Experten sehen Änderungs- und Ergänzungsbedarf bei dem von der Bundesregierung vorgelegten Entwurf eines IT-Sicherheitsgesetzes (18/4096). Das wurde während einer öffentlichen Anhörung des Innenausschusses unter Vorsitz von Wolfgang Bosbach (CDU/CSU) am Montag, 20. April 2015, deutlich. Dabei begrüßte die überwiegende Mehrheit der geladenen Sachverständigen das Vorhaben der Regierung, gesetzliche Regelungen zur Verbesserung der IT-Sicherheit zu schaffen.

„Kritische Infrastrukturen vor Angriffen schützen“

Ziel der Regierungsinitiative ist es vor allem, „kritische Infrastrukturen“, also Einrichtungen, „die für das Funktionieren unseres Gemeinwesens zentral sind“, wie die Regierung in dem Entwurf schreibt, besser vor Angriffen auf ihre informationstechnischen Systeme zu schützen. Dazu sollen deren Betreiber dem Entwurf zufolge künftig ein Mindestniveau an IT-Sicherheit einhalten und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) IT-Sicherheitsvorfälle melden. Was konkret zu den Kritischen Infrastrukturen gehört, soll laut Entwurf in einer folgenden Rechtsverordnung festgeschrieben werden.

Um den Schutz der Bürger vor Cyberkriminalität zu verbessern, sollen Betreiber von Webseiten sowie Access-Provider der Vorlage entsprechend verpflichtet werden, IT-Sicherheit „nach dem Stand der Technik“ zu gewährleisten. Zudem sollen sie IT-Sicherheitsvorfälle, die zu einem unerlaubten Zugriff auf Systeme der Nutzer oder einer Beeinträchtigung der Verfügbarkeit führen können, unverzüglich über die Bundesnetzagentur an das BSI melden und betroffene Nutzer über bekannte Störungen ihrer Systeme informieren.

„Aufwand und Nutzen in keinem Verhältnis“

Iris Plöger vom Bundesverband der Deutschen Industrie (BDI) kritisierte während der Anhörung, dass aus dem Entwurf nicht hervorgehe, welche Bereiche und Unternehmen zu den „Kritischen Infrastrukturen“ gehören. Auch was die Meldepflicht angeht, so stünden „Aufwand und Nutzen in keinem Verhältnis“, kritisierte sie. Zudem sei nicht nachvollziehbar, warum sich das Gesetz lediglich an private Betreiber kritischer Infrastrukturen richte.

Der Kritik an der fehlenden Klarstellung, wer zu den kritischen Infrastrukturen gehört, schloss sich Dr. Axel Wehling vom Gesamtverband der Deutschen Versicherungswirtschaft an. Skeptisch bewertete er auch die Regelung, wonach das BSI Meldungen über Angriffe an Dritte weitergeben könne. Eine solche Meldung, solle sich künftig tatsächlich möglich sein, müsse so erfolgen, „dass kein Rückschluss auf das betroffenen Unternehmen möglich ist“, forderte er.

„Information über Schutzlücken verbessern“

Auch Sicht von Prof. Dr. Gerrit Hornung von der Universität Passau ist die Bestimmtheit bei der Beschreibung der kritischen Infrastrukturen „gerade noch gewahrt“. Dennoch sei es sinnvoll, die Kriterien für deren Auswahl in das Gesetz einzufügen, sagte er.

Auch Prof. Dr. Alexander Roßnagel von der Universität Kassel nannte die Definition der kritischen Infrastrukturen im Gesetz „ausreichend“. Zugleich forderte er, die Information der Öffentlichkeit über Schutzlücken in IT-Systemen zu verbessern. „Die Information muss die Regel, die Verweigerung die Ausnahme sein“, forderte Roßnagel.

„Meldepflicht zielführend und sinnvoll“

Der IT-Rechtsexperte Hornung bemängelte die fehlenden Sanktionen gegenüber den Unternehmen bei ausbleibender Information über erkannte Sicherheitslücken. Solche Sanktionen sehe auch die europäische IT-Sicherheitsregelung vor, die derzeit in Arbeit sei, sagte er.

Den Fokus auf die Hersteller von Hard- und Softwareprodukten richtete Thomas Tschersich von der Deutschen Telekom AG. Man könne nicht Telekommunikationsanbietern aufbürden, Sicherheitsrisiken bei solchen Produkten zu beheben, sagte der Telekom-Vertreter. Zugleich nannte er die im Entwurf enthaltene Meldepflicht über unerlaubte Zugriffe auf Nutzersysteme „zielführend und sinnvoll“. Eine Meldepflicht für „potenzielle Möglichkeiten einer Verwundbarkeit“ führe jedoch „ins Uferlose“, befand Tschersich.

Kritik vom Chaos Computer Club

Als schärfster Kritiker der geplanten Regelung erwies sich Linus Neumann von Chaos Computer Club. Die dadurch geschaffene Bürokratie gehe zulasten pro-aktiver Schutzmaßnahmen, bemängelte er. Außerdem sehe der Entwurf lediglich Unternehmen als schützenswert an. Den großflächigen Angriffen auf Privatpersonen und den daraus resultierenden Schäden werde jedoch nicht entgegen getreten.

Neumann wandte sich zugleich gegen die Installation des BSI als zentrale Meldestelle. Als dem Bundesinnenministerium unterstellte Behörde könne es zu Interessenkonflikten kommen, so Neumann unter Verweis auf Medienmeldungen, das BSI sei an der Entwicklung des „Bundestrojaners“ beteiligt.

„Wichtiger Schritt zur Verbesserung der IT-Sicherheit“

BSI-Präsident Michael Hange sagte hingegen, sein Amt sehe sich bereit für die aktiv-präventive Rolle, die das Gesetz dem BSI zuweise. Hange lobte den Entwurf. Er sei ein wichtiger Schritt zur Verbesserung der IT-Sicherheit „sowohl für kritische Infrastrukturen, aber auch für die Bürger als Internetnutzer“.

Prof. Dr.-Ing. Jochen Schiller von der Freien Universität Berlin rückte kleine und mittelständische Unternehmen (KMU) in den Mittelpunkt des Interesses. Diese seien in dem Entwurf nicht erfasst, was aus seiner Sicht sogar nachvollziehbar ist. Dennoch dürfe man nicht der Fehleinschätzung unterliegen, KMUs bedürften keines Schutzes. Es seien manchmal kleine Schräubchen, deren Manipulation das große Gebilde ins Wanken bringen könne, sagte Schiller und sprach sich für eine dahingehende Anpassung des Gesetzes „in einem weiteren Schritt“ aus. (hau/20.04.2015)

Liste der geladenen Sachverständigen

• Michael Hange, Präsident des Bundesamtes für Sicherheit in der Informationstechnik
• Prof. Dr. Gerrit Hornung, Universität Passau, Lehrstuhl für öffentliches Recht, IT-Recht und Rechtsinformatik
• Linus Neumann, Chaos Computer Club (CCC), Berlin
• Iris Plöger, Bundesverband der Deutschen Industrie e.V., Leiterin der Abteilung Digitalisierung
• Prof. Dr. Alexander Roßnagel, Universität Kassel, Institut für Wirtschaftsrecht
• Prof. Dr.-Ing. Jochen Schiller, Freie Universität Berlin, Institute of Computer Science
• Dipl.-Ing.  (FH) Thomas Tschersich, Deutsche Telekom AG, Leiter Group Security Services
• Dr. Axel Wehling, Gesamtverband der Deutschen Versicherungswirtschaft e.V., Mitglied der Hauptgeschäftsführung, Geschäftsführer des Krisenreaktionszentrums der deutschen Versicherungswirtschaft