Anbieter von Telekommunikationsdiensten und kritischen Infrastrukturen sollen zukünftig IT-Sicherheitsvorfälle melden. Das geht aus dem IT-Sicherheitsgesetz hervor, das als Entwurf vom Innenministerium veröffentlicht wurde. Benachrichtigt werden sollen aber nicht die betroffenen Personen, sondern das Bundesamt für Sicherheit in der Informationstechnik.
Die Cyber-Sicherheit ist laut dem Bundesministerium des Innern „eine der zentralen Herausforderungen unserer Zeit“. Jetzt hat das Ministerium den Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme veröffentlicht. Und das will man erreichen:
Betreiber kritischer Infrastrukturen sind wegen der weitreichenden gesellschaftlichen Folgen eines Ausfalls und ihrer besonderen Verantwortung für das Gemeinwohl zu verpflichten, einen Mindeststandard an IT-Sicherheit einzuhalten und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erhebliche IT-Sicherheitsvorfälle zu melden. Die dadurch beim BSI zusammenlaufenden Informationen werden dort gesammelt und ausgewertet und die so gewonnenen Erkenntnisse den Betreibern kritischer Infrastrukturen zur Verfügung gestellt.
Meldepflicht: nur von Wirtschaft, nur an BSI
Diese Meldepflicht soll einerseits durch einen neuen Absatz im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik erreicht werden:
Betreiber kritischer Infrastrukturen haben über die Warn- und Alarmierungskontakte nach Absatz 3 schwerwiegende Beeinträchtigungen ihrer informationstechnischen Systeme, Komponenten oder Prozesse, das heißt Beeinträchtigungen, die Auswirkungen auf die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen haben können, unverzüglich an das Bundesamt zu melden.
Andererseits im Telekommunikationsgesetz:
Wer ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, hat Beeinträchtigungen von Telekommunikationsnetzen und ‑diensten, die zu einer Störung der Verfügbarkeit der über diese Netze erbrachten Dienste oder zu einem unerlaubten Zugriff auf Telekommunikations- und Datenverarbeitungssystemen der Nutzer oder Teilnehmer führen können und von denen der Netzbetreiber oder der Telekommunikationsdiensteanbieter Kenntnis erlangt, der Bundesnetzagentur unverzüglich mitzuteilen. Die Bundesnetzagentur unterrichtet das Bundesamt für Sicherheit in der Informationstechnik.
Eine Meldepflicht für Sicherheitsschwankungen ist sicherlich sinnvoll. Fraglich ist jedoch, warum jedoch nur das BSI informiert werden soll. Viel sinnvoller ist es doch, wenn die betroffenen Nutzer informiert werden, wenn ihre persönlichen Daten abhanden kommen. Das ist auch Bestandteil der EU-Datenschutzreform, scheint aber für das Innenministerium keine Rolle zu spielen.
Zudem richtet sich das Gesetz nur an Anbieter von „kritischen Infrastrukturen“ und „öffentlich zugänglichen Telekommunikationsdiensten“. Sich selbst nehmen die staatlichen Stellen von der Meldepflicht aus, obwohl hier ebenfalls am laufenden Band die IT-Sicherheit verletzt wird.
Neue Kompetenzen für Bundeskriminalamt
Das Bundeskriminalamt wird mit dem Gesetz neben Computersabotage auch für die Straftaten Ausspähen von Daten, Abfangen von Daten, Vorbereiten des Ausspähens und Abfangens von Daten (Hackerparagraf), Computerbetrug und Datenveränderung zuständig.
Zusätzlich zu den Fällen, in denen sich die genannten Straftaten gegen die innere oder äußere Sicherheit der Bundesrepublik Deutschland oder sicherheitsempfindliche Stellen von lebenswichtigen Einrichtungen richten, wird geregelt, dass die Zuständigkeit des BKA auch bei derartigen Straftaten gegen Bundeseinrichtungen gegeben ist.
Dazu soll das Bundeskriminalamt über hundert neue Stellen und mehr als sechs Millionen Euro pro Jahr bekommen:
In den Fachabteilungen des Bundeskriminalamts (BKA) entsteht durch die Erweiterung der originären Ermittlungszuständigkeit ein Ressourcenaufwand von 105 zusätzlichen Planstellen / Stellen mit jährlichen Personalkosten in Höhe von rund 6,1 Mio € sowie zusätzlichem Sachmitteln in Höhe von 680 T € im ersten Jahr.
Auch das BSI soll fast hundert neue Stellen und sechs Millionen Euro jährlich erhalten:
Für die Erfüllung der im Gesetz vorgesehenen Aufgaben besteht beim BSI damit ein zusätzlicher Aufwand von insgesamt 99 zusätzlichen Planstellen/Stellen mit Personalkosten in Höhe von jährlich rund 6.653 T€ sowie Sachkosten in Höhe von jährlich rund 6.210 T€.
Weiterer Diskussionsbedarf
Der Gesetzesentwurf wurde jetzt den anderen Ministerien und Verbänden zugeschickt, diese dürfen den jetzt kommentieren. Wirtschaftsministerium und Wirtschaftsverbänden fürchten höhere Kosten für IT-Sicherheit. Zudem haben anscheinend einige Unternehmen Angst, IT-Angriffe öffentlich zu machen, weil das zu Verlusten führen könnte. Wirtschaftsminister Philipp Rösler forderte schonmal:
„Weitere Abstimmung“ sei erforderlich, die Belange der Wirtschaft müssten Gehör finden.
Wir sehen das ähnlich, nur mit dem Interesse der Nutzer und Nutzerinnen.