Nach den umstrittenen China-Kooperationen am Helmholtz-Zentrum CISPA will die Bundespolitik Hochschulen und Forschungsinstitute zu mehr Sicherheitsvorkehrungen verpflichten. Im Gespräch sind eine Technologieliste, Compliance-Systeme, ein jährliches Lagebild, strengere Visaregeln und die Kopplung von Bundesmitteln an den Schutz sensiblen Wissens. Beschlossen ist noch nichts. Laut Handelsblatt zeichnet sich in zentralen Punkten aber eine Einigung ab.


Das eigentliche Problem sind jedoch nicht fehlende Gremien, sondern Menschen. Wer forscht mit? Wer finanziert? Wer hat Zugang zu Daten und Ergebnissen? Und welche Verbindungen bestehen zu Militär, Nachrichtendiensten oder staatlichen Stellen? Diese Fragen stellen Bundestagsabgeordnete seit Wochen. Ein Verfahren, um sie systematisch, verhältnismäßig und rechtskonform zu beantworten, haben die meisten Einrichtungen bisher nicht. Dieser Beitrag ordnet die geplanten Maßnahmen ein. Er zeigt auch, wie Hochschulen Personensicherheit in der Forschung umsetzen können, ohne die Offenheit der Wissenschaft zu opfern.


Was die Politik konkret plant

Grundlage ist ein Strategiepapier, über das das Handelsblatt am 8. Oktober 2026 berichtet hat. Wichtig für die Einordnung: Es handelt sich um Vorschläge, beschlossen ist noch nichts. Erklärtes Ziel ist, die Anforderungen gesetzlich zu verankern. Forschungssicherheit gilt dabei als „eine gesamtstaatliche Aufgabe“.


Die meisten dieser Maßnahmen betreffen Organisation, Regeln und Finanzierung. Nur eine Forderung fragt direkt, mit wem eine Einrichtung eigentlich zusammenarbeitet: Partner mit Nähe zu Militär, Nachrichtendiensten oder staatlichen Strukturen früh zu erkennen. Gerade dieser Punkt entscheidet in der Praxis, ob die anderen Maßnahmen wirken.

Der blinde Fleck: Wer ist eigentlich der Partner?

Laut Handelsblatt arbeitete das CISPA mit Forschenden zusammen, die Verbindungen zu chinesischen Universitäten aus dem Umfeld der sogenannten „Seven Sons of National Defence“ haben. Das sind Hochschulen mit enger Bindung an den chinesischen Verteidigungssektor. Ob tatsächlich sicherheitsrelevantes Wissen abgeflossen ist, ist nicht belegt. Bund und Saarland haben eine externe Sonderprüfung beauftragt. Das CISPA hat die Vorwürfe weitgehend zurückgewiesen und eine Taskforce eingesetzt.


Unabhängig vom Ausgang zeigt der Fall ein strukturelles Problem: Die Vertrauenswürdigkeit von Kooperationspartnern wurde offenbar nicht systematisch geprüft. Aus dem Bundestag heißt es: „Offenheit darf nicht mit Naivität verwechselt werden.“ Der Vorsitzende des Parlamentarischen Kontrollgremiums fordert, dass Forschungseinrichtungen solche Verbindungen frühzeitig erkennen.


Die Forderung ist richtig, aber sie lässt offen, wie eine Hochschule das leisten soll. Ein Lebenslauf zeigt nicht, welche Institution hinter einer Affiliation steht. Eine Publikationsliste verrät nicht, aus welchem Programm ein Forschungsaufenthalt finanziert wurde. Und eine Kooperationsvereinbarung sagt nichts darüber, wer am Ende auf Daten, Quellcode oder Laborergebnisse zugreift. Das Risiko liegt selten in der Institution allein, sondern bei den Menschen, die zwischen Institutionen arbeiten.

Warum Personensicherheit in der Forschung anders funktioniert

Background Checks aus der Wirtschaft lassen sich nicht eins zu eins auf Hochschulen übertragen. Drei Besonderheiten machen die Aufgabe anspruchsvoller:

  1. Offenheit ist ein Grundwert. Ohne internationale Zusammenarbeit gibt es keine Spitzenforschung. Eine Prüfung darf nicht zum Generalverdacht gegen ausländische Forschende werden.
  2. Die Rollen sind vielfältig. Professuren, Promovierende, Gastwissenschaftler, studentische Hilfskräfte, Industriepartner und Drittmittelgeber haben sehr unterschiedliche Zugänge. Entsprechend unterschiedlich muss die Prüftiefe sein.
  3. Der Rechtsrahmen ist eng. DSGVO und BDSG, Arbeitsrecht, Personalvertretungsrecht und das AGG setzen klare Grenzen. Staatsangehörigkeit oder Herkunft allein sind kein zulässiges Prüfkriterium.

Forschungssicherheit braucht deshalb keine pauschale Durchleuchtung, sondern einen risikobasierten Ansatz. Entscheidend ist nicht, woher jemand kommt. Entscheidend ist, auf welche Technologien, Daten und Infrastrukturen eine Person zugreift und welche nachweisbaren Verbindungen sie zu Akteuren hat, die genau an diesem Wissen interessiert sein könnten. Wir verstehen das als Human Risk Management für die Forschung.

Unser Lösungsvorschlag: Research Security Screening auf vier Ebenen

Aus unserer Arbeit im Pre-Employment-Screening und Human Risk Management im DACH-Raum schlagen wir einen Ansatz vor, der Person, Institution, Partner und Projekt zusammendenkt.

Ebene 1: Person

  1. Identitätsprüfung, auch beim Remote-Onboarding von Gastwissenschaftlern
  2. Verifizierung von Studienabschlüssen, Promotion und akademischen Stationen
  3. Prüfung des Werdegangs auf Lücken und Unstimmigkeiten
  4. Abgleich mit Sanktions- und Watchlists sowie PEP-Prüfung
  5. Führungszeugnis, wo gesetzlich vorgesehen oder für die Rolle verhältnismäßig

Ebene 2: Institution und Affiliation

  1. Einordnung früherer und aktueller Arbeitgeber und Hochschulen
  2. Erkennen von Verbindungen zu Militär, Verteidigungsforschung, Nachrichtendiensten oder staatlichen Rekrutierungsprogrammen
  3. Prüfung der Finanzierungsquellen von Stipendien und Forschungsaufenthalten

Ebene 3: Partner

  1. Due Diligence für Kooperationspartner, Drittmittelgeber und beteiligte Unternehmen
  2. Adverse-Media- und OSINT-Recherche zu Eigentümerstrukturen und Verflechtungen
  3. Abgleich mit Sanktions- und Exportkontrolllisten

Ebene 4: Projekt

  1. Einstufung nach Sensibilität der Technologie, etwa entlang der geplanten Technologieliste
  2. Festlegung, welche Rolle im Projekt welche Prüftiefe braucht
  3. Regelmäßiges Re-Screening bei besonders sensiblen Funktionen und bei Rollenwechseln

Am Ende steht keine Ja-Nein-Entscheidung über Menschen, sondern eine dokumentierte Risikoeinschätzung. Über die Konsequenzen entscheidet die Einrichtung selbst. Möglich sind etwa eingeschränkte Zugriffsrechte, zusätzliche Auflagen oder die Ablehnung einer Kooperation.

Umsetzung in sechs Schritten

Damit Hochschulen nicht erst handeln, wenn der Bund Vorgaben macht oder Fördermittel an Bedingungen knüpft, empfehlen wir diesen Ablauf:

  1. Schutzbedarf bestimmen: Welche Forschungsbereiche, Labore und Daten sind sensibel? Die geplante Technologieliste kann später als Referenz dienen.
  2. Rollenmatrix definieren: Für jede Rolle festlegen, welche Prüfmodule angemessen sind, von der einfachen Identitätsprüfung bis zum vollständigen Screening.
  3. Rechtsgrundlage und Transparenz sichern: Datenschutz-Folgenabschätzung, Information der Betroffenen, Einbindung von Personalrat und Datenschutzbeauftragten.
  4. Prüfung durchführen: Standardisiert, dokumentiert und durch einen externen Dienstleister. Das sichert Neutralität und Fachwissen.
  5. Bewerten und entscheiden: Die Ergebnisse gehen an eine definierte Stelle, etwa die Beauftragten für Forschungssicherheit, nicht an Fachvorgesetzte.
  6. Nachweisen und wiederholen: Prüfungen dokumentieren, um künftige Förderauflagen belegen zu können. Sensible Rollen in festen Abständen neu prüfen.

So erhalten die Compliance-Strukturen, die die Politik fordert, einen konkreten Inhalt. Der Prozess liefert Nachweise für Fördermittelgeber und schützt zugleich Forschende vor willkürlichen oder diskriminierenden Entscheidungen.

Fazit: Strukturen allein schützen kein Wissen

Nach dem Fall CISPA setzt die Politik vor allem auf Regeln, Listen, Lagebilder und Förderbedingungen. Das ist sinnvoll, reicht aber nicht. Wissen fließt nicht über Organigramme ab, sondern über Menschen und ihre Netzwerke. Jede Hochschule und jedes Forschungsinstitut sollte sich jetzt fragen: Wissen wir, mit wem wir forschen?


Wer bis Jahresende eigene Standards vorlegen oder künftige Förderauflagen erfüllen muss, sollte Personensicherheit von Anfang an mitdenken: risikobasiert, verhältnismäßig, rechtskonform und ohne Generalverdacht. Validato unterstützt Hochschulen und Forschungseinrichtungen in Deutschland dabei, Research Security Screening in bestehende Prozesse zu integrieren, von der Rollenmatrix bis zum dokumentierten Re-Screening.