Deutschland
-
: Bundesregierung: Geheime Nebenabrede zur Vorratsdatenspeicherung ist nicht geheim, nur „nicht-öffentlich“
: Bundesregierung: Geheime Nebenabrede zur Vorratsdatenspeicherung ist nicht geheim, nur „nicht-öffentlich“ Wir hatten am Dienstag die geheime Nebenabrede zur Vorratsdatenspeicherung öffentlich gemacht und zum Selberlesen bereitgestellt. Die Bundesregierung muss nun zugeben, dass es diese Nebenabrede gibt, und zieht als Ausrede ein „überspezifisches Dementi“ aus dem Ärmel.
Denn in der Bundespressekonferenz wurde das so hingedreht, dass diese geheime Nebenabrede zwar existiert, aber es gar keine geheime Nebenabrede sei, sondern eine nicht-öffentliche Nebenabrede.
Tilo Jung befragte in der BPK zuerst das Bundesjustizministerium zu der Nebenabrede zur Vorratsdatenspeicherung, deren Existenz in der vergangenen Woche und auch am Montag durch die mutmaßliche Autorin ebenjener Nebenabrede, Anne Zimmermann, bestritten wurde. Sie müsste das allerdings gewusst haben, sofern sie nicht unterbewusst am Rechner tippert. Vom Justizministerium hieß es erst nur:
Das kann ich Ihnen nicht bestätigen.
Nicht-öffentlich ist ja nicht gleich geheim
Aber es sprang Herr Dimroth vom Innenministerium in die Bresche:
Ich darf ergänzen: Sie hatten in den vergangenen Sitzung sowie heute nach geheimen Nebenabreden gefragt. Es gibt keine geheimen Nebenabreden. Das ist damals genauso richtig gewesen wie heute. Der wesentliche Teil Ihrer Frage, der die Antwort damals genauso richtig macht wie heute, ist der Teil geheim. Es gibt keine geheime Nebenabrede.
„Geheim“ ist im Innenministerium offenbar recht eng definiert, denn auf nochmalige Nachfrage erklärt Dimroth:
Entschuldigung, nicht-öffentlich ist nicht gleich geheim. Ich würde jetzt doch gerne ins Klein-Klein gehen. Nicht-öffentlich ist ja nicht gleich geheim. Es gibt natürlich eine Reihe von Abreden zwischen jedermann, die deswegen noch lange nicht geheim sind. Das ist offensichtlich.
Offensichtlich ist doch vielmehr, dass der Inhalt der Verabredung, die hintenrum getroffen wurde, nicht zugegeben oder diskutiert werden sollte, um den Anschein nicht zu zerstören, der mantraartig betonte „Richtervorbehalt“ würde schon verhindern, dass die Verkehrsdaten in großem Umfang benutzt werden.
Durch eine Wiedereinführung der Vorratsdatenspeicherung wird absehbar die reale Nutzbarkeit der bereits heute leicht zugreifbaren Bestandsdaten ganz erheblich erhöht und ohne richterliche Anordnung zur umfänglichen Nutzung freigegeben. Es können auch zusätzliche Auskünfte gegeben werden, die erst wegen der verpflichtenden Vorratsdatenspeicherung möglich werden, sonst aber scheitern würden.
Nochmals nach der Existenz einer „nicht-öffentliche Nebenabrede“ gefragt, räumt Dimroth dann doch ein:
Es gibt die Verabredung, dass für die Bestandsdatenauskunft das gilt, was schon immer gilt.
In der Sache bestätigt die Bundesregierung unsere Darstellung
Dimroth versucht aber auch, den Sachverhalt zu erklären, es sei nämlich etwas anderes, ob man auf die Vorratsdaten direkt zugreift oder nur von einem „mittelbaren Zugriff auf Vorratsdaten durch die Unternehmen“ spricht. Denn:
Die Verkehrsdaten werden bei diesem Vorgang nicht verbeauskunftet, sondern die Verkehrsdaten werden dafür genutzt, dass der jeweilige Telekommunikationsunternehmer aufgrund der Zuordnung der dynamischen IP-Adresse in die Vergangenheit in der Lage ist, den hinter dieser dynamischen IP-Adresse zu einem bestimmten Zeitpunkt stehenden Nutzer zu identifizieren und zu beauskunften.
Man gibt die Verkehrsdaten der Kommunikation also nicht heraus, sondern nutzt sie nur, um die zugehörigen Bestandsdaten zu finden. In der Sache bestätigt Dimroth unsere Darstellung: Die Bundesregierung plant, die Vorratsdaten zur „Beauskunftung“ von Bestandsdatenabfragen nutzen lassen – ohne Richtervorbehalt.
Er bezieht sich zur Begründung auf die Entscheidung des Bundesverfassungsgerichts zur Vorratsdatenspeicherung und empfiehlt „das mal nachzulesen“. Was Dimroth dabei unterschlägt und ihm selbst zur Lektüre empfohlen werden kann, ist eine spätere Entscheidung aus Karlsruhe (Leitsatz 1, Rn. 110 sowie im Detail Rn. 116), in der klargestellt wird, dass eine mittelbare Nutzung von Vorratsdaten sehr wohl ein Eingriff in Artikel 10 GG darstellt.
Den Überwachungsapologeten, die immer so gern auf das Urteil aus Karlsruhe verweisen, sei nochmal die Passage ins Gedächtnis gerufen, in der die Richter daran erinnern, „dass nicht jede Maßnahme, die für die Strafverfolgung nützlich und im Einzelfall auch erforderlich sein kann, verfassungsrechtlich zulässig ist“. Oder von Vorteil für eine Gesellschaft, deren Miteinander in digitalisierter Form abgebildet ist.
Hier ist der Ausschnitt. Danke an Tilo Jung!
-
: Antworten der Bundesregierung zur Vorratsdatenspeicherung
: Antworten der Bundesregierung zur Vorratsdatenspeicherung Die Bundesregierung hat sich zu ein paar Antworten (pdf) bequemt, die auf eine parlamentarische Anfrage der Linken-Fraktion im Bundestag zurückgehen. Es ging um die „Pläne zur Erarbeitung einer neuen Richtlinie zur Vorratsdatenspeicherung“ (BT-Drucksache 18/4518, pdf). Eigentlich wären die Antworten bis zum Montag, den 13. April 2015, fällig gewesen, doch die Regierung erbat sich einen Aufschub bis 24. April.
Im Nachhinein ist diese Bitte um Fristverlängerung leicht zu erklären, am 15. April fanden ja die beiden Pressekonferenzen von Justizminister Heiko Maas und Innenminister Thomas de Maizière mit der Veröffentlichung der Leitlinien mitsamt geheimer Nebenabrede statt. Man wollte der Überraschung mit dem neuen Vorpreschen zur gesetzlichen Regelung der Vorratsdatenspeicherung wohl nicht vorgreifen.
Jan Korte, MdB mit Schwerpunkt Innenpolitik und Datenschutz und einer der Fragesteller, bemängelt daher das Übergehen des Parlaments:
Die Bundesregierung hat der eigenen PR ganz offensichtlich einen höheren Stellenwert eingeräumt als dem Fragerecht des Parlaments.
Aus den Antworten der Regierung geht hervor, dass sie davon ausgeht, dass die in den Leitlinien skizzierten Regelungen zur Speicherung der Verkehrs- und Standortdaten sowohl den Vorgaben aus Karlsruhe als auch dem Urteil des EuGH gerecht werden. Sie stehe auch in Europa einer Einführung „offen gegenüber“, wenn eine Regelung ebenfalls diesen Vorgaben entsprechen würde. Konkrete Vorschläge aus Europa seien der Regierung aber nicht bekannt.
Die Linksfraktion möchte gern wissen, ob denn der Regierung neue Erkenntnisse vorlägen, die einen „schlüssigen Nachweis für die Erforderlichkeit der Vorratsdatenspeicherung führen“ könnten, und welche das seien. Darauf antwortet die Bundesregierung erst gar nicht, sondern verweist auf das Urteil des Bundesverfassungsgerichtes aus dem Jahr 2010:
Das Bundesverfassungsgericht hat entschieden, dass der Gesetzgeber eine Speicherung von Telekommunikationsdaten als erforderlich beurteilen kann.
Gefragt war allerdings nach neuen Erkenntnisse, die offenbar nicht vorliegen.
Welche Regelungen denn die Bundesregierung für geeignet ansehe, um den Zugriff auf die Vorratsdaten nicht zu einem alltäglichen Standardermittlungsinstrument verkommen zu lassen, wie ein Gutachten des Max-Planck-Instituts nahelegt. Sie bleibt auch hier eine konkrete Antwort schuldig und verweist nur auf die Abrufregelungen:
Nur wenn die engen Voraussetzungen für einen Abruf im konkreten Einzelfall vorliegen, ist der Abruf zulässig.
Wie eng diese Voraussetzungen tatsächlich ausfallen, wird erst der Gesetzentwurf und in der Folge die Abrufpraxis zeigen. Und als „Türöffner“ für längere Speicherfristen sieht die Bundesregierung die momentan vorgeschlagenen zehn Wochen natürlich nicht, betont sie.
-
: „Neue Erkenntnisse“ der Bundesregierung über den BND
: „Neue Erkenntnisse“ der Bundesregierung über den BND Ohne vorher viel verraten zu wollen: Die Bundesregierung hat gradezu bahnbrechende neue Erkenntnisse über den BND gewonnen. Eines davon wollen wir schon verraten, den Rest müsst ihr Euch selber anschauen. Es gab beim BND
organisatorische Defizite in irgendeiner Form.
Wer hätte das geahnt?
Wie der Unterabteilungsleiter des BND (namens W. K.) im Herbst 2014 im BND-NSA-Ausschuss erklärte, werden neben den aktuell in Rede stehenden 40.000 Selektoren ja auch noch um die 500 Millionen Metadaten monatlich vom BND an die NSA geschickt. Was da konkret die „organisatorischen Defizite in irgendeiner Form“ sind, geht die Millionen Betroffenen schlicht etwas an.
Aber seht selbst, wie auskunftsfreudig die Bundesregierung bei der Bundespressekonferenz ist. Dank an Tilo Jung für das Video!
-
: Bundesregierung zum NSA-BND-Skandal: „Nichts hinzuzufügen“
: Bundesregierung zum NSA-BND-Skandal: „Nichts hinzuzufügen“ Seit nicht mehr zu leugnen ist, dass die NSA mit Hilfe der BND-Handlanger mit tausenden Selektoren, die inhaltlich Industriespionage und das Ausspähen politischer und behördlicher Daten nahelegen, deutsche und europäische Datenströme durchforstete, warten alle gespannt auf die Konsequenzen. Denn da es auch um die Spionage etwa gegen EADS und andere Rüstungsfirmen sowie europäische staatliche Ämter und Behörden geht, erwartet die Öffentlichkeit Antworten und Aufklärung über die absichtliche Täuschung des Parlaments durch den BND.
Mag auch ihr Telefon jahrelang abgeschnorchelt worden sein, Kanzlerin Angela Merkel hat zu ihrem eigenmächtigen Auslandsgeheimdienst BND und der befreundeten NSA mal wieder nichts zu sagen und ist abgetaucht. Ersatzweise wurden die Sprecher der Bundesregierung und der Ministerien heute in der Bundespressekonferenz eingehend zum aktuellen NSA-BND-Skandal befragt und hatten alle Mühe, möglichst nichts Inhaltliches in ihren Antworten zu verlautbaren. Alles sei geheim, man könnte über die dürre Presseerklärung hinaus nichts sagen.
Auch ob BND-Chef Gerhard Schindler noch tragbar ist und im Amt bleibt, wurde nicht weiter kommentiert, man hätte ihn aber „angewiesen, den komplexen Sachverhalt vollständig aufzuklären“.
Im „Rahmen der Dienst- und Fachaufsicht“ stände das Bundeskanzleramt „seit mehreren Wochen“ in Kontakt mit dem BND und hätte „Defizite identifiziert“, die Seibert aber auf keinen Fall über das Ablesen der Presseerklärung hinaus irgendwie spezifizieren mochte. Überhaupt wollte er auch zum „Wahrheitsgehalt“ der Presseberichte nichts sagen.
Auf die Frage, ob die Bundesregierung strafrechtliche Konsequenzen sieht oder ob das auch „geheim“ sei, verweist Seibert wieder auf die Presseerklärung, der er „nichts hinzuzufügen“ habe. Auf die nachfragende Bemerkung hin, dass doch aber darin die strafrechtlichen Konsequenzen gar nicht erwähnt werden, antwortet Seibert mit der eigentlich die ganze Viertelstunde der BPK gut zusammenfassenden Antwort:
Dann wird das seinen Sinn haben.
Zu der neu aufgeflammten Überwachungsdiskussion und den strafrechtlichen Folgen ist die Bundesregierung samt Sprecher des Auswärtigen Amtes und Innenministerium wortkarg und hat nichts beizutragen, was auch die in der BPK anwesenden Journalisten leicht angenervt registrieren: Ob denn nicht die Aufgabe der Regierung genau sei, die herausgegebene Pressemitteilung zu erklären und nicht die Journalisten für dumm zu verkaufen, weil alles, was wie eine inhaltlich wirkende Antwort klingen könnte, „geheim“ sei?
Auf die Preisfrage, ob man denn bei 40.000 Selektoren nun von Massenüberwachung sprechen müssen, gibt es wieder: keinen Kommentar.
Tilo Jung hat dankenswerterweise nicht nur einige Fragen gestellt, sondern die Fragen aller anderen Journalisten mit aufgezeichnet:
Bild-Lizenz der Überwachungspalme am neuen Berliner BND-Gebäudekomplex: CC BY 2.0 via flickr
Jean-Pierre Dalbéra -
: BND-Skandal: Verantwortliche müssen ihren Hut nehmen
Europasaal vor der Sitzung. : BND-Skandal: Verantwortliche müssen ihren Hut nehmen 
Die Mitglieder des NSA-BND-Ausschusses wollen sich heute noch gegenüber der Presse zu den neuen Vorwürfen gegen den Bundesnachrichtendienst (BND) erklären.Wenn das nicht mindestens den Kopf von Gerhard Schindler kostet und ihn zum Rücktritt zwingt, dann könnte er auch jeden anderen Skandal aussitzen: Der BND-Chef ist verantwortlich für einen weiteren handfesten Skandal, nachdem schon bei der Weitergabe von Telefon-Rohdaten die Kooperation zwischen NSA und BND übermäßig eng war und erst nach Jahren eingestellt wurde und er auch noch eine Klage des Betreibers des Internetknotens DE-CIX am Hals hat. Denn seine Beamten hatten jetzt nicht einmal mehr versucht, das Spionieren seitens der NSA gegen offensichtlich inländische und europäische Ziele zu stoppen, da man fürchtete, von dem US-amerikanischen Geheimdienst sowieso nur Ausflüchte zu bekommen.
Wenn es wieder nur um 40.000 bedauerliche Einzelfälle handeln soll, ansonsten aber zur Tagesordnung übergegangen wird, wäre ein neues Level der politischen Entmachtung des Parlaments in seiner Funktion als Kontrolleur der Geheimdienste erreicht. Wir brauchen keine Parlamentarier, die sich vom BND wieder und wieder am Nasenring rumführen lassen, sondern endlich eine wirksame Kontrolle der Geheimdienste, eben weil das geheimdienstliche Abhören im Verborgenen bleibt, darüber auch nicht im Nachhinein informiert wird und also keine gerichtliche Kontrolle stattfindet. 40.000 Selektoren kann man sich nicht mehr schönreden, das ist ganz klar Massenüberwachung.
Mit Deutschland betreffenden Selektoren dürfte der Auslandsnachrichtendienst, für den das Inland Tabu sein sollte, überhaupt nicht an den Leitungen schnorcheln. Er darf eigentlich auch keine Beihilfe leisten für Spionage im Inland oder überhaupt strafbare geheimdienstliche Agententätigkeit.
Offenbar gelten in der Geheimdienst-Büros übrigens immer noch die Grenzen des Kalten Krieges, wenn bei den 40.000 Selektoren betont wird, sie hätten sich gegen „westeuropäische und deutsche Interessen“ gerichtet. Das Spionieren in „Osteuropa“ scheint dagegen akzeptabel zu sein.
Was macht eigentlich der Generalbundesanwalt? Und wer ist denn eigentlich für Spionageabwehr zuständig?
-
: Fluchthilfe über das Mittelmeer: Europol soll Internetzensur besorgen und gründet „Aufklärungszentrum“
: Fluchthilfe über das Mittelmeer: Europol soll Internetzensur besorgen und gründet „Aufklärungszentrum“ Die EU-Polizeiagentur Europol soll den Auftrag erhalten, Internetinhalte aufzuspüren die „Migranten und Flüchtlinge“ anziehen könnten. Dies geht aus dem Entwurf von Schlußfolgerungen hervor, die auf dem EU-Sondergipfel zur Flüchtlingssituation auf dem Mittelmeer verabschiedet werden sollen. Die britische Bürgerrechtsorganisation Statewatch hatte das Dokument gestern geleakt.Verfolgt würden Internetauftritte von FluchthelferInnen, die in dem Dokument als „traffickers“ bezeichnet werden. Allerdings bleibt es demnach nicht beim Erkennen: Europol soll auch die Entfernung der Inhalte „beantragen“ („detect and request removal of internet content“). Allerdings darf Europol lediglich Ermittlungen anstellen und verfügt über kein Mandat für polizeiliche Zwangsmaßnahmen wie das Löschen oder Sperren von Internetinhalten.
„Hinweisstelle“ zu „islamistischem Terrorismus“ auf „Migration“ erweitert?
Vermutlich geht es vor allem um Soziale Medien wie Google, Facebook und Youtube. Bei Europol startet Anfang Juli eine „Hinweisstelle“ zur Meldung von „illegal extremistisch-terroristischen Internetinhalten“. Eingehende „Hinweise“ leitet Europol dann an die Internetanbieter weiter. Die Entfernung fordern darf die Agentur nicht, formal handelt es sich um einen „Hinweis“.
Eigentlich sollte die „Hinweisstelle“ zunächst auf das Themenfeld „islamistischer Terrorismus“ beschränkt sein. Das Dokument für den EU-Gipfel liest sich aber so, dass eine Erweiterung auf „Migration“ diskutiert und vielleicht sogar beschlossen wird.
Eigentlich ist für die Verhinderung unerwünschter Migration die EU-Grenzagentur Frontex zuständig. Um aber auch die Mittel und Methoden von Kriminalpolizeien nutzen zu können, wird jede Fluchthilfe pauschal als „banden- und gewerbsmäßige Einschleusung“ bezeichnet, durchgesetzt hat sich die Berufsbezeichnung „Schlepper“ oder „Schleuser“.
Boote sollen mithilfe von Europol aufgespürt und zerstört werden
Folgt man der Logik von Frontex, werden die Geflüchteten von brutalen Geschäftemachern zur Reise über das Mittelmeer gezwungen. Allerdings gibt es für die Beantragung von Asyl keine andere Möglichkeit als unerkannt in die EU einzureisen. Medico International hatte hierzu gestern einen malischen Aktivisten befragt:
Das Verhältnis zu den Schleppern ist eine komplexe Angelegenheit. Im Kriegsfall sind die Schlepper die Rettung für die Menschen, die um ihre Leben laufen. Die Toten kommen nicht wegen der Schlepper oder der Boote. Die Toten werden durch Frontex verursacht.
Zukünftig könnten noch mehr Tote zu erwarten sein, denn die EU will die Anzahl der potentiell genutzten Boote verkleinern. Die EU plant ein Polizeizentrum in Libyen oder Tunesien, in dem auch Europol angesiedelt wäre. Die Agentur soll den Handel mit Booten ermitteln, aufgespürte Wasserfahrzeuge würden dann zerstört.
Kontakt zu FluchthelferInnen über das Internet
Die Fluchtwilligen stehen vor dem Problem, Kontakt zu den FluchthelferInnen finden zu müssen. Hier hilft das Internet. Medienberichten zufolge existieren beispielsweise in der Türkei Facebookgruppen, über die Fluchten organisiert werden. Dabei geht es nicht um Überfahrten mit klapprigen Schiffen oder Zodiac-Schlauchbooten. Vielmehr stechen aus der Küstenstadt Mersin ausgemusterte Frachter in See, die als seetüchtig bezeichnet und nicht überfüllt werden können. Inzwischen erhält die Türkei aber Daten von EU-Satelliten, um entsprechende Abfahrten zu verhindern.
Frontex hat das Phänomen erkannt und warnt die EU-Mitgliedstaaten seit einiger Zeit, dass außer Sozialen Medien sogar Apps kursieren würden, um Informationen über Schiffe und Abfahrtsorte abzurufen. Überfahrten könnten sogar derart „gebucht“ werden. Laut der Bundesregierung behauptet Frontex auch, über die Apps könnten „Bedingungen in verschiedenen Zielländern abgerufen werden“.
Frontex hat für diese angeblich existierenden Apps aber keine Belege präsentiert. Entsprechende Internetauftritte sind nicht von kommerziellen FluchthelferInnen, wohl aber von politischen Gruppen bekannt. Unter Umständen zielt die Warnung von Frontex also auf eine Kriminalisierung humanitärer Fluchthilfe im Internet.
Auch US-Behörden tauschen Daten zu Migration im Mittelmeer mit Europol
Zur kriminalpolizeilichen Ermittlung von Fluchthilfe haben Europol und Frontex im März das gemeinsame Operationsteam („Joint Operational Team, JOT) „MARE“ gestartet. Die Sondereinheit soll „Erkenntnisse über kriminelle Organisationen“ gewinnen, die „für die illegale Verbringung von Migranten auf dem Seeweg in die Europäische Union verantwortlich sind“.
Frontex darf keine Personendaten speichern und verarbeiten, Europol aber schon. Alle anfallenden Informationen werden in der Analysedatei „Checkpoint“ gesammelt, die Informationen nach Auffälligkeiten abgeglichen. Dabei werden Telefondaten, Mailadressen, Reisedaten oder Angaben zu Fahrzeugen und Schiffen verarbeitet. Auch die auch die US-Einwanderungsbehörden sind an die Datenbank angeschlossen, der Grund hierfür wird aber nicht erklärt.
Moderne Technologie: Das Internet
Bei Europol in Den Haag wurde ein „maritimes Aufklärungszentrum“ eingerichtet. Beteiligt sind außer den EU-Mittelmeeranrainern auch Großbritannien und Deutschland. Der EU-Innenkommissar zählt zudem Dänemark, Belgien, Schweden und die Niederlande zu den Teilnehmenden.
Auch die internationale Polizeiorganisation Interpol arbeitet im JOT MARE mit. Der neue Interpol-Chef ist der ehemalige BKA-Vize Jürgen Stock. Anläßlich der Einrichtung des Migrations-Lagezentrums bei Europol hatte Stock erklärt, weshalb FluchthelferInnen als besonders gefährlich eingestuft müssten. Stock meint, sie nutzten „moderne Technologien“ – er meint das Internet:
-
: De Maizière auf dem Polizeikongress: Sicherheit ist harte Arbeit
Thomas de Maizière. Foto: MC1 Chad J. McNeeley Lizenz: CC BY 2.0. : De Maizière auf dem Polizeikongress: Sicherheit ist harte Arbeit Auf dem 24. Bundeskongress der Deutschen Polizeigewerkschaft unter dem Motto „Sicherheit, Freiheit, Bürgerrechte – ohne uns läuft nichts“ hat unser Innenminister Thomas de Maizière eine Rede gehalten. In dieser ging es auch um die geplante Wiedereinführung der Vorratsdatenspeicherung, deren Leitlinien in der letzten Woche vorgestellt wurden. In seiner Ansprache gibt sich de Maizière „frohgemut“ in Hinblick auf die kommenden rechtlichen Auseinandersetzungen. Er zeigt sich optimistisch, eine verfassungskonforme Version der anlasslosen Massenüberwachung zu finden. Außerdem bringe die Vorratsdatenspeicherung Ermittlern „fundamentale Verbesserung.“ Eine Aussage, die – egal wie oft sie Mantra-artig wiederholt wird – nicht glaubhafter wird.
Einen Wehmutstropfen gibt es jedoch, die „kurzen“ Speicherfristen von geplanten 10 Wochen. Die gekippte EU-Richtlinie hatte den Ländern Zwei-Jahres-Spielraum gelassen.
Weiterhin äußerte sich de Maizière zu Predictive Policing, das aus großen Datenmengen versucht, Erkenntnisse für die Polizeiarbeit zu generieren und beispielsweise wahrscheinliche Gebiete für Wohnungseinbrüche vorherzusagen. Es wurde oft kritisiert, dass Predictive Policing zu Diskriminierung führt, weil bestimmte Personengruppen als besondere Risikofaktoren vorverurteilt werden. De Maizière stritt derartige Vorwürfe, wie den des Racial Profilings, jedoch ab: „Polizistinnen und Polizisten müssen grundsätzlich ein Gespür für verdächtige Personen haben, ansonsten könnten sie ihre Arbeit einstellen.“
Gesamtbotschaft: „Sicherheit ist harte Arbeit.“
Die Gefährder: „Blockupy-Protestierer, Hooligans oder politische Extremisten.“
-
: Bundesregierung über Todesstrafe und Drohnenmorde
CC-BY 2.0 via flickr/ektogamat : Bundesregierung über Todesstrafe und Drohnenmorde Im Zuge der neuerlichen Berichte über die militärische US-Basis in Ramstein und die Steuerung von Killerdrohnen von deutschem Boden aus, wurden gestern in der Bundespressekonferenz dazu einige Fragen erörtert. Denn wenn die todbringenden Waffen nicht nur von Nevada, sondern auch von Ramstein aus dirigiert würden, hätte das rechtliche Konsequenzen. Die Bundesregierung hat immerhin Fragen wegen Ramstein an die US-Regierung gestellt, ob und wie deutsche US-Militärbasen an Drohneneinsätzen beteiligt sind.
Tilo Jung hat von Herrn Martin Schäfer, Sprecher des Auswärtigen Amtes, eine bemerkenswerte Antwort auf seine Frage erhalten, ob sich die deutsche Regierung genauso gegen Drohnenmorde einsetzen würde, wie sich die Bundesregierung gegen die Todesstrafe wendet. Schäfer belehrte Jung zunächst, dass man die Frage so nicht stellen dürfe.
Drohnen terrorisieren die hilflose Zivilbevölkerung. Quelle: Stephen D. Melkisethian, CC BY-NC-ND 2.0
Es gäbe schließlich unter Völkerrechtlern, aber auch zwischen den USA und anderen Staaten „unterschiedliche Vorstellungen über die völkerrechtliche Begründung der Rechtmäßigkeit oder Unrechtmäßigkeit des Einsatzes von Drohnen, so wie ihn die Amerikaner durchführen“. Während Letzteres wohl unbestritten sein dürfte, gibt es in der „Völkerrechtswissenschaft“ (Schäfer) allerdings auch wenig Zweifel über die Bewertung von Drohnenmorden (siehe auch bei der Kampagne Stop Killer Robots oder bei Human Rights Watch). Selbst im aktuellen Koalitionsvertrag spricht man sich ja verhalten gegen den Einsatz „bewaffneter unbemannter Luftfahrzeuge“ aus und möchte „in internationale Abrüstungs- und Rüstungskontrollregime eintreten“.
Schäfer führt dann aus:
Die Entscheidung darüber, etwa aus unserer Sicht, ob etwas völkerrechtswidrig oder völkerrechtsgemäß ist, hängt sehr stark von den Umständen des Einzelfalles ab: Gegen wen richten sich diese Drohnenangriffe, wo werden diese Drohnen eingesetzt, was sind die konkreten Tatumstände, ist Verhältnismäßigkeit gewahrt?
Als wüsste die Bundesregierung mehr über die Umstände und Entscheidungsgründe der Hellfire-Abschüsse als die immergleichen Meldungen nach jedem Drohneneinsatz, beispielsweise „al Qaeda top cleric killed in drone strike“, „Drone strike kills six Pakistani militants“ oder wie die üblichen Wendungen lauten, die weitgehend kritiklos und ungeprüft aus den Nachrichtentickern übernommen werden.
Welchen Unterschied macht es denn, gegen wen sich ein Drohnenangriff richtet und wo er stattfindet, wenn doch keinem der betroffenen Länder, in denen die Operationen durchgeführt werden, je ein Krieg erklärt wurde? Will Schäfer andeuten, dass die Drohnenopfer in Jemen oder Pakistan eben was anderes sind als wenn eine Hellfire – sagen wir – auf europäischem Boden explodieren würde?
Aber Schäfer ist noch nicht ganz fertig mit dem Erklären der Haltung der Bundesregierung, er adressiert noch den Vergleich mit der Todesstrafe aus der Frage von Tilo Jung:
Eine pauschale Qualifikation nach dem Motto „Drohnenangriffe gleich Todesstrafe“ kann man sicherlich vornehmen, aber das ist jedenfalls nicht die Haltung der Bundesregierung. Und das scheint mir auch der komplizierten Sachlage nicht wirklich gerecht zu werden. Man muss da vielmehr jeden einzelnen Fall auf seine Völkerrechtsgemäßheit intensiv prüfen.
Da hätte die Bundesregierung allerdings alle Hände voll zu tun, wollte sie jeden einzelnen Fall „intensiv prüfen“. Schäfer weist letztlich den Vergleich zwischen Todesstrafe und Drohnenmorden zurück. Hier hat er wohl zweifelsfrei recht, denn selbst in nicht demokratischen Ländern, erst recht aber in den Vereinigten Staaten, geht einer Todesstrafe ein Gerichtsverfahren voraus, der Angeklagte kann sich verteidigen, Beweise müssen vorgelegt werden usw. Den Drohnenmorden geht nur ein geheimer Prozess voraus, der weder rechtsstaatlichen Ansprüchen genügt noch überprüfbar ist.
Hier das Video, die Fragen zu den Drohnen beginnen ab Minute 15.45.
-
Geheime Nebenabrede: Doch kein Richtervorbehalt für Bestandsdatenauskunft, also Großteil der Vorratsdatenspeicherung
Bestandsdatenauskunft 2013. Quelle: <a href="https://netzpolitik.org/2014/bestandsdatenabfrage-behoerden-identifizierten-2013-alle-fuenf-sekunden-einen-anschlussinhaber/">Bundesnetzagentur</a>. Geheime Nebenabrede: Doch kein Richtervorbehalt für Bestandsdatenauskunft, also Großteil der Vorratsdatenspeicherung Entgegen ihren Behauptungen will die Bundesregierung doch keinen Richtervorbehalt für die allermeisten Abfragen der Vorratsdatenspeicherung vorschreiben. Das geht aus einer geheimen Nebenabrede zu den offiziellen Leitlinien hervor, die wir veröffentlichen. Damit soll die alle fünf Sekunden eingesetzte Bestandsdatenauskunft auch auf Vorratsdaten zugreifen – und dafür gilt kein Richtervorbehalt.
-
: Anhörung zum IT-Sicherheitsgesetz im Bundestag (Liveblog und Fazit)
Geplante Cybersicherheitsstrategie für Deutschland - noch will sich die Regierung nicht äußern. : Anhörung zum IT-Sicherheitsgesetz im Bundestag (Liveblog und Fazit) Wie bereits angekündigt, findet heute ab 14 Uhr eine Expertenanhörung zum Thema IT-Sicherheitsgesetz (ITSG) im Innenausschuss des Bundestages statt.
Kurze Erinnerungsauffrischung: Das IT-Sicherheitsgesetz liegt derzeit in Fassung eines Gesetzesentwurfes vor, der von uns und vielen anderen, wie etwa dem CCC, stark kritisiert wird. Eigentlich soll er für mehr Sicherheit, vorrangig bei „Kritischen Unternehmen und Infrastrukturen“ sorgen. Durch schwammige Formulierungen und wirtschaftsfreundliche Verwässerung verfehlt der Entwurf dieses Ziel und verdient eher den Namen IT-Sicherheitssimulationsgesetz. Es ist weder genau definiert, wer eine kritische Infrastruktur bereitstellt, noch, was ein schwerwiegender Vorfall ist, der gemeldet werden müsste. Meldungen können im Normalfall anonym erfolgen und auch Sanktionsmöglichkeiten sind in dem Entwurf nicht vorgesehen. Mehr kritische Punkte haben wir hier zusammengefasst.
Wir haben live aus der Anhörung berichtet, für die ganze drei Stunden vorgesehen waren. Wer die Anhörung selbst nachvollziehen wollte, konnte das im Parlamentsfernsehen tun. Die eingeladenen Sachverständigen waren:
- Michael Hange, Präsident des Bundesamtes für Sicherheit in der Informationstechnik
- Prof. Dr. Gerrit Hornung, Universität Passau, Lehrstuhl für öffentliches Recht, IT-Recht und Rechtsinformatik
- Linus Neumann, Chaos Computer Club (CCC), Berlin [Text der Stellungnahme, Blogpost]
- Iris Plöger, Bundesverband der Deutschen Industrie e.V., Leiterin der Abteilung Digitalisierung
- Prof. Dr. Alexander Roßnagel, Universität Kassel, Institut für Wirtschaftsrecht
- Prof. Dr.-Ing. Jochen Schiller, Freie Universität Berlin, Institute of Computer Science
- Dipl.-Ing. (FH) Thomas Tschersich, Deutsche Telekom AG, Leiter Group Security Services
- Dr. Axel Wehling, Gesamtverband der Deutschen Versicherungswirtschaft e.V., Mitglied der Hauptgeschäftsführung, Geschäftsführer des Krisenreaktionszentrums der deutschen Versicherungswirtschaft
Eingangsstatements
Sitzungsvorsitzender Wolfgang Bosbach (CDU/CSU)
$begrüßungs-foo
Es wird ein Wortprotokoll geben. Und schriftliche Stellungnahmen, die ins Internet gestellt werden.
Michael Hange
Herausragende Punkte
Lagebericht zur IT-Sicherheit, BITKOM-Studie und Snowdenenthüllungen zeigen, wie verletztlich der Cyberraum ist.
Es gibt drei kritische Punkte: Vernetzung, Komplexität, die Erreichbarkeit jedes System über das Internet.
Gefährdungslage: Internet ist als Plattform für Angreifer attraktiv. Dienste und Angriffe sind zu kaufen, Entdeckungsrisiko ist gering, Masse der möglichen Ziele ist groß, Cyber-Angriffe kennen keine Grenzen.
Schwachstellen sind systemimmanent. Bei üblicher Software existieren 2–5 Promille Fehler pro Programmzeile. Bei gängigen Betriebssystemen ergibt das über 20.000 Schwachstellen. Die Bedeutung von Advanced Persistent Threats nimmt zu – das sind „hochwertige Premiumangriffe“.
Apps nähern sich 1,5 Millionen nur für Android.
Cybersicherheit rückt im KRITIS-Bereich [Kritische Infrastrukturen] in den Vordergrund. Bisher ist die Zusammenarbeit mit den Behörden freiwillig, aber angesichts des Risikos wird das der Realität nicht mehr gerecht.
Der Zeitpunkt ist gekommen, für KRITIS und Internetnutzer mehr zu tun. Mindeststandards, Meldepflicht, Warnpflicht, jährliches Lagebild, Prüfung zentraler Produkte, Änderungen in TMG und TKG.
BSI soll aktiv präventiv werden in Zusammenarbeit mit den Aufsichtsbehörden. ITSG ist ein notwendiger und wichtiger Schritt.
Prof. Dr. Gerrit Hornung
Gesetzentwurf adressiert eine relevante Frage und ist ein sinnvoller Ansatz. In aller Kürze:
1. Inhaltliche Standards: Ziel ist Verbesserung der IT-Sicherheit. Stand der Sicherheit soll berücksichtigt werden, das ist zu wenig. Sicherheit muss eingehalten werden. Branchenstandards sind ein probates Mittel, bringen aber auch Probleme.
2. Wie weist man die Einhaltung nach? Bereich der Audits ist ungeregelt. Das ist unzureichend, braucht genauere Regelung.
Meldepflichten: Entwurf sieht Sonderregelungen vor, keine Rechtfertigung für terminologische Abweichungen. Ist damit auch unterschiedlicher Inhalt gemeint. Bereich der hoheitlichen Anwender wird nicht geregelt. Nicht einsichtig, warum diese anders als KRITIS behandelt werden sollen.
Umgang mit den Informationen durch das BSI ist wichtig. Meldungen enthalten sensible Informationen über Wirtschaft. BSI sollte mehr für Öffentlichkeitsarbeit tun und Dritte informieren. Nicht nur Bedürfnisse der Wirtschaft berücksichtigen.
Kriminelle dürfen nicht auf Lücken hingewiesen werden, Lücken müssen vorher geschlossen werden. Information der Öffentlichkeit ist nicht adressiert, das ist ergänzungsbedürftig. Auch europäische Richtlinie sieht das vor.
3. Fehlende Sanktionen: Nicht alle Betreiber sind kooperativ, BSI braucht deshalb Durchsetzungs- und Anordnungsbefugnisse. Ungleichbehandlung, Bußgelder nur für TK-Bereich vorgesehen.
Zu §100 TKG: Wird als kleine Vorratsdatenspeicherung bezeichnet.
Linus Neumann
Im Gesetz sollen technische Probleme adressiert werden. Schwierig mit juristischen Mitteln zu machen.
Zwei Möglichkeiten für mehr IT-Sicherheit:
Härtung – Im Schadensfall den Schaden begrenzen – und Prävention – Finden und Entfernen von Bugs im Code. Am Ende die einzige Möglichkeit, ein Sicherheitsrisiko loszuwerden.
Anreize für eine Erhöhung der IT-Sicherheit im ITSG? Im ITSG starken Fokus auf KRITIS, aber Endnutzerschutz sollte größere Rolle spielen.
Stört, dass jegliche Proaktivität fehlt. Stand der Technik soll eingehalten werden, wird aber schon per Definition eingehalten. Technische Sicherheit muss erhöht werden, das kann nicht durch Meldepflichten im Nachhinein passieren.
Erstellung von Sicherheitskonzepten ist vorgesehen, um Rechtsunsicherheit des „Stands der Technik“ zu entfliehen. Verbände müssen sich für gemeinsames Sicherheitskonzept zusammensetzen. Dilemma: Standard, den alle erfüllen oder Standard, den man noch nicht erfüllt. Letzteres würde Investitionen benötigen.
§100 TKG, damit wird Datenvorhaltung ermöglicht. Aber Störungen sind akute Probleme, da bringt 180 Tage zurückreichender Datensatz nicht. „Das ist einfach Unsinn.“
BSI hat inhärenten Interessenskonflikt, weil BMI untergeordnet. Es ist auch im offensiven Bereich der IT-Sicherheit tätig, Verweis auf Wunschliste des BND. BSI unterstützt auch die Entwicklung von Staatstrojanern. Als zentrale Meldestelle daher grundsätzlich nicht geeignet.
Iris Plöger
BDI findet die Maßnahmen, wie Meldepflicht, unverhältnismäßig. Es entstehen finanzielle Aufwände. Nutzen ist nicht einschätzbar. Industrie hat Eigeninteresse an IT-Sicherheit.
Meldepflicht allein führt nicht zum Ziel, da reaktiv. Freiwillige Zusammenarbeit funktioniert sehr gut.
Eigene Vorschläge schon 2014 eingebracht, Studie „IT-Sicherheit in Deutschland.“ Konkrete Handlungsempfehlungen präsentiert.
1. KRITIS klar definieren. Ist nicht klar, an wen sich das Gesetz richtet. Unternehmen müssen wissen, ob sie betroffen sind. Staat ist der größte Betreiber kritischer Infrastrukturen. Schutzgut des Gesetzes ist kein Grund für Ungleichbehandlung staatlicher und privater Betreiber.
2. Umfang und Inhalt der Meldepflichten im Gesetz nicht bestimmt. Definition „erheblicher Störungen“ nicht hinreichend. Weitergabe von Daten sollte gesetzlich ausgeschlossen werden.
3. Mindeststandards sind branchenspezifisch wichtig.
4. Kompatibilität zwischen ITSG und NIS-Richtlinie wichtig. Stehen bisher nicht im Einklang. Unterschiedliche nationale und europäische Anforderungen.
5. Keine Doppelregelungen und Doppelzuständigkeiten schaffen.
6. Zusammenarbeit BSI und Unternehmen ausbauen. Informationen müssen zeitnah und praxisorientiert an Unternehmen gegeben werden – tagesaktuell. Allianz für Cybersicherheit stärken.
Prof. Dr. Alexander Roßnagel
1. Gesetzentwurf grundsätzlich zu begrüßen. Name verspricht mehr, als die Regelungen verfolgen. Maßnahmen sind grundsätzlich geeignet, Grundrechtseingriffe erforderlich und verhältnismäßig.
2. Definition kritischer Infrastrukturen erscheint ausreichend. Für Rechtssicherheit müssen sie so detailliert beschrieben werden wie in Emmissionsschutzverordnung, detaillierte Merkmale sind sachlich geboten.
3. Sicherheitsvorkehrungen sind für ein gleichmäßiges Mindestniveau erforderlich. Stand der Technik soll nicht nur berücksichtigt, sondern eingehalten werden. Branchengerechte Vorgaben sind zu begrüßen. Aber eingesetzte Technik kann nicht durch Betreiber selbst verbessert werden, daher müssen Sicherheitsnachweise hier präziser gefasst werden.
4. Kooperatives Sicherheitssystem ist zu begrüßen, wie anonyme und identifizierende Meldepflicht. Wann eine Meldepflicht besteht, sollte jedoch präziser geregelt werden. Ausnahmen sollen nur bei spezielleren Regelungen greifen. Verbessert werden muss Information der Öffentlichkeit und Nutzer. Staat hat Schutzpflicht, daher sollte Information die Regel sein.
Pflichten der Betreiber müssen sanktionsbewährt sein.
5. §100 TKG, Gesetzentwurf erweitert Begriff der Störung. Vorschrift erlaubt anlasslos Speicherung von Verkehrsdaten, das ist unverhältnismäßig. Muss eingeschränkt werden.
Prof. Dr.-Ing. Jochen Schiller
Gedankenexperiment: Smarter Backofen, lädt Backprogramme aus dem Internet. Steuerung übernimmt ein Webserver. Hat Schadsoftware, verkohlt nicht nur Kuchen, sondern die ganze Wohnung. Wer ist haftbar? Nutzer, Hersteller, Hacker?
Backofen ist keine kritische Infrastruktur, aber Probleme sind ähnlich. Eingebettete Computer steuern vielfältige Systeme, sind aber kaum abgesichert. Haben wir das richtige Sicherheitsbewusstsein?
Grundlegender Bewusstseinswandel ist notwendig, Sicherheit ist ein dynamischer Prozess.
Sicherheitsprozesse müssen branchenübergreifend gedacht werden. Alle müssen eingeschlossen werden, um wirksam zu sein. Drei Viertel aller Angriffe betreffen KMUs, diese stellen in ihrer Gesamtheit auch kritische Infrastrukturen dar – Wirkungsbereich des ITSG überdenken!
TMG und TKG sind nicht konsistent, um Angreifer zu erkennen. Das ist aus technischer Sicht nicht sinnvoll. Man muss reagieren können, bevor etwas passiert. Lagebild erfasst nicht alles im notwendigen Detailgrad.
Insgesamt: Gelebte IT-Sicherheit liegt hinter dem Stand der Technik zurück, ITSG ist Startschuss zum Sicherheitsbewusstsein.
Dipl.-Ing. (FH) Thomas Tschersich
Gesetz ist absolut notwendiger Schritt in die richtige Richtung. Geht um unsere Zukunftsfähigkeit in der digitalen Welt.
Historische Chance für Standortfaktor der sicheren Dienstleistungsumgebung. Nicht aus den Augen verlieren, dass weitere Schritte erforderlich sind.
Es fehlt die Einbeziehung der Hard- und Softwarehersteller. Angreifer sind erfolgreich, weil Schwachstellen ausgenutzt werden können. Betreiber kann die nicht allein beheben, Hersteller müssen unterstützen und Updates zur Verfügung stellen.
Vermutet, dass 95 Prozent aller Angriffe vergebens wären, wenn alle auf dem „Stand der Technik“ wären.
Man braucht ein Warnmeldungsregime zum Austausch von Informationen über Angriffe. Meldepflicht ist sinnvoll, relevante Meldungen sind notwendig für praktischen Nutzen.
Speichern von Daten in Telediensten: Diskussion um Erforderlichkeit ist notwendig. Logs sind notwendig für Schutz vor und Erkennung von Angriffen. Es braucht eine Definition, was gespeichert werden kann und darf.
Dr. Axel Wehling
Ist der richtige Zeitpunkt mit der richtigen Dosierung, gibt drei Kernpunkte:
1. Anonymisierte Meldung
2. Fortschreiten bei kooperativem Ansatz: Muss ausgebaut werden. Insbesondere in der Frage, welche Unternehmen zu KRITIS zählen. Bei Definition von Sicherheitsaudits und Zertifizierungen sollten branchenspezifische Lösungen möglich sein.
Kleinere Anpassungen sind erforderlich.
3. Branchenansatz: Versicherungsbranche hat Single Point of Contact mit BSI schon 2010 eingerichtet. Soll ausgebaut werden. Branchenansatz ist das Tool, um spezifisch IT-Sicherheit voranzubringen und Bürokratie zu vermeiden. Branchen haben unterschiedliche Anforderungen.
Um Meldekultur zu etablieren von Spezialgesetzen absehen. Lagebild reicht, evtl auch spezielle Lagebilder. Keinen Konkurrenzkampf zwischen den einzelnen Meldewegen generieren.
Fragerunde
Wendt (CDU/CSU)
@Tschersich/Wehling: Konkreter Wert als Anhaltspunkt für Definition kritischer Infrastruktur möglich? Welche Bereiche und Sektoren sollten unter KRITIS fallen, wird das europaweit tragfähig sein?
Tschersich: Kennzahlen schwierig. KRITIS alles, was unter Grundversorgung fällt, egal wie groß oder klein. D.h. auch Nahrungsmittel. Hier ist branchenspezifischer Ansatz sachdienlich. BSI bildet das Korrektiv, wenn eine Branche sich entziehen will, um Investitionen zu vermeiden.
Wehling: 1200 Versicherungsunternehmen in Deutschland, im GdV nur 430 Unternehmen. Nicht alle müssen miterfasst werden – branchenspezifisch gucken. In Übungen die Response-Zeiten angeschaut und geschätzt, ob diese adäquat sind. Nicht alle können in einen Topf geworfen werden.
Man kann ein Gefühl entwickeln, wer dazugehört oder nicht.
Schwer zu sagen, ob mit EU-Regelung kompatibel. National andere Aufteilung ist unschädlich, in etlichen Staaten gar keine nennenswerte Versicherungswirtschaft.
@Plöger/Hornung: Wesentlichkeit und Bestimmtheit, ist Gesetz ausreichend konkret? Ist sichergestellt, dass Kooperation von Unternehmen, Wissenschaft und Behörden funktioniert
Plöger: Große Unsicherheit bei Unternehmen besteht. Umfang und Inhalt der Meldepflicht wird kritisiert. Anzahl der Personen in großen Unternehmen, um das zu leisten, wird sehr groß sein.
Begrüßt kooperativen Ansatz, wünscht sich mehr Präzision im Gesetz. Frage, ob man mit Meldepflichten dem Problem Herr wird, unklar.
Hornung: Anforderung aus Grundgesetz, wesentliche Entscheidungen muss Gesetzgeber treffen. Also auch, auf wen ein Gesetz angewendet wird. Nicht jedes Unternehmen muss das direkt aus dem Gesetz sehen können. Empfiehlt Konkretisierung, gibt im Gesetz Ansätze dafür.
Wie ist die Zahl von maximal 2000 betroffenen Unternehmen, die im Gesetz genannt wird, zustande gekommen? Sollte präzisiert werden.
Je vager der Entwurf, desto größer die Chance, mit der EU-Richtlinie kompatibel zu sein. Eigentliche Probleme bei EU liegen bei Veröffentlichung der Ergebnisse und Sanktionen.
@Hange: Meldepflichten, Einschätzung der Menge der zu meldenden Vorfälle? Wie wird mit Meldefällen umgegangen? Wie wird der Mehraufwand?
Hange: BSI hat ein Lagezentrum, dass künftig 24/7 präsent sein wird. Zweistufiger Prozess: Was ergibt sich an Gefährdung für andere? Daraus ergibt sich eine Warnung. Dann: Meldepflichten sind kein Selbstzweck. Jede Meldung braucht auch Analyse, 80 – 90 Prozent aller Angriffe können abgewehrt werden. Spam ist nicht meldewürdig, sondern neuartige Angriffe. Betrifft vermutlich 5 – 10 Angriffe pro Jahr.
Ist ein dynamischer Prozess, wichtig ist, die Methoden festzulegen und Common Sense für Vorgehensweise zu etablieren. Informationen müssen vertraulich bleiben.
Reichenbach (SPD)
@Hornung/Roßnagel: Websteuerungen in eingebetteten Systemen: Zuordnungsschwierigkeiten zu TMG oder TKG, wie ist das Problem zu lösen?
Hornung: Sowohl in TMG und TKG Problem mit Umgang mit Verkehrsdaten. Es gibt überlappende Bereiche. Lösung nicht im Gesetzentwurf, Erforderlichkeitskriterium zu vage, Speicherdauer läuft völlig auseinander. Man braucht eine Erheblichkeitsschwelle und Zweckbindungsregelung, sowie Obergrenze für Speicherpflicht.
Roßnagel: Wenn man TMG miteinbezieht hat man nicht nur Verkehrs- sondern auch Nutzungsdaten. Eingriff in Grundrechte wird dadurch tiefer. Schließt nicht aus, dass trotzdem Vorsorgemaßnahmen getroffen werden. Aber darauf achten, dass stufenweise vorgegangen wird. Nicht alle Daten aller Nutzer für unbestimmten Zeitraum aufbewahren. Erstmal anonyme Statistiken analysieren. Sollte im Gesetz verankert werden. BVerfG hat eingefordert, dass nicht einfach alles gespeichert werden darf.
@Hange/Roßnagel/Schiller: Mitwirkungspflicht von Herstellern. Was passiert, wenn Monopolist ein Sicherheitsproblem ignoriert? Wie können Regelungen Mitwirkung garantieren?
Roßnagel: BSI kann Betreiber zu Nachbesserung auffordern, aber nicht Hersteller. Das muss aber möglich sein.
Schiller: Kann nicht so tun, als wäre IT-Bereich etwas ganz Neues. Nicht einzusehen, dass derjenige, der das Produkt anbietet, nicht zur Rechenschaft gezogen werden soll. Der Anbieter selbst muss Anforderungen an Hardwarehersteller stellen. Nicht logisch, dass in diesem Fall Haftung nicht greifen soll. Weiterpropagieren von Verantwortlichkeiten kann nicht sein.
Hange: Mit Mindeststandards wird ein Rahmen vorgegeben. Bindung des Herstellers an den KRITIS-Betreiber notwendig, z.B. in AGBs. BSI kann auch öffentlich warnen, das hat hohen Wirkungsgrad. Via Gesetz auf Zulieferer einwirken ist wirksam. Produktauswahl muss am Markt entschieden werden. Benennung von Schwachstellen schafft Druck auf Hersteller.
@Hornung/Roßnagel: Sanktionsmechanismen, wie ist das besser formulierbar? Wie lässt sich Wettbewerbsverzerrung vermeiden?
Hornung: TKG-Bereich kann als Modell gelten, nur erhebliche Verstöße Bußgeld-bewehrt. Nicht auf Sanktionsbefugnisse verzichten.
Roßnagel: Sicherungs- und Meldepflicht werden von großer Anzahl an Unternehmen befolgt. Muss dafür sorgen, dass diejenigen keine Wettbewerbsnachteile haben. Daher ist Sanktion notwendig. Regelung aus TKG könnte übertragen werden.
@Hornung/Roßnagel/Hange: Kritik von außen: Zweckbindung nicht ausreichend. Nachschärfung notwendig?
Roßnagel: Zweckbindung in §7a Abs. 2, Gesetz wird aber nicht nur von Rechtsabteilungen angewendet, daher sollte diese Frage präzise und detailliert beschrieben werden. Darf nicht nur Juristen-lesbar sein.
Hange: Nur dazu da, um Schwachstellen dem BSI zu nennen. Keine Weitergabe vorgesehen.
Wawzyniack (Linke)
@Neumann: Hat gesagt, dass Meldepflichten noch keinen Hack verhindert haben. Wenn Endnutzerschutz im Mittelpunkt, ist da Meldepflicht nicht doch sinnvoll? Vielleicht sogar ein Mehr an Meldepflicht? Verbot des Verkaufs von Sicherheitslücken?
Neumann: Gibt Ad-Hoc-Angriffe, Angriffe sind erfolgreich, wenn sie neuartig sind. Hohe Kunst fängt bei neuen Angriffen an, z.B. OpenSSL. Konnte keiner vorhersehen und fast niemand detektieren. Meiste Unternehmen haben hier Defizite. Angreifer hat keine Motivation, die Meldung der Telekom abzuwarten, bis er andere angreift.
Warum meldet bisher niemand freiwillig, Gelegenheit besteht seit 2012 in der Allianz für Cybersicherheit? Irgendwas funktioniert da nicht.
IT-Sicherheit ist multidimensionales Problem, es gibt viele Angriffsmotivationen.
@Neumann: Mehr Proaktivität gefordert, wie kann das aussehen?
Man sollte den Unternehmen Anreize geben – durch Haftung, Zwänge, … – den Risikoszenarien zu begegnen, bei denen Endnutzer zu schaden kommen und nicht nur das Kerngeschäft.
Bereits vorgeschlagen zu schauen: Was sind Softwareprodukte, die ein Großteil der Menschen nutzen? OpenSSL: Niemand hat das auditiert, um das eigene Risiko zu verringern. Alle profitieren von einer Sicherheitsüberprüfung, daher haben einzelne Unternehmen wenig Anreiz, profitieren aber davon.
Was macht man mit der proprietären Software? Kann bisher noch ohne jegliche Garantie operieren. Haftung würde mit wenig Bürokratie schönen Effekt erzielen. Gesamte Awareness für IT-Sicherheit ist noch nicht so hoch, wie sie sein könnte.
@Neumann: Ambivalente Funktion des BSI angesprochen. Aus Sicht der Endnutzer evtl. Auditierung sinnvoll, das scheint aber schwierig. Ist Auditierung sinnvoll, mit BSI als unabhängiger Stelle?
Unabhängigkeit ist ein dringendes Anliegen. BSI hat Imageproblem: Staatstrojaner, ungenügende Aufklärung bei Identitätsdiebstählen. Erfolg der Allianz für Cybersicherheit nicht groß. Mangelnde Unabhängigkeit ist dabei ein Kernproblem. Schade, dass sich das Gesetz nicht auf BSI-Lageberichte stützt.
@Neumann: Datenvorhaltung bei Störungen kritisiert. In welchem Umfang sind welche Daten notwendig?
Es darf keinen Freibrief geben, alle Daten unbegrenzt vorzuhalten. Aber es gibt konkrete Notwendigkeit, in Verkehrsdaten zu schauen, um Angriff vernünftig aufzuklären. Betreiber muss das tun, aber in diesem Fall ist Informieren der Nutzer notwendig.
Oft werden die Daten für Kleinstvergehen angefragt, daher sieht man, dass massive Einschränkung des Verwendungszwecks notwendig ist. Wenige Stunden bis Tage Speicherung sind ausreichend.
@Schiller/Hornung: Anwendungsbereich des Gesetzes, kleinere Unternehmen werden ausgenommen (< 250 Mitarbeiter, 43 Mio. Euro Bilanzsumme). Macht Bestimmtheitsgebot da noch Sinn? Nicht alle von Anfang an einbeziehen?
Hornung: Ausnahme für Kleinstunternehmer (kleiner 10 Mitarbeiter), nicht für KMUs. Wenn die reingenommen werden, kann das unverhältnismäßige Kosten verursachen.
Schiller: Stand der Technik und Sicherheitsbewusstsein. Stand der Technik ist definierbar. Warum KMUs? Bewusstseinsbildung. Oft kein Sicherheitsbewusstsein vorhanden, auch wenn keine Mitwirkungspflicht. Außerdem ist die Menge der KMUs zusammen relevant. Alle einzeln nicht erfasst. Wenn man ein Land lahmlegen will, dann geht man zu denen, die schlecht geschützt sind. Angriff ist dann in der Menge kritisch.
@Hange/Hornung: BfV soll bis zu 50 Stellen mehr bekommen, weil BSI dem BfV Daten übermitteln soll. Aber im Gesetz stehen nur Unterrichtungspflichten. Ist tatsächlich die Möglichkeit einer Datenübermittlung vorgesehen, Ermächtigungsgrundlage?
Hange: BSI hat technischen Blick auf Analyse. Wird warnen und Handlungsempfehlungen geben, Lageberichte erstellen. Bei Angriffen auf Regierungsnetze liegt Anteil der „hochwertigen Angriffe“ im einstelligen Bereich.
Zu Heartbleed – auch BSI macht Open Source. Auch Open Source muss geprüft werden. BSI will hier die Rolle des Prüfens übernehmen. Krypto-Bibliothek soll geprüft werden, BSI kann das finanzieren. Zertifizierung soll genutzt werden, um auch proprietäre Produkte zu prüfen, zum Beispiel bei eGK, Smart Meter.
Mitarbeit am Staatstrojaner wird auch Gegenstand des NSA-Ausschusses sein. BSI kann auch beauftragt werden, für Sicherheit zu sorgen. Darauf beschränkt sich das. Bei Identitätsdiebstahl waren die Server ruckelig, wurde aber in den Griff bekommen. Täglich werden bis 20.000 IP-Adressen an Provider gegeben, damit Kunden gewarnt werden können.
Gesamtgesellschaftlich muss gefragt werden, wie man Bürger besser schützen kann. Auch um kriminelle Bedrohungen an den Bürger zu reduzieren.
Hornung: BSI muss Stellen wie BfV unterrichten. Dieser Begriff ist unbestimmt. Auffällig, dass Gesetzesbegründung unspezifisch ist. Was BfV damit macht, muss das BfV selbst entscheiden. Scheint so zu sein, dass substantieller Teil der Auswertung beim BfV liegen soll. Sieht das kritisch.
von Notz (Grüne)
@Roßnagel/Hornung/Neumann: Was sind konkrete Punkte, die noch in das Gesetz hineingehören, damit auch Bürger geschützt werden?
Hornung: Hersteller mit ins Boot holen, Auditierung detaillierter formulieren. Anreize durch Haftungsregelungen. Inwieweit können sich Anbieter durch AGBs freizeichnen? Das im AGB-Recht beschränken. Meldepflicht für weitere Behörden und sonstige Anbieter.
Neumann: IT-Systeme sind komplex, schwer zu beherrschen. Meist gibt es aber nur Checklisten. Angreifer muss sich darum nicht kümmern, ist viel flexibler. Das erzeugt ein Ungleichgewicht. Schnellere Auditierung notwendig. Nicht IT-Sicherheit mit noch mehr Bürokratie erschlagen. Das geht zu Lasten proaktiver Maßnahmen.
Haftung bei Fahrlässigkeit einführen, Erhöhung der Schutzziele über den Stand der Technik hinaus. Konkrete Vorgaben für die Zukunft formulieren – das wäre Standortvorteil. Konkrete Schutzziele vorgeben. Grundlagen für gesamte deutsche Wirtschaft schaffen.
Roßnagel: Geht nicht nur darum, Wahrscheinlichkeit von Schäden und Angriffen zu reduzieren. Sondern auch um Schadenspotential. Haftung kann präzisiert werden, was sind berechtigte Sicherheitserwartungen und ‑pflichten? Öffentliche Hand sollte vorbildhaft vorangehen, z.B. nur zertifizierte Produkte einsetzen. Aktuellen Entwurf aber nicht deswegen aufhalten, sondern Schritt für Schritt vorgehen.
@Roßnagel/Hornung/Neumann: In Hinblick auf Scheinabsicherungen – was wären harte, notwendige Prüfungsschritte, um Hard- und Software als sicher beschreiben zu können? Z.B. bei Netzwerk-Switches.
Neumann: Zwei Teilprobleme, es gibt die Sicherheit, die das Produkt bieten kann und die Sicherheit, die man kaputtkonfigurieren kann. Man kann Anbieter von Produkten durch Zertifizierung zu Überprüfungen anhalten. Dort gibt es noch Luft nach oben, aktuelle Kontrollmöglichkeiten scheinen noch nicht zu greifen. Problembewusstsein ist nicht gegeben.
Roßnagel: Aus Technikrecht kann man Mindestniveau übertragen. Einheitlichkeit erreichen, wird aber nicht jedem Risiko gerecht. Dann spezifischere Anforderungen stellen. Schauen, ob IT-Sicherheitskonzepte existieren und umgesetzt werden.
@Hange/Roßnagel/Hornung/Neumann: Problem in Diskussion um IT-Sicherheit, Cyberwar und Co. bei Verteidigung und Angriff? Wie kann es sein, dass das BSI dem BMI unterstellt ist?
Hornung: Bei Zusammenarbeit BSI und andere Behörden aufpassen, aber komplette Unabhängigkeit nicht notwendig. Muss über Zusammenarbeit der verschiedenen Abteilungen nachdenken.
Roßnagel: Frage nach Unabhängigkeit zweitrangig, relevant ist, ob es Interessensgegensätze gibt. Evtl. ist Unabhängigkeit ein Mittel, darauf zu reagieren.
@Roßnagel/Hornung/Neumann: Parallele Verhandlung der NIS-Richtlinie in der EU. Ist es sinnvoll, dass das ITSG Vorbild der NIS-Richtlinie werden soll?
Hornung: Abhängig davon, wie der Zeitplan für die NIS-Richtlinie aussieht. Keine Prozesse vorgeben, die Unternehmen teuer umsetzen müssen.
Roßnagel: Artikel 2 der NIS-Richtlinie sagt, sie betreibt nur eine Mindestharmonisierung, Länder dürfen trotzdem noch eigene spezifische Regelungen über Mindestniveau erlassen. Definition von kritischen Infrastrukturen in NIS nicht enthalten.
Jarzombek (CDU/CSU)
@Tschersisch: Wie wird bei Telekom vorgegangen, wenn Kunden als Teil eines Botnetzes unterwegs sind?
Tschersisch: Monatlich werden viele Endkunden angeschrieben, von deren IPs Angriffe stammen. Hat einen enormen positiven Effekt, viele Kunden fragen nach und nehmen das ernst. Problem ist, dass solche Informationen nicht durch eigene Auswertungen ermittelt werden dürfen. Man ist auf Meldungen von Dritten angewiesen.
@Hange: Wie sind Reaktionszeiten des BSI bei eingehenden Meldungen geplant? Wie sieht Unterstützung von Unternehmen bei persistenten Angreifern aus?
Hange: Schon jetzt sind Prozesse etabliert. Prozesse müssen mit den Branchen transparent gemacht werden. Man kann nicht zeitlich genau definieren.
BSI kann Betreiber von KRITIS unterstützen – als Ersthilfe – oder an dritte Dienstleister verweisen.
@Plöger/Hornung: Wie ist Alternativvorschlag zur Konkretisierung von Begriffen, z.B. Stand der Technik?
Plöger: Parallele zu Patentrecht – Industrie hat sich zurückhaltend geäußert, den Stand der Technik in einem Gesetz zu formulieren.
Hornung: Man kommt nicht ohne unbestimmte Rechtsbegriffe aus. Man braucht jemanden, der entscheidet, was Stand der Technik ist. Das ist Dynamik, aber die fehlt im Gesetzesentwurf.
Hakverdi (SPD)
@Roßnagel: Wie kann man §100 TKG verfassungskonform formulieren?
Roßnagel: Man muss den zulässigen Anlass genau beschreiben. Stufenweise vorgehen: Verkehr beobachten ohne Personenbezug, bei Anlass auch Anomalien näher anschauen, auch anonym und pseudonym. Erst bei Entdeckung eines Angriffs den Personenbezug herstellen. Im ersten Schritt keine flächendeckende und anlasslose Speicherung von personenbezogenen Daten durchführen. EuGH verlangt, dass Verarbeitung personenbezogener Daten auf das absolut Notwendige beschränkt wird.
Ausnahmen für bestimmte Berufe (Ärzte, Rechtsanwälte, etc.) – überlegen, ob man eine Whitelist mit bestimmten Anschlüssen erstellt. §100 TKG modernisieren. Mehr Kriterien zum Schutz der betroffenen Bürger.
Nachfrage: Sind Whitelists technisch möglich?
Tschersisch: Technisch möglich so gut wie alles, aber Realismus fraglich.
Fazit
Im Grunde entsprachen die vorgebrachten Argumente den Punkten, die bereits im Vorfeld kritisiert wurden. Ein Streitfaktor ist dabei die Frage, ob eine im Normalfall anonyme Meldepflicht ausreicht. Ein weiterer, viel bemängelter Punkt sind die unklaren Begriffsdefinitionen, die unter anderem dazu führen, dass Unternehmen nicht wissen würden, ob sie selbst zur betroffenen kritischen Infrastruktur gehören. Auch die Festlegung auf einen Stand der Technik gibt keine klaren Leitlinien, eine Konkretisierung des Begriffes ist jedoch im Rahmen eines Gesetzes schwer umzusetzen.
Die Begrenzung des Gesetzes auf kritische Infrastrukturen ist dabei ein Kritikpunkt an sich. Denn eigentlich, sollte man meinen, ist IT-Sicherheit für alle ein maßgeblicher Faktor. Denn wenn eine Vielzahl an Unternehmen, die vielleicht für sich genommen nicht kritisch wären, von einem Angriff betroffen ist, kann das in der Masse einen ebenso kritischen Vorfall darstellen wie beispielsweise ein Angriff auf einen einzelnen, großen Energieversorger. Ebenso wichtig für die IT-Sicherheit sind diejenigen, die Komponenten für IT-Systeme liefern, auf deren Basis die Betreiber arbeiten müssen. Existieren beispielsweise Sicherheitslücken in verwendeter Hard- oder Software, hat ein Betreiber eines Unternehmens wenig Handhabe, das ITSG hilft ihm dabei nicht.
Inwiefern der Gesetzesentwurf helfen kann, proaktiv Angriffe zu bekämpfen bleibt fraglich und so stellten einige der Sachverständigen in Frage, ob eine vorgesehene nachträgliche Meldepflicht ausreichend ist, wenn Angreifer sich normalerweise nicht darauf beschränken, Infrastrukturen nacheinander anzugreifen, sondern dies in der Regel parallel erfolgt. Was die Wirksamkeit des Gesetzes darüberhinaus behindern könnte, sind die mangelnden Sanktionierungsbefugnisse. Denn gibt es keinen wirtschaftlichen Anreiz, Sanktionen zu vermeiden, da schlichtweg keine vorgesehen sind, ist es fraglich, ob Unternehmen mitunter intensive Investitionen in IT-Sicherheit tätigen werden.
Ein anderes, viel angesprochenes Thema sind die Speicherbefugnisse für Telemedien- und Telekommunikationsanbieter bezüglich Verkehrsdaten nach §100 TKG, die zur Angriffserkennung gewährt werden sollen. Hier ist eine Konkretisierung und Beschränkung der Befugnisse dringend erforderlich, um nicht eine Vorratsdatenspeicherung durch die Hintertür einzuführen.
Ob eine Verabschiedung des IT-Sicherheitsgesetzes zum aktuellen Zeitpunkt überhaupt sinnvoll ist, wurde aufgrund der aktuell debattierten NIS-Richtlinie an mehreren Stellen angezweifelt. Die NIS-Richtlinie stellt quasi das europäische Äquivalent des ITSG und damit Mindeststandards dar. Bei Widersprüchen müsste das ITSG nachgeregelt werden, manche sehen das ITSG jedoch als mögliche Vorlage für die europäische Regelung.
Worin sich alle Beteiligten einig waren ist der Punkt, dass eine Regelung von IT-Sicherheitsstandards dringend geboten ist. Dass das IT-Sicherheitsgesetz in der aktuellen Entwurfsfassung das gebotene Mittel ist, ist jedoch unwahrscheinlich.
-
: Eichwald MdB: ZDFneo scheitert an Politiker-Satire
: Eichwald MdB: ZDFneo scheitert an Politiker-Satire Auf ZDFneo läuft grade eine vierteilige Kurzserie, die unter Satire eingeordnet ist. Die Geschichte ist recht einfach erklärt: Hajo Eichwald ist seit Ewigkeiten Bundestagsabgeordneter mit einem vollkommen unfähigen Team und bekommt plötzlich Konkurrenz von einem jungen dynamischen Parteikollegen, der aus demselben Wahlkreis stammt, aber über die Landesliste in den Bundestag reingerutscht ist. Also will das Eichwald-Team auf einmal modern und dynamisch werden und tritt von einem Fettnäpchen in das Nächste. Das ist manchmal lustig. So alle 20 versuchten Gags. Dazwischen muss man sich aber 19 Gags wahlweise langweilen oder fremdschämen. Meistens beides. Ich hab versucht, die Staffel zu schauen und bin wahrscheinlich auch Zielgruppe. Dachte ich zumindest vorher, vielleicht bin ich es aber auch gar nicht. Folge 1 hab ich noch durchgeschaut in der Hoffnung, dass es besser wird. Folge 2 war ich schon teilweise mehr in mein Smartphone versunken und bei Folge 3 hab ich ganz abgeschaltet, so dass ich nicht sagen kann, ob Folge 4 wenigstens lustig ist. Meine Lebenszeit war mir aber zu schade. Offensichtlich ist auch, dass sich das Team sehr von Stromberg inspirieren ließ. Die Serie war aber witziger und hatte interessantere Charaktere.
Wäre ja mal schön, wenn es eine gute deutsche Politikserie, gerne als Satire geben würde. Eichwald MdB ist aber ein gescheiterter Versuch voller Fremdschämen. Als Abgeordneter würde ich mich auch etwas verarscht fühlen, dass in einer öffentlich-rechtlichen Fernsehserie Politiker und ihre Mitarbeiter so blöd dargestellt werden. Und dazu noch der Anschein erweckt wird, dass Abgeordnete in riesigen Büros arbeiten.
-
: Viel Nichts auf 56 Seiten: Antwort der Bundesregierung zu Fragen der Digitalisierung
CC <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">BY-NC-SA 2.0</a> via flickr/<a href="https://www.flickr.com/photos/imh/4232804741/in/photolist-8G2xS-7s3eo6-b3sd8c-dXWhoh-aTYPnT-hbeFS5-cBRAE-4WfU8v-7KGNKY-5b1dEk-6JtdTT-6Yuvt9-5EvFMk-kkJxaR-7eajDt-7NKgFo-aR8iKX-f1p7uv-dvJAaF-7HD9xu-k2kzf6-nH8Wrr-5szkfd-5Nz7u8-51M3CH-ikWAf9-bT4Cm-f8rrUJ-7BT2nC-6EDbjw-braaJF-7BbinJ-3j4e7p-eUFq1h-8vxJnY-h6571X-4qakQU-jw1zxy-mAi3S-7jVHfj-2JdvM3-pq8ke4-pgsoy5-ong5wF-qqiFb3-qskioB-oLkmF9-oX5nRM-r2xcJz-8JwShZ">imh</a> : Viel Nichts auf 56 Seiten: Antwort der Bundesregierung zu Fragen der Digitalisierung Der wirtschaftspolitische Sprecher der Grünen im Bundestag, Dieter Janecek, hat eine Kleine Anfrage mit dem Titel „Chancen und Herausforderungen durch die Digitalisierung der Wirtschaft“ an die Bundesregierung gestellt, in der er eine bunte Tüte mit 67 Fragen rund um die Digitalisierung untergebracht hat. Die Themen reichen von Green IT, Industrie 4.0, Datenschutz, Cloud-Computing über Forschung bis hin zur Ausbildung von IT-Fachkräften.
Die Digitale Agenda
Bei den Fragen und Antworten wird intuitiverweise immer wieder Bezug auf die Digitale Agenda der Bundesregierung genommen. Die Bundesregierung gibt an, mit der Digitalen Agenda „eine Vielzahl der Empfehlungen der Enquete-Kommission ‚Internet und digitale Gesellschaft’ aufgegriffen“ zu haben. Auf die Frage, welche Handlungsempfehlungen der Enquete umgesetzt wurden, heißt es:
[Die Bundesregierung] begleitet die für die wirtschaftliche und gesellschaftliche Weiterentwicklung unseres Landes wesentlichen Aspekte der Digitalisierung durch Strategien und Initiativen und trägt auf diesem Wege dazu bei, den digitalen Wandel zu gestalten.
Nun haben wir ja schon oft kritisiert, dass es sich bei der Digitalen Agenda primär um Ankündigungspolitik handelt und diese zu allgemein gehalten ist. Die Bundesregierung formuliert aus diesem Bug ein Feature:
Die Digitale Agenda formuliert bewusst allgemeine Ziele und Vorhaben […]
Ein weiterer Punkt, den wir an der Digitalen Agenda bemängelten, sind die ungeklärten Zuständigkeiten. Es gibt kein Ministerium, dass, trotz der Gewichtigkeit des Themas, hauptsächlich für Digitales zuständig ist und so zerfasern sich netzpolitische Fragen zwischen Wirtschafts‑, Innen- und Verkehrsministerium. Auch der Ausschuss für die Digitale Agenda hat keine Federführung bei betreffenden Gesetzesvorhaben und darf sich mittlerweile immerhin damit schmücken, sich um die gleichnamige Digitale Agenda zu kümmern.
Doch die Bundesregierung gibt immer noch vor, das für eine sinnvolle Idee zu halten:
Es ist nach Ansicht der Bundesregierung nicht sinnvoll, diese Kernzuständigkeiten aufgrund der Digitalisierung oder der Digitale Agenda neu zu ordnen, zumal es nach nicht sinnvoll ist, Themen – je nach dem analoger oder digitaler „Betroffenheit“ unterschiedlichen Ministerien zuzuweisen.
Industrie 4.0 als Förderschwerpunkt
Wirtschaft ist eines der Lieblingsthemen unserer CDU-dominierten Bundesregierung. Kleine und mittelständische Unternehmen sollen gefördert werden. Doch, wie auch Reuters berichtet, merken Industrievertreter davon wenig und beschweren sich über die im Gegensatz zu den USA schwierigeren Marktbedingungen in Deutschland. Auch gibt man an, die genauen Bedürfnisse der Industrie noch nicht vorhersagen zu können, genau wie die Auswirkungen der Digitalisierung auf den Arbeitsmarkt. Janecek sagte Reuters:
Die Bundesregierung spricht gerne über die sogenannte Industrie 4.0, kommt aber kaum voran, dafür die Rahmenbedingungen zu schaffen.
Deutschland als IT-Sicherheitsstandort
Trotzdem ist man überzeugt davon, eigentlich gar nicht so schlecht dazustehen, wenn es um die digitale Wirtschaft geht. Man gibt zwar zu, dass es Deutschland „häufig noch an Erfahrung“ im Umgang mit „Industrie 4.0- und Big Data-Software-Werkzeugen fehlt.“ Aber die Bundesregierung rühmt sich mit den deutschen Errungenschaften im Bereich der IT-Sicherheit. Deutsche Unternehmen seien „im internationalen Vergleich gut positioniert, insbesondere bei Verschlüsselung, Smart Cards, Daten- und Netzwerksicherheit sowie Hochsicherheitslösungen.“ Das passt zu der Propagierung von Deutschland als „Verschlüsselungsstandort Nummer 1“, die nicht ganz zu den Tatsachen passt.
Darauf zielt auch Janeceks Frage 53c:
Wie plant die Bundesregierung, das in der Digitalen Agenda formulierte Ziel „Deutschland als Verschlüsselungsstandort Nummer eins“ zu realisieren (bei gleichzeitigen Überlegungen des Bundesministeriums des Innern Verschlüsselung grundsätzlich so zu gestalten, dass Sicherheitsdienste auf Kommunikation zugreifen können?
Es wird unter anderem mit einem Verweis auf De-Mail geantwortet, beziehungsweise der jetzt vorgestellten Erweiterung mit Ende-zu-Ende-Verschlüsselung. Und was die Kommunikationsentschlüsselung durch Sicherheitsdienste angeht, behauptet man „weder die Implementierung von „Backdoors“ (Hintertüren) noch Schlüsselhinterlegung“ zu wollen. Aber:
Gleichwohl sollen zur Bekämpfung von Kriminalität und Spionage die Cyberfähigkeiten der Strafverfolgungs- und Sicherheitsbehörden ausgebaut werden.
Wie genau das zusammenpasst, wird nicht erklärt. Aber wir erinnern bei Gelegenheit gerne daran.
Datenschutzrisiken durch Industrie 4.0
Die Bundesregierung hat erkannt, dass durch Industrie 4.0™ und Big Data Datenschutzrisiken entstehen. Insbesondere bei Fragen nach dem „Personenbezug und dem ökonomischen Wert der jeweiligen Daten, nach den Verantwortlichkeiten bei der Erhebung und Nutzung, nach der Freiwilligkeit der Datenerhebung, nach der Transparenz der Datenerhebung für den Betroffenen oder nach einem etwaigen Informationsgefälle zwischen Datenverarbeiter und Betroffenem.“ Sie bestätigt auch, dass die Erstellung von Personenprofilen zum Nachteil des Betroffenen geregelt werden muss, wie bei der Verwendung von Fahrzeugdaten zur Ermittlung des Fahrstils und der damit verbundenen Einstufung bei Versicherungen.
Verweis auf die EU-Datenschutzgrundverordnung
Um diese Fragen zu lösen, verweist die Bundesregierung auf die derzeit in der EU verhandelte Datenschutzgrundverordnung. Leider wirkt sie aber nicht unwesentlich dabei mit, deren Verabschiedung hinauszuziehen und lässt sich durch intensive Lobbyarbeit dazu bewegen, sogar für schwächere Datenschutzregeln zu stimmen.
Man redet sich auch beim Arbeitnehmerdatenschutz heraus. Man wolle sich nur um neue Regelungen für Datenschutz am Arbeitsplatz kümmern, wenn die EU-Datenschutzreform nicht schnell genug verabschiedet werde. Dabei verkennt die Bundesregierung, dass der Entwurf für die Datenschutzgrundverordnung massive Lücken – gerade im Bereich Arbeitnehmerdatenschutz – enthält. Viele Datenschützer sind der Meinung, dass beim aktuellen Stand der Arbeitnehmerdatenschutz am besten gar nicht in der EU-Verordnung geregelt werden solle. Dann könnten die Länder ihre eigenen Regelungen festlegen. Die Bundesregierung scheint nicht davon auszugehen, dass das notwendig wird.
Sicherheit durch Sensibilisierung und Eigenverantwortung
Was die Sicherheit von Daten angeht, wie zum Beispiel bei Wirtschaftsspionage relevant, setzt man auf Aufklärung. So sollen „Sensibilisierungsveranstaltungen“ der Verfassungsschutzbehörden und des Bundeskriminalamtes helfen, „Unternehmen Erscheinungsformen und Hintergründe von Wirtschaftsspiona-
ge auch im elektronischen Raum zu erläutern.“ Die Initiative „IT-Sicherheit in der Wirtschaft“ soll kleinen und mittelständischen Unternehmen durch Webseiten-Checks und „Sicherheitsbotschafter“ helfen. Das aus einem Lobbyverband hervorgegangene Angebot „Deutschland sicher im Netz“ komplettiere das Angebot.Janecek und Cem Özdemir kommentieren bei der Welt:
Jeder Nutzer und jedes Unternehmen trägt auch persönlich Verantwortung für die Sicherheit seiner Daten – aber die Bundesregierung muss aufhören, in Brüssel auf die Bremse zu treten, wenn es um starkes europäisches Datenschutzrecht geht. Die europäische IT-Industrie hat seit Snowden einen Wettbewerbsvorteil, wenn Unternehmen ihre Datencenter jetzt hier ansiedeln und nicht mehr in den USA. Das bleibt aber nur so, wenn wir Datenschutz und Datensicherheit ernst nehmen.
Scheinheilige Haltung zur Netzneutralität
Genauso wie die Bundesregierung vorgibt, sich auf EU-Ebene für eine rasche Datenschutzreform einzusetzen, argumentiert sie auch in Fragen der Netzneutralität. Man setze sich mit „Nachdruck für eine gesetzliche Verankerung der Netzneutralität auf europäischer Ebene und einen zeitnahen Abschluss der Verhandlungen zum Vorschlag einer Verordnung“ ein. Wir haben jedoch in einer aufwändigen Recherche gezeigt, dass es um die Netzneutralität in Deutschland ziemlich schlecht bestellt ist und deren Verletzung an der Tagesordnung ist. Das möchte die Bundesregierung beibehalten und setzt sich im EU-Rat dafür ein, dass viele Verletzungen der Netzneutralität in Zukunft legalisiert werden sollen.
Open-Data-Schlusslicht
Weiter geht es mit Open Data. Im September 2014 hat das Bundeskabinett den „Nationalen Aktionsplan zur Umsetzung der Open-Data-Charta der G8“ beschlossen und Ziele formuliert, die bis Ende 2015 umzusetzen sind. Erst im März hat das Center for Data Innovation einen Report veröffentlicht, in dem die Bemühungen der einzelnen Staaten im Rahmen der Charta bewertet werden. Das Ergebnis: Deutschland liegt abgeschlagen auf dem letzten Platz.
Und da verwundern auch die aufgezählten Ziele nicht mehr, wie etwa:
[…] alle Ressorts haben Ansprechpersonen benannt […] Die Bundesregierung verfolgt das Ziel, aus jeder obersten Bundesbehörde sowie jeder Bundesober- und Bundesmittelbehörde mindestens zwei [zwei!] Datensätze auf GovData verfügbar zu machen […] Bundesbehörden stellen konkret benannte Datensätze aus verschiedenen Themenfeldern bis Ende 2015 als Open Data bereit.
Schade, denn im Fachgespräch zu Open Data im Bundestag, das letzten November stattfand, klang es noch so, als seien sich alle einig, dass die Förderung von offenen Daten ein wichtiges Ziel ist.
Bescheidene Open-Source-Ziele
Wenig fortschrittlich sieht es auch im Bereich Open-Source-Einsatz aus. Man befindet sich in dem Stadium „bei Beschaffungen der Bundesverwaltung praktische Hemmnisse für Open Source Software (OSS)“ abzubauen und nennt als Erfolg den Einsatz von Gpg4win. Der im Bundestag über lange Zeit verhindert wurde.
Gemischtes
Viele andere Antworten enthalten eine Aufzählung von mal mehr, mal weniger erfolgreichen Initiativen der Bundesregierung. Mit dabei viele Forschungsprojekte wie „Selbstbestimmt und sicher in der digitalen Welt“ oder „Innovationen für die Produktion, Dienstleistung und Arbeit von morgen,“ das EXIST-Programm zur Förderung von Ausgründungen im Hochschulumfeld und – ein persönlicher Favorit – „Industrie 4.0 – Forschung auf dem betrieblichen Hallenboden.“
Fazit
Ankündigungspolitik, wie gewohnt. Wenig Konkretes, wie schon oft kritisiert.
Nachwort
Eine kleine, nicht ganz ernstgemeinte Kritik an der Anfrage selbst am Schluss. Die Frage „Welche Materialien können bzw. werden nach Kenntnis der Bundesregierung heute schon in der 3D-Drucktechnik verwendet?“ hätte man sich doch mit Benutzung einer Suchmaschine selbst beantworten können. Nichtsdestotrotz – die Regierung gibt freundliche Auskunft:
Thermoplastische Elastomere, gesintertes Polyamid, PVMA-Kunststoff und ABS-Kunststoff, Kunstgips, Kunstharze, Keramiken, Alumide-Sintern und Metalle.
Danke dafür.
-
: Die FDP auf der Suche nach dem „Digitalen Deutschland“
: Die FDP auf der Suche nach dem „Digitalen Deutschland“ 
Christian Lindner gestern in Berlin.
Die Microsoft Deutschland GmbH bietet in Berlin Veranstaltungsreihen an, bei denen illustre Politiker zu Gesprächen eingeladen werden. Alexander Dobrindt und Christoph Keese gaben sich schon die Ehre, Karl-Theodor zu Guttenberg sprach letztes Jahr gar über „Big Data“, also Datenmengen, die mehr als achtzig Disketten umfassen. Gestern war nun der FDP-Chef Christian Lindner zu Gast und sollte zum Thema Digitales Deutschland: Freiheitsentfaltung im digitalen Raum – eine Herausforderung? befragt werden.
Lindner und seiner „Partei der Eigenverantwortung“, die derzeit 56.000 Mitglieder hat, wurden nach den Wahlen in Hamburg und einer Wutrede im NRW-Landtag Chancen auf ein Comeback nachgesagt. Eine gute Gelegenheit also, die politischen Positionen der Freien Demokraten zu den aktuell diskutierten netzpolitischen und technischen Fragen herauszufinden – dachte ich zumindest.
Was bieten denn die Freidemokraten an zum Thema „Digitales Deutschland“? Diese Frage stellte der Interviewpartner Wolfram Weimer dem FDP-Chef gleich mehrfach im Laufe des Abends. Am überaus konzilianten Weimer, der eine „Trümmerlandschaft des deutschen Liberalismus“ ausmachte, lag es jedenfalls nicht, dass über alles Mögliche gesprochen wurde, nur auffallend wenig über netzpolitische Themen. Lindner blieb weitgehend vage, kündigte aber an, seine Partei politisch „konsequenter liberal“ führen zu wollen, und erwähnte eine Art „Manifest“ der FDP, das in Kürze veröffentlicht werden solle, dessen Inhalt aber nicht besprochen wurde. Es sei übrigens „vollkommen falsch“, dass die FDP nach links gerückt sei, im Gegenteil, der Grundsatz laute: „Pro Market“.
Der FDP-Vorsitzende Christian Lindner. Bild: Dirk Vorderstraße. Lizenz: Creative Commons BY 2.0
Damit war das Motto des Abends gesetzt, denn das „Digitale Deutschland“ im freidemokratischen Parteiumfeld, dessen Sympathisanten die große Mehrheit der Besucher waren, besteht aus Marktteilnehmern und deren Bedürfnissen sowie aus wettbewerbsrechtlichen Fragen. Die inadäquate Gründungskultur in Deutschland wurde mehrfach angesprochen.
Um die Themen des Gesprächs, das weitgehend ohne kritische Nachfragen auskam, zu umreißen, hier eine Auswahl der politischen Streitfelder, über die Lindner in anderthalb Stunden sprach: Außenpolitik, Rente, Frauenquote, Solidaritätszuschlag, Energie- und Klimapolitik, Steuern, FDP-Regionalpolitiker, Fernbuswesen, Wahl- und Politiklethargie, die AfD sowie der Berlin-Brandenburg-Zusammenschluss. Man sagt ja in den letzten Jahren immer öfter, dass sich in kaum einem Politikbereich keine netzpolitischen Fragen mehr aufdrängen würden, aber dass man beim „Digitalen Deutschland“ so weite Kreise ziehen würde, kam doch überraschend.
Die wenigen netzpolitisch diskutierten Fragen, die Lindner überhaupt kurz ansprach, waren zum einen die Vorratsdatenspeicherung (VDS), von der er sich ganz klar distanziert und äußerte, dass „kein Fahnder sie seit dem Urteil vermisst“ hätte. Er beklagte das dauernde Rufen nach der VDS bei jeder Gelegenheit. Zum anderen erwähnte er die elektronische Gesundheitskarte und die elektronische Patientenakte, die er als enorm zukunftsträchtig charakterisierte und deren Chancen man nutzen müsse. Den Patienten sei aber die „Datensouveränität“ zu erhalten. Es gehe dabei vor allem um eine „Eigentumsfrage“, nämlich das Eigentum an den eigenen Gesundheitsdaten.
Die EU-Datenschutzgrundverordnung, die derzeit in Brüssel ein heißes Eisen ist, kam auch nur am Rande zur Sprache. Nach Ansicht Lindners würde das Inkrafttreten eine „gewisse Waffengleichheit“ herstellen, gemeint war vermutlich die zwischen Nutzern und den Datenkonzernen. Man hätte sich die eine oder andere Nachfrage als Zuhörer gewünscht, Wohlfühl-Interviewer Weimer schien das anders zu sehen. Der FDP-Chef bezeichnete es noch als „Skandal, dass die Datenschutzgrundverordnung noch nicht beschlossen ist“, ging aber auf keinerlei inhaltliche Aspekte der Verordnung ein.
Was die Bildung im „Digitalen Deutschland“ angeht, können sich die Studenten übrigens auf einiges gefasst machen, falls die FDP in Zukunft die Wissenschaftspolitik wieder mitbestimmen würde. Denn Hochschulen sind nach Lindners Auffassung zukünftig so aufzustellen, dass ihr „Innovationsstatus“ verbessert und sie für Unternehmenszwecke optimiert werden sollen. Man brauche vor allem „Gründergeist“ wie im Silicon Valley, über den an diesem Abend viel geredet wurde. Aber dass Hochschulen zu Kaderschmieden der Industrie degradiert wurden, daran stören sich nur noch wenige.
Ganz am Schluss kurz von einem Mitglied der JuLis zu Online-Beteiligungsverfahren befragt, positionierte sich Lindner deutlich:
Beteiligung darf Führung nicht ersetzen.
Vielleicht könne sie aber ergänzt werden, man wolle aber nicht zu „piratisch“ werden.
Die einzig konkrete technische Frage, die in der Fragerunde am Ende von Rüdiger Weis gestellt wurde, war nach politischen Ideen, um Trusted Computing entgegenzuwirken. Leider schien Lindner die Frage wirklich nicht verstanden zu haben, sondern antwortete nur allgemein, dass er sich für offene Schnittstellen und Open Source einsetzen wolle, allerdings nicht „als Religion“, sondern in „verhältnismäßigem“ Umfang.
Nach der Fragerunde und den Gesprächen nach dem Lindner-Interview zu urteilen, war dem FDP-nahen Publikum das Fehlen netzpolitischer Inhalte und der freidemokratischen Positionen dazu kaum aufgefallen. Die meisten waren begeistert. Aber bis zur nächsten Bundestagswahl ist ja noch Zeit, politische Ideen zum „Digitalen Deutschland“ zu entwickeln und dem Wahlvolk zu erklären.
-
: Wissenschaftsjahr 2015: Hack your City – Auftakt in Berlin
<a href="https://creativecommons.org/licenses/by/4.0/">CC by 4.0</a> <a href="https://twitter.com/hashtag/zukunftsstadt">#Zukunftsstadt</a> : Wissenschaftsjahr 2015: Hack your City – Auftakt in Berlin Am 9. Mai 2015 startet bei Infarm in Berlin, direkt nach der re:publica, das Projekt Hack your City. Im Wissenschaftsjahr 2015 – Zukunftsstadt organisiert Wissenschaft im Dialog (WiD), gemeinsamt mit der Open Knowledge Foundation insgesamt vier Hack your City-Days und mehrmonatige Science-Labs.
Die Citizen Science Labs, als Teil von Code for Germany, bieten Jung- und Hobbyforscherinnen die Chance, in Zusammenarbeit mit Entwicklern, Architektinnen, Designern und Bürgerinnen, Lösungen (Hacks) für Probleme in ihren Städten zu finden. Beispielsweise könnten Anwendungen entwickelt werden, wie Fahrrad- und öffentlicher Verkehr sinnvoll verknüpft werden können, oder wie die Öffentlichkeit aktiv in die Energiewende einbezogen werden kann.
Nach dem Projektauftag am 9./10. Mai 2015 in Berlin finden noch drei weitere Hack your City-Days statt: vom 30.–31. Mai in Dortmund/Wuppertal, vom 5.–7. Juni in Dresden/Leipzig, und vom 13.–14. Juni in Karlsruhe.
Im Sinne des Austausches zwischen Öffentlichkeit und Forschung werden die Wissenschaftsjahre vom Bundesministerium für Bildung und Forschung (BMBF) in Zusammenarbeit mit Wissenschaft im Dialog gefördert.
-
: Kommentar: Fehlgeleitete Diskussion um Datenschutz in der Causa Germanwings
<a href="https://creativecommons.org/licenses/by/2.0/">CC BY 2.0</a> via flickr/<a href="https://www.flickr.com/photos/v1ctor/8325573561/in/photolist-dFGJXK-6gPX3K-5CuWjv-d3hHtj-68JuuP-dWc8ck-8qefgJ-8djX17-gTSYuR-gTRXRS-nhRkoY-gTRXiL-5JLemg-7HwiR3-9VTTtu-jSQRwD-Tnyq-ptZFqE-8rTDgK-gTSmKL-oahEi-72F69f-uh66-mgc2Bt-4nHKBe-dVmXg6-gPDja5-aizeTt-jsZp4A-j9HbdW-zDr6c-9xxpeK-gPST7H-HdEYX-gTScLJ-gPUoTx-dXT5Yb-2CWpnK-4NWvnA-dVsx8Y-gTTyUH-FE7JK-gPUoDK-8pW797-ceUgoW-qacJD2-6h7GZp-gTSdGn-iXpabs-R52d">v1ctor</a> : Kommentar: Fehlgeleitete Diskussion um Datenschutz in der Causa Germanwings Die Diskussion um die Ursachen des Germanwings-Absturzes sind bei der Beschuldigung des deutschen Datenschutzes angekommen. Das ist falsch und verkennt das echte Problem: Den Umgang mit der Behandlung psychischer Erkrankungen. Ein Kommentar.
Einem Bericht der Sunday Times zufolge bereitet die EU-Kommission in der Sache Germanwings-Absturz rechtliche Schritte gegen Deutschland vor. Deutsche Datenschutzregelungen widersprächen Sicherheitsregelungen in der EU, die Ärzte und Fluggesellschaften dazu verpflichten, Gesundheitsdaten von Piloten zu teilen, die deren Flugtauglichkeit betreffen.
Der Pilot der abgestürzten Maschine hatte psychische Probleme und ließ die Maschine mit Selbstmordabsichten abstürzen. Seine Depressionen waren seit 2009 bekannt, das Luftfahrtbundesamt (LBA) wurde jedoch nicht informiert. Die Antwort in der Schuldfrage scheint nun auf den deutschen Datenschutz gefallen zu sein. Die Behörde hätte informiert werden müssen, heißt es. Schon Ende 2014 habe die EU-Luftfahrtagentur Easa bemängelt, dass das LBA zu wenig Zugang zu medizinischen Akten habe.
Berufsverbot für Depressive
Bayerns Innenminister Joachim Herrmann hat die Diskussion noch einen Schritt weiter ins Absurde getrieben und die Forderung nach einem Berufsverbot für Depressive aufgebracht:
[Wenn eine medizinische Untersuchung zu dem Ergebnis kommt,] dass etwa ein Pilot, ein Busfahrer oder ein Taxifahrer dauerhaft nicht mehr geeignet ist, Menschen oder sonstige Güter zu transportieren, ohne dass Gefahr für Leib und Leben anderer besteht, dann kann solchen Personen auch der Führerschein beziehungsweise die Lizenz entzogen werden.
Die Verflachung der Diskussion ist fatal. Denn es gibt schon heute die Möglichkeit und die Pflicht, Berufsverbote zu erteilen oder Lizenzen zu entziehen, wenn eine konkrete Gefährdung durch eine Person vorliegt. Wenn ein solcher Vorgang durch Nachlässigkeit der zuständigen Stellen und Behörden nicht angestoßen wird, ist das kein Versagen deutscher Datenschutzgesetze, sondern ein Einzelfall. Die Krankheit des Piloten war dem Arbeitgeber seit sechs Jahren bekannt, Folgeuntersuchungen fanden statt.
Deutsche Befindlichkeiten?
Desweiteren wird Deutschland als Exot hingestellt, die Washington Post unterstellt eine Art Privacy-Neurose und sucht Gründe in der Vergangenheit.
Rather than chasing every angle, many media outlets here seem to be acting as the guardians of cherished privacy — a notion that is strong here in part due to the prying eyes of the state during the Nazi and Cold War eras.
Stigmatisierung statt Behandlung
Doch das Wichtigste: Diejenigen, die Berufsverbote und stärkere Überwachung des geistigen Zustandes von Arbeitnehmern fordern, bewirken, dass sie damit die Gesamtsituation nicht verbessern, sondern zur Eskalation bringen. Die Diskussion hat bisher vor allem eines gebracht: Die Stigmatisierung von Menschen mit psychischen Problemen. Das ist absurd, besonders wenn man sich Statistiken anschaut: Die Deutsche Depressionshilfe spricht von vier Millionen Menschen mit behandlungsbedürftigen Depressionen in Deutschland und davon, dass ein Fünftel der Bevölkerung einmal in ihrem Leben an einer Depression erkrankt. Die Techniker Krankenkasse stellte fest, dass pro Arbeitnehmer durchschnittlich ein Krankheitstag pro Jahr aufgrund einer Depression anfällt. Eine Studie von 2011 spricht davon, dass jährlich etwa 38 Prozent der EU-Bevölkerung von einer psychischen Krankheit betroffen ist. Erhebungen kommen zu dem Ergebnis, dass nur etwa ein Viertel der Erkrankten angemessen behandelt wird.
Wir reden also nicht von einem Randphänomen, wir reden von einer gesamtgesellschaftlichen Fragestellung. Und man braucht nicht besonders viel Abstraktionsvermögen, um sich vorzustellen, dass die Hürde, sich vertrauensvoll an einen Arzt zu wenden sich signifikant vergrößert, wenn befürchtet werden muss, dass dieser sich sofort an den Arbeitgeber oder eine entsprechende Aufsicht wenden muss. Und ebenso wenig Abstraktion braucht es, um einzusehen, dass eine unbehandelte psychische Erkrankung viel weitreichendere negative Folgen hat als eine behandelte.
Die eigentlichen Kernprobleme
Was es braucht, anstelle eines Zeigefingers der auf die deutschen Datenschutzbefindlichkeiten zeigt, ist eine Debatte um die Versorgung von Menschen mit psychischen Problemen. Je nach Bundesland müssen ein Drittel bis die Hälfte der Hilfesuchenden über sechs Monate auf einen Therapieplatz warten. Das ist bei akuten Problemen vollständig indiskutabel und schreckt noch dazu viele vollständig ab und treibt sie in die Resignation.
Vielleicht sollten Politiker und Medien darüber nachdenken, wie hoch die Inzidenz für eine Depression ist, bevor sie von dem Ross der eigenen Unantastbarkeit Datenschutzsenkungen und Berufsverbote propagieren. Und sich selbst mal untersuchen lassen.
-
: Politikverdrossenheit: Die Parteien und die digitale Welt
: Politikverdrossenheit: Die Parteien und die digitale Welt Der Deutschlandfunk hat gestern über „Politikverdrossenheit: Die Parteien und die digitale Welt“ berichtet:
Vielerorts sinkt die Wahlbeteiligung, und auch die Parteien verlieren stetig Mitglieder. Das Netz ist ein Ort des modernen Austausches und der Partizipation. Politiker verschenken in dieser digitalen Welt Potenzial, um in den Kontakt mit Wählern zu treten.
-
: Pornoabmahn-Anwalt zu Schadensersatz verurteilt
Symbolbild. CC BY-NC-ND 2.0 via flickr/derohlsen : Pornoabmahn-Anwalt zu Schadensersatz verurteilt Die Abmahnungen, die Ende 2013 von der Kanzlei U+C an etwa 36.000 Besucher der Pornostreamingseite Redtube verschickt wurden, sorgten primär für Unverständnis und so war schnell klar, dass sich aus den angedrohten Geldstrafen keine echten Konsequenzen aufgrund vermeintlicher Urheberrechtsverletzungen ergeben würden. Zumindest nicht für diejenigen, die nicht in vorauseilendem Gehorsam sofort der Zahlungsforderung nachgekommen waren. Stattdessen standen die Abmahnungen für die Profitgier von Abmahnanwälten und den angeblichen Rechteinhabern.
Schnell kam es zu Zweifeln an der Rechtmäßigkeit der Abmahnungen – sowohl was die Beschaffung der IP-Adressen der Nutzer durch das Landgericht Köln angeht als auch die tatsächliche Rechtslage in Bezug auf die Urheberrechte der von der Kanzlei vertretenen The Archive AG.
Die Kanzlei Weiß & Partner reichte eine Schadenersatzklage gegen den hinter den Abmahnungen stehenden Thomas Urmann ein:
Die öffentlich zugänglichen Informationen sowie die uns zugetragenen Hintergründe dieser Abmahnwelle ließen relativ zügig die Frage aufkommen, ob in dieser Massenabmahnwelle nicht vielmehr ein sittenwidriges oder gar strafrechtlich relevantes Geschäftsmodell zu sehen ist und somit auch, ob nicht der Unterzeichner der Abmahnungen, Herr Rechtsanwalt Thomas Urmann, persönlich für die dadurch entstandenen Schäden aufzukommen hat.
Urmann reagierte kaum mehr und erschien auch nicht zu einem Verfahrensterminen am 20. März 2015, weshalb das Amtgericht Regensburg ihn in einem Versäumnisurteil zu Schadenersatz verurteilte, das noch nicht rechtskräftig ist. Doch noch wichtiger ist die Feststellung des Gerichts, dass Urmanns Tat „eine vorsätzlich begangene unerlaubte Handlung“ zugrundeliegt, damit meint es das Geschäftsmodell Abmahnung.
Urmann ist übrigens schon seit Längerem kein zugelassener Rechtsanwalt mehr, aus der Anwaltskanzlei U+C wurde die Z9 Verwaltungs-GmbH.
-
: Mit Vorratsdatenspeicherung wär’ das nicht passiert (Update)
: Mit Vorratsdatenspeicherung wär’ das nicht passiert (Update) Manchen Aussagen kann man offenbar nur noch mit Humor begegnen. Nach Sigmar Gabriels verbaler Entgleisung über die Vorratsdatenspeicherung und den NSU schwappt eine Humorwelle unter dem Motto „Mit Vorratsdatenspeicherung wär’ das nicht passiert“ durchs Netz. extra3 hat die besten Einsendungen zu Gabriels Vorratsdaten zusammengestellt, auch Kattascha hat schon einige der Motive gesammelt.
Die Süddeutsche nennt Sigmar Gabriels Argumentation ein „billiges Ablenkungsmanöver“ und kommentiert zur der These des SPD-Chefs, dass man mit Hilfe der Vorratsdatenspeicherung die mutmaßliche NSU-Täter hätte fangen können:
Bereits die klassische Telefonüberwachung einzelner Verdächtiger hätte gute Hinweise geliefert, wiederum ohne Vorratsdaten. Doch etliche Spuren blieben unbeachtet, wurden nicht rechtzeitig oder nicht energisch genug verfolgt. Die Liste der Fehler und Fehlleistungen ist lang.
Update: Das Bild verbreitet Extra3 auf Facebook.
-
: BMWi erstellt FAQ zum Referentenentwurf zur Regelung der Haftung bei öffentlichen WLANs – Probleme bleiben ungelöst
: BMWi erstellt FAQ zum Referentenentwurf zur Regelung der Haftung bei öffentlichen WLANs – Probleme bleiben ungelöst Um Fragen zum Referentenentwurf zur Regelung der Haftung bei öffentlichen WLANs zu begegnen, erstellte das BMWi eine FAQ mit dem Titel „Mehr Rechtssicherheit bei WLAN – Potentiale der kabellosen Kommunikation nutzen“. Wir berichteten hier.
Leider gelingt es auch mit Hilfe des FAQs nicht, eine wirkliche Klärung des Sachverhalts zu erreichen. Viel mehr wird noch deutlicher, dass das BMWi nicht verstanden hat, mit welchen Regelungen es möglich ist eine größere Ausbreitung von öffentlichen WLANs zu befördern.
Passend dazu ein Auszug aus dem Fazit von Reto Mantz auf offenenetze.de.
Für mich persönlich verfestigt sich das Bild. Der Gesetzgeber möchte mehr WLANs, zielt aber eigentlich auf ein Weniger an WLAN-Nutzung ab, weil über WLANs Rechtsverletzungen begangen werden könnten.
Das WLAN soll verschlüsselt werden, um Nutzer vom WLAN abzuhalten. Der Private soll den Namen kennen, damit auf sozialer Ebene eine „Kontrolle“ stattfindet. Leider hat der Gesetzgeber bisher noch nicht verstanden, dass sich das mit dem Ziel der Verbreitung von WLANs vollständig beißt.
-
: Nebelkerzen per FAQ: Das BMWi redet sich seinen Gesetzentwurf zur Störerhaftung schön
: Nebelkerzen per FAQ: Das BMWi redet sich seinen Gesetzentwurf zur Störerhaftung schön Das Bundesministerium für Wirtschaft und Technologie (BMWi) hat auf seiner Homepage eine FAQ („Frequently Asked Questions“) veröffentlicht, die den im Hause entworfenen Gesetzentwurf zur Verschärfung der Störerhaftung „erläutern“ soll. Der Entwurf, der sowohl von der Presse als auch von Wirtschaftsverbänden, Landesmedienanstalten und NGOs in seltener Einigkeit als verfehlt kritisiert wurde, soll damit offenbar schöngeredet werden. Da die Diskussionen im Bundestag gerade erst beginnen und wir hoffen, dass unsere Volksvertreter die gröbsten Fehler des Entwurfs noch korrigieren werden, stellen wir einigen Marketing-Nebelkerzen der Ministerialen hier einmal die Realität gegenüber.
Müssen WLAN-Betreiber den einzelnen Nutzer namentlich erfassen, speichern, protokollieren o. ä.?
Ganz klar: Nein. § 8 TMG (neu) fordert weder von geschäftsmäßigen Betreibern oder öffentlichen Einrichtungen noch von privaten WLAN-Betreibern, dass sie den Namen des Nutzers protokollieren, registrieren oder anderweitig erfassen. Private WLAN-Anbieter müssen im Zeitpunkt der WLAN-Überlassung nur den Namen des Nutzers kennen. Dies dürfte im privaten Umfeld regelmäßig der Fall sein.
Schön wär’s. Selbst wenn im Gesetzentwurf keine ausdrückliche Pflicht zur Protokollierung vorgesehen ist – man muss alle Namen kennen. Was das Ministerium verschweigt: Beweisen muss diese Kenntnis, wer sich später darauf berufen will – also die Betreiber der Funknetzwerke. Und wie können sie vor Gericht beweisen, alle Namen gekannt zu haben? Bingo: indem sie sie aufschreiben. Der Vorschlag der Bundesregierung wird also sehr wohl auf eine Perso-Pflicht fürs WLAN hinauslaufen. Solche bürokratischen Hürden werden dazu führen, dass die meisten Privaten sicherheitshalber ihr WLAN doch lieber nicht öffnen werden – und wer es tut, wird Buch führen über jede(n), der im WLAN zu Gast war: Die Vorratsdatenspeicherung fürs WLAN durch die Hintertür.
Die Bundesregierung macht damit deutlich, dass ihr Bekenntnis zu mehr offenen WLANs ein reines Lippenbekenntnis ist: Offiziell tut man zwar so, als wolle man mehr offene WLANs, eigentlich aber geht es darum, möglichst viele Hürden ins Gesetz su schreiben, damit weiter Funkstille auf den Bürgersteigen herrscht. Nach Informationen von netzpolitik.org hat sich hier das Bundesministerium des Innern durchsetzen können: Dort hält man offene WLAN-Netze für Teufelswerk, weil sie einen anonymen Zugang zum Internet bieten könnten – gerade so, als gäbe es kein TOR und keine anonymen Internet-Cafes oder auch Mobilfunk-Netze (ja, via Mobilfunk da surft man bei fast allen Providern in Deutschland anonym – die Zauberworte heißen hier NAT & private IP-Adressen).
Ist der Freifunk e. V. ein geschäftsmäßiger oder ein privater WLAN-Betreiber?
Ob ein Freifunkverein privater oder geschäftsmäßiger WLAN-Anbieter ist, kommt auf den Einzelfall an. Über die Art der Betätigung könnte u. a. die Satzung Aufschluss geben und, ob der Betreiber für Gäste einen eigenen Zugang eingerichtet hat. Wir gehen davon aus, dass Freifunker ihr WLAN in der Regel wiederholt und auf Dauer zur Verfügung stellen, also geschäftsmäßig tätig sind.
Genau: Es kommt darauf an – und damit herrscht wieder Unklarheit über die Rechtslage, also das genaue Gegenteil einer klaren, eindeutigen Haftungs-Befreiung ohne Hintertüren. Die Abmahn-Industrie wird sich freuen, kann sie sich doch diese Unklarheit über die Rechtslage wieder zunutze machen.
Im Kontext WLAN-Haftung darf man eines nicht vergessen: Abmahnungen sind ein Geschäft mit der Angst, genauer gesagt mit der Unsicherheit der Abmahn-Opfer über die Rechtslage. Eine gesetzliche Regelung, die nicht glasklar alle Zweifelsfälle im Sinne einer Haftungsfreistellung entscheidet, sodass Abmahnen vor Gericht zuverlässig verlieren würden, wird Abmahnungen eher fördern als verhindern – und damit am gegenwärtigen Mangeln an WLAN-Netzen auch nichts ändern.
Was genau muss ein geschäftsmäßiger Anbieter (z. B. Hotel, Restaurant) oder eine öffentliche Einrichtung (z. B. Bibliothek, Rathaus) tun, um nicht für Rechtsverletzungen, die andere über ihr WLAN begehen, zu haften?
Er muss erstens seinen Router verschlüsseln, wie dies vom Hersteller vorgesehen ist. Die Verschlüsselung kann u. U. bereits in den Werkseinstellungen eines Routers eingestellt sein. Er kann seinen WLAN-Zugang aber auch durch eine vergleichbare Maßnahme sichern. Damit stellen wir Technologieneutralität der Regelung sicher. Zweitens muss er sich vom Nutzer zusichern lassen, dass dieser keine Rechtsverletzungen über den WLAN-Anschluss begehen wird. Hierfür reicht beispielsweise schon, dass der Nutzer auf einer vorgeschalteten Seite den Nutzungsbedingungen mit einem Klick zustimmt.
Und damit stellt der Gesetzentwurf völlig sinnlose Hürden auf: Das Ziel, Rechtsverletzungen zu verhindern, ist als solches natürlich legitim. Die beiden Mittel – Verschlüsselung des Netzes und eine Vorschalt-Seite, auf der man seine reinen Absichten per Mausklick beschwören soll – sind dazu aber offensichtlich ungeeignet. Wer ein WLAN wirklich zu illegalen Zwecken nutzen will, der wird sich von einer „Lügenseite“ sicherlich ebenso wenig abschrecken lassen wie davon, erst ein Passwort in Erfahrung bringen zu müssen. Aber für Betreiber macht es die Sache unbequem – sie müssen nämlich erst einmal eine technische Lösung für die „Lügenseite“ finden und können nicht einfach den Router aufstellen, den sie vom Provider geliefert bekommen. Beide Pflichten sind also nutzlos, um das angebliche Ziel (keine illegale Nutzung des WLANs) zu erreichen. Sie sind aber ausgesprochen nützlich, wenn es eigentlich darum geht, offene WLAN-Netze möglichst zu verhindern, wie es das BMI will (s.o.).
Warum ist eine Verschlüsselung des WLAN-Routers erforderlich?
Die Verschlüsselung dient vor allem dem Interesse des WLAN-Betreibers selbst. Sie verhindert, dass Unbefugte über seinen Internet-Zugang surfen und auf seine Dateien zugreifen können. Darüber hinaus dient die Verschlüsselung dem Schutz des Kommunikationsgeheimnisses.
Auch hier streut das Ministerium den Bürgerinnen und Bürgern Sand in die Augen: Wer den WLAN-Schlüssel kennt, kann im Zweifel auch den Datenverkehr anderer WALN-Nutzer mitlesen – hier hilft keine Verschlüsselung des WLANs. Dem Schutz des Kommunikationsgeheimnisses dienen hingegen Ende-zu-Ende-Verschlüsselungen (IMAPS, SMTSP, HTTPS). Die können auch in offenen Netzen Datensicherheit gewährleisten, ganz ohne kryptische Passwörter fürs WLAN.
Gleiches gilt für die „Daten“ des Betreibers des WLANs: Wenn er sein Netz überhaupt öffnet, muss er natürlich seine eigenen Dienste wie etwa File-Server mit weiteren Zugangssicherungen absichern. Moderne Router bieten hier z.B. Gast-Netzwerke, die logisch vom internen Netz getrennt sind. Die Verschlüsselung des WLANs als solche hilft hier hingegen gerade nicht weiter, denn um das Netz zu öffnen, muss man das Passwort ja ohnehin weitergeben.
Die Verschlüsselungspflicht dient also wiederum allein dem Zweck, wirklich offene Netze zu verhindern. Insbesondere Freifunk-Netze sind mit Passwort nur sehr schwer zu realisieren, weil es üblicherweise keine Anmeldung gibt und damit auch keine Möglichkeit, ein Passwort zu kommunizieren. Die Verschlüsselungspflicht dürfte daher wiederum allein der lebensfremden Absicht des Innenministeriums geschuldet sein, anonyme Internet-Nutzung zu verhindern – für die angeblichen Ziele taugt sie jedenfalls nicht.
Warum wird die Störerhaftung nicht uneingeschränkt aufgehoben, wie es etwa die Freifunker fordern?
Das Recht am geistigen Eigentum hat einen hohen Wert in Europa. Deswegen wollen wir seine Durchsetzung sicherstellen. Die vollständige Abschaffung der Störerhaftung hieße, dass jeder über das WLAN eines anderen ins Internet gehen, auf dessen Daten zugreifen und Urheberrechtsverletzungen oder Straftaten begehen könnte. Unsere Lösung ist daher das Ergebnis einer verantwortungsvollen Interessenabwägung – zwischen den Interessen der möglichen Hotspot-Anbieter und der Nutzer einerseits und dem Interesse der Inhaber von Urheberrechten und des Staates an einer effektiven Strafverfolgung andererseits.
Das liest sich erst einmal gut, dürfte aber aus den oben schon genannten Gründen entweder nur vorgeschoben sein – oder die Verfasser des Entwurfs im BMWi wissen es wirklich nicht besser: Die im Gesetzentwurf vorgesehenen Maßnahmen sind offensichtlich ungeeignet, um eine missbräuchliche Nutzung von WLANs zu verhindern. Wer wirklich Urheberrechte verletzen will, kann das in aller Ruhe von eigenen Anschluss oder vom WLAN im Cafe aus tun, denn Streaming lässt sich (anders als Filesharing, aber das ist ja eh eher 90er) weder verhindern noch verfolgen oder abmahnen. Gleiches gilt für Straftaten im Netz: Es gibt derart zahlreiche Möglichkeiten, das Internet anonym zu nutzen, dass es aus der Perspektive der Strafverfolgung vollkommen irrelevant ist, ob es nun auch noch offene WLANs gibt oder nicht: Ein UMTS-Stick im richtigen Netz genügt, um die Behörden abzuhängen, von ausgefeilteren Methoden wie etwa TOR ganz zu schweigen.
Die Anforderungen des Gesetzentwurfs machen es aber unsicher und kompliziert, WLANs überhaupt zu öffnen. Der Gesetzentwurf wird also nicht etwa dazu führen, dass WLAN-Netze geöffnet und nur zu legalen Zwecken genutzt werden, sondern dazu, dass nur sehr wenige weitere Netze geöffnet werden. Dass dabei die bestehenden Freifunk-Netze de facto verboten werden wird als Kollateralschaden offenbar in Kauf genommen. Zugleich werden sich diejenigen Netze, die trotz all der Hürden geöffnet werden, weiterhin auch illegal nutzen lassen. Im Ergebnis werden also unnötige Hürden aufgestellt, wird die Haftung für alle kommerziellen Anbieter verschärft – und zwar ohne dass die Inhaber von Urheberrechten oder die Strafverfolgungsbehörden irgendwelche Vorteile davon hätten: ein wahrhaft absurdes Ergebnis.
Widerspricht die Neuregelung (§ 8 Abs. 4 TMG (neu)) nicht dem Urteil des Amtsgerichts Charlottenburg vom 17.12.2014, das gegen eine Haftung eines Freifunkers entschieden hat?
Bei diesem Urteil handelt es sich um eine der oben beschriebenen uneinheitlichen untergerichtlichen Entscheidungen. Rechtsmittel werden in diesen Fällen in der Regel nicht eingelegt, so dass es zu keiner höchstrichterlichen Rechtsprechung kommt. Künftig wird jedem WLAN-Anbieter nach dem Gesetz klar sein, wie er die Störerhaftung ausschließen kann.
Das kann man nur noch als Lüge bezeichnen: Der Gesetzentwurf würde die Haftung wieder einführen, die das Gericht gerade abgelehnt hat, und für Klarheit sorgt der Gesetzentwurf gerade nicht.
Mit anderen Worten: Schon nach der bisherigen Rechtslage müssen WLAN-Betreiber wie etwa Freifunker nicht haften, weil sie Provider sind – es gibt nur immer noch Abmahner, die ihr Geschäft mit der Angst ungerührt fortführen. Die Bundesregierung versucht nun, die Zeit zurückzudrehen und die Haftung wieder einzuführen – deswegen handelt es sich auch nicht um ein Gesetz zur Begrenzung, sondern im Gegenteil zur Verschärfung der Störerhaftung.
