Kaum ein gutes Wort über IT-Sicherheitsgesetz
Berlin: (hib/WID) Der Gesetzentwurf der Bundesregierung für mehr Sicherheit in der Informationstechnologie findet unter Sachverständigen durchweg wenig Zustimmung. Die Teilnehmer einer Anhörung des Ausschusses für Inneres und Heimat begrüßten das Vorhaben eines „IT-Sicherheitsgesetzes 2.0“ am Montag zwar im Grundsatz als „richtig und wichtig“, befanden es in der vorliegenden Fassung aber für völlig ungenügend. Mit dem Entwurf will die Bundesregierung das seit 2015 bestehenden IT-Sicherheitsgesetz fortschreiben. Vorgesehen sind unter anderem erweiterte Eingriffbefugnisse für das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie neben der technischen Kontrolle von Bauteilen der Netz-Infrastruktur auch eine Überprüfung der politischen Vertrauenwürdigkeit der Hersteller.
Für den Branchenverband Bitkom kritisierte Sebastian Artz die Vorlage als bereits im Entstehen überholt. Der Entwurf „blickt mehr zurück als gestaltend nach vorn“, sagte Artz und erinnerte an die schnellen Innovationszyklen im IT-Sektor. Der „Stand der Technik“, auf den der Entwurf Bezug nehme, sei ein „volatiles Konstrukt“, das BSI als rein nationale Behörde auch gar nicht in der Lage, mit der Entwicklung immer Schritt zu halten. Erforderlich sei ein „dynamisches Regelwerk“, das nicht allein die Vergangenheit reguliere, sondern ein Grundverständnis, in dem die Wirtschaft nicht als „Gegner“ erscheine. In der vorliegenden Fassung sei der Entwurf „nur bedingt geglückt“; er bedürfe dringend der Überarbeitung.
Die „Strategie- und Ziellosigkeit des gesamten Verfahrens“ geißelte Manuel Atug von der unabhängigen „Arbeitsgemeinschaft Kritische Infrastruktur“ (AG KRITIS), einem Zusammenschluss von derzeit 42 unabhängigen Fachleuten. Er nahm insbesondere den Zielkonflikt aufs Korn zwischen dem Interesse der Gesellschaft an einer „robusten und widerstandsfähigen“ IT- Infrastruktur und dem Wunsch staatlicher Stellen, Zugänge zu verschlüsselter Kommunikation offen zu halten. Einmal mehr sei die Chance vertan worden, das BSI „unabhängig aufzustellen“. Mit der ausdrücklichen Befugnis, erkannte Sicherheitslücken im Interesse der Strafverfolgung offen zu halten und zu verheimlichen, sei es vielmehr zum „Handlanger der Sicherheitsbehörden und Nachrichtendienste“ geworden. Atug kritisierte überdies, dass auf eine Evaluierung des bestehenden Gesetzes verzichtet worden sei.
Der Bonner Staatsrechtler Klaus Gärditz äußerte verfassungs- wie auch verwaltungsrechtliche Bedenken gegen den Paragraphen 9b des Entwurfs, der die Überprüfung der sicherheitspolitischen Vertrauenswürdigkeit ausländischer Anbieter von IT-Technologie regeln soll. Nachvollziehbar sei das Anliegen, die „digitale Souveränität“ gegen Versuche auswärtiger Mächte zu sichern, manipulierte Teile einzusetzen, „um unsere Netze angreifbar zu machen“. Doch genüge die Formulierung keinem rechtsstaatlichen Erfordernis. Gärditz bemängelte die „Unbestimmtheit der Eingriffsvoraussetzungen“ und rügte, dass eine rechtliche Handhabe, um Entscheidungen zu überprüfen, nicht vorgesehen sei. In der derzeitigen Fassung sei die Regelung zudem praktisch kaum umsetzbar. Der Bundestag laufe hier Gefahr, mit der Verabschiedung einer „Placebo-Norm“ seine Glaubwürdigkeit zu beschädigen.
Sven Herpig vom Berliner Verein „Stiftung Neue Verantwortung“ bemängelte die fehlende Einbindung von Wissenschaft und Zivilgesellschaft sowie den Verzicht auf eine Evaluierung der Auswirkungen des bestehenden Gesetzes. Der Entwurf genüge zudem in keiner Weise dem Gebot des digitalen Verbraucherschutzes. Nach wie vor werde es in Deutschland möglich sein, unsichere IT-Produkte auf den Markt zu bringen. „Keine Strategie, keine Evaluierung, schlechte Einbindung von Wissenschaft und Zivilgesellschaft“, lautete Herpigs Fazit.
Linus Neumann vom Chaos Computer Club forderte eine Strategie, die „kompromisslos auf IT-Sicherheit“ setze. Dies sei im vorliegenden Entwurf nicht der Fall. Statt einer Verpflichtung für das BSI, sein Wissen über Schwachstellen in der Infrastruktur offenzulegen und diese zu beseitigen, sei die Behörde jetzt vielmehr angehalten, mit Blick auf „überwiegende Sicherheitsinteressen“ solche Lücken zu verheimlichen: „Dadurch verlieren wir die einzige vertrauenswürdige Institution. Das ist ein herber Verlust für die Bürger,“ klagte Neumann.
Auf „weitere Verbesserungen“ des Entwurfs vor allem in Interesse der Wirtschaft drängte Martin Schallbruch von Digital Society Institute, einer Forschungseinrichtung der privaten Europäischen Hochschule für Management und Technologie in Berlin. Für die Unternehmen entstehe „wenig Mehrwert durch erweiterte Befugnisse des Staates“, so Schallbruch.