IT-Sicherheitsgesetz 2.0: Bundestag ignoriert IT-Sicherheitsexperten
Mit nur geringfügigen Änderungen hat der Bundestag am heutigen Freitag das IT-Sicherheitsgesetz 2.0 beschlossen, obwohl das Gesetz bei einer Anhörung im März von allen Sachverständigen massiv kritisiert wurde – auch von denen der Regierungskoalition. Diese sprachen von einem Anti- oder Un-Sicherheitsgesetz.
Das Gesetz wurde mit den Stimmen der Koalitionsfraktionen CDU/CSU und SPD verabschiedet, während die Oppositionsfraktionen dagegen stimmten. Dabei hat die Koalitionsfraktion die Kritik und Anregungen der Sachverständigen von Bitkom bis Chaos Computer Club (CCC) nahezu komplett missachtet.
Mehrere Sachverständige betonten, wie wichtig eine Meldepflicht für Sicherheitslücken sei, damit diese nicht von Bundesbehörden gehortet und für Angriffe missbraucht werden, sondern so schnell wie möglich vom Hersteller der jeweiligen Software behoben werden kann. Zu einer solchen Regelung konnten sich die Regierungsfraktionen jedoch nicht durchringen – mit entsprechenden Flurschäden für die IT-Sicherheit, wie in der Sachverständigenanhörung kritisiert wurde.
BSI darf hacken, muss aber keine Sicherheitslücken offenlegen
Mit dem IT-Sicherheitsgesetz 2.0 wird vor allem das Bundesamt für Sicherheit in der Informationstechnik (BSI) gestärkt. Dieses soll Schadprogramme wie Emotet bekämpfen können, indem es in betroffene Systeme eingreifen und diese bereinigen kann. Dabei soll die verfassungsrechtlich vorgeschriebene Integrität informationstechnischer Systeme gewahrt bleiben oder sogar wiederhergestellt werden. Dabei bleibt das BSI jedoch weiterhin dem Bundesinnenministerium unterstellt.
In einer Bundestagsdebatte sprach Konstantin von Notz (Grüne) von einem "Ersatz-Nachrichtendienst", während Anke Domscheit-Berg (Linksfraktion) forderte, "das BSI endlich vom Bundesinnenministerium und seinen Geheimdiensten unabhängig zu machen" und einem zu gründenden Digitalministerium zu unterstellen. Dem schlossen sich auch Notz und Manuel Höferlin (FDP) an.
Ein bisschen Verbraucherschutz, aber keine Haftung für unsichere Produkte
Gleichzeitig soll das BSI auch im Bereich Verbraucherschutz tätig werden. Insbesondere soll ein Sicherheitskennzeichen mehr Orientierung über Sicherheit und Supportzeiträume von technischen Geräten bieten. Dieses ist jedoch zum einen freiwillig, zum anderen ein deutscher Sonderweg, der ähnlichen Plänen in der EU vorgreift.
Höferlin kritisierte, dass das IT-Sicherheitsgesetz keine Produkthaftung enthalte. Diese wird gemeinsam mit einem Mindesthaltbarkeitsdatum bereits schon lange vom Chaos Computer Club gefordert. Sie soll den bisherigen Marktvorteil von unsicheren Produkte beseitigen, da diese die Kosten für Sicherheit und Updates einsparen.
Der Kryptografieexperte Bruce Schneier erklärte kürzlich, wie genau solche Einspareffekte sowie das Wirtschaftssystem zu Sicherheitsproblemen wie dem Solarwinds-Hack beitragen. Doch auch in diesem Punkt wollte die Bundesregierung offensichtlich nicht auf das Wissen von Fachleuten zurückgreifen.
Keine "Lex Huawei", aber heftige Kritik
Im Vergleich zum Gesetzentwurf der Bundesregierung wurden nur die Regelungen zu kritischen Komponenten beispielsweise im 5G-Netzwerk sowie deren technischen und politischen Überprüfung deutlich überarbeitet. Dabei sei sichergestellt worden, dass es sich um keine "Lex Huawei" handle und keine Anbieter a priori ausgeschlossen würden, erklärte der Bundestagsabgeordnete Tankred Schipanski (CDU).
"Deutschland muss seine IT- und Cybersicherheit angesichts wachsender Bedrohungen und steigender Schäden dringend stärken,"sagte Bitkom-Präsident Achim Berg. "Das IT-Sicherheitsgesetz 2.0 wird dabei allerdings kaum helfen." Das Gesetz schaffe eine Kombination aus technischer Zertifizierungsmaschinerie und politisch-regulatorischem Gutdünken mit fragwürdigem Mehrwert für die IT-Sicherheit.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.