Deutschland
-
: Technische Aufklärung: Der Podcast zum deutschen Geheimdienst-Untersuchungsausschuss
: Technische Aufklärung: Der Podcast zum deutschen Geheimdienst-Untersuchungsausschuss Es gibt jetzt auch einen Podcast zum deutschen Geheimdienst-Untersuchungsausschuss: „Technische Aufklärung“ wird von Felix Betzin und Jonas Schönfelder betrieben, und sie podcasten mit diesem neuen Format tageweise über das Geschehen vor Ort im Ausschuss in Berlin.
In dieser Folge sind wir erstmals gemeinsam für dieses Format live im Ausschuss dabei. Dafür haben wir heute (11.06.2015) den ganzen Tag den öffentlichen Teil der Sitzung im Paul-Löbe-Haus begleitet. Wir haben unter anderem die Statements vor der Presse eingefangen und freuen uns auch, dass der Obmann der Grünen, Konstantin von Notz, uns ein paar Fragen ins Mikro beantwortet hat. Abschließend fassen wir den Tag gemeinsam mit Andre Meister von Netzpolitik.org zusammen. Denn wie Ihr spätestens seit der ersten Folge in diesem Kanal wisst, verbloggt Andre den Ausschuss live in Netz. Der Grund dafür ist u. a., dass es nicht gestattet ist, während der Sitzung Ton- oder Videoaufnahmen zu machen. Daher bleibt auch uns nur die Berichterstattung mit Aufnahmen, die wir rund um das Geschehen hier gemacht haben, und später über die Eindrücke, die wir uns im Saal machen konnten.
Unser Live-Blog zur gestrigen Sitzung findet Ihr hier: Live-Blog aus dem Geheimdienst-Untersuchungsausschuss: „Ich habe erst jetzt von Akten erfahren, die damals an mich gingen.“
-
: Live-Blog zur Verabschiedung des IT-Sicherheitsgesetzes: „Versprechen im Titel wird nicht gehalten“
Geplante Cybersicherheitsstrategie für Deutschland - noch will sich die Regierung nicht äußern. : Live-Blog zur Verabschiedung des IT-Sicherheitsgesetzes: „Versprechen im Titel wird nicht gehalten“ Um 9 Uhr beginnen die zweite und dritte Beratung des „Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme”, des IT-Sicherheitsgesetzes (ITSG). Wir schreiben live mit und haben das Wichtigste zusammengefasst.
Zusammenfassung
Die Debatte verlief erwartbar. Mitglieder von Grünen und Linke wiesen auf Kritikpunkte im Gesetz hin, die wir bereits heute Morgen im Wesentlichen zusammengefasst haben. Mitglieder der CDU lobten sich insbesondere für den „kooperativen Ansatz”, bei dem Wirtschaft und BSI zusammenarbeiten sollen, um Sicherheitsvorfälle zu melden und zu analysieren.
Was an der Debatte auffiel: In beinahe jedem Redebeitrag wurde ein Bogen zum aktuellen Angriff auf die IT des Bundestags geschlagen. Der zeigt nämlich zum einen die Dringlichkeit einer Verbesserung, zum anderen auch die aktuelle Handlungsunfähigkeit und Überforderung von Verwaltung und BSI, den Vorfall unter Kontrolle zu bringen.
Die Opposition referenzierte häufig auch auf die Debatte zur Vorratsdatenspeicherung und mahnte an, dass ein Gesetz zur Erhöhung der IT-Sicherheit und eine anlasslose, massenhafte Speicherung von Kommunikationsdaten im Widerspruch zueinander stünden. Einigkeit herrschte weitgehend in dem Punkt, das BSI müsse unabhängig(er) vom Innenministerium werden. Ein Punkt, der außerhalb des ITSG geregelt werden muss.
Wie abzusehen war, wurde das Gesetz mit der Mehrheit der Regierungsfraktion angenommen. Unser Fazit fällt kurz aus und Petra Sitte hat es in ihrem Redebeitrag lobenderweise vorweggenommen:
Besser als die Blogger von netzpolitik.org kann man es nicht auf den Punkt bringen: Es wird ein IT-Sicherheitsimulationsgesetz verabschiedet werden.
De Maizière – Innenminister, CDU/CSU (09:02 Uhr)
IT-Sicherheit, Cyberwar, Cyberdefense, Marketing-Wörter. Es gibt kein Big Bang, keine einzige Maßnahme. Lösungen Schritt für Schritt angehen. ITSG ist wichtiger Schritt Richtung IT-Sicherheit.
Cybersicherheit ist IT-Sicherheit. Härtung und Schutz der System. Verhinderung und Verfolgung von Cyberkriminalität. Demokratischer Rechtsstaat hat im Internet nicht mehr und nicht weniger Rechte als außerhalb.
Unternehmen schützen, Wirtschaftsstandort Deutschland ist gefährdet. Cybersicherheit dient Schutz von Bürgern, Innovation, Staat.
Kritische Infrastrukturen schützen. „Die bei denen, wenn sie ausfallen, es für uns kritisch wird.”
Wir wissen, Melden ist peinlich, deshalb soll nicht alles öffentlich gemeldet werden.
Es gibt ein physisches deutsches Netz, das soll das ITSG schützen. Es gibt eine europäische Richtlinie, NIS, die ist dem ITSG nachgebildet. Das ist IT-Sicherheit made in Germany.
Wir haben keine Zeit zu verlieren.
Ist auch wichtig für Industrie 4.0 und Digitalisierung. Wird nicht ohne IT-Sicherheit funktionieren. Beispiel: Selbstfahrende Autos…
Bundestag wird heute das Gesetz verändern, äh verbessern. Hard- und Softwarehersteller werden einbezogen, BSI gestärkt, wird Sanktionen geben. Es bleibt beim „kooperativen Ansatz”. ITSG will kooperatives Verhältnis von Staat und Wirtschaft bei Entwicklung, Aufklärung, Meldung.
Thema Angriffe auf den Bundestag: Bundesregierung und Bundesverwaltung haben physisch getrenntes Netz. Lösung von bestimmtem ausländischen Betreiber nicht mehr akzeptiert. IT-Konsolidierung. Das Schutzschild, das BReg und BVerw gezogen haben, funktioniert ziemlich gut und das BSI hilft uns dabei. Bei Bundestagsangriff ist es gut, dass das BfV seine Hilfe auch anbietet.
ITSG ist EIN wichtiger Rechtsrahmen, ein nächster wird folgen. Nächste Woche evtl. Beginn Trilog zur EU-Datenschutzgrundverordnung, die auch für mehr Sicherheit in der IT sorgt.
Digitale Verwundbarkeit hat auch mit digitaler Sorglosigkeit zu tun. Noch so gute Gesetze ohne „Sicheres Fahren” im Netz gehen nicht. Anschnallgurt-Vergleich. Wenn man unsicher fährt, kommt es trotzdem zu Unfällen. Eigenverantwortung der Bürger.
Zwischenruf: Auch die sichern, die sich ordentlich verhalten!
Absolut!
Halte viel davon, dass wir uns Versicherungslösungen anschauen.
Petra Pau – Linke (09:17 Uhr)
ITSG ist längst überfällig. Linke will gute IT-Sicherheit, aber es liegt ein Schatten über dem Gesetz: NSA-Affäre. Bisher größter Angriff auf Bürgerrechte und Rechtsstaat in der BRD. Weniger IT-Sicherheit ist kaum denkbar. Bundesregierung entschied sich für null IT-Sicherheit.
Seltsamkeiten im Gesetzesentwurf. Zwei Gewinner: BND und BfV. Wettlauf der Geheimdienste schafft nicht mehr IT-Sicherheit, sondern weniger. Deshalb sagen wir nein. Es ist pure Selbstverständlichkeit, dass Informationen dem BfV übermittelt werden müssen und der Bundestag diese auch übermittelt. Auch selbstverständlich, dass BfV bei Bundestagsangriff hilft. Verstehe nicht die Pappkameraden, die gefordert haben, der Bundestag solle kooperieren.
IT-Sicherheit ist mehr als Innenpolitik. Für Linke hätten zwei Strukturveränderungen Vorrang: BSI aus Innenministerium lösen, zur ressortübergreifenden Bundesbehörde machen. Klare Qualitätsansprüche, finanzielle und personelle Mittel. BfDI weiter aufwerten. Bis hin zu einem Vetorecht.
Haben erlebt: Bei Anhörung zu VS-Gesetz wurde BfDI schlicht ignoriert. B90/Grüne haben Veränderungsantrag vorgelegt, Ablehnung Regierungsentwurf. Linke schließt sich an. Ein schlechtes Gesetz schafft nicht mehr Sicherheit im digitalen Zeitalter.
Gerold Reichenbach – SPD (09:23)
Heute wissen nur noch Computer, in welchem Regal sich Waren befinden. Störung hätte zur Folge, dass niemand mehr zugreifen kann. Waren wären noch da, niemand würde sie finden. Störungen können sich über Stunden und Tage hinwegziehen. Schutz kritischer Infrastrukturen ist elementar für Aufrechterhaltung des Staatswesens. Verbindliche Mindestanforderungen setzen. Unternehmen sollen sich und andere nicht schädigen.
Vorwurf, es handele sich um Meldegesetz. Stimmt nicht. Verstärkt die Pflichten der Telkos, stärkt BSI. Mehr Aufklärung in Bevölkerung soll helfen, BKA bekommt mehr Kompetenzen bei Cyber-Kriminalität. Experten-Anhörung, GroKo hat wichtige Anregungen aufgenommen. In EU wird gerade NIS beraten. Änderungsanträge: Bußgelder bei Verstößen, sonst wie Parkverbot ohne Bußgeld. Entspricht dem kooperativen Ansatz des Gesetzes.
BSI kann das nicht alleine lösen, braucht Kooperationen mit den Unternehmen. Fehlende Mitwirkungspflicht von Zulieferern kritisiert. Ist aber erstmal vertraglich zu regeln, klappt aber bei Monopolen und Streitigkeiten nicht. Deshalb hat BSI nun Anforderungsbefugnis, Unternehmen muss bei Beseitigung von Sicherheitslücken mithelfen.
Zweckbindung klarer gefasst: Abwehr von Gefahren der IT-Sicherheit des Bundes, Wartung und Warnung, Aufgaben BSI nach BSI-Gesetz – nichts mehr.
Wenn man aber in Verschwörungstheorie annimmt, dass die Gesetze nicht eingehalten werden, brauchen wir gar keine Gesetze mehr machen.
Standards, die für Wirtschaft gelten, gelten auch für alle Bundesbehörden. Auch Bundesverwaltung.
Stärkere Unabhängigkeit des BSI wäre notwendig, hätte aber die Komplexität des Gesetzes zu hoch gemacht. Änderungsantrag der Grünen ist wie Wunschzettel für alles Digitale. Rasante Entwicklungen in IT-Branche, deshalb soll Gesetz nach vier Jahren wissenschaftlich evaluiert werden. Erster Schritt, werden uns mit weiteren Themen beschäftigen müssen. Finde Versicherungslösungen sympathisch, brauchen aber klare Haftungsregelungen. Debatte geht weiter.
Überzeugt, dass wir mit ITSG einen richtigen und wichtigen Schritt getan haben. Linke ist immer noch ein bisschen in der Vergangenheit, denn in der digitalen Welt ist die Null von der Information gleichwertig der Eins.
Dieter Janecek – Grüne (09:37 Uhr)
Bundestagsangriff zeigt, man schafft es nicht, IT-Sicherheit hinzukriegen. MdBs haben Informationsbedürfnis, das wurde nicht befriedigt.
Im Änderungsantrag wurden Fehler nicht beseitigt. Außerdem VDS: Justizminister legt verfassungswidriges Gesetz vor. Wenn bei ITSG dasselbe, man kann nicht einfach ein Gesetz mit Hacker-Meldezentrale etablieren. Schutz der BürgerInnen ist überhaupt nicht vorgesehen, Aufklärung fehlt. Dialog mit Wirtschaft und Behörden fehlt, deswegen sind wir heute so anfällig. Interessant, dass sich Wirtschaft und Banken dazu geäußert haben, man solle die vom Gesetz Betroffenen erweitern.
Auch lobende Dinge: Änderungsantrag bringt Bewegungen in die richtige Richtung. Zum Beispiel Bußgelder. Aber nur bei tatsächlichem Schaden. Kein Meldeanreiz.
Rolle des BSI: Wir haben auf die SPD gesetzt in Punkto Unabhängigkeit. Wenig geblieben.
In Zeiten von NSA und Snowden bringt das kein Vertrauen, wir haben Vorschläge gemacht, die in die richtige Richtung gehen. Penetrationstest, dynamisches Prüfen.
Wir lehnen das Gesetz ab, da kein präventiver Ansatz, Titel hält Versprechen nicht.
Stephan Mayer – CDU/CSU (09:43)
Leben nicht mehr denkbar ohne funktionierende IT-Infrastruktur. Aber auch Abhängigkeit steigt. Richtig und wichtig, dass ITSG so stringent vorangetrieben wurde. BSI geht davon aus, dass bundesweit mehr als 1 Mio. Rechner Teil eines Botnetzes sind. Angeblich jeden Tag 300.000 neue Varianten von Schadprogrammen.
Geht um Bereiche der Daseinsvorsorge. Mindeststandards schaffen für Betreiber von KRITIS. Kooperativer Ansatz ist herausragend. Betreiber werden intensiv mit eingebunden vom zukünftigen Meldezentrum des BSI. Nicht jede Störung muss mit Klarnamen gemeldet werden, wegen Prangerwirkung. Nur die, die erheblich sind und zu Ausfall bzw. Funktionsbeeinträchtigung führen.
Telkos werden verpflichtet, dass Kunden informiert werden, wenn die Infrastruktur eines Kunden schadhaft ist. Darüber hinaus Erlaubnis für BSI, IT-Produkte auf Sicherheit überprüfen zu können.
Nicht einfach gemacht. Sachverständigenanhörung, Gespräche mit Betroffenen und anderen Vertretern der Community. Änderungsantrag mit Verbesserungen. BSI gestärkt. Nicht nur für Ressortbereich des BMI zuständig, sondern auch für alle anderen Bundesbehörden. Mitwirkungspflicht für Hersteller von Software und Hardware.
Umstritten sind Sanktionsmöglichkeiten. Nicht dazu da, die Wirtschaft zu gängeln. Gesetz darf aber kein zahnloser Tiger sein, Störungen müssen wirklich gemeldet werden. Sanktionen auch in EU-NIS-Richtlinie vorgesehen.
Fassungslos wie rasant die Entwicklung ist, deshalb Evaluierung nach vier Jahren. Klare Vorgaben, welches Unternehmen zu KRITIS gehört und welches nicht. Deshalb branchenspezifische Schwellenwerte. Gesetz ist ein wichtiger Schritt nach vorne, Etappenerfolg, sicher nicht das Ende.
Deutschland ist mit ITSG Schrittmacher auf europäischer Ebene. IT-Sicherheit kann nie an den Grenzen enden.
Petra Sitte – Linke (09:52)
Gesetz definiert KRITIS nicht, das soll eine Verordnung regeln. Das bedarf einer Überarbeitung. Angenommen, Bundestag ist auch KRITIS. Parlament ohne sicheres Datennetz ist ziemlich aufgeschmissen. Trotz aller Bemühungen hat es einen Angriff gegeben, Daten sind abgeflossen, Netz ist kompromittiert.
Nach ITSG: Der Fall müsste gemeldet werden. Anbieter müssen an Prävention, Aufklärung und Beseitigung arbeiten. IuK-Kommission bemüht sich, Abgeordnete wollen Wiederherstellung der Arbeitsfähigkeit. Angriffe wie in den letzten Tagen gegen die IuK-Kommission gehen vollkommen an der Sache vorbei. Keine Belege für Zweifel an der Vorsitzenden der IuK-Kommission.
Zu Aufklärung gehört vor allem Transparenz. Bereits im Prozess. Wird wohl noch Monate dauern. IT-Angelegenheiten dürfen keine Black Box sein. Brauchen offene Software, offene Prozesse und offene Kommunikation. Hilft besser als Geheimniskrämerei.
Kompetenzerweiterung BfV und BND: Geheimdienste wirken bei IT-Unsicherheit mit, sind eher ein Sicherheitsrisiko. Tiefe Vertrauenskrise, daher kein Wunder, dass eine Firma nicht ihre Datenlecks mit den Geheimdiensten teilen will, die anderen bei Wirtschaftsspionage helfen.
Vorgelegtes ITSG ist eher Geheimdienst-Aufbaugesetz. Besser als die Blogger von netzpolitik.org kann man es nicht auf den Punkt bringen: Es wird ein IT-Sicherheitsimulationsgesetz verabschiedet werden. [Danke für die Blumen!]
Metin Hakverdi – SPD (09:58)
ITSG ist wichtig für Industrie 4.0., Risiko für Industrie steigt. Digitalisierung unserer Industrie darf nicht zur Achillesferse werden. Für Sicherheit sorgt nicht die Technik allein.
Anbieter dürfen Daten sammeln. Balance zwischen Freiheit und Sicherheit ist ständiger Abwägungsprozess. Muss man sorgfältig sein. Unterschiedliche Speicherdauern können nicht gerechtfertigt werden. „In der Kürze liegt die Würze”, besonders bei Datenspeicherung. Lege Telkos den Grundsatz der Datensparsamkeit ans Herz.
Kompetenzzuwachs bei BSI ist heikel. Nicht sicher, ob Anbindung BSI ans BMI berechtigt ist, da es von anderen Protokolldaten einsehen kann. Kommt darauf an, wie das BMI die Anwendung legt. BSI zur unabhängigen Behörde ausbauen.
IT-Sicherheit ist eine Daueraufgabe, muss auch bei rechtlichem Rahmen auf der Höhe der Zeit sein.
Renate Künast – Grüne (10:05 Uhr)
Selten war eine Debatte so tagesaktuell. Zitat: „Das BSI sei zu Ergebnis gekommen, dass Netz des BT nicht mehr verteidigt werden könne und aufgegeben werden müsse.”
Wir haben eine Schlacht verloren gegen eine Cyberattacke. Aber wie reagieren wir? Wir wissen nicht mal, gegen wen wir die Schlacht verloren haben. Wir wissen nicht, warum, haben aber eine Ahnung, dass der Bundestag nicht ordentlich aufgestellt war. Gesetz ist dem Problem nicht angemessen.
ITSG ist selbst mit Änderungen nicht angemessen, geht von altem IT-Verständnis aus. Als ob es hilft, dass jemand 10.000 Euro zahlen muss, wenn er seiner Meldepflicht nicht nachgekommen ist.
Finde, altes IT-Verständnis ist so ein bisschen Mittelalter und aus Snowden wurde nichts gelernt. Wir sind ja nicht mal in der Lage zu wissen, was Nullen und Einsen materiell bedeuten.
Wie muss Infrastruktur aussehen, wie können wir uns schützen? Meldepflicht bringt da nichts. Wir müssen uns mit Thema des Prozesses auseinandersetzen. Reicht nicht, den neuesten Stand der Technik zu „berücksichtigen”. Man muss zwingen, Standards einzuhalten. Szenarien zur Gefahrenlage herstellen, stündlich und täglich neu.
In USA: Nicht durch Sanktionen getrieben, Unternehmen stellen Teams auf, bei denen die einen ständig angreifen und andere verteidigen. Dafür haben sie in ihrem technokratischen Gesetz [ITSG] null Angebot. Keine Erwähnung des Grundrechtes des Schutzes auf Vertraulichkeit und Integrität von IT-Systemen.
Bei Thema VDS schon wieder Massen an Daten speichern. Beide Gesetze zueinanderdenken. Erst Meldepflicht, dann zentrale Speicherung der Kommunikationsdaten aller Bürger. Gesetz hat kein Angebot für Sicherheit.
Mein Vorschlag: Legen sie beide Gesetze weg. Open Source nutzen, Sicherheitslücken nicht verstecken. Fangen sie endlich an, mit kreativer Analyse und Durchspielen von Gefahren Sicherheit zu schaffen.
Clemens Binninger – CDU/CSU (10:13 Uhr)
De Maizière hat gesagt: Netz des Bundes hat stabiles Schutzschild durch BSI. Verhindert Angriffe wie im Bundestag. Jeden Monat 90.000 Zugriffe auf infizierte Server. Jede Woche 15–20 hochkomplexe Angriffe, jeden Tag mind. einer mit ND-Hintergrund.
Muss Eindruck haben, dass Opposition bei Bundestagshack seine eigene Suppe kochen will. Beschreibt das Problem: Kein Lagebild über Bedrohung in der Industrie. Müssen Mindeststandards vorgeben.
Wer fällt unter ITSG? Große Stadtwerke. Bundesregierung, Ressortprinzip wird aufgehoben, BSI gibt Standards vor, einheitliche Sicherheitsmechanismen. Wichtiger Beitrag zu IT-Sicherheit des Bundes.
Meldepflicht und Bußgelder verhindern zahnlosen Tiger, bringen kooperative Mitarbeit. Meldepflicht für Bundesverwaltung gibt es seit 2010 für jeden IT-kritischen Angriff.
Wir lassen Unternehmen zwei Jahre Zeit zur Umsetzung. Konkretes wird in Verordnung geregelt. Gemeinsam mit BSI, Unternehmen, Verbänden. Sehr gutes, kluges Vorgehen. Großer, wichtiger Beitrag zur IT-Sicherheit. Beginn bei besonders heiklen Bereichen.
Christina Kampmann – SPD (10:20)
Sicherheit spielt in Rhetorik eine große Rolle. In IT wurde das lange vernachlässigt. Gut, dass wir das geändert haben.
Gesetz dürfte noch weiter gehen, aber ist ein guter Anfang. Änderungsantrag der Grünen hat nicht mehr viel mit IT-Sicherheit zu tun.
Industrie 4.0, selbstfahrende Autos, Cloud,…
Digitalisierung funktioniert nicht, wenn nicht Maximum an Sicherheit. Gibt staatlichen Handlungsauftrag.
Ohne Meldepflichten unklare Gefährdungslage, so kann man Gefahr nicht begegnen. Brauchen Unternehmen, die in ihre IT-Sicherheit investieren. Jeder einzelne Cent lohnt sich, sonst wird es am Ende noch teurer. Gesetz muss mehr sein als Vorgabe für KRITIS – Anstoß für gesamtgesellschaftliche Debatte zu IT-Sicherheit, die ist längst überfällig.
Hat Änderungen gegeben. Manche aber außen vor geblieben: Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität von IT-Systemen, technikgestützter Datenschutz, größere Unabhängigkeit des BSI.
Angriffe werden immer zahlreicher und komplexer. Deshalb gut, dass Bund und Hersteller mit in die Pflicht genommen werden. Wichtig, über kooperativen Ansatz hinauszugehen.
Erhebliche Verbesserungen, wir meinen es ernst, haben heute einen entscheidenden Schritt getan. Wir von der Koalition.
Hätte mir auch Verpflichtung zur Verschlüsselung vorstellen können. $Fußballvergleich.
Wir sind in der sicherheitspolitischen Champions League angekommen.
Hansjörg Durz – CDU/CSU (10:31)
Aktuelle Vorgänge zeigen, IT-Sicherheit ist verwundbar. Letzter BSI-Bericht hat gezeigt, dass dynamische Gefährdungslage entsteht, wir werden immer anfälliger.
Hier setzt ITSG an. Erforderlich, IT-Sicherheitsniveau zu erhöhen. Gibt freiwillige Initiativen. Freiwilligkeit allein hilft, besonders bei KRITIS, nicht aus. Bewusstsein wird oft erst geweckt, wenn Schaden eingetreten ist.
Widerstandsfähigkeit KRITIS muss erhöht werden, Deutschland hat Vorreiterrolle in IT-Sicherheit.
Kluge Philosophie des kooperativen Ansatzes: Beteiligung von Unternehmen und Sanktionsmechanismus mit Kontrolle.
Mehr an Sicherheit ist automatisch mehr an Sicherheit für die Wirtschaft. Meldesystem ist alles andere als Einbahnstraße. Unternehmen bekommen auch Rückmeldung über andere Vorfälle. „Privilegiertes Meldesystem”.
Weiterer Mehrwert für Unternehmen sind IT-Mindeststandards. Bietet Orientierung und Rechtssicherheit.
Weitere Verbesserung: Einbindung der Softwarehersteller.
Kritik aus Wirtschaft, schwer den Kreis der Betroffenen festzulegen. Zunächst Sektoren und Branchen definiert. Reicht nicht, ist kompliziert.
Kollaborativer Ansatz ist wegen Dynamik genau richtig. Parlamentarier sollten in die Verordnung miteinbezogen werden. Sicherheit ist ein dynamischer Prozess. Koalition macht einen klugen und großen Schritt für Stabilisierung der IT-Sicherheit.
Marian Wendt – CDU/CSU (10:39)
John Wayne sagte beim Sieg über Cyberterroristen: „Jippie-ja-yeah!”
In Realität weniger Action, aber die Auswirkungen sind genauso gefährlich wie im Film dargestellt. Stille Fachleute, sitzen oft in Kellern, hochgesicherten Anlagen, Bunkern. Lob und Anerkennung für diese Menschen.
Erfolgreiche Angriffe: Regin, Stuxnet, andere Angriffe. Anzahl der Angriffe schwer abschätzbar.
Nutzer sind durch Verhalten mitverantwortlich bei IT-Sicherheit. Haben sie schon mal auf einen Link auf einer Schmuddelseite angeklickt, PIN auf die Bankkarte geschrieben? Schon steht man vor den Scherben einer Sicherheitspolitik. Man würde den Kampf gegen Cybercrime verlieren.
Problem ist, dass Nachlässigkeit Einzelner andere gefährdet.
Parallele zum Impfen in der IT-Sicherheit, brauchen weitere Debatte und Aufklärung. Initiative Deutschland sicher im Netz. ITSG ist ein entscheidender Schritt. Klare Rolle des BSI ist großer Erfolg. Aber trotzdem: ITSG nur ein Mosaikstein in der Bekämpfung von Cybercrime.
Ich möchte fast sagen: „Jippie-ja-yeah!”
Abstimmung Gesetzentwurf
Gesetz mit Mehrheit der GroKo angenommen.
Abstimmung Entschließungsantrag der Grünen
Entschließungsantrag abgelehnt.
-
: Heute im Bundestag Verabschiedung des IT-Sicherheitsgesetzes – ein Überblick
Geplante Cybersicherheitsstrategie für Deutschland - noch will sich die Regierung nicht äußern. : Heute im Bundestag Verabschiedung des IT-Sicherheitsgesetzes – ein Überblick Ab 9 Uhr wird es heute eine Debatte über das IT-Sicherheitsgesetz im Bundestag geben, danach geht es in die Abstimmung. Gleichzeitig zur Abstimmung steht auch ein Entschließungsantrag der Grünen, die fordern, dass das IT-Sicherheitsgesetz in seiner jetzigen Form zurückgezogen und verbessert werden soll. Wir haben den Gesetzgebungsprozess intensiv begleitet und fassen vor der Entscheidung, deren Ausgang wenig Raum für Überraschungen lässt, die Kritikpunkte an der aktuellen Gesetzesfassung zusammen.
Das Gesetz sieht eine anonyme Meldepflicht für IT-Sicherheitsvorfälle in Kritischen Infrastrukturen vor. Ob das genügt, um Unternehmen zur Investition in IT-Sicherheit zu bewegen, ist fraglich, da kein öffentlicher Druck entsteht. Namentlich muss nur gemeldet werden, „wenn sowieso das Licht ausgeht“, es also zu sehr schweren Beeinträchtigungen oder dem Ausfall von kritischen Systemen kommt. Ob eine vorgesehene nachträgliche Meldepflicht ausreichend ist, wenn Angreifer sich normalerweise nicht darauf beschränken, Infrastrukturen nacheinander anzugreifen, sondern dies in der Regel parallel erfolgt, wird ebenso angezweifelt. Damit verbunden wird auch befürchtet, dass die Information der Öffentlichkeit mangelhaft bleibt, wenn das BSI nur in Form von Lagebildern und nicht in Form von standardmäßiger Benachrichtigung Betroffener über die Sicherheitsvorfälle aufklärt.
Ein weiterer, viel bemängelter Punkt sind die unklaren Begriffsdefinitionen, die unter anderem dazu führen, dass Unternehmen nicht wissen würden, ob sie selbst zur betroffenen kritischen Infrastruktur gehören. Auch die Festlegung auf einen „Stand der Technik“ gibt keine klaren Leitlinien, eine Konkretisierung des Begriffes ist jedoch im Rahmen eines Gesetzes schwer umzusetzen. Laut Bundesregierung sind kritische Infrastrukturen jene, die für das Gemeinwohl unerlässlich sind. Das sind zum Beispiel Wasser, Energie, Telekommunikation. Es wird geschätzt, dass etwa 2.000 Unternehmen unter „kritisch“ fallen. Aber woran festgemacht wird, ob ein Stadtwerk groß genug ist, um als solches zu gelten, bleibt im Dunkeln.
Die Begrenzung des Gesetzes auf kritische Infrastrukturen ist dabei ein Kritikpunkt an sich. Denn eigentlich, sollte man meinen, ist IT-Sicherheit für alle ein maßgeblicher Faktor. Denn wenn eine Vielzahl an Unternehmen, die vielleicht für sich genommen nicht kritisch wären, von einem Angriff betroffen ist, kann das in der Masse einen ebenso kritischen Vorfall darstellen wie beispielsweise ein Angriff auf einen einzelnen großen Energieversorger. Ganz abgesehen von öffentlicher Verwaltung und anderen Bundes- und Ländereinrichtungen.
Ebenso wichtig für die IT-Sicherheit sind diejenigen, die Komponenten für IT-Systeme liefern, auf deren Basis die Betreiber arbeiten müssen. Existieren beispielsweise Sicherheitslücken in verwendeter Hard- oder Software, hat ein Betreiber eines Unternehmens wenig Handhabe, das ITSG hilft ihm dabei nicht. Ein Änderungsantrag der Großen Koalition hat diesen Punkt jedoch aufgegriffen und will auch die Hersteller und Zulieferer mit in die Verantwortung nehmen.
Ein anderes, viel angesprochenes Thema sind die Speicherbefugnisse für Telemedien- und Telekommunikationsanbieter bezüglich Verkehrsdaten nach §100 TKG, die zur Angriffserkennung gewährt werden sollen, ebenso wie die Möglichkeiten der Bestandsdatenabfrage zur Störungserkennung. Hier wird Tür und Tor für eine Verkehrsdatenspeicherung geöffnet. Momentan steht uns die durch Vorratsdatenspeicherung zwar sowieso bevor, aber kein Grund, Verfassungswidrigkeiten noch mit anderen Gesetzen zu untermauern.
Was die Wirksamkeit des Gesetzes darüberhinaus behindern könnte, sind die mangelnden Sanktionierungsbefugnisse. Denn gibt es keinen wirtschaftlichen Anreiz, Sanktionen zu vermeiden, da schlichtweg keine vorgesehen sind, ist es fraglich, ob Unternehmen mitunter intensive Investitionen in IT-Sicherheit tätigen werden. Deshalb sieht der letzte Änderungsantrag der Regierungskoalition nun doch – nachdem man immer wieder betonte, die Sanktionierung den Branchen überlassen zu wollen – Bußgelder in Höhe von maximal 50.000 bzw. 100.000 Euro vor, wenn es zu Verstößen kommt.
Mit dem IT-Sicherheitsgesetz soll die Rolle des BSI gestärkt werden, und es soll mehr Befugnisse bekommen. Ob das eine gute Idee ist, ist umstritten. Der Chaos Computer Club zweifelt in seiner Stellungnahme dessen Eignung an:
Spätestens seit bekanntwurde, daß das BSI seit Jahren an entscheidender Position staatliche Schadsoftware mitentwickelt, genießt das Amt kein Vertrauen mehr. Der CCC erneuert daher seine Forderung, das BSI endlich zu einer vom Innenministerium unabhängigen Bundesbehörde mit klarem Sicherheitsauftrag zu machen, die bei Staatstrojaner-Plänen oder anderen Maßnahmen, die zur Senkung der IT-Sicherheit beitragen, nicht mehr zuarbeiten darf.
Was noch dazu fehlt, ist eine hiebfeste Einschränkung der Zweckbindung in Bezug auf persönliche Daten, die vom BSI verarbeitet und weitergegeben werden.
Neben dem BSI sollen auch das Bundeskriminalamt, das Bundesamt für Verfassungsschutz, der Bundesnachrichtendienst und andere gestärkt werden. Mehr Stellen, mehr Budget, Zuständigkeiten für „Cyberkriminalität“ machen den Bock zum Gärtner.
Ob eine Verabschiedung des IT-Sicherheitsgesetzes zum aktuellen Zeitpunkt überhaupt sinnvoll ist, wurde aufgrund der aktuell debattierten NIS-Richtlinie an mehreren Stellen angezweifelt. Die NIS-Richtlinie stellt quasi das europäische Äquivalent des ITSG und damit Mindeststandards dar. Bei Widersprüchen müsste das ITSG nachgeregelt werden, manche sehen das ITSG jedoch als mögliche Vorlage für die europäische Regelung.
Und nun? Dass das IT-Sicherheitsgesetz kommt, ist mehr als wahrscheinlich. IT-Sicherheit wird dadurch nicht erhöht, sondern simuliert. Die Grünen haben in ihrem Entschließungsantrag Forderungen aufgestellt, um das Gesetz zu verbessern. Neben der Berücksichtigung der oben genannten Kritik wäre das beispielsweise auch die Förderung von Open-Source-Produkten und Verschlüsselung, gründliche Auditierung von Software, hohe Datenschutzstandards sowie Schutz von Whistleblowern, die auf Sicherheitsprobleme aufmerksam machen. Bis es in der Regierung zu solch einer Einsicht kommt, werden wohl aber noch ein paar „Cyberattacken“ auf öffentliche und sicherheitskritische Stellen ins Land gehen.
-
Weitergabe von Rohdaten in großem Umfang: Bundesdatenschutzbeauftragte wurde von BND belogen – und schweigt
Die BND-Ahörstation Bad Aibling Weitergabe von Rohdaten in großem Umfang: Bundesdatenschutzbeauftragte wurde von BND belogen – und schweigt Die Bundesdatenschutzbeauftragte wurde vom Bundesnachrichtendienst belogen, und wir haben ihr gezeigt, wie. Einen Monat später hat sie endlich reagiert – und kann leider nichts dazu sagen. Es geht um keine Kleinigkeit, sondern die Weitergabe von 1,3 Milliarden Metadaten vom BND an die NSA – jeden Monat.
-
: Überwachungsgesamtrechnung: Vorratsdatenspeicherung ist der Tropfen, der das Fass zum Überlaufen bringt
: Überwachungsgesamtrechnung: Vorratsdatenspeicherung ist der Tropfen, der das Fass zum Überlaufen bringt 
Wir blicken auf ein Jahrzehnt zurück, das von Gesetzesverschärfungen gekennzeichnet ist, die technisierte Überwachung zum alltäglichen Standard hat werden lassen. Der eigentlich eher im geheimdienstlichen Bereich beliebte „Full take“ entwickelt sich langsam zum modus operandi, wie nicht nur die Neu-Einführung der Vorratsdatenspeicherung zeigt, bei der gesetzlich vorgeschrieben werden soll, die Metadaten der Kommunikation der gesamten Bevölkerung ohne jeden Anlass abzuspeichern.Was macht das mit einer Gesellschaft, deren Menschen verpflichtet werden, biometrische Gesichtsbilder bei den Behörden abzugeben, deren Flugverbindungen abgespeichert werden und die wissen, dass hunderttausende Telefonate jedes Jahr abgehört werden und jede Kommunikationsregung in Datenbanken landet?
Ob sich solche Grundrechtseingriffe kumulieren, wird in der Rechtswissenschaft schon mehrere Jahre diskutiert. Man versucht, mit einer ganzheitlichen Sicht auf die technischen Überwachungstendenzen zu blicken.
Das Bundesverfassungsgericht hatte den Gedanken vor einigen Jahren angeregt, dass man eine Art Überwachungsgesamtrechnung aufmachen müsse. Als es im Jahr 2005 über den Einsatz des Global Positioning Systems (GPS) als Observationsmethode entschied, legte es erstmals Regeln für den zeitgleichen Einsatz von verschiedenen technischen Überwachungswerkzeugen gegen einen Verdächtigen fest und benannte Risiken einer viele Ebenen des menschlichen Umfeldes erfassenden Überwachung (BVerfGE 112, 304 (316–321)). Man müsse solche „additiven Grundrechtseingriffe“ mitbedenken und nicht nur die einzelne Maßnahme, um eine „Rundumüberwachung“ zu verhindern.
Bei der Einführung neuer Überwachungsmaßnahmen wie der Vorratsdatenspeicherung ist es also höchste Zeit, eine „Überwachungsgesamtrechnung“ aufzumachen, die nicht nur die einzelne gesetzliche Regelung zu betrachten, sondern die Fülle an Überwachungsregelungen und Befugniserweiterungen einzubeziehen. Professor Alexander Roßnagel von der Universität Kassel kommt zu dem Schluss, dass dies im Sinne der Grundrechte getan werden müsse:
Die Notwendigkeit, alle staatlichen Überwachungsmöglichkeiten auf ein Maß zu beschränken, bei dem die Freiheitswahrnehmung der Bürger nicht total erfasst und registriert wird, zählt sogar zur europarechtsfesten „verfassungsrechtlichen Identität der Bundesrepublik Deutschland“. (Rossnagel, NJW 2010, Heft 18, pdf)
Ein sich an den Grundwerten der Verfassung orientierender Gesetzgeber müsste also korrigierend eingreifen, wenn sich verschiedene Überwachungsgesetze zu einem Gesamtbild fügen, das kaum noch überwachungsfreie Räume zulässt.
Was die Vorratsdatenspeicherung angeht, sollte man sich nicht nur aus Gründen der Gesamtschau der Überwachungsproblematik besinnen, sondern auch, weil Geheimdienste das Datenreservoir anzapfen werden. Außerdem öffnet sich mit der Vorratsdatenspeicherung eine Tür zu weiteren anlasslosen Datensammlungen. Die Humanistische Union hatte es anlässlich des Streits um den sog. Großen Lauschangriff gefordert, man sollenicht wegen eines vermeintlichen Sachzwanges grundlegende Prinzipien unserer Verfassung preisgeben. Sicherheitspolitik, die fundamentale Freiheitsrechte beseitigt, verändert den demokratischen Verfassungsstaat.
Wenn Justizminister Heiko Maas im Rahmen seiner hilflosen Begründungsversuche zur Einführung der Vorratsdatenspeicherung von der „Wahrung der Verhältnismäßigkeit der Eingriffsintensität“ spricht, dann unterschlägt er den Effekt „additiver Grundrechtseingriffe“, die nämlich auch insgesamt verhältnismäßig sein müssen.
Dass der Staat Schutzpflichten hat, wenn es um die Wahrung der Grundrechte geht, wird in der derzeitigen Diskussion schnell unter den Tisch gekehrt. Es reicht nicht nur ein Reinigungseid. Der Gesetzgeber muss ordentlich begründen, warum er Überwachungsmaßnahmen plant und eben gleichzeitig einkalkulieren, ob sich diese Maßnahmen kumulieren.
Hans-Jürgen Papier, ehemaliger Präsident des Bundesverfassungsgerichts, hatte im letzten Jahr sogar vorgeschlagen, dass in Zukunft „Unterlassungen von Schutzpflichten einklagbar sein“ können sollen.
Die anlasslose Vorratsdatenspeicherung ist ohnehin nicht verhältnismäßig, aber sie einführen zu wollen, ohne wenigstens mal über das Gesamtbild der anderen anlasslosen Datensammlungen und der anderen technischen Überwachungspotentiale in ihrer Gesamtheit nachzudenken, zeugt schon von einer bemerkenswerten Ignoranz.
Lizenzen der Bilder: CC BY-SA 2.0 via flickr
Marcus Sümnick -
: Creative-Commons-Lizenzen und Verwertungsgesellschaften
Creative Commons führt das Volk. Bild: Eugène Delacroix. Bearbeitung: Ju gatsu mikka. Lizenz: Creative Commons <a href="https://creativecommons.org/licenses/by-sa/3.0/deed.en">BY-SA 3.0</a>. : Creative-Commons-Lizenzen und Verwertungsgesellschaften Da die EU-Mitgliedsstaaten bis April 2016 Zeit haben, die neue EU-Richtlinie zur kollektiven Rechtewahrnehmung umzusetzen, haben sich Prof. Axel Metzger und Tobias Heinemann in einer gerade erschienenen Analyse den Status Quo und die denkbaren Optionen für die Zukunft angesehen. Es geht dabei vor allem um die Vorgabe der Richtlinie, nach der Urheberinnen und Urheber zukünftig trotz Mitgliedschaft in einer Verwertungsgesellschaft (VG) nicht-kommerzielle Freigaben selbst vornehmen können sollen. Hier fragt sich, ob, wie und durch wen CC-Lizenzen mit der Einschränkung „NC“ eingesetzt werden können, um nicht-kommerzielle Nutzungen zu erlauben.
Kern der Problematik ist nach der Analyse die allumfassende Rechtewahrnehmung, die zumindest in Deutschland mit einer Mitgliedschaft bei Verwertungsgesellschaften meist einher geht. Sie lässt es in der Regel schlicht nicht zu, dass das jeweilige VG-Mitglied parallel auch eigene Lizenzen vergibt. Einzelne Werke ganz aus der VG herauszunehmen, geht aber oft ebenso wenig (siehe auch Beitrag dazu bei irights.info) Allerdings gebe es durchaus Unterschiede zwischen den verschiedenen Werkgattungen. Vor allem bei der Zweitverwertung von Texten sei vieles schon nach heutiger Ausgestaltung des Urheberrechtswahrnehmungsgesetzes (UrhWahrnG) und der Wahrnehmungsverträge der VG Wort möglich, so die Autoren des Papers.
Es wird deutlich, dass dem gegenüber gerade die GEMA (und mit ihr die GVL) besonders auf ausschließliche Wahrnehmung auch für solche Nutzungen setzt, die als nicht-kommerziell angesehen werden können und nach der EU-Richtlinie in Zukunft auch durch die GEMA-Mitglieder in Eigenregie zu erlauben sein sollen. Das Paper benennt auch die dazu von der GEMA immer wieder beschworene Gefahr des „Cherry Picking“. Gemeint ist das Szenario, dass besonders erfolgreiche und damit für die Solidargemeinschaft der GEMA-Mitglieder ertragreiche Musiktitel zukünftig durch die Mitglieder aus dem Repertoire genommen und selbst vermarktet werden.
Erster Exkurs in eigener Sache: Wie bereits in früheren Diskussionen zwischen CC DE und GEMA immer wieder betont wurde, ist alles andere als klar, warum gerade die „Kirschen“, also die erfolgreichen Titel für eine nicht-kommerzielle Freigabe interessant sein sollten. Gerade wenn das Argument stimmen würde, dass eine solche Freigabe dem Verschenken gleichkomme, wie Vertreter der GEMA wiederholt sagten, erscheint ein Herausnehmen aus dem Repertoire wenig sinnvoll zu sein. Wer verschenkt schon gerne seine lukrativsten Stücke? Das Paper von Metzger und Heinemann bietet in diesem Zusammenhang die Erklärungsvariante der GEMA an, dass solch erfolgreiche Stücke dann als kostenlose Zugpferde für Konzertpromotion, Merchandise und ähnliche angedockte Einnahmen der GEMA-Wahrnehmung entzogen werden könnten. Aber auch hier stellt sich die Frage, ob ein Herausnehmen aus dem Repertoire wirklich so viel mehr Publicity bringt (die ja auch bei Verbleib in der GEMA nicht unbedingt gering ist), dass es den Verlust einer Beteiligung etwa an den Radio-Erlösen wirklich lohnt, für die die GEMA dann ja nichts mehr ausschütten würde.
Auch die Autoren des Papers bleiben im Ergebnis eher skeptisch. Sie schließen sich jedoch der Forderung verschiedener VGs an, dass die genaue Bedeutung von „nicht-kommerzielle Nutzung“ genauer definiert werden sollte. Die Richtlinie bleibt an dieser Stelle noch deutlich unklarer als die viel diskutierte NC-Bedingung in den CC-Lizenzen. Auch über letztere wird oft gesagt, sie sei zu ungenau.
Zweiter Exkurs in eigener Sache: Übersehen wird dabei in der Regel, dass die Ungenauigkeit ihren Sinn darin hat, verschiedenen Communities von Kreativen und ihren Nutzern Raum zu lassen, ihre jeweiligen eigenen Normen zur Bedeutung von „kommerziell“ in die Lizenzbeziehungen zwischen Lizenzgebern und ‑nehmern einfließen zu lassen. Die CC-Lizenzen würden insofern auch für VGs ausreichend Raum lassen, ihre jeweiligen Vorstellungen über kommerziell versus nicht-kommerziell innerhalb des vom Lizenztext gesteckten Rahmens (am besten demokratisch) selbst festzulegen. Das wäre allerdings kaum noch möglich, wenn bei der Umsetzung der Richtlinie in deutsches Recht bereits auf gesetzlicher Ebene eine Definition von „nicht-kommerziell“ vorgenommen würde, die genauer und damit enger ist als der in den CC-Lizenzen gesteckte Rahmen. Die Lizenzen würden dann äußerlich mehr erlauben als gesetzlich vorgesehen ist. Da dann massenhaft, nämlich bei allen VG-Mitgliedern, mit einem sogenannten „verdeckten Einigungsmangel“ zwischen Lizenzgebern und Lizenznehmern zu rechnen wäre, könnten CC-Lizenzen nicht verwendet werden, um die nicht-kommerzielle Freigabe im Sinne der Richtlinie praktisch umzusetzen. Es müssten eigene NC-Lizenzen dafür geschaffen werden, im Zweifel also ein europaweiter Flickenteppich. Darauf hat CC DE das Bundesjustizministerium auch bereits im Rahmen einer Anhörung letztes Jahr hingewiesen.
Das Paper weist auf zusätzliche Gründe wie Kündigungsmöglichkeiten bestimmter Online-Nutzungsrechte hin, die nach dem derzeitigen Sachstand gerade der GEMA-eigenen Regeln zu einer Unverträglichkeit mit sowohl der neuen Richtlinie als auch CC-Lizenzen führen. Zudem werden die Unterschiede zwischen Text- und Musikverwertung in Deutschland auch in ihrer historischen Genese beleuchtet. Weiter geht es mit einer Beschreibung der drei CC-Pilotprojekte, die VGs in den Niederlanden, Dänemark und Frankreich gemeinsam mit CC durchgeführt haben. Das Fazit hierzu fällt gemischt aus. Einerseits sei ein Zusammengehen von CC-Lizenzierung und klassischem VG-Betrieb durchaus möglich, wenn alle Beteiligten nur wollen. Andererseits hätten sich( eher weniger VG-Mitglieder an den Pilotprojekten beteiligt (zu diesem Punkt bringt das Paper den immer wieder auftauchenden Hinweis, dass die geringe Beteiligung auch damit zu tun haben dürfte, dass viele entsprechend interessierte Kreative schlicht gar nicht erst in VGs organisiert sind).
Nach einer detaillierten Darstellung der Entstehungsgeschichte der neuen Richtlinie und ihrer Regel zu nicht-kommerzieller Eigenlizenzierung durch Kreative schließt das Paper mit einer Diskussion der Umsetzungsmöglichkeiten. Neben dem Für und Wider einer genaueren Definition von „nicht-kommerziell“ auf gesetztlicher Ebene bzw. eine Ebene tiefer durch die jeweiligen VGs selbst wird auch auf die Erwägungsgründe der neuen Richtlinie verwiesen, die eher für eine Festlegung auf der tieferen Eben sprechen. Auch die erst vor Kurzem in Deutschland entstandene Rechtsprechung zur NC-Klausel von CC-Lizenzen wird vorgestellt. Die Autoren kommen zu dem Schluss, dass die EU-Mitgliedsstaaten aufgrund der Richtlinie verpflichtet seien, den in VGs organisierten Kreativen zudem effektive rechtliche Mechanismen zur Verfügung zu stellen, um die neuen Freiheiten notfalls gegenüber ihrer VG erstreiten zu können.
Zur praktischen Umsetzung im Verhältnis VG zu Mitgliedern zeigt das Paper verschiedene Möglichkeiten auf (von vorn herein limitierte Rechteeinräumung an die VG contra Rückeinräumung der für NC-Freigabe nötigen Rechte nebst Unterlizenzierungsbefugnis) und stellt die berechtigte Frage, ob die nicht-kommerzielle Rechteeinräumung ausschließlich beim Mitglied liegen müsse oder nicht. Kurz wird auch auf den Ansatz der im Aufbau befindlichen neuen VG C3S hingewiesen und darauf, dass dieser sich auf Wahrnehmung einzelner statt aller Werke eines Mitglieds gründet.
Das Paper schließt mit einem Ausblick und der Einschätzung, dass es auch Sache der Rechtsprechung sein wird, den neuen Regelungen klare Formen zu geben. Um hier mitwirken zu können, empfehlen die Autoren den VGs und ihren Mitgliedern, pro-aktiv in Verhandlungen darüber zu treten, wie die relevanten unbestimmten Rechtsbegriffe zu verstehen sein sollen.
Dieser Beitrag erschien zeitgleich im Blog von Creative Commons Deutschland
-
: Angela Merkel erklärt die Vorratsdatenspeicherung und Facebook
: Angela Merkel erklärt die Vorratsdatenspeicherung und Facebook Auf dem evangelischen Kirchentag in Stuttgart hat heute Bundeskanzlerin Angela Merkel über die Digitalisierung diskutiert und dabei auch über die Vorratsdatenspeicherung gesprochen. Es gibt einen rund acht Minuten langen Frage- und Antwortblock von Phoenix zur VDS und zum NSA-Skandal, den das Machtelite-Blog freundlicherweise transkribiert hat. Im letzten Teil erklärt sie, dass Facebook für sie sowas wie ein Auto oder eine schöne Waschmaschine ist. Das erinnert an die ARD-Kinderreporter, denen Guido Westerwelle 2007 erklärte, dass das Internet für ihn wie Hammer und Meißel ist.
Frage: Welche Maßnahmen ergreift die Bundesregierung nach dem Aufkommen des NSA/BND-Skandals?
Merkel: Ja, ähm, erst einmal heißt die Aufgabe, alles aufklären, das heißt, wir arbeiten sehr intensiv mit dem parlamentarischen Untersuchungsausschuss zusammen und, äh, da geht es natürlich um die Frage auch sehr sensibler Daten. Wir alle sind großen Bedrohungen ausgesetzt. Wir wissen, dass durch den Terrorismus, ähm, IS ist eines der Stichworte, leider kommen auch sehr viele Kämpfer aus, ähm, Deutschland und aus Europa. Das heißt, wir können nicht sagen, das ist irgendwas, was weit von uns entfernt ist. Wir alle müssen uns vor terroristischen Anschlägen schützen, und jetzt geht die Frage natürlich, wie passiert das, und da ist die erste Botschaft, man muss mit anderen Nachrichtendiensten auch zusammenarbeiten, daran gibt’s für mich überhaupt gar keinen Zweifel [jemand im Publikum klatscht ein, schwacher Applaus folgt] und auch gerade mit den amerikanischen Nachrichtendiensten. Aber es geht jetzt hier wieder um die Wertmaßstäbe, wie viel muss ich wissen und was muss ich wissen, und dafür brauchen wir klare Regeln, und deshalb müssen wir jetzt erstmal aufklären, was ist in der Vergangenheit geschehen, aber ich muss auch sicherstellen, dass wir weiter kooperieren können. Das heißt, Nachrichtendienste ham’ die Eigenschaft, dass sie manches schon im Geheimen machen, wenn sie alles öffentlich machen, dann können sie keine Schutzfunktionen mehr ausüben, und deswegen haben wir ja auch die Diskussion, was kann rausgegeben werden, was kann in welcher Form rausgegeben werden an sensibelsten Informationen, und da sind wir im Augenblick noch in den Konsultationen, auch mit den Vereinigten Staaten von Amerika. Aber, äh, was ich sagen kann, auch darüber werden wir eine Entscheidung fällen vor der Sommerpause, also, da sind wir noch im Gespräch, aber auch da werden wir eine Entscheidung fällen. Und für mich als Bundeskanzlerin, und das ist nicht immer ganz einfach, heißt es auf der einen Seite, unsere Maßstäbe natürlich, äh, von Freiheit, von personenbezogenem Schutz zu gewährleisten, und das ist natürlich klar, dass wir nich’, ähm, millionenfach Bürger, äh, ausspionieren können, und das ist auch nicht geschehen, das kann man sagen. (…) Für uns ist diese Balance zwischen Sicherheit und Freiheit sicherlich auch stärker auf den individuellen Schutz ausgerichtet, und trotzdem muss ich als Bundeskanzlerin auch sicherstellen, dass wir sicher leben können. Und erfordert sehr viel Abwägung, muss ich sagen, und mit jeder weiteren Methode, wie man auch Nachrichten gewinnen kann, wie auch die Terroristen zum Beispiel untereinander kommunizieren, müssen wir uns immer wieder anpassen, weil wir natürlich neu überlegen müssen, wie findet solch ein Datenaustauch überhaupt statt. [Schnitt mit laut eingeblendetem Applaus]
Frage: Vorratsdatenspeicherung: warum, wieso und wieviel?
Merkel: Wir ham’ uns, äh, dafür entschieden und nach sehr sorgsamer Abwägung, auch nach viel Rechtsprechung, dass wir, äh, für, sehr kurze, äh, Zeiten, ähm, Kommunikationsverkehre speichern, nicht E‑Mails zum Beispiel, aber andere Kommunikationsverkehre um, äh, zum Schluss rausfinden zu können, wenn etwas passiert, zum Beispiel ein terroristischer Anschlag, doch noch ‘ne gewisse Rückverfolgung ermöglichen können. Wir waren früher bei sechs Monaten, wir sind jetzt bei wenigen Wochen. Aber wir glauben, dass das, äh, so der Rat jedenfalls aller Sicherheitsbehörden, richtig und wichtig ist. Also so kurz wie möglich, ich glaub, da ham’ wir nen guten Weg gefunden. So geschützt wie möglich, natürlich nur auf richterliche Anordnung und, äh, nich’ äh, ähm, dass man das dann auch wirklich nutzt, diese Information, da ist, glaub ich, der Rechtsstaat schon sehr, ähm, präzise. Und, ähm, ich glaube oder ich stehe hinter diesem Gesetzgebungsvorhaben, weil wir uns einfach die Möglichkeit offenhalten müssen, wenn etwas Dramatisches passiert, und dass wir dann auch handeln können, und ich würde mich sicherer fühlen, wenn wir ein solches Gesetz haben. Wenn ich das nochmal sagen darf, sollte jeder Einzelne, der jetzt vielleicht gegen die Voratsdatenspeicherung ist, oder wir nennen das jetzt Mindestspeicherfristen, ähm, der sollte noch mal überlegen, was er sonst noch an seinen persönlichen Daten schon alles irgendwo übergeben hat, worüber er sich gar keinen Gedanken mehr macht. Es darf ja auch nicht so sein, ich darf allen alles geben, jedem Unternehmen auf der Welt, mein Einkaufsverhalten, mein Kommunikationsverhalten, mein Essverhalten, alles. Aber wenn der Staat, dafür, dass er das Leben von achtzig Millionen sichern will, auch mal Informationen braucht, auf die er zugreifen kann, auf die er ja gar nicht zugreift, aber nur zugreifen kann, wenn etwas mit einem nicht richtig läuft und der als, sozusagen, Terrorist oder Gefährder der Sicherheit auftritt, dass man sagt, dem Staat geb ich’s nicht, allen anderen geb ich’s, aber dem Staat, der darf da gar nichts mit anfangen. [Applaus]
-
: Zum Snowden-Jubiläum: Strafanzeige wegen Geheimdienst-Überwachung erweitert
: Zum Snowden-Jubiläum: Strafanzeige wegen Geheimdienst-Überwachung erweitert Der Chaos Computer Club und verbündete NGOs haben zu ihrer Strafanzeige von 57 Seiten aus dem Jahr 2014 und der Erweiterung der Vorwürfe heute ein drittes Mal nachgelegt und verlangen vom Generalbundesanwalt, endlich mit Ermittlungen gegen Geheimdienste und Bundesregierung zu beginnen. Es stehe weiterhin im Raum, dass die Bundesanwaltschaft wegen strafbarer geheimdienstlicher Agententätigkeit (nach § 99 Strafgesetzbuch) und Beihilfe dazu sowie wegen Strafvereitelung im Amt tätig werden müsse.
Die Anwälte Hans-Eberhard Schultz und Claus Förster haben daher im Namen der Aktivisten einen weiteren Schriftsatz an die Bundesanwaltschaft gerichtet:
„Wir fordern den Generalbundesanwalt auf, das Ermittlungsverfahren nun endlich einzuleiten, denn die Beweislage ist zumindest für den Verdacht auf strafbare Handlungen erdrückend.“
Generalbundesanwalt Harald Range hatte im Juni 2014 nur ein Ermittlungsverfahren wegen eines Anfangsverdachts in Sachen Abhören des Mobiltelefons von Kanzlerin Angela Merkel eingeleitet, wollte Zeugen vernehmen und Auskünfte anfordern:
„Es liegen greifbare Tatsachen vor, die den Verdacht der möglichen Ausspähung eines Mobiltelefons der Bundeskanzlerin Dr. Angela Merkel durch unbekannte Mitarbeiter US-amerikanischer Nachrichtendienste begründen.“
Die „greifbaren Tatsachen“ mochte der Generalbundesanwalt allerdings nicht erkennen, wenn es um das Ausspionieren der anderen Menschen geht. Vielleicht werden in Karlsruhe ja mittlerweile Zeitungen ausgeliefert, so dass ihm langsam mal ein paar Anhaltspunkte für Straftaten aufgefallen sind.
Wem das alles zu viel Juristendeutsch ist, kann sich das übrigens auch von der heute-show erklären lassen.
2 Jahre Snowden-Enthüllungen: Deine Spende für mehr netzpolitik.org.
-
: Digitale Agenda: Merkels Drohung mit der Breitband-Strategie
: Digitale Agenda: Merkels Drohung mit der Breitband-Strategie Sascha Lobo hat sich eine Image-Broschüre der Bundesregierung zur Digitalen Agenda durchgelesen: Merkels Drohung mit der Breitband-Strategie.
Diese Ankündigung macht wirklich Mut. Anfang 2008 wollte die Regierung Merkel das Problem fehlender Breitbandanschlüsse „binnen 12 Monaten lösen“. 2009 traute sich Merkel zu sagen: „Wir haben uns sehr ambitionierte Ziele gesteckt, nämlich den Zugang zum Breitband erst einmal in der schmalen Variante von einem Megabit…“. Außerdem versprach Merkel drei Viertel der Haushalte 50 Mbit/s bis 2014, „und zwar mindestens“. 2010 bekräftigte sie beide Zahlen, geklappt hat es leider trotzdem nicht.
2011 wiederholte die Bundesregierung, dass 1 Mbit/s für alle ein „ehrgeiziges Ziel“ sei und strich zugleich den Plan für die Breitband-Grundversorgung. 2012 machte Merkel einen Premiumscherz: „Wenn man jemandem mal Ruhe beibringen will, dann könnte man ihn in eine Ecke setzen, wo gerade mal ein Megabit pro Sekunde zur Verfügung steht.“ Und doch erklärte noch 2013 die Bundesnetzagentur, ein Megabit pro Sekunde sei Breitband im Sinne der Bundesregierung. Kurz vor 2014 wurde bekannt, dass die im Koalitionsvertrag ursprünglich vorgesehene Summe von eine Milliarde Euro für den Breitbandausbau in letzter Minute gestrichen wurde. Vor diesem Hintergrund muss das Versprechen von „50 Mbit/s bis 20XX“ betrachtet werden.
-
: Dokumentation: Youtuber – Stars einer neuen Generation
: Dokumentation: Youtuber – Stars einer neuen Generation Am 27. Mai wurde eine Dokumentation der Oscar-nominierten Regisseurin Nanette Burstein über deutsche Youtuber veröffentlicht. Dabei begleitete sie die drei bekannteren YoutuberInnen LeFloid, Wohnprinz und Joyce. Die Youtuber erzählen von ihrer Motivation, ihren Anfängen und wie sich ihre Leben verändert haben.
Letztendlich zeigt die Doku durchaus, welches Potential derartige Formate haben. Gerade LeFloid versucht zumindest, zu Diskussionen anzuregen und gerade eben ein eher junges Publikum für das aktuelle Weltgeschehen zu interessieren. Dadurch ergibt sich auch eine gewisse Verantwortung. Gerade politisch relativ unbedarften Teenagern komplexere politische Zusammenhänge zu vermitteln, erfordert ein gewisses Feingefühl. Damit hatte der Youtuber Dner auch schon seine Probleme, als er in einem seiner Videos offen Sympathien für die AfD bekundete.
Nun ist es aber durchaus so, dass es eben auch Beauty‑, Comedy- und besonders Gaming-Channels gibt wie Sand am Meer. Diese Thematik klingt nur ein Mal ganz kurz an. Auch wird kein Wort darüber verloren, welche Rolle das Internetvermarktungsunternehmen Mediakraft für deutsche Youtuber spielt. Besonders jemand wie LeFloid, der bei Mediakraft unter Vertrag stand, hätte hier Einblicke liefern können.
Auch wenn Youtuber ihr Hobby, wie in der Doku erwähnt, inzwischen professionell betreiben und somit zu ihrem Beruf gemacht haben, wurde wohl nicht verstanden, dass ihr Produkt nicht ganz neu ist. Letztendlich wird auch hier etwas verkauft, das so alt ist wie Popkultur selber: einen Star zum Anfassen. Was früher sogenannte Castingbands waren, sind heute Youtuber, und was die Bravo war, ist heute Youtube.
-
: Wie die Autorisierung von Politiker-Interviews funktioniert
: Wie die Autorisierung von Politiker-Interviews funktioniert Die Süddeutsche Zeitung erklärt anhand eines Merkel-Interviews, wie das mit der Autorisierung von (deutschen) Politiker-Interviews funktioniert: Anmerkungen mit grüner Tinte.
Jetzt beginnt die Autorisierung, ein Verfahren, das es fast nur in Deutschland gibt: Die Politiker können ihre Aussagen präzisieren, streichen, kürzen. Manchmal bleibt vom eigentlichen Gespräch kaum noch etwas übrig. Die Redaktion kann verhandeln, aber die Politiker haben über ihre Antworten das letzte Wort. Im schlimmsten Fall bleibt nur eins: Das ganze Interview wegschmeißen.[…] Aber Merkel ist da keine Ausnahme: Interviews mit deutschen Politikern kommen fast immer länger zurück, als sie die Redaktion verlassen haben. In diesem Punkt liegt zum Beispiel Merkels Vize Sigmar Gabriel weit vor der Kanzlerin. Bei ihm werden aus 300 Zeilen schon mal 450.
-
: Supernerds. Ein Überwachungsabend am 28. Mai
: Supernerds. Ein Überwachungsabend am 28. Mai In zwei Tagen startet im WDR, in Kooperation mit dem Schauspiel Köln und mit der Moderatorin Bettina Böttinger und „Studiogästen“, ein interaktiver Live-Überwachungsabend: Supernerds.
Supernerds. Ein Überwachungsabend.
Die Ankündigung für das Theaterstück, das parallel als Premiere aufgeführt wird, verspricht:
Am 28. Mai um 20:15 Uhr erlebst du, wie leicht es ist, in die Privatsphäre anderer Menschen einzudringen. Und: Du kannst von zu Hause aus den Verlauf des Abends beeinflussen.
Auch im Radio wird ab 20.05 Uhr auf WDR 3 live übertragen, moderiert hier von Max von Malotki.
-
: Gerichtsverfahren nach Snowden
: Gerichtsverfahren nach Snowden Seit am 6. Juni 2013 durch die erste Veröffentlichung von „Top Secret“-Dokumenten durch den damaligen Guardian-Kolumnisten Glenn Greenwald bis dato nur unvollständig bekannte Informationen zu den Überwachungspraktiken der US-Geheimdienste bekanntwurden, haben Juristen und Aktivisten in den folgenden Monaten aufmerksam die Informationen geprüft. Es sind jetzt fast zwei Jahre vergangen, also lohnt sich ein Blick auf die juristischen Folgen der Snowden-Veröffentlichungen.
Schon beginnend mit „Prism“, dem elektronischen Massenüberwachungs- und Data-Mining-Programm der National Security Agency (NSA), ist von verschiedenen Seiten versucht worden, Gerichte anzurufen und so die Sachverhalte aus den Geheimdienstskandalen juristisch aufzuarbeiten. Um den Überblick zu behalten, sind hier die bisher laufenden Verfahren zusammengefasst:
Bild: John Linwood. Lizenz: Creative Commons BY-ND 2.0
Europäischer Gerichtshof für Menschenrechte
Der erste Beschwerdefall vor dem Europäischen Gerichtshof für Menschenrechte in Straßburg, der in Sachen GCHQ zu einem Urteil führen könnte, ist bereits aus dem Jahr 2013: „Privacy not Prism“ (Aktenzeichen: 58170/13). Die Beschwerde richtet sich vor allem gegen die Programme zur Massenüberwachung, die fehlende politische Rechenschaftspflicht der Geheimdienste und die mangelnde gerichtliche und parlamentarische Nachprüfbarkeit ihres Handelns. Sie wurde überhaupt erst möglich, weil Großbritannien seit dem Jahr 1951 die Europäische Menschenrechtskonvention ratifiziert hat. Auf diesen völkerrechtlichen Vertrag beruft sich die Beschwerde, konkret auf Artikel 8:
Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Korrespondenz.
Das Programm „Tempora“, das dem GCHQ den Zugriff auf die Daten der Unterseekabel gibt, haben drei britischen NGOs, nämlich Big Brother Watch, die Open Rights Group und die Schriftstellervereinigung PEN, und ich selbst ins Zentrum der Beschwerde gegen die britische Regierung und den britischen Geheimdienst gestellt. Erfreulicherweise wird der Fall vom Gericht priorisiert eingestuft. Mehr als zwei Dutzend NGOs und weitere Sachverständige gaben schriftlich sog. Interventionen ab, um die Beschwerde zu stützen. Im Februar 2014 ist auch die deutsche Bundesregierung zur Stellungnahme aufgefordert worden, die bis zum 28. April 2014 erfolgen sollte, da ich als deutsche Staatsbürgerin eine der Beschwerdeführerinnen bin. Die Bundesregierung hat allerdings von einer schriftlichen Stellungnahme abgesehen.
Der Gerichtshof hat allerdings trotz der Priorisierung zwischenzeitlich das Verfahren am 11. April 2014 ausgesetzt („adjourned“), um Urteile des Investigatory Powers Tribunal abzuwarten, über deren Fortgang sich das Gericht auch schriftlich informieren ließ. Die britische Regierung hatte den Gerichtshof unterdessen um Rückweisung der Beschwerde gebeten, dem folgte das Gericht aber nicht.
Investigatory Powers Tribunal
Das Investigatory Powers Tribunal (IPT), ein geheimes Gericht, das Fälle untersucht und verhandelt, die gegen die britischen Geheimdienste gerichtet sind, hat in Dezember 2014 ein erstes Urteil gefällt. Angegriffen worden war das Gesetz „Regulation of Investigatory Powers Act“ (RIPA, insbesondere Section 8(4)) und damit die Massenüberwachungspraktiken des GCHQ. Ein Reihe von NGOs, darunter Liberty, Amnesty International und die American Civil Liberties Union (ACLU), wollen sich dagegen zur Wehr setzen, dass ihre Kommunikation im Rahmen des „Tempora“-Programms erfasst wird und auch Daten aus Programmen der NSA durch den GCHQ genutzt werden.
Drei wesentliche Ergebnisse sind aus dem Urteil zu lesen:
- Der britische Zugriff auf geheimdienstliche Daten der NSA ist rechtmäßig, da anderthalb Seiten Regularien im Oktober 2014 bekanntgemacht wurden, die Vorgaben für die Nutzung dieser Daten machen.
- Massenüberwachung ist grundsätzlich nach RIPA 8(4) rechtmäßig.
- Ob dabei die Verhältnismäßigkeit gewahrt blieb, ließ das Gericht offen.
Das innerbritische Geheimgericht IPT hat in einem weiteren Urteil im Februar 2015 festgestellt, dass der Zugriff auf die Millionen „Prism“- und „Upstream“-Daten der NSA, also den Informationen von den Internetkonzernen und den Glasfaser-Abhör-Operationen nicht rechtmäßig war und bis Dezember 2014 nicht hätte durchgeführt werden dürfen. Als Begründung wurde angegeben, dass es vor diesem Zeitpunkt keine Regularien für den Zugriff gegeben hätte. Dem half die britische Regierung wieder dadurch ab, dass sie solche Vorgaben veröffentlichte, und zwar noch während das Gerichtsverfahren im Gange war. Seit Dezember 2014 ist daher die Nutzung der transatlantischen Abhördaten legal. Möglicherweise müssen die vor Dezember 2014 erlangten Daten aber gelöscht werden.
Das IPT hat also zwei Urteile gesprochen, die sich teilweise gegenseitig widersprechen: Während im Dezember 2014 noch kein Verstoß gegen das Recht auf Privatsphäre durch die Massenüberwachung des GCHQ gesehen wurde, entschied dasselbe Gericht im Februar 2015, dass der gesetzliche Rahmen, innerhalb dessen das GCHQ mit Hilfe der NSA private Kommunikationsdaten massenhaft abgreift, sehr wohl gegen Artikel 8 der Menschenrechtskonvention widerspricht. Die britische Regierung versichert übrigens, man würde nur Terroristen jagen und hätte gar keine Zeit, die privaten E‑Mail der ganzen Leute zu lesen.
Der Gang zum Europäischen Gerichtshof für Menschenrechte ist jedenfalls nach den beiden Entscheidungen des IPT nun möglich.
Privacy International betreibt einen dritten Beschwerdefall vor dem IPT, bei dem es um die Hacking-Aktivitäten des GCHQ und der NSA geht. Auch der Chaos Computer Club beteiligt sich an dieser Beschwerde. Dass Schadsoftware in großem Umfang seitens der Geheimdienste verbreitet wird, soll nicht weiter fortgesetzt werden, so die Beschwerdeführer. Auch bei dieser Beschwerde griff die britische Regierung zu ihrer Methode, die Gesetzgebung, die angegriffen wird, einfach während des Gerichtsverfahrens neu zu schreiben. Es geht in diesem Fall um den britischen Computer Misuse Act, der unmittelbar vor der Anhörung am 3. März 2015 umgeschrieben wurde.
Gerichtsverfahren in den Vereinigten Staaten
Bereits am 27. Februar 2013, also wenige Monate vor Beginn der Snowden-Publikationen, hatte der Oberste Gerichtshof eine Klage gegen den Foreign Intelligence Surveillance Act (FISA) abgewiesen. Geklagt hatten Amnesty International, Human Rights Watch und die Schriftstellervereinigung PEN sowie weitere NGOs, da sie sich dagegen zur Wehr setzen wollten, dass FISA den US-Behörden, inklusive der National Security Agency (NSA), ausgesprochen umfangreiche Abhörbefugnisse gibt. Erst nach Beginn der Snowden-Veröffentlichungen sind allerdings die FISA-Geheimgerichte stärker kritisiert und Reformen angemahnt worden. Gefordert werden nun eigentlich selbstverständliche Standards, etwa dass die Interessen der von der Überwachung Betroffenen in den FISA-Gerichtsverfahren auch vertreten werden, dass generell mehr Transparenz zugelassen wird oder dass Betroffene vor normalen Gerichten gegen die geheimen Entscheidungen vorgehen können.
Nach Beginn der Veröffentlichungen aus den Snowden-Papieren erregte ein Urteil Aufsehen, da es Bezug zu den NSA-Skandalen hat: Ein New Yorker Bundesgericht entschied im April 2014, dass die US-amerikanischen Internet-Konzerne gespeicherte Informationen und Nachrichten von ihren Kunden auch dann den einheimischen Behörden zugänglich machen müssen, wenn die Daten außerhalb der USA gehalten werden. Darunter fallen etwa Cloud- oder E‑Mail-Daten, bei denen nun seitens der Behörden darauf verzichtet werden kann, internationale Rechtshilfe in Anspruch zu nehmen, wenn man die Herausgabe fordert.
In einem Interview mit „The Nation“ im Oktober 2014 betont Edward Snowden, dass die anhaltenden Veröffentlichungen und die Kritik an den Gerichten zu einem Umdenken führen könnten und setzt sogar einige Hoffnung in die Gerichte:
Bild: Tony Webster. Lizenz: Creative Commons BY 2.0
Now, over the last year, we have seen – in almost every single court that has had this sort of national-security case – that they have become markedly more skeptical. People at civil-liberties organizations say it’s a sea change, and that it’s very clear judges have begun to question more critically assertions made by the executive.
Das massenhafte Überwachen der Telefonleitungen durch die NSA nach Section 215 des US Patriot Acts ist im Mai 2015 tatsächlich erstmalig von einem Bundesgericht für rechtswidrig erklärt worden. Snowden sollte also vorerst Recht behalten: In der Tat hätten die auf ihn zurückgehenden Veröffentlichungen Einfluss auf das Urteil gehabt, bis hin zu der Aussage, die Snowden-Leaks „led to this litigation“.
Die Richter stoppen das Datenhorten aber nicht sofort, da die Neuregelung ohnehin bevorsteht. In Washington, DC, und in Kalifornien stehen allerdings noch weitere Entscheidungen von Bundesgerichten aus, bei denen vor dem Auslaufen von Section 215 am 1. Juni 2015 aber nicht mehr mit Urteilen zu rechnen ist. Am 23. Mai 2015 kurz vor Mitternacht scheiterte die unveränderte Verlängerung von Section 215 mit einem sehr knappen Votum 45 gegen 54, obwohl die Panikmache davor erheblich war.
Bild: Christine und Hagen Graf. Lizenz: Creative Commons BY 2.0
Juristisches Vorgehen gegen den BND
Niko Härting versuchte schon im Februar 2013 den Weg über die Verwaltungsgerichtsbarkeit gegen den Bundesnachrichtendienst (BND). Er wollte dagegen vorgehen, dass beim anlassunabhängigen Durchforsten von 37 Millionen E‑Mails nach Schlüsselwörtern nur lachhafte zwölf Nachrichten „nachrichtendienstlich relevant“ gewesen waren.
Härting betrachtete diese Massenüberwachung als unverhältnismäßig und illegal, sein eigener vertraulicher anwaltlicher E‑Mail-Verkehr sei möglicherweise betroffen. Das Verwaltungsgericht lehnte die Klage allerdings aus formalen Gründen ab, die bloße Möglichkeit, dass der Anwalt und seine Kommunikation von der Massenrasterung des BND getroffen sein könnte, reiche nicht aus.
Sonstige gerichtliche Streitigkeiten
Bild: martingerz2. Lizenz: Creative Commons BY-SA 2.0
Im Deutschen Bundestag versuchte die Opposition, das Bundesverfassungsgericht anzurufen, um zu erzwingen, dass Edward Snowden vor dem NSA-BND-Untersuchungsausschuss als Zeuge gehört wird. Der Zweite Senat sah sich als nicht zuständig an und lehnte die Beschwerde daher als unzulässig ab.
Die Philosophische Fakultät hatte den Plan, die Ehrendoktorwürde an der Universität Rostock an Edward Snowden zu verleihen, also einen Dr. h. c. (für honoris causa, „ehrenhalber“). Der Rektor der Uni, Wolfgang Schareck, hatte das Verfahren allerdings gestoppt. Der Fakultätsrat hat beim Schweriner Verwaltungsgericht daraufhin Klage eingereicht.
-
: Sensburg will geplante Vorratsdatenspeicherung ausweiten
Patrick Sensburg. Bild: MK Hoffe. Lizenz: CC <a href="https://creativecommons.org/licenses/by-sa/3.0/de/">BY-SA</a>. : Sensburg will geplante Vorratsdatenspeicherung ausweiten Dem NSAUA-Vorsitzenden Patrick Sensburg und seinem Kollegen von der CSU, Volker Ullrich, geht die geplante Vorratsdatenspeicherung offenbar nicht weit genug.
In einem Artikel der aktuellen Ausgabe der Deutschen Richterzeitung haben die beiden darüber geschrieben, wie genau die bisherige Planung aus CDU/CSU-Sicht juristisch weitergedacht werden soll. Das beschreibt ein Bericht der Digitalen Gesellschaft. Offenbar befindet sich darin sogar ein Gesetzesentwurf für die Weiterentwicklung des noch nicht verabschiedeten Gesetzes. Geplant sind demnach:
- eine Ausweitung der Speicherfrist für Standortdaten auf zehn Wochen,
- keine Benachrichtung der Betroffenen vor Abruf ihrer VDS-Daten,
- eine Ausweitung des Straftatenkatalogs für den Zugriff auf die VDS-Daten sowie
- eine Zugriffsbefugnis für Geheimdienste ohne jegliche Tatbestandsvoraussetzungen.
Dass die deutschen Nachrichtendienste unkontrolliert agieren, lässt sich z. B. in schöner Regelmäßigkeit im NSA-Untersuchungsausschuss beobachten. Das sollte auch der Vorsitzende mitbekommen. Weswegen ausgerechnet er die Ausweitung eines Instrumentariums anstrebt, das sensibelste Grundrechte verletzen wird? Das wüssten wir auch gerne. Die SPD darf sich übrigens gerne als Retterin der Grundrechte in letzter Minute erweisen.
-
: Vorratsdatenspeicherung und Massenüberwachung in der Bundespressekonferenz
: Vorratsdatenspeicherung und Massenüberwachung in der Bundespressekonferenz Nachdem der erste Vorschlag für die gesetzliche Neuregelung der Vorratsdatenspeicherung nun vorliegt, wurden heute in der Bundespressekonferenz einige Fragen zu diesem Referentenentwurf gestellt. Seit letzten Freitag ist der Gesetzesentwurf in den Ressorts in der Abstimmung und stößt bereits auf breite Ablehnung. Tilo Jung und Falk Steiner haben vor allem beim Bundesjustizministerium nachgebohrt.
Falk Steiner warf die interessante Frage auf, wie die Bundesregierung damit umgehen wolle, wenn etwa ein Unternehmen wie die britische Vodafone, die in Deutschland Telekommunikationsleistungen erbringt, die verpflichtend gespeicherten Daten der Vorratsdatenspeicherung nutzen würde und etwa nach britischem Recht gezwungen sei, die Daten an dritte Bedarfsträger, etwa den GCHQ, herauszugeben.
Die befragten Sprecher der Ministerien machen dazu keinerlei inhaltliche Angaben und verweigern den Kommentar oder weitergehende Auskünfte. Es sei schließlich
gute Übung, über Gesetzentwürfe, die in der Ressortabstimmung sind, nicht im Detail Stellung zu nehmen.
Ob also beispielsweise ein Unternehmen wie Vodafone die Datenbanken auch dritten Interessierten öffnen wird oder nach Maßgabe anderer Jurisdiktionen sogar muss, bleibt offen. Man will sich offenbar gar nicht erst darauf einlassen, die Problematik der Geheimdienstzugriffe zusammen mit der Vorratsdatenspeicherung zu diskutieren. Denn auch für den Zugriff auf die Vorratsdaten durch den BND stellen sich Fragen.
Folgende Problembereiche wurden außerdem angesprochen
- Einhaltung der Grundrechte,
- der Straftatbestand der Datenhehlerei und die Kriminalisierung journalistischer Tätigkeiten,
- die Eilbedürftigkeit bei der Gesetzgebung.
Was die Frage der Datenhehlerei angeht, liest die Bundesregierung offenbar hier mit. Man weist die „Gerüchte, die im Netz kursieren“ zurück. Man schließe nur eine „Strafbarkeitslücke“.
Was die Grundrechte angeht, versicherte die Bundesregierung: Man arbeite die aus den Urteilen vorgegebenen Grenzen „haarklein ab“. Massenüberwachung sei das nicht. Man speichere insgesamt „weitaus weniger Daten“ mit „weitaus kürzeren Speicherfristen“, verglichen mit früheren Regelungen. Das ist natürlich kein Kunststück, schließlich waren sowohl das deutsche Gesetz als auch die europäische Richtlinie rechtswidrig.
-
: re:publica 2015 – Funktioniert Community-finanzierter Journalismus in Deutschland?
: re:publica 2015 – Funktioniert Community-finanzierter Journalismus in Deutschland? Auf der re:publica 2015 gab es eine Diskussion über „Funktioniert Community-finanzierter Journalismus in Deutschland?“ Mit dabei waren Andre Meister (netzpolitik.org), Ines Pohl (taz), Sebastian Esser (krautreporter.de) und Stefanie Lohaus (missy-magazine), moderiert von Friedemann Karig.
Die einstündige Diskussion gibt es bei Youtube:
Die Frage nach einer nachhaltigen Finanzierung von journalistischen Onlineangeboten treibt seit Jahren viele an. Während der Öffentlich-Rechtliche Rundfunk von uns allen finanziert wird, aber im Netz nicht soviel machen darf, setzen viele private Angebote auf klassische Werbung und/oder Paywalls.
Dass ein dritter Weg im Journalismus durch freiwillige finanzielle Unterstützung einer Community funktionieren kann, zeigt anschaulich die TAZ seit über 30 Jahren. Und auch im Netz gibt es immer mehr Experimente, die eigene Leserschaft durch Crowdfunding und/oder Leserfinanzierung einzubinden.
Was sind die bisherigen Erfahrungen bei diesem Modell? Gibt es Fallstricke und Herausforderungen? Das und mehr wollen wir in einer Runde mit einigen Protagonisten dieses Finanzierungsmodells diskutieren. Mit dabei sind die TAZ, die Krautreporter, Missy Magazine und netzpolitik.org. Und Ihr im Publikum als Leser/innen, Beobachter/innen, Kritiker/innen und Mitfinanzierer/innen.
-
Bestandsdatenauskunft 2014: Schon wieder wurde alle fünf Sekunden abgefragt, wem eine Telefonnummer gehört
Coverbilder des Jahresberichts der Bundesnetzagentur. Bestandsdatenauskunft 2014: Schon wieder wurde alle fünf Sekunden abgefragt, wem eine Telefonnummer gehört Auch im letzten Jahr haben fast 150 staatliche Stellen ganze sieben Millionen mal abgefragt, wem eine Telefonnummer gehört. Das geht aus den Zahlen zur automatischen Bestandsdatenauskunft hervor, welche die Bundesnetzagentur veröffentlicht hat. Noch viel häufiger dürften die Abfragen von IP-Adressen passieren, davon gibt es aber leider keine Statistiken.
-
: Extra 3 extra: Geheimdienste außer Kontrolle
: Extra 3 extra: Geheimdienste außer Kontrolle Extra 3 berichtete am Mittwoch u. a. über „Geheimdienste außer Kontrolle“.
-
: BND-NSA-Koalitionsstreit: Kauder macht den Pofalla und sieht „keinen Skandal“
: BND-NSA-Koalitionsstreit: Kauder macht den Pofalla und sieht „keinen Skandal“ Volker Kauder, Vorsitzender der Unionsfraktion im Bundestag, hat der „Welt“ ein Interview gegeben. Er kommentiert darin den NSA-BND-Skandal und beklagt das Verhalten des Koalitionspartners: „Die Verlautbarungen der SPD sind unfair“.
Kauder findet die aktuelle Diskussion um die Geheimdienste „wirklich schlimm“, insbesondere weil niemand die Untersuchungsergebnisse abwarte und dauernd geheime Fakten und Dokumente öffentlich würden. Er gibt sich aber jetzt schon sicher, der „Vorwurf einer massiven Ausforschung von deutschen Unternehmen“ würde sich „nicht erhärten“, obwohl er ansonsten mehrfach betont, dass die Aufklärung ja erst anlaufe.
Damit zielt er vor allem auf den Koalitionspartner SPD, der die Bundeskanzlerin kritisiert hatte und in Sachen technisierter Überwachung dazu neigt, nur die eigenen Geheimdienste mitlauschen zu lassen, nicht aber „fremde“. Eine Einschränkung der Zusammenarbeit zwischen BND und NSA strebt Kauder indes explizit nicht an, gegen eine „bessere Ausstattung des BND“ hätte er natürlich nichts einzuwenden.
Er wiederholt die Mär vom „ganz zentralen Beitrag zum Schutz der Menschen vor dem internationalen Terrorismus“ (wieder inklusive der Sauerland-Gruppe), die er den Geheimdiensten zuschreibt. Ohnehin spionierten sie doch nur „in Krisen- und Kriegsgebieten, nicht in Europa“. Entsprechend versteht er auch die ganze Aufregung um die Selektoren nicht, die ja entweder absichtlich und willfährig oder mangels Kompetenz und damit fahrlässig im Auftrag der NSA benutzt wurden:
Ich sehe nach den derzeitigen Erkenntnissen keinen Skandal, auch wenn es Versäumnisse gegeben haben könnte, weil nicht alle unzulässigen Anfragen entfernt wurden.
Ob man diese Selektoren der NSA den zuständigen parlamentarischen Kontrolleuren aushändigen sollte, beantwortet Kauder mit der Bemerkung, dass dies nicht in der Hand der Bundesregierung läge:
Wenn die Amerikaner nicht dazu bereit sind, wird die Bundesregierung es schwer haben, die Anfrage positiv zu beantworten.
Um die Antwort auf die Frage, wer denn die Verantwortung dafür habe, wenn der BND der NSA unter die Arme greift beim Ausspionieren deutscher, französischer und europäischer Firmen und Behörden, drückt sich Kauder allerdings und verweist wieder darauf, dass die Aufklärung erst laufe. Die ganze Misere der Geheimdienstkontrolle bringt er aber (vermutlich ungewollt) auf den Punkt:
Die Nachrichtendienste [stehen] selbstverständlich unter der Aufsicht des Kanzleramtsministers oder eines entsprechend beauftragten Beamten. Außerdem haben wir das Parlamentarische Kontrollgremium. All diese sind aber darauf angewiesen, dass die Dienste besondere Vorkommnisse melden.
Genau, und wenn es nicht gerade in der Zeitung steht oder im NSA-BND-Ausschuss herauskommt, dann erfahren die Verantwortlichen auch nichts von „Vorkommnissen“. Der Vorwurf an die Bundesregierung allerdings, sie habe den Bundestag absichtlich über die ihr mindestens teilweise bekannten „Vorkommnisse“ getäuscht, wird gar nicht angesprochen.
Befragt nach dem „No-Spy-Abkommen“ und den offenbar wahrheitswidrigen Aussagen von Ronald Pofalla, stellt sich Kauder demonstrativ hinter seinen Parteigenossen:
Ich habe keinen Anlass, an Ronald Pofallas damaliger Aussage zu zweifeln.
Aber vielleicht versteht man Kauder, bekennender Christ und der evangelikalen Bewegung nahestehend, auch nur falsch. Denn in Bezug auf Macht, Politik und Glauben postulierte er im „Spiegel“ (25/2014, S. 50):
Wir sind hier nur für die vorletzten Dinge zuständig. Die letzten Dinge liegen in der Hand Gottes.
Die Kontrolle der Geheimdienste wohl auch, vielleicht hilft ja Beten.
-
: Keine Antworten der Festplatten-Hersteller auf NSA-Infiltration
: Keine Antworten der Festplatten-Hersteller auf NSA-Infiltration Einige werden sich erinnern: Dieses Jahr wurde im Februar über eine Analyse der IT-Firma Kaspersky Lab berichtet, in der Details nachzulesen waren, wie die Firmware von Festplatten großer Hersteller gezielt infiltriert worden war. Das US-Spionageprogramm lief unter dem Namen The Equation Group.
Wir haben bei den Festplatten-Herstellern nachgefragt, ob und wie sie auf die Veröffentlichungen reagieren, was sie zu tun gedenken und ob sie beispielsweise über signierte Firmware nachdenken. Folgende Fragen wurden am 11. März allen betroffenen Herstellern (teilweise in englischer Übersetzung) geschickt:
- Welche Reaktion sind seitdem seitens Ihres Unternehmens eingeleitet und welche Schritte im Nachgang der Berichterstattung unternommen worden?
- Bietet Ihr Unternehmen Detektionswerkzeuge an, um Betroffenen zu erlauben, ihre Festplatten zu checken?
- Werden Sie in Zukunft Produkte mit signierter Firmware anbieten?
- Planen Sie die Einführung eines mit der Hardware verbundenen Verifikationsverfahrens, das verhindert, dass Firmware, die nicht von Ihnen kommt, auf Ihren Festplatten landet?
- Wenn ja, wird es dafür Audits geben?
- Haben Sie Ihre Sicherheitsmechanismen bei der Entwicklung verändert, um ein Pre-exploiting ab Werk zu verhindern?
Außerdem haben wir uns mit weiteren Fragen auch an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gewandet. Die zusätzlichen Fragen lauteten:
- Hat sich das BSI einen Überblick verschafft, ob und welche informationstechnischen Systeme in Behörden betroffen waren oder sind?
- Was empfiehlt das BSI Betroffenen?
Letztlich geht es um Antworten auf die Fragen, was angesichts der Veröffentlichung eigentlich die Optionen der normalen Nutzer sind. Und wie lässt sich die Benutzung einer infiltrierten Festplatte verhindern?
Festplatte. Quelle: Gatis Gribusts CC BY-NC 2.0
Angefragt worden waren neben dem BSI die Unternehmen Micron, Western Digital, Seagate, Toshiba und Hitachi, die allesamt in dem Kaspersky-Bericht namentlich erwähnt worden waren. Wir haben in einigen Fällen nach einem Monat (am 13. April) ein zweites Mal gefragt, ob wir noch Antworten auf unsere Fragen erhalten werden.
Antworten der Festplatten-Hersteller
Micron, Hitachi und Western Digital haben auch auf mehrmalige Nachfrage keinerlei Antworten gesendet, auch keine kopierten Standardsätze. Nicht mal den Mailerhalt mochten die Unternehmen bestätigen.
Seagate antwortet unmittelbar mit einem kurzen, eher generischen Statement:
Seagate has no specific knowledge of any allegations regarding third-parties accessing our drives. Seagate is absolutely committed to ensuring the highest levels of security of the data belonging to our users. For over seven years Seagate has been shipping drives offering industry-leading levels of self encryption, while putting in place secure measures to prevent tampering or reverse engineering of its firmware and other technologies.
Sie wissen von nichts und sind auf keinen Aspekt der Fragen eingegangen.
Toshiba gab sich da etwas mehr Mühe und versprach immerhin, die Fragen weiterzuleiten. Deren Hauptquartier in Japan mochte jedoch kein offizielles Statement abgeben und meldete sich am 26. März mit dem Hinweis zurück, nicht detailliert auf unsere Fragen eingehen zu wollen. Man übermittelte nur folgende Antwort:
Toshiba has no knowledge of such spyware, and does not know if the report is accurate. Toshiba has not provided our HDD or SSD source code to government agencies in support of any cyber-espionage efforts. Toshiba is continuing to investigate this matter. We continue to operate under the principles of integrity and compliance and are committed to supply safe, reliable and high quality products.
Man weiß also auch von nichts, wird aber in dieser Sache nachforschen. Das Ergebnis dieser Nachforschungen haben wir einige Wochen später erfahren wollen, woraufhin wir am 8. Mai folgendermaßen beschieden wurden:
Toshiba has no additional comment on this.
Sämtliche Hersteller sehen also offenbar keine Veranlassung, auch nur teilweise auf die Fragen einzugehen.
Antworten des BSI
Das BSI ließ sich Zeit für die Antworten, schickte auf weitere Nachfrage am 16. April dann aber folgende Antwort, die im Unterschied zu allen Festplatten-Herstellern Hand und Fuß hat und tatsächlich auf die inhaltlichen Fragen einging. Auf die Frage, ob das BSI einen Überblick hätte, ob und welche informationstechnischen Systeme in Behörden betroffen waren oder sind und was es (potentiell) Betroffenen empfiehlt, erklärt das Bundesamt:
Eine Untersuchung auf den sogenannten Root-Cause (also die infizierte Firmware) ist in großen Netzwerken von Unternehmen und Behörden nicht praktikabel. Stattdessen wertet das BSI Anomalien im Verkehr der Regierungsnetze aus, um etwaige Datenabflüsse oder Steuerungskommandos an oder von infizierten Systemen zu identifizieren. Bisher gab es keinerlei Hinweise auf betroffene Systeme in den Regierungsnetzen. In einem konkreten und begründeten Verdachtsfall können sich Behörden an das BSI wenden, um gegebenenfalls in Zusammenarbeit eine individuelle Untersuchung einzuleiten.
Ob das BSI nun Änderungen bei der Prüfung von Computer-Komponenten in Reaktion der von Kaspersky beschriebenen Angriffe vornimmt oder ob es Warnungen ausspricht, und wenn ja, welcher Art, wollten wir ebenfalls wissen. Man antwortet leicht ausweichend und verweist auf die BSI-typische Arbeitsweise:
Im BSI werden Computer-Komponenten im Rahmen eines Zertifizierungs- oder Zulassungsverfahrens bei entsprechender Beantragung untersucht. Darüber hinaus können Untersuchungen in konkreten, individuellen Verdachtsfällen im Bereich Sabotage/Spionage initiiert werden. Es findet allerdings keine flächendeckende proaktive Überprüfung von Standard-Computer-Komponenten statt. Der von Kaspersky beschriebene Angriff muss nicht auf Festplatten beschränkt sein. Die Abwehr derart komplexer Angriffsmuster erfordert grundlegende Änderungen in den Sicherheitskonzepten in vielen Bereichen. Ob dies praktikabel ist, muss sich noch zeigen. Die von Kaspersky Labs veröffentlichten Signaturen wurden in die Sicherheitskomponenten der Regierungsnetze eingepflegt.
Wie das BSI die Gefahr des Pre-exploiting ab Werk sieht und welche Sicherheitsmechanismen bei der Entwicklung es empfiehlt, um ein Pre-exploiting ab Werk zu verhindern, haben wir auch gefragt. Das BSI stellt hier das erhebliche Entdeckungsrisiko in den Vordergrund:
Das Pre-exploiting ab Werk ist das Szenario, das am wenigsten wahrscheinlich ist, da es letztlich mit einem ungewollt hohen Entdeckungsrisiko verbunden ist. Sollte es dem Angreifer gelingen, dem Hersteller eine mit gültiger Signatur versehene, modifizierte Firmware unterzuschieben, ist eine Detektion extrem schwer: Alle Firmwarevarianten aus vermeintlich sauberen Quellen wären ebenfalls verseucht, so dass die Manipulation durch Vergleich aus verschiedenen Quellen nicht mehr entdeckt werden könnte. In einem solchen Fall bliebe nur noch die Analyse der Firmware, die ohne nähere Anhaltspunkte eine extrem große Herausforderung darstellt. Nach aktuellem Erkenntnisstand wahrscheinlicher ist ein nachträgliches Einbringen der Schadfunktionen. Dieses Risiko kann durch sichere Lieferketten deutlich reduziert werden.
Wie dieses Risiko durch sichere Lieferketten deutlich reduziert werden kann, bleibt aber das Geheimnis des BSI.
Ein Geheimnis für das BSI selbst ist es, ob und welche Reaktionen seitdem seitens der namentlich genannten Festplatten-Hersteller eingeleitet und welche Schritte im Nachgang der Berichterstattung unternommen wurden. Ob Detektionswerkzeuge angeboten werden, um den Kunden zu erlauben, ihre Festplatten zu checken, bleibt unklar. Zu beidem erklärt das BSI:
Hierzu ist dem BSI nichts bekannt.
Gegen Festplatten-Produkte mit signierter Firmware hat das BSI indessen nichts:
Das BSI befürwortet den Einsatz signierter Firmware, da auf diese Weise die nachträgliche Manipulation extrem erschwert wird. Zudem wird der Einkauf von IT-Komponenten deutscher Hersteller favorisiert.
Das Bevorzugen deutscher Hersteller dürfte dank der Promiskuität des BND leider keinen Mehrwert liefern.