Mehr als 160 Milliarden Euro Schaden entstehen der deutschen Wirtschaft Jahr für Jahr durch Cyberangriffe. Vor diesem Hintergrund stellt der Bundestag die nationale Sicherheitsarchitektur auf eine neue Grundlage. Am heutigen Tag stimmt das Parlament über das Gesetz zur Stärkung der Cybersicherheit ab, das Bundeskriminalamt, Bundespolizei und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) spürbar erweiterte Handlungsspielräume im digitalen Raum verschafft.
Konkret sollen die Behörden künftig Datenverkehr umleiten oder stoppen können. Zudem erhalten sie die Erlaubnis, auf den Servern von Angreifern Informationen auszulesen, zu verändern oder zu löschen – und zwar auch dann, wenn diese Server im Ausland stehen. Den zweiten Baustein der Reform bildet das Nachrichtendienstrecht, über das am Freitag abgestimmt wird. Es sortiert die Kontrolle von Verfassungsschutz und Bundesnachrichtendienst neu und räumt den Diensten erstmals operative Befugnisse ein, vor allem im Cyberbereich.
Der Digitalverband Bitkom beurteilt den Kurswechsel grundsätzlich als nachvollziehbar. „Die Politik verändert die deutsche Sicherheitsarchitektur grundlegend“, erklärt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung. Angesichts der Bedrohungslage müsse der Staat handlungsfähiger werden. Mit beiden Gesetzen werde die bislang vor allem defensiv ausgerichtete IT-Sicherheit um proaktive Gegenmaßnahmen ergänzt.
Gleichzeitig warnt der Verband vor den Schattenseiten. Die vorgesehenen Eingriffe reichten tief in IT-Systeme hinein und ermöglichten weitreichende Datenzugriffe. Daraus könnten zusätzliche Sicherheitsrisiken und erhebliche Belastungen für unbeteiligte Unternehmen erwachsen. Die neuen Befugnisse, so die Forderung, sollten deshalb nur in enger Abstimmung mit der Wirtschaft zum Einsatz kommen.
Positiv bewertet Bitkom einzelne Elemente des Cybersicherheitsgesetzes. Künftig dürfe das BSI mit seinen Mobile Incident Response Teams bereits bei bloßen Verdachtsfällen Unterstützung leisten. Auch der geplante Personalaufbau bei BSI, BKA und Bundespolizei schließe nach Einschätzung des Verbands seit Langem bestehende Lücken. Kritischer fällt das Urteil hingegen zur aktiven Cyberabwehr aus: Werde in fremde IT-Systeme eingegriffen, könnten auch Daten unbeteiligter Dritter betroffen sein. Besonders problematisch sei, dass solche Maßnahmen nicht durchgängig gerichtlich überprüft würden.
Sorge bereitet dem Verband zudem der Zugriff auf Betriebsdaten kritischer Anlagen, für den klare Grenzen fehlten. Neue Übermittlungspflichten dürften nicht dazu führen, dass sensible Betriebsdaten dauerhaft und ohne konkreten Anlass an das BSI fließen. Beim Nachrichtendienstrecht wiederum werde die Kontrolle beim Unabhängigen Kontrollrat gebündelt – ein Schritt, dem jedoch zu weitreichende Auskunfts- und Mitwirkungspflichten der Unternehmen gegenüberstünden.
Ein Änderungsantrag dehnt den Anwendungsbereich nach Darstellung des Verbands weiter aus. Betroffen sein könnten nun auch Gesprächsinhalte von Messengerdiensten, E-Mail-Anbietern, Videokonferenzsystemen, Onlineshops, Verkaufsportalen, Dating-Apps und Onlinespielen. Damit wachse das Risiko für die Sicherheit digitaler Systeme insgesamt. Ein zentrales Anliegen formuliert Dehmel mit Blick auf gemeldete Schwachstellen: „Wer dem BSI eine Schwachstelle meldet, darf nicht befürchten müssen, dass sie für nachrichtendienstliche Zwecke genutzt wird.“
