DeepSeek-Produkte aus zivilen US-Bundesbehörden verbannt: FASCSA-Anordnung des US-Heimatschutzministeriums am 20. Oktober im Bundesregister veröffentlicht

WASHINGTON

Das US-Heimatschutzministerium (DHS) hat am 20. Oktober eine Anordnung im Federal Register (Bd. 91, Nr. 201, S. 66346–66350) veröffentlicht, die den Ausschluss von DeepSeek-Produkten aus dem Beschaffungswesen der zivilen Bundesbehörden und deren Entfernung aus IT-Systemen anordnet. Auf Grundlage des Federal Acquisition Supply Chain Security Act (FASCSA) verlangte das DHS von den zivilen Bundesbehörden, Produkte von DeepSeek und seinen verbundenen Unternehmen von der Beschaffung auszuschließen und derzeit genutzte Produkte aus ihren Systemen zu entfernen. Die Mitteilung trägt den Titel „Notice of Orders Concerning the Exclusion and Removal of DeepSeek Products From Federal Civilian Executive Branch Information Technology Systems and Procurement“, und die Anordnungsnummer lautet 2026-01. Heimatschutzminister Markwayne Mullin unterzeichnete die Anordnung, wobei das DHS den 24. Juli als Datum des ursprünglichen Erlasses im Text der Anordnung angibt.

Zivile Bundesbehörden müssen DeepSeek-Produkte von der Beschaffung ausschließen und aus Systemen entfernen

Die erste Maßnahme des DHS ist der Ausschluss. Alle zivilen Bundesbehörden müssen DeepSeek, mit DeepSeek verbundene Unternehmen und deren Produkte von Beschaffungen der zivilen Behörden ausschließen. Das DHS erklärte, dass diese Maßnahme unmittelbar mit dem Erlass der Anordnung in Kraft tritt. Funktionen, die die Beschaffung von IT-Hardware, -Software und -Dienstleistungen erleichtern – wie behördlich genehmigte Produktlisten, Ausrüstungslisten von Dienstanbietern und E-Commerce-Marktplätze –, fallen ebenfalls unter diesen Ausschluss.

Die zweite Maßnahme ist die Entfernung. Von DeepSeek und seinen verbundenen Unternehmen bereitgestellte Produkte sowie Produkte und Dienstleistungen Dritter, die unter Verwendung von DeepSeek-Implementierungen erstellt wurden, müssen aus den IT-Systemen der zivilen Bundesbehörden entfernt werden. Auch dies ist unmittelbar nach dem Erlass umzusetzen; Behörden, die dies nicht einhalten können, müssen eine Ausnahmegenehmigung beantragen. Hierbei bezeichnet IT die in 41 U.S.C. § 1321 definierte Informations- und Kommunikationstechnologie.

Der Umfang der verbundenen Unternehmen folgt der Definition in der Federal Acquisition Regulation (48 CFR 2.101). Eine Einheit gilt als verbundenes Unternehmen, wenn eine Partei die andere direkt oder indirekt kontrolliert oder die Macht hat, sie zu kontrollieren, oder wenn ein Dritter beide kontrolliert oder die Macht hat, beide zu kontrollieren. Der Kreis der Behörden, für die diese Anordnung gilt, ist ebenfalls festgelegt.

Anordnung gilt für zivile Bundesbehörden, ausgenommen Systeme der nationalen Sicherheit und Systeme für sensible abgetrennte Informationen

Das DHS beschränkte den Geltungsbereich der Anordnung auf zivile Bundesbehörden der Exekutive und schloss die nationalen Sicherheitssysteme sowie Systeme für sensible abgetrennte Informationen (Sensitive Compartmented Information Systems) dieser Behörden von ihrem Geltungsbereich aus. In einer Fußnote begründete das DHS dies mit bundesgesetzlichen Bestimmungen. Die Befugnis des Heimatschutzministers zum Erlass von Ausschluss- und Entfernungsanordnungen erstreckt sich nicht auf Bereiche, die in die Zuständigkeit des Verteidigungsministers oder des Direktors der nationalen Nachrichtendienste (DNI) fallen. Der Verteidigungsminister kann gleichartige Anordnungen für Systeme des Verteidigungsministeriums und Systeme der nationalen Sicherheit erlassen, bei denen es sich nicht um Systeme für sensible abgetrennte Informationen handelt, während der DNI dies für die Nachrichtendienstgemeinschaft und Systeme für sensible abgetrennte Informationen tun kann.

Die gesetzliche Grundlage ist der Federal Acquisition Supply Chain Security Act von 2018 (FASCSA). Das Gesetz ist in 41 U.S.C. §§ 1321–1328 kodifiziert, und die Durchführungsbestimmungen finden sich in Titel 41 des Code of Federal Regulations, Teil 201-1. Wenn das Federal Acquisition Security Council (FASC) nach diesem Gesetz empfiehlt, riskante Produkte oder Dienstleistungen aus der Bundesbeschaffung und aus IT-Systemen auszuschließen, können der Heimatschutzminister, der Verteidigungsminister und der DNI im Rahmen ihrer jeweiligen Zuständigkeiten Anordnungen erlassen. Die am 26. August 2021 im Federal Register veröffentlichte endgültige FASC-Regel trat am 27. September desselben Jahres in Kraft. Das DHS gab an, dass der Minister diese Anordnung nach Prüfung der FASC-Empfehlung und der einschlägigen Beweise erlassen habe. In der Risikozusammenfassung der Anordnung umriss das DHS die Bedenken hinsichtlich DeepSeek.

DHS nennt DeepSeeks Server in China und potenzielle Erfassung von Nutzerdaten als Risiken

In der Risikozusammenfassung beschrieb das DHS DeepSeek als ein in China ansässiges, in privater Hand befindliches ausländisches Unternehmen. Das Unternehmen stellt mehrere Anwendungen für künstliche Intelligenz in großem Umfang kostenlos zur Verfügung. Das DHS erklärte, dass sich die Server von DeepSeek in China befinden, und führte aus, dass das chinesische Rechtssystem den Cyber- und Nachrichtendienstfunktionen der Regierung weitreichende Befugnisse für den Zugriff auf die Infrastruktur privater Unternehmen einräumt.

Bei direkt von DeepSeek betriebenen Modellen werden laut DHS bei der Kontoerstellung personenbezogene Daten erfasst, wodurch Nutzer nachverfolgt oder digital mit Fingerabdrücken versehen werden können. Bei den am weitesten verbreiteten Anwendungen von DeepSeek werden Informationen in das Modell eingegeben und Antworten empfangen. Das DHS erklärte, dass sensible Daten nach China übertragen werden könnten, wenn Mitarbeiter der US-Regierung oder Auftragnehmer diese nutzen. Auf diese Weise übertragene Daten könnten, entweder für sich allein oder in Kombination mit öffentlich zugänglichen Informationen, verwertbare Erkenntnisse über US-Bürger oder Regierungsprogramme liefern.

In der Anordnung wurde zudem darauf hingewiesen, dass die Modelle selbst Schadcode oder andere Sicherheitslücken enthalten könnten. Das DHS erklärte, dass Open-Source-Sicherheitsuntersuchungen mehrere kritische Schwachstellen in DeepSeeks mobiler iOS-App festgestellt hätten. Als Belege in den Fußnoten führte das DHS unter anderem einen DHS-Datensicherheitshinweis vom 22. Dezember 2020, einen Bericht des Sonderausschusses des US-Repräsentantenhauses zum strategischen Wettbewerb zwischen den Vereinigten Staaten und der Kommunistischen Partei Chinas zu DeepSeek vom 16. April 2025 sowie eine Analyse des Sicherheitsunternehmens NowSecure vom 6. Februar 2025 an. Unabhängig von dieser Anordnung hatten US-Regierungsbehörden im September einen Sicherheitshinweis zu KI-Unternehmen mit Sitz in China herausgegeben.

NSA, CISA und FBI gaben am 8. September separaten Sicherheitshinweis heraus, der vor Destillationskampagnen durch KI-Firmen aus China warnt

Die National Security Agency (NSA), das Federal Bureau of Investigation (FBI) und die Cybersecurity and Infrastructure Security Agency (CISA) veröffentlichten am 8. September den Cybersicherheitshinweis AA26-251A mit dem Titel „Industrial-Scale AI Distillation Campaigns by China-Based AI Companies Targeting U.S. AI Companies“. Die drei Behörden nannten DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI namentlich. Sie gaben an, dass DeepSeek seit mindestens Ende 2024 systematische Destillationskampagnen gegen führende Spitzenmodelle US-amerikanischer KI-Unternehmen durchgeführt habe. Während die Destillation in der KI-Forschung als legitime und nützliche Methode anerkannt ist, stuften die drei Behörden diese Aktivitäten als aggressiv und bösartig ein.

In einer am selben Tag herausgegebenen Pressemitteilung erklärte die NSA, dass Fortschritte bei chinesischen KI-Modellen militärische und cyberoffensive Fähigkeiten stärken könnten, die sich gegen die Vereinigten Staaten und ihre Verbündeten richten könnten. CISA- und NSA-Konten kündigten die Veröffentlichung des Hinweises am selben Tag auf X an. Das DHS führte diesen Hinweis in seiner Mitteilung vom 20. Oktober nicht als Grundlage an. Weder das DHS noch die NSA äußerten sich dazu, welcher Zusammenhang zwischen beiden Maßnahmen besteht. Die Anordnung sieht ein Ausnahmegenehmigungsverfahren für Behörden vor, die bei der Umsetzung auf Schwierigkeiten stoßen.

Behörden können innerhalb von 60 Tagen nach Erlass schriftlich eine Ausnahme beantragen

Bundesbehörden der Exekutive können gemäß 41 CFR 201-1.304(b) beim zuständigen DHS-Beamten eine Ausnahmegenehmigung beantragen. Behörden können beantragen, dass die Anordnung nicht auf die jeweilige Behörde angewendet wird, nicht auf bestimmte Handlungen angewendet wird oder die Umsetzungsfrist verlängert wird. Anträge müssen innerhalb von 60 Tagen nach Erlass der Anordnung schriftlich eingereicht werden. Der Antrag muss fünf Punkte enthalten: die Angabe der maßgeblichen Anordnung, eine Erläuterung des Umfangs der beantragten Ausnahme, den Namen oder eine Beschreibung des von der Ausnahme betroffenen Produkts oder der Dienstleistung, zwingende Gründe für die Genehmigung der Ausnahme sowie alternative Entschärfungsmaßnahmen, die die Behörde zur Risikominderung ergreifen wird. Als Beispiele für zwingende Gründe nannte das DHS die Auswirkungen der Anordnung auf die Fähigkeit einer Behörde, ihre Kernaufgaben zu erfüllen, sowie Überlegungen des nationalen Interesses wie Prüfungen der nationalen Sicherheit, Ermittlungen der nationalen Sicherheit und Vereinbarungen zur nationalen Sicherheit.

Die CISA prüft Anträge und teilt die Genehmigung oder Ablehnung schriftlich mit. Anträge sind an FASCSA.Orders@cisa.dhs.gov zu richten. Dieselbe Adresse dient auch als Ansprechpartner für Unterstützungs- und Berichtsanfragen bezüglich der Umsetzung dieser Anordnung. Als Kontaktstelle in der Mitteilung des Federal Register wird das FASCSA Orders Implementation Team in der Cybersecurity Division der CISA angegeben.

Das DHS empfahl den Bundesbehörden, in der Zeit bis zur vollständigen Entfernung Maßnahmen gegen Systemrisiken zu ergreifen. Dies umfasst die Überwachung des ein- und ausgehenden Datenverkehrs, die Verstärkung von Protokollierung und Kontrollen auf den betreffenden Systemen zur Verhinderung von Datenabflüssen sowie das Erkennen und Kennzeichnen ungewöhnlicher Aktivitäten. Die CISA kann Behörden, die nicht über die internen Kapazitäten zur Umsetzung verfügen, technische Unterstützung leisten. Wie im FASCSA festgelegt, wird der Heimatschutzminister die Anordnung innerhalb eines Jahres und danach jährlich überprüfen. Derartige Anordnungen ergehen im Rahmen des durch das FASCSA festgelegten Verfahrens.

Nach einer FASC-Empfehlung können betroffene Unternehmen innerhalb von 30 Tagen Stellung nehmen und nach einer Anordnung innerhalb von 60 Tagen Klage erheben

Gemäß der endgültigen Regel des FASC muss der Rat die in einer Empfehlung genannten Unternehmen über diese benachrichtigen. Die Mitteilung enthält die Kriterien, auf die sich der Rat gestützt hat, sowie – soweit dies mit den Interessen der nationalen Sicherheit und der Strafverfolgung vereinbar ist – Informationen, die der Empfehlung zugrunde liegen. Unternehmen können innerhalb von 30 Tagen nach Erhalt der Mitteilung Gegenargumente und entlastende Informationen vorbringen. Das FASC kann die Empfehlung anhand der Antwort des Unternehmens anpassen oder zurückziehen. Andernfalls können die zuständigen Amtsträger des DHS, des Verteidigungsministeriums und des DNI der Empfehlung folgend Anordnungen erlassen. Das FASC selbst erlässt Anordnungen nicht direkt.

Unternehmen können auch nach Erlass einer Anordnung Rechtsmittel einlegen. Gemäß 41 U.S.C. § 1327 kann ein Unternehmen innerhalb von 60 Tagen nach Erhalt der Mitteilung über den Erlass der Anordnung eine gerichtliche Überprüfung beantragen. Die Festlegung des Inkrafttretens der Anordnung und die Benachrichtigung des Unternehmens obliegen dem anordnenden Amtsträger, nicht dem FASC. Das DHS machte keine Angaben dazu, wie DeepSeek auf diese Anordnung reagierte oder wann das Unternehmen die Mitteilung erhielt.

Das im Text der Anordnung vom DHS angegebene Datum ist der 24. Juli, während die Veröffentlichung im Federal Register am 20. Oktober erfolgte. Das DHS lieferte keine Erklärung für die zeitliche Differenz zwischen beiden Daten. James H. Percival II, General Counsel des DHS, unterzeichnete die Bekanntmachung, und das Aktenzeichen des DHS lautet DHS-2026-0628. Das DHS wies darauf hin, dass eine Kopie der unterzeichneten Anordnung unter dieser Nummer auf regulations.gov abgerufen werden kann. Russell Vought, Direktor des Haushaltsamtes des Weißen Hauses (Office of Management and Budget), wurde in der Anordnung nachrichtlich aufgeführt.

Quellen (KST)

• Federal Register 91 FR 66346–66350, 2026-10-20, Dokumentnummer 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Gemeinsamer Hinweis von NSA, CISA und FBI AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• NSA-Pressemitteilung · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374