DHS ordnet Entfernung von DeepSeek aus IT-Systemen ziviler US-Bundesbehörden an

Das US-Ministerium für Heimatschutz hat zivilen Bundesbehörden untersagt, DeepSeek-Produkte zu kaufen und sie aus ihren IT-Systemen zu entfernen, wie aus einer Bekanntmachung hervorgeht, die für den 20. Oktober 2026 im Federal Register vorgesehen ist [1]. Die der Bekanntmachung beigefügte unterzeichnete Anordnung nennt den 24. Juli 2026 als ursprüngliches Erlassdatum [1][2].

Was schreibt die DeepSeek-Anordnung vor?

Das Ministerium für Heimatschutz wies zivile Bundesbehörden an, DeepSeek-Produkte auszuschließen und zu entfernen. Die Anordnung erfasst Hangzhou DeepSeek Artificial Intelligence und verbundene Unternehmen sowie Drittprodukte und -dienste, die mit DeepSeek-Implementierungen entwickelt wurden [1].

Das Beschaffungsverbot gilt unmittelbar nach Erlass und erstreckt sich auf behördliche Produktlisten und E-Commerce-Märkte, wie der Anordnung zu entnehmen ist [1]. Nationale Sicherheitssysteme und abgeschottete Informationssysteme fallen nicht darunter; Verteidigungs- und Nachrichtensysteme unterliegen anderen Zuständigkeiten [1].

Rechtsgrundlage ist der Federal Acquisition Supply Chain Security Act von 2018 nach Prüfung einer Empfehlung des Federal Acquisition Security Council [1]. Das Dokument trägt den Titel Exclusion and Removal Order #2026-01 und wird von Heimatschutzminister Markwayne Mullin erlassen [1].

Warum stuft DHS DeepSeek als Risiko ein?

Die Anordnung führt aus, dass DeepSeeks Server in China stehen, dessen Rechtsordnung der Regierung weitreichenden Zugriff auf private Unternehmensinfrastrukturen für Cyber- und Nachrichtenzwecke einräume [1]. Zudem erhebe DeepSeek personenbezogene Daten und könne Nutzer nachverfolgen und digital fingerabdrucken [1].

Die Anordnung fügt hinzu, dass die Modelle Malware oder andere Sicherheitslücken enthalten könnten, und verweist auf externe Forschung zu kritischen Schwachstellen in DeepSeeks iOS-App [1]. Sie beschreibt keinen konkreten Vorfall bei einer Bundesbehörde [1].

Wann wurde die Anordnung tatsächlich erlassen?

Die DHS-Anordnung nennt den 24. Juli 2026 als ursprüngliches Erlassdatum, fast drei Monate vor der öffentlichen Bekanntgabe. Die Bekanntmachung wurde am 19. Oktober um 8:45 Uhr Eastern Time zur öffentlichen Einsicht eingereicht und soll am 20. Oktober erscheinen, 88 Tage nach dem genannten Erlassdatum [1].

CyberScoop berichtete, dass das beigefügte Schreiben die Ausgrenzung am 26. Juni angeordnet habe [2]. The AI Pin fand den 24. Juli auf der Titelseite der Anordnung und kein Datum vom 26. Juni in dem sechsseitigen Dokument, daher wird der 24. Juli verwendet [1].

Wie geht es für die Behörden weiter?

CISA prüft Ausnahmeanträge, die Behörden schriftlich innerhalb von 60 Tagen nach Erlass stellen müssen. Die Anträge erfordern eine zwingende Begründung, etwa Auswirkungen auf missionskritische Funktionen oder nationale Sicherheitsbelange [1].

Vom 24. Juli an gerechnet wäre das Fenster am 22. September geschlossen gewesen, vor Erscheinen der öffentlichen Bekanntgabe. Die Bekanntmachung sagt nicht, ob Behörden früher informiert wurden [1].

Bis zum Abschluss der Entfernung empfiehlt die Anordnung den Behörden, den Datenverkehr zu überwachen, Protokollierung und Kontrollen gegen Datenabfluss einzurichten und ungewöhnliche Aktivitäten zu melden [1]. Der Minister muss die Anordnung innerhalb eines Jahres und danach jährlich prüfen [1].

CyberScoop stellte fest, dass DeepSeek das einzige in der Anordnung genannte chinesische KI-Modell ist [2]. The AI Pin berichtete kürzlich über DeepSeeks V4.1-Flash-Update und die neue Search-API (theaipin.com/trends/deepseek-updates-v4-1-flash-and-opens-search-api).

Unsere Einschätzung

Meinung: Ein in China gehostetes Chatbot-System aus Regierungsnetzen zu nehmen, ist eine vertretbare Grundmaßnahme. Schwierig ist der weite Anwendungsbereich der Anordnung auf Drittprodukte, die auf DeepSeek-Implementierungen beruhen, da Open-Weight-Modelle auf vielen Servern laufen und Behörden klare Leitlinien brauchen, was darunterfällt.

Was wir nicht verifizieren konnten

• Warum die Anordnung erst am 20. Oktober veröffentlicht wurde, fast drei Monate nach dem genannten Erlassdatum; DHS hat die Lücke nicht erläutert.
• CyberScoops Datum 26. Juni; es erscheint nicht in dem von uns geprüften PDF, das den 24. Juli ausweist.
• Ob eine Behörde eine Ausnahme beantragt oder erhalten hat und wie viele Behörden DeepSeek-Produkte nutzten.
• Ob DeepSeek Stellung genommen hat; bis 03:00 Uhr MESZ am 20. Oktober fand sich keine Erklärung.
• Die Empfehlung des Federal Acquisition Security Council und die zugrunde liegenden Erkenntnisse sind nicht öffentlich.
• Der Anhang der Anordnung ist ein gescanntes Bild; unser Zitat stammt aus unserer eigenen Transkription der Seite.