Anna Biselli
Foto: Darja Preuss
-
: Europarat verabschiedet Resolution zur Massenüberwachung
: Europarat verabschiedet Resolution zur Massenüberwachung Der Europarat hat in seiner Versammlung am 21. eine Resolution verabschiedet, in der er in 20 Punkten die Massenüberwachung durch Geheimdienste anprangert und Forderungen aufstellt. Es wird statuiert, dass durch die Snowden-Dokumente eine Überwachung zu Tage getreten ist, die Mängel in der Geheimdienstkontrolle und technischen Schutzmaßnahmen offenbart hat.
The surveillance practices disclosed so far endanger fundamental human rights […] – especially when privileged communications of lawyers and religious ministers are intercepted and when digital evidence is manipulated. These rights are cornerstones of democracy.
Kritisiert wird auch die Ausnutzung und Schaffung von Sicherheitslücken und Backdoors, die Existenz geheimer Gesetze und Gerichte, die sich vollständig demokratischer Kontrolle entziehen, und die Schaffung einer Überwachungsindustrie. Der Rat weist darauf hin, dass Überwachungstechnologien sowie Sicherheitslücken genauso auch von Kriminellen und Terroristen genutzt werden können und dass auch Demokratien in Zeiten von Krisen durch „extremistische Politiker“ geführt werden könnten, in deren Händen solche Technologien massiv missbraucht werden.
Wichtig ist auch die klare Positionierung des Europarates, dass der Nutzen von Massenüberwachung bei der Verhinderung von terroristischen Anschlägen nicht belegbar ist. Er fordert stattdessen internationale rechtliche Rahmenbedingungen, die Geheimdienstbefugnisse kontrollieren und beschränken sowie Whistleblower schützen. Außerdem müsste eine Rechtsgleichheit für Staatsbürger und Ausländer geschaffen werden, sodass Menschenrechte nicht nur für erstere gelten können.
Im Rahmen der Resolution wird dazu aufgefordert, sich für eine schnelle Umsetzung der EU-Datenschutzgrundverordnung einzusetzen und auch die Vorratsdatenspeicherung wird kritisiert. Persönliche Daten, auch Metadaten, sollen nur gesammelt und ausgewertet werden dürfen, wenn eine Person zugestimmt hat oder es eine richterliche, verdachtsbasierte Anordnung gibt.
Lobend erwähnt die Resolution hingegen den deutschen NSA-Untersuchungsausschuss:
It calls on the Bundestag committee to carry out its tasks of holding to account the executive and seeking the truth without regard to party-political considerations and encourages other parliaments to embark on similar inquiries.
-
: Wir veröffentlichen Zwischenbericht zur IT-Sicherheit im EU-Parlament: Es ist wenig passiert
Plenarsaal des Europäischen Parlaments in Straßburg. Bild: <a href="https://de.wikipedia.org/wiki/Benutzer:J._Patrick_Fischer">J._Patrick_Fischer</a>. Creative Commons <a href="https://creativecommons.org/licenses/by-sa/3.0/de/">BY-SA 3.0</a>. : Wir veröffentlichen Zwischenbericht zur IT-Sicherheit im EU-Parlament: Es ist wenig passiert Wenn es um IT-Sicherheit im Europäischen Parlament geht, ist seit Beginn der NSA-Affäre nicht viel passiert. Das zeigt ein interner Zwischenbericht der Generaldirektion Innovation und technologische Unterstützung (ITEC), den wir an dieser Stelle veröffentlichen.
Der Ausschuss des EU-Parlaments für Bürgerliche Freiheiten, Justiz und Inneres (LIBE) hat im Januar einen Folgebericht zu ihrem Abschlussbericht zum Überwachungsskandal herausgegeben, in dem deutlich die Unzufriedenheit mit den Aktionen geäußert wurde, die seit Beginn des NSA-Skandals von der EU unternommen wurden. Dieser Bericht bezieht sich auch auf das uns vorliegende Dokument:
IT-Sicherheit in EU-Institutionen
Paragraph 101 der Resolution bezieht sich auf IT-Sicherheit im EU-Parlament und der Entwicklung von Empfehlungen, die IT-Sicherheit in EU-Institutionen zu stärken, sowie eine gründliche Prüfung und Bewertung der Zuverlässigkeit der IT-Sicherheit des Parlamentes.
Diesbezüglich hat die Begleitgruppe einen Zwischenbericht von DGITEC erhalten mit einer Strategie und einem Maßnahmenplan für die Sicherheit der IT. [s. S. 11 des Folgeberichtes]
Open Source verbindlich machen? Nicht möglich.
Der LIBE-Ausschuss hat gefordert, dass Software Open Source sein muss, wenn es um sensible, sicherheitrelevante Bereiche geht. DGITEC weist diese Forderung zurück:
Ausschreibungen müssen strikt den Vorschriften für öffentliche Beschafftung folgen und die Prinzipien der Gleichbehandlung respektieren. Daher können solche Limitierungen nicht in die Spezifikationen aufgenommen werden.
Bei gleicher Eignung von Open-Source-Software soll diese jedoch bevorzugt werden.
Firmen, die mit der NSA zusammenarbeiten, können nicht ausgeschlossen werden.
Gleiches gilt für die Auftragsvergabe an IT-Firmen, über die eine Kooperation mit der NSA bekannt ist. Der LIBE-Ausschuss forderte, dass evaluiert wird ob andere Firmen, vorzugsweise europäische, die gleichen Leistungen erbringen könnten. Auch das wird abgelehnt. Sonst müsste man die Vorschriften für die öffentliche Beschaffung ändern oder „im Gesetz Prozesse etablieren, die Blacklists von Unternehmen enthalten.“
Die Europäische Zentralbank bezieht unterdessen fröhlich weiter Internetdienstleistungen des US-Anbieters Verizon, dessen Zusammenarbeit mit der NSA bekannt ist. Trotz der Tatsache, dass sich im Juli 2014 Hacker Zugang zu E‑Mail-Adressen und Kontaktdaten im EZB-Netz verschafft hatten – dem Bereich, den Verizon betreut.
IT-Sicherheit vs. Performance?
LIBE verlangte außerdem die Überprüfung der Kommunikationssicherheit zwischen den Arbeitsplätzen des Parlamentes und der IT-Systeme. Die Antwort mutet seltsam an:
Eine Risikoabwägung muss durchgeführt werden, da der aktuelle Provider behauptet, dass die NSA nicht auf seine Kommunikationsnetze zugegriffen habe. Das Ausrollen von Verschlüsselungslösungen bräuchte eine sorgfältige Analyse, um eine Verschlechterung des Services bei den Hochleistungslinks zwischen den Arbeitsplätzen des Parlaments zu vermeiden.
Es wäre schade, wenn die Risikoabwägung hier einen Service-Engpass attestieren würde, denn – wenn dieses Szenario ansatzweise realistisch wäre – sollte eigentlich eine Erhöhung der Kapazitäten die Konsequenz sein und nicht das Weglassen von Sicherheit.
Es scheint, als habe man vollständig vergessen, dass vor etwa 1,5 Jahren massenweise Mail-Accounts von EU-Parlamentariern gehackt worden sind, laut Berichterstattung ohne größere Anstrengungen. Schon damals wurden die laxen Sicherheitsmaßnahmen im EU-Parlament angeprangert, Sophie in’t Veld von ALDE etwa monierte, die Schwächen des hauseigenen IT-Systems seien seit Jahren bekannt. Mittlerweile kann man noch 1,5 Jahre aufaddieren.
Mit einer Haltung wie der obigen ist es nur eine Frage der Zeit, bis sich ein Sicherheitsvorfall wie der des Mail-Hacks wiederholt.
Verschlüsselung, Signaturen, sicheres Instantmessaging – „Sobald Bedarf besteht.“
Bei E‑Mail-Verschlüsselung und Signaturen scheint man noch in den Kinderschuhen zu stecken. Es seien geeignete Produkte ausgewählt worden, die zur Verfügung standen. Man habe sich für den PGP- und SMIME-Standard entschieden und könne das Ausrollen starten, sobald „Bedarf da ist und Lizenzen vorliegen.“ Dass Bedarf da ist, sollte doch mittlerweile eigentlich zweifelsfrei geklärt sein, oder?
Bei elektronischen Signaturen habe es zwar ein erfolgreiches Pilotprojekt gegeben, aber um alle EP-Nutzer miteinzubeziehen bedürfe es einer „strategischen Entscheidung“ oder „neuen Pilotstudie,“ um zu evaluieren, wie die Lösung generalisiert werden könne. Beim Einrichten von sicherem Instant Messaging müsse noch genau analysiert werden, „um Kompatibilitätsprobleme zu vermeiden, die eine Service-Störung hervorrufen könnten.“
Was bisher möglich ist.
Leider sind die Abgeordneten darauf angewiesen, dass sie Software zum Verschlüsseln, Signieren und sicheren Kommunizieren installiert bekommen, denn selbst dürfen sie keine installieren. Standardmäßig gibt es Windows 7, Outlook und Internet Explorer sowie neuerdings Firefox – ohne Plugins. Wunschsoftware kann bei DGITEC beantragt werden. Uns sind jedoch nur zwei negative Antworten von DGITEC bekannt, nachdem Abgeordnetenbüros nach gpg4win gefragt hatten. Es wurde auf andere Programme verwiesen – wie etwa die eingebaute Verschlüsselung in Office, 7zip und PDF. Das tröstet uns jetzt nicht unbedingt.
Gemischtes & Fazit
Auch die Serverstandorte sollten evaluiert werden. Diese befänden sich laut Antwort primär in zwei großen Datencentern, beide davon außerhalb der EU-Liegenschaften. Sie seien jedoch abgesichert und gegen unbefugten Zutritt geschützt. Ergebnisse zur Sicherheit und Datenschutzproblemen bei der Verwendung von Cloud-Lösungen durch das Parlament sollen im Laufe von 2015 veröffentlicht werden.
Alles in allem klingt der Zwischenbericht wie Ankündigungs- und Vertröstungspolitik. Doch das soll keine reine Anklage an DGITEC werden, denn die sind, in Relation zu der Masse an Abgeordneten und Mitarbeitern, die sie betreuen müssen, deutlich unterbesetzt. Doch hier liegt es an den verantwortlichen Stellen, die Kapazitäten für IT-Sicherheit aufzustocken, um weitere peinliche und – hinsichtlich der im EU-Parlament übertragenen Informationen – fatale Sicherheitslücken zu vermeiden.
-
: Lob an die Bundesregierung: Entwurf zur freien Endgerätewahl an EU übergeben
Endlich meins - Router sollen laut BMWi bald vom Nutzer bestimmt werden - Bild via maxguru.blogspot.de : Lob an die Bundesregierung: Entwurf zur freien Endgerätewahl an EU übergeben Die Bundesregierung hat den Entwurf des Wirtschaftsministeriums für das „Gesetz zur Auswahl und zum Anschluss von Telekommunikationsendgeräten“ an die EU zur Bestätigung übergeben. Der Gesetzesentwurf soll die freie Endgerätewahl bei Kommunikationsanschlüssen regeln und den Routerzwang beenden.
Wir haben den Gesetzgebungsprozess von Beginn an begleitet und während wir den intransparenten Entwurfsweg kritisierten und zwischendurch noch fürchteten, es würde einen Routerzwang durch die Hintertür geben, sind wir positiv überrascht worden. Denn das Wirtschaftsministerium legt in seinem Entwurf den Netzabschlusspunkt fest und verpflichtet Kommunikationsanbieter, dem Kunden unaufgefordert all die Daten zukommen zu lassen, die er für die Inbetriebnahme eigener Geräte benötigt. Bisher war der Netzabschlusspunkt nur vage definiert und wurde von den Anbietern gern in den Router hineininterpretiert, womit der Router noch in den Hoheitsbereich der Anbieter fiel und Routerzwang erst möglich wurde.
Was noch mehr positiv überrascht: Einige Faktoren wurden im Vergleich zu der letzten uns bekannten Fassung aus dem Februar in der anhängigen Begründung noch klarer definiert. Es wird präzisiert, dass der Netzabschlusspunkt …
[…] hinter der letzten Leitwegebestimmung des Netzbetreibers liegen muss, mit der die mit der Nummer des Teilnehmers verknüpfte Endeinrichtung erreichbar ist. Eine weitere Wegeauswahl wird vom Netzbetreiber nicht mehr durchgeführt und somit ist der passive Netzabschlusspunkt auch einem bestimmten Teilnehmer zuordenbar. Unerheblich dabei ist, ob das Gerät, welches mit der Nummer oder Netzadresse angesprochen wird, in der Hoheit des Netzbetreibers oder des Endkunden liegt oder nicht erreichbar – weil beispielsweise ausgeschaltet – ist.
Warum weggestrichen wurde, dass Betreiber nur für die Funktionalität der von ihnen bereitgestellten Geräte verantwortlich sind (ursprünglich Artikel I, 2b), ist allerdings unklar.
Der Entwurf muss nun durch die EU-Kommission anerkannt werden, die theoretisch Einspruch erheben könnte. Wir hoffen ganz stark, dass das nicht passiert.
-
: De Maizière auf dem Polizeikongress: Sicherheit ist harte Arbeit
Thomas de Maizière. Foto: MC1 Chad J. McNeeley Lizenz: CC BY 2.0. : De Maizière auf dem Polizeikongress: Sicherheit ist harte Arbeit Auf dem 24. Bundeskongress der Deutschen Polizeigewerkschaft unter dem Motto „Sicherheit, Freiheit, Bürgerrechte – ohne uns läuft nichts“ hat unser Innenminister Thomas de Maizière eine Rede gehalten. In dieser ging es auch um die geplante Wiedereinführung der Vorratsdatenspeicherung, deren Leitlinien in der letzten Woche vorgestellt wurden. In seiner Ansprache gibt sich de Maizière „frohgemut“ in Hinblick auf die kommenden rechtlichen Auseinandersetzungen. Er zeigt sich optimistisch, eine verfassungskonforme Version der anlasslosen Massenüberwachung zu finden. Außerdem bringe die Vorratsdatenspeicherung Ermittlern „fundamentale Verbesserung.“ Eine Aussage, die – egal wie oft sie Mantra-artig wiederholt wird – nicht glaubhafter wird.
Einen Wehmutstropfen gibt es jedoch, die „kurzen“ Speicherfristen von geplanten 10 Wochen. Die gekippte EU-Richtlinie hatte den Ländern Zwei-Jahres-Spielraum gelassen.
Weiterhin äußerte sich de Maizière zu Predictive Policing, das aus großen Datenmengen versucht, Erkenntnisse für die Polizeiarbeit zu generieren und beispielsweise wahrscheinliche Gebiete für Wohnungseinbrüche vorherzusagen. Es wurde oft kritisiert, dass Predictive Policing zu Diskriminierung führt, weil bestimmte Personengruppen als besondere Risikofaktoren vorverurteilt werden. De Maizière stritt derartige Vorwürfe, wie den des Racial Profilings, jedoch ab: „Polizistinnen und Polizisten müssen grundsätzlich ein Gespür für verdächtige Personen haben, ansonsten könnten sie ihre Arbeit einstellen.“
Gesamtbotschaft: „Sicherheit ist harte Arbeit.“
Die Gefährder: „Blockupy-Protestierer, Hooligans oder politische Extremisten.“
-
: Wirtschaftsministerium will strengere Exportkontrollen für Überwachungssoftware
Surveillance made in Germany - FinFisher-Spionage-Software : Wirtschaftsministerium will strengere Exportkontrollen für Überwachungssoftware SZ und NDR berichten, dass die Bundesregierung den Export von Überwachungstechnologie stärker regulieren wolle. Sie berufen sich dabei auf einen vorliegenden Entwurf für die Außenwirtschaftsverordnung des Wirtschaftsministeriums, der zur Abstimmung an weitere Ministerien versandt worden sei.
Es müsste dann die Ausfuhr von Überwachungszentren genehmigt werden, genau wie deren Wartung. Das zielt primär auf Länder mit fragwürdiger Auffassung von Menschenrechten, europäische Staaten etwa seien von den Genehmigungsauflagen ausgeschlossen.
Deutsche Unternehmen verdienen Millionenbeträge mit dem Export in Länder, die Überwachungstechnologie zur Unterdrückung und Verfolgung der eigenen Bevölkerung einsetzen.
Deutsche Unternehmen haben beispielsweise die Technik entwickelt, die in Bahrain beim Auffinden von Dissidenten behilflich war, die in Folge dessen gefoltert wurden. Davon abgesehen wurde die Spionagesoftware FinSpy der britisch-deutschen Firma Gamma International GmbH von Bahrain aus auch gegen Ziele in Deutschland eingesetzt. Auch in den Iran, nach Pakistan, Syrien und Saudi-Arabien wurde deutsche Technik des Öfteren exportiert.
Mit dem neuen Entwurf soll das eingeschränkt und Überwachungstechnologie mit einem Dual-Use-Werkzeug gleichgesetzt werden, das neben einem eventuell zivilen Nutzen eben auch als Waffe eingesetzt beziehungsweise missbraucht werden kann.
Wir sind gespannt, ob die geplante Verordnung den Überwachungstechnologie-Export wirklich wirksam einschränken wird. Und es ist unklar, wie verhindert werden soll, dass Firmen durch zwielichtige Konstruktionen, beispielsweise über den Initialverkauf an „unverdächtige“ Staaten, dennoch Systeme an repressive Regimes liefern. Über sachdienliche Hinweise, insbesondere zur aktuellen Fassung der Verordnung, freuen wir uns. Wie immer über die üblichen Kanäle.
-
: Urteil des Europäischen Gerichtshofes zu biometrischen Personalausweisen ignoriert Datenschutz
Sensibles biometrisches Merkmal: Fingerabruck in Ausweisen - CC <a href="http://creativecommons.org/licenses/by-sa/3.0">BY-SA 3.0</a> via <a href="https://en.wikipedia.org/wiki/Ninhydrin#/media/File:Ninhydrin_staining_thumbprint.png">wikimedia</a> : Urteil des Europäischen Gerichtshofes zu biometrischen Personalausweisen ignoriert Datenschutz Letzte Woche hat der Gerichtshof der EU ein medial weitgehend unbeachtetes Urteil zu biometrischen Daten veröffentlicht. Das Urteil ist mehr als bedenklich, da es komplett den Einfluss des Datenschutzes auf die Erstellung biometrischer Ausweise verkennt.
Zur Vorgeschichte: Der Niederländer W. P. Willems hatte die Ausstellung eines Reisepasses beantragt. Dieser wurde ihm jedoch verweigert, da er nicht bereit war, seine Fingerabdrücke zur Verfügung zu stellen. Einer seiner Mitantragssteller versuchte selbiges für einen niederländischen Personalausweis – auch dieser wurde verweigert. Dagegen hat Willems geklagt und kritisierte insbesondere die Verletzung seines Rechts auf körperliche Unversehrheit und Privatspäre sowie die ungeklärte Frage, wer Zugang zu den gespeicherten Daten erhalte und ob eine strenge Zweckbindung durchgesetz wird. Nach Abweisung des Verfahrens durch niederländische Gerichte wurde die Klage dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt. Dabei ging es vor allem um die Frage, ob die EU-Verordnung 2252/2004 für „Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten“ Anwendung findet. Sie regelt unter anderem die explizite Zweckbindung der biometrischen Daten.
Die Verordnung greift dem Wortlaut nach aber nur auf …
[…] von den Mitgliedstaaten ausgestellte Pässe und Reisedokumente Anwendung. Sie findet keine Anwendung auf Personalausweise, die Mitgliedstaaten eigenen Staatsangehörigen ausstellen, oder auf vorläufige Pässe und Reisedokumente mit einer Gültigkeitsdauer von zwölf Monaten oder weniger.
Da ein Personalausweis jedoch das Reisen in der EU ermöglicht, ist diese Definition schwierig. Der Gerichtshof gelangt allerdings zu der Auffassung das ein niederländischer Personalausweis trotzdem nicht in den Anwendungsbereich von 2252/2004 fällt. Die daraus gezogenen Schlüsse sind erschreckend:
Folglich ist auf die gestellten Fragen zu antworten, dass Art. 4 Abs. 3 der Verordnung Nr. 2252/2004 dahin auszulegen ist, dass er die Mitgliedstaaten nicht dazu verpflichtet, in ihren Rechtsvorschriften zu garantieren, dass die aufgrund der Verordnung erhobenen und gespeicherten biometrischen Daten nicht zu anderen Zwecken als zur Ausstellung eines Reisepasses oder Reisedokuments erhoben, verarbeitet und verwendet werden, da ein solcher Aspekt nicht in den Anwendungsbereich dieser Verordnung fällt.
Das ist ungemein kurzsichtig – eine Betrachtung des europäischen Datenschutzrechts wird vollständig außer Acht gelassen und verkennt damit dessen fundamentale Rolle bei der Erhebung, Speicherung und Verarbeitung biometrischer Daten, die übrigens in der kommenden EU-Datenschutzgrundverordung als besonders sensible Daten eingestuft werden sollen. Dabei findet europäisches Datenschutzrecht auch da Anwendung, wo die Passregulierung keine Anwendung auf Mitgliedsstaaten findet. Insbesondere in Hinblick auf ein Urteil des EuGH von 2013, das die Rechtmäßigkeit von biometrischen Merkmalen in Reisepässen vor allem dadurch legitimiert, dass…
[…] die Fingerabdrücke nur zu dem Zweck verwendet werden dürfen, die Authentizität des Reisepasses und die Identität seines Inhabers zu überprüfen. Außerdem sieht sie die Speicherung der Fingerabdrücke nur im Pass selbst vor, der im ausschließlichen Besitz seines Inhabers bleibt.
In den Niederlanden erfolgt die Speicherung auf zwei, beziehungsweise zukünftig drei verschiedenen Medien. Neben der Speicherung auf dem Pass selbst werden die Daten aktuell in einem dezentralen Register vorgehalten. Zukünftig ist die Speicherung in einem Zentralregister vorgesehen.
Schade, dass der Gerichtshof trotz dieses Hintergrundes diesmal mit so viel Ignoranz reagiert.
-
: Auch in Österreich: VDS wird konkreter
: Auch in Österreich: VDS wird konkreter Die österreichische Innenministerin Johanna Mikl-Leitner arbeitet vergleichbar hartnäckig an der Einführung einer nationalen Vorratsdatenspeicherung wie unsere deutschen Regierungsvertreter. Anfang April hatte sie einen nationalen Alleingang Österreichs angekündigt, nun legte sie dem Ministerrat die deutschen Richtlinien vor. Genau jene, die unser Justizminister Heiko Maas letzte Woche vorgestellt hat. Herzlichen Glückwunsch. Tolle Vorarbeit hat unsere Bundesregierung da geleistet. Dem deutschen Vorschlag einer Speicherdauer von 10 Wochen stehe sie „kompromissbereit“ gegenüber, so Mikl-Leitner.
Infrastrukturminister Alois Stöger glaubt nicht, dass sich die Vorratsdatenspeicherung in Österreich durchsetzen können wird und weist auf das EuGH-Urteil und das des österreichischen Verfassungsgerichtes hin.
Aber Mikl-Leitner ist nicht die einzige aus Österreichs konservativer Partei ÖVP, die eine anlasslose Massenspeicherung von Verkehrsdaten befürwortet. Letzte Woche sprach sich auch der Justizminister Wolfgang Brandstetter für eine Neuauflage aus. Natürlich „verfassungskorm,“ mit richterlicher Kontrolle und nur bei „schwersten Straftaten.“ Leider findet sich in Österreich sogar in der Bevölkerung eine – wenn auch knappe – Mehrheit von 56 Prozent für die Vorratsdatenspeicherung. Das hat das Meinungsforschungsinstitut OGM ermittelt.
Der Notfallplan, falls sich die ÖVP durchsetzt? Wie auch hier in Deutschland: Vorratsdatenspeicherung wegklagen. Egal wie oft es sein muss.
-
: US-Cyber-Koordinator spricht sich für freies, offenes Internet aus
: US-Cyber-Koordinator spricht sich für freies, offenes Internet aus Hakan Tanriverdi hat für die Süddeutsche ein Interview mit dem Cyber-Koordinator des US-Außenministeriums, Christopher Painter, geführt. Darin geht es um die übertriebene Angst vor einem Cyber-Krieg, Regulierungen im Internet, die Möglichkeit eines Cyber-Notfalltelefons und Aufsicht über die NSA. Was er sagt, klingt vernünftig. Die Realität, wie von der US-Regierung mit den angesprochenen Themen umgegangen wird, stimmt damit aber nicht immer überein:
Es ist für uns und für jede demokratische Gesellschaft wichtig, sicherzustellen, dass man die richtige Aufsicht und die richtigen Verfahren einsetzt. Ich glaube, die USA haben ein gutes System dafür. Aber wir dürfen nicht aus den Augen verlieren, was unser eigentliches Ziel ist. Wir müssen das Internet frei, offen und für alle nutzbar halten.
-
: Anhörung zum IT-Sicherheitsgesetz im Bundestag (Liveblog und Fazit)
Geplante Cybersicherheitsstrategie für Deutschland - noch will sich die Regierung nicht äußern. : Anhörung zum IT-Sicherheitsgesetz im Bundestag (Liveblog und Fazit) Wie bereits angekündigt, findet heute ab 14 Uhr eine Expertenanhörung zum Thema IT-Sicherheitsgesetz (ITSG) im Innenausschuss des Bundestages statt.
Kurze Erinnerungsauffrischung: Das IT-Sicherheitsgesetz liegt derzeit in Fassung eines Gesetzesentwurfes vor, der von uns und vielen anderen, wie etwa dem CCC, stark kritisiert wird. Eigentlich soll er für mehr Sicherheit, vorrangig bei „Kritischen Unternehmen und Infrastrukturen“ sorgen. Durch schwammige Formulierungen und wirtschaftsfreundliche Verwässerung verfehlt der Entwurf dieses Ziel und verdient eher den Namen IT-Sicherheitssimulationsgesetz. Es ist weder genau definiert, wer eine kritische Infrastruktur bereitstellt, noch, was ein schwerwiegender Vorfall ist, der gemeldet werden müsste. Meldungen können im Normalfall anonym erfolgen und auch Sanktionsmöglichkeiten sind in dem Entwurf nicht vorgesehen. Mehr kritische Punkte haben wir hier zusammengefasst.
Wir haben live aus der Anhörung berichtet, für die ganze drei Stunden vorgesehen waren. Wer die Anhörung selbst nachvollziehen wollte, konnte das im Parlamentsfernsehen tun. Die eingeladenen Sachverständigen waren:
- Michael Hange, Präsident des Bundesamtes für Sicherheit in der Informationstechnik
- Prof. Dr. Gerrit Hornung, Universität Passau, Lehrstuhl für öffentliches Recht, IT-Recht und Rechtsinformatik
- Linus Neumann, Chaos Computer Club (CCC), Berlin [Text der Stellungnahme, Blogpost]
- Iris Plöger, Bundesverband der Deutschen Industrie e.V., Leiterin der Abteilung Digitalisierung
- Prof. Dr. Alexander Roßnagel, Universität Kassel, Institut für Wirtschaftsrecht
- Prof. Dr.-Ing. Jochen Schiller, Freie Universität Berlin, Institute of Computer Science
- Dipl.-Ing. (FH) Thomas Tschersich, Deutsche Telekom AG, Leiter Group Security Services
- Dr. Axel Wehling, Gesamtverband der Deutschen Versicherungswirtschaft e.V., Mitglied der Hauptgeschäftsführung, Geschäftsführer des Krisenreaktionszentrums der deutschen Versicherungswirtschaft
Eingangsstatements
Sitzungsvorsitzender Wolfgang Bosbach (CDU/CSU)
$begrüßungs-foo
Es wird ein Wortprotokoll geben. Und schriftliche Stellungnahmen, die ins Internet gestellt werden.
Michael Hange
Herausragende Punkte
Lagebericht zur IT-Sicherheit, BITKOM-Studie und Snowdenenthüllungen zeigen, wie verletztlich der Cyberraum ist.
Es gibt drei kritische Punkte: Vernetzung, Komplexität, die Erreichbarkeit jedes System über das Internet.
Gefährdungslage: Internet ist als Plattform für Angreifer attraktiv. Dienste und Angriffe sind zu kaufen, Entdeckungsrisiko ist gering, Masse der möglichen Ziele ist groß, Cyber-Angriffe kennen keine Grenzen.
Schwachstellen sind systemimmanent. Bei üblicher Software existieren 2–5 Promille Fehler pro Programmzeile. Bei gängigen Betriebssystemen ergibt das über 20.000 Schwachstellen. Die Bedeutung von Advanced Persistent Threats nimmt zu – das sind „hochwertige Premiumangriffe“.
Apps nähern sich 1,5 Millionen nur für Android.
Cybersicherheit rückt im KRITIS-Bereich [Kritische Infrastrukturen] in den Vordergrund. Bisher ist die Zusammenarbeit mit den Behörden freiwillig, aber angesichts des Risikos wird das der Realität nicht mehr gerecht.
Der Zeitpunkt ist gekommen, für KRITIS und Internetnutzer mehr zu tun. Mindeststandards, Meldepflicht, Warnpflicht, jährliches Lagebild, Prüfung zentraler Produkte, Änderungen in TMG und TKG.
BSI soll aktiv präventiv werden in Zusammenarbeit mit den Aufsichtsbehörden. ITSG ist ein notwendiger und wichtiger Schritt.
Prof. Dr. Gerrit Hornung
Gesetzentwurf adressiert eine relevante Frage und ist ein sinnvoller Ansatz. In aller Kürze:
1. Inhaltliche Standards: Ziel ist Verbesserung der IT-Sicherheit. Stand der Sicherheit soll berücksichtigt werden, das ist zu wenig. Sicherheit muss eingehalten werden. Branchenstandards sind ein probates Mittel, bringen aber auch Probleme.
2. Wie weist man die Einhaltung nach? Bereich der Audits ist ungeregelt. Das ist unzureichend, braucht genauere Regelung.
Meldepflichten: Entwurf sieht Sonderregelungen vor, keine Rechtfertigung für terminologische Abweichungen. Ist damit auch unterschiedlicher Inhalt gemeint. Bereich der hoheitlichen Anwender wird nicht geregelt. Nicht einsichtig, warum diese anders als KRITIS behandelt werden sollen.
Umgang mit den Informationen durch das BSI ist wichtig. Meldungen enthalten sensible Informationen über Wirtschaft. BSI sollte mehr für Öffentlichkeitsarbeit tun und Dritte informieren. Nicht nur Bedürfnisse der Wirtschaft berücksichtigen.
Kriminelle dürfen nicht auf Lücken hingewiesen werden, Lücken müssen vorher geschlossen werden. Information der Öffentlichkeit ist nicht adressiert, das ist ergänzungsbedürftig. Auch europäische Richtlinie sieht das vor.
3. Fehlende Sanktionen: Nicht alle Betreiber sind kooperativ, BSI braucht deshalb Durchsetzungs- und Anordnungsbefugnisse. Ungleichbehandlung, Bußgelder nur für TK-Bereich vorgesehen.
Zu §100 TKG: Wird als kleine Vorratsdatenspeicherung bezeichnet.
Linus Neumann
Im Gesetz sollen technische Probleme adressiert werden. Schwierig mit juristischen Mitteln zu machen.
Zwei Möglichkeiten für mehr IT-Sicherheit:
Härtung – Im Schadensfall den Schaden begrenzen – und Prävention – Finden und Entfernen von Bugs im Code. Am Ende die einzige Möglichkeit, ein Sicherheitsrisiko loszuwerden.
Anreize für eine Erhöhung der IT-Sicherheit im ITSG? Im ITSG starken Fokus auf KRITIS, aber Endnutzerschutz sollte größere Rolle spielen.
Stört, dass jegliche Proaktivität fehlt. Stand der Technik soll eingehalten werden, wird aber schon per Definition eingehalten. Technische Sicherheit muss erhöht werden, das kann nicht durch Meldepflichten im Nachhinein passieren.
Erstellung von Sicherheitskonzepten ist vorgesehen, um Rechtsunsicherheit des „Stands der Technik“ zu entfliehen. Verbände müssen sich für gemeinsames Sicherheitskonzept zusammensetzen. Dilemma: Standard, den alle erfüllen oder Standard, den man noch nicht erfüllt. Letzteres würde Investitionen benötigen.
§100 TKG, damit wird Datenvorhaltung ermöglicht. Aber Störungen sind akute Probleme, da bringt 180 Tage zurückreichender Datensatz nicht. „Das ist einfach Unsinn.“
BSI hat inhärenten Interessenskonflikt, weil BMI untergeordnet. Es ist auch im offensiven Bereich der IT-Sicherheit tätig, Verweis auf Wunschliste des BND. BSI unterstützt auch die Entwicklung von Staatstrojanern. Als zentrale Meldestelle daher grundsätzlich nicht geeignet.
Iris Plöger
BDI findet die Maßnahmen, wie Meldepflicht, unverhältnismäßig. Es entstehen finanzielle Aufwände. Nutzen ist nicht einschätzbar. Industrie hat Eigeninteresse an IT-Sicherheit.
Meldepflicht allein führt nicht zum Ziel, da reaktiv. Freiwillige Zusammenarbeit funktioniert sehr gut.
Eigene Vorschläge schon 2014 eingebracht, Studie „IT-Sicherheit in Deutschland.“ Konkrete Handlungsempfehlungen präsentiert.
1. KRITIS klar definieren. Ist nicht klar, an wen sich das Gesetz richtet. Unternehmen müssen wissen, ob sie betroffen sind. Staat ist der größte Betreiber kritischer Infrastrukturen. Schutzgut des Gesetzes ist kein Grund für Ungleichbehandlung staatlicher und privater Betreiber.
2. Umfang und Inhalt der Meldepflichten im Gesetz nicht bestimmt. Definition „erheblicher Störungen“ nicht hinreichend. Weitergabe von Daten sollte gesetzlich ausgeschlossen werden.
3. Mindeststandards sind branchenspezifisch wichtig.
4. Kompatibilität zwischen ITSG und NIS-Richtlinie wichtig. Stehen bisher nicht im Einklang. Unterschiedliche nationale und europäische Anforderungen.
5. Keine Doppelregelungen und Doppelzuständigkeiten schaffen.
6. Zusammenarbeit BSI und Unternehmen ausbauen. Informationen müssen zeitnah und praxisorientiert an Unternehmen gegeben werden – tagesaktuell. Allianz für Cybersicherheit stärken.
Prof. Dr. Alexander Roßnagel
1. Gesetzentwurf grundsätzlich zu begrüßen. Name verspricht mehr, als die Regelungen verfolgen. Maßnahmen sind grundsätzlich geeignet, Grundrechtseingriffe erforderlich und verhältnismäßig.
2. Definition kritischer Infrastrukturen erscheint ausreichend. Für Rechtssicherheit müssen sie so detailliert beschrieben werden wie in Emmissionsschutzverordnung, detaillierte Merkmale sind sachlich geboten.
3. Sicherheitsvorkehrungen sind für ein gleichmäßiges Mindestniveau erforderlich. Stand der Technik soll nicht nur berücksichtigt, sondern eingehalten werden. Branchengerechte Vorgaben sind zu begrüßen. Aber eingesetzte Technik kann nicht durch Betreiber selbst verbessert werden, daher müssen Sicherheitsnachweise hier präziser gefasst werden.
4. Kooperatives Sicherheitssystem ist zu begrüßen, wie anonyme und identifizierende Meldepflicht. Wann eine Meldepflicht besteht, sollte jedoch präziser geregelt werden. Ausnahmen sollen nur bei spezielleren Regelungen greifen. Verbessert werden muss Information der Öffentlichkeit und Nutzer. Staat hat Schutzpflicht, daher sollte Information die Regel sein.
Pflichten der Betreiber müssen sanktionsbewährt sein.
5. §100 TKG, Gesetzentwurf erweitert Begriff der Störung. Vorschrift erlaubt anlasslos Speicherung von Verkehrsdaten, das ist unverhältnismäßig. Muss eingeschränkt werden.
Prof. Dr.-Ing. Jochen Schiller
Gedankenexperiment: Smarter Backofen, lädt Backprogramme aus dem Internet. Steuerung übernimmt ein Webserver. Hat Schadsoftware, verkohlt nicht nur Kuchen, sondern die ganze Wohnung. Wer ist haftbar? Nutzer, Hersteller, Hacker?
Backofen ist keine kritische Infrastruktur, aber Probleme sind ähnlich. Eingebettete Computer steuern vielfältige Systeme, sind aber kaum abgesichert. Haben wir das richtige Sicherheitsbewusstsein?
Grundlegender Bewusstseinswandel ist notwendig, Sicherheit ist ein dynamischer Prozess.
Sicherheitsprozesse müssen branchenübergreifend gedacht werden. Alle müssen eingeschlossen werden, um wirksam zu sein. Drei Viertel aller Angriffe betreffen KMUs, diese stellen in ihrer Gesamtheit auch kritische Infrastrukturen dar – Wirkungsbereich des ITSG überdenken!
TMG und TKG sind nicht konsistent, um Angreifer zu erkennen. Das ist aus technischer Sicht nicht sinnvoll. Man muss reagieren können, bevor etwas passiert. Lagebild erfasst nicht alles im notwendigen Detailgrad.
Insgesamt: Gelebte IT-Sicherheit liegt hinter dem Stand der Technik zurück, ITSG ist Startschuss zum Sicherheitsbewusstsein.
Dipl.-Ing. (FH) Thomas Tschersich
Gesetz ist absolut notwendiger Schritt in die richtige Richtung. Geht um unsere Zukunftsfähigkeit in der digitalen Welt.
Historische Chance für Standortfaktor der sicheren Dienstleistungsumgebung. Nicht aus den Augen verlieren, dass weitere Schritte erforderlich sind.
Es fehlt die Einbeziehung der Hard- und Softwarehersteller. Angreifer sind erfolgreich, weil Schwachstellen ausgenutzt werden können. Betreiber kann die nicht allein beheben, Hersteller müssen unterstützen und Updates zur Verfügung stellen.
Vermutet, dass 95 Prozent aller Angriffe vergebens wären, wenn alle auf dem „Stand der Technik“ wären.
Man braucht ein Warnmeldungsregime zum Austausch von Informationen über Angriffe. Meldepflicht ist sinnvoll, relevante Meldungen sind notwendig für praktischen Nutzen.
Speichern von Daten in Telediensten: Diskussion um Erforderlichkeit ist notwendig. Logs sind notwendig für Schutz vor und Erkennung von Angriffen. Es braucht eine Definition, was gespeichert werden kann und darf.
Dr. Axel Wehling
Ist der richtige Zeitpunkt mit der richtigen Dosierung, gibt drei Kernpunkte:
1. Anonymisierte Meldung
2. Fortschreiten bei kooperativem Ansatz: Muss ausgebaut werden. Insbesondere in der Frage, welche Unternehmen zu KRITIS zählen. Bei Definition von Sicherheitsaudits und Zertifizierungen sollten branchenspezifische Lösungen möglich sein.
Kleinere Anpassungen sind erforderlich.
3. Branchenansatz: Versicherungsbranche hat Single Point of Contact mit BSI schon 2010 eingerichtet. Soll ausgebaut werden. Branchenansatz ist das Tool, um spezifisch IT-Sicherheit voranzubringen und Bürokratie zu vermeiden. Branchen haben unterschiedliche Anforderungen.
Um Meldekultur zu etablieren von Spezialgesetzen absehen. Lagebild reicht, evtl auch spezielle Lagebilder. Keinen Konkurrenzkampf zwischen den einzelnen Meldewegen generieren.
Fragerunde
Wendt (CDU/CSU)
@Tschersich/Wehling: Konkreter Wert als Anhaltspunkt für Definition kritischer Infrastruktur möglich? Welche Bereiche und Sektoren sollten unter KRITIS fallen, wird das europaweit tragfähig sein?
Tschersich: Kennzahlen schwierig. KRITIS alles, was unter Grundversorgung fällt, egal wie groß oder klein. D.h. auch Nahrungsmittel. Hier ist branchenspezifischer Ansatz sachdienlich. BSI bildet das Korrektiv, wenn eine Branche sich entziehen will, um Investitionen zu vermeiden.
Wehling: 1200 Versicherungsunternehmen in Deutschland, im GdV nur 430 Unternehmen. Nicht alle müssen miterfasst werden – branchenspezifisch gucken. In Übungen die Response-Zeiten angeschaut und geschätzt, ob diese adäquat sind. Nicht alle können in einen Topf geworfen werden.
Man kann ein Gefühl entwickeln, wer dazugehört oder nicht.
Schwer zu sagen, ob mit EU-Regelung kompatibel. National andere Aufteilung ist unschädlich, in etlichen Staaten gar keine nennenswerte Versicherungswirtschaft.
@Plöger/Hornung: Wesentlichkeit und Bestimmtheit, ist Gesetz ausreichend konkret? Ist sichergestellt, dass Kooperation von Unternehmen, Wissenschaft und Behörden funktioniert
Plöger: Große Unsicherheit bei Unternehmen besteht. Umfang und Inhalt der Meldepflicht wird kritisiert. Anzahl der Personen in großen Unternehmen, um das zu leisten, wird sehr groß sein.
Begrüßt kooperativen Ansatz, wünscht sich mehr Präzision im Gesetz. Frage, ob man mit Meldepflichten dem Problem Herr wird, unklar.
Hornung: Anforderung aus Grundgesetz, wesentliche Entscheidungen muss Gesetzgeber treffen. Also auch, auf wen ein Gesetz angewendet wird. Nicht jedes Unternehmen muss das direkt aus dem Gesetz sehen können. Empfiehlt Konkretisierung, gibt im Gesetz Ansätze dafür.
Wie ist die Zahl von maximal 2000 betroffenen Unternehmen, die im Gesetz genannt wird, zustande gekommen? Sollte präzisiert werden.
Je vager der Entwurf, desto größer die Chance, mit der EU-Richtlinie kompatibel zu sein. Eigentliche Probleme bei EU liegen bei Veröffentlichung der Ergebnisse und Sanktionen.
@Hange: Meldepflichten, Einschätzung der Menge der zu meldenden Vorfälle? Wie wird mit Meldefällen umgegangen? Wie wird der Mehraufwand?
Hange: BSI hat ein Lagezentrum, dass künftig 24/7 präsent sein wird. Zweistufiger Prozess: Was ergibt sich an Gefährdung für andere? Daraus ergibt sich eine Warnung. Dann: Meldepflichten sind kein Selbstzweck. Jede Meldung braucht auch Analyse, 80 – 90 Prozent aller Angriffe können abgewehrt werden. Spam ist nicht meldewürdig, sondern neuartige Angriffe. Betrifft vermutlich 5 – 10 Angriffe pro Jahr.
Ist ein dynamischer Prozess, wichtig ist, die Methoden festzulegen und Common Sense für Vorgehensweise zu etablieren. Informationen müssen vertraulich bleiben.
Reichenbach (SPD)
@Hornung/Roßnagel: Websteuerungen in eingebetteten Systemen: Zuordnungsschwierigkeiten zu TMG oder TKG, wie ist das Problem zu lösen?
Hornung: Sowohl in TMG und TKG Problem mit Umgang mit Verkehrsdaten. Es gibt überlappende Bereiche. Lösung nicht im Gesetzentwurf, Erforderlichkeitskriterium zu vage, Speicherdauer läuft völlig auseinander. Man braucht eine Erheblichkeitsschwelle und Zweckbindungsregelung, sowie Obergrenze für Speicherpflicht.
Roßnagel: Wenn man TMG miteinbezieht hat man nicht nur Verkehrs- sondern auch Nutzungsdaten. Eingriff in Grundrechte wird dadurch tiefer. Schließt nicht aus, dass trotzdem Vorsorgemaßnahmen getroffen werden. Aber darauf achten, dass stufenweise vorgegangen wird. Nicht alle Daten aller Nutzer für unbestimmten Zeitraum aufbewahren. Erstmal anonyme Statistiken analysieren. Sollte im Gesetz verankert werden. BVerfG hat eingefordert, dass nicht einfach alles gespeichert werden darf.
@Hange/Roßnagel/Schiller: Mitwirkungspflicht von Herstellern. Was passiert, wenn Monopolist ein Sicherheitsproblem ignoriert? Wie können Regelungen Mitwirkung garantieren?
Roßnagel: BSI kann Betreiber zu Nachbesserung auffordern, aber nicht Hersteller. Das muss aber möglich sein.
Schiller: Kann nicht so tun, als wäre IT-Bereich etwas ganz Neues. Nicht einzusehen, dass derjenige, der das Produkt anbietet, nicht zur Rechenschaft gezogen werden soll. Der Anbieter selbst muss Anforderungen an Hardwarehersteller stellen. Nicht logisch, dass in diesem Fall Haftung nicht greifen soll. Weiterpropagieren von Verantwortlichkeiten kann nicht sein.
Hange: Mit Mindeststandards wird ein Rahmen vorgegeben. Bindung des Herstellers an den KRITIS-Betreiber notwendig, z.B. in AGBs. BSI kann auch öffentlich warnen, das hat hohen Wirkungsgrad. Via Gesetz auf Zulieferer einwirken ist wirksam. Produktauswahl muss am Markt entschieden werden. Benennung von Schwachstellen schafft Druck auf Hersteller.
@Hornung/Roßnagel: Sanktionsmechanismen, wie ist das besser formulierbar? Wie lässt sich Wettbewerbsverzerrung vermeiden?
Hornung: TKG-Bereich kann als Modell gelten, nur erhebliche Verstöße Bußgeld-bewehrt. Nicht auf Sanktionsbefugnisse verzichten.
Roßnagel: Sicherungs- und Meldepflicht werden von großer Anzahl an Unternehmen befolgt. Muss dafür sorgen, dass diejenigen keine Wettbewerbsnachteile haben. Daher ist Sanktion notwendig. Regelung aus TKG könnte übertragen werden.
@Hornung/Roßnagel/Hange: Kritik von außen: Zweckbindung nicht ausreichend. Nachschärfung notwendig?
Roßnagel: Zweckbindung in §7a Abs. 2, Gesetz wird aber nicht nur von Rechtsabteilungen angewendet, daher sollte diese Frage präzise und detailliert beschrieben werden. Darf nicht nur Juristen-lesbar sein.
Hange: Nur dazu da, um Schwachstellen dem BSI zu nennen. Keine Weitergabe vorgesehen.
Wawzyniack (Linke)
@Neumann: Hat gesagt, dass Meldepflichten noch keinen Hack verhindert haben. Wenn Endnutzerschutz im Mittelpunkt, ist da Meldepflicht nicht doch sinnvoll? Vielleicht sogar ein Mehr an Meldepflicht? Verbot des Verkaufs von Sicherheitslücken?
Neumann: Gibt Ad-Hoc-Angriffe, Angriffe sind erfolgreich, wenn sie neuartig sind. Hohe Kunst fängt bei neuen Angriffen an, z.B. OpenSSL. Konnte keiner vorhersehen und fast niemand detektieren. Meiste Unternehmen haben hier Defizite. Angreifer hat keine Motivation, die Meldung der Telekom abzuwarten, bis er andere angreift.
Warum meldet bisher niemand freiwillig, Gelegenheit besteht seit 2012 in der Allianz für Cybersicherheit? Irgendwas funktioniert da nicht.
IT-Sicherheit ist multidimensionales Problem, es gibt viele Angriffsmotivationen.
@Neumann: Mehr Proaktivität gefordert, wie kann das aussehen?
Man sollte den Unternehmen Anreize geben – durch Haftung, Zwänge, … – den Risikoszenarien zu begegnen, bei denen Endnutzer zu schaden kommen und nicht nur das Kerngeschäft.
Bereits vorgeschlagen zu schauen: Was sind Softwareprodukte, die ein Großteil der Menschen nutzen? OpenSSL: Niemand hat das auditiert, um das eigene Risiko zu verringern. Alle profitieren von einer Sicherheitsüberprüfung, daher haben einzelne Unternehmen wenig Anreiz, profitieren aber davon.
Was macht man mit der proprietären Software? Kann bisher noch ohne jegliche Garantie operieren. Haftung würde mit wenig Bürokratie schönen Effekt erzielen. Gesamte Awareness für IT-Sicherheit ist noch nicht so hoch, wie sie sein könnte.
@Neumann: Ambivalente Funktion des BSI angesprochen. Aus Sicht der Endnutzer evtl. Auditierung sinnvoll, das scheint aber schwierig. Ist Auditierung sinnvoll, mit BSI als unabhängiger Stelle?
Unabhängigkeit ist ein dringendes Anliegen. BSI hat Imageproblem: Staatstrojaner, ungenügende Aufklärung bei Identitätsdiebstählen. Erfolg der Allianz für Cybersicherheit nicht groß. Mangelnde Unabhängigkeit ist dabei ein Kernproblem. Schade, dass sich das Gesetz nicht auf BSI-Lageberichte stützt.
@Neumann: Datenvorhaltung bei Störungen kritisiert. In welchem Umfang sind welche Daten notwendig?
Es darf keinen Freibrief geben, alle Daten unbegrenzt vorzuhalten. Aber es gibt konkrete Notwendigkeit, in Verkehrsdaten zu schauen, um Angriff vernünftig aufzuklären. Betreiber muss das tun, aber in diesem Fall ist Informieren der Nutzer notwendig.
Oft werden die Daten für Kleinstvergehen angefragt, daher sieht man, dass massive Einschränkung des Verwendungszwecks notwendig ist. Wenige Stunden bis Tage Speicherung sind ausreichend.
@Schiller/Hornung: Anwendungsbereich des Gesetzes, kleinere Unternehmen werden ausgenommen (< 250 Mitarbeiter, 43 Mio. Euro Bilanzsumme). Macht Bestimmtheitsgebot da noch Sinn? Nicht alle von Anfang an einbeziehen?
Hornung: Ausnahme für Kleinstunternehmer (kleiner 10 Mitarbeiter), nicht für KMUs. Wenn die reingenommen werden, kann das unverhältnismäßige Kosten verursachen.
Schiller: Stand der Technik und Sicherheitsbewusstsein. Stand der Technik ist definierbar. Warum KMUs? Bewusstseinsbildung. Oft kein Sicherheitsbewusstsein vorhanden, auch wenn keine Mitwirkungspflicht. Außerdem ist die Menge der KMUs zusammen relevant. Alle einzeln nicht erfasst. Wenn man ein Land lahmlegen will, dann geht man zu denen, die schlecht geschützt sind. Angriff ist dann in der Menge kritisch.
@Hange/Hornung: BfV soll bis zu 50 Stellen mehr bekommen, weil BSI dem BfV Daten übermitteln soll. Aber im Gesetz stehen nur Unterrichtungspflichten. Ist tatsächlich die Möglichkeit einer Datenübermittlung vorgesehen, Ermächtigungsgrundlage?
Hange: BSI hat technischen Blick auf Analyse. Wird warnen und Handlungsempfehlungen geben, Lageberichte erstellen. Bei Angriffen auf Regierungsnetze liegt Anteil der „hochwertigen Angriffe“ im einstelligen Bereich.
Zu Heartbleed – auch BSI macht Open Source. Auch Open Source muss geprüft werden. BSI will hier die Rolle des Prüfens übernehmen. Krypto-Bibliothek soll geprüft werden, BSI kann das finanzieren. Zertifizierung soll genutzt werden, um auch proprietäre Produkte zu prüfen, zum Beispiel bei eGK, Smart Meter.
Mitarbeit am Staatstrojaner wird auch Gegenstand des NSA-Ausschusses sein. BSI kann auch beauftragt werden, für Sicherheit zu sorgen. Darauf beschränkt sich das. Bei Identitätsdiebstahl waren die Server ruckelig, wurde aber in den Griff bekommen. Täglich werden bis 20.000 IP-Adressen an Provider gegeben, damit Kunden gewarnt werden können.
Gesamtgesellschaftlich muss gefragt werden, wie man Bürger besser schützen kann. Auch um kriminelle Bedrohungen an den Bürger zu reduzieren.
Hornung: BSI muss Stellen wie BfV unterrichten. Dieser Begriff ist unbestimmt. Auffällig, dass Gesetzesbegründung unspezifisch ist. Was BfV damit macht, muss das BfV selbst entscheiden. Scheint so zu sein, dass substantieller Teil der Auswertung beim BfV liegen soll. Sieht das kritisch.
von Notz (Grüne)
@Roßnagel/Hornung/Neumann: Was sind konkrete Punkte, die noch in das Gesetz hineingehören, damit auch Bürger geschützt werden?
Hornung: Hersteller mit ins Boot holen, Auditierung detaillierter formulieren. Anreize durch Haftungsregelungen. Inwieweit können sich Anbieter durch AGBs freizeichnen? Das im AGB-Recht beschränken. Meldepflicht für weitere Behörden und sonstige Anbieter.
Neumann: IT-Systeme sind komplex, schwer zu beherrschen. Meist gibt es aber nur Checklisten. Angreifer muss sich darum nicht kümmern, ist viel flexibler. Das erzeugt ein Ungleichgewicht. Schnellere Auditierung notwendig. Nicht IT-Sicherheit mit noch mehr Bürokratie erschlagen. Das geht zu Lasten proaktiver Maßnahmen.
Haftung bei Fahrlässigkeit einführen, Erhöhung der Schutzziele über den Stand der Technik hinaus. Konkrete Vorgaben für die Zukunft formulieren – das wäre Standortvorteil. Konkrete Schutzziele vorgeben. Grundlagen für gesamte deutsche Wirtschaft schaffen.
Roßnagel: Geht nicht nur darum, Wahrscheinlichkeit von Schäden und Angriffen zu reduzieren. Sondern auch um Schadenspotential. Haftung kann präzisiert werden, was sind berechtigte Sicherheitserwartungen und ‑pflichten? Öffentliche Hand sollte vorbildhaft vorangehen, z.B. nur zertifizierte Produkte einsetzen. Aktuellen Entwurf aber nicht deswegen aufhalten, sondern Schritt für Schritt vorgehen.
@Roßnagel/Hornung/Neumann: In Hinblick auf Scheinabsicherungen – was wären harte, notwendige Prüfungsschritte, um Hard- und Software als sicher beschreiben zu können? Z.B. bei Netzwerk-Switches.
Neumann: Zwei Teilprobleme, es gibt die Sicherheit, die das Produkt bieten kann und die Sicherheit, die man kaputtkonfigurieren kann. Man kann Anbieter von Produkten durch Zertifizierung zu Überprüfungen anhalten. Dort gibt es noch Luft nach oben, aktuelle Kontrollmöglichkeiten scheinen noch nicht zu greifen. Problembewusstsein ist nicht gegeben.
Roßnagel: Aus Technikrecht kann man Mindestniveau übertragen. Einheitlichkeit erreichen, wird aber nicht jedem Risiko gerecht. Dann spezifischere Anforderungen stellen. Schauen, ob IT-Sicherheitskonzepte existieren und umgesetzt werden.
@Hange/Roßnagel/Hornung/Neumann: Problem in Diskussion um IT-Sicherheit, Cyberwar und Co. bei Verteidigung und Angriff? Wie kann es sein, dass das BSI dem BMI unterstellt ist?
Hornung: Bei Zusammenarbeit BSI und andere Behörden aufpassen, aber komplette Unabhängigkeit nicht notwendig. Muss über Zusammenarbeit der verschiedenen Abteilungen nachdenken.
Roßnagel: Frage nach Unabhängigkeit zweitrangig, relevant ist, ob es Interessensgegensätze gibt. Evtl. ist Unabhängigkeit ein Mittel, darauf zu reagieren.
@Roßnagel/Hornung/Neumann: Parallele Verhandlung der NIS-Richtlinie in der EU. Ist es sinnvoll, dass das ITSG Vorbild der NIS-Richtlinie werden soll?
Hornung: Abhängig davon, wie der Zeitplan für die NIS-Richtlinie aussieht. Keine Prozesse vorgeben, die Unternehmen teuer umsetzen müssen.
Roßnagel: Artikel 2 der NIS-Richtlinie sagt, sie betreibt nur eine Mindestharmonisierung, Länder dürfen trotzdem noch eigene spezifische Regelungen über Mindestniveau erlassen. Definition von kritischen Infrastrukturen in NIS nicht enthalten.
Jarzombek (CDU/CSU)
@Tschersisch: Wie wird bei Telekom vorgegangen, wenn Kunden als Teil eines Botnetzes unterwegs sind?
Tschersisch: Monatlich werden viele Endkunden angeschrieben, von deren IPs Angriffe stammen. Hat einen enormen positiven Effekt, viele Kunden fragen nach und nehmen das ernst. Problem ist, dass solche Informationen nicht durch eigene Auswertungen ermittelt werden dürfen. Man ist auf Meldungen von Dritten angewiesen.
@Hange: Wie sind Reaktionszeiten des BSI bei eingehenden Meldungen geplant? Wie sieht Unterstützung von Unternehmen bei persistenten Angreifern aus?
Hange: Schon jetzt sind Prozesse etabliert. Prozesse müssen mit den Branchen transparent gemacht werden. Man kann nicht zeitlich genau definieren.
BSI kann Betreiber von KRITIS unterstützen – als Ersthilfe – oder an dritte Dienstleister verweisen.
@Plöger/Hornung: Wie ist Alternativvorschlag zur Konkretisierung von Begriffen, z.B. Stand der Technik?
Plöger: Parallele zu Patentrecht – Industrie hat sich zurückhaltend geäußert, den Stand der Technik in einem Gesetz zu formulieren.
Hornung: Man kommt nicht ohne unbestimmte Rechtsbegriffe aus. Man braucht jemanden, der entscheidet, was Stand der Technik ist. Das ist Dynamik, aber die fehlt im Gesetzesentwurf.
Hakverdi (SPD)
@Roßnagel: Wie kann man §100 TKG verfassungskonform formulieren?
Roßnagel: Man muss den zulässigen Anlass genau beschreiben. Stufenweise vorgehen: Verkehr beobachten ohne Personenbezug, bei Anlass auch Anomalien näher anschauen, auch anonym und pseudonym. Erst bei Entdeckung eines Angriffs den Personenbezug herstellen. Im ersten Schritt keine flächendeckende und anlasslose Speicherung von personenbezogenen Daten durchführen. EuGH verlangt, dass Verarbeitung personenbezogener Daten auf das absolut Notwendige beschränkt wird.
Ausnahmen für bestimmte Berufe (Ärzte, Rechtsanwälte, etc.) – überlegen, ob man eine Whitelist mit bestimmten Anschlüssen erstellt. §100 TKG modernisieren. Mehr Kriterien zum Schutz der betroffenen Bürger.
Nachfrage: Sind Whitelists technisch möglich?
Tschersisch: Technisch möglich so gut wie alles, aber Realismus fraglich.
Fazit
Im Grunde entsprachen die vorgebrachten Argumente den Punkten, die bereits im Vorfeld kritisiert wurden. Ein Streitfaktor ist dabei die Frage, ob eine im Normalfall anonyme Meldepflicht ausreicht. Ein weiterer, viel bemängelter Punkt sind die unklaren Begriffsdefinitionen, die unter anderem dazu führen, dass Unternehmen nicht wissen würden, ob sie selbst zur betroffenen kritischen Infrastruktur gehören. Auch die Festlegung auf einen Stand der Technik gibt keine klaren Leitlinien, eine Konkretisierung des Begriffes ist jedoch im Rahmen eines Gesetzes schwer umzusetzen.
Die Begrenzung des Gesetzes auf kritische Infrastrukturen ist dabei ein Kritikpunkt an sich. Denn eigentlich, sollte man meinen, ist IT-Sicherheit für alle ein maßgeblicher Faktor. Denn wenn eine Vielzahl an Unternehmen, die vielleicht für sich genommen nicht kritisch wären, von einem Angriff betroffen ist, kann das in der Masse einen ebenso kritischen Vorfall darstellen wie beispielsweise ein Angriff auf einen einzelnen, großen Energieversorger. Ebenso wichtig für die IT-Sicherheit sind diejenigen, die Komponenten für IT-Systeme liefern, auf deren Basis die Betreiber arbeiten müssen. Existieren beispielsweise Sicherheitslücken in verwendeter Hard- oder Software, hat ein Betreiber eines Unternehmens wenig Handhabe, das ITSG hilft ihm dabei nicht.
Inwiefern der Gesetzesentwurf helfen kann, proaktiv Angriffe zu bekämpfen bleibt fraglich und so stellten einige der Sachverständigen in Frage, ob eine vorgesehene nachträgliche Meldepflicht ausreichend ist, wenn Angreifer sich normalerweise nicht darauf beschränken, Infrastrukturen nacheinander anzugreifen, sondern dies in der Regel parallel erfolgt. Was die Wirksamkeit des Gesetzes darüberhinaus behindern könnte, sind die mangelnden Sanktionierungsbefugnisse. Denn gibt es keinen wirtschaftlichen Anreiz, Sanktionen zu vermeiden, da schlichtweg keine vorgesehen sind, ist es fraglich, ob Unternehmen mitunter intensive Investitionen in IT-Sicherheit tätigen werden.
Ein anderes, viel angesprochenes Thema sind die Speicherbefugnisse für Telemedien- und Telekommunikationsanbieter bezüglich Verkehrsdaten nach §100 TKG, die zur Angriffserkennung gewährt werden sollen. Hier ist eine Konkretisierung und Beschränkung der Befugnisse dringend erforderlich, um nicht eine Vorratsdatenspeicherung durch die Hintertür einzuführen.
Ob eine Verabschiedung des IT-Sicherheitsgesetzes zum aktuellen Zeitpunkt überhaupt sinnvoll ist, wurde aufgrund der aktuell debattierten NIS-Richtlinie an mehreren Stellen angezweifelt. Die NIS-Richtlinie stellt quasi das europäische Äquivalent des ITSG und damit Mindeststandards dar. Bei Widersprüchen müsste das ITSG nachgeregelt werden, manche sehen das ITSG jedoch als mögliche Vorlage für die europäische Regelung.
Worin sich alle Beteiligten einig waren ist der Punkt, dass eine Regelung von IT-Sicherheitsstandards dringend geboten ist. Dass das IT-Sicherheitsgesetz in der aktuellen Entwurfsfassung das gebotene Mittel ist, ist jedoch unwahrscheinlich.
-
: SIM-Karten-Hack bei Gemalto: Bundesregierung sieht keinen Handlungsbedarf
Nicht immer weise: Nichts sehen, nichts hören, nichts sagen [Ähnlichkeiten zu lebenden Politikern unbeabsichtigt] - CC <a href="https://creativecommons.org/licenses/by-sa/3.0/deed.de">BY SA 3.0</a> via <a href="https://commons.wikimedia.org/wiki/File:See_No_Evil,_Hear_No_Evil,_Speak_No_Evil.jpg">wikimedia</a> : SIM-Karten-Hack bei Gemalto: Bundesregierung sieht keinen Handlungsbedarf Was ist eigentlich passiert, seit im Februar bekannt wurde, dass NSA und GCHQ sich in das Netz des weltgrößten SIM-Kartenherstellers Gemalto gehackt haben und damit der restlichen Glauben an die Vertraulichkeit und Authentizität von Mobilkommunikation stark beschädigt wurde? Das wollte Jan Korte von der Linken im Bundestag wissen und stellte eine Kleine Anfrage mit dem Titel „Konsequenzen nach Angriff auf weltweit größten Chipkarten-Hersteller durch die Geheimdienste NSA und GCHQ“, deren Antworten uns vorliegen [OCR-Fassung unten].
Kurzzusammenfassung der Konsequenzen: Null. Doch mehr dazu im Detail.
Durch das Abgreifen von SIM-Karten-Schlüsseln wie bei Gemalto wird es möglich, Verbindungen von Mobiltelefon zum Funkmast abzuhören als auch eine SIM-Karte zu klonen und damit eine andere Identität vorzuspiegeln. Ohne richterlichen Beschluss, unbemerkt, vollständig außerhalb jeglicher Kontrollmöglichkeit. Manche Sicherheitsforscher vermuten, dass das eigentliche Ziel des Angriffs auf das Gemalto-Netz jedoch „Over The Air“-Schlüssel waren. Mit diesen können Updates „aus der Luft“ installiert werden. Und ebenso Spionagesoftware. Was auch immer mit den Schlüsseln angestellt wird, es ist ein ziemlich bedrohliches Szenario – sollte man annehmen.
Die Bundesregierung scheint das in keine besondere Alarmbereitschaft versetzt zu haben. Ihre Antworten lesen sich wie textgewordenes Schulterzucken und Abwinken. „Es liegen weiterhin keine Erkenntnisse zu angeblicher Wirtschaftsspionage durch die NSA oder anderen US-Diensten in anderen Staaten vor,“ heißt es als Antwort darauf, ob die Bundesregierung ihre Meinung revidiere, dass sie keine Erkenntnisse zu Industrie- und Wirtschaftsspionage durch NSA und Co. habe.
„Keine Erkenntnisse“ gibt es auch zu einer veränderten Sicherheitslage für IT-Unternehmen. Ebenso wenig wie dazu, ob wichtige Server in Deutschland eventuell ebenso von NSA-Backdoors kompromittiert sein könnten. Immerhin ist in Deutschland das Unternehmen Giesecke & Devrient zu Hause, seines Zeichens ebenso ein wichtiger Hersteller von SIM-Karten und Chips für Ausweise und Geldnoten.
Es wäre logisch und verantwortungsbewusst, wenn man anhand der Ereignisse bei Gemalto beginnen würde, seine eigenen Sicherheitsinfrastrukturen zu prüfen oder versuchen würde, aus den Fehlern der anderen zu lernen. Aber weit gefehlt. Die Regierung wird gefragt, ob man die Sicherheitsvorkehrungen bei Gemalto für unzureichend halte und welche Schlussfolgerungen man ziehe. Darauf knapp:
Es ist nicht Aufgabe der Bundesregierung, das Sicherheitsmanagement von Gemalto in Frankreich oder den Niederlanden zu bewerten.
Doch warum kümmert sich die Bundesregierung so wenig? Der Schlüssel zu dieser Gleichgültigkeit liegt darin, dass sie die Existenz einer „nationalen Gefährdung“ durch den enthüllten Angriff abstreitet – ja sie stellt sogar die Erkenntnisse aus den Snowden-Dokumenten selbst in Frage. Das ergibt sich aus der Reaktion auf die Nachfrage, ob man eventuell Provider und Kunden bei Klagen helfen würde:
Da sich die Hinweise auf die Meldungen über den Vorfall und auf eine konkrete nationale Gefährdung bislang nicht bestätigt haben, besteht derzeit kein Anlass für Überlegungen im Sinne der Fragestellung.
Deutlicher kann man kaum sagen, dass man sich nicht um die Angelegenheit kümmern will und die Augen vor der unbequemen Realität verschließt. Und so reiht sich auch der Großteil der weiteren Antworten in eine Floskelparade ein: „keine eigenen Erkenntnisse“, „keine hinreichenden Erkenntnisse“, „keine Veranlassung“, „keine Informationen.“ Die aktive Wahrnehmung einer staatlichen Schutzpflicht und Aufklärung sieht anders aus.
Jan Korte, stellvertretender Vorsitzender der Linken, kommentiert uns gegenüber:
Bis dato konnte keine Enthüllung von Snowden widerlegt werden und auch der Gemalto-Hack hat sich bestätigt. Auch wenn die Bundesregierung keine konkrete nationale Gefährdung erkennen will, wird der Angriff auf Gemalto den Mobilfunk in noch nicht absehbarem Umfang kompromittieren. Das Agieren von NSA und GCHQ muss man eindeutig als Staatskriminalität bezeichnen. Solange die Bundesregierung diesem Treiben nur zusieht und selbst eine potentielle Gefährdung leugnet, kann sie sich alle Gipfel zur IT-Sicherheit sparen.
Doch nicht nur der SIM-Karten-Hack direkt interessierte die Fragesteller. Denn Gemalto produziert noch andere Chips. Etwa für Kredit- und EC-Karten, Autoschlüssel und: Die elektronische Gesundheitskarte (eGK).
Diese ersetzt in Deutschland seit Anfang 2015 die vorherige Krankenversicherungskarte und soll eine Vielzahl sensibler Daten speichern können, auch wenn bisher ausschließlich Stammdaten gespeichert werden. Die eGK wurde und wird viel kritisiert, vor allem aus Datenschutz- und Sicherheitsgründen. Das Szenario, dass Daten an Unbefugte gelangen könnten, wenn die Chips der eGK kompromittiert sein könnten, hat im Licht der Gemalto-Affäre an neuem Realismus gewonnen.
Nicht für die Bundesregierung:
Nach Kenntnis der Bundesregierung ist die eGK nicht betroffen. Ein Austausch oder Update dieser Karten ist somit nicht angezeigt.
Und außerdem verwendet sie ja „andere technische und organisatorische Sicherheitskonzepte als die hier betroffenen SIM-Karten.“ Genauso wie übrigens all die anderen Systeme, die bereits vorher durch Geheimdienste und andere kompromittiert wurden. Und dann gesteht man ein:
Telekommunikationstechnik bietet keine absolute Sicherheit.
Damit liegt die Bundesregierung zweifelsohne vollkommen richtig. Doch womit sie vollkommen falsch liegt, ist die daraus folgende lethargische Haltung, sich nicht weiter zu kümmern. Und so fragt sich auch Korte:
Das Ausmaß der Spionageaktivitäten von NSA und GCHQ wird immer größer und die Bundesregierung schaut dem Ganzen weiterhin nur desinteressiert zu oder wiegelt ab. Was muss eigentlich noch alles bekannt werden, damit sich daran etwas ändert?
Aus dem .pdf-Dokument befreite Anfrage mit Antwort
Bundesministerium des Innern
Kleine Anfrage des Abgeordneten Jan Korte u. a. und der Fraktion DIE LINKE.
Konsequenzen nach Angriff auf weltweit größten Chipkarten-Hersteller durch die Geheimdienste NSA und GCHQ
BT-Drucksache 18/4530
Auf die Kleine Anfrage übersende ich namens der Bundesregierung die beigefügte Antwort in 4‑facher Ausfertigung.
Hinweis:
Antworten der Kleinen Anfrage sind VS-NUR FÜR DEN DIENSTGEBRAUCH EINGESTUFT
Mit freundlichen Grüßen
in VertretungDr. Ole Schroder
[pagebreak]
Kleine Anfrage des Abgecrdneten Jan Korte u. a. und der Fraktion DIE LINKE.
Konsequenzen nach Angriff auf weltweit größten Chipkarten-Hersteller durch die Geheimdienste NSA und GCHQ
BT-Drucksache 18/4530
Vorbemerkung der Fragesteller:
Bei dem Versuch, die weltweite Kommunikation überwachen und kontrollieren zu können, geraten zunehmend Internet-Sicherheitsfirmen ins Visier der Geheimdienste. Die Enthüllungsplattform „The Intercept“ hat am 19. Februar 2015 Dokumente aus dem Fundus von Edward Snowden veröffentlicht, laut denen eine gemeinsame Hacker-Speziaieinheit des britischen Geheimdienst GCHQ und des US-amerikanischen Geheimdienstes NSA die Verschlüsselungscodes für SIM-Karten des niederländischen Chip- und Magnetstreifenkarten-Herstellers Gemalto erbeutet haben soll (firstlook.org/theIntercept/2015/02/19/great-sim-heist/).Demnach seien NSA und GCHQ im Jahr 2010 in die Systeme von Gemalto, der sich selbst als „Weltführer bei digitaler Sicherheit“ bezeichnet, eingedrungen und hatten millionenfach SIM-Karten-Schlüssel gestohlen. Die Firma produziert neben SIM-Karten unter anderem auch Ausweise, Plastikgeld, Mobile-Payment-Geldbörsen, Autoschlüssel und die elektronische Gesundheitskarte. Laut „The Intercept“ beinhalten die Snowden-Dokumente darüber hinaus Hinweise, dass die Geheimdienste 2010 auch einen vergleichbaren Angriff auf Gemaltos Konkurrenten, den deutschen Chiphersteller „Giesecke & Devrient“, geplant hatten. Außerdem muss davon ausgegangen werden, dass in den vergangenen Jahren auch andere Hersteller Ziel geheimdienstlicher Angriffe waren. Ebenso werden in den von „The Intercept” analysierten Dokumenten mit Nokia, Huawei und Ericsson die zum damaligen Zeitpunkt großen Handyhersteller als Spionageziel genannt (vgl. hierzu auch www.heise.de/newsticker/meldung/SIM-Karten-Hack-Die-Kompromittierung-der-Mobilfunknetze-durch-NSA-GCHQ-2555714.html).
[pagebreak]
Durch den Diebstahl der Verschlüsselungscodes wäre es den Geheimdiensten möglich, unbemerkt massenhaft Handy-Kommunikation abzuhören – auch ohne Anfrage an die Provider oder einen Gerichtsbeschluss. Gemalto hat nach den Enthüllungen eine Untersuchung eingeleitet und die Ergebnisse am 25. Februar 2015 bekannt gegeben (www.gemalto.com/press/Pages/Gemalto-presents-the-findings-of-its-investigations-into-the-alleged-hacking-of-SIM-card-encryption-keys.aspx). Die Prüfung habe demnach ergeben, dass es höchstwahrscheiniich tatsächlich Cyber-Angriffe der Geheimdienste im Jahr 2010 gegeben habe, bei diesen sei allerdings nur in das Büronetz von Gemalto eingebrochen worden „und sie hatten nicht zu einem massiven Diebstahl von Sim-Karten-Schlüssel führen können,“ so die Stellungnahme. Zugleich ließ Gemalto jedoch die Möglichkeit offen, dass Sim-Karten-Schlüssel außerhalb der gesicherten Systeme des Konzerns abgegriffen werden sein könnten. Dem Bericht von „The Intercept“ zufolge sollen die Geheimdienste versucht haben, die Codes bei der Übermittlung an Mobilfunk-Kunden abzufangen. Gemalto erklärte nun, dass die Firma allerdings bereits vor 2010 bis auf „wenige Ausnahmen“ einen sicheren Übertragungsweg eingesetzt habe. Allerdings hatten laut Gemalto einige andere Anbieter und Mobilfunkbetreiber zum damaligen Zeitpunkt keine sicheren Übertragungswege benutzt. Gemalto teilte weiter mit, dass die Firma dank des Berichts von „The Intercept“ schließlich Cyberattacken aus den Jahren 2010 und 2011 habe einordnen und dabei unter anderem feststellen können, dass damals eine französische Website des Konzerns ausgespäht und die Computer mehrerer Mitarbeiter angegriffen wurden. Ferner seien an einen Netzbetreiber E‑Mails mit verseuchtem Anhang von angeblichen Gemalto-Adressen verschickt worden, was ebenfalls als Teil der Geheimdienst-Aktion eingeschätzt wird. „Giesecke & Devrient“ erklärte hingegen, dass die Firma „bisher keine Erkenntnisse darüber, dass SIM-Karten-Schlüssel entwendet wurden“ habe (vgl. SPON vom 25.02.2015). Unterdessen haben Sicherheitsforscher den Verdacht geäußert, dass die SIM-Karten-Schlüssel gar nicht das eigentliche Ziel der Geheimdienste waren und stattdessen die Angriffe das Ziel der Erbeutung der sogenannten OTA-Schlüssel (Over The Air) verfolgt habe. Mit den OTA-Schlüsseln können Sim-Karten-Updates aus der Ferne signiert werden und so wären Geheimdienste in der Lage, unbemerkt Spionagesoftware auf die Sim-Karte von Verdächtigen zu übertragen. Entsprechende Angriffs-Szenarien werden ebenfalls in einem der Snowden-Dokumente als mögliches Ziel erwähnt (vgl. (Zeit Online vom 25.02.2015).
[pagebreak]
Durch das Kompromittieren des Gemalto-Firmen-Netzes könnten darüber hinaus insbesondere auch für das IT-Großprojekt elektronische Gesundheitskarte (eGK) neue und massive Sicherheitsgefahren entstanden sein. So lieferte alleine Gemalto in den vergangenen Jahren für die AOK, Deutschlands größter Krankenversicherung, u.a. ihr Produkt „Seailys eGK“ an die 25 Millionen AOK-Mitglieder und übernahm dabei den gesamten Prozess der Kartenherstellung von der Produktion, über die Personalisierung bis hin zur Auslieferung (vgl. hierzu u.a. www. gemalto.com/press/Pages/news_1222.aspx).
Professor Hartmut Pohl, Mitglied des Beirats der Interational Security Academy und Sprecher des Präsidiumsarbeitskreises „Datenschutz und IT-Sicherheit“ der Gesellschaft für Informatik e.V, schätzt, dass in Deutschland aktuell weit mehr als 50.000 der wichtigsten Server in Unternehmen, Regierung und Verwaltung (Strategic Servers) mit sogenannten Backdoors der NSA versehen sind (vgl. www.deutsche-gesundheits-nachrichten.de/2015/02/26/e‑card-angst-vor-datenmissbrauch-ueberschattet-medizinischen-nutzen/).
Vorbemerkung :
Die Antwort auf die Kleine Anfrage beinhaltet zum Teil detaillierte Einzelheiten zu den technischen Fähigkeiten und ermittlungstaktischen Verfahrensweisen der Behörden. Aus ihrem Bekanntwerden könnten Rückschlüsse auf den Modus Operandi, die Fähigkeiten und Methoden der Ermittlungsbehörden gezogen werden. Deshalb sind einzelne Informationen gemäß der Allgemeinen Verwaltungsvorschrift des Bundesministeriums des Innern zum materiellen und organisatorischen Schutz von Verschlusssachen (VS-Anweisung – VSA) als „VS – NUR FÜR DEN DIENSTGEBRAUCH“ eingestuft und werden als nicht zur Veröffentlichung in einer Bundestagsdrucksache bestimmte Anlage übermittelt.Dies betrifft die Antworten zu den Fragen 4 und 10.
1. Welche Erkenntnisse hat die Bundesregierung seit welchem Zeitpunkt über den geheimdienstlichen Angriff auf den niederländischen Chip- und Magnetstreifen-Karten-Hersteller Gemalto?
[pagebreak]
Zu 1.
Der Sachverhalt ist der Bundesregierung über die Medienberichterstattung bekannt geworden. Eigene Erkenntnisse lagen zu diesem Zeitpunkt nicht vor. In der Folge sind verschiedene Maßnahmen ergriffen worden, um die Hintergründe und Auswirkungen des in Rede stehenden Angriffs aufzuklären. Im Einzelnen wird hierzu auf die Antwort zu Frage 10 verwiesen.
2. Welche Erkenntnisse hat die Bundesregierung seit welchem Zeitpunkt über einen möglichen geheimdienstlichen Angriff auf den deutschen SIM-Karten-Hersteller „Giesecke & Devrient“?
Zu 2.
Auf die Antwort zu Frage 1 wird verwiesen.3. Revidiert die Bundesregierung nach Bekanntwerden des Gemalto-Hacks ihre Position, dass kein US-amerikanischer Geheimdienst deutsche Unternehmen und Konzerne ausspäht (vgl. Antwort auf Frage 5 der Kleinen Anfrage der Fraktion die LINKE auf Drucksache 18/2281)?
Zu 3.
Der Bundesregierung liegen zu dem fragegegenstandlichen Sachverhalt keine eigenen Erkenntnisse vor. Sie sieht daher derzeit keine Veranlassung, frühere Aussagen zu revidieren.
4. Welche Ergebnisse hat die „Sonderauswertung Technische Aufklärung durch US-amerikanische, britische und französische Nachrichtendienste” des Bundesamtes für Verfassungsschutz (BfV) zur Überprüfung der Enthüllungen durch Edward Snowden in Bezug auf den Gemalto-Hack und ggf. weitere Angriffe auf Wirtschaftsunternehmen bis heute ergeben?
Zu 4.
Auf den „VS-NUR FÜR DEN DIENSTGEBRAUCH” eingestuften Antwortteil gemäß Vorbemerkung der Bundesregierung wird verwiesen.
[pagebreak]
5. Revidiert die Bundesregierung nach Bekanntwerden des Gemalto-Hacks ihre Antwort auf Frage 8 der Kleinen Anfrage der Fraktion die LINKE (Drucksache 18/2281), wonach sie keine Erkenntnisse zu Wirtschaftsspionage durch die NSA oder anderen US-Diensten in anderen Staaten habe und wenn ja in welcher Form? Wenn nein, warum nicht?
Zu 5.
Nein. Es liegen weiterhin keine Erkenntnisse zu angeblicher Wirtschaftsspionage durch die NSA oder anderen US-Diensten in anderen Staaten vor.
6. Wie schätzt die Bundesregierung die durch den Gemalto-Hack und mögliche weitere Angriffe befreundeter Geheimdienste auf IT-Sicherheitsunternehnmen bestehende Bedrohungslage ein?
Zu 6.
Der Bundesregierung liegen keine Erkenntnisse vor, die hierzu eine Schlussfolgerung zuließen.
7. Teilt die Bundesregierung die Einschätzung von Professor Pohl, wonach in Deutschland aktuell weit mehr als 50.000 sogenannte Strategic Servers mit Backdoors der NSA versehen sind? Wenn Ja, was gedenkt sie dagegen zu unternehmen? Wenn nein, zu welcher Einschätzung kommt die Bundesregierung und wie viele Strategic Servers sind nach Erkenntnissen der Bundesregierung durch die NSA und andere befreundete Nachrichtendienste kompromittiert?
Zu 7.
Eine Einschätzung, für wie viele strategisch relevante Server das Vorhandensein von Backdoors anzunehmen bzw. auszuschließen ist, ist nicht möglich.
Der Bundesregierung liegen keine Erkenntnisse zu kompromittierten Strategic Servern in Deutschland vor.
8. Hält die Bundesregierung, neben der Überwachungsproblematik, auch Identitätsdiebstahl, also das Täuschen mit falschen Identifizierungsnachweisen, als Folge des
Gemalto-Hacks für möglich (Bitte begründen)?Zu 8.
[pagebreak]
Nationale Identitätsdokumente sind vom „Gemalto-Hack“ nicht betroffen.
Ein Identitätsdiebstahl wäre jedoch bspw. möglich, wenn sich ein Nutzer nur über ein Mobiltelefen und die dortige SIM-Karte identifiziert. Bislang liegen der Bundesregierung keine Erkenntnisse zu einer solchen Begehungsweise vor.
9. Teilt die Bundesregierung die Auffassung, dass die internen Kontrollen und Sicherheitsüberprüfungen von Gemalto, angesichts der technischen Möglichkeiten der Geheimdienste, völlig unzureichend gewesen sind, wenn bis zu den Veröffentlichungen der entsprechenden Snowden-Dokumente dieses Datenleck den Betreibern der Firma nicht aufgefallen ist und welche Schlussfolgerungen zieht die Bundesregierung daraus?
Zu 9.
Es ist nicht Aufgabe der Bundesregierung, das Sicherheitsmanagement von Gemalto in Frankreich oder den Niederlanden zu bewerten.
10. Welche Maßnahmen haben Bundesregierung und deutsche Sicherheitsbehörden in Folge des geheimdienstlichen Angriffs von NSA und GCHQ auf den niederländischen SIM-Karten-Hersteller Gemalto wann in die Wege geleitet und welche Ergebnisse hatten diese jeweils?
Zu 10.
Auf den „VS-NUR FÜR DEN DIENSTGEBRAUCH“ eingestuften Antwortteil gemäß Vorbemerkung der Bundesregierung wird verwiesen.
11. Welche Sicherheitsbehörden oder staatliche Stellen erfassen in welcher Form und aufgrund welcher Informationen und Meldewege die Häufigkeiten, Schwere und Konsequenzen von Cyber-Angriffen statistisch und wird dabei auch nach Angriffen durch Geheimdienste oder andere Cyber-Kriminelle differenziert?
Zu 11.
Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) erfasst alle relevanten IT- Angriffe und stellt diese im Rahmen regelmäßig erscheinender Lageberichte dar. Aussagen zu den möglichen Urhebern solcher IT- Angriffe erfolgen in Abstimmung unter anderem mit dem Bundesamt für Verfassungsschutz (BfV), dem Bundeskriminalamt (BKA) und der Bundespolizei (BPOL).
[pagebreak]
12. Was wurde nach Kenntnis der Bundesregierung von wem unternommen, um auszuschließen, dass Geräte noch „infiziert“ sind?
Zu 12.
Die Einleitung entsprechender Maßnahmen obliegt allein Gemalto in Kooperation mit den dort zuständigen nationalen Behörden.
13. Wären, wenn sich bestätigen sollte, dass sich NSA und GCHQ „nur‘ in das Gemalto-Büronetz eingehackt haben, nach Einschätzung der Bundesregierung dann nur die über 10.000 Mitarbeiter von Gemalto betroffen?
Zu 13.
Der Bundesregierung liegen keine hinreichenden Erkenntnisse vor, um sich zu der Fragestellung äußern zu können.
14. Wie charakterisiert die Bundesregierung geheimdienstliche Angriffe auf Chip-Karten-Hersteller und hält sie eine strafrechtliche Verfolgung für geboten (Bitte begründen)?
Zu 14.
Ein nachrichtendienstlicher Angriff auf einen Chip-Kartenhersteller kann bei Vorliegen aller Voraussetzungen den Straftatbestand der Geheimdienstlichen Agententätigkeit nach § 99 Absatz 1 Nummer 1 des Strafgesetzbuchs (StGB) erfüllen. Hierzu bedarf es u. a. eines Tätigwerdens „gegen die Bundesrepublik Deutschland“. Nach der Rechtsprechung des Bundesverfassungsgerichts erfasst dieses Tatbestandsmerkmal auch Umstände, in denen sich das Tätigwerden auf beliebige Tatsachen aus jedem Bereich, auch aus Wirtschaft und Wissenschaft bezieht (Az 2 BvR 215/81; Beschl. vom 26. Mai 1981; BVerfGE 57, 267, Rn. 43). Darunter können auch Angriffe auf Chipkartenhersteller fallen. Bei einem Angriff auf Informationssysteme kommt darüber hinaus eine Strafbarkeit nach § 202a StGB (Ausspähen von Daten) in Betracht. Danach macht sich strafbar, wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft.
Die Beurteilung der Frage, ob insoweit jeweils der für ein strafrechtliches Einschreiten erforderliche Anfangsverdacht gegeben ist, obliegt den zuständigen Strafverfolgungsbehörden.
[pagebreak]
15. Wird die Bundesregierung mögliche Versuche der betroffenen Firmen, Provider und Kunden unterstützen, die NSA sowie GCHQ bzw. die USA und Großbritannien auf Schadenersatz und Unterlassung zu verklagen? Wenn Ja, in welcher Form? Wenn nein, warum nicht?
Zu 15.
Da sich die Hinweise auf die Meldungen über den Vorfall und auf eine konkrete nationale Gefährdung bislang nicht bestätigt haben, besteht derzeit kein Anlass für Überlegungen im Sinne der Fragestellung.
15. Hat sich die Bundesregierung in Folge der Veröffentlichungen mit der Forderung um Aufklärung an die Regierungen der USA und Großbritanniens gewandt und wenn
ja, wann und in welcher Form und mit welchem Ergebnis passierte dies?Zu 16.
Die Bundesregierung sieht derzeit keine Veranlassung, entsprechende Ersuchen an die Regierungen der beiden Staaten zu richten.
17. Hält die Bundesregierung für den Fall, dass sich die Angriffe auf IT-Sicherheitsfirmen wie Gemalto bestätigen und die USA sowie Großbritannien keine Aufklärung leisten und ihre Geheimdienste ihre entsprechenden illegalen Aktivitäten nicht einstellen, politische und wirtschaftiiche Sanktionen für ein mögliches Mittel der Reaktion (Bitte begründen)?
Antwort zu Frage 17:
Die Bundesregierung äußert sich nicht zu hypothetischen Fragestellungen.18. Welche Chip- und Magnetstreifenkarten-Produkte sind nach Kenntnis der Bundesregierung potentiell von dem Gemalto-Hack durch NSA und GCHQ betroffen?
Zu 18.
Der Bundesregierung liegen bisher lediglich die bekannten Presseinformationen vor. Zu Umfang und Ziel der mutmaßlichen Aktivitäten können daher keine Aussagen getroffen werden.
Da Chipkarten von Gemalto sowohl für Debit- als auch für Kreditkarten eingesetzt werden, könnten potenziell beide Kartenarten betroffen sein.
[pagebreak]
19. Hat die Bundesregierung Erkenntnisse darüber, dass das eigentliche Ziel der Angriffe die OTA-Schlüssel gewesen sind, um unbemerkt Spionagesoftware auf die SIM-Karten von Zielpersonen übertragen zu können? Wenn ja, welche sind dies?
Zu 19.
Der Bundesregierung liegen hierzu keine über die Presseberichterstattung hinausgehenden Erkenntnisse vor.
20. Welcher wirtschaftliche Schaden ist nach Erkenntnissen der Bundesregierung schätzungsweise dadurch entstanden?
Zu 20.
Der Bundesregierung liegen keine hinreichenden Erkenntnisse vor, die hier eine Einschätzung zuließen.
21. Welche Ministerien, Bundesbehörden und sicherheitsrelevanten Einrichtungen und Bereiche in der Bundesrepublik sind potentiell durch den Krypto-Schlüssel-Diebstahl in jeweils welchem Ausmaß betroffen?
Zu 21.
Die Regierungskommunikation ist nach aktueller Erkenntnislage nicht betroffen. Zum Schutz vertraulicher Informationen werden im Übrigen zusätzliche technische Sicherungsmaßnahmen genutzt.
22. Wie viele SIM-Karten welcher Modelle und welcher Telefongesellschaften und Telekommunikationsanbieter sind nach Kenntnis der Bundesregierung potentiell betref-
fen ?23. Wie viele EC-/Kredit-Karten welcher Modelle und welcher Banken sind nach Kenntnis der Bundesregierung potentiell betroffen?
Zu 22. und 23.
Der Bundesregierung liegen hierzu keine Informationen vor.[pagebreak]
24. Wie viele eGK-Karten welcher Modelle und welcher Krankenversicherungen sind nach Kenntnis der Bundesregierung potentiell betroffen?
Zu 24.
Keine. Nach Kenntnis der Bundesregierung ist die eGK insgesamt nicht von dem beschriebenen Angriff betroffen.
25. Kann die Bundesregierung die Pressemeldung der Gematik vom 25.02.2015 bestätigen (www.e‑health-com.eu/details-news/gematik-veroeffentlicht-stellungnahme-zum-versuchten-angriff-auf-kartenhersteller-gemalto/b93cf7591c081503b74de1d4e40c5798/) und definitiv ausschließen, dass von dem Angriff der Geheimdienste der USA und Großbritanniens auf den Kartenhersteller
Gemalto eiektronische Gesundheitskarten nicht betroffen sind?Zu 25.
Die Bundesregierung hat keine Erkenntnisse, die Zweifel an der Darstellung der Gematik aufkeimen lassen. Im Übrigen werden für die eGK technisch und organisatorisch andere Sicherheitskonzepte und ‑verfahren genutzt.
26. Wie viele Pässe und Personalausweise welcher Staaten sind nach Kenntnis der Bundesregierung jeweils potentiell betroffen?
Zu 26.
Im Umfeld deutscher hoheitlicher Dokumente wie Reisepässe oder Personalausweise werden keine Chips des Unternehmens Gemalto verwendet. Die Beschlüsselung der hierfür verwendeten Chips erfolgt durch die Bundesdruckerei.
Zu den Pässen und Personalausweisen anderer Staaten liegen der Bundesregierung keine Erkenntnisse vor.
27. Wie viele Unternehmensausweise und Kundenkarten welcher Modelle und Firmen sind nach Kenntnis der Bundesregierung jeweils potentiell betroffen?
Zu 27.
Der Bundesregierung liegen hierzu keine Erkenntnisse vor.[pagebreak]
28. Wie viele Kartenlesegeräte welcher Modelle sind nach Kenntnis der Bundesregierung jeweils potentiell betroffen?
Zu 28.
Die Bundesregierung hat keine Kenntnis über das Kartenlesegeräte-Portfolio des betroffenen Anbieters. Vom BSI-zertifizierte Geräte sind nicht betroffen. Im Übrigen ist der Markt für derartige Geräte nicht reguliert.
29. Welche SIM-Karten sind nach Kenntnis der Bundesregierung überhaupt noch als sicher anzusehen (Bitte begründen)?
Zu 29.
Telekommunikationstechnik bietet keine absolute Sicherheit. Das gilt auch für SIM-Karten.
30. Hält die Bundesregierung einen Austausch der potentiell betroffenen Karten oder ein Offline-Update aus Sicherheitsgründen für notwendig und wenn ja
a) Was hat sie diesbezügiich bereits unternommen oder wird sie diesbezüglich wann unternehmen?
b) Welche Reaktionen, Aktivitäten und Ankündigungen seitens der betroffenen Hersteller, Telekommunikationsfirmen, Banken, Versicherungen etc. gab es bisher?
c) Welche Kosten entstünden nach Kenntnis der Bundesregierung durch den Austausch oder das Offline-Update der betroffenen Karten und wer wird diese Kosten tragen?
d) Wann und auf welchem Weg wird der Austausch vorgenommen und wie wird bis dahin verfahren?
e) Wie könnte ein Offline-Update an einem gesicherten Karten-Terminal technisch und praktisch durchgeführt werden und böte es dieselbe Sicherheit wie ein Vollaustausch der betroffenen Karten (Bitte begründen)?
Zu 30.
Nach Kenntnis der Bundesregierung ist die eGK nicht betroffen. Ein Austausch oder Update dieser Karten ist somit nicht angezeigt.
Im Falle von Debit- und Kreditkarten, die von Instituten ausgegeben werden liegt die risikoorientierte Entscheidung über einen etwaigen Austausch von Karten bei den betroffenen Instituten.
[pagebreak]
Zur konkreten Machbarkeit eines entsprechend zeitnahen Austauschs oder Updates liegen keine Erkenntnisse vor, außer dass im Jahr 2010 das Einspielen eines Software-Updates auf mehrere Millionen Gemalto-Chipkarten über die Geldautomaten möglich war. Inwiefern dieser Mechanismus geeignet ist, für die Ausgabe kryptographischer Schlüssel verwendet zu werden, ist gegenwärtig unklar.
31. Wie wird sichergestellt, dass neu ausgegebene Karten nicht kompromittiert sind?
Zu 31.
Die Gematik hat in ihrer Stellungnahme vom 25. Februar 2015 bestätigt, dass die Produktion der Gesundheitskarten sehr hohen Sicherheitsstandards unterliegt, deren Einhaltung regelmäßig von Sicherheitsgutachtern geprüft wird. Im Übrigen wird auf die
Antwort zu Frage 30 verwiesen.32. Wäre nach Auffassung der Bundesregierung auch ein Oniine- Update mögiich (bitte begründen) und wenn ja
a) in welchen Fällen?
b) Wie könnte sichergestellt werden, dass niemand den entsprechenden Datenverkehr mitspeichert und so auch die neuen Schlüssel abgreifen kann?
Zu 32.
Zur eGK wird auf die Antwort zu Frage 24, im Übrigen auf die Antwort zu Frage 30 verwiesen.
33. Wie viele Fälle von Angriffen durch ausländische Sicherheitsbehörden und Nachrichtendiensfe auf Trust Center und IT-Sicherheitsfirmen sind der Bundesregierung bekannt? (Bitte auflisten nach Jahr, Sicherheitsfirma, vermutlichem Angreifer und entstandenem Schaden)
Zu 33.
Der Bundesregierung liegen keine über die Medienberichterstattung hinausgehenden Erkenntnisse über Angriffe von ausländischen Sicherheitsbehörden auf nationale Trust Center und IT- Sicherheitsfirmen vor.
[pagebreak]
34. Hält die Bundesregierung andere europäische Verschlüsselungsstandards für notwendig und wenn ja, wann und in welcher Form wird sie sich dafür einsetzen? Wenn nein, warum nicht?
Zu 34.
Das BSI veröffentlicht regelmäßig „Technische Richtlinien“. In diesen Richtlinien werden u.a. Verschlüsselungs-Algorithmen empfohlen, die gegenwärtig als sicher gelten.
35. Gibt es nach Kenntnis der Bundesregierung bereits eine Reaktion der internationalen Fernmeldeunion (ITU) und wenn ja, wie sah diese aus?
Zu 35.
Der Bundesregierung ist gegenwärtig keine Reaktion der Internationalen Fernmeldeunion (ITU) zu diesem Vorgang bekannt.
36. Gibt es nach Kenntnis der Bundesregierung bereits Reaktionen von Regulierungsbehörden oder den rund 800 Handy-Anbietern, die der Mobilfunkverband GSMA weltweit vertritt und wenn ja, wie sahen diese jeweils konkret aus?
Zu 36.
Der Bundesregierung sind gegenwärtig keine Reaktionen von Regulierungsbehörden oder dem Mobilfunkverband GSMA zu diesem Vorgang bekannt.
37. Könnten nach Einschätzung der Bundesregierung die von den Geheimdiensten erlangten Informationen dazu verwendet werden, um zukünftig die elektronische Gesundheitskarte und die dahinterstehende Telematik-Infrastruktur zu kompromittieren und die sensibelsten und schützenswertesten Daten der Versicherten einzusehen und zu missbrauchen? (Bitte begründen)
Zu 37.
Auf die Antwort zu Frage 24 wird verwiesen.[pagebreak]
38. Kann die Bundesregierung die Behauptung der Gematik, eiektronische Gesundheitskarten (eGK) seien nicht betroffen, weil sie auf anderen Produktionssystemen hergestellt würden und ein gieichzeitiger Angriff auf beide Produktionssysteme nach derzeitiger Erkenntnis auszuschließen sei (http://www.heise.de/newsticker/meldung/Gematik-Gesundheitskarten-sind-sicher-2560040.html), bestätigen?
Zu 38.
Auf die Antwort zu Frage 25 wird verwiesen.39. Wie können nach Einschätzung der Bundesregierung solche Äußerungen erfolgen, wo doch auch der nun bekannt gewordene Angriff auf Gemalto nur durch die Veröffentlichungen einiger Snowden-Dokumente an die Öffentlichkeit kam?
Zu 39.
Die elektronische Gesundheitskarte verwendet andere technische und erganisatorische Sicherheitskonzepte als die hier betroffenen SIM-Karten.
40. noch weitere Angriffe auf die Herstellungs- und Verarbeitungsprozesse der eGK — sei es durch die NSA, GCHQ oder aber auch durch andere — erfolgt sind oder zukünftig erfolgen?
Zu 40.
Cyber-Angriffe gegen informationstechnische Einrichtungen können nicht ausgeschlossen werden. Die Konzepte der Gematik für die Telematikinfrastruktur enthalten gerade vor dem Hintergrund möglicher Angriffe und Gefährdungen spezifische Sicherheitsvorkehrungen nach dem jeweils aktuellen Erkenntnisstand. Das BSI unterstützt dabei die Gematik.
41. Teilt die Bundesregierung die Auffassung, dass die Stammdaten der Versicherten besonders schützenswerte Daten darstellen, sodass es nicht hinzunehmen wäre, wenn Stammdaten (Namen, Anschrift, Geburtsdatum und Versichertennummer) in die Hände Unbefugter gelangen würden? Wenn ja, welche Maßnahmen zum Schutz der Versicherten-Stammdaten hat sie bereits ergriffen, bzw. wird sie in die Wege leiten? Wenn nein, warum nicht?
[pagebreak]
Zu 41.
Die vier in der Frage genannten persönlichen Angaben dienen bei Vorlage der Karte unter anderem der Identifikation der Person, die die Karte beispielsweise bei einem Leistungserbringer vorlegt.
Bereits bei der in der Vergangenheit verwendeten Krankenversichertenkarte sowie der Europäischen Krankenversicherungskarte sind diese Daten entweder auf der Karte aufgedruckt bzw. können durch die dafür vorgesehenen Geräte etwa in Arztpraxen oder Krankenhäusern ausgelesen werden (die Anschrift ist nur elektronisch auslesbar). Eine Änderung hieran ist nach den Konzepten der Gematik für die eGK nicht vorgesehen.
Um im Übrigen die Karte auch als Europäische Krankenversicherungskarte nutzen zu können, ist der Aufdruck entsprechender Merkmale zudem auf EU-Ebene vereinbart werden.
42. Wie bewertet die Bundesregierung in diesem Zusammenhang die Aussagen der Betreiberflrma der elektronischen Gesundheitskarte Gematik, dass auch nach dem Hack bei Gemalto der Einsatz der eGK deshalb sicher sei, weil die Karten bisher keine medizinischen Daten beinhalten und auf dem Chip der eGK „lediglich die Stammdaten der Versicherten“ gespeichert seien?
43. Sieht die Bundesregierung, aufgrund der nun bekannt gewordenen wahrscheinlichen Kompromittierung von Gemalto-Sicherheits-Karten und der damit einhergehenden strukturierten Unsicherheit bei der Digitalisierung des Gesundheitswesens, eine Notwendigkeit ihren Gesetzentwurf für ein E‑Health-Gesetz zurückzuziehen? (Bitte begründen)
44. Wird die Bundesregierung die gesetztlichen Voraussetzungen dafür schaffen, die dargestellten Sicherheitsmängel in der Digitalisierung des Gesundheitswesens zu korrigieren und wenn ja in welcher Form? (Bitte begründen)
[pagebreak]
45. Wird die Bundesregierung das Mammutprojekt eGK anlässlich der nach Auffassung der Fragesteller mit der Gemalto-Affäre deutlich werdenden mangelnden Technikfolgenabschätzung rückabwickeln? (Bitte begründen)
Zu 42. bis 45
Auf die Antwort zu Frage 24 wird verwiesen.46. Wird die Bundesregierung eine patientenorientierte und datenschutzgerechte technische Infrastruktur im Gesundheitswesen schaffen und dafür sorgen, dass die durch die Snowden-Enthüllungen bekannt gewordenen illegalen Zugriffe ausländischer Geheimdienste auf Behörden, Firmen und Datenbestände in Deutschland untersucht und mit allen zur Verfügung stehenden legalen Mitteln unterbunden werden? Wenn ja, in welcher Form? Wenn nein, warum nicht?
Zu 46.
Die Schaffung einer patientenorientierten und datenschutzgerechten technischen Infrastruktur im Gesundheitswesen ist das Ziel der Einführung der Telematikinfrastruktur.
47. Welche dezentralen Konzepte, die ohne große Datenmengen an einem Ort, wie sie manche Anwendungen der eGK mit sich bringen, auskommen, sind der Bundesregierung als Alternativren zur eGK bekannt?
Zu 47.
Nach Auffassung der Bundesregierung ist die eGK in der Hand der Patientinnen und Patienten das geeignete Instrument, um den behandelnden Personen bei Bedarf Daten sicher und verlässlich zur Verfügung stellen können.
[pagebreak]
-
: Neuseelands Geheimdienst arbeitet mit und gegen Bangladesch
: Neuseelands Geheimdienst arbeitet mit und gegen Bangladesch The Intercept und The New Zealand Herald haben neue Erkenntnisse zur Arbeit des neuseeländischen Geheimdienstes GCSB aus den Snowden-Dokumenten veröffentlicht. Notizen und Berichten zufolge hat dieser Daten mit Geheimdienstlern in Bangladesch geteilt – einem Staat, der vielfach durch die Verletzung von Menschenrechten aufgefallen ist. Und der noch dazu zu selbst zu prioritären Geheimdienstzielen Neuseelands gehört. Als Grund für die Geheimdiensthilfe wird in NSA-Berichten Terrorismusbekämpfung genannt.
Für den Staat Bangladesh heißt das primär die Bekämpfung politischer Dissidenten, ihre Verfolgung und Folter. An vorderster Front steht dabei das „Rapid Action Battalion,“ die Anti-Terror-Einheit der bangladeschischen Polizei, die für ihr brutales Vorgehen bekannt ist. Und so steht die Einheit wiederum seit 2003 selbst auf einer Beobachtungsliste des GCSB, der aus US-Gebäuden Telefongespräche abhörte. Aus einem geheimen Bericht von 2009 geht hervor, dass „RAB ein aktives Ziel des GCSB war und dies auch in Zukunft interessant sein dürfte.“
-
: Die Ökonomie von Zero-Day-Exploits
: Die Ökonomie von Zero-Day-Exploits Die Bug-Bounty-Plattform HackerOne und Forscher vom MIT und aus Harvard haben untersucht, wie der Markt mit kritischen Sicherheitslücken funktioniert. Wie kann man verhindern, dass sie für viel Geld verkauft und destruktiv genutzt werden, wie kann man mehr „Responsible Disclosure“ fördern und sichern, dass man die gleichen Bugs findet wie bösartige Angreifer.
Das Ergebnis: Automatisierung kann mitunter besser helfen als mehr Experten, die sich Software anschauen, daher geht es auch darum, Werkzeuge zum AUffinden von Sicherheitslücken zu entwickeln. Die dann natürlich auch den echten Angreifern zur Verfügung stehen würde.
In the end, the tug of war between attackers and defenders will always exist. How we structure incentives toward making offense more expensive for attackers and giving more defenders and advantage is the question. There are more levers to tip the scales from one side to the other than just money, and defenders need to begin to use them.
The Wolves of Vuln Street are among us, yet we are studying the dynamics of the pack to make the shepherds of Internet defense more effective.
-
: Cyberpolitik-Treffen in Brüssel: Unzufriedenheit über Befugnisse und Unsicherheit bei Internet Governance
: Cyberpolitik-Treffen in Brüssel: Unzufriedenheit über Befugnisse und Unsicherheit bei Internet Governance Am 24. März traf sich in Brüssel der Beauftragte für Cyber-Außenpolitik (CA‑B) mit Vertretern der EU-Kommission und dem Europäischen Auswärtigen Dienst (EAD), um über Fragen der „Cyberpolitik“ zu diskutieren.
Die Buzzword-Themen laut einem vertraulichen Protokoll des Treffens, das uns vorliegt: Arbeit der „Friends of the Presidency on Cyber Issues“, Internet Governance, Cyber Crime, NIS-Richtlinien-Entwurf, Cyberdefense, Cyber-Capacity-Building und Cyber-Crisis-Reaction.
Mehr Befugnisse für Sicherung der Cyber-Sicherheit
Viele der Punkte scheinen darauf hinauszulaufen, dass man mit der akutellen Situation unzufrieden ist. Zu wenig Ressourcen, zu wenig Einfluss, zu wenig Befugnisse, heißt es an vielen Stellen. So ist Pedro Serano, Leiter der Abteilung „Crisis Response and Operational Coordination“ damit unzufrieden, dass ihm nur „sehr limitierte Ressourcen“ zur Verfügung“ stehen.
Zwar leiste man EAD-intern einen Beitrag zum Schutz von EU-Delegationen und GSVP-Missionen [Gemeinsame Sicherheits- und Verteidigungspolitik]; bei einem Cyber-Angriff auf einen EU-MS [EU-Mitgliedsstaat] aber würde man realistischerweise kaum relevante Unterstützung erbringen können.
Auch Paul Timmers, Direktor im Bereich „Sustainable & Secure Society“ in der EU-Kommission“, wünscht sich mehr Unterstützung. Man sei sich im Rat unsicher, wo man das Thema „Cyber Security“ unterbringen solle. Im Themenbereich Oettingers, dem „Digitalen Binnenmarkt“, finde es nur wenig Beachtung. Auch wie man einheitliche Standards zur Cyber-Sicherheit schaffen kann, sei noch unklar. An der geplanten NIS-Richtlinie, in etwa das EU-Äquivalent zum IT-Sicherheitsgesetz, müssten noch Veränderungen erfolgen, für das „Capacity Building“ brauche man mehr Geld.
Für mehr Datenaustausch und Befugnisse für die „Verbrechensbekämpfung“ warb Anabela Gago, Leiterin der „Organised Crime Unit“ der Kommission. Sie habe Deutschland explizit gebeten, sich um eine Aufweichung der Beschränkungen des Datenaustauschs in der NIS-Richtlinie zu bemühen, da das EU-Parlament „in den vorgesehenen Berichtspflichten der zuständigen Stellen einen zu großen Eingriff in die Privatsphäre“ sehe. Alle Mitgliedsstaaten sollten „für mehr Verständnis für sicherheitspolitische Belange“ werben. Sprich: für mehr Ermittlungs- und Überwachungsbefugnisse.
Rudolf Roy, Leiter der „Security Policy Unit“ des EAD sprach von den „Schwierigkeiten, Cyberthemen in die (EU-)Außenpolitik zu integrieren.“ Der Rat für Außenbeziehungen sei derzeit ein „Krisenrat“ mit wenig freier Kapazität und er fürchte, dass für Cyberpolitik kein Platz sei. Deshalb wünscht er sich eine hochrangigere Besetzung für die „Friends of the Presidency on Cyber Issues“.
Beim Thema Internet Governance keinen Boden verlieren
Ein Thema, dass die Teilnehmer des Treffens darüber hinaus zu beschäftigen schien, ist Internet Governance. Denn in diesem Jahr soll die Transition der Internet Assigned Numbers Authority (IANA) erfolgen. IANA ist eine Unterabteilung der ICANN. Doch ihre Zeiten sind fast vorbei, denn ihre Aufgaben sollen in eine Multi-Stakeholder-Struktur überführt werden. Wie genau das aussehen soll, ist nicht entschieden. Der sogenannte IANA-Vertrag läuft im September diesen Jahres aus.
Offensichtlich hat man Angst, Einfluss zu verlieren:
Eine rasche klare Positionierung der EU-MS [Mitgliedsstaaten] zum Thema Internet Governance ist nötig, um Einfluss bei den internationalen Verhandlungen 2015 zu wahren und konkurrierenden Akteuren (insbesondere USA, CHN) nicht das Feld zu überlassen.
In welche Richtung genau es gehen soll, ist noch unklar. Interessant ist aber die Aussage…
[…] der EAD bleibe vorerst dabei, (zumindest nach außen) so lange wie möglich das Ziel einer Transition zum Vertragsablauf 30.09.2015 zu vertreten.
Nach innen arbeite die Kommission an einer „Interimslösung“, wie die aussehen soll, wird aber nicht verraten (Hinweise nehmen wir natürlich gern entgegen).
Klarere Ziele und weniger Konzentration auf die USA wünschte sich Megan Richards. Sie leitet die „Task Force on Internet Governance“ der Kommission. Stattdessen fordert sie mehr Fokus auf einen im Internet-Governance-Bereich so beliebten „Multi-Stakeholder-Ansatz“ und beklagt, dass manche Mitgliedsstaaten da nicht mitspielen wollen.
-
: Utopien in der Welt nach Snowden
: Utopien in der Welt nach Snowden Der Soziologe David Lyon, der im Bereich Surveillance Studies forscht, hat für die Berliner Gazette einen Artikel über „Zeit für Utopien: Wie wollen wir das Zusammenleben in der Post-Snowden-Welt gestalten?“ geschrieben. Darin fordert er dazu auf, sich nicht mit der aktuellen Realität der allumfassenden Überwachung abzufinden, sondern positive Alternativen zu formulieren:
Die große Herausforderung unserer Zeit besteht nun darin, die herkömmlichen Denkmuster über Überwachung zu ändern. Es ist an der Zeit, dass nicht nur Eliten verstehen, dass Überwachung eine der wichtigsten Methoden ist, moderne Gesellschaften zu organisieren, dass Überwachung ausnahmslos alle betrifft und dass es künftig Veränderungen sowohl in der täglichen Praxis als auch in der Informationspolitik geben müsste. Wenn sich ein gesellschaftliches Bewusstsein zu diesen Anliegen breitenwirksam bildet, dann könnten sich die Dinge ändern. Gleichzeitig müssen wir verstehen lernen, dass keine Überwachung unvermeidlich oder irreversibel ist, was auch schwierig ist, wenn wir von solchen scheinbar unaufhaltsamen Trends wie globaler Massenüberwachung sprechen.
-
: Viel Nichts auf 56 Seiten: Antwort der Bundesregierung zu Fragen der Digitalisierung
CC <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">BY-NC-SA 2.0</a> via flickr/<a href="https://www.flickr.com/photos/imh/4232804741/in/photolist-8G2xS-7s3eo6-b3sd8c-dXWhoh-aTYPnT-hbeFS5-cBRAE-4WfU8v-7KGNKY-5b1dEk-6JtdTT-6Yuvt9-5EvFMk-kkJxaR-7eajDt-7NKgFo-aR8iKX-f1p7uv-dvJAaF-7HD9xu-k2kzf6-nH8Wrr-5szkfd-5Nz7u8-51M3CH-ikWAf9-bT4Cm-f8rrUJ-7BT2nC-6EDbjw-braaJF-7BbinJ-3j4e7p-eUFq1h-8vxJnY-h6571X-4qakQU-jw1zxy-mAi3S-7jVHfj-2JdvM3-pq8ke4-pgsoy5-ong5wF-qqiFb3-qskioB-oLkmF9-oX5nRM-r2xcJz-8JwShZ">imh</a> : Viel Nichts auf 56 Seiten: Antwort der Bundesregierung zu Fragen der Digitalisierung Der wirtschaftspolitische Sprecher der Grünen im Bundestag, Dieter Janecek, hat eine Kleine Anfrage mit dem Titel „Chancen und Herausforderungen durch die Digitalisierung der Wirtschaft“ an die Bundesregierung gestellt, in der er eine bunte Tüte mit 67 Fragen rund um die Digitalisierung untergebracht hat. Die Themen reichen von Green IT, Industrie 4.0, Datenschutz, Cloud-Computing über Forschung bis hin zur Ausbildung von IT-Fachkräften.
Die Digitale Agenda
Bei den Fragen und Antworten wird intuitiverweise immer wieder Bezug auf die Digitale Agenda der Bundesregierung genommen. Die Bundesregierung gibt an, mit der Digitalen Agenda „eine Vielzahl der Empfehlungen der Enquete-Kommission ‚Internet und digitale Gesellschaft’ aufgegriffen“ zu haben. Auf die Frage, welche Handlungsempfehlungen der Enquete umgesetzt wurden, heißt es:
[Die Bundesregierung] begleitet die für die wirtschaftliche und gesellschaftliche Weiterentwicklung unseres Landes wesentlichen Aspekte der Digitalisierung durch Strategien und Initiativen und trägt auf diesem Wege dazu bei, den digitalen Wandel zu gestalten.
Nun haben wir ja schon oft kritisiert, dass es sich bei der Digitalen Agenda primär um Ankündigungspolitik handelt und diese zu allgemein gehalten ist. Die Bundesregierung formuliert aus diesem Bug ein Feature:
Die Digitale Agenda formuliert bewusst allgemeine Ziele und Vorhaben […]
Ein weiterer Punkt, den wir an der Digitalen Agenda bemängelten, sind die ungeklärten Zuständigkeiten. Es gibt kein Ministerium, dass, trotz der Gewichtigkeit des Themas, hauptsächlich für Digitales zuständig ist und so zerfasern sich netzpolitische Fragen zwischen Wirtschafts‑, Innen- und Verkehrsministerium. Auch der Ausschuss für die Digitale Agenda hat keine Federführung bei betreffenden Gesetzesvorhaben und darf sich mittlerweile immerhin damit schmücken, sich um die gleichnamige Digitale Agenda zu kümmern.
Doch die Bundesregierung gibt immer noch vor, das für eine sinnvolle Idee zu halten:
Es ist nach Ansicht der Bundesregierung nicht sinnvoll, diese Kernzuständigkeiten aufgrund der Digitalisierung oder der Digitale Agenda neu zu ordnen, zumal es nach nicht sinnvoll ist, Themen – je nach dem analoger oder digitaler „Betroffenheit“ unterschiedlichen Ministerien zuzuweisen.
Industrie 4.0 als Förderschwerpunkt
Wirtschaft ist eines der Lieblingsthemen unserer CDU-dominierten Bundesregierung. Kleine und mittelständische Unternehmen sollen gefördert werden. Doch, wie auch Reuters berichtet, merken Industrievertreter davon wenig und beschweren sich über die im Gegensatz zu den USA schwierigeren Marktbedingungen in Deutschland. Auch gibt man an, die genauen Bedürfnisse der Industrie noch nicht vorhersagen zu können, genau wie die Auswirkungen der Digitalisierung auf den Arbeitsmarkt. Janecek sagte Reuters:
Die Bundesregierung spricht gerne über die sogenannte Industrie 4.0, kommt aber kaum voran, dafür die Rahmenbedingungen zu schaffen.
Deutschland als IT-Sicherheitsstandort
Trotzdem ist man überzeugt davon, eigentlich gar nicht so schlecht dazustehen, wenn es um die digitale Wirtschaft geht. Man gibt zwar zu, dass es Deutschland „häufig noch an Erfahrung“ im Umgang mit „Industrie 4.0- und Big Data-Software-Werkzeugen fehlt.“ Aber die Bundesregierung rühmt sich mit den deutschen Errungenschaften im Bereich der IT-Sicherheit. Deutsche Unternehmen seien „im internationalen Vergleich gut positioniert, insbesondere bei Verschlüsselung, Smart Cards, Daten- und Netzwerksicherheit sowie Hochsicherheitslösungen.“ Das passt zu der Propagierung von Deutschland als „Verschlüsselungsstandort Nummer 1“, die nicht ganz zu den Tatsachen passt.
Darauf zielt auch Janeceks Frage 53c:
Wie plant die Bundesregierung, das in der Digitalen Agenda formulierte Ziel „Deutschland als Verschlüsselungsstandort Nummer eins“ zu realisieren (bei gleichzeitigen Überlegungen des Bundesministeriums des Innern Verschlüsselung grundsätzlich so zu gestalten, dass Sicherheitsdienste auf Kommunikation zugreifen können?
Es wird unter anderem mit einem Verweis auf De-Mail geantwortet, beziehungsweise der jetzt vorgestellten Erweiterung mit Ende-zu-Ende-Verschlüsselung. Und was die Kommunikationsentschlüsselung durch Sicherheitsdienste angeht, behauptet man „weder die Implementierung von „Backdoors“ (Hintertüren) noch Schlüsselhinterlegung“ zu wollen. Aber:
Gleichwohl sollen zur Bekämpfung von Kriminalität und Spionage die Cyberfähigkeiten der Strafverfolgungs- und Sicherheitsbehörden ausgebaut werden.
Wie genau das zusammenpasst, wird nicht erklärt. Aber wir erinnern bei Gelegenheit gerne daran.
Datenschutzrisiken durch Industrie 4.0
Die Bundesregierung hat erkannt, dass durch Industrie 4.0™ und Big Data Datenschutzrisiken entstehen. Insbesondere bei Fragen nach dem „Personenbezug und dem ökonomischen Wert der jeweiligen Daten, nach den Verantwortlichkeiten bei der Erhebung und Nutzung, nach der Freiwilligkeit der Datenerhebung, nach der Transparenz der Datenerhebung für den Betroffenen oder nach einem etwaigen Informationsgefälle zwischen Datenverarbeiter und Betroffenem.“ Sie bestätigt auch, dass die Erstellung von Personenprofilen zum Nachteil des Betroffenen geregelt werden muss, wie bei der Verwendung von Fahrzeugdaten zur Ermittlung des Fahrstils und der damit verbundenen Einstufung bei Versicherungen.
Verweis auf die EU-Datenschutzgrundverordnung
Um diese Fragen zu lösen, verweist die Bundesregierung auf die derzeit in der EU verhandelte Datenschutzgrundverordnung. Leider wirkt sie aber nicht unwesentlich dabei mit, deren Verabschiedung hinauszuziehen und lässt sich durch intensive Lobbyarbeit dazu bewegen, sogar für schwächere Datenschutzregeln zu stimmen.
Man redet sich auch beim Arbeitnehmerdatenschutz heraus. Man wolle sich nur um neue Regelungen für Datenschutz am Arbeitsplatz kümmern, wenn die EU-Datenschutzreform nicht schnell genug verabschiedet werde. Dabei verkennt die Bundesregierung, dass der Entwurf für die Datenschutzgrundverordnung massive Lücken – gerade im Bereich Arbeitnehmerdatenschutz – enthält. Viele Datenschützer sind der Meinung, dass beim aktuellen Stand der Arbeitnehmerdatenschutz am besten gar nicht in der EU-Verordnung geregelt werden solle. Dann könnten die Länder ihre eigenen Regelungen festlegen. Die Bundesregierung scheint nicht davon auszugehen, dass das notwendig wird.
Sicherheit durch Sensibilisierung und Eigenverantwortung
Was die Sicherheit von Daten angeht, wie zum Beispiel bei Wirtschaftsspionage relevant, setzt man auf Aufklärung. So sollen „Sensibilisierungsveranstaltungen“ der Verfassungsschutzbehörden und des Bundeskriminalamtes helfen, „Unternehmen Erscheinungsformen und Hintergründe von Wirtschaftsspiona-
ge auch im elektronischen Raum zu erläutern.“ Die Initiative „IT-Sicherheit in der Wirtschaft“ soll kleinen und mittelständischen Unternehmen durch Webseiten-Checks und „Sicherheitsbotschafter“ helfen. Das aus einem Lobbyverband hervorgegangene Angebot „Deutschland sicher im Netz“ komplettiere das Angebot.Janecek und Cem Özdemir kommentieren bei der Welt:
Jeder Nutzer und jedes Unternehmen trägt auch persönlich Verantwortung für die Sicherheit seiner Daten – aber die Bundesregierung muss aufhören, in Brüssel auf die Bremse zu treten, wenn es um starkes europäisches Datenschutzrecht geht. Die europäische IT-Industrie hat seit Snowden einen Wettbewerbsvorteil, wenn Unternehmen ihre Datencenter jetzt hier ansiedeln und nicht mehr in den USA. Das bleibt aber nur so, wenn wir Datenschutz und Datensicherheit ernst nehmen.
Scheinheilige Haltung zur Netzneutralität
Genauso wie die Bundesregierung vorgibt, sich auf EU-Ebene für eine rasche Datenschutzreform einzusetzen, argumentiert sie auch in Fragen der Netzneutralität. Man setze sich mit „Nachdruck für eine gesetzliche Verankerung der Netzneutralität auf europäischer Ebene und einen zeitnahen Abschluss der Verhandlungen zum Vorschlag einer Verordnung“ ein. Wir haben jedoch in einer aufwändigen Recherche gezeigt, dass es um die Netzneutralität in Deutschland ziemlich schlecht bestellt ist und deren Verletzung an der Tagesordnung ist. Das möchte die Bundesregierung beibehalten und setzt sich im EU-Rat dafür ein, dass viele Verletzungen der Netzneutralität in Zukunft legalisiert werden sollen.
Open-Data-Schlusslicht
Weiter geht es mit Open Data. Im September 2014 hat das Bundeskabinett den „Nationalen Aktionsplan zur Umsetzung der Open-Data-Charta der G8“ beschlossen und Ziele formuliert, die bis Ende 2015 umzusetzen sind. Erst im März hat das Center for Data Innovation einen Report veröffentlicht, in dem die Bemühungen der einzelnen Staaten im Rahmen der Charta bewertet werden. Das Ergebnis: Deutschland liegt abgeschlagen auf dem letzten Platz.
Und da verwundern auch die aufgezählten Ziele nicht mehr, wie etwa:
[…] alle Ressorts haben Ansprechpersonen benannt […] Die Bundesregierung verfolgt das Ziel, aus jeder obersten Bundesbehörde sowie jeder Bundesober- und Bundesmittelbehörde mindestens zwei [zwei!] Datensätze auf GovData verfügbar zu machen […] Bundesbehörden stellen konkret benannte Datensätze aus verschiedenen Themenfeldern bis Ende 2015 als Open Data bereit.
Schade, denn im Fachgespräch zu Open Data im Bundestag, das letzten November stattfand, klang es noch so, als seien sich alle einig, dass die Förderung von offenen Daten ein wichtiges Ziel ist.
Bescheidene Open-Source-Ziele
Wenig fortschrittlich sieht es auch im Bereich Open-Source-Einsatz aus. Man befindet sich in dem Stadium „bei Beschaffungen der Bundesverwaltung praktische Hemmnisse für Open Source Software (OSS)“ abzubauen und nennt als Erfolg den Einsatz von Gpg4win. Der im Bundestag über lange Zeit verhindert wurde.
Gemischtes
Viele andere Antworten enthalten eine Aufzählung von mal mehr, mal weniger erfolgreichen Initiativen der Bundesregierung. Mit dabei viele Forschungsprojekte wie „Selbstbestimmt und sicher in der digitalen Welt“ oder „Innovationen für die Produktion, Dienstleistung und Arbeit von morgen,“ das EXIST-Programm zur Förderung von Ausgründungen im Hochschulumfeld und – ein persönlicher Favorit – „Industrie 4.0 – Forschung auf dem betrieblichen Hallenboden.“
Fazit
Ankündigungspolitik, wie gewohnt. Wenig Konkretes, wie schon oft kritisiert.
Nachwort
Eine kleine, nicht ganz ernstgemeinte Kritik an der Anfrage selbst am Schluss. Die Frage „Welche Materialien können bzw. werden nach Kenntnis der Bundesregierung heute schon in der 3D-Drucktechnik verwendet?“ hätte man sich doch mit Benutzung einer Suchmaschine selbst beantworten können. Nichtsdestotrotz – die Regierung gibt freundliche Auskunft:
Thermoplastische Elastomere, gesintertes Polyamid, PVMA-Kunststoff und ABS-Kunststoff, Kunstgips, Kunstharze, Keramiken, Alumide-Sintern und Metalle.
Danke dafür.
-
: Kommentar: Fehlgeleitete Diskussion um Datenschutz in der Causa Germanwings
<a href="https://creativecommons.org/licenses/by/2.0/">CC BY 2.0</a> via flickr/<a href="https://www.flickr.com/photos/v1ctor/8325573561/in/photolist-dFGJXK-6gPX3K-5CuWjv-d3hHtj-68JuuP-dWc8ck-8qefgJ-8djX17-gTSYuR-gTRXRS-nhRkoY-gTRXiL-5JLemg-7HwiR3-9VTTtu-jSQRwD-Tnyq-ptZFqE-8rTDgK-gTSmKL-oahEi-72F69f-uh66-mgc2Bt-4nHKBe-dVmXg6-gPDja5-aizeTt-jsZp4A-j9HbdW-zDr6c-9xxpeK-gPST7H-HdEYX-gTScLJ-gPUoTx-dXT5Yb-2CWpnK-4NWvnA-dVsx8Y-gTTyUH-FE7JK-gPUoDK-8pW797-ceUgoW-qacJD2-6h7GZp-gTSdGn-iXpabs-R52d">v1ctor</a> : Kommentar: Fehlgeleitete Diskussion um Datenschutz in der Causa Germanwings Die Diskussion um die Ursachen des Germanwings-Absturzes sind bei der Beschuldigung des deutschen Datenschutzes angekommen. Das ist falsch und verkennt das echte Problem: Den Umgang mit der Behandlung psychischer Erkrankungen. Ein Kommentar.
Einem Bericht der Sunday Times zufolge bereitet die EU-Kommission in der Sache Germanwings-Absturz rechtliche Schritte gegen Deutschland vor. Deutsche Datenschutzregelungen widersprächen Sicherheitsregelungen in der EU, die Ärzte und Fluggesellschaften dazu verpflichten, Gesundheitsdaten von Piloten zu teilen, die deren Flugtauglichkeit betreffen.
Der Pilot der abgestürzten Maschine hatte psychische Probleme und ließ die Maschine mit Selbstmordabsichten abstürzen. Seine Depressionen waren seit 2009 bekannt, das Luftfahrtbundesamt (LBA) wurde jedoch nicht informiert. Die Antwort in der Schuldfrage scheint nun auf den deutschen Datenschutz gefallen zu sein. Die Behörde hätte informiert werden müssen, heißt es. Schon Ende 2014 habe die EU-Luftfahrtagentur Easa bemängelt, dass das LBA zu wenig Zugang zu medizinischen Akten habe.
Berufsverbot für Depressive
Bayerns Innenminister Joachim Herrmann hat die Diskussion noch einen Schritt weiter ins Absurde getrieben und die Forderung nach einem Berufsverbot für Depressive aufgebracht:
[Wenn eine medizinische Untersuchung zu dem Ergebnis kommt,] dass etwa ein Pilot, ein Busfahrer oder ein Taxifahrer dauerhaft nicht mehr geeignet ist, Menschen oder sonstige Güter zu transportieren, ohne dass Gefahr für Leib und Leben anderer besteht, dann kann solchen Personen auch der Führerschein beziehungsweise die Lizenz entzogen werden.
Die Verflachung der Diskussion ist fatal. Denn es gibt schon heute die Möglichkeit und die Pflicht, Berufsverbote zu erteilen oder Lizenzen zu entziehen, wenn eine konkrete Gefährdung durch eine Person vorliegt. Wenn ein solcher Vorgang durch Nachlässigkeit der zuständigen Stellen und Behörden nicht angestoßen wird, ist das kein Versagen deutscher Datenschutzgesetze, sondern ein Einzelfall. Die Krankheit des Piloten war dem Arbeitgeber seit sechs Jahren bekannt, Folgeuntersuchungen fanden statt.
Deutsche Befindlichkeiten?
Desweiteren wird Deutschland als Exot hingestellt, die Washington Post unterstellt eine Art Privacy-Neurose und sucht Gründe in der Vergangenheit.
Rather than chasing every angle, many media outlets here seem to be acting as the guardians of cherished privacy — a notion that is strong here in part due to the prying eyes of the state during the Nazi and Cold War eras.
Stigmatisierung statt Behandlung
Doch das Wichtigste: Diejenigen, die Berufsverbote und stärkere Überwachung des geistigen Zustandes von Arbeitnehmern fordern, bewirken, dass sie damit die Gesamtsituation nicht verbessern, sondern zur Eskalation bringen. Die Diskussion hat bisher vor allem eines gebracht: Die Stigmatisierung von Menschen mit psychischen Problemen. Das ist absurd, besonders wenn man sich Statistiken anschaut: Die Deutsche Depressionshilfe spricht von vier Millionen Menschen mit behandlungsbedürftigen Depressionen in Deutschland und davon, dass ein Fünftel der Bevölkerung einmal in ihrem Leben an einer Depression erkrankt. Die Techniker Krankenkasse stellte fest, dass pro Arbeitnehmer durchschnittlich ein Krankheitstag pro Jahr aufgrund einer Depression anfällt. Eine Studie von 2011 spricht davon, dass jährlich etwa 38 Prozent der EU-Bevölkerung von einer psychischen Krankheit betroffen ist. Erhebungen kommen zu dem Ergebnis, dass nur etwa ein Viertel der Erkrankten angemessen behandelt wird.
Wir reden also nicht von einem Randphänomen, wir reden von einer gesamtgesellschaftlichen Fragestellung. Und man braucht nicht besonders viel Abstraktionsvermögen, um sich vorzustellen, dass die Hürde, sich vertrauensvoll an einen Arzt zu wenden sich signifikant vergrößert, wenn befürchtet werden muss, dass dieser sich sofort an den Arbeitgeber oder eine entsprechende Aufsicht wenden muss. Und ebenso wenig Abstraktion braucht es, um einzusehen, dass eine unbehandelte psychische Erkrankung viel weitreichendere negative Folgen hat als eine behandelte.
Die eigentlichen Kernprobleme
Was es braucht, anstelle eines Zeigefingers der auf die deutschen Datenschutzbefindlichkeiten zeigt, ist eine Debatte um die Versorgung von Menschen mit psychischen Problemen. Je nach Bundesland müssen ein Drittel bis die Hälfte der Hilfesuchenden über sechs Monate auf einen Therapieplatz warten. Das ist bei akuten Problemen vollständig indiskutabel und schreckt noch dazu viele vollständig ab und treibt sie in die Resignation.
Vielleicht sollten Politiker und Medien darüber nachdenken, wie hoch die Inzidenz für eine Depression ist, bevor sie von dem Ross der eigenen Unantastbarkeit Datenschutzsenkungen und Berufsverbote propagieren. Und sich selbst mal untersuchen lassen.
-
: Logikfehler: EU-Kommission plant keine Vorratsdatenspeicherung, aber eine Konsultation dazu?
Arbeitet an neuer Vorratsdatensoeicherung: EU-Innenkommissar Avramopoulos. : Logikfehler: EU-Kommission plant keine Vorratsdatenspeicherung, aber eine Konsultation dazu? Die EU-Kommission startet konkrete Planungen für einen neuen Anlauf zu einer Vorratsdatenspeicherungsrichtlinie. Einen Monat, nachdem in einer Pressemitteilung genau das Gegenteil behauptet wurde. Das zeigt eine Antwort vom 10. April auf eine Anfrage von freiheitsfoo an EU-Kommissar Avramopoulos und den Generaldirektor für Migration und Inneres Ruete. In der heißt es:
Commissioner Avramopoulos indeed informed the Ministers of Interior of the Member States during the Justice and Home Affairs Council of 12 March 2015 that the Commission does not plan to present a new legislative initiative on data retention.
Instead, the Commissioner has tasked his services to start preparing the launch of a public consultation on the matter to seek the views from stakeholders.
Das heißt, man kündigt an, nichts zu planen. Plant aber gleichzeitig eine Konsultation. Plausibel ist das nicht, das dürfte klar sein. Voraussichtlich ist es also nur eine Frage der Zeit, bis aus der Konsultation von Interessensvertretern eine Gesetzesinitiative wird.
Schon bei der ursprünglichen Pressemitteilung waren wir skeptisch und haben bei Nachfragen viele schwammige Antworten erhalten, die in der Quintessenz ein „Noch keine Planung, aber man weiß ja nicht, was die Zukunft bringt“ enthielten. Dass diese Zukunft so schnell da sein würde, kommt dennoch überraschend.
Was viele der EU-Mitgliedsstaaten nicht davon abhält, in der Zwischenzeit ihre eigenen Umsetzungen zu planen. Das alles findet nur ein Jahr nach der Verkündung des Europäischen Gerichtshofes statt, die EU-Vorratsdatenspeicherungsrichtlinie sei unrechtmäßig.
-
: Save the Internet – Wieder einmal Zeit für die Rettung der Netzneutralität
: Save the Internet – Wieder einmal Zeit für die Rettung der Netzneutralität Es wieder einmal soweit: Der Kampf um die Sicherung der Netzneutralität auf EU-Ebene geht in die heiße Phase. Daher haben zehn NGOs aus verschiedenen EU-Staaten die „Save the Internet“-Kampagne wiedererweckt, um EU-Abgeordnete über Faxe, Twitter und E‑Mails daran zu erinnern, sich für eine starke Netzneutralität einzusetzen.
In der EU läuft gerade die letzte Phase eines Gesetzgebungsverfahren, die sogenannten Trilog-Verhandlungen zwischen Kommission, Parlament und Rat. Während im April 2014 das EU-Parlament einen Gesetzesvorschlag vorgelegt hat, der optimistisch stimmte und erfreulich starke Regeln zur Netzneutralität enthielt, arbeiten die EU-Kommission und die Mitgliedsstaaten gegen die Gleichbehandlung von Datenpaketen und argumentieren mit hanebüchenen Auto-Beispielen für Überholspuren im Netz.
Das würde es Internetanbietern erlauben, Geld für die Privilegierung von Online-Diensten zu verlangen. Das schadet nicht nur dem Verbraucher, der zur Kasse gebeten wird, damit sein Stream nicht ruckelt, sondern auch dem freien Wettbewerb. Denn kleineren Firmen ist es, im Gegensatz zu den Riesen wie Spotify, kaum möglich, Verträge mit der Telekom zur Bevorzugung ihrer Inhalte abzuschließen.
Europa darf kein diskriminierendes Internet ermöglichen, sonst fiele man hinter anderen Ländern zurück. Auch die USA haben kürzlich die Netzneutralität festgeschrieben.
Thomas Lohninger von der Initiative für Netzfreiheit sagt:
Es gibt eindeutig einen globalen Trend zur Netzneutralität. Immer mehr Länder erlassen Gesetze zum Schutz des Internets. Europa darf hier nicht zurückfallen. Das Verbot von Netzwerk Diskriminierung durch Internetanbieter garantiert gleichberechtigte gesellschaftliche und demokratische Teilhabe und gleichzeitig schützt es den Wettbewerb und die Innovationskraft in dem zukünftsträchtigsten Wirtschaftszweig Internet.
Helft auch ihr mit und unterstützt das freie Internet. Erinnert die EU-Parlamentarier an ihre Positionen von 2014 und fordert sie auf, diese in den Trilog-Verhandlungen zu verteidigen.
-
: Vordertür statt Hintertür – NSA-Chef fordert verteilte Hinterlegung von Schlüsseln
Wieder einmal Zeit, Verschlüsselung zu verbieten (generiert via <a href="http://frabz.com/">frabz.com</a>)? : Vordertür statt Hintertür – NSA-Chef fordert verteilte Hinterlegung von Schlüsseln Michael Rogers, seines Zeichens NSA-Chef, fordert die Hinterlegung von Schlüsseln für Rechner und Smartphones, damit diese von Geheimdiensten und Ermittlungsbehörden entschlüsselt werden können. Dabei soll jedoch nicht ein einziger Schlüssel nötig sein, um die Inhalte zu entschlüsseln. Mehrere Stellen, etwa eine Geheimdienstbehörde und der Gerätehersteller, sollen über Teilschlüssel verfügen und nur in Zusammenarbeit zur Dechiffrierung in der Lage sein.
Vertraulichkeit durch Verschlüsselung wird dadurch möglich, dass nur die intendierten Kommunikationspartner die für sie bestimmten Nachrichten lesen können. Das ist vielen Sicherheitsbehörden und Ermittlern ein Dorn im Auge. Denn sonst, so heißt es oft, sei man machtlos gegenüber Terroristen™ und Co. Auch in der Bundesregierung propagierte man die Einführung von Key Escrow – Schlüsselhinterlegung. So unser Innenminister Thomas de Maizière:
[Deutsche Sicherheitsbehörden müssen] befugt und in der Lage sein, verschlüsselte Kommunikation zu entschlüsseln oder zu umgehen, wenn dies für ihre Arbeit zum Schutz der Bevölkerung notwendig ist. Effektive Ermittlungen zur Strafverfolgung müssen auch im Cyberraum möglich sein.
Dass Rogers nun vorschlägt, die Schlüssel auf mehrere Partner aufzuteilen, beruhigt wenig, denn die freundliche Zusammenarbeit zwischen Diensten und Technologiefirmen ist in den letzten Monaten trotz vieler Dementi zum Vorschein gekommen. Und im Allgemeinen widerspricht es dem Grundverständnis der Vertraulichkeit zwischen zwei Parteien, dass zur Ermöglichung dieser einer dritten und vierten (und fünften…) vertraut werden muss. Da hilt auch Rogers freundliche Metapher von der Vorder- statt Hintertür nichts:
Ich will keine Hintertür, ich will eine Vordertür. Und ich will, dass die Vordertür mehrere Schlösser hat. Große Schlösser.
Mehrere Schlüssel auf Parteien aufzuteilen, die nur durch Zusammenarbeit den Klartext einer Nachricht ermitteln können, ist keine Raketentechnologie, sondern eine lange bekannte kryptographische Technik. Die einfachste, vorstellbare Umsetzung ist die Zusammensetzung eines Schlüssels durch Addition von Teilschlüsseln. Ein neuralgischer Punkt in diesem Verfahren ist immer die Verteilung der Schlüssel auf die Parteien, da in der Regel sicher sein muss, dass der „Dealer“ vertrauenswürdig ist. Ein solches Schema stimmt im Falle der US-Dienste wenig optimistisch.
Doch das Problem ist den Kryptographen bekannt und es gibt seit über drei Jahrzehnten Lösungsvorschläge, um das Vertrauen in den Dealer zu reduzieren, beziehungsweise komplett überflüssig zu machen. Sowohl was seine Ehrlichkeit bei der Verteilung der Schlüssel angeht als auch sein Wissen um den Gesamtschlüssel. Auch Schemata, bei denen nur eine Untermenge der Teilschlüsselinhaber zusammenkommen müssen, um das Gesamtgeheimnis zu rekonstruieren, sind gründlich erforscht.
Eine integrale Instanz, bei der das Secret Sharing angewandt wird, ist der Root-Schlüssel für DNSSEC. Er ist Teil der ICANN-Sicherheitsstruktur und garantiert die Authentizität der Auflösung von Domainnamen in IP-Adressen. Dieser Schlüssel ist unter sieben Personen aufgeteilt, von denen fünf anwesend sein müssen.
Doch wie steht die Obama-Regierung zu dem Vorschlag des Geheimdienstchefs? Klare Äußerungen gibt es noch nicht, doch derzeit arbeitet eine Gruppe des Weißen Hauses an einem Vorschlag, wie man den Zugriff von Ermittlern auf Daten sichern kann. Ein wie vorgeschlagen gearteter Key Escrow könnte ein Szenario sein. Und würde auch zu den schwammigen Aussagen Obamas passen, der im Februar in einem Interview sagte:
Ich bin vielleicht eher für starke Verschlüsselung als manche in Strafverfolgungsbehörden. Aber ich habe Verständnis für die Ermittler, denn ich weiß um den Druck, unter dem sie stehen, um für unsere Sicherheit zu sorgen. Es ist nicht so schwarz-weiß, wie es manchmal aussieht.
Das einzig Gute ist, dass durch einen eventuell verpflichteten Key Escrow für US-Hersteller kein ausländisches Unternehmen betroffen sein wird. Von dritten Programmen generierte Schlüssel blieben von der Regelung unberührt. Was nicht heißt, dass die Dienste nicht auch hier versuchen werden, durch Hintertüren oder Sicherheitslücken Zugriff zu bekommen.
-
: „It’s a bug, not a feature“ – Sagt Facebook zum Tracking von Nicht-Usern…
via troll.me : „It’s a bug, not a feature“ – Sagt Facebook zum Tracking von Nicht-Usern… Facebook behauptet, das Tracking von Nichtnutzern über Social Plugins und Co. sei unbeabsichtigt. Ende März hatten Forscher der Universität Leuven und der Vrije Universiteit Brüssel Ergebnisse veröffentlicht, die zeigten, dass Facebook über Cookies auf Webseiten mit Social Plugins Profile von Menschen anlegt – egal ob sie Facebook-Nutzer sind, eingeloggt oder nicht, egal ob sie Tracking explizit widersprochen haben oder nicht.
Das widerspricht EU-Datenschutzregeln und lässt Facebook schlecht dastehen. Deshalb dementierte Richard Allan, Facebooks Cheflobbyist für Europa, dass das Tracking von Nicht-Nutzern absichtlich geschehen sei:
The researchers did find a bug that may have sent cookies to some people when they weren’t on Facebook. This was not our intention – a fix for this is already under way.
Darüberhinaus beklagt Facebook, dass der Forschungsbericht zu falschen Ergebnissen gekommen sei. Und dass die Forscher Tracking nicht verstanden hätten:
Facebook does receive standard „web impressions,“ or website visit information, when people visit sites with our plugins or other integrations. The authors misleadingly call this „tracking.“
Natürlich ist die einzelne Information, dass eine Seite besucht wurde, kein Tracking. Tracking wird es dann, wenn der Nutzer über mehrere dieser Seiten nachverfolgbar wird. Der Informationsgewinn entsteht über die Kombination von Daten, nicht über den einzelnen Datensatz. Facebook definiert sich hier seine Welt schön – so wie man es auch von anderen Datenhungrigen kennt, die meinen, die Öffentlichkeit habe ein vollkommen falsches Verständnis von Überwachung.
Fast unterhaltsam ist auch, dass sich das Soziale Netzwerk darauf beruft, man sei ja durch die irische Datenschutzbehörde auditiert worden. Diese, so wissen wir, nimmt den Datenschutz nicht so genau und ist unter anderem der Ansicht, dass das Überwachungsprogramm PRISM in Einklang mit der Safe-Harbor-Vereinbarung stehe. Die laxen Datenschutzauffassung sind neben Steuerkalkulationen einer der Hauptgründe, warum sich in dem Land die EU-Firmensitze vieler US-Datenriesen befinden – neben Facebook unter anderem Twitter, Amazon und Dropbox.
Ob Facebook mit derart fadenscheinigen Ausreden davonkommt und ob der „Bug“ wirklich gefixt ist, muss sich zeigen. Am 29. April entscheidet die belgische Datenschutzbehörde, ob sie in Bezug auf den Bericht Schritte einleiten wird.
