Der Bundestag gibt den Anbietern der Frühstartrente bis Ende 2027 Zeit für die Meldung an den Staat. Das BSI rechnet bei der PHP-Lücke mit Angriffen wenige Stunden nach dem Patch. Und der Markt füllt eine unbeantwortete Frage mit dem Versprechen „über den Arbeitgeber“.
Am 16. Oktober hat der Bundestag die Frühstartrente beschlossen. Fünf Tage später warnte das BSI vor zwei kritischen PHP-Lücken und rechnete mit Angriffen wenige Stunden nach dem Patch. In dieser Folge geht es darum, wie unterschiedlich die Uhren gerade laufen.
Thema eins: Was am 16. Oktober beschlossen wurde. Der Bundestag hat das Frühstartrentengesetz in der Fassung der Beschlussempfehlung des Finanzausschusses angenommen (BT-Drs. 21/8606). Die Ruhendstellung endet nach § 3 Abs. 2 automatisch, sobald wieder Eigenbeiträge fließen. Die Begrenzung auf einen geförderten Vertrag je Kind und den öffentlichen Träger für das Standarddepot haben wir im Beschluss nicht gefunden. Das Kostenverbot ist geblieben. Der Bundesrat muss zustimmen, die nächste Plenarsitzung ist am 20. November.
Thema zwei: Der Paragraf für die IT. Nach § 30 Abs. 2 FrühStRG dürfen Anbieter die Antragsdatensätze für das erste bis dritte Quartal 2027 bis zum 31. Dezember 2027 nachreichen, wenn technische Gründe die fristgerechte Übermittlung verhindern. Die Schonfrist gilt für die Meldung, nicht für den Vertrag.
Thema drei: Stunden statt Wochen. Das BSI bewertet die beiden PHP-Lücken mit 9,2 von 10 (CVSS 4.0) und hält eine Ausnutzung wenige Stunden nach den Updates für wahrscheinlich. Dazu, wie es bei uns lief: keine Webanwendung in PHP, zwei mittelbar betroffene Subsysteme zehn Minuten nach Bereitstellung gepatcht, die meisten Kunden vorher informiert.
Thema vier: Was „über den Arbeitgeber“ heißen kann. Hinter dem Versprechen stecken drei Stufen: ein Link im HR-Portal, ein Link mit Dashboard und ein Arbeitgeberbeitrag über die Entgeltabrechnung. Nur auf der dritten steht der Arbeitgeber im Geldfluss, und die gibt es heute nicht.
Thema fünf: Was offen bleibt. Kein neuer Termin für den Sozialpartnerdialog, die Rechengrößen 2027 im Bundesrat am 20. November und Grundschutz++ als BSI-Standard 300-1.
Diese Woche konkret: Arbeitgeber mit Opting-out zum Januar prüfen das Angebotsdatum aus dem eigenen Entgeltlauf; bei Fälligkeit Ende Januar ist es jetzt. Versicherer und Depotanbieter klären, ob sie zum Start meldefähig sind oder die Frist nach § 30 Abs. 2 brauchen werden. Wer ein Kundenportal oder eine Website betreibt, lässt sich den Patchstand der PHP-Updates vom 21. Oktober schriftlich bestätigen. Makler klären vor einer Empfehlung, auf welcher der drei Stufen ein Angebot „über den Arbeitgeber“ steht.
