Deutscher Bundestag – 18. Wahlperiode
– 665 –
Drucksache 18/12850
Im August 2012 habe eine Videokonferenz stattgefunden, bei der besprochen worden sei, wie der sog. Proof
of Concept von XKEYSCORE ablaufen könnte.3193 Die Abteilung IT habe klargestellt, die Hardware nur mit
Zustimmung von IT-SiM zur Verfügung stellen zu können.3194 Im Zusammenhang mit der Fragestellung der
IT-Sicherheit nahm an dieser Videokonferenz u. a. die IT-Sicherheitsbeauftragte im BfV, Zeugin Genkova,
teil.3195 Infolge dieser Besprechung habe die IT-Sicherheitsbeauftragte des BfV die Entscheidungsvorlage an
die Amtsleitung gerichtet, aufgrund derer der Proof of Concept mit Echtdaten und paralleler Erstellung eines
IT-Sicherheitskonzept beginnen konnte.3196
aa)
Ausnahmegenehmigung der Amtsleitung für den Beginn des Proof of Concept mit
Echtdaten ohne fertiges Sicherheitskonzept
Im September 2012 richtete der Bereich IT-Sicherheit im BfV, namentlich Zeugin Genkova3197, eine Entscheidungsvorlage an die Amtsleitung mit der Bitte um Zustimmung des Beginns des Proof of Concept mit
Echtdaten ohne Vorlage eines IT-Sicherheitskonzepts.3198 In dieser Entscheidungsvorlage wies sie explizit
aus, dass der geplante Test mit Echtdaten vertretbar sei, da es sich um ein in sich geschlossenes IT-System
ohne Anbindung an weitere IT-Systeme handle.3199 Die Zeugin Genkova hat in ihrer Aussage vor dem Untersuchungsausschuss von einem „tragbaren Risiko“ gesprochen.3200 Sie hat später ergänzt:
„[...] Ich bin immer noch der Ansicht, dass dieses kleine, isolierte System so, wie es
eingeschätzt war, okay war. [...]“3201
Die parallele Erstellung eines IT-Sicherheitskonzepts für XKEYSCORE im BfV sei ebenfalls Bestandteil
dieser Leitungsvorlage gewesen.3202
Die Amtsleitung stimmte diesem Vorgehen zu3203 und autorisierte den Test von XKEYSCORE im BfV.3204
Die Zeugin Genkova hat ausgeführt, sie habe den Vorschlag an die Amtsleitung, den Proof of Concept ohne
IT-Sicherheitskonzept zu genehmigen, nur unter engen Voraussetzungen gemacht:
3193)
3194)
3195)
3196)
3197)
3198)
3199)
3200)
3201)
3202)
3203)
3204)
Genkova, Protokoll-Nr. 89 I, S. 123 [Anm.: die Zeugin spricht zwar von 2013, es muss sich aber um das Jahr 2012 gehandelt haben,
da diese Videokonferenz vor der Ausnahmegehmigung stattgefunden hat].
Genkova, Protokoll-Nr. 89 I, S. 124.
Genkova, Protokoll-Nr. 89 I, S. 123/124.
Genkova, Protokoll-Nr. 89 I, S. 124.
Genkova, Protokoll-Nr. 89 I, S. 98, 110; eingestufte Angaben zur Fragestellung finden sich in: Entscheidungsvorlage IT-Sicherheitsmangement an Amtsleitung zum Beginn der Testphase von XKEYSCORE ohne IT-Sicherheitskonzept vom 6. September
2012, MAT A BfV-15 (Tgb.-Nr. 193/15 – GEHEIM), Band 3, Bl. 133 ff (133) (VS-VERTRAULICH).
Genkova, Protokoll-Nr. 89 I, S. 124; Delmdahl, Protokoll-Nr. 86 I, S. 49; eingestufte Angaben zur Fragestellung finden sich in:
Entscheidungsvorlage IT-Sicherheitsmangement an Amtsleitung zum Beginn der Testphase von XKEYSCORE ohne IT-Sicherheitskonzept vom 6. September 2012, MAT A BfV-15 (Tgb.-Nr. 193/15 – GEHEIM), Band 3, Bl. 133 ff (135) (VS-VERTRAULICH).
Delmdahl, Protokoll-Nr. 86 I, S. 49; eingestufte Angaben zur Fragestellung finden sich in: Entscheidungsvorlage IT-Sicherheitsmangement an Amtsleitung zum Beginn der Testphase von XKEYSCORE ohne IT-Sicherheitskonzept vom 6. September 2012,
MAT A BfV-15 (Tgb.-Nr. 193/15 – GEHEIM), Band 3, Bl. 133 ff (135) (VS-VERTRAULICH).
Genkova, Protokoll-Nr. 89 I, S. 98.
Genkova, Protokoll-Nr. 89 I, S. 126.
Genkova, Protokoll-Nr. 89 I, S. 98; Die Zeugin nimmt in ihrer Aussage Bezug auf die Entscheidungsvorlage vom IT-Sicherheitsmangement an die Amtsleitung des BfV vom 6. September 2012, MAT A BfV-15 (Tgb.-Nr. 193/15 – GEHEIM), Band 3, Bl. 133
ff (135) (VS-VERTRAULICH).
Delmdahl, Protokoll-Nr. 86 I, S. 49; digitale Verfügung des VP-BfV [Dr. Eisvogel] am 10. September 2012 und P-BfV [Dr. Maaßen] am 14. September 2012, MAT A BfV-15 (Tgb.-Nr. 193/15 – GEHEIM), Band 3, Bl. 137 f (offen)
Antwort der Bundesregierung vom 14. August 2013 auf eine Kleine Anfrage der Frakiton der SPD, BT-Drs. 17/14560, MAT A
BfV-1-5, Bl. 8 (28).