Kritik am IT-Sicherheitsgesetz


IT-Sicherheitsvorfälle: Was konkret zu den Kritischen Infrastrukturen gehört, soll laut Entwurf in einer folgenden Rechtsverordnung festgeschrieben werden
Um den Schutz der Bürger vor Cyberkriminalität zu verbessern, sollen Betreiber von Webseiten sowie Access-Provider der Vorlage entsprechend verpflichtet werden, IT-Sicherheit "nach dem Stand der Technik" zu gewährleisten

(07.05.15) - Experten sehen Änderungs- und Ergänzungsbedarf bei dem von der Bundesregierung vorgelegten Entwurf eines IT-Sicherheitsgesetzes (18/4096). Während einer öffentlichen Anhörung des Innenausschusses begrüßte die überwiegende Mehrheit der geladenen Sachverständigen das Vorhaben der Regierung, gesetzliche Regelungen zur Verbesserung der IT-Sicherheit zu schaffen. Ziel der Regierungsinitiative ist es vor allem, "Kritische Infrastrukturen", also Einrichtungen, "die für das Funktionieren unseres Gemeinwesens zentral sind", wie die Regierung in dem Entwurf schreibt, besser vor Angriffen auf ihre informationstechnischen Systeme zu schützen. Dazu sollen deren Betreiber dem Entwurf zufolge künftig ein Mindestniveau an IT-Sicherheit einhalten und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) IT-Sicherheitsvorfälle melden. Was konkret zu den Kritischen Infrastrukturen gehört, soll laut Entwurf in einer folgenden Rechtsverordnung festgeschrieben werden.

Um den Schutz der Bürger vor Cyberkriminalität zu verbessern, sollen Betreiber von Webseiten sowie Access-Provider der Vorlage entsprechend verpflichtet werden, IT-Sicherheit "nach dem Stand der Technik" zu gewährleisten. Zudem sollen sie IT-Sicherheitsvorfälle, die zu einem unerlaubten Zugriff auf Systeme der Nutzer oder einer Beeinträchtigung der Verfügbarkeit führen können, unverzüglich über die Bundesnetzagentur an das BSI melden und betroffene Nutzer über bekannte Störungen ihrer Systeme informieren.

Iris Plöger vom Bundesverband der Deutschen Industrie (BDI) kritisierte während der Anhörung, dass aus dem Entwurf nicht hervorgehe, welche Bereiche und Unternehmen zu den "Kritischen Infrastrukturen" gehören. Auch was die Meldepflicht angeht, so stünden "Aufwand und Nutzen in keinem Verhältnis", kritisierte sie. Zudem sei nicht nachvollziehbar, warum sich das Gesetz lediglich an private Betreiber kritischer Infrastrukturen richte. Der Kritik an der fehlenden Klarstellung, wer zu den Kritischen Infrastrukturen gehört, schloss sich Axel Wehling vom Gesamtverband der Deutschen Versicherungswirtschaft an. Skeptisch bewertete er auch die Regelung, wonach das BSI Meldungen über Angriffe an Dritte weitergeben könne. Eine solche Meldung, solle künftig tatsächlich möglich sein, müsse so erfolgen, "das kein Rückschluss auf das betroffenene Unternehmen möglich ist", forderte er.

Aus Sicht von Professor Gerrit Hornung von der Universität Passaus ist die Bestimmtheit bei der Beschreibung der Kritischen Infrastrukturen "gerade noch gewahrt". Dennoch sei es sinnvoll, die Kriterien für deren Auswahl in das Gesetz einzufügen, sagte er. Auch Professor Alexander Roßnagel von der Universität Kassel nannte die Definition der kritischen Infrastrukturen im Gesetz "ausreichend". Zugleich forderte er, die Information der Öffentlichkeit über Schutzlücken in IT-Systemen zu verbessern. "Die Information muss die Regel, die Verweigerung die Ausnahme sein", forderte Roßnagel. Der IT-Rechtsexperte Hornung bemängelte die fehlenden Sanktionen gegenüber den Unternehmen bei ausbleibender Information über erkannte Sicherheitslücken. Solche Sanktionen sehe auch die europäische IT-Sicherheitsregelung vor, die derzeit in Arbeit sei, sagte er.

Den Fokus auf die Hersteller von Hart- und Softwareprodukten richtete Thomas Tschersich von der Deutschen Telekom AG. Man könne nicht Telekommunikationsanbietern aufbürden, Sicherheitsrisiken bei solchen Produkten zu beheben, sagte der Telekom-Vertreter. Zugleich nannte er die im Entwurf enthaltene Meldepflicht über unerlaubte Zugriffe auf Nutzersysteme "zielführend und sinnvoll". Eine Meldepflicht für "potentielle Möglichkeiten einer Verwundbarkeit" führe jedoch "ins Uferlose", befand Tschersich.

Als schärfster Kritiker der geplanten Regelung erwies sich Linus Neumann von Chaos Computer Club. Die dadurch geschaffene Bürokratie gehe zu Lasten pro-aktiver Schutzmaßnahmen, bemängelte er. Außerdem sehe der Entwurf lediglich Unternehmen als schützenswert an. Den großflächigen Angriffen auf Privatpersonen und den daraus resultierenden Schäden werde jedoch nicht entgegen getreten. Neumann wandte sich zugleich gegen die Installation des BSI als zentrale Meldestelle. Als dem Bundesinnenministerium unterstellte Behörde könne es zu Interessenkonflikten kommen, so Neumann unter Verweis auf Medienmeldungen, das BSI sei an der Entwicklung des "Bundestrojaners" beteiligt.

BSI-Präsident Michael Hange sagte hingegen, sein Amt sehe sich bereit für die aktiv-präventive Rolle, die das Gesetz dem BSI zuweise. Hange lobte den Entwurf. Er sei ein wichtiger Schritt zur Verbesserung der IT-Sicherheit "sowohl für Kritische Infrastrukturen aber auch für die Bürger als Internetnutzer".

Professor Jochen Schiller von der Freien Universität Berlin rückte kleine und mittelständische Unternehmen (KMU) in den Mittelpunkt des Interesses. Diese seien in dem Entwurf nicht erfasst, was aus seiner Sicht sogar nachvollziehbar ist. Dennoch dürfe man nicht der Fehleinschätzung unterliegen, KMU bedürften keines Schutzes. Es seien manchmal kleine Schräubchen, deren Manipulation das große Gebilde ins Wanken bringen könne, sagte Schiller und sprach sich für eine dahingehende Anpassung des Gesetzes "in einem weiteren Schritt" aus. (Deutscher Bundestag: ra)


Meldungen: Bundestag, Bundesregierung, Bundesrat

  • Stand zum Emissionshandel für Gebäude und Verkehr

    Die Bundesregierung wird ein neues Klimaschutzprogramm vorlegen, das im Zeitraum bis zum Jahr 2030 auch Maßnahmen zur Treibhausgasminderungsquote im Bereich der durch die EU-Lastenverteilungsverordnung (ESR) erfassten Sektoren Gebäude und Verkehr enthalten wird. Die Maßnahmen für das Programm werden derzeit entwickelt. Das geht aus der Antwort (21/1072) der Bundesregierung auf eine Kleine Anfrage (21/762) der Fraktion Bündnis 90/Die Grünen hervor.

  • Fluggastrechteverordnung für reformbedürftig

    Die Bundesregierung lehnt die Erhöhung von Zeitschwellen für Entschädigungen in der Fluggastrechteverordnung der EU ab. Sie stellt sich damit gegen einen entsprechenden Beschluss des Rates der EU-Verkehrsminister, wie aus einer Antwort (21/962) auf eine Kleine Anfrage der Fraktion Bündnis 90/Die Grünen (21/749) hervorgeht. Eine solche "Abschwächung des Verbraucherschutzniveaus" lehne die Bundesregierung ab. Sie trete für einen "ausgewogenen Ausgleich der Interessen der Fluggäste und der Luftfahrtunternehmen sowie der Reisewirtschaft" ein.

  • Digitalisierung des Gesundheitswesens

    Der Petitionsausschuss hält mehrheitlich an der Widerspruchslösung (Opt-out-Lösung) bei der elektronischen Patientenakte (ePA) fest. In der Sitzung verabschiedete der Ausschuss mit den Stimmen der Koalitionsfraktionen CDU/CSU und SPD die Beschlussempfehlung an den Bundestag, das Petitionsverfahren zu der Forderung, die elektronische Patientenakte nur mit ausdrücklichem Einverständnis der Betroffenen anzulegen (Opt-in-Lösung), abzuschließen, weil keine Anhaltspunkte für parlamentarische Aktivitäten zu erkennen seien.

  • Angaben zu Cum-Cum-Geschäften

    Derzeit befinden sich 253 Cum-Cum-Verdachtsfälle mit einem Volumen in Höhe von 7,3 Milliarden Euro bei den obersten Behörden der Länder und dem Bundeszentralamt für Steuern (BZSt) in Bearbeitung. Diese Angaben macht die Bundesregierung in ihrer Antwort (21/915) auf eine Kleine Anfrage (21/536) der Fraktion von Bündnis 90/Die Grünen zu den rechtswidrigen Steuergeschäften.

  • Konformitätsbewertung von Produkten

    In einer Kleinen Anfrage (21/946) möchte die AfD-Fraktion von der Bundesregierung wissen, wie die EU-Maschinenverordnung (EU/2023/1230) im Hinblick auf KI-basierte Sicherheitssysteme angewendet und begleitet werden soll. Die Verordnung, die ab dem 20. Januar 2027 gilt, stellt laut Vorbemerkung der Anfrage neue Anforderungen an Maschinen mit eingebetteter Künstlicher Intelligenz.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen