{"id":11539,"date":"2015-08-11T10:15:00","date_gmt":"2015-08-11T08:15:00","guid":{"rendered":"https:\/\/www.humanistische-union.de\/publikationen\/publikation\/das-neue-it-sicherheitsgesetz-buergerrechtliche-positionen-vollstaendig\/"},"modified":"2021-08-30T15:42:02","modified_gmt":"2021-08-30T13:42:02","slug":"das-neue-it-sicherheitsgesetz-buergerrechtliche-positionen-vollstaendig","status":"publish","type":"publikation","link":"https:\/\/www.humanistische-union.de\/publikationen\/vorgaenge\/209\/publikation\/das-neue-it-sicherheitsgesetz-buergerrechtliche-positionen-vollstaendig\/","title":{"rendered":"Das neue IT-Sicherheitsgesetz \u0096 b\u00fcrger\u00adrecht\u00adliche Positionen (vollst\u00e4ndig)"},"content":{"rendered":"

aus: vorgänge Nr. 209 (Heft 1\/2015), S. 80-84<\/p>\n

(Red.) Am 12. Juni 2015 verabschiedete der Deutsche Bundestag das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme – kurz IT-Sicherheitsgesetz. [1] Das Gesetz schreibt neue Pflichten und Mindeststandards für Betreiber kritischer Infrastrukturen fest. Provider werden verpflichtet, ihre Infrastruktur nach dem „Stand der Technik“ vor Angriffen zu schützen und erhebliche Störungen zu melden.<\/i><\/p>\n

An dem Entwurf des IT-Sicherheitsgesetz gab es viel Kritik, auch aus bürgerrechtlicher Sicht. Stefan Hügel fasst die kritischen Anmerkungen zusammen.<\/i><\/p>\n

Daten­spei­che­rung zur Abwehr von Angriffen<\/span><\/h5>\n

Das Gesetz sieht unter anderem vor, dass Provider zur Abwehr von Angriffen weitgehende Befugnisse zur Analyse der Kommunikation ihrer Kundinnen und Kunden erhalten. Die bisherige Befugnis aus § 100 Telekommunikationsgesetz (TKG) wurde ausgeweitet und führt zu einer dauerhaften, flächendeckenden und alle Inhalte betreffenden Überwachung der gesamten Telekommunikation. Das Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF) <\/i>hatte vor der Verabschiedung in seiner Stellungnahme diese Regelung als einen Verstoß gegen Artikel 10 Grundgesetz und damit klar verfassungswidrig bezeichnet [4,7]. Der Kritik haben sich auch Sachverständige in der öffentlichen Anhörung zum Gesetzentwurf angeschlossen.<\/p>\n

Gleichzeitig verbietet bisher § 15 Telemediengesetz (TMG) die Verarbeitung von IP-Adressen für Zwecke der IT-Sicherheit. Damit können Betreiber von Web-Angeboten keine legalen Maßnahmen ergreifen, um Angriffe zu erkennen, zurückzuverfolgen und Angreifer zu identifizieren. Eine solche Maßnahme ist nur für IT-Systeme des Bundes zulässig (§ 5 BSIG). Daran hat sich mit dem neuen Gesetz nichts geändert.<\/p>\n

Im Ergebnis steht einer verfassungswidrigen Überwachungsbefugnis nach TKG ein juristisches Vakuum beim Schutz von Telemedienanbietern nach TMG entgegen. Erforderlich wären stattdessen einheitliche verfassungskonforme Regeln für den Einsatz von IT-Sicherheitssystemen im Telekommunikations- und Telemediensektor. Initiativen zum Schutz der privaten Endnutzer.innen durch angemessenen Umgang mit fahrlässig implementierten Systemen und nicht wirksam beseitigten Sicherheitslücken fehlen.<\/p>\n

Sonder­re­ge­lungen für die IT des Bundes<\/span><\/h5>\n

Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) hat die Befugnis, ausschließlich bei der IT des Bundes IT-Sicherheitssysteme nach dem Stand der Technik einzusetzen (§ 5 BSIG). Dies wird durch neue Befugnisse für das BKA verstärkt ([1], Artikel 7). Weiterhin sorgt demnach die Bundesregierung lediglich für den Schutz der IT-Systeme des Bundes und überlässt die IT-Systeme der Bürgerinnen und Bürger und der Wirtschaft sich selbst. Dafür gibt es neue Befugnisse für das Bundeskriminalamt (BKA) und eine Abteilung, die Straftaten gegen die IT des Bundes und gegen kritische Infrastrukturen verfolgt.<\/p>\n

Der Chaos Computer Club (CCC) stellt dazu in seiner Stellungnahme [6] fest: Der Gesetzentwurf vernachlässige insgesamt die Interessen aller normalen Nutzer_innen und enthalte keinerlei Initiativen oder Ansätze, deren Situation zu verbessern. Bei Privatpersonen und den ihnen entstehenden Schäden durch mangelnde IT-Sicherheit solle offenbar alles so bleiben, wie es derzeit ist.<\/p>\n

Ausbau der Geheim­dienste und die Rolle des BSI<\/span><\/h5>\n

Die in dem Gesetz vorgesehenen zusätzlichen Ressourcen für die IT-Sicherheit sind grundsätzlich positiv zu bewerten. Das Gesetz [1] sieht neue Planstellen für das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt (BKA) und das Bundesamt für Verfassungsschutz vor. Besser wäre es jedoch stattdessen gewesen, Sachkompetenz beim BSI zu bündeln anstatt durch Ausbau des Verfassungsschutzes nachrichtendienstliche Ausforschung weiter voranzutreiben.<\/p>\n

Zusätzlich ist eine Änderung der Rolle und der organisatorischen Einordnung des BSI notwendig. Das BSI ist laut Gesetz zuständig für die Informationssicherheit auf nationaler Ebene ([1], Artikel 1 (1)). Das FIfF begrüßt dies in seiner Stellungnahme, kritisiert aber die Umsetzung. Das BSI muss als eine nationale Bundesoberbehörde organisiert werden, die nicht dem BMI oder einer anderen Bundesbehörde unterstellt ist. Auch der Chaos Computer Club fordert in seiner Stellungnahme [6], dass das BSI in eine vom Innenministerium unabhängige Bundesbehörde mit klarem Sicherheitsauftrag umgewandelt wird. Die Mitwirkung des BSI an staatlicher Schadsoftware („Staats­trojaner“) habe die Vertrauenswürdigkeit des Amts untergraben. Ein Missbrauch des dort anfallenden Wissens über Angriffstechniken sei nicht auszuschließen.<\/p>\n

Meldepflicht<\/span><\/h5>\n

Das Gesetz sieht eine Meldepflicht bei Sicherheitsvorfällen in kritischen Infrastrukturen vor:<\/p>\n

\n

„Betreiber kritischer Infrastrukturen haben erhebliche Störungen … die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen führen können oder bereits geführt haben, … unverzüglich an das Bundesamt zu melden. … Die Nennung des Betreibers ist nur dann erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der Kritischen Infrastruktur geführt hat.“ (Artikel 1 (7); s.a. [1]). <\/i><\/p>\n<\/blockquote>\n

Diese Meldepflicht entsteht erst nachträglich, wenn es bereits zu schweren Beeinträchtigungen oder dem Ausfall kritischer Infrastrukturen gekommen ist. Netzpolitik.org [3] bezweifelt, ob eine nachträgliche Meldepflicht für die rechtzeitige Einleitung von Schutzmaßnahmen ausreichend ist, beispielsweise wenn Angriffe parallel erfolgen, und ob eine nachholende Aufklärung der Öffentlichkeit in Form von Lagebildern anstatt einer obligatorischen und rechtzeitigen Aufklärung Betroffener ausreicht.<\/p>\n

Bürokratie statt Sicherheit<\/span><\/h5>\n

Nicht eine einzige der im Gesetzesentwurf vorgeschlagenen Maßnahmen ist zielführend, um die IT-Sicherheit tatsächlich zu erhöhen, urteilt der Chaos Computer Club [6]. Man habe offenbar ein Verständnis von IT-Sicherheit in ein Gesetz gegossen, wonach lediglich durch mehr verpflichtende Dokumentations- und Berichtsregularien und Checklisten in den Unternehmen wirksame Verbesserungen herbeigeführt werden könnten. Doch der nun vorgesehene enorme Bürokratieaufwand ist nicht nur zeitaufwendig und in der Sache nutzlos, sondern hält auch noch die an einer wirksamen IT-Sicherheit Arbeitenden von wirklich sinnvollen Maßnahmen ab.<\/p>\n

Weitere Kritik­punkte<\/span><\/h5>\n

Weitere Kritikpunkte am Gesetz sind [3,6,7]:<\/p>\n