Nach hef­ti­gen Debat­ten um neues BND-Gesetzt in Deutsch­land nun auch Kri­tik am neuen IT-Sicher­heits­ge­setz. Ver­trauen in digi­tale Kom­mu­ni­ka­tion darf nicht ver­spielt wer­den, so eco als Ver­band der Deut­schen Internetwirtschaft.

„Die Poli­tik muss die Reiß­leine zie­hen, um das Ver­trauen in digi­tale Kom­mu­ni­ka­tion nicht zu ver­spie­len“, for­dert aktu­ell Klaus Lan­de­feld, stell­ver­tre­ten­der Vor­stands­vor­sit­zen­der von eco. Lan­de­feld bezieht sich auf das vom Deut­schen Bun­des­ka­bi­nett kurz vor dem Jah­res­wech­sel im Dezem­ber 2020 beschlos­sene Zweite Gesetz zur Erhö­hung der Sicher­heit infor­ma­ti­ons­tech­ni­scher Sys­teme (IT-Sicher­heits­ge­setz 2.0). Das Gesetz soll unter ande­rem den Schutz der Bun­des­ver­wal­tung, kri­ti­scher Infra­struk­tu­ren (KRI­TIS) sowie Unter­neh­men im beson­de­ren öffent­li­chen Inter­esse und den Ver­brau­cher­schutz regeln. 

Tech­no­lo­gie per All­ge­mein­ver­fü­gung nicht vertrauenswürdig
In die­sem Rah­men soll das Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) wei­tere Befug­nisse erhal­ten, um IT-Unter­neh­men umfas­send zu kon­trol­lie­ren – und gleich­zei­tig soll das BSI der Öffent­lich­keit aber wich­tige Sicher­heits­in­for­ma­tio­nen vor­ent­hal­ten dür­fen. eco kri­ti­siert nun die­ses Vor­ha­ben als unver­hält­nis­mä­ßig und schäd­lich für das all­ge­meine Ver­trauen in IT-Systeme. 

„Das IT-Sicher­heits­ge­setz 2.0 hätte einen sinn­vol­len Rechts­rah­men bil­den kön­nen, um wirk­sam Cyber­kri­mi­na­li­tät zu bekämp­fen und die Sicher­heit digi­ta­ler Infra­struk­tu­ren zu erhö­hen“, so Lan­de­feld. „Statt­des­sen gibt es Sorge um die Behör­den­wün­sche, wenn Tech­no­lo­gie per All­ge­mein­ver­fü­gung als nicht ver­trau­ens­wür­dig ein­ge­stuft und deren Ein­satz weit­ge­hend unter­sagt wer­den kann.“ 

Geheim­hal­tung von Softwarelücken
Das neue Gesetz will etwa nicht nur Betrei­ber kri­ti­scher Infra­struk­tu­ren zur umfang­rei­chen Doku­men­ta­tion von IT-Sicher­heits­lü­cken ver­pflich­ten, son­dern auch eine Viel­zahl wei­te­rer Unter­neh­men. Wer kon­kret unter die neu ein­ge­führte Kate­go­rie „Unter­neh­men von beson­de­rem öffent­li­chen Inter­esse“ fällt, ist bis­lang jedoch nicht final defi­niert. „Bei Unter­neh­men führt das zu wei­te­ren Pla­nungs- und Rechts­un­si­cher­hei­ten“, so Landefeld. 

Umge­kehrt kann das BSI mit dem neuen Gesetz Infor­ma­tio­nen über Sicher­heits­lü­cken zurück­hal­ten, sofern es Sicher­heits­be­hör­den gegen­über zur Ver­schwie­gen­heit ver­pflich­tet ist. „Staat­li­che Akteure erhal­ten dadurch Anreize, Soft­ware­lü­cken geheim zu hal­ten, um sich dazu wei­tere Infor­ma­tio­nen zu beschaf­fen oder diese etwaig für eigene Zwe­cke aus­zu­nut­zen“, kri­ti­siert Landefeld.

Poli­ti­sche Inter­es­sen ver­sus IT-Sicherheit
Aus der Sicht von eco besteht die Gefahr von „Ein­falls­to­ren für Cyber­kri­mi­nelle und Indus­trie­spio­nage mit einer erheb­li­chen Schwä­chung der all­ge­mei­nen IT-Sicher­heit.“ Und: „Warum sind Unter­neh­men bei Sicher­heits­vor­fäl­len zu einer akri­bi­schen Mel­de­pflicht an das BSI ver­pflich­tet, aber staat­li­che Behör­den dür­fen wich­tige Sicher­heits­in­for­ma­tio­nen den Unter­neh­men vor­ent­hal­ten? Hier wer­den poli­ti­sche Inter­es­sen vor die IT-Sicher­heit gestellt“, so Lan­de­feld in einer wei­te­ren Kritik.

Die eco-Exper­ten fra­gen schließ­lich: „Wer über­wacht die Über­wa­cher wenn die Bun­des­re­gie­rung ganz klar staat­li­ches Hack­ing för­dert?“ Den Trend dazu sehe man schon beim geplan­ten BND-Gesetz (eco­nomy berich­tete). „Der BND kann dem­nach 99,9 Pro­zent des welt­wei­ten Daten­ver­kehrs über­wa­chen und nahezu nach Belie­ben in Com­pu­ter­sys­teme ein­drin­gen. Wenn die Poli­tik jetzt nicht das Ver­trauen in digi­tale Kom­mu­ni­ka­tion gänz­lich ver­spie­len will, muss sie die Reiß­leine zie­hen und das Wer­te­sys­tem einer digi­ta­len Gesell­schaft über­den­ken“, beto­nen die eco-Experten. 

Über­ar­bei­tung euro­päi­scher NIS-Richt­li­nie auch noch nicht fertig
Ein wei­te­rer Kri­tik­punkt des eco-Ver­ban­des betrifft das vor­schnelle Agie­ren der deut­schen Poli­tik im Kon­text mit der euro­päi­schen NIS-Richt­li­nie (Anm. NIS-Netz- und Infor­ma­ti­ons-Sicher­heit). Hier wurde eben­falls erst letz­ten Dezem­ber eine neue Richt­li­nie auf­ge­legt und die Über­ar­bei­tung auf euro­päi­scher Ebene ist noch nicht abgeschlossen.

Gene­rell sei eine Betei­li­gung am Gesetz­ge­bungs­ver­fah­ren durch betrof­fene Unter­neh­men oder Inter­es­sen­ver­tre­ter kaum mög­lich. „Ende ver­gan­ge­nen Jah­res hatte das Innen­mi­nis­te­rium nach fast zwei Jah­ren einen knapp 100 sei­ti­gen Ent­wurf zum IT-Sicher­heits­ge­setz vor­ge­legt und zur Kom­men­tie­rung nur eine Frist von 26 Stun­den ein­ge­räumt“, so eco. Am gest­ri­gen Mon­tag war die öffent­li­che Anhö­rung zum IT-Sicher­heits­ge­setz zu Redak­ti­ons­schluss noch nicht abgeschlossen.