IT-Sicherheitsgesetz: Regierung streicht Passagen zu Darknet und Passwörtern

Die Bundesregierung hat umstrittene Pläne aus dem IT-Sicherheitsgesetz 2.0 entfernt. Dafür gibt es neue Vorgaben für den Einsatz von 5G-Komponenten.

Artikel veröffentlicht am 12. Mai 2020, 17:29 Uhr, Friedhelm Greis

Wer darf künftig Komponenten für das 5G-Netz in Deutschland liefern? (Bild: Nicolas Guyonnet/Reuters)

Die Bundesregierung hat ihre Pläne für ein IT-Sicherheitsgesetz 2.0 teilweise abgeschwächt. Aus einem neuen 73-seitigen Referentenentwurf, der Golem.de vorliegt und inzwischen auf Netzpolitik.org veröffentlicht wurde, geht hervor, dass das Strafgesetzbuch und die Strafprozessordnung nicht mehr geändert werden sollen. Damit entfielen die geplanten Straftatbestände für die Betreiber von Handelsplattformen im Darknet und die "unbefugte Nutzung von IT-Systemen". In einem Entwurf aus dem März 2019 waren die Vorschläge noch enthalten.

Ebenfalls gestrichen wird ein Paragraf, der den Ermittlungsbehörden die Übernahme "virtueller Identitäten" erlaubt hätte. Dazu hätten Verdächtige verpflichtet werden können, die "zur Nutzung der virtuellen Identität erforderlichen Zugangsdaten herauszugeben". Die gewonnenen Informationen hätten allerdings nur mit Zustimmung des Verdächtigen gegen diesen verwendet werden können.

Unverändert im Gesetz enthalten sind hingegen umfangreiche Kompetenzerweiterungen für das Bundesamt für die Sicherheit in der Informationstechnik (BSI). Die Behörde soll befugt werden, in fremde IT-Systeme einzudringen, um Patches zu installieren oder Schadsoftware zu entfernen. Dies sei insbesondere zur effektiven Bekämpfung von Botnetzen notwendig. Das BSI soll auch aktiv nach solchen unsicheren Geräten suchen und sich beispielsweise mit unsicheren Passwörtern wie "0000" oder "admin" anmelden dürfen.

Um die von Sicherheitslücken oder Sicherheitsvorfällen Betroffenen benachrichtigen zu können, soll das BSI zukünftig auch die Bestandsdaten, also beispielsweise Name und Adresse, bei den Telekommunikationsanbietern abfragen dürfen.

Innenministerium prüft Vertrauenswürdigkeit

Hinzugekommen ist zudem eine umfangreiche Passage zum Einsatz kritischer Komponenten. Das könnte beispielsweise den Einbau von Geräten des chinesischen Herstellers Huawei beim Aufbau des 5G-Netzes betreffen. Einem neu zu schaffenden Paragrafen 9b im BSI-Gesetz zufolge muss der Einsatz solcher Komponenten künftig dem Bundesinnenministerium angezeigt werden. Dieses prüft deren Einsatz "in Hinblick auf die Vertrauenswürdigkeit des Herstellers und kann gegenüber dem Betreiber der kritischen Infrastruktur im Einvernehmen mit dem jeweils betroffenen Ressort den Einsatz untersagen, wenn der Hersteller der kritischen Komponente nicht vertrauenswürdig ist".

Die Vertrauenswürdigkeit ist demzufolge dann nicht gegeben, wenn der Hersteller beispielsweise gegen die "in der Garantieerklärung eingegangen Verpflichtungen und Versicherungen verstoßen hat" oder "die kritische Komponente über technische Eigenschaften verfügt, die geeignet sind, missbräuchlich auf die Sicherheit, Integrität, Verfügbarkeit oder Funktionsfähigkeit der kritischen Infrastruktur einwirken zu können".

Technische Prüfung reicht nicht

Allerdings heißt es in der Gesetzesbegründung dazu: "Aufgrund der hohen Virtualisierung der 5G-Netze und der zu erwartenden stetigen Software-/Firmware-Updates kritischer Komponenten und Dienste bieten weder eine Komponentenzertifizierung noch eine Überprüfung von Sicherheitskonzepten eine 100%-ige Sicherheit dahingehend, dass die Hersteller keine missbräuchlichen Zugriffsmöglichkeiten auf Hard- und Software implementieren, die Sabotage oder Spionage ermöglichen." Die im Raum stehende Frage der Vertrauenswürdigkeit von Herstellern und Dienstleistern könne dadurch nicht abschließend geklärt werden. Die Einhaltung der Vertrauenswürdigkeitserklärung sei "in einem geeigneten Verfahren einer angemessenen Prüfung und Bewertung zu unterziehen. Dies kann nicht im Rahmen einer nur technischen Zertifizierung erfolgen", heißt es weiter.

Dies könnte dazu führen, dass die Bundesregierung Produkte chinesischer Hersteller generell ausschließt, auch wenn die technischen Prüfungen keine Hinweise auf Hintertüren ergeben. Einem Bericht des Handelsblatts zufolge trägt das Innenministerium damit Bedenken des Außenministeriums Rechnung. "Wir dürfen uns gerade bei den Themen kritische Infrastruktur und Zukunftstechnologien nicht in Abhängigkeiten von Anderen begeben", sagte Außenminister Heiko Maas (SPD) der Zeitung. Das schränke "unsere Handlungsfähigkeit ein" und untergrabe "die Souveränität Europas".

Die Überprüfung kann aber nicht nur die technischen Komponenten, sondern auch die Mitarbeiter betreffen. So heißt es in einem neuen Paragrafen 9a des BSI-Gesetzes, dass Betreiber kritischer Infrastrukturen auch geeignete Prozesse vorsehen können, "um die Vertrauenswürdigkeit der Beschäftigten zu überprüfen, die in Bereichen tätig sind, in denen in besonderem Maße auf die Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit informationstechnischer Systeme, Komponenten oder Prozesse, die für die Funktionsfähigkeit der kritischen Infrastruktur maßgeblich sind, eingewirkt werden kann". Eine Verpflichtung besteht jedoch nicht.

Wann der Referentenentwurf vom Kabinett beschlossen und in den Bundestag eingebracht werden wird, ist noch offen. Bis zur Verabschiedung durch den Bundestag dürfte es noch einige Monate dauern.