25.07.2016
Viele Zweifel ausgeräumt
1. Teil: „IT-Sicherheitsgesetz wird ein Jahr alt“
IT-Sicherheitsgesetz wird ein Jahr alt
Autor: dpa, Susanne Gillner
![IT-Sicherheit](/img/6/3/6/7/1/1/IT-Sicherheit_w320_h200.jpg)
![IT-Sicherheit](/img/6/3/6/7/1/1/IT-Sicherheit_w480_h300.jpg)
![IT-Sicherheit](/img/6/3/6/7/1/1/IT-Sicherheit_w640_h400.jpg)
MaximP / Shutterstock.com
Vor gut einem Jahr trat das IT-Sicherheitsgesetz in Kraft. Seitdem sind sieben Meldungen wegen Cyberattacken beim Bundesamt für Sicherheit eingegangen.
Sicherheit per Gesetz: Ein potenzieller Cyberangriff auf die Wasserversorgung, das Stromnetz oder die Kommunikationsnetze kann eine Gesellschaft empfindlich treffen. Als einen Baustein für den Schutz dagegen hat die Bundesregierung vor einem Jahr das IT-Sicherheitsgesetz auf den Weg gebracht. Nach anfänglicher Skepsis stößt es in der Wirtschaft inzwischen auf positive Resonanz. Viele Zweifel zur Machbarkeit sind ausgeräumt. Und: Bislang sind sieben Meldungen wegen Cyberattacken eingegangen. Details zu den Angriffen veröffentlicht das Bundesamt für Sicherheit nicht.
Das seit dem 25. Juli 2015 geltende Gesetz verpflichtet Betreiber kritischer Infrastrukturen wie Energie-Lieferanten, Telekom-Unternehmen oder Wasserbetriebe, ihre IT-Systeme angemessen zu sichern. Außerdem sieht es eine Meldepflicht bei schwereren Vorkommnissen vor. Die Realisierung komme erst langsam ins Rollen, sagte Stephan Kohzer vom Bundesamt für Sicherheit in der Informationstechnik (BSI), der zentralen Anlaufstelle bei solchen Vorfällen.
Das seit dem 25. Juli 2015 geltende Gesetz verpflichtet Betreiber kritischer Infrastrukturen wie Energie-Lieferanten, Telekom-Unternehmen oder Wasserbetriebe, ihre IT-Systeme angemessen zu sichern. Außerdem sieht es eine Meldepflicht bei schwereren Vorkommnissen vor. Die Realisierung komme erst langsam ins Rollen, sagte Stephan Kohzer vom Bundesamt für Sicherheit in der Informationstechnik (BSI), der zentralen Anlaufstelle bei solchen Vorfällen.
Bauchschmerzen bei den ersten Entwürfen
Die ersten Entwürfe hätten damals noch für viel Bauchschmerzen gesorgt, erinnert sich Felix Esser vom Bundesverband der Deutschen Industrie. Die jetzige Ausgestaltung des Gesetzes sei aber begrüßenswert. "Wir sind überwiegend zufrieden." Das Innenministerium sei auf die Bedürfnisse der Unternehmen eingegangen.
Auf Kritik war etwa gestoßen, dass nach Inkrafttreten des Gesetzes über Monate hinweg unklar war, wer überhaupt zu den Betreibern von kritischen Infrastrukturen (Kritis) zählt und welche Kosten auf die Unternehmen zukommen. Eine am 3. Mai in Kraft getretene Verordnung konkretisiert nun die Vorgaben für die Sektoren Energie, Wasser, Informationstechnik und Telekommunikation sowie Ernährung.
Auf Kritik war etwa gestoßen, dass nach Inkrafttreten des Gesetzes über Monate hinweg unklar war, wer überhaupt zu den Betreibern von kritischen Infrastrukturen (Kritis) zählt und welche Kosten auf die Unternehmen zukommen. Eine am 3. Mai in Kraft getretene Verordnung konkretisiert nun die Vorgaben für die Sektoren Energie, Wasser, Informationstechnik und Telekommunikation sowie Ernährung.
2.000 betroffene Anlagen
War zuvor noch von 18.000 Kritis-Unternehmen die Rede, geht das Innenministerium inzwischen von 2.000 betroffenen Anlagen aus, die Zahl der Betreiber dürfte deutlich darunter liegen. "Es hat einen guten und konstruktiven Dialog zwischen Staat und Wirtschaft gegeben", lobt Marc Fliehe vom Digitalverband Bitkom. Die Expertisen der Unternehmen seien in die Ausgestaltung des Gesetzes eingeflossen.
Im Dialog werden branchenspezifisch die Vorgaben erarbeitet, wie ein wirksamer Schutz der Anlagen aussehen muss. "Die Technologie ändert sich ja ständig", sagt Fliehe. Was heute Standard ist, könne morgen bereits veraltet sein. Die Vorgaben müssten deshalb sowohl abstrakt als auch praxistauglich sein.
Auch die Meldepflicht bei kritischen Vorkommnissen war anfangs bei den Unternehmen auf Skepsis gestoßen, Kritikern wie den Netzaktivisten von Netzpolitik.org ging sie dagegen nicht weit genug. Die Meldepflicht soll sicherstellen, dass ein schnelles Eingreifen bei schweren Angriffen möglich ist und vor allem auch die Informationen über aktuelle Attacken schnell ausgetauscht und gemeinsam analysiert werden können.
Im Dialog werden branchenspezifisch die Vorgaben erarbeitet, wie ein wirksamer Schutz der Anlagen aussehen muss. "Die Technologie ändert sich ja ständig", sagt Fliehe. Was heute Standard ist, könne morgen bereits veraltet sein. Die Vorgaben müssten deshalb sowohl abstrakt als auch praxistauglich sein.
Auch die Meldepflicht bei kritischen Vorkommnissen war anfangs bei den Unternehmen auf Skepsis gestoßen, Kritikern wie den Netzaktivisten von Netzpolitik.org ging sie dagegen nicht weit genug. Die Meldepflicht soll sicherstellen, dass ein schnelles Eingreifen bei schweren Angriffen möglich ist und vor allem auch die Informationen über aktuelle Attacken schnell ausgetauscht und gemeinsam analysiert werden können.
Kritiker bemängelten unklare Vorgaben, was ein erheblicher IT-Sicherheitsvorfall denn überhaupt sei. Inzwischen hat das BSI die Kriterien genauer spezifiziert. So fallen etwa Angriffe darunter, die bisher noch nicht veröffentlichte Sicherheitslücken ausnutzen oder die nur mit erheblichem Aufwand abgewehrt werden können.
2. Teil: „Wirtschaftlicher Schaden oder Imageverlust“
Wirtschaftlicher Schaden oder Imageverlust
Viele Unternehmen befürchteten eigenen wirtschaftlichen Schaden oder Imageverlust, wenn sie einen Vorfall öffentlich melden müssen. Die Behörden seien auf die Ängste eingegangen, sagte Fliehe. Inzwischen hätten das BSI und das Innenministerium konkrete Wege erarbeitet, über welche Kanäle kommuniziert werden muss. Große Vorbehalte gebe es heute nicht mehr - auch weil das BSI die Möglichkeit vorhalte, Vorfälle unter bestimmten Umständen anonym zu melden.
Doppelregelungen müssen vermieden werden
Auch wenn die Realisierung bis heute erfolgreich verlief, blieben jedoch Fragen offen, sagte Esser. Im zweiten Korb kommen im ersten Quartal 2017 die Sektoren Finanz- und Versicherungswesen, Transport und Verkehr sowie Gesundheit hinzu. Hier müsse darauf geachtet werden, dass man Doppelregelungen vermeidet. So dürfe es nicht sein, dass ein Sicherheitsvorfall bei einem Transport von Medikamenten etwa mit der Bahn an mehrere Behörden gemeldet werden müsse, weil er unter die Sektoren Logistik und Gesundheit falle.
Eine weitere Herausforderung liege in der Harmonisierung mit dem neuen Cybersicherheitsgesetz auf EU-Ebene (NIS), das seit rund einem halben Jahr gilt, sagte Esser. Unterschiedliche nationale Umsetzungen könnten verschiedene Sicherheitsanforderungen hervorbringen. "Hier müssten Doppelbelastungen für Unternehmen vermieden werden."
Eine weitere Herausforderung liege in der Harmonisierung mit dem neuen Cybersicherheitsgesetz auf EU-Ebene (NIS), das seit rund einem halben Jahr gilt, sagte Esser. Unterschiedliche nationale Umsetzungen könnten verschiedene Sicherheitsanforderungen hervorbringen. "Hier müssten Doppelbelastungen für Unternehmen vermieden werden."
Übernahme
Mimecast baut Human Risk Management-Plattform mit Kauf von Code42 und Aware aus
Mimecast Limited (Mimecast) übernimmt Code42 und Aware. Code42 bietet Lösungen zum Management von Insider-Bedrohungen und Datenverlusten (Data Loss Protection, DLP). Aware ist eine KI-Sicherheitsplattform für Collaboration Tools.
>>
5G+ Gaming
Telekom führt 5G-Standalone für mobiles Spielen ein
Zusammen mit Also hat die Telekom ein Paket für mobile Gamer geschnürt. Dank der 5G-Standalone-Technologie sollen sie beim Spielen mit dem Smartphone Tempovorteile haben.
>>
"HAPS"
Luftschiff bringt schnelles Internet für unterversorgte Regionen
Dank Solarstrom kann das vom US-Luftfahrtunternehmen Sceye entwickelte Luftschiff als Relaisstation monatelang in der Stratosphäre verweilen.
>>
Zwei Tarife
Congstar legt neues Internetangebot für die Heimnutzung auf
Internet ohne Festnetztelefonie gibt es jetzt bei Congstar. Die beiden Tarife bieten unterschiedliche Bandbreiten und sind monatlich kündbar.
>>