IT-Sicherheitsgesetz: Weitere Änderungen sind schon absehbar

Die Bundesregierung hat in ihrem letzten Lagebericht zur IT-Sicherheit ein düsteres Bild entworfen: schwere Sicherheitslücken in den verbreiteten IT-Systemen, eine immer größer werdende Anzahl von Angreifern, eine Vielzahl versierter IT-Angriffe, die mit hohem Ressourceneinsatz und großer Professionalität erfolgen und die nur schwer erkennen und abzuwehren sind. Vor diesem Hintergrund bedeuten neue Technologien wie Cloud Computing, mobile Systeme oder Big Data nicht nur Wachstumschancen, sondern auch, wie Bundesinnenminister Thomas de Maizière feststellen musste, „neue Verwundbarkeiten für IT-Angriffe, die mit den konventionellen Lösungsansätzen der IT-Sicherheit nicht angemessen adressiert werden können.“

Thomas Bösel, der Autor dieses Gastbeitrags für ZDNet, ist Sicherheits- und Datenschutzbeauftragter bei QSC in Köln (Bild: QSC).

Mit ihrem neuen IT-Sicherheitsgesetz wollte die Bundesregierung nun einen „Baustein zur besseren Absicherung von unverzichtbar werdenden IT-Infrastrukturen“ legen; besonders in Hinblick auf die Absicherung „Kritischer Infrastrukturen“ in Deutschland. Das im Koalitionsvertrag bereits angekündigte Gesetz wurde im Dezember vom Kabinett als Entwurf vorgelegt, noch im Frühjahr 2015 sollen sich Parlament und Bundesrat damit befassen.

Dass diese Vorlage kontrovers diskutiert wird, liegt in der Natur einer überaus komplexen Sache: So monieren Datenschützer zu schwammige Bestimmungen und die Einführung der umstrittenen Vorratsdatenspeicherung durch die Hintertür. Betroffene Unternehmen sehen zudem weitgehende Einschränkungen ihrer Handlungsfreiheit. Auch wurden die Kostenaufwände auf Seiten der betroffenen Unternehmen nur unzureichend betrachtet und quantifiziert. Grundsätzlich positiv festzuhalten ist aber, dass mit dem Gesetz der IT-Sicherheit – endlich! – höchste Priorität zugemessen wird und dass ein dringender Handlungsbedarf erkannt wurde.

Im Mittelpunkt der geplanten Regelungen steht die Festlegung von Mindeststandards für IT-Sicherheit in Deutschland; vor allem Betreiber „Kritischer Infrastrukturen“ werden zu mehr Sicherheit verpflichtet. Zudem ist eine Meldepflicht bei Störungen vorgesehen, die zu erheblichen Sicherheitsvorfällen führen oder führen können. Das BSI soll mit diesen Informationen in der Lage sein, übergreifende Bedrohungsszenarien frühzeitig zu erkennen, um andere Nutzer zu warnen.

Telekommunikationsanbieter sind nun in der Vorlage zum IT-Sicherheitsgesetz von den meisten Regelungen ausgenommen, da ihnen bereits durch das Telekommunikationsgesetz (TKG) gleichartige Verpflichtungen auferlegt sind. Neu dazugekommen sind für TK-Anbieter jedoch Auflagen wie die Sicherung ihrer technischen Einrichtungen durch Maßnahmen nach dem Stand der Technik, die Ausweitung von Meldepflichten sowie die Benachrichtigung der Teilnehmer, wenn erkannt wird, dass von deren Datenverarbeitungssystemen Störungen ausgehen. Auch soll die Umsetzung der Sicherheitskonzepte der TK-Anbieter mindestens alle zwei Jahre überprüft werden. Dies alles führt natürlich zu zusätzlichen „Erfüllungsaufwänden“ bei den TK-Anbietern und somit zu höheren Kosten.

Problematisch erscheint jedoch weiterhin die uneingeschränkte Verpflichtung der TK-Anbieter, auf Sicherheitswerkzeuge zur Vorbeugung oder für die Behebung akuter Fälle hinzuweisen, was zu erheblichen Haftungsrisiken führen kann. Auch die Forderung, dass im Rahmen dieser Hinweisgebung auf „Barrierefreiheit der angebotenen Sicherheitswerkzeuge“ zu achten sei, wird in der Praxis nicht zu erfüllen sein: Schon der Aufbau und Betrieb einer Firewall geht weit über das hinaus, was ein Nutzer mit durchschnittlichen Bedienerkenntnissen umsetzen kann.

Grundsätzlich begrüßenswert ist jedoch der inzwischen im Entwurf eingefügte Zusatz, dass die Maßnahmen technisch möglich und zumutbar sein müssen, was ökonomisch auch Sinn macht. Auch die vom Bundesrat gewünschten Konkretisierungen hinsichtlich Begriffen wie „Kritische Infrastrukturen“ oder auch „beträchtliche Sicherheitsverletzungen“ sind erfreulich.

Ursprünglich war noch geplant, dass schon die Annahme, ein Betreiber biete nicht die erforderliche Zuverlässigkeit, ausreichen sollte, damit ihm die Bundesnetzagentur den Geschäftsbetrieb untersagen lassen kann. Auch hier war „Zuverlässigkeit“ ein zu vager Begriff, um einen derart schwerwiegenden Eingriff wie eine Betriebsuntersagung zu rechtfertigen. Dass das im vorliegenden Entwurf nicht mehr enthalten ist, zeigt, dass sich der Gesetzgeber auf eine pragmatischere Linie verständigt hat, wie überhaupt der ursprüngliche Entwurf um einige weitere Punkte entschärft worden ist.

Insgesamt wäre es jedoch wünschenswert gewesen, die Entwicklungen auf europäischer Ebene – Stichwort „Richtlinie für hohe gemeinsame Netz- und Informationssicherheit in der EU“ (NIS-Richtlinie) – abzuwarten und nicht ein nationales Gesetz als eine Art Sprechzettel für weitere Verhandlungen vorzulegen. Es ist kein guter Start für ein Gesetz, wenn alle Beteiligten schon mit absehbaren Änderungen rechnen.

Dennoch steht fest, dass das IT-Sicherheitsgesetz für alle Anbieter und Betreiber in der IT- und Kommunikationsindustrie signifikante Auswirkungen haben wird. Auf eine weitere intensive Diskussion sollte man sich einstellen.