Schlagwort: IT-Sicherheitsgesetz

Dobrindt will als Folge von WannaCry das IT-Sicherheitsgesetz verschärfen

17. Mai 2017

Der Bundesminister für digitale Infrastruktur, Alexander Dobrindt (CSU), will das IT-Sicherheitsgesetz verschärfen. Grund für seinen Vorstoß ist der Krypto-Trojaner WannaCry, der in den letzten Tagen für Aufsehen sorgte.

Der Trojaner hat weltweit hunderttausende Windows-Rechner lahmgelegt. Die Ransomware WannaCry ist ein Erpressungstrojaner. Ist der Rechner einmal befallen verschlüsselt das Programm Benutzer- und Systemdateien und fordert den Nutzer auf, einen bestimmten Betrag in Bitcoins zu zahlen, damit die die Dateien wieder freigegeben werden. Zudem versucht das Programm noch weitere Rechner zu infizieren.

Steven Wilson, der Chef der Ermittlergruppe EC3, des europäischen Cybercrimezentrums, sagt: “Das ist der größte Cyberangriff, den wir weltweit bisher gesehen haben und wir können sein Ausmaß auf die Wirtschaft nicht vorhersagen”.

Das Ausmaß des Angriffs ist enorm, auch wenn der Trojaner inzwischen durch Zufall gestoppt wurde und das erpresste Geld wahrscheinlich nicht mehr als 30.000€ einbringen wird. Der Schaden ist riesig. Betroffen sind nicht nur tausende Rechner von Privatpersonen, sondern auch beispielsweise die Deutsche Bahn, die Probleme mit den Anzeigetafeln und Ticketautomaten seit Tagen versucht wieder in den Griff zu kriegen.

Auf Grundlage dessen fordert Bundesminister Dobrindt ein schärferes IT-Sicherheitsgesetz und bringt eine Meldepflicht ins Spiel, damit Infrastrukturen besser geschützt werden. „IT-Störungen sollen zwingend dem Bundesamt für Sicherheit in der Informationstechnik gemeldet werden“.

“Cyber-Feuerwehr” des BSI

16. Juni 2016

Wie heise online berichtet, will das Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig eine “Cyber-Feuerwehr” zur Unterstützung von IT-Unternehmen ins Leben rufen. Die Mannschaft wird wohl voraussichtlich 20 Personen stark sein und konkrete Hilfestellungen geben, damit die angegriffene IT-Infrastruktur möglichst zügig wieder in eine annehmbar stabile Lage kommt. Falls alles klappt, soll die “Cyber-Feuerwehr” ab 2017 ihre Arbeit beginnen.

Hintergrund ist vermutlich unter anderem die seit Juli 2015 auf Grund des IT-Sicherheitsgesetzes bestehende Pflicht für Betreiber kritischer Infrastrukturen, schwere Angriffe auf ihre Computer-Systeme an das BSI zu melden. Viele Unternehmen scheuen sich jedoch davor, einen Angriff zu melden da sie um ihren Ruf fürchten oder Angst haben, interne Daten preiszugeben. Ziel der “Cyber-Feuerwehr”-Gründung sei es, Unternehmen zu unterstützen und ihnen Mut zu machen, bei einer Attacke um Hilfe zu bitten.

Bundestag verabschiedet IT-Sicherheitsgesetz

17. Juni 2015

Vergangene Woche hat der Bundestag den Entwurf eines neuen IT-Sicherheitsgesetzes verabschiedet. Die jüngsten Berichte über den Hacker-Angriff auf den Bundestag verdeutlichen die drohenden Gefahren durch Cyber-Attacken. Mit den nun verabschiedeten Regelungen beabsichtigt der Gesetzgeber solchen Gefahren eine geringere Angriffsfläche zu bieten. Die Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität von informationstechnischen Systemen (IT-Systemen) zu gewährleisten, ist der Zweck der Neuerungen zum IT-Sicherheitsgesetz.

Die störungsfreie Nutzung von IT-Systemen ist für Staat, Wirtschaft und Gesellschaft von überragender Bedeutung. Dementsprechend gravierend wären die Schadensausmaße, wenn unbefugte Dritte sich Zugriff auf IT-Systeme ­- beispielsweise von Energieversorgern oder Krankenhäusern – verschafften. Vor diesem Hintergrund hat der Gesetzgeber nun den Kreis derer erweitert, die zukünftig bestimmte Sicherheitsstandards umzusetzen haben. Welche Verpflichtungen sich hieraus ergeben, soll im Folgenden kurz dargestellt werden.

Eine wesentliche Neuerung des Gesetzesentwurfs liegt in den eingeführten Pflichten der Betreiber sogenannter „Kritischer Infrastrukturen“. Adressaten der Regelungen sind entsprechend der Definition Anbieter solcher Dienstleistungen, die den Sektoren Energie, Wasser, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Ernährung sowie dem Finanz- und Versicherungswesen angehören.

Nach Inkrafttreten des Entwurfes des IT-Sicherheitsgesetzes wird der Gesetzgeber in einer Rechtsverordnung konkrete Dienstleistungen dieser Sektoren festlegen, so dass sich auf dieser Grundlage genau bestimmen lässt, wer Betreiber einer Kritischen Infrastruktur ist.

Von dem Anwendungsbereich des IT-Sicherheitsgesetzes ausgenommen sind jedenfalls sogenannte „Kleinstunternehmen“. Kleinstunternehmen im Sinne der Vorschriften des IT-Sicherheitsgesetzes sind solche, bei denen weniger als 10 Personen beschäftigt sind und deren Jahresumsatz unter dem Betrag von € 2 Mio. liegt.

Gehört ein Unternehmen zukünftig hingegen zu den Betreibern Kritischer Infrastrukturen treffen ihn besondere Pflichten, die er gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) als zuständige Stelle zu erfüllen hat.

Zukünftig besteht die Verpflichtung angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen für IT-Systeme einzuführen. Eine organisatorische und technische Vorkehrung ist angemessen, wenn die Belastung, welche für das Unternehmen durch ihre Implementierung entsteht, im Verhältnis zu dem Ziel , welches durch sie erreicht werden soll, nicht unverhältnismäßig groß ist. Diese Vorgabe der technischen und organisatorischen Vorkehrungen hat der Gesetzgeber bewusst offen formuliert. An dieser Stelle haben Branchen- und Interessenverbände der betroffenen Adressaten die Möglichkeit, eigene Maßstäbe zu definieren. Aufgrund ihres branchenspezifischen Fachwissens sollen die Interessenverbände gut die Angemessenheit von Vorkehrungen beurteilen können.

Die Verwendung von Mindeststandards haben die einzelnen Unternehmer alle zwei Jahre gegenüber dem Bundesamt nachzuweisen. Die Nachweise können durch Zertifikate, Prüfungen oder Sicherheitsaudits erbracht werden. Auch hier hat der Gesetzgeber den Branchenverbänden einen Gestaltungsspielraum bezüglich der konkreten Anforderungen an mögliche Nachweise eingeräumt.

Des Weiteren haben Unternehmen innerhalb von sechs Wochen nach Inkrafttreten des Gesetzes eine Kontaktstelle einzurichten, über welche die Korrespondenz mit dem Bundesamt abgewickelt werden soll.

Schließlich normiert das Gesetz eine Meldepflicht für Bertreiber Kritischer Infrastrukturen gegenüber dem Bundesamt. Treten erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit informationstechnischer Systeme, ihrer Komponenten oder Prozesse, auf, die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen führen können oder bereits geführt haben, muss dies dem Bundesamt durch die Kontaktstelle gemeldet werden.

Für Diensteanbieter im Sinne des Telemediengesetzes sei schließlich erwähnt, dass die nicht-Verwendung der Mindeststandards bußgeldbewehrt ist.

Ob es letztendlich tatsächlich zu einer erhöhten Sicherheit von IT-Systemen kommt, bleibt abzuwarten.

Bundesregierung beschließt Entwurf für IT-Sicherheitsgesetz

18. Dezember 2014

Wie Medien berichten, hat die Bundesregierung in dieser Woche einen überarbeiteten Entwurf für das geplante IT-Sicherheitsgesetz beschlossen.

40 Prozent der weltweiten Wertschöpfung basiere bereits auf der Informations- und Kommunikationstechnologie, heißt es beim bmi (Bundesministerium des Innern). Die Bundesregierung verfolge daher mit ihren Maßnahmen das Ziel, Deutschland als einen der sichersten digitalen Standorte weltweit zu etablieren.

Das neue Gesetz verpflichtet künftig Betreiber von kritischen Infrastrukturen einen Mindeststandard an IT-Sicherheit einzuhalten. Zu den Betreibern kritischer Infrastrukturen zählen zum Beispiel Energieversorger, Unternehmen im Gesundheits-, Finanz- und Versicherungswesen sowie aus der Transport- und Verkehrsbranche – also Einrichtungen, die für das Gemeinwesen von großer Bedeutung sind. Auch sieht das Gesetz eine Meldepflicht für IT-Sicherheitsfälle vor. Gemeint sind damit vor allem Cyberangriffe. Betroffen sind Betreiber, die mehr als zehn Personen beschäftigen und einen Jahresumsatz von über zwei Millionen Euro aufweisen. Für die so genannten Kleinunternehmer werden die Regelungen nicht gelten.

Darüber hinaus verschärft das IT-Sicherheitsgesetz Regelungen für Dienstanbieter im Bereich Telekommunikation und Telemedien. Diese sollen künftig ihre IT-Sicherheit nach dem aktuellsten technischen Stand aus- und einrichten und ihre Kunden darüber informieren, wenn dem Betreiber Auffälligkeiten am Anschluss des Kunden bekannt werden, die ebenfalls auf Angriffe oder Sicherheitslücken hindeuten.

Wie golem berichtet, sind in dem Gesetzesentwurf auch höhere Budget- und Personalressourcen vorgesehen. Bis zu 38 Millionen Euro jährlich für Personal und Sachmittel und bis zu 425 zusätzliche Stellen sollen bei Sicherheitsbehörden wie dem Bundesnachrichtendienst, dem Bundeskriminalamt und dem Verfassungsschutz entstehen.

Bundesregierung legt “Digitale Agenda 2014-2017” vor

21. August 2014

Bundeswirtschaftsminister Sigmar Gabriel (SPD), Innenminister Thomas de Maiziére (CDU) und der Minister für Verkehr und digitale Infrastruktur Alexander Dobrindt (CSU) haben am Mittwoch die Digitale Agenda 2014- 2017 vorgestellt.

Darin wird klar benannt, dass die seit Anfang des Jahres auf EU-Ebene festhängende europäische Datenschutzgrundverordnung nun 2015 kommen soll. Zudem sollen über die EU hinaus internationale Datenschutzprinzipien erarbeitet werden. Und auch das in der vergangenen Legislaturperiode vorerst gescheiterte IT-Sicherheitsgesetz des Bundes, mit dem Meldepflichten bei IT-Sicherheitsvorfällen eingeführt werden sollen, wird nun wohl bald das Entwurfsstadium verlassen.

Die Agenda enhält u. a. folgende Regelungsgegenstände: Die Verschlüsselung privater Kommunikation solle zum Standard werden, heißt es im Text. Vor dem Hintergrund der NSA-Affäre soll zum einen das Bundesamt für Sicherheit in der Informationstechnik (BSI) gestärkt werden, es soll mehr Geld und Personal bekommen. Zugleich sollen aber auch die technischen und rechtlichen Grundlagen der Sicherheitsbehörden, insbesondere des Bundesamtes für Verfassungsschutz, das auch für Spionageabwehr zuständig ist, verbessert werden.

Jedoch, so berichtet Heise Online, sind weder zur Netzneutralität noch zum Urheberrecht oder zu OpenData in der digitalen Agenda grundlegende Konzepte enthalten. Und auch beim offensichtlichen Widerspruch zwischen den Interessen der Sicherheitsbehörden auf der einen und sicherer Kommunikation auf der anderen Seite wird in ihr keine klare Position bezogen. Weiterhin fehlt eine Klarstellung, dass frei zugänglich mitnutzbare WLANs, ob von Privatpersonen oder von Cafés betrieben, vom Haftungsprivileg der europäischen E-Commerce-Richtlinie umfasst sind.