Computersicherheit GI fordert Meldepflicht für Sicherheitslücken

Nutzer hätten mehr von einer Meldepflicht für Sicherheitslücken in Software als von einer für Cyberangriffe, sagt die Gesellschaft für Informatik. Sicherheitslücken und Angriffe dürften nicht aus Angst um das Ansehen eines Unternehmens verschwiegen werden.

Die Gesellschaft für Informatik (GI) fordert, Sicherheitslücken in Software zu veröffentlichen. Die von der Europäischen Union (EU) ins Gespräch gebrachte Meldepflicht für Cyberangriffe greift nach Ansicht der Fachorganisation zu kurz.

EU-Kommissarin Neelie Kroes will Unternehmen dazu verpflichten, Cyberattacken sowie den Verlust von Kundendaten zu melden. Das soll für die Betreiber von Versorgungseinrichtungen wie Telekommunikationsanbieter oder Energieversorger und für IT-Dienstleister wie E-Commerce-Unternehmen oder Bezahldienste gelten.

Nach Ansicht des GI-Arbeitskreises Datenschutz und IT-Sicherheit reicht es nicht aus, Angriffe zu melden, um Bürger und Unternehmen dauerhaft vor Angriffen über das Internet zu schützen. "Der Arbeitskreis fordert deshalb eine Meldepflicht weniger für die Angriffe als für die entdeckten Sicherheitslücken", erklärte Hartmut Pohl, Sprecher des Arbeitskreises.

Informieren und sichern

Die Sicherheitslücken sollten veröffentlicht werden, damit andere Nutzer eines gefährdeten Programms darüber Bescheid wüssten, fordert der Arbeitskreis. Die Hersteller der Software sollten ihre Kunden darüber informieren und die Schwachstellen umgehend beseitigen.

Der Branchenverband Bitkom ist gegen die von der EU-Kommission geforderte Meldepflicht. Müssten die Unternehmen melden, wenn sie angegriffen werden, schade das ihrem Ansehen, begründete der Verband. Das sieht die GI anders: "Hier ist unbedingt Transparenz gefragt: Sicherheitslücken (und Angriffe) dürfen nicht aus Sorge eines Reputationsverlustes verschwiegen werden", sagte Pohl.