Zugang zu amtlichen Dokumenten.
Entscheiddatum: 20.04.2026Publikationsdatum: 29.04.2026
Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Abteilung I A-4884/2023
Urteil vom 20. April 2026 Besetzung Richter Jürg Marcel Tiefenthal (Vorsitz), Richter Alexander Misic, Richter Maurizio Greppi, Gerichtsschreiber Benjamin Strässle. Parteien Fiona Endres, c/o SRF, vertreten durch Seraina Schneider, Rechtsanwältin, und/oder Martin Looser, Rechtsanwalt, ettlersuter Rechtsanwälte, Beschwerdeführerin, gegen Nachrichtendienst des Bundes NDB, Vorinstanz. Gegenstand Zugang zu amtlichen Dokumenten.
A. Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport VBS eröffnete am 26. Januar 2022 im Nachgang zu einer internen Untersuchung eine Administrativuntersuchung. Beide Untersuchungen betrafen die Informationsbeschaffung durch den Nachrichtendienst des Bundes NDB im Zusammenhang mit (möglichen) Cyberangriffen. Dabei wurden Informationen über den Netzwerkverkehr potenzieller Angreifer (sog. Randdaten) beschafft, welche dem Fernmeldegeheimnis unterstehen. Die Massnahmen erfolgten ohne die hierfür erforderliche Genehmigung durch das Bundesverwaltungsgericht und die politische Freigabe durch die Vorsteherin oder den Vorsteher des Eidgenössischen Departements für Verteidigung, Bevölkerungsschutz und Sport VBS.
B. Am 9. Februar 2022 ersuchte Fiona Endres (nachfolgend: Gesuchstellerin) den Nachrichtendienst des Bundes NDB um Zugang zu amtlichen Dokumenten. Das Gesuch betraf zunächst den Schlussbericht der internen Untersuchung des Nachrichtendienstes des Bundes NDB zu den Informationsbeschaffungen des Bereichs Cyber von Ende Dezember 2021 (nachfolgend: Schlussbericht zur internen Untersuchung). Zudem ersuchte die Gesuchstellerin um Zugang zum Rechtsgutachten zur gleichen Thematik, das von einer Anwaltskanzlei im Auftrag des Nachrichtendienstes des Bundes NDB erstellt worden war (nachfolgend: Rechtsgutachten).
C. Der Nachrichtendienst des Bundes NDB lehnte es mit Stellungnahme vom 10. Februar 2022 ab, der Gesuchstellerin Zugang zu den zwei Dokumenten zu gewähren. Zur Begründung verwies der Nachrichtendienst auf Art. 67 des Nachrichtendienstgesetzes (NDG, SR 121), wonach amtliche Dokumente betreffend die Informationsbeschaffung vom Öffentlichkeitsprinzip ausgenommen seien. Die zwei Dokumente enthielten Angaben zu den Fähigkeiten sowie zum operativen Vorgehen des Nachrichtendienstes und würden somit unmittelbar die Informationsbeschaffung betreffen. Zudem stünden einem Zugang Geheimhaltungsinteressen entgegen
D.
D.a Die Gesuchstellerin reichte am 16. Februar 2022 beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB (nachfolgend: EDÖB) einen Antrag auf Schlichtung ein.
D.b Der Nachrichtendienst des Bundes NDB nahm am 24. Februar 2022 zum Schlichtungsantrag Stellung. Er hielt dabei an seiner Auffassung fest, wonach die zwei Dokumente konkrete Angaben zur Informationsbeschaffung durch den Nachrichtendienst enthalten und auch Schwachstellen thematisiert würden; der Schlussbericht zur internen Untersuchung enthalte Angaben zu den operativen Tätigkeiten und das Rechtsgutachten äussere sich im Zusammenhang mit der konkreten Vorgehensweise des Nachrichtendienstes zu deren Rechtmässigkeit. Die Dokumente seien daher vom Öffentlichkeitsprinzip ausgenommen. Zudem stünden dem Zugang, sollte das Öffentlichkeitsgesetz (BGÖ, SR 152.3) anwendbar sein, öffentliche Interessen entgegen, so dass der Zugang auch gestützt auf das Öffentlichkeitsgesetz zu verweigern wäre.
D.c Im Rahmen des Schlichtungsverfahrens erklärte sich der Nachrichtendienst des Bundes NDB bereit, die einleitenden acht Seiten des Schlussberichts zur internen Untersuchung und das Inhaltsverzeichnis zum Rechtsgutachten in jeweils teilweise geschwärzter Form zugänglich zu machen. Die Dokumente wurden der Gesuchstellerin zugestellt.
D.d Der EDÖB gab am 20. Juli 2023 die folgende Empfehlung ab (Empfehlung des EDÖB vom 20. Juli 2023, Ziffn. 47 und 48):
47.Der Nachrichtendienst des Bundes NDB identifiziert, ob Passagen des Schlussberichts [zur internen Untersuchung] NDB unter die Ausnahme von Art. 7 Abs. 1 Bst. c BGÖ fallen, und schwärzt sie ggf. unter Berücksichtigung des Verhältnismässigkeitsprinzips.
48.Der Nachrichtendienst des Bundes NDB gewährt Zugang zu den übrigen Inhalten des Schlussberichts [interne Untersuchung] NDB sowie zum Rechtsgutachten, da das Vorliegen eines Ausnahmetatbestandes bis anhin nicht mit der von der Rechtsprechung geforderten Begründungsdichte aufgezeigt wurde.
Der EDÖB ist zunächst der Auffassung, dass der Begriff der Informationsbeschaffung gemäss Art. 67 NDG eng zu verstehen ist; die Ausnahme vom Öffentlichkeitsprinzip sei auf Massnahmen nach dem gleichnamigen 3. Kapitel des Nachrichtendienstgesetzes beschränkt, mithin auf konkrete Massnahmen zur Beschaffung von Daten. Der Schlussbericht zur internen Untersuchung enthalte demgegenüber Angaben zum Prozess sowie zu den Aufgaben, Kompetenzen und Verantwortlichkeiten innerhalb des Bereichs Cyber und ziele darauf ab, die Aufbau- und Ablauforganisation zu verstehen und mögliche Unregelmässigkeiten zu identifizieren. Der Bericht habe mithin im Wesentlichen die Verwaltungstätigkeit des Nachrichtendienstes und die Einhaltung der gesetzlichen Grundlagen zum Gegenstand und betreffe nicht die konkrete beziehungsweise eigentliche Informationsbeschaffung gemäss dem 3. Kapitel zum Nachrichtendienstgesetz. Dasselbe gelte für das Rechtsgutachten, das gemäss dem teilweise bekannt gemachten Inhaltsverzeichnis die rechtlichen Grundlagen für die Informationsbeschaffung, Aufbewahrung und Weitergabe von Informationen darstelle und deren Anwendungsbereich aufarbeite. Konkrete Massnahmen zur Informationsbeschaffung habe das Rechtsgutachten nicht zum Gegenstand. Ohnehin gelte die Ausnahme vom Öffentlichkeitsprinzip gemäss Art. 67 NDG nur für rechtmässige Informationsbeschaffungen. Aus dem Schlussbericht zur internen Untersuchung ergebe sich jedoch, dass der Nachrichtendienst Daten unrechtmässig beschafft habe. Davon gehe auch die Geschäftsprüfungsdelegation GPDel in ihrem Jahresbericht 2022 aus. Das Gesuch um Zugang zum Schlussbericht falle daher nicht in den Anwendungsbereich von Art. 67 NDG. Die zwei Dokumente seien vielmehr vom Öffentlichkeitsprinzip erfasst und das Zugangsgesuch nach dem Öffentlichkeitsgesetz zu beurteilen. Diesbezüglich sei nicht auszuschliessen, dass die Bekanntgabe einzelner im Schlussbericht zur internen Untersuchung enthaltener Informationen die innere oder äussere Sicherheit der Schweiz gefährden könne. Der Nachrichtendienst habe die betreffenden Informationen zu identifizieren und zu schwärzen. Im Übrigen sei der Gesuchstellerin Zugang zu den zwei Dokumenten zu gewähren.
E. Zwischenzeitlich, mit Medienmitteilung vom 12. Dezember 2022, hat das Departement für Verteidigung, Bevölkerungsschutz und Sport VBS über den Abschluss und die Resultate der Administrativuntersuchung informiert.
Gemäss der Medienmitteilung betraf die Untersuchung die Informationsbeschaffung des Nachrichtendienstes in den Jahren 2015 bis 2022 im Zusammenhang mit Cyberangriffen ausländischer Angreifer. Die Untersuchung habe ergeben, dass der Nachrichtendienst des Bundes NDB die fernmelderechtliche Dimension der Datenbearbeitung nicht richtig eingeschätzt und als Folge dessen unrechtmässig Daten beschafft und bearbeitet habe. Der Schlussbericht zur Administrativuntersuchung enthalte verschiedene Empfehlungen, die teilweise im Rahmen der Revision des Nachrichtendienstgesetzes umgesetzt werden sollen. Eine Zusammenfassung der wesentlichen Erkenntnisse und ein Auszug aus den Empfehlungen wurde veröffentlicht. Der Schlussbericht selbst wurde als geheim klassifiziert, ist jedoch in teilweise geschwärzter Form zwischenzeitlich ebenfalls veröffentlicht worden.
F. Der Nachrichtendienst des Bundes NDB wies das Gesuch um Zugang zum Schlussbericht zur internen Untersuchung und zum Rechtsgutachten mit Verfügung vom 10. August 2023 ab.
Zur Begründung führte der Nachrichtendienst unter Verweise auf die Gesetzesmaterialien aus, dem Begriff der Informationsbeschaffung im Sinne von Art. 67 NDG sei ein weiteres Verständnis beizugeben. Dokumente, die Angaben zur Informationsbeschaffung enthielten, nehme das Gesetz mithin integral vom Öffentlichkeitsprinzip aus; dem Öffentlichkeitsprinzip seien lediglich reine Verwaltungsgeschäfte des Nachrichtendienstes unterstellt. Wie auch der EDÖB ausführe, habe der Schlussbericht zur internen Untersuchung die Aufbau- und Ablauforganisation zur Informationsbeschaffung im Bereich Cyber und damit unmittelbar die Informationsbeschaffung zum Gegenstand. Dasselbe gelte für das Rechtsgutachten, das Antworten gebe auf bestimmte, im Zusammenhang mit der Vorgehensweise zur Informationsbeschaffung stehende Fragestellungen. Aus den betreffenden Ausführungen könne direkt auf die konkrete Vorgehensweise des Nachrichtendienstes geschlossen werden. Zudem sei es nicht sachgerecht, von einer Unrechtmässigkeit der Informationsbeschaffung (im Einzelfall) auf deren Zugänglichkeit im Rahmen des Öffentlichkeitsprinzips zu schliessen. Schliesslich weist der Nachrichtendienst des Bundes NDB darauf hin, dass mit dem Zugang zu den zwei Dokumenten konkrete Angaben zum Schutz vor beziehungsweise zur Abwehr von Cyberbedrohungen bekannt würden. Damit würde die zielkonforme Durchführung konkreter behördlicher Massnahmen - die Informationsbeschaffung im Bereich Cyber - beeinträchtigt und zudem die innere und äussere Sicherheit der Schweiz gefährdet. Selbst wenn die zwei Dokumente vom Öffentlichkeitsprinzip erfasst wären, stünden dem Zugang öffentliche Interessen entgegen.
G. Die Gesuchstellerin (nachfolgend: Beschwerdeführerin) liess am 11. September 2023 beim Bundesverwaltungsgericht Beschwerde gegen die Verfügung des Nachrichtendienstes des Bundes NDB (nachfolgend: Vorinstanz) vom 10. August 2023 führen. Sie beantragt, es sei die angefochtene Verfügung aufzuheben und es sei ihr Zugang zum Schlussbericht zur internen Untersuchung und zum Rechtsgutachten zu gewähren. Eventualiter sei die angefochtene Verfügung aufzuheben und die Sache zur neuen Beurteilung an die Vorinstanz zurückzuweisen.
Die Beschwerdeführerin geht zunächst auf die Vorgeschichte ihres Gesuchs um Zugang zu zwei amtlichen Dokumenten ein und legt ein besondere Informationsinteresse der Öffentlichkeit dar. In der Sache verweist sodann auch die Beschwerdeführerin auf die Gesetzesmaterialien. Anders als die Vorinstanz schliesst sie aus diesen, dass dem Begriff der Informationsbeschaffung ein enges Verständnis beizugeben sei. Entsprechend seien vom Geltungsbereich des Öffentlichkeitsgesetzes zum Schutz der nachrichtendienstlichen Informationsquellen nur jene Dokumente ausgenommen, die konkret die Beschaffung von Daten nach dem 3. Kapitel des Nachrichtendienstgesetzes zum Gegenstand hätten. Die weitere Bearbeitung von Daten sei hingegen vom Begriff der Informationsbeschaffung nicht erfasst und entsprechende Dokumente würden mithin dem Öffentlichkeitsprinzip unterliegen. Die Vorinstanz lege sodann selbst dar, dass der Schlussbericht zur internen Untersuchung die Organisation und Verwaltungstätigkeit des Nachrichtendienstes und die Einhaltung der gesetzlichen Grundlagen betreffe. Gegenstand des Berichts sei mithin nicht die konkrete Informationsbeschaffung, sondern eine retrospektive Analyse und Beurteilung bestimmter interner Abläufe und Vorgänge. Dasselbe gelte für das Rechtsgutachten. Nach dem Willen des Gesetzgebers seien entsprechende Dokumente gerade nicht vom Öffentlichkeitsprinzip ausgenommen. Ohnehin handle es sich bei der Tätigkeit der Vorinstanz im Bereich Cyberangriffe nicht um eine klassische, auf die Informationsbeschaffung ausgerichtete nachrichtendienstliche Tätigkeit; im Vordergrund stünden die Erfassung und Auswertung von technischen Vorgängen, Abläufen und Mustern. Vor diesem Hintergrund sei fraglich, ob diese Tätigkeit überhaupt unter den Begriff der «klassischen» Informationsbeschaffung subsumiert werden könne. Die Beschwerdeführerin ist sodann der Ansicht, dass die Ausnahme vom Öffentlichkeitsprinzip nicht für unrechtmässige Informationsbeschaffungen gelte; an unrechtmässigen Informationsbeschaffungen bestünden keine schutzwürdigen Geheimhaltungsinteressen. Vielmehr sei gerade im Falle unrechtmässiger behördlicher Tätigkeit das Interesse der Öffentlichkeit am Zugang zu Informationen besonders gewichtig. Es sei ihr mithin Zugang zu den zwei Dokumenten zu gewähren, wobei allfälligen schutzwürdigen Geheimhaltungsinteressen in Nachachtung des Verhältnismässigkeitsgrundsatzes durch punktuelle Schwärzungen Rechnung getragen werden könne.
H. Die Vorinstanz beantragt mit Vernehmlassung vom 16. Oktober 2023, die Beschwerde sei abzuweisen. Sie macht erneut geltend, die zwei Dokumente enthielten Angaben zu den Abläufen und dem konkreten Vorgehen der Vorinstanz bei Cyberangriffen. Es bestehe daher ein berechtigtes Interesse an deren Geheimhaltung. Daran ändere sodann nichts, dass die Massnahmen zur Informationsbeschaffung in der Vergangenheit unrechtmässig eingesetzt worden sind. Dieselben Massnahmen könnten und würden unter Beachtung insbesondere des Vorbehalts der Genehmigung durch das Bundesverwaltungsgericht rechtmässig angeordnet. Die beiden Dokumente seien somit vom Öffentlichkeitsprinzip ausgenommen.
I. Die Beschwerdeführerin hält mit Schlussbemerkungen vom 4. Dezember 2023 an ihren Rechtsbegehren und an ihrer Beschwerdebegründung fest und weist darauf hin, dass die zwei Dokumente keine Angaben betreffend die rechtmässige Beschaffung von Informationen enthalten würden und daher der Zugang zu gewähren sei.
J. Auf die weiteren Ausführungen der Verfahrensbeteiligten und die bei den Akten liegenden Schriftstücke ist, soweit für den Entscheid erheblich, im Rahmen der nachfolgenden Erwägungen einzugehen.
1.1 Das Bundesverwaltungsgericht beurteilt gemäss Art. 31 des Verwaltungsgerichtsgesetzes (VGG, SR 173.32) Beschwerden gegen Verfügungen nach Art. 5 des Verwaltungsverfahrensgesetzes (VwVG, SR 172.021), soweit diese von einer Vorinstanz im Sinne von Art. 33 VGG erlassen worden sind und keine Ausnahme nach Art. 32 VGG vorliegt. Es prüft seine Zuständigkeit wie auch das Vorliegen der weiteren Sachurteilsvoraussetzungen frei und von Amtes wegen (Art. 7 Abs. 1 VwVG).
Mit dem Nachrichtendienst des Bundes NDB hat eine Dienststelle der Bundesverwaltung im Sinne von Art. 33 Bst. d VGG verfügt. Zudem liegt kein Ausnahmegrund im Sinne von Art. 32 VGG vor. Das gilt insbesondere auch für den Ausnahmegrund gemäss Art. 32 Abs. 1 Bst. a VGG, wonach die Beschwerde unzulässig ist unter anderem gegen Verfügungen auf dem Gebiet der inneren und äusseren Sicherheit; die angefochtene Verfügung betrifft ein Gesuch um Zugang zu amtlichen Dokumenten gestützt auf das Öffentlichkeitsgesetz und stellt keine Massnahme mit vorliegend politischem Charakter zur Wahrung der inneren oder äusseren Sicherheit dar (vgl. Urteil des BGer 1C_105/2024 vom 1. September 2025 E. 1.1 und Urteil des BVGer A-4725/2020 vom 1. Februar 2023 E. 1, je mit Hinweisen auf die Rechtsprechung). Das Bundesverwaltungsgericht ist daher zur Beurteilung der Beschwerde zuständig. Das Verfahren richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG; Art. 16 Abs. 1 BGÖ).
1.2 Zur Beschwerde ist berechtigt, wer vor der Vorinstanz am Verfahren teilgenommen hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung besitzt (Art. 48 Abs. 1 VwVG).
Die Vorinstanz hat der Beschwerdeführerin im Rahmen der Schlichtung teilweise Zugang zu den zwei Dokumenten gewährt, das Gesuch um Zugang jedoch im Übrigen mit Verfügung vom 10. August 2023 abgewiesen. Die Beschwerdeführerin, die sich als Gesuchstellerin am Verfahren vor der Vorinstanz beteiligt hat, ist durch die angefochtene Verfügung formell und materiell beschwert, verfügt mithin über ein schutzwürdiges Interesse an deren Aufhebung beziehungsweise Änderung und ist als zur Beschwerde berechtigt anzusehen.
1.3 Auf die im Übrigen frist- und formgerecht eingereichte Beschwerde (Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG) ist daher einzutreten.
Das Bundesverwaltungsgericht überprüft die angefochtene Verfügung auf Verletzungen von Bundesrecht, einschliesslich Überschreitung und Missbrauch des Ermessens, auf unrichtige oder unvollständige Feststellung des rechtserheblichen Sachverhalts und auf Unangemessenheit (Art. 49 VwVG). Es stellt dabei den rechtserheblichen Sachverhalt unter Vorbehalt der Mitwirkungspflicht der Parteien von Amtes wegen fest (Art. 12 und Art. 13 VwVG) und wendet das Recht grundsätzlich frei und von Amtes wegen an, ohne an die rechtliche Begründung der Parteibegehren gebunden zu sein (Art. 62 Abs. 4 VwVG).
Die Vorinstanz hat das Gesuch der Beschwerdeführerin um Zugang zum Schlussbericht zur internen Untersuchung und zum Rechtsgutachten im Wesentlichen abgewiesen. Zur Begründung hielt sie zusammengefasst fest, amtliche Dokumente betreffend die Informationsbeschaffung seien gemäss Art. 67 NDG vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen. Zudem könnten durch Gewährung des Zugangs die zielkonforme Durchführung konkreter behördlicher Massnahmen beeinträchtigt und die innere oder äussere Sicherheit der Schweiz gefährdet werden. Selbst wenn also das Öffentlichkeitsgesetz anzuwenden wäre, sei der Zugang aufgrund entgegenstehender öffentlicher Interessen zu verweigern.
Nach Auffassung der Beschwerdeführerin sind demgegenüber gemäss Art. 67 NDG nur jene Dokumente vom Öffentlichkeitsprinzip ausgenommen, die unmittelbar die (konkrete) Informationsbeschaffung betreffen würden. Gegenstand des Schlussberichts zur internen Untersuchung und des Rechtsgutachtens seien interne Abläufe und Vorgänge im Bereich Cyber und deren Beurteilung im Kontext mit den anwendbaren gesetzlichen Bestimmungen. Die beiden Dokumente würden mithin die Verwaltungstätigkeit der Vorinstanz betreffen. Ohnehin sei der Begriff der Informationsbeschaffung auf rechtmässige Massnahmen zur Informationsbeschaffung nach dem 3. Kapitel des Nachrichtendienstes beschränkt. Das Gesuch sei daher nach dem Öffentlichkeitsgesetz zu beurteilen und der Zugang (teilweise) zu gewähren.
Zum Verständnis und zur Prüfung der Vorbringen der Beschwerdeführerin ist im Folgenden zunächst die gesetzliche Ordnung im Zusammenhang mit dem Zugang zu amtlichen Dokumenten darzulegen (nachfolgend E. 4). Zudem ist auf die nachrichtendienstliche Tätigkeit der Vorinstanz einzugehen (nachfolgend E. 5). Gestützt darauf wird alsdann zu prüfen sein, ob die Vorinstanz das Gesuch der Beschwerdeführerin um Zugang zum Schlussbericht zur internen Untersuchung und zum Rechtsgutachten zu Recht abgewiesen hat (nachfolgend E. 6-10).
4.1 Das Öffentlichkeitsgesetz bezweckt, die Transparenz über den Auftrag, die Organisation und die Tätigkeit der Verwaltung zu fördern (Art. 1 BGÖ). Ziel ist es, den Entscheidungsprozess der Verwaltung transparenter zu gestalten, um den demokratischen Charakter der öffentlichen Institutionen sowie das Vertrauen der Bürger in die Behörden zu stärken und gleichzeitig die Kontrolle der Verwaltung zu verbessern (Urteil des BGer 1C_105/2024 vom 1. September 2025 E. 6.1 mit Hinweis auf BGE 150 II 191 E. 3). In Konkretisierung dieser Zielsetzung statuiert das Öffentlichkeitsgesetz das Prinzip der Öffentlichkeit mit Geheimhaltungsvorbehalt und gewährt jeder Person im persönlichen und sachlichen Geltungsbereich des Öffentlichkeitsgesetzes einen subjektiven, individuellen Anspruch auf Zugang zu amtlichen Dokumenten (Art. 6 Abs. 1 BGÖ; BGE 148 II 16 E. 3.4.1; Urteil des BVGer A-5417/2021 vom 10. Oktober 2024 E. 5.2 mit Hinweisen auf die Rechtsprechung).
Als amtliches Dokument gilt gemäss Art. 5 Abs. 1 BGÖ jede Information, die auf einem beliebigen Informationsträger aufgezeichnet ist, sich im Be-sitz einer Behörde befindet, von der sie stammt oder der sie mitgeteilt worden ist, und die Erfüllung einer öffentlichen Aufgabe betrifft. Entscheidend für die Qualifikation als amtliches Dokument ist (demnach) weder die Beschaffenheit eines Datenträgers noch dessen Bezeichnung. Ausschlaggebend für die Qualifikation als ein amtliches Dokument ist vielmehr, ob dem Träger ein Informationsgehalt beigegeben werden kann, weil er über einen informativen Inhalt verfügt. Ein solcher ist grundsätzlich auch dann anzunehmen, wenn ein Informationsträger (für sich allein) nur beschränkt aussagekräftig und somit interpretationsbedürftig ist (vgl. Urteile des BVGer A-2070/2017 vom 16. Mai 2018 E. 4.2.4.1 und A-7874/2015 vom 15. Juli 2016 E. 6.1, je mit Hinweisen).
4.2 Das Öffentlichkeitsgesetz regelt in Art. 2 zunächst den persönlichen Geltungsbereich des Gesetzes. Demnach und soweit hier von Interesse gilt das Öffentlichkeitsgesetz für die gesamte Bundesverwaltung (Art. 2 Abs. 1 Bst. a BGÖ). Im Weiteren umschreibt Art. 3 BGÖ den sachlichen Geltungsbereich des Gesetzes in Abs. 1 zunächst mittels einer Negativliste. Alle Bereiche, die darin keine Erwähnung finden, werden grundsätzlich vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes erfasst. Gemäss Art. 4 BGÖ bleiben sodann besondere Bestimmungen anderer Bundesgesetze vorbehalten, die bestimmte Informationen als geheim bezeichnen (Bst. a) oder vom Öffentlichkeitsgesetz abweichende Voraussetzungen für den Zugang zu bestimmten Informationen vorsehen (Bst. b). Eine spezielle Bestimmung im Sinne von Art. 4 BGÖ kann somit den Zugang zu amtlichen Dokumenten verhindern oder ihn abweichenden, möglicherweise strengeren Regeln unterwerfen (Urteil des BGer 1C_105/2024 vom 1. September 2025 E. 6.2 mit Hinweisen). Ob eine spezielle Bestimmung bestimmte Informationen als geheim bezeichnet oder vom Öffentlichkeitsgesetz abweichende Voraussetzungen für den Zugang zu bestimmten Informationen vorsieht, ist jeweils durch Auslegung zu ermitteln (Urteil des BGer 1C_214/2023 vom 5. März 2025 E. 3.1 mit Verweis u.a. auf BGE 150 II 191 E. 3.1 und BGE 146 II 265 E. 3).
4.3 Die Bestimmungen von Art. 7 ff. BGÖ sehen Ausnahmen vom Recht auf Zugang zu amtlichen Dokumenten gemäss Art. 6 Abs. 1 BGÖ vor oder schränken dieses ein.
Der Zugang zu amtlichen Dokumenten kann namentlich aus einem der in Art. 7 Abs. 1 BGÖ genannten Gründe eingeschränkt, aufgeschoben oder verweigert werden, so insbesondere, wenn durch seine Gewährung die zielkonforme Durchführung konkreter behördlicher Massnahmen beeinträchtigt würde (Bst. b) oder die innere oder äussere Sicherheit der Schweiz gefährdet werden kann (Bst. c). Eine «eigentliche» Interessenabwägung ist gemäss der bundesgerichtlichen Rechtsprechung unter solchen Umständen nicht mehr vorzunehmen. Der Gesetzgeber hat diese bereits generell-abstrakt vorweggenommen, indem er in Art. 7 Abs. 1 BGÖ in abschliessender Weise die Gründe nennt, aus denen das Geheimhaltungsinteresse den Öffentlichkeitsgrundsatz überwiegt (Urteil des BGer 1C_346/2023 vom 16. Dezember 2024 E. 4.4.1; vgl. auch Urteil des BGer 1C_105/2024 vom 1. September 2025 E. 6.3). Das Verhältnismässigkeits-prinzip kann es allerdings - entsprechend dem einleitenden Satzteil von Art. 7 Abs. 1 BGÖ - gebieten, den Zugang zu amtlichen Dokumenten statt zu verweigern, bloss einzuschränken oder aufzuschieben, etwa durch Anonymisierung, Einschwärzen, Teilveröffentlichung oder zeitlichen Aufschub (BGE 142 II 313 E. 3.6; Urteil des BGer 1C_335/2023 vom 11. März 2025 E. 3.3).
5.1 Die Tätigkeit der Vorinstanz ist im Nachrichtendienstgesetz geregelt. Demnach trägt die Vorinstanz in erster Linie präventiv zur Sicherheit des Landes bei. Ihr Auftrag ist es, sicherheitspolitische Bedrohungen gegen die Schweiz frühzeitig zu erkennen und darüber zuhanden der zuständigen Behörden Bericht zu erstatten. In diesem Sinne besteht die Aufgabe der Vorinstanz zur Hauptsache im Beschaffen und Beurteilen von Informationen - und deren Weitergabe in Form von nachrichtendienstlichen Produkten an berechtige Empfänger (vgl. Botschaft vom 19. Februar 2014 zum Nachrichtendienstgesetz [nachfolgend: Botschaft NDG], Bundesblatt [BBl] 2014 2105, 2141 und 2143; Urteil des BGer 1C_493/2023 vom 26. November 2024 E. 2.2).
Der Gesetzgeber hat entsprechend im 1. und 2. Kapitel zum Nachrichtendienstgesetz die Aufgaben der Vorinstanz und die Grundsätze der Informationsbeschaffung festgelegt. Demnach dient die Informationsbeschaffung unter anderem dem frühzeitigen Erkennen und Verhindern von Bedrohungen der inneren oder äusseren Sicherheit, die ausgeht beispielsweise von Terrorismus oder Angriffen auf kritische Infrastrukturen wie etwa der Informations-, Kommunikations- und Transportinfrastruktur (Art. 6 Abs. 1 Bst. a NDG). Zur Erfüllung ihrer Aufgaben beschafft die Vorinstanz Informationen aus öffentlich und nicht öffentlich zugänglichen Informationsquellen (Art. 5 Abs. 1 NDG). Sie bedient sich hierzu genehmigungsfreier und genehmigungspflichtiger Beschaffungsmassnahmen (Art. 5 Abs. 2 NDG). Die Vorinstanz beurteilt die Bedrohungslage anhand der beschafften Informationen und orientiert laufend die betroffenen Bundesstellen und die kantonalen Vollzugsbehörden (Art. 6 Abs. 2 NDG).
5.2 Die zulässigen Massnahmen zur Informationsbeschaffung sind im 3. Kapitel des Nachrichtendienstgesetzes aufgeführt. Das Gesetz bestimmt zunächst die genehmigungsfreien Beschaffungsmassnahmen. Es handelt sich um Massnahmen mit geringer Eingriffsintensität, die aus diesem Grund von der Vorinstanz selbständig und ohne besondere externe Genehmigung eingesetzt werden dürfen. Als genehmigungsfreie Beschaffungsmassnahmen stehen etwa öffentliche Informationsquellen wie Medien und öffentlich zugängliche Register, Beobachtungen an öffentlichen und allgemein zugänglichen Orten und menschliche Quellen zur Verfügung (Art. 13 ff. NDG; Botschaft NDG, BBl 2014 2105, 2149).
Der Vorinstanz kann zudem genehmigungspflichtige Beschaffungsmass-nahmen im Sinne von Art. 26 Abs. 1 NDG einsetzen. Das Gesetz nennt etwa die Überwachung Post- und Fernmeldeverkehrs gemäss dem Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF, SR 780.1), den Einsatz technischer Überwachungsgeräte und das Eindringen in Computernetzwerte und Computersysteme. Zudem darf die Vorinstanz Räumlichkeiten, Fahrzeuge und Behältnisse durchsuchen. Diese Massnahmen sind von grösserer Eingriffsintensität und unterliegen aus diesem Grund der Genehmigung durch eine unabhängige gerichtliche Instanz (Art. 27 Abs. 2 NDG). Genehmigungspflichtige Beschaffungsmassnahmen dürfen nur unter bestimmten Voraussetzungen angeordnet werden. Erforderlich ist unter anderem eine konkrete Bedrohung der inneren oder äusseren Sicherheit der Schweiz (vgl. Art. 27 Abs. 1 NDG; Botschaft NDG, BBl 2014 2105, 2148 f. und 2161 ff.).
Schliesslich beschafft die Vorinstanz Informationen über sicherheitspolitisch bedeutsame Vorgänge im Ausland. Sie darf hierzu in Computersysteme und -netzwerke im Ausland eindringen und im Rahmen der Funk- und Kabelaufklärung die grenzüberschreitende Kommunikation überwachen (Art. 36 ff. und Art. 39 ff. NDG; vgl. zur Funk- und Kabelaufklärung das Ur-teil des BVGer A-6444/2020 vom 19. November 2025).
5.3 Die weitere Bearbeitung von Personendaten durch die Vorinstanz ist im 4. Kapitel des Nachrichtendienstgesetzes geregelt.
Das Gesetz legt zunächst die Grundsätze der Datenbearbeitung fest und regelt die Qualitätssicherung. Die Vorinstanz ist demnach berechtigt, Personendaten - auch besonders schutzwürdige Personendaten - zu bearbeiten (Art. 44 Abs. 1 NDG). Zugleich ist sie gemäss Art. 45 Abs. 1 NDG verpflichtet, die Erheblichkeit und Richtigkeit der beschafften Personendaten zu beurteilen, bevor sie diese in einem Informationssystem erfasst. Sie darf zudem nur Informationen erfassen, die zur Erfüllung ihrer Aufgaben nach Art. 6 NDG dienen, unter Beachtung der im Gesetz festgelegten Datenbearbeitungsschranken (Art. 45 Abs. 2 NDG).
Zur Erfüllung ihrer Aufgaben gemäss Art. 6 NDG betreibt die Vorinstanz die in Art. 47 Abs. 1 NDG genannten nachrichtendienstlichen Informationssysteme. Das Gesetz legt für jedes Informationssystem in den Grundzügen deren Zweck und Inhalt fest (Art. 49 ff. NDG) und bildet somit formell-gesetzliche Grundlage für die entsprechende Datenbearbeitung. Zusätzlich zu den Informationssystemen betreibt die Vorinstanz Speichersysteme für Daten aus genehmigungspflichtigen Beschaffungsmassnahmen nach Art. 26 NDG sowie für Informationsbeschaffungen aus dem Ausland; gemäss Art. 58 Abs. 1 NDG speichert die Vorinstanz Daten aus genehmigungspflichtigen Beschaffungsmassnahmen fallbezogen und gesondert von den Informationssystemen gemäss Art. 47 NDG (vgl. für Daten aus Beschaffungen im Ausland Art. 36 Abs. 5 NDG). Die Einzelheiten der Datenbearbeitung - unter anderem die Struktur der Informationssysteme, die Voraussetzungen für eine Datenbearbeitung, die Zugriffsrechte und die Aufbewahrungsdauer - sind in der Verordnung über die Informations- und Speichersysteme des Nachrichtendienstes des Bundes (VIS-NDB, SR 121.2) geregelt (vgl. Art. 47 Abs. 2 NDG). Gemäss Art. 66 Abs. 1 VIS-NDB dienen die Speichersysteme der Vorinstanz der fallbezogenen Ablage, Abfrage und Auswertung der Daten, die im Rahmen von genehmigungspflichtigen Beschaffungsmassnahmen und von Beschaffungen im Ausland anfallen. Sie werden gesondert von den Informationssystemen betrieben (Art. 66 Abs. 2 NDG). Die Vorinstanz darf entsprechende Daten sodann nur weitergehend verwenden oder weitergeben, nachdem diese zuvor in das Informationssystem IASA NDB überführt hat (Art. 69 Abs. 1 VIS-NDB).
Das Nachrichtendienstgesetz enthält sodann besondere Bestimmungen über den Datenschutz (Art. 59 ff. NDG). Demnach gibt die Vorinstanz Personendaten anderen inländischen Behörden bekannt, wenn dies zur Wahrung der inneren oder äusseren Sicherheit notwendig ist (Art. 60 Abs. 1 NDG). Zu den betreffenden Behörden gehört unter anderem das an der Umsetzung der Nationalen Cyberstrategie (NCS) beteiligte Bundesamt für Cybersicherheit (Anhang 3 Ziff. 10.6 zur Nachrichtendienstverordnung [NDV, SR 121.1]). Innerhalb der besonderen Bestimmungen über den Datenschutz regelt Art. 67 NDG die bereits erwähnte Ausnahme vom Öffentlichkeitsprinzip. Schliesslich regelt das Nachrichtendienstgesetz die politische Steuerung des Nachrichtendienstes, die Kontrolle und den Rechtsschutz (Art. 70 ff. NDG).
6.1 Die Vorinstanz hält zur Begründung ihrer Verfügung zunächst und im Wesentlichen fest, der Schlussbericht zur internen Untersuchung und das Rechtsgutachten enthielten Angaben zur Informationsbeschaffung nach dem Nachrichtendienstgesetz. Die Dokumente seien daher vom Öffentlichkeitsprinzip ausgenommen. Die Beschwerdeführerin ist demgegenüber und unter Verweis auf die Empfehlung des EDÖB der Ansicht, die Bestimmung von Art. 67 NDG sei nicht anwendbar.
Strittig und daher zu prüfen ist der Anwendungsbereich von Art. 67 NDG; während die Vorinstanz dem Begriff der Informationsbeschaffung ein weites Verständnis beigibt und mithin von einem ebensolchen Anwendungsbereich ausgeht, geht die Beschwerdeführerin von einem engen Begriffsverständnis aus.
Im Folgenden ist durch Auslegung zu ermitteln, welcher Gehalt Art. 67 NDG beizugeben ist und ob es sich um eine besondere Bestimmung im Sinne von Art. 4 Bst. b BGÖ handelt.
6.2 Das Gesetz ist in erster Linie aus sich selbst heraus auszulegen, das heisst nach dem Wortlaut, Sinn und Zweck und der dem Gesetz zu Grunde liegenden Wertung auf der Basis einer teleologischen Verständnismethode. Zu berücksichtigen ist auch die Bedeutung, die einer Gesetzesbestimmung im Kontext mit anderen Bestimmungen zukommt. Die Gesetzesauslegung hat sich vom Gedanken leiten zu lassen, dass nicht schon der Wortlaut die Norm darstellt, sondern erst das an Sachverhalten verstandene und konkretisierte Gesetz. Gefordert ist mithin die sachlich richtige Entscheidung im normativen Gefüge, ausgerichtet auf den Sinn und Zweck der Gesetzesbestimmung und die (somit) vom Gesetzgeber erkennbar getroffenen Wertentscheidungen. Dabei dienen die Gesetzesmaterialien insbesondere bei jüngeren Erlassen als Hilfsmittel, um den Sinn einer Gesetzesbestimmung zu erkennen. Das Bundesverwaltungsgericht befolgt bei der Gesetzesauslegung einen pragmatischen Methodenpluralismus und lehnt es ab, die einzelnen Auslegungselemente einer hierarchischen Prioritätenordnung zu unterstellen (BGE 150 II 390 E. 5.2.1 mit Hinweisen; Urteil des BGer 2C_672/2023 vom 21. Januar 2025 E. 5.3 mit Hinweisen; Urteil des BVGer A-2088/2021 vom 27. Mai 2024 E. 6.2.2 mit Hinweisen).
6.3
6.3.1 Die Bestimmung von Art. 67 NDG trägt die Sachüberschrift «Ausnahme vom Öffentlichkeitsprinzip» und hat folgenden Wortlaut:
Das Öffentlichkeitsgesetz vom 17. Januar 2004 gilt nicht für den Zugang zu amtlichen Dokumenten betreffend die Informationsbeschaffung nach diesem Gesetz.
Zwischen den Verfahrensbeteiligten ist zunächst strittig, welche Bedeutung dem Begriff der Informationsbeschaffung beizugeben ist. Die Vorinstanz gibt dem Begriff (im Ergebnis) eine umfassende beziehungsweise weite Bedeutung bei, welche vorbereitende Massnahmen, die Beschaffung von Daten sowie die anschliessende weitere Bearbeitung beziehungsweise nachrichtendienstliche Auswertung der Daten mit dem Ziel der Gewinnung von Informationen einschliesst. Vom Öffentlichkeitsprinzip ausgenommen seien dabei auch jene Dokumente, deren Inhalt Rückschlüsse auf die Beschaffung und Auswertung von Daten zuliessen. Demgegenüber sind die Beschwerdeführerin und der EDÖB der Ansicht, die Bestimmung von Art. 67 NDG beziehe sich einzig auf die Informationsbeschaffung nach dem gleichnamigen 3. Kapitel des Nachrichtendienstgesetzes. Dokumente mit Angaben zur Organisation des Nachrichtendienstes und zur Einhaltung der gesetzlichen Vorgaben seien mithin nicht vom Öffentlichkeitsprinzip ausgenommen.
6.3.2 Der Begriff der Informationsbeschaffung wird im Gesetz nicht definiert. Der Wortsinn des Begriffs, der sich aus den Wörtern «Information» und «Beschaffung» zusammensetzt, legt im Kontext mit den weiteren Bestimmungen des Nachrichtendienstgesetzes ein weites Verständnis nahe. So beschaffen die Vorinstanz und - etwa im Rahmen der Kabelaufklärung - der Dienst für Cyber- und elektromagnetische Aktionen CEA zunächst Daten (vgl. für die Kabelaufklärung Art. 26 Abs. 1 der Nachrichtendienstverordnung [NDV, SR 121.1]; dazu eingehend das Urteil des BVGer A-6444/2020 vom 19. November 2025). Sie bedienen sich hierzu der zulässigen Massnahmen gemäss dem 3. Kapitel des Nachrichtendienstgesetzes. Die Vorinstanz speichert die beschafften Daten alsdann (gesondert) in einem ihrer Speicher- beziehungsweise Informationssysteme und wertet sie aus (Art. 6 Abs. 2 und Art. 45 Abs. 1 und 2 NDG; vgl. auch Art. 42 NDG, der ausdrücklich zwischen der Beschaffung von Daten und der anschliessenden nachrichtendienstlichen Auswertung unterscheidet; zudem die Botschaft NDG, BBl 2014 2105, 2181 f., die im Zusammenhang mit dem 4. Kapitel des Nachrichtendienstes von einer «Auswertung der nachrichtendienstlichen Daten» durch die Vorinstanz spricht). Durch die Auswertung erhalten die Daten einen konkreten nachrichtendienstlichen Aussagegehalt und werden insoweit zu nachrichtendienstlichen Informationen (vgl. Art. 48 NDG und Botschaft NDG, BBl 2014 2105, 2182).
6.3.3 Im Rahmen der Auslegung zu berücksichtigen sind sodann die Materialien. Das Nachrichtendienstgesetz und damit auch dessen Art. 67 wurden zeitlich nach dem Öffentlichkeitsgesetz erlassen; das vormals auf die Nachrichtendienste anwendbare Recht enthielt keine der Bestimmung von Art. 67 NDG vergleichbare Regelung. Zur Auslegung von Art. 67 NDG sind daher die Materialien zum Nachrichtendienstgesetz beizuziehen. Diese verweisen im Zusammenhang mit Art. 67 NDG auf den besonderen Schutzbedarf nachrichtendienstlicher Informationen. Aus diesem Grund sei während der Gesetzgebungsarbeiten geprüft worden, die Vorinstanz - wie die Schweizerische Nationalbank und die Finanzmarktaufsicht (Art. 2 Abs. 2 BGÖ) - vom persönlichen Geltungsbereich des Öffentlichkeitsgesetzes auszunehmen. Hierzu hielt der Bundesrat in seiner Botschaft fest (Botschaft NDG, BBl 2014 2105, 2196 [Hervorhebung nur hier]):
Da aber der NDB auch reine Verwaltungsgeschäfte betreut, für welche die Auskunft nach dem BGÖ durchaus möglich ist, schlägt der Bundesrat nur eine sachliche Ausnahme für die Unterlagen über die nachrichtendienstliche Informationsbeschaffung vor.
Im Rahmen der parlamentarischen Beratung wurde (erneut) beantragt, die Vorinstanz vom persönlichen Geltungsbereich und damit vollständig vom Öffentlichkeitsgesetz auszunehmen. Der Antrag fand allerdings keine Mehrheit (Amtliches Bulletin der Bundesversammlung [AB] 2015 S 628-630). Dasselbe gilt für den Antrag, die Ausnahme vom Öffentlichkeitsprinzip gemäss Art. 67 NDG zu streichen - mit der Folge, dass der Zugang zu Dokumenten betreffend die nachrichtendienstliche Informationsbeschaffung nach dem Öffentlichkeitsprinzip zu beurteilen gewesen wäre; im Rahmen der parlamentarischen Beratung wurde wiederholt betont, dass die nachrichtendienstlichen Quellen zu schützen und daher die Informationsbeschaffung vom Öffentlichkeitsprinzip auszunehmen sei (AB 2015 N 403-412). Es blieb mithin bei der sachlichen Ausnahme für Dokumente betreffend die nachrichtendienstliche Informationsbeschaffung.
Welches Verständnis den beiden Begriffen «Informationsbeschaffung» und «Verwaltungsgeschäft» beizugeben ist, kann den Materialien nach dem Gesagten unmittelbar nicht entnommen werden (Botschaft NDG, BBl 2014 2105, 2195 f.; AB 2015 N 403-412; AB 2015 S 628-630; AB 2015 N 1327-1329; AB 2015 S 792 f.). Gleichwohl legen die Materialien nahe, den Begriff der Informationsbeschaffung in ebendieser Abgrenzung zu den reinen Verwaltungsgeschäften und zum Schutz der nachrichtendienstlichen Quellen (vgl. hierzu sogleich E. 6.3.4) aufgabenbezogen beziehungsweise sachgebietsbezogen und damit weit zu verstehen. Demnach umfasst der Begriff sowohl die Beschaffung als auch die weitere Bearbeitung von Daten beziehungsweise Informationen auf dem Weg zum nachrichtendienstlichen Produkt und dieses selbst (vgl. zu den Aufgaben der Vorinstanz vorstehend E. 5.1).
6.3.4 Ein weites Normverständnis lässt sich auch aus dem Sinn und Zweck der Bestimmung (im normativen Gefüge) ableiten.
Der Nachrichtendienst hat wie bereits erwähnt den primären Auftrag, sicherheitspolitische Bedrohungen gegen die Schweiz frühzeitig zu erkennen und darüber den zuständigen Behörden Bericht zu erstatten. Die betreffenden nachrichtendienstlichen Informationen sind daher in besonderem Mass schutzbedürftig (vgl. vorstehend E. 5.1 und 6.3.3). Dieser besondere Schutzbedarf erstreckt sich nach dem Willen des Gesetzgebers insbesondere, aber nicht nur auf die Beschaffung von Daten, sondern auch auf die Möglichkeiten und Fähigkeiten zur nachrichtendienstlichen Auswertung. So bestimmt bereits Art. 35 NDG im 3. Kapitel des Nachrichtendienstgesetzes zur Informationsbeschaffung, dass die Vorinstanz den Schutz ihrer Quellen sicherstellt (Abs. 1) und der Schutz bei technischen Quellen in sachlicher Hinsicht geheimhaltungsbedürftige Angaben über Infrastruktur, Leistungsfähigkeit, operative Methoden und Verfahren der Informationsbeschaffung umfasst (Abs. 3 Bst. c). Gemäss den Materialien steht dabei «der Fortbestand der Quelle zur Informationsgewinnung im Vordergrund» (Botschaft NDG, BBl 2014 2105, 2174 [Hervorhebung nur hier]). Der Quellenschutz erstreckt sich somit auch aber nicht nur auf die Quelle zur Beschaffung von Daten, sondern auch auf die Quelle zur Beschaffung beziehungsweise Gewinnung von Informationen aus beschafften Daten (vgl. auch Art. 18 Abs. 5 NDV, welcher bei technischen Quellen die Reichweite des Quellenschutzes aufgabenbezogen festlegt). Insoweit ist von der Regelungsabsicht des Gesetzgebers auszugehen, den Begriff der Informationsbeschaffung im Anwendungsbereich von Art. 67 NDG ebenfalls weit zu verstehen; die Bestimmung von Art. 67 NDG erscheint insoweit als spezifische, auf das Öffentlichkeitsprinzip bezogene Konkretisierung der in Art. 35 NDG bereits festgehaltenen Grundsätze.
6.4 Zusammengefasst ergibt die Auslegung von Art. 67 NDG, dass es sich dabei um eine besondere Bestimmung im Sinne von Art. 4 Bst. b BGÖ handelt, die vom Öffentlichkeitsgesetz abweichende Voraussetzungen für den Zugang zu bestimmten Informationen vorsieht: Die Bestimmung nimmt amtliche Dokumente betreffend die Informationsbeschaffung nach dem Nachrichtendienstgesetz vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes aus. Zudem ist dem Begriff der Informationsbeschaffung im Anwendungsbereich von Art. 67 NDG ein weites Verständnis beizugeben; der Begriff schliesst neben der Beschaffung von Daten insbesondere die weitere Datenbearbeitung zur Erfüllung der Aufgaben gemäss Art. 6 NDG mit ein.
7.1 Die Beschwerdeführerin wendet gegen die angefochtene Verfügung sodann ein, Erkennung und Abwehr von Cyberbedrohungen seien im Wesentlichen auf eine technische Analyse ausgerichtet. Es handle sich mithin um keine klassische nachrichtendienstliche Tätigkeit, weshalb fraglich sei, ob diese Tätigkeit überhaupt unter den Begriff der Informationsbeschaffung subsumiert werden könne.
7.2 Aus den Materialien zum Nachrichtendienstgesetz geht hervor, dass Angriffe auf kritische Infrastrukturen wie die Informations- und Kommunikationsinfrastruktur durch die technische Entwicklung eine neue Bedeutung erhalten haben. Die Netzwerke der kritischen Infrastrukturen müssten gegen Angriffe von Hackern geschützt werden. Hierzu solle die Vorinstanz zuhanden der Stellen, die sich mit Cyberangriffen befassen, weiterhin gestützt auf Art. 6 Abs. 1 Bst. a NDG die notwendigen Informationen über drohende oder bereits erfolgte Angriffe beschaffen und die Abwehr von Angriffen unterstützen (Botschaft NDG, BBl 2014 2105, 2143 und 2227 f.). Der Bundesrat hat in Konkretisierung dessen eine Nationale Cyberstrategie (NCS) verabschiedet. Zu den Aufgaben der Vorinstanz gehört demnach die fortlaufende Beurteilung der Bedrohungslage und die Identifikation der Urheber von Cyberangriffen (sog. Attribution; Nationale Cybertrategie [nCS] von April 2023, Massnahmen M3 und M9, abrufbar unter < www.ncsc.admin.ch > NCS Strategie > Nationale Cyberstrategie NCS, besucht am 2. April 2026).
Mit der laufenden Revision des Nachrichtendienstgesetzes ist sodann vorgesehen, den Begriff des Cyberraumes explizit in das Gesetz aufzunehmen. Die Befugnisse der Vorinstanz wären damit nicht mehr auf den Schutz der kritischen Infrastruktur beschränkt, sondern würden neu umfassend die Feststellung, Beobachtung und Beurteilung von sicherheitspolitisch relevanten Vorgängen im Cyberraum umfassen (Botschaft vom 28. Januar 2026 zur Änderung des Nachrichtendienstgesetzes, BBl 2026 394, S. 20 f.).
7.3 Die Beschaffung von Informationen über drohende oder bereits erfolgte Cyberangriffe gehört nach dem Willen des Gesetzgebers somit (ausdrücklich) zu den Aufgaben der Vorinstanz. Entsprechend schliesst der Begriff der Informationsbeschaffung gemäss Art. 67 NDG auch diesen Aufgabenbereich ein.
8.1 Die Beschwerdeführerin macht weiter geltend, die Ausnahme vom Öffentlichkeitsprinzip gelte nur für Dokumente, die Angaben zu rechtmässigen Informationsbeschaffungen enthielten. Hier habe die Vorinstanz über Jahre unrechtmässig Daten beschafft, wobei eben diese Datenbeschaffung der Grund für die interne Untersuchung und das Einholen des Rechtsgutachtens gewesen seien. Mit dem EDÖB sei daher davon auszugehen, dass Art. 67 NDG nicht anwendbar sei. Die Vorinstanz ist demgegenüber der Auffassung, der sachliche Anwendungsbereich von Art. 67 NDG bestimme sich unabhängig von der Rechtmässigkeit der (konkreten) Informationsbeschaffung.
8.2 Der Streitgegenstand des Beschwerdeverfahrens wird durch das Anfechtungsobjekt begrenzt; dieses bildet den äusseren Rahmen des Streitgegenstands. Die Vorinstanz hat mit Verfügung vom 10. August 2023 das Gesuch der Beschwerdeführerin um Zugang zu zwei amtlichen Dokumenten abgewiesen. Über die Rechtmässigkeit der Informationsbeschaffung hat die Vorinstanz nicht verfügt. Dies schliesst jedoch nicht grundsätzlich aus, vorfrageweise die Rechtmässigkeit der Informationsbeschaffung zu prüfen.
Der Begriff der Rechtmässigkeit könnte im vorliegenden Kontext nur - aber immerhin - bedeuten, dass eine Informationsbeschaffung im Gesetz vorgesehen und damit vorhersehbar ist. Hingegen kann die Beurteilung, ob eine bestimmte Informationsbeschaffung nach dem Nachrichtendienstgesetz im Einzelfall rechtmässig erfolgt (ist), grundsätzlich nicht Vorfrage eines Verfahrens um Zugang zu amtlichen Dokumenten gestützt auf das Öffentlichkeitsgesetz sein. Eine solche Beurteilung würde voraussetzen, dass zur Wahrung der Parteirechte im Rahmen der Akteneinsicht Angaben bekannt gemacht werden, deren Geheimhaltung die Vorinstanz beabsichtigt (vgl. Urteil des BGer 1C_597/2020 vom 14. Juni 2021 E. 5.3, bestätigt mit Urteil des BGer 1C_109/2023 vom 16. Januar 2024 E. 2.3; vgl. zu den datenschutzrechtlichen Ansprüchen im Falle der begründeten Vermutung, dass die Vorinstanz eigene Personendaten bearbeitet, BGE 147 I 280 E. 5-11).
Hier steht die Überwachung des Fernmeldeverkehrs beziehungsweise das Verlangen von Randdaten in Frage. Diese Beschaffungsmassnahmen sind in Art. 26 Abs. 1 Bst. a NDG unter Verweis auf die Bestimmungen des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) vorgesehen. Vor diesem Hintergrund bleibt, wie vorstehend ausgeführt, kein Raum für eine weitergehende Beurteilung der Rechtmässigkeit der Informationsbeschaffung. Ob dies auch gilt, wenn - wie hier - die Vorinstanz über längere Zeit eine rechtswidrige Beschaffungspraxis verfolgt, kann unter Verweis auf die nachfolgenden Erwägungen offen bleiben.
8.3
8.3.1 Zu prüfen ist, ob der sachliche Anwendungsbereich von Art. 67 NDG auf rechtmässige Informationsbeschaffungen beschränkt ist. Hierzu ist Art. 67 NDG erneut auszulegen (vgl. zur Gesetzesauslegung vorstehend E. 6.2).
8.3.2 Gemäss dem Wortlaut von Art. 67 NDG gilt das Öffentlichkeitsgesetz nicht für den Zugang zu amtlichen Dokumenten betreffend «die Informationsbeschaffung nach diesem Gesetz». Der Wortlaut der Bestimmung lässt verschiedene Interpretationen zu (zur Bedeutung des Begriffs «Informationsbeschaffung» vgl. vorstehend E. 6). So kann «nach diesem Gesetz» bedeuten, dass der gesamte Sachbereich der nachrichtendienstlichen Informationsbeschaffung vom Öffentlichkeitsprinzip ausgenommen ist. Von einem solch umfassenden Verständnis der Bestimmung im Sinne einer sachbereichsumfassenden Ausnahme geht die Vorinstanz aus. Der Formulierung «nach diesem Gesetz» kann jedoch auch die Bedeutung «entsprechend diesem Gesetz» oder «gemäss diesem Gesetz» und damit - wie die Beschwerdeführerin geltend macht - ein engeres Verständnis beigegeben werden. In diesem Fall wäre nur jene Informationsbeschaffung vom Öffentlichkeitsprinzip ausgenommen, die sich auf das Nachrichtendienstgesetz abstützen lässt und insoweit rechtmässig erfolgt.
8.3.3 Der Gesetzgeber ging gemäss den Materialien davon aus, dass der besondere Schutzbedarf der nachrichtendienstlichen Informationsbeschaffung und insbesondere der Schutz der nachrichtendienstlichen Quellen nur schwer mit dem Transparenzgedanken des Öffentlichkeitsgesetzes vereinbar ist. Er beabsichtigte mit Erlass von Art. 67 NDG, diesem besonderen Schutzbedarf Rechnung zu tragen und beschloss eine «sachliche Ausnahme» vom Öffentlichkeitsprinzip für Unterlagen über die nachrichtendienstliche Informationsbeschaffung, während Gesuche um Zugang zu amtlichen Dokumenten zuvor - vor dem Inkrafttreten des Nachrichtendienstgesetzes - jeweils im Einzelfall gestützt auf das Öffentlichkeitsgesetz beurteilt und aufgrund entgegenstehender öffentlicher Interessen in der Regel abgewiesen worden waren (Botschaft NDG, BBl 2014 2105, 2195 f.; AB 2015 N 403-412, insb. Voten Nationalräte Roland Borer und Hugues Hiltpold, je für die Kommission). Die historisch an der Regelungsabsicht des Gesetzgebers orientierte Auslegung ergibt somit, dass mit Art. 67 NDG die nachrichtendienstliche Informationsbeschaffung als Sachbereich und damit unabhängig von der Rechtmässigkeit der Informationsbeschaffung vom Öffentlichkeitsprinzip ausgenommen ist (vgl. auch vorstehend E. 6.3.3).
8.3.4 Die Gesetzesauslegung hat sich, wie vorstehend ausgeführt, vom Gedanken leiten zu lassen, dass nicht schon der Wortlaut die Norm darstellt, sondern erst das an Sachverhalten verstandene und konkretisierte Gesetz. So kam das Bundesverwaltungsgericht in seinem Urteil A-6444/2020 vom 19. November 2025 zu dem Ergebnis, dass die Funk- und Kabelaufklärung als Massnahmen zur Informationsbeschaffung nicht in hinreichendem Mass Schutz vor Missbrauch bieten und die Informationsbeschaffung insoweit rechtswidrig erfolgt. Wäre der Anwendungsbereich von Art. 67 NDG entsprechend der Auffassung der Beschwerdeführerin auf rechtmässige Informationsbeschaffungen beschränkt, müsste als Folge des Urteils vom 19. November 2025 der Zugang zu sämtlichen Dokumenten betreffend die Funk- und Kabelaufklärung gewährt werden, obschon die Mängel bekannt sind und vom Gesetzgeber grundsätzlich behoben werden können (vgl. Urteil des BVGer A-6444/2020 vom 19. November 2025, E. 25, insb. E. 25.4; vgl. anders im sachlichen Geltungsbereich des Öffentlichkeitsgesetzes das Urteil des BVGer A-683/2016 vom 20. Oktober 2016 E. 7.1.3, wonach das öffentliche Interesse an den internationalen Beziehungen der Schweiz im Falle einer «rechtsstaatlich fragwürdigen» behördlichen Praxis nicht als schutzwürdig anzusehen und daher eine Ausnahme vom Öffentlichkeitsprinzip im Sinne von Art. 7 Abs. 1 Bst. d BGÖ nicht gerechtfertigt war). Ein solches Ergebnis wäre mit der dargestellten, hinter Art. 67 NDG stehenden Wertung des Gesetzgebers nicht vereinbar. Entsprechend ergeben sich weder in den Materialien noch im übrigen normativen Gefüge Hinweise darauf, dass mit der Formulierung «nach diesem Gesetz» der Anwendungsbereich von Art. 67 NDG auf rechtmässige Beschaffungsmassnahmen hätte beschränkt werden sollen (vgl. Botschaft NDG, BBl 2014 2105, 2195 f.). Ob dies auch für den Fall gilt, da eine Massnahme zur Informationsbeschaffung offensichtlich in krasser Weise elementare Grundrechte verletzt, muss hier nicht beurteilt werden (vgl. zur Einschränkung des Quellenschutzes Art. 35 Abs. 1 NDG).
8.4 Die weitere Auslegung von Art. 67 NDG ergibt somit, dass der Zugang zu amtlichen Dokumenten betreffend die Informationsbeschaffung durch die Vorinstanz unabhängig davon, ob die Informationsbeschaffung rechtmässig erfolgt, vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen ist.
9.1 Mit diesem Normverständnis ist im Folgenden zu prüfen, ob die Vorinstanz gestützt auf Art. 67 NDG zu Recht davon ausgegangen ist, der Schlussbericht zur internen Untersuchung und das Rechtsgutachten seien vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen. Die beiden Dokumente liegen dem Bundesverwaltungsgericht vor (Art. 16 Abs. 2 BGÖ).
Die Bestimmung von Art. 67 NDG ist zwar dem Nachrichtendienstrecht zuzuordnen, es handelt sich jedoch um eine Spezialbestimmung im Sinne von Art. 4 Bst. b BGÖ, die vom Öffentlichkeitsgesetz abweichende Voraussetzungen für den Zugang zu bestimmten Informationen vorsieht. Dem Begriff «Dokument» ist daher das Verständnis gemäss der Legaldefinition von Art. 5 BGÖ beizugeben. Entscheidend dafür, ob ein amtliches Dokument vorliegt, ist somit nicht die Beschaffenheit oder Struktur eines Dokuments, sondern dessen Informationsgehalt (vgl. vorstehend E. 4.1).
9.2 Gemäss der vorstehenden Auslegung von Art. 67 NDG ist der Begriff der Informationsbeschaffung weit zu verstehen. Dokumente, welche die nachrichtendienstliche Beschaffung und weitere Bearbeitung beziehungsweise Auswertung der Daten betreffen, sind vom Öffentlichkeitsprinzip ausgenommen. Dabei erfasst der sachliche Anwendungsbereich von Art. 67 NDG nicht nur Dokumente, die unmittelbar die Informationsbeschaffung betreffen. Vielmehr schliesst der Begriff der Informationsbeschaffung zur Verwirklichung öffentlicher Geheimhaltungsinteressen und damit entsprechend dem Normzweck auch all jene Angaben mit ein, die Rückschlüsse auf die Informationsbeschaffung nach dem Nachrichtendienstgesetz zulassen, also etwa auf operative und technische Fähigkeiten, die Strategie der Behörde oder auf Art und Umfang der nachrichtendienstlichen Tätigkeit (vgl. [im Zusammenhang mit öffentlichen Interessen gemäss Art. 7 Abs. 1 BGÖ] die Urteile des BGer 1C_493/2023 vom 16. November 2024 E. 5, insb. E. 5.1, 1C_222/2018 vom 21. März 2019 E. 4.5, 1C_122/2015 vom 18. Mai 2016 E. 3 und 1C_50/2015 vom 2. Dezember 2015 E. 3.4).
9.3
9.3.1 Einzugehen ist zunächst auf den Schlussbericht zur internen Untersuchung vom 17. Dezember 2021.
Die Vorinstanz hat den Schlussbericht im Schlichtungsverfahren teilweise zugänglich gemacht (vgl. vorstehend Sachverhalt Bst. D.c); die Beschwerdeführerin erhielt in teilweise geschwärzter Form Zugang zu den Ziff. 2 bis 7 des Schlussberichts (Zusammenfassung, Würdigung, Rahmenbedingungen des Beauftragten, Ausgangslage und Auftrag, Inhalt des vorliegenden Berichts und Methodisches Vorgehen). Nach Ansicht der Vorinstanz enthält der Schlussbericht im Übrigen konkrete Angaben zur Informationsbeschaffung im Bereich Cyber. Das Dokument sei daher insoweit gemäss Art. 67 NDG vom Öffentlichkeitsprinzip ausgenommen.
9.3.2 Die Vorinstanz beschaffte im Zusammenhang mit (möglichen) Cyberangriffen über mehrere Jahre in unrechtmässiger Weise Daten; für die Informationsbeschaffungen lagen weder richterliche Genehmigungen noch politische Freigaben vor (vgl. vorstehend Sachverhalt Bst. A). Vor diesem Hintergrund ordnete der Direktor des Nachrichtendienstes der Schweiz NDB am 29. April 2021 eine interne Untersuchung an. Der Abklärungsgegenstand umfasste 33 Fragen zu den vier Bereichen Informationsbeschaffung, Informationsverarbeitung, Firmenbeziehungen und besondere Auffälligkeiten in Bezug auf bereits gelöschte Daten (Schlussbericht vom 17. Dezember 2021 zur internen Untersuchung, Ziff. 5 [bereits zugänglich gemacht]).
Der Schlussbericht enthält - soweit nicht bereits zugänglich gemacht - eine Analyse der damals bestehenden Situation mit Angaben zu Prozessen, zu Aufgaben sowie zu Kompetenzen und Verantwortlichkeiten im Bereich Cyber. Diese Themen werden anhand verschiedener Fallbeispiele dargestellt, die jeweils konkrete, tatsächlich erfolgte Beschaffungen abbilden. Der Schlussbericht enthält nebst Angaben zu internen Zuständigkeiten und Kompetenzen auch solche zu konkreten Bedrohungssituationen beziehungsweise zum Hintergrund der jeweiligen Informationsbeschaffungen und deren Einordnung, zum konkreten Vorgehen und zu den jeweiligen Informationsquellen, zum Umfang der konkret beschafften Daten und zu deren Speicherung, zum Vorgehen bei der Auswertung der beschafften Daten und zur Art und Weise der Aufbewahrung der Daten. Die mit der Untersuchung Beauftragten geben in diesem Kontext sodann (im Hinblick auf die Rechtmässigkeit der Informationsbeschaffung und -bearbeitung) verschiedene Empfehlungen ab.
9.3.3 Der Schlussbericht zur internen Untersuchung enthält nach dem Gesagten als Ganzes Angaben betreffend die Informationsbeschaffung durch die Vorinstanz. Es wird anhand von konkreten Beschaffungsmassnahmen dargelegt, aus welchem Anlass und wie die Vorinstanz im Bereich Cyber Informationen beschafft, bearbeitet und auswertet. Aus dem Dokument ergibt sich mithin, über welche operativen und technischen Fähigkeiten und über welche Informationsquellen die Vorinstanz zur Erkennung und Analyse von Bedrohungssituationen sowie zur Attribution von Cyberangriffen verfügt (hat). Der Schlussbericht vom 17. Dezember 2021 zur internen Untersuchung ist somit gemäss Art. 67 NDG vom Öffentlichkeitsprinzip ausgenommen; ein Anspruch auf Zugang zum Schlussbericht besteht nach dem Willen des Gesetzgebers unabhängig vom Anlass der internen Untersuchung und dem damit verbundenen Informationsinteresse der Öffentlichkeit nicht. Die Vorinstanz hat insofern das Gesuch der Beschwerdeführerin zu Recht abgewiesen.
9.4
9.4.1 Zu beurteilen ist sodann das Gesuch um Zugang zum Rechtsgutachten vom 29. November 2021.
Die Vorinstanz hat das Inhaltsverzeichnis des Rechtsgutachtens im Schlichtungsverfahren teilweise zugänglich gemacht (vgl. vorstehend Sachverhalt Bst. D.c). Nach Ansicht der Vorinstanz enthält sodann auch das Rechtsgutachten konkrete Angaben zur Informationsbeschaffung im Bereich Cyber, weshalb das Dokument gemäss Art. 67 NDG vom Öffentlichkeitsprinzip ausgenommen sei.
9.4.2 Zusätzlich zur internen Untersuchung wurde ein Rechtsgutachten in Auftrag gegeben; das Dokument trägt den Titel «Rechtliche Beurteilung zur Informationsbeschaffung und -bearbeitung im Zusammenhang mit Cyberangriffen». Gegenstand des Rechtsgutachtens ist eine rechtliche Beurteilung der Informationsbeschaffung und -bearbeitung im Bereich Cyber. Das Rechtsgutachten enthält Angaben zur Ausgangslage (Ziff. 1), zum Sachverhalt und zu den konkreten Fragestellungen (Ziff. 2) sowie zur Einordnung und zum Inhalt des Berichts (Ziff. 3). Die eigentliche Beurteilung umfasst gemäss dem zugänglich gemachten Inhaltsverzeichnis im Wesentlichen die drei Themen Informationsbeschaffung (Ziff. 4), Aufbewahrung der Daten (Ziff. 5) und Weitergabe von Informationen (Ziff. 6).
Das Rechtsgutachten enthält zunächst Angaben zur Ausgangslage und damit zur unrechtmässigen Informationsbeschaffung durch die Vorinstanz im Bereich Cyber; es wird zusammengefasst die bisherige Praxis zur Informationsbeschaffung, zur Aufbewahrung der Daten und zur Weitergabe von Informationen an Behörden und Partnerdienste dargestellt. Damit verbunden werden sodann die zu beantwortenden Fragen formuliert. Die Fragen nehmen konkret Bezug auf die bisherigen Informationsbeschaffungen im Bereich Cyber (Ziffn. 1 und 2 des Rechtsgutachtens). Unter Ziff. 3 findet sich sodann eine verfassungsrechtliche Einordnung der Tätigkeit der Vorinstanz unter Berücksichtigung von Literatur und Rechtsprechung. Daran schliesst die eigentliche rechtliche Beurteilung (Ziffn. 4-6) an. Die Beurteilung besteht im Wesentlichen aus einer Auslegeordnung des anwendbaren Rechts, also insbesondere des Nachrichtendienstgesetzes, des gestützt darauf erlassenen Verordnungsrechts sowie des Datenschutzrechts. Auch hier werden Literatur und Rechtsprechung berücksichtigt. Zum Thema Informationsbeschaffung (Ziff. 4) findet sich zunächst eine Übersicht über die Informationsbeschaffung nach dem Nachrichtendienstgesetz, bevor konkret auf die im Bereich Cyber relevanten Beschaffungsmassnahmen (insb. Überwachung des Fernmeldeverkehrs, Eindringen in Comutersyteme und Computernetzwerke) eingegangen wird. Schliesslich werden die zu diesem Thema formulierten Fragen beantwortet (Ziff. 4.6). Zum Thema Aufbewahrung der Daten durch die Vorinstanz (Ziff. 5) enthält das Rechtsgutachten zunächst eine datenschutzrechtliche Einordnung. Daran schliesst eine Darstellung der rechtlichen Vorgaben für die Aufbewahrung sowie zur Daten- und Informatiksicherheit an, bevor schliesslich wiederum die zu diesem Thema formulierten Fragen beantwortet werden (Ziff. 5.5). Auch zum Thema Weitergabe von Informationen findet sich zunächst eine Übersicht zu den gesetzlichen Vorgaben, bevor spezifisch auf die Weitergabe von Informationen an inländische Behörden und ausländische Partnerdienste eingegangen wird und schliesslich die zu diesem Thema formulierten Fragen beantwortet werden (Ziff. 6.5).
9.4.3 Das Rechtsgutachten besteht im Wesentlichen aus zwei Teilen. In einem ersten Teil wird die bisherige Informationsbeschaffung durch die Vorinstanz im Bereich Cyber dargestellt und es werden die zu beantwortenden Fragen formuliert (Ziffn. 1 und 2). Die betreffenden Ausführungen enthalten konkrete Angaben dazu, wie die Vorinstanz im Bereich Cyber Informationen beschafft, bearbeitet und auswertet. Aus den betreffenden Ausführungen ergibt sich mithin, über welche operativen und technischen Fähigkeiten und über welche Informationsquellen die Vorinstanz im Bereich Cyber verfügt. In einem zweiten Teil enthält das Dokument im Wesentlichen eine Auslegeordnung des anwendbaren Rechts. Auf die konkrete Informationsbeschaffung durch die Vorinstanz wird nur vereinzelt sowie im Rahmen der Beantwortung der konkreten Fragen Bezug genommen.
Entscheidend bei der Beurteilung eines Dokuments ist weder die Beschaffenheit noch die Bezeichnung eines Informationsträgers, sondern der Informationsgehalt, der einem Dokument beizugeben ist. In diesem Sinne nimmt die Bestimmung von Art. 67 NDG jene Angaben vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes aus, welche die Informationsbeschaffung nach dem Nachrichtendienstgesetz betreffen. Angaben mit anderem Informationsgehalt fallen hingegen in den Geltungsbereich des Öffentlichkeitsgesetzes und es besteht insoweit grundsätzlich ein Anspruch auf Zugang zu den betreffenden Angaben. Die Beurteilung eines Dokuments anhand von dessen Informationsgehalt kann im Anwendungsbereich von Art. 67 NDG somit zur Folge haben, dass (voneinander abgrenzbare) Teile eines Dokuments vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen sind, während für andere Teile grundsätzlich ein Anspruch auf Zugang besteht. Ein solcher Anspruch auf teilweisen Zugang zu einem Dokument ist dem Öffentlichkeitsgesetz nicht fremd; nach der Rechtsprechung kann es das Verhältnismässigkeitsprinzip gebieten, den Zugang zu amtlichen Dokumenten, statt aufgrund überwiegender Geheimhaltungsinteressen zu verweigern, bloss einzuschränken oder aufzuschieben (vgl. hierzu vorstehend E. 4.3).
Gemäss Art. 67 NDG sind somit lediglich jene Angaben in einem Dokument vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen, welche die Informationsbeschaffung nach dem Nachrichtendienstgesetz betreffen. Das betrifft hier im Wesentlichen den ersten Teil des Rechtsgutachtens, also die Ausführungen zur Ausgangslage und zum Auftrag (Ziff. 1) sowie zum Sachverhalt und zur konkreten Fragestellung (Ziff. 2). Zudem wird auch im zweiten Teil im Rahmen der Beantwortung der einzelnen Fragen jeweils konkret auf die Informationsbeschaffung durch die Vorinstanz im Bereich Cyber Bezug genommen (Ziffn. 4.6, 5.5 und 6.5). Der zweite Teil des Rechtsgutachtens weist im Rahmen der allgemeinen rechtlichen Auslegeordnung abgesehen von einzelnen Passagen keinen Bezug zur Informationsbeschaffung durch die Vorinstanz im Bereich Cyber auf und ermöglicht auch keine Rückschlüsse auf diese. Der zweite Teil des Rechtsgutachtens (Ziffn. 3-6) ist insoweit nicht vom Anwendungsbereich von Art. 67 NDG erfasst und es besteht grundsätzlich ein Anspruch auf Zugang zu dem Dokument, soweit dieser nicht aufgrund entgegenstehender Interessen einzuschränken, aufzuschieben oder zu verweigern ist (vgl. hierzu nachfolgend E. 10).
Das Bundesverwaltungsgericht entscheidet nach Art. 61 Abs. 1 VwVG in der Sache selbst oder weist diese ausnahmsweise mit verbindlichen Weisungen an die Vorinstanz zurück. Hier ist es dem Bundesverwaltungsgericht nicht abschliessend möglich, im zweiten Teil des Rechtsgutachtens (Ziffn. 3-6, ausgenommen die Ziffn. 4.6, 5.5 und 6.5) jene Passagen zu bezeichnen, in denen konkret auf die Informationsbeschaffung durch die Vorinstanz Bezug genommen wird oder die Rückschlüsse auf die betreffende Informationsbeschaffung zulassen. Nach vorläufiger Beurteilung durch das Bundesverwaltungsgericht betrifft dies etwa die Randziffern 39, 72, 95, 173, 211, 219, 227, 236, 239, 255, 269, 277, 284 f., 300 bis 303, 359, 392-396, 402 sowie 408 bis 412 und damit einen vergleichsweise geringen Umfang des zweiten Teils, so dass dieser auch mit Schwärzungen ohne Weiteres einen eigenständigen Informationsgehalt behält. Die Vorinstanz ist aufgrund ihrer sachlichen Nähe besser geeignet, eine abschliessende Beurteilung darüber vorzunehmen, welche Passagen im zweiten Teil des Rechtsgutachtens zusätzlich zu den ohnehin vom Öffentlichkeitsprinzip ausgenommenen Ziffn. 4.5, 5.5 und 6.5 Angaben zur Informationsbeschaffung durch die Vorinstanz enthalten oder Rückschlüsse auf diese zulassen. Die angefochtene Verfügung ist daher in Bezug auf das Rechtsgutachten aufzuheben und die Sache zur neuen Entscheidung im Sinne der Erwägungen dieses Urteils an die Vorinstanz zurückzuweisen.
9.4.4 Die Vorinstanz hat der Beschwerdeführerin das Inhaltsverzeichnis zum Rechtsgutachten teilweise geschwärzt zugänglich gemacht; die Angaben zu Ziff. 4.2 sind unkenntlich gemacht.
In der Überschrift zu Ziff. 4.2 wird eine Massnahme zur Informationsbeschaffung genannt. Die Bekanntgabe, dass die Vorinstanz eine bestimmte Massnahme einsetzt, kann eine Angabe zur Informationsbeschaffung darstellen und daher vom Anwendungsbereich von Art. 67 NDG erfasst sein. Davon ist jedoch nicht ohne Weiteres auszugehen, da das Gesetz die zulässigen Beschaffungsmassnahmen nennt und diese eingesetzt werden können. Zudem wurden zu den Vorkommnissen im Zusammenhang mit der Informationsbeschaffung durch die Vorinstanz im Bereich Cyber im Zuge der Administrativuntersuchung Angaben zur Informationsbeschaffung zugänglich gemacht. Es erscheint daher fraglich, ob nicht als bekannt gelten kann, dass die Vorinstanz die unter Ziff. 4.2 des Rechtsgutachtens genannte Massnahme zur Informationsbeschaffung einsetzt. Die Frage kann jedoch hier offen bleiben, da die Angelegenheit in Bezug auf den Zugang zum Rechtsgutachten ohnehin zur neuen Entscheidung an die Vorinstanz zurückzuweisen ist. Diese wird auch zu prüfen haben, ob der Einsatz der unter Ziff. 4.2 des Rechtsgutachtens genannte Massnahme als bekannt gelten und gegebenenfalls das Rechtsgutachten auch in Bezug auf Ziff. 4.2 zugänglich gemacht werden kann, soweit es eine Auslegeordnung des anwendbaren Rechts enthält.
9.5 Zusammenfassend ergibt sich, dass der Schlussbericht vom 17. Dezember 2021 zur internen Untersuchung, soweit er nicht bereits zugänglich gemacht worden ist, die Informationsbeschaffung nach dem Nachrichtendienstgesetz betrifft und daher in Anwendung von Art. 67 NDG kein Anspruch auf Zugang zu dem Dokument besteht. Die Beschwerde ist daher insoweit abzuweisen. Dasselbe gilt für die Angaben unter den Ziffn. 1 und 2 sowie den Ziffn. 4.6, 5.5 und 6.5 des Rechtsgutachtens vom 29. November 2021. Der zweite Teil des Rechtsgutachtens vom 29. November 2021 (Ziffn. 3-6, ausgenommen die Ziffn. 4.6, 5.5 und 6.5) enthält eine Auslegeordnung des anwendbaren Rechts, die grundsätzlich keinen Bezug zur Informationsbeschaffung durch die Vorinstanz aufweist und auch keine Rückschlüsse auf diese ermöglicht. Das Rechtsgutachten fällt insoweit in den sachlichen Geltungsbereich des Öffentlichkeitsgesetzes und es besteht grundsätzlich ein Anspruch auf Zugang zu dem Dokument, sofern der Zugang nicht aufgrund entgegenstehender Interessen einzuschränken, aufzuschieben oder zu verweigern ist (vgl. hierzu nachfolgend E. 10). Es wird Sache der Vorinstanz sein, diejenigen Passagen im Rechtsgutachten zu bezeichnen und zu schwärzen, in denen auf die Informationsbeschaffung durch die Vorinstanz Bezug genommen wird oder die Rückschlüsse auf die betreffende Informationsbeschaffung zulassen. Das gilt in Bezug auf Personendaten auch für das Titelblatt und die Seite mit den Unterschriften der Verfasser. Insoweit ist die Beschwerde gutzuheissen, die angefochtene Verfügung aufzuheben und die Sache an die Vorinstanz zum neuen Entscheid zurückzuwiesen.
10.1 Die Vorinstanz macht geltend, einem Zugang zu den zwei Dokumenten stünden öffentliche Interessen im Sinne von Art. 7 Abs. 1 BGÖ entgegen; es werde die zielkonforme Durchführung konkreter behördlicher Massnahmen beeinträchtigt und zudem die innere und äussere Sicherheit gefährdet.
Aus prozessökonomischen Gründen ist im Folgenden darauf einzugehen; stünden einem Zugang zum Rechtsgutachten öffentliche Interessen entgegen und müsste aufgrund dessen der Zugang verweigert werden, würde die Rückweisung der Sache an die Vorinstanz zu einem formalistischen Leerlauf führen. Da gemäss den vorstehenden Erwägungen einzig ein teilweiser Zugang zum Rechtsgutachten in Betracht kommt, ist die Beurteilung auf dieses Dokument zu beschränken.
10.2 Die Bestimmungen von Art. 7 ff. BGÖ sehen Ausnahmen vom Recht auf Zugang zu amtlichen Dokumenten gemäss Art. 6 Abs. 1 BGÖ vor oder schränken dieses ein (vgl. vorstehend E. 4.3). In Betracht fallen hier die beiden Ausnahmetatbestände gemäss Art. 7 Abs. 1 Bst. b und c BGÖ. Demnach wird der Zugang zu amtlichen Dokumenten eingeschränkt, aufgeschoben oder verweigert, wenn durch seine Gewährung die zielkonforme Durchführung konkreter behördlicher Massnahmen beeinträchtigt würde oder die innere oder äussere Sicherheit der Schweiz gefährdet werden könnte; auch die Vorinstanz verweist auf diese beiden Bestimmungen für den Fall, dass der Zugang zu den zwei Dokumenten nicht bereits vom sachlichen Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen würde.
Der Ausnahmegrund von Art. 7 Abs. 1 Bst. b BGÖ stellt sicher, dass Informationen geheim gehalten werden können, die der Vorbereitung konkreter behördlicher Massnahmen dienen. Der Anwendungsbereich der Bestimmung schliesst auch eine konkrete behördliche Praxis mit ein, nicht hingegen die allgemeine Aufgabenerfüllung einer Behörde (vgl. Urteile des BGer 1C_105/2024 vom 1. September 2025 E. 6.4.1 und 1C_475/2023 vom 18. Februar 2025 E. 5.1, je mit Hinweisen). Der Ausnahmegrund von Art. 7 Abs. 1 Bst. c BGÖ bezieht sich insbesondere auf die Tätigkeit der Polizei, des Nachrichtendienstes und des Militärs. Eine Gefährdung der inneren oder äusseren Sicherheit wird nach der Rechtsprechung angenommen, wenn die Offenlegung eines Dokuments oder einer Information ein erhöhtes Risiko von Angriffen zur Folge hätte. Der Ausnahmetatbestand erfasst zudem Angaben zu Organisation, Tätigkeit und Strategie einer Behörde mit Sicherheitsaufgaben (Urteil des BGer 1C_105/2024 vom 1. September 2025 E. 6.5.1 mit Hinweisen).
10.3
10.3.1 Vorab ist zu prüfen, welche Bedeutung dem Ausnahmetatbestand gemäss Art. 7 Abs. 1 Bst. b BGÖ im Verhältnis zu Art. 67 NDG zukommt.
Die Auslegung von Art. 67 NDG ergab, dass der Begriff der Informationsbeschaffung aufgabenbezogen und damit weit zu verstehen ist; erfasst wird sowohl die Beschaffung als auch die weitere Bearbeitung von Daten auf dem Weg zum nachrichtendienstlichen Produkt und dieses selbst (vgl. vorstehend E. 6, insbes. E. 6.3). Massnahmen im Sinne von Art. 7 Abs. 1 Bst. b BGÖ wiederum sind konkrete, auf einen bestimmten Erfolg gerichtete und auf das Gesetz abgestützte Handlungen einer Behörde. Eine Gegenüberstellung der beiden Begriffe ergibt, dass der weit verstandene Begriff der Informationsbeschaffung im Sinne von Art. 67 NDG auch die Massnahmen im Sinne von Art. 7 Abs. 1 Bst. b BGÖ - die konkrete Informationsbeschaffung beziehungsweise die konkrete Praxis der Vorinstanz - einschliesst. Soweit also die beiden Dokumenten Angaben dazu enthalten, zu welchem Zweck und mit welchen (technischen) Möglichkeiten die Software zur Gesichtserkennung eingesetzt wird, sind die Dokumente bereits gemäss Art. 67 NDG vom sachlichen Geltungsbereich des Öffentlichkeitsprinzips ausgenommen (vgl. vorstehend E. 9). Dem Ausnahmetatbestand gemäss Art. 7 Abs. 1 Bst. b BGÖ kommt daher hier keine selbständige Bedeutung mehr zu.
10.3.2 Im Weiteren ist weder ersichtlich noch begründet dargetan, dass ein teilweiser Zugang zum Rechtsgutachten und damit zur Auslegeordnung des anwendbaren Rechts ohne Bezug zur konkreten Informationsbeschaffung durch die Vorinstanz die innere oder äussere Sicherheit (Art. 7 Abs. 1 Bst. c BGÖ) gefährdet (vgl. im Ergebnis übereinstimmend das Urteil des BVGer A-3122/2014 vom 24. November 2014 E. 5.1.1 und 5.1.3).
10.4 Dem Anspruch der Beschwerdeführerin auf einen teilweisen Zugang zum Rechtsgutachten vom 29. November 2021 steht somit kein Ausnahmegrund im Sinne von Art. 7 Abs. 1 BGÖ entgegen. Andere Gründe für eine weitergehende Einschränkung des Zugangs sind nicht ersichtlich.
Die beiden hier in Frage stehenden Dokumente, der Schlussbericht zur internen und das Rechtsgutachten, sind nach ihrem Informationsgehalt dahingehend zu beurteilen, ob sie Angaben zur Informationsbeschaffung nach dem Nachrichtendienstgesetz enthalten. Dies kann dazu führen, dass (voneinander abgrenzbare) Teile eines Dokuments vom Öffentlichkeitsprinzip ausgenommen sind, weil sie die Informationsbeschaffung betreffen, während für andere Teile grundsätzlich ein Anspruch auf Zugang besteht.
Mit diesem Normverständnis ergibt sich, dass der Schlussbericht vom 17. Dezember 2021 zur internen Untersuchung, soweit er nicht bereits zugänglich gemacht worden ist, konkret erfolgte Informationsbeschaffungen und damit Angaben zu den operativen und technischen Fähigkeiten der Vorinstanz zum Gegenstand hat. Es besteht daher kein Anspruch auf Zugang zu dem Dokument. Das gilt teilweise auch für das Rechtsgutachten vom 29. November 2021. Das Rechtsgutachten enthält jedoch darüber hinaus eine Auslegeordnung des anwendbaren Rechts, die grundsätzlich keinen Bezug zur Informationsbeschaffung durch die Vorinstanz aufweist. Das Dokument unterliegt insoweit dem Öffentlichkeitsprinzip. Da zudem kein Ausnahmegrund besteht, hat die Vorinstanz der Beschwerdeführerin grundsätzlich Zugang zu den betreffenden Angaben zu gewähren. Es wird Sache der Vorinstanz sein, abschliessend diejenigen Passagen zu schwärzen, die einen Bezug zur Informationsbeschaffung aufweisen oder Rückschlüsse auf diese zulassen. Die Beschwerde ist somit teilweise gutzuheissen, die angefochtene Verfügung aufzuheben und die Sache zur neuen Entscheidung an die Vorinstanz zurückzuweisen.
12.1 Es bleibt, über die Koste- und Entschädigungsfolgen für das vorliegende Beschwerdeverfahren zu entscheiden.
12.2 Das Bundesverwaltungsgericht auferlegt die Kosten für das Beschwerdeverfahren in der Regel der unterliegenden Partei. Ausnahmsweise können die Kosten erlassen werden (Art. 63 Abs. 1 VwVG).
Die Kosten für das vorliegende Beschwerdeverfahren sind auf Fr. 1'500.- festzusetzen (Art. 1 ff. des Reglements über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Die Beschwerde ist in Bezug auf den anbegehrten Zugang zum Rechtsgutachten vom 29. November 2021 teilweise gutzuheissen und die Beschwerdeführerin entsprechend als teilweise obsiegend anzusehen. Im Übrigen gilt die Beschwerdeführerin als unterliegend und es sind ihr entsprechend Verfahrenskosten in der Höhe von Fr. 1'000.- zur Bezahlung nach Eintritt der Rechtskraft dieses Urteils aufzuerlegen. Der Betrag ist dem von der Beschwerdeführerin in der Höhe von Fr. 1'500.- geleisteten Kostenvorschuss zu entnehmen. Der Restbetrag in der Höhe von Fr. 500.- ist der Beschwerdeführerin nach Eintritt der Rechtskraft dieses Urteils zurückzuerstatten. Sie hat dem Bundesverwaltungsgericht hierzu ihre Kontoverbindung bekannt zu geben. Der Vorinstanz sind keine Verfahrenskosten aufzuerlegen (Art. 63 Abs. 2 VwVG).
12.3
12.3.1 Das Bundesverwaltungsgericht spricht der ganz oder teilweise obsiegenden Partei von Amtes wegen oder auf Begehren eine Entschädigung für ihre erwachsene notwendige und verhältnismässig hohe Kosten zu (Art. 64 Abs. 1 VwVG). Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige weitere Auslagen der Partei (Art. 8 Abs. 1 VGKE).
12.3.2 Das Bundesverwaltungsgericht legt die Entschädigung aufgrund der eingereichten Kostennote oder, wenn keine oder keine detaillierte Kostennote eingereicht wird, aufgrund der Akten fest (Art. 14 Abs. 1 und Abs. 2 VGKE). Liegt wie hier eine detaillierte Kostennote vor, sind die ausgewiesenen Kosten nicht unbesehen zu ersetzen. Vielmehr ist zu prüfen, ob diese als notwendig anerkannt werden können; die Entschädigung hat nicht jeden erdenklichen, sondern nur den notwendigen Aufwand zu ersetzen (Art. 64 Abs. 1 VwVG). Als notwendig anzusehen sind Kosten, wenn sie im Zeitpunkt der Kostenaufwendung zur sachgerechten und wirksamen Rechtsverfolgung oder Rechtsvertretung unerlässlich scheinen (Urteil des BVGer A-2088/2021 vom 27. Mai 2024 E. 10.3.1 mit Hinweis).
Bei der Beurteilung, ob es sich bei geltend gemachtem Aufwand um notwendige Kosten handelt, steht dem Bundesverwaltungsgericht ein erheblicher Ermessensspielraum zu. In Betracht zu ziehen ist nebst der Komplexität der Streitsache etwa, ob der Rechtsvertretung die Sach- und Rechtslage bereits bekannt war (vgl. Urteile des BGer 2C_730/2017 vom 4. April 2018 E. 3.5.2, 8C_329/2011 vom 29. Juli 2011 E. 6, 2C_343/2010 vom 11. April 2011 E. 8.3.4 und 2C_445/2009 vom 23. Februar 2010 E. 5). Zu einer Herabsetzung der anbegehrten Parteientschädigung haben nach der Rechtsprechung sodann Wiederholungen in Rechtsschriften und Eingaben sowie der nicht sachlich begründete Beizug mehrerer Rechtsvertreter geführt (Urteile des BVGer A-644/2020 vom 24. Juni 2020 E. 3.2.5, A-5904/2018 vom 4. Dezember 2019 E. 7.2.1 und A-1969/2017 vom 22. Januar 2019 E. 13.2.1, je mit Hinweisen).
12.3.3 Die Beschwerdeführerin hat mit Schreiben vom 5. Dezember 2023 eine detaillierte Kostennote eingereicht. Diese weist bei einem zeitlichen Aufwand von insgesamt 53.53 Stunden zu einem Stundenansatz von Fr. 300.- beziehungsweise Fr. 250.- sowie Mehrwertsteuer in der Höhe von 7.7 % Kosten von insgesamt Fr. 15'146.25 aus. Barauslagen werden keine ausgewiesen.
Die vorliegende Streitsache kann weder als besonders komplex noch als besonders aufwändig bezeichnet werden. Angesichts dessen sowie mit Blick auf den Umfang und die rechtlichen Ausführungen in den Rechtsschriften erscheint der geltend gemachte Aufwand für das Verfassen der Beschwerdeschrift und der Schlussbemerkungen nicht als angemessen. Unter Berücksichtigung dieser Umstände sowie des teilweisen Unterliegens der Beschwerdeführerin erachtet das Bundesverwaltungsgericht eine reduzierte Parteientschädigung in der Höhe von Fr. 2'500.- (inkl. Mehrwertsteuerzuschlag im Sinne von Art. 9 Abs. 1 Bst. c VGKE) als angemessen. Die Parteientschädigung ist der Beschwerdeführerin von der Vorinstanz nach Eintritt der Rechtskraft des vorliegenden Urteils zu entrichten.
Die Beschwerde wird im Sinne der Erwägungen (E. 9.4 und 9.5) teilweise gutgeheissen. Die angefochtene Verfügung wird aufgehoben, soweit die Vorinstanz der Beschwerdeführerin den Zugang zum Dokument «Rechtliche Beurteilung zur Informationsbeschaffung und -bearbeitung im Zusammenhang mit Cyberangriffen» vom 29. November 2021 (Ziffn. 3 - 6, ausgenommen die Ziffn. 4.6, 5.5 und 6.5) verweigert hat. Die Sache wird zur neuen Entscheidung im Sinne der Erwägungen (E. 9.4 und 9.5) an die Vorinstanz zurückgewiesen. Im Übrigen wird die Beschwerde abgewiesen.
Der Beschwerdeführerin werden Verfahrenskosten von Fr. 1'000.- zur Bezahlung nach Eintritt der Rechtskraft des vorliegenden Urteils auferlegt. Der Betrag wird dem Kostenvorschuss von Fr. 1'500.- entnommen. Der Restbetrag von Fr. 500.- wird der Beschwerdeführerin nach Eintritt der Rechtskraft des vorliegenden Urteils zurückerstattet. Sie hat dem Bundesverwaltungsgericht hierzu ihre Kontoverbindung bekannt zu geben.
Die Vorinstanz hat der Beschwerdeführerin nach Eintritt der Rechtskraft dieses Urteils eine Parteientschädigung von Fr. 2'500.- zu bezahlen.
Dieses Urteil geht an die Beschwerdeführerin, die Vorinstanz, das Generalsekretariat des Departements für Verteidigung, Bevölkerungsschutz und Sport VBS und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB.
Der vorsitzende Richter: Der Gerichtsschreiber: Jürg Marcel Tiefenthal Benjamin Strässle
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).
Versand:
Zustellung erfolgt an:
die Beschwerdeführerin (Gerichtsurkunde)
das Generalsektretariat des Departements für Verteidigung, Bevölkerungsschutz und Sport VBS (Gerichtsurkunde)
die Vorinstanz (Einschreiben)
den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB (zur Kenntnis)