Schutz vor Cyberangriffen

Die Pläne für das IT-Sicherheitsgesetz

BERLIN (dpa-AFX) - Die Bundesregierung will kritische Infrastrukturen wie Energie- oder Telekommunikationsnetze besser vor Cyberattacken schützen - und geht bei diesen Plänen auf die Wirtschaft zu. Innenminister Thomas de Maizière (CDU) will die Betreiber verpflichten, Angriffe auf ihre IT-Systeme unverzüglich zu melden. Sofern es nicht zu einem Ausfall oder einer Störung des jeweiligen Netzes kommt, soll aber auch eine anonyme Meldung ausreichen.

Das steht im Entwurf für das IT-Sicherheitsgesetz, den das Innenministerium am Dienstag vorlegte und der nun zwischen den Ressorts abgestimmt wird. Die Firmen aus diesen sensiblen Bereichen sollen zwei Jahre Zeit bekommen, um Mindeststandards zur IT-Sicherheit für ihre Branche festzulegen. Außerdem sind für die zuständigen Sicherheitsbehörden mehr Geld und Personal eingeplant.

Kritische Infrastrukturen sind Einrichtungen und Netze, die wesentlich für das öffentliche Leben sind und deren Störung oder Ausfall drastische Folgen haben würde. Darunter fallen Energie- oder Telekommunikationsnetze, Banken, Börsen, Versicherungen, Verwaltungsbehörden oder Einrichtungen zur medizinischen Versorgung, aber auch Verkehrsbetriebe oder Wasserversorger.

Deutschland sei zunehmend Ziel von Cyberangriffen und Cyberspionage, heißt es in dem Entwurf. "Die vielfach international agierenden Angreifer arbeiten immer professioneller und effizienter." Gerade der Schutz kritischer Infrastrukturen habe oberste Priorität. Das Niveau der IT-Sicherheit in diesen sensiblen Bereichen sei aber derzeit sehr unterschiedlich und zum Teil rudimentär. Das sei nicht hinnehmbar.

Bereits in der vergangenen Legislaturperiode hatte die damalige Bundesregierung einen Entwurf für ein IT-Sicherheitsgesetz auf den Weg gebracht. Die Pläne kamen aber nicht mehr rechtzeitig durch das parlamentarische Verfahren - auch wegen Widerständen der Wirtschaft. Aus Angst vor Ansehensverlust sind Firmen sehr zurückhaltend damit, zu offenbaren, wenn sie Opfer von Cyberattacken werden. Sie hatten unter anderem auf Anonymität bei solchen Hinweisen gepocht.

Die will ihnen die Regierung nun in den meisten Fällen zugestehen - nämlich dann, wenn eine Firma einen Cyberangriff bemerkt, dadurch aber keine größeren Störungen entstehen. Kommt es dagegen zu einer Beeinträchtigung oder sogar zu einem Ausfall der kritischen Infrastruktur, muss der Betreiber bei der Meldung den Namen nennen.

In ihrer Branche sollen die betroffenen Unternehmen selbst innerhalb von zwei Jahren Mindeststandards entwickeln, um ihre IT gegen Attacken abzusichern. Diese Standards müssen vom Bundesamt für Sicherheit in der Informationstechnik (BSI) abgesegnet werden. In Zukunft sollen die Firmen dann mindestens alle zwei Jahre nachweisen, dass sie die Anforderungen erfüllen.

Das BSI wiederum wird verpflichtet, die eingehenden Meldungen über Cyberattacken auszuwerten, Angriffsmuster auszumachen und potenziell gefährdete Unternehmen vor drohenden Übergriffen zu warnen. Die Behörde soll außerdem einmal im Jahr einen Bericht zum Stand der IT-Sicherheit in Deutschland vorlegen.

Die Zuständigkeit des Bundeskriminalamts (BKA) soll ausgeweitet werden auf bestimmte Cyberdelikte, für die bislang noch die Länder verantwortlich sind. Außerdem bekommen die zuständigen Sicherheitsbehörden zusätzliches Geld und Personal, um ihren Aufgaben in Sachen IT-Sicherheit nachzukommen: Beim BKA, beim BSI, beim Bundesamt für Verfassungsschutz und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe sollen insgesamt mehr als 270 neue Stellen entstehen. Für die zusätzlichen Personalkosten und extra Sachmittel sind mehr als 20 Millionen Euro eingeplant.

Auch für den unmittelbaren Schutz von Bürgern sind Verschärfungen geplant. Internet- oder E-Mail-Anbieter etwa sollen verpflichtet werden, ihre Nutzer zu informieren, falls sie Störungen in deren Accounts feststellen. Telekommunikationsanbieter werden auch angewiesen, ihre Systeme vor unerlaubten Zugriffen zu sichern./jac/DP/jha