Deutschlands Behörden sollen Sicherheitslücken wenigstens melden

Inhaltsverzeichnis

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Bundesbehörden sollen IT-Sicherheitslücken unverzüglich dem Bundesamt für Sicherheit in der Informationstechnik (BSI) melden, sobald sie ihnen bekannt werden und "soweit andere gesetzliche Regelungen dem nicht entgegenstehen". Zu dieser Regelung haben sich die nach dem Ausscheiden der FDP in der Koalition verbliebenen Verhandler von SPD und Grünen durchgerungen. Festgehalten werden soll das im BSI-Gesetz, Paragraph 43, in einem neuen Absatz 6.

Der Entwurf liegt heise online vor. Die Ampel-Koalition ist mit dem Versprechen im Koalitionsvertrag angetreten, IT-Sicherheit zu stärken. Der Staat soll demnach "keine Sicherheitslücken ankaufen oder offenhalten", sondern sich unter Federführung eines unabhängigeren BSI "immer um die schnellstmögliche Schließung bemühen". Zugleich sollten die Eingriffsschwellen bei Überwachungssoftware wie Staatstrojanern erhöht und die bestehenden Befugnisse für die Polizei eingeschränkt werden.

Eine Arbeitsgruppe aus Innenpolitikern der Koalitionsfraktionen und des Bundesinnenministeriums (BMI) kam allerdings in der Frage des Schwachstellenmanagements monatelang auf keinen gemeinsamen Nenner. Erst im Frühjahr gab es Hoffnung auf eine Übereinkunft. Vor der Sommerpause fanden die drei Fraktionen tatsächlich zueinander, doch wie das BMI den Kompromiss im Anschluss ausformuliert hat, stieß vor allem den Grünen und den Liberalen angesichts zu vieler Hintertüren für Ausnutzung von Schwachstellen durch Sicherheitsbehörden übel auf.

Keine umfassende Statistik

Die Bundesregierung machte dann im Rahmen ihres Entwurfs zur Umsetzung der NIS2 getauften EU-Richtlinie zur Netz- und Informationssicherheit den Vorschlag für einen Paragraf 43 Absatz 5 im BSI-Gesetz. Dieser geht nicht so weit wie der nun zusätzlich von SPD und Grünen vereinbarte Absatz 6. Dem Regierungsansatz zufolge besteht Meldepflicht für Schwachstellen nur, wenn Informationen darüber "für die Erfüllung von Aufgaben oder für die Sicherheit der Kommunikationstechnik des Bundes von Bedeutung sind". Zudem gibt es eine Palette von Ausnahmen, die sich sogar auf "Geheimschutz oder Vereinbarungen mit Dritten" bezieht.

Nicht einmal brauchbare Daten über das Ausmaß des Problems soll es geben: Von der Auflage, eine jährliche Statistik über bekannt gewordene Sicherheitslücken zu führen, sollen der Bundesnachrichtendienst (BND) und das Bundesamt für Verfassungsschutz (BfV) ausgenommen werden.

Kein "intransparentes" Offenhalten von Sicherheitslücken

Der weiterreichende Absatz 6 soll laut der rot-grünen Absprache hinzukommen. Dieser Kompromiss ist aber nur eine Meldepflicht und schließt damit nicht generell aus, dass Sicherheitsbehörden Lücken absichtlich offenhalten, um sie etwa für das Aufspielen von Staatstrojanern auf Geräte Dritter zu verwenden. Grundsätzlich hat das Bundesverfassungsgericht 2021 den Gesetzgeber dazu angehalten, den Umgang staatlicher Stellen mit Schwachstellen zu regeln, um das Grundrecht auf Vertraulichkeit und Integrität von IT-Systemen zu verwirklichen.

Den Grünen wäre eine Formulierung lieber gewesen, "die die allgemeine IT-Sicherheit in Deutschland priorisiert", erklärten Konstantin von Notz, Fraktionsvize, und seine Kollegin Misbah Khan, die mitverhandelt hat, gegenüber heise online. Mehr sei mit der SPD aber nicht zu machen gewesen. Gleichwohl würde der Kompromiss "zu einer signifikanten Verbesserung im Vergleich zum Status quo führen: Es ist wichtig, dass der Gesetzgeber zum Umgang mit staatlich bekannten Schwachstellen eine klare Linie vorgibt."

Das bisher praktizierte intransparente Offenhalten von Schwachstellen auf Basis einfacher Verwaltungsvorschriften, bei dem große volkswirtschaftliche und sicherheitspolitische Schäden drohten, sei so nicht mehr möglich. Umfassende Ausnahmen von diesem Grundsatz seien abgewehrt.

Verschärfter Fokus auf kritische Komponenten

Weißen Rauch signalisieren SPD und Grüne auch beim NIS2-Umsetzungsgesetz insgesamt. Ihr über 220 Seiten langer Änderungsantrag zur Regierungsvorlage enthält etwa eine überarbeitete "Huawei-Klausel". Die bisherige legt die Hürde für den Ausschluss einzelner Ausrüster vom Netzausbau etwa für 5G vergleichsweise hoch. Die Regierung kann damit den Einsatz "kritischer Komponenten" bei "voraussichtlichen Beeinträchtigungen der öffentlichen Sicherheit und Ordnung" untersagen. Hersteller müssen eine Garantieerklärung abgeben. Für einen Bann ist das BMI zuständig. Es muss sich dazu aber "ins Benehmen" setzen mit den jeweils betroffenen Ressorts wie dem Wirtschaftsministerium und dem Auswärtigen Amt.

Die aktuell einmal mit Fokus auf Huawei und ZTE genutzte Bestimmung betraf bislang nur den Telekommunikationsbereich. Künftig soll das BMI in Verordnungen, die nicht der Zustimmung des Bundesrates bedürfen, für Sektoren mit Kritischen Infrastrukturen (Kritis) im Einvernehmen mit dem dafür zuständigen Bundesministerium kritische Komponenten bestimmen und ihren Einsatz gegebenenfalls untersagen.

Die bislang allein erfassten Telekommunikationsbetreiber mussten dem BMI bisher zudem anzeigen, dass sie Technik umstrittener Ausrüster wie Huawei verwenden wollten. Diese Auflage wird dem rot-grünen Plan zufolge durch eine Registrierungspflicht für alle Kritis-Bereiche ersetzt. Dabei müssen Betreiber auch Angaben zu den bei ihnen genutzten Typen kritischer Komponenten an das BSI übermitteln. Die Grünen Unterhändler erläutern: Damit werde eine Übersichtsdatenbank bei der Behörde geschaffen, sowie "in Kombination mit der Mitwirkungspflicht der Betreiber schnellere Reaktionsfähigkeiten im Falle von konkreten Bedrohungen und Erkenntnissen" erreicht. Die Garantieerklärung fällt weg.

BSI soll "fachlich unabhängig" werden

Das BSI selbst soll zwar ans BMI angekoppelt bleiben, aber zugleich "selbstständig" sein und "fachlich unabhängig" arbeiten. Details sollen jährliche Zielvereinbarungen regeln, über deren Inhalte das Innenressort dem Innenausschuss des Bundestags berichten muss. Vorgaben ans BSI müsste das BMI schriftlich begründen – gerade wenn sie "politisch sensibel" sein könnten, wie die öffentliche Warnung vor Software der russischen IT-Sicherheitsfirma Kaspersky.

Die Position des vorgesehenen Chief Information Security Officer (CISO) des Bundes haben SPD und Grüne konkreter ausformuliert und im fachlich zuständigen BSI verortet. Der Regierung wäre das BMI lieber gewesen. Der CISO Bund soll bei der Wahrnehmung seiner Aufgaben, die bis zu Penetrationstests gegenüber Behörden reichen, keinen Weisungen unterliegen. Ziel ist, auch hier das BSI insgesamt unabhängiger zu machen.

Schon lange auf Kritik stößt der Ansatz der Bundesregierung, Verwaltungen der Länder und der Kommunen von den durch die NIS2 verschärften IT-Sicherheitsvorgaben auszunehmen und auch bei Bundesbehörden oft auf Selbstregulierung zu setzen. Eine einschlägige Verpflichtung der Bundesverwaltung ist noch ein offener Punkt.

Im Sinne effektiver Resilienz des Staates wäre ein solcher Schritt geboten, meinen die Grünen. Auch Vertreter der CDU/CSU-Fraktion unterstützen dies. Die Regierung hat den Fraktionen dazu nun eine "Formulierungshilfe" geschickt, die den Mindestschutz auf die gesamte Bundesverwaltung erstreckt. Er sei – unter Finanzierungsvorbehalt – Teil des Verhandlungspakets.

Beschluss vor der Wahl fraglich

Theoretisch könnte das NIS2-Umsetzungsgesetz noch in den verbleibenden zwei Sitzungswochen vor der Neuwahl im Februar durch den Bundestag gehen. Allein hat die Rest-Ampel dafür aber keine Mehrheit. Von Notz und Khan appellieren daher an CDU, CSU und die FDP, "hier für die Sicherheit Deutschlands gemeinsam und schnell zu einem Ergebnis zu kommen". Letztlich dürfe es keinen Aufschub geben: "Die Bedrohung unserer digitalen Lebensadern ist zu hoch", um weiter Monate ins Land gehen zu lassen. Zudem hat die EU-Kommission wegen fehlendem NIS2-Vollzug bereits ein Vertragsverletzungsverfahren gegen Deutschland eingeleitet.

Auch aus SPD-Kreisen heißt es, dass Gespräche mit der Union und den Liberalen laufen, da ein zeitnaher Beschluss sehr wichtig wäre. FDP-Innenexperte Manuel Höferlin hat sich am Montag auf Anfrage heise onlines nicht zu dem Vorhaben geäußert.

(ds)