Christina Kampmann (NA), 2015-06-12:
Sehr geehrter Herr Präsident! Liebe Kolleginnen und

Kollegen! Meine sehr verehrten Damen und Herren!
Sicherheit spielt in der politischen Rhetorik eine immens
große Rolle, egal ob wir über den G-7-Gipfel, den internationalen Terrorismus oder den Schutz vor Einbruch
und Diebstahl reden. Für einen Bereich aber wurde dieses Thema viel zu lange vernachlässigt, nämlich für die
gesamte Informationstechnologie. Bei aller Kritik an
dem Gesetzentwurf, bei allen berechtigten Forderungen,
noch weiterzugehen, und bei allen Zweifeln an den Details in der Umsetzung ist es gut, dass damit endlich
Schluss ist, liebe Kolleginnen und Kollegen. Gut, dass
wir dieses Thema endlich auf die politische Agenda gesetzt haben. Gut, dass die Große Koalition mit dem ITSicherheitsgesetz eines der ersten Vorhaben im Rahmen
der Digitalen Agenda umsetzen wird.

({0})

Um es vorwegzunehmen: Auch ich finde, das Gesetz
dürfte an der einen oder anderen Stelle noch weiter gehen. Ich bin aber davon überzeugt, dass es uns trotzdem
richtig gut gelungen ist und dass wir damit einen Anfang
gemacht haben, der sich sehen lassen kann. Das ist ein
guter Tag für die IT-Sicherheit in Deutschland. Es ist ein
gutes Beispiel für gesetzliche Rahmenbedingungen innerhalb der Europäischen Union.


Herrn Janecek sage ich: Wer uns als Entwicklungsland in Sachen IT-Sicherheit bezeichnet - darin bin ich
ganz bei Herrn Binninger -, von dem erwarte ich auch
ganz konkrete Vorschläge und Lösungen zur Verbesserung statt einer Aneinanderreihung von Forderungen,
wie sie Ihrem Antrag entsprechen, die bei wohlwollender Betrachtung gerade noch etwas mit dem Thema „Digital“ zu tun haben, aber mit Sicherheit nicht mit der ITSicherheit.

({1})

Aber lassen Sie mich das näher ausführen. IT-Sicherheit ist kein Selbstzweck. Für mich ist sie das Fundament der Digitalisierung. Industrie 4.0 ohne Sicherheit
ist komplett undenkbar. Autonomes Fahren - der Minister hat es eben angesprochen - ohne Sicherheit ist geradezu lebensgefährlich. Cloud-Technologie ohne Sicherheit ist überhaupt nicht möglich. Kein Unternehmen,
keine Verwaltung und kein privater Nutzer werden ihre
Daten in einer Cloud speichern, wenn sie nicht zutiefst
überzeugt sind, dass sie dort sicher sind.

Egal wohin man schaut: Die Digitalisierung unserer
Gesellschaft wird nicht funktionieren, wenn wir nicht
ein Maximum dessen gewährleisten, was an Sicherheit
möglich ist. Deshalb bin auch ich davon überzeugt, dass
es einen staatlichen Handlungsauftrag gibt. Es ist konsequent und folgerichtig, diesen im Bereich der kritischen
Infrastrukturen zu sehen. Denn hier ist die Gesellschaft
besonders verletzlich. Deshalb müssen wir ein Mindestmaß an IT-Sicherheit gesetzlich regeln und zur Pflicht
machen.

Wenn wir über die Meldepflichten reden, dann sehen
wir: Ohne diese haben wir heute eine komplett unklare
Gefährdungslage. Wenn wir nicht wissen, wie groß die
Gefahr ist: Wie sollen wir dieser Gefahr dann begegnen?
Deshalb brauchen wir die Meldepflichten. Was wir aber
nicht brauchen, sind Unternehmen, die sich an dieser
Stelle wegducken, weil sie den Wert eines umfassenden
Lagebildes und die sich daraus ergebenden Chancen für
ein gezieltes Vorgehen gegen Angreifer verkennen.

Stattdessen brauchen wir Unternehmen, die in die
Sicherheit ihrer IT investieren. Das gibt es nicht zum
Nulltarif; das ist klar. Investitionen kosten Geld und sind
teuer. Ich bin aber überzeugt davon, dass sich dort jeder
einzelne Cent lohnt; denn für den, der es versäumt,
rechtzeitig zu investieren und sich zu schützen, wird es
am Ende noch teurer werden. Deshalb muss dieses Gesetz auch mehr sein als nur eine Vorgabe für Betreiber
kritischer Infrastrukturen.

Ich wünsche mir, dass wir damit einen Anstoß für
eine gesamtgesellschaftliche Debatte über das Thema
IT-Sicherheit geben können. Die ist längst überfällig,
und deshalb ist es auch gut, dass wir das heute diskutieren.

({2})

Liebe Kolleginnen und Kollegen, seit der letzten Lesung hat es einige Änderungen gegeben, über die wir
heute schon gesprochen haben. Es gibt aber auch Aspekte, die wir im Koalitionsvertrag vereinbart haben und
- davon bin ich überzeugt - die in diesem Gesetzentwurf
noch ihren Platz hätten finden können, dieses Mal aber
noch außen vor geblieben sind.

Ich denke zum Beispiel - damit bin ich bei den Grünen - an das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, das endlich mit Leben erfüllt werden muss. Die
Nutzung von Methoden zur Anonymisierung und Pseudonymisierung und all das, was wir unter den Stichworten „Privacy by Design“ und „Privacy by Default“, also
dem technikgestützten Datenschutz und dem Datenschutz durch Voreinstellung, diskutieren: Das haben wir
im Koalitionsvertrag vereinbart, und das dürfen wir
nicht aus den Augen verlieren, sondern sollten es entschieden weiterverfolgen.

({3})

Ich wünsche mir aber auch - hier bin ich auch auf der
Linie der Opposition -, dass wir zu einer größeren Unabhängigkeit des BSI kommen und dass wir uns endlich
Gedanken darüber machen, wie wir in dieser Richtung
die richtigen Weichen stellen können; denn das BSI wird
mit diesem Gesetz bezüglich der Abwehr von Gefahren
für die Sicherheit der Informationstechnik in Unternehmen, in den Verwaltungen und in Bezug auf die Bürgerinnen und Bürger deutlich gestärkt, und das ist auch gut
so.

Die Anbindung an das BMI in diesem Bereich bringt
aber eine Gefahr mit sich, die über die Probleme hinsichtlich der Zuständigkeit für die defensive Sicherheit
deutlich hinausgeht. Um diesen Konflikt gar nicht erst
entstehen zu lassen, werden wir uns auch weiterhin für
eine größere Unabhängigkeit einsetzen. Das ist meiner
Meinung nach nicht nur glaubwürdiger, sondern wird
der Rolle des BSI im Rahmen der gesamten Sicherheitsarchitektur des Bundes auch wesentlich besser gerecht.

({4})

Meine sehr verehrten Damen und Herren, seit der
letzten Lesung hat sich einiges getan, und viele der
neuen Ansätze, die sich in dem aktuellen Entwurf finden, sind absolut zu begrüßen. So haben die jüngsten
Vorfälle gezeigt - das wurde heute schon vermehrt angesprochen -, dass sich die IT-Sicherheitslage im Bund stetig verschärft und dass Angriffe nicht nur immer zahlreicher, sondern auch immer komplexer werden. Deshalb
ist es folgerichtig, dass der veränderte Gesetzentwurf
auch den Bund in die Pflicht nimmt; denn auch hier
brauchen wir verbindliche Mindeststandards, um diesen
Herausforderungen begegnen zu können.

Genauso verhält es sich mit der nun vorgesehenen
Einbeziehung von Hard- und Softwareherstellern; denn
wenn Betreiber kritischer Infrastrukturen Sicherheitslücken nicht vollständig beheben können, dann dürfen die
Hersteller an dieser Stelle nicht untätig bleiben. Deshalb
ist es nur konsequent, dem BSI hier das Recht einzuräumen, von diesen auch die Mitwirkung an der Beseitigung einer Störung zu verlangen.



Es ist auch richtig, über den kooperativen Ansatz hinauszugehen und ein Bußgeld für diejenigen vorzusehen,
die im Rahmen dieses Gesetzes nicht dazu bereit sein
werden, ihren Beitrag zu leisten. Frau Künast, das betrifft nicht nur die Meldepflichten, sondern auch die
Mindeststandards. Das ist aus meiner Sicht auch kein
Mangel an Vertrauen, sondern unterstreicht nur die politische Bedeutung, die IT-Sicherheit im Rahmen kritischer Infrastrukturen hat und die wir ihr auch zugestehen.

({5})

Diese Veränderungen bringen erhebliche Verbesserungen an wichtigen Stellen und zeigen damit, dass wir
es mit der Umsetzung von mehr IT-Sicherheit in
Deutschland ernst meinen. Dafür haben wir heute einen
entscheidenden Schritt getan.

({6})

- „Wir von der Koalition“, genau.

({7})

Bei der ersten Lesung habe ich gesagt - ich zitiere
mich einmal selbst -, dass ich mir in diesem Gesetzentwurf eine Verpflichtung zur Transportverschlüsselung
für Telekommunikationsunternehmen gut hätte vorstellen können, weil so etwas wie eine marktgetriebene Verschlüsselung in etwa so häufig zu finden ist wie eine
Niederlage von Arminia Bielefeld im DFB-Pokal, nämlich quasi nie. Dieter Janecek von den Grünen meinte
daraufhin, dass dieser Entwurf fußballkategorisch doch
eher in der Kreisklasse statt in der Champions League zu
verorten sei. Inzwischen ist Arminia Bielefeld aufgestiegen, das Champions-League-Finale hat am vergangenen
Samstag stattgefunden, und ich bin nach den benannten
Änderungen geradezu zutiefst davon überzeugt, dass wir
mit diesem Entwurf in der sicherheitspolitischen Champions League angekommen sind. Vielleicht sind wir
noch nicht der FC Barcelona - da ist, glaube ich, noch
ein bisschen Luft nach oben -;

({8})

aber im Halbfinale ausscheiden wird dieser Gesetzentwurf mit Sicherheit nicht.

Herzlichen Dank.

({9})