Pläne für mehr IT-Sicherheit: Angriffsschutz mit Schwachstellen

Ein neues Gesetz soll für mehr IT-Sicherheit sorgen. Ex­per­t:in­nen kritisieren bei einer Anhörung Lücken – darunter eine zentrale.

Cyberangriffe sind für Unternehmen und Verwaltung eine ständig wachsende Bedrohung   Foto: Sina Schuldt/dpa

Berlin taz | Die Bundesregierung muss auf eine EU-Richtlinie hin dafür sorgen, dass Unternehmen mehr für ihre IT-Sicherheit tun. Doch Ex­per­t:in­nen haben bei einer Anhörung im Innenausschuss das geplante Gesetz zur Umsetzung der EU-Regeln scharf kritisiert. „Der Entwurf enthält zu viele Schwächen und Unklarheiten, die der Erhöhung des Cybersicherheitsniveaus leider nicht förderlich sind“, sagte der Sachverständige Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Universität Bremen.

Cyberangriffe sind für Unternehmen und Verwaltung ein finanzielles und ein Sicherheitsrisiko. Laut dem IT-Verband Bitkom waren, Stand August, in den davorliegenden zwölf Monaten 81 Prozent aller Unternehmen von Angriffen auf die IT-Infrastruktur betroffen. Der entstandene Schaden sei von 205,9 Milliarden Euro im Vorjahreszeitraum auf 266,6 Milliarden Euro gestiegen.

Die EU will dieses Problem unter anderem mit der Netz- und Informationssysteme-Richtlinie (NIS2) angehen. Verabschiedet wurde das Regelwerk vor zwei Jahren und eigentlich hätte Deutschland es bis Oktober in nationales Recht umsetzen müssen. In Deutschland müssen bislang vor allem Unternehmen der sogenannten Kritischen Infrastruktur, zum Beispiel Wasser- und Energieversorger, definierte Regeln in Sachen IT-Sicherheit einhalten.

Mit der Umsetzung der Richtlinie, so die Einschätzung des Bundesamtes für Sicherheit in der Informationstechnik (BSI), sei mit einer „erheblichen Zunahme der Zahl von Unternehmen und Einrichtungen, die künftig Registrierungs-, Nachweis- und Meldepflichten gegenüber dem BSI zu erfüllen haben“, zu rechnen. Schätzungen gehen von rund 30.000 betroffenen Unternehmen aus.

Unternehmen ja, Behörden nein?

Zentraler Kritikpunkt in der Anhörung waren die umfassenden Ausnahmen für Behörden und Ministerien. „Wir haben eher ein Cyberschwächungsgesetz“, sagte der Sachverständige Timo Kob von der IT-Beratungsfirma HiSolutions. Man brauche ein einheitliches Sicherheitsniveau, statt Ausnahmen für Ministerien und reduzierte Anforderungen für nachgeordnete Behörden.

Von einer „Glaubwürdigkeitslücke“, sprach Bitkom-Vertreter Felix Kuhlenkamp, wenn einerseits die Anforderungen für Unternehmen hochgeschraubt werden, der Staat sich aber Ausnahmen einräumt.

Die Ex­per­t:in­nen wiesen außerdem darauf hin, dass die Gesetzgebung zu Cybersicherheit in Deutschland insgesamt fragmentiert und uneinheitlich sei. „Das ist weder effektiv, noch effizient, noch im Sinne der Cybersicherheit dieses Landes“, sagte Sven Herpig, IT-Experte vom Thinktank interface.

„Wir brauchen einen ganzheitlichen Ansatz“, forderte IT-Sicherheitsprofessor Kipker. Es gehe nicht nur um Cybersicherheit, sondern um digitale Resilienz – also die Widerstandsfähigkeit von Strukturen und Institutionen, wenn es zu einem Angriff oder einer Störung kommt.

Herpig forderte zudem mehr Aus- und Weiterbildungsmaßnahmen für IT-Sicherheitskräfte. Der Markt sei jetzt schon leergefegt, es brauche Fachkräfte, damit die Unternehmen, die von den neuen Regeln betroffen sein werden, diese auch umsetzen können.

Comments

[Grenzgänger]

Umfassende Ausnahmen für Behörden und Ministerien machen überhaupt keinen Sinn! Warum sollte für sie denn die Bedrohungslage geringer sein?

Als IT‘ler kann man über so einen Schwachsinn nur den Kopf schütteln 🤦‍♂️

[Thorsten Gorch]

@Grenzgänger:

Aus Sicht einer Behörde ergibt das durchaus Sinn. Behörden, bzw. bürokratische Organisationen im Allgemeinen, optimieren auf Selbsterhalt und Wucherung, nicht auf sowas nebensächliches wie IT Sicherheit. IT Sicherheit nützt einer Behörde ja nichts & bringt nur Anpassungsstreß. Das ist für bürokratische Strukturen vermeidbar durch diesen einfachen Regelkreis:

1) Spart Geld das man für den Ausbau & Bestandssicherung der Behörde besser nutzen kann (der zweck bürokratischer Strukturen ist der Selbsterhalt, nicht ein bestimmter Zweck & schon gar nicht für die Steuerzahler)

2) Wenn die Behörden-IT es - voraussichtlich - verbockt kann sind die smarten, bösen Hacker ja schuld. Aka "Computerproblem, kann man nichts machen(tm)" & man hat schon immer gewusst das der ganze IT Kram nicht sicher sein kann (FAX ist Trumpf). Aber man könnte ja vielleicht wenn mehr Steuerzahlergeld in die Behördenkasse käme - & hier schließt sich schon der Kreis zu (1).