geschätzte Lesezeit: 7 min

Wie Medien den israelischen Krieg gegen Palästinenser ermöglichen

Immer wieder bombardiert Israel den Gazastreifen. In westlichen Medien wird von "Selbstverteidigungsakten" gesprochen. Bild: Mazur/cbcew.org.uk / CC BY-NC-ND 2.0

Die israelischen Kriege gegen den Gazastreifen werden nicht nur durch westliche Waffen und politische Unterstützung ermöglicht, sondern auch durch einen endlosen Strom von Falschdarstellungen in den Medien.

Während die US-amerikanischen sowie westlichen Mainstream- und kommerziellen Medien weiterhin voreingenommen im Sinne Israels berichten, verhalten sie sich oft so, als seien sie eine dritte, neutrale Partei. Das ist aber nicht der Fall.

Ramzy Baroud ist Journalist und Buchautor. Er ist Senior Research Fellow am Zentrum für Islam und Globale Angelegenheiten.

Nehmen wir als Beispiel die Berichterstattung der New York Times über den jüngsten israelischen Krieg gegen den Gazastreifen. Ihr Artikel vom 6. August [1] "Israel-Gaza Fighting Flares for a Second Day" ist die typische westliche Mainstream-Berichterstattung über Israel und Palästina, aber mit einer deutlichen NYT-Note.

Dem Artikel gelingt es, für den Durchschnittsleser eine ausgewogene Sprache zwischen zwei gleichwertigen Seiten zu finden. Diese irreführende moralische Gleichwertigkeit ist einer der größten intellektuellen blinden Flecken westlicher Journalisten. Denn jenseits ihrer offenen Parteinahme für den israelischen Diskurs über "Sicherheit" und "Selbstverteidigungsrecht", kreieren sie immer wieder falsche Parallelen zwischen Palästinensern und Israelis, als ob ein militärischer Besatzer und ein besetztes Volk vergleichbare Rechte und Pflichten hätten.

Diese Logik gilt natürlich nicht für den russisch-ukrainischen Krieg. Für die NYT und alle westlichen Mainstream-Medien ist es keine Frage, wer in diesem blutigen Kampf die Guten und die Bösen sind.

"Palästinensische Kämpfer" und "Terroristen" waren schon immer die Bösen des Westens. Nach der Logik der Medienberichterstattung führt Israel keine nicht provozierten Kriege gegen Palästinenser und ist kein gleichgültiger militärischer Besatzer oder ein rassistisches Apartheidregime. Solche Bezeichnungen können nur von den "radikalen" und "linken" Medien am Rand verwendet werden, niemals vom liberalen Mainstream.

In der kurzen Einleitung des NYT-Artikels [2] war von der steigenden Zahl der Todesopfer die Rede, wobei zunächst nicht erwähnt wurde, dass sich unter den zwanzig getöteten Palästinensern auch Kinder befinden. Stattdessen wurde betont, dass die israelischen Angriffe einen "militanten Anführer" getötet haben.

Als im zweiten Absatz die sechs von Israel getöteten Kinder genannt werden, stellt der Artikel im gleichen Satz sofort klar, dass "Israel sagt, dass einige zivile Tote das Ergebnis von Militanten waren, die Waffen in Wohngebieten versteckten", und dass andere durch "fehlgeleitete" palästinensische Raketen getötet wurden.

Am 16. August gab das israelische Militär schließlich zu [3], dass es hinter den Angriffen steckt, bei denen die fünf palästinensischen Jungen von Jabalia in Nordgaza getötet wurden. Es ist zu diesem Zeitpunkt nicht mehr wirklich entscheidend, ob die NYT darüber berichtet oder nicht. Der Schaden ist angerichtet worden, und das war von Anfang an der Plan Israels.

Der Titel des BBC-Berichts [4] vom 16. August "Gazas Kinder sind an den Tod und die Bombardierung gewöhnt" nennt nicht unmittelbar die Verantwortlichen für den "Tod und die Bombardierung". Sogar israelische Militärsprecher stimmen solchen allgemeinen Aussagen zu, obwohl sie die Schuld immer direkt den "palästinensischen Terroristen" zuschieben.

Als der BBC-Bericht schließlich am Ende enthüllt, dass ein kleines Mädchen mit dem Namen Layan bei einem israelischen Angriff getötet wurde, wird die Formulierung sorgfältig gewählt, um die Schuld der israelischen Täter abzumildern. Das Mädchen, so wird uns gesagt, war mit seiner Familie auf dem Weg zum Strand, als ihre Autorikscha "an einem Militärlager, das von der militanten Gruppe Palästinensischer Islamischer Dschihad betrieben wird, vorbeifuhr", das "genau in dem Moment (...) unter israelischen Beschuss geriet". Der Bericht teilt nichts darüber mit, wie er zu dem Schluss kommt, dass die Familie nicht das Ziel war.

Fortwährende Krise im westlichen Journalismus

Der BBC-Artikel suggeriert zudem durchweg, dass es nicht Israels Absicht gewesen ist, Layan zu töten – und logischerweise auch keines der 17 anderen Kinder, die während des dreitägigen Krieges gegen Gaza ermordet wurden. Außerdem hat Israel laut BBC versucht, das kleine Mädchen zu retten. Leider konnte "eine Woche Behandlung in einem israelischen Krankenhaus ihr Leben nicht retten".

Obwohl israelische Politiker unverhohlen davon gesprochen haben, palästinensische Kinder zu töten – die ehemalige israelische Justizministerin Ayelet Shaked hat auch "die palästinensischen Mütter, die die 'kleinen Schlangen' zur Welt bringen", ins Visier genommen [5] – wird das im BBC-Bericht und in anderen Berichten über den jüngsten Krieg nicht erwähnt. Stattdessen wird der israelische Premierminister Jair Lapid zitiert [6], der gesagt haben soll, dass "der Tod unschuldiger Zivilisten, insbesondere von Kindern, herzzerreißend ist". Lapid hat übrigens den jüngsten Krieg gegen den Gazastreifen angeordnet, bei dem insgesamt 49 Palästinenser getötet wurden [7].

Selbst in einer Human-Interest-Story über ein getötetes palästinensisches Kind werden Formulierungen vermieden, die Israel für die grausame Tötung des kleinen Mädchens verantwortlich machen könnten. Darüber hinaus bemüht sich die BBC, Israel in einem positiven Licht darzustellen, indem sie die Erklärung der Besatzungsarmee zitiert, sie sei "erschüttert über (Layans) Tod und den von allen Zivilisten".

Die NYT und die BBC wurden hier nicht ausgewählt, weil sie die eklatantesten Beispiele für die Parteilichkeit westlicher Medien darstellen, sondern weil sie oft als "liberale", wenn nicht "progressive" Medien zitiert werden. Ihre Berichterstattung steht jedoch für die fortwährende Krise im westlichen Journalismus, insbesondere in Bezug auf Palästina.

Es wurden Bücher über das Thema geschrieben [8], zivilgesellschaftliche Organisationen gegründet [9], um die westlichen Medien zur Verantwortung zu ziehen. Zahlreiche Redaktionssitzungen konnten organisiert werden, um ein wenig Druck auf Redakteure auszuüben – ohne irgendeinen Erfolg.

Verzweifelt über die unveränderten Pro-Israel-Narrative in westlichen Medien argumentieren einige, die sich für Menschenrechte in Palästina einsetzen, dass es im israelischen Medien-Mainstream größere Spielräume gäbe als beispielsweise in den USA. Auch das ist nicht zutreffend [10].

Die irrige Annahme vermeintlich ausgewogenerer Medien in Israel [11] ist eine direkte Folge davon, dass es nicht gelungen ist, die Berichterstattung in westlichen Medien über Palästina und Israel zu beeinflussen. Die Wunschvorstellung wird zum Teil dadurch genährt, dass eine israelische Zeitung wie Haaretz kritischen Stimmen wie denen von Gideon Levy und Amira Hass ein wenig Platz einräumt.

Die offizielle israelische Propaganda, eine der mächtigsten und raffiniertesten der Welt, kann jedoch kaum durch gelegentliche Kolumnen einiger weniger abweichender Journalisten ausgeglichen werden.

Zudem wird Haaretz oft als Beispiel für relativ fairen Journalismus angeführt, einfach deswegen, weil die Alternativen – Times of Israel, Jerusalem Post und andere rechtsgerichtete israelische Medien – abschreckend sind in ihrer Gefühllosigkeit [12], ihrer parteiischen Sprache und der Verdrehung von Fakten [13].

Die pro-israelischen Vorurteile in den westlichen Medien schwappen oft auf Palästina-freundliche Medien im gesamten Nahen Osten und im Rest der Welt über, insbesondere auf diejenigen, die in englischer und französischer Sprache berichten.

Da viele Zeitungen und Online-Plattformen auf westliche Nachrichtenagenturen zurückgreifen, übernehmen sie – oft unbeabsichtigt – dieselbe Sprache, die in westlichen Nachrichtenquellen verwendet wird, und bezeichnen palästinensische Aktivisten und Widerstandskämpfer als "Militante", die israelische Besatzungsarmee als "Israelische Verteidigungskräfte" und den israelischen Krieg gegen den Gazastreifen als "Auflodern" von Gewalt.

Mit dieser Sprachgebung wird der palästinensische Freiheitskampf als Aneinanderreihung blinder Gewaltakte innerhalb eines langwierigen "Konflikts" [14] fehlinterpretiert, bei dem unschuldige Zivilisten wie Layan "ins Kreuzfeuer geraten".

Die tödlichen israelischen Kriege gegen Gaza werden nicht nur durch westliche Waffen und politische Unterstützung ermöglicht, sondern auch durch einen endlosen Strom von Fehlinformationen und Falschdarstellungen in den Medien. Obwohl Israel in den letzten Jahren Tausende von palästinensischen Zivilisten getötet hat, verteidigen die westlichen Medien Israel nach wie vor, als hätte sich nichts geändert.

Der Artikel erscheint in Kooperation mit dem US-Medium Common Dreams [15].

Dr. Ramzy Baroud ist Journalist und Herausgeber der Palästina-Chronik [16]. Er ist der Autor von sechs Büchern. Sein neuestes Buch, das er gemeinsam mit Ilan Pappé herausgegeben hat, ist "Our Vision for Liberation: Engagierte palästinensische Führungspersönlichkeiten und Intellektuelle kommen zu Wort [17]". Baroud ist ein Non-Resident Senior Research Fellow am Zentrum für Islam und Globale Angelegenheiten (CIGA). Seine Website lautet: www.ramzybaroud.net.


URL dieses Artikels:
https://www.heise.de/-7247603

Links in diesem Artikel:
[1] https://www.nytimes.com/2022/08/06/world/middleeast/fighting-israel-gaza.html
[2] https://www.nytimes.com/2022/08/06/world/middleeast/fighting-israel-gaza.html
[3] https://www.haaretz.com/israel-news/2022-08-16/ty-article/.highlight/after-initial-denial-israeli-officials-admit-5-palestinian-minors-killed-in-gaza-strike/00000182-a2b6-d825-a5a7-aaf6d3320000
[4] https://www.bbc.com/news/world-middle-east-62553628
[5] https://electronicintifada.net/blogs/ali-abunimah/israeli-lawmakers-call-genocide-palestinians-gets-thousands-facebook-likes
[6] https://www.gov.il/en/departments/news/event_statement080822
[7] https://www.aljazeera.com/news/2022/8/12/gaza-death-toll-rises-to-49-including-17-children
[8] https://www.plutobooks.com/9780745329789/more-bad-news-from-israel/
[9] https://www.palestinedeepdive.com/
[10] https://www.palestinechronicle.com/on-haaretz-can-settler-colonialism-be-liberal-and-apartheid-be-progressive/
[11] https://www.haaretz.com/jewish/2022-08-17/ty-article/.highlight/not-even-the-shoah-can-guarantee-germanys-duty-to-israel-today/00000182-ad44-d1f9-a59e-fd6ce9580000
[12] https://www.timesofisrael.com/armed-drones-gave-idf-surgical-precision-during-recent-gaza-fighting-officers-say/
[13] https://www.jpost.com/middle-east/article-714967
[14] https://www.jpost.com/middle-east/article-714967
[15] https://www.commondreams.org/views/2022/08/26/deliberate-misrepresentation-western-media-bias-makes-israeli-war-palestinians
[16] http://www.ramzybaroud.net/
[17] https://www.amazon.com/Our-Vision-Liberation-Palestinian-Intellectuals/dp/1949762440

geschätzte Lesezeit: 4 min

In der EU gilt ab 2035: Nur Elektrofahrzeuge dürfen neu zugelassen werden. Doch E-Fuels bieten möglicherweise einen Weg, Verbrennungsmotoren weiterhin zu nutzen –auf klimaneutrale Art und Weise. Ob dies in der EU auch nach 2035 zulässig ist, soll noch geprüft werden.

E-Fuels nutzen Kohlendioxid aus der Atmosphäre

E-Fuels sind synthetische Kraftstoffe. Mithilfe von Strom werden sie aus Wasser und Kohlendioxid hergestellt. Um die Entwicklung klimaneutral zu halten, wird auf erneuerbare Energien und Kohlendioxid gesetzt, das ohnehin in der Atmosphäre vorhanden ist. So können sowohl Methanol als auch Kerosin, Diesel oder Benzin entstehen – und in Verbrennungsmotoren weiterhin genutzt werden. Der Effekt: „Wer einen Verbrennungsmotor statt mit Benzin, Diesel oder Kerosin mit eFuels antreibt, stößt nicht mehr CO2 aus, als der Atmosphäre zur Herstellung der Kraftstoffe entnommen wurde“, so die Interessengemeinschaft eFuel Alliance.

Doch hier schon das erste, große Aber: Nicht jeder „synthetische Kraftstoff“ ist CO2-neutral. So bietet Shell aus Erdgas gewonnen synthetischen Kraftstoff an. Ein anderes Projekt nutzt CO2 welches bei der Zementherstellung entstanden ist. Auch der E-Fuel Partner von Porsche, HIF Global, will CO2 aus „industriellen Prozessen“ für die E-Fuel Produktion nutzen.

Das „reduziert“ zwar den CO2-Ausstoß, aber ist inkompatibel mit den „Netto Null“ Zielen der Staaten im Pariser Abkommen, denn am Ende kommt aus dem Auspuff ja wieder CO2 raus. Damit wird die Entwicklung klimafreundlicher Technologien verschleppt: Die Zementhersteller und andere Industriezweige sparen sich den Umstieg auf CO2-freie Technologie und auch die Autohersteller können an veralteten Technologien wie dem Verbrennungsmotor festhalten.  

E-Autos sparen mehr Emissionen als E-Fuels

Während FDPler wie Christian Lindner E-Fuels für eine „spannende Chance für klimafreundlichen Verkehr“ halten, bezeichnen einige Umweltschützer und Mobilitätsexperten sie als Irrweg. So nimmt Greenpeace-Vorstand Martin Kaiser die Option der E-Fuels als verwässerten Verbrenner-Ausstieg wahr. Kritikpunkte gibt es viele. Einer davon ist der hohe Strombedarf zur Herstellung von E-Fuels. Angenommen, zehn Prozent der Autos in der EU nutzten E-Fuels, würde die jährliche Nachfrage nach erneuerbaren Energien bereits um fast 40 Prozent steigen. Das hat das Thinktank Transport & Environment (T&E) berechnet, das den wachsenden Bedarf als größten Kritikpunkt sieht. Falko Ueckerdt vom Potsdam-Institut für Klimafolgenforschung bezifferte den Strombedarf sogar so hoch wie die gegenwärtige jährliche Nachfrage in Deutschland.

Der Thinktank T&E hat sich darüber hinaus auch mit den Lebenszyklusemissionen der verschiedenen Autos beschäftigt. Ein Auto, das mit der Kombination aus E-Fuels und Benzin fährt, spart im Vergleich zu konventionellen Kraftstoffen lediglich 5 Prozent der Lebenszyklusemissionen ein. Zum Vergleich: Ein E-Auto erzeugt über seinen Lebenszyklus ganze 78 Prozent weniger Emissionen.

Quelle: Think Tank T&E

Auch bei einer Nutzung von reinem E-Fuel fallen die Ergebnisse übrigens nicht sonderlich erbaulicher aus: E-Autos stoßen laut Berechnungen während ihres Lebenszyklus 53 Prozent weniger Emissionen aus als Verbrenner, die mit reinen E-Fuels betrieben werden.

Quelle: Think Tank T&E

E-Autos kommen mit derselben Energiemenge weiter

Dazu kommt, dass die erneuerbaren Energien in E-Autos sehr viel effizienter angelegt sind – denn mit derselben Menge an Energie können Elektrofahrzeuge viel mehr anfangen. So berechnete T&E, dass ein batterieelektrischer Volkswagen ID.3 mit derselben Menge erneuerbarer Energien fünfmal so weit fahren kann wie ein VW Golf mit Verbrennungsmotor, angetrieben durch E-Fuels. Noch drastischer fällt das Ergebnis bei einem batteriebetriebenen BMW i4 aus, der gleich sechsmal so weit fahren kann wie ein BMW 4er mit E-Fuels.

Quelle: Thinktank T&E

Das liegt daran, dass bei E-Fuels aufgrund der stromaufwendigen Herstellung lediglich 13 Prozent der erneuerbaren Energien im Tank landen, während es beim E-Auto ganze 77 Prozent sind.

Quelle: Thinktank T&E (PDF, S. 19)

Nur scheinbarer Vorteil: Verbrenner würden weiterhin genutzt

Nun wären E-Fuels ein Weg, die Emissionen von bereits existierenden Verbrennungsmotoren zu reduzieren. „Bestandsfahrzeuge, die heute fast ausschließlich mit fossilen Kraftstoffen betrieben werden, können durch den Betrieb mit nachhaltigen Kraftstoffen ganz erheblich zu einer schnellen CO2-Absenkung beitragen. Nur auf diese Weise ist es möglich, dass auch die auf dem Markt befindlichen Fahrzeuge ihren Beitrag zur Klimaneutralität leisten“, zitiert der BR Ulrich-Peter Thiesen und Ingo Behr vom Labor Verbrennungsmotoren des Fachbereichs Informatik und Ingenieurwissenschaften der Frankfurt University of Applied Sciences. Deswegen sollte man jedoch nicht das europaweite Aus des Verbrennungsmotors verschieben. Denn dabei geht es um neu zugelassene Wagen, die ab 2035 keine Verbrennungsmotoren mehr haben dürfen. Der Plan sollte also sein, die Bestandsflotte mit E-Fuels zu betreiben, aber Neuzulassungen rein auf E-Autos umzustellen.

Die Herstellung von E-Fuels ist zwar aktuell noch sehr teuer – das könnte sich mit einer Strompreisentwicklung und Massenproduktion von E-Fuels ändern. Da E-Autos aber grundsätzlich wesentlich weniger Energie benötigen, wäre ihr Betrieb immer noch günstiger als ein Betrieb mit E-Fuels.

Fazit: Schlechte Umweltbilanz, nur in manchen Bereichen nützlich

Klar ist: E-Fuels sind weniger umweltfreundlich als E-Autos. Dennoch bieten E-Fuels die Möglichkeit, Bestandsfahrzeuge CO2-neutral zu betreiben. Zwar steht das Aus für die Neuzulassung von Verbrennerautos ab 2035 eigentlich schon fest, doch EU-Staaten und Europaparlament wollen über die Nutzung von Verbrennungsmotoren mit E-Fuels erst noch abschließend verhandeln. So oder so wird an der Entwicklung von E-Fuels weiter gearbeitet – denn für den Flugverkehr oder die Schifffahrt spielen E-Motoren aktuell noch keine Rolle, wobei auch hier bereits an Alternativen geforscht wird. Genau da könnten E-Fuels Teil eines umweltfreundlichen Wechsels sein. Für den PKW-Verkehr dürfte ihr Einsatz aber angesichts der hohen Kosten und der mangelnden Verfügbarkeit höchstens übergangsweise realistisch sein.

Von viel Halbwissen und so manchem Schnellschuss ist auch die Debatte um AKW-Laufzeitverlängerungen angesichts des drohenden Gasmangels geprägt. Wir haben für euch etwas Licht ins Dunkle gebracht:

geschätzte Lesezeit: 11 min

Zeitenwende: Die Grüne Energiekrise

Bild: Sergey Gorbachev/Pixabay

Warum der Krieg in der Ukraine nicht die Ursache für steigende Energiepreise sein kann, die Regierung sich aber freut, wenn alle das glauben. Hintergrund und Kommentar.

Die Sommerferien gehen ihrem Ende entgegen, die Bürgerinnen und Bürger stehen vor der massivsten Teuerungswelle in der Geschichte der Bundesrepublik. Der Krieg in der Ukraine pendelt sich, wie befürchtet [1], auf hohem Niveau ein.

Deutschlands oberste Diplomatin unterstrich dieser Tage nochmal, dass sie Diplomatie für "sinnlos" halte. Stattdessen kündigte sie weitere Waffenlieferungen an. Die eigentlich zuständige Verteidigungsministerin äußerte sich zu dem Thema bisher nicht. Krieg, steigende Energiepreise und Inflation? Gibt es da eigentlich einen Zusammenhang?

Die Gaspreise für die privaten Haushalte hatten sich bereits vor dem Sommer verdreifacht, die Regierung verhängt nun zusätzlich eine Zwangsabgabe, um Energiekonzerne mit noch mehr Geld bewerfen zu können. Alle anderen Kosten ziehen nach, zuerst natürlich die Strompreise. Unterdessen benutzen Scholz, Baerbock und Lindner öffentlich möglichst häufig das Wort "Entlastung".

Natürlich ist der Zusammenhang von Krieg und Energie ein ernstes Thema, aber wenn man sich das Agieren dieser Regierung anschaut, fällt es schwer, sachlich zu bleiben. Gerade beschloss das Kabinett ein bahnbrechende energiepolitische Initiative: Es soll wieder mehr Öl und Kohle in Bahnwaggons transportiert werden, und zwar mit Vorrang vor dem Personenverkehr.

Nach der Pofalla-Wende kommt nun der Wissing-Stau. Aber immerhin fiel dem Minister auf, dass komplexe Infrastrukturmaßnahmen etwas Planungsvorlauf brauchen: "Kapazitätsengpässe beim Wagenmaterial" würden es erforderlich machen, auch Güterwagen einzusetzen, die "nicht mehr den geltenden Lärmschutzstandards entsprechen". Wahrscheinlich will Herr Wissing das Erdöl in ausgemusterten ICE-Waggons spazierenfahren.

Der Horizont und eine magische Argumentation

Die hektische Energiediplomatie von Kanzler und Wirtschaftsminister weist darauf hin, dass ihnen dieser Sachverhalt bisher auch nicht wirklich klar war. Egal, ob Robert Habeck wertebasierte Bücklinge in Katar macht oder das halbe Kabinett nach Kanada reist: Kurzfristig, also in den nächsten Jahren, sind nirgendwo auf der Welt freie Ressourcen in den Mengen verfügbar, die die aktuelle Regierung nicht mehr von russischen Unternehmen beziehen möchte. Entsprechende Infrastrukturen aufzubauen, dauert Jahre.

Zu den wirtschaftlichen Auswirkung der planlosen Energiepolitik dieser Regierung gehören auch enorm steigende Kosten für deutsche und europäische Unternehmen. Alle Wirtschaftsinstitute gehen von einem Einbruch der Wirtschaft aus, die Frage ist nur, wie stark dieser ausfällt.

In einer aktuellen Simulation [2] berücksichtigt das IW Köln den Zusammenhang von steigenden Gaspreisen und Inflation. Dabei sind Produktionsausfälle noch gar nicht eingepreist, aber wenn sich die aktuelle Entwicklung fortsetzt, sei mit einer zweistelligen Inflation und einer weiteren Verdopplung der Energiepreise zu rechnen.

In diesem Fall rutsche Deutschland in die Rezession ab, 300.000 Menschen könnten im kommenden Jahr ihren Job verlieren. Die Autoren verweisen auf andere Untersuchungen, mit denen man darin übereinstimme, dass bei einem Stopp russischer Gaslieferungen "keine kleineren Korrekturen oder Schrumpfungen drohen, sondern gravierende wirtschaftliche Einbußen mit hoher Arbeitslosigkeit und Dominoeffekten in den Lieferketten".

Interessant ist, dass die Autoren diese Entwicklung als Auswirkung einer "Ukraine-Krise" beschreiben. Diese magische Argumentation verfolgte dieser Tage auch DIW-Präsident Marcel Fratzscher, der sich damit zitieren ließ, der "russische Krieg gegen die Ukraine" werde die Wirtschaft hierzulande noch über Jahre belasten [3].

Allerdings erklären die Wirtschaftswissenschaftler nicht, inwiefern die physischen Kampfhandlungen in der Ukraine sich negativ auf die Wirtschaft eines EU-Staates auswirken. Selbst die russischen Pipelines durch die Ukraine, Bratstvo und Sojus, sind weiter in Betrieb, das ukrainische Staatsunternehmen Naftogas nimmt natürlich weiter Durchleitungsgebühren von Gazprom entgegen.

Ansonsten tendierte der wirtschaftliche Austausch mit der Ukraine gegen Null. Die energiepolitischen Entscheidungen, die zur aktuellen Krise führten, wurden teilweise lange vor diesem Krieg von Politikern in Berlin und Brüssel gefällt.

Falsche Reaktion auf den Krieg

Die wahnwitzigen energiepolitischen Manöver dieser Bundesregierung sind, wenn überhaupt, eine katastrophal falsche Reaktion auf diesen Krieg, welche die vorherigen Tendenzen noch verschärft. Die Verantwortung bleibt bei den hiesigen Politikern, auch wenn es ihnen hilfreich erscheinen mag, jetzt auf einen gewissen Herrn im Kreml zu zeigen.

Gazprom reduziert die Liefermenge durch Nord Stream nennenswert erst seit dem 13. Juni [4]. Bis dahin hatte die Bundesregierung bereits Nord Stream 2 suspendiert, Gazprom-Eigentum in Deutschland beschlagnahmt, auf EU-Ebene ein Sanktionspaket nach dem anderen auf den Weg gebracht und sich gleichzeitig drei Monate lang lauthals über einen angeblichen Wirtschaftskrieg Russlands geklagt, der für den Anstieg der Gaspreise verantwortlich sei.

Da sieht es natürlich sehr schlecht aus, dass die Gaspreise in Europa bereits seit Januar 2021 steigen [5], die Bundesregierung treibt sie mit ihrer Politik, insbesondere mit der aggressiven Einkaufspolitik der schon vor dem Krieg gegründeten Trading Hub Europe (THE) nur weiter steil in die Höhe.

In den vergangenen zehn Jahren hat sich der Erdgasimport nach Deutschland fast verdoppelt [6], während der Verbrauch einigermaßen stabil geblieben ist. Die großen Importeure haben die zusätzlichen Mengen an günstigem russischen Gas in den europäischen Gasmarkt exportiert [7] und damit Milliarden an Euro verdient.

Im Dezember 2021 erreichten die Gasexporte aus Deutschland mit 62 Millionen Kubikmetern im Monat einen Spitzenwert. Weil den Gasunternehmen an den neu geschaffenen Gasbörsen nun ihr Geschäftsmodell wegzubrechen droht, erheben Scholz, Habeck und Lindner von den Privatkunden eine Zwangsabgabe für darbende Gaskonzerne.

Was da auf dem kurzen Dienstweg verhandelt wurde, etwa die plötzliche staatliche Übernahme von Uniper, gehört eigentlich vor einen Untersuchungsausschuss des Bundestages. Dort ließe sich beispielsweise nachfragen, ob irgendeine Vorgängerregierung so unvorsichtig war, Garantien für Gewinne aus Zwischengeschäfte mit russischem Gas zu geben.

Bislang ist noch nicht ausgemacht, wem die wahnwitzige Energiepolitik dieser Regierung mehr schadet, der russischen oder der deutschen Volkswirtschaft. In den Vereinigten Staaten sorgt die außenpolitische Strategie von Olaf Scholz, einfach jedes Problem mit Milliardensummen zu bewerfen, schon für gehässige Kommentare.

Die USA und die EU

Dort gibt es die europäischen Probleme in dieser Form nicht, der Henry-Hub-Preis für Erdgas in Nordamerika pendelt stabil zwischen 2 und 5 Dollar für eine Million BTU [8] (British Thermal Unit). Der europäische TTF-Preis liegt umgerechnet inzwischen bei mehr als 70 Euro für eine Million BTU.

Die einzige Sorge der in den USA aktiven Unternehmen ist, dass die EU sich auf einen Gaspreisdeckel einigen könnte. Damit hätte Brüssel ein Instrument in der Hand, die teuersten Anbieter vom Markt zu drängen, und das sind die in Übersee aktiven Öl- und Gasmultis.

Das Decoupling von Russland und die Preisexplosion sind die zwei entscheidende Voraussetzungen dafür, die Exporte von Fracking-Gas aus Australien, den USA und Kanada nach Europa zu steigern.

Mitte Juli meldete die amerikanische Energiebehörde, dass die Vereinigten Staaten im ersten Halbjahr 2022 zum weltweit größten Exporteur von Flüssiggas (LNG) [9] aufgestiegen sind.

Erhöhte Exportkapazitäten, gestiegene Preise und eine erhöhte globale Nachfrage, insbesondere in Europa, hätten dafür gesorgt, dass die LNG-Importe in die EU in der ersten Hälfte des Jahres 2022 um 63 Prozent auf durchschnittlich 14,8 Milliarden Kubikfuß pro Tag (ca. 420 Millionen Kubikmeter) stiegen.

Auch bei Erdöl aus der Fracking-Förderung gibt es Erfolgsmeldungen: Ende Juli erreichte die Verschiffung von Rohöl aus den USA ein Allzeithoch von 4,55 Millionen Barrel pro Tag. Anfang August lieferte die britische Shell erstmals Rohöl aus der amerikanischen Förderung [10] im Rostocker Hafen an.

Von dort wird es per Pipeline zum PCK Schwedt gepumpt und soll dort das russische Öl aus der Druschba-Pipeline ersetzen. Technisch ist das ein ziemlich gewagtes Experiment, das sich die Task-Force von Robert Habeck ausgedacht hat, denn weder Pipeline noch Raffinerie sind für die Ölsorten aus den USA ausgelegt.

Allein die Wählerinnen und Wähler der Grünen scheint es überhaupt nicht zu stören, dass Energiewende neuerdings bedeutet, dreckigere und teurere fossile Energieträger über möglichst weite Strecken heranzuschaffen.

Atomkraftwerke erleben in Deutschland und europaweit eine unvorhersehbare Renaissance, selbst Fracking steht in Deutschland wieder auf der Tagesordnung, aber die Zustimmungswerte der grünen Minister erklimmen wöchentlich neue Rekorde.

Grünen-Wähler für "normativ ausgerichtete Außenpolitik"

Das Referat Analyse und Planung in der Friedrich-Ebert-Stiftung hat festgestellt, dass die Grünen-Wählerschaft im Kern (84 Prozent) eine stark normativ ausgerichtete Außenpolitik befürwortet [11], die so genannte Werte trotz möglicher negativer Folgen über Interessen stellt.

Demnach befürworten mehr als die Hälfte der befragten Grünen-Wählerinnen und -Wähler auch militärische Eingriffe Deutschlands in Konflikte. Damit sind die Grünen-Anhängerinnen und -Anhänger weit eingriffsfreudiger als die restliche Wählerschaft.

Laut Catrina Schläger, der Leiterin des Referats, geht mit dieser Haltung eine Art Kultivierung und grundsätzliche Akzeptanz militärischer Gewalt einher, die für Deutschland "zumindest ungewöhnlich" ist, wie sie schreibt.

Nach dieser Logik nehmen Grünen-Anhänger die Klimakatastrophe gerne hin, solange sie Russland mehr schadet als uns selber, um eine strategische Vorgabe zu paraphrasieren, die Bundeskanzler Scholz ausgegeben hat. Diese Haltung wird bei unserem wichtigsten Partner natürlich wohlwollend zur Kenntnis genommen.

Die Bereitschaft der Europäer, schmerzhafte Schritte zu unternehmen, insbesondere wenn es darum geht, Europa von russischer Energie abzukapseln, sei ein gutes und positives Zeichen [12], lobt etwa Professor Charles Kupchan, unter Barack Obama Direktor für europäische Angelegenheiten im Nationalen Sicherheitsrat, die Zeitenwende der Bundesregierung.

Auf irgendeine Weise scheint diese Zeitenwende also Werthaltungen mit Energieinteressen zu verknüpfen. Dabei lassen sich ein moralischer und einer strategischer Zugang unterscheiden. Ersterer geht davon aus, dass wir grundsätzlich keine Geschäfte mit Unternehmen aus Staaten machen sollten, die andere Länder mit Krieg überziehen und ihre Oppositionellen schlecht behandeln.

Das ist sicher die unter Grünen-Wählern am stärksten verbreitete Haltung, die auch unzählige Journalisten täglich herausstellen. Allerdings kollidiert sie offensichtlich mit der komplexen wirtschaftlichen und politischen Realität.

Natürlich wollen weder Robert Habeck noch Annalena Baerbock die Beziehungen zu Saudi-Arabien, der Türkei oder Ägypten abbrechen, um nur die wirklich übelsten Regime aus der Gruppe unserer allerengsten Verbündeten zu erwähnen.

Dieser taktische Umgang mit den so genannten Werten ist dem grünen Spitzenpersonal natürlich bewusst. Als die Außenministerin vor dem Sommer in den Ausschuss für Menschenrechte des Bundestages eingeladen [13] war, eröffnete sie ihren Beitrag mit einem kleinen Scherz: Ihr würden ja gelegentlich doppelte Standards in Menschenrechtsfragen vorgeworfen, so die Außenministerin, deshalb beginne sie heute mal nicht mit dem Thema Russland, sondern mit China.

Dem folgten die üblichen Lamenti, welch schlimme Zustände bei Washingtons aktuellen Lieblingsgegnern herrschen. Als Abgeordnete aus SPD und Linksfraktion nach Vorfällen in Bahrein und der Türkei fragten, reagierte Baerbock plötzlich ganz realistisch: In der Außenpolitik gebe es regelmäßig Situationen, in denen man trotz Kritik zusammenarbeiten müsse, bestimmte Staaten "brauchen wir eben".

Das Paradoxe an dieser Argumentation ist offensichtlich: Wir brauchen die wirtschaftlichen Beziehungen zur Russischen Föderation oder der Volksrepublik China sehr viel mehr, wie ein schneller Blick auf die Außenhandelsstatistik verrät.

Die strategische Argumentation

An dieser Stelle kommt der zweite Zugang ins Spiel, die strategische Argumentation. Demnach sind intensive Beziehungen zu Staaten, die aus irgendwelchen Gründen gerade nicht opportun erscheinen, nämlich Abhängigkeit, und das ist, wie alle wissen, die mit Christiane F. erzogen wurden, ein wirklich schlimmer und gefährlicher Zustand.

Wenn Annalena Baerbock allerdings ausreichend Zeit mit dem Fachbereich Internationale Beziehungen verbracht hätte, wüsste sie natürlich, dass schon einer der Großmeister des Fachbereiches, Kenneth Waltz, sorgfältig zwischen Abhängigkeit und Verletzbarkeit unterschied.

Natürlich hat eine stärkere wirtschaftliche Vernetzung ein höheres Maß an Abhängigkeiten erzeugt, allerdings sind diese in der Regel gegenseitig (Interdependenz). Das Maß an Verletzbarkeit (Vulnerability) hängt dabei stark von der Größe und inneren Diversifizierung der beteiligten Volkswirtschaften ab, da sie Möglichkeiten bieten, mögliche Ausfälle zu ersetzen.

Vor diesem Hintergrund sollte man davon ausgehen, dass die Verletzbarkeit der russischen Volkswirtschaft mit ihrer hochgradigen Fokussierung auf fossile Energieförderung erheblich höher ist. Auch das ist natürlich ein Grund dafür, dass keine russische Regierung in den vergangenen Jahren 50 Jahren versucht hat, die Energiewaffe gegen Deutschland oder andere EU-Staaten einzusetzen.

Die SPD

Dies interessante Frage ist natürlich, wie lange Olaf Scholz und die SPD diese Linie noch durchhalten. Im Unterschied zur Kernwählerschaft der Grünen können SPD-Anhänger sehr wohl zwischen Werten und Interessen unterscheiden. Das eine pflegt man zu Hause, das andere vertritt man auf der Straße. Und natürlich bekommen die Leute mit, wenn sie unter Kriegsgeschrei von hinten durch die Kalte Küche enteignet werden.

Die Umfragewerte für die SPD fallen zügig und ein gewisser Friedrich Merz steht bereits ungeduldig in Warteposition. Natürlich könnte sich der amtierende Oppositionsführer gut vorstellen, mit Robert Habeck und Annalena Baerbock eine neue Regierung zu bilden, zumal die aktuelle die unpopulärsten Maßnahmen bereits durchgezogen hat.

Alle, die das als keine wünschenswerte Perspektive empfinden, sollten bei einer Abwägung zwischen Werten und Interessen genau überlegen, ob sie weiter mit zugegebenermaßen kritisierenswerten Cum-Ex-Vorfällen am Stuhl von Olaf Scholz sägen.

Die SPD-Linke drängt jedenfalls langsam aber deutlicher auf einen Politikwechsel [14], wie ein Nachrichtenmagazin berichtet.

Eine Gruppe von SPD-Mitgliedern fordert mit einem Appell eine diplomatische Offensive. "Wir brauchen einen schnellstmöglichen Waffenstillstand als Ausgangspunkt für umfassende Friedensverhandlungen", heißt es da.

Sie fordern die Bundesregierung auf, die Realitäten zur Kenntnis zu nehmen und mit der russischen Regierung einen Modus Vivendi zu finden. Man brauche einen neuen Anlauf für globale Entspannungspolitik, Frieden und Sicherheit könnten nicht gegenseitig "errüstet" werden.


URL dieses Artikels:
https://www.heise.de/-7245774

Links in diesem Artikel:
[1] https://www.heise.de/tp/features/Argumente-fuer-Neutralitaet-6620155.html
[2] https://www.iwkoeln.de/presse/pressemitteilungen/thomas-obst-mehr-als-300000-arbeitslose-durch-hohe-gaspreise.html
[3] https://www.zeit.de/wirtschaft/2022-08/ukraine-krieg-diw-marcel-fratzscher-schaden?utm_referrer=https://www.google.com/
[4] https://www.n-tv.de/wirtschaft/Norwegen-erzielt-durch-Krieg-Rekord-Gewinne-article23526911.html
[5] https://tradingeconomics.com/commodity/eu-natural-gas
[6] https://www.ceicdata.com/en/indicator/germany/natural-gas-imports
[7] https://www.ceicdata.com/en/indicator/germany/natural-gas-exports
[8] https://tradingeconomics.com/united-states/henry-hub-natural-gas-spot-price-fed-data.html
[9] https://www.eia.gov/todayinenergy/detail.php?id=53159
[10] https://www.rbb24.de/studiofrankfurt/wirtschaft/2022/08/brandenburg-schwedt-pck-us-rohoel-geliefert.html
[11] https://www.ipg-journal.de/rubriken/aussen-und-sicherheitspolitik/artikel/gruene-moralfalken-6059/
[12] https://www.ipg-journal.de/interviews/artikel/deutschland-wollte-der-geschichte-entfliehen-6039/
[13] https://www.bundestag.de/presse/hib/kurzmeldungen-897654
[14] https://www.spiegel.de/politik/deutschland/ukraine-krieg-spd-linke-fordern-waffenstillstand-und-verhandlungen-mit-russland-a-3a1c249a-9205-495b-a2b6-0f81c3ef342c

geschätzte Lesezeit: 7 min

Ein guter Journalist macht sich mit keiner Sache gemein, auch nicht mit einer guten. Das ist so ein typischer Journalistensatz der 80er Jahre, hört sich super an, geht gut rein, verströmt einen angenehm männlichen Duft nach Whiskyglas und grau melierten Schläfen, und tatsächlich wird er (jedenfalls im deutschen Sprachraum) dem damals sehr berühmten Fernseh-Grauschopf Hanns-Joachim Friedrichs zugeschrieben. Dass sich so sehr im öffentlichen Gedächtnis festhaken konnte, hat neben seiner offenkundigen Wahrheit mit seiner ebenso offenkundigen und durch die Unschärfe des Worts „gemein machen“ nur notdürftig verdeckten Falschheit zu tun: Natürlich macht man sich als gute Journalist_in permanent mit allen möglichen Sachen gemein. Wozu (gute Bezahlung mal beiseite) sich sonst überhaupt die Mühe machen. Das Gegenteil für sich in Anspruch zu nehmen, scheint mir mehr Attitüde als Haltung: Man sähe sich gern als überlegene, supercoole, nichts und niemand verpflichtete, über allen öffentlichen Dingen schwebende Ironiker_in, je weniger man es ist, desto mehr will man es sein, was mir insgesamt eher auf eine problematische Kindheit als auf journalistische Exzellenz hinzuweisen und daher als professionelles Ideal nicht wirklich ernst zu nehmen zu sein scheint.

Wahr ist an dem Satz natürlich, dass die Medien dazu da sind, Meinungsvielfalt möglich und den öffentlichen Raum öffentlich zu halten, offen für viele Verschiedene, auf dass sie sich streiten und miteinander auseinander setzen können. Das wäre schon mal auf jeden Fall eine gute Sache, mit der man sich als gute Journalist_in mit allem Nachdruck gemein machen sollte. Ebenso, und aus dem gleichen Grund, mit Demokratie, Rechtsstaat und Menschenrechten natürlich.

Der Verfassungsblog ist ein Medium, auf dem außer mir kaum Journalist_innen, sondern fast ausschließlich Wissenschaftler_innen schreiben. Ob und wann man sich als gute Wissenschaftler_in mit einer guten Sache gemein machen soll und darf, wird periodisch immer wieder mal zum Thema leidenschaftlicher Debatten. Zuletzt hatte Tarunab Khaitan, Professor für Öffentliches Recht und Rechtstheorie an der Universität Oxford, in einem Editorial bei ICON eine solche angestoßen. Wir haben diesen Anstoß mit einem Ad-hoc-Blogsymposium aufgegriffen, dessen Erträge ich außergewöhnlich inspirierend finde und Ihnen sehr ans Herz lege (s. unten im Wochenrückblick). Sich als Wissenschaftler_in von dem Drang treiben zu lassen, bestimmte materielle Ergebnisse herbeizuführen, so seine These, ist falsch – nicht nur, weil man dadurch in Widerspruch zu der wissenschaftlichen „role morality“ gerät, sondern weil man damit der guten Sache womöglich mehr Schaden als Nutzen zufügt.

Das Projekt, Wissenschaft von externen Agenden rein zu halten, riskiert immer, entweder in der Tautologie (Khaitan: „… a scholar’s engagement with morality must be, well, scholarly“) zu landen oder in der Paradoxie: Wie soll man unwissenschaftlicher Wissenschaft als Wissenschaft auf die Spur kommen, ohne sich einen Knoten in den Kopf zu denken? Die Wissenschaft hat hierfür, wie jedes soziale System, Techniken der Entparadoxierung entwickelt. So reicht sie beispielsweise das Problem an die Moral weiter, auf dass diese die individuelle Wissenschaftler_in zum richtigen Handeln anleite, wofür die mit Wahr und Falsch operierende Wissenschaft sich blind halten muss, um nicht an sich selbst irre zu werden. Oder sie weist der unwissenschaftlichen Praxis innere Dysfunktionalitäten und Widersprüchlichkeiten nach und macht sie so mittelbar für ihre Wahr-Falsch-Unterscheidung wieder beobacht- und erforschbar. Das ist auch Khaitans Vorgehen: Er macht nicht bei der Tautologie halt, schlechter Wissenschaft wegen schlechter Wissenschaft schlechte Wissenschaft vorzuwerfen (bei ihm: „radical scholactivism“), sondern formuliert seinen Vorwurf zunächst moralisch: Scholactivism macht die Welt tendenziell weniger gerecht. Und daran lässt sich eine Diagnose selbstwidersprüchlichen Verhaltens knüpfen: Wenn das so ist, dann handelt die Scholactivist_in, die ihre Forschung trotzdem ihren aktivistischen Zielen unterordnet, selber paradox.

++++++++++Anzeige++++++++

Hier könnte Ihre ANZEIGE stehen

Ihre Stellenausschreibung, Ihre Konferenz, Ihre Veröffentlichung, Ihren CfP – hier können Sie darauf aufmerksam machen.

Und gleichzeitig den Verfassungsblog damit unterstützen. 

Neugierig? 

Melden Sie sich gerne bei uns.

++++++++++++++++++++++

Solche Techniken der Entparadoxierung sind der Rechtswissenschaft schon von ihrem Gegenstand her nicht unvertraut. Im Recht hat man dauernd damit zu tun, dass jemand zum Unrechttun berechtigt ist. Rechtsmissbrauch rechtlich in den Blick und in den Griff zu bekommen, ist ein paradoxes Unterfangen, und die Entschärfung und Entfaltung dieser Paradoxie prägt die Entwicklung des Rechts seit Hunderten von Jahren. Diesen Vorgang hat kürzlich Roman Guski in seiner faszinierenden Habilitationsschrift für das Privatrecht sehr gründlich untersucht. Ich würde mir wünschen, jemand täte mal das Gleiche fürs (vergleichende) Verfassungsrecht. Da wäre so viel zu holen.

Abusive Constitutionalism hat David Landau vor fast zehn Jahren genannt, was seither den größeren Teil dessen ausmacht, was uns auf dem Verfassungsblog beschäftigt: Verfassungsmissbrauch. Das Instrumentarium der Verfassung – Kompetenzen, Rechte,  Verfahren, Institutionen – wird dazu missbraucht, die Demokratie zu schwächen. Autoritäre Parteien und Herrscher, beraten von gewieften Jurist_innen, setzen es dazu ein, sich gegen politischen Wettbewerb zu immunisieren und ihre politischen Gegner zu diskreditieren und den Pluralismus unterschiedlicher politischer Meinungen und Interessen zu lähmen und einzuebnen. Das Wahlrecht, das Parlamentsrecht, das Prozessrecht, die Verfassung selbst. Alles strikt legal. Und wer diesen Missbrauch als das bezeichnen will, was er ist, muss sich dafür erst mal selber außerhalb des Rechts stellen und sich damit angreifbar machen: Aha! Na klar. Eh bloß wieder politisch.

Die Rechtswissenschaft beobachtet das Recht beim Beobachten. Leichter als das Recht selbst kann sie dabei den Rechtsmissbrauch als solchen durchschauen, ihn an den von ihm verfolgten Absichten und an den dem Recht vorgegebenen Zwecken messen, und ihn auf diese Weise als das kennzeichnen, was er ist: Unrecht. Ich halte es für keinen Zufall, dass es zuerst und zuvörderst Rechtswissenschaftler_innen waren, die wegen des im letzten Jahrzehnt so epidemisch um sich greifenden Abusive Constitutionalism so laut und leidenschaftlich Alarm geschlagen haben, nicht nur, aber auch auf dem Verfassungsblog.

Die Expertise von Rechtswissenschaftler_innen war gefragt wie nie in den letzten Monaten und Jahren in der Öffentlichkeit. Sie verfügen über das Wissen, über die Begriffe und die Argumentationstechniken, um die Schäden sichtbar zu machen, die der Missbrauch von Rechtspositionen anrichtet. Sie beobachten diese Schäden, und dann werden sie aktiv und wollen sie abwenden helfen und suchen dafür mit ihrem Wissen die Öffentlichkeit. Das ist ihr Aktivismus. Schadet er ihrer Wissenschaftlichkeit? Das behauptet Khaitan, so weit ich sehe, überhaupt nicht und wäre erst mal zu beweisen. Einstweilen kann ich keinen Grund erkennen, warum das so sein sollte.

… zusammengefasst von PAULINE SPATZ:

Die Masern-„Impfpflicht“ für Kitakinder ist verfassungsgemäß, hat das Bundesverfassungsgericht geurteilt. ANNA-LENA HOLLO hält die Entscheidung für wissenschaftsbasiert, realistisch und abgewogen – keine „Verhältnismäßigkeit auf Leerlauf“, sondern das Lehrstück einer Grundrechtsprüfung.

Nachdem das Bundesverfassungsgericht 2020 den Tatbestand der geschäftsmäßigen Förderung der Selbsttötung (§ 217 StGB a.F.) für verfassungswidrig erklärt hat, hat der Bundesgerichtshof nun im „Insulin-Fall“ eine aktive Tötungshandlung in eine straflose Suizidhilfe umgedeutet und eine Tötung auf Verlangen (§ 216 StGB) verneint. So menschlich nachvollziehbar der Beschluss auch sei, so fragwürdig sei sie juristische Begründung, findet ANNE BALDAUF und sieht in dem Fall den Anlass, § 216 StGB zu überdenken.

Kann der Staat Wissenschaftler_innen verpflichten, ihre Forschung frei zugänglich machen? Und: wer hat die Gesetzgebungskompetenz in dieser Sache? Seit September 2017 ist dazu beim Bundesverfassungsgericht ein Normenkontrollverfahren anhängig, seit September 2017 schweigt das Gericht. HANJO HAMANN bezweifelt, ob das noch „zeitgerechter Rechtsschutz“ ist, zumal das Gericht hier nur eine Kompetenzfrage beantworten müsse – gerade deren präjudizielle Natur verleihe ihr eine akute Dringlichkeit.

Am 1. August entschied der EuGH in der Rechtssache Sea Watch: Italien durfte zwei von NGOs betriebene Such- und Rettungsschiffe kontrollieren, aber nicht festhalten, wenn von ihnen keine eindeutige Gefahr für Sicherheit, Gesundheit oder Umwelt ausgeht. MATILDE ROCCA berichtet über das Urteil, das leider nicht explizit auf die zentrale Frage der Zusammenarbeit zwischen Staaten und privaten Akteuren, also NGOs, eingehe.

Die Angst, wegen Gasmangel im Winter nicht heizen zu können ist groß. Deswegen fordern viele immer dringlicher, die drei verbleibenden Atomkraftwerke in Deutschland nicht wie geplant zum Jahresende abzuschalten oder gar abgeschaltete Reaktoren wieder in Betrieb zu nehmen. PHILIPP SAUTER zeigt, dass das gar nicht so einfach ist.

In Spanien will die Regierungskoalition Übergewinne von Banken und großen Energieunternehmen besteuern. Der Gesetzentwurf könnte als Beispiel für andere europäische Länder dienen. JOAQUÍN URÍAS über die politischen und verfassungsrechtlichen Hintergründe.

In Bosnien und Herzegowina wächst der Zorn über den Hohen Repräsentanten Christian Schmidt, dessen Wahlrechtspläne nach Ansicht von JOSEPH MARKO auf eine Art ethnisches Gerrymandering hinauslaufen würden.

In Chile stimmt das Volk nächste Woche über seine neue Verfassung ab. Der Verfassungskonvent, der das chilenische Volk auf breiter Basis repräsentieren sollte, war so vielfältig, dass sein Entwurf nicht allgemein genug ist, um die Unterstützung einer soliden Mehrheit der Chilen_innen zu finden. RODRIGO KAUFMANN über einen Prozess, der am besten als eine Übung zur Selbstkonstitution verstanden werden könne – nicht einer politischen Gemeinschaft, sondern einer pluralistischen Gesellschaft.

Das bereits erwähnte Blog-Symposium zu Tarunab Khaitans Kritik am „Scholactivism“ in der Verfassungswissenschaft umfasst Beiträge von ADRIENNE STONE, JOHN MORIJN, THOMAS BUSTAMANTE, BENOIT MAYER, VICKI C. JACKSON, LEONID SIROTA, MARTIN SCHEININ, CYNTHIA FARID & SERGIO LATORRE, LIORA LAZARUS und SAM BOOKMAN.

Ihnen alles Gute und bis nächste Woche!

Ihr

Max Steinbeis

geschätzte Lesezeit: 14 min

Hände in Einweghandschuhen, die sich in einer Arztpraxis dem “DocCirrus Datensafe” Server nähern

Unfassbar, aber wahr: Auch in Deutschland kommt die Digitalisierung an. Mittlerweile sogar in Arztpraxen. Termine buchen, Akten durchsuchen, Krankschreibungen und Abrechnungen ausstellen – das alles kann mit einer Software erledigt werden. Die kennt dann Praxen und Patient*innen sehr gut – sehr, sehr gut sogar. Genauso unfassbar, aber leider auch wahr: Als wir uns eine dieser Softwarelösungen für Arztpraxen mal genauer angeschaut haben, hat sie sehr viele Daten verloren. Sehr, sehr viele: Von mehr als einer Million Patient*innen.


Fast zwei Jahre lang sind wir jetzt zusammen neugierig 🎉 und haben schon viel problematische Software gesehen. Sehr, sehr viel. Aber mehr als eine Million Datensätze, die auf einmal verloren gehen - und zwar sensibelste Patient*innen-Daten inklusive Behandlungsverlauf – das hatten wir bisher auch noch nicht.

Dabei ist es immer wieder das Gleiche: Wir haben ein schlechtes Bauchgefühl. Wir hoffen, dass wir falsch liegen und die Entwickler*innen sorgfältig gearbeitet haben und es nichts zu befürchten gibt.

Wir schreiben miteinander Nachrichten. Wir probieren aus. Wir finden eine Sicherheitslücke und ärgern uns, jetzt schon wieder wenig schlafen zu können – denn dann sind wir wieder eine ganze Nacht lang beschäftigt, Sicherheitslücken zu dokumentieren.

Alle schlimmen Dinge beginnen im Chat

Heute nehmen wir euch mit auf diesem Weg vom Bauchgefühl, zum Arzt und zur nachgewiesenen Sicherheitslücke - und zeigen euch auch unsere Chatnachrichten. Natürlich gekürzt und kuratiert, aber sehr nah an der Realität.

Mein Hausarzt darf keine Blutwerte etc. per E-Mail verschicken und nutzt deshalb ein “Gesundheitsportal”. Das sieht auf den ersten Blick schon so aus, als wäre das bestimmt kaputt.

👀👀

Also öffnen wir einen Browser und darin die Entwicklungstools. Damit können wir uns anschauen, was die Webseite so treibt. In diesem Fall geht es um die Praxissoftware “InSuite” von DocCirrus. Dort fallen uns sofort einige merkwürdige Dinge auf.

es lädt auf jeder Seite Google Maps? #yolo

Und da wird minified javascript-code in json payloads returned???

Das ist alles keine Sicherheitslücke, aber schon seltsam.

Schock 1: Ich sehe was, was du deinen Ärzt*innen schreibst

So auch hier: Das zweite zerforschi hatte noch nicht mal Zeit, einen Laptop aufzuklappen, um sich in der Software anzumelden, da heißt es schon:

Sie leaken die SMTP-Zugangsdaten der Arztpraxis oh boi oh boi oh shit
Damit könnte man bestimmt auch E-Mails abrufen

Was war passiert?

Nachdem man sich auf der Website angemeldet hat, bekommt man eine Liste der Praxen angezeigt, bei denen man registriert ist.

Angezeigt werden dabei nur harmlose Informationen: Wo ist die Praxis? Wann hat sie offen?

Übersicht der Praxen im Gesundheitsportal: Zur Praxis werden jeweils Name, Öffnungszeigen und Standort angezeigt
Übersicht der Praxen im Gesundheitsportal: Zur Praxis werden jeweils Name, Öffnungszeigen und Standort angezeigt

Doch in den Entwickler*innen-Tools unseres Browsers sehen wir, dass nicht nur diese Informationen übertragen werden, sondern noch mehr Details. Viel viel mehr Details. Darunter viel Harmloses, wie die Bankverbindung der Praxis, die E-Mail-Signatur der Ärzt*innen und welche Drucker es in der Praxis so gibt. Aber eben auch die Zugangsdaten zum Versenden von E-Mails.

Uffff

Puuuh

Belastend

was jetzt?

Ja ich seh schon, da müssen wir nochmal genau drauf schauen

Zuerst hoffen wir natürlich, dass das Zugangsdaten für ein extra Postfach sind, über das nur E-Mails versendet werden können. Dann könnten wir mit diesen Zugangsdaten zwar im Namen der Praxis Mails versenden, aber immerhin nicht mehr.

Doch wir sehen schnell: In den allermeisten Fällen sind das tatsächlich die vollständigen Zugangsdaten zum allgemeinen E-Mail-Postfach der Praxis (z.B. info@PRAXISNAME.de). Mit denen könnten wir nun also auch alle E-Mails lesen, die die Praxis bekommt – und darin stehen nicht selten privateste Informationen über Patient*innen.

Screenshot der Informationen zu einer Praxis. Neber der Bankverbindung die auch die (im Screenshot geschwärzte) E-Mail-Adresse, der E-Mail-Server und das E-Mail-Passwort zu sehen
Screenshot der Informationen zu einer Praxis. Neber der Bankverbindung die auch die (im Screenshot geschwärzte) E-Mail-Adresse, der E-Mail-Server und das E-Mail-Passwort zu sehen

Diese Zugangsdaten wurden bei jedem Aufruf des Portals an die Nutzer*innen übertragen. Es gibt keinen Weg festzustellen, wer sie dort alles entdeckt hat.

Daher müssen die Zugangsdaten sofort geändert und alle Mails im Postfach als kompromittiert angesehen werden.

Schock 2: Ente-zu-Ente-Verschlüsselung: Alles nur quak 🦆

Eine Faustregel, die sich leider viel zu oft bewahrheitet hat, ist: Wo eine derart simple Lücke besteht, wurde vielleicht an noch mehr Stellen unsauber gearbeitet.

Also haben wir uns bei nächster Gelegenheit, es war mal wieder mitten in der Nacht, zusammentelefoniert und die Features systematischer angesehen und ausprobiert.

wenn ihr wollt, können wir gerne einen Call starten, kann eh nicht schlafen

Wollte eigentlich bald schlafen gehen, aber was solls

DocCirrus wirbt damit, dass die Patient*innen-Daten und Dokumente nicht zentral bei ihnen gespeichert werden, sondern nur in der Praxis - auf einem kleinen Server, den sie den Arztpraxen als “Datensafe” verkaufen. Dieser ist auch erstmal absichtlich nicht “von außen” erreichbar.

Das wirkt auf den ersten Blick gut: Wenn Daten nicht über das Internet erreichbar sind, können sie auch nicht aus der Ferne unberechtigt abgerufen werden. Zudem liegen die Daten dann nicht zentral in einer Cloud eines Anbieters, die alle Daten auf einmal verlieren könnte.

Aha, und das soll funktionieren? 🧐

Auf den zweiten Blick wirkt das aber auch seltsam: Über DocCirrus sollen Patient*innen eigentlich auf ihre eigenen Daten Zugriff haben, damit sie nicht mehr über unverschlüsselte E-Mails verschickt werden müssen. Wie passt das zusammen?

Der Hersteller DocCirrus sagt: Mit ein bisschen Cloud und Ende-zu-Ende-Verschlüsselung zwischen Praxis und Patient*in1!

Screenshot aus der DocCirrus-Doku: Ein Klick auf den Link öffnet das Dokument oder Bild in Ihrem Webbrowser, wobei die Übertragung Ende-zu-Ende verschlüsselt erfolgt
Screenshot aus der DocCirrus-Doku: Ein Klick auf den Link öffnet das Dokument oder Bild in Ihrem Webbrowser, wobei die Übertragung Ende-zu-Ende verschlüsselt erfolgt

Das soll dann so funktionieren: Die Patient*innen loggen sich in einen zentralen Dienst bei DocCirrus ein – das Gesundheitsportal. Dieses läuft auf einem Server von DocCirrus, der aus dem Internet erreichbar ist, und hält eine ständige Verbindung zu allen dezentralen Servern in den Praxen. Wenn nun Daten aus der Praxis gebraucht werden, schickt der Webbrowser der Patient*innen eine Anfrage an den zentralen Server, und der leitet es dann an den Datensafe in der Praxis weiter. Diesen Dienst nennt DocCirrus “blindproxy”.

Und damit dieser blindproxy nicht mitlesen kann, was Patient*in und Praxis so miteinander für Daten austauschen, verschlüsseln Patient*innen-Browser und Praxis-“Datensafe” die Daten nochmal so, dass nur diese beiden sie lesen können – und der blindproxy nur unverständliche Zeichenketten durchleiten kann.

Aber funktioniert das wirklich? Wir schauen uns näher an, wie die Dokumente übermittelt werden. Dabei geht es um sehr sensible Informationen, beispielsweise um die Ergebnisse von Bluttests oder Befunde von sexuell übertragbaren Krankheiten.

Wir öffnen also einen Browser und loggen uns wieder im Gesundheitsportal von DocCirrus ein. Dort werden alle unsere Dokumente aufgelistet. In den Entwickler*innen-Tools stellen wir zuerst fest: Die Liste der Dokumente mit IDs und Abruf-Links wird verschlüsselt übertragen. Rufen wir ein Dokument ab, sehen wir dann aber: Die Dokumente selbst werden gar nicht Ende-zu-Ende-verschlüsselt übertragen, anders als DocCirrus das behauptet.

Damit die Liste verschlüsselt werden kann, sendet der Browser mit, an wen verschlüsselt werden soll. Ganz naiv probieren wir aus, was passiert, wenn wir diese Information weglassen. Wir hätten erwartet, dass der Server hier einen Fehler anzeigt und wir nicht weiter kommen – doch stattdessen wird die Anfrage einfach beantwortet. Unverschlüsselt. 😱

Screenshot der Anfrage mit gesetzem pubKeyHash_-Attribut. Die Antwort ist verschlüsselt
Screenshot der Anfrage mit gesetzem pubKeyHash_-Attribut. Die Antwort ist verschlüsselt
Screenshot der Anfrage ohne gesetztes pubKeyHash_-Attribut. Die Antwort ist unverschlüsselt
Screenshot der Anfrage ohne gesetztes pubKeyHash_-Attribut. Die Antwort ist unverschlüsselt

Das führt das ganze Prinzip der Ende-zu-Ende-Verschlüsselung ad absurdum.

Schock 3: Wir kennen alle Dokumente deiner Ärzt*innen

Doch zurück zur Website: Nachdem wir nun unsere Daten auch ohne Verschlüsselung abrufen können, beginnen wir, die Anfragen ein bisschen zu verändern2.

Die ursprüngliche Anfrage, um die eigenen Dokumente abzurufen, sieht in etwa so aus:

{
        "patientregid": null,
        "remoteurl": "/1/document/:patientDocument",
        "remoteparams": "{}",
        "remotemethod": "GET"
}

Der dabei auf dem Praxisserver aufgerufene Endpunkt ist /1/document/:patientDocument. Also probieren wir aus, was passiert, wenn wir /1/document aufrufen.
Was dann passierte, hat uns schockiert: Zurück kommt eine Liste aller Dokumente, die unsere Praxis gespeichert hat: Krankschreibungen, ausgestellte Rezepte, Diagnosen, Überweisungen an andere Ärzt*innen… wirklich ALLES.

{
  "meta": {
    "errors": [],
    "warnings": [],
    "query": {},
    "itemsPerPage": null,
    "totalItems": 77447,
    "page": null,
    "replyCode": 200
  },
  "data": [...]
}

Wenn hinter document eine Liste der Dokumente liegt, überlegen wir uns mal was es in einer Praxis noch geben könnte. Na klar! Patient*innen. Also probieren wir weiter und tauschen document durch patient aus.

Und wieder antwortet der Server: Diesmal mit einer Liste aller Patient*innen, die der Praxis bekannt sind – viele tausend Einträge.

{
    "meta": {
        "errors": [],
        "warnings": [],
        "query": {},
        "itemsPerPage": 1000,
        "totalItems": 17041,
        "page": 1,
        "replyCode": 200
    },
    "data": [
        {
            "_id": "██████████████████",
            "talk": "MR",
            "title": "",
            "firstname": "OTTO",
            "lastname": "TEST",
            "middlename": "",
            "nameaffix": "",
            "patientNo": "999999",
            "importId": "1",
            "gender": "MALE",
            "kbvDob": "13.09.1936",
            "dob": "1936-09-13T10:00:00.000Z",
            "dob_DD": "13",
            "dob_MM": "09",
            "primaryDoc": "██████████████",
            "accounts": [],
            "affiliates": [],
            "addresses": [
                {
                    "street": "Am Baum",
                    "houseno": "34",
                    "zip": "12345",
                    "city": "Berlin",
                    "country": "Deutschland",
                    "countryCode": "0",
                    "addon": "Test Hallo"
                }
            ],
            "images": [],
            "insuranceStatus": [
                {
                    ...
                    "insuranceNo": "█████████",
                    "insuranceId": "104940005",
                    "insuranceName": "BARMER"
                    ...
                }
            ],
            "isDeceased": false,
            ...
        },
        ...
    ]
}

In der Liste steht zu den Patient*innen:

  • Name
  • Adresse
  • Geburtsdatum
  • Versicherungsstatus (mit Versicherung, Versicherungsnummer, …)
  • Telefonnummer
  • E-Mail-Adresse
  • teilweise verordnete Medikamente

Nach dem gleichen Schema wie document und patient gibt es noch eine Reihe weiterer Datensätze, die wir abrufen können. Dazu gehören

  • Rechnungen, die die Praxis ausgestellt hat
  • Alle “Aktivitäten” (der Sammelbegriff für Einträge in der Patient*innen-Akte)
    • Hier stehen auch Diagnosen, Überweisungen zu anderen Ärzt*innen
  • Zertifikate für die Kommunikation mit dem TI-Konnektor (für die Abrechnung mit den Krankenkassen)

Außerdem finden wir dort das sogennante “Audit-Log”, eine Aufzeichnung aller Aktionen, die in der Software durchgeführt wurden.

Screenshot aus DocCirrus-Werbematerial: Über den Audit-log sehen Sie stets, wer wann was gemacht hat, wer sich wann wo angemeldet hat und wer wann was für wen freigegeben hat
Screenshot aus DocCirrus-Werbematerial: Über den Audit-log sehen Sie stets, wer wann was gemacht hat, wer sich wann wo angemeldet hat und wer wann was für wen freigegeben hat

\o/ der Dienst hat ein Auditlog

/o\ unsere Requests tauchen nicht darin auf

Diese Aufzeichnung hätte ein nützliches Werkzeug sein können, um nachzuvollziehen, ob die von uns gefundenen Sicherheitslücken bereits vorher entdeckt und ausgenutzt wurden.

Allerdings nützt das in diesem Fall vermutlich sowieso nichts – denn höchstwahrscheinlich können wir die Datensätze nicht nur auslesen, sondern auch verändern. Damit hätte ein*e Angreifer*in also auch ihre Spuren in diesem Audit-Log hinter sich wieder verwischen können.

Wie wir später herausgefunden haben, können wir über den Blindproxy auch beliebige andere Aktionen ausführen, die eigentlich nur die Administrator*innen ausführen können sollten.3

Woran das lag? Der Blindproxy scheint allen Anfragen beim Durchleiten noch volle Zugriffsrechte zu geben. So gibt es einen Endpunkt namens whoami (“wer bin ich?”). Ohne den Blindproxy sagt der Endpunkt uns, als welche*r Nutzer*in wir gerade angemeldet sind. Aber wenn wir unsere Anfrage durch den Blindproxy schicken, antwortet er so:

{
        "meta": {
                "errors": [],
                "warnings": [],
                "query": null,
                "itemsPerPage": null,
                "page": null,
                "replyCode": 200
        },
        "data": {
                "id": "su",
                "identityId": "000",
                "name": "",
                "ip": ""
        }
}

su ist der Superuser, also gewöhnlich der Account, der alles darf. Was wir damit auf den Praxisservern verändern können, probieren wir aber lieber nicht aus.

Bisher können wir schon persönlichste Dokumente von tausenden Personen abrufen – allerdings alle aus einer Praxis. Das ist zwar schlimm genug, aber DocCirrus wird ja in mehr als einer Praxis eingesetzt.

Also ist für uns der nächste Schritt zu schauen, ob wir auch andere Praxen erreichen können. Doch damit uns der Blindproxy mit einer Praxis sprechen lässt, müssen wir in dieser registriert sein. Dafür gibt es auch eine API-Methode, mit dem wir unseren Account in einer neuen Praxis registrieren können.


Dafür brauchen wir allerdings die interne Nummer der Praxis. Um an diese zu kommen, gibt es verschiedene Optionen.

Wenn euch die Details interessieren, könnt ihr sie hier Ausklappen

Wie wir an die Praxis-Nummern kommen

Option 1: Zahlen erraten

Bei dieser Praxis-Nummer handelt es sich um eine vierstellige Zahl, es gibt also nur 10.000 Optionen. Zu viel, um damit händisch etwas zu machen – aber kein Problem für einen Computer, der schnell alle Möglichkeiten durchprobieren kann:

[...Array(10_000).keys()].forEach(x => 
  Y.doccirrus.jsonrpc.api.patientreg.updatePatient({ data: { customerId: x } })
)

Allerdings gab es dann noch

Option 2: Wir haben noch eine Sicherheitslücke gefunden

Die Liste, welche Patient*innen in welchen Praxen registriert sind, liegt zentral auf dem Server des Gesundheitsportals vor: Dieser muss ja wissen, welche Praxen einer*m Patient*in angezeigt werden sollen. Doch auch die Liste war unzureichend geschützt. Mit nur zwei kurzen Befehlen können wir eine Liste aller Patient*innen abrufen:

Y = await (new Promise((resolve, reject) => YUI().use(['JsonRpc'], resolve)));
patientregs = await Y.doccirrus.jsonrpc.api.patientreg.read({"itemsPerPage": 100000})

In dieser Liste stehen dann auch teilweise die jeweligen Praxis-Nummern. Damit können wir uns wiederum mit einem (nun schon etwas längerem) Befehl in allen Praxen registrieren:

Y.doccirrus.jsonrpc.api.patientreg.read({ "itemsPerPage": 100000 }).then((data) => {
  const pracIds = data.data.map(x => x.customerIdPrac).filter((v, i, a) => a.indexOf(v) === i);
  pracIds.forEach(x => Y.doccirrus.jsonrpc.api.patientreg.updatePatient({ data: { customerId: x } }))
})

Doch egal wie wir es im Detail machen: Wir sind nun in allen Praxen registriert. Das heißt auch: Wir können in allen Praxen die Daten aller Patient*innen abrufen.

Das haben wir natürlich nicht getan – sondern uns für jede Praxis nur angeschaut, wie viele Patient*innen dort im System registriert sind.

ohhhhh fuuuuuuck, ich habe gerade mal die anzahl der patient*innen zusammengezählt

das sind mehr als 1.750.000

„Und jetzt? Richtig. Abschalten!“

Nachdem wir all diese Lücken gefunden haben, war es 6 Uhr morgens. Sobald wir ausgeschlafen hatten, haben wir die Details zu den Lücken wie immer schnell und sauber aufgeschrieben – diesmal mit noch etwas mehr Zeitdruck als sonst – und am selben Tag noch an den Hersteller, die Berliner Landesdatenschutzbeauftragte sowie das CERTBund beim BSI geschickt.

Was dann passierte, hatten wir bisher nicht erlebt: Das Unternehmen hat das System erstmal abgeschaltet. Bei der Schwere der Sicherheitslücken fanden wir das aber auch angebracht.

Und auch sonst hat sich der Hersteller erstmal gut verhalten: Er hat sich von sich aus bei uns gemeldet, die Lücken bestätigt und angekündigt, die Betroffenen darüber zu informieren, welche Daten abgeflossen sind und welche weiteren Maßnahmen getroffen werden sollen.

Anfang gut, Ende mangelhaft

Wir hatten den Eindruck, dass das Unternehmen wirklich betroffen ist und versucht, sowohl weiteren Schaden zu verhindern als auch den bereits entstandenen einzudämmen.

Nur leider passierte dann nicht mehr viel. Bis heute ist uns nicht bekannt, ob Patient*innen über die Sicherheitslücke und die abgeflossenen Daten informiert wurden. Die Patient*innen, die wir kennen, wurden es auf jeden Fall nicht. Eine der betroffenen Praxen schrieb online, dass das Portal “aufgrund eines Sicherheitsupdates zur Einführung des eRezeptes” nicht zur Verfügung stehe.

Auch scheint das Unternehmen die Lücken unter den Teppich kehren zu wollen. Auf der Website findet sich zu dem Thema bisher nur eine, etwas verstecke Pressemitteilung, aus der die Schwere der Lücken nicht klar hervorgeht.

Screenshot der Pressemitteilungs-Seite von DocCirrus. Die Pressemitteilungen zu neuen Features haben stets sprechende Titel, während die Meldung zu unserer Recherche nur mit ‘Pressemitteilung vom 11. Juli 2022’ betitelt ist
Screenshot der Pressemitteilungs-Seite von DocCirrus. Die Pressemitteilungen zu neuen Features haben stets sprechende Titel, während die Meldung zu unserer Recherche nur mit ‘Pressemitteilung vom 11. Juli 2022’ betitelt ist

Forderungen

Die Daten, von denen wir in diesem Artikel reden, sind mal wieder Gesundheitsdaten und damit sehr sensible Daten und zurecht in der DSGVO besonders geschützt4. Hierfür vermissen wir bei DocCirrus - aber auch bei anderen Herstellern von Gesundheitssoftware - das nötige Bewusstsein.

Die hier beschriebenen Fehlerquellen gehören zu den offensichtlichsten5. Fehler wie diese dürfen eigentlich nicht passieren und zeigen krasse Defizite in den Entwicklungs-Prozessen im Unternehmen auf. Da helfen auch ganz viele Zertifizierungen nicht – von denen das Unternehmen gleich eine ganze Reihe besitzt: ISO9001, ISO27001 und ganz viele verschiedene von der KBV. Doch bei keiner dieser Zertifizierungen wurde das Produkt tatsächlich kritisch überprüft.

Wir fordern daher:

  1. Das Unternehmen bzw. die Praxen müssen alle Patient*innen über diese Lücke, die gefährdeten Daten und die damit verbundenen Risiken informieren.
  2. Die Datenschutzbehörde muss gegen das Unternehmen vorgehen und empfindliche Strafen verhängen – nach der DSGVO sind hier bis zu 20 Millionen möglich.6
  3. Datenschutz und insbesondere IT-Sicherheit muss bei Softwareherstellern ganz oben auf die Prioritätenliste. Und so gilt mal wieder: Wenn ein Produkt marktreif genug ist, um persönliche Daten zu speichern muss es auch reif genug sein, diese für sich zu behalten.
  • 2022-06-26: Fund der Lücken
  • 2022-06-27: Report an Hersteller, Landesdatenschutzbeauftragte und CERTBund beim BSI
  • 2022-06-28: Abschaltung des Portals durch den Hersteller
  • 2022-07-25: Portal teilweise wieder online; Lücken laut Hersteller behoben
  • 2022-08-11: Veröffentlichung

Diese Recherche veröffentlichen wir exklusiv zusammen mit dem NDR und dem WDR, die nochmal einen genaueren Blick auf die Zertifikate geworfen haben. Deren Berichterstattung findet ihr hier:


An solch einem Artikel sitzen wir als Kollektiv deutlich länger als eine Woche, vom Finden der Lücken, über das Schreiben der Reports, den Umgang mit den betroffenen Unternehmen bis zur Veröffentlichung dieses Posts.

Falls er euch gefällt, könnt ihr uns gerne unterstützen.


  1. https://www.doc-cirrus.com/gesundheitsportal-anleitung-fuer-patienten ↩︎

  2. Dass die Daten ohne Verschlüsselung abrufbar waren, hat uns die Untersuchung einfacher gemacht, war aber nicht zwingend notwendig. Wären sie es nicht, hätten wir die Verschlüsselung erst selber nachbauen müssen, bevor wir weiter machen können. So eine Verschlüsselung ist kein ausreichender Schutz. ↩︎

  3. Es gibt zum Beispiel den interessant klingenden Endpoint cli.runCliCommand ↩︎

  4. https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679&from=DE#d1e2066-1-1 ↩︎

  5. https://owasp.org/Top10/ ↩︎

  6. Auf Nachfrage teilte uns der Pressesprecher der Berliner Beauftragten für Datenschutz und Informationsfreiheit mit, dass sie die Sicherheitslücken derzeit als “gravierend” einstufen, allerdings “vor Abschluss des Prüfvorgangs insbesondere zu möglichen Sanktionsmaßnahmen und Bewertungen keinen Kommentar abgeben können”. ↩︎