In Deutschland sorgt der Fall CISPA für politische Bewegung. Nach umstrittenen Kooperationen des Saarbrücker Helmholtz-Zentrums mit Forschenden aus dem Umfeld chinesischer Verteidigungsuniversitäten diskutieren Union und SPD gesetzliche Pflichten für Hochschulen: Compliance-Systeme, eine Technologieliste und Fördermittel nur bei nachweisbarem Schutz sensiblen Wissens. Beschlossen ist dort noch nichts. Die Richtung ist aber klar.


In Österreich gibt es derzeit keine vergleichbaren Gesetzespläne. Die Frage, die der Fall aufwirft, stellt sich hier aber genauso: Wissen Universitäten, Fachhochschulen und Forschungseinrichtungen, mit wem sie forschen? Dieser Beitrag zeigt, welcher Rahmen in Österreich bereits besteht, wo die Lücke liegt und wie Einrichtungen Personensicherheit in der Forschung umsetzen können, ohne die Offenheit der Wissenschaft zu opfern.

Der österreichische Rahmen: Bewusstsein statt Gesetz

Österreich setzt bisher auf Sensibilisierung, Vernetzung und Selbstverantwortung der Einrichtungen. Das Leitprinzip folgt der EU-Linie: „so offen wie möglich, so geschlossen wie nötig“. Die wichtigsten Bausteine:

  1. Zentrale Kontaktstelle im Wissenschaftsministerium (BMFWF): Ansprechstelle für Hochschulen und Forschungseinrichtungen in Fragen der Forschungssicherheit.
  2. Netzwerk der Kontaktpunkte: Mehr als 70 Institutionen haben eine interne Ansprechperson benannt, die mit dem Ministerium im Austausch steht.
  3. Leistungsvereinbarungen 2025–2027: Das Ministerium hat die Stärkung der Forschungssicherheit als Thema in den Leistungsvereinbarungen mit den Universitäten verankert.
  4. ERA-Aktionsplan 2026–2028: Eine eigene Initiative soll Einrichtungen bei Risikobewertung und Risikomanagement unterstützen.
  5. Förderagenturen: Die FFG erwartet von Antragstellenden, Risiken im Projekt zu analysieren und angemessene Maßnahmen zu setzen. Sie empfiehlt unter anderem standardisierte Risikoprüfungen für Partnerschaften, Gastaufenthalte und Besuche.
  6. EU-Ebene: Grundlage ist die Empfehlung des Rates zur Stärkung der Forschungssicherheit vom Mai 2024.

Einzelne Universitäten sind schon weiter. Die Universität Wien etwa hat Anfang 2024 Empfehlungen für Kooperationen mit Einrichtungen in China und anderen autoritären Staaten erarbeitet. Der Verfassungsschutz hat zudem gewarnt, dass vielen Forschungseinrichtungen nicht bewusst ist, wie attraktiv sie für fremde Nachrichtendienste sind.

Die Lücke: Strukturen ja, Personenprüfung nein

Der österreichische Ansatz schafft Bewusstsein und Ansprechpersonen. Eine Frage bleibt aber meist unbeantwortet: Wie prüft eine Einrichtung konkret, ob eine Person oder ein Partner Verbindungen zu Militär, Nachrichtendiensten oder staatlichen Stellen hat?

Der Fall CISPA zeigt, wo das Problem liegt. Es ging nicht um fehlende Gremien, sondern um Menschen und ihre Netzwerke. Ob dort tatsächlich sicherheitsrelevantes Wissen abgeflossen ist, ist nicht belegt. Eine externe Sonderprüfung läuft, das CISPA weist die Vorwürfe weitgehend zurück. Deutlich wird aber, wie schwer solche Verbindungen ohne systematisches Verfahren zu erkennen sind.

Ein Lebenslauf zeigt nicht, welche Institution hinter einer Affiliation steht. Eine Publikationsliste verrät nicht, aus welchem Programm ein Forschungsaufenthalt finanziert wurde. Und eine Kooperationsvereinbarung sagt nichts darüber, wer am Ende auf Daten, Quellcode oder Laborergebnisse zugreift. Das gilt in Graz, Innsbruck oder Wien genauso wie in Saarbrücken.

Warum Personensicherheit in der Forschung anders funktioniert

Background Checks aus der Wirtschaft lassen sich nicht eins zu eins auf Hochschulen übertragen. Drei Besonderheiten machen die Aufgabe anspruchsvoller:

  1. Offenheit ist ein Grundwert. Ohne internationale Zusammenarbeit gibt es keine Spitzenforschung. Eine Prüfung darf nicht zum Generalverdacht gegen ausländische Forschende werden.
  2. Die Rollen sind vielfältig. Professuren, Doktorandinnen und Doktoranden, Gastforschende, Studienassistenzen, Industriepartner und Drittmittelgeber haben sehr unterschiedliche Zugänge. Entsprechend unterschiedlich muss die Prüftiefe sein.
  3. Der Rechtsrahmen ist eng. DSGVO und Datenschutzgesetz, Arbeitsrecht, die Mitwirkungsrechte des Betriebsrats und das Gleichbehandlungsgesetz setzen klare Grenzen. Staatsangehörigkeit oder Herkunft allein sind kein zulässiges Prüfkriterium.

Forschungssicherheit braucht deshalb keine pauschale Durchleuchtung, sondern einen risikobasierten Ansatz. Entscheidend ist nicht, woher jemand kommt. Entscheidend ist, auf welche Technologien, Daten und Infrastrukturen eine Person zugreift und welche nachweisbaren Verbindungen sie zu Akteuren hat, die genau an diesem Wissen interessiert sein könnten. Wir verstehen das als Human Risk Management für die Forschung.

Unser Lösungsvorschlag: Research Security Screening auf vier Ebenen

Aus unserer Arbeit im Pre-Employment-Screening und Human Risk Management im DACH-Raum schlagen wir einen Ansatz vor, der Person, Institution, Partner und Projekt zusammendenkt.

Ebene 1: Person

  1. Identitätsprüfung, auch beim Remote-Onboarding von Gastforschenden
  2. Verifizierung von Studienabschlüssen, Doktorat und akademischen Stationen
  3. Prüfung des Werdegangs auf Lücken und Unstimmigkeiten
  4. Abgleich mit Sanktions- und Watchlists sowie PEP-Prüfung
  5. Strafregisterbescheinigung, wo gesetzlich vorgesehen oder für die Rolle verhältnismäßig

Ebene 2: Institution und Affiliation

  1. Einordnung früherer und aktueller Arbeitgeber und Hochschulen
  2. Erkennen von Verbindungen zu Militär, Verteidigungsforschung, Nachrichtendiensten oder staatlichen Rekrutierungsprogrammen
  3. Prüfung der Finanzierungsquellen von Stipendien und Forschungsaufenthalten

Ebene 3: Partner

  1. Due Diligence für Kooperationspartner, Drittmittelgeber und beteiligte Unternehmen
  2. Adverse-Media- und OSINT-Recherche zu Eigentümerstrukturen und Verflechtungen
  3. Abgleich mit Sanktions- und Exportkontrolllisten, etwa nach der EU-Dual-Use-Verordnung

Ebene 4: Projekt

  1. Einstufung nach Sensibilität der Technologie, etwa entlang der Schlüsseltechnologien, die die EU als besonders schutzbedürftig einstuft
  2. Festlegung, welche Rolle im Projekt welche Prüftiefe braucht
  3. Regelmäßiges Re-Screening bei besonders sensiblen Funktionen und bei Rollenwechseln
  4. Am Ende steht keine Ja-Nein-Entscheidung über Menschen, sondern eine dokumentierte Risikoeinschätzung. Über die Konsequenzen entscheidet die Einrichtung selbst. Möglich sind etwa eingeschränkte Zugriffsrechte, zusätzliche Auflagen oder die Ablehnung einer Kooperation.

Umsetzung in sechs Schritten

Wer jetzt handelt, statt auf strengere Vorgaben zu warten, kann so vorgehen:

  1. Schutzbedarf bestimmen: Welche Forschungsbereiche, Labore und Daten sind sensibel?
  2. Rollenmatrix definieren: Für jede Rolle festlegen, welche Prüfmodule angemessen sind, von der einfachen Identitätsprüfung bis zum vollständigen Screening.
  3. Rechtsgrundlage und Transparenz sichern: Datenschutz-Folgenabschätzung, Information der Betroffenen, frühe Einbindung von Betriebsrat und Datenschutzbeauftragten.
  4. Prüfung durchführen: Standardisiert, dokumentiert und durch einen externen Dienstleister. Das sichert Neutralität und Fachwissen.
  5. Bewerten und entscheiden: Die Ergebnisse gehen an eine definierte Stelle, etwa die Kontaktperson für Forschungssicherheit, nicht an Fachvorgesetzte.
  6. Nachweisen und wiederholen: Prüfungen dokumentieren, um gegenüber Ministerium und Förderagenturen belegen zu können, dass Risiken systematisch gemanagt werden. Sensible Rollen in festen Abständen neu prüfen.

So erhält das Netzwerk der Kontaktpunkte einen konkreten Prozess. Die Einrichtung kann nachweisen, wie sie Forschungssicherheit umsetzt, und schützt zugleich Forschende vor willkürlichen oder diskriminierenden Entscheidungen.

Fazit: Vorbereitet sein, bevor es Pflicht wird

Österreich setzt auf Bewusstsein und Eigenverantwortung statt auf neue Gesetze. Das gibt Hochschulen und Forschungseinrichtungen Spielraum, und den sollten sie nutzen. Die Entwicklung in Deutschland und auf EU-Ebene zeigt, dass die Anforderungen eher steigen werden. Wissen fließt nicht über Organigramme ab, sondern über Menschen und ihre Netzwerke. Die entscheidende Frage lautet auch hier: Wissen wir, mit wem wir forschen?


Wer Personensicherheit jetzt risikobasiert, verhältnismäßig, rechtskonform und ohne Generalverdacht aufbaut, ist vorbereitet, egal welche Vorgaben folgen. Validato unterstützt Universitäten, Fachhochschulen und Forschungseinrichtungen in Österreich dabei, Research Security Screening in bestehende Prozesse zu integrieren, von der Rollenmatrix bis zum dokumentierten Re-Screening.