Estlands China-Scanner ohne Aktenlage

Der estnische Zoll und der Flughafen Tallinn nutzen seit Jahren Röntgenkontrollgeräte des chinesischen Staatsunternehmens Nuctech (Postimees). Öffentlich belegt ist damit noch kein Spionagefall. Belegt ist vor allem eine Lücke in der Rechenschaft: Ausschreibungsunterlagen, Vertragsbedingungen, Sicherheitsprüfungen sowie die Regeln für Softwareaktualisierungen und Wartung sind nicht offengelegt. Die naheliegende Frage lautet deshalb, ob diese Beschaffung jemals als das behandelt wurde, was sie ist: eine sicherheitspolitisch sensible Entscheidung.

Das Gerät ist nicht das, wonach es aussieht

Ein Gepäckscanner wirkt wie ein passiver Metalltunnel. Tatsächlich ähnelt er eher einem vernetzten Computer, an den eine Röntgenquelle angebaut ist. Moderne CT-Scanner an Flughäfen erfassen Bilder aus mehreren Winkeln; eine Software setzt daraus dreidimensionale Ansichten zusammen, die Kontrolleure drehen und schneiden können, um den Inhalt zu prüfen (NIST). Das Gerät protokolliert Scans, markiert verdächtige Gegenstände und braucht regelmäßige Softwareupdates, damit die Erkennung zuverlässig bleibt.

Genau diese Softwareebene macht den Lieferanten so wichtig. Hersteller behalten in der Regel Wartungszugänge, um Geräte aus der Ferne zu betreuen. Das ist digital betrachtet eine Art Generalschlüssel. Für Reparaturen kann ein solcher Zugang nötig sein; der Käufer muss aber wissen, wer ihn besitzt, wann er genutzt wird und welche Funktionen damit erreichbar sind. Sicherheitsleitlinien von ENISA und dem britischen NCSC warnen, dass solche Wartungskanäle Wege für unbefugten Zugriff oder unbemerkte Konfigurationsänderungen werden können.

Bei Grenzscannern hieße das: Wer tiefen Systemzugang hat, könnte theoretisch Kontrollbilder einsehen oder Erkennungsschwellen so verändern, dass bestimmte Gegenstände weniger zuverlässig auffallen, ohne dass Bediener dies sofort bemerken. Das sind bekannte strukturelle Risiken in der Branche. Sie beweisen nicht, dass ein konkretes Nuctech-Gerät kompromittiert wurde.

Brüssel fragt nach Geld, nicht nach Spionage

Das Vorgehen der Europäischen Kommission gegen Nuctech ist eine wettbewerbsrechtliche Untersuchung, keine sicherheitspolitische Feststellung. Im April 2024 durchsuchten Kommissionsbeamte Nuctech-nahe Standorte in Polen und den Niederlanden auf Grundlage der EU-Verordnung über drittstaatliche Subventionen. Sie erlaubt Brüssel seit 2023 zu prüfen, ob finanzielle Unterstützung eines Nicht-EU-Staates einem Unternehmen geholfen hat, Wettbewerber bei europäischen Ausschreibungen zu unterbieten (Europäische Kommission). Nuctech focht Teile des Datenumgangs nach diesen Durchsuchungen an; das Gericht der Europäischen Union wies den Eilantrag im Juli 2024 zurück. Eine endgültige Entscheidung liegt nicht vor.

Diese Unterscheidung ist wichtig. Brüssel prüft, ob staatlich gestützte Niedrigpreise den Wettbewerb verzerrt haben. Ob die Geräte sicher genug sind, um ihnen an Grenzen zu vertrauen, ist eine andere Frage. Die Subventionsverordnung kann sie nicht beantworten.

Nationale Beschaffung, gemeinsames Risiko

Scanner an den EU-Außengrenzen werden national beschafft, also von einzelnen Zollbehörden und Flughäfen. Sobald Waren den estnischen Zoll passiert haben, können sie sich jedoch im Binnenmarkt frei bewegen, also in jenem Raum von 27 Staaten, in dem Produkte ohne weitere Grenzkontrollen zirkulieren. Passagiere, die in Tallinn kontrolliert wurden, fliegen innerhalb des Schengen-Raums weiter. Die Integrität jeder Kontrollstelle ist damit eine gemeinsame Voraussetzung.

Andere Mitgliedstaaten gehen mit dieser Voraussetzung anders um. Nuctech betreibt nahe Warschau ein Produktions- und Servicezentrum, weshalb Polens Risiko auch physisch greifbar ist: Reparaturen und Updates laufen über eine lokale Tochter des chinesischen Mutterkonzerns. Litauens Regelwerk zum Schutz strategisch wichtiger Infrastruktur würde eine solche Beschaffung auf Eigentümerstruktur und Fernzugriffsrisiken prüfen. Die Niederlande ordnen chinesische Technologie vor dem Hintergrund ausdrücklicher Spionagewarnungen ihres Nachrichtendienstes ein. Estland ist der Fall, in dem die Nutzung von Nuctech-Geräten bestätigt ist, die Governance-Spur aber unsichtbar bleibt.

EU-Regeln wie die NIS2-Richtlinie verpflichten Betreiber wesentlicher Dienste stärker zum Management von Lieferkettenrisiken. Belgien hat jüngst die Übernahme eines Hubschrauberbetreibers mit China-Bezug aus Gründen der nationalen Sicherheit blockiert. Doch die eigentliche Beschaffungsentscheidung, also wer den Lieferanten geprüft hat und welcher Zugriff eingeräumt wurde, fällt weiterhin auf nationaler Ebene.

Brüssel kann subventionierten Wettbewerb erschweren. Es kann aber nicht nachträglich jeden Scanner prüfen, der bereits an einer Grenze läuft. Die Rechenschaftspflicht liegt bei den nationalen Käufern. Solange Estland nicht offenlegt, wie diese Beschaffung bewertet wurde, bleibt die Debatte zwischen Spionageverdacht und Beschaffungsschweigen stecken. Die eigentliche Governance-Lücke ist damit nicht geschlossen.