DHS verbietet DeepSeek und ordnet an, dass Bundesbehörden KI-Produkte entfernen

Das DeepSeek-Verbot des DHS verpflichtet zivile US-Bundesbehörden im Zuständigkeitsbereich des Ministeriums, den Kauf betroffener Produkte einzustellen und diese aus Regierungssystemen zu entfernen. Die Beschränkungen erstrecken sich auch auf mit DeepSeek verbundene Unternehmen und Drittanbieter-Tools, die dessen Technologie integrieren.

Das US-Heimatschutzministerium veröffentlichte die Anordnung am 20. Oktober im Federal Register. Die Maßnahme stellt jedoch kein allgemeines Verbot für private Unternehmen oder Verbraucher dar.

Beschränkungen gehen über den DeepSeek-Chatbot hinaus

DeepSeek entwickelt große Sprachmodelle und bietet einen Chatbot, API-Dienste sowie Tools für Programmier- und logische Denkaufgaben an.

Die Anordnung umfasst mehr als nur Produkte, die den Namen des Unternehmens tragen. Sie gilt auch für relevante Produkte und Dienstleistungen von Drittanbietern, die auf DeepSeek-Technologie basieren.

Folglich müssen Behörden prüfen, ob andere von ihnen verwendete Software unter die Beschränkungen fallende Technologien enthält. Gleichzeitig müssen sie nach direkten DeepSeek-Installationen suchen.

Behörden müssen Beschaffungen einstellen und betroffene Produkte entfernen

Das DeepSeek-Verbot des DHS weist Behörden an, betroffene Produkte unverzüglich von Beschaffungsverfahren auszuschließen. Dazu gehört auch, sie aus Listen zugelassener Produkte und von Beschaffungsplattformen zu entfernen.

Die Behörden müssen betroffene Produkte außerdem aus ihren IT-Systemen entfernen oder eine Ausnahmegenehmigung beantragen.

Für Ausnahmeanträge haben die Behörden ab dem Ausstellungsdatum der Anordnung 60 Tage Zeit, ihre Begründung und die vorgeschlagenen Schutzmaßnahmen darzulegen. Die Cybersecurity and Infrastructure Security Agency (CISA) wird diese Anträge prüfen und schriftliche Genehmigungen oder Ablehnungen erteilen.

Unterdessen wird CISA Behörden technische Unterstützung anbieten, wenn begrenzte interne Kapazitäten sie daran hindern, die Anforderungen zu erfüllen.

DHS verweist auf Risiken für sensible Regierungsinformationen

Das DHS begründete die Beschränkungen mit Bedenken hinsichtlich eines möglichen Zugriffs der chinesischen Regierung auf die Infrastruktur und Nutzerinformationen von DeepSeek.

Das Ministerium identifizierte Risiken im Zusammenhang mit der Erfassung personenbezogener Daten, der Verfolgung von Nutzeraktivitäten und einer möglichen Übermittlung sensibler Regierungsinformationen nach China.

Diese Bedenken belegen jedoch nicht, dass DeepSeek Daten einer bestimmten Behörde übertragen hat. Die vorliegenden Informationen beschreiben die Risikobewertung der Regierung und keinen bestätigten Sicherheitsvorfall in Bundessystemen.

Die Anordnung äußert außerdem Bedenken hinsichtlich möglicher Schadsoftware in den DeepSeek-Modellen. Darüber hinaus verweist sie auf Untersuchungen zu Sicherheitslücken in der mobilen App des Unternehmens.

Untersuchung der mobilen App identifizierte Sicherheitslücken

Eine Untersuchung des Sicherheitsunternehmens NowSecure vom Februar 2025 analysierte die iOS-Anwendung von DeepSeek und identifizierte mehrere Datenschutz- und Sicherheitsprobleme.

Dazu gehörten unverschlüsselte Datenübertragungen, schwache Verschlüsselungsalgorithmen und unsichere lokale Datenspeicherung. Darüber hinaus wiesen die Forscher auf Risiken durch digitales Fingerprinting von Nutzern und die Weitergabe von Daten an ByteDance, das Unternehmen hinter TikTok, hin.

Diese Erkenntnisse betreffen die mobile Anwendung. Sie belegen für sich genommen nicht, dass die Sprachmodelle von DeepSeek Schadsoftware enthalten.

Dennoch bilden die Forschungsergebnisse einen Teil des sicherheitsrelevanten Hintergrunds, auf den sich die Anordnung bezieht.

Anordnung richtet sich gegen zivile Bundessysteme

Die Beschränkungen gelten für zivile Bundesbehörden, die in den Zuständigkeitsbereich des DHS fallen. Sie verbieten Privatpersonen oder privaten Unternehmen nicht automatisch die Nutzung von DeepSeek-Produkten.

Für betroffene Behörden bestehen die unmittelbaren Prioritäten darin, Beschaffungen einzustellen, betroffene Technologien zu entfernen und einen möglichen Bedarf an Ausnahmegenehmigungen zu ermitteln.

Obwohl die Anordnung Ausnahmeanträge zulässt, müssen die Behörden die weitere Nutzung begründen und darlegen, wie sie die damit verbundenen Risiken verringern würden.