Halina Wawzyniak (NA), 2015-03-20:
Frau Präsidentin! Meine sehr geehrten Kolleginnen

und Kollegen! Was wir grundsätzlich vom IT-Sicherheitsgesetz halten, hat mein Kollege Jan Korte schon gesagt. Prinzipiell ist das Anliegen komplett richtig. Aber
es hilft nicht, etwas richtig zu meinen, man muss es auch
richtig machen.

({0})

Ich werde jetzt versuchen, ein wenig in die Details zu
gehen. Ich fange damit an, dass das Bundesamt für Verfassungsschutz bis zu 50 Stellen bekommen soll. Das
macht 3,3 Millionen Euro aus. Jetzt ist die Frage: Wofür
eigentlich? Ganz am Ende des Gesetzentwurfs schreibt
der Normenkontrollrat: Der Stellenaufwuchs

resultiert aus der Auswertung der vom BSI

- dem Bundesamt für Sicherheit in der Informationstechnik zur Verfügung gestellten Informationen und sich
daraus … ergebenden Handlungserfordernissen.

Abgesehen davon, dass ich es politisch falsch finde,
dass das BSI offensichtlich Daten an das Bundesamt für
Verfassungsschutz weitergibt, stellt sich jetzt die spannende Frage: Auf welcher Rechtsgrundlage passiert das
überhaupt?

({1})

Sie verweisen in Ihrem Gesetzentwurf auf den § 8 b
des BSI-Gesetzes. Da werden aber nur Unterrichtungspflichten geregelt, kein Recht zur Datenübermittlung.
Das Landeszentrum für Datenschutz Schleswig-Holstein
hat richtig festgestellt: Auch im Bundesverfassungsschutzgesetz findet sich keine Regelung bezüglich einer
Pflicht des BSI, Daten an das BfV zu übermitteln. Das
BSI-Gesetz regelt in § 3 Nummer 13 b Folgendes: Es besteht eine Unterstützungspflicht des BSI

… bei der Auswertung und Bewertung von Informationen, die … im Rahmen der gesetzlichen Befugnisse nach den Verfassungsschutzgesetzen des
Bundes und der Länder anfallen …

Auch dort steht nichts davon, dass das BSI Informationen an das Bundesamt für Verfassungsschutz weitergeben darf.

({2})

Sie begründen also einen Stellenaufwuchs beim Bundesamt für Verfassungsschutz mit einer Datenweitergabe
durch das BSI an das Bundesamt für Verfassungsschutz,
für die es keine Rechtsgrundlage gibt. Sie merken doch
selbst, dass das irgendwie nicht geht, oder?

({3})

Da ich viele wertvolle Stunden meines Lebens in der
Enquete „Internet und digitale Gesellschaft“ verbracht
habe, ärgert mich noch etwas. Offensichtlich werden
nämlich die Berichte dieser Enquete bei der Erstellung
von Gesetzentwürfen einfach nicht berücksichtigt. Da
muss man sich die Frage stellen: Wozu machen wir eine
solche Enquete dann überhaupt?

({4})

Die Projektgruppe „Zugang, Struktur und Sicherheit
im Netz“ hat beispielsweise kritische Infrastrukturen definiert. Ihr Gesetzentwurf nennt Sektoren kritischer Infrastrukturen. Aber die Sektoren „Staat und Verwaltung“
sowie „Medien und Kultur“ tauchen im Gesetzentwurf
nicht auf. Wenn Sie mir jetzt mit Länderhoheit kommen,
dann sage ich: Nehmen Sie wenigstens die Bundesverwaltung mit hinein, und reden Sie mit den Ländern, damit auch diese zwei Sektoren noch aufgenommen werden!

({5})

Auch vom sogenannten Kerckhoff-Prinzip ist bei Ihnen nichts zu lesen, obwohl die Enquete empfohlen hat,
auf dieses Prinzip zu setzen. Das Prinzip besagt, dass
kritische Infrastrukturen Systeme benötigen, deren
Funktionsweise prinzipiell vollständig offengelegt werden kann. Die Enquete urteilte - ich zitiere -:

Der Open-Source-Weg, also das Kerckhoff-Prinzip,
ist daher für Kritische Infrastrukturen ein geeigneter Weg.

Auch davon steht nichts in Ihrem Gesetzentwurf, obwohl das in der Enquete einstimmig so gesehen worden
ist.

Sie hätten den Gesetzentwurf auch nutzen können
- das ist der letzte Punkt -, um Regelungen zu schaffen,
die Sicherheitsforscher und Entdecker von Sicherheits9048 

lücken vor straf- und zivilrechtlicher Verfolgung schützen, wenn sie damit verantwortlich umgehen. Das hatten
Linke, Grüne und SPD in einem Sondervotum in der
Enquete gefordert.

({6})

Kurz und gut: Sie machen mit dem Gesetzentwurf ein
wichtiges Anliegen durch einen komplett falschen Ansatz kaputt. Ich kann nur hoffen, dass wir in der weiteren
Debatte dem eigentlich sinnvollen Anliegen noch sinnvoll Rechnung tragen.

({7})