Die Hacker arbeiten still
„Die Hacker arbeiten still, schnell und sie sind brandgefährlich." Das sagte unser Vorstandsvorsitzende, Tim Höttges, jüngst beim Cyber Security Summit in Bonn. In manchen Fällen dauert eine Cyber-Attacke auf ein Unternehmen gerade einmal sechs Minuten. Bis zu eine Million Attacken registriert die Telekom Tag für Tag auf ihr Netz. Immer mehr Unternehmen geben an, dass sie Opfer von Cyber-Attacken geworden sind. Und auch Daten über den wirtschaftlichen Schaden werden genannt – Netzkriminalität koste die Wirtschaft mindestens 575 Mrd. Dollar im Jahr, sagt das Center for Strategic and International Studies (CSIS). Angesichts solcher Zahlen verwundert es nicht, dass in den Unternehmen, aber auch beim ganz normalen Nutzer, das Bedürfnis nach IT-Sicherheit spürbar wächst.
Eine Antwort der Politik auf die zunehmende Bedrohungslage ist das geplante IT-Sicherheitsgesetz. Doch kaum sind auch nur Eckpunkte des Vorhabens bekannt, hagelt es Kritik. Grundsätzlich wird bemängelt, dass nationale Alleingänge der globalen Gefahr durch Cyber-Kriminalität kaum etwas entgegen setzen können. Stattdessen brauche es ein Art Cyber-Nato oder zumindest eine Cyber-EU (Elmar Brok, MEP, CDU). Andere wieder befürchten die Wiedereinführung der Vorratsdatenspeicherung durch die Hintertür.
Eine weitere Volte im Streit um das IT-Sicherheitsgesetz lieferte jüngst das Wall Street Journal. Danach nutze die Bundesregierung das geplante IT-Gesetz, um Vorteile aus der gesamten NSA-Affäre zu ziehen. Sie ziele mit ihrem Vorhaben darauf ab, US-Firmen vom deutschen Digital-Markt auszuschließen und stattdessen deutsche Unternehmen zu bevorzugen. Etwas aus dem Blickfeld gerät bei diesen Thesen die eigentliche Frage, wer die Vertrauenskrise verursacht hat. Das waren nach jetzigem Kenntnisstand weder Bundesregierung noch Firmen aus Deutschland.
Lohnenswert erscheint eine Diskussion der Frage, was das IT-Gesetz eigentlich leisten soll. Es geht in erster Linie darum, die IT-Sicherheitslage in Deutschland zu verbessern. Viele der geplanten Regelungen gelten für Telekommunikationsanbieter bereits heute schon und sind im Telekommunikationsgesetz (TKG) geregelt. Diese Regelungen sollen mit dem IT-Sicherheitsgesetz jetzt auf alle Branchen der kritischen Infrastrukturen ausgeweitet werden, um ein einheitliches Sicherheitsniveau zu erreichen. Grundzüge dafür waren schon in der Cyber-Sicherheitsstrategie für Deutschland angelegt, etwa die Verpflichtung für die Betreiber kritischer Infrastrukturen, Cyber-Attacken auf ihre IT-Infrastruktur zu melden. Fraglich erscheint dabei, ob sich mehr Sicherheit im Cyberraum schaffen lässt, ohne die gesamte digitalen Wertschöpfungskette in den Blick zu nehmen. Vielmehr könnte es sinnvoll sein, in die Umsetzung der neuen Sicherheitsanforderungen auch Anbieter bzw. Hersteller von Hardware, Software und Diensten einzubeziehen, da hier vielfach Daten in großem Umfang verarbeitet werden und Einfallstore für Angriffe und Manipulationen gegeben sind. Eine ausschließlicher Fokus auf Telekommunikationsanbieter könnte hier deutlich zu kurz zu greifen.