Thought Leadership
IT-Systeme in kritischen Infrastrukturen (KRITIS) sind nicht vor Cyberangriffen gefeit. Wie aus dem „Lagebericht der IT-Sicherheit in Deutschland 2020“ hervorgeht, stieg allein die Anzahl der Hackerattacken im Gesundheitsbereich mit Fokus auf Krankenhäuser von 11 Attacken in 2018 auf 43 Attacken in 2020.
Auch Angriffe im Energiesektor nahmen deutlich zu: In den vergangenen drei Jahren stieg die Anzahl der Angriffe von vier auf 26. Insgesamt mehr als 400 meldepflichtige IT-Sicherheitsvorfälle bei KRITIS-Betreibern wurden 2020 angezeigt – ein Anstieg von über 60 Prozent im Vergleich zum Vorjahr.
Die Bundesregierung hat erkannt, dass KRITIS-Betreiber Nachholbedarf haben und in der Folge das IT-Sicherheitsgesetz angepasst werden muss. „In der KRITIS fehlt es derzeit am Wesentlichen: Betreiber setzen auf alte Geräte, die zum Teil keine Updates mehr erhalten, eine fehlende Routine macht insbesondere multiple Angriffe erfolgreicher und Mitarbeiter werden nicht oder unzureichend geschult“, so Patrycja Schrenk, Geschäftsführerin der PSW GROUP, zu den hohen Zahlen. Verständlich, wenn hier nachgerüstet werden muss.
Doch obwohl noch im Entwurf, ist jetzt schon klar, dass das IT-Sicherheitsgesetz 2.0 sowohl Hersteller als auch Betreiber künftig verstärkt in die Pflicht nehmen wird. Der aktuell dritte Entwurf sorgt vor allem angesichts der Verhältnismäßigkeit diverser Passus für reichlich Diskussionsspielraum und erregt auch den Unmut der IT-Sicherheitsexperten der PSW GROUP: „Zum einen ignoriert das für das Gesetz zuständige Bundesministerium des Inneren offenbar Vorschläge von UP KRITIS, einer extra ins Leben gerufenen öffentlich-privaten Kooperation zwischen verschiedenen KRITIS-Betreibern, Verbänden und staatlichen Stellen, zur Neuauflage des IT-Sicherheitsgesetzes. Das ist ärgerlich und wenig zielführend. Vor allem aber sehe ich einige neue Sonderrechte des BSI als strittig und es fehlt mir insgesamt an Transparenz und Nachvollziehbarkeit von Bestimmungen“, kritisiert Schrenk.
So erhält das BSI mit dem IT-Sicherheitsgesetz 2.0 neue Befugnisse: Es darf hacken und muss Sicherheitslücken nicht zwangsläufig veröffentlichen. Um Betroffene von Sicherheitslücken oder –vorfällen zu benachrichtigen, bekommt das BSI darüber hinaus das Recht, Bestandsdaten wie Name oder Adresse bei Telekommunikationsanbietern abzufragen. Zudem darf die Behörde Informationen über ihr bekannte Sicherheitslücken oder Schadprogramme zurückhalten, wenn damit eine Weiterverbreitung oder rechtswidrige Ausnutzung verhindert werden kann oder weil sie gegenüber Dritten zur Vertraulichkeit verpflichtet ist. „Diesen Passus erachte ich als extrem strittig. Denn so können Geheimdienste und die Polizei Zero-Day-Exploits weiter für eigene Zwecke nutzen“, kritisiert Schrenk.
Weiter ermächtigt das IT-Sicherheitsgesetz 2.0 das BSI, freiwillige IT-Sicherheitskennzeichen einzuführen. Ein solches Kennzeichen besteht aus der Zusicherung eines Herstellers oder Diensteanbieters, dass sein Produkt bestimmte IT-Sicherheitsanforderungen erfüllt sowie aus einer Information des Bundesamtes über sicherheitsrelevante IT-Eigenschaften des Produktes. „Ein solches freiwilliges IT-Sicherheitskennzeichen klingt zunächst nicht schlecht. Es ist aber ein nationaler Alleingang, der die Wirksamkeit europäischer Bestimmungen beschädigen könnte. Neben einem erhöhten Aufwand für Unternehmen ist auch Verbrauchern nur bedingt geholfen, wenn eine immer größer werdende Zahl an Gütesiegeln eher Verwirrung stiftet“, meint Patrycja Schrenk.
Geplant ist zudem eine 12-monatige Speicherzeit für Protokolldaten: Kommunizieren Bürger und Verwaltungseinrichtungen oder Parlamentarier online miteinander, können vom BSI anfallende Protokolldaten inklusive persönlicher Nutzerinformationen wie IP-Adresse zwölf Monate lang gespeichert und ausgewertet werden. So darf das BSI interne Protokollierungsdaten aus allen Behörden als Aufzeichnung über die Art der IT-Nutzung zur Gefahrenabwehr für die bundesinterne Kommunikationstechnik verarbeiten. Trojaner wie Emotet oder komplexe Angriffe sollen so besser erkannt werden.
„Für den aktuellen Entwurf des IT-Sicherheitsgesetzes hätte ich mir eine bessere Evaluation des 2015 verabschiedeten Ursprungsgesetzes gewünscht. Zudem erinnern die Bußgeldregelungen stark an die der DSGVO. Eigene Überlegungen wären hier besser gewesen. Denn die DSGVO soll das Recht auf informationelle Selbstbestimmung des Bürgers sowie dessen Datenschutz stärken, das IT-Sicherheitsgesetz 2.0 die IT-Sicherheit der KRITIS-Betreiber. Beides mit demselben Maß zu bemessen, halte ich für unüberlegt“, kritisiert die IT-Sicherheitsexpertin.
Weitere Informationen finden Sie hier.
www.psw-group.de
