Zu Besuch bei der "Zentralen Stelle für Informationstechnik im Sicherheitsbereich" (ZITiS) am Stadtrand von München: Draußen rauschen Autos auf der A94 am fünfstöckigen weiß-grauen Gebäude vorbei. Im Keller arbeiten zwei Männer in einem Raum mit hellen Tischen und grauen Geräten zu Musik einer Youtube-Playlist.

Das Labor der Digitalen Forensik der ZITiS hat den Flair einer Tüftlerwerkstatt, nur sehr sauber. Alles ist kameraüberwacht. Wenn man näher an die Geräte will, muss man sich blassgrüne Schutzsocken über die Schuhe ziehen, um Kurzschlüssen vorzubeugen.

"Das ein Fotoapparat, eine Kamera. Ein Mikroskop haben wir da vorne, eine große Lupe, da kann man Dinge vergrößern. Dies hier ist erst einmal nur eine Kamera, um Geräte zu inspizieren, sind die bedruckt, die Chips, also bei einem gut gemeinten Handy ist das so. Wenn das jetzt ein Handy ist, das vielleicht gefälscht ist, eine Produktfälschung aus China oder so, sind die oft angeschliffen, da hat man keine Bezeichnung."

Christian Hummert, ein Mann mit krausem Haar im Pferdeschwanz und weinrotem Hemd, ist bei der ZITiS Leiter der Digitalen Forensik.

"Wenn die jetzt gut gemeint und in Ordnung sind, dann gibt es irgendwie auch kommerzielle Lösungen, um solche Daten aus Telefonen auszulöten, auszulesen. Aber wenn eben die Handys beschädigt sind, also häufig werden sie nass, das ist also ein Problem, bei erstaunlich vielen Hausdurchsuchungen fallen Telefone in Toiletten, also das ist ein Unfall, der sehr häufig passiert, wenn die Polizei kommt, dass die dann ganz unglücklich Telefone nass werden."

Herausforderungen, mit denen man bei der ZITiS umgehen kann.

"Dann überlegen wir uns hier Verfahren und würden zum Beispiel so einen Chip, den wir identifiziert haben als interessant von dem Telefon ablöten also abnehmen. Wir können uns das ja mal angucken. – Genau, das ist eine sogenannte Reworkstation. Jetzt können wir automatisiert diese Chips von der Platine abheben. Und die Maße, in die der Chip platziert werden muss, das ist sehr genau, das sind Bruchteile von Millimetern, die Abstände auf diesen Platinen. Und dieser Roboterarm kann eben sehr genau diese Chips abheben von der Platine oder auch wieder aufsetzen. Das heißt, er fängt jetzt an, die Platine aufzuwärmen, also erst einmal langsam, nicht zu spontan, sonst kann es wieder Risse geben. Sie wird langsam vorgewärmt, mit Infrarotlicht wird die Platine so weit erwärmt, dass das Lötzinn darauf irgendwann schmilzt, und dann kann mit einem Vakkumsauger der Chip abgehoben werden."

ZITiS ist Dienstleister für die Sicherheitsbehörden des Bundes. Das sind vor allem das BKA, die Bundespolizei und das Bundesamt für Verfassungsschutz. Dazu kommen der BND, das Zollkriminalamt und der Militärische Abschirmdienst. In einzelnen Fällen leistet die ZITiS auch Landesbehörden Amtshilfe. Das Budget für 2020 umfasste fast 54 Millionen Euro.

Schwerpunktbereiche der ZITiS sind: Digitale Forensik und Telekommunikationsüberwachung. Unterstützend hinzu kommen Big-Data- und Kryptoanalyse. Mit anderen Worten: Hier, am ZITiS, wird an Methoden für das staatliche Hacken gearbeitet; überlegt, wie man mit Hilfe von Hochleistungscomputern Verschlüsselung brechen, mit künstlicher Intelligenz Hate Speech beikommen oder eben Telefone auslesen kann. Christian Hummert haben die Aufgaben so sehr gereizt, dass er dafür seinen Professorentitel zurückgab.

"Ich habe Informatik und Philosophie studiert, Doktor gemacht und dann bin ich zur Polizei gewechselt, habe sechs Jahre bei der Polizei gearbeitet, in der Digitalen Forensik, das hat sich damals so ergeben, und dann habe ich eine Professur bekommen, ich wurde berufen und war drei Jahre lang Professor und habe die Professur wieder aufgegeben für die Chance, hier bei der ZITiS zu arbeiten. Das ist sehr ungewöhnlich. Es gibt sehr wenige Professoren, die ihren Titel zurückgeben. Als ich das dann erklärt habe, da gab es schon Nachfragen, warum ich das mache und ob ich nüchtern gewesen sei."

Selbst einsetzen darf die ZITiS die entwickelten Methoden und technischen Lösungen nicht, sondern arbeitet nur den anderen Behörden zu, betont der Präsident der ZITiS, Wilfried Karl. Die Projekte würden immer in enger Zusammenarbeit mit den "Kunden" festgelegt: "Wir arbeiten natürlich nicht einfach so ins Blaue hinein. Natürlich wird von uns auch erwartet, dass wir uns auch Themen ausdenken, aber wir tun das in ganz enger Abstimmung mit den Behörden, für die wir arbeiten."

Das Jahresarbeitsprogramm ist geheim. Wilfried Karl, ehemals zuständig beim BND für die "Technische Aufklärung", also Telekommunikationsüberwachung, nennt im Interview jedoch Beispiele, wie die Verfolgung von Kriminellen im Darknet.

"Das Darknet an sich ist ja nichts Schlechtes. Die Anonymität wurde ja auch einmal für etwas anderes entwickelt, aber wird natürlich missbraucht von Kriminellen. Und hier aufzuklären, ist, da erzähle ich, glaube ich kein Geheimnis, nicht leicht, diese Anonymität aufzubrechen. Und das ist so ein Thema, was wir aufgenommen haben im Gespräch mit unseren Kunden, wo könnte es hier haken, wo können wir technisch unterstützen – und haben hier ein Projekt derzeit am Laufen, wo wir versuchen, mit technischen Mitteln nicht nur das BKA, sondern auch andere Behörden zu unterstützen, hier besser aufklären zu können."

Die Geheimhaltung und mangelnde Transparenz bringt der ZITiS Kritik ein. Außerdem verletze die Behörde durch die Zuarbeit gleichermaßen für Polizei wie für Nachrichtendienste das Trennungsgebot im Sicherheitsbereich. Und es fehle ein Gesetz für die Arbeit: ZITiS ist 2017 auf Grundlage eines ministerialen Erlasses des damaligen Bundesinnenministers Thomas de Maizière gegründet worden. Die Linke im Bundestag sieht dies als unzureichend an. 2019 stellte die Partei unter anderem deshalb den Antrag, die ZITiS wieder aufzulösen.

André Hahn ist Mitglied im Innenausschuss und im parlamentarischen Kontrollgremium im Bundestag für die Linke: "Wir sind nach wie vor der Auffassung, dass ZITiS abgeschafft werden sollte. Der Kernpunkt war schon bei der Gründung, dass man kein Gesetz dafür geschaffen hat. Es wäre notwendig gewesen, dass, wenn so eine Behörde geschaffen wird mit bestimmten Kompetenzen, die auch in Grundrechte im Zweifel eingreifen, dass man das gesetzlich regelt, dass das nicht passiert."

Hahn beschreibt die mangelnde Transparenz der ZITiS gegenüber dem Bundestag als großes Problem. Die ZITiS sei für die deutsche Legislative eine unkontrollierbare Behörde.

"Der zentrale Punkt ist, dass es keine wirksame parlamentarische Kontrolle gibt. Die Bundesregierung erklärt uns, ZITiS sei kein Geheimdienst, kein Nachrichtendienst, deshalb sei das parlamentarische Kontrollgremium nicht zuständig. Im Innenausschuss spielt die Arbeit keine Rolle von ZITiS – und wenn wir parlamentarische Anfragen stellen, dann erklärt uns ZITiS, das ist alles so geheim, dass es nicht einmal in der Geheimschutzstelle des deutschen Bundestages eingesehen werden kann."

Den Vorwurf, eine nicht-kontrollierbare Behörde zu sein, weist ZITiS-Präsident Karl zurück. Die Rechtsgrundlage sei mit dem Erlass des Innenministers gegeben. Zudem habe man keine Sonderrechte, müsse das Budget anmelden und die Aufgaben würden vom Bundesinnenministerium sehr wohl kontrolliert. Ansonsten versuche er, mit der ZITiS so transparent wie möglich zu sein. Nur, die Möglichkeit zur Offenheit sei eben eingeschränkt:

"Ich kann mich nicht über Sicherheitsbedenken unserer Kunden hinwegsetzen. Wenn wir mit einer der Sicherheitsbehörden ein Projekt vereinbart haben, und das einem gewissen Schutz unterliegt, dann kann ich diesen Schutz nicht einfach unterwandern und sagen, ich stufe das jetzt als geringer ein."

Wirklich Sorgen machen wegen der Kritik muss sich die ZITiS nicht. Die Bundesregierung steht auf der Seite der "Hackerbehörde". So erklärt ein Sprecher des BMI, dass selbst im Bundestag vereinzelt keine Auskunft erteilt werden könne, da dies "für die wirksame Erfüllung der gesetzlichen Aufgaben der Sicherheitsbehörden und damit für die Interessen der Bundesrepublik Deutschland nachteilig" sei.

Und so wird bei der ZITiS fleißig weiter gelötet, gesägt und programmiert. Die Behörde soll wachsen. Geplant sind bisher 400 Mitarbeiter und in rund fünf Jahren steht ein Umzug in einen Neubau an, auf dem Campus der Universität der Bundeswehr im Süden von München.