BECKMANN UND NORDA - Rechtsanwälte Bielefeld

VG Berlin
Beschluss vom 02.12.2025
1 L 3105/25

Das VG Berlin hat entschieden, dass keine Warnung im Sinne von § 7 Abs. 1 BSIG vorlieg, wenn das BSI eine sicherheitskritische Software in einer Veröffentlichung als "auffällig" und "nicht den üblichen Erwartungen entsprechend" bezeichnet.

Aus den Entscheidungsgründen:
Der nach § 123 Abs. 1 S. 1 Verwaltungsgerichtsordnung (VwGO) gestellte Hauptantrag der Antragstellerin,

dem Antragsgegner bei Vermeidung eines vom Gericht für jeden Fall der Zuwiderhandlung festzusetzenden Ordnungsgeldes (...), zu untersagen, die im Rahmen des Projekts „E.W.“ gewonnen Erkenntnisse über die von der Antragstellerin betriebenen Produkte unter den Bezeichnungen „G. U.“ und „A.“ zu veröffentlichen und/oder vor diesen Produkten zu warnen,

war bereits unzulässig, da es der Antragstellerin an dem erforderlichen Rechtsschutzbedürfnis fehlte.

Verwaltungsrechtsschutz ist grundsätzlich nachgängiger Rechtsschutz. Das folgt aus dem Grundsatz der Gewaltenteilung, der der Gerichtsbarkeit nur die Kontrolle der Verwaltungstätigkeit aufträgt, ihr aber grundsätzlich nicht gestattet, bereits im Vorhinein gebietend oder verbietend in den Bereich der Verwaltung einzugreifen. Die Verwaltungsgerichtsordnung stellt darum ein System nachgängigen - ggf. einstweiligen - Rechtsschutzes bereit und geht davon aus, dass dieses zur Gewährung effektiven Rechtsschutzes (Art. 19 Abs. 4 GG) grundsätzlich ausreicht.

BVerwG, Urteil vom 23. Juni 2016 – 2 C 18/15 –, Rn. 19; OVG Niedersachsen, Beschluss vom 9. April 2014 – 13 LA 17/13 – ,Rn. 9; Bayerischer VGH, Beschluss vom 4. Mai 2022 – 10 CE 22.557 –, Rn. 4, sämtlich juris.

Um den Grundsatz der Gewaltenteilung und das der Verwaltung zugewiesene Handlungsfeld nicht übermäßig und "anlasslos" zu beeinträchtigen, setzt die den Gerichten übertragene Kontrollfunktion gegen Maßnahmen der Behörden grundsätzlich erst nachgelagert ein. Die Inanspruchnahme gerichtlichen Rechtsschutzes erfordert daher regelmäßig den Erlass einer Maßnahme, der nachfolgend Gegenstand gerichtlicher Überprüfung ist. Vorbeugender Rechtsschutz gegen erwartete oder befürchtete Entscheidungen der Verwaltung ist daher grundsätzlich unzulässig,

vgl. BVerwG, Urteil vom 23. Juni 2016 – 2 C 18/15 –, juris Rn. 19 f.; Beschluss vom 29. April 2019 – 6 B 141/18 –, juris Rn. 14; OVG NRW, Beschlüsse vom 3. Mai 2023 – 8 B 394/23 – , juris Rn. 33 und vom 08. Juni 2017 – 4 B 307/17 –, juris Rn. 13.

Etwas Anderes gilt nur dann, wenn dem Betroffenen ein weiteres Zuwarten nicht zugemutet werden kann und ein schutzwürdiges Interesse an einer vorzeitigen gerichtlichen Klärung besteht. Danach ist – ebenso wie bei der in der Hauptsache statthaften allgemeinen Leistungsklage in Form der vorbeugenden Unterlassungsklage – ein qualifiziertes, gerade auf die Inanspruchnahme vorbeugenden Rechtsschutzes gerichtetes Rechtsschutzinteresse notwendig. Dieses Rechtsschutzinteresse ist grundsätzlich zu verneinen, solange der Antragsteller in zumutbarer Weise auf den von der VwGO im Regelfall als angemessen und ausreichend angesehenen nachträglichen (vorläufigen) Rechtsschutz verwiesen werden kann,

vgl. die stRspr. BVerwG, Urteile vom 25. September 2008 – 3 C 35/07 –Rn. 26 m.w.N.; vom 7. Mai 1987 – 3 C 53/85 –, Rn. 25; vom 8. September 1972 – IV C 17.71 –, Rn. 29 m.w.N.; und vom 12. Januar 1967 – III C 58.65 –, Rn. 18; Beschluss vom 13. April 1976 – IV B 12.76 –,Rn. 3, sämtlich juris; Schoch, in: Schoch/Schneider, Verwaltungsrecht – VwGO, 47. EL (Februar 2025), § 123 Rn. 45 f. m.w.N.

Als unzumutbar ist der Verweis auf den nachträglichen vorläufigen Rechtsschutz nur dann anzusehen, wenn beim Zuwarten auf die behördliche Maßnahme die Gefahr besteht, dass irreversible Fakten geschaffen werden und dadurch nicht wiedergutzumachende Nachteile entstehen (können).

BVerfG, Kammerbeschluss vom 24. Oktober 1990 – 1 BvR 1028/90 –, juris Rn. 27 (in Bezug auf § 44a VwGO); VG Ansbach, Beschluss vom 31. Januar 2020 – AN 10 E 20.00157 –, juris Rn. 15; Schoch, in: Schoch/Schneider, Verwaltungsrecht – VwGO, 47. EL (Februar 2025), § 123 Rn. 46.

Die Antragstellerin hat nicht glaubhaft gemacht, dass ihr wegen der Veröffentlichung der von der Antragsgegnerin gewonnenen Erkenntnisse über die von der Antragstellerin betriebenen Produkte irreversible Fakten geschaffen werden oder nicht wiedergutzumachende Nachteile entstehen und ihr daher nicht zugemutet werden kann, die Veröffentlichung des Berichts abzuwarten.

Nicht ersichtlich ist insoweit, dass es sich bei der beabsichtigten Veröffentlichung um eine Warnung i.S.d. § 7 Abs. 1 BSIG handelte, von der bei ihrer Veröffentlichung wegen der damit verbundenen Prangerwirkung irreversible Nachteile ausgegangen wären. Die Antragsgegnerin betitelte das dem Produkt der Antragstellerin zugrundeliegende [„Wort wurde entfernt“] Konzept in ihrem Abschlussbericht zwar als „auffällig“ und resümierte, dass das Produkt insgesamt nicht die üblichen Erwartungen an sicherheitskritische Software [„Wort wurde entfernt“] erfülle [„Textzeile wurde entfernt“].

Mit dieser Produktbewertung wird in erster Linie ein Diskussionsbeitrag erbracht. Diese Einschätzung war zwar dem Grunde nach geeignet, die Nutzungsentscheidung der Verbraucherinnen und Verbraucher in diesem besonders sensiblen Bereich der Datensicherheit zu beeinflussen. Sie enthielt aber keinerlei ausdrückliche Empfehlung, das Produkt der Antragstellerin nicht zu nutzen bzw. durch andere Produkte zu ersetzen. Die mit der Veröffentlichung potenziell verbundene Veränderung der Marktbedingungen stellt damit vielmehr einen Reflex einer abstrakten Verbraucherinformation dar; denn ein gezieltes Mittel, das Marktverhalten der Adressaten zu beeinflussen. Hinzu tritt, dass der Bericht nicht isoliert auf der Webseite der Beklagten prangern, sondern Teil eines Abschlussberichtes zum Projekt „E.W.“ sein sollte, der wiederum nicht auf der Startseite der Antragsgegnerin, sondern über mehrere Reiter als ein Bericht unter mehreren abrufbar sein sollte. Die mit der Veröffentlichung verbundene Prangerwirkung, die öffentlichen Informationen im Internet grundsätzlich zukommt, war damit insgesamt als gering anzusehen.

Vor allem aber hat die Antragstellerin nicht schlüssig dargelegt, dass etwaige, durch den Abschlussbericht entstandene Nachteile der Antragstellerin irreparabel gewesen wären. Soweit die Antragstellerin vorträgt, der Bericht wäre unmittelbar nach seiner Veröffentlichung richtigzustellen, was der Zielsetzung des Projekts der Antragsgegnerin sowie ihrem gesetzlichen Auftrag nach § 3 Abs. 1 Nr. 14a BSIG zuwiderlaufen würde, da die adressierten Verbraucher verunsichert würden, statt für den Einsatz von [„Wort wurde ersetzt durch: Produkten wie denen der Antragstellerin“] interessiert zu werden, vermag sie damit nicht durchzudringen. Anders etwa, als in Fällen lebensmittelrechtlicher Verstöße, in denen der durch einen einmal erschienenen Bericht nach § 40 Abs. 1a LFGB entstandene Eindruck wegen der damit bei der Bevölkerung hervorgerufenen gesundheitlichen Bedenken und des Ekelgefühls kaum wieder rückgängig zu machen ist, kann eine neue sicherheitstechnische Bewertung eine alte wieder revidieren. Verlorenes Vertrauen in das Produkt der Antragstellerin wäre insofern durch eine Gegendarstellung der Antragsgegnerin, etwa mittels Presseerklärung oder Veröffentlichung auf der Startseite ihrer Homepage wiederherzustellen. Auch wäre eine Richtigstellung in einer weiteren Podcastfolge denkbar gewesen, die schließlich dazu geführt hätte, dass einer positiven Gegendarstellung deutlich mehr Sichtbarkeit zugekommen wäre, als der ursprünglichen Veröffentlichung des Abschlussberichts.

Auch die von der Antragstellerin gestellten Hilfsanträge,

dem Antragsgegner aufzugeben, die Zusammenfassung der Erkenntnisse über die Produkte der Antragstellerin unter den Bezeichnungen „G. U.“ und „A.“ in der am 00.00.2025 vom Antragsgegner abgeänderten Fassung vom 00.00.2025 vor Veröffentlichung dahin gehend anzupassen, dass

a) konkret die Verbesserungen und Umsetzung der Empfehlungen des Ergebnisberichtes des FZI Forschungszentrum Informatik vom 00.00.2025, insbesondere die transparente Dokumentation, aufgenommen werden;

b) zur Produktbewertung im Abschlussbericht zu Ziffer 000 Tabelle 00 / Ziffer 000. Tabelle 00 zu „Einschätzung und Empfehlungen für Verbraucherinnen und Verbraucher“ festgestellt wird: [„Zitat wurde entfernt“].

b. zu „Herstellerkommunikation“ festgestellt wird: “C. erteilte die angeforderten Auskünfte.“

waren mangels besonderen Rechtsschutzbedürfnisses, welches vorliegend aufgrund des begehrten, ebenfalls vorbeugenden Rechtsschutzes, zwingend glaubhaft zu machen war, ebenfalls unzulässig.

Den Volltext der Entscheidung finden Sie hier:

OVG Münster
Beschluss vom 28.04.2022
4 B 473/22

Das OVG Münster hat entschieden, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor dem Einsatz von Virenschutzsoftware und Sicherheitssoftware des russischen Herstellers Kaspersky warnen durfte.

Die Pressemitteilung des Gerichts:

BSI durfte vor Virenschutzsoftware von Kaspersky warnen

Die Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vor der Nutzung von Virenschutzsoftware des Unternehmens Kaspersky ist rechtmäßig. Das hat das Oberverwaltungsgericht heute entschieden und damit die Beschwerde der deutschen Tochtergesellschaft von Kaspersky gegen den Eilbeschluss des Verwaltungsgerichts Köln vom 1.4.2022 abgelehnt.

Das BSI gab am 15.3.2022 eine Warnung vor der Virenschutzsoftware des Herstellers Kaspersky heraus. Virenschutzsoftware sei ein exponiertes Ziel von offensiven Operationen im Cyberraum. Das Vorgehen militärischer und/oder nachrichtendienstlicher Kräfte in Russland sowie die im Zuge des aktuellen kriegerischen Konflikts jüngst von russischer Seite ausgesprochenen Drohungen gegen die EU, die NATO und die Bundesrepublik Deutschland seien mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs mit weitreichenden Konsequenzen verbunden. Durch Manipulationen an der Software oder den Zugriff auf bei Kaspersky gespeicherte Daten könnten Aufklärungs- oder Sabotageaktionen gegen Deutschland, einzelne Personen oder bestimmte Unternehmen oder Organisationen durchgeführt oder zumindest unterstützt werden. Alle Anwender der Virenschutzsoftware könnten je nach ihrer strategischen Bedeutung von einer schädigenden Operation betroffen sein. Empfohlen werde, die Virenschutzsoftware des Unternehmens Kaspersky durch alternative Produkte zu ersetzen, wobei zu einer individuellen Bewertung und Abwägung der aktuellen Situation geraten werde. Dagegen wandte sich das deutsche Tochterunternehmen, das die Virenschutzsoftware von Kaspersky vertreibt. Der Eilantrag blieb in beiden Instanzen ohne Erfolg.

Zur Begründung seines Beschlusses hat der 4. Senat des Oberverwaltungsgerichts ausgeführt: Die Warnung und Empfehlung ist nach § 7 Abs. 1 und 2 BSIG rechtmäßig. Die Vorschrift verlangt als Voraussetzung hinreichende Anhaltspunkte dafür, dass aufgrund einer Sicherheitslücke von einem Produkt Gefahren für die Sicherheit in der Informationstechnik ausgehen. Bei Virenschutzprogrammen bestehen schon aufgrund ihrer Funktionsweise Sicherheitslücken im Sinne des Gesetzes. In der Vergangenheit hat es zahlreiche Vorfälle bei allen Herstellern von Virenschutzprogrammen gegeben, in denen Fehlfunktionen IT-Systeme blockiert haben und Daten unbemerkt an den Hersteller übertragen worden sind. Nach den Erkenntnissen des BSI kann die systembedingte Berechtigung zum Zugriff auf die - eigentlich durch das Virenschutzprogramm zu schützende - IT-Infrastruktur für maliziöse Aktivitäten missbraucht werden. Es liegen nach den vom BSI zusammengetragenen Erkenntnissen auch hinreichende Anhaltspunkte dafür vor, dass durch die Nutzung der Virenschutzsoftware von Kaspersky derzeit eine Gefahr für die Sicherheit in der Informationstechnik besteht. Die Annahme des BSI, das Vorgehen militärischer und/oder nachrichtendienstlicher Kräfte in Russland sowie die in diesem Kontext ausgesprochenen Drohungen auch gegen die Bundesrepublik Deutschland seien mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs mit weitreichenden Konsequenzen gerade unter Verwendung der Virenschutzsoftware von Kaspersky verbunden, beruht auf hinreichenden Erkenntnissen zur aktuellen Cybersicherheitslage. Das BSI hat ferner die in der Vergangenheit dokumentierte Einflussnahme der russischen Regierung auf die in Russland agierenden IT-Unternehmen, insbesondere auch auf Kaspersky, berücksichtigt. Es hat daraus nachvollziehbar gefolgert, dass hinreichende Anhaltspunkte für die Gefahr bestehen, die russische Regierung werde auch im Rahmen des von ihr geführten Angriffskriegs auf die Ukraine russische Softwareunternehmen zur Durchführung eines Cyberangriffs nicht nur auf ukrainische, sondern auch auf andere westliche Ziele instrumentalisieren. Die Sicherheitsvorkehrungen, die Kaspersky getroffen hat, genügen in der aktuellen Situation nicht, um den Bedrohungen hinreichend entgegenzuwirken.

Das BSI hat die Entscheidung, die Warnung herauszugeben, ermessensfehlerfrei getroffen und dabei insbesondere den Grundsatz der Verhältnismäßigkeit gewahrt. Die Warnung ist nicht aufgrund sachfremder Erwägungen oder gar willkürlich herausgegeben worden. Insbesondere war sie nicht politisch motiviert und stellt keine reine Symbolpolitik dar. Angesichts der aufgezeigten Bedrohungslage dient sie allein dazu, das Risiko von Angriffsmöglichkeiten auf die Sicherheit in der Informationstechnik zu reduzieren. Hierzu war sie geeignet und erforderlich. Mit der Warnung erhöht das BSI signifikant das Bewusstsein für potentiell mögliche Gefahren, die sich aus dem Einsatz der Virenschutzprogramme von Kaspersky aktuell ergeben und empfiehlt nach individueller Risikobewertung einen Ersatz durch alternative Produkte. Zugleich hat es die Warnung unter Beachtung des Zurückhaltungsgebots formuliert und auf das Erforderliche beschränkt.

Der Beschluss ist unanfechtbar.

Aktenzeichen: 4 B 473/22 (I. Instanz: VG Köln 1 L 466/22)

VG Köln
Beschluss vom 01.04.2022
1 L 466/22

Das VG Köln hat im Rahmen eines Eilverfahrens entschieden, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor dem Einsatz von Virenschutzsoftware und Sicherheitssoftware des Herstellers Kaspersky warnen darf.

Die Pressemitteilung des Gerichts:

Verwaltungsgericht Köln: Bundesamt für Sicherheit in der Informationstechnik darf vor Virenschutzsoftware von Kaspersky warnen

Das Bundesamt für Sicherheit in der Informationstechnik darf vor Virenschutzsoftware der Firma Kaspersky warnen. Dies hat das Verwaltungsgericht Köln heute entschieden und damit den Eilantrag eines in Deutschland ansässigen Unternehmens aus der Kaspersky-Gruppe abgelehnt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte am 15. März 2022 eine Warnung veröffentlicht, wonach die Zuverlässigkeit des russischen Herstellers Kaspersky durch die aktuellen kriegerischen Aktivitäten Russlands in Frage gestellt sei, und empfohlen, Virenschutzsoftware von Kaspersky durch alternative Produkte zu ersetzen. Die Kaspersky Labs GmbH, die Virenschutzprodukte des russischen Herstellers vertreibt, beantragte daraufhin am 21. März 2022 den Erlass einer einstweiligen Anordnung auf Unterlassung und Widerruf dieser Warnung. Zur Begründung führte sie aus, dass es sich um eine rein politische Entscheidung ohne Bezug zur technischen Qualität der Virenschutzsoftware handle. Eine Sicherheitslücke im Sinne einer bekannt gewordenen technischen Schwachstelle liege nicht vor. Anhaltspunkte für eine Einflussnahme staatlicher Stellen in Russland auf Kaspersky bestünden ebenfalls nicht. Zudem seien verschiedene Maßnahmen zur Erhöhung der Datensicherheit und -transparenz ergriffen worden.

Dem ist das Gericht nicht gefolgt. Der Gesetzgeber habe den Begriff der Sicherheitslücke, die das BSI zu einer Warnung berechtige, weit formuliert. Virenschutzsoftware erfülle aufgrund der weitreichenden Berechtigungen zu Eingriffen in das jeweilige Computersystem grundsätzlich alle Voraussetzungen für eine solche Sicherheitslücke. Dass ihr Einsatz dennoch empfohlen werde, beruhe allein auf dem hohen Maß an Vertrauen in die Zuverlässigkeit des Herstellers. Daher liege jedenfalls dann eine Sicherheitslücke vor, wenn das erforderliche hohe Maß an Vertrauen in den Hersteller nicht (mehr) gewährleistet sei.

Dies sei bei Kaspersky derzeit der Fall. Das Unternehmen habe seinen Hauptsitz in Moskau und beschäftige dort zahlreiche Mitarbeiter. Angesichts des russischen Angriffskriegs auf die Ukraine, der auch als "Cyberkrieg" geführt werde, sei nicht hinreichend sicher auszuschließen, dass russische Entwickler aus eigenem Antrieb oder unter dem Druck anderer russischer Akteure die technischen Möglichkeiten der Virenschutzsoftware für Cyberangriffe auch auf deutsche Ziele ausnutzen. Ebenso wenig könne davon ausgegangen werden, dass sich staatliche Akteure in Russland in rechtstaatlicher Weise an Gesetze halten werden, nach denen Kaspersky nicht zur Weitergabe von Informationen verpflichtet sei. Außerdem habe die massive Beschränkung der Pressefreiheit in Russland im Zuge des Kriegs mit der Ukraine gezeigt, dass entsprechende Rechtsgrundlagen schnell geschaffen werden können. Die von Kaspersky angeführten Sicherheitsmaßnahmen böten keinen ausreichenden Schutz gegen eine staatliche Einflussnahme. Es könne nicht ausgeschlossen werden, dass in Russland ansässige Programmierer auf die in Rechenzentren in der Schweiz gespeicherten Daten europäischer Nutzer zugreifen können. Eine permanente Überwachung des Quellcodes und von Updates erscheine demgegenüber wegen der Datenmengen, der Komplexität der Programmcodes und der notwendigen Häufigkeit von Updates praktisch unmöglich.

Gegen den Beschluss können die Beteiligten Beschwerde einlegen, über die das Oberverwaltungsgericht in Münster entscheiden würde.

Az.: 1 L 466/22