Am Campus der Universität des Saarlandes bleibt eine zentrale Frage vorerst offen: Michael Backes, früherer wissenschaftlicher Geschäftsführer und Gründungsdirektor des CISPA Helmholtz Zentrums für Informationssicherheit, wird nicht im Wissenschaftsausschuss des Saarländischen Landtags angehört. Die CDU-Landtagsfraktion hatte seine Befragung beantragt. Die SPD-Mehrheit lehnte den Antrag ab.

Der CDU-Abgeordnete Timo Gros warf der SPD mangelndes Interesse an Transparenz vor. Die Sozialdemokratin und Ausschussvorsitzende Sandra Quinten verwies dagegen auf eine Verschwiegenheitserklärung, die Backes unterschrieben habe. Außerdem habe er keine Freigabe der CISPA-Gesellschafter – Bund und Land – zum Sprechen erhalten. Quinten fragte, welche Fragen Backes unter diesen Umständen überhaupt beantworten könne. Der Blick solle nun auf die weitere positive Entwicklung des CISPA und auf Ruhe für die Mitarbeitenden gerichtet werden.

Bericht bleibt vertraulich

Backes hatte das CISPA etwas mehr als einen Monat zuvor verlassen. Seinem Weggang war eine Sonderprüfung zu Vorwürfen eines möglichen Daten- und Wissensabflusses vom CISPA nach China vorausgegangen. Der Prüfbericht ist als vertraulich eingestuft und nicht öffentlich einsehbar.

Unabhängige Sonderprüfer von KPMG hatten ihren mehrere hundert Seiten umfassenden Bericht zu möglichen Wissensabflüssen und Sicherheitsmängeln in Saarbrücken vorgelegt. Bund und Saarland hatten die Prüfung als CISPA-Gesellschafter beauftragt. Forschungsministerin Dorothee Bär (CSU) informierte darüber am 23. September 2026 den Bundestags-Forschungsausschuss.

Ein möglicher Abfluss sicherheitsrelevanter Forschungsergebnisse konnte wegen unzureichender Datenlage weder bestätigt noch ausgeschlossen werden. Die Zugangsmöglichkeiten zum internen Forschungsnetzwerk zeigten laut KPMG allerdings, dass ein solcher Abfluss jederzeit möglich gewesen sei. Die technischen und organisatorischen Maßnahmen hätten „in keiner Weise“ ausgereicht, um Geschäftsgeheimnisse angemessen vor unbefugter Weitergabe ins Ausland zu schützen. Demnach fehlte dem CISPA ein ausreichend widerstandsfähiges und risikogerechtes System der Forschungssicherheit.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Im Verlauf wurde der Prüfauftrag auf mögliche Verstöße bei Exportkontrolle, Geheimnisschutz, Organisationspflichten und Compliance ausgeweitet. Die Geschäftsführung sei ihren Leitungsaufgaben bei Exportkontrolle, Geheimnisschutz und Forschungssicherheit nicht ausreichend nachgekommen. Das CISPA habe mit risikobehafteten Personen und Institutionen aus China kooperiert und publiziert. Konkrete Rechtsverstöße wurden in den bislang bekannten Ergebnissen jedoch nicht genannt. Der zentrale Vorwurf eines tatsächlichen Abflusses sicherheitsrelevanten Wissens nach China ist damit nicht belegt, aber auch nicht ausgeschlossen.

Der Bericht soll nach einer ministeriellen Auswertung als Verschlusssache eingestuft werden. Abgeordnete könnten ihn dann nur in der Geheimschutzstelle des Bundestages einsehen. China hat die Vorwürfe im Zusammenhang mit dem CISPA inzwischen erstmals indirekt zurückgewiesen. Im Kern geht es um Bedenken zur Sicherheit wissenschaftlicher Kooperationen des Zentrums mit chinesischen Forschern und Einrichtungen.

Trennung nach zeitlichem Zusammenhang

Am 24. September teilte das Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR) mit, dass sich Michael Backes und das CISPA nach den Prüfungsergebnissen einvernehmlich trennen. Als Grund nannte das Ministerium unterschiedliche Vorstellungen über die künftige Gestaltung des international ausgerichteten Forschungszentrums. Die Gesellschafter dankten Backes für den Aufbau des CISPA zu einer international angesehenen Helmholtz-Forschungseinrichtung.

Einen ausdrücklichen kausalen Zusammenhang zwischen den Vorwürfen beziehungsweise dem Prüfbericht und der Trennung stellte die Erklärung nicht her. Sie verwies auf den zeitlichen Zusammenhang. Ob Backes sich öffentlich zu den Vorgängen äußern würde, blieb zunächst offen – und ist nun durch die fehlende Freigabe zusätzlich eingeschränkt. Zu persönlichen oder arbeitsrechtlichen Konsequenzen war zunächst nichts bekannt; Backes hatte sich zunächst nicht öffentlich geäußert.

Nach der Trennung wird das CISPA kommissarisch geleitet. Nach Informationen des Saarländischen Rundfunks übernehmen die leitenden Wissenschaftler Ben Stock und Jilles Vreeken bis zu einer dauerhaften Lösung die wissenschaftliche Leitung.

Vor seiner Tätigkeit am CISPA war Backes Professor an der Universität des Saarlandes. Nach Angaben der Universität hat er nach dem Ende seiner Tätigkeit am CISPA das Recht, an die Universität zurückzukehren. Ob und wann er davon Gebrauch macht, ist nicht bekannt.

Auch auf Ebene des Aufsichtsrats stehen Veränderungen an. Das BMFTR kündigte an, die Vertretung des Bundes im CISPA-Aufsichtsrat künftig wieder selbst wahrzunehmen. Aufsichtsratsvorsitzender ist Karl-Eugen Huthmacher, der im November 2025 gewählt wurde und zuvor unter anderem eine Forschungsabteilung im damaligen BMBF leitete. Offen blieb, welche Auswirkungen die angekündigte Neubesetzung der Bundesvertretung auf Huthmachers Vorsitz hat.

Forderungen nach klareren Regeln

Die Grünen-Forschungspolitikerin Ayşe Asar bezeichnete die Ergebnisse als alarmierend und forderte, die Sicherheitslücken konsequent zu schließen. Die Verantwortung dürfe nicht allein der CISPA-Leitung zugeschoben werden, kritisierte sie: Bund und Länder hätten für klare Regeln, Unterstützung und professionellere Forschungssicherheit sorgen müssen.

Die Nationale Plattform für Forschungssicherheit soll im Herbst starten, ist laut Asar aber noch nicht vollständig arbeitsfähig. CDU/CSU-Forschungspolitiker Florian Müller erklärte, der Einfluss ausländischer Mächte auf das deutsche Wissenschaftssystem habe zugenommen. Er forderte Handlungsbedarf in Wissenschaft und Staat sowie gemeinsame verbindliche Leitlinien für Kooperationen mit Drittstaaten, bevor die Wissenschaftspakte neu ausgehandelt werden.

Die Helmholtz-Gemeinschaft erklärte, sie nehme die Ergebnisse sehr ernst und habe ihre Aktivitäten zur Forschungssicherheit bereits vor Bekanntwerden der Vorwürfe verstärkt. Gleichzeitig stellte sie sich hinter das CISPA und seine Beschäftigten und verwies auf die Bedeutung der Cybersicherheitsforschung. Das Forschungsministerium betrachtet das CISPA weiterhin als exzellentes Institut mit wichtiger Rolle im deutschen Forschungssystem. Nach Einschätzung informierter Kreise könnte das Institut bei Umsetzung der Empfehlungen aus dem Bericht gestärkt aus der Situation hervorgehen.

Was Forschungsschutz praktisch bedeutet

Der Fall passt in eine größere Debatte, die längst nicht mehr nur Hochtechnologieunternehmen betrifft. Universitäten und Forschungseinrichtungen stehen ebenfalls unter wachsendem Schutzbedarf. Die Initiative „Safeguarding Science“ des DLR Projektträgers bietet dafür Maßnahmen zum Wissenschafts- und Kooperationsschutz für Forschung, Politik und Wirtschaft. Sensibles Wissen und Technologien sollen vor ungewolltem Zugriff und ausländischer Einflussnahme geschützt werden, ohne internationale Zusammenarbeit abzuwürgen.

Das ist die schwierige Balance: Internationale Kooperation gilt als wichtig für wissenschaftliche Exzellenz, zugleich werden die Sicherheitsanforderungen beim Wissens- und Technologietransfer strenger. Nationale Exportkontrollregeln und -verfahren können auch Lehre und Forschungsaustausch betreffen, nicht nur Produktlieferungen. Forschungseinrichtungen sollen deshalb Partner und Kooperationsthemen anhand institutionsspezifischer Kriterien prüfen. „Due Diligence in Science“ (DDS) heißt dieser Ansatz.

Gemeint ist eine umfassende Analyse einer geplanten Kooperation mit Personen oder Einrichtungen. Untersucht werden unter anderem Ziele, Strategien, ethische Aspekte und potenzielle Risiken. Partner sollen besser kennengelernt, Gefahren früh erkannt und sichere, vertrauensvolle Kooperationen ermöglicht werden. Aufwand, Chancen und Risiken müssen dabei für Personen und Institutionen in einem vernünftigen Verhältnis stehen. Die DDS-Analyse dient dem Risikomanagement in der Forschung.

Ganz ohne Reibung wird das nicht gehen. Hochschulen und Forschungseinrichtungen müssen zahlreiche gesetzliche und interne Compliance-Anforderungen mit begrenzten Ressourcen erfüllen. „Safeguarding Science“ bietet dafür Handreichungen, strukturiertes E-Learning und Methoden zur Bewertung internationaler Kooperationen.

Zum Angebot gehören die Online-Anwendung OPERATE zur systematischen Bewertung von Chancen und Risiken internationaler Forschungskooperationen, ein Due-Diligence-Handbuch mit den wichtigsten Informationen über neue Forschungspartner sowie ein E-Learning für Mitarbeitende und Studierende von Hochschulen und Forschungsorganisationen. Ein OSINT-Report analysiert öffentlich verfügbare Informationen, um Sicherheitslücken an akademischen Einrichtungen aufzudecken. Die Ergebnisse sollen auf vergleichbare Einrichtungen übertragbar sein und den Schutz von IT-Systemen verbessern.

Der DLR Projektträger unterstützt das Bundesministerium für Bildung und Forschung sowie die EU-Kommission beim Thema Forschungssicherheit. Gemeinsam mit der Hochschulrektorenkonferenz entwickelt er ein Konzept für ein Audit zum Wissenschafts- und Kooperationsschutz an Hochschulen. Außerdem berät er