Die Vergabestelle von ICE in Dallas hat am 29. Juli eine Bekanntmachung auf SAM.gov veröffentlicht, dem öffentlichen Vergabeportal der US-Bundesregierung. Sie trägt den Titel „Request for Proposal - Cellebrite Products“. Cellebrite ist die israelische Firma, deren Hard- und Software den Inhalt eines Telefons oder Laptops kopiert und das Ergebnis durchsuchbar macht; ICE hat dort 215-mal eingekauft.
Angebote waren heute um 14 Uhr Ostküstenzeit fällig. Um 13:35 Uhr, mit fünfundzwanzig Minuten Rest auf der eigenen Uhr, änderte die Vergabestelle die Bekanntmachung: „Die betreffende Ausschreibung wird hiermit bis zum 8/14/26 um 2:00pm (EST) verlängert. Eine Änderungsvereinbarung zur Untermauerung dieser Verlängerung wird nachgereicht.“
Eine Fristverlängerung ist unauffällig. Das, was sie unterbrochen hat, nicht. Noch zwei Tage lang bleibt die öffentliche Bekanntmachung zu einer 60-Millionen-Dollar-Beziehung stehen — und genau gelesen beschreibt sie so gut wie nichts.
Sieben von acht Antworten lauten „Fragen Sie uns“
Eine kombinierte Bekanntmachung und Ausschreibung — im Original combined synopsis/solicitation, der schnelle Weg zum Einkauf handelsüblicher Produkte, hier gestützt auf FAR Part 12.202(b), also die Federal Acquisition Regulation, das Beschaffungsregelwerk des Bundes, sowie auf eine dauerhaft geltende Klassenabweichung — muss acht nummerierte Punkte abarbeiten. Punkt (i) ist die Ankündigung selbst, und der erfüllt seine Aufgabe: Es wird ein Rahmenvertrag mit einem einzigen Auftragnehmer und unbestimmtem Abrufvolumen zu Festpreisen, dazu ein sofortiger Abruf daraus, und die Vergabe ist nicht für kleine Unternehmen reserviert.
Danach hört die Bekanntmachung auf zu antworten. Die Aufstellung der Positionen und Mengen: „Wird mit den RFP-/Ausschreibungsunterlagen bereitgestellt.“ Die Beschreibung dessen, was beschafft wird, einschließlich der Unterlagen zur Stützung etwaiger Markennamensbeschreibungen: derselbe Satz. Liefertermine und Lieferorte: derselbe Satz. Die geltenden Vergabebedingungen, die geltenden Vertragsklauseln: derselbe Satz, fünfmal hintereinander. Die Punkte (vii) und (viii) — Datum, Uhrzeit und Ort des Angebotseingangs sowie alles Weitere, was eine Leserin brauchen könnte — werden mit anderen Worten an denselben Ort verwiesen.
Dieser Ort ist nicht öffentlich. „Diese Bekanntmachung enthält als ‚controlled‘ gekennzeichnete RFP-/Ausschreibungsunterlagen auf Sam.gov“, heißt es dort. Interessierte Bieter „müssen eine Kopie … über diese Sam.gov-Bekanntmachung anfordern“, und die Anfrage muss einen Namen, einen Ansprechpartner und einen Unique Entity Identifier tragen — jene Registriernummer, die ein Unternehmen braucht, um mit der Bundesregierung Geschäfte zu machen.
Übrig bleibt also der eine Punkt, der besagt, dass gekauft wird. Am schwersten wiegt der Verlust der Markenbegründung: Punkt (iii) existiert gerade deshalb, damit die namentliche Festlegung auf einen Hersteller mit einer öffentlichen Begründung einhergeht — und die Begründung ist hinter das Anforderungsformular gewandert.
Der Satz, der früher sagte, wer bieten durfte
Zweimal zuvor hat dieselbe Vergabestelle in Dallas dieselbe Produktlinie beschafft und laut ausgesprochen, wer sie verkaufen durfte. Am 28. August 2025: „Beigefügt sind die Request-for-Quote-(RFQ)-Unterlagen für diese Ausschreibung, die auf Cellebrite, Inc. und deren autorisierte Wiederverkäufer beschränkt ist. Nur berechtigte Bieter dürfen Angebote einreichen; sie müssen einen Nachweis über die Berechtigung zum Weiterverkauf von Cellebrite-Produkten vorlegen, zusammen mit ihrer Unique-Entity-Identifier-(UEI)-Nummer.“ Am 6. April 2026 derselbe Satz noch einmal — diesmal mit einem verirrten Apostroph im englischen Original: „it's“ statt „its“.
In der Bekanntmachung, die am Freitag schließt, fehlt dieser Satz.
Legt man die beiden Texte nebeneinander, hat die Kennnummer die Aufgabe gewechselt. Früher war sie ein Beleg: Häng deinen UEI an, um zu beweisen, dass du ein autorisierter Cellebrite-Wiederverkäufer bist. Jetzt ist sie ein Schlüssel: Häng deinen UEI an, damit dir die Unterlagen zugeschickt werden. Dieselbe Nummer, die einst die Berechtigung nachwies, erkauft nun den Zugang — und die Frage, die sie früher beantwortete, nämlich wer berechtigt ist, wird öffentlich nicht mehr gestellt.
Zwei Uhren, vier Stunden auseinander
Im Fließtext der Bekanntmachung steht 14 Uhr. Ein Feld in der Oberfläche von SAM.gov sagt dasselbe. Ein anderes nicht: Das maschinenlesbare Antwortdatum lautet 2026-08-14T18:00:00+00:00, und derselbe Datensatz beschriftet seine Zeitzone mit America/New_York. Ein Programm, das das Feld beim Etikett nimmt — als Ortszeit in New York —, plant die Angebotsabgabe für 18 Uhr und verfehlt die Frist um vier Stunden. In dem Feld steht tatsächlich UTC; das Etikett beschreibt, wie der Wert angezeigt wird, nicht, was er enthält.
Und der Fließtext hat seinen eigenen Fehler. „2:00pm (EST)“ nennt die Eastern Standard Time, die im August gar nicht gilt; in Kraft ist die Eastern Daylight Time, die Sommerzeit der US-Ostküste. Wer das Kürzel wörtlich nimmt, kommt eine Stunde zu spät.
Diese Redaktion hat denselben Datensatz dreimal falsch gelesen, und die Korrekturen sind der Grund, warum es diesen Abschnitt gibt. In unseren eigenen Notizen stand als Frist 18 Uhr Ostküstenzeit — abgelesen am Feld, nicht am Fließtext —, und einer unserer Rechercheläufe hat sich diese Antwort hergeleitet und so festgehalten, dass kein späterer Lauf sie noch einmal aufrollen würde. Sie war falsch; die Frist lag bei 14 Uhr. Wir hatten außerdem ein Angebotsfenster von drei Werktagen notiert, weil wir das Datum einer Änderung für das Datum der Veröffentlichung gehalten hatten. Das tatsächliche Fenster, vom 29. Juli bis zum 12. August, betrug zehn Werktage — länger als die neun des Vorjahres, was einen Befund umkehrt, den wir bereits druckfertig hatten. Drei Fehler, ein Datensatz, alle aus der Lektüre eines Dokuments, das seine eigene wichtigste Angabe auf drei verschiedene Weisen macht.
Wessen Telefon es ist
Die Menschen am anderen Ende dieses Kaufs tauchen in genau einem Regierungsdokument auf, und es stammt von ICE selbst. Die Datenschutz-Folgenabschätzung für die forensische Auswertung elektronischer Datenträger, DHS/ICE/PIA-042, beschreibt, wofür die Werkzeuge da sind und wen sie erreichen.
Prüferinnen und Prüfer „müssen sämtliche Informationen auf dem Datenträger sichten“, um zu ermitteln, was relevant ist — die Durchsuchung ist zuerst vollständig und erst danach auswählend. Geräte kommen per Durchsuchungsbeschluss, per Herausgabeverlangen oder Vorladung, durch freiwillige Herausgabe — oder, bei Beamten, die sich auf die Befugnis zur Grenzdurchsuchung stützen, über eine Ausnahme, die es ihnen erlaubt, „elektronische Geräte oder darin enthaltene Informationen zu durchsuchen, zurückzuhalten, zu beschlagnahmen, aufzubewahren und weiterzugeben, mit oder ohne individualisierten Verdacht“.
Was vom Telefon heruntergeholt wird, bleibt dann auch. Endet ein Fall in einer Strafverfolgung: fünf Jahre über das letzte Rechtsmittel hinaus. Endet er nicht so: bis der Fall abgeschlossen ist — oder sechzehn Jahre, falls das Material noch einmal gebraucht werden könnte. Ist ein Fall offen und verjährt die Tat nicht, gilt die Extraktion als „permanenter Aktenbestand“ und „würde auf unbestimmte Zeit aufbewahrt“.
Und ICE schreibt auf, für wen es keinen Ausweg hat:
Datenschutzrisiko: Es besteht das Risiko, dass manche Personen, deren Daten sich auf elektronischen Datenträgern oder Geräten befinden, die von mehreren Personen genutzt werden, nichts davon erfahren, dass ihre Informationen erhoben wurden, und daher auch nichts von der Möglichkeit eines Rechtsbehelfs. Minderung: Dieses Risiko kann nicht gemindert werden.
Ein gemeinsam genutzter Laptop, ein Familien-Tablet, das Telefon der Partnerin. Rechtlich genügt die Einwilligung einer Person, die über das Gerät verfügen darf; die Daten aller anderen kommen mit, und die wohlerwogene Position der Behörde lautet, dass für sie nichts getan werden kann. Dieser Absatz ist elf Jahre alt und war noch nie eine Nachricht. Er ist die Antwort darauf, was die controlled-Unterlagen beschreiben.
Was für diesen Beschaffungsweg spricht
Man muss die Seite der Behörde ernsthaft einnehmen, denn sie hat eine. Die Regeln für handelsübliche Produkte gibt es, damit der Staat etwas Bekanntes nachkaufen kann, ohne ein halbjähriges Turnier zu veranstalten. Ein Rahmenvertrag mit einem einzigen Auftragnehmer und unbestimmtem Abrufvolumen über eine namentlich genannte Produktlinie ist der Normalfall. Das Tempo ist hier Konstruktion, kein Ausweichmanöver — auch wenn die Zahlen gegen die Fassung dieses Arguments sprechen, die diese Redaktion zu finden erwartet hatte. Über die 690 der 696 kombinierten Bekanntmachungen von ICE, die beide Datumsangaben tragen, liegt das mediane Fenster bei sieben Werktagen. Dieses hier lief zehn, länger als etwa zwei Drittel von ihnen. Auch dafür, die Anforderungsunterlagen als controlled zu kennzeichnen, gibt es eine echte Begründung: Eine öffentliche Liste, welche Auslesefähigkeiten eine Strafverfolgungsbehörde genau einkauft, ist eine operative Offenlegung, und niemand hat einen Anspruch darauf.
Jeder einzelne Punkt davon trägt. Keiner davon erklärt, warum der Satz, der die einzigen berechtigten Verkäufer benennt, aus dem öffentlichen Text verschwinden musste, oder warum die Markenbegründung, die die FAR öffentlich verlangt, jetzt hinter einem Anforderungsformular liegt, oder warum eine Bekanntmachung ihre Frist nicht ein einziges Mal eindeutig nennen kann.
Wozu eine öffentliche Bekanntmachung da ist
ICE hat bei Cellebrite über 215 Vergaben hinweg 59.961.959,58 US-Dollar ausgegeben. Die größte ist eine einzelne Bestellung über 11.112.194,40 US-Dollar, unterzeichnet Ende September vergangenen Jahres, die am
- September 2026 ausläuft — und genau dafür ist die Frist am Freitag da.
Die Bekanntmachung steht weiterhin online, weiterhin aktiv, und die Änderungsvereinbarung, die ihre neue Frist genehmigt, existiert nicht. Öffentlich ist, dass gekauft wird, bei einem namentlich genannten Unternehmen, zu einem Zeitpunkt, über den der Datensatz sich nicht einig wird. Als controlled eingestuft ist alles, was man wissen müsste, um zu beurteilen, ob das eine gute Idee ist.
Das ist kein Skandal. Es ist ein öffentlicher Datensatz, der zu einem Verweis auf einen nichtöffentlichen geworden ist — und der Verweis ist der einzige Teil, den irgendjemand überprüfen kann.
Quellen (2 Belege)
Quellen
Alle Abrufe 12. August 2026, sofern nicht anders angegeben. Der Ausschreibungsdatensatz wurde am 14. August erneut geprüft: modifications stand da bei 3, eine weitere Änderung (A0002) war am
- August veröffentlicht worden, wonach das Abgabedatum unverändert bleibt, und
responseDatewar unangetastet
— die Frist am Freitag, dem 14. August, hatte Bestand.
Primärquelle — die Ausschreibung
https://sam.gov/api/prod/sgs/v1/search/?index=opp&q=70CMSD26R00000009— SAM.gov-Vergabedatensatz zu
RFP 70CMSD26R00000009, "Request for Proposal - Cellebrite Products", US Immigration and Customs Enforcement / Investigations and Operations Support Dallas. HTTP 200, 7,106 Bytes, totalElements: 1. Erfordert einen Browser-User-Agent sowie Referer: https://sam.gov/search und Accept: application/hal+json; ein Standard-curl bekommt nichts. Zweimal abgerufen, im Abstand von zwanzig Minuten, identisch. - originalPublishDate 2026-07-29T19:22:09+00:00; modifiedDate und publishDate beide 2026-08-12T17:35:22+00:00; modifications: {"count": 2} bei Redaktionsschluss, 3 bei der erneuten Prüfung; isActive: true; isCanceled: false; archiveDate 2026-08-29. - originalResponseDate 2026-08-12T18:00:00+00:00 = 14:00 EDT, heute. - responseDate 2026-08-14T18:00:00+00:00 mit responseTimeZone America/New_York; responseDateActual 2026-08-14T14:00:00-04:00. Der letzte dieser Werte stimmt mit dem Fließtext der Bekanntmachung überein; der erste ist, gelesen wie das Etikett es nahelegt, vier Stunden zu spät. Achtung für alle, die das nachvollziehen: Das +00:00 ist echtes UTC und kein Serialisierungsartefakt auf einem zeitzonenlosen lokalen Wert. Diese Redaktion war zuvor zum gegenteiligen Schluss gekommen und hat 18 Uhr gedruckt; das „2:00pm“ der Verlängerungsmitteilung entscheidet die Frage. - Der heute geänderte Beschreibungstext ist die Quelle für die Verlängerungsmitteilung, die sieben aufgeschobenen FAR-Punkte, den Absatz zu den „controlled“-Unterlagen, das Erfordernis der UEI-Anfrage und die Feststellung in Änderung A0001, dass „das Abgabedatum für Angebote unverändert bleibt“. - Ansprechpartner: Greg Hermsen (primär), Bryan Ford (sekundär). Zwischen einem der beiden Namen und irgendeiner Anmeldekennung, die anderswo in Systemen des Bundes auftaucht, wird hier kein Schluss gezogen; eine Übereinstimmung von Kennungen ist keine bewiesene Identität.
https://sam.gov/api/prod/sgs/v1/search/?index=opp&q=Cellebrite&organization_id=100012075&size=50— jede
ICE-Bekanntmachung, die Cellebrite erwähnt. HTTP 200, totalElements: 13, 13 von 13 zurückgeliefert, der Satz ist also nicht abgeschnitten. Quelle für die beiden unten genannten früheren Ausschreibungen.
192125VHQ4CCC0017— "Cellebrite Products and Services", dieselbe Vergabestelle in Dallas, veröffentlicht
2025-08-28T11:40:48+00:00, Angebotsfrist 2025-09-10T16:00:00+00:00. Enthält den Berechtigungssatz wörtlich, mit "its authorized resellers".
192126VHQ4CCC0014— derselbe Titel, dieselbe Vergabestelle, veröffentlicht 2026-04-06T12:31:51+00:00,
Angebotsfrist 2026-04-10T16:00:00+00:00. Derselbe Satz, mit "it's authorized resellers".
https://sam.gov/api/prod/sgs/v1/search/?index=opp&organization_id=100012075¬ice_type=k— jede
kombinierte Bekanntmachung/Ausschreibung, die ICE je veröffentlicht hat. Bis zur Erschöpfung durchgeblättert: 7 Anfragen, totalElements: 696, 696 von 696 zurückgeliefert, letzte Seite 96 — kein Vielfaches der Seitengrenze von 100 Zeilen. 690 davon tragen sowohl ein ursprüngliches Veröffentlichungs- als auch ein ursprüngliches Antwortdatum; medianes Fenster 7 Werktage, Mittelwert 8,8, drei am selben Tag veröffentlicht und fällig, 40 % bei fünf Werktagen oder weniger. Die zehn Werktage dieser Ausschreibung sind länger als etwa zwei Drittel davon. Die Fenster werden hier ab originalPublishDate gemessen, nicht ab publishDate — Letzteres ist das Datum der jüngsten erneuten Veröffentlichung, eine Messung von dort aus staucht also jede geänderte Bekanntmachung; es ist derselbe Feldfehler, der zum zurückgezogenen „Drei-Tage-Fenster“ dieser Redaktion geführt hat.
Primärquelle — an wem die Werkzeuge eingesetzt werden
https://www.dhs.gov/sites/default/files/publications/privacy-pia-forensicanalysisofelectronicmedia-may2015.pdf
— DHS/ICE/PIA-042, "Forensic Analysis of Electronic Media," Mai 2015. HTTP 200, application/pdf, 209,248 Bytes, mit einem Browser-User-Agent; Text über pdftotext -layout. Quelle für „müssen sämtliche Informationen auf dem Datenträger sichten“, die Ausnahme für Grenzdurchsuchungen („mit oder ohne individualisierten Verdacht“), die Aufbewahrungsstaffel (fünf Jahre über das Rechtsmittel hinaus; sechzehn Jahre; „permanenter Aktenbestand … auf unbestimmte Zeit aufbewahrt“) und die oben vollständig zitierte Passage zum Rechtsbehelf aus §7.4. Hinweis für die Nachprüfung: Die zitierten Wendungen laufen im extrahierten Text über Zeilenumbrüche hinweg, ein wörtliches grep liefert also nichts — Leerraum normalisieren, bevor man eine Wendung für abwesend erklärt.
Primärquelle — das Geld
https://api.usaspending.gov/api/v2/search/spending_by_award/— Auftragsvergaben an Empfänger, die auf
"Cellebrite" passen, Vergabearten A/B/C/D, absteigend nach Betrag sortiert. Bis zur Erschöpfung durchgeblättert: 19 Anfragen, die Schleife lief, bis hasNext false zurückgab; 1,878 Zeilen, letzte Seite mit 78. 1,878 ist kein Vielfaches der Seitengrenze von 100 Zeilen, und genau das ist die Kontrolle dafür, dass der Abzug nicht an einer Seitengrenze stehengeblieben ist. ICE ist bei 215 dieser Zeilen die vergebende Unterbehörde, zusammen $59,961,959.58; über alle Behörden hinweg $163,832,658.58. Größte ICE-Vergabe 70CMSD25P00000141, $11,112,194.40, Beginn 2025-09-30, Ende 2026-09-29. Werktagszählungen sind durchgängig einfache Wochentage ohne Feiertagstabelle des Bundes; auf dieser Grundlage beträgt das Fenster von 2025 neun Tage und nur dann acht, wenn man den US-Feiertag Labor Day herausrechnet.