Paterna (NA), 1990-05-31:
Frau Präsidentin! Meine Damen und Herren! Die SPD unterstützt das Ziel, die hochgradige Verletzlichkeit der computergesteuerten Informationsgesellschaft zu begrenzen. Insofern, Herr Minister, erkennen wir den Handlungsbedarf ausdrücklich an. Die Errichtung eines Bundesamtes für Sicherheit in der Informationstechnik per Gesetz kann dazu ein geeigneter Weg sein. Wir werden uns an der Arbeit in den Ausschüssen konstruktiv beteiligen; das sage ich hier schon einmal zu. Wir erwarten allerdings auch, daß Bundesregierung und Koalitionsfraktionen den vorgelegten Entwurf nicht von vornherein als der Weisheit letzten Schluß betrachten, sondern in den Einzelberatungen für Anderungs- und Ergänzungsvorschläge offen sind. Dazu will ich heute in erster Lesung bereits einige Anregungen geben.
Erstens. Es wird zu prüfen sein - dazu haben Sie nichts gesagt, Herr Minister - , ob es tatsächlich die zweckmäßigste Lösung ist, das BSI dem Innenminister zu unterstellen. Ich befürchte nämlich einen Zielkonflikt zwischen den Aufgaben der externen und der internen Beratung. Während einerseits optimale Sicherheit gegen unbefugtes Eindringen wünschenswert ist, könnte das Amt andererseits versucht sein, zum Zwecke der Verfolgung von Straftaten und für Aufgaben des Verfassungsschutzes nur solche Kryptosysteme zu favorisieren, die die zuständigen Behörden selbst beherrschen. Extern empfehlen Sie möglichst einbruchsichere Systeme, die nicht knackbar sind, andererseits wünschen Sie sich für Ihren eigenen Verfassungsschutz Systeme, die Sie möglichst leicht knacken können und wo diejenigen, die Sie überwachen wollen, die Schlüssel sozusagen an der Garderobe des Verfassungsschutzes abgeben.
Nun haben Sie das als eine Unterstellung bezeichnet. Aber es ist keine. Ich darf Sie einmal daran erinnern, Herr Minister, daß Sie vor einem Jahr bei der Behandlung des Fernmeldeanlagengesetzes und des G-10-Gesetzes genau dies in das Gesetz hineingeschrieben haben wollten. Wir sind also in diesem Falle durch Ihre eigenen Aktivitäten gewarnt und werden darüber sicher noch im einzelnen reden müssen.
Außerdem, meine ich, ist zu prüfen, ob die Ressortierung beim Innenminister nicht Beratungsfunktionen erschwert, für die z. B. beim BND und im Verteidigungssektor insgesamt Bedarf besteht. Da ist die Frage, wie weit man die Sachverständigen, die es am Markt nicht beliebig gibt, hier bündelt und dann auch anderen Dienststellen zugänglich macht. Also wäre, meine ich, eine Differenzierung in der Organisationsstruktur und in den Weisungsbefugnissen je nach Aufgabenstellung zu erwägen.
Zweiter Punkt. Mein erster Eindruck ist, daß Sicherheitsaspekte zu stark auf Schwachstellen im Bereich der Hersteller von Hardware und Software konzentriert sind, während die Beratung der Anwender beim Betrieb zu kurz kommt. Schwachstellenanalysen haben nämlich immer wieder gezeigt, daß viele Anwender schon vorhandene Sicherheitspotentiale nicht ausnutzen, sei es aus Unkenntnis, sei es aus Sorglosigkeit oder aus falsch verstandener Sparsamkeit.
({0})
Ein Schwerpunkt muß deshalb im Sicherheitsmanagement beim Nutzer liegen. Ich will dazu Professor Brunnstein zitieren, der wohl ein ausgewiesener Fachmann für Computersicherheit ist. Er sagt - ich zitiere wörtlich - :
Die Mitwirkung der Anwender bei der Gestaltung künftiger Systeme muß verstärkt, der dominante Einfluß der Systemhersteller begrenzt werden.
Ein dritter Punkt, Herr Minister. Bei der Beschreibung der Aufgaben des Bundesamtes könnten die Verfasser - ich drücke das einmal sehr vorsichtig aus - zu einseitig von der Vorstellung geschlossener Systeme in der Regel eines Anwenders ausgegangen sein. Ich meine, es sollte geprüft werden, ob der Aspekt wachsender Vernetzung, den Sie soeben ja selber erwähnt haben, in der Zielbestimmung hinreichend in den Blick genommen worden ist. Dazu will ich noch einmal ein Zitat von Professor Brunnstein liefern. Er sagt wörtlich:
Bei der Einführung neuer Methoden und Anwendungen ist deren Risiko-Potential zu analysieren. Angesichts der großen Bedeutung künftiger Netzdienste sind vordringlich Risiken im Bereich dienstintegrierter Netze ({1}) zu prüfen. In sicherheitsempfindlichen Bereichen ({2}) sind Richtlinien erforderlich, welche den Einsatz unsicherer Systeme ausschließen.
Also auch das Prinzip der Freiwilligkeit, das den Entwurf durchgängig beherrscht, wird für bestimmte Bereiche wohl noch einmal zu überprüfen sein.
Vierter Punkt; das ist der mir wichtigste. Ein offensichtlicher Mangel in der Aufgabenstellung des BSI liegt nach Auffassung der SPD in der Beschränkung auf die Frage, wie Informationstechnik möglichst sicher eingesetzt wird, in der Beschränkung auf einen bloß technischen Sicherheitsbegriff. Wenn aber im Vorspann des Gesetzentwurfes richtig von der wachsenden Verletzlichkeit der Informationsgesellschaft geredet wird, müssen dringend auch das Ob für bestimmte Bereiche geprüft und allgemeine Kriterien zur Verantwortbarkeit des Technikeinsatzes entwikkelt werden.
Mit anderen Worten - Sie haben das Stichwort erwähnt, es findet sich aber in der Zielsetzung des Gesetzestextes nicht wieder - : Technikfolgenabschätzung und -bewertung sind notwendig. Die Abschätzung künftiger Risikopotentiale setzt ein soziotechnisches und nicht nur ein rein technologisches Problem16796 
verständnis voraus. So ist z. B. eine Grenzlinie zu finden, wo Gefährdung von Gesundheit und Umwelt droht, Informations- und Kommunikationssysteme zur automatischen Kontrolle und Steuerung eingesetzt werden und künstliche Intelligenz den letztverantwortlich sein sollenden Menschen zu ersetzen droht.
Generell ist für bestimmte Bereiche zu klären, wo im Falle technischen Versagens die Haftung nach dem Verursacherprinzip liegt. Ist es der Hersteller? Ist es der Wissensingenieur? Ist es der Anbieter von Software? Ist es das Prüfpersonal? Wer ist es denn eigentlich, wenn es im Bereich der Medizin oder der Steuerung eines Kernkraftwerkes zu einem Versagen mit Risiko für Gesundheit und Umwelt kommt? Dies sind viele ungeklärte Fragen, die, meine ich, in den generellen Untersuchungsauftrag eines solchen Amtes gehören.
So ist in bestimmten Fällen auch die Verfassungskonformität des Informations- und Technikeinsatzes zu untersuchen. Als Beispiel: automatische Frühwarnund Entscheidungssysteme im militärischen Bereich, die verfassungsmäßige Zuständigkeiten, etwa des Bundeskanzlers oder des Parlaments, durch automatische Entscheidungsabläufe außer Kraft setzen. Ich glaube, daß zu solchen Grundsatzprüfungen dringender Anlaß besteht.
({3})
Dazu gehört nicht nur die Frage, wie sicher Daten verarbeitet und transportiert werden, sondern auch, welche Daten auf welchem Wege zu welchen Zwekken mit welchen Mißbrauchsrisiken erhoben werden. Der schlichte Hinweis auf unterstützende Tätigkeit für Datenschutzbeauftragte genügt da nicht.
Generell ist ein soziotechnisches Sicherheitsverständnis zu fordern. Es sollte - als Ergebnis von Abschätzungen der Verletzlichkeit spezifischer Einsatzbereiche der Informations- und Kommunikationstechnik - ermöglichen, zu sozial verträglichen Gestaltungsanregungen künftiger IuK-Systeme und ihrer Anwendungsoptionen zu kommen.
Angesichts der Schlüsselrolle der IuK-Technik für unsere Gesellschaft wiederhole ich jetzt unser Angebot und unsere Hoffnung auf gründliche und verantwortungsbewußte Beratung dieses Gesetzentwurfs in den Ausschüssen. Ich gründe - Herr Minister, wenn Sie mir noch eine Minute zuhören wollen - diese Hoffnung u. a. auf die Rede Ihres Staatssekretärs auf einer Tagung hier in Bonn vor wenigen Tagen zu diesem Thema, wo ich ausdrücklich die Stichworte „Technikfolgenabschätzung" und „soziotechnisches Verständnis" dieser Systeme dankenswerterweise wiedergefunden habe, allerdings in der Zielsetzung des Gesetzentwurfes bisher nicht. Ich denke, darüber sollten wir noch einmal reden.
Lassen Sie mich eine letzte Bemerkung in Richtung auf den Kollegen Hirsch machen: Ich habe Ihre diesbezügliche Presseerklärung mit einigem Vergnügen gelesen, in der Sie sich relativ hämisch darüber ausgelassen haben, daß es bei diesem BSI offensichtlich auf zehn oder 50 Beamte mehr oder weniger nicht ankommt, während wir gemeinsam jahrelang um eine oder zwei zusätzliche Stellen beim Bundesdatenschutzbeauftragten kämpfen müssen.
({4})
Ich glaube, daß hier ein groteskes Mißverhältnis besteht. Ich will damit nicht bestreiten, daß wir eine wirklich qualifizierte ausreichende Personalausstattung brauchen, lege aber auf zumindest Gleichgewichtigkeit Wert.
Vielen Dank.
({5})