Heute fand anlässlich der 1. Lesung des geplanten IT-Sicherheitsgesetzes (ITSG) – dem „Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme“ – eine Debatte im Bundestag statt. Sie schwankte je nach Fraktionszugehörigkeit zwischen Selbstlob auf der einen und massiver Kritik auf der anderen Seite. Wir verfolgen das IT-Sicherheitsgesetz schon lange kritisch und auch diesmal bestätigten sich unsere Eindrücke.
Lediglich eine Einigkeit gab es: Es ist an der Zeit, sich endlich mit IT-Sicherheit auseinanderzusetzen.
Im Bereich der IT-Sicherheit brennt in Deutschland die Hütte lichterloh.
So beschrieb Konstantin von Notz von den Grünen die Situation. Auch wenn sein Vergleich der mit Abstand am drastischsten ausgemalte war, betonten alle Abgeordneten und Innenminister de Maizière die Schlüsselfunktion digitaler Infrastrukturen für das Funktionieren der heutigen Gesellschaft. Stephan Mayer von CDU/CSU:
IT-Sicherheit ist mittlerweile das Gerüst, ohne dass die Gesellschaft kaum existieren könnte.
Ob mit dem aktuellen Gesetzesentwurf ein ausreichender Schutz dieser Infrastrukturen geschaffen werden kann, ist strittig. „Wir wollen die deutschen IT-Systeme zu den sichersten der Welt machen“, versprach de Maizière, „Wir haben geliefert!“, verkündete Gerold Reichenbach von der SPD. Aber dass gehalten werden kann, was versprochen wird, bezweifeln vor allem die Oppositionspolitiker.
Begriffliche Unklarheiten
Im Entwurf des ITSG befinden sich viele begriffliche Unklarheiten. Schon bei der Bestimmung der Unternehmen, für die das Gesetz gilt, geht das los: Betreiber kritischer Infrastrukturen. Das sind zum Beispiel Wasser, Energie, Telekommunikation. Aber ab wann wird es kritisch? Laut Clemens Binninger von der CDU/CSU wird geschätzt, dass etwa 2.000 Unternehmen unter „kritisch“ fallen. Aber wo festgemacht wird, ob ein Stadtwerk groß genug ist, um als solches zu gelten, bleibt im Dunkeln.
Weitere schwammige Formulierungen sind „kritischer Vorfall“ und „erhebliche Störung“. Wenn die vorliegen, muss gemeldet werden. Angeblich sollen Betreiber und BSI zusammen festlegen, wann was vorliegt, da die Betreiber am besten wüssten, welches ihre kritischen Betriebsprozesse seien. Das lässt viel Spielraum für Interpretationen und Rechtsunsicherheiten.
Nadine Schön von der CDU/CSU formulierte die Begriffsunklarheiten jedoch einfach als Feature statt als Bug: „Man muss sich die Begriffe alle nochmal anschauen. Aber Digitalisierung ist schnellebig“, deshalb brauche man ein flexibles Gesetz.
Meldebürokratie
Die vorgesehene Meldepflicht für Sicherheitsvorfälle gilt für Unternehmen, die kritische Infrastrukturen betreiben. Im Standardfall sind anonyme Meldungen vorgesehen. Das freut die Unternehmen, da kein Imageschaden zu befürchten ist. „Die Prangerwirkung ausschließen“, nennt das Mayer.
Für alle anderen, nicht-kritischen Unternehmen gibt es keine Meldepflicht. Genauso wenig wie für Bundes- und Länderverwaltungen und Behörden. Das sei „nicht ganzheitlich“, kritisierte von Notz. Noch weiter gehen sogar Bedenken des Juristen Christoph Althaus, der laut tagesschau.de darin eine Hinderung der Effektivität und sogar ein Problem mit der Verfassungskonformität sieht.
Aber auch wenn gemeldet werden muss, ist erst einmal unklar, was mit diesen Meldungen passiert. Ein „Lagebild“ soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) daraus erstellen.
Namentliche Meldung muss erst ab dem Ausfall kritischer Infrastruktur erfolgen. Dann, wenn es sowieso jeder merkt, weil das Licht ausgeht. Große Datenlecks dürften damit nie namentlich meldepflichtig werden, denn sie beeinträchtigen nur selten direkt die Funktionalität eines Systems.
Wirksamkeit
Ob das ITSG wirklich dazu führt, dass Unternehmen höhere Sicherheitsstandards einführen, muss in der derzeitigen Form bezweifelt werden. „Keine positiven Anreize für die Wirtschaft, aber auch keine negativen“, so lässt sich von Notz zusammenfassen. Denn Haftungsfragen oder gar Bußgeldregelungen sollen im Gesetz nicht festgelegt werden. Das Gesetz setzt auch keine Anreize, den Umgang mit kritischer Software grundlegend zu überdenken. In der Enquête-Kommission Internet wurde empfohlen, dass Open-Source-Software gefördert werden solle. Halina Wawzyniak von den Linken ist enttäuscht:
Die Berichte der Enquête werden ignoriert.
Sie fordert, sich das Kerckhoff-Prinzip zu Herzen zu nehmen und die Sicherheitsmechanismen von kritischen Infrastrukturen offenzulegen. Außerdem möchte sie Regelungen, die bei „responsible disclosure“ den Veröffentlicher von Sicherheitslücken vor Strafverfolgung schützen.
Rolle von BSI, BKA, BfV und Co.
Vor allem im Schatten der letzten Aufklärungen bezüglich der Rolle des BSI bei der Entwicklung des Staatstrojaners und seinem Erwerb von Sicherheitslücken ist dessen Vertrauenswürdigkeit stark beschädigt. „So kann es kein Vertrauen bei den Bürgern geben“, meint Jan Korte von den Linken. Man müsse das BSI unter anderem vom Innenministerium lösen und zu einer unabhängigen Stelle machen.
Auch Christina Kampmann von der SPD scheint mit dem BSI nicht ganz glücklich zu sein. Es habe eine klare Rolle in der Cybersicherheit des Bundes – und zwar defensiv. Aktiv zur Ermöglichung von Sicherheitslücken beizutragen, schade der Glaubwürdigkeit des BSI sowie der Politik:
Wir müssen IT-Sicherheit für Bürger schaffen und nicht gegen sie.
Mayer dementiert die Vorwürfe: „Wir machen uns nicht zu Hehlern von Sicherheitslücken“, das Innenministerium habe keine Sicherheitslücken angekauft.
Auch der Verfassungsschutz und andere Ermittlungsbehörden spielen im IT-Sicherheitsgesetz eine Rolle. Es soll aufgerüstet werden bei den Geheimdiensten, und das gefällt nicht allen. Korte moniert, ein Grundproblem des Gesetzesentwurfes sei, dass „zuviel aus Perspektive des staatlichen Sicherheitsapparates“ gesehen wird. „Bei Geheimdiensten soll aufgerüstet werden, die für Unsicherheit stehen“, bei der Bundesdatenschutzbeauftragten belaufen sich die geplanten Stellenerweiterungen auf eine einstellige Nummer.
Fazit
Was ist jetzt zu halten von der Debatte? Es zeigt sich primär, dass die einen finden, der Entwurf greife viel zu kurz. „Kein großer Wurf“, „konsequente Fortsetzung des Klein-Kleins der digitalen Agenda“, „Gesetz zur Simulation von IT-Sicherheit“, so die Vorwürfe Janeceks. „Der Entwurf des ITSG ist eines der wichtigsten und größten Vorhaben aus der Digitalen Agenda. Die Cyber-Sicherheitsstrategie wird konsequent fortgesetzt“, findet dagegen Mayer. Er und andere optimistische Abgeordnete sehen das kommende deutsche ITSG sogar als „Blaupause“ und „Vorbild“ für eine ähnliche Regelung in der EU, die geplante „Network and Information Security“-Direktive. Viele sind sich jedoch bewusst, dass das ITSG nur ein Anfang sein kann, so wie Kampmann. Und auch Lars Klingbeil (SPD) fordert vor allem die Opposition dazu auf, konstruktive Vorschläge zur Verbesserung zu bringen, nur „nicht ganz so krawallig wie heute“.
Unsere Einschätzung hat sich seit dem letzten Mal nicht geändert. Der Entwurf greift zu kurz und in der jetzigen Form wäre er zum Papiertiger verurteilt.