Nach der Abstimmung des IT-Sicherheitsgesetzes (IT-SG) im Kabinett am Morgen, fand eine Pressekonferenz mit Innenminister de Maizière und BSI-Präsident Michael Hange statt, auf der es auch um die Lage der IT-Sicherheit der Nation gehen sollte.
Thematisch passend, denn die „weiterhin angespannte“ Lage zur IT-Sicherheit in Deutschland stellt eine willkommene Legitimation für ein IT-SG dar. Und so begann de Maizière auch damit, auf die Risiken durch das Internet hinzuweisen, darunter die täglich 2000–3000 Angriffe auf Regierungsnetze. Hange setzte mit Beispielen fort und beschrieb, jeder Laie könne „zum Preis von 300 Dollar“ einen Trojanerkoffer kaufen und 2 Promille aller Softwarezeilen seien „mit Schadcode infiziert“ (sic). Außerdem beschwor er die zunehmende Relevanz von Advanced Persistence Threads, zielgerichteten und professionellen Angriffen auf kritische IT-Infrastrukturen, die er als „Premiumangriffe“ bezeichnete. Sie stellten das Hauptangriffsszenario für Unternehmen dar, währenddessen Bürger primär Opfer von Identitätsdiebstahl würden. Darüberhinaus sprach er noch diejenigen Bedrohungen an, die ein Problem für das gesamte Internet darstellten, wie etwa Heartbleed, das als „Open Source Software-Tool“ bezeichnet wurde…
Was klar wurde: Die Bundesregierung hat erkannt, dass IT-Sicherheit ein Problem ist, dass das Internet längst zu einer kritischen Infrastruktur geworden ist und hat deshalb das IT-Sicherheitsgesetz auf den Weg gebracht. Doch leider ist das nur ein sehr schwammig formulierter Katalog von Mindestkriterien. Während der Pressekonferenz wurde deutlich, dass man das aber seitens der Ministerien gar nicht als Bug, sondern als Feature anzusehen scheint und sich darauf verlässt, dass die Branchen intern Dinge schon näher regeln würden.
Es gibt aber eine ganze Menge, das unklar bleibt und das schon im Vorgängerartikel angesprochen wurde: Wie wird geprüft, ob ein System sicher ist? Was ist dieser „Stand der Technik“, der zum Mindestmaß für alle Betreiber von Telemediendiensten werden soll? Was ist ein „erheblicher Vorfall“, der einer Meldung bedarf? Dass das in der Eigenverantwortung der Betreiber liegen soll, da laut Hange „jeder für sich selbst entscheiden muss, wie er Sicherheit gestaltet“, befriedigt nicht. Auch nicht, dass der Innenminister es als Erfolg verbucht, die anonyme Meldepflicht von erheblichen Sicherheitsvorfällen weniger Anforderungen an Unternehmen stelle als beispielsweise Produktrückrufe in der Lebensmittelindustrie.
Man braucht keine weitere Sicherheitssimulation, die nur die Interessen der Industrieverbände schützt. Es sind wirksame Mindestrahmenbedingungen notwendig und – vor allem – Transparenz gegenüber dem Verbraucher.
Und man kann sich vorstellen, was in zwei Jahren passieren wird: Die Anzahl der Meldungen an Sicherheitsvorfällen wird sich vermutlich durch den Meldemechanismus im IT-SG erhöhen, damit wäre eines der ausgesprochenen Ziele erreicht, um einen besseren Blick auf das Lagebild zu bekommen. Das wird dann im nächsten Lagebericht zur IT-Sicherheitslage oder zur Cybersicherheit oder irgendeinem anderen Bericht zu den bösen Seiten des Internets auffallen. Und bietet dann eine gute Argumentationsgrundlage, Ermittlungsbehörden weitere Kompetenzen und Ermittlungsmethoden zu geben.