Renate Künast (NA), 2015-06-12:
Herr Präsident! Meine Damen und Herren! Selten war

ja eine Debatte im Deutschen Bundestag so tagesaktuell
wie diese. Lassen Sie mich auf ein Zitat, das ich gestern
gelesen habe, zu sprechen kommen. Da wurde geschrieben, das Bundesamt für Sicherheit in der Informationstechnik sei zu dem Ergebnis gekommen, dass das Netz
des Bundestages nicht mehr gegen den Angriff verteidigt
werden könne und aufgegeben werden müsse.

({0})

Das hat mich eine Sekunde lang fasziniert.

({1})

- Ja, eine Sekunde lang hat mich das fasziniert, Herr
Binninger, weil mir gleich das Bild einer Schlacht durch
den Kopf ging.

({2})

Wir haben eine Schlacht verloren, meine Damen und
Herren - so kann man das sehen -,

({3})

eine Schlacht gegen eine Cyberattacke, einen Cyberangriff.

Aber sehen wir uns einmal an, wie wir darauf reagieren. Fakt ist doch: Wir wissen nicht einmal, gegen wen
wir die Schlacht verloren haben, oder?

({4})

- Na ja, Preußen wusste schon, gegen wen es die
Schlacht bei Jena und Auerstedt verloren hatte.

({5})

- Genau; nicht, warum. - Wir aber wissen nicht, gegen
wen wir sie verloren haben; das ist für die Analyse aber
nicht unwichtig. Wir wissen auch nicht genau, warum
wir sie verloren haben.

({6})

Wir haben aber eine Ahnung, liebe Kolleginnen und
Kollegen, dass der Bundestag mit seiner Software und



seinen Kontrollmöglichkeiten hier nicht wirklich ordentlich aufgestellt war. Jetzt höre ich in dieser Debatte, in
der es um tatsächliche Cyberangriffe geht, die also nicht
etwa in höheren Sphären stattfindet, plötzlich etwas von
Ressortprinzip und Meldepflicht. Das ist meine zweite
Verwunderung: Ich finde, das passt nicht zusammen und
ist dem Problem nicht angemessen, meine Damen und
Herren.

({7})

Ja, wir brauchen eine gesetzliche Regelung, und es ist
gut, dass wir eine Anhörung hatten. Aber ich muss Ihnen
sagen: So wie dieser Gesetzentwurf gemacht wurde
- selbst mit den Änderungen, die noch vorgenommen
wurden -, ist er nicht angemessen. Er geht schon von einem alten IT-Verständnis aus. Es geht, ganz bürokratisch, um Meldepflichten und Sanktionen. Als ob es uns
hilft, wenn jemand zum Beispiel 10 000 Euro zahlen
muss, weil er seiner Meldepflicht nicht nachgekommen
ist! Ich finde, der Gesetzentwurf ist handwerklich
schlecht gemacht. Es kommt zu einer Fokussierung auf
die Meldepflicht. Aber es fehlt eine Aktivierung der
Wirtschaft und der eigenen Interessen der Unternehmen,
für Sicherheit zu sorgen.

({8})

Ich finde, dieses alte IT-Verständnis ist ein bisschen
mittelalterlich - es erinnert an die Frühphase der Erfindung des Computers -, und aus den NSA-Vorkommnissen und den Snowden-Berichten wurde nichts gelernt,
meine Damen und Herren. Wir sind zum Teil nicht einmal in der Lage, die Selektoren, die uns die NSA
schickt, zu verstehen. Wir wissen ja gar nicht, was diese
Nullen und Einsen materiell eigentlich bedeuten, um
nachvollziehen zu können, ob wir selber ausgespäht
werden. Nein, das reicht nicht.

Die Frage muss doch lauten: Wie muss unsere Infrastruktur aussehen, und wo bzw. wie können wir uns konkret schützen? Herr Mayer hat in seinem Beitrag vorhin
von einem kooperativen Ansatz geredet. Ich sage Ihnen:
Ja, okay, Herr Mayer; ein kooperativer Ansatz ist gut.
Aber wenn Sie nicht auf der richtigen Ebene agieren,
sondern auf der Ebene von Meldepflichten und Ähnlichem, nützt Ihnen die Kooperation an dieser Stelle auch
nichts.

Wir müssen uns wirklich mit der Prozesshaftigkeit
des Themas auseinandersetzen. Die Gewährleistung von
Sicherheit ist nämlich kein Produkt, das von einem Bundesamt oder einer Bundessicherheitsbehörde zertifiziert
wird und an das dann ein Haken gemacht wird. Es reicht
auch nicht, den neuesten Stand der Technik zu berücksichtigen, vielleicht sogar noch unter finanziellen Gesichtspunkten. Nein, Sicherheit kann hier nur gewährleistet werden, wenn man jemanden zwingt, Standards
einzuhalten, regelmäßige Risikoanalysen durchzuführen,
Gefahrenlagen zu konkretisieren, Szenarien zu entwickeln, und zwar stündlich und täglich neu. Da passt Ihr
bürokratisches System gar nicht hinein.
({9})

Neulich habe ich auf einer Reise in die USA sehen
können, wie dort Sicherheit hergestellt wird. Dort lässt
man sich nicht von Sanktionen beeindrucken. Dort werden Teams aufgestellt. Es gibt ein red Team und ein blue
Team, also ein rotes Team und ein blaues Team. Die Roten müssen ständig angreifen, und die Blauen müssen
verteidigen, müssen diesen Angriff überhaupt erst einmal ausfindig machen.

({10})

Das hört sich vielleicht kurios an, aber dadurch wird
Kreativität freigesetzt. Ihr technokratischer Gesetzentwurf hingegen enthält null Angebote, um das Spiel der
Hacker mit uns zu simulieren.

({11})

Sie reden immer vom Schutz der kritischen Infrastruktur. Es ist ja richtig, dass dieser Schutz wichtig ist,
aber Sie erwähnen an keiner Stelle den Schutz des
Grundrechts auf Vertraulichkeit und Integrität der informationstechnischen Systeme. Dazu hat das Bundesverfassungsgericht schon 2008 eine Entscheidung gefällt.
Es hat festgestellt, dass der Staat Bürgerinnen und Bürger und Unternehmen schützen muss.

Angesichts der Aktualität dieses Themas muss ich Ihnen sagen, was mich besonders verwirrt: Uns liegt heute
ein Gesetzentwurf zur IT-Sicherheit vor, der angesichts
der rasanten Entwicklung im Bereich der Informationstechnologie regelrecht mittelalterlich erscheint. Aber
gleich, in der anschließenden Debatte zur Vorratsdatenspeicherung, wird gesagt werden, in welchen Bereichen
wir Massen an Daten speichern werden, obwohl wir an
dieser Stelle noch gar nichts gelöst haben. Legen Sie
diese beiden Gesetzentwürfe in ihrer ganzen Unzulänglichkeit einmal übereinander. Jetzt wollen Sie eine Meldepflicht normieren, und gleich werden Sie sagen, dass
die Telekommunikationskontaktdaten aller Bürgerinnen
und Bürger zentral, wenn auch offline, gespeichert werden sollen. Es gibt aber einen Zugang, und die Daten
werden zum Teil auch abgefragt werden. Ihr Gesetzentwurf bietet an dieser Stelle überhaupt keine Sicherheit.

({12})

Mein Vorschlag lautet: Legen Sie gleich beide Gesetzentwürfe weg. Organisieren Sie Sicherheit als Prozess. Sorgen Sie für einen ständigen Anreiz für die Wirtschaft und die Betreiber der kritischen Infrastruktur,
dranzubleiben. Setzen Sie Standards, und fangen Sie an,
auch die sonstigen Rechtsbereiche anders zu regeln.

Sicherheit stellen Sie übrigens nur her, wenn Sie
Open-Source-Produkte nutzen.