Kritik am IT-Sicherheitsgesetz


IT-Sicherheitsvorfälle: Was konkret zu den Kritischen Infrastrukturen gehört, soll laut Entwurf in einer folgenden Rechtsverordnung festgeschrieben werden
Um den Schutz der Bürger vor Cyberkriminalität zu verbessern, sollen Betreiber von Webseiten sowie Access-Provider der Vorlage entsprechend verpflichtet werden, IT-Sicherheit "nach dem Stand der Technik" zu gewährleisten

(07.05.15) - Experten sehen Änderungs- und Ergänzungsbedarf bei dem von der Bundesregierung vorgelegten Entwurf eines IT-Sicherheitsgesetzes (18/4096). Während einer öffentlichen Anhörung des Innenausschusses begrüßte die überwiegende Mehrheit der geladenen Sachverständigen das Vorhaben der Regierung, gesetzliche Regelungen zur Verbesserung der IT-Sicherheit zu schaffen. Ziel der Regierungsinitiative ist es vor allem, "Kritische Infrastrukturen", also Einrichtungen, "die für das Funktionieren unseres Gemeinwesens zentral sind", wie die Regierung in dem Entwurf schreibt, besser vor Angriffen auf ihre informationstechnischen Systeme zu schützen. Dazu sollen deren Betreiber dem Entwurf zufolge künftig ein Mindestniveau an IT-Sicherheit einhalten und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) IT-Sicherheitsvorfälle melden. Was konkret zu den Kritischen Infrastrukturen gehört, soll laut Entwurf in einer folgenden Rechtsverordnung festgeschrieben werden.

Um den Schutz der Bürger vor Cyberkriminalität zu verbessern, sollen Betreiber von Webseiten sowie Access-Provider der Vorlage entsprechend verpflichtet werden, IT-Sicherheit "nach dem Stand der Technik" zu gewährleisten. Zudem sollen sie IT-Sicherheitsvorfälle, die zu einem unerlaubten Zugriff auf Systeme der Nutzer oder einer Beeinträchtigung der Verfügbarkeit führen können, unverzüglich über die Bundesnetzagentur an das BSI melden und betroffene Nutzer über bekannte Störungen ihrer Systeme informieren.

Iris Plöger vom Bundesverband der Deutschen Industrie (BDI) kritisierte während der Anhörung, dass aus dem Entwurf nicht hervorgehe, welche Bereiche und Unternehmen zu den "Kritischen Infrastrukturen" gehören. Auch was die Meldepflicht angeht, so stünden "Aufwand und Nutzen in keinem Verhältnis", kritisierte sie. Zudem sei nicht nachvollziehbar, warum sich das Gesetz lediglich an private Betreiber kritischer Infrastrukturen richte. Der Kritik an der fehlenden Klarstellung, wer zu den Kritischen Infrastrukturen gehört, schloss sich Axel Wehling vom Gesamtverband der Deutschen Versicherungswirtschaft an. Skeptisch bewertete er auch die Regelung, wonach das BSI Meldungen über Angriffe an Dritte weitergeben könne. Eine solche Meldung, solle künftig tatsächlich möglich sein, müsse so erfolgen, "das kein Rückschluss auf das betroffenene Unternehmen möglich ist", forderte er.

Aus Sicht von Professor Gerrit Hornung von der Universität Passaus ist die Bestimmtheit bei der Beschreibung der Kritischen Infrastrukturen "gerade noch gewahrt". Dennoch sei es sinnvoll, die Kriterien für deren Auswahl in das Gesetz einzufügen, sagte er. Auch Professor Alexander Roßnagel von der Universität Kassel nannte die Definition der kritischen Infrastrukturen im Gesetz "ausreichend". Zugleich forderte er, die Information der Öffentlichkeit über Schutzlücken in IT-Systemen zu verbessern. "Die Information muss die Regel, die Verweigerung die Ausnahme sein", forderte Roßnagel. Der IT-Rechtsexperte Hornung bemängelte die fehlenden Sanktionen gegenüber den Unternehmen bei ausbleibender Information über erkannte Sicherheitslücken. Solche Sanktionen sehe auch die europäische IT-Sicherheitsregelung vor, die derzeit in Arbeit sei, sagte er.

Lesen Sie zum Thema "IT-Sicherheit" auch: IT SecCity.de (www.itseccity.de)

Den Fokus auf die Hersteller von Hart- und Softwareprodukten richtete Thomas Tschersich von der Deutschen Telekom AG. Man könne nicht Telekommunikationsanbietern aufbürden, Sicherheitsrisiken bei solchen Produkten zu beheben, sagte der Telekom-Vertreter. Zugleich nannte er die im Entwurf enthaltene Meldepflicht über unerlaubte Zugriffe auf Nutzersysteme "zielführend und sinnvoll". Eine Meldepflicht für "potentielle Möglichkeiten einer Verwundbarkeit" führe jedoch "ins Uferlose", befand Tschersich.

Als schärfster Kritiker der geplanten Regelung erwies sich Linus Neumann von Chaos Computer Club. Die dadurch geschaffene Bürokratie gehe zu Lasten pro-aktiver Schutzmaßnahmen, bemängelte er. Außerdem sehe der Entwurf lediglich Unternehmen als schützenswert an. Den großflächigen Angriffen auf Privatpersonen und den daraus resultierenden Schäden werde jedoch nicht entgegen getreten. Neumann wandte sich zugleich gegen die Installation des BSI als zentrale Meldestelle. Als dem Bundesinnenministerium unterstellte Behörde könne es zu Interessenkonflikten kommen, so Neumann unter Verweis auf Medienmeldungen, das BSI sei an der Entwicklung des "Bundestrojaners" beteiligt.

BSI-Präsident Michael Hange sagte hingegen, sein Amt sehe sich bereit für die aktiv-präventive Rolle, die das Gesetz dem BSI zuweise. Hange lobte den Entwurf. Er sei ein wichtiger Schritt zur Verbesserung der IT-Sicherheit "sowohl für Kritische Infrastrukturen aber auch für die Bürger als Internetnutzer".

Professor Jochen Schiller von der Freien Universität Berlin rückte kleine und mittelständische Unternehmen (KMU) in den Mittelpunkt des Interesses. Diese seien in dem Entwurf nicht erfasst, was aus seiner Sicht sogar nachvollziehbar ist. Dennoch dürfe man nicht der Fehleinschätzung unterliegen, KMU bedürften keines Schutzes. Es seien manchmal kleine Schräubchen, deren Manipulation das große Gebilde ins Wanken bringen könne, sagte Schiller und sprach sich für eine dahingehende Anpassung des Gesetzes "in einem weiteren Schritt" aus. (Deutscher Bundestag: ra)


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Bundestag, Bundesregierung, Bundesrat

  • Garantien für Uefa unterliegen Steuergeheimnis

    Der Erlass von Einkommensteuer für Veranstaltungen in Zusammenhang mit der Fußball-Europameisterschaft 2024 ist aus Sicht der Bundesregierung in besonderem öffentlichen Interesse. Allerdings unterlägen die Inhalte der Steuergarantien für den europäischen Fußballverband Uefa dem Steuergeheimnis, schreibt sie in ihrer Antwort (20/12227) auf eine Kleine Anfrage der Gruppe Die Linke (20/11840).

  • Übererfüllung von EU-Rechtsakten

    Die Bundesregierung gibt in einer Antwort (20/12167) auf eine Kleine Anfrage der AfD-Fraktion (20/11742) Auskunft über das "Gold-Plating" von EU-Richtlinien beziehungsweise EU-Verordnungen. Danach wurden in dieser Legislaturperiode neun Richtlinien und drei Verordnungen über das von der Richtlinie beziehungsweise Verordnung geforderte Mindestmaß hinaus umgesetzt.

  • Werbung der Deutschen Bahn AG

    Die Deutsche Bundesregierung erteilt keine Auskünfte über den Umfang des Werbebudgets der Deutschen Bahn AG (DB AG). Es handle sich dabei um Betriebs- und Geschäftsgeheimnisse des Unternehmens, heißt es in der Antwort der Regierung (20/12222) auf eine Kleine Anfrage der Gruppe Die Linke (20/11503).

  • Beschränkung der Laienverteidigung

    Der Bundesrat will die in der Strafprozessordnung eröffnete Möglichkeit der Laienverteidigung einschränken. Nach den Vorstellungen der Länderkammer sollen künftig nur noch volljährige Angehörige des Beschuldigten, Vertreter etwa von Berufsverbänden oder Gewerkschaften oder Personen mit der Befähigung zum Richteramt - nach Genehmigung durch das Gericht - die Verteidigung übernehmen dürfen.

  • Innovative Ansätze in der Datenpolitik nötig

    Mit den Rahmenbedingungen für eine innovative Datenpolitik, also Datenaustausch und -nutzung sowie Datenschutz, hat sich der Digitalausschuss in einer öffentlichen Anhörung befasst. Die Sachverständigen bewerteten auch die nationalen Spielräume bei der Umsetzung des europäischen Data Acts, des Data Governance Acts aber auch der KI-Verordnung.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen