Bremen, 2022-07-28, Partei: linke/pds/sed
 Sehr  geehrte Frau Präsidentin, sehr geehrte Damen und  Herren! Seit dem russischen Angriffskrieg auf die  Ukraine haben wir tatsächlich den Blick schärfen  müssen, für eine ganze Reihe von gesellschaftlichen Herausforderungen und so auch für die Cybersicherheit. Das Bundesministerium für Inneres,  auch das wurde eben schon angeschnitten, hat  Mitte letzten Jahres eine Cybersicherheitsagenda  vorgestellt, indem eine Art von strategischer Neuausrichtung durchgeführt wird, vor allen Dingen  aber auch zusätzliches Geld ins System gebracht  wird.  Das Bundesamt für Sicherheit und Informationstechnik (BSI) soll zu einer Zentralstelle ausgebaut  werden. Dazu müssen aber noch Änderungen in  den Bund-Länder-Verhältnissen aufgestellt werden und auch das Grundgesetz angepasst werden.  Beim Bundesamt für Verfassungsschutz (BfV) soll  zudem in diesem Prozess ein Ausbau stattfinden,  und es soll in seiner Zentralstellenfunktion gestärkt  werden.  Ich halte es im Bereich von Spionageabwehr oder  auch potenzieller Terrorismusbekämpfung für absolut nachvollziehbar, wenn das BfV in den Prozess  der Cybersicherheit eng einbezogen ist. Es sollte  selbstverständlich dann Meldungen an das BSI machen. Die Sicherheitsarchitektur in Deutschland ist  aber bewusst dezentral aufgestellt, auch als Lehre  aus der NS-Zeit. Von daher halte ich es immer für  eine riskante Entwicklung, wenn es eine fortschreitende Zentralisierung gibt, insbesondere bei Behörden, die nicht kontrolliert und intransparent arbeiten wie das BfV, vor allem, wenn wir wissen,  dass derartige Behörden, Geheimdienste ein Interesse daran haben, Sicherheitslücken, die vorhanden sind, nicht zeitnah zu schliessen, sondern sie  gegebenenfalls selbst zu nutzen.  Um zum konkreten rechtlichen Rahmen zurückzukommen: Im Gesetz, das auf Bundesebene vorliegt,  und der zugehörigen Verordnung, definiert das  Bundesamt für Sicherheit und Informationstechnik  kritische Infrastruktur. Meine Vorredner:innen  sind bereits darauf eingegangen: Die entsprechende Verordnung sieht vor, dass es 29 Branchen  gibt und neun Sektoren: Energie, Wasser, Ernährung, Informationstechnik, Telekommunikation,  Verkehr, ohne die Gesellschaft nicht funktioniert  und denen eben dann kritische Infrastrukturen zugeordnet sind. In Bremen gilt das beispielsweise für  das Amt für Strassen und Verkehr (ASV) oder für  wesernetz als kritische Infrastruktur im Bereich  Wasser.  Die Betreiber dieser Infrastrukturen sind verpflichtet, dem BSI Störfälle zu melden, sind eng angebunden an einen Informationsaustausch, müssen  eine aktuelle Sicherheits-IT vorhalten, die auch  überprüft wird. Der Senat führt auch aus, dass über  diese Definition hinaus weitere relevante Infrastrukturen vorhanden sind, die allerdings nicht die  Schwellenwerte erreichen, um in dieser kritischen  Infrastrukturliste geführt zu werden. Frau Bergmann, weil Sie das eben kritisiert haben, es gibt ja  auf europäischer Ebene bereits Vorgänge, die eine  Absenkung dieser Schwellenwerte vorsehen, beziehungsweise eine genaue Definition von zusätzlichen Infrastrukturen ab 50 Mitarbeiter:innen und  ab 10 Millionen Euro Jahresumsatz, die in dieser  Liste aufgeführt werden und die im Moment noch  in der Übertragung auf nationales Recht auch mit  den Ländern weiter ausgehandelt werden müssen.  Neu hinzugelernt habe ich bei der Recherche auch,  dass seit Mai 2021 neben diesen genannten Sektoren weitere Unternehmen ebenfalls aufgeführt  werden, die mit erhöhten Melde- und Kontrollpflichten begleitet werden. Da können Entsorger  für kommunale Abfälle, aber eben auch Unternehmen, die im öffentlichen Interesse agieren, ebenfalls zur kritischen Infrastruktur hinzugezählt werden. Darunter fallen beispielsweise Rüstungsbetriebe, Unternehmen mit erheblicher volkswirtschaftlicher Bedeutung oder Betriebe, die mit Gefahrenstoffen hantieren. Diese sind allerdings noch  nicht definiert für das Land Bremen, sodass wir da  noch nicht wissen, in welcher Form das übertragen  wird. Das muss zentraler Gegenstand einer Cybersicherheitsarchitektur für das Land Bremen sein  und werden.  Ausweislich der polizeilichen Kriminalstatistik  wurden im Bereich Cybercrime in den Jahren 2019  bis 2021 knapp 8 000 Fälle aufgezeigt. Wenn diese  Straftaten allerdings konkreten Straftaten zugeordnet werden, die so einer Klassifizierung als Cyberangriff entsprechen, dann kommen wir noch auf  1 200 Fälle, meine Vorredner:innen hatten es bereits genannt. Das Landesamt für Verfassungsschutz meldet übrigens in diesem Zeitraum 30 Angriffe für seine Zuständigkeit, also Angriffe, die  man als staatlich gelenkte Angriffe bezeichnen  muss. Da wir allerdings wissen, dass das Hellfeld  nach kriminologischen Erkenntnissen eher so bei  zehn Prozent liegt, können wir davon ausgehen,  dass das Dunkelfeld um ein Vielfaches höher liegt  6450  Bremische Bürgerschaft (Landtag) – 20. Wahlperiode – 43. Sitzung am 25.01.2023 und 26.01.2023  und dass das Volumen der Cyberattacken damit  schon enorm ist.  Ziele der Angriffe waren – und das ist auch bereits  angeschnitten worden – vor allen Dingen Unternehmen, unabhängig von der Grösse, auch viele  kleine und mittelständische Unternehmen. In der  Wirtschaft kam es dadurch teils zu mehrtägigen  Produktionsausfällen. Die Informationslage über  die Angriffe, über den Umfang und über die Schäden, die dabei entstanden sind, ist allerdings extrem dünn. Auch das unterstreicht die Notwendigkeit einer gut aufgestellten Cybersicherheitsarchitektur.  Das Gesetz und die Entwicklung auf Bundesebene  teilen wir als LINKE mit der, sage ich mal, Stärkung  einer zentralen und auch koordinierten Strategie  und eines Handlungsleitfadens für Länder und  Kommunen. Unverständlich bleibt für uns, dass die  Bundesregierung Sicherheitslücken gleichzeitig  geheim hält und damit auch immense Sicherheitsrisiken bewusst nicht schliesst. Das gefährdet aktiv  die Sicherheit aller Nutzer:innen dieser Sicherheitsstrukturen, dieser Sicherheit-IT von Unternehmen, über Behörden bis hin zu den kritischen Infrastrukturen.  Für die Bundesebene gibt es aber weitere Aufgaben, die bisher noch nicht angepackt wurden. In  den Straftatbeständen wird beispielsweise kein  Unterschied gemacht beim Hacking, ob ich in ein  System eindringe, um es zu sabotieren, Daten zu  stehlen oder Daten zu verschlüsseln, oder ob ich so  weit eindringe, bis ich die Sicherheitslücken identifiziert habe, um sie danach zu melden. Dadurch,  dass dieser Unterschied nicht gemacht wird, wird  die Sicherheitsforschung behindert, und Sicherheitslücken können nur identifiziert werden, wenn  gleichzeitig eine Straftat begangen wird.  Ein besonders interessanter Fall – den habe ich  dazu noch mal rausgesucht –, der das Problem aufzieht, war der erfolgreiche Hack der Sicherheitsforscherin Lilith Wittmann, die die Wahlkampf-App  der CDU 2021 gehackt hat. Sie hatte aufgezeigt,  dass die Daten der Nutzer:innen relativ leicht entwendet werden können, und hat der CDU dann  diese Sicherheitslücke angezeigt und darüber informiert, dass diese Sicherheitslücke besteht. Die  CDU hätte sich jetzt einfach bedanken können und  die Sicherheitslücke schliessen können. Die CDU  hat die Sicherheitsforscherin angezeigt.  Die Wertschätzung der Datensicherheit und der  Mitglieder ist Sache der CDU, allerdings glaube  ich, dass wir hier auf rechtlicher Ebene zu einer anderen Bewertung kommen müssen. Vollständigkeitshalber sei gesagt: Auf Druck der Öffentlichkeit  hat die CDU dann irgendwann die Anzeige zurückgezogen, also ist es jetzt nicht so, dass dieses Verfahren immer noch schweben würde. Ich glaube  aber, dass es aufzeigt, dass wir in der ganzen Frage  „Wie sind eigentlich die rechtlichen Normen aufgestellt, und wie sind eigentlich rechtliche Normen  weiterzuentwickeln, um auch eine zukunftsgerichtete  Sicherheitsarchitektur  hinzubekommen?“  noch wirklich einen weiten Weg zu gehen haben.