Ron Wyden fordert Transparenz beim staatlichen Hacken

Der Kern des Vorstoßes

Der demokratische US-Senator Ron Wyden hat am 21. August 2026 den US-Rechnungshof Government Accountability Office (GAO) um eine umfassende, nicht als geheim eingestufte Untersuchung gebeten. Im Mittelpunkt steht die Frage, wie das FBI, die Drogenbekämpfungsbehörde DEA, die Homeland Security Investigations von ICE und der Secret Service Hacktools und Spyware in Ermittlungen gegen Menschen in den USA einsetzen. 712

Wyden sieht eine grundlegende Rechenschaftslücke: Bundesbehörden nutzen nach eigener Darstellung seit mehr als zwei Jahrzehnten teils äußerst invasive digitale Überwachungsmethoden, doch der Öffentlichkeit und dem Kongress fehlen zentrale Informationen über deren Umfang, Häufigkeit und Schutzvorkehrungen. 712

Keine vergleichbare Statistik wie bei Telefonüberwachung

Bei klassischen Überwachungsinstrumenten wie Telefonabhören oder Pen Registers – technischen Anordnungen, die vor allem Verbindungsdaten wie gewählte Nummern erfassen – gibt es in den USA jährliche Berichtspflichten. Für staatliche Hacking-Operationen werden solche Zahlen dagegen nicht öffentlich vorgelegt. Damit bleibt unklar, wie oft, aus welchen Gründen und mit welchen möglichen Nebenwirkungen Geräte kompromittiert werden. 167

Nach Wydens Einschätzung haben das Justizministerium und das FBI wiederholt mehr Transparenz verweigert, obwohl der Kongress entsprechende Informationen verlangt hatte. Deshalb soll nun eine unabhängige Prüfung durch den GAO klären, welche Regeln tatsächlich gelten und ob sie ausreichen. 712

Diese Fragen soll der GAO untersuchen

Wydens Anfrage zielt unter anderem auf folgende Punkte:

• Häufigkeit und Zweck: Wie oft setzen die Behörden Hacktools und Spyware ein, und für welche Ermittlungsziele?
• Missbrauch: Haben Ermittler solche Werkzeuge unbefugt oder für persönliche Zwecke verwendet?
• Kontrollen: Welche technischen und organisatorischen Maßnahmen sollen einen Missbrauch verhindern?
• Beschaffung und Sicherheit: Wie werden die Werkzeuge erworben, gespeichert und vor Diebstahl oder Leaks geschützt?
• Sicherheitslücken: Werden mit den Werkzeugen verbundene Schwachstellen dem staatlichen Verfahren vorgelegt, das darüber entscheidet, ob sie den betroffenen Technologieunternehmen gemeldet werden sollen?
• Gerichtliche Kontrolle: Wie informieren die Behörden Richter bei der Beantragung von Durchsuchungsbeschlüssen über die Funktionsweise der Werkzeuge und über das Risiko, dass unbekannte oder unschuldige Personen betroffen sein könnten? 712

Gerade der letzte Punkt berührt grundlegende Bürgerrechte. Ein Hack kann nicht nur Daten der eigentlich verdächtigten Person offenlegen, sondern unter Umständen auch Informationen von Familienmitgliedern, Kollegen oder anderen Menschen, deren Geräte oder Konten mitbetroffen sind. Wyden will daher wissen, ob Gerichte diese technischen Risiken realistisch beurteilen können. 712

Der Fall L3Harris als Warnsignal

Als Beispiel für die Sicherheitsrisiken verwies Wyden auf den früheren L3Harris-Manager Peter Williams. Hochentwickelte Werkzeuge des Unternehmens sollen gestohlen und verkauft worden sein. Später seien sie von russischen Spionen gegen die Ukraine sowie von chinesischen Cyberkriminellen gegen Besitzer von Kryptowährungen eingesetzt worden.

Der Fall illustriert Wydens Sorge, dass staatlich nutzbare oder für staatliche Stellen entwickelte Überwachungstechnik außer Kontrolle geraten kann. Ein unzureichend geschütztes Werkzeug stellt demnach nicht nur ein Datenschutzproblem dar, sondern kann auch zu einer Gefahr für die Cybersicherheit werden.

Staatliches Hacking ist nicht neu

Wyden stellte den Vorstoß außerdem in einen historischen Zusammenhang. Bereits 1999 setzte das FBI im Verfahren gegen den Philadelphiaer Mafioso Nicodemo S. Scarfo Schadsoftware ein, die Tastatureingaben aufzeichnete. So wollten die Ermittler auf einem Computer gespeicherte und mit PGP verschlüsselte Beweise zugänglich machen. 712

Die Technik ist also nicht neu. Wydens Kritik lautet vielmehr, dass die Aufsicht und die öffentliche Berichterstattung mit den Möglichkeiten staatlicher Computerintrusion nicht Schritt gehalten haben.

Was Wyden mit der Prüfung erreichen will

Im Kern geht es dem Senator um die Frage, ob der Staat seine mächtigsten digitalen Ermittlungswerkzeuge ausreichend kontrolliert. Solche Programme können tief in die Privatsphäre eindringen und zugleich neue Sicherheitslücken schaffen. Nach Wydens Einschätzung gibt es bislang zu wenige öffentlich überprüfbare Belege dafür, dass Einsatz, Aufbewahrung, Schwachstellenmanagement, gerichtliche Angaben und interne Kontrollen eng genug begrenzt sind.

Ein unklassifizierter GAO-Bericht soll deshalb Fakten und Empfehlungen liefern, die auch außerhalb geheimer Behördenstrukturen nachvollziehbar sind. 1712