Jan Korte (NA), 2013-04-25:
Im Endspurt der Wahlperiode und bemüht um eine

Aufbesserung ihrer miesen Bilanz, führt die Koalition
auf ziemlich halsbrecherische Weise einige ihrer fragwürdigen oder sogar gescheiterten Großprojekte im
Bereich der Informations- und Kommunikationstechnik, IKT, zusammen. Keine Rolle spielen dabei Gefahren für die Daten der Bürgerinnen und Bürger, klare
Defizite und systembedingte Sicherheitslecks.

Der Zufall hilft manchmal der Wahrheit auf die
Sprünge. Wenige Stunden vor der Vorlage der Bundestagstagesordnung, auf der der Gesetzentwurf zur Änderung des Bundeszentralregistergesetzes auftauchte,
wurde eine Stellungnahme des Bundesrechnungshofs,
BRH, bekannt, in der dieser mit deutlichen Worten bemängelte, dass es dem Bundesamt für Sicherheit in der
Informationstechnik, BSI, in mehr als zwei Jahren
nicht gelungen sei, eine zertifizierte Software zur Nutzung der elektronischen Identität im neuen elektronischen Personalausweis zur Verfügung zu stellen.

Und wie hängt beides zusammen? Der vorliegende
Gesetzentwurf soll die - im Grunde ja wünschenswerte Nutzung eines elektronischen Zugangs zu Führungszeugnissen und Auskünften aus dem Gewerbezentralregister eröffnen. Die bisher unbedingt vorgeschriebene persönliche Antragstellung wäre damit hinfällig.
Der Bundesrechnungshof schreibt dazu, dass zwar
über 4 Millionen Euro ausgegeben worden sind, eine
zertifizierte Software für den Identitätsnachweis der
notwendigen Ausweis-App aber nicht vorliege.

Was ist die Folge? Nach der Personalausweisverordnung sollen die Nutzer dieser Ausweis-App auf ihrem PC, Laptop oder anderem sicherstellen, dass sie
nur eine vom BSI zertifizierte Software einsetzen, weil
damit hinreichende Sicherheit gegeben sei. Tun sie das
nicht - und das ist das Entscheidende -, gehen sie unkalkulierbare Haftungsrisiken ein, sowohl was Datenverluste, als auch was kommerzielle Aktivitäten betrifft.

Laut BRH wurden die Nutzerinnen und Nutzer weder über die Nichtzertifizierung noch über die damit
verbundenen rechtlichen Probleme und Risiken informiert. Die Deutsche Rentenversicherung biete gar den
elektronischen Zugang auf die Versichertendaten an

Zu Protokoll gegebene Reden



und verweise - wahrheitswidrig - auf eine zertifizierte
Ausweis-App des BSI.

In einer ersten Zusicherung hatte das BMI die Zertifizierung verbindlich zugesagt. Der BRH zitiert sie
aber nun in dem Sinne, dass eine Zertifizierung in ihren Augen nicht mehr nötig sei, da das BSI bei der Entwicklung der Software ja schon alles geprüft habe.
„Auftretende Schwachstellen ({0}) frühzeitig erkannt und zeitnah behoben werden“ ({1}).

Ich halte es ja tatsächlich für ein Problem, wenn die
softwareentwickelnde Behörde, hier also das BSI, dieselbe ist, die das Produkt zertifizieren soll. So eine Interessenkollision haben wir im Gegensatz zu Ihnen immer kritisiert und vor den Folgen gewarnt. Dass diese
Konstruktion jetzt aber auch noch dafür herhalten
muss, eine Zertifizierung ad acta zu legen, auf eine öffentlich nachvollziehbare Sicherheitsbewertung zu
verzichten und die Nutzerinnen und Nutzer unwissend
zu lassen, das ist schon ein ziemlicher Hammer.

Dieses Vorgehen entspricht aber - und damit zurück
zum vorliegenden Gesetzentwurf und dem nächsten
Systemproblem - dem standardisierten fahrlässigen
Umgang dieser Bundesregierung mit zum Teil hochsensiblen Daten der Bürgerinnen und Bürger: Schon
auf der ersten Seite der Gesetzesbegründung wird
nämlich auf die neuen Regelungen des Entwurfs eines
„Gesetzes zur Förderung der elektronischen Verwaltung …“, Bundestagsdrucksache 17/11473, verwiesen.
Dieses erst vor wenigen Tagen verabschiedete sogenannte E-Government-Gesetz basiert auf dem DeMail-Gesetz und der damit verbundenen unsicheren
Technik: ein hochgefährlicher Systemfehler der angestrebten elektronischen Verwaltung. Auf der Sachverständigenanhörung wurde das ausgesprochen anschaulich dargestellt. Die Bundesregierung wollte das
nicht ändern und senkte stattdessen die Sicherheitsstandards in den Behörden zur Weitergabe von Daten
ab.

Eine kleine Zwischenbilanz: Der vorliegende Gesetzentwurf zwingt die Bürgerinnen und Bürger, möglicherweise unsichere Technik einzusetzen und der Bundesregierung zu glauben, dass das schon in Ordnung
gehe. Derselbe Gesetzentwurf fußt in einer Regelung
- zum Umgang mit dem Geburtsnamen - auf dem gerade erst verabschiedeten Gesetz zur elektronischen
Verwaltung, das wiederum auf der unsicheren DeMail-Technik basiert.

Beide zusammen würden nicht funktionieren, hätte
die Bundesregierung nicht das unsichere Projekt der
eID auf dem neuen Personalausweis gegen alle Kritik
auf Biegen und Brechen ohne jede Notwendigkeit
durchgesetzt.

Kaum eines der Versprechen auf optimale Datensicherheit in den Großprojekten der Regierung konnte
eingehalten werden. Alle - bis auf das in aller Schönheit gestorbene ELENA - wurden und werden jetzt im
Endstadium der Legislaturperiode durchgedrückt, um
vollendete Tatsachen zu schaffen und im Dienste

wirtschaftlicher Interessen. Ich erinnere hier nur an
E-Perso, E-Government, ePass und elektronische Gesundheitskarte.

Dagegen steht die Vernunft der Bürgerinnen und
Bürger: 17,5 Millionen Personalausweise mit eIDFunktion wurden bis Oktober 2012 ausgegeben. Bei
70 Prozent davon haben klugerweise die Ausweisinhaberinnen und -inhaber die eID-Funktion ausschalten
lassen. Denn noch kann man das, obwohl immerhin
130 behördliche und kommerzielle Internetdienste damit anzuzapfen wären.

Hier zeigt sich korrektes bürgerliches Misstrauen.
Die Regierung scheint darauf zu setzen, durch vollendete Tatsachen und immer mehr per gesetzlichem
Zwang eingeleitete Angebote dieses Misstrauen aus
der Welt schaffen zu können. Ich bin mir sicher, dass es
sich dann eben anderswo wieder zeigen wird.