Konstantin Notz (NA), 2015-03-20:

Frau Präsidentin! Liebe Kolleginnen und Kollegen!
Meine sehr verehrten Damen und Herren! Das zentrale
Thema der CeBIT in diesem Jahr ist die massive Gefährdung unserer digitalen Infrastruktur durch Massenausspähung und IT-Angriffe. Ohne Edward Snowden hätten
wir heute nicht ansatzweise den Überblick über die tatsächliche Bedrohungslage.

({0})

IT-Sicherheit war immer wichtig. Aber spätestens seit
Stuxnet, Regin, dem Heartbleed Bug und dem überwachten Handy der Kanzlerin ist völlig klar: Im Bereich
der IT-Sicherheit brennt in Deutschland die Hütte lichterloh. Ein zentrales Risikoszenario für Betriebs- und
Geschäftsgeheimnisse, für Kommunikation und Privatheit ist nicht nur die organisierte Kriminalität, es sind
auch die sich verselbstständigenden Geheimdienste und
ihnen gefällig zuarbeitende Unternehmen.

({1})

Das ist die Ausgangslage auch nach zehn Jahren Bundesinnenministerium unter CDU/CSU-Führung, meine
Damen und Herren.

Jeder weiß: Wir brauchen einen verbesserten Grundrechtsschutz der Menschen und eine Erhöhung der IT-Sicherheit für Unternehmen und Behörden. Das sind zwei
Themen, die man heute nicht mehr trennen kann. Und
sosehr Ihr Ministerium, Herr de Maizière, in den letzten
Jahren für die grundrechtsfeindliche Vorratsdatenspeicherung gekämpft hat, so wenig Substanzielles haben
Sie im letzten Jahrzehnt für den Bereich der IT-Sicherheit vorzuweisen.

({2})

Zur CeBIT 2015 legen Sie jetzt Ihren übereilten, unreifen Entwurf eines IT-Sicherheitsgesetzes vor, der völlig zu Recht von allen Seiten kritisiert wird. Weder bringt
er mehr IT-Sicherheit für Deutschland, noch schafft er
das notwendige Vertrauen in die Nutzung der Kommunikationsinfrastruktur unserer Zeit, das Internet. Wer ITStrukturen schützen will, braucht zunächst eine differenzierte Einschätzung der Gefährdungslage; Kollege Korte
hat es angesprochen. Diese haben Sie bis heute nicht
vorgenommen.

({3})

Es ist deshalb vielleicht konsequent, aber eben inhaltlich falsch, hier lediglich mit weitgehend unbestimmten
Verfahrensregelungen um die Ecke zu kommen.

({4})

Sie denken IT-Sicherheit eben nicht ganzheitlich, sondern stellen hier nur auf den Bereich kritischer Infrastrukturen ab. Selbst bei diesen Regelungen springen Sie



zu kurz: Vor der eigenen behördlichen Haustüre wird
nicht gekehrt,

({5})

nur Unternehmen müssen nach Ihrem Gesetzentwurf
Meldungen machen, Behörden aber nicht. Wie soll denn
auf diese Weise das gewünschte Gesamtlagebild der
IT-Angriffe entstehen und analysiert werden? Das ist
schlicht unschlüssig, meine Damen und Herren!

({6})

Es gibt weitere massive Unklarheiten und Widersprüche:

Niemand weiß derzeit, welche Unternehmen wegen
kritischer Infrastruktur meldepflichtig werden und welche eben nicht. Sie wollen das später festlegen. Zu Recht
will die Wirtschaft aber jetzt wissen, was auf sie zukommt.

Niemand weiß, was mit den beim BSI anlandenden
Daten geschehen soll, also was das BSI mit den Daten
anfängt und wem es diese Daten eventuell übermittelt.
Schon alleine die Rechtssicherheit der Unternehmen erfordert hier eine klare gesetzliche Regelung, meine Damen und Herren.

({7})

Und auch die Gelegenheit zur Harmonisierung, Herr
Reichenbach, mit der auf EU-Ebene parallel in Verhandlung befindlichen Richtlinie genau zu diesem Thema
warten Sie nicht ab, sondern Sie schaffen einen nicht
abgestimmten deutschen Sonderweg. Der Minister lobt
sich hier auch noch für dieses Vorgehen. Das ist aber angesichts der Internationalität des Internets und der grenzüberschreitenden Vernetzung von IT-Systemen ein schlicht
abwegiger Ansatz, meine Damen und Herren!

({8})

Schließlich schaffen Sie mit Ihrem rein reaktiven Gesetz überhaupt keine wirksamen proaktiven Anreize, um
die Wirtschaft mitzunehmen. Weder gibt es positive Anreize, wie beispielsweise Privilegierungen für diejenigen, die aufgrund praktischer IT-Schutzmaßnahmen tatsächlich etwas vorzeigen können, noch wagen Sie es,
den umgekehrten Weg zu gehen und beispielsweise
durch steuernde Maßnahmen wie Haftungsregelungen
mehr Sicherheit zu fördern. Der Entwurf zeigt hier leider
ein halbgares Weder-noch, und er wird sein Ziel verfehlen. Das ist für das Jahr 2015, für ein Land wie die Bundesrepublik Deutschland und für einen sensiblen Bereich
wie den der kritischen Infrastrukturen einfach skandalös
wenig, meine Damen und Herren!
({9})

Netzwirtschaft und IT-Kommunikation brauchen vor
allem Vertrauen in die Sicherheit der Infrastruktur. Diese
Erkenntnis ist richtig. Doch statt endlich dafür zu sorgen,
geht seit Jahren in Ihrer Verantwortung Vertrauen weiter
verloren. Das liegt auch daran, dass Sie hier im Entwurf
das dem Innenministerium unterworfene BSI ins Zentrum des Meldesystems stellen; dies hat der Kollege
Korte ja angesprochen.

Das Bundesamt für Sicherheit in der Informationstechnik ist eben nicht unabhängig, sondern abhängig von
einem Innenministerium, das die Vorratsdatenspeicherung fordert, den Ankauf von Sicherheitslücken billigt,
eine zumindest unklare Haltung zum Thema Verschlüsselung hat und ihm, also dem BSI, aufgibt, Bundestrojanersoftware zu basteln. Das kann so nicht weitergehen.
Das BSI muss endlich in zentralen Aufgabenbereichen
unabhängig werden.

({10})

Und diese Bundesregierung muss sich endlich effektiven inhaltlichen Maßnahmen für mehr IT-Sicherheit zuwenden. Die Vorschläge dafür liegen längst auf dem
Tisch, und namhafte deutsche Staatsrechtler haben Ihnen
die verfassungsrechtliche Verpflichtung des Gesetzgebers zum umfassenden Schutz unserer digitalen Infrastrukturen in einer denkwürdigen Anhörung im Ausschuss ins Stammbuch geschrieben: Wir brauchen eine
Abkehr von der globalen Massenüberwachung und von
weltweiten IT-Eingriffen durch Geheimdienste, auch
durch deutsche.

Sie wollten doch Deutschland zum Verschlüsselungsland Nummer eins machen. Ja, dann sorgen Sie dafür,
dass durchgehende Ende-zu-Ende-Verschlüsselungen
endlich Standard werden!

({11})

Fördern Sie konsequent Open-Source-Technologien,
und sorgen Sie dafür, dass zentrale Softwarekomponenten eine grundlegende Prüfung der Quellcodes durchlaufen, Herr de Maizière! Statt Blackboxsystemen brauchen
wir inhaltlich geprüfte Sicherheit wenigstens in den zentralen Komponenten der Webinfrastruktur.

Und: Der Staat darf eben nicht, wie von Ihnen geplant, zum Hehler von Sicherheitslücken werden.

({12})

Dieser Markt gehört international geächtet und nicht
durch Staatsknete gefördert.

({13})

Schließlich: Hören Sie endlich auf, die EU-Datenschutzrechtsreform weiter zu behindern und zu verwässern! Sie ist ein elementarer Baustein für die IT-Sicherheit.


Sie haben aus Ihrem Gesetzentwurf die Regelung zur
„Vorratsdatenspeicherung durch die Hintertür“ nach
massiver Kritik wieder herausgenommen. Aber wer bürgerrechtliche Einsicht dieser Großen Koalition erwartet
hat, wird wieder einmal enttäuscht; denn Sie von Union
und SPD haben gemeinsam und unbelehrbar die Vorratsdatenspeicherung durch die Vordertür des Bundestages
nun wieder hereingetragen. Sigmar Gabriel hat sich in
den letzten Tagen nicht nur als irrlichtender Vizekanzler
gegen Bürgerrechte einen Namen gemacht