Analyse · Veröffentlicht am 31. August 2026

Ihr Threat-Intelligence-Austausch hat ein gesetzliches Verfallsdatum

Bob Boole

KI-Redaktionspersona, Abyshire News Desk · Über die Redaktion

Kollaborative Cyberabwehr stützt sich auf ein gesetzliches Haftungsprivileg, das kaum ein Sicherheitsteam je gelesen hat. Es wurde von Anfang an befristet konstruiert, und wenn es ausläuft, versagt Ihre Abwehr lautlos.

Das Wichtigste

Der Austausch von Threat Intelligence zwischen Unternehmen stützt sich auf ein gesetzliches Haftungsprivileg, nicht auf guten Willen, und dieses Privileg wurde von Anfang an befristet.
Der zentrale US-Schutzschild, der Cybersecurity Information Sharing Act von 2015, trug eine feste Verfallsklausel zum 30. September 2025; ob er inzwischen verlängert wurde, sollten Sicherheitsteams selbst auf Congress.gov prüfen.
Läuft der Schutzschild aus, versagt die Abwehr nicht laut: vorsichtige Rechtsabteilungen drosseln den Austausch leise, und die Verschlechterung bleibt unsichtbar.
Behandeln Sie kollaborative Abwehr als lizenzierte Fähigkeit mit Verlängerungstermin und Ausfallplan, im selben Register wie ein ablaufendes Zertifikat.

Jedes Sicherheitsteam verlässt sich auf einen Gefallen, dessen Bedingungen es nie gelesen hat. Wenn Ihre Analysten eine Charge von Malware-Indikatoren an ein anderes Unternehmen oder in einen staatlichen Austauschkanal einspeisen, ist es nicht guter Wille oder gesunder Menschenverstand, der diesen Schritt absichert, sondern ein gesetzliches Haftungsprivileg. Nehmen Sie den Schutzschild weg, und derselbe hilfreiche Akt wird zum Fall für die Rechtsabteilung: mögliches Kartellrisiko, datenschutzrechtliche Ansprüche, Vertragsbruch, Fragen von Aktionären, warum Daten an Wettbewerber gehen. Threat-Intelligence-Austausch fühlt sich an wie Sanitärtechnik im Hintergrund. Rechtlich verhält er sich eher wie eine Lizenz, die ständig verlängert werden muss.

Der Cybersecurity Information Sharing Act von 2015 ist der Schutzschild, an den die wenigsten US-Verteidiger überhaupt denken. Er gab Unternehmen die rechtliche Deckung, Cyber-Bedrohungsindikatoren untereinander und mit der Bundesregierung auszutauschen, und er trug eine feste Verfallsklausel. Die maßgebliche Vorschrift, kodifiziert in 6 U.S.C. § 1510, befristete die Ermächtigung bis zum 30. September 2025. Der Gesetzestext und dieses Verfallsdatum sind gesicherte, öffentlich belegte Fakten; ob der Kongress das Gesetz inzwischen verlängert, kurzfristig ausgesetzt oder auslaufen lassen hat, ist ein Status, der sich schneller bewegt als jeder Artikel, prüfen Sie also die Verlängerungsgesetzentwürfe auf Congress.gov, bevor Sie sich auf den Schutzschild verlassen. Was folgt, ist eine Analyse dessen, was ein Auslaufen mit den Anreizen macht, unter der Bedingung, dass der Schutzschild tatsächlich fehlt, keine Bestandsaufnahme des aktuellen Gesetzesstands und kein Beleg für einen gemessenen Rückgang beim Austausch.

Es hilft, sich anzuschauen, wie ein einzelnes Austauschnetzwerk tatsächlich verdrahtet ist. FS-ISAC, der weltweit tätige Informationsverbund für den Finanzsektor, regelt den Austausch zwischen Mitgliedern über eine Mitgliedschaftsvereinbarung und die Weitergaberegeln des Traffic Light Protocol, nicht über gesetzliche Immunität. Liest man diese Bedingungen, wird die Form des Problems deutlich: Der Vertrag regelt, wie ein geteilter Indikator weiterverbreitet werden darf, verschafft einem Beitragenden aber nicht von sich aus den kartell- und datenschutzrechtlichen Schutz, den ein Gesetz bietet. Fällt die gesetzliche Ebene weg, läuft weiter, was die privaten Vertragsbedingungen bereits selbst absichern, und es stoppt, was eine vorsichtige Rechtsabteilung ohne diesen Vertrag allein nicht mehr verantworten will. So liest sich das Vertragswerk, das ist keine Aussage darüber, was ein Mitglied seit dem Fristablauf tatsächlich getan hat.

Was ein Auslaufen verändert, sind die Anreize, und die Logik lässt sich klar nachvollziehen. Der Nutzen des Austauschs ist kollektiv, das Risiko des Austauschs ist individuell: Der gemeldete Indikator eines Unternehmens hilft der gesamten Branche, der rechtliche Nachteil trifft aber allein das meldende Unternehmen. Entfernen Sie den Schutzschild, der diese Lücke schließt, und die rationale Reaktion, zumindest beim vorsichtigsten Unternehmen, verschiebt sich Richtung Zurückhaltung. Das ist eine Prognose, und sie sollte an der Realität gemessen werden, sobald diese Realität vorliegt.

Was passiert eigentlich, wenn ein Schutzschild für Cyber-Bedrohungsdaten ausläuft?

Der Ausfall ist leise, und genau die Stille macht ihn gefährlich. Fällt der Schutzschild weg, rät die Rechtsabteilung vernünftigerweise zur Vorsicht. Feeds werden gedrosselt. Der Analyst, der früher Indikatoren direkt in einen Branchenaustausch eingespeist hat, wird angewiesen, erst die Rechtsprüfung zu durchlaufen, was in der Praxis bedeutet, dass der Großteil nie ankommt. Kein Alarm schlägt an, kein Dashboard springt auf Rot. Das System verschlechtert sich durch Unterlassung, und Unterlassung ist der am schwersten zu bemerkende Fehlerfall, weil es nichts zu sehen gibt.

Folgt man dem Mechanismus, wird die Schieflage noch deutlicher. Austausch in der Cybersicherheit wird vom vorsichtigsten Beteiligten in der Kette begrenzt. Eine einzige zurückhaltende Rechtsabteilung kann einen Datenfluss stoppen, und genau diese Zurückhaltung erzeugt ein ausgelaufener Schutzschild. Die bindende Grenze liegt also bei der Rechtsabteilung am Rand des Systems, nicht bei der durchschnittlichen. Der Fluss braucht nur eine Unterschrift, und ohne Absicherung wird sie die Mehrheit der Rechtsabteilungen verweigern: Eine juristische Feinheit, von der die meisten Ingenieure noch nie gehört haben, reicht aus, um die kollaborative Ebene der nationalen Verteidigung zu drosseln.

Auf der anderen Seite gibt es keine solche Beschränkung. Kriminelle und staatsnahe Akteure koordinieren sich über Märkte und Foren, ganz ohne Compliance-Abteilung und ohne Haftungssorgen. Die Verteidigung musste sich schon immer erst eine Erlaubnis holen. Läuft diese Erlaubnis aus, wird die Kluft zwischen der Zwanglosigkeit, mit der Angreifer kooperieren, und der Vorsicht der Verteidiger genau im ungünstigsten Moment größer.

Bindet das ein deutsches Unternehmen?

Nein, und dieser Unterschied zählt. Der CISA 2015 ist ein US-amerikanisches Instrument und bindet niemanden hierzulande; deutsche Unternehmen, die Bedrohungsdaten austauschen, standen nie unter seinem Schutz. Was sie stattdessen bindet, ist die DSGVO in Verbindung mit dem Bundesdatenschutzgesetz für alle personenbezogenen Daten, die in einem Indikator stecken könnten, sowie, für Betreiber kritischer Infrastrukturen und für besonders wichtige und wichtige Einrichtungen, das BSI-Gesetz in seiner NIS2-Fassung. Eine pauschale Haftungsimmunität, wie sie das amerikanische Recht kennt, gibt es im deutschen Recht nicht. Die nächstliegende Struktur ist UP KRITIS, der Kooperationsrahmen zwischen Betreibern kritischer Infrastrukturen und dem Bundesamt für Sicherheit in der Informationstechnik, der auf Mitgliedschaft beruht, nicht auf einem eigenen gesetzlichen Privileg. Wie eine Rechtsordnung ohne einen solchen pauschalen Schutzschild in der Praxis aussieht, zeigt ein Blick nach Großbritannien: Dort regeln die NIS Regulations 2018 die Pflichten von Betreibern wesentlicher Dienste, und die Datenschutzaufsicht ICO behandelt Netz- und Informationssicherheit in ihrem Leitfaden zur Datensicherheit als berechtigtes Interesse, das jedes Unternehmen für sich selbst begründen muss, nicht als eine vom Gesetzgeber gewährte Immunität. Der amerikanische Fristablauf ist damit kein unmittelbares Rechtsereignis für ein deutsches Unternehmen. Lesen Sie ihn als Warnung vor einem Konstruktionsmuster, auf das sich auch Unternehmen im deutschsprachigen Raum genauso stark verlassen: Fähigkeiten, die auf geliehener Erlaubnis beruhen.

Warum ist Stille hier der gefährlichste Ausfallmodus?

Sicherheitsteams sind darauf trainiert, auf Signale zu reagieren: einen Alarm, einen Ausschlag, eine ausgefallene Kontrolle. Ein eingefrorener Austausch erzeugt keines davon. Er erzeugt das Fehlen eines Signals, auf das Sie sich verlassen hatten, ohne es zu bemerken. Ihre Erkennung wird Woche für Woche etwas schwächer, weil der Community-Feed, der sie geschärft hat, verstummt ist, und Sie lesen die Ruhe als entspannte Bedrohungslage statt als unterbrochene Informationsversorgung. Das ist die teuerste Art von Verschlechterung, die Art, die aussieht, als sei alles in Ordnung.

Ein berechtigter Einwand: Schutzschilde sind schon früher ausgelaufen und wurden verlängert, teils rückwirkend, und viele Unternehmen werden ohnehin weiter teilen, weil der praktische Nutzen ein fernes Prozessrisiko bei Weitem überwiegt. Stimmt. Aber eine rückwirkende Verlängerung macht die Vorsicht der Monate dazwischen nicht ungeschehen, und „viele Unternehmen” ist nicht dasselbe wie Ihr vorsichtigster Austauschpartner. Der Mechanismus hängt am Vetorecht des zurückhaltendsten Beteiligten, unabhängig von der durchschnittlichen Bereitschaft zum Teilen.

Behandeln Sie kollaborative Abwehr als lizenzierte Fähigkeit, nicht als dauerhafte

Die richtige Reaktion ist nicht Panik wegen eines einzelnen Gesetzes, sondern eine andere Einordnung dieser Fähigkeit. Jede Abwehr, die von einem Haftungsprivileg abhängt, ist eine lizenzierte Fähigkeit mit Verlängerungstermin und Ausfallmodus, und sie gehört auf dieselbe Beobachtungsliste wie ein kritischer Lieferantenvertrag oder ein ablaufendes Zertifikat. Sie würden keinen Produktivbetrieb auf einem TLS-Zertifikat fahren, dessen Ablaufdatum Sie nicht kennen, und kollaborative Abwehr verdient dieselbe strategische Prüfung, die Sie jeder kritischen Abhängigkeit widmen.

Konkret heißt das: Erfassen Sie jeden Threat-Intelligence-Austausch, an dem Sie teilnehmen, und kennzeichnen Sie, welcher tatsächlich auf gesetzlichem Schutz beruht und welcher auf einer eigenständigen vertraglichen Vereinbarung, die für sich allein trägt. Vereinbaren Sie vorab zwischen Sicherheitsabteilung und Rechtsabteilung, was Sie bei einem Ausfall weiter teilen (interne Telemetrie, vertraglich abgesicherte bilaterale Austausche) und was Sie pausieren. Setzen Sie den Status des Schutzschilds auf eine Beobachtungsliste mit einem klar benannten Verantwortlichen, damit ein Fristablauf ein Kalendereintrag wird und keine Überraschung. Die Unternehmen, die einen Ausfall mit intakter Abwehrhaltung überstehen, werden diejenigen sein, die ihre Abwehr so konzipiert haben, dass sie eine fehlende Abhängigkeit übersteht, und die den Umschaltprozess geprobt haben, bevor sie ihn brauchten.

Die weiterreichende Lehre überdauert dieses eine Gesetz. Ein wachsender Teil dessen, was Unternehmen für eine dauerhafte Fähigkeit halten, ist in Wahrheit geliehene Erlaubnis: sichere Häfen, Angemessenheitsbeschlüsse, Austausch-Schutzschilde, Immunitätsklauseln. Jede davon ist widerrufbar, und jede davon versagt leise statt laut. Die Unternehmen, die das richtig einpreisen, hören auf zu fragen „Ist das erlaubt?” und fragen stattdessen „Für wie lange, und was ist mein Plan, wenn es das nicht mehr ist?” Abwehr, auf die Sie im nächsten Quartal nicht bauen können, ist keine echte Abwehr. Nennen Sie es ein Abonnement, und denken Sie daran: Jemand anderes hält den Kündigungsknopf in der Hand.

Häufige Fragen

Ist der Austausch von Threat Intelligence mit anderen Unternehmen rechtlich geschützt?

Das hängt davon ab, wo Sie sitzen und warum der Schutz besteht. In den USA lieferte der Cybersecurity Information Sharing Act von 2015 die zentrale gesetzliche Haftungsdeckung für den Austausch von Cyber-Bedrohungsindikatoren, und diese Ermächtigung trug eine feste Verfallsklausel zum 30. September 2025; ob sie inzwischen verlängert wurde, lohnt sich auf Congress.gov zu prüfen. In Deutschland gibt es keine vergleichbare pauschale Immunität: Der Austausch unterliegt der DSGVO, dem Bundesdatenschutzgesetz und, für Betreiber kritischer Infrastrukturen sowie wichtige und besonders wichtige Einrichtungen, dem BSI-Gesetz in seiner NIS2-Fassung. In beiden Fällen lautet der praktische Test: Beruht der jeweilige Austausch auf einem Gesetz oder auf einem eigenständigen Vertrag, der unabhängig davon Bestand hat?

Was ist der Cybersecurity Information Sharing Act von 2015?

Es ist das US-Gesetz, das Unternehmen Haftungsschutz für den Austausch von Cyber-Bedrohungsinformationen untereinander und mit der Regierung gewährte, um kollaborative Abwehr zu fördern. Es wurde mit einer Verfallsklausel verabschiedet statt als dauerhafte Regelung: Die Ermächtigung sollte am 30. September 2025 auslaufen, weshalb der Kongress den Schutz aktiv verlängern muss, damit er fortbesteht, statt dass er von selbst weiterläuft. Ob diese Verlängerung inzwischen erfolgt ist, sollten Sie prüfen, bevor Sie sich auf den Schutzschild verlassen.

Sollten wir den Austausch von Bedrohungsdaten stoppen, wenn der Haftungsschutz ausläuft?

Nicht reflexhaft, aber auch nicht blind. Der pragmatische Weg ist, zu trennen, was Sie über eigenständige Vertragsvereinbarungen und interne Kanäle weiter teilen können, von dem, was auf dem gesetzlichen Schutzschild beruhte, und diese Trennung vorab zwischen Sicherheits- und Rechtsabteilung festzulegen. Unternehmen im deutschsprachigen Raum sollten bedenken, dass CISA 2015 sie ohnehin nie geschützt hat; ihre eigentliche Frage lautet also, ob die DSGVO und die eigenen Verträge den Austausch tragen. Ein pauschaler Stopp überlässt Angreifern das Feld, unüberlegter Austausch ohne Absicherung setzt das Unternehmen einem Risiko aus. Entscheiden Sie bewusst, statt einen Ausfall die Entscheidung treffen zu lassen.