Federal Acquisition Supply Chain Security Act
Der Federal Acquisition Supply Chain Security Act ist ein US-amerikanisches Bundesgesetz, das regelt, welche Technologieprodukte und -anbieter US-Bundesbehörden kaufen dürfen. Es soll verhindern, dass Hardware oder Software mit Sicherheitsrisiken in staatliche IT-Systeme gelangt.
Der Federal Acquisition Supply Chain Security Act — kurz FASCSA — ist ein US-Bundesgesetz aus dem Jahr 2018. Es legt fest, welche Technologieprodukte die Behörden der amerikanischen Bundesregierung kaufen dürfen und welche nicht. Der Kern des Gesetzes ist simpel: Wenn ein Produkt oder ein Hersteller als Sicherheitsrisiko für den Staat gilt, darf es in Regierungsnetzwerke nicht eingebaut werden. Das Gesetz richtet sich vor allem gegen Hardware und Software, bei der der Verdacht besteht, dass sie Hintertüren für Spionage enthält. Es ist Teil einer breiteren Strategie, die sogenannte Lieferkette — also den Weg eines Produkts vom Hersteller bis zum Endnutzer — staatlich zu kontrollieren.
Warum Lieferketten zum Sicherheitsproblem werden
Moderne Technologieprodukte bestehen aus Bauteilen vieler verschiedener Hersteller weltweit. Ein Server in einer US-Behörde kann Chips aus Taiwan, Firmware aus Südkorea und Verwaltungssoftware aus China enthalten. An jedem dieser Punkte könnte theoretisch Schadcode oder eine versteckte Überwachungsfunktion eingebaut worden sein — absichtlich oder durch Nachlässigkeit.
Genau hier setzt FASCSA an. Wenn eine Behörde ein Produkt kauft, ohne dessen Herkunft zu prüfen, kann sie nicht sicherstellen, dass in ihren eigenen Systemen keine fremden Staaten mitlesen. Das ist kein theoretisches Szenario: Amerikanische Geheimdienste haben wiederholt gewarnt, dass bestimmte chinesische Technologiekonzerne enge Verbindungen zur chinesischen Regierung haben und deshalb ein Risiko darstellen könnten.
Das Gesetz schafft deshalb eine institutionelle Antwort: klare Verbote, zuständige Behörden und ein Verfahren, mit dem Risiken systematisch bewertet und kommuniziert werden. Ohne so eine gesetzliche Grundlage hätte jede Behörde diese Entscheidungen allein und nach eigenem Ermessen getroffen.
Wie Verbote und Ausnahmen im FASCSA geregelt sind
Das Gesetz gibt mehreren Bundesbehörden — darunter dem Heimatschutzministerium (Department of Homeland Security) und dem Verteidigungsministerium — die Befugnis, sogenannte Exclusion Orders (Ausschlussanordnungen) zu erlassen. Solch eine Anordnung verbietet es allen Bundesbehörden, ein bestimmtes Produkt oder einen bestimmten Anbieter zu kaufen oder zu nutzen. Daneben gibt es Removal Orders, die verlangen, dass bereits eingesetzte Produkte aus den Systemen entfernt werden.
Die Entscheidung, wer auf diese Liste kommt, basiert auf einer Risikoanalyse. Dabei werden Faktoren wie die Eigentümerstruktur eines Unternehmens, mögliche staatliche Einflussnahme und bekannte Schwachstellen in Produkten bewertet. Das klingt nach einem technischen Prozess — ist aber auch eine politische Entscheidung, weil sie Handelsbeziehungen und diplomatische Verhältnisse berührt.
Wichtig: Das Gesetz gilt nur für Bundesbehörden, nicht direkt für Privatunternehmen. Allerdings wirkt es indirekt, weil viele Unternehmen, die staatliche Aufträge anstreben, dieselben Beschaffungsregeln einhalten müssen.
FASCSA in der Praxis: Huawei, ZTE und die Folgen
Das bekannteste Beispiel für die Wirkung des Gesetzes ist der Ausschluss der chinesischen Unternehmen Huawei und ZTE aus US-Regierungsnetzwerken. Beide Firmen gehören zu den weltgrößten Anbietern von Netzwerkausrüstung — also den Geräten, die das Internet überhaupt erst möglich machen. Die US-Regierung stufte beide als Risiko ein, weil sie nach chinesischem Recht verpflichtet sein könnten, der chinesischen Regierung Zugang zu ihren Geräten zu gewähren.
Die Entscheidung hatte Folgen weit über die USA hinaus. Verbündete wie Großbritannien und Deutschland standen unter Druck, Huawei ebenfalls aus dem Aufbau ihrer 5G-Mobilfunknetze auszuschließen. Damit zeigt das Gesetz, wie ein nationales Beschaffungsgesetz geopolitische Debatten auslösen kann.
In Tech- und KI-Nachrichten taucht FASCSA immer dann auf, wenn neue Anbieter aus dem Umfeld staatlich gesteuerter Volkswirtschaften in die Kritik geraten. Auch der Streit um die Video-App TikTok und ihren chinesischen Mutterkonzern ByteDance dreht sich um ähnliche Fragen — auch wenn TikTok selbst unter anderen Gesetzen diskutiert wird. FASCSA liefert dabei den rechtlichen und konzeptionellen Rahmen, auf den sich Politiker und Journalisten in solchen Debatten immer wieder beziehen.