Verwaltungsgericht Köln: BSI hat zu Recht vor Kaspersky-Software gewarnt

Die Warnung des BSI vor der Virenschutz-Software des russischen Herstellers Kaspersky war rechtens, hat das Kölner Verwaltungsgericht entschieden. Das erforderliche Vertrauen in den Hersteller sei nicht gewährleistet.

Der russische Virenschutz-Hersteller Kaspersky ist mit dem Versuch gescheitert, eine Warnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gegen die Verwendung seiner Software aufzuheben. Das Kölner Verwaltungsgericht lehnte einen entsprechenden Antrag der Firma ab.

Das BSI hatte Mitte März 2022 vor dem Hintergrund des Ukraine-Krieges auf ein "erhebliches Risiko" eines erfolgreichen IT-Angriffs Russlands hingewiesen und geraten, Kaspersky-Software durch Alternativen zu ersetzen.

"Antiviren-Software, einschließlich der damit verbundenen echtzeitfähigen Cloud-Dienste, verfügt über weitreichende Systemberechtigungen und muss [...] eine dauerhafte, verschlüsselte und nicht prüfbare Verbindung zu Servern des Herstellers unterhalten", schrieb das BSI. Wenn ein Zweifel an der Zuverlässigkeit des Herstellers bestehe, berge Virenschutz-Software ein besonderes Risiko für eine zu schützende IT-Infrastruktur.

Eine staatliche russische Einflussnahme liege nicht vor

Kaspersky wollte die Warnung kippen und dem BSI auch künftig solche Wortmeldungen verbieten. Das Unternehmen hatte die Entscheidung der Behörde als rein politisch dargestellt, bei der es keinen Bezug zur technischen Qualität des Virenschutzes gebe. Eine Sicherheitslücke und technische Schwachstelle liege ebenso wenig vor wie Anhaltspunkte für staatliche russische Einflussnahme.

Der Argumentation der Firma folgte das Gericht nicht. Wie aus einer Mitteilung hervorgeht, hat der Gesetzgeber den Begriff der Sicherheitslücke, die zu einer Warnung berechtigt, weit gefasst.

Virenschutz-Software erfülle grundsätzlich alle Voraussetzungen für so eine Sicherheitslücke, schließlich habe die Software weitreichende Berechtigungen zu Eingriffen in das Computersystem. Wenn das erforderliche hohe Maß an Vertrauen in den Hersteller nicht mehr gewährleistet sei, liege eine Sicherheitslücke vor. Dies ist nach Entscheidung der Kölner Richter bei Kaspersky der Fall.

"Kein ausreichender Schutz gegen eine staatliche Einflussnahme"

Angesichts des russischen Angriffskriegs auf die Ukraine, der auch als "Cyberkrieg" geführt werde, sei "nicht hinreichend sicher auszuschließen, dass russische Entwickler aus eigenem Antrieb oder unter dem Druck anderer russischer Akteure die technischen Möglichkeiten der Virenschutz-Software für Cyberangriffe auch auf deutsche Ziele ausnutzen", heißt es in der Mitteilung des Gerichts.

Zudem könne nicht davon ausgegangen werden, dass sich staatliche Akteure in Russland an Gesetze hielten, denen zufolge Kaspersky keine Daten weitergeben dürfe. Die Sicherheitsmaßnahmen, welche die Firma nach eigenen Angaben durchgeführt hat, bieten aus Sicht des Gerichts "keinen ausreichenden Schutz gegen eine staatliche Einflussnahme".

Gegen den Beschluss kann die Firma Beschwerde einlegen und vor das Oberverwaltungsgericht Münster ziehen.