Thomas Maizi re (bundesminister des innern), 2015-03-20:

Frau Präsidentin! Liebe Kolleginnen und Kollegen!
Meine Damen und Herren! Der kluge Mann und die
kluge Frau bauen vor. Das gilt schon seit Menschengedenken. Wir errichten Deiche, um uns bestmöglich vor
den Gefahren eines Hochwassers zu schützen, in den
Bergen befestigen wir Abhänge, damit sie nicht auf Straßen rutschen, wir legen Vorräte an und legen einen Notgroschen für den Ernstfall zurück. Kurz: Es liegt in der
Natur des Menschen, Vorsorge zu treffen. In der digitalen Welt sollte es nicht anders sein. Digitale Infrastrukturen und IT-Systeme sind das Rückgrat unserer modernen
Gesellschaft. Durch sie entstehen in nahezu allen Lebensbereichen neue Potenziale, Freiräume und Synergien. Gleichzeitig wächst aber die Abhängigkeit von diesen Systemen und damit auch die Bedeutung der
Verfügbarkeit und Sicherheit der Systeme. Der technische Fortschritt hat uns also ein Stück weit verwundbar
oder verwundbarer gemacht, auch durch die digitale
Welt.

Das Bundesamt für Sicherheit in der Informationstechnik geht davon aus, dass allein in Deutschland mehr
als 1 Million Internetrechner Teil eines sogenannten
Botnetzes ist. Das bedeutet, dass sie jederzeit für ITAngriffe missbrauchbar sind, ohne dass das der Betreiber bemerkt. Mehr als 250 Millionen Varianten von
Schadprogrammen sollen heute schon in Umlauf sein,
und täglich kommen über 300 000 neue Varianten hinzu.
Erfolgreiche technische Dienste und zuverlässige Anwendungen im Internet brauchen Vertrauen in die Sicherheit der IT-Systeme.

Wir beraten heute in erster Lesung über einen Gesetzentwurf, der diesem Ziel dient und zwei wichtige Bestandteile enthält. Erstens. Wir ergreifen Maßnahmen
zum Schutz unserer kritischen Infrastrukturen. Das sind
die Teile unserer Netze, die für unser Leben von zentraler Bedeutung sind, wie die Energieversorgung, die Wasserversorgung, die Geldversorgung, der Verkehr, die
Gesundheitsversorgung und viele andere Bereiche. Sicherheit bedeutet hier, dass die Netze verfügbar sind,
dass sie schlicht funktionieren, dass sie ohne Störungen
betrieben werden können. Deshalb werden wir die Betreiber solcher kritischen Infrastrukturen mit dem Gesetz
verpflichten, Mindeststandards an IT-Sicherheit einzuhalten und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik zu melden. Diese Informationen werden ausgewertet und
anschließend anderen, ähnlichen Betreibern kritischer
Infrastrukturen zur Verfügung gestellt, damit diese sich
wappnen oder eingetretene Schäden beseitigen können.
Sie können dann ihrerseits zielgerichtete Maßnahmen
zum Schutz der Infrastruktur ergreifen, noch bevor sie
selbst zum Opfer eines entsprechenden Angriffs werden,
oder, wenn sie es bereits geworden sind, gemeinsam mit
anderen den Schaden beheben.

Der zweite wichtige Baustein betrifft Maßnahmen,
die auch andere in Deutschland betriebene IT-Systeme
sicherer machen. Ich will drei dieser Maßnahmen nennen:



Erstens. Wir verpflichten die Betreiber von Webseiten, zum Beispiel von Onlineshops, ihre IT-Systeme
durch wirksame und zeitgemäße Vorkehrungen vor dem
unerlaubten Zugriff zu schützen. Damit wollen wir verhindern, dass über unzureichend geschützte Webserver
Viren, Trojaner und andere Schadprogramme verbreitet
werden.

Zweitens. Wir werden Telekommunikationsunternehmen verpflichten, ihre Kunden zu warnen, wenn sie bemerken, dass der Anschluss des Kunden für Angriffe
missbraucht wird. Gleichzeitig sollen sie ihre Kunden
auf mögliche Wege zu deren Abwehr hinweisen. Viele
Telekommunikationsunternehmen machen das schon
heute, aber eben nicht alle.

Drittens. Wir wollen dem Bundesamt für Sicherheit in
der Informationstechnik die Erlaubnis geben, bestimmte
IT-Produkte auf ihre IT-Sicherheit zu überprüfen und die
Ergebnisse bei Bedarf auch zu veröffentlichen. Das wird
die Transparenz der Sicherheit von IT-Produkten erhöhen und zu mehr Akzeptanz der IT-Sicherheit als eigenständigem Wert eines IT-Produktes führen.

({0})

Meine Damen und Herren, was wir mit diesen Maßnahmen machen, ist nichts anderes, als dass wir etablierte und bewährte Maßnahmen aus der sogenannten
analogen Welt in die sogenannte digitale Welt übertragen. Wir stellen in der analogen Welt Mindestanforderungen für Lebensmittel und Haushaltsgeräte auf. Wir
machen das genauso bei Banken und Finanzdienstleistern im Bereich des Risikomanagements. Wir verlangen
sogar von Lebensmittelbetrieben, dass sie bei Gefahren
für die Gesundheit die Bevölkerung gegebenenfalls öffentlich warnen und ihre Lebensmittel aus den Regalen
zurückziehen. Im Flugverkehr schreiben wir Meldungen
über sicherheitsrelevante Vorfälle an das Luftfahrt-Bundesamt vor. Seit langer Zeit verpflichten wir Grundstückseigentümer, im Winter auf ihren Gehwegen zu
streuen, um Unfälle von Personen zu vermeiden. Nichts
anderes machen wir jetzt im Bereich der IT.

Viele Menschen haben den Eindruck, dass die Einhaltung und Durchsetzung von Recht und Ordnung in der
digitalen Welt unerreichbar seien. Die Digitalisierung sei
zu dynamisch, der Cyberraum zu global, die Amerikaner
seien zu stark; da könne man halt nichts machen. Ich
sehe das anders. Auch wenn man im Internet in einer
Millisekunde scheinbar jeden Ort der Welt erreichen
kann: Es gibt ein physisches Netz in Deutschland, es gibt
IT-Systeme, die hier in Deutschland betrieben und angeboten werden. Sie unterliegen dem deutschen Recht, und
damit können wir auch Regeln für diese Systeme aufstellen.

({1})

Gleichzeitig handeln wir auch international. In Europa arbeiten wir parallel zu dem Gesetzentwurf, den wir
ab jetzt beraten, an dem Zustandekommen einer Richtlinie für die Netzwerk- und Informationssicherheit in der
Europäischen Union, an der sogenannten NIS-Richtlinie.
({2})

Auch hier sollen unter anderem EU-weite Mindestanforderungen für Betreiber kritischer Infrastrukturen aufgestellt werden. Auch hier sind Meldeverfahren hinsichtlich kritischer Sicherheitsvorfälle vorgesehen.

Was wir in diesem Fall also machen, ist nicht, zu warten, dass Europa uns eine Vorgabe macht, und diese dann
irgendwie zögerlich und auf Druck der EU mit Fristversäumung usw. umzusetzen. Diese Zeit haben wir in der
schnellen Welt des Internets nicht. Was wir heute machen, ist, wenn Sie so wollen, eine vorweggenommene
Umsetzung einer künftigen Richtlinie. Damit das klappt,
sind wir in engstem Kontakt mit der EU-Kommission
und natürlich mit dem Rat, damit das Ganze so kompatibel ist, dass es nachher auch zusammenpasst.

Trotzdem geht das alles nur gemeinsam - in Europa
und in Deutschland. Der Gesetzentwurf sieht ein Wechselspiel zwischen Unternehmen und Behörden vor: Melden und Warnen, Standards und Sicherungsmaßnahmen
entwickeln. Das alles funktioniert nämlich nur, wenn
man zusammenarbeitet. Auch das ist ein Prinzip, das
hinter den hier vorgelegten Regelungen steckt. Wir wollen auch bei der IT-Sicherheit eine neue Form der Kooperation mit der Wirtschaft; denn wir als Aufsichtsbehörde wollen nicht nur Vorschriften machen.

({3})

Ein letzter Gedanke. Die Sicherheit unserer IT-Systeme soll auch ökonomisch dem Standort Deutschland
und dem Standort Europa dienen. Das haben wir zum
Beispiel von Standards in der Umweltpolitik gelernt. ITSicherheit made in Germany soll nicht nur unsere Netze
sicherer, sondern auch unsere Wirtschaft erfolgreicher
machen.

Meine Damen und Herren, wir wollen die deutschen
IT-Systeme zu den sichersten in der Welt machen. Der
vorgelegte Entwurf eines IT-Sicherheitsgesetzes, den wir
ab heute beraten, ist dazu ein erster und wichtiger
Schritt.

Vielen Dank.

({4})