Organisation und Arbeitsweise der Bundesanstalt Zentrale Stelle für Informationstechnik im Sicherheitsbereich

[Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Martina Renner, Nicole Gohlke, Gökay Akbulut, weiterer Abgeordneter und der Fraktion DIE LINKE. – Drucksache 20/824 – Organisation und Arbeitsweise der Bundesanstalt Zentrale Stelle für Informationstechnik im Sicherheitsbereich V o r b e m e r k u n g d e r F r a g e s t e l l e r Die Zentrale Stelle für Informationstechnik im Sicherheitsbereich (ZITiS) ist eine im Frühjahr 2017 errichtete Bundesanstalt in München, die das technische Wissen im Bereich Cybersicherheit bündeln soll. Die Behörde soll die Sicherheitsbehörden auf Bundesebene in technischen Fragen unterstützen und beraten. Dies geschieht zum einen durch die Entwicklung technischer Lösungen im Auftrag der Behörden, beispielsweise technische Lösungen im Bereich der Strafverfolgung, digitaler Forensik, von Datenanalysen und Telekommunikationsüberwachung. Immer wieder hat die Bundesregierung mitgeteilt, dass ZITiS beispielsweise im Rahmen seiner Marktsichtung Kontakt mit den verschiedenen Herstellern und Anbietern von Informationstechnik bzw. Programmen beispielsweise zur Überwachung von Endgeräten wie Mobilfunktelefonen oder Computern mit der NSO-Group aus Israel seit 2018 (Antwort der Bundesregierung auf die Kleine Anfrage auf Bundestagsdrucksache 19/32246), mit „Candiru Limited“ aus Israel ebenfalls seit 2018 (Antwort der Bundesregierung auf die Kleine Anfrage auf Bundestagsdrucksache Bundestagsdrucksache 20/327), mit „Quadream“ aus Israel seit 2019 (Schriftliche Fragen auf Bundestagsdrucksache 20/104) und mit „DSR Decision Supporting Information Research Forensic GmbH“ (DSIRF) aus Österreich seit 2020 (Schriftliche Fragen auf Bundestagsdrucksache 20/175). Obwohl es eigentlich Aufgabe von ZITiS ist, hier eigene, bedarfsgerechte Lösungen zur Verfügung zu stellen, haben nach Kenntnis der Fragestellenden das Bundeskriminalamt (BKA) und der Bundesnachrichtendienst (BND) bereits auf die kommerzielle Lösung der NSO-Group „Pegasus“ zurückgegriffen. Hinsichtlich der von den übrigen vorgenannten Anbietern hergestellten Produkte und Software verweigert die Bundesregierung bisher öffentliche Verlautbarungen darüber, ob auch von jenen Anbietern Produkte erworben wurden. Ob die von ZITiS bisher selbst entwickelten Lösungen nicht praktikabel oder einsatzbereit sind, ist ebenfalls nicht bekannt. Über Arbeit und Innenleben der sich als „Start-up unter den Behörden“ selbst beschreibenden Behörde (https://www.ZITiS.bund.de/DE/Service/Impressum/impressum_nod e.html) ist wenig bekannt, was ebenfalls für ihre bisherigen Ergebnisse zu- Deutscher Bundestag Drucksache 20/1262 20. Wahlperiode 31.03.2022 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern und für Heimat vom 30. März 2022 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. trifft. So berichtete tagesschau.de im Oktober 2020 denn auch unter dem Titel „Mysterium ZITiS – was macht eigentlich die ‚Hackerbehörde‘?“ über die bisherige Arbeit der Behörde (https://www.tagesschau.de/investigativ/wdr/ZITi S-107.html).  1. Wie viele Personalstellen der Geschäftsfeldleitungen in welchen Bereichen der Zentralen Stelle für Informationstechnik im Sicherheitsbereich sind per 31. Dezember 2021 besetzt, und wie viele sind in welchen Bereichen zum gleichen Zeitpunkt unbesetzt? Zum 31. Dezember 2021 sind zwei Geschäftsfeldleitungen besetzt (Telekommunikationsüberwachung und Kryptoanalyse). Zum 31. Dezember 2021 sind zwei Geschäftsfeldleitungen unbesetzt (Big Data Analyse und Digitale Forensik), jedoch sind zwei Personen mit der Wahrnehmung der Geschäfte beauftragt.  2. Wie viele Mitarbeiter haben ZITiS per 31. Dezember 2021 bereits wieder verlassen, und wie viele von diesen waren als Abteilungsleiter beschäftigt? Seit Gründung der Zentralen Stelle für Informationstechnik im Sicherheitsbereich (ZITiS) haben bis einschließlich 31. Dezember 2021 insgesamt 33 Mitarbeitende die ZITiS verlassen, davon war ein Mitarbeitender Abteilungsleiter.  3. Standen Mitarbeiter von ZITiS vor ihrer dortigen Beschäftigung in einem Arbeitnehmerverhältnis oder im Rahmen einer Selbstständigkeit in einem wirtschaftlichen Verhältnis zu einem oder mehreren Unternehmen, gegenüber denen ZITiS als Auftraggeber bzw. Vertragspartner auftritt oder aufgetreten ist oder sonstige Kooperationsformate unterhält? a) Auf wie viele Mitarbeiter von ZITiS trifft das zu? Die Fragen 3 und 3a werden gemeinsam beantwortet. Auf insgesamt 34 Mitarbeitende trifft dies zu. b) Um welche Unternehmen handelt es sich? Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die erbetenen Auskünfte nicht – auch nicht in eingestufter Form – gegeben werden können. Das verfassungsrechtlich verbürgte Frage- und Informationsrecht des Deutschen Bundestages gegenüber der Bundesregierung wird durch gleichfalls Verfassungsrang genießende schutzwürdige Interessen wie die Grundrechte Dritter und das Staatswohl begrenzt. Die Mitteilung der Informationen würde einen unverhältnismäßigen Eingriff in das Recht auf informationelle Selbstbestimmung der Betroffenen nach Artikel 2 Absatz 1 i. V. m. Artikel 1 Absatz 1 des Grundgesetzes (GG) bedeuten. Das Recht auf informationelle Selbstbestimmung schützt die Befugnis des Einzelnen, grundsätzlich selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden. Es gewährt seinen Trägern u. a. Schutz gegen die Weitergabe der auf sie bezogenen, individualisierten oder individualisierbaren Daten (BVerfGE 103, 21 [33]). Gemäß ihrem Errichtungserlass unterstützt und berät die ZITiS Behörden des Bundes mit Sicherheitsaufgaben im Hinblick auf informationstechnische Fähigkeiten. Die Anzahl der mit spezifischen polizeilichen und nachrichtendienstlichen Aspekten befassten, vertrauenswürdigen Unternehmen ist aufgabenbedingt ebenso begrenzt, wie der für die ZITiS im Zuge ihrer Aufgabenwahrnehmung relevante Kreis sachkundiger Bewerber und Bewerberinnen bzw. Mitarbeiter und Mitarbeiterinnen. Somit könnten die hier erfragten Informationen mittelbar die namentliche Identifikation und Offenlegung des beruflichen Werdegangs der Betroffenen ermöglichen. Darüber hinaus stehen auch das durch Artikel 12 Absatz 1 GG geschützte Recht auf Wahrung von Betriebs- und Geschäftsgeheimnissen und Staatswohlerwägungen einer Beantwortung entgegen, da die Einwilligung der betroffenen Unternehmen nicht vorliegt und das Benennen der Unternehmen gegenüber einer nicht überschaubaren Öffentlichkeit im Kontext polizeilicher und nachrichtendienstlicher Arbeit die betroffenen Unternehmen in ihrem Bestand gefährden kann. Zum einen könnten Dritte von Geschäftsbeziehungen mit diesen Unternehmen Abstand nehmen. Zum anderen könnte eine Benennung Rückschlüsse auf den Entwicklungsstand und die Arbeitsweisen der Unternehmen zulassen, wodurch deren Wettbewerbsfähigkeit beeinträchtigt sein könnte. Weiterhin könnte das Bekanntwerden einer (Geschäfts-)Beziehung von Unternehmen zu den Bundesbehörden die Unternehmen zum Ziel von Aufklärungsbemühungen fremder Mächte machen. Hierdurch entstehende Wissensabflüsse wären einerseits schädlich für die Unternehmen. Sie beeinträchtigen andererseits aber auch die Funktionsweise und Arbeitsfähigkeit der Bundesbehörden, da eine Zusammenarbeit mit Unternehmen für deren Arbeit oftmals unerlässlich ist. Zur Sicherstellung der digitalen Souveränität der mit polizeilichen und nachrichtendienstlichen Aufgaben befassten Behörden des Bundes gilt es, den aufgabenbedingt begrenzten Kreis vertrauenswürdiger Unternehmen nicht durch Offenlegung ihrer Zusammenarbeit mit den Behörden des Bundes mit Sicherheitsaufgaben zu beeinträchtigen. Der Umfang bzw. die Verfügbarkeit vertrauenswürdiger Unternehmen und qualifizierter Bewerber und Bewerberinnen bzw. Mitarbeiter und Mitarbeiterinnen wirkt sich unmittelbar auf die Aufgabenwahrnehmung der ZITiS und damit mittelbar auf die informationstechnischen Fähigkeiten bei den polizeilichen und nachrichtendienstlichen Bedarfsträgern aus. Schließlich ermöglicht die Kenntnis der Unternehmen Einblick in das für die Bedarfsträger der ZITiS relevante Portfolio und demgemäß deren informationstechnische Fähigkeiten. Eine VS-Einstufung und Hinterlegung der betroffenen Unternehmen in der Geheimschutzstelle des Deutschen Bundestages trägt der erheblichen Brisanz im Hinblick auf die Bedeutung des Marktumfeldes und den Bewerberkreis sowie den Methoden, Werkzeugen und informationstechnischen Fähigkeiten der Bedarfsträger der ZITiS für deren polizeilichen bzw. nachrichtendienstlichen Aufgabenerfüllung nicht ausreichend Rechnung. Die erfragten Informationen lassen weitgehende Rückschlüsse auf die (geplante) technische Ausstattung und das Know-how der Behörden sowie Methoden, Werkzeuge und die informationstechnischen Fähigkeiten der Bedarfsträger zu. Eine Bekanntgabe auch gegenüber einem begrenzten Kreis von Empfängern wird dem Schutzbedarf nicht gerecht. Die gilt umso mehr, als bei einem Bekanntwerden die betroffenen, polizeilichen wie nachrichtendienstlichen Methoden und Werkzeuge nur noch eingeschränkt oder gar nicht mehr eingesetzt werden können und nur bedingt Ersatz verfügbar ist. Hieraus ergibt sich, dass die erbetenen Informationen derart schutzbedürftige Geheimhaltungsinteressen berühren, dass der Schutz des verfassungsrechtlich verankerten Rechts am eingerichteten und ausgeübten Gewerbebetrieb der Unternehmen und das Staatswohl gegenüber dem parlamentarischen Informationsinteresse überwiegt. Insofern muss ausnahmsweise das Fragerecht der Abgeordneten gegenüber den Geheimhaltungsinteressen der Bundesregierung zurückstehen. c) Waren oder sind aktuell Mitarbeiter in Projekten, Beschaffungsvorhaben oder Ähnlichem eingesetzt und haben dabei Kontakte zu Unternehmen, zu welchen sie zuvor im Rahmen einer Beschäftigung in einem Arbeitnehmerverhältnis oder im Rahmen einer Selbstständigkeit in einem wirtschaftlichen Verhältnis standen? Grundsätzlich kann bei einer Tätigkeit für die ZITiS nicht ausgeschlossen werden, dass sich Mitarbeitende mit Aufgaben befassen, die auch Unternehmen ihrer bisherigen beruflichen Laufbahn betreffen. Allerdings bestehen bei Beschaffungen verfahrensseitig Regelungen (v. a. infolge des Vergaberechts) und Vorkehrungen, um Interessenkonflikte zu verhindern. Zudem unterliegen Beschäftigte der ZITiS den Regelungen des Gesetzes über die Voraussetzungen und das Verfahren von Sicherheitsüberprüfungen des Bundes und den Schutz von Verschlusssachen (SÜG).  4. Welche Maßnahmen trifft ZITiS zur Korruptionsprävention (bitte entsprechend einzelner Handlungsfelder und getroffener Maßnahmen aufschlüsseln)? a) Über welche Ressourcen verfügt ZITiS im Bereich Korruptionsprävention? b) Über welche Qualifikationen verfügt das insoweit eingesetzte Personal, um Korruption zu erkennen bzw. zu verhindern? Die Fragen 4 bis 4b werden zusammenfassend beantwortet. Bei der ZITiS ist eine Person hauptamtlich für Korruptionsprävention zuständig. Für die Wahrnehmung der Aufgaben zur Korruptionsprävention ist ein abgeschlossenes wissenschaftliches Hochschulstudium, bevorzugt mit dem Mastergrad „Laws“, mit dem Master bzw. Diplom an einer Universität in den Fachrichtungen der Verwaltungs- oder Wirtschaftswissenschaften oder vergleichbare Abschlüsse erforderlich. Darüber hinaus wird eine mehrjährige Berufserfahrung in zwei der im Folgenden aufgeführten Aufgabenfelder gefordert: • Compliance • Revision • Korruptionsprävention • Risikomanagement • interne Sicherheit. Zudem werden fundierte Kenntnisse risiko- und prozessorientierter Prüfungsansätze, -techniken und -methoden vorausgesetzt. Des Weiteren wird das erforderliche Fachwissen durch die Teilnahme an einschlägigen Fortbildungen im Bereich der internen behördlichen Sicherheit vertieft. Die in der ZITiS zu Korruptionsprävention eingesetzte Person verfügt über die erforderlichen Qualifikationen gemäß obiger Darstellung zur Wahrnehmung der übertragenen Aufgaben. c) Welche internen und externen Strukturen werden zur Prüfung von Korruptionsrisiken oder Korruptionsvorwürfen herangezogen? Entsprechende Verdachtsfälle sind vertraulich der für die Korruptionsprävention zuständigen Person zu melden. Darüber hinaus besteht für alle Mitarbeiter die Möglichkeit, den Ombudsmann des Bundesministeriums des Innern und für Heimat (BMI) zu kontaktieren. Die Korruptionsrichtlinie der Bundesregierung findet ebenfalls Beachtung.  5. Wie viele leitende Mitarbeiter von ZITiS (Referatsleiter oder höher) waren bereits in ihrer vorherigen Verwendung oder Beschäftigung in einer entsprechenden Leitungsfunktion (Referatsleiter oder höher) tätig (bitte nach Behörden auflisten)? Vier Mitarbeitende waren bereits in ihrer vorherigen Verwendung oder Beschäftigung in einer entsprechenden Leitungsfunktion im öffentlichen Dienst (Referatsleiter oder höher) tätig.  6. Wie viele Beamte wurden innerhalb des ersten Beschäftigungsjahres bei ZITiS in ein höheres Amt befördert, und wie groß ist deren Anteil an der Gesamtzahl der Beamten bei ZITiS? Insgesamt wurden 18 Beamte innerhalb des ersten Beschäftigungsjahres in ein höheres Amt befördert. Dies entspricht 24 Prozent der Gesamtzahl der Beamten bei ZITiS.  7. Wie viele Mitarbeiter von ZITiS wurden im gehobenen Dienst eingestellt und befinden sich inzwischen im höheren Dienst bzw. im Aufstiegsverfahren? Wie und anhand welcher Kriterien findet die Auswahl für eine solche Beförderung statt? Sieben Personen wurden im gehobenen Dienst eingestellt und haben sich anschließend erfolgreich auf eine Stelle im höheren Dienst beworben. Davon befinden sich fünf Personen aktuell noch im Aufstiegsverfahren (§ 24 der Bundeslaufbahnverordnung – BLV). Die Auswahl erfolgt nach den Vorgaben des § 24 BLV und nach beamten- und laufbahnrechtlichen Aufstiegsregelungen.  8. Wie viele Mitarbeiter von ZITiS sind seit der Einstellung um mehr als ein Beförderungsamt befördert worden? Sechs Mitarbeitende sind seit ihrer Einstellung um mehr als ein Amt befördert worden.  9. Wie viele Mitarbeiter von ZITiS verfügen über eine Qualifikation als Volljuristin bzw. Volljurist mit zweitem juristischem Staatsexamen? Erachtet die Bundesregierung angesichts der Aufgaben von ZITiS die Beschäftigung von Mitarbeitern mit entsprechender juristischer Expertise für erforderlich, oder wird dies mangels eigener Eingriffsbefugnisse von ZITiS für entbehrlich erachtet? Elf Mitarbeitende verfügen über das abgeschlossene zweite juristische Staatsexamen. Auch wenn ZITiS über keine eigenen Eingriffsbefugnisse verfügt, ist das Vorhandensein einer juristischen Expertise in der ZITiS erforderlich. ZITiS ist Teil der Bundesverwaltung und demnach losgelöst von operativen Befugnissen an gesetzesmäßiges Handeln gebunden, das auch die juristische Expertise für die Ausübung rechtsberatender, -gestaltender und verwaltender Aufgaben erfordert. 10. Wie viele Mitarbeiter waren mit dem Präsident und dem Vizepräsidenten von ZITiS zuvor bereits für dieselbe Behörde des Bundes tätig? 19 Mitarbeitende, die heute bei der ZITiS beschäftigt sind, waren zuvor in den gleichen Behörden beschäftigt wie der Präsident und Vizepräsident der ZITiS. 11. Wie viele Stellen sind den Bereichen „Zentrale Services“ und „Beratung und IT-Dienste“ zugewiesen, und welcher prozentuale Anteil gemessen an der Gesamtzahl der Stellen beziffert sich für diese Bereiche per 31. Dezember 2021? Dem Bereich „Zentrale Services“ sind 62 (entspricht einem Anteil von 20,1 Prozent) und dem Bereich „Beratung und IT-Dienste“ 27 (entspricht einem Anteil von 8,7 Prozent) Planstellen zugewiesen. 12. Wie vielen Stellen sind die Aufgaben des „Controlling“ zugewiesen, und welcher prozentuale Anteil gemessen an der Gesamtzahl der Stellen beziffert sich für diesen Bereiche per 31. Dezember 2021? Controlling-Aufgaben werden innerhalb der ZITiS an verschiedenen Stellen wahrgenommen. So ist Controlling grundsätzlich Führungsaufgabe und wird damit von Führungskräften, Projektleitern und -managern innerhalb der ZITiS wahrgenommen, mit Unterstützung der jeweils unterstellten oder zugewiesenen Mitarbeitenden. 13. Seit wann liegen bei ZITiS die materiellen und technischen Voraussetzungen, insbesondere die notwendigen IT-Systeme zur Erstellung, Bearbeitung und Austausch von Informationen vor, welche höher als „VS – Nur für den Dienstgebrauch“ eingestuft sind? Die notwendigen Vorkehrungen zur Sicherstellung des materiellen Geheimschutzes wurden seit Gründung der Behörde getroffen und werden seitdem eingehalten. Die IT-Infrastruktur befindet sich im Ausbau. 14. Wie viele der bei ZITiS Beschäftigten sind im Rahmen des personellen Geheim- und Sabotageschutzes sicherheitsüberprüft und zum Umfang mit Verschlusssachen mit einer Einstufung über „VS – Nur für den Dienstgebrauch“ ermächtigt? Wie viele Beschäftigte befinden sich derzeit im Verfahren der Sicherheitsüberprüfung, und wie viele davon sind vorläufig zum Umgang mit Verschlusssachen ab dem Verschlusssachengrad „VS – Vertraulich“ aufwärts ermächtigt? Eine Sicherheitsüberprüfung gemäß SÜG ist grundsätzliche Voraussetzung für eine Beschäftigung bei der ZITiS. In Abhängigkeit des jeweiligen Aufgabenfeldes des Mitarbeitenden kann die Art der Sicherheitsüberprüfung variieren. Mindeststandard für eine Tätigkeit bei der ZITiS ist die einfache Sicherheitsüberprüfung. Zum Stichtag 31. Dezember 2021 waren die Sicherheitsüberprüfungsverfahren bei 180 Personen abgeschlossen und diese Personen zum Zugang zu „VS – Vertraulich“ und höher ermächtigt. Insgesamt 105 Personen befinden sich im Verfahren der Sicherheitsüberprüfung und bei 40 dieser Verfahren liegt seitens des Bundesamts für Verfassungsschutz (BfV) ein vorläufiges Votum vor und die Mitarbeitenden konnten bereits ermächtigt werden (vgl. § 15 SÜG). 15. Wie viele Mitarbeiter nehmen seit wann Aufgaben im Bereich des Geheim- und Sabotageschutzes bei ZITiS wahr? Welche Qualifikationserfordernisse bestehen für die wahrgenommenen Tätigkeiten? Im Bereich des Geheimschutzes sind aktuell zwei Personen tätig. Die Stelle der bzw. des Geheimschutzbeauftragten ist seit dem 1. Januar 2019 besetzt und die Stellvertretung seit dem 13. Oktober 2020. Bis zur Einrichtung und Besetzung des Dienstpostens der bzw. des Geheimschutzbeauftragten der ZITiS wurden die Aufgaben von dem Geheimschutzbeauftragten des Bundesamts für Migration und Flüchtlinge (BAMF) wahrgenommen. Gemäß § 11 der Verschlusssachenanweisung ist eine Fachkunde zur Erfüllung der Aufgaben des materiellen Geheimschutzes erforderlich. Darüber hinaus sind Kenntnisse des Sicherheitsüberprüfungsgesetzes erforderlich. Die sehr spezifischen Fachkenntnisse für den Bereich Geheimschutz werden durch die zuständigen Personen insbesondere durch die Teilnahme an Schulungen zum materiellen und personellen Geheimschutz erweitert bzw. erworben und ggf. noch ergänzt durch Schulungen im Bereich IT-Sicherheit. Für den Posten des Geheimschutzbeauftragten ist ein abgeschlossenes Hochschulstudium oder eine erfolgreiche Fortbildung zum Verwaltungsfachwirt Voraussetzung. 16. Wurde eine behördenübergreifende Plattform für die Entwicklung von Softwarelösungen bei ZITiS ausgeschrieben und eingerichtet, und wenn ja, wann? Welche Behörden waren daran beteiligt? Welche Anbieter stellen die IT-Komponenten für diese Umgebung bereit, und wie heißt die eingesetzte Software? Wie viele Mitarbeiter von ZITiS haben auf die Entwicklungsumgebung Zugriff? ZITiS betreibt zwei behördenübergreifende Entwicklungsplattformen. Die Plattformen werden seit dem Jahre 2019 bzw. 2020 von ZITiS auf Basis von Open-Source-Produkten betrieben. An der Einrichtung der Plattformen war nur ZITiS beteiligt. Derzeit haben 35 Mitarbeitende von ZITiS Zugriff auf die Plattformen. 17. Verfügt ZITiS über eine IT-Ausstattung für die Bürokommunikation, und wenn nicht, warum nicht, bzw. wann soll eine solche in Betrieb genommen werden, und welche Schritte (z. B.: Ausschreibung, etc.) wurden insoweit bereits unternommen? Die ZITiS verfügt über eine IT-Ausstattung für die Bürokommunikation. 18. Welche Produkte für ERP-Systeme (Enterprise-Resource-Planning) aus der IT-Konsolidierung des Bundes werden bei ZITiS eingesetzt und wofür? Auf die Antwort zu Frage 18a wird verwiesen. Darüber hinaus verfügt ZITiS aktuell über keine ERP-Systeme aus der IT-Konsolidierung des Bundes. a) Welche Software wird für die Bewirtschaftung des Finanzhaushalts eingesetzt? Es wird aktuell an der Einführung einer Lösung auf Basis von SAP HANA gearbeitet. Dieser Prozess ist noch nicht abgeschlossen. b) Welche Software wird als betriebswirtschaftliches Steuerelement beispielsweise für das Controlling eingesetzt? Es wird eine Eigenentwicklung auf Basis einer Standard Office-Anwendung eingesetzt. c) Welche Software wird für das Dokumentmanagement eingesetzt? Es werden die seitens des zentralen IT-Dienstleisters der Bundesverwaltung vorgegebenen Softwareprodukte eingeführt. d) Welche Software wird zur Zeiterfassung der Mitarbeiter eingesetzt? Aktuell wird die Zeiterfassungskomponente des Personalverwaltungssystems PVSplus eingeführt. Der Prozess ist noch nicht abgeschlossen. e) Welche Software wird für Dokumentation und Organisation des Arbeitens während des Homeoffice eingesetzt? Für die Dokumentation und Organisation des Arbeitens während des Homeoffice werden die gleichen Softwarelösungen eingesetzt wie für das Arbeiten vor Ort in den Liegenschaften der ZITiS. 19. Anhand welcher Maßstäbe und Merkmale wurden die in den Fragen 16 bis 18 aufgeführten Softwareprodukte ausgewählt, und inwiefern wurde die Beschaffung dieser Softwareprodukte ausgeschrieben? Die Auswahl der Produkte erfolgt bedarfsgerecht nach Geeignetheit. Es handelt sich entweder um seitens der ZITiS selbst eingerichtete Open Source Produkte, um Abrufe aus bestehenden Verwaltungsvereinbarungen mit dem IT- Dienstleister, um vorgegebene Softwareprodukte des IT-Dienstleisters oder um Abrufe aus Rahmenverträgen, weshalb von der ZITiS keine Ausschreibungen erforderlich waren. 20. Ist ZITiS derzeit alleiniger Nutzer der Liegenschaft Zamdorfer Straße 88 in München, wenn nein, welches sind die weiteren Nutzer? Die Bundesregierung ist nach sorgfältiger Abwägung der widerstreitenden Interessen zu der Auffassung gelangt, dass eine Beantwortung der Frage in offener Form nicht erfolgen kann. Die erbetenen Auskünfte zu den Liegenschaften sind aus Gründen des Staatswohls geheimhaltungsbedürftig. Aus ihrem Bekanntwerden könnten sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf den Modus Operandi und letztendlich auch die Fähigkeiten ziehen. Eine Offenlegung der entsprechenden Informationen würde die Aufgabenerfüllung der deutschen Sicherheitsbehörden stark beeinträchtigen, was wiederum die Sicherheit der Bundesrepublik Deutschland gefährden oder ihren Interessen schweren Schaden zufügen könnte. Diese Informationen werden daher als Verschlusssache gemäß der Allgemeinen Verwaltungsvorschrift des Bundesministeriums des Innern zum materiellen und organisatorischen Schutz von Verschlusssachen (VS-Anweisung – VSA) mit dem VS-Grad „VS – Geheim“ eingestuft und dem Deutschen Bundestag gesondert übermittelt. Dabei ist der Umstand, dass die Antwort in der Geheimschutzstelle des Deutschen Bundestages hinterlegt wird, weder als Bestätigung noch als Verneinung der angefragten Information zu verstehen.* 21. Wird weiterhin an dem Neubauprojekt auf dem Gelände der Liegenschaft der Universität der Bundeswehr in Neubiberg festgehalten, und wie ist insoweit der aktuelle Planungs- bzw. genehmigungsstand? Welche Nutzer und Mieter sind für den Neubau neben ZITiS geplant? Ist der Bundesrechnungshof mit dem Vorhaben befasst, und wenn ja, mit welchem Ergebnis? Auf dem Gelände der Universität der Bundeswehr München in Neubiberg soll weiterhin der Neubau des Forschungszentrums Cybersicherheit realisiert werden. Verantwortlicher Maßnahmenträger ist die Bundeswehr. Neben der ZITiS werden auch entsprechende Forschungseinrichtungen der Bundeswehr und des Bundesnachrichtendienstes in dem Neubau untergebracht. Dabei werden die Einzelheiten der Nutzung der Bundeswehrliegenschaft im Rahmen einer Mitbenutzungsvereinbarung zwischen den genannten Beteiligten geregelt werden. Der Raumbedarfsplan des Neubaus wurde durch das Bundesministerium der Finanzen im Dezember 2021 anerkannt. Der Bundesrechnungshof hatte bereits zuvor begonnen, den Raumbedarf für den Neubau des Forschungszentrums Cybersicherheit zu überprüfen und sah Optimierungspotenziale bei der Anzahl der Drittmitteldienstposten bzw. deren externe Mitarbeitende, den Wechsel- bzw. Teilzeitarbeitsplätzen, der Größe und Anzahl der Besprechungs- und Sonderräume sowie bezüglich des Umfangs des Konferenz- und Ausbildungszentrums. Die entsprechenden Anmerkungen des Bundesrechnungshofs wurden in den Abstimmungen mit dem Bundesministerium der Finanzen berücksichtigt. Das Prüfverfahren des Bundesrechnungshofs ist indes noch nicht abgeschlossen. Nunmehr schließt sich die Planungsphase an, mit deren Abschluss eine belastbare Kostenschätzung und Terminplanung erstellt wird. * Das Bundesministerium des Innern und für Heimat hat die Antwort als „VS – Geheim“ eingestuft. Die Antwort ist in der Geheimschutzstelle des Deutschen Bundestages hinterlegt und kann dort nach Maßgabe der Geheimschutzordnung eingesehen werden. 22. Mit welchen weiteren Unternehmen neben den in der Vorbemerkung der Fragesteller bereits genannten Herstellern und Anbietern von Informationstechnik bzw. Programmen beispielsweise zur Überwachung von Endgeräten wie Mobilfunktelefonen oder Computern hat ZITiS seit 2018 Kontakt, um im Rahmen einer Marktsichtung Informationen über das Portfolio dieser Unternehmen zu erhalten? Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass eine Beantwortung der Frage aus Gründen des Staatswohls nicht – auch nicht in eingestufter Form – erfolgen kann. Die erbetenen Auskünfte sind geheimhaltungsbedürftig, weil sie in ihrer Gesamtheit Informationen enthalten, die im Zusammenhang mit der Arbeitsweise und Methodik der von der Kleinen Anfrage betroffenen Behörden des Bundes und insbesondere deren Ermittlungs- bzw. Aufklärungsaktivitäten und Analysemethoden stehen. Die Frage betrifft detaillierte Einzelheiten zu ihren technischen Fähigkeiten und ermittlungstaktischen Verfahrensweisen. Aus dem Bekanntwerden der Antworten könnten Rückschlüsse auf Vorgehensweise, Fähigkeiten und Methoden der Sicherheitsbehörden gezogen werden. Hierdurch würden die Arbeitsfähigkeit und Aufgabenerfüllung und somit die Erfüllung des gesetzlichen Auftrags der betroffenen Sicherheits- und Strafverfolgungsbehörden sowie Nachrichtendienste erheblich gefährdet, was nachteilig für die Interessen der Bundesrepublik Deutschland sein kann. Eine VS-Einstufung und Hinterlegung der angefragten Informationen in der Geheimschutzstelle des Deutschen Bundestages würde ihrer erheblichen Brisanz im Hinblick auf die Bedeutung der genannten Fähigkeiten für die Aufgabenerfüllung der betroffenen Behörden nicht ausreichend Rechnung tragen, da insoweit auch ein geringfügiges Risiko des Bekanntwerdens unter keinen Umständen hingenommen werden kann. Schon die Angabe, mit welchen Herstellern technischer Produkte im Bereich der informationstechnischen Überwachung die betroffenen Sicherheitsbehörden in Kontakt stehen und damit mittelbar die Angabe, welche technischen Produkte die Sicherheitsbehörden in diesem sensiblen Bereich derzeit oder zukünftig einsetzen könnten, kann zu einer gezielten Änderung des Kommunikationsverhaltens der betreffenden, zu beobachtenden Personen führen, wodurch eine weitere Aufklärung der von diesen Personen verfolgten Bestrebungen und Planungen unmöglich werden würde. In diesem Fall wäre ein Ersatz durch andere Instrumente nicht möglich. Hieraus ergibt sich, dass die erbetenen Informationen derart schutzbedürftige Geheimhaltungsinteressen berühren, dass das Staatswohl gegenüber dem parlamentarischen Informationsinteresse überwiegt. Insofern muss ausnahmsweise das Fragerecht der Abgeordneten gegenüber den Geheimhaltungsinteressen der Bundesregierung zurückstehen. 23. Wird anlässlich der Überlegungen und Verhandlungen zum Erwerb von Softwareprodukten oder anderen Produkten zur Erhebung, Verarbeitung und Speicherung von Informationen, die durch auch heimliche Eingriffe in Telekommunikationsvorgänge, Telekommunikationsprozesse oder die hierfür genutzten technischen Anlagen bzw. Endgeräte erlangt bzw. erhoben werden, seitens ZITiS auf das alleinige Zugriffs- und Nutzungsrecht bei der Datenweitergabe bzw. bei der Übertragung von Daten über Server, die nicht im alleinigen Zugriff deutscher Behörden oder im Ausland stehen, bestanden und würde eine Beschaffung entsprechender Produkte bei fehlenden alleinigen Zugriffsrechten deutscher Stellen scheitern? 24. Welche Rechte müssen beim Erwerb und bei der Nutzung von Softwareprodukten oder anderen Produkten zur Erhebung, Verarbeitung und Speicherung von Informationen, die durch auch heimliche Eingriffe in Telekommunikationsvorgänge, Telekommunikationsprozesse oder die hierfür genutzten technischen Anlagen bzw. Endgeräte erlangt bzw. erhoben werden, grundsätzlich allein ZITiS und den beteiligten deutschen Stellen vorbehalten bleiben, und welche erscheinen aus Sicht der Bundesregierung disponibel? Die Fragen 23 und 24 werden zusammenfassend beantwortet. Die ZITiS verfügt selbst über keine Befugnisse zur Durchführung von Maßnahmen der Telekommunikationsüberwachung. Die Befassung mit rechtlichen Fragen des verfassungskonformen Einsatzes von Produkten und Leistungen im Bereich der Telekommunikationsüberwachung obliegt den Behörden, die die Maßnahmen aufgrund gesetzlicher Befugnisse durchführen. 25. Ist es zutreffend, dass ZITiS eine Software zur Quellen- Telekommunikationsüberwachung (Quellen-TKÜ) und für normale TKÜ-Anlagen von der Firma SYBORG Informationssysteme bh OHG, 66450 Bexbach erworben hat, oder ist ZITiS in anderer Weise an der Nutzung dieser Software durch andere Stellen des Bundes beteiligt? Wenn ja, wann wurde diese Software gekauft, und welche Rechte gingen dabei an ZITiS bzw. deutsche Stellen über, und welche Rechte verblieben bei SYBORG Informationssysteme? Es wird auf die Antwort zu Frage 22 verwiesen. 26. Welche Konsequenzen haben die Festlegungen im Koalitionsvertrag der Bundesregierung für die Aufgaben und Arbeit von ZITiS? Die Konsequenzen der Vereinbarungen aus dem Koalitionsvertrag für die Aufgaben und Arbeit der ZITiS werden aktuell geprüft, sodass hierzu aktuell keine Aussagen getroffen werden können. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]