Wer den Geheimdienst bewacht – und warum sie es nicht mehr darf

von Michael Hollister
Exklusive Veröffentlichung nur bei Michael Hollister am 14. August 2026

2.036 Wörter * ca. 10 Minuten Lesezeit

Die vollständige Tiefen-Analyse bitte hier weiterlesen:
Kontrollfreie Räume: Wie die Aufsicht über den BND verschwindet

Unabhängig recherchiert. Verständlich erklärt. Regelmäßig geliefert.

Meine Großmutter hatte einen Satz für Menschen, die viel versprechen: Hör nicht, was sie sagen, schau, was sie tun. Was die Bundesregierung im Jahr 2026 über die Kontrolle ihrer Geheimdienste sagt, klingt beruhigend – von wirksamer Aufsicht, von Rechtsstaat, von einem neuen Kontrollrat. Was sie tut, lässt sich an einer einzigen Person ablesen. An einer Frau, die den Bundesnachrichtendienst kontrollieren sollte, Einsicht in seine Unterlagen verlangte, sie verweigert bekam, dagegen klagte, verlor – und wenige Wochen später ihren Posten räumte.

Louisa Specht-Riemenschneider war Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, die oberste Datenschutzaufsicht der Bundesrepublik. In dieser Funktion prüft sie auch, ob der BND sich beim Umgang mit Daten an das Gesetz hält. Das ist keine Nebenrolle, sondern eine der wenigen unabhängigen Instanzen, die einem Geheimdienst überhaupt auf die Finger schauen dürfen. Sie war seit September 2024 im Amt, gewählt für eine reguläre Amtszeit von fünf Jahren. Genau ihre Prüfbefugnis ist ihr binnen weniger Monate aus der Hand genommen worden – von einem Gericht, von der Regierung, und am Ende durch ihren eigenen Rückzug. Drei Vorgänge, die alle in dieselbe Richtung zeigen. Das ist der Befund. Er kommt ohne Empörung aus, weil die Fakten laut genug sind.

Bruch eins: Die Kontrolleurin darf nicht kontrollieren

Am 04. März 2026 wies das Bundesverwaltungsgericht die Klage der Datenschutzaufsicht gegen den BND ab. Vorausgegangen war ein Kontrolltermin, bei dem die Beauftragte Einsicht in Anordnungen des BND-Präsidenten verlangt hatte – konkret in Anordnungen zu CNE-Maßnahmen. Das Kürzel steht für Computer Network Exploitation: das gezielte Eindringen in fremde IT-Systeme, staatliches Hacking, einer der sensibelsten Bereiche geheimdienstlicher Arbeit überhaupt. Genau hier wollte die Aufsicht prüfen, ob der Dienst sich an das Gesetz hält. Der BND verweigerte die Einsicht. Blieb der Aufsicht nur die Beanstandung beim Bundeskanzleramt, jener Stelle, die dem Dienst selbst vorgesetzt ist – eine Beanstandung ohne durchsetzbare Folge.

Das Gericht entschied nicht in der Sache. Es entschied, dass die Aufsicht gar nicht erst klagen darf. Ihr fehle die „wehrfähige Rechtsposition“, um ihre Kontrollrechte gerichtlich durchzusetzen. Der Gesetzgeber, so das Gericht, habe neben der folgenlosen Beanstandung bewusst kein durchsetzbares Mittel vorgesehen – und diese Lücke dürfe kein Gericht schließen. Das Aktenzeichen lautet 6 A 2.24. Leipzig ist bei Streitigkeiten mit dem BND erste und letzte Instanz; eine Berufung gibt es nicht.

Die Reaktion der Beauftragten fiel für eine oberste Bundesbehörde ungewöhnlich scharf aus. Es entstünden „kontrollfreie Räume“, sagte Specht-Riemenschneider. „Die kontrollierte Stelle kann nunmehr faktisch selbst darüber entscheiden, was mir zur Einsicht gegeben“ werde. Und der Kernsatz, der den ganzen Vorgang zusammenfasst: „Die Gesetzeslage ist absurd.“ Der Dienst, der überwacht wird, bestimmt selbst, was seine Aufsicht sehen darf. Das ist nicht eine Lücke im System. Das ist die Umkehrung des Systems.

Was das Urteil so schwer wiegen lässt, ist eine Aufgabe, die das Bundesverfassungsgericht der Datenschutzaufsicht ausdrücklich zugewiesen hat: eine Kompensationsfunktion. Der Gedanke dahinter ist einfach. Ein Bürger erfährt nie, ob der Geheimdienst seine Daten verarbeitet – die Überwachung ist geheim, eine Benachrichtigung gibt es nicht. Weil er sich also selbst nicht wehren kann, soll die Aufsicht stellvertretend für ihn prüfen. Genau diese stellvertretende Prüfung nimmt das Leipziger Urteil ihr aus der Hand. „Meine Möglichkeiten zur Durchsetzung der Betroffenenrechte sind mit dem heutigen Urteil massiv beschränkt“, sagte die Beauftragte. Der Einzelne kann nicht klagen, weil er nichts weiß. Und die Instanz, die es für ihn tun sollte, darf es nun nicht mehr. Ihr Appell richtete sich denn auch nicht an das Gericht, dessen Urteil endgültig ist, sondern an den Gesetzgeber: Er müsse ihr für Streitigkeiten mit dem BND überhaupt erst einen Rechtsweg eröffnen. Bis das geschieht, existiert die Kontrolle nur so weit, wie der kontrollierte Dienst sie zulässt.

Bruch zwei: Erst entmachtet, dann ersetzt

Während die Beauftragte vor Gericht um ihre Kontrollrechte kämpfte, verfolgte die Bundesregierung parallel einen Plan, der die Sache von der anderen Seite erledigte: Sie wollte der Datenschutzaufsicht die Zuständigkeit für den BND ganz entziehen. Die Kontrolleurin lief also nicht nur gegen eine Wand – ihr sollte die Zuständigkeit, an der sie gerade scheiterte, obendrein genommen werden. Das eine Gericht sprach ihr die Durchsetzungsmacht ab; die Regierung wollte ihr die Zuständigkeit gleich mit nehmen.

Dreizehn Tage nach dem Urteil, am 17. März 2026, kündigte Specht-Riemenschneider ihren Rückzug an. Aus gesundheitlichen Gründen, wie sie erklärte, sobald die Nachfolge geregelt sei; der Grund wurde parteiübergreifend bestätigt, ein Widerspruch dazu ist nicht dokumentiert. Sie war gut eineinhalb Jahre im Amt, gewählt für fünf. Wenige Wochen später, bei der Vorstellung ihres letzten Jahresberichts, zog sie eine Bilanz, die über den eigenen Fall hinausreichte: „Die Breite und Intensität der Sicherheitsbefugnisse nimmt zu“, während die Kontrolle eingeschränkt werde. Und wörtlich: „Das ist eine Intensität, die ich in diesem Land nicht für zulässig halte.“ Vor der geplanten dritten Auflage der Vorratsdatenspeicherung warnte sie im selben Atemzug – bei dem Entwurf könne sie nicht „frenetisch klatschen“.

Ihr Nachfolger wurde am 25. Juni 2026 gewählt: Moritz Hennemann, Rechtsprofessor aus Freiburg, vorgeschlagen von der Union, breit bestätigt. Zum Bild gehört die Kritik aus der Fachöffentlichkeit: Hennemann gilt als Vertreter eines wirtschaftsorientierten Datenschutzes, weist für die Informationsfreiheit – die zweite Kernaufgabe des Amtes – keine ausgewiesene Erfahrung vor, und hatte Ende 2025 ein EU-Deregulierungspaket begrüßt, das Datenschützer als Angriff auf die Grundverordnung sehen. Ein transparentes Ausschreibungsverfahren gab es nicht. Das Amt vereint zwei Aufgaben, die beide in dieselbe Richtung wirken: den Bürger vor dem Datenzugriff des Staates zu schützen und den Staat für den Bürger durchschaubar zu halten. An seine Spitze rückt nun ein Mann, dessen Eignung für genau diese doppelte Kontrolle bestritten wird – und der die Behörde führen soll, die den BND datenschutzrechtlich beaufsichtigt. Wer den Wächter tauscht, während er im Streit mit dem Bewachten liegt, trifft eine Entscheidung, auch wenn niemand sie ausspricht.

Bruch drei: Ein Gericht prüft die Grundlage – und fragt nach Pegasus

Während im Inland die Aufsicht zerbröselt, hat sich international eine zweite Front geöffnet. Im Juni 2026 stellte der Europäische Gerichtshof für Menschenrechte der Bundesregierung zwei Beschwerden zu, eingebracht von Reporter ohne Grenzen und der Gesellschaft für Freiheitsrechte. Es sind zwei getrennte Verfahren mit unterschiedlichem Angriffspunkt: Das eine richtet sich gegen die Rechtsgrundlage für Staatstrojaner, das andere gegen die strategische Fernmeldeaufklärung, bei der zwar keine Gesprächsinhalte, wohl aber die Verbindungsdaten erfasst werden – wer wann mit wem kommuniziert. Für eine Quelle kann schon diese Tatsache tödlich sein, ohne dass ein Wort des Gesprächs bekannt wäre. Gerügt werden Verstöße gegen das Recht auf Privatleben, die Informations- und Pressefreiheit und das Recht auf wirksame Beschwerde.

Dass Straßburg die Beschwerden überhaupt zustellt, ist bereits ein Einschnitt: Nur etwa zwei Prozent aller Beschwerden nehmen diese Hürde. Das Gericht signalisierte zudem, die Fälle als Musterverfahren einzustufen und beschleunigt zu behandeln – ein Urteil hätte damit Strahlkraft weit über Deutschland hinaus. Bis Oktober 2026 muss die Bundesregierung sich äußern. RSF-Geschäftsführer Christian Mihr hat die Gesamtlage in einen Satz gefasst, den man zweimal lesen sollte: Während die Regierung dem BND mehr Macht geben und ihn zugleich der Datenschutzaufsicht entziehen wolle, stehe in Straßburg seine geltende Gesetzesgrundlage auf dem Prüfstand.

Der Gang nach Straßburg ist kein Auftakt, sondern der vorläufige Endpunkt eines fast zehnjährigen Ringens. Schon 2020 hatten Reporter ohne Grenzen und die Gesellschaft für Freiheitsrechte vor dem Bundesverfassungsgericht ein Grundsatzurteil erstritten, das weite Teile der BND-Auslandsüberwachung für grundrechtswidrig erklärte und den Gesetzgeber verpflichtete, ausländische Medienschaffende besonders zu schützen. Die folgende Reform des BND-Gesetzes verfehlte diese Vorgaben nach Darstellung der Kläger jedoch zum Teil klar. Eine erneute Verfassungsbeschwerde von Ende 2022 nahm Karlsruhe im November 2024 ohne Begründung nicht zur Entscheidung an. Erst danach zogen die Organisationen vor den Europäischen Gerichtshof. Dass ein internationales Gericht die Sache nun als mögliches Musterverfahren behandelt, wiegt vor diesem Hintergrund schwerer als jede Formalie.

Und hier kommt Pegasus ins Spiel. Dass der BND die Spähsoftware der israelischen NSO Group einsetzt, um im Ausland zu spionieren, ist seit Oktober 2021 öffentlich – gebilligt vom Kanzleramt, verschwiegen gegenüber dem Parlamentarischen Kontrollgremium. Pegasus gilt als eines der schärfsten kommerziellen Überwachungswerkzeuge der Welt: Es übernimmt ein Smartphone ohne einen einzigen Klick des Betroffenen, liest Nachrichten, hört Anrufe mit, schaltet Kamera und Mikrofon frei – und macht jede Verschlüsselung wirkungslos, weil es die Kommunikation vor dem Verschlüsseln abgreift. Dieselbe Software taucht weltweit in Skandalen um ausgespähte Journalisten und Oppositionelle auf; die USA setzten den Hersteller Ende 2021 auf eine Sanktionsliste. Der EGMR fragt in seinem Katalog über die Beschwerde hinaus: Er will von der Bundesregierung wissen, ob dieser staatliche Zugriff die IT-Sicherheit aller schwächt – ob die Sicherheitslücken, die eine solche Software offenhält, auch Kriminellen offenstehen. Nicht ein Journalist stellt diese Frage. Ein internationales Gericht stellt sie. Und die Bundesregierung ist ein Schwachstellenmanagement, das das Bundesverfassungsgericht längst gefordert hat, bis heute schuldig geblieben.

Der Mechanismus dahinter macht die Sache für jeden greifbar, der einmal mit einer heiklen Quelle gesprochen hat. Um vom BND erfasst zu werden, muss eine Journalistin nicht selbst das Ziel sein. Es genügt, mit einer überwachten Person in Kontakt zu stehen – dann liegt die Kommunikation offen. Und benachrichtigt wird hinterher niemand.

Bilanz: Wer sieht wen?

Drei Brüche, eine Richtung. Ein Gericht nimmt der Aufsicht das Recht, ihre Kontrolle durchzusetzen. Eine Regierung will ihr die Zuständigkeit ganz entziehen und besetzt den Posten mit einem Mann, dessen Eignung bestritten wird. Ein europäisches Gericht prüft die Rechtsgrundlage des Dienstes und fragt, ob seine Werkzeuge die Sicherheit aller gefährden. Jeder dieser Vorgänge ist für sich dokumentiert. Zusammen ergeben sie eine Asymmetrie. Und sie fallen nicht zufällig zusammen: Bis Ende 2026 muss der Gesetzgeber das BND-Gesetz ohnehin neu fassen – das Bundesverfassungsgericht hat es dazu gezwungen. Ausgerechnet in diesem Jahr verliert die Aufsicht vor Gericht, warnt ihre scheidende Chefin vor der Richtung und prüft Straßburg die Grundlage. Die Frage ist nicht, ob reformiert wird, sondern in welche Richtung.

Der Bürger wird für den Staat durchsichtiger – über staatliches Hacking, über die Erfassung, wer mit wem kommuniziert, über Software, die Verschlüsselung bricht und deren Einsatz der Betroffene nie erfährt. Der Staat wird für den Bürger zugleich unkontrollierbarer, weil die Instanz, die stellvertretend prüfen sollte, ihre Prüfung nicht mehr erzwingen kann. Wer nicht weiß, dass er überwacht wurde, kann nicht klagen. Und die Aufsicht, die es für ihn tun sollte, darf es nach dem Leipziger Urteil auch nicht. Zwei Türen, beide verschlossen, von zwei Seiten.

Meine Großmutter hätte für diese Lage keine Analyse gebraucht, nur ihren Satz. Was die Regierung über wirksame Kontrolle sagt, steht in den Pressemitteilungen. Was sie tut, steht in einem Gerichtsurteil, einem Entzugsplan und einer Personalentscheidung. Hör nicht, was sie sagen. Schau, was sie tun.

Die vollständige Analyse – mit der juristischen Mechanik hinter dem Urteil, der Frage, warum ausgerechnet ein zweites Kontrollgremium das Problem nur verschiebt, dem Steelman der Gegenseite und der vollständigen Kette, die geheimdienstliche Überwachung faktisch immun gegen jede gerichtliche Überprüfung macht – hier weiterlesen:
Kontrollfreie Räume: Wie die Aufsicht über den BND verschwindet

Unterstützen Sie unabhängigen Journalismus – werden Sie Mitglied – schon ab € 4 pro Monat

Michael Hollister war sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik – jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.

Geopolitik jenseits von Propaganda und einfachen Antworten.

Quellenverzeichnis

Bundesverwaltungsgericht, Pressemitteilung Nr. 15/2026 zum Urteil vom 04. März 2026 (Az. 6 A 2.24): https://www.bverwg.de/pm/2026/15

BfDI, Pressemitteilung 2/2026 vom 04. März 2026 (Zitate „kontrollfreie Räume“, „absurd“, „wehrfähige Rechtsposition“): https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2026/02_Entscheidung-BVerwG-BND.html

BfDI, Pressemitteilung zum Rückzug vom 17. März 2026: https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2026/05_BfDI-R%C3%BCckzug.html

heise online, Abschiedskritik im Tätigkeitsbericht 2025 („nicht für zulässig“): https://www.heise.de/news/BfDI-Neue-Sicherheitsbefugnisse-nicht-zulaessig-11284895.html

Deutscher Bundestag, Wahl Moritz Hennemann am 25. Juni 2026: https://www.bundestag.de/dokumente/textarchiv/2026/kw26-de-wahl-datenschutzbeauftragter-1184320

netzpolitik.org, Kritik an der Personalie Hennemann: https://netzpolitik.org/2026/moritz-hennemann-neuer-bundesbeauftragter-fuer-datenschutz-und-informationsfreiheit-gewaehlt/

Reporter ohne Grenzen, EGMR-Zustellung und Mihr-Zitat (29. Juni 2026): https://www.reporter-ohne-grenzen.de/artikel/pressemitteilungen/4266/egmr-ubermittelt-rsf-beschwerden-und-sieht-potenzial-fur-musterverfahren

Reporter ohne Grenzen, EGMR-Beschwerde und EMRK-Rügen (11. März 2025): https://www.reporter-ohne-grenzen.de/artikel/pressemitteilungen/26/beschwerde-gegen-das-bnd-gesetz-beim-egmr

netzpolitik.org, BND-Einsatz von Pegasus (08. Oktober 2021): https://netzpolitik.org/2021/geheimdienst-bundesnachrichtendienst-setzt-staatstrojaner-pegasus-ein/

FragDenStaat, Klageschrift RSF gegen BND wegen Pegasus: https://fragdenstaat.de/dokumente/250144-klageschrift-bnd-pegasus/

Vollständiges Quellenverzeichnis und weiterführende Belege im ausführlichen Analyse-Artikel.

© Michael Hollister – Alle Rechte vorbehalten. Die Weitergabe, Veröffentlichung oder Nutzung dieses Textes bedarf der ausdrücklichen schriftlichen Genehmigung des Autors. Bei Interesse an einer Weiterverwendung kontaktieren Sie bitte den Autor über www.michael-hollister.com.