Das Innenministerium will Behörden erlauben, automatisierte Systeme mit Daten aus Asyl- und Aufenthaltsverfahren zu trainieren. Dabei geht es nicht nur um das BAMF oder Ausländerbehörden, sondern auch um die Polizei. Wir veröffentlichen den Gesetzentwurf.

Schon der frühere SPD-Bundeskanzler Olaf Scholz wollte Künstliche Intelligenz in Asylverfahren einsetzen. „Moderne“ Anwendungen sollen dazu beitragen, „Routineentscheidungen schnell und in großer Qualität“ zu treffen, verkündete er bei einem Besuch des Bundesamts für Migration und Flüchtlinge (BAMF) im Sommer 2024.

Der Digitalminister der aktuellen schwarz-roten Regierung, Karsten Wildberger (CDU), sagte im Oktober, KI könne künftig „grundsätzlich“ über Asylgesuche entscheiden. Bei „sensiblen, wichtigen Entscheidungen“ müsse aber „ein Mensch drüberschauen“.

Nun will die Bundesregierung Fakten schaffen. Das Bundesinnenministerium arbeitet an einem Gesetzentwurf für den „Einsatz künstlicher Intelligenz in der Migrationsverwaltung“, dessen aktuellen Entwurf wir veröffentlichen. Wichtig dabei ist: „Migrationsverwaltung“ meint mehr als Asylanträge. Es geht dabei unter anderem auch um den Umgang mit Menschen, die keinen Asylstatus bekommen haben und etwa abgeschoben werden sollen. Und um Visumsverfahren, die bei der Ankündigung des Gesetzesvorhabens im vergangenen Jahr noch im Vordergrund standen.

Auswärtiges Amt und Bundesinnenministerium hatten damals gemeinsam ein Eckpunktepapier verfasst, das wir über eine Informationsfreiheitsanfrage erhalten haben. Dort hieß es:

Der Einsatz von KI im Visumverfahren setzt dabei den ersten Schritt, der dann auf weitere Migrationsbereiche ausgeweitet werden kann.

„KI für die gesamte Migrationsverwaltung“

Im aktuellen Referentenentwurf von Ende Juni aus dem Bundesinnenministerium sieht nichts mehr nach einem „ersten Schritt“ aus. Auf Anfrage von netzpolitik.org bestätigt ein Sprecher des Innenministeriums: „Der Einsatz von KI soll für die Migrationsverwaltung insgesamt Anwendung finden, das heißt insbesondere im Visumverfahren und aufenthaltsrechtlichen Verfahren, aber auch im Asylverfahren.“

Das Innenministerium will dafür das Asyl- und Aufenthaltsgesetz ändern, neue Paragrafen sollen die Grundlage für ein „automatisiertes Verfahrensmonitoring“ und den „automatisierten Abgleich mit öffentlich zugänglichen Daten aus dem Internet“ schaffen. Außerdem regelt der Entwurf, wie Behörden auch personenbezogene Daten nutzen dürfen, um KI-Systeme zu entwickeln. Das soll nicht nur für die Behörden gelten, an die man bei Migration und Asyl unmittelbar denkt – also etwa BAMF und Ausländerbehörden.

KI-Training auch für Polizei und Arbeitsagentur

Die Regelungen würden für alle gelten, die mit der Umsetzung von Asyl- und Aufenthaltsgesetz zu tun haben. Das sind beispielsweise das Auswärtige Amt mit seinen Auslandsvertretungen, aber auch Polizeien, das Bundesverwaltungsamt, Arbeitsagenturen, Geheimdienste und andere. Sie dürften dann Daten „insbesondere zum Trainieren, Validieren und Testen von automatisierten Anwendungen“ nutzen – wenn sie diese im Rahmen von Asyl- und Aufenthaltsgesetz erhoben haben.

Nora Oppermann, Junior Policy Managerin bei der NGO AlgorithmWatch, schreibt dazu gegenüber netzpolitik.org: „Der Entwurf für das KI-Migrationsverwaltungsgesetz erlaubt nicht weniger als die systematische Ausbeutung von persönlichen Daten aus dem Migrationsprozess. Damit sollen neue KI-Systeme entwickelt werden, für die der Entwurf nahezu keine Begrenzungen vorsieht.“ Von einer regelbasierten Dokumentenerkennung bis zur vollautomatisierten Risikoeinschätzung sei „durch die pauschalen Formulierungen alles denkbar“, so Oppermann.

Sie fordert eine fundierte Diskussion, welche Entscheidungen in der Migrationsverwaltung abgegeben werden sollen, denn: „Schließlich geht es nicht um die richtige Formulierung für einen Gastbeitrag in der Zeitung, sondern um menschliche Schicksale und die Zukunft unserer Gesellschaft.“

Von „allgemein“ zu „individuell“

Das „automatisierte Verfahrensmonitoring“ soll sowohl für Asylverfahren als auch für aufenthaltsrechtliche Verfahren gelten. Es diene, so besagen es die geplanten Paragrafen, „ausschließlich der Gewinnung verallgemeinerungsfähiger Erkenntnisse, um die Verfahren weiterzuentwickeln, zu beschleunigen und die Qualität der Entscheidungen zu verbessern“.

Was auf den ersten Blick nach Prozessoptimierung mit wenigen Auswirkungen auf individuelle Asyl- oder Aufenthaltsverfahren klingt, kann sich aber ganz direkt auf neue Antragsprozesse auswirken. Mögliche Ideen, welche Hinweise ein solches Monitoring geben könnte, offenbart die Gesetzesbegründung.

Die Behörden könnten etwa die Informationen aus bisherigen Aufenthaltsverfahren mit denen eines aktuellen Antrags vergleichen und miteinander in Zusammenhang bringen – „werden Anträge von Personen mit bestimmten Eigenschaften besonders häufig abgelehnt oder positiv beschieden“. Oder die Plausibiltät von Angaben prüfen – „kommen Menschen mit bestimmten Namen typischerweise aus einer bestimmten Region und besuchen dort bestimmte Schulen“. Auch eine Art Alarm bei vermeintlich auffälligen Konstellationen kann sich das Innenministerium vorstellen – „beantragen Antragsteller mit dem vorgetäuschten Abschluss einer bestimmten Universität an einem bestimmten Ort besonders häufig den gleichen Aufenthaltstitel“.

Wer prüft die KI?

Doch was passiert dann mit diesen Angaben? Was wäre die Konsequenz daraus, wenn jemand ein Fachkräftevisum beantragt und zufällig von einer Hochschule kommt, die Betrüger:innen vorher schon häufiger als Referenz angegeben hatten? Was passiert, wenn eine Asylsuchende einen wenig gebräuchlichen Vornamen für ihre Herkunftsregion hat, etwa weil ihre Eltern wiederum Wurzeln in einer anderen Region haben?

Das Innenministerium beteuert, dass die individuelle Prüfung „vollständig in der Verantwortung der zuständigen Mitarbeitenden“ liege. Das heißt: Im Idealfall würden Bearbeiter:innen ein paar gezielte Fragen stellen, um sich statistische Auffälligkeiten erklären zu lassen. Aber bereits in der Vergangenheit kam es bei neuen Technologien im Asylbereich vor, dass sich Sachbearbeitende zu sehr auf die maschinell generierten Ergebnisse verlassen haben. Das nennt sich „automation bias“ und kann zu falschen Einschätzungen führen.

„Auf dem Rücken einer besonders vulnerablen Gruppe“

Verstärkt wird diese Sorge durch die Erläuterung, die Erkenntnisse sollten „in die zukünftige Prüfungsintensität der Einzelfallentscheidungen über einen Antrag“ einfließen. Das entspricht offenbar der Überzeugung, es gebe „Routineentscheidungen“, die mit maschineller Unterstützung schnell zu den Akten gelegt werden können.

Die Juristin Sarah Lincoln kritisiert diese Entwicklung. Sie ist Legal Director bei der Gesellschaft für Freiheitsrechte und bearbeitet insbesondere Fälle aus dem Migrations‑, Sozial- und Antidiskriminierungrecht. Lincoln schreibt: „Die Bundesregierung plant den Einsatz fehleranfälliger und diskriminierungsaffiner KI-Systeme ausgerechnet im Asylverfahren, wo über individuellen Schutz und Menschenleben entschieden wird und eine umfassende Einzelfallprüfung besonders wichtig ist.“ Auch wenn der Gesetzentwurf betont, dass KI nur unterstützen solle, „werden automatisierte Hinweise die behördliche Praxis im Einzelfall regelmäßig vorprägen und darüber entscheiden, welche Aspekte überhaupt noch vertieft geprüft werden“, fürchtet Lincoln. „Es ist ein wiederkehrendes Problem, dass gerade im sensiblen Migrations- und Asylrecht auf dem Rücken einer besonders vulnerablen Gruppe ohne Rücksicht auf  Datenschutz und individuelle Grundrechte neue Technologien erprobt werden.“

Clara Bünger, innen- und fluchtpolitische Sprecherin der Linken im Bundestag, schreibt gegenüber netzpolitik.org: „Im Referentenentwurf ist davon die Rede, dass die personellen und organisatorischen Kapazitäten nicht ausreichen, um Verfahren im Migrationsrecht innerhalb der vorgesehenen Fristen zu bearbeiten. Das soll ausgerechnet mit dem Einsatz von KI ausgeglichen werden.“ Da sollten „die Alarmglocken schrillen“, so Bünger. KI tendiere dazu, Vorurteile zu verstärken und marginalisierte Gruppen zu benachteiligen, gerade wenn die Ergebnisse nicht sorgfältig überprüft werden. Daher schreibt sie: „Wenn es in den Behörden keine ausreichende Ausstattung mit gut qualifiziertem Personal gibt, ist genau das absehbar nicht gewährleistet.“

Behörden sollen automatisiert Social-Media-Plattformen durchsuchen können

Der „automatisierte Abgleich mit öffentlich zugänglichen Daten aus dem Internet“ dient laut Gesetzentwurf dazu, bei Zweifeln an Angaben aus einem Antrag automatisiert Informationen aus dem Netz abzugleichen. Dazu sollen Daten genutzt werden dürfen, die sich „nicht an einen spezifisch abgegrenzten Personenkreis richten“. Also Informationen aus Social-Media-Plattformen, Foren oder anderen Datenquellen, die nicht nur mit einem bestimmten Kreis an Personen geteilt wurden. Ein Sprecher des Innenministeriums schreibt: „Konkretisierend fallen darunter Daten, die jede Person ohne oder nach vorheriger Registrierung, Genehmigung oder Entgeltzahlung nutzen kann.“

Eine Behörde könnte damit beispielweise in Instagram-Accounts nach Hinweisen suchen, ob eine Person zu einem bestimmten Zeitpunkt an einem bestimmten Ort gewesen ist. Oder auf LinkedIn schauen, ob dort Angaben zum beruflichen Werdegang mit den Angaben im Antrag übereinstimmen. Oder nach Quellen wie etwa Medienberichten zu einem geschilderten Ereignis suchen.

In die Entscheidung über etwa Asyl- oder Visumsanträge soll das „nur nach einer qualifizierten fachlichen Prüfung einfließen dürfen“.

Die Regelung ist eine Fortführung der sogenannten OSINT-Recherchen, die bereits heute stellenweise bei Asyl- und Aufenthaltsverfahren durchgeführt werden. Dabei suchen Behördenmitarbeiter:innen im Netz nach Informationen, um Angaben der Antragstellenden zu prüfen. Gibt es etwa Facebook-Profile des Antragstellers, die zu den Angaben passen? Auch in Seminaren zum „strategischen Rückkehrmanagement“ spielen OSINT-Techniken eine Rolle. Eine rechtliche Klarstellung dazu wünschte sich 2023 das Bayerische Landesamt für Asyl und Rückführungen, als der Bundestag das „Gesetz zur Verbesserung der Rückführung“ debattierte. Nun soll diese OSINT-Recherche nicht nur punktuell durch Mitarbeitende möglich werden, sondern durch automatisierte Tools.

Diskriminierung verboten?

Ein Grundproblem bei der Nutzung automatisierter Systeme ist es, dass sie Diskriminierungen und Verzerrungen reproduzieren und verstärken können. Im Gesetzentwurf heißt es dazu, Behörden müssten sicherstellen, „dass diskriminierende Algorithmen weder herausgebildet noch verwendet werden“. Die Begründung statuiert: „Damit wird dem Risiko algorithmischer Verzerrungen und unzulässiger Ungleichbehandlungen Rechnung getragen.“

Die Formulierung aus dem Gesetz ist wortgleich zu der aus dem hessischen Polizeigesetz, bei der es um automatisierte Datenanalyse für die Polizei geht. Gegen das Gesetz liegt aktuell eine Verfassungsbeschwerde vor.

Wie eine solche Diskriminierung verhindert werden soll und welche Schritte Behörden dafür durchführen müssen, erklären weder Gesetzestext noch Erläuterungen. Es findet sich lediglich ein allgemeiner Verweis auf Risikomanagementsysteme nach der KI-Verordnung der EU.

Lena Rohrbach von Amnesty International findet, das reicht nicht aus. Gerade weil die Schutzregeln der KI-Verordnung für Hochrisiko-Systeme nun durch ein weiteres EU-Gesetz erst später in Kraft treten. So entstehe laut der Fachreferentin für Menschenrechte im digitalen Zeitalter „eine klaffende Schutzlücke“. „Da die Entwürfe keine Transparenzvorgaben enthalten und die KI-Verordnung Ausnahmen von ihren Transparenzregeln für Migrationsbehörden vorsieht, wäre für Betroffene, Journalist*innen und Zivilgesellschaft kaum nachvollziehbar, welche Behörden KI einsetzen, um welche Systeme es sich handelt und welche Risiken damit einhergehen.“

Und es erscheint auch widersprüchlich, dass Systeme auf der einen Seite Auffälligkeiten entdecken und Prüfintensitäten steuern sollen, auf der anderen Seite aber nicht diskriminieren dürfen.

Dabei kann es leicht zu selbstverstärkenden Effekten kommen. Das lässt sich am oben bereits genannten Anwendungsfall illustrieren: Bei Visumsanträgen könnten Menschen von einer bestimmten Hochschule besonders intensiv geprüft werden, weil an dieser schon Betrugsfälle gab. Bei diesen Prüfungen werden sich in manchen Fällen wiederum weitere Auffälligkeiten ergeben. Bei „Routineentscheidungen“ von Antragsteller:innen einer anderen Hochschule würde häufiger nichts auffallen, denn hier schaut man nicht gesondert hin.

Diese Probleme sind bereits an automatisierten Systemen in den Niederlanden deutlich geworden. Ein Verfahren, das dort zur Prüfung von Visumsanträgen genutzt wurde, diskriminierte Menschen mit bestimmten Staatsangehörigkeiten und Eigenschaften. So wurden beispielsweise unverheiratete, nepalesische Männer zwischen 35 und 40 Jahren als Risikogruppe markiert.

Wie es mit dem Gesetz weitergeht

Derzeit befindet sich das geplante Gesetz im Stadium eines Referentenentwurfs. Das heißt, es ist noch nicht innerhalb der Regierung abgestimmt. Das Innenministerium hat den Entwurf an Verbände geschickt, damit diese Stellung nehmen können. Mitte Juli soll es dann vom Bundeskabinett beschlossen werden. Dann kann nach der sitzungsfreien Zeit im Sommer der parlamentarische Prozess im Bundestag starten.

Clara Bünger von den Linken im Bundestag kündigt an, dass sie sich gegen den Gesetzesvorschlag einsetzen wird: „Der Entwurf ist eine Komplettaufgabe von Grundregeln des Datenschutzes. Wieder einmal werden Grundrechtseinschränkungen zuerst an Schutzsuchenden getestet, weil sie eine geringe Beschwerdemacht haben. Später droht die Ausweitung auf andere Gruppen. Wir müssen dem jetzt einen Riegel vorschieben.“

Auch Wiebke Judith, rechtspolitische Sprecherin bei Pro Asyl, warnt eindringlich davor, „vorschnelle und breite Gesetzesgrundlagen zu schaffen“, denn „das geplante KI-Migrationsverwaltungsgesetz könnte die Weichen für Asyl‑, Visums- und Aufenthaltsverfahren komplett neu stellen“. Es drohten „neue Intransparenzen, unkritisch übernommene Fehleinschätzungen und kalte Maschinenlogik“. Sie schreibt: „Wenn KI-Anwendungen eingeführt werden sollen, sollten diese vorher von unabhängigen Expert*innen gründlich auf mögliche Grundrechtsverletzungen und negative Auswirkungen auf die Fairness der behördlichen Verfahren geprüft werden. Und es muss klar sein: Existenzielle Entscheidungen wie die über einen Asylantrag müssen in menschlicher Hand bleiben und dürfen nicht durch KI beeinflusst werden.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Seit Kurzem muss das Bundesamt für Migration und Flüchtlinge kostenlos Rechtsauskunft anbieten. Neben menschlichen Mitarbeiter:innen arbeitet die Behörde auch an einer „virtuellen“ Lösung. Gleichzeitig will Innenminister Dobrindt der unabhängigen Asylverfahrensberatung die Förderung streichen.

„Bitte haben Sie Verständnis dafür, dass das Bundesamt für Migration und Flüchtlinge auf Grund der gesetzlichen Zuständigkeiten weder Rechtsauskunft noch individuelle Rechtsberatung erteilen kann.“ Dieser Hinweis befindet sich bis zum heutigen Tag auf der Website des BAMF. Dabei stimmt das nicht mehr – zumindest wenn es um das Thema Rechtsauskunft geht.

Seit dem 12. Juni hat das Bundesamt, das für die Bearbeitung von Asylanträgen in Deutschland zuständig ist, neue Aufgaben. Es muss Antragstellenden kostenlos Informationen zum Asylverfahren geben, „auRA“ heißt dieses Angebot im BAMF. Das steht für „amtlich unentgeltliche Rechtsauskunft“. Dass diese Auskunft nun zum Portfolio der Asylbehörde gehört, liegt an der Reform des „Gemeinsamen Europäischen Asylsystems“ (GEAS), die Mitte Juni in großen Teilen in Kraft getreten ist.

Der verwirrende Hinweis ist wohl einer banalen Verzögerung bei der Aktualisierung auf der Website geschuldet. Ende Mai teilte das BAMF auf Anfrage mit, dass mit Start der Rechtsauskunft auch entsprechende Informationen auf der Seite des BAMF veröffentlicht würden. Die existieren auch, unter der Überschrift „Beratungsangebote“.

Auskunft ist keine Beratung

Dabei will die Rechtsauskunft auRA laut Antwort des BAMF eigentlich gar kein Beratungsangebot sein. „Die Rechtsberatung erfordert die rechtliche Prüfung des Einzelfalls“, schreibt es Sprecher des Bundesamtes. Die auRA hingegen sei eine „informatorische Auskunft“. Das heißt: Es geht nicht darum, Antragstellende zu ihrer konkreten Situation zu beraten. Vielmehr sollen sie allgemeine „Informationen zum Ablauf und zu Inhalten des Asylverfahrens“ bekommen „und werden über Ihre Rechte und Pflichten informiert“.

Diese Informationen bekommen Asylsuchende von Mitarbeitenden des BAMF derzeit in Einzel- und Gruppenterminen. Künftig soll es auch eine „virtuelle Rechtsauskunft“ geben, teilte das Bundesamt netzpolitik.org auf Anfrage hin mit.

Eine vollwertige und unentgeltliche Beratung statt einer bloßen Auskunft führen in Deutschland vor allem die unabhängigen Asylverfahrensberatungen durch. Seit 2023 wird diese, so ist es auch im Asylgesetz verankert, durch den Bund gefördert.

Mehr als 200 unabhängige Beratungsstellen in Gefahr

„Wir beraten Menschen ergebnisoffen und behördenunabhängig ab dem Moment, wo sie darüber nachdenken, einen Antrag zu stellen, bis hin zur unanfechtbaren Ablehnung des Antrags“, sagt Hanne Tijman. Sie arbeitet als Fachkraft beim „Haus der sozialen Vielfalt“ in Leipzig, einem sozialen Träger, der seit September 2025 Asylverfahrensberatung anbietet. Manche Menschen, so erzählt Tijman, kommen nur einmal zur Beratung, weil sie beispielsweise Hilfe dabei brauchen, einen Brief vom BAMF zu verstehen. Andere begleiten die Verfahrensberater:innen über eine lange Zeit, bereiten Asylsuchende auf ihre Anhörung vor, unterstützen sie dabei, Belege für ihre Fluchthistorie zusammenzustellen, erklären Bescheide und das Klageverfahren, mit dem sie gegen Ablehnungsbescheide vorgehen können.

Im letzten Jahr haben bundesweit 67.687 Menschen dieses Angebot der mehr als 200 Beratungsstellen in Deutschland in Anspruch genommen. Doch die unabhängige Asylverfahrensberatung steht vor einer ungewissen Zukunft, Bundesinnenminister Alexander Dobrindt will wegen der angespannten Haushaltslage zum nächsten Jahr die Finanzierung aus Bundesmitteln streichen. Das würde für viele Beratungsstellen ihre Arbeit unmöglich machen.

„Wenn der Förderstopp kommt, bedeutet das das Aus für die Beratungsstellen“, sagt Tijman. Dabei gehe es, gemessen am Bundeshaushalt, gar nicht um riesige Summen. Insgesamt knapp 22 Millionen Euro wurden im Jahr 2025 von den verschiedenen Projektträgern abgerufen. Tijman fürchtet: „Länder oder Kommunen können das sicherlich nicht ausgleichen. Wenn die Bundesförderung wirklich wegfallen sollte, würde das bedeuten, dass wir unsere Tätigkeit zum 31. Dezember 2026 einstellen müssen. Das würde für Asylsuchende in ganz Deutschland faktisch das Ende des Zugangs zu unabhängiger Beratung bedeuten.“

Auch in Bundesländern wie Nordrhein-Westfalen, in denen es vor der bislang gesetzlich festgelegten Förderung landeseigene Förderungen gab, wird es schwierig, berichtet Tara Bonyad, Asylverfahrensberaterin beim Sächsischen Flüchtlingsrat. „Als das im Bund geregelt wurde, haben sie die Förderung in den Ländern abgeschafft“, sagt Bonyad. „Wenn jetzt die Bundesförderung wegfällt, braucht es also wieder einen neuen Kampf.“

Allein auf Beratung durch reguläre Rechtsanwält:innen zurückzugreifen, sei für die Antragstellenden keine gute Option: „Manche der Erstaufnahmeeinrichtungen liegen in Städten, in denen es keine Anwält:innen gibt.“ Dann müssten Asylsuchende weite Wege auf sich nehmen. Und wenn anwaltliche Unterstützung notwendig ist, helfen die Beratungsstellen auch, eine Person mit der nötigen fachlichen Expertise zu finden, so Bonyad. „Allein nach Anwält:innen zu suchen ist für die Menschen teilweise sehr schwierig: Sie sind neu in Deutschland, haben nur wenig Zeit, um auf Bescheide zu reagieren und dann kommen auch noch Kosten dazu.“

„Beratung wichtiger denn je“

Noch hat Hanne Tijman Hoffnung, dass es im Zuge der anstehenden Haushaltsberatungen ein Einlenken gibt. Denn auch wenn die allgemeine Auskunft zum Asylverfahren durch das BAMF eine sinnvolle Ergänzung zum bestehenden Beratungsangebot sein könne, ein Ersatz sei sie nicht. „Eine Auskunft ist keine Einzelfallprüfung, die individuell auf die Flucht- und Lebensgeschichte der Person bezogen ist“, sagt sie. Im Gegensatz zu einer bloßen Auskunft könne ein individuelles Beratungsgespräch zu einer Anhörung schon mal mehrere Stunden in Anspruch nehmen. Da gehe es auch um viele sensible Fragen. Etwa bei queeren Geflüchteten, die sich darum sorgen, wie sie ihre Sexualität beim BAMF beweisen können. Und um die Frage, wie man die eigene Verfolgungsgeschichte glaubhaft darlegen kann.

Tara Bonyad sagt, dass die Asylverfahrensberatung auch Vorteile für das BAMF und andere hat: „Wir schauen gemeinsam mit den Menschen, was wichtig für ihre Anhörung ist und was nicht. Wir helfen dabei, Informationen für den Vortrag für die Anhörung zu strukturieren. Das bringt auch eine Entlastung für die Behörde und auch für die Verwaltungsgerichte, wenn wir mit den Antragstellenden schauen, ob es überhaupt Aussicht auf Erfolg hat, gegen Bescheide zu klagen.“

Eine ausführliche und unabhängige Beratung wäre gerade bei all den Neuerungen, die die Reform des Asylsystems nun mit sich bringt, dringend nötig, findet Wiebke Judith. Sie ist rechtspolitische Sprecherin bei Pro Asyl und schreibt gegenüber netzpolitik.org: „Durch das neue Asylrecht kommen neue Pflichten und Sanktionen auf asylsuchende Menschen in Deutschland zu, ihre Verfahren werden außerdem häufiger in beschleunigten Verfahren mit eingeschränktem Rechtsschutz entschieden werden.“ Unabhängige Beratung und Begleitung werde damit wichtiger denn je. Eine Infosession durch das BAMF, so Judith, „ist mit einer tatsächlichen Beratung nicht vergleichbar“.

„Ein struktureller Interessenkonflikt“

Damit Asylsuchende überhaupt von dem neuen Auskunftsangebot des BAMF erfahren, sollen sie noch vor der Antragstellung ein Angebot für ein Gruppengespräch bekommen. Aber auch später ist es für Antragstellende möglich, „über die gesamte Dauer des Verfahrens, auf Wunsch auch im Einzelfall, Rechtsauskünfte zu erhalten“. Für die Auskunft zuständig sind BAMF-Mitarbeitende, Sprachmittler:innen sorgen für die notwendige Übersetzung.

Neue Leute hat das Bundesamt für diese Aufgabe jedoch nicht eingestellt, obwohl es laut einem Sprecher mit einem Personalbedarf von 66 Vollzeitstellen für die Auskünfte rechnet. Das soll Bestandspersonal erledigen.

Asylorganisationen kritisieren, dass bei den Mitarbeitenden im BAMF ein Interessenkonflikt besteht. So schreibt Wiebke Judith von Pro Asyl: „Für die Betroffenen sind die Mitarbeitenden des BAMF ganz klar nicht unabhängig, sondern diejenigen, die über ihren Schutz oder ihre Abschiebung entscheiden werden.“

Auch Tijman sagt: „Bei der Auskunft ist das BAMF sowohl die informierende Behörde als auch diejenige, die am Ende über den Antrag entscheidet.“ Das ist für Tijman ein struktureller Interessenkonflikt. „Das würde auch zu Verunsicherung bei den Menschen führen, die Rat suchen.“ Sie nennt als Beispiel Widerrufsverfahren, bei denen das BAMF nach Erteilung eines Schutztitels noch einmal prüft, ob einer Person ihr Schutzstatus wieder entzogen werden kann. „Dann müssten Asylsuchende zur Behörde gehen, die den Entzug prüft, um sich bei der gleichen Behörde Auskünfte darüber einzuholen, wie sie gegen den Entzug vorgehen können. Das ist unserer Einschätzung nach ein Rollenkonflikt, der sich nicht auflösen lässt.“ Für Tijman ist klar, dass ein effektiver Zugang zu Rechtsschutz auch aus rechtsstaatlicher Sicht nur über behördenunabhängige Beratungsstellen gewährleistet werden kann.

Das BAMF selbst sieht darin weniger Probleme: „Ein etwaiger Interessenkonflikt wird durch die Steuerung des Personaleinsatzes und getrennte fachliche Zuständigkeiten für das Asylverfahren einerseits und der Gestaltung der auRA andererseits zuverlässig vermieden“, teilt ein Sprecher mit.

Doch künftig sollen neben menschlichen Ansprechpersonen offenbar auch andere Methoden für die Auskunft genutzt werden. Das BAMF arbeitet an einer „virtuellen Rechtsauskunft“, die derzeit konzeptioniert werde. Was genau bei dieser Auskunft passiert, ob es um einen Chatbot, einen Terminvereinbarungsservice oder etwas ganz anderes geht, dazu schweigt sich das BAMF aus. „Verbindliche Aussagen hinsichtlich Zeitplan, Finanzierung und genauer Ausgestaltung der virtuellen Rechtsauskunft können noch nicht getroffen werden.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Fast die Hälfte der Asylverfahren werden mittlerweile mit Hilfe einer Blockchain verwaltet, zumindest von Registrierung bis Anhörung. Immer mehr Bundesländer nutzen das Assistenzsystem des Bundesamts für Migration und Flüchtlinge, die Behörde wird zunehmend zum Software-Anbieter.

Seit 2018 arbeitet das Bundesamt für Migration und Flüchtlinge an einem Blockchain-System, das mittlerweile den blumigen Namen FLORA trägt. FLORA, das steht für „Föderale Blockchain Infrastruktur Asyl“. Ziel des Assistenzsystems ist vor allem, verschiedene beteiligte Behörden bei „Registrierung, Aktenanlage und Anhörung“ zu unterstützen. Über das System sollen sie den Status von Asylverfahren abrufen können – zumindest in der Zeit zwischen der Registrierung etwa bei einer Ausländerbehörde und der Anhörung durch das BAMF.

2021 startete der Pilotbetrieb für FLORA, ab 2022 wurde das System produktiv genutzt – zuerst in Sachsen und Brandenburg. Mittlerweile kommt das Blockchain-Projekt zusätzlich in Rheinland-Pfalz, Baden-Württemberg, Niedersachsen, Mecklenburg-Vorpommern, Hessen und Thüringen zum Einsatz. „Derzeit werden ca. 47 Prozent der bundesweit bearbeiteten Asylverfahren mit Unterstützung durch FLORA durchgeführt“, so eine Sprecherin des BAMF gegenüber netzpolitik.org. Bayern, Nordrhein-Westfalen, Berlin und Sachsen-Anhalt sollen folgen, bis Ende 2027 soll die Anbindung der interessierten Länder abgeschlossen sein.

Ausbau der Funktionen liegt auf Eis

Eigentlich sollte die Blockchain-Lösung auf Basis des Open-Source-Frameworks Hyperledger Fabric nicht nur räumlich, sondern auch funktional noch weiter ausgebaut werden: beispielsweise auf die Verteilung von Geflüchteten auf Landkreise und Kommunen oder EU-weit bei der Koordination, welcher Mitgliedstaat für ein Asylverfahren zuständig ist. Doch diese Pläne, so das BAMF, liegen vorerst auf Eis. Oder wie die Behörde es ausdrückt: wurden „zurückgestellt“.

Grund dafür sei, dass die Priorität auf einem bundesweiten Roll-out des Systems liege. „Maßgeblich für diese Entscheidung“, so das BAMF, „waren die umfangreichen Haushaltskürzungen zu Beginn des Jahres 2024“. Damals fehlten im Kernhaushalt rund 17 Milliarden Euro, die von der damaligen Ampel-Regierung an verschiedenen Stellen gekürzt wurden. Dem fiel auch die funktionale Ausweitung des Blockchain-Projekts zum Opfer.

FLORA indes hat sein ganz zu Beginn geplantes Budget schon seit langem gesprengt. 2019, nach der Machbarkeitsstudie, waren für das Projekt „Verwaltung von Asylprozessen in der Blockchain“ noch insgesamt 4,53 Millionen Euro veranschlagt gewesen. Mittlerweile liegen die Gesamtkosten für Entwicklung und Betrieb von FLORA bis Ende 2025 bei 25.710.867,50 Euro, das ist mehr als das Fünffache. Die ursprünglich geplanten Beträge waren schon 2020 erreicht, noch bevor es einen ersten Pilotbetrieb gab.

Der Aufwand, eine datenschutzkonforme, Blockchain-basierte Lösung für die Koordinierung von Prozessen zu konzipieren, die jede Menge personenbezogener Daten involvieren, war hoch. Juristen und Informatiker suchten nach Wegen, das zu realisieren. Sie erstellten Machbarkeitsstudien und Gutachten und am Ende lautete das Fazit – vereinfacht gesagt: Das ist eine Menge Aufwand, aber möglich. Dass es geht, hat das BAMF mittlerweile gezeigt. Dass das Projekt entsprechend teuer geworden ist, auch.

Die Bundesländer als „Kunden“

Die Kosten würden sich, so das BAMF, aus dem Roll-out und der Anbindung von Bundesländern ergeben. Außerdem habe es 2024 eine Neuentwicklung der FLORA-Cloudversion gegeben. In einem wissenschaftlichen Bericht von Forschenden der Universitäten von Luxembourg und Arkansas klingt an, was wohl den größeren Aufwand verursacht hat: Das BAMF hatte zu Beginn auf dezentrales Hosting von FLORA gesetzt und mehr Verantwortung bei den Bundesländern gesehen. Die Forschenden schreiben: „Diese Bemühungen gerieten jedoch ins Stocken, als die Bundesländer eine schnelle Einführung des FLORA-Systems forderten. Daraufhin beschloss das FLORA-Team, seinen (De-)Zentralisierungskompromiss weiter zu formalisieren.“

Die Länder wollten also offenbar nicht alles selbst machen, sondern am liebsten eine fertige Lösung nach ihren Anforderungen nutzen, schlüsselfertig und ohne Zusatzaufwand. Das BAMF übernahm so immer mehr Verantwortung für die FLORA-Infrastruktur, die Bundesländer wurden immer mehr zu „Kunden“ des Bundesamts – die Anpassungen bestellten, um ihre eigenen Prozesse abzubilden.

Zahlen müssen die Bundesländer dafür praktischerweise nicht. Das BAMF schreibt: „Hier entstehen für die Bundesländer keine eigenen Kosten, da das BAMF die Anwendung an die Anforderungen des einzelnen Bundeslands anpasst und die benötigte Infrastruktur zur Nutzung bereitstellt.“

Weitere Kosten, so die Sprecherin des BAMF, sind angefallen, weil die Reform des europäischen Asylsystems (GEAS) Änderungen im System erforderlich macht. Derartige Anpassungen werden in diesem Jahr weiterhin erforderlich sein, denn die nationale Umsetzung von GEAS in Deutschland ist längst nicht abgeschlossen. Obwohl die EU-Regeln ab Juni 2026 in allen EU-Staaten anwendbar sein sollen, hat Deutschland bisher seine Anpassungsgesetze nicht verabschiedet, sie liegen weiterhin zur Beratung im Bundestag.

Und bevor die genauen nationalen Regeln nicht klar sind, lassen sich die IT-Systeme nicht so einfach aktualisieren. Die Zeit wird knapp, es bleiben nur noch vier Monate. Die Bundesregierung sieht „eine erhebliche Herausforderung“ darin, die GEAS-Regelungen rechtzeitig umzusetzen, schrieb sie im Januar – was längst nicht nur FLORA betrifft, sondern eine Vielzahl von IT-Systemen von BAMF und anderen Behörden.

Interesse eingeschlafen

Das BAMF will unterdessen FLORA „zur Unterstützung des Fristenmanagements“ weiterentwickeln. Durch GEAS würden sich Bearbeitungsfristen für das BAMF „zum Teil deutlich verkürzen“. Wie lange die Fristen etwa zur Entscheidung von Asylanträgen letztlich in Deutschland sein werden, ist noch nicht festgelegt. Die EU-Regeln geben den Mitgliedstaaten einen Spielraum, die Details müssen in einem nationalen Gesetz definiert werden.

Auf europäischer Ebene, so wirkt es, ist das Interesse an der Asyl-Blockchain mittlerweile eingeschlafen. „Die Kontaktaufnahme mit anderen EU-Staaten wurde im Zuge der Neuausrichtung des Projekts zu Beginn 2024 zurückpriorisiert“, so das BAMF. Aktuell seien keine weiteren Aktivitäten bekannt oder Gespräche geplant“. Ein gemeinsames Projekt mit Frankreich, eine Blockchain-basierte Lösung für die Zuständigkeitsbestimmung von EU-Ländern im bisherigen Dublin-Verfahren zu nutzen, wurde eingestellt, „da das EU-Partnerland das Projekt nicht weiterbetrieben hat“.

Während der allgemeine Blockchain-Hype also deutlich abgeflacht ist, arbeitet das BAMF unbeirrt weiter an der Technologie. Und wird, wie es aussieht, auch in den nächsten Jahren jede Menge Support für die involvierten Bundesländer-Kunden leisten müssen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Wenn Behörden nicht mehr benötigte Domains aufgeben, kann das zu Problemen führen: Die vormals staatlich genutzten Adressen sind attraktiv und lassen sich für Desinformation nutzen. Einheitliche Regeln für den Umgang mit den Domains hat der Bund nicht. Auch ein Überblick fehlt.

Wenn eine Behörde einen anderen Namen bekommt, verursacht das jede Menge Aufwand: Vom Hinweisschild bis zum Briefpapier müssen viele Details aktualisiert werden. Nicht zuletzt bekommen die Ämter dann meist auch eine neue Domain.

So lief es auch beim BAMF, dem Bundesamt für Migration und Flüchtlinge. Bis 2005 hieß die Asylbehörde noch Bundesamt für die Anerkennung ausländischer Flüchtlinge, kurz: BAFl. Der neue Name sollte widerspiegeln, dass das jetzige BAMF auch für Migration und Integration zuständig ist und sich seine Aufgaben erweitert hatten. Und so wechselte das Bundesamt auch die Adresse, unter der es im Netz erreichbar war.

Aus bafl.de wurde bamf.de. Noch einige Jahre nach der offiziellen Umbenennung, mindestens bis zum Jahr 2013, leitete die alte Domain Besucher:innen auf die neue BAMF-Seite weiter. Doch irgendwann stieß der Bund die nicht mehr benötigte Web-Adresse ab. Der neue Name hatte sich längst etabliert. Die alte Domain geriet in Vergessenheit.

Hartnäckige Altlasten

Wenn öffentliche Stellen Domains aufgeben, kann das zum Problem werden. Denn die alten Domains verschwinden nicht völlig. Nachrichtenmedien, wissenschaftliche Papiere oder Adresslisten von Vereinen und Verbänden verlinken auf die früheren Behörden-Websites, lange über deren aktive Nutzung hinaus. In Suchmaschinen sind sie leicht zu finden. Sie genießen Vertrauen.

Gerade diese Faktoren machen abgelegte Adressen staatlicher Stellen zum attraktiven Ziel für Aufmerksamkeitssuchende oder gar Betrüger. Unter den Domains früherer Behördenseiten finden sich heute Werbung für illegales Glücksspiel, Casinos und Schadsoftware. Und manchmal schaffen es staatliche Stellen auch nach mehreren Jahren nicht, alle Abhängigkeiten von den längst verlassenen Domains aus ihren Systemen zu entfernen.

Letzteres auch beim BAMF, das seit 20 Jahren nicht mehr BAFl heißt. Auf der alten Domain passierte lange nichts, bis sich ab August 2022 vorübergehend eine andere Website unter bafl.de fand.

Ein neues BAFl taucht auf

Die Website, die über Asyl informierte und sich angeblich für vertriebene Familien engagierte, wirkt eigenartig. Ein Impressum gab es nicht, die Bilder stammten teils aus kostenlosen Stockfoto-Datenbanken. Verlinkungen erschienen wahllos, aber nicht irreführend. Die Beschreibungen der vermeintlichen Teammitglieder, etwa Mike als „Praktikantin für digitales Eigenkapital“, irritieren. Eine seltsame, aber offenbar nicht schädliche Website.

Im Sommer 2025 lief die Domainregistrierung erneut aus. Wer auch immer bafl.de zuvor kontrollierte, legte offenbar keinen Wert darauf, die Seite weiterzuführen. Der IT-Sicherheitsforscher Tim Philipp Schäfers nutzte diese Gelegenheit und holte sich Ende August die Domain bafl.de. Er wollte wissen, ob noch Aufrufe an die Domain gehen.

Aufrufe an längst vergangene Systeme

Zu Schäfers Überraschung gab es solche Aufrufe und zwar aus den Netzen von Bundesbehörden. Von dort erreichten täglich Anfragen bafl.de, das sich nun unter seiner Kontrolle befand. Schäfers meldete sich beim CERT-Bund des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Er vermutete, interne IT-Systeme könnten weiter automatisiert Signale an bafl.de senden, etwa durch eine Fehlkonfiguration. Das CERT ist eine Anlaufstelle, wenn es zu IT-Sicherheitsproblemen kommt. Das CERT antwortete ihm, die Meldung erhalten zu haben und sie an die zuständigen Stellen weiterzuleiten. Auf Anfrage von netzpolitik.org bestätigt ein Sprecher des BSI, „einen entsprechenden Hinweis binnen 24 Stunden an die zuständige Behörde weitergeleitet“ zu haben. Doch die Anfragen an Schäfers Domain hörten nicht auf, zwei Wochen später fragte Schäfers erneut nach.

Ende Oktober, einen Monat nach der ersten Meldung an das CERT, meldete sich nun das BAMF selbst zurück, bedankte sich für den Hinweis und beteuerte, der Sache nachgehen zu wollen. Man nahm die Sache offenbar ernst. Auch ein Sprecher des BAMF bestätigt das gegenüber netzpolitik.org:

Das BAMF teilt die Einschätzung des Sicherheitsforschers Herrn Schäfers, dass ein fortbestehender Verweis (Verwendung einer Domain außerhalb der Kontrolle der Behörde) auf ehemalige Domains ein Sicherheitsrisiko darstellt.

Die Aufrufe hören einfach nicht auf

Man könne Gefahren und Missbrauch dadurch begegnen, „dass keine Dienste mehr eine ehemalige Domain oder Sub-Domain wie bafl.de verwenden“, so der Sprecher weiter. Daher habe das BAMF „eine Löschung von bafl.de aus allen Konfigurationen durch ITZBund“ veranlasst. Das „Informationstechnikzentrum Bund“ ist zentraler IT-Dienstleister für die Bundesverwaltung und verwalte, so ein Sprecher der Asylbehörde, in der Regel Domains im Auftrag der jeweiligen Behörden.

Doch nach außen hin passierte nicht mehr viel. Selbst nach der Presseanfrage an das BAMF reißen die regelmäßigen Anfragen nicht ab. Seit September 2025 habe es tausende solcher Anfragen gegeben. „Einige finden täglich und automatisiert statt, andere offenbar durch manuelle Pings oder Anfragen an IT-Systeme“, schreibt Schäfers in seiner Analyse.

Was ist das Risiko, wenn ein Dienst aus den Netzen von Bundesbehörden offenbar wiederholt versucht, eine nicht mehr kontrollierte Domain zu erreichen? Schäfers sieht darin ein mehrstufiges Problem. Angreifende könnten versuchen, durch die beständigen Anfragen auszuforschen, wie die interne IT-Infrastruktur aufgebaut ist. Und wenn sie passende Antworten auf die Anfragen geschickt hätten, wäre es vielleicht sogar möglich gewesen, Systeme zu manipulieren.

Lieber reservieren als riskieren

Der Sicherheitsforscher sagt gegenüber netzpolitik.org: „Im Fall von bafl.de wurde die Domain über 10 Jahre aktiv genutzt und ist – offenbar bis zum heutigen Tage – tief in den IT-Systemen des BAMF verankert.“ Dass eine Domain einfach abgestoßen wird und somit für Dritte nutzbar ist, wenn in internen Systemen weiter Verweise auf die Adresse existieren, kann er nicht nachvollziehen: „Eine solche Domain sollte man erst dann freigeben, wenn man absolut sichergestellt hat, dass sie intern auf keinem System mehr verwendet wird oder sicherheitshalber reserviert halten, wenn man das nicht garantieren kann.“ Auch ein Sprecher des BAMF schreibt: „Es ist erforderlich, nicht mehr genutzte Domains aus Sicherheitsgründen weiter zu registrieren.“ Passiert ist das bei bafl.de offenbar nicht.

Wenn Max Mustermann zum Sicherheitsproblem wird

Doch wenn Bundesbehörden Domains aufgeben, lauern darin nicht nur potenzielle Gefahren für die IT-Sicherheit der Systeme. Gerade wenn Domains mehrere Jahre von Behörden genutzt wurden oder zu bekannten Kampagnen gehörten, ergeben sich große Risiken für Desinformation, Phishing oder Betrug. Dass das kein theoretisches Szenario ist, zeigt die Antwort der Bundesregierung auf eine Kleine Anfrage der Linken-Abgeordneten Donata Vogtschmidt.

Dort benennen mehrere Ministerien, dass vormals durch ihnen zugeordnete Behörden genutzte Domains mittlerweile von Dritten registriert wurden, die sie für unerwünschte Zwecke nutzen.

Wettanbieter statt Landwirtschaft

Ein Beispiel ist eine Website, die bis 2020 von der Fachagentur Nachwachsende Rohstoffe (FNR) für das Landwirtschaftsministerium betrieben wurde. Sie diente der Information über sogenannte Energiepflanzen, die beispielsweise für die Biogas-Produktion angebaut werden. Wer heute die Domain besucht, erhält auf den ersten Blick weiterhin Informationen über entsprechende Biomassenutzung, doch in den Webauftritt mischen sich Links zu Glücksspiel- und Wettanbietern.

„Aktuell verlinkt die Domain auf eine missbräuchliche abgewandelte Abbildung der damaligen FNR-Webseite“, schreibt die Bundesregierung dazu. „Hiergegen konnte bislang nicht erfolgreich vorgegangen werden“, heißt es weiter.

Das ist kein Einzelfall, auch das Bundesinstitut für Öffentliche Gesundheit (BIÖG) kämpft mit ungenutzten Domains. Besser bekannt ist die Behörde im Geschäftsbereich des Gesundheitsministeriums vermutlich noch unter ihrem alten Namen, bis Februar hieß sie Bundeszentrale für gesundheitliche Aufklärung und startete immer wieder reichweitenstarke Informationskampagnen, von Suchtprävention bis zur Verhütung sexuell übertragbarer Krankheiten.

Casino-Werbung statt Impf-Kampagne

Für viele dieser Kampagnen registrierte man eigene, einprägsame Domains und gestaltete bunte Websites. „Das Impfbuch“ etwa sollte in der Corona-Pandemie mit Beiträgen des populären Arztes und Fernsehmoderators Eckart von Hirschhausen die Bevölkerung zu Impfungen informieren. Mittlerweile lassen sich über die Domains Wettanbieter finden, die in Deutschland gesperrten Spieler:innen dennoch das Wetten erlauben. Dasselbe gilt für weitere drei Domains, die das BIÖG untersuchte: Sie „führen auf optisch und inhaltlich gleichartige Seiten, die möglicherweise illegale Inhalte zu Online-Glücksspiel enthalten“. Und zwei dieser Seiten geben vor, dass weiterhin die Bundeszentrale für gesundheitliche Aufklärung hinter den Inhalten stecke.

Offenbar fielen die Seiten erst durch die Kleine Anfrage auf und wurden nun dem Justiziariat der Behörde „zur Prüfung rechtlicher Schritte gemeldet“.

Schadsoftware statt Kinderlieder

Eine andere der Seiten verteilt auch Schadsoftware. Sie gehörte zu einer Initiative, die vor 15 Jahren mit kindgerechten Liedern Themen wie Liebe, Körpererfahrungen und Sexualität aufbereiten wollte. Die heute zugehörige Seite werde „durch die Netze des Bundes (NdB) blockiert, da diese Domain offenbar auf eine Seite weiterleitet, die Schadcode verbreitet“, schreibt die Bundesregierung.

Außer dem Landwirtschafts- und dem Gesundheitsministerium hat kein anderes Ressort der Bundesregierung Domains gemeldet, die nach der eigenen Nutzung von Dritten und missbräuchlich genutzt würden. „Fehlanzeige“, heißt es in der Antwort. Diese Ergebnislosigkeit irritiert. Dass es hier tatsächlich keinerlei Funde gibt, ist nicht plausibel. Allein die eingangs genannte frühere BAMF-Domain bafl.de ist ein Beispiel aus dem Geschäftsbereich des Innenministeriums und war den entsprechenden Stellen zum Zeitpunkt der Anfrage bekannt.

Fragestellerin Donata Vogtschmidt, Obfrau im Digitalausschuss für die Linksfraktion und Sprecherin für Digitalpolitik, kann das nicht verstehen: „Das Totalversagen bei der Sicherung eines vertrauenswürdigen und resilienten Webauftritts der Bundesregierung ist äußerst irritierend“, so die Abgeordnete. „Es vergeht kaum ein Tag, an dem die Bundesregierung nicht vor der hybriden Bedrohung warnt, auch von höchster Stelle.“ Dafür gebe es auch immer wieder „großspurige“ Ankündigungen wie den Cyberdome oder mehr KI-Nutzung. „Aber einfach mal den Webauftritt des Bundes gegen Desinformation resilient machen, scheint keine Rolle zu spielen“, kritisiert Vogtschmidt die Prioritäten der Bundesregierung.

Um systematisch zu untersuchen, wie groß das Problem ist und ob böswillige Akteure gezielt alte Bundes-Domains kaufen, müsste man wissen, welche Domains es überhaupt gibt – und welche in den vergangenen Jahren aufgegeben wurden.

Welche Bundes-Domains es gibt, bleibt geheim

Doch wie viele Domains überhaupt in Bundeshand befinden und welche Kosten damit verbunden sind, will die Bundesregierung nicht offenlegen. Sie stuft ihre Antwort dazu als Verschlusssache ein und argumentiert, eine Liste könne die Sicherheit der Bundesrepublik Deutschland gefährden. Die Informationen seien geeignet, Systeme etwa mit DDOS-Attacken anzugreifen, sie also durch gezielte massenhafte Anfragen zu überlasten.

Die schiere Menge der Domains, die sich in Bundeshand befanden oder befinden, lässt sich aus punktuellen öffentlichen Angaben daher nur schätzen. So gab es vor rund zehn Jahren systematisch Informationsfreiheitsanfragen. Viele angefragte Stellen lehnten eine Beantwortung ab. Aus den Antworten lassen sich jedoch Größenordnungen erahnen. So hielt allein der Deutsche Wetterdienst im Jahr 2015 fast hundert verschiedene Domains, das Bundesverwaltungsamt 44 unterschiedliche Adressen und das damalige Bundesministerium für Arbeit und Soziales kam auf 295 Domains. Dieser kleine, eine Dekade alte Ausschnitt zeigt, dass es sich bezogen auf alle Bundesbehörden leicht um Tausende Domains handeln dürfte, die Inhalte staatlicher Stellen enthalten oder enthielten. Mehr als 600 listet ein Projekt von robbi5 auf Github.

Schäfers schreibt gegenüber netzpolitik.org, Geheimhaltung sei beim Umgang mit Domains der falsche Ansatz. Ausschließlich intern genutzte Domains müsse man nicht für die Allgemeinheit listen. Aber in der Regel seien viele Domains durch öffentliche Nutzung oder Archivseiten ohnehin sichtbar. „Gleichzeitig erschwert vollständige Geheimhaltung internes Inventar-Management, externe Transparenz und Sicherheitsforschung“, so der Sicherheitsforscher. „Aus meiner Sicht ist ein Geheimhaltungsansatz nicht mehr zeitgemäß und schadet eher, als das er hilft.“

Wer macht Regeln für die Registrierung?

Wesentlich effektiver als Geheimhaltung sei „ein gutes Lifecycle-Management, starke Authentifizierung und Monitoring, um Missbrauch zu verhindern“. Doch Regeln dazu, wie Bundesbehörden mit nicht mehr benötigten Domains umgehen sollten, scheint es trotz der Dimension staatlicher Domainverwaltung nicht zu geben. „Es sind keine entsprechenden Vorschriften bekannt“, schreibt die Bundesregierung in ihrer Antwort. Die Zuständigkeit dafür, etwa Desinformation durch die gezielte Registrierung von Domains zu unterbinden, liege bei der jeweiligen Behörde.

Auch das BSI antwortet auf Anfrage, dass innerhalb seines Zuständigkeitsbereiches entsprechende Vorschriften nicht bekannt seien. Das Bundesamt empfiehlt jedoch: „Aus Sicht des BSI besteht bei sogenannten Vertipper-Domains und vergleichbaren Fällen das Risiko eines Datenabflusses. Bei nachgewiesenem Missbrauch sollte daher die Übernahme der Domain durch die jeweilige Behörde verfolgt werden.“

Um das Problem der ständig wechselnden Domain-Inhaber zu vermeiden, könnten Bundesinstitutionen auch Subdomains von bund.de nutzen. So sind die Ministerien des Bundes in der Regel unter „kürzel.bund.de“ erreichbar, das Gesundheitsministerium also zum Beispiel unter bmg.bund.de. Auch andere Inhalte lassen sich als Unterseiten der Bundes-Domain ansteuern, so das Infektionsradar des Gesundheitsministeriums oder die Login-Seite zur BundID. So können Nutzende schnell erkennen, dass es sich um ein echtes staatliches Angebot handelt.

Damit auch Internetauftritte von Ländern und Kommunen besser als solche erkennbar sind, gibt es seit 2024 die „Digitale Dachmarke“ für Deutschland. Sie besteht aus vier Kennzeichnungselementen: einer Website-Kopfzeile, die eine Seite als „offizielle Website“ kennzeichnet, ein dedizierter Bundesadler mit dem Schriftzug „Bund Länder Kommunen“ als Bildwortmarke, ein einheitliches Designsystem sowie ein Domainname, der auf „gov.de“ endet. Nicht alle diese Elemente müssen gleichzeitig genutzt werden, sie sollen jedoch helfen, einen Vertrauensanker zu markieren. Um die Informationen auf den Seiten als verlässlich einzustufen oder auch bevor man sensible Daten dort eingibt.

gov.de soll Vertrauen schaffen

Noch befindet sich das Projekt, so die Bundesregierung, in der Pilotierung. Nur wenige Angebote nutzen die Möglichkeit, eine Subdomain von gov.de zu beziehen. Dazu gehören das Digital- und das Verteidigungsministerium sowie der IT-Planungsrat und die Föderale IT-Kooperation FITKO. Die Website des „Veteranentags 2025“ erreicht man ebenfalls so. Eine Subdomain, um die PIN des Personalausweises zurückzusetzen, ist unter „pin-ruecksetzbrief-bestellen.gov.de“ schon vergeben, auch wenn der Inhalt der Seite auf sich warten lässt. Ab 2026, heißt es in der Antwort, soll jedoch der breitere Roll-out des Vorhabens erfolgen.

Der Digitalpolitikerin Donata Vogtschmidt von den Linken geht das nicht schnell genug. „Die Umsetzung hinkt und ist keine Pflicht, was dem Zweck widerspricht“, schreibt sie in einer Pressemitteilung. „Wer Desinformation verbreiten will, hat leichtes Spiel, und der Bundesregierung scheint die Bedeutung der Domains des Bundes nicht klar zu sein.“

Andernorts ist die konsequente Nutzung von Subdomains für staatliche Angebote deutlich etablierter. In Österreich etwa sind viele öffentliche Angebot als Subdomain von gv.at abrufbar, wer diese wie nutzen darf, ist klar geregelt. Ähnlich ist es in Großbritannien mit „gov.uk“ und in vielen anderen Ländern. Für zurückliegende Registrierung ist das zwar keine Lösung. Aber für unzählige weitere Domains, die im Laufe von Infokampagnen, Namenswechseln oder neuen Behörden künftig nötig werden, könnte das viele Probleme von Anfang an vermeiden.

Korrektur: Es hieß irrtümlich, die Anfragen würden aus den Netzen des Bundes kommen, es handelt sich aber um Netze von Bundesbehörden.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Nur noch in wenigen hundert Fällen las das BAMF in den letzten Monaten die Smartphones Geflüchteter aus. Das ist ein markanter Rückgang zu den fünfstelligen Zahlen aus früheren Jahren. Offenbar ist bei der Asylbehörde angekommen, dass der aufwändige und grundrechtsfeindliche Eingriff nichts bringt.

Im Jahr 2017 begann das Bundesamt für Migration und Flüchtlinge (BAMF), die Smartphones von Asylsuchenden auszulesen. Immer dann, wenn diese keinen Pass oder andere anerkannte Identitätsdokumente vorlegen konnten, durften ihre Geräte analysiert werden. Das Ziel: Hinweise auf Identität und Herkunftsland gewinnen – selbst wenn an den Angaben der Antragstellenden noch gar keine Zweifel bestanden.

2018 kam die Behörde mit der neuen Praxis auf über 11.000 ausgelesene Datenträger, 2023 waren es rund 12.500. Damit ist jetzt offenbar Schluss. Laut der Antwort der Bundesregierung auf eine Kleine Anfrage der Linken-Abgeordneten Clara Bünger erfolge das Auslesen von Handydaten „nur noch einzelfallbezogen auf Entscheidung der Entscheiderin oder des Entscheiders“.

Zuvor las das BAMF schon sehr früh im Asylverfahren die Daten aus, in der Regel weit vor der Asylanhörung. Die „damit verbundene ressourcenintensive Auswertung“ sei ab dem Jahr 2024 „ausgesetzt“ worden. Das führt zu deutlich rückgängigen Zahlen: Im ersten Halbjahr 2025, so die Bundesregierung, sind lediglich noch 338 Datenträger ausgelesen worden.

Die Auswertungen sind nutzlos und aufwändig

Der Nutzen der Auswertungen stand schon seit Beginn der Maßnahmen in Frage. Zu Beginn scheiterte in rund einem Viertel der Fälle das Auslesen bereits auf einer technischen Ebene.

Bei den erfolgreichen Auslese- und Auswertevorgängen waren wiederum die meisten Ergebnisse bis zuletzt völlig unbrauchbar. So lieferten die Auswertungen im Jahr 2023 in 73,4 Prozent der Fälle „keine verwertbaren Erkenntnisse“. Nur in 1,7 Prozent der Fälle stützten die Ergebnisberichte die Angaben der Antragstellenden nicht – das heißt, es gab Hinweise darauf, dass ihre Angaben eventuell nicht korrekt sein könnten.

Das ist zum einen viel Aufwand und zum anderen ein tiefer Eingriff in Grundrechte und Privatsphäre für eine Maßnahme mit mehr als fragwürdigem Nutzen. Fragestellerin Clara Bünger kommentiert dazu gegenüber netzpolitik.org: „Die aktuelle Antwort der Bundesregierung zeigt, dass diese negative Bilanz inzwischen offenbar auch im BAMF so gesehen wird.“

Der Wandel geht laut Bundesregierung zurück auf ein „Maßnahmenpaket zur Bewältigung der Asyllage“, das BAMF und Bundesinnenministerium miteinander abgestimmt hätten. Im Gegensatz zur Praxis hat sich die gesetzliche Grundlage der Handydurchsuchungen jedoch verschärft. Durch das 2024 verabschiedete Gesetz zur Verbesserung der Rückführung könnten BAMF und Ausländerbehörden auch Cloud-Speicher von entsprechenden Personen auslesen.

Der Kurs steht weiter auf Verschärfung

Diese Verschärfung beschloss die Bundesregierung kurz nachdem das Bundesverwaltungsgericht im Februar 2023 im Fall einer afghanischen Klägerin Grenzen gesetzt hatte: Das BAMF darf laut dem Urteil erst dann Smartphones auswerten, wenn es keine milderen Mittel gibt, um Hinweise auf Identität und Herkunft der Betroffenen zu bekommen. Das könnten beispielsweise offizielle Papiere neben Ausweisdokumenten sein oder andere Wege, Aussagen der Geflüchteten zu überprüfen.

Bünger fordert, auch andere politische Entwicklungen zu überdenken, um bessere Asylverfahren zu ermöglichen: „Es muss endlich Schluss sein mit den ausgrenzenden Missbrauchsdebatten, den permanenten Asylrechtsverschärfungen und der andauernden Entrechtung von Schutzsuchenden.“

Die Realität jedoch sieht offenkundig anders aus. Mit dem aktuellen Entwurf zur deutschen Umsetzung des Gemeinsamen Europäischen Asylsystems etwa schießt die Bundesregierung noch über die repressiven EU-Vorgaben hinaus. Im Koalitionsvertrag von Union und SPD ist angekündigt, dass sich auch in verwaltungsrechtlichen Asylverfahren einiges zum potenziellen Nachteil von Geflüchteten ändern soll. Die Regierungspartner wollen, dass die Asylsuchenden vor Gericht selbst etwa politische und soziale Faktoren in ihrem Herkunftsland einbringen müssen, wenn die im Verfahren berücksichtigt werden sollen – selbst wenn diese bereits öffentlich oder bei Gericht bekannt sind. Bünger findet: „Das ist das genaue Gegenteil von dem, was jetzt wichtig wäre: pragmatische Vorschläge für zügige und zugleich faire Asylverfahren.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.