Provider dürfen keine Inhalte auslesen

Zudem darf der Provider "Teile des Datenverkehrs von und zu einem Nutzer, von denen eine Störung ausgeht, umleiten, soweit dies erforderlich ist, um den Nutzer über die Störungen benachrichtigen zu können". Ebenfalls darf der Telekommunikationsanbieter den Traffic zu einer "Störungsquelle einschränken und unterbinden". Solche Störungsquellen seien beispielsweise Command-and-Control-Server, sogenannte Dropzones, in die gestohlene Daten ausgeleitet würden, oder Server, über die Schadsoftware verteilt werde, heißt es in der Begründung.

Die große Koalition will allerdings sicherstellen, dass die Provider damit keine inhaltliche Analyse ihres Traffics vornehmen. So wird in Paragraf 100 des TKG der Satz eingefügt: "Die Kommunikationsinhalte sind nicht Bestandteil der Steuerdaten eines informationstechnischen Protokolls zur Datenübertragung." Es handele sich bei den Steuerdaten "um Informationen, die sich aus den verschiedenen Layern des sogenannten OSI-Schichtenmodels der ITU ergeben, also um Informationen zu technischen Übertragungsprotokollen, nicht jedoch um Inhalte eines Kommunikationsvorganges, die damit übertragen werden".

Was tun mit Post-Requests?

Solche HTTP-Floods gehören zu sogenannten Application-Layer-Attacken oder Level-7-Attacken, da die Anwendungsebene im OSI-Schichtenmodell die Nummer 7 trägt. Gerade bei Post-Floods wie bei Suchanfragen oder dem Hochladen von Webformularen werden allerdings auch inhaltliche Parameter übertragen, um beim angegriffenen Server komplexere Datenverarbeitungen auszulösen. Konsequenterweise dürften Provider daher keine Post-Floods analysieren, da sie dafür Kommunikationsinhalte untersuchen müssten.

Der Koalition geht es mit dem Gesetz jedoch nicht nur um die Abwehr von DDoS-Angriffen, wie sie zuletzt häufig über das Mirai-Botnetz ausgeführt wurden. "Wir halten die Ermächtigung für notwendig, um den Schutz lebenswichtiger Telekommunikationssysteme zu gewährleisten", sagte der Berichterstatter der SPD-Fraktion, Gerold Reichenbach, auf Anfrage von Golem.de. Der Telekom-Angriff habe gezeigt, dass Router zu kritischen Telekommunikationsinfrastrukturen würden. "So ist zum Beispiel bei VoIP auch die Absetzung von Notrufen von der Funktionsfähigkeit von Routern abhängig. Dies wird künftig das gesamte Telekommunikationsnetz betreffen, da alle Anbieter die vollständige Umstellung auf VoIP planen und zügig umsetzen", sagte der SPD-Abgeordnete.

Telekom-Ausfall war keine DDoS-Attacke

Da Router aber nicht integrierter Teil der kritischen Infrastruktur seien, würden sie vom IT-Sicherheitsgesetz nicht erfasst. "Sie könnten dies nur werden, wenn wir, was politisch nicht gewollt ist, einen Routerzwang einführen würden", sagte Reichenbach. Gleichwohl würden aber auch dann entsprechende Angriffsszenarien wie das Ausschalten von Routern durch "Botnetz-Dauerbeschusss" weiter existieren.

Inwieweit letzteres ein realistisches Szenario ist, steht auf einem anderen Blatt. Der Ausfall der Telekom-Router im vergangenen November wurde durch einen Bug verursacht, der bei der massenhaften Verbreitung einer Malware dazu führte, dass das Netzwerkrouting auf den Speedport-Geräten durch die Angriffsversuche nicht mehr funktionierte.

Gütesiegel für IT-Sicherheit gefordert

Das eigentliche Probleme bei den jüngsten DDoS-Attacken, beispielsweise über das Mirai-Botnetz, sind daher unsichere Geräte im sogenannten Internet of Things (IoT). Der Innenausschuss räumt in seiner Gesetzesbegründung ein, dass Deutschland keine eigenen Gesetze erlassen könne, um zusätzliche Anforderungen an internetfähige Produkte zu stellen. Daher wird die Bundesregierung aufgefordert, "das in der 'Cyber-Sicherheitsstrategie für Deutschland 2016' angekündigte Gütesiegel für IT-Sicherheit unter Einbeziehung von Verbraucherschützern, Wirtschaftsvertretern, IT-Sicherheitsexperten und Gewerkschaften auszuarbeiten". Zudem soll sie sich auf europäischer Ebene dafür einsetzen, "dass verbindliche Anforderungen an IT-Sicherheitseigenschaften für die Bereitstellung auf dem Markt von internetfähigen Produkten auf europäischer Ebene geschaffen werden".

Der Bundestag soll am kommenden Donnerstag über das Gesetz abstimmen. Während die Linke sich enthalten will, lehnen die Grünen den Entwurf ab. Sie halten die Ansiedlung des BSI beim Bundesministerium des Innern weiterhin für "äußerst problematisch". Der Grund: Das der Fachaufsicht des Innenministeriums unterstehende Bundesamt für Verfassungsschutz erhalte enorme Summen für die Aufdeckung von Sicherheitslücken, während die Wirtschaft verpflichtet werde, dem BSI die eigenen entdeckten Sicherheitslücken zu melden. Daher fehle eine Vertrauensbasis für Unternehmen, um sich im Schadensfall an das BSI zu wenden.

Zudem kritisieren die Grünen, dass der Änderungsantrag dem Ausschuss erst am Tag vor der Abstimmung Ende März vorgelegt worden sei. Das passt allerdings gut zum derzeitigen Aktionismus der großen Koalition bei netzpolitischen Themen. Vor allem beim Gesetz gegen die Verbreitung von Hasskommentaren in sozialen Netzwerken wird Union und SPD ein übereiltes Vorgehen vorgeworfen.