agency whose statutory mission is getting vulnerabilities patched, conscripted by law into a mandatory intake feeding the BND raw and unprocessed vulnerabilities, ohne vorherige Aufarbeitung, including 0-days.
Die Verpflichtung des BSI künftig IT-Schwachstellen an den BND melden zu müssen, ist raus.
EN: (The obligation for the BSI to report IT vulnerabilities to the BND in future is out.)
This artist’s rendering of the X brand was deleted by the platform run by the self-promoting “free speech extremist” Elon Musk. Source: Ai Weiwei
The Kabinettsfassung itself is not yet published. Until the BMI posts it, I’m basically reposting what Flade is reporting. The document itself still has to be the proof.
The Paper Trail
How the provision died was in the brief public record. The BMI published the draft on July 5 and Sven Herpig flagged the transmission duty within days. Flade documented it by July 13. Then the Verbändeanhörung produced its Stellungnahmen, and the duty was their concentrated flashpoint. The AG Kritis warned that the provision would degrade IT security rather than strengthen it, and that operators of critical infrastructure would have to ask “wie vertrauenswürdig das BSI dann noch für sie sein kann” if their most sensitive incident data flowed onward to an intelligence service.
A public question on abgeordnetenwatch records Konstantin von Notz characterizing the duty as careless and incompatible with the Bundesverfassungsgericht’s requirements.
Finally, per Flade, deletion arrived before the draft went to the cabinet.
Deletion is just deletion
Removing the feed is not something bigger, like a full equities process. Herpig’s reporting had the Kanzleramt spending eight years blocking a statutory Schwachstellenmanagement on the BND’s behalf. Deleting the one-way attack feed returns Germany into that stated vacuum. It does not resolve it because no disclosure duty replaced the transmission duty. The BND’s use of vulnerabilities for foreign collection continues on its existing legal basis; what changed, on current reporting, is only that the BSI is no longer statutorily drafted as the supplier. The Begründung’s own logic, that remediation time is the harvest window, was withdrawn and left unanswered.
Moving ahead
Flade’s characterization is that there was a small but relevant change. On current reporting, everything else in my July analysis goes to cabinet as it has been drafted.
The automated countermeasures are still being justified with the claim that human review adds no relevant quality assurance. That’s nonsense.
The § 60 deception charter that writes state Desinformation into statute under the label Schutzmaßnahme. The abolition of the G10-Kommission. The 30:1 ratio of capability spending to control spending. All of it remains concerning for the reasons already stated.
Look at the exact provision that died and why. The transmission duty had a concentrated constituency with something specific to lose: KRITIS operators with incident data, security researchers with disclosure decisions, the BSI’s own intake pipeline. Those parties write Stellungnahmen. The provisions that have survived distribute costs differently, from the economics view of vulnerability research.
The G10-Kommission’s abolition costs the general public an oversight body; the deception charter costs the targets of informant networks; the automation clause costs whoever is standing on shared infrastructure when the machine fires. None of those constituencies files sector comments. This is not a claim about anyone’s intent. It is how comment processes filter: they answer the objections that arrive organized, funded, and on particular letterhead.
The Next Window
The Verbändeanhörung is over. From cabinet the package moves to the Bundestag, where provisions are added and removed by Änderungsantrag in committee, with no second comment round required by procedure. A provision deleted before cabinet is the cheapest kind to restore, and it would return at the stage with the least public exposure.
My July post argued this draft builds instruments that survive handover between governments. We see here the miniature of the same problem: instruments surviving handover between drafting stages, where each stage has less scrutiny than the last. The Kabinettsfassung will confirm or correct all of this; the Ausschussfassung, still months out, will show whether the gun dealer’s office reopens.
a blog about the poetry of information security, since 1995
