Der Bundestag hat am Donnerstag das Gesetz zur Stärkung der Cybersicherheit beschlossen. Es räumt BKA, Bundespolizei und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) deutlich weitreichendere Befugnisse im Cyberraum ein. Die Behörden dürfen künftig Datenverkehr umleiten oder unterbinden. Zudem dürfen sie Server mutmaßlicher Angreifer auslesen, verändern oder löschen - auch wenn diese im Ausland liegen. Dieses Instrument heißt aktive Cyberabwehr. Heute stimmt das Parlament zusätzlich über die Reform des Nachrichtendienstrechts ab. Sie gibt dem Bundesamt für Verfassungsschutz und dem Bundesnachrichtendienst erstmals operative Befugnisse vor allem im digitalen Raum. Außerdem ordnet sie die Kontrolle der Dienste neu.
Bitkom: Mehr Handlungsfähigkeit für Sicherheitsbehörden ist richtig
Der Digitalverband Bitkom bewertet die neue Sicherheitsarchitektur grundsätzlich positiv. Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, beziffert den jährlichen Schaden der deutschen Wirtschaft durch Cyberangriffe auf mehr als 160 Milliarden Euro. Dehmel sagt: „Die Politik verändert die deutsche Sicherheitsarchitektur grundlegend. Das ist erstmal folgerichtig, der Staat muss angesichts der aktuellen Bedrohungslage handlungsfähiger werden.“
Mit beiden Gesetzen ergänze der Staat die bislang defensive IT-Sicherheit um proaktive Gegenmaßnahmen, erklärt Dehmel weiter. Zugleich warnt sie vor tiefen Eingriffen in IT-Systeme und vor Datenzugriffen. Beides berge die Gefahr neuer Sicherheitslücken und könne unbeteiligte Unternehmen stark belasten. Die neuen Befugnisse sollten deshalb nach ihrer Einschätzung nur in enger Abstimmung mit der Wirtschaft genutzt werden.
Aktive Cyberabwehr von BKA und Bundespolizei in der Kritik
Positiv bewertet Bitkom eine Neuregelung für das BSI. Dessen mobile Einsatzteams dürfen künftig schon bei Verdachtsfällen helfen, nicht erst nach einem bestätigten Vorfall. Auch der vorgesehene Stellenaufbau bei BSI, BKA und Bundespolizei schließe nach Einschätzung des Verbands seit Langem bestehende Lücken.
Deutlich kritischer beurteilt Bitkom hingegen die Gefahren, die von der aktiven Cyberabwehr durch BKA und Bundespolizei ausgehen. Beim Zugriff auf fremde IT-Systeme könnten nach Einschätzung des Verbands auch Daten unbeteiligter Dritter erfasst werden. Zudem kritisiert Bitkom, dass eine gerichtliche Prüfung solcher Eingriffe nicht in allen Fällen vorgesehen ist. Auch beim Zugriff auf Betriebsdaten kritischer Anlagen fehlten laut Bitkom klare Grenzen. Zudem fordert der Verband, dass Unternehmen ihre sensiblen Betriebsdaten nicht unbefristet und ohne konkreten Grund an das BSI übermitteln müssen.
Nachrichtendienstreform weitet Zugriffsrechte für Behörden aus
Die Reform des Nachrichtendienstrechts bündelt die Kontrolle von Verfassungsschutz und Bundesnachrichtendienst künftig beim Unabhängigen Kontrollrat. Die neuen Auskunfts- und Mitwirkungspflichten für Unternehmen gehen Bitkom dennoch zu weit. Laut Dehmel ermöglichen sie weitreichenden Zugang zu sensiblen Daten und IT-Systemen privater Anbieter.
Nach Angaben von Bitkom vergrößere ein Änderungsantrag den Geltungsbereich noch weiter. Künftig könnten davon auch Inhalte aus Messenger-Apps, E-Mail-Diensten, Videokonferenz-Lösungen, Onlineshops, Verkaufsplattformen, Dating-Apps und Onlinespielen betroffen sein. Dadurch wachse das Risiko für die Sicherheit digitaler Systeme insgesamt, warnt der Verband. Das gelte auch für Schwachstellen und Sicherheitsvorfälle, die Unternehmen dem BSI melden. Ein ausreichender Schutz vor einer Weitergabe dieser Informationen an die Nachrichtendienste sei nicht gegeben.
Dehmel sagt dazu: „Wer dem BSI eine Schwachstelle meldet, darf nicht befürchten müssen, dass sie für nachrichtendienstliche Zwecke genutzt wird.“
