Digitalverbände kritisieren neue IT-Gesetzgebung

Das IT-Sicherheitsgesetz 2.0   soll die IT-Sicherheit in Deutschland verbessern und stärker kontrollieren. Es soll zudem VerbraucherInnen und Unternehmen eine offizielle Anlaufstelle bei IT-Sicherheitsfragen liefern. Eine zentrale Rolle spielt dabei künftig das Bundesamt für Sicherheit in der Informationstechnik (BSI)  , das mit deutlich weitreichenderen Befugnissen und 799 neuen Stellen ausgestattet wird. Schon heute unterstützt es Bundesbehörden, Länder oder Betreiber kritischer Infrastrukturen wie Energie- oder Wasserversorger nach Cyberangriffen.

Das BSI wird befugt, fortan auch aktiv im Netz nach Sicherheitslücken zu suchen. Es soll Systeme und Verfahren zur Analyse von Schadprogrammen und Angriffsmethoden wie 'Honeypots' und 'Sinkholes' einsetzen dürfen. Das BSI kann zudem Maßnahmen gegenüber Telekommunikations- und Telemedienunternehmen bei bestimmten Gefahren für die Informationssicherheit anordnen. Auch werden die Meldepflichten für Betreiber kritischer Infrastrukturen und 'Unternehmen von besonderem öffentlichen Interesse' wie Rüstungsunternehmen verschärft.

Das Amt darf zudem laut Gesetzentwurf "Protokolldaten zum Zwecke der Abwehr von Gefahren für die Kommunikationstechnik des Bundes" künftig zwölf Monate lang speichern und auswerten. Dazu zählen etwa IP-Adressen, die bei der Online-Kommunikation mit Verwaltungseinrichtungen des Bundes sowie Parlamentariern anfallen. Bei Digitalisierungsvorhaben des Bundes soll das BSI frühzeitig beteiligt werden.

Zu dem erweiterten Verantwortungsbereich gehört künftig auch der Verbraucherschutz, für den alleine 163 Stellen eingeplant werden. Die Behörde soll Privatpersonen in Fragen der IT-Sicherheit beraten und warnen - etwa auch bei Smart Home Produkten, deren Verbreitung zunimmt. Geplant ist die Einführung eines einheitlichen IT-Sicherheitskennzeichen. Hersteller werden zudem zur Auskunft über ihre Produkte verpflichtet.

"Ausweitung staatlicher Überwachung"

Der Eco - Verband der Internetwirtschaft    kritisiert die vom Kabinett beschlossenen Entwürfe, die auch das Telekommunikationsgesetz und BND-Gesetz umfassen. Die Bundesregierung schwäche damit "nachhaltig die allgemeine IT-Sicherheit und beschädigt die Vertrauenswürdigkeit digitaler Kommunikation in Deutschland", heißt es in einer Stellungnahme. "Nicht 'Verbesserung der IT-Sicherheit', sondern 'Ausweitung staatlicher Überwachung' lautet die korrekte Überschrift, unter der diese Gesetzesvorgänge eingeordnet werden können", sagt der stellvertretende Eco-Vorstandsvorsitzende Klaus Landefeld . Alle drei Entwürfe enthielten Regelungen zur Überwachung digitaler Kommunikation, die gleichzeitig zu einer Schwächung der IT-Sicherheit führten.

Kritik übt der Verband vor allem an dem Umgang mit Informationen über Sicherheitslücken und Daten, die das BSI im Rahmen seiner neuen Befugnisse erheben darf. So sehe das Gesetz unter anderem vor, dass das BSI Informationen über Sicherheitslücken zurückzuhalten soll, sofern es Sicherheitsbehörden gegenüber zur Verschwiegenheit verpflichtet ist. Auch statte das Gesetz das BSI mit Hacking-Befugnissen aus: Es dürfe Datenverkehr an von ihm benannte Server umleiten lassen und selbst Angriffe auf IT-Systeme vortäuschen und im Zuge dessen auch in diese Systeme eindringen. Telekommunikationsdienstleister würden zudem verpflichtet, Überwachungsmaßnahmen umzusetzen.

Für die betroffenen Unternehmen bedeuteten die Regelungen "erhebliche Einschnitte in ihre Rechts-, Planungs- und Investitionssicherheit", kritisiert der Verband. "Im Namen der IT-Sicherheit von TK-Netzen und bei TK-Diensten werden überzogen strenge, teils nichtzielführende Anforderungen gestellt, die die IT-Sicherheit kaum erhöhen dürften, dafür aber die betroffenen Unternehmen vor erhebliche Herausforderungen stellen und schlimmstenfalls in ihrer Geschäftstätigkeit einschränken werden", sagt Klaus Landefeld.

Keine Synchronisierung mit EU-Recht

Ein Problem sei zudem die fehlende Synchronisierung mit der europäischen Gesetzgebung. Dies betreffe vor allem die Harmonisierung des IT-Sicherheitsgesetzes mit der geplanten Überarbeitung der Richtlinie zur Gewährleistung einer hohen Netzwerk- und Informationssicherheit (NIS) auf europäischer Ebene, die von der EU-Kommission am Mittwoch vorgestellt wurde: "Eine vorschnelle nationale Regulierung birgt das Risiko, anschließend noch einmal gesetzgeberisch tätig werden zu müssen , weil im IT-Sicherheitsgesetz und in der NIS-Richtlinie systematisch unterschiedliche Ansätze verfolgt und unterschiedlich geregelt werden. Besser wäre es vor diesem Hintergrund gewesen, wenn man den Kabinettsbeschluss zum IT-SiG 2.0 zurückgestellt und die weiteren Entwicklungen auf europäischer Ebene abgewartet hätte", so Landefeld. Für Unternehmen könnten diese Nachbesserungen zusätzliche Kosten verursachen.

"Großer Nachbesserungsbedarf"

Auch der Verband Bitkom   äußert sich kritisch zum IT-Sicherheitsgesetz 2.0 und der fehlenden Synchronisation mit der EU-Gesetzgebung. "Die Bundesregierung will die Cyber- und IT-Sicherheit stärken, das begrüßen wir im Grundsatz sehr. Bei der Neuauflage des IT-Sicherheitsgesetzes gibt es aber großen Nachbesserungsbedarf", so Präsident Achim Berg . Die personelle und finanzielle Stärkung des BSI sei richtig, allerdings schüre die "großangelegte Kompetenzerweiterung Erwartungen, die in der Praxis kaum erfüllbar sind". Zudem bleibe der Entwurf bei der Definition kritischer Komponenten und ihrem Einsatz in kritischen Infrastrukturen zu unspezifisch. Hier fordert der Bitkom einen klaren Kriterien- und Funktionskatalog.

Auch drohe Deutschland seinen Vorsprung bei 5G zu verspielen. Das neue Gesetz stellt an chinesische Anbieter wie Huawei hohe Hürden für die Beteiligung am 5G-Mobilfunk-Netzausbau. "Insgesamt wird dieser Gesetzesentwurf der IT-Sicherheit in Deutschland nur bedingt nutzen", so Berg.