Uli Blumenthal: Am Flughafen Leipzig/Halle soll bis 2022 die Cyberagentur des Bundes entstehen. In der Agentur sollen sich 100 IT-Spezialisten mit Sicherheitsfragen bei der Bundeswehr und bei der Polizei befassen. Darauf verständigten sich die Bundesministerien für Inneres sowie Verteidigung mit den Ländern Sachsen-Anhalt und Sachsen gestern Nachmittag. Der Bundesrechnungshof stellt das finanzielle Konzept der geplanten Agentur für Innovation in der Cybersicherheit infrage. Das geht aus einem vertraulichen Bericht des Rechnungshofs an den Haushaltsausschuss des Deutschen Bundestages hervor, den das Portal netzpolitik.org im Wortlaut veröffentlicht hat. Anna Biselli von netzpolitik.org, was sind die entscheidenden Kritikpunkte gegenüber der Cyberagentur?

Anna Biselli: Sie haben die Finanzierung schon erwähnt, aber außer der Finanzierung kritisiert der Bundesrechnungshof auch noch die Schwierigkeiten, Personal zu Bundeslöhnen zu gewinnen und außerdem den Sinn der Cyberagentur an sich, weil es schon ganz viele andere Institutionen in Deutschland und auch Bundesinstitutionen gibt, die an Cybersicherheit und Innovationen forschen sollen.

Blumenthal: Lassen Sie uns die einzelnen Punkte vielleicht ein bisschen klarer beleuchten. Wo liegt das Problem bei der Finanzierung dieser Cyberagentur? Ist die unterfinanziert von Anfang an, oder gibt es unklare Finanzierungsverhältnisse?

Biselli: Ganz am Anfang, als die Cyberagentur angekündigt wurde beziehungsweise die Pläne für die Cyberagentur, wollte man dafür 365 Millionen erst mal ausgeben in dieser Legislaturperiode. Jetzt wurde aber ein Haushaltsvorschlag gemacht, und in diesem Haushaltvorschlag ist es viel weniger geworden. Das heißt, der Bundesrechnungshof sagt, jetzt sind nur noch 222,5 Millionen vorgesehen, und das stellt so ein bisschen in Frage, wie man quasi dann auf diese Investition überhaupt kommen will. Das heißt, es gibt eine Lücke in der Finanzierung, und außerdem, selbst wenn man das mit 365 Millionen finanzieren würde, wäre das immer noch relativ wenig im Vergleich zu Institutionen im Ausland, zum Beispiel der Forschungsbehörde DARPA vom US-Militär. Die haben nämlich pro Jahr mehr als drei Milliarden Euro umgerechnet zur Verfügung.

Blumenthal: Sie haben jetzt angesprochen die finanzielle Frage. Wie sieht es aus mit den inhaltlichen Fragen? Also ist eigentlich ganz klar, womit sich diese Cyberagentur befassen soll, wenn Sie sagen, dass es ja schon vergleichbare Forschungseinrichtungen in Deutschland gibt?

Biselli: Die Cyberagentur soll laut Innenministerium und laut Verteidigungsministerium Sprunginnovationen vorantreiben, das heißt, sie soll neue Technologien erforschen lassen und damit quasi die technologische Innovationsführerschaft – so wird das gesagt – Deutschlands sicherstellen. Dann ist eben die Frage, warum man dann noch eine eigene Einrichtung, die nicht selber forschen soll, sondern Aufträge vergeben soll, braucht. Es gibt zum Beispiel auf Bundesebene schon ZITiS. ZITiS soll auch in der IT Sicherheitstechnologien erforschen und auch Technologien, um aus staatlicher Sicht Überwachung einzurichten, um zum Beispiel Verschlüsselungen zu brechen. Es gibt aber auch eine eigene Einrichtung der Bundeswehruniversität, die IT-Sicherheit erforschen soll, und es gibt auch jede Menge Kompetenzzentren an Universitäten, zum Beispiel in Karlsruhe, Saarbrücken und Darmstadt, die auch Sicherheitsforschung machen und auch durch öffentliche Mittel gefördert sind. Dann fragt man sich, wie kann eine Institution, die noch dazu gar nicht selber forschen soll, da überhaupt noch was tun, wenn es sowieso schon Institutionen gibt, die öffentlich gefördert sind.

Blumenthal: Ist das der richtige Weg, um Cybersicherheit herzustellen, eine Cybersicherheit GmbH, also privat?

Biselli: Ich glaube, dass ist nicht der richtige Weg, weil es auch schon Förderung für solche Institutionen gibt aus anderen Töpfen und aus anderen Forschungsprogrammen. Außerdem hat die Vergangenheit gezeigt, dass es vielleicht keine allzu gute Idee ist, wenn das Verteidigungsministerium GmbHs gründet in Bundesbesitz, die dann Aufträge vergeben. Ich meine, es gibt jetzt die ganze Berateraffäre, zu der es einen Extrauntersuchungsausschuss gibt, die gezeigt hat, dass dann das Risiko besteht, dass millionenschwere Aufträge an andere vergeben werden, die nicht mehr wirklich kontrollierbar sind und die auch nicht verhältnismäßig sind.

Blumenthal: Ein großes Problem bei Universitäten ist ja die Dual-Use-Forschung, also die Frage, forsche ich für zivile oder auch für militärische Anwendungen. Dann würde sich dieses Problem ja noch stärker stellen für staatlich finanzierte Forschungseinrichtungen, wenn jetzt eine private Cyberagentur an die Hochschulen und Universitäten geht und sagt, wir suchen junge kreative Köpfe, und die beauftragen wir.

Biselli: Genau, es gibt ja Universitäten, die sich ausdrücklich davon distanziert haben, für militärische Zwecke zu arbeiten. Es gibt aber auch die Bundeswehruniversität, die so etwas macht und die ja eigentlich schon als Einrichtung existiert und die ein gefördertes Projekt hat, das sich "Code" nennt, das genau solche IT-Sicherheitsforschung macht. Das existiert ja schon und läuft ja schon.

Blumenthal: Disruptiv- oder Sprunginnovation, das ist ja so ein Modewort. Es gibt eine weitere Agentur zur Förderung von Sprunginnovationen, SprinD – mit D – heißt die, die wird durch das Bundesministerium für Bildung und Forschung finanziert. Also dann hat man letztlich da schon auf jeden Fall Doppel- oder Parallelstrukturen und Mehrfachförderung.

Biselli: Genau, und wir haben uns auch mal angeguckt, was SprinD fördern soll, und selbst in den genannten Zielen überschneidet sich viel. Zum Beispiel die Cyberagentur soll Innovationen bei Quantencomputern fördern. Das steht aber genau so auch in dem Programm für SprinD drin. Das heißt, da sieht man eine ganz eindeutige Doppelung, wo dann vielleicht zweimal Geld von verschiedenen Ministerien für die gleiche Sache ausgegeben wird, wo man vielleicht mehr zusammenarbeiten könnte oder sagen könnte, das eine reicht, weil wir im Zweifelsfall sowieso auf das gleiche Ergebnis kommen.